Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti saaks aega kokku hoida.
Tere, head kuulajad, olete leidnud Tasku häälingu äpist üles riigi IT -podkasti kriitiline intsident. Mina olen saatejuht Ronald Liive ja tutvustan teile koos põnevate külalistega põnevaid digiriigiga seonduvaid teemasid. Kui eelmises saates kaevusime meditsiini valdkonda, siis sel korral uurime hoopis temaatikat, mille puhul mängivad rolli andmed ja kõik nendega siis seonduv. Juba tänaseks viis aastat tagasi hakkas Euroopa Liidus kehtima selline vahva asi nagu GDPR, mida me kõik teame, aga selle ümber on väga palju küsimärke õhus ja tänases saates me lahendame need, kõik need küsimused ära. Sest külla on meile tulnud Andmekaitse Inspektsiooni jurist Keili Kepi. Tere!
Ma alustakski sellest, et kas te saate üldse anda sellise kas nüüd väga detailse, aga põhjaliku kirjelduse ikkagi sellest, et milline teie tööpäev, tavaline tööpäev välja näeb? Kas teie olete üks neist inimestest, üks Andmekaitse Inspektsiooni juristidest, kes siis hakkab nii -öelda menetlema, vaatama neid neid kirjakesi, mis teile sisse tulevad, kus keegi ütleb, et siin on mingine valvekaamera, mis filmib midagi, mida ta vist ei tohiks filmida?
Pean tunnistama, et hetkel ma seda igapäevaselt ei tee, nüüd olen ma pühendunud rohkem koolitamisele ja ennetustööle, aga ütleme niimoodi, et ühe tavapärase juristi tööpäev ilmselt, kes menetlusvaldkonnas tegutseb, just selline välja näeb ilm.
Kui palju näeb AKI vaeva nende päringutega, mis selle GDPR -i või siis AKile endale meeltmöelda rohkem on see lühend ICÜM ehk siis isikuandmete kaitse üldmäärus, kui palju neid üldse sisse tuleb teile nii -öelda?
Seda on raske nüüd selles mõttes öelda, et kui palju on just IKÜ -mi päringuid, sellepärast et tegelikult ju enne selle üldmääruse kehtima hakkamist oli Euroopas juba olemas ka andmekaitse direktiiv ja samamoodi oli ka meil Eestis täiesti isikuandmete kaitseseadus. Et mõneti me ju tegelikult juba tegelesimegi nende teemadega siis ja noh, Andmekaitse Inspektsioon ise alustas oma tegevust juba tuhande üheksasaja üheksakümne üheksandal aastal, et me oleme tegelikult ikkagi päris kaua tegutsenud asutus. Et aga...
Aga mida see AKI siis nagu päevast päeva nagu selles mõttes teeb, et kas te olete nagu nii -öelda kontrollorgan, et kui mõni eraisik teeb midagi valesti, postitab kellegi... üks aktuaalne teema, ma tean, mis on teie töölaual, et postitatakse Facebooki või kuskile mujale, et vaata see Peeter Meeter on mulle võlgu vot sada eurot. Kas teid huvitab see, kui eraisik postitab näiteks sellise info ülesse või teid huvitab see, kui on see mõni ettevõte või asutus, kes siis avalikult nii -öelda justkui häbiposti paneb kedagi?
See on väga hea jah, et sa tõid välja selle sotsiaalmeedia, sest tegelikult sotsiaalmeedia kaebused on üks, võiks öelda, selline top kolmest üldse meie töölaual, et igasugused sotsiaalmeedia postitustega seotud kaebused meile tuleb. Ja noh muidugi me üritame siis nendesse sekkuda, aga samas me ei taha ka liialt nii -öelda inimeste era, eratülidesse ka sekkuda, et see on selline alati hindamine, et millisel juhul nagu tõesti siis järelevalveorgan, riigiasutus siis peaks inimeste tülidesse sekkuma. Et seal siis tuleb hinnata, et kui suur on see riive ja kõiki selliseid teisi asjaolusid, et tõesti tegelikult meie eesmärk on ja me ise tahaksime rohkem oma tegevust suunata just ettevõtete peale, sellepärast et nende andmetöötluse mõju on lihtsalt nii palju suurem ja noh, me paratamatult, me oleme küll viimasel ajal kasvanud, aga me peame arvestama, et me oleme üsna väike asutus. Ja ja me peame mingil määral valima, et kuhu me oma energiat suuname.
Kui palju see AKI üldse kasvanud on? Et teil hiljuti tuli välja aastaraamat, seal oli mainitud ka, et eelmine aasta vist oli kuskil kakskümmend töötajat, midagi taolist. Kui palju tänaseks on?
Tänaseks on nüüd juba üle kolmekümne, et oleme tõesti näinud vaeva.
Aga miks see tähendab, mille arvelt te siis kasvanud olete? Teil on tulnud palju tööd juurde või, või kuidas?
Tööd on meil alati väga palju olnud, et seda tegelikult näitab ka kaebuste arv, mis meile siis läbi aastate on tehtud, et kaebuste arv on tegelikult üsna palju tõusnud. Küll mõneti on langenud selgitustaotluste ja infoliinidele tehtavate kõnede arv, aga see näitabki seda, et inimeste teadlikkus on kasvanud ja tegelikult ka nende ootus andmekaitseinspektsioonile on kasvanud. Et et kindlasti on see tingitud sellest ja teisalt me tahaksime ise rohkem teha sellist ennetustööd ja koostööd, et selle struktuurimuudatusega seoses tegelikult ka loodi selline üksus, kes just tegelebki siis ennetuse koostööga.
