Isikuandmete kaitse seadus

Isikuandmete kaitse seadus (lühend IKS) on Eesti Vabariigi seadus, mis kaitseb füüsilise isiku põhiõigusi ja põhivabadusi isikuandmete töötlemisel kooskõlas avalike huvidega. 15. jaanuarist 2019 kehtib Eestis uus isikuandmete kaitse seadus, mis kohaldas Eesti õigusruumi Euroopa Liidu isikuandmete kaitse üldmääruse (EL 2016/679) ning sellega seoses muutis senist andmekaitseregulatsiooni oluliselt (näiteks kaotati seadusest senine delikaatsete isikuandmete kategooria). Varasem samanimeline seadus loeti kehtetuks (mitte ei tehtud selles muudatusi).

Isiku privaatsuse tagamiseks rakendatakse andmekaitsereegleid juhul, kui isikuandmeid pole veel õiguspärasel viisil avalikustatud.

Isikuandmete avaldamise õigupärasus hõlmab lisaks institutsionaalsele andmete avaldamisele ka isiku enda poolt vaba tahtega andmete avaldamise, välja arvatud juhtumid, kui isiku teovõimet on piiratud, kuna piiratud teovõimega isik ei suuda aru saada isikuandmete tähendusest ja tema isikuandmete avaldamise õigus on delegeeritud piiratud teovõimega isiku eestkostjale.

Avalikustatud andmete taasavaldamine tähendab andmetele viitamist või andmete tsiteerimist/kopeerimist. Õiguspäraselt avalikustatud andmete kasutamise õiguspärasus on autorikaitse huvisfäär.

§ 4. Isikuandmed

1. Isikuandmed on mis tahes andmed tuvastatud või tuvastatava füüsilise isiku kohta, sõltumata sellest, millisel kujul või millises vormis need andmed on.
2. Delikaatsed isikuandmed on:
   1. poliitilisi vaateid, usulisi ja maailmavaatelisi veendumusi kirjeldavad andmed, välja arvatud andmed seadusega ettenähtud korras registreeritud eraõiguslike juriidiliste isikute liikmeks olemise kohta;
   2. etnilist päritolu ja rassilist kuuluvust kirjeldavad andmed;
   3. andmed terviseseisundi või puude kohta;
   4. andmed pärilikkuse informatsiooni kohta;
   5. biomeetrilised andmed (eelkõige sõrmejälje-, peopesajälje- ja silmaiirisekujutis ning geeniandmed);
   6. andmed seksuaalelu kohta;
   7. andmed ametiühingu liikmelisuse kohta;
   8. andmed süüteo toimepanemise või selle ohvriks langemise kohta enne avalikku kohtuistungit või õigusrikkumise asjas otsuse langetamist või asja menetluse lõpetamist.

§ 5. Isikuandmete töötlemine

Isikuandmete töötlemine on iga isikuandmetega tehtav toiming, sealhulgas isikuandmete kogumine, salvestamine, korrastamine, säilitamine, muutmine, juurdepääsu võimaldamine, päringute teostamine, väljavõtete tegemine, kasutamine, edastamine, ristkasutamine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut, sõltumata toimingute teostamise viisist või kasutatavatest vahenditest.

§ 6. Isikuandmete töötlemise põhimõtted

Isikuandmete vastutav ja volitatud töötleja on kohustatud isikuandmete töötlemisel järgima järgmisi põhimõtteid:

1. seaduslikkuse põhimõte – isikuandmeid võib koguda ausal ja seaduslikul teel;
2. eesmärgikohasuse põhimõte – isikuandmeid võib koguda üksnes määratletud ja õiguspäraste eesmärkide saavutamiseks ning isikuandmeid ei või töödelda viisil, mis ei ole andmetöötluse eesmärkide saavutamisega kooskõlas;
3. minimaalsuse põhimõte – isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks;
4. kasutuse piiramise põhimõte – isikuandmeid võib muudel eesmärkidel kasutada üksnes andmesubjekti nõusolekul või selleks pädeva organi loal;
5. andmete kvaliteedi põhimõte – isikuandmed peavad olema ajakohased, täielikud ning vajalikud antud andmetöötluse eesmärgi saavutamiseks;
6. turvalisuse põhimõte – isikuandmete kaitseks tuleb rakendada turvameetmeid nende tahtmatu või volitamata muutmise, avalikuks tuleku või hävimise eest;
7. individuaalse osaluse põhimõte – andmesubjekti tuleb teavitada tema kohta kogutavatest andmetest, talle tuleb võimaldada juurdepääs tema kohta käivatele andmetele ja tal on õigus nõuda ebatäpsete või eksitavate andmete parandamist.

§ 7. Vastutav töötleja

• Vastutav töötleja on füüsiline (konkreetne inimene) või juriidiline isik (ettevõte või asutus) või riigi- või kohaliku omavalitsuse asutus, kes töötleb või kelle ülesandel töödeldakse isikuandmeid. Vastutava töötleja võib kindlaks määrata seaduse või määrusega.
• Kui seadusest või määrusest ei tulene teisiti, peab vastutav töötleja määratlema:
  • isikuandmete töötlemise eesmärgid;
  • töödeldavate isikuandmete koosseisu;
  • isikuandmete töötlemise korra ja viisi;
  • isikuandmete kolmandatele isikutele edastamise lubamise.

