ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ETTEKIRJUTUS-HOIATUS
isikuandmete kaitse asjas nr. 2.1.-4/22/2585
Ettekirjutuse tegija Andmekaitse Inspektsiooni jurist Geili Keppi
Ettekirjutuse tegemise aeg 06.12.2022 Tallinnas
ja koht
Ettekirjutuse adressaat – OÜ Laidoneri KV registrikood 12955595
Viljandi maakond, Viljandi linn, J. Laidoneri plats 8, 71020
isikuandmete töötleja e-posti aadress: [email protected]
Isikuandmete töötleja Juhatuse liige
vastutav ametiisik
RESOLUTSIOON:
Isikuandmete kaitse seaduse § 56 lõike 1, lõike 2 punkti 8, § 58 lõike 1 ning isikuandmete
kaitse üldmääruse (IKÜM) artikli 58 lõike 2 punkti d alusel, arvestades IKÜM
artiklitega 5, 6 ja 12-14, teen täitmiseks kohustusliku ettekirjutuse:
Peatada kaamerate kasutamine OÜ Laidoneri KV territooriumil kuniks ei ole täidetud
järgnevad punktid:
1. kaamerate kasutamise kohta on koostatud õigustatud huvi analüüs vastavalt
Inspektsiooni poolt koostatud juhendile ning mille IKÜM-i nõuetele vastavust on
Andmekaitse Inspektsioon kinnitanud;
2. koostatud on andmekaitsetingimused, mille IKÜM-i nõuetele vastavust on
Andmekaitse Inspektsioon kinnitanud.
Määran ettekirjutuse täitmise tähtajaks 20.12.2022.
Ettekirjutuse täitmisest teatage hiljemalt selleks tähtajaks Andmekaitse Inspektsioonile.
VAIDLUSTAMISVIIDE:
Käesoleva ettekirjutuse saab vaidlustada 30 päeva jooksul, esitades kas:
- haldusmenetluse seaduse kohase vaide Andmekaitse Inspektsioonile või
- halduskohtumenetluse seadustiku kohase kaebuse Tallinna Halduskohtusse (sel juhul ei saa
enam samas asjas vaiet läbi vaadata).
Ettekirjutuse vaidlustamine ei peata selle täitmise kohustust ega täitmiseks vajalike abinõude
rakendamist.
SUNNIRAHA HOIATUS:
Kui ettekirjutus on jäetud määratud tähtajaks täitmata, määrab Andmekaitse Inspektsioon
ettekirjutuse adressaadile isikuandmete kaitse seaduse § 40 lõike 2 alusel sunniraha
punktides 1-2 iga kohustuse täitmata jätmise eest summas 2000 eurot.
Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee
Registrikood 70004235
Sunniraha võib määrata korduvalt – kuni ettekirjutus on täidetud. Kui adressaat ei tasu
sunniraha, edastatakse see kohtutäiturile täitemenetluse alustamiseks. Sel juhul lisanduvad
sunnirahale kohtutäituri tasu ja muud täitekulud.
FAKTILISED ASJAOLUD:
AKI algatas 28.10.2022 omaalgatusliku järelevalvemenetluse, mille eesmärgiks oli välja
selgitada, missugusel õiguslikul alusel ning eesmärgil kasutab juriidiline isik OÜ Laidoneri
KV, registrikoodiga 12955595 kaameraid.
OÜ Laidoneri KV selgitas 02.11.2022 saadetud kirjas, et Park Hotell Viljandi kaamerad on
nähtavalt paigaldatud maja kolme välisnurka (majandushoov, välisuks ning maja teine külg),
esimese korruse avalikesse ruumidesse (siseaatrium ja restoran) ning keldrikorrusel asuvasse
kööki.
