ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
mydentist.ee Teie 19.06.2025
Meie 11.08.2025 nr 2.1.-4/25/879-1919-3
Hoiatus isikuandmete kaitse asjas ja menetluse lõpetamise teade
Andmekaitse Inspektsiooni menetluses1 on kolme tervishoiutöötaja kaebused seoses sellega, et
veebilehel mydentist.ee on avaldatud nende isikuandmed ning nende kohta tõele mittevastavat
informatsiooni ilma nende vastava nõusolekuta. Kaebajad soovivad oma andmete kustutamist
veebilehelt.
Täiendavalt ilmnes esitatud kaebustest, et mydentist.ee veebilehe vahendusel on võimalik
broneerida aeg valitud hambakliiniku juurde, kuigi kliinikud ei ole veebilehe ja/või
teenusepakkujaga liitunud.
Menetluse käigus tegi AKI veebilehe mydentist.ee haldajale X.X. järelepärimise ning saadud
vastusele tuginedes selgitab alljärgnevat.
Andmekaitse Inspektsiooni seisukoht
1. Isikuandmete töötlemisele kehtestatud nõuded on reguleeritud isikuandmete kaitse üldmääruses
(IKÜM), mis näeb mh ette töötlemise aluspõhimõtted, mis nõuavad andmete seaduslikku, ausat ja
läbipaistvat töötlemist, eesmärgipärast kogumist, minimaalsuse, täpsuse, säilitamise piirangute ja
turvalisuse tagamist (IKÜM art 5 lg 1). Andmetöötleja on kohustatud järgima neid põhimõtteid
igas isikuandmete töötlemise etapis.
2. Töötlemise õiguspärasuse eest vastutab ja on võimeline selle täitmist tõendama isikuandmete
vastutav töötleja (IKÜM art 5 lg 2).
3. Vastavalt IKÜM art 5 lg 1 p-le a peab isikuandmete töötlemine olema seaduslik, õiglane ja
andmesubjektile läbipaistev. Töötlemine on seaduslik juhul, kui selleks on vähemalt üks IKÜM
art 6 lg-s 1 toodud õiguslik alus. Olukorras, kus tegemist on eriliigiliste isikuandmete (sh
terviseandmete) töötlemisega, peab lisaks art-le 6 esinema ka vähemalt üks art-st 9 tulenev asjaolu.
4. Oma vastuses järelepärimisele toote välja, et Teie tegevuse õiguslik alus on IKÜM art 6 lg 1 p b
(leping) või p f (õigustatud huvi).
5. AKI juhib tähelepanu, et kuna olete loonud oma veebilehele mydentist.ee funktsionaalsuse, mis
võimaldab broneerida aja valitud hambaarsti vastuvõtule ning pöördumisvorm sisaldab välja
„pöördumise põhjus“, on üsna tõenäoline, et inimesed sisestavad sinna oma terviseandmeid.
Praktikas on ka levinud, et hambakliinikud soovivad ette infot, millise probleemiga inimesed
1
Isikuandmete kaitse seaduse § 56 lg 3 punkti 8 alusel.
Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee
Registrikood 7000423
pöörduvad (nt kontroll, hambavalu jne) oma töö paremaks korraldamiseks, seega on inimeste jaoks
pöördumise põhjuse täpsem selgitamine pigem tavapärane.
6. Seega on vähemalt pöördumisvormi täitmise puhul tegemist mh eriliigiliste isikuandmete
töötlemisega, mis ei saa tugineda õigustatud huvile. Antud juhul ei ole võimalik tugineda ka
lepingulisele suhtele (IKÜM art 6 lg 1 p b), sest teie puhul ei sõlmi inimene teiega
tervishoiuteenuse osutamise lepingut (ei saa rakendada art 9 lg 1 p-i b või h).
7. AKI selgitab täpsemalt, et tervishoiuteenuse osutaja (valitud arsti/kliiniku) juures toimuv patsiendi
vastuvõtt ning hambaravi on käsitletav tervishoiuteenuse osutamisena ning selle raames toimuva
isikuandmete töötlemise õiguslik alus on IKÜM art 6 lg 1 p b koostoimes art 9 lg 2 p h (patsient
sõlmib arstiga tervishoiuteenuse osutamise lepingu). Broneeringu vahendamise eesmärgil kogutud
andmete edastamisel konkreetsele arstile/kliinikule saab õiguslik alus olla nõusolek (IKÜM art 6
lg 1 p a koostoimes art 9 lg 1 p a).
