Andmekogud ja avalik teave › Avalik teave

Kui menetlusosaline soovib apellatsioonkaebuse esitamiseks saada menetlusabi, tuleb tal Tallinna Ringkonnakohtule esitada vastavasisuline taotlus. Menetlusabi taotluse esitamine ei peata menetlustähtaja kulgemist (HKMS § 116 lg 5) ning apellatsioonitähtaja järgimiseks peab menetlusabi taotleja tegema tähtaja kestel ka menetlustoimingu, mille tegemiseks ta menetlusabi taotleb, eelkõige esitama apellatsioonkaebuse (HKMS § 116 lg 6).

ASJAOLUD JA MENETLUSE KÄIK

KAEBUSE ESITAJA NÕUDED JA PÕHJENDUSED

Ei saa olla vaidlust, et Delfi, F. Fi ja Y. Ye poolt OCCRP-le edastatud teave X. Xi kohta on igal juhul käsitletav X. Xi isikuandmetena IKÜM art 4 tähenduses. X. Xi kunagise süüteomenetlusega seotud andmed on aga nii IKÜM-i kui ka IKS-i tähenduses tundlikud isikuandmed, mille töötlemisele kehtivad tavaliste isikuandmete töötlemisega võrreldes oluliselt kõrgemad standardid. Lisaks süütegudega seotud andmetele, on tundlike isikuandmetena käsitletavad ka X. Xi elukoha andmed ning andmed X. Xile kuuluvate kinnistute väärtuse kohta. Seega Delfi, F. F ja Y. Y pidid X. Xi isikuandmete töötlemisel lähtuma tundlike isikuandmete töötlemise põhimõtetest, mida nad aga antud juhul selgelt ei ole teinud, mistõttu on Delfi, F. F ja Y. Y kolmandatele isikutele X. Xi teadmata ja nõusolekuta isikuandmeid (sh tundlikke) edastades tegutsenud õigusvastaselt. Õigusvastaseks muudab Delfi, F. Fi ja Y. Ye tegevuse tõik, et Delfil, F. Fil ja Y. Yel puudus X. Xi isikuandmete töötlemiseks ja OCCRP-le edastamiseks mistahes õiguslik alus ning X. Xi nõusolek. Vaidlust ei saa olla asjaoludes, et: 1) Delfil, F. Fil ja Y. Yel puudus X. Xi nõusolek X. Xi isikuandmete, rääkimata tundlike isikuandmete avaldamisest ja edastamisest kolmandatele isikutele, sh Euroopa Liidu välisele OCCRP-le ning C. Cle Bosnia ja Hertsegoviinas; 2) Delfi, F. Fi ja Y. Y ei ole kunagi küsinud X. Xilt nõusolekut tema isikuandmete edastamiseks kolmandatele isikutele, sh USA-s tegutsevsale juriidilisele isikule või Bosnia ja Hertsegoviina kodanikule C. Cle. Kaebuse esitaja märgib, et reeglina on just andmesubjekti nõusolek seaduslikuks aluseks isikuandmete töötlemisel. Nii on ka Riigikohus selgitanud lahendi nr 2-15-16007 p-s 13 varem kehtinud IKS-i alusel, et üldjuhul on isikuandmete töötlemine lubatud IKS § 10 lg 1 järgi üksnes andmesubjekti nõusolekul, samuti on IKS § 11 lg 3 järgi andmesubjektil õigus igal ajal nõuda isikuandmete avalikustajalt isikuandmete avalikustamise lõpetamist. Samad põhimõtted kehtestab IKÜM art 6 ja IKS § 25. Olukorras, kus Delfil, F. Fil ja Y. Yel puudus X. Xi nõusolek X. Xi isikuandmete, sh tundlike isikuandmete töötlemiseks, sh kogumiseks ning kolmandatele isikutele avaldamiseks ja edastamiseks, võisid Delfi, F. F ja Y. Y X. Xi isikuandmeid X. Xi nõusolekuta kolmandatele isikutele edastada üksnes mingil IKS-ist või IKÜM-ist tuleneval õiguslikul alusel, mis võimaldab isikuandmeid töödelda andmesubjekti nõusolekust sõltumata. Arvestades, et Delfi on meediaväljaanne ning F. F ja Y. Y Delfi ajakirjanikud, saab X. Xi nõusolekuta isikuandmete töötlemise õigusliku alusena kõne alla tulla eeskätt IKS § 4. Antud juhul puudus Delfil, F. Fil ja Y. Yel kaebuse esitaja isikuandmete töötlemiseks aga mistahes IKS § 4 kohane ajakirjanduslik eesmärk, seda muu hulgas põhjusel, et Delfi, F. F ja Y. Y on ise asunud tsiviilasjas seisukohale, et nemad ei olnud OCCRP artikli avaldajateks. Siinkohal juhib kaebuse esitaja tähelepanu ka vaidlustatavas otsuses esinevale vastuolule. AKI on sissejuhatuseks märkinud, et AKI-il ei ole võimalik taotlust Delfi, F. Fi ja Y. Ye tegevuse IKS §-le 4 vastavuse osas kontrollida, kuna see säte käsitleb ajakirjanduslikul eesmärgil avalikustamist, kuid kaebusest nähtuvalt on antud juhul tegemist isikuandmete edastamisega ning avaldamine toimub OCCRP poolt. Samas vaidlustatava otsuse viiendas lõigus jõuab aga AKI siiski järeldusele, et puudutatud isikud ei ole rikkunud võrgulehel /www.occrp.org avaldatud artikli osas IKS § 4 nõudeid. Kui AKI-il ei olnud võimalik Delfi, F. Fi ja Y. Ye tegevuse vastavust IKS §-le 4 kontrollida, siis ei olnud inspektsioonil kuidagi võimalik jõuda ka järeldusele, et Delfi, F. F ja Y. Y IKS § 4 nõudeid ei ole rikkunud. AKI seisukohad vaidlustatavas otsuses on lubamatult vastuolulised. Kaebuse esitaja märgib, et kui AKI leidis, et puudutatud isikud ei ole tegutsenud IKS § 4 alusel, oleks AKI pidanud kontrollima, millisel õiguslikul alusel Delfi, F. F ja Y. Y kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid edastades tegutsesid. Vaidlustatud otsusest mistahes sellist analüüsi ega põhjendusi ei nähtu. Ainus õiguslik alus, 3

