Isikuandmete kaitse seadus (lühend - IKS)

Otsus maksehäire avaldada võib olla sõltuvalt juhtumi asjaoludest automatiseeritud otsuseks IKÜM art 22 lg 1 mõttes eeldusel, et see põhineb üksnes automatiseeritud töötlusel, s.o puudub inimese mõtestatud sekkumine. Avaldatud teave isiku maksehäire kohta võib riivata intensiivselt isiku eraelu puutumatust. Kas tegu on märkimisväärse mõjuga, sõltub erinevate asjaolude kogumis hindamisest: milliseid andmeid avaldatakse, kui kaua, kellel on võimalik nendega tutvuda, kas, kui kaua ja mil määral need andmed mõjutavad järgnevaid isiku suhtes tehtavaid otsuseid, milliseid otsuseid jms. Eesti õiguses puudub norm, mis IKÜM art 22 lg 2 p b järgi võimaldaks maksehäire andmeid avaldada üksnes automatiseeritult ning mis näeks ette ka sättes viidatud asjakohased kaitsemeetmed. (p-d 20.3 ja 20.4)

Andmekaitse Inspektsioon, kontrollides eraisikust töötleja tegevust, ja kohus, analüüsides AKI ettekirjutuse õiguspärasust, ei ole oma kontrolliulatuses piiratud ning võivad asjaolude kogumit analüüsides kujundada seisukoha, kas isikuandmete avaldamine on töötleja õigustatud huvi alusel lubatud ning kas kõnealune alus on tungiv. Selline hindamine ei ole töötleja ainuõigus. Kui töötleja on rikkunud tal lasuvat kohustust selgitada välja asjas tähtsust omavad asjaolud, sõltuvad selle vea tagajärjed haldusmenetluse ja halduskohtumenetluses konkreetsest olukorrast. Kui menetluse käigus selgunud uued asjaolud ja tõendid on piisavad, saavad AKI ja vajaduse korral kohus neile tuginedes teha lõpliku otsuse õigustatud huvi hindamise õiguspärasuse kohta. Piiriks on põhimõte, et haldusakti õige õigusliku ja faktilise aluse otsimine ei tohiks kanduda ülemäärases mahus üle kohtumenetlusse. Kohtulik kontroll AKI otsuse õiguspärasuse üle on piiratud siiski osas, milles AKI kaalutlusõigust teostades valib meetme, millega rikkumisele reageerida. (p-d 22.2–22.3)

IKÜM art 21 asub IKÜM 3. peatükis pealkirjaga Andmesubjekti õigused. Seega on art 21 lg 1 üksnes andmesubjekti õigus ega ole vastuväite saamisel ja lahendamisel uus õiguslik alus isikuandmete töötlemiseks. Ka Euroopa Kohus on nentinud, et IKÜM art-s 21 sätestatud vastuväite esitamise õigust ei saa võtta arvesse, hindamaks isikuandmete töötlemise seaduslikkust, sh IKÜM art 6 lg 1 p-s f sätestatud õigustatud huvi testi vajalikkuse kriteeriumi (EKo C-394/23 – Mousse, p-d 67–70). (p 14)

Art 21 lg 1 sätestab mh ka tõendamiskoormuse jaotuse. Andmesubjekti ülesandeks on vastuväites esile tuua oma konkreetsest olukorrast lähtudes asjaolud, mida vastutaval töötlejal tuleb arvesse võtta andmete töötlemise jätkamise otsustamisel, ning selgitada, miks on andmete avaldamine tema hinnangul ülemäärane. Vastutav töötleja võib jätkata pärast vastuväite saamist isikuandmete töötlemist vaid juhul, kui ta tõendab, et isikuandmeid töödeldakse mõjuval õiguspärasel põhjusel, mis on kaalukam kui andmesubjekti huvid. Selleks, et andmesubjekt teaks IKÜM art 21 lg-st 1 tulenevat tõendamiskohustust ega jätaks teadmatuse tõttu asjakohaseid asjaolusid esile toomata, tuleb vastutaval töötlejal täita tal lasuvat selgitamiskohustust (vt IKÜM art 12 lg 2 esimene lause). Selgituskohustuse korrektne täitmine on eelduseks asjas tähtsate asjaolude väljaselgitamisele. Tõendamiskoormus, et ta on täitnud IKÜM-st tulenevad kohustused, sh viinud läbi art 21 lg-le 1 vastava kaalumise, lasub vastutaval töötlejal. (p-d 15.1–15.2 ja 16)

