Xxxxxx XX, Xxxxxxx XX ja Xxxxxxxxx XX kaebus Andmekaitse Inspektsiooni 30.06.2021 ettekirjutushoiatusele nr 2.1.-6/21/18 Kaebajad: Xxxxxx XX, Xxxxxxx XX ja Xxxxxxxxx XX, lepingulised esindajad vandeadvokaat Villy Lopman ja vandeadvokaadi abi Ken Kaarel Gross Vastustaja: Andmekaitse Inspektsioon, volitatud esindajad Liisa Ojangu, Merili Koppel
Menetlusosalised
Asja läbivaatamise viis
Kirjalik menetlus, digitoimik
RESOLUTSIOON
1.Rahuldada kaebus osaliselt. Tühistada ettekirjutuse resolutsiooni punkt 2.9 ning kohustada Andmekaitse Inspektsiooni lõpetama järelevalvemenetlus ettekirjutuse resolutsiooni punkti 2.9 osas. Kohustada Andmekaitse Inspektsiooni lõpetama järelevalvemenetlus ettekirjutuse resolutsiooni punkti 2.6 osas (arusaamatute ning inimesi kahjustavate lausete avaldamine).
2.Jätta kaebus rahuldamata ettekirjutuse resolutsiooni punktide 1.4, 2.4, 2.5 ja 2.6 tühistamise nõudes ning kohustamisnõudes Andmekaitse Inspektsiooni lõpetama järelevalvemenetlus ettekirjutuse resolutsiooni punktide 1.4, 2.4, 2.5 ja 2.6 (füüsiliste isikute vanuse ning kogemuse kirjeldamine) osas.
3.Mõista Andmekaitse Inspektsioonilt välja menetluskulud 474 eurot Xxxxxx XX, Xxxxxxx XX ja Xxxxxxxxx XX kasuks.
Asendada avaldatavas kohtuotsuses kaebajate nimed tähemärkidega. Kinni katta avalikustatavas kohtuotsuses teiste füüsiliste isikute ja juriidiliste isikute andmed (eesja perekonnanimed, telefoninumbrid ja e-kirjade aadressid).
EDASIKAEBAMISE KORD
Otsuse peale võib Tallinna Ringkonnakohtule esitada apellatsioonkaebuse 30 päeva jooksul otsuse avalikult teatavakstegemisest arvates, s.o hiljemalt 01.08.2022. Vastuseks esitatud apellatsioonkaebusele võib teine menetlusosaline esitada vastuapellatsioonkaebuse 14 päeva jooksul apellatsioonkaebuse vastuapellatsioonkaebuse
esitajale kättetoimetamisest arvates või ülejäänud apellatsioonitähtaja jooksul, kui see on pikem kui 14 päeva (HKMS § 184 lg 3). Kui apellant soovib asja arutamist kohtuistungil, tuleb tal seda apellatsioonkaebuses märkida, vastasel korral eeldatakse, et ta on nõus asja lahendamisega kirjalikus menetluses (HKMS § 182 lg 1 p 9). Kui menetlusosaline soovib apellatsioonkaebuse esitamiseks saada menetlusabi, tuleb tal Tallinna Ringkonnakohtule esitada vastavasisuline taotlus. Menetlusabi taotluse esitamine ei peata menetlustähtaja kulgemist (HKMS § 116 lg 5) ning apellatsioonitähtaja järgimiseks peab menetlusabi taotleja tegema tähtaja kestel ka menetlustoimingu, mille tegemiseks ta menetlusabi taotleb, eelkõige esitama apellatsioonkaebuse (HKMS § 116 lg 6).
ASJAOLUD JA MENETLUSE KÄIK
1.Xxxxxx XX, Xxxxxxx XX ja Xxxxxxxxx XX (edaspidi kaebajad) haldavad võrgulehtesid www.infoXxxxxxx.ee ja www.xxxxxXxxxxxxxx.ee.
2.Andmekaitse Inspektsiooni (edaspidi AKI) tegi järelevalvemenetluse tulemusel 30.06.2021 ettekirjutus-hoiatuse (edaspidi ettekirjutus) nr 2.1.-6/21/18 esitades võrgulehtede haldajatele erinevad nõuded isikuandmete kaitse tagamiseks. AKI kohustas ettekirjutusega: 1) lõpetama võrgulehel infoXxxxxxx.ee füüsiliste isikute (juriidiliste isikute esindajate) andmete töötlemine (kogumine, avalikustamine) seniks, kuni lõpetatud on isikuandmete (sh esindaja nime) kaudu võrgulehe leitavus otsingumootoritele indekseeritavalt (ettekirjutuse resolutsiooni punkt 1.4); 2) lõpetama võrgulehel xxxxxXxxxxxxxx.ee füüsiliste isikute (juriidiliste isikute esindajate) andmete töötlemine (kogumine, avalikustamine) seniks, kuni on lõpetatud isikuandmete (sh esindaja nime) kaudu võrgulehe leitavus otsingumootoritele indekseeritavalt (ettekirjutuse resolutsiooni punkt 2.4), lõpetama füüsilise isikule maine- ja krediidiskoori lisamine ja selle avalikustamine (ettekirjutuse alapunkt 2.5), lõpetama artiklites kajastatud füüsiliste isikute vanuse ning kogemuse kirjeldamine ja arusaamatute ning inimesi kahjustavate lausete avaldamine (ettekirjutuse resolutsiooni punkt 2.6) ning lõpetama on füüsilise isiku kohta csv faili allalaadimise võimalus (ettekirjutuse resolutsiooni punkt 2.9).
KAEBAJA NÕUDED JA PÕHJENDUSED
3.Kohtu menetluses on tühistamisnõue ettekirjutuse punkti 1 alapunkti 1.4 ja punkti 2 alapunktide 2.4, 2.5, 2.6 ja 2.9 osas ning kohustamisnõue järelevalvemenetluse lõpetamiseks. Kaebajate hinnangul on vaidluse peamiseks vaidluskohaks küsimus, kas ja kui kaalukaks peetakse ühiskonnas ning õiguskorras ettevõtluse läbipaistvust ja millisel määral võimaldatakse ettevõtetel teha informeeritud ärilisi otsuseid, sh vältimaks võimalikke pettusi, maandada erinevaid finantsriske ja samuti ka maksuõiguslikke riske (nn hoolsuskohustuse täitmine, mis on eriti oluline käibemaksu puhul). Üheks selliseks lahenduseks on võrgulehed, mis annavad tervikliku ülevaate ärilise otsusega kaasnevatest võimalikest riskidest, sh riskidest, mis tulenevad ettevõttega seotud füüsilisest isikust ning tema praegusest ja eelnevast äritegevusest. Võrgulehtedel on ettevõtluses äärmiselt oluline roll ning see roll suureneb igapäevaselt juba seeläbi, et riik kohustab ettevõtjaid järjest enam täitma erinevaid hoolsuskohustusi (nt maksuõiguslikud ja rahapesu tõkestamisega seotud hoolsuskohustused). Arvestades eeltoodut, tuleb kujundada kohtul põhimõtteline ja laiemalt õiguskorda arvestav otsustus - kas ärihingutega seotud kitsamad füüsiliste isikute huvid
kaaluvad üles ettevõtluskeskkonnale tekkivad negatiivsed tagajärjed, mis kaasneks võrgulehtede tegevuse intensiivse piiramisega.
