Väärteoasi nr 4-25-326
KOHTUOTSUS
EESTI VABARIIGI NIMEL
Kohus Tartu Maakohus
Otsuse tegemise aeg ja koht 26. juuni 2025. a, Tartu kohtumaja
Väärteoasja number 4-25-326
Kohtunik Marek Vahing
Kohtuistungi sekretär Margot Nigol, Piia Laurson
Väärteoasi Menetlusaluse isiku Asper Biogene OÜ kaebus
Andmekaitse Inspektsiooni (AKI) 9. jaanuari 2025
otsusele väärteoasjas nr 951024000001
Menetlusalune isik Asper Biogene OÜ
(registrikood: 14265334; asukoht: Tartu maakond, Tartu
linn, Vaksali tn 17a; telefon: 7307295; e-post:
[email protected]; menetlusaluse isiku seaduslik
esindaja: H. T.)
Menetlusaluse isiku kaitsjad vandeadvokaat Triinu Hiob ja vandeadvokaadi abi
Henri Oliver Palm
(NJORD advokaadibüroo OÜ; asukoht: Telliskivi 60/2,
Tallinn; telefon: 667 6440; e-post: [email protected])
Kohtuväline menetleja Andmekaitse Inspektsioon
(registrikood: 70004235; asukoht: Tatari tn 39, Tallinn;
esindaja jurist A. K.; e-post: XXX)
RESOLUTSIOON
1. Rahuldada Asper Biogene OÜ kaitsjate kaebus.
2. Tühistada Andmekaitse Inspektsiooni 9. jaanuari 2025 otsus väärteoasjas nr
951024000001.
3. Lõpetada VTMS § 30 lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS §
62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks
puudub avalik menetlushuvi.
4. Lõpetada VTMS § 29 lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS §
62 lg 2 ja § 65 lg 2 järgi, kuna teos puuduvad väärteo tunnused.
4. Hüvitada Asper Biogene OÜ-le riigieelarve vahenditest tema poolt kantud
õigusabikulude katteks 11 750 (üksteist tuhat seitsesada viiskümmend) eurot.
Edastada kohtuotsus Asper Biogene OÜ-le, tema kaitsjatele ja kohtuvälisele menetlejale.
Edasikaebamise kord
Kohtuotsuse peale võivad menetlusaluse isiku advokaadist kaitsja ning kohtuväline menetleja
või tema advokaadist esindaja esitada kassatsiooni Riigikohtule. Kassatsioon esitatakse
Riigikohtule 30 päeva jooksul alates otsuse avalikult teatavakstegemisest.
ASJAOLUD JA MENETLUSE KÄIK
1. Andmekaitse Inspektsiooni 9. jaanuari 2025 otsusega väärteoasjas nr 951024000001
määrati Asper Biogene OÜ-le isikuandmete kaitse seaduse (IKS) § 62 lg 2 alusel rahatrahv
5000 eurot ja IKS § 62 lg 2 ning § 65 lg 2 alusel rahatrahv 80 000 eurot.
2. Väärteoprotokollis toodud väärtegude kirjeldused on järgmised.
I Huvide konflikt ja andmekaitseametniku pädevus.
Väärtegu on pandud toime 1. jaanuar 2023 kuni 22. jaanuar 2024 Asper Biogene OÜ aadressil
Tartu maakond, Tartu linn, Vaksali tn 17a.
Isikuandmete kaitse üldmääruse (IKÜМ) art 37 lg 1 kohustab nii vastutavat kui volitatud
töötlejat määrama andmekaitseametniku (edaspidi ka AKS) samas lõikes ettenähtud juhtudel.
Art 37 lg 1 p c kohaselt on andmekaitseametniku määramine kohustuslik, kui vastutava või
volitatud töötleja põhitegevuse moodustab artiklis 9 osutatud andmete eriliikidega seotud
isikuandmete ulatuslik töötlemine.
Asper Biogene OÜ on juriidiline isik ja IKÜМ art 4 р 7 tähenduses andmete vastutav töötleja
ning määrab seega ettevõttes toimuvate isikuandmete töötlustoimingute eesmärgid ja
vahendid, st mis põhjusel ja kuidas isikuandmeid töödeldakse. Asper Biogene OÜ tegeleb
põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning arendusteenuste
pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste osutamisega) ning
töötleb seeläbi ulatuslikult terviseandmeid IKÜM art 9 1g 1 tähenduses ja on seetõttu
kohustatud IKÜM art 37 1g 1 p-st c tulenevalt määrama andmekaitseametniku.
H. T. on olnud Asper Biogene OÜ juhatuse liige alates 08.06.2021, sh käesoleval hetkel ning
on ainuisikulist esindusõigust omav juhatuse liige. Lisaks oli H. T. perioodil 01.01.2023-
30.01.2024 Asper Biogene OÜ andmekaitsespetsialist.
Täpsemalt reguleerivad andmekaitseametnikule kehtestatud nõudeid IKÜM art-d 37-39.
IKÜM art 37 lg 5 sätestab, et andmekaitseametniku määramisel lähtutakse eelkõige tema:
1. kutseoskustest;
2. ekspertteadmistest andmekaitsealase õiguse ja tava kohta ning
3. suutlikkusest täita art-s 39 osutatud ülesandeid.
IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja kohustusi,
kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja
kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema
andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte,
võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et
andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema
sõltumatuses.
2
H. T. määras ennast 01.01.2023 andmekaitseametniku positsioonile vaatamata sellele, et tal
puuduvad kutseoskused ja eelkõige ekspertteadmised andmekaitsealase õiguse ja tava kohta
ning arusaam, millised on andmekaitseametniku ülesanded, et hinnata oma suutlikkust
nendega toime tulla. Paralleelselt oli samal perioodil andmekaitsespetsialistiks määratud ka K.
J., kes tegelikkuses andmekaitsespetsialisti tööülesandeid ei täitnud. H. T. ei täitnud
andmekaitseametniku ülesandeid kahasse K. J. ning ei konsulteerinud temaga andmekaitset
puudutavates küsimustes. Seega H. T. tegutses tegelikkuses (faktiliselt)
andmekaitseametnikuna ainuisikuliselt.
H. T. jättis ennast andmekaitseametniku positsioonile määrates kontrollimata, kas
andmekaitseametniku määramisele on kehtestatud nõuded ja kas selline otsus on nende
nõuetega kooskõlas. H. T. täitis Asper Biogene OÜ-s andmekaitsespetsialisti ülesandeid alates
01.01.2023 kuni 22.01.2024 ning samal ajal oli ta ka Asper Biogene OÜ juhatuse ainuliige.
See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada isikuandmete töötlemise
vahendite ja eesmärkide üle ainuisikuliselt, kuid andmekaitsespetsialistina oli tal kohustus
järgida, et juhatuse liikme isikuandmete kaitse valdkonna otsused oleksid olnud IKÜM
nõuetega kooskõlas.
Andmekaitseametnikul on õigus täita ka muid ülesandeid ja kohustusi, kuid teisi ülesandeid ja
kohustusi saab talle panna üksnes tingimusel, et need ei tekita huvide konflikti. Eeskätt
tähendab see, et andmekaitseametnik ei saa organisatsioonis olla sellisel ametikohal, millest
tulenevalt ta peab otsustama isikuandmete töötlemise eesmärkide ja vahendite üle.
Seega oli H. T. Asper Biogene OÜ andmekaitsespetsialistina kohustatud järgima
isikuandmete kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel
viisil tegutsedes ei olnud tal võimalik täita andmekaitseametniku ülesandeid sõltumatul viisil,
nii et ei oleks sellega põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema
isikuandmete kaitsevaldkonna otsuseid ettevõtte huvidest lähtuvalt, kuid
andmekaitsespetsialistina oli ta kohustatud sõltumatul viisil teavitama ennast kui juhatuse
liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ andmekaitse valdkonnas täitma
pidi (näiteks et vajalik on tagada nõuetekohane turvalisus kliendisuhte haldusrakenduse
kasutamisel).
Eeltoodust tulenevalt on menetlusalusele isikule etteheidetav ajavahemikus 01.01.2023 kuni
22.01.2024 IKÜМ art 37 lg-s 5 sätestatud andmekaitseametniku pädevuse nõude rikkumine
(huvide konflikti vältimise nõue) ja IKÜM art 38 lg-s 6 sätestatud andmekaitseametniku
ametiseisundi nõude rikkumine ja teo eest on ette nähtud juriidilise isiku vastutus IKS § 62 lg
2 järgi.
Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult.
Karistusseadustiku (KarS) § 14 lg 1 (teo toimepanemise ajal kehtinud redaktsioon, RT I,
06.08.2022, 27, jõustumise kp 01.11.2022) sätestab, et juriidiline isik vastutab seaduses
sätestatud juhtudel teo eest, mis on toime pandud tema organi, selle liikme, juhtivtöötaja
võipädeva esindaja poolt juriidilise isiku huvides.
Riigikohus asus otsuses 4-23-742 seisukohale, et EL-i õigusega pole kooskõlas kuni 31.
oktoobrini 2023 (k.a) kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele isikule
IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi üksnes
siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule. Eeltoodust
tulenevalt ei ole vajalik juriidilise isiku vastutusele võtmiseks rikkumist omistada eelnevalt
Asper Biogene OÜ juhatuse liikmele kui füüsilisele isikule ja tuvastada tleb, et tegu on toime
pandud juriidilise isiku huvides.
Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper
Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete
3
vastutava töötleja seadusejärgse kohustusega (IKÜM art 37 lg 1 p c) määrata nõuetele vastav
andmekaitseametnik. Arvestades, et andmekaitseametniku erialaste teadmiste vajalik tase
tuleb määrata kindlaks eelkõige vastavalt teostatavatele andmetöötlustoimingutele ning
vastutava töötleja või volitatud töötleja töödeldavate isikuandmete kaitsmise nõuetele, toimub
andmekaitseametniku määramine ettevõtte huvides.
Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 alusel.
II Isikuandmete asjakohase turvalisuse tagamine
Väärtegu on pandud toime määratlemata algusajaga kuni esmase ründe toimumise algusajani
26.09.2023 ning toimepanemise koht on Asper Biogene OÜ veebipõhine kliendisuhete
haldusrakendus ehk CRM (aadressil XXX), mis paikneb Zone Media OÜ pilveserveris.
IKÜM art 5 lg 1 p f sätestab, et isikuandmete töötlemisel tagatakse, et isikuandmeid
töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või
ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest,
kasutades asjakohaseid tehnilisi või korralduslikke meetmeid (usaldusväärsus ja
konfidentsiaalsus).
IKÜM artikkel 32 lg 1 sätestab, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja
rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja
eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja
vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse
tasemetagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid.
26.09.2023 algatati esmane küberrünnak Asper Biogene OÜ veebipõhisesse kliendisuhte
haldusrakendusse ehk CRM-i (aadressil XXX), mille käigus tehti päringuid tähestikulises
järjekorras erinevate failinimede kohta. Sellele järgnes koheselt katse CRM-i sisse logida
erinevate kasutajanimedega, millele anti vastuseks ,,Lubamatu parool“ või ,,Vale parool“.
Ebaõnnestunud katsete järel muudeti rünnet ja alustati SQL-süsti (SQL Injection) rünnakuga.
Süstide käigus saadi kätte andmebaasistruktuur (tabelite ja veergude nimed) ning CRM
kasutajanimed ja parooliräsid. Rünnaku tulemusel saadud Asper Biogene OÜ töötaja
kasutajanime ,,XXX“ ja parooli ära kasutades logiti 01.11.2023 süsteemi sisse ning
ajavahemikul 01.11.2023 kell 20:43 - 02.11.2023 kell 04:06 paigaldati Asper Biogene OÜ
andmebaasi CRM pahavara. Pahavara võimaldas selleks volitamata kolmandatel isikutel
(ründajad) perioodil 02.11.2023 - 10.11.2023 korduvalt CRM andmebaasist andmeid alla
laadida.
Rünnete käigus kasutati ära Asper Biogene OÜ veebipõhises rakenduses CRM esinevat SQL
süsti turvaviga, nõrka paroolipoliitikat ning aegunud РНР tarkvara versiooni. Rünnete
tulemusel laeti andmebaasist alla kokku 33,5 GB ulatuses andmeid, mis sisaldab 106 837 faili,
millest valdav osa sisaldab eriliigilisi andmeid (peamiselt patsientidele teostatud
geenianalüüsidega seonduvad andmed ning teostatud analüüside tulemused).
CRM-i haldas ja turvalahendusi tagas Asper Biogene OÜ lepingupartner XXX OÜ.
Asper Biogene OÜ süsteemidesse toimunud ründest ja selle tagajärjel aset leidnud
andmelekkest oli puudutatud ca 10 000 isikut 22-st Euroopa Liidu liikmesriigist. Seega on
tegemist mahuka ja ulatusliku andmetöötlusega. Lekkinud andmed sisaldasid mh puudutatud
isikute analüüsitulemusi ja geeniandmeid, mille töötlemine on ettevõtte põhitegevuse osa.
Seega on Asper Biogene OÜ tegevuses kõige suurem töödeldavate isikuandmete osakaal
eriliigiliste isikuandmete töötlemisel.
IKÜM artikkel 32 lg 1 p b kohustab nii vastutavat kui volitatud andmetöötlejat, arvestades mh
isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning ohte isikute õigustele ja
vabadustele, rakendama meetmeid, et oleks tagatud isikuandmete töötlemise ohule
4
vastavturvalisuse tase. Rakendada tuleb tehnilisi ja korralduslikke meetmeid, et tagatud oleks
muuhulgas isikuandmeid töötlevate süsteemide kestev konfidentsiaalsus ja vastupidavus.
Enne ründe toimumise aega olid CRM-i võimalik sisse logida, kasutades selleks kasutajanime
ja parooli. Kasutusel olid järgmised paroolireeglid: 1) Parooli tuleb vahetada vähemalt 90
päeva tagant; 2) uus ja vana parool ei tohi olla samad; 3) Parool peab sisaldama ka suurtähti ja
numbreid; 4) Parool peab olema vähemalt 9 märki pikk. Ebaõnnestunud sisselogimisel 3
korda järjest blokeeritakse konto 60 minutiks. Õnnestunud ja ebaõnnestunud sisselogimised,
samuti paroolivahetused logitakse eraldi registrisse. Paroolide krüpteerimiseks kasutati
räsialgoritmi MD5, mis ei ole teiste tänapäeval kasutusel olevate krüpteerimisvõimalustega
võrreldes turvaline. Kaheastmelise autentimine ei olnud kasutusel.
Seega kasutas Asper Biogene OÜ enne andmeleket CRM-i sisselogimiseks turvalahendusi,
mis ei suutnud tagada eriliiki isikuandmetele IKÜM-iga nõutud turvalisust. Asper Biogene
OÜ-l oli kohustus täiendava turvalisuse tõstmiseks võtta kasutusele paroolireeglid, mis on
tänapäevanõuetele vastavad (nt vähemalt 12-tähemärki, mitmikautentimine, IP-piirangud)
ning paroolide kaitsmiseks turvalised räsialgoritmid (nt XXX, XXX).
Samuti oli Asper Biogene OÜ-l paigaldatud ühele veebilehele spetsiaalne tööriist, mis
võimaldas kaitsta veebilehti SQL-süsti rünnete eest. Tegelikkuses see tööriist ei toiminud ning
selle toimivuses ei veendutud. SQL-süsti näol on tegemist ühe levinuima veebiründega ning
eksisteerivad automaatsed lahendused selliste turvanõrkuste tuvastamiseks. Arvestades
töödeldavate isikuandmete tundlikkust ja hulka oli Asper Biogene OÜ-l kohustus võtta CRM-
i kaitsmiseks kasutusele täiendavad meetmed (nt toimiv SQL-süsti rünnete tuvastamise
lahendus) ning veenduda nende meetmete toimivuses.
Lisaks oli Asper Biogene OÜ poolt CRM-is kasutatav PHP tarkvaraversioon uuendatud
uusimale versioonile (8.1.), kuid sellest hoolimata olid süsteemid programmeeritud kasutama
vanemat versiooni (7.3.), mille tehniline tugi oli lõppenud aastal 2021.
Asper Biogene OÜ rakendas täiendava turvalisuse meetmena enne ründe toimumise aega
turvasündmuste logimissüsteemi. Süsteemis logitavaid sündmuseid ei monitooritud.
Monitoorimise puudumise tõttu ei olnud võimalik kiiresti reageerida toimuvale ründele, sh
andmete allalaadimisele. Täiendava turvameetmena on võimalik rakendada automaatset
monitoorimist, mis mh annab märku, kui süsteemi püütakse sisse logida erinevatelt
(välismaistelt) IP-aadressitelt või suuremahulisi andmeid alla laadida.
Asper Biogene OÜ kehtestas isikuandmete töötlemisega seotud kordasid ja juhendeid, mis
sisaldavad pinnapealseid regulatsioone ning ei anna selget vastust, millised on andmekaitse-
ja turvareeglid.
Eeltoodust tulenevalt rakendas Asper Biogene OÜ, võttes arvesse isikuandmete
töötlemiselaadi, ulatust, konteksti ja eesmärke, selliseid tehnilisi ja korralduslikke meetmeid,
mis ei suutnud tagada suurele ohule vastavat andmete turvalisust ja mis ei olnud kooskõlas
IKÜM art 32 lg-ga 1.
IKÜM art-st 32 tulenev kohustus tagada isikuandmete töötlemise turvalisus hõlmab endas
muuhulgas IKÜM art 28 lg-st 1 tulenevat kohustust kasutada ainult selliseid volitatud
töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja
korralduslikke meetmeid sellisel viisil, et töötlemine vastab IKÜM-i nõuetele ja sealjuures
tagatakse andmesubjekti õiguste kaitse. Asper Biogene OÜ eelkäija Asper Biotech sõlmis
XXX OÜ-ga CRM-i haldamise ja arendamise lepingu. Asper Biotech üleminekul Asper
Biogene OÜ-ks lepingut ei uuendatud, kuid 20.08.2018 sõlmiti täiendav andmetöötlusleping.
Asper Biogene OÜ usaldas olemasoleva rakenduse (CRM) senist töökindlust ning et kasutusel
on vajalikud tehnilised meetmed isikuandmete töötlemise turvalisuse tagamiseks. Asper
Biogene OÜ kohustus vastutava töötlejana oli muuhulgas veenduda, et XXX OÜ poolt
5
kasutatavad turvameetmed on ka tegelikkuses rakendatud ja ajakohastatud. Selle kohustuse
täitmiseks, ilma vastavaid IT-valdkonna teadmisi omamata, on vastutaval töötlejal võimalik
kasutada erinevaid meetmeid, nt veenduda, et teostatakse regulaarseid turvatestimisi või
auditeid, mis oleksid süsteemi nõrkused välja toonud. Asper Biogene OÜ ja XXX OÜ on
omavahelise koostöölepingu lisana sõlminud ka andmetöötluslepingu, mis loetleb
töödeldavate andmete liigid (isiku nimi, isikukood/sünniaeg, etnilist päritolu ja rassilist
kuuluvust kirjeldavad andmed, pärilikkuse informatsiooni andmed, biomeetrilised andmed
ning teised isiku tervist ja geene puudutavad andmed) et nende töötlemine on seotud teenuse
osutamisega. Lepingust ei ilmne, mis teenuse osutamisest ja mis ulatuses käib jutt ning
lepingus on sätestamata isikuandmete töötlemise laadid ja nende eesmärgid.
