Isikuandmete kaitse üldmääruse (IKÜM/üldmäärus) tulek tõi Eesti andmekaitseõigusesse ühe olulise muudatuse – õiguse töödelda isikuandmeid õigustatud huvi alusel. Kuigi seda nägi ette ka varasemalt kehtinud EL andmekaitse direktiiv (95/46), ei oldud seda kuni 2019. aasta alguseni kehtinud isikuandmete kaitse seadusesse üle võetud.
Jutt käib niisiis IKÜM artikkel 6 lg 1 punktist f, mille kohaselt on isikuandmete töötlemine seaduslik, kui “töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul, kui andmesubjekt on laps“.
Õigustatud huvi juhendi rakendamine praktikas
Erinevalt mitmetest muudest isikuandmete töötlemise õiguslikest alustest eeldab sellele õiguslikule alusele tuginemine reeglipärast, kolmeastmelist analüüsi. IKÜM-i alusel tegutsev Euroopa Andmekaitsenõukogu (EAKN) on küll võtnud päevakorda sel teemal juhendi koostamise, kuid ei ole sellega kuigi kaugele jõudnud. Siiski saab juhinduda EAKN-i eellase, direktiivi 95/46 artikkel 29 alusel tegutsenud liikmesriikideülese andmekaitse töögrupi 2014. aastal koostatud juhisest 06/2014 õigustatud huvi mõiste kohta. Seda seetõttu, et võrreldes direktiiviga on IKÜM-i õigustatud huvi sätte sõnastus küll veidi muutunud, kuid olemus ja kohaldamisloogika on jäänud samaks.
Erinevalt mitmetest muudest isikuandmete töötlemise õiguslikest alustest eeldab sellele alusele tuginemine reeglipärast, kolmeastmelist analüüsi.
Eelnimetatud 2014. aasta juhisele tuginedes ning võttes arvesse Eesti praktikat, koostas inspektsioon 2020. aasta kevadel juhendi, mis selgitab, kuidas õigustatud huvi kui andmetöötluse õiguslikku alust rakendada.
Lühidalt toimub õigustatud huvi hindamine kolmes etapis:
- Defineeritakse, kellel (andmetöötleja, kolmas isik või üldsus) mis huvi on, mille tarbeks isikuandmeid on vaja töödelda.
- Määratletakse, kuidas ja milliseid andmesubjekte andmetöötlus mõjutab.
- Kaalutakse kummagi poole huvide kaalukust, vajadusel leitakse täiendavaid tasakaalustavaid meetmeid.
Erasektoris toimub märkimisväärne osa andmetöötlusest just sellele alusele tuginedes. Õigustatud huvi saab olla õiguslikuks aluseks näiteks veebipoe klientide profileerimisel neile reklaami kuvamisel. Samuti kaupa ostnud kliendi ja ostuandmete säilitamisel hilisemate õigusvaidluste tarbeks, turvakaamerate kasutamisel (nii teenusepakkuja kui tööandja rollis) aga ka lepingu sõlmimisele eelnevalt, näiteks isiku maksevõimelisuse kontrollimisel. Inimestel on paljuski tekkinud üldmääruse kohta olnud meediakajastuse tagajärjel ettekujutus, et see annab neile täieliku kontrolli oma andmete üle ning õiguse iga kell nõuda andmete töötlemise lõpetamist. Tõsi, üldmäärus sellise õiguse annab, kuid paljude piirangutega.
Oma roll väärarusaamade tekkel on olnud kindlasti ka ettevõtjatel endil, kelle lepingutingimustes varasemalt tihtipeale sisaldus muuhulgas lause, et „Lepingule alla kirjutamisega annab klient nõusoleku enda andmete töötlemiseks niisugustel ja teistsugustel eesmärkidel“. Alles siis, kui inimene tuleb sooviga oma nõusolek tagasi võtta, selgub, et ettevõte ei saa kuidagi andmete töötlemist ära lõpetada, sest lepingut on ju vaja edasi täita ning tekkinud nõudeid tahaks ju ka kohtus kaitsta. Nii avastavadki paljud inimesed suure üllatusega, et ettevõtte võib nende isikuandmeid töödelda veel palju aastaid pärast tehingut, olgu selleks siis kasvõi ühekordne e-poe ost.
Keeruliseks muudab asja veel see, et erinevad andmetöötluse õiguslikud alused – lepingu täitmine, nõusolek ning õigustatud huvi võivad eksisteerida kõik kõrvuti ühe ja sama andmesubjektiga tekkinud suhte raames. Andmekaitsetingimustes tuleb neid eristada andmekoosseisude kaupa, tuues selgelt välja missuguseid andmeid millisel õiguslikul alusel töödeldakse.
Eelmisel aastal sattus inspektsiooni töölauale korduvalt juhtumeid, kus andmetöötleja advokaadist esindaja viitas turvakaamerate puhul täie tõsidusega kehtetule isikuandmete kaitse seadusele (IKS). Turvakaamerate kasutamine teatavasti tugines kuni 2019. aasta alguseni kehtinud IKS-i erisättele, mida enam ei ole. Ka on selge, et õigustatud huvi analüüs valmistab isegi suurettevõtetele tõsiseid raskusi. Paraku on oma osa selles ilmselt ka suhtumisel. Väga levinud on, et õigusabiteenust asutakse otsima alles siis, kui inspektsioon on teele läkitanud ettekirjutuse või sunniraha sissenõude. Samas kui inspektsiooniga vaidlemisele kulunud õigusabikulu oleks saanud varem kulutada kvaliteetse andmekaitsereeglistiku loomisele ja dokumenteerimisele.
