Äripäev AS-i kaebus Andmekaitse Inspektsiooni 09.03.2022 ettekirjutuse punktide 1, 2 ja 3 ja 29.04.2022 vaideotsuse tühistamiseks
Menetlusosalised
Kaebaja: Äripäev AS, volitatud esindajad vandeadvokaat Maarja Pild ja vandeadvokaat Karmen Turk Vastustaja: Andmekaitse Inspektsioon, seaduslik esindaja Pille Lehis, volitatud esindaja Merili Koppel
Asja läbivaatamise vorm
Kohtuistung 11.10.2022, digitoimik
RESOLUTSIOON
1.Jätta kaebus rahuldamata.
2.Tühistada Tallinna Halduskohtu 06.06.2022 määrusega kohaldatud esialgne õiguskaitse.
3.Jätta menetlusosaliste menetluskulud nende endi kanda.
EDASIKAEBAMISE KORD
Otsuse peale võib esitada apellatsioonkaebuse Tallinna Ringkonnakohtule 30 päeva jooksul otsuse avalikult teatavakstegemisest arvates, s.o hiljemalt 28.11.2022 (halduskohtumenetluse seadustiku (HKMS) § 181 lg 1). Vastuseks esitatud apellatsioonkaebusele võib teine menetlusosaline esitada vastuapellatsioonkaebuse 14 päeva jooksul apellatsioonkaebuse menetlusosalisele kättetoimetamisest arvates või ülejäänud apellatsioonitähtaja jooksul, kui see on pikem kui 14 päeva (HKMS § 184). Kui apellant soovib asja arutamist kohtuistungil, tuleb tal seda apellatsioonkaebuses märkida, vastasel korral eeldatakse, et ta on nõus asja lahendamisega kirjalikus menetluses (HKMS § 182 lg 1 p 9). Kui menetlusosaline soovib apellatsioonkaebuse esitamiseks saada menetlusabi, tuleb tal Tallinna Ringkonnakohtule esitada vastavasisuline taotlus. Menetlusabi taotluse esitamine ei peata menetlustähtaja kulgemist (HKMS § 116 lg 5) ning apellatsioonitähtaja järgimiseks peab menetlusabi taotleja tegema tähtaja kestel ka menetlustoimingu, mille tegemiseks ta menetlusabi taotleb, eelkõige esitama apellatsioonkaebuse (HKMS § 116 lg 6)
1.Äripäev AS (kaebaja) haldab äritegevuse käigus võrgulehte ww.infopank.ee (infoportaal), mis sisaldab avalikes registrites ning võrgulehtedel avalikustatud ja kaebaja poolt töödeldud andmeid.
2.Andmekaitse Inspektsioon (AKI) alustas 25.07.2017 järelevalvemenetlust, mille eesmärgiks oli kaardistada isikuandmete töötlemise olukord infoportaalides.
3.AKI tegi kaebajale 09.03.2022 ettekirjutuse, kuna leidis, et võrgulehel www.infopank.ee toimuv andmetöötlus ei vasta Euroopa Parlamendi ja nõukogu 27.04.2016 määruse 2016/679 (edaspidi IKÜM) art 5 lg-s 1 toodud põhimõtetele ning on seetõttu keelatud. Ettekirjutusega kohustas AKI kaebajat: 1) piirama endiste juhatuse liikmete ja nõukogu liikmete avalikustamise tähtaega üldkorras viiele aastale (ettekirjutuse põhjenduste punkt 3.1); 2) lõpetama võrgulehel füüsilise isiku nime järgi otsimise võimaldamine, kui füüsilisel isikul puudub kehtiv äriline seos konkreetse organisatsiooniga (ettekirjutuse põhjenduste punkt 3.1); 3) lõpetama võrgulehel toodud muude seotud isikute isikuandmete töötlemine (sh edastamine, avalikustamine) (ettekirjutuse põhjenduste punkt 3.2); 4) lõpetama isikuandmete (sh esindaja nime) kaudu võrgulehe leitavus otsingumootoritele indekseeritavalt (ettekirjutuse põhjenduste punkt 3.3); 5) lõpetama kolmandate osapoolte küpsiste kasutamine võrgulehel seniks, kuni küpsiste kasutamiseks võetakse inimeselt IKÜM art-le 7 vastav nõusolek (ettekirjutuse põhjenduste punkt 3.4); 6) viima andmekaitsetingimused vastavusse IKÜM artiklites 12 ja 14 sätestatud nõuetega (ettekirjutuse põhjenduste punkt 3.5). Ettekirjutuses sisaldus sunnirahahoiatus („Sunniraha iga täitmata jäetud ettekirjutuse punkti eest on 20 000 eurot“).
4.AKI jättis 29.04.2022 vaideotsusega rahuldamata kaebaja vaide ettekirjutuse punktide 1, 2 ja 3 kehtetuks tunnistamiseks.
5.Kohtu menetluses on ettekirjutuse punktide 1, 2 ja 3 ja vaideotsuse tühistamisnõue. Kohus rahuldas osaliselt kaebaja esialgse õiguskaitse taotluse ning keelas 09.03.2022 ettekirjutuse resolutsiooni täitmiseks sunniraha rakendamise ning väärteomenetluse läbiviimise.
KAEBAJA NÕUE JA PÕHJENDUSED
6.Kaebaja on seisukohal, et ettekirjutus on nii formaalsete kui materiaalsete puudustega. Ettekirjutus on ebaselge ning selle tegemisega on vastustaja asunud lubamatult keelama seaduspärast tegevust. Ettekirjutus rikub proportsionaalsuse põhimõtet.
7.Infoportaali eesmärk on pakkuda kvaliteetseid informatsiooniteenuseid, lähtudes seejuures kõigist seaduse ja sh isikuandmete kaitse nõuetest. Infoportaalis töötleb kaebaja riiklikes registrites, s.o äriregistris ja Maksu- ja Tolliametis avalikustatud andmeid, Äripäeva Infopanga töötajate kogutud avalikke andmeid, ajalehe Äripäev avaldatud andmeid ning füüsiliselt isikult endalt kogutud andmeid. Kaebajal on tuhandeid lepingulisi kliente, kes kasutavad infoportaali.