8. IKÜM artikli 4 punktis 11 on nõusolek määratletud järgmiselt: „iga vabatahtlik, konkreetne,
teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt annab avalduse või selge nõusoleku
andmise meetme kaudu nõusoleku teda puudutavate isikuandmete töötlemiseks.“ Seega lähtudes
artikli 4 põhimõttest peab nõusolek alati olema vabalt antud, spetsiifiline, informeeritud ja
andmesubjekti ühemõtteline tahteavaldus, millega ta oma avaldusega või selge kinnituse
andmisega nõustub nõustuma teda puudutavate isikuandmete töötlemisega. Nõusolek peab olema
antud nii, et ei oleks kahtlust, kas see vastab kõikidele tingimustele üheaegselt (vabatahtlik,
teadlik, konkreetne ja ühemõtteline).
9. Seega sisuliselt peab inimene nõustuma nii teie loodud veebilehe kasutamisega kui ka sellega, et
ta selle veebilehe vahendusel edastab oma andmed valitud kliinikule/arstile. Seejuures peab
inimene selgelt aru saama, et teie loodud veebileht on üksnes mõeldud teenuse ja teabe
vahendamiseks ja et seda kasutatakse kanalina broneeringuinfo edastamiseks.
10. IKÜM art 5 kohaselt on läbipaistvuse nõue üks aluspõhimõtteid, mis on tihedalt seotud õigluse ja
seaduslikkuse põhimõtetega. Andmesubjektidele enne nõusoleku saamist teabe andmine on
oluline selleks, et võimaldada neil teha teadlikke otsuseid, mõista, millega nad nõustuvad, ja
näiteks kasutada oma õigust nõusolek tagasi võtta. Kui vastutav töötleja ei esita kättesaadavat
teavet, muutub kasutaja kontroll näiliseks ja nõusolek kui töötlemise alus on kehtetu. Vastutav
töötleja peab tagama, et nõusolek antakse teabe alusel, mis võimaldab andmesubjektidel hõlpsasti
tuvastada, kes on vastutav töötleja, ja mõista, millega nad nõustuvad. Vastutav töötleja peab selgelt
kirjeldama andmetöötluse eesmärki, milleks nõusolekut taotletakse.2
11. Lisaks eelnevale on andmetöötlejal ka täiendavad kohustused, mis tulenevad IKÜM artiklitest 13
ja 14 ehk teave, mis tuleks esitada andmesubjektidele. Andmetöötleja on kohustatud teavitama
artiklite 15-22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult selgelt ja arusaadavalt, sh
andma informatsiooni isikuandmete töötlemise eesmärgi, kogutud isikuandmete jms kohta (IKÜM
art 15).
12. Läbipaistvuse põhimõte eeldab, et kogu isikuandmete töötlemisega seotud teave on
andmesubjektile lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud. See puudutab eelkõige
andmesubjektide teavitamist, et tagada õiglane ja läbipaistev töötlemine. Inimeste teavitamist
reguleerivad täpsemalt IKÜM artiklid 12-14. IKÜM artiklites 13 ja 14 on välja toodud, mida peab
inimesele antav teave minimaalselt sisaldama.
13. Läbipaistvuspõhimõte võtab peamiselt arvesse seda, et andmesubjektil oleks võimalik eelnevalt
kindlaks määrata, milline on töötlemise ulatus ja tagajärjed ja teda ei üllataks hiljem see, kuidas
tema isikuandmeid kasutatakse. Samuti peab isikuandmete töötlemine ja selle eesmärgid olema
2
Vt ka Euroopa Andmekaitsenõukogu suunised 05/2020 nõusoleku kohta vastavalt määrusele 2016/679.
2 (4)
esitatud selges ja lihtsas keeles, mis tähendab seda, et teave tuleks esitada võimalikult lihtsalt,
vältides keerulisi lauseehitusi ja keelestruktuure. Teave peaks olema konkreetne ja lõplik; sõnastus
ei tohiks olla abstraktne või mitmeti mõistetav ega jätma võimalust erinevateks tõlgendusteks.