Maksehäire andmete avaldamine teenib mh ka avaliku huvi eesmärki, sest aitab maksehäire andmete saamisest huvitatud krediidiandjatel järgida vastutustundliku laenamise põhimõtet. Maksehäire andmete avaldajale ei ole aga pandud kohustust andmeid avaldada ning tema jaoks on esiplaanil ja domineeriv üksnes äriline huvi: rahuldada turunõudlust maksekäitumist puudutavate andmete saamiseks ja teenida ise seeläbi tulu. Ärilist huvi on Euroopa Kohus korduvalt pidanud lubatavaks isikuandmete töötlemist õigustavaks huviks IKÜM art 6 lg 1 p f mõttes. (p-d 17 ja 17.5)

IKS § 10 ei saa olla iseseisev isikuandmete töötlemise õiguslik alus ning selle tõlgendamisel ja kohaldamisel tuleb lähtuda EL õigusega kooskõlalise tõlgendamise põhimõttest. Kui IKS §-s 10 sätestatud nõue on konkreetse juhtumi asjaolusid arvestades vastuolus IKÜM art 6 lg 1 p-ga f või mõne muu IKÜM-s sätestatud õiguse või nõudega, tuleb lähtuda IKÜM-st. IKS § 10 lg-s 1 sätestatud töötlemise eesmärki tuleb tõlgendada laialt ning see ei saa piirata õigustatud huvide ringi, mis on lubatavad IKÜM art 6 lg 1 p f mõttes. Liikmesriigi seadusandja ei või õigusnormis näha ette lõplikku õiguste ja huvide kaalumise tulemust. (p 18)

KarS § 81 lg 3 kohaselt on väärtegu aegunud, kui selle lõpuleviimisest kuni selle kohta tehtud otsuse jõustumiseni on möödunud kaks aastat, kui seadus ei näe ette pikemat aegumistähtaega. IKS 6. ptk-s sätestatud väärtegudele kohalduvat kolmeaastast aegumistähtaega ettenägev § 73 lg 1 jõustus 01.11.2023, s.o pärast menetlusalusele isikule etteheidetava teo toimepanemist. KarS § 5 lg 3 järgi ei tohi isiku olukorda halvendaval seadusel olla tagasiulatuvat jõudu. (p 8)

VTMS § 29 lg 1 p 5 kohaselt tuleb väärteomenetlus aegumistähtaja möödumisel lõpetada. Sama paragrahvi kolmandast lõikest järeldub, et aegumine on väärteomenetluses absoluutne menetlustakistus, mis ei võimalda asja edasist menetlemist. (p 9)

Isikuandmete töötlemise nõuete rikkumisega seotud väärtegude kaheaastane aegumistähtaeg ei olnud vastuolus Euroopa Liidu õigusega. IKÜM ei näe ette tähtaegu andmekaitseliste rikkumiste aegumisele ja samuti ei ole Euroopa Liidu seadusandja asjassepuutuvaid aegumisnorme ühtlustanud mõnes muus õigusaktis. Diskretsiooniõigus aegumise regulatsiooni kehtestamiseks kuulub liikmesriikidele. (p 10)

Eelotsusemenetlus Euroopa Kohtus eeldab eelotsusetaotluse esitanud kohtus poolelioleva menetluse olemasolu (vt nt EKo C-428/06, p 39; samuti Euroopa Kohtu soovitused liikmesriikide kohtutele eelotsuse taotlemiseks, C/2024/6008, p 31). (p 12)

Kaebaja soovis oma pöördumistega RAB-ilt teada saada, kas RAB on tema kohta Eesti või välisriigi krediidiasutustele või välisriigi ametiasutustele edastanud teavet või esitanud ettekirjutusi või järelepärimisi, milles on viidatud rahapesu kahtlusele. Seega taotles ta enda kohta käivate isikuandmete väljastamist. Asja toimikust ei nähtu, et vaidlus puudutaks süüteomenetluses kogutud teavet (kohalduks IKS § 24, millega on üle võetud direktiivi 2016/680 artiklid 14 ja 15). Euroopa Kohus on pidanud seda oluliseks kriteeriumiks IKÜM-i kohaldamisala jaatamisel (otsus nr C-175/20, p-d 45-46). Järelikult tuleb praegusel juhul lähtuda IKÜM-is sätestatud andmesubjekti õigustest ja nende piiramise alustest. (p-d 8 ja 9)

Rahapesu ja terrorismi rahastamise tõkestamist puudutava direktiivi 2015/849 artikli 41 järgi kohaldatakse direktiivi raames toimuvale isikuandmete töötlemisele IKÜM-i ja määrust 2018/1725 (reguleerib isikuandmete töötlemist liidu institutsioonides). Artikli 43 järgi tuleb selle direktiivi alusel toimuvat isikuandmete töötlemist rahapesu ja terrorismi rahastamise tõkestamise eesmärgil käsitada avaliku huvi küsimusena IKÜM-i mõistes. Kui vaidlus ei puuduta süüteomenetluses kogutud teavet, on Euroopa Kohus seda pidanud oluliseks kriteeriumiks IKÜM-i kohaldamisala jaatamisel (EKo nr C-175/20, p-d 45–46). (p 9)

