Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Meie 20.02.2026 nr 1.2.-2/26/726-1 Tähelepanu juhtimine Eestis tegutseb mitmeid infoportaale – s.o veebikeskkondi, mis koondavad ja struktureerivad erinevat teavet, tehes selle kasutajatele näiteks ka isiku nime alusel otsides hõlpsasti kättesaadavaks. Seega töötlevad infoportaalid oma tegevuse käigus ka isikuandmeid – nt juriidiliste isikute ja füüsilisest isikust ettevõtjate esindajate, omanike ja kasusaajate andmeid. Andmetöötlejate seas on levinud teadmine, et kuna taasavaldatud andmed pärinevad avalikult kättesaadavatest allikatest, siis võib seetõttu suhtuda isikuandmete kaitse nõuete järgimisse leebemalt. See aga ei vasta tõele – isikuandmete kaitse nõuded kohalduvad igal juhul, st ka avalikest allikatest (nt äriregistrist) kogutud andmete taasavaldamisel. Taasavaldajal endal peab olema õiguslik alus andmete töötlemiseks ning ta peab järgima teisi isikuandmete kaitse üldmäärusest (IKÜM) tulenevaid nõudeid ja põhimõtteid. Käesolevaga juhib Andmekaitse Inspektsioon (AKI) infoportaalide tähelepanu isikuandmete kaitse nõuete täitmise vajalikkusele oma tegevuses. - Isikuandmete kaitse nõuded kohalduvad ka juriidilise isikuga seotud füüsiliste isikute andmete avaldamisel (nt juhatuse liige, osanik, kasusaaja) ning seda ka juhul, kui need isikuandmed puudutavad vaid isiku ettevõtlusalast tegevust. IKÜM-i definitsiooni kohaselt on isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave jms (IKÜM art 4 p 1). Euroopa Kohus on seisukohal, et teave juriidilist isikut esindava füüsiliste isikute identiteedi kohta kujutab endast „isikuandmeid“ IKÜM artikli 4 punkti 1 tähenduses.1 Selliste andmete avaldamine nagu juriidilist isikut esindava füüsilise isiku eesnimi, perekonnanimi, kontaktandmed jms kuulub mõiste „töötlemise“ alla IKÜM art 4 lg 2 mõistes.2 Andmed, mis IKÜM-i kohaldamisalasse ei kuulu, on andmed, mis puudutavad üksnes juriidilisi isikuid, nt juriidilise isiku nimi ja kontaktandmed (IKÜM pp 14). Seega on juriidilise isiku esindajat puudutav teave (eesnimi, perekonnanimi, isiklikud kontaktandmed, aga ka näiteks erinev tööalane teave, mis on seotud füüsilise isikuga, nt isikupõhised skoorid, hinnangud, seosed juriidiliste isikutega jms) isikuandmed ja nende andmete töötlemine on isikuandmete töötlemine IKÜM art 4 lg 2 tähenduses. - Isikuandmete töötlemiseks peab olema õiguslik alus (IKÜM art 6 lg 1) ning töötlemine peab vastama isikuandmete töötlemise põhimõtetele (IKÜM art 5). - Varasemalt avalikustatud isikuandmete puhul on oluline rõhutada, et ka õigustatud huvi säte (IKÜM art 6 lg 1 p f) ei luba isikuandmeid taasavalikustada ilma piiranguteta. 1 EKo C-710/23, p 21-22. 2 Samas, p 30. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Avalikest allikatest kogutud isikuandmete töötlemisel (isikuandmete edasisel või uuel avaldamisel) tuginevad infoportaalid üldjuhul õigustatud huvi alusele (IKÜM art 6 lg 1 p f). Õigustatud huvile saab isikuandmete töötlemisel tugineda tingimusel, et vastutaval töötlejal või kolmandal isikul on isikuandmete avaldamiseks selline õigustatud huvi, mis ei kaalu üles andmesubjektide huve või põhiõiguseid ja -vabadusi. Kuna infoportaalid koguvad isikuandmeid eelkõige avalikest allikatest ning mitte isikult endalt, siis tuleb õigustatud huvile tuginemise võimalikkuse hindamisel mh arvesse võtta andmesubjektide mõistlikke ootusi, mis põhinevad tema suhtel vastutava töötlejaga. Andmetöötleja peab analüüsima, kas andmesubjekt võib andmete kogumise ajal ja kontekstis mõistlikkuse piires eeldada, et tema isikuandmeid võidakse hakata just sellisel otstarbel ja sellise andmetöötleja poolt töötlema. Andmesubjekti huvid ja põhiõigused võivad olla vastutava töötleja huvidest kaalukamad eelkõige juhul, kui isikuandmeid töödeldakse tingimustes, kus andmesubjekt ei saa