4.Kaebajad ei nõustunud 30.06.2021 kaebust esitades AKI-ga, et isikuandmete avaldamine indekseeritaval viisil (ettekirjutuse resolutsiooni p-d 1.4 ja 2.4) on andmesubjekti liigselt kahjustav ja seda riivet ei kaalu üles võrgulehe haldaja ja selle kasutajate õigustatud huvid. AKI järeldus ei põhine IKÜM-il. AKI isegi ei viita põhjendustes ühelegi IKÜM-i sättele ega kohtulahendile, mis keelaks isikuandmete kaudu võrgulehe leitavuse otsingumootorites. Ettekirjutuses toodud põhjendused on äärmiselt napisõnalised ega sisalda sisulist analüüsi ega kaalutlusi. Seega ei ole AKI asjas täitnud HMS § 56 lg 1 nõudeid ning adressaadile veenvalt selgitanud, millisel õiguslikul alusel vastav nõue on esitatud. Seetõttu ei ole kaebajatel võimalik aru saada, mis alusel üldse tema õigusi on kitsendatud ja kas selline tegevus on seaduslik või mitte. AKI ei ole kaalunud, kas ja mis põhjendustel võiks indekseerimine olla lubatud. Indekseerimise lõpetamine vähendab aga oluliselt võrgulehtede leitavust (st võrgulehele ei satuta füüsilise isiku nime järgi otsides). Seega riivab ettekirjutus otseselt kaebajate huve ja põhiõigust (ettevõtlusvabadust), kuid kaudsemalt kaebajate klientide huve ning õigusi.
5.Kaebajad selgitasid 20.05.2022, et võrgulehtedel infoXxxxxxx.ee ja xxxxxXxxxxxxxx.ee ei toimu isikuandmete (nimi ja isikukood) otsingumootoritele indekseerimist ning et kaebajad on teinud omalt poolt kõik mõistlikult võimaliku selleks, et isikuandmed ei oleks otsingumootoritele leitavad.
6.Kaebajad leidsid 10.06.2022, et AKI on ettekirjutuses kategooriliselt eitanud igasugust võimalust isikuandmete indekseerimiseks otsingumootoritele. AKI 01.06.2020 ettepaneku (vt kaebuse lisa 1) kohaselt: „Nagu öeldud, avalikustatakse praegu andmeid inimese nime põhiselt ja otsingumootoritele indekseeritavalt, mis inspektsiooni hinnangul on eesmärgipäratu ning inimest ülemääraselt kahjustav. Õigustuseks ei saa olla, et need andmed on ka äriregistris avalikud - ka äriregistri andmed ei ole otsingumootoritele avatud“. Käesolevaks hetkeks on kaebaja tõendanud, et äriregistris avaldatud isikuandmed on otsingumootoritele indekseeritavad. See tähendab, et AKI poolt aluseks võetud eeldus (äriregistris isikuandmeid ei indekseerita) on osutunud ebaõigeks ning AKI ettekirjutus on tehtud ebaõigetel alustel. Kuigi AKI on menetluses avaldanud seisukohta, et xxxXxxxxxx avaldab isikuandmeid muul alusel kui kaebaja, siis vastavat õiguslikku alust ei ole AKI välja toonud. Muuhulgas ei ole AKI selgitanud, millisel alusel toimub isikuandmete otsingumootoritele indekseerimine, arvestades seda, et õiguslik alus peab olema tõendatud iga töötlustoimingu teostamiseks (st pelgalt asjaolu, et andmed avaldatakse äriregistris, ei muuda automaatselt legitiimseks nende andmete otsingumooritele leitavaks muutmist). AKI hinnangul on otsingumootoritele isikuandmete indekseerimine lubamatu põhjusel, et selline isikuandmete töötlemine on inimest ülemääraselt kahjustav. Ebaõige on seisukoht, et isikuandmete indekseerimine äriregistri kaudu kahjustab andmesubjekti õigusi vähem kui samade andmete indekseerimine eraettevõtja poolt. Mõlemal juhul on tagajärg ja riive füüsilise isiku privaatsusele identne. AKI on seisukohal, et riigiasutustele peaksid indekseerimise osas kohalduma samasugused reeglid nagu eraettevõtjatele. AKI 01.06.2020 ettepaneku kohaselt: „Inspektsioon on saanud riigiregistritest andmete (taas) avalikustamise osas ka Saksamaa (Hamburgi) järelevalveasutuselt arvamuse, milles märgiti, et isikuandmete (taas) avalikustamine ei ole reeglina lubatud ning see saaks olla lubatud erandjuhtudel ning üksnes siis, kui kohaldatakse samu piiranguid (sh otsingumootoritele) nagu riigiregistrite puhul. Ehk ka Saksamaa järelevalveasutus on olnud seisukohal, et olukorras, kus riigiregistrites olevad
isikuandmed ei ole otsingumootoritele indekseeritavad, ei tohi need olla indekseeritavad ka andmetöötlejatel, kes isikuandmeid (taas)avalikustavad“. Seega on AKI enda seisukoht, et isikuandmete avalikustamine (sh indekseerimine) eraettevõtja poolt on lubatud samadel tingimustel kui riigiasutuse poolt. Eeltoodust nähtub ühtlasi, et AKI on oma seisukohtades vastuoluline ja ebaloogiline. Kui välisriikide asutuste praktika ja tõlgendused langevad kokku AKI püsitatud eesmärkidega, siis viidatakse neile kui kaalukatele argumentidele. Asjaolude muutumisel (nagu antud juhul, kus xxxXxxxxxx on asunud isikuandmeid indekseerima) samu praktikaid ja tõlgendusi eiratakse. Kokkuvõttes on nii äriregistri kui ka kaebajate poolt isikuandmete indekseerimine seaduslik. Sellest tulenevalt oleks AKI mistahes indekseerimisega seonduvate puuduste ilmnemisel (nt õigustatud huvi analüüsi puudumisel) pidanud indekseerimise keelamise asemel andma kaebajale täiendava tähtaja isikuandmete töötlemise seadusliku aluse tõendamiseks. Kui indekseerimine on mh teatud täiendavate tingimuste täitmisel (nt õigustatud huvi analüüsi esitamise) lubatud, siis järelikult puudus AKI-l proportsionaalsuse põhimõttest tulenevalt õigus teha kaebajale ettekirjutus indekseerimise lõpetamiseks.