Eelkõige peaksid olema selged isikuandmete töötlemise eesmärk ja õiguslik alus.3
14. Veebilehel mydentist.ee olevad andmekaitsetingimused (Privaatsuspoliitika mydentist.ee) on
üldsõnalised ning ei sisalda endas kogu IKÜM art-tega 13 ja 14 nõutavat teavet. Näiteks ei ole
välja toodud eriliiki andmete töötlemist puudutav teave, töötlemise õiguslikud alused, kellele
isikuandmeid edastatakse, kui kaua andmeid säilitatakse jne. Samuti puudub info selle kohta, kes
on isikuandmete vastutav töötleja (puudub ettevõtte nimi).
15. Mis puudutab arstide jt spetsialistide (kliiniku töötajad) kohta andmete avaldamist, siis Teie antud
vastuse kohaselt puuduvad käesoleval hetkel kokkulepped kliinikutega. Andmed kliinikute
töötajate kohta on pärit avalikest allikatest, nt Terviseameti registrist (medre.tehik.ee), chatgpt-st,
meediast (nt Delfi, ERR, Postimees) ja sotsiaalmeediast (nt LinkedIN). Seega ei saa kliiniku
töötajate puhul andmete avaldamisel tugineda lepingule (IKÜM art 6 lg 1 p b)4 ning õiguslik alus
saaks käesoleval juhul olla kas kliiniku töötajate nõusolek või teie ettevõtte õigustatud huvi.
16. Õigustatud huvi võib töötlemise õiguslikuks aluseks olla tingimusel, et andmesubjekti (kliiniku
töötajad) huvid või põhiõigused ja -vabadused ei ole tähtsamad, võttes arvesse andmesubjekti
mõistlikke ootusi, mis põhinevad tema suhtel vastutava töötlejaga. Igal juhul tuleks õigustatud
huvi olemasolu hoolikalt hinnata, sealhulgas seda, kas andmesubjekt võib andmete kogumise ajal
ja kontekstis mõistlikkuse piires eeldada, et isikuandmeid võidakse sellel otstarbel töödelda.
(IKÜM pp 47)
17. Vastutava töötleja huvi mingite isikuandmete töötlemise vastu, ei tähenda automaatselt, et ta saab
tugineda õigustatud huvi alusele. Esiteks peab vastutaval töötlejal olema õigustatud huvi, teiseks
peab isikuandmete töötlemine olema selle õigustatud huvi elluviimiseks vajalik ning kolmandaks
ei tohi andmesubjekti huvid või põhiõigused ja -vabadused vastutava töötleja õigustatud huvi üles
kaaluda. Lisaks tuleb hinnata, kas andmetöötlusega taotletavat õigustatud huvi ei ole mõistlikult
võimalik sama tõhusalt saavutada muude vahenditega, mis riivavad vähem andmesubjektide
põhiõigusi ja -vabadusi.5
18. Ka juhul, kui töötlemise õiguslik alus on õigustatud huvi ning õigustatud huvi analüüs on tehtud,
tuleb tagada, et avaldatavad andmed vastavad tegelikkusele. See on oluline nii patsientide vaatest,
kui nad valivad omale arsti kui ka kliiniku töötajate vaatest. Avalikud allikad, ChatGTP,
(sotsiaal)meedia ei ole allikad, millele tugineda, sest andmekvaliteet võib olla puudulik või vale.
19. Käesoleval hetkel on kaebajad välja toonud, et nende kohta avaldatavad andmed ei vasta
tegelikkusele. Nt on üks kaebajatest välja toonud, et tema kohta avaldatud andmetest olid valed
nii ülikooli lõpetamise aasta, töökoht kui ka spetsialiseerumine.
20. Eeltoodust tulenevalt peab mydentist.ee seaduslikkuse ja läbipaistvuse nõuete tagamiseks vaatama
üle nii andmetöötluse õiguslikud alused, privaatsustingimused kui ka andmekoosseisud ning nende
tõelevastavus, võttes arvesse ka IKÜM art 5 lg 1 p-i c ehk et isikuandmed peavad olema
asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt
(„võimalikult väheste andmete kogumine“). Soovitame alustada töötlemistoimingute registri
koostamisest, mis annab ülevaate ettevõtte andmetöötlusest (IKÜM art 30).
3
Vt ka Artikli 29 alusel asutatud andmekaitse töörühm, Suunised määruse 2016/679 kohase läbipaistvuse kohta.
