Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lävel Uksetehas OÜ

Teie 15.01.2026 Meie 04.02.2026 nr 2.2-9/26/177-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse seoses ettevõttes tööaja arvestuse

korraldamisega, sh biomeetriliste andmete kasutamisel tööajaregistreerimise tarkvaras, ning

kuidas toimida olukorras, kus mõned töötajad keelduvad tööaega registreerimast.

Esmalt selgitame, et AKI ei saa selgitustaotlusele vastates anda konkreetset siduvat õiguslikku

hinnangut, see on võimalik ainult järelevalvemenetluses. Seetõttu anname Teile üldised selgitused

tööaja arvestuse pidamise ning biomeetriliste andmete töötlemise kohta töösuhetes.

Igasuguseks isikuandmete töötlemiseks (sh andmete vaatamine, kogumine, säilitamine jne) peab

lähtuvalt isikuandmete kaitse üldmääruse1 (IKÜM) artiklist 6 esinema õiguslik alus. Olukorras,

kus tegemist on eriliigiliste isikuandmete (sh biomeetriliste andmete) töötlemisega, peab lisaks

artiklile 6 esinema ka üks artiklis 9 sätestatud eranditest ning muul juhul on eriliigiliste andmete

töötlemine keelatud.

Töösuhetes töödeldakse töötaja isikuandmeid erinevatel õiguslikel alustel – kõige sagedamini

lepingu täitmiseks, tööandjale seadusest tulenevate kohustuste täitmiseks ning olenevalt

konkreetsetest tööprotsessidest ka õigustatud huvi alusel. Tööaja arvestuse pidamise kohustus on

tööandjale pandud töölepingu seadusega2, kuid seadus ei sätesta täpset viisi, kuidas seda teha.

Seetõttu võib tööandja valida sobiva meetodi tingimusel, et see vastab IKÜM-i nõuetele.

Kui pääsusüsteemi kasutamine töökohale ligipääsuks võib olla vajalik töölepingu täitmiseks, siis

sellise süsteemi logide kasutamine tööajaarvestuse eesmärgil eeldab tööandjalt eraldi

proportsionaalsuse hindamist ning osapoolte huvide kaalumist. Selle tulemusena tuleb koostada

õigustatud huvi analüüs (IKÜM art 6 lg 1 punkt f)3. Elektroonilise pääsusüsteemi logid

võimaldavad töötajate liikumise jälgimist ja seetõttu on tegemist olemuslikult jälgimismeetmega.

Sellest tulenevalt peab tööandja hindama, kas tööaja arvestuse kohustuse täitmiseks on olemas

vähem riivavaid lahendusi, näiteks eraldiseisev tööajaarvestussüsteem või tööajatabel. Kui

eesmärk on saavutatav mõne meetmega, mis töötajate õigusi vähem riivab, ei ole

juurdepääsusüsteemi logide kasutamine tööaja arvestuseks proportsionaalne. Tööandja peab

austama töötaja privaatsust ning valima tööülesannete täitmise kontrollimiseks meetmed, mis

kahjustavad töötaja õigusi võimalikult vähe, ning tagama, et andmete töötlemiseks peab tööandjal

olema sobiv õiguslik alus.4

1 Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679. 2 TLS § 28 lg 2 punkt 4 3 Seda, kuidas õigustatud huvi täpselt hinnata, on AKI selgitanud eraldi õigustatud huvi juhendis. Õigustatud huvi

analüüs peab sisalduma ettevõtte andmekaitsetingimustes või olema töötajatele muul viisil kättesaadav. 4 Vt ka TLS § 28 lg 2 punkt 11.

2 (3)

Töötajate isikuandmete töötlemisel peab tööandja järgima IKÜM-is sätestatud põhimõtteid,

sealhulgas läbipaistvuse, eesmärgipärasuse ja minimaalsuse põhimõtet. Käesolevas kontekstis

tähendab see muu hulgas, et kui pääsusüsteemi kasutatakse esmajoones volitamata isikute

juurdepääsu piiramiseks, ei või sama süsteemi logisid automaatselt kasutada tööaja arvestamiseks

või tööajast kinnipidamise kontrollimiseks. Olenemata sellest, millist registreerimisviisi töötaja

kasutab, peab tööandja tagama töötlemise läbipaistvuse ning esitama enne andmetöötluse algust

selge ja kirjaliku teavituse selle kohta, milliseid andmeid töödeldakse, mis eesmärgil, mis

õiguslikul alusel, kuidas andmeid säilitatakse, kellele neid edastatakse ja millised on töötajate

õigused. Tööandjal peab olema võimalik hiljem tõendada, et see teave on töötajatele edastatud.

