ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
VAIDEOTSUS
isikuandmete kaitse asjas nr. 2.1.-3/19/3971 Tõrge! Järjehoidjat pole määratletud.
Andmekaitse Inspektsiooni õigusdirektor Raavo Palu
Otsuse tegija peadirektori ülesannetes
Otsuse tegemise aeg ja koht 13.11.2019 Tallinnas
Vaide esitamise aeg 01.11.2019 (registreeritud 04.11.2019)
Vaidlustatav haldusakt või Andmekaitse Inspektsiooni 11.10.2019 menetluse
toiming lõpetamise teade nr 2.1.-1/19/126 (toiming)
[Eraisik]
Volitatud esindaja:
Vaide esitaja Advokaadibüroo Supremia
vandeadvokaat Tarvo Lindma
[email protected]
RESOLUTSIOON:
Haldusmenetluse seaduse (HMS) § 85 punkti 2 alusel
otsustan:
rahuldada vaie täielikult ning uuendada järelevalvemenetlus isikuandmete asjas.
VAIDLUSTAMISVIIDE:
Vaide esitaja saab käesoleva otsuse vaidlustada 30 päeva jooksul, esitades
halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse.
FAKTILISED ASJAOLUD:
1. Luminor Pank AS (edaspidi: Pank) teatas vaide esitajale 14.09.2019 teatega arvelduskonto
lepingu ülesütlemisest ja konto sulgemisest alates 16.11.2018.
2. Vaide esitaja pöördus 20.09.2018 lepingulise esindaja kaudu Panga poole, paludes selgitada
ja põhjendada lepingu ülesütlemist. Pank keeldus selgituste andmisest, mistõttu vaide esitaja
pöördus 05.10.2018 lepingulise esindaja kaudu uuesti Panga poole, paludes mh edastada vaide
esitajale teave kõigist Panga valduses olevatest vaide esitaja isikuandmetest ning nende
töötlemisest. Pank esitas 01.11.2018 vastuse koos „inglise keelse isikuandmete piiratud
ulatuses väljavõttega“. Lepingulise esindaja e-kirja peale esitas pank 16.11.2018 vastuse ning
vähesel määral täiendatud isikuandmete inglise keelse ülevaate.
3. Vaide esitaja leidis, et Pank ei olnud täitnud isikuandmete kaitse üldmäärusest (IKÜM)
Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee
Registrikood 70004235
tulenevat kohustust väljastada andmesubjektile täielik ülevaade ja koopia töödeldavatest
isikuandmetest (nt vaide esitaja kontode ja krediitkaartide väljavõtteid, Pangale esitatud
avaldusi, taotlusi ja sõlmitud lepinguid jne).
4. Vaide esitaja esitas oma volitatud esindaja vahendusel 09.01.2019 kaebuse Andmekaitse
Inspektsioonile (AKI) seoses Panga tegevusega.
5. AKI lasi vaide esitajal ühe puuduse ära kõrvaldada, mida tehti 23.01.2019 (registreeritud
dokumendihaldussüsteemis 24.01.2019). Pangale esitati 31.05.2019 järelepärimine, millele
vastati 14.06.2019.
6. Selle järel menetlus lõpetati 11.10.2019 menetluse lõpetamise teatega nr 2.1.-1/19/126.
Lõpetamise teate sisu ja põhjendused:
„Andmekaitse Inspektsioonile on kaebuse esitanud [Eraisik], kelle arvates on Luminor Bank
AS ebaseaduslikult üles öelnud tema arvelduskonto lepingu ning ei ole väljastanud talle kogu
panga valduses tema kohta olevat teavet. Kaebaja taotleb 1) kohustada Luminor Bank AS-i
väljastama kõik [Eraisiku] poolt küsitud tema isikuandmed; 2) teostama järelevalvet Luminor
Bank AS-i isikuandmete töötlemise õiguspärasuse üle. Kaebaja ja panga vahelised
erimeelsused said alguse sellest, et pank ütles 14.09.2018 üles kaebaja arvelduskonto lepingu.
Kaebaja on pöördunud panka, paludes edastada teavet kõigist tema kohta Luminori valduses
olevatest andmetest ning leiab kaebuses, et ei ole pangalt saanud ammendavat vastust.
Selgitan kõigepealt, et Andmekaitse Inspektsioon käsitleb kaebusest üksnes isikuandmete
töötlemisega seonduvat. Seda, kas pangal oli õigus arvelduskontot sulgeda, inspektsioon
hinnata ei saa.
Alustasin isikuandmete kaitse seaduse § 56 lg 3 punkti 8 alusel järelevalvemenetlust, tehes
pangale järelepärimise. Pank vastas sellele 14.06.2019. Alljärgnevalt on esitatud inspektsiooni
küsimused ja panga vastused nendele.
1. Kas pangal on veel kaebaja 05.10.2019 päringus küsitud isikuandmeid, mis on jäänud
väljastamata?
Luminor Bank AS on väljastanud [Eraisikule] (edaspidi tekstis nimetatud ka kas andmesubjekt
või kaebaja) vastused kahele andmesubjekti poolt edastatud päringule.
