Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Meie 20.02.2026 nr 1.2.-2/26/726-1

Tähelepanu juhtimine

Eestis tegutseb mitmeid infoportaale – s.o veebikeskkondi, mis koondavad ja struktureerivad

erinevat teavet, tehes selle kasutajatele näiteks ka isiku nime alusel otsides hõlpsasti

kättesaadavaks. Seega töötlevad infoportaalid oma tegevuse käigus ka isikuandmeid – nt

juriidiliste isikute ja füüsilisest isikust ettevõtjate esindajate, omanike ja kasusaajate andmeid.

Andmetöötlejate seas on levinud teadmine, et kuna taasavaldatud andmed pärinevad avalikult

kättesaadavatest allikatest, siis võib seetõttu suhtuda isikuandmete kaitse nõuete järgimisse

leebemalt. See aga ei vasta tõele – isikuandmete kaitse nõuded kohalduvad igal juhul, st ka

avalikest allikatest (nt äriregistrist) kogutud andmete taasavaldamisel. Taasavaldajal endal peab

olema õiguslik alus andmete töötlemiseks ning ta peab järgima teisi isikuandmete kaitse

üldmäärusest (IKÜM) tulenevaid nõudeid ja põhimõtteid. Käesolevaga juhib Andmekaitse

Inspektsioon (AKI) infoportaalide tähelepanu isikuandmete kaitse nõuete täitmise vajalikkusele

oma tegevuses.

- Isikuandmete kaitse nõuded kohalduvad ka juriidilise isikuga seotud füüsiliste isikute

andmete avaldamisel (nt juhatuse liige, osanik, kasusaaja) ning seda ka juhul, kui need

isikuandmed puudutavad vaid isiku ettevõtlusalast tegevust.

IKÜM-i definitsiooni kohaselt on isikuandmeteks igasugune teave tuvastatud või tuvastatava

füüsilise isiku kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada,

eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave jms (IKÜM

art 4 p 1). Euroopa Kohus on seisukohal, et teave juriidilist isikut esindava füüsiliste isikute

identiteedi kohta kujutab endast „isikuandmeid“ IKÜM artikli 4 punkti 1 tähenduses.1 Selliste

andmete avaldamine nagu juriidilist isikut esindava füüsilise isiku eesnimi, perekonnanimi,

kontaktandmed jms kuulub mõiste „töötlemise“ alla IKÜM art 4 lg 2 mõistes.2 Andmed, mis

IKÜM-i kohaldamisalasse ei kuulu, on andmed, mis puudutavad üksnes juriidilisi isikuid, nt

juriidilise isiku nimi ja kontaktandmed (IKÜM pp 14). Seega on juriidilise isiku esindajat puudutav

teave (eesnimi, perekonnanimi, isiklikud kontaktandmed, aga ka näiteks erinev tööalane teave, mis

on seotud füüsilise isikuga, nt isikupõhised skoorid, hinnangud, seosed juriidiliste isikutega jms)

isikuandmed ja nende andmete töötlemine on isikuandmete töötlemine IKÜM art 4 lg 2

tähenduses.

- Isikuandmete töötlemiseks peab olema õiguslik alus (IKÜM art 6 lg 1) ning töötlemine

peab vastama isikuandmete töötlemise põhimõtetele (IKÜM art 5).

- Varasemalt avalikustatud isikuandmete puhul on oluline rõhutada, et ka õigustatud huvi

säte (IKÜM art 6 lg 1 p f) ei luba isikuandmeid taasavalikustada ilma piiranguteta.

1 EKo C-710/23, p 21-22. 2 Samas, p 30.

2 (5)

Avalikest allikatest kogutud isikuandmete töötlemisel (isikuandmete edasisel või uuel

avaldamisel) tuginevad infoportaalid üldjuhul õigustatud huvi alusele (IKÜM art 6 lg 1 p f).

