Lühivastus
Andmekaitse Inspektsioon (AKI) võib sekkuda, kui vastutav või volitatud töötleja ei suuda tõendada, et isikuandmete kogumine, kasutamine, avaldamine, säilitamine või turvamine vastab isikuandmete kaitse üldmäärusele (GDPR), isikuandmete kaitse seadusele või valdkonna eriseadusele. Menetlus võib alata kaebusest või AKI enda algatusel.
Meede sõltub riskist ja rikkumisest. AKI võib anda hoiatuse või noomituse, nõuda läbipaistvust, isiku õiguse täitmist, andmete parandamist või kustutamist, turvameetmeid ja rikkumisest teavitamist. Kui ebaseaduslik töötlemine jätkub või põhjustab olulist ohtu, võib ta seda ajutiselt piirata, peatada või alaliselt keelata. Ettekirjutust saab toetada sunniraha ja väärteokaristus; määruse trahvimäärad võivad ulatuda 20 miljoni euro või 4%-ni ülemaailmsest aastakäibest.
Avalik andmekogu vajab seaduslikku ülesannet, selget eesmärki, õigeid ja minimaalseid andmeid, juurdepääsukontrolli ning säilitamisreegleid. Töökoha kaamera või muu seire vajab konkreetset ja dokumenteeritud alust—not üldist kontrollisoovi. Elektrooniline otseturustus vajab nõusolekut või kitsast olemasoleva kliendi erandit ning alati lihtsat loobumist. Näo- või sõrmejäljemall on biomeetriline ka siis, kui algkujutist ei saa taastada. Andmerikkumisest tuleb AKI-le teatada üldjuhul 72 tunni jooksul, kui risk inimestele ei ole ebatõenäoline; suure ohu korral tuleb teavitada ka inimesi.
AKI uurimis- ja parandusvolitused
artiklid 57–58 ning (IKS) §-d 56–60 annavad AKI-le uurimis-, nõustamis- ja parandusvolitused. Inspektsioon võib nõuda teavet, teha andmekaitseauditi, saada juurdepääsu andmetele, ruumidele ja seadmetele ning kontrollida töötleja vastutuse tõendeid.
Andmekaitse Inspektsioonil on õigus kehtestada ajutine või alaline isikuandmete töötlemise piirang, sealhulgas isikuandmete töötlemise keeld.
—
Parandusmeetmete astmestik ei tähenda, et AKI peab alati alustama leebest soovitusest. Ta arvestab rikkumise laadi, kestust, ulatust, tahtlust või hooletust, mõjutatud andmeid ja inimesi, kahju vähendamist, varasemaid rikkumisi, koostööd ning seda, kuidas rikkumine teatavaks sai. Õigusliku aluseta intensiivse seire võib kohe peatada; parandatava privaatsusteate puhul võib piisata tähtajalisest vastavusse viimise korraldusest.
AKI võib nõuda andmesubjekti juurdepääsu-, parandamis-, kustutamis-, piiramis- või vastuväiteõiguse täitmist; andmete parandamist või kustutamist ja sellest vastuvõtjatele teatamist; töötlemistoimingu viimist määrusega kooskõlla; rikkumisest inimesele teatamist; andmevoo peatamist kolmandasse riiki; sertifikaadi tagasivõtmist või trahvi. Ettekirjutuse vaidlustamine ei peata tavaliselt automaatselt selle täitmist.
Ettekirjutuse täitmata jätmise sunniraha igakordne seaduslik ülemmäär on kuni 20 miljonit eurot või ettevõtja puhul kuni 4% eelmise majandusaasta ülemaailmsest kogukäibest, olenevalt suuremast. Tegelik summa peab olema proportsionaalne ja määratakse konkreetse korraldusega. Sunniraha sunnib täitma; väärteotrahv karistab rikkumise eest. Need võivad olla eraldi menetlused.
Avalikud andmekogud
Riigi või omavalitsuse andmekogu ei muuda töötlemist automaatselt seaduslikuks. Avalik asutus peab näitama pädevusnormi ja ülesande, andmekogu asutamise aluse ja põhimääruse, iga andmevälja eesmärgi, allika, kasutajad, andmevahetused, juurdepääsutasemed, säilitamise ning vastutuse. , valdkonna eriseadus ja GDPR toimivad koos.