05.10.2018 on kaebaja poolt esitatud päring andmetöötlemise kohta, millele on pank andnud
vastuse 01.11.2018.a
16.11.2018 esitas Luminor Bank AS vastuse kaebaja täiendavale päringule, mis esitati
andmesubjekti poolt 07.11.2018.a
Luminor Bank AS on kaebajale väljastanud informatsiooni kaebaja isikuandmete töötlemise
kohta vastavalt tema poolt esitatud päringutele ja ulatuses, mis on vastavuses Eesti Vabariigi
õigusaktidega.
2. Missuguse eelnimetatud päringus küsitud teabe väljastamine on keelatud rahapesu ja
terrorismi tõkestamise seaduse tõttu?
Vastavalt rahapesu ja terrorismi rahastamise tõkestamise seaduse (RahaPTS) §-ga 51 on
keelatud isikut, selle isiku tegelikku kasusaajat, esindajat või kolmandat isikut teavitada nende
kohta rahapesu andmebüroole esitatud teatest, sellise teate esitamise plaanist või esitamise
toimumisest ning rahapesu andmebüroo poolt käesoleva seaduse §-de 57 ja 58 alusel tehtud
ettekirjutusest või kriminaalmenetluse alustamisest.
Vastavalt krediidiasutuste seaduse (KAS) § 893 ei kohaldata krediidiasutuste suhtes Euroopa
Parlamendi ja nõukogu määruse (EL) 2016/679 artiklites 15 ja 17–21 sätestatud kohustusi
selliste isikuandmete, sealhulgas asukohaandmete suhtes ning sellises ulatuses, mida
krediidiasutus töötleb:
1) monitooringu ärisuhte seire teostamisel rahapesu ja terrorismi rahastamise
tõkestamise eesmärgil;
2) maksepettuste ja turukuritarvituste tõkestamise eesmärgil;
3) turvanõuete täitmise ning riskijuhtimise meetmete rakendamise eesmärgil.
Tulenevalt eeltoodud regulatsioonidest ei esita Luminor Bank AS mitte ühelegi andmesubjektile
andmesubjekti andmetega tutvumise päringu raames infot Rahapesu Andmebüroo poolt tehtud
päringute ja panga enda sisemiste protsesside ja tegevuste kohta (sh sisemised kliendi-põhised
2 (10)
analüüsid ja riskihinnangud), mis on suunatud rahapesu ja terrorismi rahastamise
tõkestamisele.
3. Kas pank on kaebaja andmeid edastanud kolmandatele isikutele või saanud neid
kolmandatelt isikutelt?
Oma tegevuses saab ja edastab pank andmeid erinevatelt kolmandatelt isikutelt, kelleks on
Rahapesu Andmebüroo, Finantsinspektsioon, panga välisaudiitorid, panga volitatud töötlejad
(nt maksesüsteemi osalised, rahvusvahelised kaardiorganisatsioonid, korrespondentpangad
jms), Creditinfo Eesti AS poolt hallatav andmebaas, RIK poolt hallatav e-aresti süsteem.
Luminor Bank AS ei salvesta sellist infovahetust ja ka saadud andmeid eraldi iga kliendi ja
kolmanda isiku lõikes eraldi andmete kogumina, kuivõrd selliseks info talletamiseks puudub
Luminor Bank AS-l vajadus ning seega ka eesmärk ning õiguslik alus. Konkreetse kliendi
kliendifailis andmevahetuse kohta kolmandate isikutega andmeid ei ole säilitatud.
Arvestades kaebaja poolt kasutatud pangateenuste sisu ja mahtu ja pikaajalisust on suur
tõenäosus, et panga poolt on kaebaja andmeid kolmandatele isikutele edastatud ja andmeid
kolmandatelt isikutelt ka saadud.
Kuid andmete säilitamiseks eesmärgi ja õigusliku aluse puudumisel ei ole Luminor Bank AS
selliseid andmeid säilitanud ja seetõttu konkreetseid andmeid andmeedastuse kohta Teile
edastada ei saa.
4. Kas kaebajale on konkreetselt teada antud, kellele tema andmeid on edastatud ja kellelt
neid on saadud? Kui vastus on eitav, põhjendada seda.
Üldinfo kolmandate isikute kohta, kellele Luminor Bank AS isikuandmeid edastab ja kellelt ta
neid saab, on toodud Luminori isikuandmete töötlemise korras, mis on avalikustatud Luminor
Bank AS kodulehel koos volitatud töötlejate nimekirjaga
(https://www.luminor.ee/ee/tingimused#isikuandmete-tootlemine). Kaebajale on edastatud
vastav info e-posti teel vastavate tingimuste kinnitamisele eelnevalt mais 2018.a.
5. Kas pank on teinud kaebaja kohta päringuid kolmandatele isikutele ja kas kolmandad
isikud on teinud päringuid kaebaja kohta? Kas kaebajat on sellest teavitatud?
Selgitus kattub punktides 3 ja 4 antud selgitustega.
Täiendavalt juhime tähelepanu asjaolule, et lisaks Andmekaitse Üldmäärusele reguleerib
krediidiasutuste tegevust ka krediidiasutuse seadus, mis seab ranged nõuded pangasaladusega
kaitstud kliendi kohta käiva teabe avalikustamisele. Seetõttu erinevad päringud, mida pangad
saavad seoses kliendiandmete avaldamisega, on pangale vastamiseks kohustuslikud ja ulatuses,
mis on lubatud vastavalt KAS vastavale regulatsioonile.