Olen isiklikult hoidnud AKI tegemistel mitu aastat kätt pulsil. Meil viis aastat kindlasti, kuna see GDPR -i teema tõesti on aktuaalne olnud viis aastat ja tean ka seda siis seetõttu, et ma olen kajastanud teemat, tean, et nüüd tänavu sügisest alles lõpuks tekib tegelikult Andmekaitse Inspektsioonil see reaalne võimalus kasutada ära seda ICUM -i, GDPR -i kõiki võimalusi, et miks see on nii läinud, et alles nüüd?
See on see on hea küsimus, et võib -olla mõnes mõttes peab ka siin seadusandjale otsa vaatama, et miks see seaduses nüüd siis alles vastu muudatus tuleb.
Kas see on see üks neist põhjustest, miks teil on nüüd aastaga siin ütleme jämedalt võttes kümme inimest juurde tulnud? Et te nagu ootate, et see seadus nüüd hakkas kehtima ja siis läheb see ralli pihta, et vist oli kümme miljonit eurot oli see maksimummäär, mida te saate trahvi teha või siis jah, kui on tegu nagu sellise maailma mastaabis gigantse ettevõttega, siis siis need summad võivad isegi veel suuremad olla. Et kas meil nüüd sügisel seetõttu on oodata mingeid selliseid uudiseid?
Ei, kindlasti mitte, et andmekaitseinspektsiooni eesmärk ei ole kunagi olnud lihtsalt trahvida, vaid meie eesmärk on ikkagi juhtida tähelepanu puudustele ja tagada see, et asjad oleks korras, korralikult tehtud ja ja pigem nõustada just ja teha seda ennetustööd. Et ikkagi see kasvamine on väga palju seotud sellega, et menetlejate töökoormus lihtsalt oligi niivõrd suur ja teisalt annab see suurenemise meile võimaluse just rohkem ise oma tegevusi suunata just siis nende noh puudujääkide suunas.
Kas te justkui nagu ütlete välja üsna otsesõnu tegelikult, et sügisel ei ole oodata seda, et hakkaks nüüd suuri trahve tulema? Siis ma küsiks niimoodi, et aga miks? Sest vaadates teie nii -öelda kolleege näiteks Iirimaalt, seal tuleb vist iga päev tuleb teade, et on ta siis mingine Meta või Google või Apple, et oi, neile jälle keerati nüüd selline selline trahv kaela. Miks te olete nii nii sõbralikud siis?
Noh, noh, siin tulebki nüüd mõelda, et kui me toome näiteks selle Meta või Google või, või kõik need asutused, mis on seal Iirimaal registreeritud, et siis tegemist on ikkagi väga suurte ettevõtetega ja nüüd miljonitrahvid ongi mõeldud ikkagi selliste suurte ettevõtete ohjeldamiseks, et.
Aga meil Eestis on ka ju, me oleme ju selline idufirmade kasvulava siis, et meil on näiteks Veriff, siis meil on Wise ja Bolt ja nii edasi ja nii edasi, need on täiesti suvalised näited, keegi ei pea ennast puudutatuna tundma, aga kas te näiteks käite sellised Eesti idu, iduettevõtjad läbi ja vaatate neid lähemalt?
Meil kindlasti jah nad on sattunud kas ühel või teisel määral nii -öelda meie huviorbiiti, et aga järelikult siis ei ole võib -olla olnud neis ka selliseid rikkumisi, et noh kui ei ole põhjust ikkagi trahvi teha, siis siis me ju niisama trahvitegemise pärast trahvi tegema ei lähe. Ja, ja teisalt noh, ega alati see trahvi, maksimaalne trahvimäär ei ole motiveeriv, et alati tuleb vaadata ka neid teisi asjaolusid, et näiteks tõesti, milline on ettevõtte käive või midagi taolist, et noh, mis see tema jaoks võib väga sihuke motiveeriv summa olla, et, et mõne väiksema ettevõtte jaoks siin Eestis tegelikult ma arvan võib juba ka tuhat eurot olla eelarvest väga suur väljaminek.
Nii et nii -öelda inimlik lähenemine on teil ikkagi?
Mind väga huvitavad AKI järelevalved. Kas te saate lahti kirjeldada, mis asjad need on?
Järelevalve. No enamasti praktikas me alustame järelevalvet siis, kui meile esitatakse kaebus, et enamasti siis mõni inimene, et ta näeb, et midagi on kuskil valesti. Ja siis siis me alustamegi järelevalvet ja esimese asjana küsime siis selle ettevõtte jaoks, käes tähendab, et kuidas siis olukord on, laseme selgitada ja, ja vajadusel siis teeme ka ettepanekuid, et kuidas parandada.
Ja kuidas nende nii -öelda selgitamise käigus, kas kõik vastavad teile ilusti, kuidas olukord on või on sellist ka väga palju, et et ei saagi aru, et kes see üldse neile kirjutab ja mida ta üldse tahab minu käest?
Jah, kahjuks ma pean ütlema, et olen ka ise puutunud tõesti ka ikkagi kahekümne kolmandal aastal kokku jätkuvalt ikkagi inimestega, kes ei tea, mis on andmekaitseinspektsioon ja tõesti öeldakse, et noh, et ma arvasin, et see on mingi selline vale kiri, et, et noh, et ma ei tea, mis on andmekaitseinspektsioon ja kus asutusest see kiri üldse tulnud on. Aga
kuidas siis nagu töö edasi läheb? Kas te peategi hakkama, sest tegelikult asutustes või ettevõtetes, noh, seal on vist küll teatud suurused nii -öelda tulevad mängu, et, et sellises, üks mees ja koer nagu sellises ettevõttes vist ei pea seda andmekaitse spetsialisti olema või peab? Kas ma eksin?
