ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ASUTUSESISESEKS KASUTAMISEKS
Teabevaldaja: Andmekaitse Inspektsioon
Märge tehtud: 01.04.2026
Juurdepääsupiirang kehtib kuni: 01.04.2101,
otsuse jõustumiseni
Alus: AvTS § 35 lg 1 p 2
ETTEKIRJUTUS-HOIATUS
isikuandmete kaitse asjas nr 2.1-1/24/397-890-38
Ettekirjutuse tegija Andmekaitse Inspektsiooni jurist Kirsika Kuutma
Ettekirjutuse tegemise 16.04.2026 Tallinnas
aeg ja koht
Ettekirjutuse adressaat – Fullgevity OÜ (end. ärinimi OÜ Dr Mõttus Hambaravi)
isikuandmete töötleja registrikood: 12166527
aadress: Harju maakond, Tallinn, Nõmme linnaosa, Jaama tn
1a, 11615
e-posti aadress: [email protected]
Isikuandmete töötleja Juhatuse liige
vastutav isik
RESOLUTSIOON
Isikuandmete kaitse seaduse § 56 lg 1 ja isikuandmete kaitse üldmääruse art 58 lg 2 p-i d
alusel teeb Andmekaitse Inspektsioon täitmiseks kohustusliku ettekirjutuse
1. Vaadata üle Invisalign teenuse osutamise raames Fullgevity OÜ ja Align Technology, Inc.
vahel sõlmitud leping(ud), mille käigus:
1.1. määratleda vastavalt isikuandmetega tehtavatele töötlemistoimingutele IKÜM-st
tulenevad rollid (vastutav töötleja, volitatud töötleja, kaasvastutavad töötlejad);
1.2. vastutava ja volitatud töötleja suhte puhul tagada, et leping hõlmaks IKÜM art-st 28
tulenevaid nõudeid;
1.3. kaasvastutavate töötlejate suhte puhul leppida kokku vastutusvaldkonnad IKÜM-st
tulenevate kohustuste täitmisel (IKÜM art 26).
2. Tagada, et Invisalign teenuse pakkumine klientidele ning selle raames andmete
edastamine on andmesubjektide jaoks läbipaistev ja kooskõlas IKÜM art 5 lg 1 p-ga a:
2.1. nõusolekuvorm viia vastavusse IKÜM art 4 p-s 11, art 6 lg 1 p-s a, art-s 7 ja art 9 lg
2 p-s a välja toodud nõusolekule kehtestatud nõuetega (vt täpsemalt ettekirjutuse p-
d 19-22);
2.2. andmekaitsetingimusted viia vastavusse IKÜM-ga, et need sisaldaksid art-tes 13 ja
14 nõutud informatsiooni (vt täpsemalt ettekirjutuse p-d 23-26);
2.3. andmekaitsetingimused esitada eestikeelsena ning avaldada ka Fullgevity OÜ
veebilehel www.citymed.ee, tagamaks teabe kättesaadavust ja arusaadavust.
Ettekirjutuste täitmise kinnitus koos ettekirjutuse täitmist tõendavate dokumentidega –
isikuandmete töötlemise osas koostatud (uuendatud) leping või kokkulepe, muudetud
nõusolekuleht, andmekaitsetingimused ning link veebilehele, kus need on avaldatud –
esitada Andmekaitse Inspektsioonile hiljemalt 07.05.2026 e-posti aadressile [email protected].
VAIDLUSTAMISVIIDE
Käesoleva ettekirjutuse saab vaidlustada 30 päeva jooksul, esitades kas:
- haldusmenetluse seaduse kohase vaide Andmekaitse Inspektsiooni peadirektorile või
- halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse (sel juhul ei saa enam
samas asjas vaiet läbi vaadata).
Ettekirjutuse vaidlustamine ei peata selle täitmise kohustust ega täitmiseks vajalike abinõude
rakendamist.
SUNNIRAHA HOIATUS
Kui ettekirjutus on jäetud määratud tähtajaks täitmata, määrab Andmekaitse Inspektsioon
ettekirjutuse adressaadile isikuandmete kaitse seaduse § 60 alusel:
Sunniraha 1000 eurot iga täitmata ettepaneku punkti ja alapunkti eest.
Sunniraha võib määrata korduvalt, kuni ettekirjutus on täidetud. Kui adressaat ei tasu sunniraha,
edastatakse see kohtutäiturile täitemenetluse alustamiseks. Sel juhul lisanduvad sunnirahale
kohtutäituri tasu ja muud täitekulud.
VÄÄRTEOKARISTUSE HOIATUS
Isikuandmete kaitse üldmääruse art 58 lg 1 kohase ettekirjutuse täitmata jätmise eest võidakse
algatada väärteomenetlus isikuandmete kaitse seaduse § 69 tunnustel. Selle teo eest võidakse isikut
karistada rahatrahviga. Väärteo kohtuväline menetleja on Andmekaitse Inspektsioon.