Krediidiasutusel on kohustus järgida RahaPTS poolt seatud piiranguid klientide teavitamise
osas õiguskaitseorganite poolt esitatud päringute osas.
Andmekaitse Üldmääruse art 14 lg 5 alusel ei ole krediidiasutustel kohustust ja ka õigust
selliste päringute osas andmesubjekte teavitada.
6. Kas kaebaja on küsinud kontode ja krediitkaartide väljavõtteid? Kas kaebajal endal on
neile juurdepääs piiratud?
Luminor Bank AS ei väljasta kontode väljavõtteid ega ka krediitkaardi väljavõtteid päringute
vastustes mis esitatakse isikuandmete töötlemise ja kogumise kohta. Eelnimetatud väljavõtetega
on võimalik andmesubjektil tutvuda internetipanga vahendusel või tellides nimetatud
väljavõtted kontode ja krediitkaartide kohta panga kontorist vastavalt panga hinnakirjas
sätestatud tasude tasumisel.
Kaebaja omas ligipääsu nimetatud andmetele internetipanga vahendusel kuni kontolepingu
ülesütlemiseni ja konto sulgemiseni 16.11.2018.a. Pärast nimetatud tähtpäeva on kaebajal
3 (10)
võimalik konto väljavõtteid saada panga kontorist.
7. Kas kaebaja kohta on tehtud profiilianalüüse, automatiseeritud otsuseid?
Profiilianalüüse ja automatiseeritud otsuseid kasutab Luminor Bank AS üldjuhul erinevate riski
haldamise meetmete rakendamiseks, sh riskiprofiili määramiseks. Täpsem info on toodud
eelviidatud Isikuandmete töötlemise korras.
Kui andmesubjekti osas tehakse automatiseeritud otsus, mis toob kaasa andmesubjektile
märkimisväärse mõju, siis andmesubjekti sellest ka teavitatakse ja antakse võimalus nõuda
otsuse ülevaatamist töötaja poolt. Luminor Bank AS pole säilitanud infot selle kohta, kas
konkreetse kliendi osas on automatiseeritud otsust tehtud. Kaebaja kohta ei ole tehtud
profiilanalüüse, v.a need mis on vaja krediidiotsusteks ja riskiprofiili määramiseks.
8. Kui eelmise küsimuse vastus on jaatav, kas kaebajale on antud sellest isikuandmete
kaitse üldmääruse art 15 lg 1 punkti h kohast teavet?
Nagu selgitasime, siis automatiseeritud otsuste tegemise korral oleks andmesubjekti kooskõlas
artikliga 22 lõige 1 ja 4 teavitatud pärast otsuse tegemist.
Profiilianalüüside osas selgitame, et kooskõlas KAS §§-ga 89.3 ja 58 lg 6 ei ole pank
kohustatud riskijuhtimise ja krediidiotsuste põhjendusi ja profileerimise loogikaid klientidele
selgitama, kuivõrd selline tegevus seaks ohtu riskijuhtimise eesmärkide saavutamise.
9. Missugustes asjassepuutuvates seadustes on Eesti piiranud isikuandmete kaitse
üldmääruses sätestatud õigusi ja kohustusi, millele viitate kaebajale vastates
(6.11.2018 nr 7-1.8/xxxx viimane lause).
Viited asjasse puutuvatele seadustele on toodud eelmiste punktide vastustes ja kaebaja osas on
eelkõige asjakohasteks säteteks KAS §§ 58 ja 89.3 ja RahaPTS § 51.
10. Kas isikuandmete väljastamine inglise keeles on tavapärane praktika või on see
kaebaja keele-eelistus?
Tulenevalt asjaolust, et andmesubjekt on Luminor Bank AS-ile enda kliendisuhte jooksul teada
andnud, et tema eelistatud kommunikatsioonikeel on inglise keel, on vastuse andmisel
võimalikult suures ulatuses järgitud kliendi poolt taotletud suhtluskeele valikut.
11. Palun esitada omapoolne seisukoht, millist osa päringust käsitlete andmesubjekti
õigusena tutvuda oma isikuandmetega.
Esitatud küsimuse sisu vajaks Teie poolset täiendavat selgitust.
Kooskõlas Andmekaitse Üldmääruse artikliga 15 on andmesubjektile antud õigus oma
isikuandmetega tutvuda. Nimetatud andmesubjekti õiguse teostamine on piiratud üldmääruse
art 15 lõikes 4 sätestatud üldise piiranguga (andmesubjekti õigused ei tohi kahjustada teiste
isikute õigusi ja vabadusi) ja juba eelviidatud Eesti Vabariigi õigusaktidest tulenevate
piirangutega. Selgitused, kuidas Luminor Bank AS selliseid piiranguid andmesubjektide osas
rakendab, põhjendasime juba eelnevates punktides.
Panga eesmärgiks on tagada igakülgselt klientide isiklike ja finantsiliste õiguste kaitse ning
Andmekaitse Üldmääruse nõuetekohane rakendamine on osa sellest.
Andmekaitse Inspektsiooni seisukoht
Kaebaja on seisukohal, et andmetöötleja ei ole täitnud üldmäärusest tulenevat kohustust
väljastada andmesubjektile täielik ülevaade ja koopia isikuandmetest.