Oleneb muidugi, mis andmeid ta töötleb, et kui ta ikkagi... Et
tegevusvaldkond on väga oluline, siis hoopis mitte see suurus nii -öelda?
Just täpselt ja tegevusvaldkond, üks asi, et näiteks kindlasti kui terviseandmeid töödelda, et või siis ka see, et mil määral neid töödeldakse, et tegelikult see, seda tuleb hinnata siis nii -öelda nagu isikuandmete kaitse üldmäärus ütleb, et sellest suure ohu aspektist nii -öelda. Et kui sa näiteks töötled viiskümmend tuhat ja enam, viiekümne tuhande ja enama inimese tavalisi isikuandmeid, siis näiteks sa peaksid ka andmekaitsespetsialisti, spetsialisti määrama. Kui sa töötled näiteks kümne tuhande inimese selliseid tundlikuid andmeid, näiteks krediitkaardi andmeid või midagi taolist, siis samuti juba peaksid mõtlema selle peale ja terviseandmete puhul on siis arv viis tuhat.
Kas andmekaitseinspektsioonil on kuskil nimekiri kõigist neist andmekaitse ekspertidest või spetsialistidest, kes siis Eesti ettevõtetes, asustustes on?
Meil endal sellist nimekirja ei ole, küll aga tegelikult isikuandmete kaitse üldmäärus näeb ette selle, et sa pead järelevalveasutust ja avalikkust siis teavitama andmekaitsespetsialistist. Ja praktikas tähendab see seda, et äriregistris on täiesti olemas selline võimalus, kuhu sa saad minna ja märkida ära enda andmekaitsespetsialisti, kontakti, kust saad temaga ühendust võtta ja meie oleme lugenud, et sellega on siis täidetud nii meie teavitamise nõue kui ka avalikkuse teavitamise nõue ja seetõttu ei ole meil endal otseselt sellist nimekirja.
Aga kuna nii nagu te kirjeldasite just, et see oleneb nii -öelda sellest tegevusvaldkonnast, kus see ettevõte või asutus tegeleb, siis selline lahter või selle lahteri täitmine ei ole kohustus otseselt?
Ei, kui andmekaitsespetsialisti määramise kohustust ei ole, siis ei pea sinna lihtsalt igaks juhuks panema mingit nime, et see isegi võib tegelikult segadusse ajada, et noh tegelikult ju kui sa sinna suvalise nime paned, siis ilmselt see töötaja päriselt ju andmekaitsespetsialisti ülesandeid ei täida.
Aga nii nagu te ütlesite just, et järelevalvet te teete siis, kui keegi tuleb, nagu ütleb, et vist siin on midagi mäda või, või ta ütlebki lausa faktiliselt nii -öelda näitab teile ette, mis seal mäda on, et alles siis te lähete uurima, aga kas te ka teete niimoodi, et te nüüd täiesti ise siis proaktiivselt, et võtame nüüd ühe valdkonna ette ja vaatame näiteks perearstikeskuseid?
Jaa, me teeme ka selliseid järelevalveid, et miks ma lihtsalt tõin välja selle kaebustepõhise järelevalve, et noh paratamatult see on jälle suurem osa meie tööst ja kaebuseid tuleb meile rohkem. Aga omaalgatuslikult me tõesti ka teeme järelevalveid ja just nagu me ennem rääkisime, siis see meie kollektiivi suurendamine tegelikult võimaldabki jälle samamoodi teha rohkem selliseid omaalgatuslikke järelevalveid nendes valdkondades, kus me näeme, et on probleeme.
Ehk siis see järelevalve, see käib ikkagi ühe ettevõtte või asutuse kohta või siis sellise nii -öelda sektoriüleselt. Et see, et me võtame nüüd lihtsalt käime kõik Eesti ettevõtted üle, et mingit sellist teemat nagu otseselt pole, et me tahaks näha, et kuidas kõigil mingise kindla teemaga seoses siis nagu olukord on?
Tegelikult me teeme ka selliseid järelevalveid või siis äkki võiks öelda, et seireid, et ja, ja neid on meil aastas päris mitu. Et üks selline väga, ma võiks öelda, tore algatus on Euroopa Andmekaitse Nõukogu poolt selline tehtud ühisjärelevalve, kus siis kõik Euroopa Andmekaitse Nõukogu liikmed siis ühiselt valivad mingi teema ja siis terve aasta vältel tegelevad selle teemaga. Koostatakse koos küsimused ja hiljem koondatakse tulemused kokku ja, ja analüüsitakse neid ja saadakse nagu selline üleeuroopaline nii -öelda ülevaade.
Ja see kõige viimane seire, see puudutas minu parima teadmise juures pilveteenuseid. Mis see ülevaade siis teil Eesti vaatest oli, jah?
Ja tõepoolest, et viimane selline Euroopa seire siis keskendus pilveteenustele. Ja noh suurimateks kitsaskohtadeks ikkagi jälle tuli välja, et asutused on ise vähe teadlikud sellest, et mis andmeid nad üldse seal pilves hoiavad. Polnud tehtud mõjuhinnangut, et millist mõju see üldse avaldada võib ja, ja kui, kui ohtlik see nii -öelda on. Ja muidugi ka polnud ära reguleeritud siis suhe selle asutuse ja, ja pilveteenuse nagu osutaja vahel, et mis on ka väga tähtis, et alati kui sa mingeid teenuseid kasutad, siis tegelikult sul peaks olema siis sõlmitud, volitatud ja vastutatud töötleja leping.
Mida see leping endast kujutab siis?
