ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ETTEKIRJUTUS-HOIATUS
isikuandmete kaitse asjas nr 2.1-1/24/1083-2664-12
Ettekirjutuse tegija Andmekaitse Inspektsiooni jurist Annika Kaljula
Ettekirjutuse tegemise aeg 02.04.2025 Tallinnas
ja koht
Register OÜ (registrikood 11735006)
Ettekirjutuse adressaat –
isikuandmete töötleja aadress: Tähe tn 129 b, Tartu linn
e-posti aadress: [email protected]
Isikuandmete töötleja Juhatuse liige
vastutav isik
RESOLUTSIOON:
Isikuandmete kaitse seaduse (IKS) § 56 lõike 1, lõike 2 punkti 8, § 58 lõike 1 ning
isikuandmete kaitse üldmääruse (IKÜM) artikli 58 lõike 1 punkti a ning arvestades sama
lõike punkti e alusel teeb Andmekaitse Inspektsioon Register OÜ-le täitmiseks kohustusliku
ettekirjutuse:
1. Edastada Andmekaitse Inspektsioonile Register OÜ hallataval veebilehel inforegister.ee
xxx (ik xxx) profiili jälginud isikute nimekiri; nende andmete puudumisel esitada profiili
jälginud isikute kontode registreerimisel esitatud kohustuslikud andmed (e-posti aadress
vms).
Alternatiivselt:
2. Kui resolutsiooni punktis 1 nimetatud andmed on kustutatud, siis esitada Andmekaitse
Inspektsioonile nende andmete kustutamise protsessikirjeldus sh:
a) esitada kustutamist kinnitavad logid, millest nähtuks millised andmed ja kust
täpselt kustutati;
b) kinnitus, et varukoopia(d) on kustutatud;
c) kui isikuandmete ja/või nende koopiate hoiustamiseks kasutati
internetipõhiseid keskkondi (näiteks pilveteenuseid), siis saata
teenusepakkuja kinnitus, et andmed on serverist kustutatud ja neid ei ole
võimalik taastada.
Andmekaitse Inspektsioon määrab ettekirjutuse täitmise tähtajaks 14.04.2025.
Ettekirjutuse täitmisest teatada hiljemalt selleks tähtajaks Andmekaitse Inspektsioonile.
VAIDLUSTAMISVIIDE:
Käesoleva ettekirjutuse saab vaidlustada 30 päeva jooksul, esitades kas:
− haldusmenetluse seaduse kohase vaide Andmekaitse Inspektsiooni peadirektorile või
− halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse (sel juhul ei saa enam
samas asjas vaiet läbi vaadata).
Ettekirjutuse vaidlustamine ei peata selle täitmise kohustust ega täitmiseks vajalike abinõude
rakendamist.
SUNNIRAHA HOIATUS:
Kui ettekirjutus on jäetud määratud tähtajaks täitmata, määrab Andmekaitse Inspektsioon
ettekirjutuse adressaadile isikuandmete kaitse seaduse § 60 alusel:
sunniraha 2500 eurot.
Sunniraha võib määrata korduvalt – kuni ettekirjutus on täidetud. Kui adressaat ei tasu sunniraha,
edastatakse see kohtutäiturile täitemenetluse alustamiseks. Sel juhul lisanduvad sunnirahale
kohtutäituri tasu ja muud täitekulud.
VÄÄRTEOKARISTUSE HOIATUS:
Isikuandmete kaitse üldmääruse artikli 58 lõike 1 kohase ettekirjutuse täitmata jätmise eest
võidakse algatada väärteomenetlus isikuandmete kaitse seaduse § 70 tunnustel. Selle teo eest
võidakse füüsilist isikut karistada rahatrahviga kuni 20 000 000 eurot ning juriidilist isikut
võidakse karistada rahatrahviga kuni 20 000 000 eurot või kuni 4 protsenti tema eelmise
majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.
Väärteo kohtuväline menetleja on Andmekaitse Inspektsioon.