7.Kohus palus kaebajatel vastata küsimustele: a) kas kaebajad väidavad endiselt, et nad ei ole oma võrgulehtedel isikuandmeid indekseeritavaks muutnud; b) kas kaebajad saavad isikuandmete indekseerimist välistada kasutades välistuskoodi Disallow: /*-ID. Kui välistuskoodi saab kasutada ning kui kaebajad ei ole seda teinud, siis kas kaebajad väidavad endiselt, et nad on teinud omalt poolt kõik mõistlikult võimaliku selleks, et isikuandmed ei oleks otsingumootoritele leitavad; c) kas kaebajad nõustuvad, et vastustaja kohtleb kaebajaid võrdselt teiste turuosalistega; d) kas kaebajad nõustuvad, et tehniliselt on võimalik võrguleht seadistada selliselt, et need isikuandmed on nähtavad ainult registreeritud kasutajatele. Kui kaebajad vastavad jaatavalt, siis miks ei ole nad vastavalt võrgulehte seadistanud; e) kas ja millal muudavad kaebajad võrgulehtede infoXxxxxxx.ee ja xxxxxXxxxxxxxx.ee kasutajakonto tegemise tasuliseks, mis välistab või vähemalt vähendab uudishimust kasutajakonto tegemist. Esiteks, kaebaja jääb oma seisukoha juurde, et isikuandmed ei ole indekseeritavad. Kaebaja võrgulehtede lähtekoodid ei sisalda isikuandmeid. Kohtu poolt viidatud andmed (X. X. profiilil avaldatud kontakttelefon ja e-posti aadressid jm kohtu poolt viidatud andmed) ei ole isikuandmed. Nimelt on kõnealused andmed äriühingute äriregistri järgsed kontaktandmed (vt Lisa 1 - selgitused). Seega ei ole tegemist isikuandmetega vaid äriühingu kontaktandmetega. Samuti on kaebaja teinud omalt poolt kõik mõistliku selleks, et isikuandmed ei oleks otsingumootoritele leitavad, eemaldades võrgulehe lähtekoodist isikuandmed (vt kaebaja 20.05.2022 selgitus). Teiseks, kaebaja saab teoreetiliselt võrgulehtedel kasutada kohtu nimetatud välistuskoodi, kuid välistuskood kehtib sellisel juhul kõikide isikute profiilidele, mis tähendaks, et otsingumootoritele ei oleks leitavad ka selliste isikute profiilid, kes oma isikuandmete avaldamist ise on soovinud. Selliseid isikuid, kes soovivad enda profiilide indekseerimist ja enda andmete läbipaistvust, on tuhandeid. Kaebaja kordab, et indekseerimist ei toimu, kui võrgulehe lähtekoodist on isikuandmed eemaldatud. Kui isik on sõltumata eeltoodust otsingumootorist leitav, siis tuleb otsingutulemuste kuvamise takistamiseks pöörduda otsingumootori haldaja poole, kes sõltumata indekseerimise välistamisest otsingus isikuandmeid kuvab. Kolmandaks, kaebaja pädevuses ei ole hinnata, kas AKI kohtleb kaebajaid võrdselt teiste turuosalistega. Mh ei ole sellekohast järeldust võimalik teha ühe ettekirjutuse põhjal. Küll aga rõhutab kaebaja, et äriregistri näol on sisuliselt tegemist kaebaja konkurendiga, kuna ka xxxXxxxxxx müüb tasu eest andmeid ning pakub eraettevõtjatele konkurentsi (isikukoodi ja
nime järgi otsingumootoris otsides antakse vasteks äriregistri linke). Seega, kaebaja hinnangul on turuosaliseks mh xxxXxxxxxx, millele kohalduvad indekseerimise osas oluliselt soodsamad reeglid. Neljandaks, kaebaja on varasemalt selgitanud, et kohtu poolt toodud näidete puhul on andmete näol tegemist ärühingu kontaktandmetega, mitte isikuandmetega. Seega tulenevalt küsimuse püsitusest ei ole võimalik kohtu küsimusele sisuliselt vastata. Viiendaks, tasuta kontoga isikutele kuvatakse isikuandmeid piiratud hulgal ning kaebaja hinnangul on kehtivad piirangud kooskõlas IKÜM-ga. Tulenevalt AKI ettepanekus viidatud Saksamaa (Hamburgi) järelevalveasutuse arvamusest peaks isikuandmete (taas) avalikustamisel lähtuma samadest piirangutest (sh otsingumootoritele) nagu riigiregistrite puhul. Kuivõrd tasuta kontoga sisenemisel ei avaldata suuremas koosseisus isikuandmeid kui äriregistris, siis oleks kasutajakontole täiendavate piirangute seadmine põhjendamatu. Menetlusdokumendi esitamise seisuga 17.06.2022 on selgunud, et äriregistris andmete avalikustamisega seonduvalt on kavandatud muudatusi, mis isikuandmetele ligipääsetavust hõlbustavad. 01.09.2022 jõustub määrus, mille kohaselt kaotatakse ära e-äriregistri andmete päringute tasud. Alates määruse jõustumisest saab kõiki päringuid teostada tasuta. Määruse seletuskirja kohaselt määruse vastuvõtmise tulemusena „on võimalik nende andmete põhjal arendada uusi innovatiivseid teenuseid ning ettevõtlussektor muutub läbipaistvamaks“. Seejuures „ebasoovitavate mõjude riski ei ole, kuna andmesaajate jaoks on tegemist positiivse mõjuga“. Seega kinnitavad äriregistriga seonduvalt planeeritavad muudatused (andmete tasuta kuvamine) kui ka äriregistri praegune praktika (andmed on indekseeritavad), et kaebajatele AKI poolt esitatud etteheited isikuandmete töötlemise õigusvastasuse osas on alusetud. Muuhulgas on kavandatava muudatuse valguses alusetu AKI seisukoht, et teatud isikuandmete kuvamise eest peaksid infoportaalid võtma tasu, vältimaks andmetega uudishimust tutvumist. Arvestades, et andmesubjektide õiguste riive mõistes puudub erinevus, kas tema andmeid töötleb (indekseerib ja tasuta avalikustab) riiklik Xxxxxxx või eraettevõtja, siis puudub õiguslik alus keelata kaebajatel isikuandmete töötlemist ulatuses, milles seda teeb (või teeb lähitulevikus) xxxXxxxxxx. AKI hinnangul õigustab isikuandmete avalikustamist äriregistri poolt eelkõige asjaolu, et selline tegevus ei kahjusta ülemääraselt andmesubjekti huve.