Noh, kui, kui väga niimoodi üldiselt ja kergelt öelda, siis see kujutab seda, et seal pannakse paika täpselt see suhe, mis osas keegi vastutab ja, ja milliseid toiminguid võib siis see nii -öelda volitatud töötleja teha, et tegelikult ta ei tohi kunagi minna kaugemale vastutava töötleja suunistest. Et kui ta juba hakkab seal mingit isetegevust tegema, siis tema muutub vastutavaks töötlejaks. Aga noh, kui selline leping puudub ja tekib vaidlus, siis, siis on ju väga keeruline hiljem tõendada, et kes nüüd mille eest täpsemalt vastutama pidi.
Kas see pilveteenuste seire tuli seetõttu, et GDPR -is minu teadmise juures on see klausel, et need andmed tohivad siis olla ainult nagu hoiustatud andmekeskuses, mis asub füüsiliselt Euroopa Liidu sees? Kas see pilveteenuste seire tuli sellest, et nagu kontrollida, kas tegelikult ka on või kuidas?
Noh, see tuli osaliselt sellest, aga, aga tegelikult me tahtsime saada sellist üldisemat ülevaadet, et ongi, et kuidas asutused ise sellest üldse aru saavad, mis, milline ülevaade neil on, kas nad teavad, mis neil on pilves, mis andmeid neil kus on. Et mida me praktikas väga tihti tegelikult näeme, on see, et mitte ainult avalikus sektoris ega mitte ainult selle pilveteenuste puhul, vaid üldiselt, et väga ei ole ülevaadet andmetöötlejatele, et tegelikult mis andmeid ja kuidas ja kus nad üldse töötlevad, et selle peale nagu väga ei mõelda.
Kuidas on see võimalik? Nagu, nagu reaalselt, meil on see IQM on viis aastat on, on olnud. Seda, et ta tuli, seda me teadsime nii -öelda pikalt ette. Kuidas on see ikka veel võimalik?
Jah, see on jälle võib -olla kas siis kivi meie kapsaaeda või, või selline üldine küsimus, et kuidas ei ole veel see info siis jõudnud kõikideni, et ilmselt on vaja siin teha veel suuremat ennetustööd, rääkida sellest ja noh, seda me muidugi oleme ka juba jõudsamalt tegemas.
Siis ma vaatasin enne seda, kui me vestlust alustasime, Andmekaitse Inspektsiooni veebilehte, seal on välja toodud ka teie hoiatused, aga see hoiatuste lahter oli nagu väga tühi ja vähemalt veebis on avaldatud info, et viimane hoiatus pärineb eelmise aasta jaanuarist. Kas see on nii -öelda teie veebilehe haldaja siis viga, et seal ei ole uuemaid asju või, või ongi niimoodi, et AKI polegi vahepeal ühtegi hoiatust veel teinud?
Tegelt me oleme teinud hoiatusi küll vahepeal, et see on tõesti hetkel ilmselt tingitud sellest, et me oleme natukene oma veebi uuendamas ja teisalt varsti ka uuele veebile üle minemas, et ilmselt see uudisnupukene on sinna lihtsalt tekkinud, aga pole veel sisu juurde saanud.
Kui palju on AKI kasutanud seda sunniraha määramise võimalust, et olgu ta siis see GDPR või või nojah, GDPR ongi teie selline põhitööriist ju, et kui keegi on selle vastu eksinud?
Noh, siin tuleb eristada muidugi nüüd kahte olukorda, et üks olukord on see, et me teeme nii -öelda sunniraha hoiatuse, aga teine olukord on see, et kas me ka selle reaalselt saame sisse nõuda, et kas see jõustub. Et noh, tegelikult sunniraha nii -öelda hoiatus on olnud üks meie, kuidas öelda, selline mõjutamismeede seni küll, et kui me võtame järelevalvemenetluse, siis enamasti me esialgu teeme ettepaneku, kui peale ettepanekut asjad korda ei saa, siis meil on võimalik teha ettekirjutus, mis ongi juba sunniraha hoiatusega. Ja kui tõesti nüüd seda ettekirjutust ka ei täideta, et siis on võimalik nii -öelda see sunniraha määrata, aga seal tekibki ka see aspekt, et noh, kas seda on võimalik nii -öelda, et kas see jõustub. Et ma ausalt öeldes, et ma kohe niimoodi seda arvu ei oska öelda, et näiteks, et kui palju me seda sunniraha oleme määranud alates SIK -i jõustumisest, aga jõustunud trahviotsused ja sunniraha on me oleme me vist kahekümne teisel aastal näiteks kaheteistkümnel korral ainult siis. Mis
need, mis need summa suurusjärgud on? On nad pigem väiksemad või, või siis suuremad?
See sunniraha jälle, selle, selle suurus sõltub sellest, kellele me seda määrame, et tegelikult see ju võib mingil juhul olla ettevõte, aga mingil juhul võib see olla ka täiesti füüsiline isik, et siis me, Siis me peamegi arvestama sellega, et mis summa tema jaoks motiveeriv võib olla, et tegelikult noh, andmekaitseinspektsiooni puhul ei ole need summad väga suured. Ja noh, füüsiliste isikute puhul on need enamasti tõesti sellised, jäävad sinna võib -olla paarisaja euro kanti ja tegelikult ka ettevõtete puhul, et samamoodi noh, tuleb nagu arvestada siis selle ettevõtte suuruse ja, ja mis ta käib on, et, et väiksema ettevõtte jaoks samamoodi noh, tuhat eurot võib juba väga motiveeriv olla.
Kas teil aastate jooksul on kujunenud välja praktika, et on ühed samad nimed siis nii -öelda ettevõtted, et kes siis taas kord eksivad või ikkagi vigadest õpitakse?