FAKTILISED ASJAOLUD:
Andmekaitse Inspektsiooni (AKI, inspektsioon) menetluses on xxx (kaebaja) kaebus, mille
kohaselt oli tema persoonil Register OÜ (andmetöötleja) hallataval veebilehel inforegister.ee 10
jälgijat, kuid andmetöötleja ei olnud nõus andma kaebajale infot, kes ja millisel otstarbel kaebaja
profiili jälgisid. Andmetöötleja viitas küll võimalusele lasta oma info sulgeda, kuid teavitas, et
isikute nimekirja kaebajale ei avalikustata.
Kaebuse põhjal alustas inspektsioon isikuandmete kaitse seaduse (IKS) § 56 lg 3 punkti 8 alusel
järelevalvemenetluse, mille käigus teavitas andmetöötleja, et kaebaja jälgijad on eemaldatud ja
võimalus teda jälgida blokeeritud.
12.03.2025 saadetud järelepärimises nr 2.1- 1/24/1083-2664-7 palus AKI esitada Register OÜ-l
nimekiri isikutest/ettevõtetest (10 isikut), kes kaebaja profiili jälgisid enne selle funktsiooni
blokeerimist ning selgitada ja põhjendada, millisel IKÜM-st tuleneval õiguslikul alusel ei
väljastata kaebajale tema jälgijate nimekirja. Inspeksioon selgitas, et kuigi IKÜM art 15 lg 4
kohaselt ei tohiks isikuandmete koopia saamise õigus kahjustada teiste isikute õigusi ja vabadusi,
ei ole praegusel juhul teada, kas ja milliste isikute õiguseid ja vabadusi kahjustaks konkreetsel
juhul jälgijate nimekirja avaldamine kaebajale.
Andmetöötleja esitas oma vastuse inspektsioonile 12.03.2025, jättes inspektsioonile kaebaja
jälgijate nimekirja esitamata. Andmetöötleja selgitas, et kaebajale ei väljastata tema profiili
jälgijate nimekirja, kuna andmetöötlejal puudub õiguslik alus andmete väljastamiseks.
Andmesubjekti õigus teada, kellele on tema isikuandmed väljastatud, on piiratud artikkel 15 lg 4
järgi, mille kohaselt ei tohi teabe väljastamine kahjustada teiste isikute õigusi ja vabadusi. Jälgijate
2 (6)
nimekiri sisaldab kolmandate isikute isikuandmeid, kellele on tagatud privaatsusõigus ning kelle
huvides on nende identiteedi konfidentsiaalsus. Jälgijate andmete avaldamine rikuks jälgijate
eraelu puutumatust ja privaatsust; avaks võimaluse jälgijate ettevõtlus- ja infokogumise huvide
paljastamiseks; vähendaks platvormi usaldusväärtust ja kasutajate kindlustunnet. Kaebaja huvi
teada saada, kes teda jälgisid, ei kaalu üles teiste isikute privaatsusõigust ja anonüümsuse huvi.
Jälgijate andmed ei peaks olema automaatselt avalikud.
13.03.2025 saadetud täiendavas järelepärimises nr 2.1-1/24/1083-2664-9 selgitas inspektsioon, et
AKI ülesandeks antud menetluses on kaaluda vastanduvaid õigusi ja huve, et määrata kindlaks
IKÜM artikliga 15 andmesubjektile antud andmetega tutvumise õiguse ulatus. Selleks, et
inspektsioonil oleks võimalik hinnata, kas andmetöötleja selgitused on põhjendatud, palus AKI
esitada andmetöötlejal ka kaebajate jälgijate nimekiri.