Praktikas on teavitamiskohustuse täitmise kõige lihtsam viis integreerida andmetöötluse

tingimused töökorralduse reeglitesse või muusse sisekorra dokumentatsiooni, mis on töötajatele

igal ajal kättesaadav.

Põhimõtete kohta saab täpsemalt lugeda siit Andmetöötluse põhimõtted | Andmekaitse

Inspektsioon.

Seoses biomeetrilise tööajaarvestussüsteemiga selgitame, et juhul kui töötaja tuvastamiseks

kasutatakse tehnilist vahendit, mis kontrollib konkreetseid füsioloogilisi tunnuseid (nt sõrmejälgi

või näokujutist) eesmärgiga isik üheselt tuvastada ja tööaega registreerida, kuulub selline

andmetöötlus IKÜM artikli 9 kohaldamisalasse.

Kuna biomeetriline andmetöötlus ei ole lubatud lepingu täitmise eesmärgil ning kehtiv seadus ei

anna tööandjale õigust töödelda töötaja biomeetrilisi andmeid tööaja arvestuseks või

ligipääsukontrolliks, saab selline töötlemine toimuda ainult töötaja nõusolekul. Nõusolek peab

olema vabatahtlik, konkreetne, teadlik ja ühemõtteline ning selle olemasolu tõendamise kohustus

lasub tööandjal. Enne nõusoleku andmist tuleb töötajat teavitada õigusest nõusolek igal ajal tagasi

võtta.5

Juhime tähelepanu, et töösuhetes on üldiselt nõusoleku alusele tuginemine problemaatiline poolte

vahel valitseva võimude tasakaalutuse tõttu, kuna töötaja on alluvussuhtes. Seetõttu peab tööandja

eriliigiliste isikuandmete töötlemisel olema eriti hoolikas ning tagama, et biomeetriliste andmete

kasutamine oleks tegelikult vabatahtlik. Töötajal peab olema reaalne võimalus otsustada, kas ta

soovib kasutada tööaja arvestuseks biomeetrilist tuvastust, ning alati peab olema olemas

alternatiivne, mitte-biomeetriline tööaja registreerimise viis (nt kiipkaart, PIN-kood või muu

elektrooniline võti).6 Kui alternatiiv puudub või seda ei ole võimalik töötajal tegelikult kasutada,

ei saa nõusolekut pidada vabatahtlikuks. Samuti peab töötajal olema võimalus igal ajal loobuda

biomeetrilise tuvastuse kasutamisest.

Nõusoleku tingimustest põhjalikumalt saab lugeda siit Nõusolek | Andmekaitse Inspektsioon.

Lisaks nõuab biomeetriline tuvastuse kasutuselevõtt sellega kaasneva mõju hindamist töötajate

isikuandmete kaitsele. See tähendab, et enne biomeetrilise töötlemise alustamist tuleb tööandjal

koostada IKÜM artikli 35 kohane andmekaitsealane mõjuhinnang. Seda tuleb teha ka juhul, kui

töötlemise õiguslikuks aluseks on töötaja nõusolek.

Mõjuhinnangust täpsemalt saab lugeda AKI kodulehe rubriigist Mõjuhinnang | Andmekaitse

Inspektsioon.

Kokkuvõttes on elektrooniline tööajaarvestus lubatud ning tööandjal on kohustus tööaja arvestust

pidada. Samas peab tööandja tööajaarvestuse süsteemi valikut ja andmetöötluse meetmeid

5 IKÜM art 4 punkt 11, artikkel 7 ja põhjenduspunkt 32. 6 Euroopa Andmekaitsenõukogu suunised 3/2019 isikuandmete töötlemise kohta videoseadmetes. Versioon 2.0 Vastu

võetud 29.01.2020. Lk 20, p 86.

3 (3)

põhjalikult läbi kaaluma, tagama meetme proportsionaalsuse, pakkuma välja vähem riivavaid

alternatiive ning täitma IKÜM-ist tulenevad läbipaistvuse ja teavitamise nõuded. Kui töötaja

keeldub ka mittebiomeetrilisest tööaja registreerimisest, on tegemist tööõigusliku küsimusega,

mille lahendamine ei kuulu Andmekaitse Inspektsiooni pädevusse. Sellisel juhul soovitame

selgituste saamiseks pöörduda Tööinspektsiooni poole. Teabe nõustamisvõimaluste kohta leiab

Tööinspektsiooni veebilehelt siit Tööinspektsiooni nõustamisteenus | Tööinspektsioon.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Jekaterina Aader

jurist

peadirektori volitusel