Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Hannes Niid

Juhatuse liige

Gamekeys OÜ

[email protected] [email protected]

Meie 23.07.2025 nr 2.1-1/25/979-2117-2

Tähelepanu juhtimine

Andmekaitse Inspektsioon (AKI) sai märgukirja, mille kohaselt ei vasta Gamekeys OÜ

(andmetöötleja) isikuandmete kogumine punktid.ee veebilehel isikuandmete töötlemise

põhimõtetele. Märgukirja kohaselt kogub andmetöötleja tellimuse vormistamisel klientidelt

eesnime, perekonnanime, e-maili aadressi ja telefoninumbri, mille õigsuse osas ei teostata

täiendavat kontrolli. Samuti ei vasta andmete kogumine isikuandmete töötlemise minimaalsuse

põhimõttele.

Isikuandmete töötlemise põhimõtted näevad mh ette, et töödeldavad isikuandmed on asjakohased,

olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt (nn minimaalsuse

põhimõte, IKÜM1 art 5 lg 1 p c)2. Isikuandmeid tuleks töödelda vaid juhul, kui nende töötlemise

eesmärki ei ole mõistlikult võimalik saavutada muude vahendite abil (IKÜM pp 39). Samuti tuleb

töötlemisel tagada, et isikuandmed on õiged ja vajaduse korral ajakohastatud ning et võetakse kõik

mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutataks või

parandataks viivitamata (IKÜM art 5 lg 1 p d). Isikuandmete töötlemise nõuete täitmise eest

vastutab ja on võimeline selle täitmist tõendama vastutav töötleja (IKÜM art 5 lg 2).

AKI tuvastas veebilehe punktid.ee vaatlusel, et ostutellimuse vormistamisel küsitakse

registreerimata kliendilt isiku eesnime, perekonnanime, e-posti aadressi ja telefoninumbrit.

Privaatsustingimuste p 9.2, 10.2 järgi3 töödeldakse kliendi ees- ja perekonnanime, telefoninumbrit

ja e-posti aadressi teenuste osutamiseks kliendile, sh kliendile toodete müük ja tellitud toodete

kohaletoimetamine. Tavapäraselt kogutakse e-poodides tellimuse vormistamisel telefoninumbreid

siis, kui see on vajalik lepingu täitmiseks (nt saadetakse telefoninumbrile teavitus paki saabumisest

vms). Praegusel juhul nähtub, et andmetöötleja veebipoes toimub toote tarnimine digitaalsel teel,

st see saadetakse kliendi e-mailile. Juhul, kui toote füüsilist tarnimist kliendile ei toimu, siis ei

nähtu ka otsest vajadust telefoninumbri küsimiseks kliendilt teenuse osutamiseks. Kui

telefoninumber on lepingu täitmiseks aga siiski vajalik, tuleb selle vajalikkust ja eesmärki

põhjendada oma andmekaitsetingimustes, et andmetöötlus oleks inimese jaoks läbipaistev.

Teiseks võimaldab veebileht sisestada ostu sooritamisel suvalise pikkusega telefoninumbri (nt

0000), st puudub kontrollmehhanism, mis tagaks, et sisestatud telefoninumbri pikkus ja formaat

(riigi suunakood) vastab kehtivatele nõuetele.

1 Isikuandmete kaitse üldmäärus 2 Vt lisaks AKI andmeturbesoovitused e-poodidele, p 1.2. 3 GDPR | Punktid

2 (2)

Rõhutame, et andmetöötleja kohustus on tagada isikuandmete töötlemise nõuete täitmine. Seega

tuleb andmetöötlejal võtta kasutusele maksimaalsed võimalikud meetmed, et töötlemine vastaks

isikuandmete kaitse nõuetele - et andmetöötleja ei koguks andmeid, mida tegelikkuses vaja ei lähe

ning et kehtivale formaadile ja pikkusele mittevastavat telefoninumbrit sisestada ei saaks.

Eeltoodust tulenevalt palume Teil viia isikuandmete töötlemine kooskõlla isikuandmete

kaitse põhimõtetega.

Soovitame lisaks tutvuda AKI andmeturbesoovitustega e-poodidele. Käesolevale tähelepanu juhtimisele Andmekaitse Inspektsioon vastust ei oota.

Lugupidamisega

Annika Kaljula

jurist

peadirektori volitusel