Artikkel ilmus 29. september 2026 Delfi Ärilehes.
Eestis kasutati aastaid numbrituvastuskaameraid viisil, mis võimaldas riigil koguda ebaseaduslikult isikuandmeid. Teedele paigaldatud kaamerad pildistasid iga möödasõitvat autot. Kaamerasilma jõudis nii auto koos numbrimärgiga kui ka auto salong ja seal sees viibivad isikud. Euroopa Liidu õigus lubab aga isikuandmete rikkumise eest nõuda kahju hüvitamist. Seega kerkib küsimus, et kas igal inimesel, kes on Eesti teedelt sõitnud, on õigus nõuda riigilt raha, kirjutab advokaadibüroo COBALT jurist Harri Mirme.
Eesti Ekspress avaldas 2025. aasta aprillis artikli, mis paljastas, et numbrituvastuskaamerad salvestavad iga kuu ligikaudu 20 miljonit autonumbrit. Kaamerate õiguspärasuse kontrollimiseks algatas Andmekaitse Inspektsioon (AKI) järelevalvemenetluse. Jõuti järeldusele, et kehtiv regulatsioon oli liialt üldine ega vastanud põhiseaduslikule selguse nõudele, kuna volitusnorm oli ebapiisav ja andmetöötluse tingimused ebamäärased. Päev pärast inspektsiooni hinnangut peatas siseminister Igor Taro kaamerate kasutamise, tunnistades, et ettevaatusprintsiip inimeste põhiõiguste riive osas kaalub antud olukorras üles otstarbekuse põhimõtte.
Isikuandmete kaitse üldmääruse (GDPR) artikkel 82 annab igaühele, kelle andmeid on rikkumise käigus töödeldud, õiguse nõuda tekitatud kahju eest hüvitist. Oluline on, et kahju ei pea olema rahaline ega varaline, hüvitatav on ka mittevaraline kahju. See tähendab isiku sisemine, mitteesemeline kahju, mis avaldub näiteks põhjendatud hirmus, ärevuses või turvatunde kaotuses. Kahju hüvitamist saab nõuda kui on täidetud kolm eeldust: rikkumine, kahju ja põhjuslik seos rikkumise ja kahju vahel.
Kas riik on Euroopa Liidu õigust rikkunud?
Esimese eelduse täitmiseks tuleb tuvastada, et rikutud on mõnda GDPR-i normi. Kuid enne peab tegema kindlaks, kas autonumber on üldse “isikuandmed” – ilma selleta poleks tegemist andmekaitserikkumisega. Euroopa Kohus on selgitanud, et isikuandmetega on tegu juba siis, kui isikut on selle abil võimalik kas või kaudselt tuvastada. Politseil on olemas vajalikud vahendid, et viia numbrimärk kokku auto omanikuga, mistõttu on numbrimärgi näol tegemist isikuandmetega. Andmekaitse Inspektsioon on lisanud, et isikuandmete töötlemine toimub isegi siis, kui salvestatud fotod ei ole andmekogus veel omanikuga kokku viidud.
Rikkumine seisnes GDPR artikli 5 lõike 1 punkti a sätestatud seaduslikkuse nõude eiramises. Nimetatud sätte kohaselt peab igasugune isikuandmete töötlemine olema seaduslik, õiglane ja andmesubjektile läbipaistev. Numbrituvastuskaamerate kasutamisel puudus aga kehtivas õiguses nõuetekohane seaduslik alus.
Andmekaitse Inspektsioon hindas kahte potentsiaalset õiguslikku alust ja leidis, et kumbki neist ei olnud piisav. Esiteks tugineti siseministri 22.12.2009 määrusele nr 92 “Politsei andmekogu põhimäärus”, mille kohaselt kuulusid numbrituvastuskaamerad ennetava tegevuse andmestiku andmekoosseisu. Määrus on aga seadusest madalamal astmel olev õigusakt ning seaduse seletuskirjast ei tulenenud, et numbrituvastuskaameraid oleks kavatsetud sellisel viisil kasutusse võtta.
