Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Igor Sumarok

Professional Partner OÜ

[email protected]

Teie 26.08.2025 Meie 10.09.2025 nr 2.2-9/25/2782-3

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, samuti edastas samasisulise pöördumise

AKI-le vastamiseks KAPO, seoses erinevate isikuandmete edastamisega kolmandatesse riikidesse

(antud juhul Hiina). Olete selgitanud, milline on Teie kliendi ettevõtte ärimudel ning küsite sellest

tulenevalt: „Kas kavandatud isikuandmete töötlemine ja piiriülene edastus Hiina Rahvavabariiki

on kooskõlas GDPR-i ja isikuandmete kaitse seaduse nõuetega? Milliseid täiendavaid õiguslikke

ja tehnilisi lahendusi tuleks rakendada, et tagada andmete kogumise seaduslikkus ja kaitse (nt

siduvad eeskirjad ja/või lepingud, andmete krüpteerimine)? Kas sanktsiooniloendite kontroll ja

ärisuhete seostamine eraisikuga võib kujutada endast liigset andmete töötlemist või minna

vastuollu andmete kogumise minimaalsuse põhimõttega? Kas andmete liikumine väljapoole EL-i

eeldab täiendavat järelevalvet?“

Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse § 3

ütleb küll, et riigi- ja kohaliku omavalitsuse üksuse asutus annab tasuta selgitusi tema poolt

väljatöötatud õigusaktide, nende eelnõude ja asutuse tegevuse aluseks olevate õigusaktide ning

asutuse pädevuse ja õigusloome tegevuse kohta, kuid välistab selgelt õigusnõu andmist.

Õigusalase selgituse all tuleb mõista üldise info andmist, mis seadus mingit olukorda reguleerib,

kuidas asutus oma praktikas seda kohaldab, millised on isikute õigused/kohustused. Õigusnõu

seevastu tähendab aga konkreetse isiku huvide ja asjaolude põhjal antavat soovitust, kuidas edasi

toimida või kuidas seadust enda huvides kasutada ehk siis kas ärimudelis vajalikke andmeid on

õiguspärane Hiina edastada või mitte.

Seetõttu saan selgitada üldiselt, et kõnealust juhtumit reguleerivad isikuandmete kaitse üldmääruse

sätted, eelkõige 5. peatükk. 5. peatüki kohaselt on isikuandmete edastamine lubatud vaid juhul,

kui füüsiliste isikute kaitse taset ei kahjustata. Füüsiliste isikute kaitse taset ei kahjustata, kui

olemas on kas kaitse piisavuse otsus või kohaldatakse mõnda muud asjakohast kaitsemeedet.

Palju abi saab muuhulgas meie kodulehel avaldatud erinevatest materjalidest, mis kindlasti aitavad

otsuse jõudmiseni, kas selline andmetöötlus on kohane või mitte. Peamised andmekaitse mõisted

on leitavad mõistete rubriigist. Veebis on leitav ka rubriik isikuandmete edastamine välisriiki ning

tasub vaadata ka AKI dokumendiregistris registreeritud varasemat vastust andmete edastamisest

välisriiki.

Lisaks soovitan kuulata AKI taskuhäälingut „Andmehääling“, eelkõige andmetöötluslepingutest

2 (2)

jne. Taskuhääling on leitav nt siit Andmehääling | Podcast on Spotify.

Loodan, et need materjalid on teile õigusnõu andmisel ning isiku esindamisel abiks ja see

võimaldab teil nõustada klienti terviklikult ärimudeli (mis sisaldab ka isikuandmete töötlemist, sh

edastamist erinevatesse riikidesse) õiguspärasuse kohta. Lõpliku otsuse, kas andmetöötluseks on

alus, tuleb vastu võtta andmetöötlejal, kellel siis lasub ka vastutus tehtud andmetöötluse toimingute

eest.

Loodan, et selgitustest ning viidetest on abi ning lisaküsimuste korral võtke ühendust.

Lugupidamisega

Liina Kroonberg

jurist

peadirektori volitusel