Kuivõrd AKI-le ei esitatud enne kaamerate kasutamist läbi viidud õigustatud huvi analüüsi,
siis tegi AKI 18.11.2022 OÜ-le Laidoneri KV ettepaneku isikuandmete kaitse asjas, sh
selgitades, et meile arusaadavalt tugineti oma vastuses isikuandmete kaitse üldmääruse
(edaspidi IKÜM) artikkel 6 lõige 1 punktile a, mille järgi on isikuandmete töötlemise
(videokaamerate kasutamine) õiguslikuks aluseks isikute nõusolek. Andmekaitse Inspektsioon
tegi sellest tulenevalt OÜ-le Laidoneri KV ettepaneku videovalve kasutamine lõpetada ja
olemasolevad salvestised kustutada, kuna KV Laidoneri OÜ-l puudub kontrollitud õiguslik
alus videovalve kasutamiseks ning saata selle kohta inspektsioonile kinnitus hiljemalt
24.11.2022.
Ettepanekus selgitas AKI muuhulgas ka, miks ei loeta töösuhetes antud nõusolekut
vabatahtlikult antud nõusolekuks ja miks ei saa sellele õiguslikule alusele kaamerate
kasutamisel tugineda.
OÜ Laidoneri KV vastas 21.11.2022 AKI poolt tehtud ettepanekule ning kinnitas jätkuvalt, et
kaamerate kasutamisel tuginetakse siiski töötajate nõusolekule;
Kuivõrd järelevalvemenetluse käigus selgus, et kaameratest teavitavad sildid ei vasta
nõuetele, siis palus inspektsioon 18.11.2022 tehtud ettepanekus luua ka nõuetele vastavad
teavitussildid, juhul kui KV Laidoneri OÜ soovib siiski videovalvet kasutada . Inspektsioonile
edastati küll pildid teavitussiltidest, kuid nendel siltidel puudus viide videovalve eesmärgile,
õiguslikule alusele ja vastutavale töötlejale. Puudus viide ka sellele, kust ja kuidas
klient/töötaja leiab andmekaitsetingimused.
OÜ Laidoneri KV selgitas 21.11.2022 esitatud vastuses inspektsiooni ettepanekule, et nende
hinnangul on olemasolevad teavitussildid piisavad, kuna need on paigaldatud maja seintele ja
on aru saada, et need viitavad selles majas olevatele kaameratele. Siiski edastas KV Laidoneri
OÜ 29.11.2022 pildid teavitussiltidest, mis on koostatud Andmekaitse Inspektsiooni poolt
välja töötatud videovalve sildi genereerijaga.
ISIKUANDMETE TÖÖTLEJA SELETUS:
21.11.2022 esitatud vastuses AKI ettepanekule selgitas KV Laidoneri OÜ muuhulgas
järgmist: „Nagu ma olen korduvalt selgitanud, siis meie majas töötavad inimesed on andnud
suusõnalise nõusoleku (võite imestada, aga täiesti vabatahtlikult), et nad mõistavad millistel
eesmärkidel on meie majas valvekaamerad. Eesmärk on tagada territooriumil viibivate
inimeste ning maja turvalisus. Teavitussildid on paigaldatud ning fotod teile ka saadetud.
Teavitussildid on paigaldatud maja seintele (viitavad video valvele) ja sealt saab välja
lugeda, et need käivad selle maja kohta, kuna on paigaldatud maja seintele, ustele, aiale ja
2 (4)
siseruumi. Varasemates vastustes pole kordagi olnud viidet, et teavitussiltidel peaks olema
teie viimases kirjas välja toodud lisainfot ning samuti pole ma Viljandi linnapildis kohanud
videovalve silte, kus on väljatoodud lisainfo: töötlemise eesmärk, õiguslik alus, vastutava
töötleja nimi ja kontaktandmed ning info, kus saab tutvuda andmekaitsetingimustega.“
ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:
1. Isikuandmete kaitse üldmääruse (IKÜM) artikli 5 kohaselt peab andmetöötlus olema
seaduslik. Seaduslik on isikuandmete töötlemine ainult juhul, kui esineb mõni IKÜM
artiklis 6 toodud õiguslikest alustest.