2(12)
8.Infoportaalis on võimalik tutvuda juriidiliste isikute profiiliga (tegemist võib olla ka riigiorgani või MTÜ-ga) (ettevõtte vaade) ning füüsilise isiku profiiliga (isiku vaade).
9.Kaitsmaks isiku vaates kuvatavate andmesubjektide võimalikke huve, on kaebaja võtnud kasutusele arvukalt erinevaid kaitsemeetmeid. Nii väljastatakse infot üksnes isikusamasuse tuvastanud isikule ning tasu eest. Info töötlemise kohta on läbipaistev ja avalik. Kaebajal on õigustatud huvi isikuandmete töötlemiseks. Kaebaja on läbi viinud ning dokumenteerinud õigustatud huvi hinnangu, kus on analüüsinud infoportaali töötlemistoimingute seaduspärasust IKÜM art 6 lg 1 p f alusel. Lisaks on Äripäev AS teinud täiendava hinnangu ka ajaloolise info avaldamise osas. Lõimunud andmekaitse põhimõtet järgides on Infopangas ettevõtte füüsilise isiku vaade allalaetav PDF vormis, kuid füüsilise isiku vaade allalaetav ei ole.
10.Ettevõtte- ja isikukaardil kuvab infoportaal ettevõttega seotud võtmetöötajaid, kes ei ole ettevõtte juhatuses, nõukogus, asutajaks jne, vaid on reeglina oluliseks töötajaks, s.o keskastmejuhiks. Võtmetöötajate määramisel lähtub kaebaja objektiivsetest dokumenteeritud kriteeriumitest, mida kaebaja on viimati uuendanud 30.05.2022. Kaebaja selgitab infoportaalis, mis aja seisuga on võtmeisiku/töötaja andmeid viimati kontrollitud. Kaebaja reageerib viivitamata teavitustele, mille sisuks on, et andmed on muutunud või nendes on ebatäpsusi.
11.Kaebajal ei ole õiguslikku piirangut avaldada ajaloolisi juhatuse ja nõukogu liikmete andmeid üksnes viis aastat. Euroopa Inimõiguste Kohus on korduvalt rõhutanud, et artikkel 8 (privaatsuse ja isikuandmete kaitse) ja artikkel 10 (väljendus/infovabadus) ei ole teineteisest olulisemad põhiõigused, vaid tegemist on kahe võrdse staatusega õigusega. Lahendus tuleb leida põhiõigustega seonduva konkreetsete asjaolude kaalumisel (kohtuasjad Bladet Tromsø ja Stensaas vs Norra, § 65; Axel Springer SE ja RTL Television GmbH vs Saksamaa, §§ 40-42; Eerikäinen ja Others vs Soome, § 60).
12.Kaebaja hinnangul on ajaloolise informatsiooni kuvamine vähemalt 10 aasta jooksul pärast seose katkemist oluline ja lubatud nii ettevõtte vaates kui ka isiku vaates. Kaebaja on läbi viinud õigustatud huvi hinnangu, mille kohaselt ettevõtte vaates juhatuse liikme ja nõukogu liikme seose kuvamine 10 aastat ning füüsilise isiku vaates kogu füüsilise isiku ärilise CV kuvamine (mh juhatuse liikme ja nõukogu liikme seos) kuni 10 aastat pärast tema surma, vastab andmekaitse nõuetele. Kaebaja eesmärk on informatsiooni jagamine, võimaldamaks isikutel teostada oma teabevabaduse õigust, aga ka rahapesu ja terrorismi tõkestamise seadusest tulenevaid kohustusi.
13.Esiteks, kinnitab kaebaja kaalumise tulemuse seaduspärasust Euroopa Kohus 09.03.2017 kohtuasjas nr C398/15. Kohtuasjas olid äritegevusega seonduvad andmed (sh juhatuse liikmeks olek) enam kui 12 aastat vanad ja kohus ei pidanud põhjendatuks nende kustutamist ka enam kui 10 aasta möödumisel ja olukorras, kus andmed tõepoolest Salvatore Mannit (s.o hagejat) ka kahjustasid. Euroopa Kohus sedastab, et ajalooliste andmete avaldamise piiramisest saab rääkida alles siis, kui on möödunud piisavalt pikk aeg ja selleks on konkreetsed erandlikud asjaolud ja põhjendused ning ühelgi juhul ei eksisteeri eeldust, et avaldamine kahjustab endist juhatuse liiget.
14.Teiseks, lähtudes infovabaduse kui põhiõiguse olulisusest, on Euroopa Kohus põhjendatuks ja seaduslikuks IKÜM art 9 lg 2 punkti g alusel pidanud Google’i poolt isegi eriliiki isikuandmete töötlemist, kuivõrd tänu Google’i andmetöötlusele on isikutel võimalik teostada oma õigust teabevabadusele.
15.Kolmandaks, kuigi aegumine ei ole ainus kriteerium, mida juhatuse liikmelisuse kohta andmete avaldamise juures arvesse võtta, siis 10 aastat on andmete avalikustamiseks põhjendatud aeg nõuete aegumist arvesse võttes. Nõuete aegumise küsimus on oluliselt komplekssem, kui AKI viidatud „üldjuhul viis aastat“. Näiteks endise juhatuse liikme konkurentsikeelu puhul ÄS § 312 lg 3 alusel on „keelatud tegevuse lõpetamise ja keelatud tegevusest saadud tulu üleandmise nõude aegumistähtaeg on kolm kuud päevast, mil aktsiaselts sai teada konkurentsikeelu rikkumisest, 3(12)
kuid mitte pikem kui kolm aastat konkurentsikeelu rikkumisest. Kahju hüvitamise nõudele kohaldatakse üldist aegumistähtaega.“. Üldine aegumistähtaeg aga tsiviilseadustiku üldosa seaduse (TsÜS) § 150 lg 3 puhul võib olla tahtliku rikkumise korral ka 10 aastat.