Andmetöötleja vastas 13.03.2025, et ei saa edastada kaebajate jälgijate nimekirja ka Andmekaitse
Inspektsioonile. Vastuses toodud põhjendused keeldumiseks olid vastuolulised. Ühelt poolt
selgitas andmetöötleja, et kuna on eemaldanud kaebaja jälgimisvõimaluse ning kustutanud
jälgijate andmed, siis ei ole võimalik esitada nimekirja, mida enam ei eksisteeri (see tähendab, et
süsteemis puuduvad seosed kaebaja ja tema varasemate jälgijate vahel, mis teeb andmete
taastamise ja edastamise äärmiselt keerukaks).
Teisalt tõi andmetöötleja välja, et portaalis on kasutajaid, kes ei ole üheselt identifitseeritavad
(süsteemi saab registreeruda ka anonüümselt või läbi Gmaili konto), mistõttu ei pruugi andmed
alati viidata konkreetsele füüsilisele isikule. Sellest tulenevalt ei ole andmetöötlejal kindlust, kas
õnnestub isikud tuvastada ja edastada ilma, et seataks ohtu kolmandate isikute õigused ja
edastataks ekslikult ebatäpseid andmeid.
Kolmandaks ütles andmetöötleja, et ei saa edastada kaebaja jälgijate nimekirja ka Andmekaitse
Inspektsioonile, kuna see läheks vastuollu isikuandmete kaitse põhimõtetega: andmete
edastamiseks puudub õiguslik alus; andmete edastamine ohustaks isikute eraelu puutumatust;
nimekirja edastamine on vastuolus IKÜM art 5 lg 1 p a ja c põhimõtetega, mille kohaselt
isikuandmete töötlemine peab olema seaduslik, õiglane ja läbipaistev ning mitte ülemäärane.
Andmetöötleja kinnitas, et on teinud põhjaliku õigushinnangu, mille kohaselt jälgijate nimekirja
väljastamine ei ole proportsionaalne ega õigustatud. AKI on pädev hindama üldisi
andmekaitsepõhimõtteid, kuid see ei tähenda, et andmetöötlejal lasuks kohustus rikkuda
kolmandate isikute õigusi, et võimaldada AKI-l teha oma kaalutlusotsust.
ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:
Õigus tutvuda oma isikuandmetega
1. Andmesubjekti õigust tutvuda andmetega reguleerib IKÜM art 15, mille kohaselt on isikul
õigus saada vastutavalt töötlejalt kinnitust selle kohta, kas teda käsitlevaid isikuandmeid
töödeldakse, ning sellisel juhul tutvuda isikuandmete ja mh järgmise teabega: /…/ vastuvõtjad
või vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse,
eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid
(IKÜM art 15 lg 1 p c). Selle õiguse eesmärk on anda üksikisikutele piisavat, läbipaistvat ja
kergesti kättesaadavat teavet oma isikuandmete töötlemise kohta, et nad saaksid olla teadlikud
töötlemise seaduslikkusest ja töödeldavate andmete täpsusest ning seda kontrollida. Seejuures
ei pea isik põhjendama, miks ta oma andmete töötlemise kohta teavet soovib.
2. Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta; tuvastatav
füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada (IKÜM art 4 p 1). Väljendi
„igasugune teave“ kasutamine selles sättes sisalduva mõiste „isikuandmed“ määratlemisel
peegeldab liidu seadusandja eesmärki anda sellele mõistele lai tähendus, mis hõlmab
3 (6)
potentsiaalselt igasugust, nii objektiivset kui ka subjektiivset teavet arvamuste või hinnangute
vormis, tingimusel et need „puudutavad“ kõnealust isikut.1
3. Andmetöötleja võimaldab portaali inforegister.ee kaudu kõigil sisseloginud kasutajatel jälgida
sündmusi B-kaardi rollis juhatuse liikme/asutaja/osaniku staatuse muutuste kohta temaga
seotud ettevõtetes. Teave, mida isikute kohta jagatakse, on isikuandmed, sest see annab
informatsiooni konkreetsete füüsiliste isikute ja nendega seotud tegevuse kohta.