8.Kaebajad ei nõustunud kaebust esitades, et nad avalikustavad võrgulehel xxxxxXxxxxxxxx.ee füüsiliste isikute kohta maine- ja krediidiskoore (ettekirjutuse resolutsiooni p 2.5). Mõlemad skoorid kajastavad füüsilise isikuga seotud ettevõtete vastavaid skoore (ettevõtete keskmisi maine- ja krediidiskoore). Võrgulehtedel oli ettekirjutuse koostamise ajal mõlema skoori juures viide skooride kujunemise põhimõtetele. Seega on AKI nõude täitmine võimatu, sest AKI poolt välja toodud probleem puudub. Isegi kui leida, et skooride esitlemise viis viitab sellele, et skooride näol on tegemist füüsilisele isikule omistatava skooriga, siis kaebuse esitamise seisuga on võrgulehel sisse viidud täpsustavad muudatused. Nimelt on skooride kuvamisel füüsilise isiku juures skooride juures märked „seotud juriidiliste isikute skoorid ja reiting“ ning „seotud isikute krediidiskoor“ ja „seotud isikute maineskoor“. Seega puudub kahtlus, et skooride kuvamine võrgulehel on lubatud. Samas ei ole AKI ettekirjutuse resolutsiooni sõnastus üheselt selge: sellest ei selgu see, kas lõpetada tuleb füüsilistele isikutele omistatavate skooride avaldamine või ettevõtete skooride avaldamine füüsiliste isikute juures. Juhul, kui AKI on seisukohal, et lõpetada tuleks mistahes
skooride avaldamine füüsiliste isikute juures, siis sellist nõuet ei ole AKI ettekirjutuses põhjendanud ega sisuliselt analüüsinud. AKI keeld skooride avaldamiseks ei põhine ühelgi õigusnormil ega tulene kohtupraktikast. Kaebajad leidsid 10.06.2022, et ebaõige on AKI tõlgendus, mille kohaselt füüsilisele isikule skoori määramine on lubatud üksnes isikuandmete kaitse seaduse (edaspidi IKS) § 10 kohase isiku krediidivõimelisuse hindamise raames. Maineskooride avaldamine ei kuulu IKS § 10 kohaldamisalasse. IKS § 10 lg 1 reguleerib võlasuhte rikkumisega seotud isikuandmete töötlemist. Maineskoor kujuneb üksnes ettevõtete andmete põhjal (vanus, filiaalid, töötajate arv, käive, põhikapital, finantsnäitajad, maksehäired, esitamata maksudeklaratsioonid/aruanded, andmete täielikkus jms). Maineskoor ei kujune füüsilise isiku andmete alusel ega mh füüsilise isiku võlasuhte rikkumisega seotud andmete põhjal. Eeltoodust tulenevalt ei ole maineskoorid käsitletavad isikuandmetena. Käesolevaks hetkeks on AKI loobunud maineskooride avaldamise lõpetamise nõudest. Nimelt on AKI 20.05.2022 menetlusdokumendis avaldanud: „Küll aga nõustub AKI sellega, kui ka tegelikult ja igas olukorras (sõltumata sellest, kas on registreerimata kasutaja, registreeritud kasutaja või kasutatakse tasulist teenust) tagatakse see, et skoori juurde on lisatud nt „Seotud ettevõtete skoor““. Eeltoodust nähtub, et AKI on kaebajaga nõustunud, et vastava märke olemasolul ei ole maineskooride näol tegemist isikuandmetega. Seega on AKI tunnistanud, et ettekirjutus maineskooride avaldamise lõpetamiseks on õigusvastane ning AKI oleks proportsionaalsuse põhimõttest tulenevalt saanud esitada kaebajale üksnes nõude tagada maineskooride juures selgitava märke olemasolu. Kaebajad on nüüdseks lisanud selgitava märke võrgulehtedele, mis kajastuvad 12.04.2022 kohtumääruses viidatud lisades 8 ja 10 (vt Lisa 3 – väljavõtted võrgulehtedelt). Märke lisamine ei mõjuta asjaolu, et AKI ettekirjutus maineskooride avaldamise lõpetamiseks on ebaproportsionaalne ja õigusvastane.
9.AKI ei ole ettekirjutuse resolutsiooni p 2.6. osas välja toonud, mis õiguslikul alusel on ta jõudnud järeldusele, et füüsiliste isikute vanuse ja kogemuse kirjeldamine ei ole lubatud. AKI on üksnes välja toonud üksikud võrgulehel avaldatud näited ning on teinud põhjendamata järelduse andmete avaldamise lubamatuse kohta. Lisaks, kui ettekirjutuse resolutsiooni kohaselt ei keela AKI füüsilise isiku isikukoodi ja sünnikuupäeva avaldamist ega isikute seoste (seoses erinevate juriidiliste isikutega, sh minevikus) avaldamist, siis jääb arusaamatuks, millest tulenevalt on keelatud isiku vanuse ja kogemuse kirjeldamine artiklitena või lugudena. Tegemist on üksnes füüsilise isiku isikukoodist ja isiku seostest tuletatud infoga, mis on kirja pandud jutustavas vormis. Seega on põhjendamatu keelata isiku kohta faktide esitamine jutustavas vormis. Ebaõige on AKI nõue lõpetada „arusaamatute ning inimesi kahjustavate lausete avaldamine“. Kas konkreetne lause on arusaamatu või inimesi kahjustav, tuleb iga lause puhul eraldi kindlaks teha. Selliste asjaolude hindamine toimub tsiviilkohtumenetluses (eelkõige ebaõigete andmete avaldamise või kahjustavate väärtushinnangute üle otsustamisel). AKI on antud juhul väljunud enda pädevusalast. Seaduse reservatsiooni põhimõttest tulenevalt saab AKI esitada ettevõtjale nõudeid üksnes õiguslikul alusel, mitte lähtuvalt eesti keele grammatikast või keelelisest stiilitunnetusest. Kaebajad leidsid 10.06.2022, et AKI 20.05.2022 menetlusdokumendi kohaselt puudub õigustatud huvi analüüsis puudub teave füüsiliste isikute vanuse ning kogemuse kirjeldamise osas.