Seega sõlmisid Asper Biogene OÜ juhatuse liige ja XXX OÜ juhatuse liige omavahel IKÜM
nõuetele mittevastava vastutavat ja volitatud töötlejat siduva kirjaliku andmetöötluslepingu,
kuivõrd Asper Biogene OÜ kohustus vastutava töötlejana oli anda XXX OÜ-le selged ja
dokumenteeritud suunised, et andmetöötlus vastaks IKÜM-i nõuetele. Nõuetele mittevastava
lepingu sõlmimisega jäi tagamata seejuures andmesubjektide õiguste kaitse. IKÜM art 5 lg 2
kohaselt vastutab isikuandmete kaitse põhimõtete, sh usaldusväärsuse ja konfidentsiaalsuse
põhimõtete täitmise eest vastutava töötlejana Asper Biogene OÜ. Eeltoodust tulenevalt on
menetlusalusele isikule seeläbi ette heidetav IKÜM art 5 lg 1 p f ja art 32 lg 1 rikkumine ehk
isikuandmete asjakohase turvalisuse tagamise kohustuse täitmata jätmine. Antud teo eest on
ette nähtud juriidilise isiku vastutus IKS § 62 lg 2 ja § 65 lg 2 järgi.
Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult.
Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper
Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete
vastutava töötleja seadusejärgse kohustusega (IKÜM art 32 lg 1) rakendada ohule vastava
turvalisusetaseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Arvestades,
et vastutav töötleja peab tagama töödeldavate isikuandmete kaitsmise vastavalt IKÜM-i
nõuetele, toimub asjakohaste tehniliste ja korralduslikke meetmete rakendamine ettevõtte
huvides. Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 ja § 65 lg 2
alusel.
3. Tartu Maakohtusse saabus 24. jaanuaril 2025. a menetlusaluse isiku Asper Biogene OÜ
kaitsjate kaebus eelnimetatud väärteootsusele. Kaitsjad taotlevad Andmekaitse Inspektsiooni
9. jaanuari 2025 otsuse väärteoasjas 951024000001 tühistamist. Kaitsjate arvates tuleks teha
uus otsus, millega lõpetada Andmekaitse Inspektsiooni väärteomenetlus 951024000001
VTMS § 107 lg 1 p 2 ning § 29 lg 1 p 1 alusel. Samuti taotlevad kaitsjad Asper Biogene OÜ
menetluskulude riigi kanda jätmist VTMS § 38 lg 1 ning KrMS § 181 lg 1 alusel.
4. Kokkuvõtvalt leitakse kaebuses esimese väärteoetteheite kohta, et AKI on vääralt
tõlgendanud IKÜM art 37 lg-t 5 ning eksinud tegude toimepanemise aja määramisel. Kaebaja
ei nõustu, et juriidilise isiku juhtorgani liikme määramisega andmekaitseametnikuks rikkus
viidatud artiklis sätestatud huvide konflikti vältimise kohtustust. Huvide konflikt sai olla
üksnes näilik. H. T. ei tegutsenud kavatsetult. Kaebaja hinnangul ei oleks Asper Biogene
suhtes mõistlikult ootuspärane tõlgendus, mille kohaselt kohaldataks IKÜM art 37 lg 5
rikkumise puhul alates 01.11.2023 kehtima hakanud KarS § 14 regulatsiooni. KarS § 5 lg 3
kohaselt seadusel, mis tunnistab teo karistatavaks, raskendab karistust või muul viisil
halvendab isiku olukorda, ei ole tagasiulatuvat jõudu. Nimetatud õiguse üldpõhimõtte olulisus
peegeldub asjaolus, et üksnes süüteod inimsuse vastu ja sõjasüüteod on karistatavad,
sõltumata teo toimepanemise ajast (KarS § 5 lg 4). Euroopa Inimõiguste Kohtu praktikast
tuleneb ka, et ootuspärase mõiste ulatus sõltub suurel määral asjaomase teksti sisust,
hõlmatavast ainevaldkonnast ning normi adressaatide arvust ja nende isikutest. Seaduse
ootuspärasuse põhimõttega ei ole vastuolus see, kui asjaomane isik peab pöörduma
õigusnõuandja poole, et konkreetsetel asjaoludel piisava mõistlikkusega hinnata kindla teo
6
tagajärgi. Kokkuvõttes märgib kaebaja, et kuni 31.10.2023 (k.a.) kehtinud KarS § 14-s
sätestatud juriidilise isiku derivatiivse vastutuse põhimõtet oli kinnitatud Riigikohtu
väljakujunenud praktika ning juriidilise isiku derivatiivse vastutuse põhimõte leidis laialdaselt
kohaldamist. Kaebajale ei ole seetõttu mõistlikult ootuspärane alates 1. novembrist 2023
sätestatud KarS § 14 vastutuse põhimõtete rakendamine.
5. Teise väärteoetteheite kohta leiavad kaebajad esmalt, et kuivõrd IKÜM art 32 lg-s 1
sätestatud kohustuse täitmine on seatud nii vastutavale töötlejale kui ka volitatud töötlejale ja
AKI väärteootsusest nähtub, et Asper Biogenele heidetakse ette tema kohustuste täitmist
vastutava töötlejana, siis nad ei nõustu AKI rollide määratlusega ning rollide määratluse
eksimusega on tegu VTMS § 150 lg 1 p 1 ning § 29 lg 1 p 1 rikkumisega, mis välistab
käesoleva teokoosseisu osas edasise väärteomenetluse Asper Biogene suhtes. Kaebaja
hinnangul pidanuks AKI esmalt tuvastama, milliste lekkinud andmete osas oli Asper Biogene
vastutavaks töötlejaks, st osutas teenust otse andmesubjektile, ning milliste andmete osas
volitatud töötlejaks, alles mille järel saanuks AKI hinnata, kes ja millises ulatuses vastutab
CRM-i tehniliste ja korralduslike meetmete eest. Kuna Asper Biogene OÜ oli sõlminud
andmetöötluslepingu tarkvaraarendajaga, kelle pädevuses oli otsustada üksikasjalike tehniliste
turvameetmete üle, on kaebaja hinnangul vastutavatel töötlejatel õigustatud valdkonnas IT
lahendusi pakkuvalt ettevõtjalt teenust tellides eeldada, et rakendatakse sektori spetsiifilisi
minimaalseid turvalisuse meetmeid. Mõlemad osapooled pidasid pikalt efektiivselt toiminud
lahendusi CRM-i sisselogimisel piisavaks ning ei pidanud vajalikuks turvalisuse taseme
tõstmist. See tähendab, et H. T. tugines lepingupartneri hinnangule süsteemi efektiivsuse osas.
Ka leitakse, et H. T. ei tegutsenud tahtlikult ja et juriidilisele isikut ei saa süüdi mõista juba
esimese väärteoetteheite juures toodud põhjendustel.
6. Eraldi tuuakse kaebuses välja, et karistus ei ole proportsionaalne.
7. AKI esitas 26. veebruaril 2025 oma seisukoha kaebuse osas. Kohtuväline menetleja ei
nõustu kaebusega ja vaidleb sellele vastu. Kohtuväline menetleja on seisukohal, et
menetlusalusele isikule inkrimineeritud tegudes esinevad nii süüteokoosseisu objektiivsed kui
ka subjektiivsed tunnused, teod on õigusvastased ning süülised. Seetõttu palub ta jätta otsus
muutmata ja Asper Biogene OÜ kaebus rahuldamata, samuti jätta kõik menetluskulud kaebaja
kanda.
8. Menetlusaluse isiku kaitsjad esitasid 20. märtsil 2025 seisukoha AKI 26. veebruari 2025
seisukoha kohta. Kaitsjad teatasid, et Asper Biogene OÜ jääb enda kaebuses esitatud
seisukohtade juurde.
9. Kohus pidas 21. märtsil 2025 kohtuistungi asja arutamise planeerimiseks. Kohtuistungid
tõendite uurimiseks toimusid 29.-30. aprillil, 9. mail 2025. Kohtuvaidlused peeti 29. mail
2025.
10. Kaebaja jäi oma kaebuse juurde. Kaebuse esitaja leiab, et kohtuvälise menetleja otsus
tuleb täielikult tühistada ja väärteomenetlus lõpetada VTMS § 29 lg 1 p 1 ning VTMS § 132 p
3 alusel. Alternatiivselt palub menetlusalune isik teha uus otsus, millega tühistada
Andmekaitse Inspektsiooni otsus täies ulatuses või osaliselt ja teha uus otsus, millega
kergendada menetlusalusele isikule mõistetud karistust VTMS § 132 p 2 alusel ja/või lõpetada
väärteomenetlus otstarbekuse kaalutlusel VTMS § 30 lg 1 p 1 alusel. VTMS § 132 p 2 kohase
otsuse korral määrata rahatrahvi tasumine ositi KarS § 66 lg 2 alusel. Jätta Asper Biogene OÜ
menetluskulud riigi kanda VTMS § 23, VTMS § 38 lg 1 ning KrMS § 175 lg 1 alusel ning
kaitsjate menetluskulude nimekirjas toodud ulatuses.
11. Kohtuväline menetleja palus kohtul jätta AKI üldmenetluse otsus muutmata ja kaebus
rahuldamata.