Teiseks kaaluti korrakaitseseaduse § 34 lg 1, mis annab politseile õiguse kasutada pilti salvestavat jälgimisseadmestikku. Probleem selle õigusliku alusega on, et seadus lubas kaameraid kasutada üksnes ohu väljaselgitamiseks ja tõrjumiseks. Kõikide möödasõitvate autode pildistamine ei täida aga ohu väljaselgitamise või tõrjumise eesmärki. Andmekaitse Inspektsioon viitas siinkohal õiguskantsleri märgukirjale, milles rõhutati, et korrakaitseseadus kasutab mõistet “oht” ainult konkreetse ohu tähenduses, mitte abstraktse ohu tähenduses. Järelikult ei võimaldanud ka see säte numbrituvastuskaamerate paigaldamist. Kuna kumbki potentsiaalne õiguslik alus ei osutunud sobivaks, toimus isikuandmete töötlemine ilma seadusliku aluseta, mis kujutab endast GDPR-i artikli 5 rikkumist ning täidab seega kahju hüvitamise nõude esimese eelduse.
Kas ka sina oled kahju saanud?
Teise eelduse täitmiseks peab andmesubjektile olema tekkinud tegelik kahju. Kahju lävend on siin madal: Euroopa Kohus on rõhutanud, et hüvitamiseks ei pea kahju ületama mingit raskusastet, vaid piisab sellest, et kahju üldse eksisteerib. Nõuet esitades võib selle eeldusega siiski tekkida probleeme, kuna isikul võib olla keeruline tõendada, et just temal tekkis konkreetne mittevaraline kahju.
Mittevaraline kahju võiks avalduda mitmes iseseisvas, kuid omavahel seotud vormis. Esiteks võib kahju seisneda selles, et inimene kaotas kontrolli oma andmete üle, kuna tema liikumisandmed ja sõidukis viibinud isikute kujutised jõudsid riigi andmekogusse ilma tema teadmata. Selle argumendi kaalu suurendab asjaolu, et Eestis kasutatavad kaamerad on valdavalt statsionaarsed ja paiknevad eeskätt magistraalteedel ning muudes vältimatutes liikumiskoridorides, mistõttu inimestel puudub sisuline võimalus nende mõjualast hoiduda.
Teiseks võib kahju seisneda põhjendatud hirmus andmete kuritarvitamise ees: andmetele pääses ligi 900 ametnikku ning ühe aasta jooksul tehti nende kohta ligikaudu 45 000 päringut, ilma et inimene teaks, kes ja mis eesmärgil tema andmeid vaatas. See hirm võib olla põhjendatav, kuna andmetele juurdepääs kujutab endast iseseisvat põhiõiguste riivet, mis muudab passiivselt kogutud andmed aktiivseks jälgimisvahendiks. Riski süvendab asjaolu, et juurdepääs andmetele on antud lisaks Politsei- ja Piirivalveametile ka Maksu- ja Tolliametile samadel eesmärkidel. Lisaks puudub eelnev sõltumatu kontroll päringute üle, kontroll toimub valdavalt alles tagantjärele logimise kaudu.
Lisaks on Andmekaitse Inspektsioon tuvastanud, et politsei infosüsteemides ei ole säilitustähtaegadest alati kinni peetud ning andmete kustutamine toimus käsitsi, mitte automaatselt, mistõttu ei saa välistada, et andmed olid tegelikult kättesaadavad kauem ja laiemale ringile, kui seadus ette nägi.
Kolmandaks võib mittevaraline kahju avalduda nn külmutava efektina. Külmutav efekt tähendab olukorda, kus inimene hakkab võimaliku jälgimise tõttu oma käitumist muutma või piirama, näiteks seda, kus ta liigub, kellega kohtub või kuidas tegutseb. Euroopa Inimõiguste Kohus on oma praktikas tunnustanud, et juba teadmine võimalikust jälgimisest võib sellist mõju avaldada, sõltumata sellest, kas kogutud andmeid on konkreetselt isiku vastu kasutatud. Sellega võivad kaasneda ärevus, turvatunde ja privaatsustunde vähenemine ning ebakindlus selle suhtes, kuidas tema andmeid edaspidi kasutatakse. Kui isik suudab tõendada, et külmutava efektiga on talle kaasnenud tegelik mittevaraline kahju, on kahju tekkimise eeldus täidetud.
Kas kahju on tingitud seaduse rikkumisest?