Õigustatud huvi analüüsis on käsitletud üksnes selliseid töötlustoiminguid, mida kaebaja analüüsi koostamise ajal tegelikult teostas. Kuna kaebaja oli selleks ajaks isikute vanuse ja kogemuse kirjeldamise ajutiselt lõpetanud, siis analüüs vanust ja kogemust kirjeldavaid lugusid ei käsitlenud. Vaidluse lahendamisel ei oma tähtsust asjaolu, kas kaebaja õigustatud huvi analüüsis esineb puudujääke. Asjas tuleb hinnata seda, kas lugude avaldamine on keelatud või mitte. Kui lugude avaldamine on mh teatud täiendavate tingimuste täitmisel lubatud, siis järelikult puudus AKI-l proportsionaalsuse põhimõttest tulenevalt õigus teha kaebajale ettekirjutus lugude avaldamise lõpetamiseks. Kaebajatele nähtub, et AKI on vähemalt osaliselt kaebaja seisukohaga nõustunud. Kaebaja on seisukohal, et isiku vanuse ja kogemuse kirjeldamine lugudena on lubatud. 20.05.2022 menetlusdokumendis on AKI seisukoht järgnev: „Selleks, et anda informatsiooni näiteks vanuse osas edasi, ei ole vajalik kirjutada toredas tudengieas, värske veri või parimas nooruses, vaid piisabki lihtsalt vanusest“. Seega isikute vanuse ja kogemuse kirjeldamine arvuliselt ei ole AKI hinnangul keelatud. AKI ettekirjutusest ja 20.05.2020 menetlusdokumendist lähtuvalt heidab AKI jätkuvalt kaebajale ette arusaamatute ning inimesi kahjustavate lausete avaldamist. AKI ettekirjutuses ei ole välja toodud konkreetseid lauseid, mis AKI hinnangul on „arusaamatud“ või „kahjustavad“. AKI on 06.06.2022 menetlusdokumendis ette heitnud, et ehkki ilukirjanduslikud liialdused ilustamaks „ettevõtjate“ lugusid, on eemaldatud, luuakse kehtetuid seoseid arvesse võttes isikutest jätkuvalt kontrollimatuid ja tegelikkust moonutavaid muljeid. Nimelt on võrgulehel avaldatud inimesest lugu, mis jätab mulje, et tegemist on pikaajalise ettevõtluskarjääriga inimesega. AKI selgituste kohaselt on ebaõige järeldus tehtud tulenevalt asjaolust, et isik töötas aastaid tagasi ettevõttes, kes pakkus oma klientidele ka äriühingute soetamise teenust. Pärast soetamist võõrandati äriühing kliendile. Samuti määrati ta kliendi esindajana ühe äriühingu likvideerijaks. Kaebaja AKI seisukohaga ei nõustu. Esiteks, on igaühel võimalik pöörduda kaebaja poole palvega isikuandmete parandamiseks, kui isik leiab, et andmed ei vasta tegelikkusele. Teiseks, küsimus isiku ettevõtluskogemuse kestuse tõele vastavusest ei kuulu lahendamisele AKI järelevalvemenetluses. AKI enda avaldatud info kohaselt ei ole AKI pädevuses otsustada, kas andmed on ebaõiged. Lisaks ei saa antud asjas raames hinnata lugusid, millele AKI on viidanud pärast ettekirjutuse tegemist.
10.Ettekirjutuse resolutsiooni p-s 2.9 esitatud nõude täitmine on võimatu. Võrgulehtedel oli plaanis võimaldada kasutajatel alla laadida juhatuse liikme csv faili, kuid selle rakenduseni ei jõutud. Seejuures ei ole AKI põhjendanud, millest tulenevalt on keelatud csv faili „allalaadimine“, arvestades et AKI ettekirjutuse põhjendustele tuginedes jääb mulje, et csv faili sisu „kuvamine“ (mitte allalaadimine) võrgulehel on lubatud. Kui AKI eristab põhimõtteliselt neid kahte toimingut ja teeb selle põhjal kaebajaid oluliselt mõjutava otsustuse, siis seda tuleb põhjalikult motiveerida, sh viidata asjakohasele õigusaktile või kohtupraktikale. Juhul, kui AKI on seisukohal, et keelatud on ka csv faili sisu (st selles kajastuvate andmete) avaldamine võrgulehel (mida ettekirjutusest ei tulene, kuivõrd ettekirjutuse kohaselt tuleb lõpetada „allalaadimise võimalus“), siis sellist keeldu ei ole AKI üldse põhjendanud. AKI on käsitlenud, kuigi sedagi äärmiselt pealiskaudselt, csv faili puudutavaid andmeid üksnes „allalaadimise“ lubatavuse valguses.
VASTUSTAJA SEISUKOHT
11.Vastustaja taotleb jätta kaebus rahuldamata.
12.AKI selgitas vastuses kaebusele järgmist.
12.1.Ettekirjutuse resolutsioonis on viidatud IKÜM-i ja IKS-i sätetele, millele tuginedes ettekirjutus tehtud on. Ka vähest põhjendamist ei saa AKI-le ette heita, sest AKI on nii 01.06.2020 ettepanekus kui 30.06.2021 ettekirjutuses, mh lk 10 punktides 2-7, piisava põhjalikkusega ettekirjutuse vaidlustatud punktideni jõudmist selgitanud ja põhjendanud.
12.2.AKI ei ole asunud seisukohale, et kaebajad ei võiks üldse juriidiliste isikute juhatuse liikmete isikuandmeid avalikustada. Vastupidi, AKI on nii vaidlusaluse ettekirjutuse põhjenduste punktis 2 kui ka varasemas ettepanekus asunud seisukohale, et konkreetses asjas ja teatud isikuandmete töötlemise toimingute osas on võimalik tugineda IKÜM artikkel 6 lg 1 punktile f (õigustatud huvi).
