Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Sirli King

[email protected]

Teie 06.01.2026 nr Meie 21.01.2026 nr 2.2-9/26/46-2

Vastus selgitustaotlusele

Olete pöördunud Andmekaitse Inspektsiooni (AKI) poole küsimusega, mis puudutab

andmekaitsespetsialisti ametikoha koondamist ja tema tööülesannete jagamist teiste teenistujate

vahel.

Huvide konflikt ja sõltumatus

Andmekaitsespetsialisti rolli võib täita küll ka ettevõtte oma töötaja (täistöökoht või lisaülesanne)

või andmetöötleja väline füüsiline või juriidiline isik (nt teenuslepingu alusel), kuid on tähtis et

puuduks mh huvide konflikt. Huvide konflikt tähendab eeskätt, et andmekaitseametnik ei saa

organisatsioonis olla sellisel ametikohal, millest tulenevalt ta peab otsustama isikuandmete

töötlemise eesmärkide ja vahendite üle. Huvide konflikti puudumine ongi tihedalt seotud nõudega,

et andmekaitsespetsialist saaks tegutseda sõltumatult.

Huvide konflikt võib tekkida organisatsioonis selliste positsioonide puhul nagu kõrgema

juhtimistaseme töötajad (nt erasektoris tegevjuht, tootmisjuht, finantsjuht, turundusjuht,

personalijuht või IT-juht), kuid ka muude, organisatsioonilises struktuuris madalamal asuvate

töökohtade puhul, kui nendega kaasneb otsustamine isikuandmete töötlemise eesmärkide ja

vahendite üle.

Kuna organisatsiooniline struktuur on igas organisatsioonis erinev, tuleb olukorda igal üksikjuhul

eraldi kaaluda. Seoses olukorraga, kus juristid koostavad õigusakte/lepinguid, tulebki hinnata kas

otsustatakse sellega isikuandmete töötlemise eesmärkide ja vahendite üle.

Andmetöötluse eesmärkide ja vahendite määramine tähendab otsustamist selle üle:

- milleks isikuandmeid töödeldakse (eesmärgid), nt klientidele teenuse osutamiseks;

- kuidas isikuandmeid töödeldakse (vahendid), nt kellel on andmetele ligipääs.

Vastutusvaldkondade kattumise puhul võib olla tegemist suure tõenäosusega huvide konfliktiga ja

selles olukorras ei saa andmekaitsespetsialist tegutseda sõltumatult. Juba ainuüksi seetõttu, et

järelevalve andmetöötluse turvalisuse üle ja volitatud töötlejate valimine võivad omada

vastastikust mõju, mis võib kujundada huvide konflikti. Samas tuleb samuti hinnata, kas

otsustatakse isikuandmete töötlemise eesmärkide ja vahendite üle.

Ajaline ressurss ja pädevus

Andmekaitsespetsialisti määramine on nõutud tulenevalt isikuandmete kaitse üldmääruse artiklist

37 lg-st 1 kolmel juhul ja üks neist on, kui avaliku sektori asutus või organ töötleb isikuandmeid.

2 (2)

Seega iseenesest huvide konflikti puudumisel ei ole keelatud jagada ära andmekaitsespetsialisti

ülesanded, kuid üks neist tuleb määrata andmekaitsespetsialistiks teavitamise mõistes, st peab

kajastuma äriregistris ja olema põhikontaktiks.

Üldmääruse artikkel 38 lg 2 näeb ette, et organisatsioon peab tagama andmekaitsespetsialistile

piisavad vahendid, mis hõlmab muu hulgas ka piisavat aega oma ülesannete täitmiseks ja vajalikke

teadmisi ja koolitusi. See, kas konkreetses olukorras on andmekaitsespetsialistile need tagatud,

olenebki konkreetsetest asjaoludest.

Põhiline, mida silmas pidada on siiski see, et on teavitatud andmekaitsespetsialisti määramisest ja

tagatud, et andmekaitsespetsialist ei otsustaks oma teises tegevuses andmetöötluse eesmärkide ja

vahendite üle. Andmekaitsespetsialisti temaatikal ja huvide konfliktist leiate lähemalt AKI

välisveebis, kus kättesaadav ka suunised andmekaitseametnike kohta.

Loodan, et selgitustest on abi.

Lugupidamisega

Gunnar Gabriel Einlo

Jurist

peadirektori volitusel