2. IKÜM artikkel 6 lõike 1 järgi on isikuandmete töötlemine seaduslik ainult juhul, kui
selleks esineb mõni nimetatud artiklis sätestatud õiguslik alus. Töösuhtes saab reeglina
isikuandmete töötlemine olla seaduslik, kui see on seotud lepinguliste kohustuste või
tööandjale seadusest tulenevate kohustuste täitmisega või kui tegemist on tööandja või
kolmanda isiku õigustatud huviga. Siinjuures märgime, et lepinguliste kohustuste
täitmisele saab tugineda üksnes selliste töötlemistoimingute puhul, mis ongi reaalselt
vajalikud tööandjale töölepingu täitmiseks, mida kaamerate kasutamine kindlasti olla
ei saa. Ka seadusest ei tulene ühtegi kohustust, mis kohustaks praegusel juhul KV
Laidoneri OÜ-d kasutama kaameravalvet. Seega on praegusel juhul kaamerate
kasutamine võimalik vaid õigustatud huvi korral (IKÜM art 6 lg 1 p f). Õigustatud
huvile tuginemisel peab aga olema läbi viidud õigustatud huvi hinnang kaamerate
kasutamise osas. Informatsiooni selle kohta saatis AKI oma 18.11.2022 tehtud
ettepanekus nr 2.1.-4/22/2585. Lisaks selgitas AKI viidatud ettepanekus ka, miks ei
saa tugineda kaamerate kasutamisel töötajate nõusolekule.
3. Kuna isikute jälgimine kaamera abil riivab eraelu puutumatust olulisel määral ja nende
kasutamine on võimalik vaid õigustatud huvi korral, siis on oluline, et läbi oleks
viidud õigustatud huvi hindamine, millest nähtub, et andmetöötleja huvi kaalub üles
andmesubjekti huvid või põhiõigused ja –vabadused. Olukorras, kus see nii ei ole, ei
ole ka kaamerate kasutamine lubatud. IKÜM artikkel 5 lõike 2 kohaselt peab
andmetöötluse seaduslikkust tõendama andmetöötleja. Kuidas õigustatud huvi hinnata,
oleme selgitanud juhendis.
4. Õigustatud huvi hindamine pole pelgalt vormitäiteks. Selle eesmärk on kõigile
arusaadavalt ära põhjendada, miks on vaja kasutada just nii palju ja sellistes
asukohtades kaameraid. Millist eesmärki kaamerad täidavad ning miks ükski teine
meede pole piisav. Eesmärgid tuleb välja tuua täpselt, nt ei sobi abstraktne viide
„protsesside jälgimiseks“ või „turvalisuse tagamiseks“. Kui kaamerat kasutatakse vara
kaitseks, siis tuleb täpselt kirjeldada, milles seisneb oht varale ning miks see oht on
realistlik (viited varem aset leidnud juhtumitele). Kaameraid ei saa kasutada
hüpoteetilise ohu tõttu. Kirja tuleb panna kõik eesmärgid, milleks kaameraid reaalselt
kasutatakse.
5. Seejärel tuleb konkreetselt põhjendada, miks on kaamerad paigaldatud just sellistesse
kohtadesse ning milliseid kaameraid kasutatakse. Kaamerajälgimisega põhjustatava
riive vähendamiseks tuleb need suunata üksnes konkreetsele probleemsele kohale.
Mittevajalik osa kaamera vaateväljast tuleb hägustada või kinni katta.
6. Kui eeltoodu on tehtud, tuleb selgitada, millist mõju omavad kaamerad töötajatele.
Töötajate õiguste riive suurust mõjutab ka see, kaua salvestisi säilitatakse ning kellel
on neile juurdepääs. Muuhulgas tuleb arvestada ka stressiga, mida põhjustab pideva
jälgimise all olek.
7. AKI selgitas ettepanekus muuhulgas, et töösuhtes ei saa tugineda nõusoleku
õiguslikule alusele, kuivõrd tegemist on alluvussuhtega ja sellisel juhul on
vähetõenäoline, et isik andis nõusoleku vabatahtlikult. Ka Euroopa
3 (4)
andmekaitsenõukogu on oma juhises, mis käsitleb videoseadmete kaudu isikuandmete
töötlemist („Guidelines 3/2019 on processing of personal data through video devices“)
jõudnud samale järeldusele ning Andmekaitse Inspektsioon lähtub Euroopa
andmekaitsenõukogu suunistest. Lisaks selgitasime ka, et kui peaks tekkima olukord
(OÜ KV Laidoneri näitel), kus üks töötaja enda nõusolekut oma andmete töötlemiseks
ei anna või selle hiljem tagasi võtab (see õigus tuleneb IKÜM artikkel 7 lõikest 3), siis
teoreetiliselt ei tohiks ta ka kaamera vaatevälja sattuda, mistõttu tekib tööandjal
kohustus sulgeda kaamera igal hetkel, kui töötaja kaamera ette satub (mis on
tegelikkuses võimatu). Lisaks on nõusoleku kasutamine kaamerate puhul
problemaatiline ka seetõttu, et kaamerate vaatevälja jäävad ka isikud, kes ei ole
töötajad ja ei ole eluliselt usutav, et KV Laidoneri OÜ andmetöötlejana nendelt
isikutelt igakordselt nõusoleku võtab. Praegusel juhul toimub kaamerate kasutamine
seega ilma õigusliku aluseta - ebaseaduslikult.