16.Eelnevast tulenevalt ei ole 09.03.2022 ettekirjutuse p 1 seaduspärane, kuivõrd andmete avalikustamine on põhjendatud nii kaua, kui see teenib informatsiooni jagamise eesmärki läbipaistvama ärikeskkonna ja teabevabaduse huvides.
17.Kaebaja soovib kuvada füüsilise isiku vaates terviklikku ärialast CV-d kuni 10 aastat pärast andmesubjekti surma.
18.Esiteks, ei ole andmekaitse põhimõtetega kooskõlas pooliku informatsiooni andmine. IKÜM art 5 lg 1 p d kohustab töötlema õiget ja terviklikku informatsiooni. Seega täidavad füüsilise isiku vaated isiku tervikliku ärialase CV eesmärki. Kui kaebaja on sunnitud kustutama teabe endisest juhatuse ja nõukogu liikmelisusest, siis see ei võimalda enam saada terviklikku isiku ärialast tausta. Ka IKÜM art 17, s.o õigus unustamisele, tunnistab teabevabaduse tähtsust ja lubab teatud juhul andmete kustutamisest keelduda. Seda enam on põhjendamatu kohustada kaebajat kustutama andmeid, mille osas andmesubjekt ei ole esitanud vastuväidet.
19.Teiseks, toetavad Euroopa Kohtu kohtuasjad C-398/15; C‐136/17, C‐131/126 seisukohta, et kui ei esine erandlikke asjaolusid, siis ei ole ärilise info kustutamisel andmetöötlejal kohustust, kuni kaebaja andmetöötlus täidab informatsiooni andmise eesmärki ärivaldkonnas, informatsioon vastab tõele ning ei kahjusta ülemääraselt andmesubjekti õigusi.
20.Kolmandaks, kaebaja rakendab kaitsemeetmeid olukorraks, kus ärialase informatsiooni kasutajatel ei ole isikukaardi teavet enam vaja. Sellega seoses valmis arendus, millega kooskõlas ei kuva infoportaal enam isikukaarti 10 aastat pärast andmesubjekti surma.
21.Neljandaks, rahapesu tõkestamise normid kohustavad ettevõtteid tegema isikute taustakontrolle. Seega on isikuvaatel ja mh ajaloolisel isiku vaatel infoportaali klientide jaoks oluline tähtsus, täitmaks rahapesu tõkestamise ja „tunne oma klienti“ nõudeid.
22.Riik ei ole ajaloolistele juhatuse ja nõukogu liikmelisuse andmete töötlemisel kehtestanud piiranguid ka e-äriregistris. Riik ei ole hinnanud, et ajalooliste andmete kuvamine kahjustaks endisi juhatuse ja nõukogu liikmeid ülemääraselt. Nii kuvatakse ka äriregistris kogu ajaloolist nimekirja juhatuse ja nõukogu liikmetest. Puuduvad põhjendused, miks peaks infoportaali kohtlema äriregistrist erinevalt. Kuni ei ole seatud piiranguid riigi peetavale avalikule registrile, ei saa seada piirangut eraõiguslikule isikule, kes neid andmeid taasavaldab. See oleks vastuolus nii võrdse kohtlemise kui ka ettevõtlusvabaduse õigusega.
23.Infoportaalis füüsilise isiku nimeotsing on lubatud teabevabaduse (PS § 44 sõnastuses informatsioonivabadus) tagamiseks. Andmete töötlemise minimaalsuse põhimõte (IKÜM art 5 p a) ei ole teabevabaduse põhimõtte ees ülimuslik. Selleks, et kaalumise tulemisena jõuda informatsiooni eemaldamiseni, peaksid esinema asjaolud, millest tuleneb andmesubjekti üleliigne kahjustamine ning seega kohustus andmete avaldamine lõpetada. Minimaalsuse põhimõte rakendub olukorras, kus andmete töötlemiseks ei ole vajadust.
24.Ühelt poolt kohustatakse ettekirjutuse punktiga 2 kaebajat tegema muudatusi kasutusmugavuses- ja kindluses, mis piiravad kasutaja õigustatud huvi saada erinevatel legitiimsetel eesmärkidel informatsiooni ning kaebaja õigust väljendus- ja ettevõtluse vabadusele: a) funktsionaalsuse keeld pärsib isikute võimalust jõuda informatsioonini ja seega takistab tehingu riskide hindamist, õigusnõuete esitamist, rahapesu vastaste meetmete võtmist või muude eesmärkeni jõudmist, milleks isikutel on põhjendatult vaja informatsiooni. Viimane viib omakorda laiemalt ühiskondliku läbipaistmatuseni. On oluline rõhutada, et rahapesu tõkestamise protsessis kontroll toimubki justnimelt isiku põhiselt ja kohutus on kontrollida ka ettevõttega 4(12)
tehingusse minnes konkreetsete isikute tausta. Kui kaotada isiku otsing, siis on infoportaal selles osas ka kasutu. b) funktsionaalsuse keeld piirab kaebaja õigust väljendusvabadusele; c) funktsionaalsuste keeld vähendab ka kaebaja infoportaali konkurentsieelist ja sellega ka ettevõtlusvabadust. Nimelt ei ole kaebajale teadaolevalt analoogset keeldu seatud ka näiteks EÄriregistrile.