Ma, ma pigem ütleksin, et vigadest õpitakse, et, et kui on suurem ettevõte, siis on muidugi arusaadav, et ta võib erinevate nii -öelda teemadega meie huviorbiiti sattuda. Et siis justkui võib tunduda, et temaga oleks palju probleeme, aga lihtsalt kui on suur ettevõte, siis tal on palju kliente ja ja see tõenäosus ongi suurem, et vahepeal mingi apsakas juhtub. Et aga üldiselt ma ei tahaks küll ega oska välja tuua ühtegi ettevõtet, kes üldse siis nii -öelda koostööd ei teeks.
Kas te oskate välja tuua, mis on seni olnud see suurim sunniraha, mis te olete välja kirjutanud siis nii -öelda? Mis see suurusjärk on? Me nüüd sendi täpsusega ei pea nagu panema, aga...
Ma, ma võin eksida, aga mu mälu hetkel ütleb, et minu teada oli see vist äkki kuskil sinna kümne tuhande piiri kanti, aga on isegi nagu natuke alla, et kindlasti mitte üle. Aga...
Ja see näis teile siis, et see on motiveeriv. Kas, kas teile see kaasus meenub nagu selles mõttes, ma saan aru, et AKI on see asutus, kes ei taha mitte kunagi nimedes rääkida, et milline on see siis avaliku sektori või erasektori siis see ettevõte või asutus, kellega nad parasjagu nii -öelda maadlevad, aga, aga see, ütleme, et see suurusjärk oli kümme tuhat, kas, kas nende puhul nagu see, mis nad pärast kõik on teinud, on briljantselt puhas olnud?
Mulle ausalt öeldes endale konkreetselt see kaasus ei meenu, aga aga ma julgen arvata, et on motiveeriv, sellepärast et üks asi, mis veel tegelikult minu meelest peale trahvide ettevõtteid motiveerib, on see, et kui me teeme ettekirjutuse sunniraha hoiatusega, siis need ettekirjutused on kõik avalikud ja need lähevad ka andmekaitseinspektsiooni lehele. Ja, ja noh, ütleme niimoodi, et kui sa oled ikkagi selline endast lugupidav suurem ettevõte, siis sa väga ei taha avalikult sinna sattuda, sest nagu ma selle intervjuu alguses mainisin, et inimesed on muutunud järjest teadlikumaks ja inimestele läheb korda, mis nende andmetega tehakse, et see, see ei ole väga hea reklaam ettevõttele seal olla.
Ma tahaks nüüd natukene põimida kokku mitu teemat, millest me oleme juba täna rääkinud. Üks puudutab neid pilveteenuseid. Kuidas on üldse niimoodi, sest see GDPR -i üks väga suur osi ongi see, et andmed peavad olema Euroopa Liidu sees, ei tohi siit välja liikuda. Aga kuidas Andmekaitse Inspektsioon võiks seda üldse teada saada, et need andmed on kuskil mujal liikunud? Kas see ongi taas kord jälle see hetk, kus te lihtsalt ootate, et keegi näiteks selle ettevõtte töötaja tuleks, ütleks teile, kuulge, vot see firma nüüd, firma Eesti ükssarvik OÜ, viis andmed USAsse näiteks.
Noh, siin on, siin on tõesti mitu varianti, et on juhtumeid, kus me ka ise eraeluliselt näeme, et miskit on korrast ära ja, ja tekib mingi kahtlus, et, et ettevõttes võib -olla ei ole kõik nii nagu peaks olema, aga.
No aga kui ma olen tavaline inimene, ma kasutan, ma siis ei too neid nii -öelda päriselu näiteid, aga, aga mõnda taksotellimis - või, või tõukerattarendi äppi või, või rahaülekandmise äppi, mis iganes nad on, mina nii -öelda kasutajana ma ei näe sinna süsteemi sisse, kus tegelikult neid minu andmeid hoiustatakse.
Noh, jah, seda küll, et sellise süvitsi ülevaate võib nii -öelda saada siis juba tõesti järelevalve käigus ja, ja noh, mingeid selliseid seireid ja järelevalveid me ka teeme, et näiteks. On meil siis käimas hetkel ka Balti riikidega selline ühisjärelevalve kergliiklus kergliiklus siis vahendite üle, kes osutavad siis sellist renditeenust, et selliste nagu ettevõtete üle meil on hetkel käimas ka järelevalve või noh mitte järelevalve, vaid selline seire. Et ja juba sellistest seiretest tegelikult tuleb ka välja see, et kui läbimõeldud on ikkagi selle ettevõtte jaoks see andmetöötlus, et kui küsimustele vastused on ikkagi sellised segased, nad ise ka täpselt aru ei saa, mis eesmärgil, millisel õiguslikul alusel ja mis andmeid nad koguvad, et tegelikult siis see tekitab meil ka järjest rohkem küsimusi.
See seire, mida te mainisite, millal see nii -öelda alguse sai?
See sai alguse eelmise aasta suvel ja hetkel see siis veel käib.
Kas te jooksvalt olete valmis teemat kommenteerima, mis seisus see on, kas te olete leidnud mingit puudujääke?
Pean ausalt ütlema, et puudujääke on seal kindlasti, et just võib -olla selles osas, et kuidas täpselt, mis õiguslikul alusel midagi, midagi teha, aga, aga jah, seda ma täpsemalt ei oska öelda, et mis järeldused sellest seirest tehakse, et seal kindlasti tuleb ka selline ühine kokkuvõte siis.