Õigustatud huvile saab isikuandmete töötlemisel tugineda tingimusel, et vastutaval töötlejal või

kolmandal isikul on isikuandmete avaldamiseks selline õigustatud huvi, mis ei kaalu üles

andmesubjektide huve või põhiõiguseid ja -vabadusi. Kuna infoportaalid koguvad isikuandmeid

eelkõige avalikest allikatest ning mitte isikult endalt, siis tuleb õigustatud huvile tuginemise

võimalikkuse hindamisel mh arvesse võtta andmesubjektide mõistlikke ootusi, mis põhinevad

tema suhtel vastutava töötlejaga. Andmetöötleja peab analüüsima, kas andmesubjekt võib andmete

kogumise ajal ja kontekstis mõistlikkuse piires eeldada, et tema isikuandmeid võidakse hakata just

sellisel otstarbel ja sellise andmetöötleja poolt töötlema. Andmesubjekti huvid ja põhiõigused

võivad olla vastutava töötleja huvidest kaalukamad eelkõige juhul, kui isikuandmeid töödeldakse

tingimustes, kus andmesubjekt ei saa mõistlikult eeldada edasist töötlemist (IKÜM pp 47).

Ringkonnakohus on leidnud, et isikuandmete töötlemise lubamisel ei ole piisav asjaolu, et samad

andmed on juba veebis avaldatud, kui seadusega ei ole nende avaldamist konkreetsele

andmetöötlejale ette nähtud. Kuna andmed on seaduse alusel avaldatud (esmane avaldamine), siis

tuleneb ühelt poolt, et andmesubjekti huvi andmetöötleja poolt isikuandmete mitteavaldamiseks ei

saa olla kaalukas, kuna samad andmed on juba seadusest tulenevalt veebis kättesaadavad, ja teiselt

poolt, et avalik ega kolmandate isikute huvi andmete korduvaks avaldamiseks andmetöötleja poolt

ei saa olla sedavõrd kaalukas, kuna samu andmeid on võimalik leida veebist juba niigi.3

Kuigi isikuandmete avalik kättesaadavus võib olla arvestatav tegur, tuleb andmetöötlejal siiski

vaadata, mis eesmärgil ja kuidas algne avalikustamine toimus, kas taasavalikustamine sobib

esialgse eesmärgiga kokku ning kas selleks on kehtiv õiguslik alus. Samuti tuleb arvesse võtta

andmesubjekti mõistlikku ootust, st kas ta võib ette näha või eeldada isikuandmete kogumisel, et

neid andmeid võidakse kasutada edaspidi sellistel eesmärkidel sellise vastutava töötleja poolt.

Õigustatud huvi analüüsimisel tuleb hinnata kogu isiku kohta avaldatava teabe mõju kogumis.

Isegi, kui eraldi avaldatuna ei pruugi samad andmed inimese õiguseid riivata (nt pelgalt teave,

millise ettevõtte juhatuse liige isik on), siis kombineerides seda muu teabega, võib see anda

inimese tegevusest palju laiema pildi ning seega võib ka analüüsi tulemus olla erinev. Arvesse

tuleb võtta kõiki andmesubjekti asjakohaseid huve ning hinnata, kas isikuandmete töötlemisega

tekitatav mõju andmesubjektile on proportsionaalne taotletava eesmärgi suhtes. Töötlemise mõju

hindamisel tuleb arvesse võtta nii positiivseid kui ka negatiivseid tagajärgi. Need võivad hõlmata

võimalikke tulevasi otsuseid või meetmeid, mida võtavad kolmandad isikud, ning olukordi, kus

töötlemine võib põhjustada üksikisikute tõrjumist või diskrimineerimist, maine kahjustamist või

laiemalt olukordi, kus esineb maine, läbirääkimisjõu või autonoomsuse kahjustamise risk. Lisaks

kahjulikele tagajärgedele, mida on konkreetselt võimalik ette näha, tuleb arvesse võtta ka laiemat