25.Teiselt poolt ei esine kaebaja tegevuses asjaolusid, millest tuleneks andmesubjekti üleliigne kahjustamine. Tegelikkuses on „üleliigse kahjustamise“ risk äärmiselt madal ega saa olla veenvaks põhjuseks samaväärse põhiõiguse piiramiseks: a) tegemist ei ole tundlike andmetega. Vaidluse all on isiku äritegevusega (või avalikus sektoris tegusemisega) seotud juba varasemalt riigi poolt avaldatud andmed. Tegemist ei ole tundlike, eriliiki, intiimsfääri tungivate andmetega või andmetega kaitsetu inimgrupi kohta; b) iga vastuväide võetakse arvesse. Andmesubjektil on alati võimalik esitada vastuväited oma andmetöötlusele, mis võib ka viia selleni, et pärast täiendava kaalumise läbiviimist teatud andmeid enam ei kuvata; c) uudishimu-päringute risk on minimeeritud ja päringud logitakse; d) andmeotsingu piiramine omab olulisi negatiivseid mõjusid; e) infootsing kui selline on kaitstav väärtus ning tehnoloogianeutraalsuse põhimõte kohustab tagama teenuste võrdse kohtlemise tehnoloogiate üleselt. Kehtiv õigus peab olema tehnoloogianeutraalne – see tähendab, et ilma mõjuva ja veenva põhjuseta ei tohi piirata ligipääsu andmetele vaid seetõttu, et see toimub digitaalsel kujul või internetis. AKI ettekirjutusest võib mõista aga just seda põhjusena. Arvestades eeltoodut rahvusvahelise õiguse põhimõttega, ei ole lubatav deklareerida, et infoportaali otsingumootor, mida kasutavad tuhanded ettevõtjad miljonite andmekannete otsimiseks, on vähemtähtis või sellele infotöötluse vabadus on piiratum kui näiteks kogukonna kolaraamatukogu andmestik (autoritele, isikutele, toimetajatele, ajalehtedes nimetatud isikutele jmt).
26.Eelnevat silmas pidades ei ole võimalik püstitada eeldust, et füüsilise isiku nime järgi otsimise võimaldamine tasu eest pakutavas infoportaalis riivab selle isiku õigusi ülemääraselt.
27.Võtmetöötjaid ja muidu seotuid isikuid avaldatakse informatsioonivabaduste õiguste teostamiseks. Andmete töötlemise keelamiseks ei esine alust, sest ei eksisteeri andmesubjektide õiguste ülemäärast kahjustamist. Ühelt poolt ettekirjutuse punktiga 3 kohustatakse kaebajat tegema muudatusi, mis piiravad kasutaja (kliendi) õigustatud huvi saada erinevatel legitiimsetel eesmärkidel informatsiooni ning kaebaja õigust väljendus- ja ettevõtlusvabadusele: a) andmete avaldamise lõpetamise kohustus pärsib isikute võimalust jõuda informatsioonini ja seega takistab tehingu riskide hindamist, õigusnõuete esitamist, rahapesu vastaste meetmete võtmist või muid eesmärkeni jõudmist, milleks isikutel on vaja informatsiooni. Viimane viib omakorda laiemalt ühiskondliku läbipaistmatuseni; b) andmete avaldamise lõpetamise kohustus piirab kaebaja õigust väljendusvabadusele; c) andmete avaldamise lõpetamise kohustus vähendab ka kaebaja infoportaali konkurentsieelist ja sellega ka ettevõtluse vabadust.
28.Teiselt poolt ei esine kaebaja tegevuses asjaolusid, millest tuleneb andmesubjekti üleliigne kahjustamine: a) Tegemist on mittetundlike andmetega. Vaidluse all on eelkõige isiku äritegevusega (või avalikus sektoris tegusemisega) seoses veebis juba varem avaldatud andmed (s.o ettevõtte, 5(12)
organisatsiooni kodulehel). Tegemist ei ole tundlike, eriliiki, intiimsfääri tungivate andmetega või andmetega kaitsetu inimgrupi kohta. Kaebaja rõhutab, et äriühingud/organisatsioonid lisavadki (seejuures töötajate heakskiidul) töötajate kontakte veebi, et potentsiaalne klient või koostööpartner nendega ühendust võtaks. b) Objektiivsus. Võtmetöötaja määramisel lähtub infoportaal objektiivsetest dokumenteeritud kriteeriumitest, et veelgi vähendada väidetavat spekulatiivsust ning koguda andmeid vaid keskastme juhtide kohta. Isik valitakse võtmetöötajaks, kui isikul on piisavalt märkimisväärne roll äriühingus (keskastmejuht), äriühing on majanduselus piisavalt oluline või on see roll isikul riigiasutuses, mistõttu ka tema andmetel on läbipaistva ühiskonna tagamisel oma väärtus. Arvesse võetakse nii ühingut, organisatsiooni käivet, suurust, töötajate arvu ja isiku enda märkimisväärsust läbi kajastuse meedias (valitakse isik, keda ettevõte on ise volitanud organisatsiooni meedias esindama). c) Ajakohasus ja õigsus. Kaebaja avaldab infoportaalis, mis aja seisuga on võtmetöötaja andmeid viimati kontrollitud, näiteks: „Juhime tähelepanu, et isikute andmeid on kontrollitud seisuga 30.03.2022“. d) Iga vastuväide võetakse arvesse. e) Uudishimu-päringute risk on minimeeritud ja päringud logitakse. f) Andmesubjekti „kahjustamist“ ei toimu. Andmete töötlemise keelust on ka andmesubjektile rohkem kahju, kui kasu. Kellegi võtmetöötajana kuvamine näitab tema töökoha/ametikoha olulisust, mitte ei heida isikule halba valgust. Veelgi enam, kaebaja aitab ühingu või organisatsioonini jõuda isikutel, kellel on ettevõtte vastu huvi ja viib seega üksteisele kasulikud isikud kokku (võib öelda, et kaebaja osutab informatsiooni levitamisega ettevõttele isegi teenust).
29.Kaebaja hinnangul ei ole võimalik püstitada eeldust, et võtmetöötajana kvalifitseerimine ja nende isikute varasemalt avalikustatud andmete avaldamine tasu eest pakutavas infoportaali otsingumootoris riivab selle isiku õigusi ülemääraselt.
30.Vastustaja ettekirjutus rikub proportsionaalsuse põhimõtet, kuna vajalikkuse ja mõõdukuse kriteeriumid ei ole täidetud. Vastustaja meetmed andmete avalikustamise lõpetamiseks ning teatud funktsionaalsuste sulgemiseks ei ole vajalikud. Vajalikuks meetmeks olnuks konkreetseteks tegevusteks kohustamine, näiteks täiendavate kaitsemeetmete kasutusele võtmine, kohustamata peatada kogu andmetöötlust. Lisaks saanuks (selliste kaebuste olemasolu korral) vastustaja piirata konkreetselt kaebuse esitanud andmesubjektide isikuandmete töötlemist. Vastustaja ei ole valinud vähem koormavat abinõu ning abinõu ei ole vajalik. Nimelt kohustab AKI teatud äritegevust üldse peatama, s.t teatud andmete kuvamine tuleb pärast 5 aastat täielikult lõpetada, keelatud on pakkuda otsingumootoris funktsionaalsust alates hetkest, mil isik ei ole enam juhatuses ning teatud andmeid ei või avaldada ka olukorras, kus need on kehtivad ja õiged (võtmetöötajad), keelatud on pakkuda infoportaali otsingumootori teenust kõigi andmeväljade suhtes.
