ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ETTEKIRJUTUS-HOIATUS
isikuandmete kaitse asjas nr. 2.1.-1/23/2891-5
Ettekirjutuse tegija Andmekaitse Inspektsiooni jurist Alissa Hmelnitskaja
Ettekirjutuse tegemise aeg 10.03.2023 Tallinnas
ja koht
Ettekirjutuse adressaat – XXX
isikuandmete töötleja e-posti aadress: XXX
RESOLUTSIOON:
Isikuandmete kaitse seaduse (IKS) § 56 lõike 1, lõike 2 punkti 8, § 58 lõike 1, § 10 ning
isikuandmete kaitse üldmääruse (IKÜM) artikli 58 lõike 1 punkti d ning lõike 2
punktide f ja g alusel, samuti arvestades IKÜM artikliga 6, teeb Andmekaitse
Inspektsioon täitmiseks kohustusliku ettekirjutuse:
1. Lõpetada XXX poolt hallatavas Facebooki grupis „XXX“, ilma IKÜM artikkel 6
lg 1 punkti a kohase nõusolekuta teiste inimeste isikuandmete avalikustamine.
Määran ettekirjutuse täitmise tähtajaks 24.03.2023. Ettekirjutuse täitmisest teatada
hiljemalt selleks tähtajaks Andmekaitse Inspektsiooni e-postiaadressile [email protected].
VAIDLUSTAMISVIIDE:
Käesoleva ettekirjutuse saab vaidlustada 30 päeva jooksul, esitades kas:
- haldusmenetluse seaduse kohase vaide Andmekaitse Inspektsioonile või
- halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse (sel juhul ei saa enam
samas asjas vaiet läbi vaadata).
Ettekirjutuse vaidlustamine ei peata selle täitmise kohustust ega täitmiseks vajalike abinõude
rakendamist.
SUNNIRAHA HOIATUS:
Kui ettekirjutus on jäetud määratud tähtajaks täitmata, määrab Andmekaitse Inspektsioon
ettekirjutuse adressaadile isikuandmete kaitse seaduse § 60 alusel:
Sunniraha 1 500 eurot.
Sunniraha võib määrata korduvalt – kuni ettekirjutus on täidetud. Kui adressaat ei tasu
sunniraha, edastatakse see kohtutäiturile täitemenetluse alustamiseks. Sel juhul lisanduvad
sunnirahale kohtutäituri tasu ja muud täitekulud.
VÄÄRTEOKARISTUSE HOIATUS:
Isikuandmete kaitse üldmääruse artikli 58 lõike 2 kohase ettekirjutuse täitmata jätmise eest
võidakse algatada väärteomenetlus isikuandmete kaitse seaduse § 69 tunnustel. Selle teo eest
võidakse füüsilist isikut karistada rahatrahviga kuni 20 000 000 eurot ning juriidilist isikut
Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee
Registrikood 70004235
võidakse karistada rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti tema eelmise
majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on
suurem. Väärteo kohtuväline menetleja on Andmekaitse Inspektsioon.
FAKTILISED ASJAOLUD:
Andmekaitse Inspektsiooni (AKI) menetluses on isiku kaebus seoses eraisikute võlaandmete
avalikustamisega Facebooki grupis „XXX“. Seetõttu algatas AKI järelevalvemenetluse.
Järelevalvemenetluse raames tegi AKI 26.01.2023 XXX-le (edaspidi ka andmetöötleja või
vastutav töötleja) ettepaneku isikuandmete kaitse asjas nr 2.1.-1/23/2891-2, mille sisu oli
järgnev: „lõpetada isikuandmeid sisalduvate postituste avalikustamine Teie poolt hallatavas
Facebooki grupis „XXX““. Ettepanekule vastamise tähtaeg oli 10.02.2023. Ettepanekus
juhtis AKI mh tähelepanu ettekirjutuse tegemise ja sunniraha määramise võimalusele ning
õigusele esitada haldusmenetluse seaduse § 40 lg 1 kohaselt enne haldusakti andmist asja
kohta oma arvamus ja vastuväited.