mõistlikult eeldada edasist töötlemist (IKÜM pp 47). Ringkonnakohus on leidnud, et isikuandmete töötlemise lubamisel ei ole piisav asjaolu, et samad andmed on juba veebis avaldatud, kui seadusega ei ole nende avaldamist konkreetsele andmetöötlejale ette nähtud. Kuna andmed on seaduse alusel avaldatud (esmane avaldamine), siis tuleneb ühelt poolt, et andmesubjekti huvi andmetöötleja poolt isikuandmete mitteavaldamiseks ei saa olla kaalukas, kuna samad andmed on juba seadusest tulenevalt veebis kättesaadavad, ja teiselt poolt, et avalik ega kolmandate isikute huvi andmete korduvaks avaldamiseks andmetöötleja poolt ei saa olla sedavõrd kaalukas, kuna samu andmeid on võimalik leida veebist juba niigi.3 Kuigi isikuandmete avalik kättesaadavus võib olla arvestatav tegur, tuleb andmetöötlejal siiski vaadata, mis eesmärgil ja kuidas algne avalikustamine toimus, kas taasavalikustamine sobib esialgse eesmärgiga kokku ning kas selleks on kehtiv õiguslik alus. Samuti tuleb arvesse võtta andmesubjekti mõistlikku ootust, st kas ta võib ette näha või eeldada isikuandmete kogumisel, et neid andmeid võidakse kasutada edaspidi sellistel eesmärkidel sellise vastutava töötleja poolt. Õigustatud huvi analüüsimisel tuleb hinnata kogu isiku kohta avaldatava teabe mõju kogumis. Isegi, kui eraldi avaldatuna ei pruugi samad andmed inimese õiguseid riivata (nt pelgalt teave, millise ettevõtte juhatuse liige isik on), siis kombineerides seda muu teabega, võib see anda inimese tegevusest palju laiema pildi ning seega võib ka analüüsi tulemus olla erinev. Arvesse tuleb võtta kõiki andmesubjekti asjakohaseid huve ning hinnata, kas isikuandmete töötlemisega tekitatav mõju andmesubjektile on proportsionaalne taotletava eesmärgi suhtes. Töötlemise mõju hindamisel tuleb arvesse võtta nii positiivseid kui ka negatiivseid tagajärgi. Need võivad hõlmata võimalikke tulevasi otsuseid või meetmeid, mida võtavad kolmandad isikud, ning olukordi, kus töötlemine võib põhjustada üksikisikute tõrjumist või diskrimineerimist, maine kahjustamist või laiemalt olukordi, kus esineb maine, läbirääkimisjõu või autonoomsuse kahjustamise risk. Lisaks kahjulikele tagajärgedele, mida on konkreetselt võimalik ette näha, tuleb arvesse võtta ka laiemat emotsionaalset mõju, nagu ärritumine, hirm ja mure, mis võivad tuleneda sellest, et andmesubjektil ei ole enam võimu oma isikuandmete üle või ta saab aru, et neid on või neid võidakse kuritarvitada või seada ohtu, näiteks internetis avalikustamise kaudu.4 Seega tuleb isikuandmete taasavaldamisel arvesse võtta mitmeid olulisi nüansse – kas taasavaldamise eesmärk sobib algse andmete avaldamise eesmärgiga kokku; kas inimene võib andmete kogumise ajal mõistlikult sellist andmetöötlust ette näha ning millist mõju võib avaldatud teave kogumis inimesele avaldada. - Vastavalt isikuandmete töötlemise põhimõtetele peab isikuandmete töötlemine olema andmesubjektile läbipaistev (IKÜM art 5 lg 1 p a, IKÜM pp 39). 3 Tallinna Ringkonnakohtu otsus nr 3-2-1749 (28.05.2024), p 9. 4 AKI õigustatud huvi juhend, p 4.2. 2 (5) AKI-le saabuvate kaebuste pinnalt nähtub, et avalikult kättesaadavate isikuandmete taasavaldamine erinevates portaalides ei ole paljudele inimestele iseenesestmõistetav ning neil puudub tegelikult teave selle kohta, kus ja millistes portaalides nende andmeid töödeldakse ja avalikustatakse. Nii mõnigi AKI poole pöördunud inimene on saanud oma isikuandmete avaldamisest infoportaalis teada alles otsingumootorisse ise oma nime sisestades. AKI juhib tähelepanu, et kui andmetöötleja kogub isikuandmed avalikult kättesaadavast allikast (s.o mitte andmesubjektilt endalt), siis kohaldub IKÜM artikkel 145. See artikkel näeb ette, et andmesubjektile tuleb teha teatavaks kohane andmetöötlust puudutav teave (nt isikuandmete töötlemise eesmärk ja õiguslik alus, asjaomaste