Andmekaitsemäärus muutub: töötlemiseks vajaliku andmete omaniku nõusoleku tingimused karmistuvad

Tuleva aasta mais kehtima hakkav uus andmekaitse üldmäärus karmistab oluliselt isikuandmete töötlemiseks vajaliku nõusoleku tingimusi.

Jätkame 2018. a mais jõustuva andmekaitse üldmääruse tutvustamist. Seekord anname ülevaate isikuandmete töötlemiseks vajalikust andmesubjekti nõusolekust, mille tingimused on määruses oluliselt karmistunud.

Määruse kohaselt on isikuandmete töötlemine seaduslik kas andmesubjekti nõusolekul või muul määruse artiklis 6 sätestatud alusel. Mõlema töötlemise aluse kasutamiseks tuleb juba täna alustada tööd tagamaks võime tõendada enda andmekasutuse kooskõla üldmäärusega.

Seaduslik alus
Isikuandmete töötlemise lubatavus seaduslikul aluse olemasolul jääb üldpildis samaks kehtivaga ehk nõusolekut ei ole vaja töötlemiseks näiteks lepingu täitmiseks või töötleja juriidiliste kohustuste täitmiseks.

Samas tuleb pöörata tähelepanu, et tulemas on ka muudatusi, näiteks õigustatud huvist lähtuv töötlemise alus kitseneb. Nimelt ei ole töötlemine lubatud, kui võrreldes töötleja huvidega on olulisemad on andmesubjekti huvid ja seda eriti, kui tegemist on alaealisega (vt allpool).

Üldmäärus lubab teatud kindlatel tingimustel töödelda andmeid uuel eesmärgil võrreldes sellega, millisel neid algselt koguti. Muu eesmärgi lubatavuseks tuleb otsustada, kas see uus eesmärk on kokkusobiv algse eesmärgiga ning arvesse tuleb võtta, milline oli kogumise kontekst, milliseid andmeid koguti ja millised on võimalikud tagajärjed andmesubjektile. Näiteks võib tuua olukorra, kus ettevõte on võtnud nõusoleku e-kirja teel uudiskirja saatmiseks enda autoremonditeenuste osas teabe edastamiseks, siis lubatud võiks olla ka uudiskirja saatmine uudsel tehnoloogilisel viisil või uue tooteliini avamisel näiteks autopuhastusteenuste kohta teabe edastamiseks.

Nõusolek - peab olema selge ja vabatahtlik
Nõusoleku küsimise näol ei ole tegemist uue kohustusega, kuna valdav osa isikuandmete töötlemistest leiab ka praegu aset andmesubjekti nõusolekul. Küll aga on määruses nõusolekut käsitlevaid nõudeid oluliselt karmistatud.

Määruse kohaselt kehtib nõusolek isikuandmete töötlemiseks ainult juhul kui selleks on antud selge avaldus, kinnitus (olgu siis suuliselt, elektrooniliselt või kirjalikult) või nõusolekut väljendav tegevus. Nõusolek ei saa tuleneda isiku vaikimisest või tegevusetusest. Seega on määruse mõtte kohaselt nõusolek antud nt veebisaidil kastis linnukese või risti tegemisega, kuid vabatahtliku nõusolekuga ei ole tegemist, kui linnuke või rist kastis on juba eelnevalt olemas (ja isik peaks keeldumiseks selle ise eemaldama).

Nõusolek peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline.

Nõusoleku andmist loetakse vabatahtlikuks üksnes ulatuses, milles see on eesmärgipäraselt (nt lepingu täitmiseks) vajalik ning nõusolek ei tohiks olla teenuse osutamise eeltingimuseks, kui see ei ole iseenesest lepingu täitmiseks vajalik. Näiteks ei ole eelduslikult vabatahtlikuks nõusolekuks ka selline nõusolek, kus ei ole võimalik anda erinevate töötlemise toimingutele eraldi nõusolekut ega nõusolek, mis on antud selgelt ebavõrdses olukorras (eelkõige nt töösuhe).

Isikuandmete töötlemiseks nõusoleku küsimine peab määruse kohaselt olema lihtne ja arusaadav. Samuti, andmesubjekt peaks olema teadlik, kes on vastutav töötleja ja milleks kavatsetakse isikuandmeid töödelda. Määruse kohaselt peab nõusolek hõlmama kõiki samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid. Teisisõnu, kui isikuandmete töötlemisel on mitu eesmärki või kasutusviisi, tuleks nõusolek anda iga eesmärgi ja viisi kohta.

Alaealiste isikuandmete töötlemisel on erisused. Määrusega rõhutatakse, et laste isikuandmed väärivad erilist kaitset, mistõttu on infoühiskonna teenuste pakkumisega seoses lapse isikuandmete töötlemine seaduslik ainult juhul, kui laps on vähemalt 16-aastane (liikmesriikidele on antud voli vanusemäära vähendada kuni 13 aastani) või nooremate laste korral juhul ja sellises ulatuses, milleks on nõusoleku või loa andnud lapse vanem või eestkostja. Teenuse pakkuja peab mõistlikult kontrollima, et nõusolek on antud lapse vanema või eeskostja poolt.

Seega, kui isikuandmete töötlemine toimub nõusoleku alusel, peab vastutav töötleja suutma tõendada, et andmesubjekt on andnud toiminguks määruse nõuetele vastava väga selge ja konkreetse nõusoleku.
Sealjuures tuleb ka enne määruse jõustumist küsitud nõusolekud viia määrusega kooskõlla.

Nõusolek: andmesubjekti õigus isikuandmete kasutamise mõjutamiseks
Määruse kohaselt on andmesubjektil õigus iga hetk oma nõusolek tagasi võtta, nõuda teda käsitlevate isikuandmete parandamist ja töötlemise lõpetamist aga teatud juhtudel ka kustutamist ehk „õigus olla unustatud“. Samuti on määruse kohaselt andmesubjektil isikuandmete automatiseeritud töötlemise korral õigus saada vastutavalt töötlejalt isiku poolt esitatud ja teda puudutavaid isikuandmeid struktureeritud ja masinloetavas vormis.

Kokkuvõttev soovitus ja tegevuskava
Määrusele omaselt – töötleja peab olema võimeline tõendama, et ettevõttes andmete töötlemine on kooskõlas üldmäärusega. Selline tõendamise kohustus ei hõlma ainult andmeid, mida kogutakse alates 2018. aastast vaid kehtib ka kõigi juba aastate jooksul kogutud andmete osas.

Seega tuleb juba täna asuda ettevõtetel analüüsima olemasolevaid iskuandmeid eesmärgiga:

• määrata isikuandmete töötlemise alused (nõusolek või seadus) ning ulatused;
• täpsustada võimalused rakendada uusi töötlemisviise; ning
• luua register, kus sellised andmekategooriad ja töötlemise eesmärgid on talletatud.