Advokaat selgitab: uudsed andmekaitse põhimõtted ja mida need ettevõttele kaasa toovad

Mida tähendavad tuleva aasta maikuus jõustuva andmekaitsemääruse uued põhimõtted nagu vaikimisi ja lõimitud andmekaitse ja mida need ettevõttele kaasa toovad, selgitab Karmen Turk.

Andmekaitsepõhimõtted on omased ka kehtivale andmekaitseõigusele ning ka nende põhimõtete järgimata jätmisel on tagajärg sama – töötlemine on lubamatu. Uus üldmäärus lähtub samasest eeldusest, kuid erisuseks on olemasolevate põhimõtete konkretiseerimine ja uute loomine. Käesolev postitus keskendubki meie TOP 10 tegevuskava osale, mis käsitleb põhimõtteid.

Andmekaitsepõhimõtted üldmääruses
Üldmäärus sisaldab samu põhimõtteid, mis olemasoleva õigus, nt õiglase ja seaduspärase töötlemise; andmete asja- ja ajakohasuse põhimõtted.

Samas konkretiseerib üldmäärus nii mõndagi olemasolevat põhimõtet:

• eesmärgi piirangu põhimõte (nn purpose limitation) nõutab üheselt, et olemasolevate andmete töötlemine ei ole hiljem lubatud eesmärkidel, mis on vastuolus algse kogumise eesmärgiga;
• võimalikult väheste andmete kogumise põhimõte (nn data minimisation) asendab „ülemäärase kogumise keelu“ kohustusega tagada, et kogutakse vaid vajalikke andmeid;
• õigsuse põhimõtet (nn accuracy) karmistatakse kohustusega viivitamatult kustutada või parandada töötlemise eesmärgi seisukohast ebaõiged andmed;
• säilitamise piirangu põhimõtte (nn data retention) kohaselt ei säilitata andmeid kauem kui see on vajalik eesmärgi täitmiseks;
• vastutuse põhimõte nõutab nii seda, et töötleja vastutab põhimõtete täitmise (nii välis- kui siseriske arvestades) eest kui ka seda, et töötleja on võimeline tõendama põhimõtete täitmist. See nn tõendamisvõimelisus on üldmääruse riskipõhise lähenemise keskne osa ning sellest tuleb juttu ka järgmistes blogisarja osades.

Tuues näite eeltoodud põhimõtete alusel veebipõhise turunduskampaania puhuks. Turustajate soov on üldjuhul teada klientide kohta võimalikult palju informatsiooni – alates meili- ja posti aadressist ning lõpetades lemmikraamatuga. Üldmääruse alusel peaks töötleja olema võimeline tõendama, et nii meili- kui postiaadressi üheaegne kogumine on eesmärgikohaselt vajalik ning vähim, millega eesmärgini jõuda. Teabe kogumine lemmikraamatu kohta aga ei ole tõenäoliselt põhimõtetega a priori kooskõlas.

Vaikimisi ja lõimitud andmekaitse
Üldmäärus nimetab ka mõned uudsed põhimõtted, näiteks vaikimisi ja lõimitud andmekaitse põhimõtted. Andmekaitsemäärusele on omane lähtumine põhimõttest, et kõik elu- ja tegevusvaldkonnad on seotud infotehnoloogiaga ning infotehnoloogia on omakorda kasutajatele ning regulatiivsetele asutustele läbipaistmatu. Praktikas tähendab see seda, et andmekaitse asutustel ei ole võimekust efektiivselt ja süstemaatiliselt uurida ning karistada rikkumisi. Selle „nõrkuse“ tasakaalustamiseks ongi seadustatud viidatud põhimõtted.

Sisuliselt tähendab vaikimisi andmekaitsepõhimõte, et toote või teenuse algseadistuseks peab olema maksimaalne andmekaitse (nn privacy by default). Näiteks, töötleja järgib põhimõtet, kui mobiiltelefoni või sotsiaalmeedia konto algseadistus sisaldab selgesõnalist nn opt-in põhimõtet; vaikimisi on piiratud mistahes jagamise funktsioonid; andmete kogumine on viidud miinimumi ning sisse on seatud andmete säilitamise põhimõtted ning subjekti õiguste realiseerimise võimalused (nt andmete kustutamine, kaasaskantavus).

Lõimitud andmekaitse on teine põhimõte, mille omaksvõtt on keeruline, eriti IT-ettevõtete jaoks (nn privacy by design). Nimelt, mistahes tarkvara arendaja võib kinnitada, et arenduse käigus on esmamureks toote/teenuse tuum-funktsionaalsusete arendamine ning andmekaitse üle murtakse pead pigem kiirustades ning lõppfaasis. Lõimimise põhimõte nõutab, et andmekaitse, nt teenuse turvalisuse üle muretsemine ning selle tagamine näiteks läbi krüptimise ja autentimise peaks muutuma tuum-funktsionaalsuseks, millega tuleb tegeleda projekti algusest alates ning iga toote/teenuse osa ja mooduli loomisel (nn “end-to-end” security).

Uudsete lõimitud ja vaikimis andmekaitse põhimõtete eelduseks on näiteks see, et ettevõtted töötavad välja siseprotseduurid, mis neid arvesse võtaks. Näiteks looma andmekaitsemõjude hindamise malli, mida on igakordselt uue toote/teenuse väljatöötamisel lihtne ning kohustuslik täita; samuti looma uute protsesside kasutuselevõtul näiteks automaatse kustutamismehhanismi andmetele, mida ettevõttel ei ole enam vaja jne.

Järgmised sammud ehk asu tegutsema!
Praktikas tähendavad uued ja täpsustatud põhimõtted seda, et paljud ettevõtted peavad ümber mõtestama enda andmekaitsepoliitika.

Täna on aga õige aeg mitmeks tegevuseks:

• analüüsida seni kogutud andmete vastavus „võimalikult väheste andmete kogumise“ ja „eesmärgi piirangu“ eesmärkidele ning otsustama olemasolevate andmete edasine kasutamine, kustutamine, pseudonümiseerimine või krüptimine;
• analüüsida enda ettevõtte olemasolevad andmekaitsepõhimõtted ning andmete kogumise ja töötlemise viisid ja eesmärgid ning teha järeldused sellest, kuidas ning millises ulatuses edaspidi andmeid kogutakse;
• uuendada olemasolevaid lepinguid partneritega reguleerimaks vastutuse ja riisiko seoses lõimitud ja vaikimisi andmekaitse ja teiste põhimõtete nõuete täitmisega.