4. IKÜM art 4 p 9 defineerib andmete vastuvõtjana füüsilist või juriidilist isikut, avaliku sektori
asutust, ametit või muud organit, kellele isikuandmeid avaldatakse, olenemata sellest, kas
tegemist on kolmanda isikuga või mitte. Kuna isiku profiili jälgijatele edastatakse
isikuandmeid, on nad käsitletavad isikuandmete vastuvõtjatena IKÜM-i mõistes.
5. Euroopa Kohus on seisukohal, et teave, mis antakse andmesubjektile IKÜM art 15 lõike 1
punktis c ette nähtud õiguse alusel, peab olema võimalikult täpne. See andmetega tutvumise
õigus tähendab, et andmesubjektil peab olema võimalus saada vastutavalt töötlejalt teavet
konkreetsete vastuvõtjate kohta, kellele andmed on avalikustatud või edaspidi avalikustatakse
/…/. Artikli 15 kohaselt on ette nähtud, et kui andmesubjekt ei ole otsustanud teisiti, on
vastutav töötleja kohustatud nimetama tegelikud vastuvõtjad.2
6. IKÜM art 15 lg 4 kohaselt ei tohiks isikuandmete koopia saamise õigus kahjustada teiste
isikute õiguseid ja vabadusi. Siiski ei tohiks sellise kaalutlemise tulemus olla andmesubjektile
teabe andmisest keeldumine (IKÜM pp 63). Euroopa Kohus on asjas nr C-579/211 selgitanud,
et olukorras, kus isik kasutab artiklis 15 tulenevat õigust tutvuda teabega isikuandmete
töötlemise kohta, tuleb juhul, kui esineb vastuolu ühelt poolt andmesubjektile isikuandmete
kaitse üldmäärusega tunnustatud õiguste teostamise ning teiselt poolt kolmanda isiku õiguste
ja vabaduste vahel, leida tasakaal kõigi nende õiguste ja vabaduste vahel. Vaatamata sellele,
et IKÜM artiklid 15 ja 23 lubavad teatud juhtudel teabe väljastamisest keelduda nt teise isiku
õiguste ja vabaduste kaitseks või tsiviilõiguslike nõuete täitmise tagamiseks, tuleb hinnata, kas
keeldumine on põhjendatud ning kas see laieneb kogu küsitud teabele. Võimaluse korral tuleb
valida tutvumise viisid, mis ei riku teiste isikute õigusi ega vabadusi, pidades meeles, nagu on
märgitud isikuandmete kaitse üldmääruse põhjenduspunktis 63, et „sellise kaalutlemise
tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine“.3
7. On selge, et sooviga saada oma isikuandmeid ei kaasne automaatselt õigust saada teiste isikute
andmeid. Siiski tuleb andmesubjekti taotluse läbiviimiseks kaaluda vastandlikke huve ning
selgitada välja, kas teavet on võimalik väljastada ka nii, et sellest on välja jäetud või
loetamatuks muudetud see teave, mille väljastamisel võib olla negatiivne mõju teiste isikute
õigustele ja vabadustele.
8. Praegusel juhul ei ole küsimus mitte selles, kas jälgijate andmed peaksid olema portaali
veebilehel avalikud. Eelkõige analüüsib inspektsioon käesolevas menetluses andmesubjekti
IKÜM art 15 taotlusele vastamata jätmist ehk kas kaebajale isikuandmete vastuvõtjate
väljastamata jätmine on olnud õiguspärane. Kaebuse lahendamise takistus seisneb selles, et
andmetöötleja ei ole väljastanud nimetatud teavet ka Andmekaitse Inspektsioonile kui
isikuandmete töötlemise nõuete täitmise üle järelevalvet tegevale asutusele. AKI hinnangul ei
ole põhjendatud sellise teabe esitamata jätmine järelevalveasutusele, sest kaebajal säilib siiski
õigus esitada kaebus või vastuväited olukorras, kus talle kogu teavet ei väljastata ning AKI
1
EKo C-487/21 Österreichische Datenschutzbehörde, p 23.