VASTUSTAJA SEISUKOHT
31.Kaebus tuleb jätta rahuldamata. Ettekirjutus on õiguspärane, kaalutlusvigadeta, selge, arusaadav ning täidetav. Vastustaja jääb kõikide varasemalt (s.o ka vaideotsuses) väljendatud seisukohtade juurde ja palub nendega arvestada.
32.Ettekirjutuse 1. punkt ei saanud kaebajale ebaselgeks või arusaamatuks jääda, kuna kaebaja on ettekirjutuse täitnud. Vastustaja möönab, et erandlikel asjaoludel on ka pikem avaldamise 6(12)
tähtaeg võimalik, kuid rakendada tuleb kaasuspõhist lähenemist ehk avaldada ei tohi automaatselt kõiki kättesaadavaid andmeid kaalumata nende avalikustamise põhjendatust.
33.Tuleb arvestada, et äriregister avaldab andmeid seaduse alusel. Kaebaja tegevust ei muuda seaduslikuks see, et ta avaldab juba seaduse alusel avalikustatud andmeid. Kaebaja poolt andmete avaldamine toimub nii muul õiguslikul alusel kui ka eesmärgil, võrreldes algselt kogutud andmetega. Ettekirjutusega antakse hinnang kaebaja tegevusele, mitte äriregistrile.
34.Kaebaja on seadnud enda ärihuvid kõrgemale andmesubjekti õigustest ja huvidest. Kaebaja ei ole rahapesu vastu võitlemise mõttes kohustatud isikuks, mistõttu ei saa sellega andmete avalikustamist õigustada.
35.Füüsilise isiku terviklik ärialase CV avaldamine kuni 10 aastat pärast andmesubjekti surma ei ole põhjendatud. Ühelegi isikule ei ole ettenähtav, et äriregistris avaldatud andmeid avaldab keegi oma ärihuvist lähtuvalt 10 aastat pärast isiku surma.
36.Kaebaja on läbivalt rõhutanud teabevabaduse põhimõtte ülimuslikkust, kuid jätnud arvestamata, et andmekaitse normide eesmärgiks on ennekõike kaitsta õigust eraelu puutumatusele. Kuigi ka see põhiõigus ei ole ülimuslik, vajab see tugevat kaitset. Seega peab eraelu puutumatuse kui põhiõiguse riive olema lisaks põhjendatusele isikule ettenähtav. Kaebaja seab aga oma klientide kasutusmugavuse ja -kindluse kõrgemale vajadusest kaitsta isikute õigust privaatsusele (kaebuse punkt 3.36, kus kaebaja rõhutab, et AKI ettekirjutuse nõude täitmine pärsib kasutusmugavust, takistab tehingute riskide hindamist, õigusnõuete esitamist jne).
37.Võttes arvesse, et ettekirjutuse p 2 puudutab kehtetute seoste kuvamist, on füüsilise isiku nime järgi otsing ja kehtetute seoste kuvamine isikut ülemääraselt kahjustav.
38.Kaebajale on võtmetöötajate avalikustamise teenuse pakkumine kasulik. Kuid see eeldab andmesubjektide õigustega arvestamist. Ettevõtlusvabadus on oluline õigushüve, kuid selle õiguse realiseerimine ei tohi toimuda ülemääraselt andmesubjektide õiguste arvelt.
39.Võttes arvesse, et kaebaja on ettekirjutuse täitnud, on raske nõustuda kaebajaga, et ettekirjutus on ebaselge. Ettekirjutus on üks tervik – lisaks resolutsioonile tuleb täiendavalt lugeda ettekirjutuse põhjendusi.
40.Ettekirjutuse proportsionaalsuse hindamisel on kaebaja lähtunud eelkõige enda ärihuvidest ehk seadnud ettevõtlusvabaduse kõrgemale andmesubjekti õigusest privaatsusele.
41.Kaebaja väited äritegevuse peatamisest AKI poolt on liialdus. Kaebaja on ettekirjutuse täitnud – seega on äritegevus ka sel viisil võimalik. See, et äritegevuse ümberkorraldamine võib olla ebamugav või ka kulukas, ei kaalu üles andmesubjektide õigust kaitsele.
KOHTU SEISUKOHT JA PÕHJENDUSED
42.Kohus selgitab esmalt, et jätab otsuse tegemisel tähelepanuta kaebaja poolt 12.10.2022 esitatud avalduse, kuna see on esitatud pärast kohtu määratud tähtaja möödumist ning pärast kohtuliku arutamise lõppu (vt ka HKMS § 51 lg 4). Kaebajad ei ole tõendite vastuvõtmisele vastu vaielnud ning said oma seisukohad esitada kohtuistungil. Kohtuistungil kogutud tõendid ei saanud olla üllatuslikud, kuna võtmetöötajatega seonduv oli kaebajale teada. Lisaks esitas kaebaja võtmetöötajate näitena väljavõtte Majandus- ja Kommunikatsiooniministeeriumi ametnikest/töötajatest (vt kaebaja 27.09.2022 menetlusdokumendi lisa 4).
7(12)
Isikuandmete töötlemise vajalikkusega on kaebaja pidanud kogu aeg arvestama, kuna kaebaja on IKÜM art 6 lg 1 p-le f tuginenud (vt kaebaja 06.10.2022 menetlusdokumendi p 1.5.). Seega ei saanud vajalikkuse küsimuse tõstatamine koos viitega asjakohasele Riigikohtu 26.09.2022 otsusele asjas nr 3-20-1449 olla kaebajale üllatuslik. Kaebaja esindajateks on vandeadvokaadid, kelle puhul saab eeldada, et nad on kohtupraktikaga kursis.