millele vaidlustatavas otsuses on viidatud, on IKÜM artikkel 6 lg 1 p f, mis sätestab isikuandmete töötlemise seaduslikkuse vastutava töötleja või kolmanda isiku õigustatud huvi korral. Samas ei nähtu vaidlustatavast otsusest, et vastustaja peaks antud juhul puudutatud isikute tegevuse õiguslikuks aluseks IKÜM 6 lg 1 p f. Igal juhul ei oleks IKÜM 6 lg 1 p f alusel võimalik puudutatud isikute tegevust seaduslikuks pidada, kuivõrd IKÜM artikkel 6 lg 1 p f välistab isikuandmete töötlemise seaduslikkuse, kui andmesubjekti huvid või põhiõigused ja -vabadused vastutava töötleja või kolmanda isiku huvid üles kaaluvad. Ei esine ühtegi argumenti, millest tulenevalt võiks USA-s asuva OCCRP huvi X. Xist ebaõigeid ja au teotavaid andmeid sisaldava artikli avaldamist pidada kaalukamaks X. Xi huvidest, põhiõigustest ja -vabadustest, sh IKÜM alusel tagatud õigusest olla unustatud. Ühtegi sellist põhjendust ei ole vastustaja esile toonud ka vaidlustatavas otsuses, kuna vastustaja ei ole otsuse tegemisel nimetatud asjaolusid kontrollinud ega hinnanudki, mistõttu vastustaja menetluse lõpetamise otsus on selgelt õigusvastane ning motiveerimata. Seega on vastustaja jätnud kaebuse esitaja 16.01.2024 kaebuse põhiküsimuse täielikult lahendamata, asjaolud välja selgitamata ning kaebuses toodud asjaoludele õigusliku hinnangu andmata, rääkimata antud õigusliku hinnangu motiveerimisest. Kaebuse sisulise lahendamise asemel on AKI asunud selgitama võrgulehe omaniku vastutusest artiklite juures olevate kommentaaride eest, olenemata sellest, et OCCRP veebilehel mistahes kommenteerimise võimalust ei nähtu, samuti allikakaitsest, mis on käesoleval juhul asjakohatu (vt põhjendusi allpool) ning millele pole isegi Delfi, F. F ja Y. Y tuginenud. Lõpuks leiab AKI üldse, et tal käesoleva juhtumi lahendamiseks ehk sisuliselt kaebuse esitaja isikuandmete kaitsmiseks, mis peaks olema AKI põhifunktsioon, pädevust ei ole. Kokkuvõttes on AKI kaebja arvates jätnud 16.01.2024 esitatud kaebuse sisuliselt lahendamata, asjaolud välja selgitamata ning asjaoludele õigusliku hinnangu andmata. Vastustaja ei ole tuvastanud ega välja selgitanud Delfi, F. Fi ja Y. Ye tegevuse õguslikku alust X. Xi isikuandmete kolmandatele isikutele edastamisel. Vaidlustatud otsuses on asutud hoopis analüüsima võrgulehe omaniku vastutust avaldatud teabe ning artiklile lisatud kommentaaride eest, allikakaitse olemust jms, mis on antud juhtumi valguses täielikult asjakohatud.

seadusandja eesmärkidega IKS § 4 loomisel. Vastustaja on vaidlustatavas otsuses jätnud IKS § 4 kohaldamisega seotud asjaolud ja eeldused täielikult kontrollimata, mistõttu vaidlustatav vastustaja otsus on täielikult motiveerimata. AKI on vaidlustatavas otsuses leidnud, et meediaväljaanded peavad saama oma töö tarbeks omavahel vajalikku infovahetust teostada. Jääb arusaamatuks, millist „tööd“ vastustaja silmas peab. Kaebuse esitaja selgitab, et Delfi on meediaväljaanne ning F. F ja Y. Y ajakirjanikud. Seega nende „töö“ saab seisneda üksnes mingi artikli loomises. Kui vastustaja leiab, et Delfi, F. F ja Y. Y avaldasid ja edastasid kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid seoses oma „tööga“, jääb arusaamatuks, miks välistab AKI Delfi, F. Fi ja Y. Ye vastutuse IKS § 4 rikkumise eest. Sealjuures ei ole vastustaja kontrollinud, kas IKS § 4 alusel üldse esinesid eeldused, kaebuse esitaja isikuandmete (sh tundlike) edastamiseks kolmandatele isikutele. Kaebuse esitaja juhib tähelepanu, et ka Delfi ise on pidanud oma tegevuse (X. Xi isikuandmete kolmandatele isikutele avaldamisel ja edastamisel) õiguslikuks aluseks just IKS §-i 4. AKI on ise vaidlustatavas otsuses toonud välja Delfi 06.05.2024 vastuses (dtl 258-265) toodud seisukohad, milles Delfi on mh selgitanud, et informatsiooni, mida OCCRP-le edastati, töötles nii Delfi kui ka OCCRP ajakirjanduslikul eesmärgil kooskõlas isikuandmete kaitse seaduse §-ga 4. Olukorras, kus ka Delfi on ise pidanud oma tegevuse õiguslikuks aluseks IKS §-i 4, oleks AKI pidanud vaidlustatavas otsuses minimaalselt vähemalt põhjendama, mille põhjal vastustaja leiab, et IKS § 4 Delfi, F. Fi ja Y. Ye tegevusele antud juhul ei kohaldu, samuti, millele tuginedes tõlgendab AKI IKS §-i 4 seadusandja tahtest erinevalt. Kui vastustaja lähtus vaidlustatava otsuse tegemisel IKS § 4 mittekohaldumisest, pidi vastustaja tuvastama, milline oli üldse Delfi, F. Fi ja Y. Ye poolt kaebuse esitaja isikuandmete kolmandatele isikutele edastamise õiguslik alus. Kaebuse esitaja on seisukohal, et IKS § 4 tõlgendamisel tuleb lähtuda nii IKÜM-i põhimõtetest ning seadusandja tahtest. Antud juhul tuleneb IKS eelnõu seletuskirjast expressis verbis, et IKS §-s 4 toodud kriteeriume on vaja kontrollida andmete igakordsel töötlemisel, sh kolmandatele isikutele edastamisel. Vastustaja ei ole seda kaebuse lahendamisel teinud, mistõttu vaidlustatav otsus on täielikult motiveerimata. Vastustaja ei ole endale selgeks teinud asjaolusid ega ka asjakohaseid kohaldamisele kuuluvaid õigusnorme, niisamuti ei ole vastustaja kontrollinud Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandemete edastamise seaduslikkust kohaldamisele kuuluvate õigusnormide valguses. Oluline on siinkohal ka rõhutada, millistele kolmandatele isikutele puudutatud isikud X. Xi isikuandmeid, sh tundlikke isikuandmeid edastasid. Kaebuse esitaja selgitab, et OCCRP väljaandja on USA-s registreeritud äriühing. OCCRP peatoimetaja, C. C, kelle kinnituskirja on puudutatud isikud tsiviilasjas tõendina kasutanud, on Bosnia ja Hertsegoviina elanik. Ka ülejäänud OCCRP artikli all- ja ülaosas märgitud ajakirjanikud asuvad üle maailma (nt Norras, Ukrainas jne). Ükski eelnimetatud riik ei ole Euroopa Liidu liikmesriik. Teisisõnu on Delfi, F. F ja Y. Y isikud edastanud X. Xi nõusolekuta tema isikuandmed, sh tundlikud isikuandmed kolmandatest riikidest pärit isikutele, kelleni Euroopa Liidu õigus, sh IKÜM ei küündi. Selliselt on Delfi, F. F ja Y. Y asetanud X. Xi olukorda, kus X. Xil on oma õiguste kaitsmine äärmiselt keeruline, kui mitte võimatu, ning ka väga ressursikulukas. Kaebuse esitaja selgitas 16.01.2024 esitatud kaebuses, et Eesti kohtud on kohtualluvuse puudumise tõttu keeldunud X. Xi hagi OCCRP vastu menetlemast. Seega on kaebuse esitaja ainus võimalus oma õigusi realiseerida, kui kaebuse esitaja esitab OCCRP vastu hagi USA kohtule. Kui aga kaebuse esitaja sooviks OCCRP vastu USA kohtus nõudeid esitada, oleks sellise õigusvaidluse kulu ca 2-3 miljonit dollarit (vt põhjendusi 16.01.2024 kaebuse p-des 2.4.5-2.4.6).