Seadusandja on RahaPTS § 60 lõike 1 teist lauset kehtestades pidanud silmas juurdepääsupiirangut, mis võimaldab piirata ka andmesubjekti õigusi. Sätte kohaldamine andmesubjekti õiguste piiramiseks peab olema vajalik ja proportsionaalne, arvestades IKÜM artiklist 15 andmesubjektile võrreldes teiste isikutega tulenevaid õigusi. RahaPTS § 60 lõike 1 teine lause ei piira andmesubjekti õigusi vahetult seaduse alusel, vaid annab selleks RAB-i juhile kaalutlusõiguse. (p-d 11 ja 12)

Andmesubjekti õiguste piiramine peab olema kooskõlas IKÜM artikliga 23, mis seab nõuded seadusandlikule meetmele, millega andmesubjekti õigusi piiratakse (vt IKÜM artikli 23 alusel seadusandliku meetme sätestamise kohta EKo asjas C-175/20, p-d 56–57). (p 14)

Sotsiaalkindlustusameti poolt dokumendiregistris isikuandmeid sisaldavate dokumentide registreerimine ja neile juurdepääsu andmine kui isikuandmete töötlemine on IKÜM kohaldamisalas (IKS § 1 lg 1 p 1, HMS § 7 lg 4). (p 14)

Liikmesriigi seadusandja on pädev reguleerima kahju hüvitamist nii juhul, kui see on tekitatud riigisisese õiguse rikkumisega, kui ka juhul, mil kahju tekitamisel rikuti EL õigust. Riigisisese riigivastutusõiguse ja EL õiguse vastuolu korral tuleb riigisisene norm või selle vastav osa EL õigusega seotud kahjuasjades jätta kohaldamata (RKHKo 3-3-1-84-12, p 20). Seejuures tuleb silmas pidada, et liikmesriigi õigusnormid ei tohi olla ebasoodsamad, kui kohaldatakse sarnastes riigisiseses õiguses sätestatud olukordades (samaväärsuse põhimõte), ning need ei või muuta liidu õigusest tulenevate õiguste kasutamist praktiliselt võimatuks või ülemäära raskeks (tõhususe põhimõte) (vrd nt EKo C-295/04-C-298/04: Manfredi, p-d 62-64, 98). See kehtib ka kahjuhüvitise rahas väljamõistmise ja suuruse üle otsustamisel. Isikuandmete kaitse üldmääruse art 82 ei nõua hoiatava või karistusliku eesmärgiga kahjuhüvitist. Detailne karistava ja heidutava iseloomuga trahvide määramise normistik on toodud üldmääruse art-s 83. Olukorras, kus EL õigus ei nõua hoiatava või karistusliku eesmärgiga kahjuhüvitist, tuleks see välja mõista vaid juhul, kui sellist hüvitist saab välja mõista analoogse riigisisese normi alusel algatatud vaidluses (EKo C-295/04-C-298/04: Manfredi, p-d 92-93; vrd ka nt C-407/14: Arjona Camacho). Isikuandmete kaitse üldmääruse põhjenduses 146 tehtud viidet „täielikule ja tõhusale“ hüvitisele tuleb Euroopa Kohtu praktikat silmas pidades sisustada kui kohustust hüvitada tegelikult tekkinud kahju (vrd nt EKo C-407/14: Arjona Camacho, p-d 33-34; C-481/14: Hansson, p-d 33-35; C-99/15: Liffers, p 25). Vaidlustatud akti tühistamine või õigusvastasuse tuvastamine võib sõltuvalt asjaoludest olla piisav tekitatud mittevaralise kahju hüvitamiseks (vt nt F-46/09, V vs. parlament, p 167; C-239/12 P: Abdulrahim vs. nõukogu ja komisjon, p 72). (p-d 17, 18)

Asjaolu, et isiku seaduslik esindaja on andnud varem nõusoleku andmete avalikustamiseks ajakirjanduses, ei muuda rehabilitatsiooniplaanile juurdepääsupiirangu lisamata jätmist õiguspäraseks (vrd ka RKHKo 3-3-1-85-15, p 18; RKTKo 3-2-1-18-13, p 16). Need isikuandmete töötlemise toimingud on tehtud erinevatel õiguslikel alustel ja erinevatel eesmärkidel. Isiku nõusolek isikuandmete töötlemiseks hõlmab üksnes samal eesmärgil või samadel eesmärkidel tehtavaid isikuandmete töötlemise toiminguid (isikuandmete kaitse üldmääruse art 6 lg 1 p a, põhjendus 32 neljas lause). Kui vastutav töötleja töötleb isikuandmeid avaliku võimu teostamiseks, tuleb rangelt järgida vastavas õiguslikus aluses sätestatud isikuandmete töötlemise eesmärki ja isikuandmete töötlemise põhimõtteid (art 5; art 6 lg 1 p e, lg 3; art 9 lg 2 p-d b, g, h). (p 21)