emotsionaalset mõju, nagu ärritumine, hirm ja mure, mis võivad tuleneda sellest, et andmesubjektil

ei ole enam võimu oma isikuandmete üle või ta saab aru, et neid on või neid võidakse kuritarvitada

või seada ohtu, näiteks internetis avalikustamise kaudu.4

Seega tuleb isikuandmete taasavaldamisel arvesse võtta mitmeid olulisi nüansse – kas

taasavaldamise eesmärk sobib algse andmete avaldamise eesmärgiga kokku; kas inimene võib

andmete kogumise ajal mõistlikult sellist andmetöötlust ette näha ning millist mõju võib avaldatud

teave kogumis inimesele avaldada.

- Vastavalt isikuandmete töötlemise põhimõtetele peab isikuandmete töötlemine olema

andmesubjektile läbipaistev (IKÜM art 5 lg 1 p a, IKÜM pp 39).

3 Tallinna Ringkonnakohtu otsus nr 3-2-1749 (28.05.2024), p 9. 4 AKI õigustatud huvi juhend, p 4.2.

3 (5)

AKI-le saabuvate kaebuste pinnalt nähtub, et avalikult kättesaadavate isikuandmete

taasavaldamine erinevates portaalides ei ole paljudele inimestele iseenesestmõistetav ning neil

puudub tegelikult teave selle kohta, kus ja millistes portaalides nende andmeid töödeldakse ja

avalikustatakse. Nii mõnigi AKI poole pöördunud inimene on saanud oma isikuandmete

avaldamisest infoportaalis teada alles otsingumootorisse ise oma nime sisestades.

AKI juhib tähelepanu, et kui andmetöötleja kogub isikuandmed avalikult kättesaadavast allikast

(s.o mitte andmesubjektilt endalt), siis kohaldub IKÜM artikkel 145. See artikkel näeb ette, et

andmesubjektile tuleb teha teatavaks kohane andmetöötlust puudutav teave (nt isikuandmete

töötlemise eesmärk ja õiguslik alus, asjaomaste isikuandmete liigid, teave vastuvõtjate või

vastuvõtjate kategooriate kohta, teave isikuandmete päritoluallika kohta jms – IKÜM art 14 lg 1,

2). Vastav teave tuleb inimesele esitada mõistliku aja jooksul pärast isikuandmete saamist, kuid

hiljemalt ühe kuu jooksul (IKÜM art 14 lg 3).

Teatud erandite kehtimisel ei pea vastutav töötleja inimest teavitama (IKÜM art 14 lg 5), kuid ühe

varasemalt läbi viidud infoportaaliga seotud menetluse tulemusena leidis AKI, et inimeste

teavitamine on vajalik. Näiteks ei oska AKI hinnangul iga ettevõtlusega tegelema hakkav inimene

eeldada, et see võib endaga kaasa tuua ka tema kui füüsilise isiku kohta erinevate andmete kokku

koondamise ning selle teabe avaldamise kolmandatele isikutele ärilisel eesmärgil. Andmetöötleja

ei saa eeldada, et inimesel on see teave juba olemas (IKÜM art 14 lg 5 p a). Samuti ei pruugi teabe

esitamine nõuda andmetöötlejalt ebaproportsionaalseid jõupingutusi (IKÜM art 14 lg 5 p b), võttes

arvesse, et infoportaalide kogutavate andmete hulgas on tõenäoliselt ka juriidilisi isiku

kontaktandmed, mille kaudu saab teavituse edastada ka füüsilise isikule; lisaks on andmetöötlejatel

alati võimalik mõelda alternatiivsete teavitamise viiside peale (nt teavitused kodulehel vms).

Lisaks eeltoodule ei ole isikuandmete saamine ja avaldamine sätestatud seaduses ega pea jääma

salajaseks (IKÜM art 14 lg 5 p c, d). Seega ei ole AKI hinnangul tegemist ühegi IKÜM art 14

lõikes 5 toodud erandiga, mille tõttu võiks jõuda põhjendatud järeldusele, et inimesi ei pea

teavitama nende isikuandmete kogumisest avalikest allikatest ja nende edasisest töötlemisest

(avaldamisest). Juhul, kui andmetöötleja mõnele erandile siiski tugineb, tuleb tal vastavate

tingimuste kehtivust vajaduse korral ka tõendada.