Aastaid tagasi oli üks juhus, kus oli üks Eesti ettevõte, mis pidas ühte e -poodi ja noh, ühtlasi ka nii -öelda füüsilist poodi. Ja nemad hoiustasid oma andmeid Lätis asunud serveris. Aga selle looga läks niimoodi, et toona siis Andmekaitse Inspektsioonikul ma küsisin artikli tarbeks kommentaari, siis öeldi küll, et oi -oi, paha juhus, Aga kuna need andmed on ikkagi, on Lätis, siis vot meie Läti kolleegid peaksid nüüd tegelema. Läti kolleegid ei hakanud tegelema ja ma küsisin juhtumisi aasta või kaks hiljem, et noh, kuulge, mis siis sellest sai, sest ma tean, et sellised menetlused võtavad aega. Ja neile tuli see täiesti uudisena, nemad ei ole mitte midagi kuulnud. Kas see näide, mis te just tõite, et eelmise aasta suvel te alustasite Balti kolleegidega siis nagu ühist seiret, kas see ongi märk sellest, et nüüd aastatega on ka teie omavaheline koostöö, riikidevaheline koostöö siis paremaks läinud?
Jaa, absoluutselt, et et noh see liikiumi tulekuga ja Euroopa Andmekaitse Nõukogu tänu sellele on noh üldine koostöö on väga palju paranenud. Ja ja tegelikult me üritamegi ka omavahel Balti riikidega seda koostööd suurendada ja ja noh ka teha veel tulevikus taolisi ühiseid seireid, et hetkel küll veel ei ole mingit kindlat teemat välja valitud, aga aga see meie eesmärk on. Et ja noh see jah see näide, mis sa töid, et et mõnikord juhtub, et ei saa sellist vastust kiiresti, et siis see on paratamatult selline rahvusvahelise suhtluse osa. Et tegelikult ka meil menetlused võtavadki väga palju aega sellepärast, et tihti sa pead kuskilt, noh, täiesti toon suvalise näite, ongi kuskilt Saksamaalt, Iirimaalt, kust iganes sa pead väga kaua ootama seda vastust.
Aga kuidas selline riikidevaheline koostöö välja näeb? Kas teil on mingi kindel ma kasutan lihtsat sõna nagu suhtlusplatvorm või teil on ikkagi me hakkame nüüd läheme guugeldama, et kes Saksamaal võiks olla see õige inimene nende andmekaitse inspektsioonis, kellele ma kirjutama peaks ja te saadete lihtsalt ühe e -kirja siis?
Tegelikult on meil täiesti selline üleeuroopaline menetlussüsteem, kus siis menetletakse piiriüleseid juhtumeid, et ütleme näiteks kui mõni Eesti kodanik teebki siis Facebooki peale kaebuse ja meie tahame selle edastada Iirimaale, siis me edastame selle läbi siis just selle süsteemi. Ja tegelikult on seal noh üsnagi rangelt ette nähtud ka teatud protseduurireeglid ja tähtajad, et kuna neid riike on nii palju ja kaebusiid on nii palju, et siis kui selliseid reegleid ei oleks, siis ilmselt see süsteem kukuks kokku ja menetlemine muutuks veel keerulisemaks. Et aga teisalt jah, võib -olla tihti need tähtajad ja reeglid ka suruvad meid sellistesse raamidesse, et meil ei ole võib -olla väga palju võimalik mõjutada seda, et kui kiiresti me menetletud saame, sest kui ikkagi juhtiv järelevalveasutus näiteks Facebooki puhul on Iirimaa, siis me peame selle kaebuse sinna edastama ja me peame laskma siis neil selle kaebusega tegeleda. Aga
mille põhjal see siis on, et et see Facebooki näide oli Iirimaa, see Eesti ettevõtte näide oli see, et ettevõte oli loodud Eestisse, nende andmed asusid füüsiliselt Lätis. Kuidas nagu selliste asjade puhul nagu kes ja kuidas, mille alusel otsustab, et milline riik seda menetlema hakkab?
Noh, üldiselt see käib väga palju selle järgi, et kus on selle ettevõtte juhatus ja kus on see ettevõte registreeritud. Et on ka selliseid keerulisemaid juhtumeid, kus ettevõte justkui on registreeritud ühes riigis, aga märgid viitavad sellele, et tegelikult juhatus toimib kuskil mujal. Et siis ka tihti riigid peavad leidma sellise ühise lahenduse ja nii -öelda heas mõttes vaidlema, et kes siis nüüd see järelevalve asutus on, kes siis peaks seda menetlust juhtima, et aga üldiselt noh rusikareegel võiks olla, et, et seal, kus siis asub juhatus ja kus on see ettevõte registreeritud.
Kui kaua te saate üldse tagasi minna, näiteks see taaskord seesama e -poe kaasus, et oli ta nüüd, ütleme, et oli aasta hiljem, tuli välja, et teie Läti kolleegid ei teinud sellega midagi ja Eesti omad ka ei teinud, kuna te arvasite või eeldasite, et Läti kolleegid juba tegelevad. Kas te saate nagu aasta hiljem minna tagasi ja öelda, et kuulge, et vot teil oli siin nüüd andmeleke, et neljateist tuhande eestlase andmed olid avalikult kättesaadavad, et nüüd me hakkame menetlema või selleks hetkeks on selline mõistlik aeg möödunud juba?
Me noh, tegelikult meil on ikkagi võimalik sellisel juhul neile nii -öelda meelde tuletada või, või algatada see protseduur tegelikult ka täiesti uuesti, et mingites olukordades me olemegi seda teinud, et algatanud siis selle kogu protseduuri nii -öelda uuesti. Et iseenesest see võimalus meil on. Et aga need ongi väga keerulised juhtumid näiteks, kus siis teine riik väga ei taha midagi teha või ta ei vasta meile. Et see natukene nagu jah seob ka meie käed kinni, et me ei saa ju otseselt kuidagi sundida neid või midagi taolist. Et kui näiteks nemad leiavad, et rikkumist ei olegi.