7
KOHTU SEISUKOHT
12. VTMS § 123 lg 2 kohaselt vaatab maakohus väärteoasja läbi täies ulatuses, sõltumata
esitatud kaebuse piiridest, kontrollides kohtuvälise menetleja otsuse tegemise aluseks olnud
faktilisi ja õiguslikke asjaolusid.
13. Väärteoasjas on keskseks vaidlusküsimuseks juriidilise isiku vastutuse teema, mis seondub
väärtegude toimepanemise aja määratlemisega.
14. Väärteootsuse kohaselt oli Asper Biogene OÜ andmekaitsespetsialist huvide konfliktis ja
ebapädev perioodil 1. jaanuar 2023 kuni 22. jaanuar 2024; isikuandmete turvalisust ei taganud
Asper Biogene OÜ määratlemata algusajast kuni ründe toimumise algusajani, so kuni 26.
septembrini 2023.
15. Kaebuse esitaja hinnangul on AKI eksinud tegude toimepanemise aja määramisel.
Esimese koosseisu, ehk IKÜM art 37 lg 5 ning art 38 lg 6 rikkumise puhul, on AKI kohaselt
tegu vältava teoga. Kaebaja ei nõustu, et IKÜM art 37 lg 5 rikkumist saab toime panna
vältavalt. IKÜM art 37 lg 5 grammatilisest tõlgendusest tuleneb, et rikkumist saab toime
panna üksnes „andmekaitseametniku määramisel“. Seega tulnuks AKI-l märkida IKÜM art 37
lg 5 rikkumise toimepanemise ajaks 1. jaanuariks 2023.
16. Kohus kaebajaga ei nõustu ja leiab, et IKÜM art 37 lg 5 näol on tegemist
tegevusetusdeliktiga ning tegu on pandud toime vältavalt, sest Asper Biogene OÜ oli tervel
väärteoprotokollis märgitud perioodil tegevusetu. Teisisõnu on õiguslikult on tegemist vältava
tegevusetusega, mis algas 1. jaanuaril 2023 ja lõppes pädeva AKS-i määramisega. See
tähendab, et kogu selle perioodi jooksul, mil Asper Biogene OÜ-l ei olnud nõuetele vastavat
AKS-i, oli Asper Biogene OÜ-l kohustus AKS määrata.
17. Teise väärteokoosseisu, ehk IKÜM art 32 lg 1 rikkumise, pani Asper Biogene OÜ
väärteoprotokolli kohaselt toime määratlemata algusajaga kuni esmase küberründe toimumise
algusajani 26. septembril 2023. Ajavahemikul 1. - 2. november 2023 paigaldati Asper
Biogene OÜ andmebaasi CRM pahavara, mis võimaldas selleks volitamata kolmandatel
isikutel (ründajad) perioodil 2. - 10. november 2023 korduvalt CRM andmebaasist andmeid
alla laadida.
18. Kohtu hinnangul ei ole AKI väärteo toimepanemise aega õigesti määratlenud. Tegemist
on taas tegevusetusdeliktiga ja vältava tegevusetusega, mis sisuliselt kestis vähemalt kuni 10.
novembrini 2023, ehk et ajani, mil ründajad saavutasid oma eesmärgi ja rünne lõppes. Kuna
aga kohus on seotud väärteoprotokollis toodud etteheitega ega saa menetlusaluse isiku
olukorda raskendada ega nö süüdistuse raamidest väljuda, siis tuleb lähtuda AKI märgitud
väärteo toimepanemise ajast.
19. Seega on esimene väärteokoosseis toime pandud vältavalt 1. jaanuarist 2023 kuni 22.
jaanuar 2024 ja teine määratlemata algusajast kuni ründe toimumise algusajani, so kuni 26.
septembrini 2023.
20. Viidatud perioodil sätestas juriidiliste isikute karistusõiguslikku vastustust kaks erinevat
karistusseadustiku redaktsiooni. Kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon
kohaselt pidi juriidilise isiku vastutusele võtmiseks tuvastama füüsilise isiku, kellele selline
tegu omistada.
21. Samas on Riigikohus jõudnud seisukohale, et Euroopa Liidu õigusega ei ole kooskõlas
kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele
isikule IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi
üksnes siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule (vt
8
Riigikohtu 20. juuni 2024. a otsus nr 4-23-742 p 19-21). Sealjuures tugines Riigikohus
eelkõige Deutsche Woheni otsusele (Euroopa Kohtu 5. detsembri 2023. a otsus nr C-807/21).
Riigikohtu lahend on asjakohane ka praeguses asjas.
22. Nagu öeldud, pani väärteoprotokolli kohaselt menetlusalune isik väärteod toime osaliselt
enne ja osaliselt pärast KarS § 14 muudatusi. Seega on tekkinud olukord, kus kohus peab
otsustama, kas jätta kohaldamata Euroopa Liidu õigusnormiga vastuolus olev siseriiklik norm
või tuleks lähtuda riigisisese põhiõiguste kaitse kõrgemast standardist ning Euroopa Liidu
õigus kohaldamata jätta.
23. Kohtule on teada, et sama õigusküsimust on Harju Maakohtu 13. mai 2025 otsuses
väärteoasjas nr 4-24-2473 lahatud ja jõutud seisukohale, mis on tänaseks ka jõustunud. Kohus
kirjutab oma lahendis, et õigusküsimust lahendades tuleb eeskätt vaadelda ettenähtavuse, kuid
ka seaduse määratletuse ja tagasiulutava jõu keelu põhimõtteid. Seega tuleb hinnata, kas
menetlusalusele isikule oli mõistlikult ettenähtav, et 31. oktoobrini 2023 kehtinud KarS § 14
regulatsioon ei ole Euroopa Liidu õigusega kooskõlas ning IKÜM-i nõuete rikkumiste eest
võib määrata väärteomenetluses trahvi ka siis, kui rikkumine ei ole kindlale füüsilisele isikule
identifitseeritud. Mainitu on eriti kaalukas kontekstis, kus kõikide süüks pandavate väärtegude
objektiivse koosseisu esimese elemendina tuleb selgeks teha, kas esineb erisubjekti ehk teod
peab olema toime pannud vastutav töötleja IKS-i tähenduses. Euroopa Liidu õiguse
kohaldamise või kohaldamata jätmisel konkureerivad omavahel Euroopa Liidu õiguse
esimuse põhimõte ja vajadus järgida liidu õiguse üldpõhimõtetega tagatud põhiõigusi.
Esimuse põhimõte tähendab, et liikmesriigi kohtul on kohustus jätta vaidluses vajaduse korral
omal algatusel kohaldamata mis tahes riigisisese õigusnormi, mis on vastuolus vahetut
õigusmõju omava Euroopa Liidu õigusnormiga. Euroopa Liidu esimuse põhimõte ei ole aga
absoluutne, kuna liidu õigust kohaldades tuleb menetlusosalistele tagada Euroopa põhiõiguste
harta ja liidu õiguse üldpõhimõtetest tulenevad põhiõigused (vt Euroopa Kohtu 24. juuli 2023.
a otsus nr C-107/23 p-d 95 ja 101). Euroopa Kohus on märkinud, et riigisisese normi
kohaldamine ei tohi takistada süstemaatiliselt tõhusate ja hoiatavate karistuste määramist (vt
nt Euroopa Kohtu 5. detsembri 2017 otsus nr C-42/17, p-d 29-62 ja C-107/23, p-d 95-125).
Seda tuleks muuseas arvestada Euroopa Liidu õiguse esimuse põhimõtte kohaldamisel.
Euroopa Kohus on iseenesest jaatanud liikmesriigi kohtu õigust jätta ettenähtavuse,
määratletuse ja tagasiulutava jõu keelu põhimõtete põhimõttele tuginedes Euroopa Liidu
õigus kohaldamata isegi siis, kui seadusandja ei ole vaidlusalust normi ühtlustanud ning
riigisisene normi kohaldamine takistaks süstemaatiliselt tõhusate ja hoiatavate karistuste
määramist (vt C-107/23 p 118, sh Euroopa Kohtu 5. detsembri 2017. a otsust nr C-42/17;
ettenähtavuse, määratletuse ja tagasiulatuva jõua keelu põhimõtete kohta vt ka C-107/23 p
113 ja C-42/17 p 51). Viidatud põhimõtete kohta on Euroopa Kohus veel märkinud, et kuniks
Euroopa Kohus ei ole mingit konkreetset õigusküsimust lahendanud, tuleks enne kohtuotsuse
kuulutamist toime pandud süütegude puhul lähtuda riigisisese põhiõiguste kaitse kõrgemast
standardist. Vastasel juhul võidakse tagasiulatuvalt kohaldada rangemaid vastutusele võtmise
tingimusi kui need, mis kehtisid süüteo toimepanemise ajal (vt C-42/17 p 60).
24. Harju Maakohtu 13. mai 2025 otsuses väärteoasjas nr 4-24-2473 leidis kohus kokkuvõttes
seda, et menetlusalusele isikule ei saanud olla mõistlikult ette nähtav, et Euroopa Liidu
õigusega pole kooskõlas kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon.
Vastupidine käsitlus läheks vastuollu ka seaduse määratletuse põhimõttega (s.o nõue, et
normid ja nendes sisalduv teave peavad olema selged, kätte- ja arusaadavad) ning tekkida
võib olukord, kus menetlusalusele isik võetakse tagasiulatuvalt vastutusele tingimustel,
millistel ei oleks teda varem karistatud. Seda seetõttu, et ilma Deutsche Woheni otsuseta ei
oleks kuni 31. oktoobrini 2023 kehtinud KarS § 14 ja IKÜM-i vastuolu ja Euroopa Liidu
õiguse otsekohaldumise küsimust üleüldse tekkinud. Kuigi IKÜM kehtis Eestis juba aastaid
muutumatuna enne etteheidetava teo toimepanemist, omaks see isiku vastutuse seisukohalt
tähendust siis kui IKÜM ise juriidilise isiku vastutust reguleeriks ja seda IKÜM ei tee.
