Korduma kippuvad küsimused

Selleks, et nõusolekut saaks pidada kehtivaks, peab see olema:

• vabalt antud;
• konkreetne;
• teavitatud;
• ühemõtteline.

See tähendab, et üksikisikutel peab olema tõeliselt vaba valik küsimuses, kas nad nõustuvad oma isikuandmete töötlemisega või mitte; nad vajavad piisavalt teavet, et nad mõistaksid, milliseid andmeid töödeldakse, millisel eesmärgil ja kuidas seda tehakse; samuti vajavad nad nõusolekutaotlustes piisavalt üksikasjalikku teavet.

Lisaks peaks isik selgelt kinnitama (ilma eelnevalt märgistatud lahtriteta ja kohaldatavatest üldtingimustest eraldi).
Lisaks peavad üksikisikud saama oma nõusoleku tagasi võtta (ilma negatiivsete tagajärgedeta), kui nad hiljem meelt muudavad.

Lisateave:

• Töötle isikuandmeid seaduslikult

Kui teie organisatsioon kogub isikuandmeid otse üksikisikutelt, peab ta esitama vajaliku teabe kogumise ajal.
Isikuandmete kaudse kogumise korral peab teie organisatsioon esitama teabe hiljemalt ühe kuu jooksul pärast seda, kui isikuandmed on algselt saadud. Seda maksimaalset ühekuulist ajavahemikku võib lühendada:

• kui isikuandmeid kasutatakse andmesubjektiga suhtlemiseks. Sellisel juhul peate andmesubjekti teavitama hiljemalt andmesubjektile esmakordsel teavitamisel;
• kui andmed edastatakse teisele vastuvõtjale, teavitab organisatsioon sellest andmesubjekte hiljemalt isikuandmete edastamisel.

Lisateave:

• Üksikisikute õiguste austamine

Kõik organisatsioonid, olenemata nende suurusest või sektorist, mis on asutatud Euroopa Majanduspiirkonnas (EMP) või pakuvad tooteid või teenuseid üksikisikutele EMP-s, töötlevad isikuandmeid,  olgu need automatiseeritud või mitte, peavad järgima IKÜM-i. Isegi kui IKÜM on peamiselt seotud isikuandmete automatiseeritud töötlemisega, kohaldatakse IKÜM-i ka käsitsi tehtavate töötlemistoimingute suhtes alates hetkest, mil pabertoimikud on süstemaatiliselt korraldatud, nt tähestikulise järjestamisega toimikukapis. 

Töötlemistoimingud on näiteks üksikisikute isikuandmete kogumine, salvestamine, korraldamine, kasutamine, modifitseerimine, säilitamine, avaldamine, muutmine ja kustutamine.

IKÜM-i kohaldamist kohandatakse siiski vastavalt tehtud töötlemistoimingute laadile, kontekstile, eesmärkidele ja riskidele. Väike- ja keskmise suurusega ettevõtete (VKE) puhul, kelle põhitegevus ei ole isikuandmete töötlemine, võivad kohustused olla leebemad kui suurtel ettevõtetel.

Lisateave:

• Andmekaitse põhitõed

Andmekaitsespetsialisti ülesanne on muu hulgas:

• teavitada ja nõustada organisatsiooni ja selle töötajaid andmekaitsenõuete järgimisel;
• jälgida andmekaitsenõuete järgimist;
• anda nõu andmekaitsealase mõjuhinnanguga seotud taotluste kohta;
• tegutseda andmekaitseasutuse kontaktpunktina ja teha selle andmekaitseasutusega koostööd;
• tegutseda üksikisikute kontaktpunktina.

Lisaks on andmekaitsespetsialisti kohalolek üldiselt soovitatav, kui tehakse otsuseid, millel on mõju andmekaitsele. Andmekaitsespetsialisti tuleks viivitamata konsulteerida ka siis, kui andmetega seotud rikkumine või mõni muu intsident on aset leidnud.

Lisateave:

• Andmekaitsespetsialist

IKÜM-s kehtestatakse kohustused kõigile isikuandmeid töötlevatele organisatsioonidele, olenemata sellest, kas nad on vastutavad töötlejad või volitatud töötlejad.
Eelkõige peaksite:

• Küsima endalt, kas isikuandmete kogumise eesmärk on õigustatud ja koguma ainult isikuandmeid, mis on vajalikud konkreetse(te)ks kavandatud eesmärkideks;
• Hoidma üksikisikute isikuandmed täpsed ja ajakohased ning kustutama andmed, kui need ei ole enam vajalikud;
• Austama üksikisikute õigusi, teavitades neid sellest, kuidas ja miks nende andmeid töödeldakse ning võimaldama neil oma õigusi kasutada;
• Kontrollige, kas teil on isikuandmete töötlemiseks sobiv õiguslik alus. Kui kavatsete tugineda üksikisikute nõusolekule, küsige enne isikuandmete töötlemist nõusolekut;
• Tagama  üksikisikute isikuandmete turvalise käitlemise;
• Pidama arvestust töötlemistoimingute üle.

