{"id":39574,"date":"2024-09-19T15:15:05","date_gmt":"2024-09-19T12:15:05","guid":{"rendered":"https:\/\/www.cobalt.legal\/?p=39574"},"modified":"2024-09-19T15:15:05","modified_gmt":"2024-09-19T12:15:05","slug":"vandeadvokaat-priit-pold-ja-jurist-liis-leedo-isikuandmete-sailitamisel-peab-olema-eesmark","status":"publish","type":"post","link":"https:\/\/www.cobalt.legal\/et\/news-cases\/vandeadvokaat-priit-pold-ja-jurist-liis-leedo-isikuandmete-sailitamisel-peab-olema-eesmark\/","title":{"rendered":"Vandeadvokaat Priit P\u00f5ld ja jurist Liis Leedo: isikuandmete s\u00e4ilitamisel peab olema eesm\u00e4rk"},"content":{"rendered":"

Artikkel ilmus 18. juunil 2024 Postimehes.<\/p>\n

L\u00e4bim\u00f5tlemata isikuandmete kogumine ja s\u00e4ilitamine v\u00f5ib p\u00f5hjustada nii ettev\u00f5tetele kui ka inimestele, kelle andmed on kogutud, suuri probleeme. Selleks, et riske maandada, peavad ettev\u00f5tted isikuandmete kogumisel paika panema ka nende s\u00e4ilitusperioodid, kirjutavad Priit P\u00f5ld ja Liis Leedo advokaadib\u00fcroost COBALT.\u00a0 <\/strong><\/p>\n

Ettev\u00f5tted t\u00f6\u00f6tlevad igap\u00e4evaselt oma \u00e4ritegevuse k\u00e4igus v\u00e4ga suurt hulka isikuandmeid. Samas tekitab tihti segadust, kui kaua tohib isikuandmeid s\u00e4ilitada, olgu need paberkandjal, arvutis digitaalsel kujul, e-kirjadena postkastis v\u00f5i m\u00f5ne teenusepakkuja pilveplatvormis.<\/p>\n

Probleem t\u00f5usetub, kui alles hoitakse rohkelt digipr\u00fcgi ning lekivad k\u00fcmneid aastaid s\u00e4ilitatud isikuandmed, mida tegelikult poleks olnud vaja s\u00e4ilitada. Nii juhtus n\u00e4iteks hiljutise laia k\u00f5lapinda tekitanud andmelekke puhul. Ei ole harvad ka olukorrad, kus ettev\u00f5tted ei kustutagi kogutud isikuandmeid, sest mine tea, millal neid v\u00f5ib vaja minna.<\/p>\n

J\u00e4ttes k\u00f5rvale halvima stsenaariumi ehk andmelekke, on andmekaitsen\u00f5uete t\u00e4itmata j\u00e4tmise korral muidugi ka trahvirisk. N\u00e4iteks k\u00e4esoleva aasta m\u00e4rtsis teatas Soome andmekaitseombudsman, et m\u00e4\u00e4ras internetipoele Verkkokauppa.com 856\u00a0000 euro suuruse trahvi, kuna ettev\u00f5te ei olnud paika pandud kliendikontodega kogutud isikuandmete s\u00e4ilitamisperioode ja s\u00e4ilitas isikuandmeid t\u00e4htajatult.<\/p>\n

S\u00e4ilitamine on isikuandmete t\u00f6\u00f6tlemine nagu ka n\u00e4iteks vaatamine, edastamine, kopeerimine ning \u00a0muutmine ning sellisele t\u00f6\u00f6tlemisele kohaldub isikuandmete kaitse \u00fcldm\u00e4\u00e4rus (IK\u00dcM, rohkem tuntud kui GDPR). IK\u00dcMist tulenevalt peab vastavalt paika pandud s\u00e4ilitusperioodidele perioodi l\u00f5pus isikuandmed \u00e4ra kustutama v\u00f5i anon\u00fc\u00fcmima, nii et nende andmetega ei oleks enam inimene tuvastatav.<\/p>\n

