Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Tatjana Dobolina Teie 05.01.2026 [email protected] Meie 23.01.2026 nr 2.2-9/26/3494-7 Vastus selgitustaotlusele Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse, milles küsite, kas tööandjal on õigus nõuda töötajatelt fotot, et edastada see partnerettevõttele töötajate territooriumile lubamiseks ning kas elutähtsa teenuse osutaja staatus, hädaolukorra seadus või leping annab aluse andmeid töödelda. Lisaks, kas töötajat saab karistada, kui ta keeldub foto esitamisest või tuleb keeldumist käsitleda töötaja õiguspärase vastuväitena isikuandmete töötlemisele. Küsite veel, kas konkreetselt juhul 5-aastane läbipääsulogide säilitustähtaeg on kooskõlas IKÜM säilitamise piirangu põhimõttega. Esmalt selgitame, et märgukirjale ja selgitustaotlusele vastamist reguleerib märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seadus (edaspidi MSVS). MSVS §-st 3 tulenevalt on Andmekaitse Inspektsioonil kohustus anda õigusalaseid selgitusi inspektsiooni tegevuse aluseks olevate õigusaktide ja asutuse pädevuse kohta. Õigusalaste selgituste andmine ei tähenda õigusabi andmist. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang. Inspektsioon ei osuta õigusabi. Seega, AKI ei saa anda konkreetsele juhtumile siduvat õiguslikku hinnangut, vaid saame selgitada üldiselt andmekaitsenõudeid. Lisaks ei saa me sekkuda lepinguõiguslikesse vaidlustesse, selles osas on võimalik pöörduda õigusnõustaja poole. Antud juhul on isikuandmete töötlemiseks fotode kogumine ja edastamine partnerettevõttele, et võimaldada töötajatele territooriumile läbipääsu isikustatud läbipääsu kaartide abil. Isikuandmete töötlemine peab alati põhinema konkreetsel õiguslikul alusel (õiguslikud alused tulenevad peamiselt IKÜM-i artiklist 6). Õiguslikud alused võivad tuleneda ka eriseadustest ning sellisel juhul peaks parterettevõte selle konkreetse õigusliku aluse välja tooma. AKI hinnangul ei anna hädaolukorra seadus, leping tellijaga või elutähtsa teenuse osutaja staatus eraldi õiguslikku alust konkreetselt töötaja fotode kogumiseks ja edastamiseks, küll aga saab selline andmetöötlus olla võimalik õigustatud huvi alusel, st isikuandmete kaitse üldmääruse artikkel 6 punkt f, millele ettevõte on ka viidanud. See sätestab, et „isikuandmete töötlemine on seaduslik üksnes juhul, kui see on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid“. Seega on võimalik, et eespoolnimetatud õigusaktidest tulenevad kohustused, ettevõtte staatus või lepingulised kohustused võivad toetada andmetöötleja või kolmanda isiku õigustatud huvi isikuandmete töötlemiseks. Küll aga eeldab õigustatud huvile tuginemine siiski tööandja poolt ehk vastutava andmetöötleja õigustatud huvi analüüsi läbiviimist. Viidatud sätte kohaselt peavad olema korraga täidetud kõik kolm tingimust: Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 - vastutaval töötlejal või andmeid saaval kolmandal isikul või kolmandatel isikutel on andmetöötluseks õigustatud huvi; - isikuandmete töötlemine on vajalik õigustatud huvi teostamiseks; - vastutava töötleja ja/või kolmanda isiku õigustatud huvid kaaluvad üles kaitstava andmesubjekti huvid, põhiõigused ja – vabadused. Andmeid on võimalik töödelda vaid juhul, kui analüüsi tulemusel jõutakse järeldusele, et tööandja ja kolmanda isiku õigustatud huvid kaaluvad üles andmesubjekti ehk töötaja huvid. Õigustatud huvi hindamist oleme täpsemalt selgitanud AKI koostatud juhendis. Kui andmetöötlus toimub õigustatud huvi alusel, peab iga andmetöötleja (sh tööandja) arvestama ka inimeste võimalike vastuväidetega ning vastuväite lahendamisel lähtuma IKÜM-st tulenevatest nõuetest. IKÜM artikkel 21 lõikest 1 tuleneb, et andmesubjektil on õigus oma konkreetsest olukorrast lähtudes esitada igal ajal vastuväiteid. Seejuures on andmetöötlejal esiteks kohustus vastata isiku pöördumisele hiljemalt ühe kuu jooksul ning teiseks on isikuandmete jätkuv töötlemine lubatud üksnes olukorras, kus andmetöötleja suudab tõendada, et isikuandmete töötlemiseks on õigustatud huvi ning selle konkreetse inimese (töötaja) edasiseks andmete töötlemiseks on mõjuv õiguspärane põhjus. Sõltumata õiguslikust alusest, on andmetöötlejal kohustus järgida muuhulgas ka järgnevaid põhimõtteid1: - töötlemine on seaduslik, õiglane ja isikule läbipaistev; - eesmärgi piirang – isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel; - võimalikult väheste andmete kogumine – isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt. Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks. Sh peab isikuandmete (sh piltide) säilitamine olema minimaalne. Töötajatest tehtud pilte ei saa säilitada lõpmatuseni, kuna tegemist on siiski lisaandmetöötlusega, mis riivab andmesubjekti õigusi rohkem, kui tavaline tööle registreerimine kiibiga, mis ei eelda töötajatest piltide tegemist ja nende säilitamist. Isikuandmete töötleja peab andmete töötlemisel alati eelnevalt hindama, kas andmetöötlus on ikka tõesti eesmärgi täitmiseks vajalik ning kas just sellises ulatuses. Kui mõni eelnimetatud tingimus ei ole täidetud, ei ole isikuandmete töötlemine lubatud. Lisaks põhimõtete täitmisele peab vastutav töötleja olema võimeline ka nende põhimõtete täitmist tõendama.2 Kas antud juhul 5-aastane säilitustähtaeg on minimaalsuse põhimõttega kooskõlas, me selgitustaotlusele vastates hinnata ei saa. Loodan, et selgitustest on abi. Lugupidamisega Mari-Liis Uprus jurist peadirektori volitusel 1 IKÜM artiklis 5 sätestatud põhimõtteid, sh lg 1 punktis a, b ja c sätestatut 2 IKÜM art 5 lg 2 2 (2)