4 (10)
Andmesubjektile tema isikuandmete töötlemisest teabe väljastamine on reguleeritud IKÜM
artiklis 15. Selle kohaselt on isikul õigus saada kinnitus, et tema andmeid töödeldakse ning
saada järgmist teavet:
a) töötlemise eesmärk;
b) asjaomaste isikuandmete liigid;
c) vastuvõtjad või vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või
avalikustatakse, eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised
organisatsioonid;
d) kui võimalik, siis kavandatav isikuandmete säilitamise ajavahemik või, kui see ei ole
võimalik, sellise ajavahemiku määramise kriteeriumid;
e) teave õiguse kohta taotleda vastutavalt töötlejalt andmesubjekti puudutavate isikuandmete
parandamist, kustutamist või töötlemise piiramist või esitada vastuväide sellisele
isikuandmete töötlemisele;
f) teave õiguse kohta esitada kaebus järelevalveasutusele;
g) kui isikuandmeid ei koguta andmesubjektilt, siis olemasolev teave nende allika kohta;
h) teave artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi
tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta,
millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.
Pank on kaebajale esitanud teabe tema isikuandmete töötlemisest esmalt 01.11.2018 ning
täiendatult äriühingute teabega 16.11.2018. Nendes on loetletud, millised isikuandmed pangal
on, selgitatud nende kogumise ja töötlemise eesmärke, säilitamist ja seda, kellele võidakse
andmeid edastada. Samuti on juhatatud panga kodulehel oleva teabe juurde, kust saab
täpsemat teavet tingimustest, sh isikuandmete töötlemise põhimõtetest.
Pank on 01.11.2019 vastuses kaebajale selgitanud, et on isikuandmete töötlemise andmeid
edastanud ulatuses, milleks andmetöötleja on kohustatud tulenevalt IKÜM artiklitest 13-15.
Nõustun pangaga, et sellega on ta täitnud andmesubjekti tema andmete töötlemisest teavitamise
kohustuse.
Kaebaja heidab pangale ette, et talle ei ole edastatud kontode ja krediitkaartide väljavõtteid;
Luminorile esitatud avaldusi, taotlusi ning sõlmitud lepinguid ega nende sisu (kuupäevad, sisu,
eesmärk jne); igasugust kliendi käitumist iseloomustavat ning analüüsivat informatsiooni;
kaebajat puudutavat sisemise infovahetuse informatsiooni; informatsiooni kaebaja poolt panka
tehtud pöördumiste (telefonikõned, e-mailid jmt) ning nende sisu ja Luminorilt saadud vastuste
kohta; ei ole kirjeldanud, kas ja milliseid otsuseid ning millise loogika ja põhjenduste alusel on
tehtud automatiseeritud andmetöötluse kaudu; ei ole selgitatud, milliste andmete väljastamisest
millise siseriikliku seaduse alusel on keeldutud.
Enamus eelnimetatud dokumentidest ja teabest (Luminorile esitatud avaldused, taotlused,
sõlmitud lepingud, tehtud kõned, saadetud e-mailid jne) on kahepoolsed, st need on olemas ka
kaebajal. Selgitan, et IKÜM art 13 lg 4 ja art 14 lg 5 punkti a kohaselt ei pea andmesubjektile
isikuandmete töötlemise teabe hulgas andma teavet, mis tal juba olemas on.
16.11.2019 vastuses on pank kaebaja tähelepanu juhtinud sellele, et siseriikliku seadusega on
krediidiasutustele tehtud erisusi andmesubjektile isikuandmete töötlemise teabe väljastamise
osas. Tõsi, selles vastuses ei ole viidatud konkreetsele seadusesättele ega selgitatud selle sisu,
mistõttu võib vastus jääda arusaamatuks. Täpsemalt on selle, millal võib piirata andmesubjekti
õigust saada teavet oma isikuandmete töötlemise kohta, pank lahti kirjutanud inspektsiooni
järelepärimise teisele küsimusele vastates (vt eespool). Nimelt sätestab krediidiasutuste
seaduse § 893, et krediidiasutuse suhtes ei kohaldata IKÜM artiklites 15 ja 17–21 sätestatud
kohustusi selliste isikuandmete, sealhulgas asukohaandmete suhtes ning sellises ulatuses, mida
krediidiasutus töötleb: 1) monitooringu ärisuhte seire teostamisel rahapesu ja terrorismi
rahastamise tõkestamise eesmärgil; 2) maksepettuste ja turukuritarvituste tõkestamise
eesmärgil; 3) turvanõuete täitmise ning riskijuhtimise meetmete rakendamise eesmärgil.
5 (10)
Kuna krediidiasutuste seaduses on isikuandmete töötlemise osas kehtestatud erisus, on pangal
seaduslik alus keelduda teabe avaldamisest rahapesu ja terrorismi tõkestamise eesmärgil
tehtava andmetöötluse osas.
Kaebaja märgib: üksnes piiratud ulatusega ja üldistusastmega isikuandmete väljastamine on
muutnud sisutuks ka andmete ülekandmise võimaluse eesmärgi ja mõtte.
Selgitan, et andmesubjekt ei saa mitte igasuguste andmete ülekandmist nõuda. Tulenevalt
IKÜM artikli 20 lõikest 1 saab nõuda selliste andmete ülekandmist, mida andmesubjekt on
andmetöötlejale ise esitanud kas nõusoleku alusel või lepingu sõlmimiseks ja täitmiseks ning
mida töödeldakse automatiseeritult. Sama artikli neljas lõige sätestab, et andmete ülekandmine
ei tohi kahjustada teiste isikute õigusi ja vabadusi. Praegu ei ole teada, et kaebaja oleks
andmete ülekandmist taotlenud ja pank sellest keeldunud, mistõttu sellel pikemalt ei peatuta.