5

Lisaks eeltoodule on X. Xist avaldanud ebaõigeid ja au teotavaid faktiväiteid sisaldava artikli (dtl 118) ka Suurbritannia äriühing FINTRAIL LTD. Viidatud FINTRAIL artikli allikmaterjaliks X. Xit puudutavas osas on artiklist nähtuvalt OCCRP artikkel. Kui X. X soovib oma õigusi kaitsta, tuleb X. Xil esitada hagi ka FINTRAIL LTD vastu, sealjuures ei ole aga teada, kui kulukaks võib õigusvaidluse pidamine Suurbritannias registreeritud ettevõttega osutuda. Oluline on aga rõhuda, et sellise ahelreaktsiooni artiklite avaldamise näol on de facto teinud võimalikuks Delfi, F. Fi ja Y. Ye poolt vastutustundetult, õigusvastaselt ja mala fide kolmandas riigis tegutsevatele kolmandatele isikutele X. Xi isikuandmete, sh tundlike isikuandmete edastamine. Vaidlustatud otsusest nähtuvalt ei näe AKI tekkinud olukorras mitte mingisugust probleemi, mis on õiguslikult absurdne nii IKS § 4 kui ka IKÜMi sätete alusel. Kokkuvõttes on AKI IKS § 4 ebaõigesti kohaldanud, mistõttu on vastustaja jõudnud ka ebaõigele järeldusele, et IKS § 4 käesolevale juhtumile ei kohaldu.

oluliselt teavitatavate isikute ringi. Antud juhul just see stsenaarium on puudutatud isikute tegevuse tagajärjel realiseerunud. Ilmselgelt ei oleks OCCRP lugejaskond ise asunud X. Xi kohta andmeid otsima, kui Delfi, F. F ja Y. Y ei oleks kolmandatele isikutele X. Xi andmeid avaldanud ning OCCRP artiklit ei oleks avaldatud. Riigikohtu selgitustest tulenevalt tuleb ka vabalt kättesaadavate andmete uuesti avalikustamisel ning ilmselgelt ka edastamisel kaaluda andmete avalikustamise mõju andmesubjektile. Ilmselgelt Delfi, F. F ega Y. Y mingit mõjuanalüüsi läbi ei viinud, vaid edastasid X. Xi isikuandmed, sh tundlikud isikuandmed, suvaliselt OCCRP-le, kellele Euroopa Liidu õigus ei kohaldu. Tähelepanuväärne on ka asjaolu, et Delfi, F. F ja Y. Y on tsiviilasjas selgitanud, et nemad ei saanud OCCRP artikli sisu kuidagi mõjutada, vaid nende tegevus seisnes üksnes X. Xi isikuandmete OCCRP-le edastamises. Delfi, F. Fi ja Y. Ye seisukohti on kinnitanud ka OCCRP peatoimetaja C. C (vt OCCRP peatoimetaja kinnituskirja lisas 1 oleva kaebuse lisas 4). See tähendab, et Delfi, F. F ja Y. Y edastasid X. Xi isikuandmed, sh tundlikud isikuandmed kolmandates riikides tegutsevatele kolmandatele isikutele selliselt, et neil puudus mistahes võim kontrollimaks, mida sellised kolmandad isikud X. X andmetega teha kavatsevad. Tegemist on jämeda IKS-i ja IKÜM-i rikkumisega, mistõttu on äärmiselt kummastav, kuidas on AKI sisuliselt leidnud, et isikuandmete sellisel viisil töötlemine on õiguspärane. Õiguskirjanduses on leitud, et üldiselt peaksid ajakirjanikuid hoiduma isikuandmete edastamisest Euroopa Majanduspiirkonna välistesse riikidele, kus puudub GDPR-iga sarnane andmete kaitse.1 Kaebuse esitaja juhib ka tähelepanu, et Delfi 06.05.2024 vastuse (dtl 258-265) p-s 13 on Delfi selgitanud, et samaaegselt Eestis toimuva kohtumenetlusega on X. X esitanud Y. Y ja F. F vastu hagi kohtusse Araabia Ühendemiraatides Dubais. X on kohtule edastanud Y. Y ja F. F isikuandmed, mis on võimaldanud kohtumenetlust ebademokraatlikus ja inimõigusi mitteaustavas riigis, tekitades Y. Yle ja F. Fle suurt varalist kahju ning pannes ohtu nende isikuõigused. Kaebuse esitaja selgitab, et Delfi, F. F ja Y. Y peavad nende isikuandmete (nimi, isikukood, elukoht) edastamist kohtumenetluses nende isikuõiguste räigeks rikkumiseks. Sarnaselt näiteks USA-ga on ka Araabia Ühendemiraadid kolmas Euroopa Liidu väline riik. Delfi, F. F ja Y. Y ei edastanud kolmandates riikides tegutsevatele kolmandatele isikutele aga X. Xi kohta mitte üksnes tavalisi isikuandmeid, vaid ka IKÜM ja IKS tähenduses tundlikke isikuandmeid. Delfi, F. F ja Y. Y, pidades enda nime, isikukoodi ja elukoha andmete AU]E kohtule kohtumenetluse läbiviimise edastamisel nende isikuõiguste räigeks rikkumiseks, tunnistavad ja võtavad sellega omaks, et nad on ka X. Xi õigusi räigelt rikkunud. AKI on asja lahendamisel nimetatud argumendi jätnud täielikult tähelepanuta. IKÜM art 6 lg 4 sätestab, et kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse a) seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel; b) isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost; c) isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10; d) kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks; e) asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine.

1

https://bookdown.org/fede_caruso/bookdown/the-journalistic-exemption-in-the-gdpr.html , peatükk 3.6.