9
25. Kuivõrd viidatud Harju Maakohtu seisukohad on tänaseks jõustunud, sest Riigikohus ei
võtnud AKI kassatsiooni menetlusse, ei näe praegust asja lahendav kohus põhjust asuda
teistsugusele seisukohale.
26. Ettenähtavust saab hinnata sündmuste ajateljel. Praegused väärteod pandi toime
ajavahemikul 1. jaanuar 2023 kuni 22. jaanuar 2024 ja määratelemata ajast kuni 26.
septembrini 2023. KarS § 14 jõustus uues sõnastuses 1. novembril 2023. Deutsche Wohneni
(C-807/21) otsus kuulutati 5. detsembril 2023. Riigikohtu otsus IKÜM-i ja KarS § 14
vastuolu kohta kuulutati 20. juunil 2024. Seega nii KarS § 14 muudatused, kuid ka Deutsche
Woheni otsus sündisid süüks pandavate väärtegude toimepanemise ajal ja ei olnud
menetlusalusele isikule ettenähtavad.
27. Järelikult tuleb väärtegude objektiivsete koosseisude hindamisel kuni 1. novembrini 2024
jätta kohaldamata Euroopa Liidu õigus ning lähtuda menetletava teo ajal kehtinud KarS-i, s.o
kuni 31. oktoobrini kehtinud, redaktsioonist. See omakorda tähendab, et Asper Biogene OÜ-d
ei saa karistada teo või tegude eest, mille ta pani toime perioodil enne 31. oktoobrit 2023, sest
H. T. tegevusetust ei saa temale omistada, kuivõrd H. T. endal kohustusi IKÜM-ist tulenevalt
ei lasunud.
28. Käesoleval juhul on väärteoprotokollis vastutava töötlejana osutatud Asper Biogene OÜ-
le. Seega ei sisalda väärteoprotokoll andmeid, millele tuginedes saaks tuvastada juriidilise
isiku karistusõigusliku vastutuse eeldusi. Juhatuse liiget ei saa samastada juriidilise isikuga,
keda ta esindas. Juriidilise isiku kohustuste täitmata jätmist ei saa omistada juhatuse liikmele
isiklikult. Järelikult ei täida juriidilise isiku nimel tegutsenud füüsiline isik H. T. erilise
isikutunnuse puudumise tõttu IKS-is sätestatud väärteokoosseise kuni 31. oktoober 2023
kehtinud KarS § 14 mõttes ja puuduvad koosseisupärased teod, mida oleks võimalik KarS §
14 lg 1 alusel Asper Biogene OÜ-le omistada. Seetõttu tuleb väärteomenetlus Asper Biogene
OÜ suhtes VTMS § 29 lg 1 p 1 alusel lõpetada tegudes, mis jäid perioodi enne
1. novembrit 2023.
29. Eeltoodust tulenevalt lõpetab kohus menetluse Asper Biogene OÜ karistamises IKS § 62
lg 2 ja § 65 lg 2 järgi isikuandmete turvalisuse tagamata jätmises.
30. Alates 1. novembrist 2023 kehtiva KarS § 14 lg 1 kohaselt vastutab juriidiline isik
seaduses sätestatud juhtudel teo eest, mille on tema huvides või tema õiguslikke kohustusi
rikkudes toime pannud tema organ, selle liige, juhtivtöötaja või pädev esindaja või mistahes
isik käesoleva lõike punktis 1 nimetatud organi või isiku korraldusel või juriidilise isiku
puuduliku töökorralduse või järelevalve tõttu. KarS § 14 lg 2 kohaselt, kui juriidiline isik on
õiguslikult kohustatud tegutsema, vastutab ta KarS § 14 lg 1 sätestatud alustel tegevusetuse
eest, sõltumata sellest, kas juriidilise isiku kõrval on õiguslikult kohustatud tegutsema ka
lõikes 1 nimetatud organ või isik.
31. Väärteootsuse kohaselt oli Asper Biogene OÜ AKS huvide konfliktis ja ebapädev
perioodil 1. jaanuar 2023 kuni 22. jaanuar 2024 ja kontrollida tuleb Asper Biogene OÜ
vastutust perioodil 1. novembrist 2023 kuni 22. jaanuar 2024. Hinnata tuleb, kas kellegi isiku
tegevusetus, kellel endal küll ei olnud IKÜM-ist tulenevat kohustust tegutseda, kuid kelle
tegevusetuse saab omistada juriidilisele isikule, viis selleni, et Asper Biogene OÜ rikkus
andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja
pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5). Ei seaduse seletuskiri
teo toimepanemise hetkel kehtinud KarS § 14 lg 1 ja 2 kohta ega ka KarS § 14 lg 2 sõnastus ei
luba järeldada, et juriidilist isikut saaks vastutusele võtta ilma konkreetse füüsilise isiku teos
väärteokoosseisule vastavate asjaolude tuvastamist.
32. IKS § 62 lg 2 näeb ette juriidilise isiku vastutuse vastutava töötleja ja volitatud töötleja
kohustuse rikkumise eest, täpsemalt Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679
10
artiklites 8, 11, 25–39, 42 ja 43 sätestatud vastutava töötleja või volitatud töötleja kohustuse
rikkumise eest.
33. Kohtuvälise menetleja otsuses tehtud väärteoetteheite kohaselt rikkus Asper Biogene OÜ
juhatuse liige H. T. olles üheaegselt ettevõtte juhatuse liige ja andmekaitseametnik esiteks
andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja
teiseks pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5).
34. IKÜM art 37 lg 1 p c kohaselt määravad vastutav töötleja ja volitatud töötleja
andmekaitseametniku, kui vastutava töötleja või volitatud töötleja põhitegevuse moodustab
artiklis 9 osutatud andmete eriliikidega seotud isikuandmete ulatuslik töötlemine. Asper
Biogene OÜ tegeleb põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning
arendusteenuste pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste
osutamisega) ning töötleb seeläbi ulatuslikult terviseandmeid ja on seetõttu kohustatud
määrama andmekaitseametniku. Täpsemalt reguleerivad andmekaitseametnikule kehtestatud
nõudeid IKÜM art 37–39.
35. H. T. on Asper Biogene OÜ juhatuse liige alates 8. juunist 2021 ning on ainuisikulist
esindusõigust omav juhatuse liige. H. T. määras ennast 1. jaanuarist 2023
andmekaitseametniku positsioonile mõtlemata, et andmekaitsespetsilisti ja juhatuse liikme
rolli vahel võiks tekkida huvide konflikt. Andmekaitsespetsialisti ametisse määramise kohta
ühtegi lepingut enne küberründe toimumist ei vormistatud.
36. IKÜM art 38 lg-s 3 esimese lause kohaselt tagavad vastutav töötleja ja volitatud töötleja,
et andmekaitseametnik ei saa nende ülesannete täitmise suhtes juhiseid. Sama sätte kolmas
lause sätestab, et andmekaitseametnik allub otse vastutava töötleja või volitatud töötleja
kõrgeimale juhtimistasandile. Andmekaitsespetsialistil peab olema võimalus täita oma
kohustusi ja ülesandeid sõltumatult. Käesoleval juhul tähendab see seda, et H. T. täitis Asper
Biogene OÜ-s andmekaitsespetsialisti ülesandeid ning samal ajal oli ta ka Asper Biogene OÜ
juhatuse ainuliige. See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada
isikuandmete töötlemise vahendite ja eesmärkide üle ainuisikuliselt, kuid
andmekaitsespetsialistina oli tal kohustus järgida, et juhatuse liikme isikuandmete kaitse
valdkonna otsused oleksid olnud IKÜM-i nõuetega kooskõlas.
37. IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja
kohustusi, kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised
ülesanded ja kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema
andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte,
võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et
andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema
sõltumatuses. IKÜM art 38 lg 6 eesmärgi kohaselt ei saa andmekaitseametnikule anda
selliseid ülesandeid ja kohustusi, mis võiksid kahjustada tema kui andmekaitseametniku
ülesannete täitmist. Samuti ei saa andmekaitseametnikule anda ülesandeid või kohustusi,
mille tulemusel määratakse vastutava töötleja või volitatud töötleja juures kindlaks
isikuandmete töötlemise eesmärgid ja vahendid.
38. H. T. Asper Biogene OÜ andmekaitsespetsialistina oli kohustatud järgima isikuandmete
kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel viisil
tegutsedes ei olnud tal võimalik täita AKS-i ülesandeid sõltumatul viisil, nii et ei oleks sellega
põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema isikuandmete kaitsevaldkonna
otsuseid ettevõtte huvidest lähtuvalt, kuid AKS-ina oli ta kohustatud sõltumatul viisil
teavitama ennast kui juhatuse liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ
andmekaitse valdkonnas täitma pidi.
39. Kohus nõustub kohtuvälise menetlejaga, et H. T. jättis ennast AKS-i positsioonile
määrates kontrollimata, kas AKS-i määramisele on kehtestatud nõuded ja kas selline otsus on
11
nende nõuetega kooskõlas. Kahtlust ei ole selles, et H. T. huvi ei olnud ettevõtet kahjustada.
Vastupidi, ta oli väga huvitatud muuhulgas ka andmekaitset puudutavast. Kohtuistungil antud
ütluste kohaselt oli fookus siiski põhiliselt käsil olevatel arendustel infosüsteemides. Nii
selgitas H. T. kohtuistungil, et tema asi oli sellel perioodil, kui tema AKS oli, järgi vaadata, et
saatelehtede muutmisel elektroonseks, oleksid kõik andmekaitset puudutavad aspektid läbi
analüüsitud.