§ 8. Volitatud töötleja

Volitatud töötleja on füüsiline või juriidiline isik või riigi- või kohaliku omavalitsuse asutus, kes töötleb isikuandmeid vastutava töötleja ülesandel haldusakti või lepingu alusel. Haldusaktis või lepingus määratakse kindlaks isikuandmete töötlemise kord, viisid ja tingimused. Volitatud töötleja võib kindlaks määrata seaduse või määrusega.

§ 9. Andmesubjekt

Andmesubjekt on isik, kelle isikuandmeid töödeldakse.

§ 11. Isikuandmete töötlemise lubatavus

1. Isikuandmete töötlemine on lubatud üksnes andmesubjekti nõusolekul, kui seadus ei sätesta teisiti.
2. Haldusorgan võib isikuandmeid töödelda üksnes avaliku ülesande täitmise käigus seaduse või välislepinguga ettenähtud kohustuse täitmiseks.

§ 14. Isikuandmete töötlemine andmesubjekti nõusolekuta

• Isikuandmete töötlemine on lubatud andmesubjekti nõusolekuta, kui isikuandmeid töödeldakse:
  • andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks;
  • andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks;
  • seaduse või välislepinguga ettenähtud ülesande täitmiseks.
• Isikuandmete edastamine või nendele juurdepääsu võimaldamine kolmandale isikule on lubatud andmesubjekti nõusolekuta:
  • kui isik, kellele andmed edastatakse, töötleb isikuandmeid seadusega ettenähtud kohustuse täitmiseks;
  • andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks;
  • kui kolmas isik taotleb teavet, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites ja sellele teabele ei ole kehtestatud juurdepääsupiirangut.
• Delikaatsete ja eraeluliste isikuandmete töötlemine on ilma andmesubjekti nõusolekuta lubatud:
  • seaduse või välislepinguga ettenähtud ülesande täitmiseks;
  • andmesubjekti või muu isiku elu, tervise ja vabaduse kaitseks.
• Delikaatsete ja eraeluliste isikuandmete edastamine või nendele juurdepääsu võimaldamine kolmandale isikule on lubatud andmesubjekti nõusolekuta:
  • kui isik, kellele andmed edastatakse, töötleb delikaatseid või eraelulisi isikuandmeid seaduse või välislepinguga ettenähtud ülesande täitmiseks;
  • andmesubjekti või muu isiku elu, tervise ja vabaduse kaitseks.
• Haiglas viibiva andmesubjekti terviseseisundit kajastavate andmete edastamine või nendele juurdepääs on lubatud tema lähedastele, välja arvatud juhul, kui:
  • andmesubjekt on andmetele juurdepääsu või nende edastamise keelanud;
  • uurimist teostav organ on andmetele juurdepääsu või nende edastamise keelanud kuriteo tõkestamise, kurjategija tabamise või kriminaalmenetluses tõe väljaselgitamise huvides.

§ 21. Õigus nõuda isikuandmete töötlemise lõpetamist ning isikuandmete parandamist, sulgemist ja kustutamist

• Vastutav või volitatud töötleja on kohustatud andmesubjekti nõudmisel, kui töötlemine ei ole vastavuses käesoleva seaduse, muude seaduste ja nende alusel kehtestatud õigusaktidega:
  • lõpetama tema isikuandmete töötlemise;
  • parandama ebaõiged isikuandmed;
  • sulgema või kustutama kogutud isikuandmed.
• Vastutav või volitatud töötleja on ebaõigete isikuandmete parandamisest või isikuandmete sulgemisest või kustutamisest kohustatud viivitamata teavitama andmesubjekti ja kolmandaid isikuid, kellele isikuandmeid on edastatud.
• Käesoleva paragrahvi lõikes 2 nimetatud kohustus ei kehti:
  • kui andmesubjekt on lõikes 2 loetletud asjaoludest teadlik;
  • käesoleva seaduse § 20 lõikes 1 sätestatud juhtudel;
  • kui andmesubjekti teavitamine oleks ebaproportsionaalselt raske.

§ 32. Õigus pöörduda kohtu poole

Andmesubjektil on õigus pöörduda Andmekaitse Inspektsiooni ja kohtu poole, kui ta leiab, et isikuandmete töötlemisel rikutakse tema õigusi.

§ 33. Õigus nõuda kahju hüvitamist

Kui isikuandmete töötlemisel on rikutud andmesubjekti õigusi, on andmesubjektil õigus nõuda temale tekitatud kahju hüvitamist:

1. riigivastutuse seaduses (RT I 2001, 47, 260; 2002, 62, 377) sätestatud alustel ja korras, kui õigusi rikuti avaliku ülesande täitmise käigus või
2. võlaõigusseaduses (RT I 2001, 81, 487; 2002, 60, 374) sätestatud alustel ja korras, kui õigusi rikuti eraõiguslikus suhtes.

Vaata ka

• Isikuandmete kaitse üldmäärus

Välislingid

• Isikuandmete kaitse seadus
• 28. september 2011, Kas sinu andmed lekkisid?, Pealtnägija, ETV, err.ee
• Isikuandmete kaitse üldmäärus GDPR – Mis see on? Osa 1, zone.ee, 1. juuni 2017