Andmekaitse on kaasaegses digitaalses maailmas üheks võtmeteemaks kujunenud. Eriti teravalt puudutab see ettevõtjaid, kelle igapäevatöö hõlmab klientide, töötajate ja partnerite isikuandmete töötlemist. Eestis reguleerivad andmekaitse valdkonda mitmed seadused ja Euroopa Liidu määrused, kõige olulisem neist on isikuandmete kaitse üldmäärus ehk GDPR. Selles blogipostituses heidame pilgu andmekaitse alustele Eestis, sealhulgas ettevõtjate õigustele ja kohustustele.
Sissejuhatus
Isikuandmete töötlemine on iga ettevõtte elutsükli loomulik osa. Juba lihtsa kontaktivormi täitmisest veebilehel või tööle värbamisprotsessist saavad alguse teekonnad, mis nõuavad ettevõtetelt teadlikkust andmekaitsest. Eestis tuleneb isikuandmete kaitse nõue esiteks põhiseadusest, mis tagab igaühele õiguse eraelu puutumatusele, ja teisalt Euroopa Liidu õigusest, eelkõige GDPR-ist. Käesolev artikkel tutvustab peamisi punkte, millele ettevõtja peab andmete töötlemisel tähelepanu pöörama.
Sisu
Isikuandmete definitsioon ja töötlemine
Isikuandmeteks peetakse igasugust informatsiooni, mis võimaldab füüsilist isikut otseselt või kaudselt tuvastada. See hõlmab nime, isikukoodi, asukohaandmeid, IP-aadresse ja palju muud. Isikuandmete töötlemine on igasugune isikuandmetega tehtav toiming – alates kogumisest, salvestamisest, korraldamisest ja lõpetades hävitamisega.
GDPR Eesti ettevõtjate jaoks
General Data Protection Regulation ehk GDPR on Euroopa Liidu õigusakt, mis kohustab ettevõtteid ja organisatsioone tagama isikuandmete kõrgetasemelist kaitset. Kuigi GDPR on Euroopa Liidu määrus, peab iga Eesti ettevõtja sellega arvestama, kuna see kehtib kogu liidu ulatuses. Eestis jõustus GDPR 2018. aasta mais, ja see on andnud isikuandmete kaitsele uued ja rangemad nõuded.
Ettevõtja kohustused
- Andmekaitse põhimõtted – Ettevõtja peab kindlustama, et andmete töötlemine on seaduslik, õiglane ja läbipaistev. Andmeid tuleb koguda määratud, selgetel eesmärkidel ja neid tohib töödelda ainult nii palju, kui eesmärkide saavutamine nõuab.
- Isikuandmete turvalisus – Andmete turvalisuse tagamiseks tuleb rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et kaitsta isikuandmeid loata juurdepääsu, kahjustumise või kadumise eest.
- Andmesubjekti õigused – Isikutel, kelle andmeid töödeldakse, on õigus saada teavet andmete töötlemise kohta ning nõuda paranduste tegemist, andmete kustutamist või töötlemise piiramist. Lisaks on isikutel õigus andmete ülekantavusele.
- Nõusoleku haldamine – Kui ettevõtja töötleb isikuandmeid inimese nõusoleku alusel, peab see nõusolek olema antud vabatahtlikult, konkreetseks juhtumiks, informeeritult ja üheselt mõistetavalt.
- Andmekaitsespetsialisti määramine – Mõnedes ettevõtetes võib olla vajalik määrata andmekaitsespetsialist (DPO), kelle ülesanne on jälgida andmekaitsega seotud tegevuste vastavust GDPR nõuetele.
- Rikkumiste käsitlemine – Ettevõtja peab olema ette valmistatud andmekaitserikkumiste tuvastamiseks, hindamiseks ja sellest teavitamiseks sobivatele asutustele mõistliku aja jooksul, tavaliselt 72 tunni jooksul alates rikkumise teadasaamisest.
Andmekaitseinspektsioon ja järelevalve
Eestis teostab isikuandmete kaitse üle järelevalvet Andmekaitse Inspektsioon (AKI). AKI-l on õigus teha ettekirjutusi, määrata trahve ja anda ettekirjutusi, kuidas ettevõtted peaksid GDPR-i nõudeid paremini täitma. Seega on igal ettevõtjal vajalik hoida end kursis andmekaitsealaste seaduste ja nende muudatustega.
Kokkuvõte
Andmekaitse on valdkond, mida iga ettevõtja ei saa tänapäeval alahinnata.