7

Kabaja rõhutab, et asjaolu, et isikuandmete töötlemise rikkumine kolmanda isiku poolt, kellele isikuandmeid edastatakse, ei välista isikuandmete töötlemise rikkumist andmeid edastanud isiku poolt. Kuigi Delfi, F. Fi ja Y. Ye tegevus X. Xi isikuandmete, sh tundlike isikuandmete kolmandatele isikutele avaldamisel ja edastamisel oli täielikult õigusvastane, oleksid Delfi, F. F ja Y. Y pidanud IKÜM art 6 lg-st 4 tulenevalt, arvestades avaldatud ja edastatud isikuandmete laadi, pidanud minimaalselt võtma kasutusele asjakohased kaitsemeetmed, et maandada võimalikke riske andmesubjektile kahju tekitamisel, nt edastades andmed vähemalt pseudonümiseeritult. Ilmselgelt ei ole Delfi, F. F ja Y. Y mistahes kaitsemeetmeid kasutusele võtnud, vaid on vastutustundetult jaganud kolmandates Euroopa Liidu välistes riikides tegutsevatele kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid, mõtlemata võimalikele negatiivsetele tagajärgedele, mis selline avaldamine X. Xile kaasa võib tuua. AKI ei ole järelevalvemenetluse käigus välja selgitanud, kas ja milliseid kaitsemeetmeid Delfi, F. F ja Y. Y üldse kasutusele võtsid. Seega on AKI rikkunud IKÜM art 6 lg-t 4. Vastustaja on jätnud tähelepanuta ja kontrollimata ka Delfi poolt IKÜM § 24 lg 1, § 25 lg 1 ja 2 rikkumised. IKÜM § 24 lg 1 sätestab, et arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 24 lg 1 nõuete täitmist seoses kaebuse esitaja isikuandmete välisriikidesse edastamisega. IKÜM § 25 lg 1 sätestab, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja nii töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, nagu pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete (nagu võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse nõudeid ja kaitsta andmesubjektide õigusi. IKÜM § 25 lg 2 sätestab, et vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 25 lg-te 1 ja 2 nõuete täitmist seoses kaebuse esitaja isikuandmete töötlemisega. Käesoleval juhtumil on selgelt rikutud IKÜM § 25 lg-t 1, kuna Delfi, F. F ja Y. Y ei ole hinnanud isikuandmete OCCRP-le edastamisest tulenevaid kaebuse esitaja õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte (X. Xi au ja mainet räigelt teotava OCCRP artikli ilmumine) ning X. Xi isikuandmeid ei ole edastatud anonümiseeritult. IKÜM § 30 lg 1 sätestab, et vastutav töötleja ja asjakohasel juhul vastutava töötleja esindaja registreerib tema vastutusel tehtavad isikuandmete töötlemise toimingud. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 30 lg 1 nõuete täitmist seoses kaebuse esitaja isikuandmete välisriikidesse edastamisega. IKÜM preambula p-s 101 on selgitatud, et isikuandmete piiriülene liikumine liitu mitte kuuluvatesse riikidesse ja rahvusvahelistele organisatsioonidele ning nendest riikidest ja organisatsioonidest liitu on vajalik rahvusvahelise kaubanduse ja koostöö laiendamiseks. Selliste andmevoogude suurenemine on laiendanud isikuandmete kaitsega seonduvate 8

väljakutsete ja probleemide ringi. Isikuandmete edastamisel liidust vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele ei tohiks aga kahjustada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taset, sealhulgas juhtudel, kui kolmandast riigist või rahvusvahelisest organisatsioonist saadud isikuandmed saadetakse edasi vastutavatele töötlejatele või volitatud töötlejatele samas või muus kolmandas riigis või rahvusvahelises organisatsioonis. Igal juhul tohib andmeid kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastada ainult käesolevat määrust täielikult järgides. Andmeid tohiks edastada ainult siis, kui vastutav töötleja ja volitatud töötleja täidavad käesolevas määruses sätestatud tingimusi isikuandmete edastamise kohta, arvestades muid käesoleva määruse sätteid. Nõuded isikuandmete edastamisele kolmandatele riikidele ja rahvusvahelistele organisatsioonidele sätestab IKÜM 5. peatükk. Vastustaja ei ole vaidlustavast otsusest nähtuvalt kontrollinud, kas X. Xi isikuandmete OCCRP-le ja C. Cle edastamisel on järgitud IKÜM 5. peatüki (§ 44-49) nõudeid. Kaebuse esitaja on seisukohal, et ilmselgelt ei ole Delfi, F. F ja Y. Y järginud IKÜM § 44- 49 nõudeid, seda enam, et käesoleval juhtumil IKÜM § 49 lg 1 selgesõnaliselt keelab X. Xi isikuandmete edastamise kolmandatesse riikidesse. Lisaks eeltoodule sätestab IKÜM art 35 vastutavale töötlejale kohustuse viia läbi andmekaitsealase mõjuhinnangu, kui isikuandmete töötlemise tulemusel võib füüsilise isiku õigustele ja vabadustele tekkida tõenäoliselt suur oht. Ei saa mingit mõistlikku vaidlust olla, et kolmandates riikides tegutsevatele kolmandatele isikutele füüsilise isiku andmete, rääkimata tundlike isikuandmete jagamisest, võib isiku õigustele ja vabadustele ilmselgelt tekkida suur oht – antud juhul on sellised ohud ka realiseerinud kaebuse esitajat räigelt laimava OCCRP artikli näol. Vastustaja ei ole järelevalvemenetluse käigus hinnanud, kas puudutatud isikutel oli antud juhul kohustus selline mõjuhinnang koostada ning kas seda on ka tehtud, mistõttu vastustaja on rikkunud IKÜM art 35. AKI ei ole antud juhul üldse kontrollinud, millisele IKÜM-ist tulenevale õiguslikule alusele X. Xi isikuandmete Euroopa Liidu välistele kolmandatele isikutele levitamisele suunatud Delfi, F. Fi ja Y. Ye tegevus liigitub ning kas Delfi, F. Fi ja Y. Ye on täitnud IKÜM-ist tulenevad nõuded X. Xi isikuandmete, sh tundlike isikuandmete kolmandates riikides tegutsevatele kolmandatele isikutele avaldades ja edastades. Sealhulgas ei ole vastustaja kontrollinud, kas IKÜM § 44-49 alusel oli Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete kolmandatesse riikidesse edastamine lubatud. Järelikult on vaidlustatud otsus täielikult motiveerimata ning vastustaja on järelevalvemenetluse läbi viinud täiesti puudulikult, tegelikke faktilisi asjaolusid välja selgitamata. Kaebuse esitaja juhib tähelepanu, et AKI on ise oma veebilehel selgitanud, millisel viisil tohib isikuandmeid välisriiki edastada (dtl 266-268). Vastustaja on selgitanud, et mittepiisava andmekaitsetasemega riikide kategooriasse kuuluvad Ameerika Ühendriigid. USAsse edastamisel tuleb rakendada IKÜM art 46 ettenähtud kaitsemeetmeid või art 49 erandeid. Antud juhul ei esine mistahes IKÜM art 49 erandeid X. Xi andmete kolmandasse riiki edastamiseks. Samuti ei ole Delfi, F. F ega Y. Y kasutusele võtnud IKÜM art-s 46 sätestatud kaitsemeetmeid. Seega on ilmne, et Delfi, F. F ja Y. Y on X. Xi andmeid kolmandates riikides tegutsevatele kolmandatele isikutele edastades tegutsenud õigusvastaselt. Vastustaja on vaidlustatava otsuse tegemisel jätnud täielikult kontrollimata ja tähelepanuta asjaolu, et Delfi, F. Fi ja Y. Ye käitumine kaebuse esitaja isikuandmete levitamisel USA-s ning Bosnia ja Hertsegoviinas asuvastele isikutele on täielikult vastuolus IKÜM artiklites 46 ja 49 sätestatuga, seda muu hulgas vastustaja enda veebilehel olevate seletuste järgi. Vastustaja otsuses esitatud vastupidised seisukohad ei ole tõsiselt võetavad, sisuliselt tegeleb vastustaja kaebuse esitaja õigusvastase ja teadliku eksitamisega.

