Isikuandmete kaitse üldmäärus (GDPR) määratlus, õigused ja trahvid

Üldine andmekaitsemäärus (GDPR) (määrus (Euroopa Liit) 2016/679) võeti vastu 27. aprillil 2016. See jõustus 25. mail 2018.

Määruse on heaks kiitnud Euroopa Parlament, Euroopa Liidu Nõukogu ja Euroopa Komisjon. See kaitseb inimeste isikuandmeid kogu Euroopa Liidus (EL). Määrus mõjutab ka andmete eksporti EList.

GDPRi eesmärk on anda kodanikele kontroll oma isikuandmete üle. Sellega lihtsustatakse teiste riikidega peetavate majandussuhete eeskirju, ühtlustades ELi menetlusi. GDPR asendab 1995. aasta andmekaitsedirektiivi. Uus GDPRi seadus ei vaja muudatusi kohalikes õigusaktides ELis. Määrus on siduv.

Isikuid ja ettevõtteid, kes ei täida GDPRi seadust, võib oodata trahv kuni 20 000 000 eurot või kuni 4% ettevõtte eelmise aasta kasumist, olenevalt sellest, kumb arv on suurem.

Millele GDPR kehtib ja keda see mõjutab

GDPR kehtib kõikidele organisatsioonidele, mis töötlevad isikuandmeid ELi kodanikest – olenemata sellest, kas organisatsioon ise asub ELis või väljaspool. See hõlmab nii avalikku kui eraõiguslikku sektori, väikeettevõtteid, mittetulundusühinguid ja üksikisikute tasandil andmetöötlust, kui see on seotud ärilise või avaliku tegevusega.

Olulised mõisted

• Isikuandmed – mistahes teave, mis võimaldab tuvastada elavat isikut (näiteks nimi, e‑post, IP‑aadress).
• Töötleja (controller) – see, kes määrab, kuidas ja milleks isikuandmeid töödeldakse.
• Töötleja (processor) – see, kes töötleb andmeid vastavalt töötleja juhistele (nt pilveteenus, andmehaldur).
• Tundlikud andmed – eriliigid nagu rassiline või etniline päritolu, poliitilised vaated, terviseandmed, usuline kuuluvus, seksuaalelu jms; nende töötlemine on rangemalt reguleeritud.

Õigused, mida GDPR annab isikutele

• Õigus saada teavet – teave andmete kogumise eesmärgi, töötlemise aluse ja säilitustähtaja kohta.
• Juurdepääsu õigus – isik võib nõuda enda kohta säilitatavaid andmeid.
• Õigus parandada – ebatäpsed andmed tuleb parandada.
• Õigus andmete kustutamisele („õigus olla unustatud”) – teatud olukordades saab nõuda andmete kustutamist.
• Õigus piirata töötlemist – mõnel juhul võib töötlemine ajutiselt peatuda.
• Õigus andmete ülekantavusele – isik võib saada andmed struktureeritud, üldkasutatavas formaadis ja edastada need teisele vastutavale töötlejale.
• Õigus esitada vastuväiteid – kaudne turundus või õigustatud huvidel põhinev töötlemine võib olla vastuoluline.
• Õigus mitte alluda automaatotsustele – sh profiilimine, mis mõjutab õigusi või vabadust oluliselt.
• Kaebus järelevalveasutuse poole – Eestis andmekaitse järelevalveasutus on Andmekaitse Inspektsioon.

Töötlemise legaalsed alused ja kohustused

Töötlemine peab põhinema vähemalt ühel õiguslikul alusel: isiku nõusolek, lepingu täitmine, juriidiline kohustus, eluohud, avalik ülesanne või õigustatud huvi. Organisatsioonid peavad tagama andmete töötlemise põhimõtted: seaduslikkus, õiglus, läbipaistvus, eesmärgipiirang, andmete minimaalsus, täpsus, säilituse piirang ning turvalisus.

Sanktsioonid ja rikkumiste teatamine

GDPR sisaldab kahte peamist trahvikategooriat:

• kuni 10 000 000 eurot või kuni 2% ettevõtte kogu maailmas eelneva majandusaasta käibest – rikkumised, mis puudutavad näiteks töötlemise dokumentatsiooni, tehnilisi ja korralduslikke nõudeid;
• kuni 20 000 000 eurot või kuni 4% ettevõtte eelneva majandusaasta kogu maailmas käibest – tõsisemad rikkumised, nagu põhimõtete rikkumine, andmete töötlemise õigused, andmete kaitse põhiõigused ja nõusolekualused.

Lisaks rahalistest karistustest võivad järgneda juriidilised nõuded kahju hüvitamiseks, poliitiline ja kliendikaotus ning mainekahju. Andmelekete puhul peab vastutav töötleja teavitama järelevalveasutust 72 tunni jooksul ning mõnel juhul teavitama ka mõjutatud isikuid.

Muud olulised nõuded

• Andmete töötlemise lepingu tingimused – kui töötleja kasutab teenusepakkujat (processor), peab olemas olema kirjalik leping, mis kaitseb andmeid;
• Andmekaitse mõju hindamine (DPIA) – tuleb läbi viia, kui töötlemine võib tekitada kõrge riski isikute õigustele ja vabadustele;
• Andmekaitse ametniku (DPO) määramine – nõutud avalikel asutustel ning organisatsioonidel, kelle põhitegevus hõlmab ulatuslikku jälgimist või eriliikide andmete töötlemist;
• Piiriülesed andmeedastused – andmete väljaveoks väljapoole ELi on vaja sobivaid kaitsemeetmeid (näiteks Euroopa Komisjoni vankordid või siduvad ettevõttepõhised reeglid).

Kuidas alustada vastavuse tagamist (praktilised sammud)

• Kaardista, milliseid isikuandmeid organisatsioon kogub ja milleks neid kasutatakse.
• Kontrolli, kas töötlemisel on õiguslik alus ning kas andmetel on selge säilitusaeg.
• Koosta või uuenda andmetöötluse lepingud ja privaatsusteatised.
• Kehtesta tehnilised ja organiseerimislikud turvameetmed (krüptimine, juurdepääsukontroll jne).
• Loo protseduur andmelekete tuvastamiseks ja teatamiseks (72 tundi järelevalveasutusele).
• Kui vaja, määrake DPO või määrake vastutus isikuandmete eest vastavatele töötajatele.

Lõppsõna

GDPR annab isikutele tugevad õigused ja seab organisatsioonidele selged kohustused andmete kaitsel. Vastavuse tagamine nõuab nii tehnilisi, juriidilisi kui ka ärilisi samme, kuid aitab usaldust suurendada ning vähendab riske ja võimalikke trahve. Kui teil on kahtlusi, tasub konsulteerida andmekaitse spetsialisti või õigusnõustajaga.

Küsimused ja vastused

K: Mis on isikuandmete kaitse üldmäärus (GDPR)?

K: Millal see jõustus?

K: Mis on GDPRi eesmärk?

K: Kas see asendab mingeid olemasolevaid õigusakte?

K: Kas kohalikke õigusakte tuleb muuta, et need vastaksid GDPRi nõuetele?

Otsing