K\u00fcsimusele, kui kaua v\u00f5ib isikuandmeid s\u00e4ilitada, ei ole tihtipeale v\u00f5imalik \u00fcheselt vastata, sest k\u00f5ik s\u00f5ltub sellest, milleks on konkreetseid isikuandmeid vaja. Selle teadmisega kaugele ei j\u00f5ua, seega selgitame reegleid t\u00e4psemalt.<\/p>\n

Eesm\u00e4rk peab olema selge<\/strong><\/p>\n

Isikuandmete vastutav t\u00f6\u00f6tleja ehk see, kes otsustab, mis eesm\u00e4rgil ja vahenditega isikuandmeid t\u00f6\u00f6delda, peab j\u00e4rgima IK\u00dcMi p\u00f5him\u00f5tteid. \u00dcheks neist on isikuandmete s\u00e4ilitamise piirangu p\u00f5him\u00f5te, mis t\u00e4hendab, et isikuandmeid v\u00f5ib s\u00e4ilitada seni, kuni see on vajalik selle eesm\u00e4rgi t\u00e4itmiseks, milleks isikuandmeid t\u00f6\u00f6deldakse. Teisis\u00f5nu, kui sel eesm\u00e4rgil, milleks isikuandmeid koguti, neid enam vaja pole, tuleb otsustada, kas andmed kustutada, anon\u00fc\u00fcmida v\u00f5i leida m\u00f5ni muu eesm\u00e4rk ja sobiv \u00f5iguslik alus andmete s\u00e4ilitamiseks.<\/p>\n

Andmet\u00f6\u00f6tluse eesm\u00e4rki peab suutma selgitada iga vastutava t\u00f6\u00f6tleja rollis olev isik, vastates k\u00fcsimusele, et miks ta andmeid t\u00f6\u00f6tleb. N\u00e4iteks selleks, et m\u00fc\u00fca e-poes kaupa, on vaja t\u00f6\u00f6delda isikuandmeid ostja kohta, et talle arve esitada ning kaup kohale toimetada. Paralleelselt peab muidugi j\u00e4rgima ka muid IK\u00dcMi p\u00f5him\u00f5tteid, sh v\u00f5imalikult v\u00e4heste andmete kogumise p\u00f5him\u00f5tet, mis t\u00e4hendab, et isikuandmeid v\u00f5ib koguda vaid selles ulatuses, mis on vajalik eesm\u00e4rgi saavutamiseks. Eeltoodud e-poe n\u00e4ite puhul on ilmselt ostja nime, e-posti aadressi, telefoninumbri k\u00fcsimine vajalik, kuid koduse aadressi k\u00fcsimine saaks k\u00f5ne alla tulla \u00fcksnes juhul, kui ostja soovib kauba tarnet kulleriga koju.<\/p>\n

S\u00e4ilitamisel peab olema \u00f5iguslik alus<\/strong><\/p>\n

Isikundmete s\u00e4ilitamise vajadus ja t\u00e4htajad on enamasti vastutava t\u00f6\u00f6tleja enda m\u00e4\u00e4rata, kuid see v\u00f5ib konkreetselt tuleneda ka kohustusena m\u00f5nest eriseadusest. Siis on k\u00f5ik \u00fcsna lihtne \u2013 seadus \u00fctleb ette, kui kaua tuleb andmeid s\u00e4ilitada. Kui see periood on m\u00f6\u00f6das ja muu eesm\u00e4rk andmete s\u00e4ilitamiseks puudub, tuleb isikuandmed kustutada v\u00f5i muuta need anon\u00fc\u00fcmseks. N\u00e4iteks raamatupidamise seadus s\u00e4testab, et raamatupidamise algdokumente tuleb s\u00e4ilitada seitse aastat v\u00f5i t\u00f6\u00f6lepingu seadus s\u00e4testab, et t\u00f6\u00f6lepinguid tuleb s\u00e4ilitada k\u00fcmme aastat.<\/p>\n