9

Esiteks selgitab kaebuse esitaja, et allika kaitsevajaduse hindamine, kohaste meetmete rakendamine jms on ajakirjaniku ja allika vaheline asi, mis andmesubjekti, kelle andmeid ebaseaduslikult edastatakse välisriikidesse, mitte kuidagi ei puutu. Teiseks, AKI on jätnud tähelepanuta, et Delfi, F. F ja Y. Y ei ole antud juhul allikakaitset vajavateks ega soovivateks isikuteks, samuti ei ole OCCRP pidanud vajalikuks ega võtnud kasutusele ühtegi meedet oma allikate kaitsmiseks. Delfi, F. F ja Y. Y on ise tunnistanud ning teinud kõik endast oleneva, et tsiviilasjas tõendada, et nemad olid OCCRP-le X. Xi isikuandmete, sh tundlike isikuandmete edastajateks. Ka oma vastuses AKI päringule ei ole Delfi, F. F ega Y. Y selgitanud, et nad on allikakaitset vajavad isikud. Kolmandaks, OCCRP artiklis on lausa nimeliselt viidatud nii F. File kui ka Y. Yele. Samuti on OCCRP artiklis projekti partnerina märgitud ka Delfi (OCCRP artiklis märgitud Eesti Päevaleht). Seega on ilmne, et Delfi, F. F ega Y. Y ei ole allikakaitse meetmete rakendamist soovinud ning OCCRP ei ole ühtegi sellist meedet ka kasutusele võtnud, mistõttu vaidlustatud otsuses allikakaitsele tuginemine on antud juhul täielikult asjakohatu ja põhjendamatu. Neljandaks ei vääraks ka allikakaitse vajadus ja vastavate meetmete rakendamine kaebuse esitaja suhtes IKS ja IKÜM sätete rikkumist de facto. Isikuandmete töötlemist reguleerivad eeskätt IKS ja IKÜM. Igaühel, kes isikuandmeid töötlevad, tuleb lahtuda IKS-i ja IKÜM-i asjakohastest sätetest. Arvestades 16.01.2024 kaebuses kirjeldatud juhtumit, pidi AKI vähemalt möönma X. Xi isikuandmete, sh tundlike isikuandmete töötlemise rikkumise võimalikkust ning minimaalselt tuvastama, kas Delfi, F. F ja Y. Y võivad olla toime pannud mingi isikuandmete töötlemise rikkumise. Ka AKI ise on vaidlustatud otsuses selgitanud, et sellise usaldussuhte loomine võimaldab aga ajakirjanikul saada avalikku huvi eeldavates küsimustes informatsiooni ka isikutelt, kellele sellise teabe avaldamine on kas seadusega keelatud või toob talle muul viisil kaasa sanktsioonid, võimaldades sel moel teostada uurimisvabadust ja ajakirjandusvabadust laiemalt. Seega on ka AKI ise möönnud, et ajakirjanikule informatsiooni edastav isik võib informatsiooni edastades panna toime mingi rikkumise. Viiendaks ei välista allikakaitse vajadus meediaväljaannetele teavet andnud isiku vastutust, nagu AKI on ekslikult leidnud. Allikakaitsele tuginedes on võimalik meediaväljaandel keelduda oma informaatori kohta andmete avaldamisest, kuid see ei õigusta ega ole aluseks kaebuse esitaja isikuandmete kolmandatele Euroopa Liidu välistele isikutele edastamiseks. Riigikohus on 12.12.2022 lahendi nr 2-21-17817 p-s 8 selgitanud, et ajakirjanduslikul eesmärgil informatsiooni töötlevale isikule ning isikule, kes ametialaselt puutub kokku andmetega, mis võimaldavad tuvastada ajakirjanduslikul eesmärgil informatsiooni töötleva isiku informatsiooniallika, on TsMS § 257 lg-test 4 ja 5 tulenevalt antud õigus ütluste andmisest keelduda ning samuti TsMS § 281 lg 2 p-st 2 tulenevalt õigus dokumendi väljaandmisest keelduda, et kaitsta oma informatsiooniallikaid (õigus tugineda allikakaitsele). Ajakirjanduslikul eesmärgil informatsiooni töötlevaks isikuks on viidatud sätete mõttes füüsiline või juriidiline isik (ajakirjanik või ajakirjandusväljaanne), kes regulaarselt ja ametialaselt on seotud informatsiooni kogumise või levitamisega üldsusele mis tahes massiteabevahendi kaudu (vrd Euroopa Nõukogu soovitus nr 7(2000)). Allikakaitse õigus on ajakirjaniku ja ajakirjandusväljaande absoluutne privileeg, seadusandja on neile andnud õiguse otsustada, kas anda informatsiooniallika identiteedi kohta ütlusi või teavet, mis võimaldaksid informatsiooniallika isikut tuvastada. Teisisõnu on näiteks ajakirjanikul või ajakirjandusväljaandel õigus keelduda selliste andmete avaldamisest, mille põhjal on võimalik tuvastada informaator. See eeldab, et ajakirjandusele on informatsiooni antud konfidentsiaalsena. Kui aga ajakirjanik oma allikat ei kaitse või ei suuda kaitsta, on see ajakirjaniku ja allika sisesuhte ja vastutuse küsimus. Antud juhul on ilmne, et mingit allikakaitset Delfi, F. Fi ja Y. Ye suhtes ei ole üldse rakendatud. Seega ei ole 11

nende vastutust X. Xi isikuandmete edastamisel OCCRP-le, C. Cle ja OCCRP artiklis märgitud teistele ajakirjanikele võimalik allikakaitsele tuginedes ka mistahes viisil välistada. Liiatigi ei õigusta „allikakaitse“ Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete õigusvastast levitamist ja edastamist kolmandatele isikutele. Sellised vastustaja seisukohad on õiguslikult sisutud. Kuuendaks on õiguslikult ainetu ka vastustaja seisukoht, mille kohaselt nõuded ja karistusmeetmed allikate vastu võivad piirata ajakirjandusvabadust. Kaebuse esitaja tõlgendab vastustaja selgitust selliselt, et vastustaja peab ajakirjandusvabadust kõrgemaks isiku õigustest oma isikuandmete kaitse üle. Selline seisukoht on täielikult sisutu ning vastuolus ka IKS § 4 sätte eesmärgiga. IKS § 4 teine lause sätestab, et isikuandmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi. Seega ei või ajakirjandusvabaduse teostamine andmesubjekti õigusi ülemäära kahjustada, järelikult prevaleerivad isikuõigused selgelt ajakirjandusvabaduse üle. Liiatigi ei anna „ajakirjandusvabadus“ õigust levitada kaebuse esitaja isikuandmeid ilma tema kui andmesubjekti nõusolekuta kolmandatele isikutele. Ajakirjandusvabadus annab teatud juhul õiguse kasutada ajakirjaniku poolt kogutud andmeid enda tarbeks (artikli kirjutamiseks), kuid see ei anna mingit õigust ajakirjanikule levitada kaebuse esitaja isikuandmeid kolmandatele isikutele väljapoole Euroopa Liitu. Antud juhul on Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete õigusvastasel edastamisel OCCRP-le on olnud X. Xi jaoks rängad tagajärjed, kuna OCCRP avaldas Delfilt, F. Filt ja Y. Yelt saadud kaebaja isikuandmed artiklis, kus kajastatakse, kuidas Vene oligarhid, üle maailma tuntud tippkurjategijad ning korrumpeerunud poliitikud viljelevad Dubais rahapesu. Kaebuse esitaja ei ole mistahes rahapesu Dubais toime pannud ega mingit kuritegelikku tulu Dubai kinnisvarasse investeerinud, mistõttu Delfi, F. Fi ja Y. Ye poolt omavoliliselt ja X. Xi nõusolekuta X. Xi isikuandmete õigusvastane edastamine OCCRPle on kantud üksnes pahatahtlikust X. Xi õiguste ja hea nime kahjustamise eesmärgist. Kaebuse esitaja kirjeldas 16.01.2024 kaebuses, et X. Xi tööandjaks olnud Mercans General Trading LLC ütles OCCRP artikli ilmumise tõttu X. Xiga sõlmitud töölepingu üles. X. Xi igakuine töö tasu Mercans General Trading LLCs töötades oli (neto) 19 974,85 eurot. Hiljem ei ole X. X suutnud ligilähedaltki sama tasuvat ega ka oma kogemustele vastavat töökohta leida. Samuti on X. Xil äärmiselt keeruline oma õigusi kaitsta, kuna OCCRP on USA-s tegutsev meediaväljaanne, kelle vastu esitatud hagi Eesti kohtud kohtualluvuse puudumise tõttu ei menetle. USA-s OCCRP vastu au teotamise hagide esitamine maksab 2-3 miljonit USD, millise kahju on Delfi, F. F ja Y. Y tekitanud X. Xile. Lisaks on kaebuse esitajast kirjutanud ebaõigeid ja au teotavaid andmeid sisaldava artikli ka Suurbritannia äriühing FINTRAIL LTD, võttes aluseks OCCRP artikli. Nii on X. Xi isikuandmed hakanud üle maailma kontrollimatult levima ning selle kõik on põhjustanud Delfi, F. F ja Y. Y IKS § 4 ja ülal viidatud IKÜM sätete rikkumisega. Kolmandates riikides on oma õiguste kaitsmine oluliselt ressursikulukam, kui Eestis, samas on X. X kaotanud tasuva töökoha, mis omakorda muudab X. Xil oma õiguste kaitsmise oluliselt keerulisemaks.