FAKTILISED ASJAOLUD
30.03.2024 sai Andmekaitse Inspektsioon (edaspidi inspektsioon) andmesubjekti (edaspidi
kaebaja) kaebuse seoses sellega, et OÜ Dr Mõttus Hambaravi (edaspidi andmetöötleja) ei väljasta
talle tema isikuandmeid kogu ulatuses.
10.04.2024 edastas inspektsioon kaebuse vastamiseks andmetöötlejale, millele andmetöötleja
jättis vastamata.
23.04.2024 edastas inspektsioon andmetöötlejale ettepaneku väljastada kaebajale tema
isikuandmed või esitada põhjendus, mille alusel andmetöötleja väljastamisest keeldub.
Andmetöötleja jättis ettepanekule vastamata.
12.05.2024 edastas inspektsioon andmetöötlejale korduva ettepaneku.
31.05.2024 vastas andmetöötleja korduvale ettepanekule ning täitis ettepaneku osaliselt, esitades
muuhulgas selgituse, mis põhjusel ta ettepanekut kogu ulatuses ei rahulda.
26.06.2024 edastas inspektsioon andmetöötlejale järelepärimise täpsustamaks andmetöötleja
vastust ja selles sisaldunud põhjendusi. Järelepärimise raames juhtis inspektsioon ka tähelepanu
ettekirjutuse ja sunniraha määramisele juhul, kui inspektsiooni järelepärimisele tähtaegselt ei
vastata.
18.07.2024 edastas inspektsioon andmetöötlejale meeldetuletuse, sest järelepärimisele vastamise
tähtaeg oli möödas.
18.07.2024 vastas andmetöötleja järelepärimisele.
2 (9)
26.09.2024 edastas inspektsioon andmetöötlejale täiendava järelepärimise seoses kaebuse
asjaoludega ning andmetöötleja antud vastustega ning määras vastamise tähtajaks 09.10.2024.
Järelepärimise raames juhtis inspektsioon ka tähelepanu ettekirjutuse ja sunniraha määramisele
juhul, kui inspektsiooni järelepärimisele tähtaegselt ei vastata.
30.09.2024 lõpetas inspektsioon kaebaja kaebuse asjaolude suhtes menetluse, kuid jätkas
menetlust andmetöötlejaga seoses nende poolt pakutava teenusega.
09.10.2024 edastas andmetöötleja vastamise tähtaja pikendamise taotluse, sest nende antav vastus
sõltub omakorda kolmanda osapoole (volitatud töötleja) vastusest. Inspektsioon rahuldas taotluse.
13.11.2024 edastas inspektsioon andmetöötlejale meeldetuletuse, sest järelepärimisele vastamise
pikendatud tähtaeg oli möödas. Andmetöötleja meeldetuletusele ei vastanud.
18.12.2024 tegi inspektsioon andmetöötlejale ettekirjutus-hoiatuse nr 2.1-1/24/397-890-26
resolutsiooniga vastata Andmekaitse Inspektsiooni 26.09.2024 järelepärimisele nr 2.1-1/24/397-
890- 21. Ettekirjutuse täitmise tähtajaks määras inspektsioon 06.01.2025.
08.01.2025 edastas inspektsioon andmetöötlejale meeldetuletuse, sest ettekirjutusele vastamise
tähtaeg oli möödas. Andmetöötleja vastas meeldetuletusele 09.01.2025 ning selgitas vastamata
jätmise põhjuseid. Muuhulgas kinnitas andmetöötleja, et edastab järelepärimise vastused esimesel
võimalusel.
27.01.2025 küsis inspektsioon andmetöötlejalt täiendavalt, et mis ajaks on vastust oodata.
Andmetöötleja sellele kirjale ei vastanud.
14.03.2025 määras inspektsioon 18.12.2024 ettekirjutusega nr 2.1-1/24/397-890-26
järelepärimisele vastamiseks täiendava tähtaja 31.03.2025. Andmetöötleja sellele kirjale ei
vastanud.
11.04.2025 tegi inspektsioon andmetöötlejale sunniraha rakendamise teatise nr 2.1-1/24/397-890-
30 ettekirjutuse täitmata jätmise eest. Teatise kohaselt ei pöörata sunniraha täitmisele, kui
andmetöötleja vastab 26.09.2024 järelepärimisele nr 2.1-1/24/397-890, esitades kogu
järelepärimises nõutud teabe ja dokumendid hiljemalt 25.04.2025.
25.04.2025 vastas andmetöötleja inspektsiooni järelepärimisele ning täitis seeläbi ettekirjutuse.
07.11.2025 tegi inspektsioon andmetöötlejale ettepaneku nr 2.1-1/24/397-890-32 ning määras
täitmise tähtajaks 05.12.2025.
05.12.2025 saatis andmetöötleja ettepanekule vastamise tähtaja pikendamise taotluse.
Inspektsioon määras uueks ettepaneku täitmise tähtajaks 19.01.2026.
19.01.2026 edastas andmetöötleja inspektsioonile vastuse, milles selgitaks ettepaneku täitmise
võimalikke lahendusi. Inspektsioon vastas andmetöötlejale 28.01.2026 kirjaga nr 2.1-1/24/397-
890-36, millega esitas omapoolse seisukoha andmetöötleja ettepaneku täitmisega seonduvalt.
