Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Elis Vija

[email protected]

Teie 04.03.2026 Meie 31.03.2026 nr 2.2-9/26/874-3

Vastus selgitustaotlusele

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses vastutava töötleja rolliga

isikuandmete töötlemisel, milles küsite AKI arvamust selle kohta, kas teatud juhtudel võivad

välismaine äriühing ja filiaal üheskoos olla kaasvastutavad töötlejad ning kas teatud tingimustel

filiaal saab olla iseseisev vastutav töötleja.

Isikuandmete kaitse üldmäruse (IKÜM) art 4 p 7 kohaselt on vastutav töötleja füüsiline või

juriidiline isik, ametiasutus, asutus või muu organ, kes määrab kindlaks isikuandmete töötlemise

eesmärgid ja vahendid. Kuigi määrus ei nõua, et vastutav töötleja peab olema juriidiline isik,

peab vastutav töötleja olema faktiliselt ja õiguslikult suuteline täitma kõiki IKÜM-ist tulenevaid

kohustusi, sh vastutama art 5 lg 2 kohase vastutuse põhimõtte täitmise eest.

Euroopa Kohus1 rõhutas, et üksus, kellel puudub õigusvõime, saab olla vastutav töötleja üksnes

juhul, kui liikmesriigi õigus annab talle selgesõnaliselt nii töötlemise eesmärkide ja vahendite

määramise pädevuse kui ka vastutuse. See tähendab, et pelgalt faktiline otsustusõigus ei ole

piisav, vaid vajalik on subjekti õigusvõime. Samas rõhutab kohus, et kui üksus on pelgalt

kõrgema üksuse abiorgan, millel puudub nii iseseisev õigusvõime kui ka iseseisev vastutus, ei

saa seda käsitada eraldiseisva vastutava töötlejana.

Ka Euroopa Andmekaitsenõukogu suunistes on märgitud, et osakonnad, üksikud asutused või

muud elemendid, mis ei ole juriidiliselt iseseisvad, moodustavad tavaliselt ühe vastutava töötleja

koos juriidilise isikuga, kuhu nad kuuluvad2.

Küsimus, kas konkreetne üksus saab olla vastutav töötleja, sõltub lõppastmes ka siseriiklikust

õigusest, eelkõige sellest, kas tegemist on iseseisva õigussubjektiga, kellel on õigused ja

kohustused.

Eesti õiguse3 kohaselt ei ole filiaal iseseisev juriidiline isik ning filiaali tegevusest tulenevate

kohustuste eest vastutab välismaa äriühing. Sellest tulenevalt filiaal tegutseb äriühingu nimel,

filiaalil puudub iseseisev õigusvõime kanda vastutust andmesubjektide ees ning õigussuhted (sh

võimalikud nõuded ja vastutus) realiseeruvad äriühingu kaudu. Ehk filiaal Eesti õigussüsteemis

on käsitatav äriühingu organisatsioonilise üksusena (sarnaselt osakonnale), kes võib küll

praktiliselt osaleda töötlemise eesmärkide ja vahendite määratlemisel, kuid teeb seda äriühingu

nimel.

1 Euroopa Kohtu otsus kohtuasjas C‑638/23 2 Suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses, p 17 3 Äriseadustiku (ÄS) § 384

2 (2)

Kaasvastutavate töötlejate (IKÜM art 26) kontseptsioon eeldab, et osapooled määravad ühiselt

kindlaks töötlemise eesmärgid ja vahendid ning jaotavad vastutuse omavahel siduva

kokkuleppega. Praktikas eeldab see ka osapoolte võimet kanda vastutust ning osaleda

õigussuhetes. Filiaali puhul tuleb arvestada, et tal puudub iseseisev õigusvõime, mistõttu ei saa

ta üldjuhul olla eraldiseisev lepingupool ega vastutuse kandja väljaspool äriühingut.

Eeltoodust tulenevalt ei ole AKI hinnangul tavapäraselt põhjendatud käsitada filiaali iseseisva

vastutava töötlejana ega kaasvastutava töötlejana koos äriühinguga. Erandlikud olukorrad võivad

sõltuda konkreetsetest faktilistest asjaoludest (nt otsustusautonoomia tegelik ulatus,

organisatsiooniline korraldus), kuid ka sellisel juhul realiseerub õiguslik vastutus

andmesubjektide ees üldjuhul äriühingu kaudu.

Kokkuvõttes nõustub AKI pöördumises esitatud põhimõttelise seisukohaga, et Eesti õiguse

kontekstis tuleb filiaali käsitada eelkõige äriühingu osana, mitte iseseisva vastutava töötlejana.

Eestis registreeritud välismaise äriühingu filiaal ei saa kujuneda ei iseseisvaks vastutavaks

töötlejaks ega kaasvastutavaks töötlejaks IKÜM tähenduses.

Loodame, et meie selgitustest on abi.

Lugupidamisega

Irina Meldjuk

jurist

peadirektori volitusel