oma tegevusvaldkondades järelevalve-, loa-, väärteo- ja muude ettenähtud menetluste läbiviimine, samuti teavitus- ja ennetustöö korraldamine. Vaidlustatud otsusest jääb mulje, justkui AKI pädevuses oleks üksnes ettekirjutuste koostamine ning sedagi vaid juhul, kui tegemist on kestva või eesseisva rikkumisega. See ei vasta tõele. AKI ei ole põhjendanud, millele tuginedes inspektsioon leiab, et tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu. Kaebuse esitaja selgitab, et ATSS § 4 lg 1 sätestab, et ettekirjutus käesoleva seaduse tähenduses on haldusakt, mis paneb isikule kohustuse teha nõutav tegu või hoiduda keelatud teost. Seega võimaldab ATSS teha ettekirjutuse ka keelatud teost hoidumiseks. Lisaks eelnevale ei piira seadus mistahes viisil AKI tegemast ettekirjutusi OCCRP-le ebaseaduslikult ning õigusliku aluseta töödeldavate X. Xi isikuandmete töötlemise lõpetamiseks. Õigusliku aluse selleks annab IKÜM § 50 (isikuandmete kaitseks tehtav rahvusvaheline koostöö), mis sätestab, et: komisjon ja järelevalveasutused võtavad kolmandate riikide ja rahvusvaheliste organisatsioonide suhtes asjakohased meetmed, selleks et a) töötada välja rahvusvahelised koostöömehhanismid, millega hõlbustada isikuandmete kaitset käsitlevate õigusaktide tõhusa täitmise tagamist; b) osutada rahvusvahelist vastastikust abi isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel, sealhulgas teavitamise, kaebuste suunamise, uurimistegevuse ja teabevahetuse kaudu, järgides asjakohaseid isikuandmete kaitsemeetmeid ning muid põhiõigusi ja -vabadusi; c) kaasata asjaomased sidusrühmad arutellu ja tegevusse, mille eesmärk on edendada rahvusvahelist koostööd isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel; d) edendada isikuandmete kaitset käsitlevate õigusaktide ja tavade vahetamist ja dokumenteerimist, sealhulgas kolmandate riikidega kohtualluvuse osas valitsevate lahkarvamuste küsimuses. Vastustajal on õigus teha ettekirjutusi Delfile, F. File ja Y. Yele edaspidise rikkumise ärahoidmiseks kui ka toimepandud rikkumiste heastamiseks (nt kohustada Delfit, F. Fi ja Y. Yt tarvitusele võtma abinõud OCCRP artiklis ebaseaduslikult avaldatud X. Xi isikuandmete avaldamise lõpetamiseks, kohustada Delfit, F. Fi ja Y. Yt hüvitama rikkumise lõpetamisega seotud nõuete OCCRP vastu esitamisega seotud kulud (X. Xi õigusabikulud USA-s) jne). Lisaks on vastustaja pädevuses ka Delfi, F. Fi ja Y. Ye poolt rikkumise toimepanemise tuvastamine, milline asjaolu aitab samuti kaebuse esitajat oma õiguste teostamisel edasi. Vastustaja arusaamad enda pädevusest ja selle puudumisest on täielikult sisutühjad. AKI pädevuses on ka väärteomenetluste läbiviimine. Ka IKS § 73 lg 2 sätestab, et IKS 6. peatükis sätestatud väärtegude kohtuväline menetleja on Andmekaitse Inspektsioon. Antud juhul on puudutatud isikute rikkumised X. Xi isikuandmete, sh tundlike isikuandmete rikkumisel sedavõrd ilmsed, et nende tegevus võib liigituda mitme IKS 6. peatükis sätestatud väärteo koosseisu alla. Kuna Andmekaitse Inspektsioon on ekslikult leidnud, et puudutatud isikud ei saa IKS § 4 rikkumise eest vastutada ning on jätnud tuvastamata ka muud võimalikud IKS-i ja IKÜM-i rikkumised, on vastustaja jätnud põhjendamatult ka tuvastamata, kas Delfi, F. Fi ja Y. Ye tegevus võiks vastata mõnele IKS 6. peatükis sätetatud väärteokoosseisu tunnusele. Kaebuse esitaja juhib ka tähelepanu, et isegi, kui Delfi, F. Fi ja Y. Ye võimalikud väärteod peaksid aeguma, oleks aegumine põhjustatud vastustaja enda suutmatusest 16.01.2024 esitatud kaebust mõistliku aja jooksul menetleda. Kaebuse esitaja on eespool kirjeldanud, et AKI ei suutnud enam kui kahe kuu jooksul kaebuse esitamisest isegi menetlust algatada, hoolimata sellest, et IKS § 61 lg 1 sätestab, et AKI lahendab kaebuse 30 päeva jooksul kaebuse AKI-le esitamisest arvates. IKS § 61 lg-st 2 tulenevalt võib vastustaja kaebuse läbivaatamise tähtaega pikendada kuni 60 päeva. Antud juhul tegi vastustaja aga otsuse enam kui 5 kuud pärast kaebuse esitamist, sealjuures asjaoludest nähtuvalt oli inspektsiooni ainus menetlustoiming sellel perioodil Delfile päringu esitamine, mistõttu sedavõrd pikk menetlusaeg oli antud juhul täielikult põhjendamatu. 13