Ühtlasi määras inspektsioon ettepaneku täitmise uueks tähtajaks 18.02.2026.
04.03.2026 edastas inspektsioon andmetöötlejale meeldetuletuse, et ettepaneku täitmise täiendav
tähtaeg on möödunud ning määras uueks tähtajaks 11.03.2026. Andmetöötleja ei ole sellele
vastanud.
ISIKUANDMETE TÖÖTLEJA SELETUS
Fullgevity OÜ (Citymed, andmetöötleja) andis AKI 07.11.2025 ettepanekule omapoolse vastuse
3 (9)
19.01.2026, milles kinnitas muuhulgas oma valmisolekut teha inspektsiooniga igakülgset
koostööd. Küll aga jättis andmetöötleja ettepaneku tähtaegselt täitmata, tuginedes kokkuvõtlikult
sellele, et Invisalign teenusega seotud andmetöötlus on suures osas ette määratud teenuse osutaja
ehk Align technology, Inc. poolt ning ei ole üksikute kliinikute poolt ühepoolselt muudetavad.
Align technology, Inc. on küll avaldanud valmisolekut lepingu tingimusi teatud ulatuses läbi
rääkima, kuid kuna tegemist on suure kontserniga, ei pruugi muudatused lõppastmes siiski
võimalikud olla või on muudatuste tegemine aeganõudev.
Täiendavalt rõhutas andmetöötleja, et Invisalign ravimeetod on oma olemuselt selline, mille
võimalik piiramine ei oleks rahvatervise seisukohast proportsionaalne.
Leiame, et Invisalign teenuse võimalik sisuline piiramine või teenuse osutamise ebakindlaks
muutmine üksnes administratiivsete ja lepinguliste küsimuste tõttu – eriti olukorras, kus avalikult
on teada Euroopa Liidu isikuandmete kaitse regulatsiooni kavandatav oluline ajakohastamine ja
eesmärgi- ning subjektide ja administratiivkulude mõistes proportsionaalsemaks muutmine ja
seniste ilmselt põhjendamatult liigsete nõuete vähendamine – ei oleks kooskõlas patsientide
tervishuvide ega ühiskonna laiemate vajadustega. Eriti arvestades praegust majanduslikku
olukorda, kus inimeste jaoks on iga kulutatud euro oluline ning taskukohaste ravilahenduste
kättesaadavus määrava tähtsusega ning Invisalign ravisüsteemi väga hea sobivus selliste
eesmärkide saavutamiseks. Seega on küsimuse lahendamisel oluline kriteerium ka õigustatud
proportsioon rahvatervise jaoks väga vajaliku ja nõutud ravisüsteemi võimaldamise vs. selle
osutamisega seonduvate administratiivsete nõuete põhjendatuse proportsioon. Lähtume ka
eelnimetatud avalikult teada olevast eeldusest, et IKÜM oluline muutmine Euroopa Liidu tasandil
on põhjendatult päevakorral ja ilmselt saab lõpliku lahenduse kujundada alles peale vastavate
regulatiivsete muudatuste jõustumist kuivõrd ülemaailmsete standardite muutmine on nii aja- kui
kulumahukas. Leiame, et mistahes meditsiiniküsimuste lahendamisel tuleb lähtuda eelkõige
rahvatervise huvidest ja administratiivsed lahendused ning regulatsioonid peavad eelkõige
võimaldama ja soodustama rahvatervise eesmärkide ja huvide teostamist.
Andmetöötluse läbipaistvuse tagamiseks ning osas, mis on andmetöötleja otsese kontrolli all,
ollakse rakendamas järgnevaid meetmeid:
koostanud uue, põhjaliku ja eestikeelse isikuandmete töötlemise nõusolekuvormi Invisalign
ravi jaoks;
ühtlustanud patsiendile antavat teavet nii, et see ei oleks vastuoluline ega killustatud;
alustanud kliiniku veebilehel andmekaitsetingimuste ajakohastamist ja eestikeelse info
kättesaadavuse tagamist mille viime lõpule AKI poolse kinnituse saamise nõusolekuvormi
pakutud lahendusvariandi sobivuse kohta.
Meetmete sobivuse või muutmisvajaduse suhtes palus andmetöötleja AKI seisukohta.
Inspektsioon vastas 28.01.2026 ning esitas omapoolse seisukoha andmetöötleja ettepaneku
täitmisega seonduvalt.
Andmetöötleja 19.01.2026 seisukohad AKI ettepanekule ning AKI vastus 28.01.2026 on lisatud
tervikuna käesolevale haldusaktile (lisa 1 ja lisa 2).
ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:
Isikuandmete töötlemine
1. Isikuandmete kaitse üldmääruse (IKÜM) artikkel 4 punkt 1 alusel on isikuandmeteks igasugune
teave tuvastatud või tuvastatava füüsilise isiku kohta ning terviseandmed on punkt 15 alusel
füüsilise isiku füüsilise ja vaimse tervisega seotud isikuandmed, sealhulgas temale
tervishoiuteenuste osutamist käsitlevad andmed, mis annavad teavet tema tervisliku seisundi
kohta.