4
Lepingu sõlmimisel tuleb tähele panna, et osapoolte vahel tuleb sõlmida ka andmetöötlusleping. Täpsemad nõuded
omavahelistele suhetele näeb ette IKÜM artikkel 28. Sh on loetletud ka elemendid, mis tuleb andmetöötluslepingus
välja tuua.
5
Euroopa Kohtu otsus C-252/21. P 106, 108.
3 (4)
21. Ühtlasi juhib AKI tähelepanu, et mydentist.ee lehelt ei ole võimalik tuvastada ei Teie
kontaktandmeid ega ettevõtte nime, kes veebilehte haldab.6 IKÜM art 32 lg 7 kohaselt
peab andmetöötleja avaldama andmekaitseametniku kontaktandmed.
22. Samuti juhib AKI tähelepanu, et mydentist.ee vahelehel olev nõustamise vorm Tasuta hambaarsti
konsultatsioon Tallinnas: Vilma Maurits ei pruugi olla kooskõlas (tervishoiu)teenuse osutamise
tingimustega. Vilma Maurits ei ole ka kantud Terviseameti registrisse. Kuivõrd AKI-l ei ole
järelevalvepädevust selle teenuse tingimuste osas, soovitame ühendust võtta Terviseametiga. Küll
aga puudutab vormi „Esita küsimus“ täitmine eriliiki isikuandmete töötlemist (vt hoiatuse p-d 5-
7) ning selle tegevuse jaoks peab olema õiguslik alus.
23. Seega peab mydentist.ee haldaja X.X. lähtuvalt enda seatud isikuandmete töötlemise eesmärkidest
veenduma, et tegevus on kooskõlas IKÜM-i aluspõhimõtetega, pidades käesoleva asja kontekstis
eriti silmas seaduslikkuse, läbipaistvuse, eesmärgipärasuse ja minimaalsuse põhimõtet (IKÜM art
5 lg 1 p-d a, b ja c). IKÜM-i eesmärk on tagada andmesubjektide õiguste kõrgetasemeline kaitse.
Selle eesmärgi tagamiseks peab isikuandmete vastutav töötleja lähtuma andmete töötlemisel
IKÜM-i põhimõtetest, nõuetest ja kohustustest.
Eeltoodust tulenevalt ja juhindudes IKÜM art 58 lg 2 p-st a hoiatab Andmekaitse
Inspektsioon, et X.X. tegevus isikuandmete töötlemisel mydentist.ee veebilehel viisil, kus:
- ei ole arvesse võtud eriliiki isikuandmete töötlemist,
- töötlemise õiguslikud alused on ebaselged ning
- tagatud ei ole läbipaistvus,
võib rikkuda isikuandmete kaitse üldmääruse sätteid. Eelkõige võib X.X. tegevus rikkuda
IKÜM art 5 lg 1 p-des a, b ja c sätestatud põhimõtteid.
Juhul, kui X.X. soovib jätkata mydentist.ee lehel isikuandmete töötlemist, tuleb tegevus viia
viivitamatult kooskõlla IKÜM-i nõuetega.
AKI arvestab, et X.X. on eemaldanud kaebajate isikuandmed veebilehelt ning on valmis koheselt
sisse viima vajalikud muudatused, tagamaks nõuetekohane andmetöötlus. Seetõttu lõpetab AKI
käesoleva järelevalvemenetluse.
Analoogsete kaebuste kordumisel või kahtluse korral on AKI-l õigus teostada igal ajal ette
teatamata kontrolli või algatada uus järelevalvemenetlus. AKI-l on õigus isikuandmete kaitse
nõuete rikkumisel teha andmetöötlejale ettekirjutus andmetöötluse peatamiseks ja nõuetega
kooskõlla viimiseks.
Lugupidamisega
(allkirjastatud digitaalselt)
Kirsika Kuutma
jurist
peadirektori volitusel
6
Vt ka Tarbijakaitse ja Tehnilise Järelevalve Ameti juhend juhend_e-kaubandusega_tegelevatele_ettevotjatele.pdf
Esitatud peavad vähemalt olema: ärinimi (või nimi), registrikood, teenuse osutaja aadress ja muud kontaktandmed,
sealhulgas elektronposti aadress (KaubTS § 4 lg 1 p 11, InfoTS § 4 lg 1 p 1; VÕS § 54 lg 1 p 1 ja 2). Kui kaebuste
esitamise aadress esineb eelnevalt esitatust, tuleb lisada ka see (VÕS § 54 lg 1 p 3).
4 (4)