Andmetöötleja on saanud AKI ettepaneku ning 09.02.2023 avaldas soovi vestelda
ametnikuga. Vestlus on toimunud 15.02.2023 telefoni teel, mille jooksul ametnik andis
täiendavaid selgitusi ettepaneku kohta. Seisuga 10.03.2023 ei ole andmetöötleja AKI
ettepanekut täitnud.
ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:
IKÜM artikkel 4 punkti 1 kohaselt on isikuandmeteks igasugune teave tuvastatud või
tuvastatava füüsilise isiku (andmesubjekti) kohta. Tuvastatav füüsiline isik on isik, keda saab
otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi,
isikukood, asukohateave; aga ka selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise
tunnuse põhjal. Seega on isikuandmeteks ka inimese nimi, kujutis ning muu teave, mis
võimaldab isikut tuvastada.
Praegusel juhul on tegemist avaliku Facebooki grupiga, milles tehakse teiste inimeste
isikuandmeid sisaldavaid postitusi. Teatud postituste puhul on tegemist hoiatustega ehk
postituse eesmärk on hoiatada teisi inimesi, et nad väldiksid tehingute sõlmimist isikutega,
kelle isikuandmeid avalikustatakse. Samas tehakse antud grupis ka neid postitusi, mille
eesmärk on mõjutada võlglast ja survestada võlgnikku maksta võlgnevuse ära. Näited:
1) Postitus on tehtud 19.02.2023 kell 13:02. Arvutivõrgus: XXX
2) Postitus on tehtud 19.02.2023 kell 13:00. Arvutivõrgus: XXX
3) Postitus on tehtud 19.02.2023 kell 13:06. Arvutivõrgus: XXX
4) Postitus on tehtud 19.02.2023 kell 13:01. Arvutivõrgus: XXX
5) Postitus on tehtud 19.02.2023 kell 13:06. Arvutivõrgus: XXX
6) Jt
IKÜM artikkel 4 punkti 2 kohaselt on isikuandmete töötlemiseks isikuandmete või nende
kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, sh
nende levitamine või muul moel kättesaadavaks tegemise teel avalikustamine.
IKÜM artikkel 4 punkt 7 sätestab, et vastutavaks töötlejaks on füüsiline või juriidiline isik,
avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks
isikuandmete töötlemise eesmärgid ja vahendid. Facebook on määranud, et grupi
administraatoril (ehk andmetöötlejal) on Facebooki grupile juurdepääs täieliku kontrolliga.
See tähendab, et andmetöötleja saab muuta grupi nime või selle privaatsussätteid, saab
kustutada postitusi ja selle kohta kirjutatud kommentaare.1 Sellest tuleneb, et vaidlusaluse
Facebooki grupi administraatorina on andmetöötlejal võimalus muuta antud grupi nime ning
kustutada grupis tehtud postitusi ja selle kohta tehtud kommentaare.
Lisaks on andmetöötleja administraatorina määranud selle grupi nimeks „XXX“ ning on
teinud selle grupi avalikuks, millega on selgelt grupis toimuvat diskussiooni suunanud
(loonud grupi eesmärgiga, et kasutajad saaksid teha konkreetsetel teemadel postitusi) ning
tänu sellele, et andmetöötleja tegi grupi avalikuks avalikustatakse seal isikuandmeid
piiramatult kõikidele.
Eeltoodut arvesse võttes leiab AKI, et andmetöötleja on IKÜM artikli 4 punkti 7 kohaselt
vastutav töötleja, kuna määrab kindlaks isikuandmete töötlemise eesmärgid (grupi nimi,
reeglid) ja vahendid (sotsiaalmeedia platvormi valik, avalik grupp). Andmetöötleja kui grupi
administraator, vastutab selle eest, et andmete avalikustamine oleks seaduslik2.
