Delikaatsed isikuandmed, kas raamatupidaja risk?

Raamatupidajad ja finantsjuhid puutuvad päevast-päeva kokku delikaatsete isiku- ja finantsandmetega, riskeerides nende töötlemisnõuete rikkumisega. Kübermaailmas varitseb aga järjest enam ohtusid ning isikuandmete kaitsmisel tuleb tunda seadusi ja teha teadlikke ponnistusi.  Sestap tutvustame järgnevatel nädalatel lähemalt delikaatsete isikuandmete kaitset reguleerivat seadusandlust, raamatupidaja vastutust andmete kaitsmisel ning ka karistusi, mis võivad isikuandmete töötlemisnõuete rikkumisele järgneda. Raamatupidaja.ee küsimustele vastavad Justiitsministeeriumi Õiguspoliitika osakonna Avaliku õiguse talituse nõunik Merili Oja ning Justiitsküsimuste nõunik EV alalises esinduses EL juures Julia Antonova.

Millised seadused reguleerivad isikuandmete kaitset?

Eestis reguleerib isikuandmete kaitset peamiselt isikuandmete kaitse seadus (edaspidi IKS), millega on üle võetud ka Euroopa Parlamendi ja Nõukogu direktiiv üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta (95/46/EÜ). See tähendab, et käesoleval hetkel on teatud ulatuses isikuandmete kaitse Euroopa Liidus miinimumtasemel ühtlustatud. 

Lühidalt isikuandmete kaitsest rääkides tulebki vaadata peamiselt IKS põhimõtteid. Isikuandmete mõiste on väga lai, kuivõrd isikuandmeteks loetakse mistahes andmeid tuvastatud või tuvastatava füüsilise isiku kohta, sõltumata sellest, millisel kujul või millises vormis need andmed on. Isikuandmete eriliigiks on delikaatsed isikuandmed (nt poliitilised vaated, etniline päritolu, tervislik seisund, pärilikkus jm andmed). Eelnimetatud andmete töötlemisel kehtivad tavalisest rangemad nõuded, näiteks tuleb töötlemine registreerida Andmekaitse Inspektsioonis.

Lisaks tuleb tähelepanu pöörata ka isikuandmete töötlemise mõistele. See on sarnaselt isikuandmete mõistega suhteliselt lai, kuivõrd selleks loetakse iga isikuandmetega tehtav toiming (isikuandmete kogumine, salvestamine, säilitamine, avalikustamine jne). Seega  loetakse isikuandmete töötlemiseks sisuliselt igasugust tegevust, mis on seotud isikuandmetega.

Isikuandmete töötlemise üldreegliks on tingimus, et töötlemiseks  peab olema andmesubjekti nõusolek. Samas on sätestatud ka mitmeid erandeid. Käesoleva artikli lugeja jaoks võiks peamiselt välja tuua kaks erandit. Nimelt ei ole vaja andmesubjekti nõusolekut näiteks siis, kui töötlemine toimub seaduse alusel või seda tehakse andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks. Silmas tuleb pidada aga seda, et viimane erand ei kohaldu delikaatsete isikuandmete töötlemisele.

Täiendavalt võivad mõned erireeglid olla sätestatud ka eriseadustes, kuid seda üksnes IKS-is ettenähtud raamide piires. Seega peaksid IKS-i üldpõhimõtted kehtima üldjuhul ka erivaldkondades, kuid  kindlasti tuleks ennast ka valdkonnapõhise seadusega kurssi viia.

Millised ohud tänapäeval delikaatsete isikuandmete töötlejaid üldse varitsevad?

Delikaatsete isikuandmete töötlemise nõuete rikkumine võib kaasa tuua tugevad põhiõiguste riived, mistõttu on igati õigustatud selliste andmete tugevam kaitse. Seega peab töötleja olema täielikult kindel, et ta järgib delikaatsete isikuandmete töötlemisel kõiki täiendavaid reegleid, nt kohustus registreerida delikaatsete andmete töötlus Andmekaitse Inspektsioonis.

Lisaks seaduses sätestatud reeglitele tuleks töötlejal olla tavapärasest ettevaatlikum. Nimelt võib töötleja, kes omab delikaatseid andmeid teatud isiku kohta, teha tahtmatult või alateadvuslikult otsuse peamiselt või üksnes delikaatsete andmete alusel, mille tulemuseks võib olla näiteks diskrimineerimine. Arvestades, et delikaatsete isikuandmete kataloog on üsna lai, peaks töötleja andmete käitlemisel alati meeles pidama selliste andmete suhtes kehtivat eriregulatsiooni. Näiteks on delikaatseteks isikuandmeteks ka informatsioon isiku tervisliku seisukorra kohta ning seega tuleks hoolsalt ümbert käia ka pealtnäha ebaolulise infoga töötaja haiguslehel viibimise kohta.

Delikaatsete isikuandmete puhul tuleb ette olukordi, kus seadusega lubatakse ilma isiku nõusolekuta andmeid töödelda. Samas tuleb alati üle kontrollida, millised töötlemise vormid on lubatud. Üldjuhul ei ole õigustatud delikaatsete isikuandmete avalikustamine, kuivõrd see on isiku põhiseadusega tagatud eraelu puutumatuse õigustamatu riive.

Seda, millised on karistused isikuandmete töötlemise nõuete rikkumise eest ja mida on seadusloomes uut oodata, saate lugeda juba järgmisel nädalal!