Volitatud töötlejad peavad järgima vastutava töötleja ja volitatud töötleja vahelises lepingus sätestatud kohustusi ning nad ei tohi töödelda andmeid muul viisil, kui vastutava töötleja juhiste kohaselt.
 

Lisateave:

• Nõuetele vastamine
• Vastutav töötleja või volitatud töötleja
• Andmekaitse põhitõed

• Isikuandmete töötlemine peab olema seaduslik, õiglane ja läbipaistev.
• Isikuandmeid koguda ainult kindlaksmääratud, selgesõnalistel ja õiguspärastel eesmärkidel. Üksikisiku andmete töötlemine peab rangelt piirduma algselt kehtestatud eesmärgiga ja seetõttu ei tohi seda töödelda hilisema(te)l või muudel eesmärkidel, mis ei ole algsete eesmärkidega kooskõlas.
• Töödelda üksnes isikuandmeid, mis on kavandatud eesmärki silmas pidades vajalikud ja proportsionaalsed.
• Kõik teie töödeldavad isikuandmed peavad olema täpsed ja ajakohased. Ebatäpsed isikuandmed tuleb parandada või kustutada.
• Üksikisikute isikuandmete säilitamine peab olema ajaliselt piiratud, võttes arvesse nende kogumise ja töötlemise eesmärki. Seega tuleb üksikisikute isikuandmed kustutada või anonüümseks muuta, kui need andmed ei ole enam vajalikud.
• Üksikisikute andmeid tuleb töödelda turvaliselt. Sellega seoses tuleb kehtestada tugev küberturvalisuse kontroll, et tagada üksikisikute andmete piisav kaitse.

Lõpuks vastutab vastutav töötleja. See tähendab, et ta vastutab eespool nimetatud põhimõtete järgimise eest ja peab suutma seda tõendada.

Lisateave:

• Andmekaitse põhialused

Te ei saa säilitada isikuandmeid igavesti.
Üldjuhul võib isikuandmeid säilitada ainult nii kaua, kui see on isikuandmete töötlemise eesmärke silmas pidades vajalik.

Mõnel juhul saab säilitusaja kindlaks määrata konkreetsete seadustega, näiteks tööseadustega määratakse palganimekirjade säilitusaeg.

Organisatsioonid peaksid kehtestama andmete säilitamise põhimõtted, tagamaks, et isikuandmeid ei säilitata kauem, kui on vajalik. Üksikisikute isikuandmed tuleb kustutada või anonüümseks muuta, kui need andmed ei ole enam töötlemise eesmärgil vajalikud.

Lisateave:

• Andmekaitse põhitõed

Üldiselt peaks iga organisatsioon pidama arvestust oma töötlemistoimingute kohta. See on kõigi töötlemistoimingute loend ja võib aidata teil teha õigeid eeldusi oma kohustuste kohta, mis tulenevad IKÜM-st ja võimalikest riskidest.
Iga töötlemistoimingut tuleb registris kirjeldada koos järgmise teabega:

• töötlemise eesmärk (nt kliendi lojaalsus);
• töödeldavate andmete kategooriad (nt palgafondi puhul: nimi, eesnimi, sünniaeg, palk jne);
• kellel on juurdepääs andmetele (vastuvõtjad – nt: värbamise eest vastutav osakond, IT-teenus, juhtkond, teenuseosutajad, partnerid jne);
• vajaduse korral teave isikuandmete edastamise kohta väljapoole Euroopa Majanduspiirkonda (EMP);
• võimaluse korral säilitamisaeg (periood, mille jooksul andmed on operatiivsest seisukohast ja arhiveerimise seisukohast kasulikud).
• võimaluse korral turvameetmete üldine kirjeldus.

Töötlemistoimingute dokumenteerimise eest vastutab teie organisatsiooni juht.

See kirje peab olema taotluse korral kättesaadav selle EMP riigi andmekaitseasutusele, kus te tegutsete.

Organisatsioonid, kus töötab vähem kui 250 inimest, ei pea oma registrisse märkima üksnes juhuslikku tegevust (nt ühekordseteks sündmusteks, näiteks kaupluse avamiseks töödeldud andmeid).
 