Isikuandmete töötlemise põhimõtted on sätestatud IKÜM artiklis 5, mida peab vastutav
töötleja järgima, sealhulgas seaduslikkuse põhimõte. Isikuandmete töötlemine on seaduslik,
kui see vastab ühele IKÜM artiklis 6 toodud õiguslikule alusele (nõusolek, lepingu täitmine,
juriidiline kohustus, eluliste huvide kaitsmine, avalikes huvides oleva ülesande täitmiseks või
avaliku võimu teostamiseks, õigustatud huvi).
1. IKÜM artikkel 6 lg 1 punkt a
IKÜM artikkel 6 lg 1 punkt a sätestab, et isikuandmete töötlemine on seaduslik ainult juhul,
kui andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel
konkreetsel eesmärgil.
IKÜM artikli 4 punktis 11 on nõusolek määratletud kui „vabatahtlik, konkreetne, teadlik ja
ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selge nõusolekut
väljendava tegevusega nõustub tema kohta käivate isikuandmete töötlemisega“:
a) Sõna „vabatahtlik“ tähendab andmesubjekti jaoks tõeliselt vaba valikut ja kontrolli.
Üldjuhul on IKÜM-ga ette nähtud, et kui andmesubjektil ei ole tõelist
valikuvõimalust, kui ta tunneb sundi nõustuda või kui tal tuleb nõusoleku andmata
jätmise korral taluda negatiivseid tagajärgi, on nõusolek kehtetu. Kui nõusolek on osa
mitteläbiräägitavatest tingimustest, ei peeta seda vabatahtlikult antuks. Seega ei
käsitata nõusolekut vabatahtlikult antud nõusolekuna, kui andmesubjekt ei saa ilma
kahjulike tagajärgedeta nõusoleku andmisest keelduda ega seda tagasi võtta.
b) „Konkreetne“ tähendab, et andmesubjekti nõusolek peab olema antud „ühel või
mitmel konkreetsel eesmärgil“. Vastavalt IKÜM artikli 5 lõike 1 punktile b eelneb
kehtiva nõusoleku saamisele alati kavandatud töötlemise täpse, selge ja õiguspärase
eesmärgi kindlaksmääramine. Konkreetse nõusoleku vajalikkus koos artikli 5 lõike 1
punkti b kohase eesmärgi piiritlemisega hoiavad ära andmete töötlemise eesmärkide
järkjärgulise laienemise või hägustumise pärast seda, kui andmesubjekt on andnud
andmete kogumiseks oma nõusoleku.
c) IKÜM-ga tugevdatakse nõuet, et nõusolek peab olema teadlik. IKÜM artikli 5 alusel
on üks aluspõhimõtteid läbipaistvus, mis on tihedalt seotud seaduslikkuse ja õigluse
põhimõttega. Teabe andmine andmesubjektidele enne nende nõusoleku saamist on
oluline, et võimaldada andmesubjektidel teha teadlik otsus, aru saada sellest, millega
nad nõustuvad, ja näiteks kasutada oma õigust nõusolek tagasi võtta.
1
Facebooki abikeskus: https://www.facebook.com/help/901690736606156;
https://www.facebook.com/help/289207354498410?helpref=faq_content
2
Sarnaselt on Euroopa Kohus jõudnud lahendis C-210/16 järeldusele, et Facebook’i lehe haldaja on vastutav
töötleja direktiivi 95/46 artikli 2 punkti d tähenduses.
d) IKÜM-s on selgelt öeldud, et nõusolekuks on vaja andmesubjekti avaldust või
nõusolekut väljendavat selget tegevust, mis tähendab, et see peab alati olema antud
aktiivsete sammude astumise või kinnituse esitamise teel. Peab olema ilmne, et
andmesubjekt on nõustunud konkreetse töötlemisega. Andmesubjekti vaikimist või
tegevusetust ning pelgalt teenuse kasutamise jätkamist ei saa pidada aktiivseks valiku
tegemiseks.
Lisaks vastutav töötleja peab silmas pidama, et nõusoleku tõendamise kohustus lasub just
temal.
Eeltoodust tulenevalt ei saa vastutav töötleja tugineda IKÜM artikkel 6 lg 1 punktile a, kuna
ei ole AKI-le edastanud tõendit, et isikuandmete avalikustamine toimub andmesubjekti
nõusolekul ning et nõusolek on kehtiv vastavalt IKÜM artikli 4 punktis 11 sätestatud
nõuetele.