2
EKo C-154/21 Österreichische Post AG, p 43.
3
Eko C-579/211 Pankki S, p 80 (vt ka EKo C-487/21, p 44).
4 (6)
ülesanne on selliste kaebuste lahendamise läbi isiku õiguste kaitse. Käesoleval juhul ei saa
AKI isiku õigusi kaitsta, sest kaebuse lahendamiseks puudub piisav teave.
9. Kaebust lahendades kaalub järelevalveasutus erinevate poolte vastandlikke huve ja kontrollib
andmete töötlemise õiguspärasust erapooletuna. Seega ka antud juhul tuleb AKI-l
järelevalveasutusena hinnata, kas isikuandmete vastuvõtjate nimede terves ulatuses
väljastamata jätmine on põhjendatud ning kas andmetöötlus on olnud õiguspärane. Antud juhul
ei saa AKI hinnata, kas isiku nõue on jäetud õigustatult rahuldamata või mitte, samuti ei ole
võimalik hinnata töötlemistoimingute õiguspärasust, kuna andmetöötleja ei ole AKI-le
esitanud selle hindamiseks vajalikku teavet. AKI-le jääb vastava informatsiooni esitamata
jätmise tõttu ebaselgeks, kes on need isikud, kelle õiguseid andmetöötleja hetkel kaitseb, sh
kas andmetöötleja toodud põhjendused kolmandate isikute õiguste ja vabaduste kahjustamise
osas on tõendatud. Teadmata, kellele on andmetöötleja kaebaja isikuandmeid edastanud ehk
kes on olnud kaebaja jälgijad, ei saa Andmekaitse Inspektsioon anda hinnangut sellele, kas
IKÜM art 15 lg 4 kohaldamine antud olukorras on sobiv õiguslik alus andmesubjektile tema
andmete vastuvõtjate kohta kogu info väljastamata jätmisel.
10. Isikuandmete töötleja vastutab alati ka tema käsutuses olevate isikuandmetega tehtud
toimingute eest ning peab olema valmis nõuetekohast töötlemist ka tõendama (IKÜM art 5 lg
2). Käesoleval juhul ei ole andmetöötleja AKI-le piisavalt tõendanud andmetöötluse
nõuetelevastavust, sh andmetöötluse põhimõtete järgimist. AKI selgitab, et andmetöötluse
nõuetelevastavuse tõendamiseks ei piisa ainuüksi andmetöötleja poolt järelevalveasutusele
antavast kinnitusest, et andmetöötlus on olnud õiguspärane ning järgitud on
andmetöötluspõhimõtteid. Andmetöötleja töötlemistoimingute nõuetele vastavuse üle teostab
kontrolli järelevalveasutusena Andmekaitse Inspektsioon, kes on kohustatud olema menetluses
erapooletu ning tuginema otsuse tegemisel lisaks menetlusosaliste ütlustele ja selgitustele ka
faktilistele asjaoludele ning tõenditele.
Andmekaitse Inspektsiooni pädevus ja volitused
11. Andmekaitse Inspektsioon teostab järelevalvet isikuandmete kaitse seaduses ja selle alusel
kehtestatud õigusaktides, Euroopa Parlamendi ja nõukogu määruses (EL) nr 2016/679
sätestatud nõuete ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete
täitmise üle (IKS § 56 lg 1). Tulenevalt sama paragrahvi lõige 2 punktist 8 on lisaks IKÜM
artiklis 57 sätestatule Andmekaitse Inspektsiooni pädevuses rakendada haldussundi seadustes
ettenähtud alustel, ulatuses ja korras.