8. Kaamerate kasutamise puhul peavad olema paigaldatud ka nõuetekohased
teavitussildid, kus on esitatud täpsem viide andmetöötleja andmekaitsetingimustele.
KV Laidoneri OÜ selgitas esialgses vastuses AKI-le, et teavitussildid olid nende
hinnangul sobilikud, kuna need olid paigaldatud maja seinale ning seetõttu oli aru
saada, et need käivad selle maja kohta. Lisaks pole KV Laidoneri OÜ väitel AKI enne
ettepaneku tegemist viidanud teabele, mis peab teavitussiltidel olema. Siinkohal
märgime, et AKI viitas AKI poolt välja töötatud videovalve sildi genereerijale juba
esimeses järelepärimises. Teavitussildil peab olema info selle kohta, kes on vastutav
töötleja, milline on isikuandmete töötlemise eesmärk ja selle õiguslik alus ning ka
vastutava töötleja kontaktandmed. 29.11.2022 edastas KV Laidoneri OÜ
inspektsioonile pildid uutest paigaldatud siltidest, millest nähtub, et siltidel on olemas
vajalik info. Küll aga on segadust tekitav, et siltidel on viidatud õigusliku alusena
õigustatud huvi alusele. Samas on KV Laidoneri OÜ menetluse käigus korduvalt
viidanud justkui toimuks videovalve kasutamine isikute nõusoleku alusel.
9. Võttes arvesse eelpool toodut, on käesoleval hetkel isikuandmete töötlemine
(filmimine) OÜ KV Laidoneri poolt ebaseaduslik, kuna ei vasta IKÜM 5, 6, 12 ja 13
nõuetele.
10. Vastavalt IKS § 58 lõikele 1 ning IKÜM artikkel 58 lõike 2 punktidele d ja f, on
inspektsioonil õigus anda korraldus, et andmetöötleja viiks isikuandmete töötlemise
toimingud teatud viisil ja teatud aja jooksul vastavusse IKÜM sätetega, õigus
kehtestada ajutine või alaline isikuandmete töötlemise piirang, sh töötlemiskeeld.
11. Ettepaneku lõpus juhtis AKI tähelepanu sellele, et Andmekaitse Inspektsioonil on
õigus vastavalt IKS § 56 lõike 2 punktile 8, § 58 lõikele 1 ning isikuandmete kaitse
üldmääruse artikli 58 lõike 2 alusel teha isikuandmete töötlejale ettekirjutus, kui
isikuandmete töötleja on rikkunud isikuandmete kaitse töötlemise nõudeid.
12. Võttes arvesse asjaolusid, et isikuandmeid töödeldakse hetkel ebaseaduslikult ja OÜ
KV Laidoneri pole näidanud valmisolekut andmetöötlus viia kooskõlla IKÜM-is
toodud nõuetega, siis leiab inspektsioon, et kohustusliku ettekirjutuse tegemine antud
asjas on vajalik selleks, et lõpetada õigusrikkumine võimalikult kiiresti ning tagada
isikute privaatsuse kaitse. Seetõttu teeb inspektsioon kohustusliku ettekirjutuse
peatada jälgimiskaamerate kasutamine OÜ KV Laidoneri territooriumil kuni ettevõte
täidab IKÜM-ga pandud kohustused sellise andmetöötluse tegemiseks.
(allkirjastatud digitaalselt)
Geili Keppi
jurist
peadirektori volitusel
4 (4)