43.Kaebus tuleb jätta rahuldamata. Kaebaja tegevus infoportaali pidamisel ei ole kooskõlas IKÜM-ga, millest tulenevalt on AKI ettekirjutus põhjendatud.
44.Kohus analüüsib esmalt kaebaja etteheiteid ettekirjutuse formaalse õigusvastuse kohta (I), hindab seejärel eraldi iga vaidlustatud ettekirjutuse punkti õiguspärasust (II) ning lõpuks lahendab kaebuse ja jagab menetluskulud (III). I
45.Kohus ei nõustu kaebajaga, et ettekirjutus on formaalselt õigusvastane, kuna see ei vasta selguse ja üheselt mõistetavuse nõudele.
46.Kaebaja etteheide ettekirjutuse 1. nõudes sisalduva sõna „üldkorras“ osas on kohtu hinnangul otsitud. See, et ettekirjutuse põhjendustes sõna „üldkorras“ täpsemalt ei selgitata, ei anna alust pidada nõuet haldusmenetluse seaduse § 55 nõuetega vastuolus olevaks.
47.Põhjendatud ei ole kaebaja seisukoht, et ettekirjutuse 2. nõue on ebaselge, kuna vaatamata ettekirjutuse 1. nõudele toob kohustuse täitmine kaasa ajalooliste andmete töötlemise võimaluse vähenemise nullini. Kohus mõistab ettekirjutuse resolutsiooni punkti 2 nii, et see puudutab üksnes otsingut füüsilise isiku nime järgi, mistõttu on juriidilise isiku vaates ajalooliste andmete töötlemine (ettekirjutuse punktis 1 toodud ulatuses) jätkuvalt võimalik. Selline nõue on kohtu hinnangul selge ning ei ole vastuolus punktiga 1. Seega ei ole ka selles osas ettekirjutus formaalselt õigusvastane.
48.Kaebaja väitel ei ole ettekirjutuse 3. nõue selge, kuna väidetavalt ei ole aru saada, mida peab AKI silmas „muude seotud isikute isikuandmete“ töötlemise all. Kaebaja etteheide ei ole põhjendatud. Mõiste „muude seotud isikute isikuandmed“ on piisavalt arusaadav keskmiselt mõistlikule kolmandale isikule. Ei ole kahtlust, et järelevalvemenetlusega kursis olevale kaebajale, kelle hallatava võrgulehe hinnakirjas on eraldi teenusena info muude seotud isikute kohta (vt kohtu poolt 06.06.2022 asja juurde võetud tõend), on ettekirjutuse 3. nõue arusaadav. II
1.nõue: „Piirata endiste juhatuse liikmete ja nõukogu liikmete avalikustamise tähtaega üldkorras viiele aastale“.
49.Isikuandmed on igasugune teave tuvastatud füüsilise isiku kohta (IKÜM art 4 p 1). Võrgulehtedel olev teave tekib kas seda algupäraselt luues (nn esmane avalikustamine) või sünteesides olemasolevat avalikustatud teavet (nn teisene avalikustamine).
50.Kohus ei nõustu kaebajaga, et andmete avalikustamine on põhjendatud seni, kuni see teenib informatsiooni jagamise eesmärki läbipaistvama ärikeskkonna ja teabevabaduse huvides. Kuigi läbipaistev ärikeskkond ja teabevabadus on demokraatlikus ühiskonnas olulised väärtused, ei saa pelgalt sellele seisukohale tuginedes jätta isikuandmete kaitseks kehtestatud regulatsiooniga arvestamata.
51.Kaebaja on nii kirjalikes seisukohtades kui ka kohtuistungil järjepidevalt rõhutanud, et suur osa infoportaalis töödeldavatest andmetest pärineb äriregistrist ning kuna AKI-l äriregistri osas
8(12)
etteheiteid ei ole, on kaebajale samasisuliste andmete töötlemise eest ettekirjutuse tegemine põhjendamatu ning ebaproportsionaalne.
52.Kaebaja tegevust ei muuda seaduslikuks asjaolu, et ta töötleb varasemalt avalikustatud isikuandmeid. Äriregistris sisalduvate juriidilise isikuga seotud füüsilise isiku isikuandmete avalikustamine toimub seaduslikul alusel, milleks on äriseadustiku (ÄS) §-d 36 (äriregistri koosseis), 37 ja 64 (registrikaart). Füüsilise isiku andmed on tema kui juriidilise isiku esindaja andmed: nimi, isikukood ja sünnikuupäev ja kontaktandmed. Vastu võetud ja 01.02.2023 jõustuva äriregistri seaduse (https://www.riigiteataja.ee/akt/105052022038) seletuskiri1 (lk 14) selgitab isikuandmete avalikustamist äriregistris järgmiselt: Äriregistri eesmärk on õiguslikult oluliste asjaolude kajastamine ja avalikustamine ning õiguskindlus ja kolmandate isikute kaitse. Need olulised asjaolud seonduvad juriidilise isiku esindusõigusega: tehingust huvitatud isikul peab olema võimalik avaliku registri kaudu kontrollidal, kas tehingut tegeval füüsilisel isikul on kehtiv esindusõigus.
53.Lisaks nähtub äriseadustiku (ÄS) regulatsioonist (ÄS §-d 33 ja 34) ning eesmärgist, et ajaloolised andmed ei oma õiguslikku tähendust. Tegemist on informatiivsete andmetega ning näiteks õigusvaidlusi silmas pidades puudub vajadus ajalooliste andmete säilitamiseks.