- Kui andmetöötlejale esitatakse isikuandmete kustutamise nõue (IKÜM art 17), peab

andmetöötleja selle IKÜM-i nõuetele vastavalt lahendama.

- IKÜM art 21 lg 1 järgi on andmesubjektil õigus igal ajal esitada vastuväiteid teda

puudutavate isikuandmete töötlemise suhtes, mis toimub õigustatud huvi alusel.

Vastuväite saamisel ei tohi vastutav töötleja andmeid edasi töödelda, v.a. juhul, kui ta

tõendab, et isikuandmeid töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles

andmesubjekti huvid, õigused ja vabadused.

Andmetöötleja saab keelduda kustutamistaotluse rahuldamisest, mis on esitatud IKÜM art 17 lg 1

punkti c alusel viitega IKÜM artiklile 21 lg 1, kui tõendab, et ta töötleb isikuandmeid mõjuval

õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused või õigusnõude

koostamise, esitamise või kaitsmise eesmärgil. AKI rõhutab siinkohal, et andmetöötleja ei saa n-ö

etteulatuvalt otsustada, et kui andmete töötlemine oli esialgse õigustatud huvi analüüsi põhjal

lubatav, siis kehtib sama ka iga vastuväite puhul. Andmetöötleja peab igas saadud vastuväites esile

toodud argumente hindama ja täiendavalt kaaluma. Sealjuures peaks ka andmesubjekt oma

vastuväidet vajalikul määral põhjendama, tuues välja kas „isiklikud, sotsiaalsed või ametialased

põhjendused vastuväite esitamisel“6.

Samas on Euroopa Andmekaitsenõukogu õigustatud huvi suunistes selgitanud, et asjaolu, kus

5 Suunised määruse 2016/679 kohase läbipaistvuse kohta, p 26, lk 15. 6 Papakonstantinou, V., De Hert, P., Indra Spiecker gen. Döhmann (toim.). General Data Protection Regulation.

Article-by-Article Commentary. Nomos/Hart 2023.Art 21, p 11.

4 (5)

andmesubjekt ei ole oma „konkreetsest olukorrast“ vastuväites pikemalt kirjutanud, ei ole

iseenesest piisav, et vastuväide tagasi lükata. Kui vastutaval töötlejal on kahtlusi andmesubjekti

„konkreetse olukorra“ osas, võib ta paluda andmesubjektil taotlust täpsustada.7 Ka IKÜM art 12

lõikest 2 tuleneb andmetöötlejale kohustus aidata kaasa IKÜM artiklite 15–22 kohaste

andmesubjekti õiguste kasutamisele (sh vastuväite saamisel). Samuti on Riigikohus oma hiljutises

lahendis leidnud, et isikuandmeid võib pärast vastuväite lahendamist jätkuvalt töödelda üksnes

mõjuval või ülekaalukal põhjusel. /…/ Selleks, et andmesubjekt teaks IKÜM art 21 lõikest 1

tulenevat tõendamiskohustust ega jätaks teadmatuse tõttu asjakohaseid asjaolusid esile toomata,

tuleb vastutaval töötlejal täita tal lasuvat selgituskohtustust.8

Seega peavad andmetöötlejal olema veenvad argumendid juhul, kui ta otsustab vastuväite tagasi

lükata. Pelgalt asjaolu, et töötlemine on vastutavale töötlejale kasulik või soodne, ei pruugi olla

piisav selle künnise täitmiseks. Veenvate õiguspäraste argumentide olemasolu tuleb hinnata iga

juhtumi puhul eraldi ning see peab olema seotud konkreetse vastuväitega.9

- Isikuandmete säilitamiseks tuleb andmetöötlejal määrata tähtaeg või tähtaja määramise

kriteeriumid, st isikuandmeid sisaldavad profiile vms kogumeid ei saa avaldada

tähtajatult.

