1 of 21

ISIKUANDMETE KAITSE ÜLDMÄÄRUS

25.03.2025

2 of 21

IKÜM eesmärgid

Isikuandmete vaba liikumine
Füüsiliste isikute kaitse isikuandmete töötlemisel (privaatsus-eraelu kaitse – isikuandmete kaitse)

Isikuandmete kaitse õiguslike nõuete konkretiseermine ja tugevdamine
Nõuete ühtlustamine ja ühetaoline rakendamine

3 of 21

4 of 21

5 of 21

IKÜM kohaldamisala

Töötleja EL-is

Töötlemine EL-is

Töötlemine väljaspool EL-i

- kaubad ja/või teenused EL-is

- andmesubjektid EL-is (tegevuse jälgimine)

6 of 21

Isikud

Vastutav töötleja – isik, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid
Volitatud töötleja – isik, kes töötleb isikuandmeid vastutava töötleja nimel

Isikud, kes töötavad vastutava või volitatud töötleja alluvuses

Andmesubjekt – isik, kelle andmeid töödeldakse
Vastuvõtja – isik, kellele isikuandmed avaldatakse
Kolmas isik – kõik muud isikud

7 of 21

SEADUSLIKKUS, ÕIGLUS, LÄBIPAISTVUS

EESMÄRGI PIIRANG

KOGUMISE VÄHESUS

AJAKOHASUS JA ÕIGSUS

SÄILITAMISE PIIRANG

TURVALISUS

a)

töötlemine on seaduslik, õiglane ja andmesubjektile läbipaistev („seaduslikkus, õiglus ja läbipaistvus“);

b)

isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus; isikuandmete edasist töötlemist avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil ei loeta artikli 89 lõike 1 kohaselt algsete eesmärkidega vastuolus olevaks („eesmärgi piirang“);

c)

isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt („võimalikult väheste andmete kogumine“);

d)

isikuandmed on õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata („õigsus“);

e)

isikuandmeid säilitatakse kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse; isikuandmeid võib kauem säilitada juhul, kui isikuandmeid töödeldakse üksnes avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil vastavalt artikli 89 lõikele 1, eeldusel et andmesubjektide õiguste ja vabaduste kaitseks rakendatakse käesoleva määrusega ettenähtud asjakohaseid tehnilisi ja korralduslikke meetmeid („säilitamise piirang“);

f)

isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“);

2. Lõike 1 täitmise eest vastutab ja on võimeline selle täitmist tõendama vastutav töötleja („vastutus“).

8 of 21

Töötlemise õiguslik alus

NÕUSOLEK

LEPING

KOHUSTUS

ELULINE

HUVI

AVALIK ÜLESANNE

ÕIGUSTATUD

HUVI

§

9 of 21

Töötlemise õiguslik alus: eriliigilised andmed

NÕUSOLEK

LEPING

KOHUSTUS

ELULINE

HUVI

AVALIK ÜLESANNE

§

Isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta.

10 of 21

Andmetöötlus: õigussuhte määratlemine

Töötleja

Arendaja

Kasutaja

Teadur

Fakti-kontroll

Sõbrad

11 of 21

Andmesubjekti õigused

Artiklid 13 (vahetult saadav teave) ja 14 (vahendatult saadav teave):

vastutava töötleja (esindaja) nimi ja kontaktandmed;
andmekaitseametniku kontaktandmed;
isikuandmete töötlemise eesmärk ja õiguslik alus;
kui isikuandmete töötlemine põhineb artikli 6 lõike 1 punktil f, siis teave vastutava töötleja või kolmanda isiku õigustatud huvide kohta;
asjakohasel juhul teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta,
asjakohasel juhul teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva komisjoni otsuse olemasolu või puudumise kohta või artiklis 46 või 47 või artikli 49 lõike 1 teises lõigus osutatud edastamise korral viide asjakohastele või sobivatele kaitsemeetmetele ja nende koopia saamise viisile või kohale, kus need on tehtud kättesaadavaks.

12 of 21

Andmesubjekti õigused

isikuandmete säilitamise ajavahemik või selle määramise kriteeriumid;
teave õiguste kohta (vt järgmine slaid);
teave õiguse kohta nõusolek igal ajal tagasi võtta;
teave õiguse kohta esitada kaebus järelevalveasutusele;
teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev kohustus või lepingu sõlmimiseks vajalik nõue, samuti selle kohta, kas andmesubjekt on kohustatud kõnealuseid isikuandmeid esitama, ning selliste andmete esitamata jätmise võimalike tagajärgede kohta, ning
teave automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks;
teave isikuandmete päritoluallika ning asjakohasel juhul selle kohta, kas need pärinevad avalikult kättesaadavatest allikatest.