Lisateave:

• Vastavus nõuetele 

Andmekaitsespetsialistid (AKS)võivad täita organisatsioonis muid ülesandeid, kuid see ei tohi põhjustada huvide konflikti. See tähendab, et AKS ei saa olla olukorras, kus ta määrab kindlaks töötlemistoimingute eesmärgid ja vahendid. Vastuoluliste ülesannete hulka kuuluvad peamiselt juhtivad ametikohad (juht, tegevjuht, finantsjuht, personalijuht, IT-juht, tegevdirektor), kuid võivad hõlmata ka muid ülesandeid, kui nende tulemusel määratakse kindlaks töötlemise eesmärgid ja vahendid.
AKS peab olema võimeline täitma oma kohustusi ja ülesandeid sõltumatult. See tähendab, et teie organisatsioon:

• ei tohi anda AKS-le juhiseid seoses tema AKS-i ülesannete täitmisega;
• ei tohi AKS-i tema ülesannete täitmise eest karistada ega ametist vabastada.

Lisateave:

• Andmekaitsespetsialist

Isikuandmetega seotud rikkumine on turvarikkumine, mis toob kaasa isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile juurdepääsu.

• Kui andmetega seotud rikkumine kujutab endast ohtu asjaomastele isikutele, peate sellest teatama asjaomasele andmekaitseasutusele 72 tunni jooksul.
• Kui rikkumine toob tõenäoliselt kaasa suure ohu üksikisikutele, peate ka sellest rikkumisest asjaomastele isikutele põhjendamatu viivituseta teatama.

Igal juhul peate kõigi rikkumiste puhul – isegi, kui neist ei ole andmekaitseasutust teavitatud – registreerima vähemalt rikkumise põhiandmed, hinnangu rikkumise kohta, selle mõju ja reageerimiseks võetud meetmed.
 

Lisateave:

• Andmetega seotud rikkumised

IKÜM loob üksikisikutele konkreetsed õigused, mida tuleb austada. Seda saab teha järgmiselt:

• teavitada üksikisikuid, kelle andmeid te töötlete oma töötlemistoimingutest ja töötlemise eesmärkidest, kui kogute nende andmeid, näiteks oma veebisaidil oleva isikuandmete kaitse avalduse kaudu;
• vastates üksikisikute taotlustele kasutada oma õigusi, nagu juurdepääsu-, parandus-, vastuväite-, kustutamis- või teisaldamistaotlused.

Organisatsioonide kohta, kes on oma isikuandmete kasutamise osas läbipaistvad ja austavad üksikisikute õigusi, on kaebuste esitamise tõenäosus väiksem.

Lisateave:

• Üksikisikute õiguste austamine

Euroopa Andmekaitsenõukogu avaldab korrapäraselt pressiteateid, uudiseid, blogisid ja muud sisu Euroopa Andmekaitsenõukogu veebisaidil ja  enda sotsiaalmeediakanalites (X: @EU_EDPB; LinkedIn: Euroopa Andmekaitsenõukogu), et hoida andmekaitsekogukondi ja üldsust oma tööga kursis.

Euroopa Andmekaitsenõukogu veebisaidil on ka kaks RSS-kanalit, mida saate tellida Euroopa Andmekaitsenõukogu uudiste ja Euroopa Andmekaitsenõukogu viimaste väljaannete automaatseks teavituseks.

Isikuandmete kaitse üldmääruse ehk IKÜM-ga kehtestatakse ühtlustatud eeskirjad, mida kohaldatakse Euroopa Majanduspiirkonnas (EMP) asutatud organisatsioonide (avalik-õiguslikud või eraõiguslikud organisatsioonid, olenemata nende suurusest) mis tahes isikuandmete töötlemise suhtes või mis on suunatud üksikisikutele EL-is. IKÜM-i esmane eesmärk on tagada, et isikuandmete kaitse tase on kõikjal EMP-s sama kõrge, suurendades nii andmeid töötlevate üksikisikute kui ka organisatsioonide õiguskindlust ning pakkudes üksikisikutele kõrgetasemelist kaitset.

Määrus jõustus 24. mail 2016 ja seda kohaldatakse alates 25. maist 2018.

Jah, IKÜM-i kohaldatakse juhul, kui isikuandmed sisalduvad või kavatsetakse lisada kataloogi. See tähendab, et IKÜM-i kohaldatakse ka paberdokumentidele, mitte ainult isikuandmete automatiseeritud töötlemisele.

Lisateave:

• Andmekaitse põhitõed

Kui kaks või enam vastutavat töötlejat määravad ühiselt kindlaks töötlemise eesmärgi ja vahendid, käsitatakse neid kaasvastutavate töötlejatena. Nad otsustavad koos töödelda isikuandmeid ühisel eesmärgil. Kaasvastutav vastutus võib esineda mitmes vormis ja erinevate vastutavate töötlejate osalemine võib olla ebavõrdne. Seetõttu peavad kaasvastutavad töötlejad määrama kindlaks oma kohustused IKÜM-i järgimisel.
Oluline on märkida, et kaasvastutav vastutus toob kaasa ühise vastutuse töötlemistoimingu eest.