54.Infoportaalis olevad andmed on üksnes üheks viisiks asjaolu tuvastamisel. Riigikohtu halduskolleegium selgitas 26.09.2022 otsuses haldusasjas nr 3-20-1449, et „[i]sikuandmete töötlemiseks õigusliku aluse olemasolu ei tähenda siiski seda, et isikuandmete töötlemine on igal konkreetsel juhul õiguspärane. Töötlemine kui toiming peab olema õigusliku alusega kooskõlas. Teisisõnu, lisapiirangud võivad tuleneda õiguslikust alusest enesest, samuti IKÜM art-s 5 sätestatud töötlemise põhimõtetest. Nii sätestab IKÜM art 5 lg 1 p c võimalikult väheste andmete kogumise ehk minimaalsuse põhimõtte. Nimetatud põhimõtet tuleb hinnata koostoimes IKÜM art 6 lg 1 p-s c ning art 9 lg 2 p-des f ja g sätestatud „vajalikkuse“ kriteeriumiga, st konkreetsete isikuandmete töötlemine peab olema „vajalik“ kõnealuses aluses sätestatud eesmärgil töötlemiseks (vrd ka Euroopa Kohtu otsus asjas C-708/18 Asociaţia de Proprietari bloc M5AScaraA, p 48).“ (viidatud otsuse p 24).
55.Seega tuleb andmete säilitamisel arvestada minimaalsuse ja vajalikkuse põhimõtetega. Kuivõrd nn ajaloolisi andmeid ei ole vajalik säilitada (töödelda) äriregistri eesmärgist lähtuvalt, rikub kaebaja minimaalsuse põhimõtet, kui säilitab valimatult ajalooliseid andmeid. Informatsioonivabaduse ega andmete terviklikkuse põhimõte ei õigusta isikuandmete valimatut säilitamist. Kohtumenetluse käigus tuvastas kohus (vt menetluse kestel asja juurde võetud infopanga väljavõtteid), et ajalooliste andmete säilitamine võib ulatuda isegi kuni 1997. aastani.
56.Infoportaalis on andmed juhatuse liikmeks oleku kohta aluseks nn füüsilise isiku vaatele (füüsilise isiku vaade sisaldab isiku e-maili aadressi ja telefoninumbrit (numbreid)). Ka kohtuistungil nõustus kaebaja kohtuga, et kõik füüsilised isikud, kes on kunagi olnud mõne äriühingu juhatuse liikmeks, on infoportaali füüsilise isiku otsingu tulemusel leitavad. Kui nn teisene avalikustamine toimub muul eesmärgil kui see, milleks isikuandmeid koguti, on tegevus IKÜM-iga vastuolus. Füüsilisel isikul, kelle isikuandmed on äriregistris, ei ole põhjendatud eeldada, et tema andmeid avalikustatakse temaga mitte seotud äriühingu(te) poolt muul eesmärgil, kui need on algselt avalikustatud. Sellisel juhul ei ole täidetud kaebaja kui vastutava töötleja õigustatud huvi kriteerium, sest andmesubjekt ei saanud andmete kogumise ajal ja kontekstis mõistlikkuse piires eeldada, et tema isikuandmeid võidakse kaebaja soovitud otstarbel töödelda.
57.Kuigi kohus nõustub vastustajaga selles, et ettekirjutusega antakse hinnang vaid kaebaja ning mitte äriregistri tegevusele, peab kohus vajalikuks selgitada järgmist.
58.Kehtivat regulatsiooni (vt ka selgitusi eespool) arvestades leiab kohus, et seadusandja ei ole andnud äriregistri pidajale volitust ajalooliste andmete säilitamiseks. Seega on selliste isikuandmete säilitamine äriregistris õigusvastane. Sellises olukorras ei saa aga kaebaja oma tegevust õigustada sellega, et avalikustab ja töötleb äriregistris avalikustatud andmeid. Kuivõrd ajalooliste andmete avalikustamine ja töötlemine äriregistris on õigusvastane, on ka kaebaja tegevus selles osas õigusvastane.
59.Euroopa Parlamendi ja Nõukogu 20.06.2019 direktiiv (EL) 2019/1024 avaandmete ja avaliku sektori valduses oleva teabe taaskasutamise koha (nn avaandmete direktiiv) ei sätesta üheselt, milliste andmete laialdast kättesaadavust peaks võimaldama (vt ka avaandmete direktiivi põhjenduspunkt 16). Kohus leiab, et äriühingute ja äriühingute omandisuhete andmed on käsitatav väärtusliku andmestikuna (vrd avaandmete direktiivi art 13) üksnes osas, milles need puudutavad kehtivad andmeid. Ajaloolisi andmeid ei saa pidada osaks väärtuslikust andmestikust, kuna need ei kajasta äriühingute andmeid ega omandisuhteid. Samuti tuleb arvestada, et avaandmete direktiivist lähtuv tegevus, s.o andmete taaskasutus, on lubatud üksnes siis, kui järgitakse IKÜM-i artikli 5 lõike 1 punktis b ja artiklis 6 sätestatud eesmärgi piirangu põhimõtet (vt ka avaandmete direktiivi põhjenduspunkt 52). Seega ei anna avaandmete direktiiv eraldiseisvat õiguslikku alust riigile ega kaebajale isikuandmete töötlemiseks.
60.Poolte poolt kohtuistungil esitatud viited hiljutistele muudatustele seoses äriregistrist päringute tegemisega (erinevalt varasemast on nüüd võimalik teha tasuta päringuid registrisse sisse logimata) jätab kohus tähelepanuta. Kohus kontrollib ettekirjutuse õiguspärasust selle tegemise seisuga (vt HKMS § 158 lg 2 teine lause), mistõttu ei oma äriregistrit puudutavad muudatused kaebuse lahendamisel tähtsust.
61.Kuivõrd kohtu hinnangul on äriregistris ajalooliste andmete avalikustamine õigusvastane, ei saa kaebaja tegevust nende andmete teisesel töötlemisel pidada õiguspäraseks. Seega on sõltumata muudest võimalikest vastuväidetest ettekirjutuse punkt 1 põhjendatud ning ettekirjutus selles osas õiguspärane. Sellest tulenevalt ei pea kohus kaebaja muude väidete (aegumise põhimõtete kohaldamine jt) üksikasjalikku analüüsimist põhjendatuks ega vajalikuks.