isikuandmete liigid, teave vastuvõtjate või vastuvõtjate kategooriate kohta, teave isikuandmete päritoluallika kohta jms – IKÜM art 14 lg 1, 2). Vastav teave tuleb inimesele esitada mõistliku aja jooksul pärast isikuandmete saamist, kuid hiljemalt ühe kuu jooksul (IKÜM art 14 lg 3). Teatud erandite kehtimisel ei pea vastutav töötleja inimest teavitama (IKÜM art 14 lg 5), kuid ühe varasemalt läbi viidud infoportaaliga seotud menetluse tulemusena leidis AKI, et inimeste teavitamine on vajalik. Näiteks ei oska AKI hinnangul iga ettevõtlusega tegelema hakkav inimene eeldada, et see võib endaga kaasa tuua ka tema kui füüsilise isiku kohta erinevate andmete kokku koondamise ning selle teabe avaldamise kolmandatele isikutele ärilisel eesmärgil. Andmetöötleja ei saa eeldada, et inimesel on see teave juba olemas (IKÜM art 14 lg 5 p a). Samuti ei pruugi teabe esitamine nõuda andmetöötlejalt ebaproportsionaalseid jõupingutusi (IKÜM art 14 lg 5 p b), võttes arvesse, et infoportaalide kogutavate andmete hulgas on tõenäoliselt ka juriidilisi isiku kontaktandmed, mille kaudu saab teavituse edastada ka füüsilise isikule; lisaks on andmetöötlejatel alati võimalik mõelda alternatiivsete teavitamise viiside peale (nt teavitused kodulehel vms). Lisaks eeltoodule ei ole isikuandmete saamine ja avaldamine sätestatud seaduses ega pea jääma salajaseks (IKÜM art 14 lg 5 p c, d). Seega ei ole AKI hinnangul tegemist ühegi IKÜM art 14 lõikes 5 toodud erandiga, mille tõttu võiks jõuda põhjendatud järeldusele, et inimesi ei pea teavitama nende isikuandmete kogumisest avalikest allikatest ja nende edasisest töötlemisest (avaldamisest). Juhul, kui andmetöötleja mõnele erandile siiski tugineb, tuleb tal vastavate tingimuste kehtivust vajaduse korral ka tõendada. - Kui andmetöötlejale esitatakse isikuandmete kustutamise nõue (IKÜM art 17), peab andmetöötleja selle IKÜM-i nõuetele vastavalt lahendama. - IKÜM art 21 lg 1 järgi on andmesubjektil õigus igal ajal esitada vastuväiteid teda puudutavate isikuandmete töötlemise suhtes, mis toimub õigustatud huvi alusel. Vastuväite saamisel ei tohi vastutav töötleja andmeid edasi töödelda, v.a. juhul, kui ta tõendab, et isikuandmeid töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused. Andmetöötleja saab keelduda kustutamistaotluse rahuldamisest, mis on esitatud IKÜM art 17 lg 1 punkti c alusel viitega IKÜM artiklile 21 lg 1, kui tõendab, et ta töötleb isikuandmeid mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused või õigusnõude koostamise, esitamise või kaitsmise eesmärgil. AKI rõhutab siinkohal, et andmetöötleja ei saa n-ö etteulatuvalt otsustada, et kui andmete töötlemine oli esialgse õigustatud huvi analüüsi põhjal lubatav, siis kehtib sama ka iga vastuväite puhul. Andmetöötleja peab igas saadud vastuväites esile toodud argumente hindama ja täiendavalt kaaluma. Sealjuures peaks ka andmesubjekt oma vastuväidet vajalikul määral põhjendama, tuues välja kas „isiklikud, sotsiaalsed või ametialased põhjendused vastuväite esitamisel“6. Samas on Euroopa Andmekaitsenõukogu õigustatud huvi suunistes selgitanud, et asjaolu, kus 5 Suunised määruse 2016/679 kohase läbipaistvuse kohta, p 26, lk 15. 6 Papakonstantinou, V., De Hert, P., Indra Spiecker gen. Döhmann (toim.). General Data Protection Regulation. Article-by-Article Commentary. Nomos/Hart 2023.Art 21, p 11. 