4 (9)
2. Vastavalt IKÜM art 5 lg 1 p-le a peab isikuandmete töötlemine olema seaduslik, õiglane ja
andmesubjektile läbipaistev ning punkti f kohaselt peab isikuandmeid töötlema viisil, mis tagab
isikuandmete usaldusväärsuse ja konfidentsiaalsuse. Töötlemine on seaduslik juhul, kui selleks on
vähemalt üks IKÜM art 6 lõikes 1 toodud õiguslik alus, eriliigiliste isikuandmete töötlemiseks
peab esinema mõni art 9 lõikes 2 välja toodud asjaoludest.
3. Tervishoiuteenuse osutajate peamine volitusnorm eriliiki isikuandmete töötlemiseks tuleneb
IKÜM artikkel 9 lõike 2 punktist h, mis lubab eriliigiliste andmete töötlemise, kui see on vajalik
ennetava meditsiini või töömeditsiiniga seotud põhjustel, töötaja töövõime hindamiseks,
meditsiinilise diagnoosi panemiseks, tervishoiuteenuste või sotsiaalhoolekande või ravi
võimaldamiseks või tervishoiu- või sotsiaalhoolekandesüsteemi ja -teenuste korraldamiseks,
tuginedes liidu või liikmesriigi õigusele või tervishoiutöötajaga sõlmitud lepingule ja eeldusel, et
lõikes 3 osutatud tingimused on täidetud (saladuse hoidmise kohustus, lisa kaitsemeetmed
siseriiklikes õigusaktides).
4. Üldreeglina on tervishoiuteenust osutav andmetöötleja patsiendi isikuandmete vastutav töötleja,
kes töötleb isikuandmeid IKÜM art 6 lg 1 p b (tervishoiuteenuse osutamise lepingu) alusel
koostoimes IKÜM art 9 lg 2 p-ga h. Juhul, kui vastutav töötleja kasutab tervishoiuteenuse
osutamise raames volitatud töötlejaid (nt labor, kaperavi pakkuja jne), tuleb andmeid töödelda kas
tulenevalt vastutava ja volitatud töötleja vahelisele lepingule või patsiendi nõusoleku alusel.
5. Juhul kui andmetöötlus toimub inimese nõusolekul, siis IKÜM art 4 p-s 11 on nõusolek
määratletud järgmiselt: „iga vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega
andmesubjekt annab avalduse või selge nõusoleku andmise meetme kaudu nõusoleku teda
puudutavate isikuandmete töötlemiseks.“ Seega lähtudes art 4 põhimõttest peab nõusolek alati
olema vabalt antud, spetsiifiline, informeeritud ja andmesubjekti ühemõtteline tahteavaldus,
millega ta oma avaldusega või selge kinnituse andmisega nõustub teda puudutavate isikuandmete
töötlemisega. Nõusolek peab olema antud nii, et ei oleks kahtlust, kas see vastab kõikidele
tingimustele üheaegselt (vabatahtlik, teadlik, konkreetne ja ühemõtteline).
6. Töötlemise õiguspärasuse eest vastutab ja on võimeline selle täitmist tõendama isikuandmete
vastutav töötleja (IKÜM art 5 lg 2).
7. Inspektsioon jääb kõikide oma seniste menetluses esitatud põhjenduste juurde, sh 07.11.2025
ettepanekus nr 2.1-1/24/397-890-32 ning toob käesolevas haldusaktis esile järgneva.
Vastutavaks töötlejaks olemine
8. Andmetöötleja ei ole järelepärimise ega ettepaneku vastuses seadnud kahtluse alla patsiendi
andmete osas vastutavaks töötlejaks olemist ning selles osas vaidlus puudub. Esmane patsiendi
vastuvõtt toimub andmetöötleja juures ning tema kontrolli all, mh otsustab raviarst patsiendile
osutatava teenuse, sh Invisalign teenuse sobivuse.
9. Andmetöötleja ei ole menetluse käigus esitanud AKI-le ülevaadet, milline on Invisalign teenuse
kasutamise edasise protsessi (patsiendi andmete kogumine nõusoleku alusel ning kogu ülejäänud
andmetöötlus) raames vastutava ja volitatud töötleja suhe. Menetluse käigus kogutud infole
tuginedes on Invisalign teenuse kasutamise protsess AKI hinnangul Align technology, Inc.
tegeliku kontrolli all, kes võtab endale lepingujärgselt õiguseid, mis määratlevad teda teatud
ulatuses iseseisva vastutava või vähemalt kaasvastutava töötlejana, mitte volitatud töötlejana.