Üks IKÜM-i põhimõtetest on, et isikuandmeid tohib säilitada, kuni on vajalik selle eesmärgi

täitmiseks, milleks neid töödeldakse (IKÜM art 5 lg 1 punkt e). IKÜM pp 39 järgi peab selle

tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, määrama vastutav töötleja kindlaks

tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks.

AKI hinnangul ei ole põhjendatud, et isikuandmeid avaldatakse määratlemata isikute ringile

tähtajatult. Näiteks puudub isikuandmete säilitamise vajadus olukordades, kus juriidilise isiku

tegevus lõpeb, füüsilisel isikul puudub esindusõigus jms. Kolmandatel isikutel puudub vajadus

tutvuda selliste isikuandmetega. Isikuandmete tähtajatut avaldamist ei saa pidada säilitamise

piirangu põhimõttega kooskõlas olevaks, kuivõrd andmete avaldamise algne eesmärk on

ajakohase info jagamine ning isikuandmete avaldamine määratlemata aja jooksul (nt peale

juriidilise isiku lõppemist) ei täida seda eesmärki.

Seega on vajalik ka juriidilise isikuga seotud füüsiliste isikute isikuandmete töötlemisel

määratleda, mil moel hoiavad infoportaalid oma teavet ajakohasena, kui kaua andmeid portaalis

avaldatakse ning säilitatakse.

Kokkuvõte

- Juriidiliste isikute esindajate (st juriidilise isikuga seotud füüsiliste isikute) andmete

töötlemisele kehtivad isikuandmete kaitse reeglid. Isikuandmete taasavaldajal (antud juhul

infoportaalil) peab olema õiguspärane alus andmete töötlemiseks ning ta peab järgima kõiki

IKÜM-ist tulenevaid kohustusi ja põhimõtteid isikuandmete töötlemisel.

- Tuleb silmas pidada, et õigustatud huvi saab olla töötlemise aluseks üksnes siis, kui vastutaval

töötlejal või kolmandal isikul on andmete avaldamiseks selline õigustatud huvi, mis ei

kahjusta andmesubjekti õigusi, vabadusi ega huve. Õigustatud huvi kaalumisel tuleb arvesse

võtta isiku kohta avaldatava teabe võimalikku mõju inimesele kogumis.

- Kui andmetöötleja kogub isikuandmeid avalikest allikatest (ehk mitte otse inimeselt),

kohaldub IKÜM artikkel 14, mis nõuab, et andmesubjektile edastatakse asjakohane teave

andmetöötluse kohta.

7 Euroopa Andmekaitsenõukogu suunised. Guidelines 1/2024 on processing of personal data based on Article 6(1)(f)

GDPR, p 71. 8 RKo 3-23-1409 (30.01.2026), p 15.2, 16. 9 Euroopa Andmekaitsenõukogu suunised. Guidelines 1/2024 on processing of personal data based on Article 6(1)(f)

GDPR, p 73.

5 (5)

- Vastuväidete esitamise osas rõhutab AKI, et iga vastuväidet tuleb eraldi hinnata ja kaaluda

inimese esitatud argumente, vajadusel täpsustada ning selgitada välja vastavad asjaolud.

- Isikuandmeid sisaldavaid profiile või muid koondandmeid ei tohi avaldada tähtajatult.

Käesolevale tähelepanu juhtimisele Andmekaitse Inspektsioon vastust ei oota. Ühtlasi selgitab

AKI, et tähelepanu juhtimine ei ole tingitud konkreetsete andmetöötlejate tegevuste puudujääkide

tõttu, vaid eesmärgiga rõhutada olulisemaid nüansse.

Lugupidamisega

Annika Kaljula

jurist

peadirektori volitusel