Mõni aeg tagasi, umbes täpselt aasta aega tagasi kirjutasin ühe artikli, kus vaatasin Eesti erakondade veebilehti ja, ja märkasin sealt siis, et need veebilehed ei vasta ICUMile, sest et ICUM GDPR ütleb meile seda, et veebiküpsiste kasutamises peab olema selline teavitus ja siis inimesel või sellel veebilehekülastel peab olema võimalus ka nendes, nendeks siis loobumiseks. Erakondade veebilehtedel neid ei olnud, küll selle peale, kui meedia alati ärkab, siis ju kohe nagu tehakse asjad ruttu kiirelt korda. Parasjagu, muide, meil on üks uus erakond loomisel, kes samuti eile vaadates veebiküpsiste seda teavitust ei olnud, aga see selleks. Kui tihti te käite nagu üle nagu sellist asja, et teil aasta aega tagasi oli või nüüd korra nagu, sest näiteks see, see on ju mõnes mõttes selline lihtne näide vähemalt minu vaatevinklist, et keegi teie jurist võtab korra need veebilehed lahti, meil Eestis ei ole nii palju erakondi, et vaadata, kas sealt tuleb see küpsiste nii -öelda pop -up või ei tule.
Jaa, me tegeleme tegelikult ka nii -öelda selliste seiretega või, või noh, et me vaatame omaalgatuslikult mingeid, mingeid veebilehti üle ja, ja tihti ka selle põhjal näiteks, kui me näeme, et probleem on suurem, siis me saadame välja ka ringkirju. Et et noh näiteks oleme saatnud koolidele ringkiri välja, mis on siis tavaliselt kuskil üle viiesaja adressaadi, et et see on just see ennetus ennetustöö osa, et noh paratamatult kui me ei jõua näiteks ju viitsadat kooli eraldi menetleda. Aga kui me näeme, et kuskil on mingi selline suurem probleem, siis me jah, üritame sellist teavitustööd teha, saada ringkirju välja, teha uudisnupukesi.
Kas see on tulemuslik olnud? Kas nende koolide põhjal, sest noh, erakondade puhul on hea lihtne tõesti ühe käe või kahe käe peal loe kokku, kui palju neid on ja lihtne nagu vaadata, aga, aga kui koole on viissada, seda nagu hiljem nagu uuesti nüüd hakata vaatama, mis seis kõigil nendel on, väga keeruline.
Jaa, seda küll, et kindlasti me ei jõua võib -olla hiljem neid kõiki kontrollida, aga samas see tagasiside, mis me enamasti saame, et meile kirjutatakse, küsitakse lisaküsimusi, soovitakse rohkem teada, et see näitab seda, et tegelikult inimesed mõtlevad kaasa, nad reaalselt teevad selle kirja lahti ja nad tahavad asju paremaks teha.
Hiljutises AKI aastaraamatus oli üks huvitav kaasus või seik oli toodud välja aastast kaks tuhat kakskümmend üks, kus siis üks ettevõte vaidlustas AKI ettekirjutuse kohtus ja ta tahtis siis seda, seda esialgset õiguskaitset, mida talle küll ei antud esialgu. Aga kuna kogu see protsess nagu venis, venis nii pikale, siis ta kasutas seda võimalust selles mõttes ära, et ta kasutas AKI abi ja siis lahendas kogu selle menetluse käigus selle probleemi ära, ehk siis see sunniraha, mis AKI nagu välja kirjutas, seega ei olnud enam aktuaalne, AKI ei saanud seda sunniraha nagu sisse nõuda, kuna AKI juristid andsid nii head nõu sellele ettevõttele, et kõik on nagu tipp -topp korras. Ja siis lõppkokkuvõttes see kaasus lõppes niimoodi, et nad see ettevõte lasi kõik kohtukulud AKI -l kanda. Kas see on üks ja ainus selline juhus või on see nagu selliseid asju on varem ka juhtunud? Et kus kasutatakse teie head nõu ja abi ära ja siis lõpuks on veel. Aga meil oli kohtuvaidlus ka, et makske arve ka nüüd.
Ma ma ei ütleks, et see nüüd väga -väga levinud on, et tegelikult noh väga paljud kaaslased üldse meil kohtusse ei jõua, et see arv on küll vist ajas natukene suurenenud, aga aga jah, kõik kaaslased iseenesest kohtusse ei jõua ka. Et noh, see on tõesti selline natukene naljakas näide, aga iseenesest noh, seadusandja on sellise võimaluse ette näinud, et siis tuleb, tuleb seda austada, et aga, aga väga tihti seda minu teada ei juhtu.
Kas teil on mõni päevakajaline kaasus, mis on teie või teie kolleegide laual siis, mida te saate kuulajatele näiteks tuua?
Päevakajaline, et ehk täpsustaks ette küsimust.
Et selline noh, mis on näiteks meediast läbi käinud midagi või?
Noh, muidugi hiljuti jälle lahvatas siin veidikene selline võib -olla uudis või skandaal selle üle, et, et kuidas andmekaitseinspektsioon ikkagi siis neid poekaameraid lubab siis paigaldada. Et noh, võib -olla see on selline teema, mis tegelikult paratamatult igapäevaselt jõuab jätkuvalt meie lauale, et kui võib -olla meile mõnikord öeldakse, et me räägime sellest liiga palju, et viis aastat on olnud juba isikuandmete kaitse üldmäärus ja meie ikka räägime mingitest kaameratest, Siis tegelikult ikkagi kõik need uudised ja see ja see meie praktika näitab, et see on ikka jätkuvalt selline selline teema, millest tahetakse rääkida ja mis vajab ilmselt veel selgitamist.