Muuhulgas viitab sellele järgnev:
a. Lepingu lõppemisel kustutab või tagastab Align Technology, Inc. isikuandmed vastutavale
töötlejale (hambaravikliinikule) , v.a. need andmed, mida Align Technology, Inc. säilitab
kohaldatava seaduse kohaselt või varundusserveris. Erinevad dokumendid annavad erineva
5 (9)
säilitustähtaja: andmekaitsetingimused ei täpsusta säilitamise tähtaega1, Invisalign Pricing
Terms annab tähtajaks 7 aastat2. Ei ole täpsustatud, millist või millise riigi kohaldatavat
seadust on silmas peetud, kus asub varundusserver ja/või kus ning kui kaua andmeid
säilitatakse.
b. Vastutav töötleja (hambaravikliinik) tagab, et isikuandmete töötlemise nõuded on täidetud,
sh et patsiendilt on võetud nõuetekohane nõusolek, millega patsient nõustub, et Align
Technology, Inc. võib edastada tema isikuandmed kontserni liikmetele ning teistele
volitatud töötlejatele (nn kaasvolitatud töötleja) ning töödelda tema andmeid väljaspool
Euroopa Liitu.3 Samas ei ole nõusolekuleht IKÜM-i nõuetega kooskõlas.
c. Align Technology, Inc. säilitab isikuandmeid serverites, mis võivad asuda ka väljaspool
Euroopa Liitu. Ei ole täpsustatud, kes täpselt otsustab, kus ja milliste patsientide andmeid
säilitatakse.
d. Vastutav töötleja (hambaravikliinik) saab esitada vastuväite Align Technology, Inc.-le
kaasvolitatud töötleja kasutamise suhtes 30 päeva jooksul.4 Kaasvolitatud töötlejate
nimekiri avaldatakse Align Technology, Inc. veebilehel5 ning vastutav töötleja peab sellel
ise silma peal hoidma.
e. Juhul, kui patsient vahetab arsti ja/või kliinikut ning patsiendi andmed antakse vastava
nõusoleku alusel uuele arstile ja/või kliinikule üle, ei ole vastutaval töötlejal
(hambaravikliinikul) enam juurdepääsu patsiendi andmetele, sh ka mitte oma osutatud
teenuse raames.6 Eesti seadusandluse kohaselt peab tervishoiuteenuse osutaja säilitama
teenuse osutamisega seotud andmeid 30 aastat.
f. Vastutav töötleja (hambaravikliinik) nõustub lepingu sõlmimisel, et Align Technology,
Inc. võib patsientide andmeid anonümiseeritult kasutada reklaami, turunduse, teadus- ja
arendustegevuse eesmärgil.7 Lisaks võib andmekaitsetingimuste kohaselt Align
Technology, Inc. avaldada kogutud andmeid (fotod) turunduse eesmärgil viisil, mis
võimaldavad kaudselt inimest tuvastada - nime ei avaldata, kuid inimene võib olla fotol
äratuntav.8 Sh tuleb tähele panna, et vastav info sisaldub Euroopa Liidu jaoks loodud
andmekaitsetingimustes (https://www.invisalign.eu/privacy-policy), kuid patsiendi
nõusolekulehel on viide üldisele veebilehele https://www.aligntech.com, millelt leitavate
andmekaitsetingimuste sisu on erinev.
10. IKÜM art 4 p-st 7 tulenevalt on vastutavaks töötlejaks füüsiline või juriidiline isik, avaliku sektori
asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise
eesmärgid ja vahendid. Art 26 kohaselt kui kaks või enam vastutavat töötlejat määravad ühiselt
kindlaks isikuandmete töötlemise eesmärgid ja vahendid, on nad kaasvastutavad töötlejad.
11. Euroopa Andmekaitsenõukogu on selgitanud, et isikuandmete töötleja õiguslik staatus määratakse
kindlaks selle järgi, milline on eri poolte tegelik tegevus konkreetses olukorras, st et määravaks ei
saa pidada vaid ametlikku lepinguga kokkulepitud rollide jaotust. Vastutava rolli omistamise
põhieesmärk on tagada vastutus ning isikuandmete tõhus kaitse, seetõttu tuleb vastutava töötleja
mõistet tõlgendada piisavalt laialt, et tagatud oleks andmesubjektide õiguste kaitse. Sealjuures
1
https://www.aligntech.com/privacy_policy ja https://www.invisalign.eu/privacy-policy
2
EMEA Invisalign Pricing Terms (Euros): Data protection, p 1.9.
3
EMEA Invisalign Pricing Terms (Euros): Global Terms and Conditions, p 9. / EMEA Invisalign Pricing Terms
(Euros): Data protection 1.3./ Teadev nõusolek ja leping seoses ravimeetodiga Invisalign® (Patsiendi nõusolekuleht)
– privaatsusavaldus.
4
EMEA Invisalign Pricing Terms (Euros): Data protection, P 2.2.
5
Privacy policy | Invisalign – „Who do we share your personal information with?“ Current service providers
9cff2fcd-a686-4940-94a9-59e18c6b9aba
6
EMEA Invisalign Pricing Terms (Euros): Data protection, p 1.9., 1.10.
7
EMEA Invisalign Pricing Terms (Euros): Data protection, p 1.13.