40. Kokkuvõttes nõustub kohus kohtuvälise menetlejaga, et olukorras, kus AKS-iks on
ainuisikuline juhatuse liige, kes otsustab muuhulgas ettevõttes andmetöötluse eesmärgid ja
vahendid, ei ole võimalik tagada AKS-i sõltumatust, kuna tegemist on kahe rolli huvide
konfliktiga. Juhatuse liikmena pidi H. T. tegema otsuseid ettevõtte huvidest lähtuvalt, kuid
andmekaitsespetsialistina oli ta kohustatud tegutsema sõltumatult.
41. Asper Biogene OÜ-le heidetakse ette sedagi, et andmekaitsespetsialistiks määratud H. T.
puudus pädevus andmekaitsespetsialisti rolli täitmiseks. Ehk et tal puudusid AKS-i kohustuste
täitmiseks vajalikud kutseoskused ja ekspertteadmised. Vaidlust ei ole selles, et H. T. sai aru,
mida andmekaitse valdkond endast kujutab. H. T. mõtestas enda jaoks lahti, miks ettevõttel
mingid andmed on, kuidas neid töödeldakse, kes neid töötleb ja kuidas neid tuleks kaitsta.
42. IKÜM art 37 lg 5 sätestab aga konkreetsed eeldused AKS-i määramisel. Nimelt lähtutakse
andmekaitseametniku määramisel tema kutseoskustest ja eelkõige ekspertteadmistest
andmekaitsealase õiguse ja tava kohta ning suutlikkusest täita artiklis 39 osutatud ülesandeid.
43. IKÜM art 37 lg-s 5 ei ole täpsustatud, milliseid kutseoskusi tuleb andmekaitseametniku
määramisel kaaluda. Euroopa Andmekaitsenõukogu on oma suunistes välja toonud, et
andmekaitseametnikel peavad olema ekspertteadmised liikmesriigi ja liidu
andmekaitseseaduste ja tavade kohta ning põhjalikud teadmised isikuandmete kaitse
üldmäärusest. Samuti aitab see, kui järelevalveasutused pakuvad andmekaitseametnikele
piisavat ja regulaarset koolitust. Kasuks tulevad teadmised vastutava töötleja ärisektorist ja
organisatsioonist. Andmekaitseametnik peaks hästi tundma ka vastutava töötleja
andmetöötlustegevust, infosüsteeme, andmeturvet ja andmekaitsega seotud vajadusi
(Suunised andmekaitseametnike kohta, lk 13). Suunistest andmekaitseametnike kohta tuleneb,
et nõutav ekspertteadmiste tase ei ole rangelt määratletud, kuid see peab vastama
organisatsiooni töödeldavate andmete delikaatsusele, keerukusele ja hulgale. See tähendab, et
andmekaitseametniku valimisel peab vastutav töötleja lähtuma sellest, kui keeruline on
andmete töötlemine või kas see hõlmab suurt hulka delikaatseid isikuandmeid ning vastavalt
sellele valima andmekaitseametniku. Samuti on vahe sees olenevalt sellest, kas organisatsioon
edastab isikuandmeid väljapoole Euroopa Liitu süstemaatiliselt või juhuslikult. Seetõttu tuleks
andmekaitseametnik valida hoolikalt, pöörates sealjuures piisavalt tähelepanu
organisatsioonis esile kerkivatele andmekaitseteemadele (Suunised andmekaitseametnike
kohta, lk 12).
44. Asper Biogene OÜ on geneetilise testimisega tegelev ettevõte, mille peamine fookus on
pärilike haiguste testimisel ja geenitestide arendusel. Asper Biogene OÜ osutab teenuseid
rahvusvaheliselt. Asper Biogene OÜ-s toimuva isikuandmete töötlemise puhul on tegemist
ulatusliku ja komplitseeritud eriliigiliste andmete töötlemisega, mistõttu peavad
andmekaitseametniku ekspertteadmised olema kõrgel tasemel.
45. Kohtuistungil antud ütluste pinnalt ei ole kahtlust, et H. T. püüdis hoida ennast
andmekaitsenõuetega vastavalt vajadusele kursis. Vaidlust ei ole selles, et H. T. puudus
andmekaitsespetsialisti väljaõpe ja ta ei saanud koolitusi ka ametiaja jooksul. H. T. sõnul
määras ta ennast andmekaitsespetsialistiks praktilise vajaduse tõttu, kuna ettevõttes töötati
välja infosüsteemide uuendusi, mis olid samas seotud andmekaitse teemadega. Ta uskus, et
tema varasem kogemus kvaliteedisüsteemide loomisel ja arendamisel (sh Euroopa ja ka
Ameerika standardiseerimise eksperdi kogemus), võimaldab tal saada aru oma ülesannetest.
12
Vaid tunnistuse olemasolu ei ole tema arvates piisav pädevuse mõõtmiseks. H. T. selgitas, et
ta on andmekaitsenõudeid lugenud ja ta oli nendega kursis. Kahtlemata oli tal juhatuse
liikmena hea ülevaade ärisektorist ja organisatsiooni ülesehitusest ning asutuse
andmetöötlustegevustest, infosüsteemidest ja andmeturbest. Eelnev tuleb aga vaid kasuks
AKS-i rolli täitmisel, kuid ei ole selle eelduseks.
46. Kinnitust on leidnud seegi, et andmekaitsega seotud koolitusi H. T. AKS-ina Asper
Biogene OÜ töötajatele läbi viinud ei ole. Ta selgitas kohtuistungil, et ettevõttes olid olemas
korrad ja juhised tagamaks andmete kaitse. Kohtuistungil sai neid dokumente ka vaadeldud.
Kuni küberründe toimumiseni pidas H. T. neid piisavaks, pärast rünnet määrati AKS-iks oma
ala asjatundja. H. T. kinnitas, et inimesed, kes Asper Biogene OÜ-sse tööle tulevad läbivad
ettevalmistuse. H. T. selgitas, et teda juhina huvitavad, et asjad töötaksid, tihtipeale keerulise
protseduuri nimi võib jätta täiesti ükskõikseks ja inimestel on lihtne jälgida lihtsaid
protseduure. Süsteemi toimise juures on oluline inimese käitumine, mitte korra teadmine. Ta
leiab, et Asper Biogene OÜ töötajad olid koolitatud ja juhtum ise näitas, et töötajad
reageerisid adekvaatselt. Tema ise oli lähetuses, kuid asjad toimisid, tema hiljem koordineeris
infovahetust politsei, AKI, tervishoiuteenuste osutajate ja teistega. H. T. lisas, et nad töötavad
erinevate õigusaktide kombinatsioonis, ehk tervisehoiusüsteemi esimene kokkulepe on see, et
patsiendi ohutus kõige ülim ja kõik ülejäänud asjad peavad sellele alluma. Neid juhivad
reeglid, mille vahel nad peavad kompromisse tegema. On patsiendi ohutus, meditsiiniõigus,
siis edasi andmekaitse ja kvaliteedikontroll ning kliendi ja haigla nõudmised.
47. H. T. on ette heidetud ka suutmatust täita IKÜM art 39 lg 1 sätestatud kohustusi.
Menetluse kestel on H. T. AKS-ina olnud kohtuvälisele menetlejale alati kättesaadav ning
koostöövalmis ehk et IKÜM art 39 lg 1 p-des d ja e sätestatud kohustused on ta täitnud.
Täitmata on jäänud väärteoetteheite kohaselt p-des a, b ja c sätestatud kohustused. Kaitsjad
leidsid, et H. T. täitis p-des a ja b sätestatud kohustused ja p-s c sätestatud kohustuse täitmist
talle ette heita ei saa. Kuivõrd kaitsjate hinnangul on Asper Biogene OÜ volitatud töötleja,
kes töötles andmeid vastutavate töötlejate (tervishoiuteenuste osutajad) nimel, siis puudus tal
IKÜM art 39 lg 1 p c kirjeldatud kohustus, s.o mõjuhinnangu koostamise kohustus. See
tähendab, et kui haiglast koostööpartner on määranud endale andmekaitsespetsialisti, siis
tuleb temal vajadusel mõjuhinnang koostada. Seega on kaitsjate hinnangul välistatud H. T.
IKÜM art 39 lg 1 p c rikkumise ette heitmine.
48. Mis puutub Asper Biogene OÜ rolli vastutava või volitatud töötlejana, siis vaadeldi kohtus
tervishoiuteenuse osutajatega sõlmitud andmetöötluslepinguid, mis määratlesid Asper
Biogene OÜ-d kui volitatud töötlejat. Menetlusaluse isiku hinnangul ei olnud ta andmete
säilitamiskohustuse ulatuses vastutav töötleja. Kohtuväline menetleja asus teistsugusele
seisukohale ja leiab, et kuivõrd Asper Biogene OÜ-l on seadusest tulenev kohustus säilitada
analüüsitulemusi, on ta säilitamiskohustuse ulatuses ka vastutav töötleja. Säilitamiskohustuse
korral otsustab Asper Biogene OÜ iseseisvalt andmete säilitamise eesmärgi ja vahendite üle.
Vastutavale töötlejale, nt koostööpartnerist haiglale, teenuse osutamise korral on Asper
Biogene OÜ volitatud töötleja rollis, kuid osutatud teenuse tulemusena isikuandmete
säilitamise korral on ta seaduse järgi tervishoiuteenuse osutaja ja seeläbi ka vastutav töötleja.