Sageli aetakse segamini kohustusena pandud t\u00e4htajad muude seaduses olevate t\u00e4htaegadega. N\u00e4iteks tsiviilseadustiku \u00fcldosa seaduses (Ts\u00dcS) on s\u00e4testatud erinevad n\u00f5uete aegumist\u00e4htajad: tehingute puhul on selleks \u00fcldjuhul kolm aastat, kuid tahtliku rikkumise puhul k\u00fcmme aastat. Miks on seda oluline teada? J\u00e4tkates e-poe n\u00e4itega \u2013 kui kaup on m\u00fc\u00fcdud, tekib j\u00e4rgmine k\u00fcsimus, et kui kaua v\u00f5ib e-poe tellimuse t\u00e4itmiseks kogutud andmeid s\u00e4ilitada? Siin peakski m\u00f5tlema, mille jaoks on vajalik andmeid s\u00e4ilitada p\u00e4rast seda, kui kaup on m\u00fc\u00fcdud? Vastuseks saab olla ilmselt, et kaitsta end v\u00f5imalike \u00f5igusn\u00f5uete vastu, mis v\u00f5ivad ostjal tekkida. Seega tuleme tagasi Ts\u00dcSi p\u00f5him\u00f5tete juurde, kuid siin peame silmas pidama, et Ts\u00dcS ei pane meile ega ostjale mingeid kohustusi. Tegemist on vaid \u00f5igusega.<\/p>\n

Kui andmete s\u00e4ilitamise kohustus ei tulene m\u00f5nest \u00f5igusaktist, siis peab vastutav t\u00f6\u00f6tleja ise vastavalt t\u00f6\u00f6tlemise eesm\u00e4rgile paika panema s\u00e4ilitusperioodi ning seda v\u00e4ga selgelt p\u00f5hjendama. Enamasti saab \u00f5iguslikuks aluseks olla IK\u00dcMis s\u00e4testatud \u00f5igustatud huvi, kuid enne, kui sellele tugineda, tuleb seda p\u00f5hjalikult kaaluda. Selleks tuleb panna \u00fchele kaalulausile ettev\u00f5tte huvid (nt \u00e4rihuvid) v\u00f5i m\u00f5ne kolmanda isiku huvid ja teisele kaalulausile inimese \u00f5igus privaatsusele. Seda, kas eeltoodud Ts\u00dcSi n\u00e4ite puhul on andmete s\u00e4ilitamine \u00f5igustatud kolm v\u00f5i k\u00fcmme aastat, s\u00f5ltub konkreetsetest asjaoludest, mida \u00f5igustatud huvi kaalumisel tuleb arvesse v\u00f5tta.<\/p>\n

Niisamuti tuleks l\u00e4bi m\u00f5elda absoluutselt k\u00f5ik isikuandmed ning asukohad, kus andmeid s\u00e4ilitatakse, sealhulgas e-postkastides, teenuseosutajate andmebaasides, arhiivides jms ning ka seal t\u00f6\u00f6deldavatele andmetele kohaldada s\u00e4ilitusperioode.<\/p>\n

Millest alustada?<\/strong><\/p>\n

S\u00e4ilitusperioodide paika panemisel soovitame alustada andmet\u00f6\u00f6tluse kaardistamisest ehk kirja panna v\u00f5imalikult detailselt muuhulgas isikuandmete t\u00f6\u00f6tlemise, sh s\u00e4ilitamise eesm\u00e4rgid, kelle andmeid t\u00f6\u00f6deldakse ning milliseid isikuandmeid t\u00f6\u00f6deldakse.<\/p>\n

Kui t\u00f6\u00f6deldavate isikuandmete kaardistus on tehtud:<\/p>\n