8
Privacy policy | Invisalign - What do we do with the information we collect? We will never display your name in
any promotional material we create, but you should be aware that other people may still recognise you from your
photograph.
6 (9)
peab arvestama, et kui sama töötlemisega on seotud mitu osapoolt, ei tähenda see, et nad
tegutsevad tingimata kaasvastutavate töötlejatena.9
12. Juhul, kui vastutav töötleja kaasab volitatud töötlejat, peab vastutaval töötlejal olema võimalik
ühepoolselt kindlaks määrata töötlemistingimusi ja töötlemise eesmärki ning rakendada
isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, mis on vajalikud
andmekaitsepõhimõtete (nagu võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja
vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et kaitsta andmesubjektide õigusi
(IKÜM art 25). Volitatud töötleja peab IKÜM art 28 lg 3 p-i a järgi juhinduma vastutava töötleja
dokumenteeritud juhistest, mitte vastupidi.
13. Align Technology, Inc.-i ei saa AKI-le edastatud info põhjal pidada volitatud töötlejaks, vaid
tegemist on vähemalt kaasvastutava töötlejaga IKÜM art 26 mõttes. Sellele viitab muuhulgas
asjaolu, et nende kontrolli all tundub olevat kogu Invisalign teenuse osutamise protsess alates
nõusolekulehele koostamisest, kogutavate andmekoosseisude kehtestamisest, andmesaajate
määramisest (kontsern), säilitustähtaegade määramisest kuni kaasvolitatud töötlejate valimiseni.
Samuti ei saaks Align Technology, Inc., juhul kui ta oleks volitatud töötleja, ilma vastutava
töötleja kirjaliku loata valida omale koostööpartnereid (IKÜM art 28 lg 2) nagu nt kullerfirmad,
laborid, tugiteenused (IT-teenused, arhiveerimine). Samuti võtab Align Technology, Inc. endale
õiguse kohaldada kontsernisiseseid siduvaid eeskirju mh isikuandmete töötlemisele (nt andmete
edastamine kontserni sees, säilitamine), mis viitab, et ka lepingutingimused on tõenäoliselt ette
kirjutatud Align Technology, Inc. poolt.
14. Rollide ebamäärasusele viitab ka asjaolu, et AKI 26.09.2024 esitatud järelepärimisele andis
andmetöötleja vastused alles 25.04.2025, peale korduvaid katseid saada ühendust Invisaligni
esindusega Leedus. Andmetöötlejal endal puudus AKI küsitud info10. 25.04. vastuses on
andmetöötleja välja toonud mh järgneva. Lisame käesolevale vastusele Invisalign ametlikud failid,
millest nähtuvad Invisalign süsteemi andmekaitse põhimõtted. Juhul kui nendega seoses peaks
olema mingeid probleeme (samad põhimõtted kehtivad üle maailma kõikidele Invisalign
ravisüsteemi pakkujatele) siis täpsema teabe või pretensioonid saab ja tuleks esitada otse nende
tingimuste kehtestajale. Dr. Mõttus Hambaravi OÜ’l ja ka teistel sama süsteemi kasutavatel
hambakliinikutel ei ole võimalust ühepoolselt nimetatud põhimõtteid muuta. E-kirjas sisaldub ka
Invisligni esindaja seisukoht, mille kohaselt sõlmitakse juriidilised lepingud otse Align
Technology, Inc. ja tervishoiuteenuse osutaja vahel. Andmetöötleja ei ole siiani esitanud AKI-le
lepingut, mis kajastaks osapoolte vahelist andmetöötlust ega ole suutnud esitada vastuseid
küsimustele, mida nad vastutava töötlejana peaksid suutma teha.
15. Ka 19.01.2026 vastuses AKI ettepanekule toob andmetöötleja välja, et ühepoolne tingimuste
muutmine on keeruline. Rõhutame ka, et Fullgevity OÜ ei saa selliseid lepingutingimusi
ühepoolselt kehtestada ega jõustada ning sõltub otseselt Invisalign teenusepakkuja valmisolekust
vastavaid muudatusi teha ning nende ühtsed standardid oma teenusele kehtivad praktiliselt üle
maailma kus vastavat teenust osutatakse – ning probleeme selles valdkonnas ei ole Invisalign
partnerite sõnul, neile siiamaani esitatud, muu hulgas ka Euroopa Liidu ametiasutuste poolt.
Seega on hetkel teemaks mitte ühe Invisalign ravistüsteemi praktiseeriva kliinikuga seonduvate
õigussuhete, vaid Invisalign ülemaailmse ühtse standardi võimalike korrektuuride küsimus, milles
otsustavaks on ilmselgelt Invisalign süsteemi omaniku-teenusepakkuja seisukohad.
9
Euroopa Andmekaitsenõukogu suunised 07/20 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete
kaitse üldmääruses, versioon 2.0, vastu võetud 07.07.2021, I osa, ptk 1, p-d 12 ja 14.