Oluline roll on sellel, kes otsustab töötlemise eesmärgi ja vahendid konkreetse
töötlemistoimingu ulatuses. Asper Biogene OÜ ei säilita andmeid haigla korraldusel vaid seda
kohustab tegema seadus. Asper Biogene OÜ määrab selleks vajaliku infosüsteemi,
säilitustähtajad, juurdepääsud jms. Asper Biogene OÜ teeb otsused ise ja on seega vastutav
töötleja.
49. Kohtu hinnangul saab kohtuvälise menetlejaga nõustuda. Asper Biogene OÜ oli mõlemas
rollis. Samas puudutab vastutava või volitatud töötleja rolli määratlemine käesolevalt vaid ühe
kohustuse täitmist, s.o mõjuhinnangu koostamise kohustust IKÜM art 39 lg 1 p c mõttes,
ülejäänud kohustusi tuli täita olenemata rollist.
13
50. IKÜM art 39 lg 1 p-des a ja b sätestatud kohustused on H. T. kohtu hinnangul jätnud
täitmata, kuna selleks puudusid tal piisavad teadmised andmekaitse valdkonnast. Tema roll oli
andmekaitsespetsialistina seotud eelkõige infosüsteemi uuenduse ja sellega seotud
arendusplaaniga. Kaitsjad on toonud rida näiteid tegevustest, mida H. T.
andmekaitsespetsialisti ülesannetena täitis. Näiteks ründe järgselt kaasas ta välise eksperdi;
juurutas andmekaitsepõhimõtteid; analüüsis või delegeeris kliendi või andmesubjekti kaebuste
või päringute analüüsi ning haldas või delegeeris päringute registrit; tegi või delegeeris
päringutest iga-aastaste kokkuvõtete tegemist ning hinnangute andmist; ründe järgselt
konsulteeris koostööpartneritega, tegi ajurünnaku ning rakendas kiireid ning tõhusaid
turvameetmeteid; tellis auditi ründe kohta info saamiseks; hindas infoturbe standardite
juurutamise vajadust; sõlmis kaks andmekaitselepingut kahe haiglaga; administreeris ründe
järgselt haiglatele saadetavate puudutatud isikute nimekirja koostamist; korraldas haiglatega
suhtlust ründe järgselt ning teavitas vastutavaid töötlejaid nende kohustustest jne. Kahtlust ei
ole, et H. T. kõiki neid tegevusi tegi. Siiski on suurem osa neist seotud toimunud
küberründega, mille järel H. T. alles oma kohustusi täitma asus. Pädev AKS oleks pidanud
tõstatama varem küsimuse süsteemide turvalisusest, tehniliste lahenduste ajakohasusest ja
piisavusest. H. T. ise kinnitas, et üldiselt oli ta asjadega kursis, kuid tema fookus oli tema
töölõigul ja seega AKS-i ülesandeid täitiski ta selle raames. Ülejäänu, s.o laiem pilt ja
spetsiifilised teadmised kogu valdkonnast olid ikkagi puudu.
51. H. T. selgitas korduvalt, et AKS-i roll ettevõttes oli jaotatud, kuid tegelikult see nii ei
olnud. Samal perioodil, kui AKS-i ülesandeid täitis H. T., oli lisaks temale AKS-i rollis
paralleelselt alates 30. maist 2018 ka K. J.. Töölepingu järgi on K. J. analüüsiosakonna
juht/kvaliteedijuht. Tema vastutusalaks oli Asper Biogene OÜ-s teostatavate geenitestide kiire
ja kvaliteetse analüüsimise, interpreteerimise ja tulemuste väljaselgitamise tagamine.
Tootmise kõrge kvaliteedi tagamine ja ettevõtte kvaliteedijuhtimine. Kohtuistungil leidis
kinnitust, et K. J. tegelikult AKS-i ülesandeid ei täitnud. K. J. roll oli formaalne ja H. T.
tegutses tegelikkuses (faktiliselt) andmekaitseametnikuna ainuisikuliselt.
52. H. T. ja K. J. kohtuistungil antud ütlustest selgub, et AKS-i ülesandeid täideti siis, kui
muude kohustuste täitmisest aega üle jäi. K. J. ei olnud teadlik AKS-ile esitatavatest nõuetest.
Veelgi enam, viimase andmekaitsealase koolituse sai ta 2008. aastal ehk 10 aastat enne
IKÜM-i jõustumist. K. J. tunnistas, et tegelikkuses ta ei jõudnud pühenduda AKS-i tööle.
Veelgi enam, ka temal puudusid AKS-i ülesannete täitmiseks vastavad kutseoskused ja
teadmised. K. J. väitis, et Asper Biogene OÜ-s oli andmekaitsega kõik korras, kuid
andmelekke osas märkis, et usaldas IT-teenuse osutajat ega osanud kohtus öelda, miks
turvameetmed väidetavalt piisavad olid. Kohus on seisukohal, et AKS ei pea teadma detailselt
IT valdkonda, kuid ta peab aru saama, mida on vaja jälgida ja kontrollida, et oleks rakendatud
ja tagatud ohule vastav turvalisuse tase.
53. Kokkuvõttes on leidnud tõendamist, et etteheidetav tegu, st andmekaitseametniku
määramisel huvide konflikti vältimise kohustuse rikkumine ja pädeva andmekaitseametniku
määramise kohustuse rikkumine, on toime pandud ja selle on toime pannud Asper Biogene
OÜ juhatuse ainuliige H. T. H. T. pani teo toime mitte isiklikes, vaid Asper Biogene OÜ
huvides.
54. AKI otsuse kohaselt pani H. T. etteheitetud teo toime kavatsetult. Kohus sellega ei nõustu,
sest H. T. tegevuses eesmärgiks ei olnud süüteokoosseisule vastava asjaolu teostamine. KarS
§ 15 lg 3 sätestatu kohaselt on väärteona karistatav nii tahtlik kui ka ettevaatamatu tegu.
Kohtu hinnangul on tegu pandud toime KarS § 18 lg 3 kohaselt hooletusest, kui ta ei tea
süüteokoosseisule vastava asjaolu esinemist, kuid oleks seda tähelepaneliku ja kohusetundliku
suhtumise korral pidanud ette nägema. Ettevaatamatuse korral rikub isik tahtmatult
hoolsuskohustust, nt ei taju tekkinud olukorda, mis võib olla süüteokoosseisu tunnus, või ei
taju oma garandiseisundit.
14
55. Kohus nõustub kohtuvälise menetlejaga, et juhatuse liikme ametikoha spetsiifikast
lähtudes ei saa juhatuse liige olla suuteline täitma oma kohustusi ning olla samal ajal kõikide
toimingute suhtes erapooletu. Juhatuse liikme põhiülesandeks on ettevõtte juhtimine ja selle
huvide eest seismine, mis võib sageli tähendada strateegiliste ja operatiivsete otsuste tegemist,
mis on tugevalt seotud ettevõtte majandusliku heaolu ja konkurentsivõimega. Need otsused
võivad olla mõjutatud ettevõtte finantshuvide, äripartnerite, töötajate ning teiste
sidusrühmadega seotud teguritest, mis toob paratamatult kaasa olukorra, kus erapooletuse
säilitamine muutub keeruliseks või lausa võimatuks. Kuna juhatuse liige on tihedalt seotud
ettevõtte strateegia ja otsustusprotsessidega, võib tekkida huvide konflikt, kus isiklikud või
ettevõtte huvid võivad varjutada objektiivse ja erapooletu seisukoha võtmise, mis on aga
hädavajalik andmekaitseametniku ülesannete täitmisel.
56. Kokkuvõttes rikkus H. T. hooletusest tuleneva tegevusetusega Asper Biogene OÜ
õiguslikke kohustusi ja kuivõrd Asper Biogene OÜ oli õiguslikult kohustatud tegutsema,
vastutab ta tegevusetuse eest, sõltumata sellest, et H. T. endal ei olnud IKÜM-ist tulenevat
kohustust tegutseda. Teisisõnu, pädeva andmekaitseametniku määramise nõude täitmine lasus
juriidilisel isikul ning see kohustus jäeti KarS § 14 lg-s 1 nimetatud isiku poolt täitmata.
Selleks isikuks oli Asper Biogene OÜ juhatuse liige H. T.
57. Õigusvastasust ja süüd välistavaid asjaolusid kohus ei tuvastanud, mis omakorda tähendab
seda, et Asper Biogene OÜ on toime pannud IKS § 62 lg 2 sätestatud väärteo.
Karistus
58. AKI määras Asper Biogene OÜ-le IKS § 62 lg 2 alusel rahatrahvi 5000 eurot.
59. Vastavalt KarS § 56 lg 1 sätetele on karistamise aluseks isiku süü. Karistuse mõistmisel
kohtu poolt või määramisel kohtuvälise menetleja poolt arvestatakse kergendavaid ja
raskendavaid asjaolusid, võimalust mõjutada süüdlast edaspidi hoiduma süütegude
toimepanemisest ja õiguskorra kaitsmise huvisid.
60. Karistuse määramisel on kohtuväline menetleja arvestanud väärteokoosseisude
objektiivsete ja subjektiivsete tunnustega ning karistust kergendatavate asjaoludega ning
võtnud kaalumisel arvesse ka IKÜM art 83 lg-st 2 tulenevaid aspekte. Kohtuväline menetleja
märgib sedagi, et süüdlase isik on määrav karistuse eripreventiivse eesmärgi saavutamisel.