Kolmanda eelduse täitmiseks peab kahju olema tekkinud just rikkumise tõttu, mitte mõnel muul põhjusel. Seos on käesoleval juhul otsene: kui kaameraid ei oleks kasutatud ilma seadusliku aluseta, ei oleks andmeid kogutud ega töödeldud ning kahju poleks tekkinud. Kontrolli kaotus on rikkumise vahetu ja vältimatu tagajärg, sest ilma ebaseadusliku andmetöötluseta ei oleks inimese andmed üldse riigi valduses olnud. Oluline on rõhutada, et hirm ja külmutav efekt ei tulene pelgalt kaamerate olemasolust, vaid just sellest, et kogumine oli ebaseaduslik. Seadusliku aluse puudumisel puudusid ka sisulised kaitsemeetmed, näiteks piisav teavitamine, andmete kustutamistähtajad ja piiratud ligipääs. See seos on ka õiguslikult põhjendatav: kui andmete kogumine ei vasta proportsionaalsuse nõuetele, kandub see puudus edasi ka kõigisse järgnevatesse töötlemisetappidesse, sealhulgas säilitamisele ja juurdepääsu võimaldamisele, ning hilisemad kasutuspiirangud ega menetluslikud tagatised ei suuda seda eelnevalt tekkinud riivet tagantjärele heastada.
Riigikohtu praktikas tuntud nn kaskaadiefekti loogika kohaselt ei muuda õigusvastaselt kogutud andmete hilisem kasutamine algset rikkumist õiguspäraseks. Kui andmetöötlus oleks toimunud seadusliku aluse ja nõuetekohaste tagatistega, oleks inimesel olnud mõistlik ootus selle kohta, kuidas riik tema andmeid kasutab. Just seadusliku aluse puudumine muutis inimese faktiliselt jälgimisobjektiks viisil, mida seadus oleks pidanud välistama. Huvitav on siinkohal võrdlus Saksamaaga, kus Saksa Liidukonstitutsioonikohus on leidnud, et numbrituvastussüsteemi puhul ei pruugi tekkida intensiivset põhiõiguste riivet, kui rakendatakse nn “hit/no-hit” mudelit. Registreerimismärki võrreldakse reaalajas otsingunimekirjadega ning negatiivse tulemuse korral andmeid ei salvestata või kustutatakse need viivitamatult ja pöördumatult. See näitab, et Eesti valitud lahendus – ulatuslik kogumine ja alles hilisem kasutuspiirangute rakendamine – ei olnud ainus võimalik tehnoloogiline valik ning vähem riivav alternatiiv oli olemas. Seetõttu on iga tuvastatud kahju vorm otseselt ja vahetult põhjustatud rikkumisest. Kolmas eeldus on seega täidetud.
Kas iga eestlane peaks riigilt hüvitist nõudma?
Numbrituvastuskaamerate juhtum näitab, et riigi tegevus võib täita kõik GDPR artikli 82 kohase kahjuhüvitisnõude eeldused ka siis, kui isikuandmete töötlemine ei ole seotud ühegi klassikalise andmelekkega. Aastatepikkune kaamerate kasutamine ilma nõuetekohase seadusliku aluseta kujutab endast GDPR-i rikkumist. Seega on põhimõtteliselt igal Eesti teedel liikunud inimesel õiguslik alus kaaluda kahjuhüvitisnõude esitamist riigi vastu, ehkki nõude edukus sõltub lõppkokkuvõttes sellest, kas konkreetne isik suudab oma kahju piisavalt individualiseeritult ja usutavalt tõendada.
Samas tuleb tunnistada, et kuna kogutud isikuandmed ei ole avalikkusele lekkinud, kolmandatele isikutele edastatud ega teadaolevalt kuritarvitatud, jääb põhiõiguste riive tõenäoliselt suhteliselt piiratuks. See tähendab, et paljudel juhtudel ei pruugi tekkinud mittevaraline kahju olla piisavalt suur, et see õigustaks aja- ja kulumahukat kohtuvaidlust, eriti arvestades tõendamiskoormust ja väljamõistetava hüvitise potentsiaalselt tagasihoidlikku suurust. Samas on esimene liiklus- ja asukohaandmete rikkumisega seotud kaebus juba kohtusse jõudnud. Seega näitab aeg, kui kasulik oleks ka teistel kohtusse pöörduda.