• Näide kaasvastutusest: Ettevõtted A ja B on käivitanud kaaskaubamärgiga toote ja soovivad korraldada üritust selle toote reklaamimiseks. Selleks otsustavad nad jagada oma klientide ja potentsiaalsete klientide andmebaaside andmeid ning otsustada selle alusel üritusele kutsutavate nimekirja. Samuti lepivad nad kokku, kuidas saata üritusele kutseid, kuidas ürituse ajal tagasisidet koguda ja turundustegevust jätkata. Äriühinguid A ja B võib pidada reklaamiürituse korraldamisega seotud isikuandmete töötlemisel kaasvastutavateks töötlejateks, kuna nad otsustavad ühiselt selles kontekstis andmetöötluse ühiselt määratletud eesmärgi ja oluliste vahendite üle.

Lisateave:

• Vastutav töötleja või volitatud töötleja

Jah, kuid selleks peate kõigepealt kindlaks määrama seda liiki isikuandmete töötlemise õigusliku aluse. Näiteks võib töötlemist pidada teie organisatsiooni õigustatud huviks. Isikuandmete töötlemisel õigustatud huvi alusel on alati vaja läbi viia tasakaalustav test, et teha kindlaks, kas teie õigustatud huvid kaaluvad üles üksikisikute õigused, eriti kui tegemist on lastega.

Sellise töötlemise teine võimalik õiguslik alus võiks olla nõusolek. Igal juhul tuleks üksikisikuid alati eelnevalt teavitada sellest, et sündmust pildistatakse või filmitakse.

Lisateave:

• Töötle isikuandmeid seaduslikult

Nõusolek võiks tõepoolest olla kehtiv õiguslik alus tööotsijate elulookirjelduste säilitamiseks. Teine võimalik õiguslik alus võiks olla õigustatud huvi. Sellisel juhul peate läbi viima tasakaalustatuse testi, et tõendada, et teie organisatsiooni õigustatud huvid kaaluvad üles taotlejate õigused.
Igal juhul peate kandidaate teavitama, et kavatsete nende andmeid säilitada ja millistel eesmärkidel.

Lisateave:

• Töötle isikuandmeid seaduslikult

Isikuandmete töötlemine on lubatud, kui selleks on õiguslik alus. Lisaks vabale, konkreetsele, teadlikule ja ühemõttelisele nõusolekule võib töötlemiseks kasutada ka muid õiguslikke aluseid.

Teisisõnu on nõusolek vajalik, kui ükski muu õiguslik alus ei kehti.
 

Lisateave:

• Töötle isikuandmeid seaduslikult
   

Ei, te ei pea olema sertifitseeritud, et saada andmekaitsespetsialistiks.

Andmekaitsespetsialistid peavad siiski suutma tõendada, et neil on IKÜM-s nõutud vajalik kvalifikatsioon, näiteks eksperditeadmised andmekaitsealaste õigusaktide ja tavade kohta.

Lisateave:

• Andmekaitsespetsialist

Andmekaitsealane mõjuhinnang on kirjalik hinnang, mille teie organisatsioon peaks tegema, et hinnata kavandatava töötlemistoimingu mõju. See aitab teil kindlaks teha asjakohased meetmed riskide maandamiseks ja nõuetele vastavuse tõendamiseks.
Kuigi andmekaitsealase mõjuhinnangu tegemisega on alati soovitatav prognoosida teie organisatsiooni kavandatavate töötlemistoimingute mõju, on andmekaitsealane mõjuhinnang kohustuslik, kui töötlemine toob tõenäoliselt kaasa suure ohu üksikisikute õigustele ja vabadustele.
Täpsemalt on see nii juhul, kui kavandatav töötlemine hõlmab järgmist:

• delikaatsete isikuandmete või süüdimõistvate kohtuotsustega seotud andmete ulatuslik töötlemine;
• isiku isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, ning millel põhinevad otsused, millel on asjaomase isiku jaoks õiguslikud tagajärjed või mis mõjutavad oluliselt üksikisikuid;
• üldsusele kättesaadava ala süstemaatiline ulatuslik seire.

Euroopa Andmekaitsenõukogu (EAKN) on välja töötanud suunised, milles loetletakse kriteeriumid, mida peate andmekaitsealase mõjuhinnangu kohustuslikkuse hindamisel arvesse võtma. Andmekaitseasutused on avaldanud ka loetelu töötlemistoimingutest, mille suhtes kohaldatakse andmekaitsealast mõjuhinnangut. Lisaks on mitu andmekaitseasutust töötanud välja juhendeid, tarkvara või enesehindamise vahendeid, et aidata teil oma hinnangut anda.

Lisateave:

• Vastavus nõuetele