Seetõttu peab karistuse eripreventiivse eesmärgi saavutamiseks – prognoosimaks, milline
karistus on efektiivseim, mõjustamaks süüdlast edaspidi süütegude toimepanemisest hoiduma
– arvestama ka süüdlase isikut. Sama nõue tuleneb ka IKÜM art 83 lg-st 1, mille kohaselt on
järelevalveasutusel kohustus tagada, et trahvi määramine peab igal üksikul juhul olema tõhus,
proportsionaalne ja heidutav. IKÜM art 83 lg-d 4 ja 5 eristavad karistuse määramise
lähtepunktina rikkumisi nende raskusastme järgi. Asper Biogene OÜ on rikkunud vastutava
töötleja kohustusi (art 32, 37 ja 38), mida saab pidada IKÜM art 83 lg 4 järgi kergema laadiga
rikkumiseks. Kohtuväline menetleja ei arvestanud karistuse määramisel menetlusaluse isiku
vastulauses väljatoodud seisukohaga, mille kohaselt on Asper Biogene OÜ alates 29.
veebruarist 2024 täielikult kõrvaldanud IKÜM art 37 lg 5 ning art 38 lg 6 rikkumised ning
rakendanud mitmed IKÜM art 32 järgsed tehnilised ja korralduslikud meetmed (nt
kaheastmeline autentimine). Kohtu hinnangul tuleb seda tulenevalt IKÜM art 83 lg 2 p f ja h
siiski arvestada. Asper Biogene OÜ hilisem tegevus ei muuda toimepandud väärtegusid
olematuks, nagu märgib kohtuväline menetleja, kuid Asper Biogene OÜ teavitas koheselt
ründest järelevalveasutust ning tegi igakülgselt koostööd rikkumise võimaliku kahju mõju
leevendamiseks.
61. VTMS § 30 lg 1 sätestab, et menetleja võib väärteomenetluse lõpetada, kui menetlusaluse
isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi.
15
62. Kaasuse asjaolude pinnalt saab öelda, et Asper Biogene OÜ süü väärteo toimepanemisel
ei ole suur. Asper Biogene OÜ andmekaitseametnikuna olid ametis K. J. (formaalselt) ja H. T.
(faktiliselt). AKS-i ülesandeid täitis H. T., kes oli samal ajal ka Asper Biogene OÜ ainus
juhatuse liige ja sellega tekkis huvide konflikt kahe rolli vahel. H. T. oli juhatuse liikmena
kursis kõigi ettevõtte tööprotsessidega ja püüdis samas täita ka AKS-i ülesandeid. Küll aga oli
tema fookus vaid kitsal töölõigul, mis temale tegelemiseks oli määratud. Laiemalt ei olnud
aga tal piisavalt teadmisi AKS-i ülesannete täitmiseks. Kohus tuvastas, et tegu on pandud
toime ettevaatamatusest hooletuse vormis, ehk et erinevalt kohtuvälisest menetlejast kohus
tahtlust ei tuvastanud. Seda tuleb süü suuruse hindamisel arvesse võtta.
63. Avaliku menetlushuvi osas leiab kohus, et avalik menetlushuvi puudub. Asper Biogene
OÜ on oma eksimustest õppinud ja pädeva AKS-i määranud. Seoses viidatud Harju Maakohtu
13. mai 2025 otsuse väärteoasjas nr 4-24-2473 jõustumisega kirjutasid mitmed
meediaväljaandes oma juhtkirjades, et AKI peaks olema pigem nõustav, kui karistav organ.
Teisisõnu soovitakse andmekaitsealastes küsimustes pigem suuremat koostööd ja ennetust,
kui tagantjärele tarkusena targutamist ja eksimuste karistamist. Kohus teeb siit järelduse, et
avalikkus igal juhul eksinu karistamist ei eelda, st avalik menetlushuvi on pigem
tagasihoidlik. Ehk et Asper Biogene OÜ karistamist ei õigusta üldpreventiivsed kaalutlused.
Eripreventsiooni vaates on Asper Biogene OÜ läbi menetluse oma karistuse sisuliselt ära
kandnud, ta on oma eksimust mõistnud ja selle tagajärgedega tegeleb ta siiani.
64. Seega tühistab kohus Andmekaitse Inspektsiooni 9. jaanuari 2025 otsuse väärteoasjas nr
951024000001 ja lõpetab VTMS § 30 lg 1 p 1 alusel menetluse Asper Biogene OÜ
väärteoasjas IKS § 62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse
jätkamiseks puudub avalik menetlushuvi.
Menetluskulud
65. Käesoleva väärteoasja kohtuvälises kui ka kohtumenetluses on kaebajale õigusabi
osutanud vandeadvokaat Triinu Hiob ning vandeadvokaadi abi Henri Oliver Palm. Kaitsjate
töö tunnihinnaks on 170 eurot. Väärteoasja kohtuvälisel menetlemisel ja kohtulikul
menetlemisel on kaebaja kandnud menetluskulusid kaitsjatele makstud tasu näol kokku 27953
eurot (ilma käibemaksuta). Sellele lisandub 121,77 eurot menetlusalusele isikule tekkinud
kulu seoses kaitsjate transpordiga istungitele. Kokku on menetluskulude suuruseks 28074,77
eurot.
66. Käesolevas asjas heideti Asper Biogene OÜ-le ette kahe väärteo toimepanemist.
67. Kohus lõpetas VTMS § 30 lg 1 p 1 alusel menetluse Asper Biogene OÜ väärteoasjas IKS
§ 62 lg 2 järgi (IKÜM art 37 lg 5 ja art 38 lg 6), kuna menetlusaluse isiku süü ei ole suur ja
väärteomenetluse jätkamiseks puudub avalik menetlushuvi. VTMS § 30 lg 1 3 sätestab, et § 30
lg 1 sätestatud alustel väärteomenetluse lõpetamisel hüvitab menetluskulud menetlusalune
isik.
68. Kohus lõpetas VTMS § 29 lg 1 p 1 alusel menetluse IKS § 62 lg 2 ja § 65 lg 2 järgi
(IKÜM art 32 lg 1), kuna teos puuduvad väärteo tunnused. VTMS § 23 sätestab, et
väärteomenetluse lõpetamise korral sama seaduse § 29 lg 1 punktides 1–3 ja 5–6 sätestatud
alustel hüvitatakse menetlusalusele isikule tema taotlusel valitud kaitsjale makstud mõistliku
suurusega tasu kohtu määruse alusel riigi- või kohaliku eelarve vahenditest.
69. Seega osaliselt rakendub käesoleval juhul VTMS § 23 ja osaliselt VTMS § 30 lg 13.
70. Kohus menetluskulude mõistlikkust ja põhjendatust hinnates leiab, et kõik kaitsjate
tehtud toimingud on vajalikud, arvestades asja keerukust ja spetsiifilisust. Samas on kohus
seisukohal, et nendeks kulunud aeg ei ole kõigi toimingute puhul põhjendatud. Lisaks ei nähtu
menetluskulude nimekirjast, et esindajatele oleks makstud tasu selge tööjaotuse alusel
erinevate ülesannete täitmise eest. Osa toiminguid on nimekirjas dubleeritud (näiteks
16
kohtuistungitel osalemine). Kahele kaitsjale makstud tasu menetluskulude hulka arvutamine
ja hüvitamine ei oleks mõistlik ning kooskõlas KrMS § 175 lg-ga 2 (vt Riigikohtu 25. mai
2017 lahend nr 3-1-1-22-17, p 60). VTMS § 38 lg 1 kohaselt saab kohus menetluskulude
arvestamisel lähtuda kriminaalmenetluse sätetest.
71. Kaitsjad on taotlenud topelt tasu nii 21. märtsi, 29. - 30. aprilli, 9. mai kui 29. mai 2025
kohtuistungitel osalemise eest. Muuhulgas kestis 29. mai 2025 kohtuistung ka ajaliselt vähem
kui kaitsjate menetluskulude nimekirjas märgitud 3 tundi. Seega leiab kohus, et põhjendatud
ei ole tasu istungitel osalemise eest 14 tunni ja 45 minuti eest, mis on 2508 eurot ja selles osas
tuleb tasu jätta välja mõistmata.
72. Kohtu hinnangul on menetluskulude nimekirjas veel toiminguid, milleks kulunud aega ei
saa põhjendatuks pidada. Nii on kohtukõne kirjutamisele ja ettevalmistamisele kulunud ajaks
märgitud kokku 18 tundi ja 42 minutit. Kohtueelses menetluses on kaitsjad korduvalt
analüüsinud väärteotoimikut ja koostanud vastulause, seejärel analüüsinud kohtuvälise
menetleja väärteootsus ja koostanud kaebuse. Otsuse analüüsiks ja kaebuse
ettevalmistamiseks kulunud ajaks on märgitud seejuures ligi 26 tundi. Argumendid, millised
esitati kohtukõnes on sisuliselt samasugused kui varasemalt esitatud vastulauses ja kaebuses,
mille tõttu tuleb ka siin toimingute eest küsitud tasu vähendada.
73. Tasu on kaitsjad küsinud ka selle eest, et nad on omavahel ja kolleegidega arutelusid
pidanud. Selline tasu on kohtu arvates põhjendatud. Samuti on tasu põhjendatud
menetlusaluse isikuga peetud kõnede, vestluste ja kirjavahetuste eest.
74. Kokkuvõttes leiab kohus, et menetlusalusele isikule tema taotlusel valitud kaitsjale
makstud mõistliku suurusega tasuks on 23 500 eurot. Kuna kahest etteheidetavast süüdistusest
ühe osas kohaldub VTMS § 30 lg 13, siis tuleb vaid pool kaitsjatasust menetlusalusele isikule
hüvitada. Kahe erineva väärteoetteheite mahtu hindab kohus sisuliselt võrdseks. Tulenevalt
eeltoodust tuleb Asper Biogene OÜ-le hüvitada riigieelarve vahenditest tema poolt kantud
õigusabikulude katteks kokku 11 750 eurot.
(allkirjastatud digitaalselt)
17