3 (5) andmesubjekt ei ole oma „konkreetsest olukorrast“ vastuväites pikemalt kirjutanud, ei ole iseenesest piisav, et vastuväide tagasi lükata. Kui vastutaval töötlejal on kahtlusi andmesubjekti „konkreetse olukorra“ osas, võib ta paluda andmesubjektil taotlust täpsustada.7 Ka IKÜM art 12 lõikest 2 tuleneb andmetöötlejale kohustus aidata kaasa IKÜM artiklite 15–22 kohaste andmesubjekti õiguste kasutamisele (sh vastuväite saamisel). Samuti on Riigikohus oma hiljutises lahendis leidnud, et isikuandmeid võib pärast vastuväite lahendamist jätkuvalt töödelda üksnes mõjuval või ülekaalukal põhjusel. /…/ Selleks, et andmesubjekt teaks IKÜM art 21 lõikest 1 tulenevat tõendamiskohustust ega jätaks teadmatuse tõttu asjakohaseid asjaolusid esile toomata, tuleb vastutaval töötlejal täita tal lasuvat selgituskohtustust.8 Seega peavad andmetöötlejal olema veenvad argumendid juhul, kui ta otsustab vastuväite tagasi lükata. Pelgalt asjaolu, et töötlemine on vastutavale töötlejale kasulik või soodne, ei pruugi olla piisav selle künnise täitmiseks. Veenvate õiguspäraste argumentide olemasolu tuleb hinnata iga juhtumi puhul eraldi ning see peab olema seotud konkreetse vastuväitega.9 - Isikuandmete säilitamiseks tuleb andmetöötlejal määrata tähtaeg või tähtaja määramise kriteeriumid, st isikuandmeid sisaldavad profiile vms kogumeid ei saa avaldada tähtajatult. Üks IKÜM-i põhimõtetest on, et isikuandmeid tohib säilitada, kuni on vajalik selle eesmärgi täitmiseks, milleks neid töödeldakse (IKÜM art 5 lg 1 punkt e). IKÜM pp 39 järgi peab selle tagamiseks, et isikuandmeid ei säilitataks vajalikust kauem, määrama vastutav töötleja kindlaks tähtajad andmete kustutamiseks või perioodiliseks läbivaatamiseks. AKI hinnangul ei ole põhjendatud, et isikuandmeid avaldatakse määratlemata isikute ringile tähtajatult. Näiteks puudub isikuandmete säilitamise vajadus olukordades, kus juriidilise isiku tegevus lõpeb, füüsilisel isikul puudub esindusõigus jms. Kolmandatel isikutel puudub vajadus tutvuda selliste isikuandmetega. Isikuandmete tähtajatut avaldamist ei saa pidada säilitamise piirangu põhimõttega kooskõlas olevaks, kuivõrd andmete avaldamise algne eesmärk on ajakohase info jagamine ning isikuandmete avaldamine määratlemata aja jooksul (nt peale juriidilise isiku lõppemist) ei täida seda eesmärki. Seega on vajalik ka juriidilise isikuga seotud füüsiliste isikute isikuandmete töötlemisel määratleda, mil moel hoiavad infoportaalid oma teavet ajakohasena, kui kaua andmeid portaalis avaldatakse ning säilitatakse. Kokkuvõte - Juriidiliste isikute esindajate (st juriidilise isikuga seotud füüsiliste isikute) andmete töötlemisele kehtivad isikuandmete kaitse reeglid. Isikuandmete taasavaldajal (antud juhul infoportaalil) peab olema õiguspärane alus andmete töötlemiseks ning ta peab järgima kõiki IKÜM-ist tulenevaid kohustusi ja põhimõtteid isikuandmete töötlemisel. - Tuleb silmas pidada, et õigustatud huvi saab olla töötlemise aluseks üksnes siis, kui vastutaval töötlejal või kolmandal isikul on andmete avaldamiseks selline õigustatud huvi, mis ei kahjusta andmesubjekti õigusi, vabadusi ega huve. Õigustatud huvi kaalumisel tuleb arvesse võtta isiku kohta avaldatava teabe võimalikku mõju inimesele kogumis. - Kui andmetöötleja kogub isikuandmeid avalikest allikatest (ehk mitte otse inimeselt), kohaldub IKÜM artikkel 14, mis nõuab, et andmesubjektile edastatakse asjakohane teave andmetöötluse kohta. 7 Euroopa Andmekaitsenõukogu suunised. Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, p 71. 8 RKo 3-23-1409 (30.01.2026), p 15.2, 16. 9 Euroopa Andmekaitsenõukogu suunised. Guidelines 1/2024 on processing of personal data based on Article 6(1)(f) GDPR, p 73. 4 (5) - Vastuväidete esitamise osas rõhutab AKI, et iga vastuväidet tuleb eraldi hinnata ja kaaluda inimese esitatud argumente, vajadusel täpsustada ning selgitada välja vastavad asjaolud. - Isikuandmeid sisaldavaid profiile või muid koondandmeid ei tohi avaldada tähtajatult. Käesolevale tähelepanu juhtimisele Andmekaitse Inspektsioon vastust ei oota. Ühtlasi selgitab AKI, et tähelepanu juhtimine ei ole tingitud konkreetsete andmetöötlejate tegevuste puudujääkide tõttu, vaid eesmärgiga rõhutada olulisemaid nüansse. Lugupidamisega Annika Kaljula jurist peadirektori volitusel 5 (5)