Kaebuse esitaja on seisukohal, et AKI poolt järelevalvemenetluse läbiviimise viibimine kätkes endas õigusvastast viivitamist, mis kahjustab täiendavalt kaebuse esitaja õigusi, sest kaebuse esitaja isikuandmeid levitatakse jätkuvalt OCCRP artiklis ilma mistahes õigusliku aluseta ja ebaseaduslikult. Selle asemel, et astuda kaebuse esitaja õiguste kaitseks minimaalseidki samme, tegeles AKI menetluse venitamisega ning absurdsete põhjenduste otsimisega, kuidas asjaga mitte tegelda ning kuidas enda pädevust asjaga tegelemisel välistada. Lisaks juhib kaebuse esitaja tähelepanu veel ühele vaidlustatavas otsuses esitatud seisukohtadest nähtuvalt olulisele asjaolule. Nimelt on vastustaja sisuliselt leidnud, et kuna Delfi, F. F ja Y. Y on juba andmed kolmandatele isikutele ära edastanud – rikkumine on juba toime pandud – siis ei ole AKI-l enam midagi võimalik teha. Tekib õigustatud küsimus, et milleks AKI üldse eksisteerib, kui füüsilisel isikul ei ole võimalik AKI-lt, kelle peamiseks ülesandeks on isikuõiguste kaitse, oma õiguste räige rikkumise korral mitte mingisugust abi saada. Analoogselt oleks äärmiselt absurdne, kui politsei keelduks menetlemast kehalise väärkohtlemise juhtumit, tuues ettekäändeks, et kehaline väärkohtlemine on juba toime pandud ja seda enam olematuks muuta ei saa. Selliselt on AKI tunnistanud, et ta on võimetu isegi oma põhiülesannet täitma.

OCCRP-le kaebaja selja taga ning kaebajat eelnevalt teavitamata edastanud. AKI seisukohtadest nähtuvalt on AKI-l aga võimalik õigusliku olukorra taastamiseks menetlus algatada enne rikkumise lõpuleviimist. Seega olukorras, kus andmete edastamine toimub andmesubjekti teadmata ja andmete edastamine on juba toimunud, ei saagi AKI enda sõnul sisuliselt enam midagi Isiku õiguste kaitseks ära teha. Ilmselgelt ei ole see olnud IKÜM ja IKS loomise eesmärgiks, mistõttu AKI seisukohad on väärad. Viiendaks on AKI seisukohad vastuolulised. Vaidlustatud 20.05.2024 menetluse lõpetamise teates selgitas AKI, et tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu. Kaebuse vastuses aga selgitab AKI, et AKI-l ei ole olnud alust ega põhjust hinnata vajadust teha ettekirjutust edaspidise andmete edastamise ärahoidmiseks. Seega on AKI leidnud, et nõudeid mingist tegevusest hoidumise kohta saab esitada üksnes kohus, seejärel aga, et selline pädevus on AKI-l. Kaebuse esitaja leiab, et valitsusasutuse poolt sellisel viisil füüsiliste isikute eksitamine on lubamatu. Viidatud kahest AKI seisukohast kogumis – tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu (20.05.2024 menetluse lõpetamise teatis lk 2) ja AKI tegevus kaebuste menetlemisel on suunatud eelkõige õigusliku olukorra taastamisele ehk rikkumise lõpetamisele (06.09.2024 kaebuse vastuse p 3.2) – saab järeldada, et AKI-l on pädevus menetlus algatada üksnes juhul, kui rikkumine on kestev, kuid mitte pärast rikkumise lõpetamist. Sisuliselt saab järeldada, et AKI näeb (antud juhtumi näitel) endal tegutsemispädevust üksnes nende loetud sekundite jooksul, mil andmesubjekti andmed ühest serverist teise serverisse jõuavad, sest enne andmete ühest serverist väljumist on menetluspädevus üksnes kohtul ning pärast andmete teise serverisse jõudmist on juba AKI pädevus ammendunud. AKI seisukohad on täielikult absurdsed ja jätavad andmesubjekti tema õiguste rikkumise korral täielikult abita. Ilmselgelt ei ole see aga olnud IKÜM ja IKS loomisel eesmärgiks.

ei ole esitatud kindlas kõneviisis, vaid AKI üksnes oletab, et Delfi võis tegutseda osaliselt ajakirjanduslikul eesmärgil. Kaebuse esitaja hinnangul näitab aga sellisel viisil seisukohtade pidev muutmine ja oletuslike seisukohtade esitamine asjaolu, et AKI ei ole AKI-le 16.01.2024 esitatud kaebust üldse läbi vaadanudki ega Delfi ja tema ajakirjanike tegevuse õiguspärasust kaebaja isikuandmete kolmandatele Euroopa Liidu välistele isikutele levitamisel vähimalgi määral hinnanud. Kolmandaks, AKI on teinud kummalise järelduse – kaebuses viidatud isikuandmete edastamine oli vajalik ajakirjaniku uurimiskohustuse täitmiseks ja seega õiguspärane. Kaebuse esitaja selgitab, et IKS § 4 ei sätesta isikuandmete edastamise õiguspärasuse alusena ajakirjaniku uurimiskohustuse täitmist. IKS ega ka IKÜM ei reguleeri üldse mistahes ajakirjanike uurimiskohustusi. Seega on AKI väide, nagu muudaks uurimiskohustuse täitmine Delfi ja tema ajakirjanike tegevuse õiguspäraseks, täielikult ebaõige ja otsitud. Neljandaks on arusaamatu, millisel viisil saab üldse isikuandmete kolmandas riigis tegutsevale meediaväljaandele edastamine olla ajakirjaniku uurimiskohustuse täitmine. AKI selgitustes puudub mistahes loogika. Viiendaks on AKI seisukoht vastuolus AKI enda veebilehel avaldatud informatsiooniga (dtl 266-268), milles vastustaja on ise selgitanud, et mittepiisava andmekaitsetasemega riikide kategooriasse kuuluvad Ameerika Ühendriigid. USAsse edastamisel tuleb rakendada IKÜM art 46 ettenähtud kaitsemeetmeid või art 49 erandeid. AKI veebilehel ei ole viidatud ning AKI ei ole ka vastuses kaebusele selgitanud, millisest normist tulenevalt võib ajakirjaniku uurimiskohustuse täitmisel IKÜM art 46 kaitsemeetmed kohaldamata jätta. Samuti ei kajastu ajakirjaniku uurimiskohustuse täitmine IKÜM art 49 sätestatud erandite seas. Kaebuse esitaja hinnangul on AKI käitumine absurdne. Sisuliselt esitab AKI valimatult vastuolulisi ja asjakohatuid seisukohti, et iga hinna eest vältida oma seadusest tuleneva kohustuse täitmist – viia Delfi ja tema ajakirjanike suhtes läbi järelevalvemenetlus ning tagada kaebaja õiguste rikkumise lõpetamine.

esitajale 23.04.2024, et AKI on teinud Delfile järelepärimise. Kui AKI oleks oma seadusest tulenevat kohustust täitnud ning asunud kaebust menetlema selle esitamisest arvates, ei oleks Delfi ja tema ajakirjanike väärteod aegunud. Seega on Delfi ja tema ajakirjanike väärtegude aegumine otseselt seotud AKI suutmatusega oma seadusest tulenevat kohustust täita. Kolmandaks, kaebuse esitaja viitab, et kaebuse esitaja edastas AKI-le kaebuse 16.01.2024. AKI lahendas kaebuse 20.05.2024. Seega võttis AKI-l kaebuse menetlemine aega enam kui 4 kuud. AKI rõhutab vastuses kaebusele, et väärteomenetluses vajalike toimingute (sh tõendite kogumine, ülekuulamised jms) tegemine võtab keskmiselt kuus kuud. AKI vastusest kaebusele nähtub, et peale kaebajale edastatud Delfi vastust ei olnud haldustoimikus muid dokumente, mis ei oleks kaebajal endal olemas. Niisiis oli AKI ainus toiming 4 kuu jooksul – pärast 16.01.2024 kaebuse esitamist ja 20.05.2024 kaebuse lahendamist – Delfile päringu edastamine. Mistahes muid toiminguid AKI ei teinud, sh ei vastanud kaebuse esitaja korduvatele teabenõuetele. Seega on AKI seisukoht täielikult ainetu.