13 of 21

Andmesubjekti õigused

Art. 16 – isikuandmete pirandamine või täiendamine
Art. 17 – isikuandmete kustutamine
Art. 18 – töötlemise piiramine
Art. 20 – andmete ülekandmise õigus
Art. 21 – vastuväited (+ otseturunduse opt-out)
Art. 22 – Automatiseeritud otsused ja profiilianalüüs

14 of 21

Vastutava töötleja kohustused: register

vastutava töötleja, kaasvastutava töötleja, esindaja ja andmekaitseametniku kontaktandmed;
töötlemise eesmärgid;
andmesubjektide kategooriate ja isikuandmete liikide kirjeldus;
vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud või avalikustatakse;
kui isikuandmeid edastatakse kolmandale riigile või rahvusvahelisele organisatsioonile, siis sobivate kaitsemeetmete kohta koostatud dokumendid;
eri andmeliikide kustutamiseks ette nähtud tähtajad;**
tehniliste ja korralduslike turvameetmete üldine kirjeldus.**

15 of 21

Vastutava töötleja kohustused: andmeturve

Võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse taseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas:

isikuandmete pseudonümiseerimine ja krüpteerimine;
võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus;
võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral;
tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord isikuandmete töötlemise turvalisuse tagamiseks.

16 of 21

Vastutava töötleja kohustused: mõjuhinnang

füüsiliste isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut;
artikli 9 lõikes 1 osutatud andmete eriliikide või artiklis 10 osutatud süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmete ulatuslik töötlemine, või
avalike alade ulatuslik süstemaatiline jälgimine.

17 of 21

Vastutava töötleja kohustused: mõjuhinnang

Suur oht

a. identiteedivarguse või -pettuse oht (eriti digitaalse usaldusteenuse ning sellega võrreldava identiteedihaldusteenuse puhul)
b. oht varale (eriti panga- ja krediitkaarditeenuse kaudu)
c. oht sõnumisaladuse rikkumisele (eriti sideteenuse puhul)
d. inimese asukoha reaalajas jälitamine (eriti sideteenuse puhul)
e. inimese majandusliku seisu avalikuks saamine (eriti maksuandmete, pangaandmete ning krediidireitingu andmete kaudu – kuid ei hõlma avalike andmete kasutamist)
f. oht õiguslike tagajärgedega või samalaadse mõjuga diskrimineerimiseks (sealhulgas töövahendusteenuses ning palga- ja karjäärivõimalusi mõjutavas hindamisteenuses)
g. laste isikuandmete töötlemine (lastele suunatud teenustes)
h. seadusest tuleneva saladuse hoidmise kohustusega kaitstud teabe avalikuks saamise oht (juurdepääsupiiranguga teave, ameti- ja kutsesaladusega kaitstud teave)

18 of 21

Vastutava töötleja kohustused: mõjuhinnang

kavandatud isikuandmete töötlemise toimingute ja töötlemise eesmärkide, sealhulgas asjakohasel juhul vastutava töötleja õigustatud huvi süstemaatiline kirjeldus;
isikuandmete töötlemise toimingute vajalikkuse ja proportsionaalsuse hindamine eesmärkide suhtes;
andmesubjektide õigusi ja vabadusi puudutavate ohtude hinnang, ning
ohtude käsitlemiseks kavandatud meetmed, sealhulgas tagatised, turvameetmed ja mehhanismid isikuandmete kaitse tagamiseks ja käesoleva määruse järgimise tõendamiseks.

19 of 21

a) andmesubjekt on andnud nõusoleku töödelda oma isikuandmeid ühel või mitmel konkreetsel eesmärgil;

b) isikuandmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

c) isikuandmete töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks;

d) isikuandmete töötlemine on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks;

e) isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;

f) isikuandmete töötlemine on vajalik vastutava töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps.

20 of 21

Vastutava töötleja kohustused: vt ka

Rikkumiste menetlemine
Andmekaitseametniku määramine

21 of 21

REF

SLIDE X, X: https://www.bankinghub.eu/finance-risk/gdpr-deep-dive-implement-right-forgotten

SLIDE X: https://www.emotiv.com/blogs/glossary/gdpr

SLIDE X: https://usercentrics.com/knowledge-hub/gdpr-compliance/

SLIDE X: https://matomo.org/blog/2023/08/7-gdpr-principles-compliance-guide/

SLIDE X: https://privacy.web.cern.ch/your-data-subject-rights