Isikuandmed ja 25. mai

Advokaadibüroo Hedman Partners vandeadvokaat Toomas Seppel jagas Turundusraadios kasulikke soovitusi, kuidas uue isikuandmete kaitse üldmäärusega (General Data Protection Regulation, GDPR) toime tulla. Intervjueeris Anu-Mall Naarits.

Alustame täiesti praktilise teemaga – meie ettevõttele saabus hiljuti kiri, mille saatis üks advokaadibüroo oma kliendi palvel. See klient on käinud mitmel meie koolitusel ning ta soovib teada, missugune info meil tema kohta on. Küsin kõigepealt, kas pärast 25. maid ongi nii, et advokaadibürood hakkavad meile saatma kirju ja nõuavad inimeste kohta infot?

Euroopa Liidu seadusandja mõte oli anda inimestele võimalus kontrollida oma isikuandmeid. Kes soovib, võib seda teha ka advokaadi kaudu, aga asi peaks liikuma sinna, et inimestel on võimalik lihtsal viisil teada saada, mida ettevõtted nende isikuandmetega teevad. See tähendab, et ettevõtted peavad suutma pakkuda inimestele teavet isikuandmete töötlemise kohta. Inimestel on ka praegu õigus ettevõtetelt andmeid küsida, aga 25. mai 2018 on hetk, kus seadus annab neile õigusi juurde.

Kirja esimeses punktis palutakse meie käest kinnitust, kas meie organisatsioon on töödelnud selle inimese isikuandmeid. Ta käis meil koolis ja sai meilt tunnistuse, millele peame vastavalt täiendkoolituse seadusele panema tema isikukoodi ning esitama selle haridus- ja teadusministeeriumile, kus on tõendite register. Kuidas sellisele küsimusele vastama peaksime?

Lisaks sellele faktile, et inimene on koolituse läbinud, tuleks isikuandmete hulka lugeda andmed, mis tekkisid koolituse käigus, nt eksamitest või kodutöö, samuti hinded. Võib-olla toimus ka tema profileerimine, tehti teste. Faktid või asjaolud, mis võimaldavad inimese kohta midagi öelda, on isikuandmed.

Nii et meie saame siis vastata, et jah, me oleme töödelnud selle inimese isikuandmeid. Kas 25. maist peame veel midagi lisama?

25. maist tulevad juurde täiendavad õigused ja toimingud, samuti suurenevad trahvimäärad. Karistuste karmistamine on üks põhjus, miks see teema on nii suureks läinud, sest rahatrahv võib olla kuni 20 miljonit eurot või 4% aastakäibest. Need numbrid ehmatavad. Rahustuseks võib öelda, et need kehtivad piiriüleste ettevõtete kohta ja tõsiste rikkumiste korral. Andmekaitse inspektsioon on öelnud, et eelkõige püütakse ettevõtteid õigele teele suunata. Väärteomenetlus on viimane võimalus, kui muu ei aita.

Teise punktina palutakse meil avaldada selle inimese isikuandmete töötlemise, sh alleshoidmise eesmärgid.

See on küsimus selle kohta, miks neid andmeid on vaja hoida ettevõttes pärast seda, kui inimene ei käi enam koolitusel.

Meil on sageli nii, et tullakse kümne aasta pärast ja öeldakse: „Otsustasin minna välismaale õppima ja mul on vaja teada, mis hinde ma sain; millised olid kursuse materjalid ja mis oli maht. Olen tunnistuse ära kaotanud“.

Iga ettevõte peaks hindama, kas isikuandmeid on vaja hoida kauem, kui kestab kliendisuhe. Näiteks raamatupidamisandmeid peab hoidma seitse aastat. Kui seadusest ei tulene andmete säilitamise tähtaega, siis hetkest, kui õpilane lõpetab kooli, peaks isikuandmed kustutama. See tähendab, et ettevõtted kehtestavad majasisesed andmete kustutamise reeglid, igale andmekogule pannakse juurde säilitamise tähtaeg. Kuna antud olukorras ei pruugi hinnete kustutamine olla õpilase huvides, siis võiks juba enne koolituse algust kokku leppida, et andmeid hoitakse näiteks kolm aastat pärast lõpetamist.

Meile jäävad kõik andmed, mis puudutavad õppeprotsessi, kaasa arvatud mõnikord ka info selle kohta, milliseid hindamise aluseks olevaid materjale inimene luges. Kas see on midagi, mis käib isikuandmete alla, mida me peame talle väljastama ja ise kustutama.

Jah, tegemist on isikuandmetega. Inimese sotsiaalne käitumine ning see, mida ta loeb või sööb, on isikuandmed. Kui kliendisuhe on lõppenud ning andmete säilitamiseks inimese nõusolek puudub, siis tuleb sellised andmed kustutada või anonüümseks teha.

Meil on tagasisidelehed, kus inimene saab märkida linnukesega, et „jah, ma tahan infot järgmiste koolituste kohta“ või „tahan saada teie uudiskirja“ jne. Kas sellise info alleshoidmine on põhjendatud?

Kui me räägime linnukesest veebiteenuses või paberil, siis see on eeskujulik nõusoleku küsimine otseturundusteadete edastamiseks. Selline info tuleb ettevõtetel alles hoida, et saaks vajadusel tõendada, et inimene on andnud nõusoleku uudiskirjade saamiseks.