2. IKÜM artikkel 6 lg 1 p f
IKÜM artikkel 6 lg 1 punkti f ehk õigustatud huvi alusel isikuandmete töötlemiseks peab
andmetöötleja olema veendunud, et isikuandmete töötlemise eesmärk on kaalukam kui
andmesubjekti õigused ja vabadused ning IKÜM artiklite 21 (õigus esitada vastuväiteid) ja 17
(õigus andmete kustutamisele) alusel tuleb isikuandmete töötlemine lõpetada, kui
andmetöötleja ei suuda tõendada, et töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub
üles andmesubjekti huvid, õigused ja vabadused.
Õigustatud huvi alusel isikuandmete töötlemisele peab eelnema andmetöötleja poolt
läbiviidud analüüs andmetöötleja ja kolmandate isikute õigustatud huvi ja kaalukuse osas,
andmesubjekti õiguste ja huvide ja nende kaalukuse analüüs ning seejärel kaalumine
andmetöötleja ja andmesubjekti huvide vahel.3
AKI on seiskohal, et pelgalt avalikuse hoiatamise eesmärgi isikuandmete töötlemine ei ole
õigustatud huvi alusel õiguspärane. Lisaks ei ole vastutav töötleja esitanud AKI-le õigustatud
huvi analüüsi.
3. IKS § 10
Lisaks eelneval mainitud IKÜM artiklis 6 toodud õiguslikele alustele on võimalik võlgnike
andmete avalikustamiseks tugineda IKS §-le 10, mis näeb ette, et võlasuhte rikkumisega
seotud isikuandmete avaldamine kolmandale isikule ja edastatud andmete töötlemine
kolmanda isiku poolt on lubatud andmesubjekti krediidivõimelisuse hindamise või muul
samasugusel eesmärgil ning üksnes juhul, kui täidetud on kõik kolm tingimust:
1) andmetöötleja on kontrollinud, et andmete edastamiseks on õiguslik alus;
2) andmetöötleja on kontrollinud andmete õigsust;
3) andmeedastus on registreeritud (säilitades teavet, kellele ja mida edastati).
Antud juhul on AKI hinnangul täitmata eeldus, et vastutav töötleja oleks kontrollinud
õiguslikku alust isikuandmete edastamiseks. Vastutav töötleja on aga avalikustanud
võlaandmed piiramatule avalikkusele nähtavana, mis tähendab, et vastutav töötleja ei saa
kontrollida, kes andmeid näevad ega seega ka kontrollida, kas andmete saajal on olemas
õiguslik alus.
Lisaks IKS § 10 lg 2 punkti 3 kohaselt ei ole isiku võlaandmete töötlemine (sh Facebookis)
3
AKI Õigustatud huvi juhend, lk 6. Kättesaadav arvutivõrgus:
https://www.aki.ee/sites/default/files/dokumendid/oigustatud_huvi_juhend_aki_26.05.2020.pdf
lubatud, kui see kahjustaks ülemäära andmesubjekti õigusi ja vabadusi. Seega tuleb
andmetöötlejal just iga konkreetse juhtumi asjaolude pinnalt hinnata, kas õigus andmete
töötlemisele kaalub üles isiku eraelu puutumatusele põhjustatava riive või mitte.
AKI on seisukohal, et praegusel juhul erinevate inimeste isikuandmete avalikustamine on
suuremahuline, kuna teostatakse interneti (sh Facebooki) kaudu. Internetis andmete
avalikustamine suurendab inimeste haavatavust, kuna antud keskkond on kohati kontrollimatu
ning ei ole võimalik tuvastada, kes on isikuandmetega seotud teabe saanud ja mida teeb selle
teabega edasi.
Seega ei ole IKS § 10 alusel isikuandmete avalikustamise eeldused täidetud.