Kaebaja märgib, et Luminorilt saadud andmete maht ei ole võrreldav näiteks Facebookilt
saadud andmemahuga. Selgitan, et andmete maht, mis vastutav andmetöötleja peab
andmesubjektile andma, ei sõltu sellest, kuidas väljastavad teavet teised andmetöötlejad.
Oluline on, et andmetöötleja järgiks isikuandmete töötlemisel Euroopa isikuandmete kaitse
üldmääruses, Eesti isikuandmete kaitse seaduses ja valdkondlikes eriseadustes sätestatut.
Kaebaja ei pea õiguspäraseks ka seda, et talle on isikuandmed väljastatud inglise keeles.
Väidetavalt ei ole kaebaja seda palunud ning kaebaja esindaja on panka pöördunud eesti
keeles. Kaebuse esitaja palub Andmekaitse Inspektsioonil teha Luminorile ettekirjutus ning
kohustada väljastama kaebuse esitajale ning teistele andmesubjektidele eestikeelseid vastuseid,
kuna keeleseaduse § 17 lg 1 järgi on kaupade ja teenuste tarbijal õigus eestikeelsele teabele ja
teenindamisele tarbijakaitseseaduse alusel.
Juhin siinjuures tähelepanu, et panga poolt kaebajale väljastatud teabe alajaotuses A on kliendi
pangaga suhtlemise keele-eelistusena märgitud inglise keel. Kaebusele ei ole lisatud
dokumente, kust nähtuks, et kaebaja on oma keele-eelistust muutnud või palunud teavet eesti
keeles. Kui kaebaja soov on saada eestikeelset teavet, saab ta alati pangalt andmete muutmist
taotleda. Selgitan ka, et Andmekaitse Inspektsiooni pädevuses on küll järelevalve isikuandmete
kaitse nõuete täitmise üle, kuid mitte keeleseaduse täitmise üle. Viimase üle teostab järelevalvet
Keeleinspektsioon. Seega ei saa Andmekaitse Inspektsioon teha pangale ettekirjutust
eestikeelse teabe väljastamiseks. Lisan, et isikuandmete töötlemisel on üheks nõudeks, et
andmesubjektile antav teave peab olema selge ja arusaadav (IKÜM art 12 lõige 1). See, kui
pank on andnud (välismaalasele) võimaluse valida, millises keeles ta soovib suhelda, ei piira
kuidagi tema õigusi, vaid aitab kaasa teabe arusaadavusele.
Eeltoodut arvestades leian, et Luminor Bank AS on kaebajale väljastanud tema isikuandmete
töötlemise kohta teavet IKÜM-s sätestatud mahus, mistõttu lõpetan järelevalvemenetluse.“
VAIDE ESITAJA NÕUE ja SELETUS:
Käesolevaga palume:
1. Tunnistada kehtetuks Andmekaitse Inspektsiooni 11.10.2019 haldusakt (teade) nr 2.1.-
1/19/126 menetluse lõpetamise kohta;
2. Lahendada uuesti [Eraisiku] poolt 09.01.2019 esitatud sekkumistaotlus (kaebus).
[Eraisik] (edaspidi Kaebaja) pöördus AKI poole 09.01.2019.a. kaebusega, milles palus
kohustada Luminor Bank AS-i (edaspidi Pank) väljastama kõik Kaebaja isikuandmed ning
teostada järelevalvet Panga poolt isikuandmete töötlemise õiguspärasuse üle.
Kaebaja oli seisukohal, et Pank ei olnud Kaebaja 5.10.2018 päringule korrektselt vastanud ega
väljastanud Kaebajale kõiki Panga käsutuses olevaid isikuandmeid, kuigi oli selleks seadusega
kohustatud.
Korduvate meeldetuletuste järel esitas AKI alles 11.10.2019 Kaebajale haldusakti (teate) nr
2.1.-1/19/126 (edaspidi Teade), milles asus seisukohale, et Pank on väljastanud Kaebajale tema
isikuandmete töötlemise kohta teavet IKÜM-s sätestatud mahus ja lõpetas
6 (10)
järelevalvemenetluse.
Vaide esitamise õigusest. Kuna AKI tõi Teates enda hinnangu Panga poolt Kaebaja
isikuandmete töötlemise kohta info andmisele ning nentis rikkumiste tuvastamata jätmist, on
sisuliselt keeldutud järelevalvemenetluse raames Kaebaja taotletud meetmete rakendamisest.
Seega on tegemist haldusmenetluse lõpetamisega sisulisel põhjusel, mis on võrdväärne
haldusakti andmisest sisulise keeldumisega. HMS § 43 lg 2 järgi on keeldumine haldusakti
andmisest käsitatav haldusaktina (vt ka Riigikohtu 23.03.2016 otsus nr 3-3-1-85-15, p 11;
22.10.2014 otsus nr 3-3-1-42-14). Seega on Kaebajal õigus esitada vaie Teate kui haldusorgani
haldusakti peale.