12.3.Eraelu puutumatuse riivet raskendav asjaolu on isikuandmete leitavus otsingumootorite kaudu. Nii juhatatakse andmeteni väga lai avalikkus ja seda ka siis, kui ei otsita üksnes ärilisi andmeid, sest otsingutulemus ilmub inimese nime alusel igal juhul. Samuti ei saa seda õigustada kaebajate sooviga oma teenust paremini reklaamida, kuivõrd isiku nime reklaamis kasutamiseks on vaja inimese nõusolekut. Kaebajad saavad oma lehed siduda muude otsingusõnadega, nt „taustakontroll“ vms, mis nende teenust iseloomustavad.
12.4.Riivet raskendav asjaolu on ebaõigete andmete avaldamine, kuivõrd nii luuakse inimesest hoopis eksitav kuvand. Füüsilisele isikule maine- ja krediidiskoori lisamine, vanuse ja kogemuse ülepaisutatud ilukirjanduslikus võtmes kirjeldamine on subjektiivsed ning nende sisu kujunemine ei ole läbipaistev ega kontrollitav. Seega on nende näol tegemist täiendava andmekoosseisuga ning ilukirjanduslike tekstidega liigutakse tööeluga seotud andmetelt eraeluliste andmete juurde, iseloomustades näiteks inimese võimekust teatud vanuses (nt toredas tudengieas 24-aastane; oli värske veri; parimas nooruses 29-aastane naine; parimas nooruses 35- aastane ja kaunis keskeas 38-aastane; küpses vanuses 64-aastane ja parimas nooruses 33-aastane ja kaunis keskeas 45-aastane). Seejuures pelgalt vanuse avalikustamine on mõistetav, sest aitab eristada nimekaime.
12.5.Andmesubjekti kohta andmekogumi alla laetavas vormis huvilistele kättesaadavaks tegemine võimaldab väiksema pingutusega koguda ja salvestada teadmata ajani endale paljude juhatuse liikmete andmeid. Tõsi, huvi korral saab juhatuse liikmete andmeid ka üles kirjutada või pildistada, kuid see on siiski ebamugavam kui masinloetavate valmisfailide allalaadimine ning ilmselgelt heidutav meede massandmetöötluse vastu.
12.6.Riivet kergendab asjaolu, et juhatuse liikmete kohta avalikustatakse peamiselt nende tööelu, mitte eraeluga seotuid andmeid ning asjaolu, et nende nimi, isikukood ja seos ettevõtetega on leitavad ka äriregistris. AKI juhib siiski tähelepanu, et ka äriregistris sisalduvad andmesubjektide andmed ei ole otsingumootorite kaudu leitavad, vaid pelgalt äriregistri enda otsingu kaudu.
13.Pärast kaebajate õigustatud huvi analüüsiga tutvumist leidis vastustaja järgmist.
13.1.Ettekirjutuse resolutsiooni punkt 2.5 on täitmata, sh puuduvad põhjendused füüsilisele isikule lisatava maineskoori osas. Kaebajate selgitus, et füüsilisele isikule maineskoori ei lisata, ei vasta tõele. Isegi juhul, kui koostatud on ettevõtte maineskoor, jätab selle skoori lisamine konkreetse juriidilise isiku esindaja (füüsilise isiku) juurde ekslikult mulje, et tegemist on füüsilise isiku maineskooriga. Kui tegemist on ettevõtte skooridega, siis miks ei ole skoorid seotud ainult konkreetse ettevõttega, vaid skoor on lisatud igale juhatuse liikmele eraldi. Ettekirjutuses ja 01.06.2020 ettepanekus leidis AKI: Füüsilise isikul skoori (punktisumma) määramise osas selgitame, et see võib olla lubatud üksnes IKS § 10 kohase isiku krediidivõimelisuse hindamise raames, arvestades IKÜM profileerimise reegleid. Mh peab iga inimene aru saama, kuidas ja millest lähtuvalt on kujunenud tema punktiskoor (vt ka IKÜM põhjenduspunkti 60). Kuid kindlasti ei
ole lubatud koostada, rääkimata avalikustamisest, mingit abstraktset inimese skoori, mille koostamisel on arvestatud krediidivõimelisusesse mittepuutuvaid asjaolusid. AKI nõustub sellega, kui igas olukorras (sõltumata sellest, kas on registreerimata kasutaja, registreeritud kasutaja või kasutatakse tasulist teenust) tagatakse, et skoori juurde on lisatud nt „Seotud ettevõtete skoor“. Siiski tuleb arvestada, et ka kõikide seotud ettevõtete maineskoori kogumi sidumine konkreetse juhatuse liikmega võib kahjustada juhatuse liiget ning vastuväite saamisel tuleb hinnata, kas seotud ettevõtete maineskoori kogumi edasiseks avalikustamiseks on mõjuv õiguspärane põhjus.
13.2.Õigustatud huvi analüüsis ei ole põhjendatud vajadust füüsiliste isikute kohta kirjelduste koostamiseks ning avalikustamiseks, mistõttu on ettekirjutuse resolutsiooni punkt 2.6. täitmata. Isikuandmeteks on igasugune teave tuvastatud füüsilise isiku kohta. Seega ei saa olla kahtlust, et kirjeldused andmesubjekti vanuse või kogemuse kohta on IKÜM kaitsealas olevad isikuandmed. Isikuandmete (sh andmesubjekti kirjelduste) töötlemiseks peab olema õiguslik alus (IKÜM artikkel 6) ning isikuandmete töötlemine peab vastama isikuandmete töötlemise põhimõtetele (IKÜM artikkel 5). AKI-l järelevalveasutusena on õigus ja kohustus hinnata, kas andmesubjekti kohta käiv teave on õiguspäraselt avalikustatud. AKI-le ei nähtu, et andmesubjektide vanuste või kogemuste kirjeldamine on vajalik kaebajate eesmärgi saavutamiseks.
13.3.Õigustatud huvi analüüsis igasugune teave selle kohta, milliseid isikuandmeid näeb registreerimata kasutaja, milliseid registreeritud kasutaja ning milliseid andmeid tasu eest ehk puudub arusaam, kas ja mis ulatuses on kaebajad taganud selle, et andmesubjekti isikuandmetega ei tutvutaks pelgalt uudishimust.