62.Täiendavalt märgib kohus, et ei nõustu kaebajaga, et füüsilise isiku vaatest osade andmete väljajätmine oleks „pooliku informatsiooni andmine“. Õige ja tervikliku informatsiooni töötlemine ei tähenda, et füüsilise isiku puhul peaks ilmtingimata töötlema kogu „ärialast CV-d“. Seni, kuni 5-aastase tähtaja osas on andmed terviklikud ning 5-aasta pikkusest tähtajast lähtumine on infoportaali kasutajatele arusaadav, ei ole tegemist pooliku informatsiooni andmisega.
2.nõue: „Lõpetada võrgulehel füüsilise isiku nime järgi otsimise võimaldamine, kui füüsilisel isikul puudub kehtiv äriline seos konkreetse organisatsiooniga.“
63.See ettekirjutuse nõue puudutab üksnes neid isikuid, kellel ei ole enam kehtivat ärilist seost konkreetse organisatsiooniga. Seega on tegemist nn ajalooliste andmetega. Kohus asus ettekirjutuse 1. nõude õiguspärasuse analüüsimisel seisukohale, et kaebajal puudub õiguslik alus ajalooliste andmete avalikustamiseks. Samuti viitas kohus Riigikohtu seisukohale seoses „vajalikkuse“ kriteeriumiga. Kohus jääb ettekirjutuse 2. nõude osas eelpool esitatud põhjenduste juurde, ei pea nende taasesitamist vajalikuks ning leiab, et ka selle nõude osas on ettekirjutus õiguspärane.
10(12)
64.Kuivõrd ajalooliste andmete avalikustamiseks õiguslik alus puudub, ei ole vajalik analüüsida kaebaja väiteid selle kohta, kas füüsilise isiku nime järgi otsing ja kehtetute seoste kuvamine on isikut ülemääraselt kahjustav või mitte.
65.Vastustaja on põhjendatult viidanud, et kaebaja väited rahapesu tõkestamise osas ei ole asjakohased. Infoportaali kasutamine võib küll lihtsustada kaebaja klientide tegevust rahapesu vastu võitlemisel, kuid sellega ei saa õigustada kaebajapoolset isikuandmete töötlemist.
3.nõue: „Lõpetada võrgulehel toodud muude seotud isikute isikuandmete töötlemine (sh edastamine, avalikustamine).“
66.Kaebaja tegevus võtmetöötajate kajastamisel lähtub kaebaja eelkõige enda kui ettevõtja huvist, mida toetab informatsioonivabadus. Infoportaalis võtmetöötajate kajastamise lõpetamine ei tähenda, et need andmed ei oleks leitavad: see teave on kõikidele isikutele jätkuvalt kättesaadav äriühingute ja riigiasutuste kodulehtedel jne. Seega ei ole kaebaja poolt võtmetöötajate kajastamine infoportaalis vajalik IKÜM art 6 p 1 f mõttes, vaid lähtub infoportaali kasutajate kasutusmugavusest, mis on kaebaja ärihuviks.
67.Kohus nõustub vastustajaga, et võtmetöötajate väljavalimine ei ole läbipaistev. Kohtu poolt kohtuistungil asja juurde võetud tõendid näitavad, et kaebaja ei ole järgi enda poolt kehtestatud juhist: Kaebuse lisas 6 Võtmeametnikud ja juhid. Äripäeva töötaja ei vali muude seotud isikute hulka tavaametnikke, vaid keskastmejuhte ja spetsialiste, nagu näiteks haridusosakonna finantsjuht, personalispetsialist, abilinnapea, järelevalve osakanna juht, pressiesindaja jmt. Kohus tuvastas, et Majandus- ja Kommunikatsiooniministeeriumi võtmetöötajaks loetakse näiteks avaliku suhete osakonna nõunik, personalikonsultant. Samuti ei ole arusaadav, miks on sama asutuse võtmetöötajaks loetud teatud projektijuht (ehitisregistri talituse andmeparandustööde projektijuht), samal ajal kui teine projektijuht (targa majanduse projektijuht) on loetelust välja jäetud (võtmetöötajate loetelu võrdluses Majandus- ja Kommunikatsiooniministeeriumi võrgulehel olevate töötajate andmetega).
68.Kohus nõustub kaebajaga selles, et juhul, kui otsingutulemuse juures on välja toodud, et tegemist on vastava kuupäeva seisuga andmetega, ei ole tegemist valeandmete esitamisega. Küll aga tuvastas kohus (vt kohtuistungil asja juurde võetud tõendeid), et võtmetöötajatega seotud andmete osas ei ole terviklikkus tagatud ning infoportaalis esitatud andmed olid mõne päringu puhul põhjendamatult pikka aega (rohkem kui pool aastat) muutmata.
69.Kuna võtmetöötajate valimiskriteeriumid ei ole jälgitavad, andmete terviklikkus ei ole tagatud ning sellise andmestiku loomine ei ole vajalik, ei ole võtmetöötajate andmetöötlus IKÜM-iga kooskõlas ning vaidlustatud ettekirjutus on 3. nõude osas õiguspärane. III
70.Kokkuvõtvalt on kohus seisukohal, et vaidlustatud ettekirjutus ning sellega seotud vaideotsus on õiguspärased ning nende tühistamiseks puudub alus. Seega jääb kaebus rahuldamata.
71.Kuivõrd kaebus jääb rahuldamata, tühistab kohus Tallinna Halduskohtu 06.06.2022 määrusega kohaldatud esialgse õiguskaitse (HKMS § 253 lg 3).
72.HKMS § 108 lg 1 kohaselt kannab menetluskulud pool, kelle kahjuks otsus tehti. Kuna kohus teeb otsuse kaebaja kahjuks, tuleb menetluskulud jätta kaebaja kanda. Vastustaja ei ole menetluskulusid tõendavaid dokumente kohtule esitanud, mistõttu jäävad menetlusosaliste menetluskulud nende endi kanda (HKMS § 108 lg 1 ja § 109 lg 1).
11(12)
(allkirjastatud digitaalselt) Tristan Ploom Osaliselt jõustunud Tallinna Ringkonnakohtu 27.05.2024 kohtuotsusega.
12(12)
Allikas: Riigi Teataja avaandmed. Füüsiliste isikute nimed on kohtu poolt anonümiseeritud. Andmed on informatiivsed.