Eriliiki isikuandmetega rehabilitatsiooniplaani avalikustamine rikub eraelu puutumatust (PS § 26, puuetega inimeste õiguste kaitse konventsiooni art 22). Lisaks isiku üldisele isikuandmetele (nimi, vanus, kontaktandmed, hariduskäik) tungib rehabilitatsiooni plaanis sisalduvate andmete (arsti, logopeedi ja füsioterapeudi kirjeldused ja hinnangud isiku vaimse ja füüsilise tervise ja arengu kohta jms) avalikustamine eraelu puutumatuse tuumiksfääri. (p 22)

Andmesubjekti puue ja sellest tulenev haavatavus ei tähenda seda, et isikut koheldakse just nende asjaolude tõttu eriliigiliste isikuandmete õigusvastasel avalikustamisel alavääristavalt või muul viisil inimväärikust alandavalt (vt ka PIK art 22 viimane lause). (p 23)

Rehabilitatsiooniplaanis sisalduvate eriliigiliste isikuandmete õigusvastase avalikustamise ja seeläbi eraelu puutumatuse rikkumise tagajärjel tekib isikul mittevaraline kahju, mis hõlmab VÕS § 128 lg 5 järgi eelkõige kahjustatud isiku füüsilist ja hingelist valu ning kannatusi. Hingelise valu ja kannatuste tundmine eeldab üldjuhul isiku arusaamisvõimet. Isegi kui isikul on vaimupuue ning see, kas ja kuivõrd ta mõistis toimunut ja seeläbi tegelikult hingelist valu ja kannatusi tundis, ei ole tuvastatud, tuleb lugeda kahju tekkinuks. Isiku terviseseisundit, käitumist ja iseloomu kirjeldavate isikuandmete avalikustamine ja seeläbi eraelu puutumatuse tuumiksfääri rikkumine võib mõjutada isiku turvatunnet suhtluses avaliku võimuga ja põhjustada kartust saada avalikkuse silmis häbimärgistatud. Isiku vaimupuue ei või tuua kaasa tema isikuandmete nõrgemat kaitset võrreldes täisteovõimega isikutega. See seisukoht ei ole vastuolus ka VÕS § 128 lg 5 sõnastusega („eelkõige“). (p-d 24, 24.1)

Vastus küsimusele, kas põhiõiguste rikkumine toob kaasa kahju hüvitamise rahas, oleneb õigusrikkumise raskusest, süü vormist ja raskusest ning vastutust piiravatest asjaoludest. Kui tegelikult isikule tekkinud kahju ei ületa lävendit, mis õigustaks mittevaralise kahju hüvitamist rahas, ei ole süü täpsel vormil tähtsust. (p-d 26, 27)

Rehabilitatsiooniplaan sisaldab palju eriliiki isikuandmeid, s.o andmeid, mis on oma olemuselt põhiõiguste ja -vabaduste seisukohast eriti tundlikud (vt üldmääruse põhjendus 51). Seetõttu on usaldusväärsuse ja konfidentsiaalsuse põhimõtte (üldmääruse art 5 lg 1 p f) tagamiseks võetavad meetmed ja nende range järgimine eriti oluline (vt üldmääruse art 24 lg 1, art 32, põhjendused 74, 75, 83). Andmete töötlemise isikulised, tehnilised ja organisatoorsed meetmed peavad maandama ohte ning tagama turvalise andmetöötluse, vältimaks ebaseaduslikku isikuandmete avalikustamist ja seeläbi isiku õiguste rikkumist (nt üldmääruse art 32 lg 1 p b „kestev konfidentsiaalsus“, p d „korrapärase testimise ja hindamise kord“). Kuigi raske tagajärje tekkimise ohtu leevendab asjaolu, et dokumendiregistris olevad dokumendid ei ole üldiseid interneti otsingumootoreid kasutades leitavad, ei tee see ohtu olematuks. Välistatud ei ole juhuslik tutvumine. Avaliku teabe taaskasutuse nõude tagamiseks on dokumendiregister ulatuses, milles ei ole kehtestatud juurdepääsupiiranguid, masinloetav ja allalaaditav (vt AvTS § 29 lg 4, § 28 lg 1 p 31 ja § 31 lg 4 koostoime). (p-d 27.1, 27.2)