14.AKI selgitas 06.06.2022 seisukohas järgmist. Ehkki ilukirjanduslikud liialdused ilustamaks „ettevõtjate“ lugusid, on eemaldatud, luuakse kehtetuid seoseid arvesse võttes isikutest jätkuvalt kontrollimatuid ja tegelikkust moonutavaid muljeid (ettekirjutuse resolutsiooni p 2.6). Lisaks sellele on sellise mulje loomine kaootiline: osa isikutest puhul selline nö jutuke luuakse, osa puhul mitte. Näiteks on selline ettevõtja lugu eemaldatud AKI osa ametnikest puhul, samas annab otsing allakirjutanu tuttava nimega huvitava loo, kus jäetakse mulje, et isik on tegelenud ettevõtlusega ca 20 aastat. Selline mulje on loodud kehtetute äriregistri seoste pinnalt, sest isik töötas aastaid tagasi ettevõttes, mis pakkus klientidele äriühingute soetamise teenust. Pärast soetamist võõrandati äriühing kliendile. Samuti määrati ta kliendi esindajana ühe äriühingu likvideerijaks. Sellistest seostest on loodud nüüd mulje, et tegemist on pikaajalise ettevõtluskarjääriga inimesega, mis ei vasta tõele (vt ka lisasid 1 ja 2). Samas tegelikkuses sisuline seos näiteks ettevõttega Xxxxxxx Xxxxx XX isikul puudub, kuid tema nime juures kuvatakse ettevõtet kui üht temaga seotut, mis peaks näitama tema kogemust ettevõtlusmaastikul. Ainus tegelikult isikuga seotud ettevõte on Xxxxxxx XX. Mõistagi on isik ka nime järgi guugeldatav, kui nimele lisada märge Xxxxxxxxx. Seega kuni ei ole seoseid analüüsitud ja veendutud, kas isik ettevõtlusega tegeles või mitte, on tegemist ülemäärase andmetöötlusega. Füüsilistest isikutest juhatuse liikmete kohta csv failide allalaadimise võimalus on maha võetud, seega selles osas on tegevus viidud kooskõlla ettekirjutuse p-ga 2.9.
KOHTU SEISUKOHT JA PÕHJENDUSED
15.Kaebus tuleb rahuldada osaliselt ettekirjutuse resolutsiooni punkti 2.9 tühistamise nõudes ning kohustamisnõudes lõpetama järelevalvemenetlus ettekirjutuse resolutsiooni selle punkti osas. Samuti rahuldab kohus kaebuse kohustamisnõudes lõpetada järelevalvemenetlus ettekirjutuse resolutsiooni punkti 2.6 osas (arusaamatute ning inimesi kahjustavate lausete avaldamine). Ülejäänud osas tuleb kaebus jätta rahuldamata. Selleks, et kohtuotsus oleks loogiliselt üles ehitatud, lahendab kohus esmalt vaidluse selle üle, kas kaebajate poolt võrgulehel www.xxxxxXxxxxxxxx.ee kuvatavad maineskoorid on isikuandmed. Seejärel selgitab kohus, mida kujutab endast võrgulehtede leitavus Google indekseerimisfunktsiooni kaudu ning milliseid andmeid on võrgulehelt võimalik otsingu tegijal leida. Selle põhjal selgub andmete töötluse mõju eraelu puutumatusele. Viimaseks hindab kohus avalikustatavate isikuandmete töötlemise seaduslikkust. Füüsilise isiku maineskoor kui isikuandmed
16.Isikuandmed on igasugune teave tuvastatud füüsilise isiku kaudu (IKÜM art 4 p 1). Võrgulehtedel olev teave tekib kas seda algupäraselt luues (nn esmane avalikustamine) või sünteesides olemasolevat avalikustatud teavet (nn teisene avalikustamine). Käesoleval juhul on vaidlus nn teisese avalikustamise üle: kaebajad kasutavad äriregistris olevaid füüsiliste isikute andmeid (ees- ja perekonnanimi, isikukood ja sünnikuupäev, roll juriidilises isikus, selle algus ja lõpp, xxx- ja ettevõtluskeelud ja kontaktandmed) ning loovad algoritme kasutades, ettevõtlust puudutavaid andmeid analüüsides, maineskoori konkreetse füüsilise isiku kui ettevõtja kohta. Seega on füüsilised isikud tuvastatud ning nende kohta on tehisintellekt algoritme kasutades koostanud täiendava teabe – maineskoori. Maineskoori eesmärk on näidata füüsilise isiku kui ettevõtja usaldusväärsust (12.04.2022 kohtumääruse lisa 5, kaebajate seadusliku esindaja selgitus).
17.Kohus töötles õigusemõistmise eesmärgil isikuandmeid: kohtunik lõi endale mõne minutiga tasuta kasutajakonto. Kohtunik sisestas Google.com otsingumootorisse füüsilise isiku nime: X. X.. X. X. nimega Google.com otsingu tulemusel tekkis võimalus teha tema kohta otsing võrgulehelt infoXxxxxxx.ee (12.04.2022 kohtumääruse lisa 1). InfoXxxxxxx.ee võrgulehele minnes kuvatakse järgmisi andmeid (12.04.2022 kohtumääruse lisa 2): tema erinevad rollid äriühingutes, 4860, 4 tärni viiest ning tuuakse nimeliselt välja temaga seostatavad äriühingud, samuti kohaliku omavalitsuse üksus. Võrgulehel allapoole liikudes kuvatakse järgmisi andmeid (12.04.2022 kohtumääruse lisa 3): ta tegutseb aktiivselt 14-s ettevõttes, on esitatud kontaktid (telefon, 2 e-kirja aadressi) ning tekstiosa Maine: 4860. 12.04.2022 kohtumääruse lisa 5 (kaebajate seadusliku esindaja selgitus) ja 7 tõendavad (otsustajate maineskoori kirjeldus), et maineskoor on hinnang ettevõtja kui füüsilisele isiku, mitte aga juriidilise isiku kohta. Seda põhjusel, et maineskoor on kõigi füüsilise isikuga seotud aktiivsete juriidiliste isikute summaarne skoor (lisa 7). Seda kinnitavad kohtuniku poolt isikuandmete töötluse tulemusel saadud 12.04.2022 kohtumääruse lisad 8 ja 10, millest nähtub, et eristatakse füüsilise isiku maineskoori (X. X. 990 punkti, X. X. 1490 punkti) ja juriidilise isiku maineskoori (Xxxxx Xxxxxxxxx XX maine 1490 punkti).