12. Vastavalt IKS § 58 lõikele 1 võib Andmekaitse Inspektsioon rakendada riikliku järelevalve
teostamiseks IKÜM artiklis 58 sätestatud meetmeid. IKÜM artikkel 58 lõige 1 punkt a
sätestab, et Andmekaitse Inspektsioonil on õigus anda korraldus, et vastutav töötleja või
volitatud töötleja või vajaduse korral vastutava töötleja või volitatud töötleja esindaja annab
teavet, mis on vajalik tema ülesannete täitmiseks; samuti tulenevalt punktist e on inspektsioonil
õigus saada vastutavalt töötlejalt ja volitatud töötlejalt juurdepääs kõikidele isikuandmetele ja
kogu teabele, mis on vajalik inspektsiooni ülesannete täitmiseks. Seega on vastavate andmete
esitamine vastutava töötleja seadusjärgne kohustus (IKÜM art 6 lg 1 p c).
13. Järelevalveasutuse ülesanne on teha järelevalvet isikuandmete kaitse üldmääruse kohaldamise
üle ja kaitsta füüsiliste isikute õigusi. Selleks, et hinnata andmetöötleja poolt esitatud väiteid
kolmandate isikute õiguste kahjustamise osas, on AKI-l vajalik teada, kes on need kolmandad
isikud, kelle osas on andmetöötleja hindamise läbi viinud ja kas andmetöötleja poolt tehtud
järeldused on põhjendatud. Inspektsioon on järelevalvemenetluses kohustatud välja selgitama
menetletavas asjas olulise tähendusega asjaolud ja vajaduse korral koguma selleks tõendeid.
5 (6)
Selleks, et menetluses lõplikku seisukohta kujundada ja jõuda veendumuseni, et andmeid on
töödeldud IKÜM nõuete kohaselt, on vaja saada asjaoludest terviklik ülevaade.
14. Andmekaitse Inspektsioon on Register OÜ-l palunud esitada nimekiri isikutest/ettevõtetest,
kes kaebaja profiili jälgisid kahel korral: järelepärimisega 12.03.2025 nr 2.1-1/24/1083- 2664-
7 ning 13.03.2025 nr 2.1-1/24/1083- 2664-9. Andmetöötleja on järelepärimised kätte saanud
ja neile ka vastanud, kuid nõutud teavet ei ole inspektsioonile esitanud. Sellega on inspektsioon
täitnud haldusmenetluse seaduse § 40 lõikest 1 tuleneva kohustuse anda menetlusosalisele
enne haldusakti andmist võimaluse esitada asja kohta oma arvamus ja vastuväited.
15. Euroopa Andmekaitsenõukogu suuniste kohaselt ei tohi vastutav töötleja taotletud
isikuandmete esitamise kohustusest tahtlikult kõrvale hoida, kustutades või muutes
isikuandmeid vastuseks andmetega tutvumise taotlusele.4 Seega kui Register OÜ on kaebaja
taotluse ja/või järelevalvemenetluse ajal kustutanud jälgijate nimekirja ja sellest tulenevalt ei
ole seda võimalik käesoleva ettekirjutuse tulemusena Andmekaitse Inspektsioonile esitada,
tuleb Register OÜ-l tõendada inspektsioonile alternatiivselt nimekirja kustutamist.
16. Võttes arvesse faktilisi asjaolusid ja asjaolu, et haldusorgani järelevalvemenetluse raames
tehtud järelepärimisele vastamine on kohustuslik, kuid andmetöötleja ei ole AKI 12.03.2025
ja 13.03.2025 tehtud järelepärimistes küsitud teavet edastanud, leiab inspektsioon, et
kohustusliku ettekirjutuse tegemine antud asjas on vajalik järelevalveasjas oluliste asjaolude
väljaselgitamiseks ning haldusmenetluse efektiivseks, sh võimalikult kiireks, läbiviimiseks.
Juhul, kui andmetöötleja on tõepoolest kustutanud andmesubjekti
taotluse/järelevalvemenetluse ajal asjas tähtsust omava teabe, peab AKI hindama ka sellise
töötlemistoimingu õiguspärasust.
(allkirjastatud digitaalselt)
Annika Kaljula
jurist
peadirektori volitusel
4
Suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega, p 39.
6 (6)