Vaide sisuline põhjendus. AKI leiab, tuginedes Panga poolt esitatud vastusele, et kuivõrd
krediidiasutuste seaduse §-s 893 on krediidiasutustele ette nähtud erand IKÜM artiklites 15 ja
17-21 sätestatud kohustuste täitmisest, siis oli Pangal seaduslik alus keelduda teabe
avaldamisest rahapesu ja terrorismi rahastamise tõkestamise eesmärgil tehtava andmetöötluse
osas.
Esiteks on Pank ilmselgelt pahatahtlikult eksitanud AKI-t ning kahetsusväärselt on AKI ka
seeläbi eksitusse sattunud. Nimelt ei kehtinud Kaebaja poolt Pangale tehtud teabenõude ajal
(5.10.2018 päring) ning Panga poolt Kaebajale piiratud ulatuses isikuandmete väljastamise ja
seega osalise väljastamata jätmise ajal (1.11.2018 ja 16.11.2018) KAS § 893, mistõttu ei saanud
Pank isikuandmete väljastamata jätmise hetkel sellele tugineda (ega tuginenudki). KAS § 893
jõudis krediidiasutuste seadusesse alles isikuandmete kaitse seaduse rakendamise seadusega
(vastu võetud 20.02.2019, jõustunud 15.03.2019) ning kuni selle hetkeni kehtinud KAS
redaktsioonis (jõustunud 23.05.2018) analoogset andmesubjekti õiguste piirangut ei
eksisteerinud. Küll aga kehtisid otsekohalduva IKÜM artiklid 15 ja 17-21, mis mh kohustasid
andmete töötlejat väljastama andmesubjektile kõik tema kohta kogutud isikuandmed.
Seega on ka AKI poolt Teates esitatud õiguslik põhjendus alusetu ning see on viinud selgelt
kaalutlusõiguse väära teostamiseni – puudub õiguslik võimalus jaatada, et AKI on teostanud
korrektselt kaalutlust, kuna on tuginenud kaalutluse teostamisel õigusnormile, mis Kaebajale
andmete väljastamisest keeldumise hetkel ei kehtinudki. Kaebaja rõhutab, et AKI kohustus oli
anda hinnang Panga tegevusele andmete väljastamisest keeldumisel ja keeldumist ei saa
õigustada ega põhjendada sellise keeldumist võimaldava õigusnormiga, mis keeldumise hetkel
ei kehtinud.
Teiseks ei ole AKI üleüldse tuvastanud, milliseid, väljastamata jäetud isikuandmeid Pank
Kaebaja osas valdab. Ei ole võimalik isikuandmete väljastamata jätmise peale esitatud
sekkumistaotlust menetleda, tegemata kindlaks, milliseid isikuandmeid Pank üleüldse Kaebaja
suhtes valdab ja millede väljastamisest ta keeldub. Panga vastusest AKI-le on selge, et Pank
töötleb Kaebaja osas mingeid täiendavaid, Kaebajale väljastamata isikuandmeid, kuid keeldus
nende väljastamisest, viidates (õigustamatult) KAS §-le 893. Kaebajal puuduvad võimalused
teada saada, milliseid isikuandmeid on Pank tema kohta kogunud, kuidas neid töödelnud ning
milliseid uusi isikuandmete kogumeid loonud (analüüsid, hinnangud jne), kuid selle saab välja
selgitada AKI menetluse käigus. Seda aga AKI teinud ei ole, vaid on tuginenud pelgalt Panga
poolt esitatud vastustele (sh Panga poolt osundatud õigusnormidele, mis vaidlusalusel
ajahetkel ei kehtinudki). Seega isegi kui asuda seisukohale, et Pangal oli või on sisuline õigus
teatud andmete väljastamisest keelduda, siis selleks, et hinnata, kas Panga keeldumine oli
õiguspärane, oleks pidanud AKI välja selgitama ja kontrollima Pangal olevate andmete sisu.
Ilma seda tegemata puudus AKI-l võimalus jõuda sisuliselt õige järelduseni, et vaidlusaluste
andmete näol oli tegemist andmetega, mille väljastamisest oli keeldumine lubatav. Seega ei ole
AKI menetlust sisuliselt läbi viinud. Järelevalvemenetlus ei saa olla formaalne, vaid peab
olema sisuline.
Kolmandaks on nii Pank kui ka AKI teinud üldsõnalise viite isikuandmetele, mis seonduvad
rahapesu ja terrorismi rahastamise tõkestamisega, kuid ei ole võtnud mingitust seisukohta
muude Kaebaja isikuandmete osas, mida Pank on ilmselgelt kogunud ja töödelnud, et otsustada
Kaebaja krediidivõimelisuse üle jmt.