Kättesaadav: https://3intrail.com/news/the-real-estate-of-money-laundering-in-property

17

nõuda isikuandmete töötlemise piiramist (IKS § 56 lg 3 p 5) ning õigus nõuda isikuandmete töötlemise lõpetamist, sealhulgas hävitamist või arhiivi edastamist (IKS § 56 lg 3 p 6). Käesoleval juhtumil ei ole AKI X. Xi õiguste ja huvide kaitseks mitte kui midagi teinud. Eeltoodust tulenevalt palub X. X Tallinna Halduskohtul kaebus rahuldada.

VASTUSTAJA SEISUKOHT

võimalda asja edasist menetlemist (RKKK 11.10.2016, 3-1-1-88-16, p 8). Etteheidetava rikkumise lõpuleviimisest möödus kaks aastat igal juhul enne AKI järelevalvemenetluse lõpetamist.

Vt Riigikohtu otsus asjas nr 3-3-1-85-15 Vt Euroopa Kohtu 26.04.2024 otsus asjas C-768/21

19

IKÜM artikli 82 lõike 1 kohaselt on kaebajal õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest, kui ta on saanud andmetöötleja poolt IKÜM-i rikkumise tulemusel kahju. Juhul kui kaebaja tunneb, et andmetöötleja on talle põhjustanud mingil moel kahju, siis tuleb tal pöörduda tsiviilkohtusse kahju hüvitamise nõudega. Muudes asjaoludes on vastustaja oma seisukoha varasemalt kujundanud ja neid üle kordama ei hakka.

KOHTU SEISUKOHT JA PÕHJENDUSED

eesmärk selgelt isikustatud andmete avaldamine, sest vastasel juhul ei oleks artikkel vajalikul määral saavutanud oma põhilist ajakirjanduslikku – korruptsioonivastast – eesmärki. Kohus märgib, et kaebaja on siinkohal õigesti viidanud ka sellele, et IKS § 4 sisu avanud seaduseelnõu seletuskirjas on otsesõnu viidatud sellele, et see ei hõlma ainult isikuandmete avalikustamist, vaid analüüsida oleks vaja ka nende säilitamist, otsingumootoritele kättesaadavaks tegemist, edastamist kolmandatele isikutele ning arhiveerimist või kustutamist. Vaatamata sellele, et andmete kogujad ja avaldajale edastajad ei otsustanud lõplikult ise nende avaldamise üle, tegutsesid nad kohtu hinnangul andmete kogumisel ja edastamisel ajakirjanikena ja olid teadlikud ka sellest, et nende poolt kogutud ja edastatud isikuandmeid kasutatakse väga suure tõenäolisususega edaspidi OCCRP poolt avaldatavas artiklis. See oli ka kohtu hinnangul terve mõistuse seisukohalt nende andmete kogumise ja edastamise ainuke loogiline ja põhjendatud eesmärk ajakirjanike koostöö raames. Seetõttu oli kohtu hinnangul tegemist isikuandmete töötlemisega ajakirjanduslikul eesmärgil ja selle teostamisel tuli kõigil töötlemise teostajatel järgida kohustust andmesubjektide ülemäärase kahjustamise vältimiseks. Selle hindamisel tuli neil lähtud nii Eesti kui Euroopa Liidu seadusandlusest. Kohus nõustub siinkohal kaebajaga, et AKI menetluse sisulist pealiskaudsust näitab päris olulises ulatuses asjaolu, et menetluse lõpetamise otsusest ei ole võimalik üheselt arusaadavalt välja lugeda, kas AKI on üldse korrektselt välja selgitanud, millisel õiguslikul alusel kaebaja isikuandmeid Delfi Meedia AS, F. Fi ja Y. Ye poolt koguti või kas sellel üldse oli õiguslik alus. Vaidlust ei ole ka selles, et kaebaja pole nõusolekut andnud ja teda pole ka ei teavitatud, et andmeid kogutakse väljaspool Euroopa Liitu tegutsevas rahvusvahelises väljaandes avalikustamiseks.

esindajate puhul võimalik vastava kaalutluse tegemata jätmisel tugineda ka teadmatusele. Veel vähem võib sellise kaalutluse tegemata jätmisel tugineda teadmatusele ajakirjandusväljaanne. Kohus märgib, et nähtuvalt vastastaja otsusest asi lõpetada, ta sellise kaalutluse teostamist andmete koguja ja edastaja poolt sisuliselt ei kontrollinud ja selle kohta andmeid ei kogunud tulenevalt ka asjaolust, et AKI ei selgitanud sisuliselt korrektselt välja, millisel õiguslikul alusel üldse andmeid koguti. Kaebaja on siinkohal õigesti viidanud asjaolule, et andmete kogumise õigusliku aluse küsimuses on vastustaja seisukoht otsuses vastuoluline ja suures osas arusaamatu. Kohus märgib, et siinkohal ei oma kohtu hinnangul tähtsust ainut asjaolu, et andmed edastati kolmandasse riiki, sest nende edastajatel, kes olid EL asuvad ajakirjanikud, oli kohustus kaaluda kas nende avalikustamine võib ülemäära kahjustada andmesubjekti õigusi ja võtta kasutusele meetmed selle vältimiseks. Vaidlust ei ole siinkohal, et kaebaja oli oma kogutavate isikuandmete edasise ja täiendava avalikustamise vastu. Nii oleks konkreetsel juhul saanud jätta kas andmed edastamata või seadma tingimuseks anonümiseerimise avalikustamisel. Vastavad asjaolud ning nende mõju otsusele on vastustaja nähtuvalt vaidlustatud otsusest jätnud kaalumata.

asunud seisukohale, et kaebajad on käesoleval juhul ainult allikateks ajakirjanikele mitte sisuliselt selle kallal töötanud ajakirjanikud või isegi avaldatud artikli kaasautorid, mida võib välja lugeda nende nimede avaldamisest avaldatud artikli lõpus.

Kohus leiab, et arvestades kaebuse mahtu ja keerukust, on menetluskulud põhjendatud ja tuleb vastustajalt kaebaja kasuks täies ulatuses välja mõista. Kohus ei nõustu vastustaja vastuväidetega seoses kaebuse ja menetluses esitatud täiendava seisukoha koostamiseks kulunud aja liigse pikkusega ega sellega, et nendes on esitatud ülamäärasel hulgal viiteid ja kohati vaidluse all mitte olevaid väiteid.

25

Allikas: Riigi Teataja avaandmed. Füüsiliste isikute nimed on kohtu poolt anonüümitud. Andmed on informatiivsed.