Avalik ülesanne või seadusest tulenev kohustus võib olla GDPR artikli 6 alus, kuid asutus ei tohi koguda „igaks juhuks“ rohkem andmeid kui ülesanne nõuab. Avalikule asutusele ei kohaldu tema ülesannete täitmisel eraettevõtja õigustatud huvi alus. Eriliiki andmed, näiteks tervise- või biomeetrilised andmed, vajavad lisaks artikli 9 erandit ja sobivaid kaitsemeetmeid.
AKI võib nõuda ebaõige andme parandamist, aluseta välja kustutamist, avaliku juurdepääsu sulgemist, kasutajarollide piiramist, logimist, turvameetmete parandamist või kogu toimingu peatamist. Avalikustamise alus ei ole sama mis asutusesisese kasutamise alus: see, et ametnik tohib andmeid tööülesandeks näha, ei tähenda, et register võib need veebis kõigile avada.
Riigiasutuse suhtes jäävad sisulised käsud kehtima, kuid sundtäitmise rada erineb. IKS välistab teatud viivitamatud asendustäitmise meetmed riigiasutuse puhul. Täitmata ettekirjutuse korral võib AKI pöörduda kõrgema asutuse poole teenistusliku järelevalve või distsiplinaarmenetluse algatamiseks ning esitada riigiasutuse vastu protesti halduskohtule. Seega ei ole avalik sektor järelevalvest vabastatud.
Kaamerad ja töötajate jälgimine
Tuvastatava inimese reaalajas vaatamine, salvestamine, GPS-asukoht, uksekaart, arvutikasutuse logi või ekraanipilt on isikuandmete töötlemine. Tööandja peab enne seiret määrama konkreetse eesmärgi ja õigusliku aluse, hindama vähem sekkuvaid meetmeid, piirama vaatevälja ja kasutajaid, määrama säilitamisaja, tagama logid ning töötajat selgelt teavitama.
Õigustatud huvi võib toetada konkreetse vara- või isikuohutuse riski kontrolli, kui vajalik ja tasakaalustatud meede kaalub töötaja õigused üles. „Turvalisus“, „sisekorra järgimine“ või „töö kvaliteet“ ilma tegeliku riski ja vajaduse tõendita ei piisa. Pidev töötaja jälgimine, puhke- või riietusruumi filmimine ja salvestiste kasutamine uuel varjatud eesmärgil on eriti raske põhjendada.
peatati hotelli kaamerate kasutamine, kuni ettevõte esitab nõuetekohase õigustatud huvi analüüsi ja AKI kinnitab vastavuse. Inspektsioon nõudis konkreetseid eesmärke ja riske, alternatiivide hindamist, vaateväljade suunamist, ligipääsu logimist ning säilitamisaja põhjendamist; naaberkinnistu filmimine tuli lõpetada.
Peatada kaamerate abil isikuandmete töötlemine (filmimine) Wasa Resort Spa hotellis kuni Andmekaitse Inspektsioonile on esitatud õigustatud huvi analüüs.
—
See ei tähenda, et AKI annab iga kaamerasüsteemi jaoks eelneva loa. Vastutav töötleja ise peab enne käivitamist vastavuse saavutama ja tõendama. Kinnitamise nõue oli konkreetse ettekirjutuse abinõu juba tuvastatud rikkumise lõpetamiseks.
Otseturustus
reeglid ja GDPR töötavad koos. Füüsilise isiku e-posti, SMS-i või muu elektroonilise kontaktandme kasutamine otseturustuseks nõuab üldjuhul eelnevat vabatahtlikku, konkreetset ja tõendatavat nõusolekut. Eelmärgitud kast, passiivsus või teenuse tellimine ei ole aktiivne nõusolek.
Kitsas olemasoleva kliendi erand võib lubada ettevõttel turustada enda sarnaseid tooteid või teenuseid, kui kontakt saadi müügi käigus ja inimesele anti andmete kogumisel ning igas sõnumis selge, tasuta ja lihtne keeldumisvõimalus. Saatjat ei tohi varjata. GDPR artikli 21 järgi lõpetatakse otseturustuseks töötlemine pärast vastuväidet; siin ei saa ettevõte jätkata huvide uue kaalumisega.
käsitleti poolelijäänud ostukorvi meeldetuletust otseturustusena: sõnumi äriline eesmärk oli tellimus lõpule viia. AKI nõudis sellise saatmise lõpetamist või jätkamist üksnes nõuetekohase eelneva nõusolekuga ning loobumisvõimaluse parandamist. Seega ei otsusta sõnumi nimi „teenindusteade“; loeb tegelik müügieesmärk.
