Advokaat selgitab: muudatused töötajate ja eraklientide andmete töötlemise osas

Tuleva aasta maist jõustuvad muudatused puudutavad ettevõtete eraisikutest klientide ning töötajate andmete töötlemist, aga ka selliseid isikuid, kes oma teenuse või toote kasutamisel koguvad või töötlevad eraisikute andmeid (nt erinevate uute tehnoloogiate arendajad ja kasutajad, värbamisteenuste pakkujad, tervishoiuasutused jne).

Võib juhtuda, et peate määrama andmekaitsespetsialisti või ostma selle teenuse sisse, teostama mõjuhinnagu, kohendama olemasolevat infosüsteemi, sisemisi protsesse ja dokumente.

Eelpool loetletud tegevused on vajalikud, et tagada eraisikute privaatsus, kuna uue määrusega laiendatakse eraisikute kaitset.

Soovitav on oma ettevõtte isikuandmete töötlemise protsess põhjalikult kaardistada. Paljud ettevõtted tegelevad sellega õnneks juba mõnda aega ja nende puhul võib eeldada, et 25. mail 2018 ollakse määruse jõustumiseks valmis. Kes veel alustanud pole, võiksid arvestada, et spetsiaalse inimressursi puudumisel ei ole sellise harjutuse näol keskmise suurusega ettevõttes reeglina tegemist mitte päevades vaid pigem nädalates ja kuudes mõõdetava ajakuluga.

Võrreldes seniste suhteliselt väikeste karistusmääradega näeb määrus maksimaalse trahvina isikuandmete töötlemise nõuete rikkumise eest ette 20 miljonit eurot või 4% töötleja majandusaasta käibest sõltuvalt sellest, kumb on suurem. Kuna tegemist on trahvi maksimaalse määraga, eeldab selle kohaldamine eeskätt olulisimate kohustuste tahtlikku, korduvat jm kriteeriumide järgi rasket rikkumist.

Siiski ei ole põhjust arvata, et muude rikkumiste puhul potentsiaalselt rahaliselt kurnavaid tagajärgi ei kaasne. See võib juhtuda eeskätt siis, kui töötleja tegevus on andmekaitse seisukohalt kõrge riskiga, rikkumisega põhjustatud tagajärjed puudutavad suurt hulka andmesubjekte ja rikkumine on põhjustatud asjaolust, et isikuandmete töötleja ei ole üritanud kohaldada asjakohaseid turvameetmeid.

Järjest enam peab isikuandmete töötleja arvestama ka sellega, et igasugune andmekaitsealane rikkumine on korralik plekk töötleja mainele. Eraisikute andmete töötlemise läbipaistvus konkurentsieelisena suureneb kiirelt.

Rahustuseks neile, kes on kehtiva isikuandmete kaitse seaduse alusel oma tegevuse auditeerinud ning veendunud, et seni on neil andmekaitsega kõik parimas korras, võib öelda, et suure tõenäosusega on nii ka edaspidi.

Teatavad muudatused võivad siiski puudutada neidki. Ettevõtted, kes veel pole teemaga tutvust teinud, peaksid määrusega tutvuma.

Oma koostööpartnerite teavitamiseks korraldas CV-Online Estonia 23. märtsil koostöös advokaadibürooga COBALT isikuandmete kaitse teemalise seminari, kus osales ligi 200 kuulajat eri asutustest ja ettevõtetest, mis näitab, et teema on juba väga aktuaalne.