Kaebaja ei nõustu ka AKI poolt Teates esitatud seisukohaga, et Pank ei pea väljastama
Kaebajale avaldusi, taotlusi, lepinguid, tehtud kõnesid, saadetud e-kirju jne, kuna need on
7 (10)
kahepoolse suhtluse väljendused ning olemas ka Kaebajal endal. IKÜM art 13 lg 4 ja art 14 lg
5 p a peavad silmas olukordi, kus andmete töötleja on andmesubjektile juba esitanud teabe ning
andmesubjekt nõuab teabe uuesti esitamist. Andmesubjektidel ei pruugi olla alles kogu
informatsioon, mida ta on edastanud ise (art 13) ning kindlasti ei saa eeldada, et
andmesubjektil on olemas informatsioon, mille on edastanud kolmandad isikud (art 14). Täiesti
sisutuks muutub aga AKI tõlgenduse korral art 20 lg 1, mille järgi Andmesubjektil on õigus
saada teda puudutavaid isikuandmeid, mida ta on vastutavale töötlejale esitanud,
struktureeritult, üldkasutatavas vormingus üldkasutatavas vormingus ning masinloetaval kujul
/…/. Juhul, kui vastutav töötleja ei peaks väljastama andmesubjektile andmeid, mille
andmesubjekt on talle edastanud, siis jääb selgusetuks nimetatud sätte mõte ja eesmärk. Sätte
mõte on aga tagada, et andmesubjektil oleks igal ajal võimalus saada isikuandmed, mille
säilitamise kohustus on pandud vastutavale töötlejale.
Kaebaja eeldab ja soovib, et AKI viib käesoleva vaide tulemusena läbi järelevalvemenetluse
eelnevalt esile toodud kaalutlusvigadeta ning ebamõistlike viivitusteta ning teeb menetluse
tulemusena seadusliku ja põhjendatud otsuse. Senine haldusakt – Teade - menetluse lõpetamise
kohta ei ole olnud sisulistel ja formaalsetel põhjustel seadusega kooskõlas.
Käesolevaga kinnitame, et selles asjas ei ole jõustunud kohtuotsust ega toimu muid menetlusi
(kohtus ega muus asutuses).
ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:
Olen tutvunud Teie kaebuse, sellega seotud dokumentide, sh menetluse lõpetamise teatega ning
esitatud vaidega. Esitatud vaide osas leian järgnevat.
1. Vaide ese ehk vaidlustatav toiming
1.1. Vaide esitaja sooviks on:
„1. Tunnistada kehtetuks Andmekaitse Inspektsiooni 11.10.2019 haldusakt (teade) nr 2.1.-
1/19/126 menetluse lõpetamise kohta;
2. Lahendada uuesti [Eraisiku] poolt 09.01.2019 esitatud sekkumistaotlus (kaebus).“
1.2. Vaide esitaja leiab, et AKI 11.10.2019 menetluse lõpetamise teade on haldusakt, järgmistel
põhjustel: „Kuna AKI tõi Teates enda hinnangu Panga poolt Kaebaja isikuandmete töötlemise
kohta info andmisele ning nentis rikkumiste tuvastamata jätmist, on sisuliselt keeldutud
järelevalvemenetluse raames Kaebaja taotletud meetmete rakendamisest. Seega on tegemist
haldusmenetluse lõpetamisega sisulisel põhjusel, mis on võrdväärne haldusakti andmisest
sisulise keeldumisega. HMS § 43 lg 2 järgi on keeldumine haldusakti andmisest käsitatav
haldusaktina (vt ka Riigikohtu 23.03.2016 otsus nr 3-3-1-85-15, p 11; 22.10.2014 otsus nr 3-3-
1-42-14). Seega on Kaebajal õigus esitada vaie Teate kui haldusorgani haldusakti peale.“
1.3. Haldusakt on haldusmenetluse seaduse (HMS) § 51 lg 1 kohaselt haldusorgani poolt
haldusülesannete täitmisel avalikõiguslikus suhtes üksikjuhtumi reguleerimiseks antud, isiku
õiguste või kohustuste tekitamisele, muutmisele või lõpetamisele suunatud korraldus, otsus,
ettekirjutus, käskkiri või muu õigusakt.
1.4. AKI viidatud menetluse lõpetamise teade ei olnud korraldus, otsus, ettekirjutus, käskkiri
ega mingi muu õigusakt. Sellega ei reguleeritud vaide esitaja õigusi või kohustusi. Lisaks
märgin, et mitte iga järelevalvemenetlus ei lõppe haldusakti andmisega. Näiteks, kui
isikuandmete töötleja väljastab järelevalvemenetluse käigus andmesubjektile tema soovitud
isikuandmed ehk õiguslik olukord on taastatud. Sellises olukorras puudub vajadus koostada
ettekirjutus isikuandmete väljastamiseks. Seetõttu ei saa vaide esitaja ka eeldada, et esitatud
kaebuse tõttu koostatakse haldusakt.
1.5. AKI leiab, et vaidlustatud menetluse lõpetamise teade on toiming HMS § 106 mõistes.
Haldusmenetluse käsiraamatu järgi on menetlustoimingud mh ka otsustused, millega
algatatakse või lõpetatakse haldusmenetlus ilma sisulist otsust tegemata.1 Ka kohtupraktikas on
leitud, et AKI menetluse lõpetamise teade on toiming (vt Tallinna Ringkonnakohtu 01.10.2015
1
A. Aedmaa jt. Haldusmenetluse käsiraamat,2004, lk 257, p 9.1.3.5.
8 (10)
otsust nr 3-14-51724, täpsemalt p 13). Sama kohtuotsuse punktis lisaks märgitakse, et
andmesubjektil puudub õigus nõuda AKI-lt konkreetse järelevalvemeetme rakendamist (s.o.
haldusakti andmist).
1.6. Siiski, ka toiminguid on võimalik vaidlustada, sh on haldusorganil võimalik üle vaadata
enda tehtud toiminguid. Seetõttu saan esitatud vaidest aru, et vaide esitaja soovib, et AKI
uuendaks lõpetatud järelevalvemenetluse ehk jätkaks kaebuse menetlemist Panga suhtes.