10
Citymed 09.01.2025 kirjas AKI-le. Kuivõrd Teie infopäringule vastamine eeldab paraku suures osas kolmandate
isikute poolt vastuste saamist siis paraku ei ole lõplikku vastust saanud veel kokku panna. Saame selle teha koheselt
kui teabevaldajalt, kolmandalt isikult, jõuavad meieni vastused meie poolt saadetud küsimustele.
Täpsemalt. Enamus teavet, mille osas on Teie poolt esitatud päring, puudutavad Invisalign süsteemi teabeliikumist.
7 (9)
16. Asjaolu, et Align Technology, Inc. on suur kontsern, kes ei võimalda paindlikkust, ei ole
põhjenduseks IKÜM-i nõuete täitmata jätmisel. Muuhulgas on paljud suured teenuseosutajad (nt
Microsofti pilv, e-maili rakendus, infosüsteem jm) üldreeglina volitatud töötlejad ning ka nendega
tuleb sõlmida kirjalik leping. Suurtel teenusepakkujatel on sageli tüüptingimustega lepinguid, mis
võivadki piirata vastutava töötleja võimalust töötlemistingimusi mõjutada, kuid vastutav töötleja
peab siiski veenduma, et teenusepakkuja tüüptingimused vastaksid IKÜM-i nõuetele ning et
tegelikuks vastutavaks töötlejaks ei osutuks teenusepakkuja ise.
17. Juhul, kui Align Technology, Inc. (tüüp)tingimused ei vasta IKÜM-i nõuetele või tegelikuks
vastutavaks töötlejaks osutub Align Technology, Inc., peab patsiendi andmete vastutav töötleja
lõpliku otsustuse, kas valida antud teenusepakkuja või mitte ning oma tehtud valiku eest
andmesubjektide ja järelevalveasutuse ees vastutama.
18. Juhul, kui sisulise hindamise puhul ilmneb, et tegemist on kaasvastutavate töötlejatega, tuleb
leppida kokku vastutusvaldkonnad IKÜM-st tulenevate kohustuste täitmisel (art 26), sh milliste
tegevuste eest kumbki osapool vastutab, kes ja millises osas esitab andmesubjektile artiklites 13
ja 14 nõutud teabe, kes milliseid andmesubjekti nõudeid täidab, kes rikkumisteateid menetleb ja
neist andmesubjekti/järelevalveasutust teavitab jne.
Läbipaistvuse põhimõtte tagamine
19. Antud hetkel ei ole andmetöötleja poolt patsientidele esitatav ning Align Technology, Inc. poolt
väljatöötatud Invisalign teenuse nõusolekuvorm kooskõlas IKÜM-i nõuetega. Näiteks on
nõusolekulehele lisatud vaid viide üldisele veebilehele (mitte konkreetselt
andmekaitsetingimustele) https://www.aligntech.com, mille alt on võimalik leida inglisekeelsed
andmekaitsetingimused. Kuivõrd ettevõttel on eraldi andmekaitsetingimused Euroopa Liidu jaoks,
mis asuvad lehel https://www.invisalign.eu/privacy-policy, siis seda viidet nõusolekulehel ei ole.
Seisuga 16.04.2026 puuduvad andmekaitsetingimused endiselt ka andmetöötleja veebilehel.
Samuti puudub nõusolekulehel ülevaade kes, kus ja kui kaua andmeid säilitab, samuti ei ole
täpsustatud, millal ja mis eesmärgil edastatakse andmeid kolmandatele osapooltele jne.
20. Andmetöötleja edastas 19.01.2026 täiendatud nõusolekulehe, millele oli lisatud täiendavaid
aspekte (nt andmekategooriad ja töötlemise eesmärk), kuid AKI ettepanekus välja toodud IKÜM-
i art-test 13 ja 14 tulenev teave oli endiselt puudulik. Muuhulgas oli puudu teave selle kohta:
a. kes on Invisalign ravi raames volitatud töötleja (või kaasvolitatud, olenevalt asjaoludest);
b. milline on andmete töötlemise õiguslik alus;
c. kes, kus ja kui kaua ning milliseid andmeid täpselt säilitab;
d. millal ja mis eesmärgil ning milliseid andmeid edastatakse kolmandatele osapooltele (sh
kontserni siseselt);
e. millised on kaitsemeetmed kolmandatesse riikidesse andmete edastamisel;
f. kus on kättesaadavad andmekaitsetingimused;
g. võimalus pöörduda õiguste kaitseks järelevalveasutuse poole jne.
21. IKÜM art 5 kohaselt on läbipaistvuse nõue üks aluspõhimõtteid, mis on tihedalt seotud õigluse ja
seaduslikkuse põhimõtetega. Andmesubjektidele enne nõusoleku saamist teabe andmine on
oluline selleks, et võimaldada neil teha teadlikke otsuseid, mõista, millega nad nõustuvad, ja
näiteks kasutada oma õigust nõusolek tagasi võtta. Kui vastutav töötleja ei esita kättesaadavat
teavet muutub kasutaja kontroll näiliseks ja nõusolek kui töötlemise alus on kehtetu. Vastutav
töötleja peab tagama, et nõusolek antakse teabe alusel mis võimaldab andmesubjektidel hõlpsasti
tuvastada kes on vastutav töötleja ja mõista millega nad nõustuvad. Vastutav töötleja peab selgelt
kirjeldama andmetöötluse eesmärki milleks nõusolekut taotletakse.
