Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Lennart Kits

Tallinna 21. Kool

[email protected]

Teie 08.02.2024 nr Meie 28.03.2024 nr 2.1.-5/24/2740-7

Vastus selgitustaotlusele

Andmekaitse Inspektsioon on saanud Teie pöördumised seoses mitmikautentimisega.

Vabandame vastuse viibimise pärast.

Saame aru Teie küsimusest ning saame selgitada, et kiiret ning ammendavat lahendust sellele

küsimusele, mis puudutab eelkõige õigusaktide kooskõlastatust (sh isikuandmete kaitse

ülmäärusega inspektsiooni vaatest), käesoleval hetkel ei ole. Andmekaitse Inspektsioon ei näe, et

hetkel oleks head alternatiivi, kui andmetöötleja soovib tagada lisaturvalisust,

mitmikautentimisele. Samuti ei ole Te andmetöötleja IT juhina välja toonud, millised

alternatiivsed ning võimalikult vähemriivavamad meetmed asendaksid mitmikautentimist ja

tagaksid selle, et andmetöötleja oleks kasutanud maksimaalselt parimaid turvameetmeid

isikuandmete kaitsmiseks vastavalt isikuandmete kaitse üldmäärusele. Teil tuleb olla teadlik, et

mitte Teie ei vastuta võimalike andmelekete eest, vaid vastutav töötleja ise.

Andmekaitse Inspektsioon lähtub oma töös muuhulgas isikuandmete kaitse üldmäärusest

(IKÜM). Isikuandmete kaitse üldmääruse alusel andmetöötluse puhul vastutab ebaseadusliku

andmetöötluse eest vastutav andmetöötleja. Andmetöötlejal on kohustus võtta tarvidusele

meetmed, et andmetöötlus oleks turvaline (sh kaitstud võimalike ebaseaduslike rünnete eest).

Hiljuti on Euroopa kohus teinud ka lahendi seoses küberrünnaku tagajärjel avaldatud

isikuandmete kohta. Nimelt saadi asutuse infosüsteemidele loata juurdepääs ning miljonite

isikute isikuandmeid avaldati internetis. Mitmed isikud kaebasid asutuse kohtusse mittevaralise

kahju hüvitamiseks. Kohus leidis, et vastutavat töötlejat ei saa vabastada kohustusest hüvitada

isikule tekitatud kahju ainuüksi seetõttu, et kahju tuleneb isikuandmete loata avalikustamisest

„kolmandate isikute“ poolt või nende isikute loata juurdepääsust andmetele, kuna selleks peab

vastutav töötleja tõendama, et ta ei ole kahju põhjustanud sündmuse eest mingil viisil vastutav.

Veel otsustas kohus, et ainuüksi andmesubjekti kartus, et kolmas isik võib tema isikuandmeid

kuritarvitada, mida ta kogeb määruse rikkumise tagajärjel, võib kujutada endast „mittevaralist

kahju“ IKÜM artikli 82 lg 1 tähenduses, mille eest võivad isikud taotleda hüvitist tekitatud kahju

eest.

Euroopa Liidu Küberturvalisuse Amet (ENISA) on samuti seisukohal, et kahetasandilist

autentimist tuleks kasutada sellistesse süsteemidesse sisenemisel, mis töötlevad isikuandmeid.

Sarnaselt kasutab mitmikautentimist näiteks ka Euroopa komisjon. Mistõttu Andmekaitse

Inspektsioon ei saa täna asuda seisukohale, et mitmikautentimine riivaks liialt isikute õiguseid.

Küll aga ei saa välistada, et mõne konkreetse järelevalvemenetluse asjaolude pinnalt võib

2 (2)

inspektsioon jõuda teistsugusele järeldusele.

Lugupidamisega

Liina Kroonberg

jurist-konsultant

peadirektori volitusel