Millal võib isikuandmeid kasutada – õiguslikud alused?

Igasugune isikuandmete kasutamine eeldab õigusliku aluse olemasolu. Kui jätame kõrvale eriliigilised isikuandmed (nt terviseandmed), siis nende kasutamiseks on olemas kuus õiguslikku alust. Õiguslikest alustest tuleb valida alati üks sobivaim.

Need kuus alust on nõusolek, leping, juriidiline kohustus (seadus), eluliste huvide kaitsmine, avalikes huvides oleva ülesande täitmine ja õigustatud huvi. Kõige levinumad õiguslikud alused, mida saab eraettevõte klientide ja töötajate andmete kasutamisel aluseks võtta on nõusolek, leping, õigustatud huvi ja juriidiline kohustus ning seetõttu kirjutan neist neljast ka lähemalt.

Nõusolek

Üks võimalus on tugineda isiku ehk andmesubjekti enda nõusolekule. Tundub lihtne varinat, aga selleks, et nõusolek kehtiks, peab see vastama väga rangetele tingimustele. 

Nõusolek peab olema

• vabalt antud 
• väga spetsiifiline ehk küsitud konkreetse tegevuse jaoks
• informeeritud ehk isik peab nõusolekut andes saama teavet tema andmete kasutamise kohta
• ühemõtteline tahteavaldus, mitte vaikiv (eeltäidetud) nõustumine
• lihtsasti tagasivõetav 

Näiteks ei saa küsida nõusolekut selliste andmete kasutamiseks, mida on ilmtingimata vaja teenuse osutamiseks. Kui nõusolek on teenuse kasutamise tingimuseks, siis ei saa see olla vabatahtlikult antud ja sellises olukorrast tuleks tugineda teisele alusele (nt leping). 

Nõusolekut küsides, peab nõusolekut andev isik teadma, kes on tema andmete vastutav töötleja, iga töötlemistoimingu eesmärki, mille jaoks nõusolekut küsitakse, milliseid andmeid kogutakse ja kasutatakse. Samuti tuleb teavitada võimalusest oma nõusolek igal ajal tagasi võtta. Eraldi teavet tuleb anda juhul, kui andmeid kasutatakse automatiseeritud otsuste tegemiseks ja andmete edastamisel kolmandatesse riikidesse. 

Nõusolekut peab saama tagasi võtta ja selle tagasivõtmine peab olema sama lihtne, kui selle andmine. 

Nõusolek on ühemõtteline tahteavaldus ja see tähendab, et eelnevalt linnutatud kastikesi ei loeta kehtivaks nõusolekuks. Kui sinu e-poes on ostu sooritamise juures uudiskirjaga liitumine vaikimisi valitud, siis see tähenda, et sul ei ole tegelikult kehtivat alust listis olevatele inimestele uudiskirja saata. 

Nõusolekut ei saa arusaadavatel põhjustel küsida ka olles jõupositsioonil. Seega ei saa tööandja enamasti oma töötajate andmete kasutamisel tugineda nende nõusolekule. 

Leping

Kui isikuandmete kasutamine on vajalik teenuse pakkumiseks, siis tuleks tugineda andmesubjektiga sõlmitud lepingule. See eeldab, et 

• lepingus (sh müügitingimustes) on selgelt kirjas, milliseid andmeid ja mis eesmärgil kasutatakse,
• kasutatakse minimaalses mahus andmeid, mis on päriselt vajalikud lepingu täitmiseks,
• leping on sõlmitud andmesubjekti endaga.

Oluline on tähele panna, et leping peab olema sõlmitud andmesubjekti endaga. Kui Google ja Meta sõlmivad lepingu sinu andmete omavaheliseks jagamiseks, siis see ei anna neile õiguslikku alust sinu andmeid kasutada. Nii ei anna sinu organisatsiooni ja mõne sponsori või teise ettevõttega sõlmitud leping alust klientide, liikmete, vabatahtlike või töötajate andmeid kasutada. Küll aga annab näiteks töötajaga sõlmitud tööleping aluse tema andmeid lepingu täitmiseks kasutada.