Portaalide andmetöötlus
Näitena võib tuua ka palju aastaid Eestis tegutsenud majandusinfoportaalid, kelle tegevus põhinebki õigustatud huvil. Kuigi inspektsioon koostas kõikide infoportaalide tegevuse kohta põhjaliku õigusliku analüüsi (www.aki.ee veebiraamatkogus), mille pinnalt oleks pidanud olema lihtne igal infoportaalil oma dokumentatsioon korda teha, pole portaalid senimaani sellega toime tulnud.
Levinud eksimustest võib esile tõsta arusaama, et õigusnõuete kaitseks võibki 10-15 aastat kõikide tehingute (ja nendega seotud inimeste) andmeid säilitada. Tõsi, tsiviilseadustiku üldosa seadusest tuleneb küll nõuete 10-aastane aegumistähtaeg, kuid seda üksnes
kohustuste tahtliku rikkumise puhuks. See tähendab, et kui ettevõte tahab inimese andmeid sel põhjusel 10 aastat säilitada, peab ta olema valmis näitama, et selleks on põhjust (et tal tõesti on nõue kliendi vastu ning et kohustusi rikuti tahtlikult). Nimelt tuleneb õigustatud huvi kohaldamise reeglitest, et andmete töötlemise (säilitamise) põhjendus peab olema konkreetne ja reaalne, mitte üksnes hüpoteetiline, spekulatiivne.
Kõige enam on inspektsiooni lauale sattunud siiski andmete kogumise eksimusi. Nimelt arvatakse, et see, mis internetis leitav, on ka vabalt kasutatav.
Paraku peab igasuguseks isikuandmete töötluseks, mida ei tehta puhtalt isiklikul otstarbel, olema õiguslik alus. Et ka kord avalikustatud isikuandmete uueks kasutamiseks peab olema õiguslik alus, on kinnitanud aastaid tagasi ka Riigikohus. Nii ei võigi internetist (sh äriregistrist, kuulutusteportaalidest ega sotsiaalmeediast) kokku rehitseda inimeste kontaktandmeid selleks, et neile siis oma kaupa reklaamida (või metsaostu pakkumist teha). Seda eeskätt põhjusel, et inimene on oma telefoninumbri või e-posti aadressi avaldanud muul eesmärgil. E-posti aadressile kommertsteadaannet (milleks on ka metsaostu pakkumine) ei või üldse saata ilma inimese nõusoleku või eelneva kliendisuhteta.
Paraku peab igasuguseks isikuandmete töötluseks, mida ei tehta puhtalt isiklikul otstarbel, olema õiguslik alus.
Omaette probleemvaldkond on isikuandmete avalikustamine portaalides ning sotsiaalmeedia gruppides (eelkõige võlgnike häbipostid). Ka sellise avalikustamise puhul peaks avaldaja olema läbi viinud õigustatud huvi hindamise (sest muu õiguslik alus kõne alla ei tule). Olgu öeldud, et ka ajakirjanduslikul eesmärgil avaldamine (ning sellekohane säte isikuandmete kaitse seaduses) tugineb IKÜM-i õigustatud huvi sättele.
Õigustatud huvile tugineva andmetöötluse puhul on andmesubjektil õigus igal ajal esitada oma konkreetsest olukorrast tulenevalt andmetöötlejale vastuväide. Paraku näib kohustus andmesubjekti pöördumisele vastata olevat andmetöötlejatele täiesti tundmatu. Paljudel juhtudel on inimene oma küsimustele andmetöötlejalt vastuse saanud alles pärast inspektsiooni pöördumist. Seejuures on andmetöötleja tavapäraseks põhjenduseks, et kiri läks rämpsposti või nende töötaja oli tähelepanematu. See juhtub eriti tihti siis, kui andmesubjekt küsib, kust tema andmed on saadud. Seevastu leiavad osad ajakirjandusväljaanded ikka veel, et neile ei kehtigi kohutus andmesubjekti vastuväiteid läbi vaadata.
Õigustatud huvile tugineva andmetöötluse puhul on andmesubjektil õigus igal ajal esitada oma konkreetsest olukorrast tulenevalt andmetöötlejale vastuväide.
Nagu eelnevast näha, läbib õigustatud hindamise vajadus kõiki valdkondi ning puudutab pea kõiki andmetöötlejaid – valvekaameraga tänavat filmivast majaomanikust kuni andmemüügist elatuvate ettevõtjateni välja.
Siiski, olemas on ka üks suur erand. IKÜM-i art 6 lg 1 viimasest lausest ning põhjenduspunktist 49 tuleneb, et avalik sektor ei saa õigustatud huvile tugineda oma põhiülesannete täitmisel, kuid põhitegevusega mitteseotud haldustegevuses, nt asutuse majandamine, hoone ja infosüsteemide turvamine, võiks ka õigustatud huvi andmetöötluse alusena kõne alla tulla.
Kokkuvõttes võib öelda, et õigustatud huvi korraliku hindamiseni on andmetöötlejatel veel pikk tee käia, kuid loodetavasti aitab inspektsiooni juhis ning kujundatav praktika sellele kaasa.
- Kommenteerimiseks logi sisse või registreeru