Biomeetria
GDPR artikli 4 järgi on biomeetrilised andmed tehnilise töötlemisega saadud füüsilised, füsioloogilised või käitumuslikud tunnused, mis võimaldavad inimest kordumatult tuvastada. Näopilt ei ole alati eriliiki biomeetria, kuid näotuvastusmall, sõrmejäljemall, iirise- või häälemuster tuvastamise eesmärgil on.
See, et malli alusel ei saa nägu tagasi luua, ei muuda malli mitte-biomeetriliseks.
—
Töötleja vajab korraga GDPR artikli 6 alust ja artikli 9 erandit. Töösuhtes on nõusolek võimuerinevuse tõttu problemaatiline. AKI seisukoha järgi saab näotuvastusega tööajaarvestuse nõusolek olla vabatahtlik ainult siis, kui töötajal on reaalne, samaväärne mittebiomeetriline alternatiiv ja loobumine ei too kahju. Enne kasutuselevõttu tuleb sellise kõrge riskiga lahenduse kohta teha andmekaitsealane mõjuhinnang. Õigusliku aluse, vabatahtliku alternatiivi või piisava mõjuhinnangu puudumisel võib AKI nõuda süsteemi lõpetamist ja mallide kustutamist.
Isikuandmetega seotud rikkumine
Andmerikkumine ei tähenda ainult häkkimist. See on juhuslik või ebaseaduslik hävimine, kaotsiminek, muutmine, loata avalikustamine või juurdepääs. Näited on valele adressaadile saadetud fail, avalikuks jäänud register, varastatud krüpteerimata seade, lunavara, liiga laiad kasutajaõigused või töötaja omavoliline päring.
Vastutav töötleja peab kõik rikkumised dokumenteerima. AKI-le tuleb teatada põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul teadasaamisest, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi. Hilinemist tuleb põhjendada. Volitatud töötleja teatab vastutavale töötlejale põhjendamatu viivituseta. Kui oht inimestele on tõenäoliselt suur, tuleb neile arusaadavalt ja põhjendamatu viivituseta teatada, kui GDPR-i erand ei kohaldu.
AKI võib nõuda riskihinnangut, logisid, juhtumi ulatust, kaitsemeetmeid ja teavituse parandamist; samuti korraldada inimestele teatamise. Teatamata jätmine, puudulik turve ja algne ebaseaduslik töötlemine on erinevad rikkumised ning võivad tuua mitu parandusmeedet. Kiire eneseteatamine ja kahju vähendamine aitavad, kuid ei muuda nõrka turvet tagantjärele seaduslikuks.
Kuidas ettekirjutuseks valmistuda või seda vaidlustada?
Töötleja peaks suutma kiiresti esitada andmetöötluse registri, õigusliku aluse analüüsi, privaatsusteated, lepingud volitatud töötlejatega, säilitamisgraafiku, juurdepääsu- ja turbelogid, mõjuhinnangu, rikkumisregistri ning andmesubjektide taotluste käsitluse. Üldsõnaline kinnitus „järgime GDPR-i“ ei täida tõendamiskohustust.
Enne ettekirjutust antakse menetlusosalisele üldjuhul võimalus arvamuseks ja vastuväideteks, välja arvatud kiire ohuolukorra erandid. Ettekirjutuse võib 30 päeva jooksul vaidlustada vaidega AKI peadirektorile või kaebusega halduskohtule vastavalt otsuse vaidlustamisviitele. Täitmise peatamiseks on vaja eraldi õiguslikku alust või esialgse õiguskaitse otsust; pelk kaebus ei anna luba keelatud töötlust jätkata.
Kokkuvõte
AKI sekkumise keskne küsimus on, kas töötleja suudab konkreetse andmevoo seaduslikkust, vajalikkust, proportsionaalsust ja turvalisust tõendada. Avaliku andmekogu seaduslik eesmärk ei õigusta liigseid välju ega avalikku ligipääsu. Töökohal ei õigusta juhtimisõigus pidevat seiret. Turundussõnumi äriline sisu ei kao selle nimetamisel teenindusteateks. Pöördumatu näomall on endiselt biomeetriline ning andmerikkumise 72-tunnine kell algab teadlikuks saamisest. Kui puudust ei saa kiiresti parandada või risk on suur, võib AKI töötluse peatada või keelata; dokumenteeritud ja õigeaegne vastavusse viimine määrab, kas piisab kitsamast korraldusest.
Allikad
This article provides general legal information, not advice for a specific matter. Laws, facts and procedural deadlines may change the result. Follow the linked primary sources and obtain local advice before acting.