ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Teie 05.11.2025
Meie 20.11.2025 nr 2.2-9/25/3614-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse, milles soovite AKI arvamust, kas
inimesele võib e-kirjaga või SMS teel edastada järgmise sisuga teateid:
1) "Patsiendi veres on põletiku tunnused. On vaja alustada ravi AB-ga. Rp- on tehtud. Uus kontakt
arstiga 7 päeva möödumisel."
2) "Perearst ootab Teid plaanilisele visiidile Teile sobival ajal."
3) "Teie 3a poeg on oodatud plaanilisele visiidile Teile sobival ajal."
Samuti soovite teada, et kui selline edastamine ei ole lubatud, siis kuidas saab nõuda gmal.com ja
SMS- operaatorit need igaveselt kustutada?
Esmalt selgitan, et AKI annab selgitustaotlusele vastates üksnes üldisi selgitusi seaduse
kohaldamise kohta ega anna õiguslikku hinnangut kirjeldatud olukorrale. Õigusliku seisukoha
saab inspektsioon võtta vaid järelevalvemenetluse tulemusel, mille käigus on välja selgitatud kõik
vajalikud asjaolud, sh ära kuulatud andmetöötleja selgitused.
Selgitame, et isikuandmete kaitse üldmääruse (IKÜM) kohaselt on isikuandmed igasugune teave
tuvastatud või tuvastatava inimese kohta.1 Seejuures inimese terviseandmed kuuluvad eriliigiliste
isikuandmete alla, mis on oma olemuselt eriti tundlikud ning vajavad IKÜM-i kohaselt erilist
kaitset.2 Tervisealaste isikuandmete hulka kuuluvad igasugused inimese tervislikku seisundit
puudutavad andmed.3 Euroopa Andmekaitsenõukogu on oma suunistes4 öelnud ning ka Euroopa
Kohtu asjaomast kohtupraktikat5 silmas pidades tuleb mõistet „terviseandmed“ tõlgendada laialt.
Nii on näiteks terviseandmeteks ka see teave, mis muutub terviseandmeteks ristviitamise teel
muude andmetega, tehes seega avalikuks tervisliku seisundi või terviseriskid.
AKI selgitab, et isikuandmete töötlemine on mistahes toiming isikuandmetega, sh nende
edastamine. IKÜM artikkel 5 näeb ette üldpõhimõtted, millele igasugune isikuandmete töötlemine
peab vastama. Muuhulgas peab vastavalt IKÜM art 5 lg 1 punktis a sätestatud seaduslikkuse
põhimõttele esinema isikuandmete töötlemiseks mõni IKÜM artiklis 6 sätestatud õiguslikest
alustest, eriliigiliste isikuandmete puhul IKÜM artiklist 9 lg-st 2 tulenev täiendav erand, mis lubab
eriliiki isikuandmeid töödelda. Kui õigusliku aluse kohaldamise kõik eeldused ei ole täidetud, on
terviseandmete töötlemine IKÜM art 9 lg 1 kohaselt keelatud.
1
IKÜM art 4 p 1.
2
IKÜM põhjenduspunkt 51.
3
IKÜM põhjenduspunkt 35.
4
Suunised 3/2020 terviseandmete töötlemise kohta teadusuuringute eesmärgil seoses COVID-19 puhanguga.
5
Euroopa Kohtu 6. novembri 2003. aasta otsus kohtuasjas C-101/01 (Lindqvist), punkt 50.
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Õigusliku aluse olemasolu ei tähenda siiski seda, et isikuandmete töötlemine on igal konkreetsel
juhul õiguspärane. Töötlemine kui toiming peab olema õigusliku alusega ka kooskõlas. Teisisõnu,
lisapiirangud võivad tuleneda õiguslikust alusest enesest ja IKÜM artiklis 5 sätestatud töötlemise
põhimõtetest, mida tuleb hinnata koostoimes IKÜM artiklis 6 sätestatud vajalikkuse kriteeriumiga
ehk konkreetsete isikuandmete töötlemine peab olema vajalik kõnealuses aluses sätestatud
eesmärgil töötlemiseks6. See tähendab, et lisaks seaduslikkuse põhimõttele (ehk õiguslikule
alusele) peab järgima ka teisi IKÜM artiklis 5 sätestatud põhimõtteid, muu hulgas
eesmärgipärasuse ja minimaalsuse põhimõtet. Õigusliku aluse olemasolu ning isikuandmete
töötlemise põhimõtete järgimise eest vastutab andmetöötleja.7
Eesmärgipärasuse põhimõte näeb ette, et isikuandmeid võib töödelda üksnes täpselt ja selgelt
kindlaksmääratud ning õiguspärastel eesmärkidel.8 Minimaalsuse põhimõttest tuleneb, et igas
andmetöötluse etapis võib töödelda isikuandmeid üksnes sellises mahus, mis on vajalik konkreetse
eesmärgi saavutamiseks.9 Seejuures tuleb ka hinnata, kas isikuandmete töötlemine on üldse vajalik
või on soovitud eesmärki võimalik saavutada ilma nendeta.10
Andmetöötleja vastutab ka andmete turvalisuse eest.11 Selleks peab andmetöötleja rakendama
asjakohaseid turvameetmeid, mis kaitseksid andmeid juhusliku kaotsimineku, hävimise või
kahjustumise eest. Samuti tuleb turvameetmeid rakendada selleks, et vältida andmetele volitamata
ligipääsu. See tähendab mh, et andmetöötleja peab hindama, milliseid andmeid milliseid kanaleid
pidi inimesele edastada. Mida tundlikumad on edastatavad isikuandmed, seda turvalisem peab
olema nende edastamise viis.
Eelnevast tulenevalt peab andmetöötleja (eelduslikult teavitused saatnud arst) hindama, kas
konkreetse sõnumite pinnalt on inimene äratuntav. Seejuures tuleb ka arvestada, et kontaktandmed,
millele teavitus saadetud on, võivad aidata konkreetset inimest tuvastada. Kui andmete pinnalt on
inimene äratuntav, siis on tegemist isikuandmetega ning nende töötlemisele kohalduvad IKÜM-i
nõuded. Andmetöötleja peab hindama, kas andmete edastamiseks esineb õiguslik alus ning kas
sellise sisuga sõnumi saatmisel on täidetud isikuandmete töötlemise põhimõtted. Eriti tuleks
tähelepanu pöörata minimaalsuse põhimõttele ning andmetöötleja peaks hindama, kas
konkreetseete analüüside tulemuste või lapse vanuse lisamine teavitusse on vajalik. Eriliiki
isikuandmete edastamisel tuleb erilist tähelepanu pöörata ka sellele, kas valitud edastamise viis on
turvaline. Kui kõik isikuandmete töötlemise põhimõtted on täidetud, on sõnumite saatmine
lubatud.
Viimaks soovite teada, kuidas saab nõuda Google’ilt või mobiilsideoperaatoritelt sõnumite
kustutamist. Vastavate selgituste saamiseks soovitame pöörduda konkreetsete ettevõtete poole.
Alternatiivselt on võimalik paluda e-kirjade või SMS-ide saajaid, et nad ise teavitused ära
kustutaksid.
Loodame, et meie selgitustest on abi.
Lugupidamisega
Hannamari Bachmann
jurist
peadirektori volitusel
6
RKHKo 26.09.2022 nr 3-20-1449, p 24.
7
IKÜKM art 5 lg 2.
8
IKÜM art 5 lg 1 p b.
9
IKÜM art 5 lg 1 p c.
10
IKÜM põhjenduspunkt 39.
11
IKÜM art 5 lg 1 p f ja art 32.
2 (2)