2. Haldusmenetluse uuendamise nõuded
2.1. HMS § 44 määratleb ära need olukorrad, millal haldusmenetlust on võimalik uuendada.
Selle järgi haldusorgan uuendab menetlusosalise taotlusel haldusmenetluse, kui:
2.1.1 taotluse esitaja õigusi kestvalt piirava haldusakti andmise aluseks olnud asjaolu või
õigusnorm on ära langenud;
2.1.2. asjas ilmnevad uued olulised tõendid, mis ei olnud isikule haldusmenetluse ajal teada;
2.1.3. jõustunud kohtuotsusega on tuvastatud, et haldusakt on antud või toiming on sooritatud
pettuse või ähvardusega või muul viisil haldusorgani õigusvastase mõjutamise tulemusena või
et haldusorgani nimel tegutsenud isik on haldusmenetluse käigus pannud toime kuriteo;
2.1.4. jõustunud kohtuotsusega on tühistatud kohtuotsus, millel haldusakt põhines.
2.2. Lisaks eeltoodud kohustustele on haldusorganil ka diskretsiooniõigus otsustamaks, kas
varasemalt lõpetatud menetluse uuendamiseks on ka mõni muu põhjus.
3. Sisulised põhjendused
3.1. Vaide esitaja on märkinud: „Esiteks on Pank ilmselgelt pahatahtlikult eksitanud AKI-t ning
kahetsusväärselt on AKI ka seeläbi eksitusse sattunud. Nimelt ei kehtinud Kaebaja poolt
Pangale tehtud teabenõude ajal (5.10.2018 päring) ning Panga poolt Kaebajale piiratud
ulatuses isikuandmete väljastamise ja seega osalise väljastamata jätmise ajal (1.11.2018 ja
16.11.2018) KAS § 893, mistõttu ei saanud Pank isikuandmete väljastamata jätmise hetkel
sellele tugineda (ega tuginenudki). KAS § 893 jõudis krediidiasutuste seadusesse alles
isikuandmete kaitse seaduse rakendamise seadusega (vastu võetud 20.02.2019, jõustunud
15.03.2019) ning kuni selle hetkeni kehtinud KAS redaktsioonis (jõustunud 23.05.2018)
analoogset andmesubjekti õiguste piirangut ei eksisteerinud. Küll aga kehtisid otsekohalduva
IKÜM artiklid 15 ja 17-21, mis mh kohustasid andmete töötlejat väljastama andmesubjektile
kõik tema kohta kogutud isikuandmed.“.
3.2. Nõustun sellega, et oktoobris-novembris 2018 esitatud isikuandmete väljastamise
päringute tegemise ajal puudus krediidiasutuste seaduses (KAS) § 893 – see säte jõustus alles
15.03.2019. Kuna AKI lähtus menetluse lõpetamise teates ekslikult sellest infost, siis on põhjust
menetluse uuendamiseks.
3.3. Muude vaides esitatud põhjenduste osas, ei näe ma vajadust eraldi seisukohta võtta, kuna
vaie rahuldatakse ning järelevalvemenetlus uuendatakse (HMS § 56 lg 4). Uuendatud
järelevalve käigus tehtavate võimalikele menetluslike toimingute ja võimaliku lõppotsuse osas
viitan uuesti Tallinna Ringkonnakohtu 01.10.2015 otsuse nr 3-14-51724 punktile 13.
4. Vaidemenetluse väliselt märgin järgnevat:
4.1. On tõsi, et IKÜM art 15 annab andmesubjektile õiguse küsida enda kohta käivaid
isikuandmeid, sh koopiaid töödeldavatest isikuandmetest (IKÜM art 15 lg 3 lause 1). Samas
tuleb ka arvestada, et see koopiate saamise õigus ei kahjustaks teiste isikute õigusi ja vabadusi
(IKÜM art 15 lg 4). Samuti on võimalik, et siseriiklik seadusandlus piirab andmesubjekti õigust
saada enda kohta käivaid isikuandmeid – erisusi lubab kehtestada IKÜM art 23. Nende
asjaoludega peab ka isikuandmete töötleja arvestama, kui ta otsustab, kas ning mis ulatuses
isikuandmeid on võimalik andmesubjektile väljastada.
4.2. AKI teostab isikuandmete töötlejate üle nii riiklikku- ja haldusjärelevalvet. Need mõlemad
järelevalveliigid lähtuvad HMS-s sätestatud haldusmenetluse nõuetest. Kui mingil põhjusel
peaks uuendatud menetlus viima selleni, et on vaja koostada ettekirjutus isikuandmete
väljastamiseks, siis selle koostamisel arvestatakse HMS-s haldusaktile kehtivatest nõuetest.
Üks nõuetest tuleneb HMS §-st 54: haldusakt on õiguspärane, kui ta on antud pädeva
9 (10)
haldusorgani poolt andmise hetkel kehtiva õiguse alusel ja sellega kooskõlas, proportsionaalne,
kaalutlusvigadeta ning vastab vorminõuetele. See tähendab, et ka siis peab AKI arvestama
kehtiva õigusega, sh ka KAS §-s 893 sätestatuga.
Lugupidamisega
/allkirjastatud digitaalselt/
Raavo Palu
Õigusdirektor
Peadirektori ülesannetes
10 (10)