4. IKS § 4
Teatud juhtudel võib mõne inimese andmete avalikustamiseks olla õigustus ajakirjanduslikul
eesmärgil. IKS § 4 kohaselt võib isikuandmeid andmesubjekti nõusolekuta töödelda
ajakirjanduslikul eesmärgil, eelkõige avalikustada meedias, kui selleks on avalik huvi ja see
on kooskõlas ajakirjanduseetika põhimõtetega. Isikuandmete avalikustamine ei tohi ülemäära
kahjustada andmesubjekti õigusi.
IKS § 4 alusel isikuandmete avalikustamiseks peavad olema täidetud kolm tingimust:
1. isikuandmete avalikustamise vastu esineb avalik huvi;
2. avalikustamine on kooskõlas ajakirjanduseetika reeglitega;
3. isikuandmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi.
AKI hinnangul ei ole käesoleval juhul täidetud eelkõige avaliku huvi kriteerium. Avaliku huvi
olemasolu saab jaatada, kui tõstatatud teema ja avalikustatud isikuandmed aitavad kaasa
debatile demokraatlikus ühiskonnas. Viimasega saaks olla tegemist näiteks juhul, kui oleks
avaldatud arvamuslugu nt sellest, miks Eestis Facebooki gruppides kergekäeliselt laenu
võetakse ja vastupidi laenu antakse, kuid üksikute võlgnike isikuandmete avaldamine sellist
diskussiooni edasiviivat jõudu ei oma.
Samuti ei ole andmetöötleja tõendanud AKI-le, et on täidetud ajakirjanduseetika koodeksi
nõudeid, kuna enne võlaandmete avaldamist ei toimu andmesubjekti ärakuulamist (koodeksi p
4.2) ning talle ei anta ka vastulause esitamise võimalust (koodeksi p 5).
AKI on seisukohal, et andmetöötlusega kaasneb andmesubjektide ilmne eraelu puutumatuse
riive, mis lisaks õigusliku aluse puudumisele on ka andmekoosseisu arvestades ülemäärane.
Näiteks pole õigustatud avalikustada võlgniku või teiste inimeste fotosid, isiku(te)ga peetud
vestluste terviklikke väljavõtteid jms.
Kuna IKS § 4 kohaldamiseks on kriteeriumid täitmata, siis ei saa IKS § 4 alusel isikuandmeid
avalikustada.
AKI märgib, et maksehäirete puhul tuleb silmas pidada, et võlgnevuse esinemisel tuleb
võlausaldajal võla tasumise saavutamiseks kasutada eeskätt võlaõigusseaduse §-s 101
loetletud õiguskaitsevahendeid, millest üheks on kohustuse täitmise nõudmine. Isikute
maksehäireandmete avaldamine üksnes survemeetmena võla tasumise saavutamiseks ei ole
lubatav.
Eeltoodut arvesse võttes on AKI seisukohal, et käesoleval juhul teiste inimeste
isikuandmete avalikustamiseks ei esine ühtegi IKÜM artikkel 6 lõikes 1 nimetatud
õiguslikest alustest ning andmetöötleja ei ole AKI-le tõendanud, et andmete
avalikustamiseks tuleneb seaduslik alus IKS §-st 10. Isikuandmeid on töödeldud ilma
õigusliku aluseta, mistõttu tuleb vastutaval töötlejal lõpetada teiste inimeste
isikuandmeid sisaldavate postituste avalikustamine Facebooki grupis „XXX“.
Vastavalt IKS § 58 lõikele 1 ning IKÜM art 58 lg 2 punktidele f ja g on inspektsioonil õigus
anda korraldus isikuandmete töötlemise piiramiseks. Võttes arvesse, et konkreetsel juhul
avalikustatakse füüsiliste isikute isikuandmeid ebaseaduslikult ning et vastutav töötleja ei ole
täitnud AKI 26.01.2023 ettepanekut, leiab AKI, et kohustusliku ettekirjutuse tegemine antud
asjas on vajalik, et lõpetada õigusrikkumine võimalikult kiiresti.
(allkirjastatud digitaalselt)
Alissa Hmelnitskaja
jurist
peadirektori volitusel