Ja ma nagu ma saan aru, siis lisaks kaameratele on üha rohkem lisandunud ka mikrofonide teema, mis minu jaoks on nagu väga huvitav, kummaline, miks üldse peaks mõni ettevõte kuskile mingi mikrofoni paigaldama, et nüüd oleks vaja seda heli ka veel salvestada, mis ümberringi toimub. Et selles osas on ka mitu kaasust teil olnud.
Ja tõepoolest, et kui kaameratega me oleme justkui ära harjunud ja mingil määral on see võib -olla isegi nagu meie elu tavapärane osa, siis ettevõtted tahavad hakata ajapikku selliseid lisafunktsioone kasutama. Vähemalt selline mulje jääb mõneti meie praktikast, et tahetakse heli salvestada näiteks teenindusettevõtetes, aga ka mõndades täiesti töökohtades või, või noh, muudes sellistes kohtades, mis on nagu eriti riivav, sellepärast et. Tööl me veedame väga suure osa oma päevast ja kui sind kogu aeg seal kaameraga jälgitakse pluss salvestatakse sinu noh vestlusi, siis ma arvan, et tegelikult väga raske on suuremat riivet ette kujutada. Ja ja noh see on kindlasti keelatud, et meie oleme ikkagi asunud seisukohale, et helisalvestamine on keelatud ja ja noh teenindusasustustes ei tohi seda teha, kuigi jah, seda tahetakse teha. Et tegelikult ka näiteks mingid suuremad sellised tanklaketid või midagi taolist, et see käis ka meediast läbi, et et siis paluti siis helisalvestamine ära lõpetada.
Ma nüüd lõpetuseks küsiks niimoodi, mis on need teemad, millega te seoses nagu pigem isegi ootate inimeste või siis ettevõtete teavitust, et nad annaksid teile teada, et et nüüd siin on vot see või teine asi IQM -i vaates siis halvasti. Ja ja kui see teema on nagu paigas, siis kuidas kõige mõistlikum on AKIT neist informeerida?
Ma arvan, et tegelikult raske on välja tuua sellist teemat, et millest kindlasti peaks meile kaevama, et kõigi isikute andmed on ju samaväärselt võrdsed ja vajavad kaitset, et igal juhul, kui inimene tunneb, et tema isikuandmeid on kuidagi kuritarvitatud, siis ta peaks meile sellest teada andma. Ja kõige lihtsam viis on iseenesest seda teha siis läbi meie kodulehe, et sealt on siis võimalik kas minna e -keskkonda või siis saata selline tõesti blanketil digiallkirjastatud kaebus meile. Et ja ma võib -olla siia lõppu lisaksin ka selle, et me oleme rääkinud terve selle podcasti vältel hästi palju IKÜ -mist ja isikuandmete kaitse üldmäärusest, et siis tegelikult ju meie teeme järelevalvet ka avaliku teabe seaduse üle, Mis siis tagab selle, et riik oleks läbipaistev, et see, kuidas tema eelarvelisi vahendeid kasutatakse ja, ja noh, kõik muu taoline, et, et see oleks, see teave oleks inimestele kättesaadav, et siis tegelikult võib ka avaliku teabe seaduse nii -öelda rikkumistega seoses meie poole pöörduda.
Jaa, kuna olen igapäevane Andmekaitse Inspektsiooni dokumendiregistri vaataja, siis just nägin ka täna ühte sellist siis kaasust, kus oli üks lapsevanem informeeris siis või soovis nii -öelda AKI sisendit sellele, et miks ta ei saa politseist kätte tema enda lapse kohta käivaid siis informatsiooni. Et ma saan, ühesõnaga see on nagu väga hea näide just sellest, mida te tõite välja.
Just täpselt, et et avaliku teabe koha pealt me siis nii -öelda vaatame, et aktiivselt tehakse mingi teave kättesaadavaks ehk siis näiteks avaliku sektori veebilehtedel. Ja, ja siis teine ongi see passiivne avalikustamine, et see, kui inimene esitab teabenõude asutusele, tahab saada mingit informatsiooni, siis, siis tal on, et noh, siis tal on õigus seda saada just selles osas, mis ei ole siis piiratud. Muidugi selle kaasuse puhul, mis sa näiteks tõid, et siis alati peab eristama seda, et kui inimene küsib iseenda andmeid, siis on tegemist isikuandmete kaitse üldmääruses iseenda andmete küsimisega. Aga kui ta küsib nüüd sellist mingit riigiasutuse kohta käivat teavet või et kuidas te nüüd siin midagi tegite, et siis on juba tegemist teabenõudega. Et see on ka selline asi, mida ei tasuks segamini ajada.
Head kuulajad, nüüd te siis teate, mida teha potentsiaalsete ICUM -i või siis GDPR -i rikkumiste puhul ja kuidas neist AK -it informeerida. Kriitilises intsidendis oli külas Andmekaitse Inspektsiooni jurist Keili Kepi. Mina tänan kuulamast, olin saatejuht Ronald Liive ja kohtun teiega juba uuel nädalal.
Saate toovad teieni SMIT ja TEHIK. SMIT. Päästame elusid IT -ga. TEHIK -u aeg kulub sellele, et ülejäänud Eesti... Eesti saaks aega kokku hoida.
[ TRANSKRIPTSIOONI LÕPP ]