22. Seega peab vastutav töötleja olema veendunud, et inimese nõusolek on vastavuses IKÜM art 4 p-
s 11, art 6 lg 1 p-s a, art-s 7 ja art 9 lg 2 p-s a sätestatud nõuetega ning tagama, et info mis antakse
8 (9)
andmesubjektidele nii andmekaitsetingimustes kui ka patsiendi nõusolekulehel, on nõuetekohase
nõusoleku andmiseks asjakohane.
23. Läbipaistvuse põhimõte eeldab, et kogu isikuandmete töötlemisega seotud teave on
andmesubjektile lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud. See puudutab eelkõige
andmesubjektide teavitamist, et tagada õiglane ja läbipaistev töötlemine. Inimeste teavitamist
reguleerivad täpsemalt IKÜM art-d 12-14. IKÜM art-tes 13 ja 14 on välja toodud, mida peab
inimesele antav teave minimaalselt sisaldama.
24. Align Technology, Inc. lehel (nii .com kui ka .eu lõpuga) on andmekaitsetingimused esitatud
inglise keeles, mistõttu ei saa eeldada, et kõik inimesed on võimelised nendest üheselt aru saama.
Küsitav on lisaks seegi, kas volitatud töötleja andmekaitsetingimusteni jõudmine tagab lihtsasti
kättesaadava teabe andmetöötlusest, kuivõrd eelduslikult peaks kogu andmetöötlusega seotud
teabe saama inimene eelkõige hambaravikliiniku kui vastutava töötleja andmekaitsetingimustest.
Inimene ei peaks hakkama omakorda iseseisvalt otsima hakkama, kas ja milliseid volitatud
töötlejaid hambaravikliinik kasutab ja millised on volitatud töötlejate andmete töötlemise
tingimused.
25. See tähendab, et lisaks volitatud töötleja (või kaasvastutava töötleja) poolt koostatud
andmekaitsetingimustele peab teabe andmise tagama ka andmetöötleja ehk hambaravikliinik nii
läbi veebilehel avaldatud andmekaitsetingimuste kui ka patsiendi nõusolekulehe kaudu. Oluline
on rõhutada, et andmetöötleja ei saa tugineda eeldusele või kokkuleppele, et volitatud töötleja teeb
nõutavad andmed oma kodulehel teatavaks, vaid peab selles ka reaalselt veenduma.
26. Vastutava töötleja kohustus on tagada, et kogu patsiendile antav teave vastaks läbipaistvuse
põhimõttele. Selle kohustuse täitmine eeldab nii nõusolekulehe, kliiniku enda kui ka volitatud
töötleja andmekaitsetingimuste ühtlustamist, et ei oleks vastukäivat informatsiooni. Invisalign
teenuse puhul peab patsient tutvuma kolme erineva dokumendiga, milles olev info kohati ei kattu,
eriti mis puudutab vastutav-volitatud töötleja suhet, andmete edastamist kolmandatesse riikidesse
ning kogutavat andmekoosseisu ja tulemuste säilitamist.
Kokkuvõte
27. Eeltoodust tulenevalt ei ole andmetöötleja suutnud tõendada IKÜM nõuete täitmist Invisalign
teenuse kasutamisel. Rollid vastutava ja volitatud töötleja vahel on ebamäärased ning Align
Technology, Inc. tegelik kontroll töötlemise eesmärkide ja vahendite üle viitab vähemalt
kaasvastutava töötleja suhtele IKÜM artikli 26 tähenduses. Vastavad kokkulepped rollide,
vastutusvaldkondade ja kohustuste jaotuse kohta puuduvad.
28. Samuti ei ole tagatud andmetöötluse läbipaistvus ega kehtiv nõusolek: patsiendile ei esitata nõutud
teavet töötlemise õigusliku aluse, eesmärkide, andmesaajate, säilitustingimuste, kolmandatesse
riikidesse edastamise ega kaitsemeetmete kohta. Nõusolekulehe alusel võetav nõusolek ei vasta
IKÜM-i nõuetele (art 4 p 11, art 6 lg 1 p a, art 7 ja art 9 lg 2 p a). Samuti ei ole tagatud IKÜM
artiklitest 12–14 tulenevad läbipaistvuse tagamise nõuded. Andmetöötleja veebilehel puuduvad
endiselt vajalikud andmekaitsetingimused.
29. Kokkuvõttes ei ole andmetöötleja taganud, et Invisalign teenuse raames toimuv töötlemine oleks
seaduslik ja läbipaistev IKÜM artikkel 5 lõike 1 punkti a kohaselt, ning ei ole täitnud oma
tõendamiskohustust vastavalt IKÜM artikkel 5 lõikele 2.
(allkirjastatud digitaalselt)
Kirsika Kuutma
jurist
peadirektori volitusel
9 (9)