Tavaliselt küsime ka seda, kas inimene soovitaks seda koolitust kellelegi. Kui ta kirjutab mõne oma tuttava e-postiaadressi või telefoni, siis mis me nende andmetega teha võime?

Kuna otseturunduse puhul peab olema inimese tahteavaldus, siis tekib vastuolu. Ettevõtja tahaks saata teadet soovituse alusel, aga nõusolekut teadete saamiseks pole inimene andnud. Seega siiras soov sõpra aidata isikuandmete regulatsiooni ei mahu.

Aga kas me talle helistada võime?

Elektrooniliste otseturustusteadete korral (e-kiri, SMs) peab olema inimese nõusolek, aga telefonimüügi jaoks ei ole seda vaja.

Me oleme koolitatavale saatnud e-kirju, kus on märgitud, millal ja kus koolitus toimub, kuidas käib parkimine jne. Kas need e-kirjad on ka isikuandmed?

Kui e-kirjades ei ole inimese kohta teavet, mis võimaldab teda personaliseerida, siis need ei ole isikuandmed. Isikuandemete puhul tuleb hinnata ka konteksti. Mõnes olukorras võib tavaline e-kiri inimese kohta üsna palju teavet anda: kui selle saatjaks on näiteks mõni tervishoiuasutus, siis võib e-kiri olla isikuandmeid sisaldav teave.

Kirjas on ka palve kirjeldada selle isiku isikuandmete koosseisu ja allikaid.

See on väljavõte seadusetekstist, mis tähendab inimkeeles seda, milliseid isikuandmeid olete inimese kohta kogunud. Peate loetlema andmed, mis koolitusel käinud inimesest on jäänud andmebaasi ja paberile. Andmekogude puhul saab kasutada standardiseeritud andmeväljasid, mis ei võimalda ülemääraseid andmeid salvestada. Sellisel juhul ei kogune andmeid, mida ettevõte ei tohi inimese kohta koguda.

Kas me näitame allikatena, kust me selle info saanud oleme?

Just. Kas inimene ise andis andmed (täitis ankeedi, saatis e-kirja või foto) või tekkis teave teenuse osutamise käigus (nt testide tulemused). Isikuandmed võivad sisalduda pildis, videos ja kirjalikus tekstis, samuti metaandmetes (andmed andmete kohta).

Meil paluti ka nimetada kolmandad isikud või nende kategooriad, kellele selle inimese isikuandmete edastamine on lubatud ja kellele need on edastatud. Me peame edastama haridus- ja teadusministeeriumile seaduse kohaselt selle, et inimene on läbinud koolituse, märkides tema nime ja isikukoodi.

Inimesel on õigus teada, kellele on tema isikuandmeid jagatud. Kui teavitamise kohustus tuleb seadusest, siis tuleb juhinduda seaduse nõuetest. Kui soovitakse isikuandmeid edastada ettevõttele, kes koostab koolituse läbinud isikute kohta andmebaase (nt värbamisettevõtted), siis võib andmeid edastada ainult juhul, kui nad on andnud selleks nõusoleku.

Kirjas küsiti, kas meie organisatsioon on alates 25. maist valmis andma selle isiku nõudmisel täiendavat teavet tema isikuandmete töötlemise kohta, mida nõuab kohalduma hakkav isikuandmete kaitse üldmäärus. Sellele saab vist ainult jaatavalt vastata?

Alates 25. maist tuleb olulistest isikuandmete rikkumistest teavitada 72 tunni jooksul nii kliente kui ka andmekaitse inspektsiooni. Kui ettevõtte andmetoimingute risk on kõrge või töödeldakse terviseandmeid, siis tuleb määrata andmekaitsespetsialist, kelle juhendamisel toimub isikuandmetega seotud tegevus ettevõttes. Samuti tuleb pidada andmetoimingute registrit. Uute teenuste arendamisel on vaja teha mõjuhinnang.

Kas näiteks koolitusettevõttel peab olema andmekaitsespetsialist?

Iga ettevõte peab hindama, mis on tema andmetoimingute risk ja mõju inimestele. Kui koolituste käigus profileeritakse inimeste vaimset võimekust, siis on tegemist delikaatsete isikuandmetega ning selline koolitusettevõte peab määrama andmekaitsespetsialisti.

Viimase punktina nõuti selles kirjas elektroonilist koopiat töödeldavatest isikuandmetest. Mis see on – hulk printscreen’e?

See on ettevõtete jaoks ärikriitiline koht, sest inimesel tekib õigus nõuda andmete edastamist masinloetavas vormis (nt csv-fail), kas talle endale või tema määratud ettevõttele. See tähendab, et tekib võimalus oma andmeid liigutada ettevõtete vahel. Ettevõtted valmistuvad selleks tõsiselt, arendades infosüsteeme, et need suudaksid päringuid täita. Kui ettevõttel tehnilist valmisolekut ei ole, siis tuleb loota, et päringuid tuleb vähe ning klienditoe, IT-, õigus- ja turundusosakonna koostöös suudetakse need kuidagiviisi täita.

Põhjalikumalt samal teemal Turundusraadios: http://www.mi.ee/turundusraadio/uus-andmekaitseseadus-gdpr