Seega on füüsilise isiku maineskoor hinnang füüsilise isiku kui ettevõtja tegevusele tervikuna. Järelikult on võrgulehel www.xxxxxXxxxxxxxx.ee kuvatav konkreetse füüsilise isiku maineskoor isikuandmed IKÜM art 4 p 1 mõttes. Füüsilise isiku krediidiskoor kui isikuandmed
18.Kaebajate seaduslik esindaja selgitab (https://xxxxxXxxxxxxxx.ee/media/11735006/mison-krediidiskoor?id=2096177), et ettevõtjate (otsustajate) krediidiskoor, see tähendab juhatuse liikme krediidiskoor arvutatakse juhatuse liikme kõikide seotud ettevõtete aritmeetilise keskmisena võttes aluseks kehtivate seostega ettevõtete krediidiskoori seisu reaalajas ja kehtetute seostega ettevõtete krediidiskoori seis ajahetkel, mil juhatuse liige lahkus ettevõttest. Asjaolu, et eristatakse füüsiliste isikute ja juriidiliste isikute krediidiskoori, nähtub 12.04.2022 kohtumääruse lisadest 8 ja 10 (vt ülalt): X. X. 0,31, X. X. 0,748 ja Xxxxx Xxxxxxxxx XX 0,727. Seega on füüsilise isiku krediidiskoor hinnang füüsilise isiku kui ettevõtja tegevusele tervikuna. Järelikult on võrgulehel www.xxxxxXxxxxxxxx.ee kuvatav konkreetse füüsilise isiku krediidiskoor isikuandmed IKÜM art 4 p 1 mõttes. Isikuandmete töötlemise seaduslikkus
19.Maine- ja krediidiskoori lisamise ja võrgulehel www.xxxxxXxxxxxxxx.ee avaldamisega töötlevad kaebajad isikuandmeid automatiseeritult, lisavad ja avalikustavad isikuandmeid (IKÜM art 4 p 2). Puudub vaidlus, et kaebajatel ei ole iga äriregistris oleva füüsilise isiku, kelle kohta esitatakse maine- ja krediidiskoor, nõusolek isikuandmete töötlemiseks (IKÜM art 6 p 1 a). Sel juhul peab isikuandmete töötlemine põhinema mõnel teisel IKÜM art 6 p-s 1 sätestatud alusel.
20.Kohus ei nõustu kaebajatega selles, et nende poolne isikuandmete töötlemine on seaduslik. Kaebajate tegevust ei muuda seaduslikuks asjaolu, et nad töötlevad varasemalt avalikustatud isikuandmeid. Äriregistris olevate juriidilise isikuga seotud füüsilise isiku isikuandmete avalikustamine toimub seaduslikul alusel, milleks on äriseadustiku (edaspidi ÄS) §-d 36 (äriregistri koosseis), 37, 64 (registrikaart). Füüsilise isiku andmed on tema kui juriidilise isiku esindaja andmed: nimi, isikukood ja sünnikuupäev ja kontaktandmed. Vastu võetud äriregistri seaduse (https://www.riigiteataja.ee/akt/105052022038) seletuskiri (lk 14) selgitab isikuandmete avalikustamist äriregistris järgmiselt: Äriregistri eesmärk on õiguslikult oluliste asjaolude kajastamine ja avalikustamine ning õiguskindlus ja kolmandate isikute kaitse. Need olulised asjaolud seonduvad juriidilise isiku esindusõigusega: tehingust huvitatud isikul peab olema võimalik avaliku registri kaudu kontrollidal, kas tehingut tegeval füüsilisel isikul on kehtiv esindusõigus. Kaebajate poolt füüsilise isiku maine- ja krediidiskoori avalikustamine ei lähtu sellest eesmärgist, vaid eesmärgist hinnata füüsilise isiku kui võimaliku tehingu partneri usaldusväärsust. Seega toimub nn teisene avalikustamine muul eesmärgil kui see, milleks isikuandmeid koguti. See on vastuolus IKÜM-iga (IKÜM art 5 p 1 b, põhjenduspunkt 50). Kohtu hinnangul ei ole füüsilisel isikul, kelle isikuandmed on äriregistris, põhjendatud arvata, et tema andmeid avalikustatakse temaga mitte seotud äriühingute (kaebajate) poolt muul eesmärgil, kui need on algselt avalikustatud. Sellisel juhul ei ole täidetud kaebajate kui vastutava töötleja õigustatud huvi kriteerium, sest andmesubjekt ei saanud andmete kogumise
ajal ja kontekstis mõistlikkuse piires eeldada, et tema isikuandmeid võidakse sellel otstarbel töödelda. Andmesubjekti huvid ja põhiõigused võivad olla vastutava töötleja huvidest tähtsamad eelkõige juhul, kui isikuandmeid töödeldakse olukorras, kus andmesubjektil ei ole mõistlik eeldada edasist töötlemist (IKÜM põhjenduspunkt 47). Seega ei ole isikuandmete töötlemine õiguspärane IKÜM art 6 p 1 f alusel. Kaebajad ei töötle isikuandmeid avalikes huvides oleva ülesande täitmiseks (IKÜM art 6 p 1 e). Kaebajad ei ole sellele IKÜM alusele otsesõnu toetunud, kuid on kaebuses (p-d 9, 10) leidnud, et kohtul tuleb otsustada, kas äriühingutega seotud kitsamad füüsiliste isikute huvid kaaluvad üles ettevõtluskeskkonnale tekkivad negatiivsed tagajärjed, mis kaasneks võrgulehtede tegevuse intensiivse piiramisega. Avalikes huvides oleva ülesande täitmine tähendab seda, et see ülesanne lähtub õigusaktist (IKÜM põhjenduspunkt 45). Sel juhul on vastutaval töötlejal õigus ilma andmesubjekti nõusolekuta isikuandmeid töödelda. Kaebajad kui äriühingud ei saa iseseisvalt langetada otsust, et nende avalikest huvidest lähtuvaks ülesandeks on ettevõtluskeskkonna läbipaistvuse ja aususe tagamine. Ilma andmesubjekti nõusolekuta on vastutaval töötlejal lubatud isikuandmeid töödelda erandina IKS§ 10 alusel krediidivaldkonnas: reguleerimise vajadus tuleneb soovist tagada võimalus isikute finantsilise usaldusväärsuse ehk krediidivõimelisuse hindamiseks (IKS eelnõu seletuskiri lk 18, www.riigikogu.ee). Samaväärset erandit ei nähta ette ettevõtluskeskkonna kaitseks. Seetõttu ei oma näiteks tähendust kaebajate lepinguline suhe PPA Rahapesu Andmebürooga, kes on huvitatud võrgulehtede www.infoXxxxxxx.ee ja www.xxxxxXxxxxxxxx.ee kasutamisest. Juhul kui riik peab põhjendatuks erandi tegemist ettevõtluskeskkonna kaitseks, tuleb vastav õiguslik alus ette näha. Eeltoodust tulenevalt on kaebajate tegevus õigusvastane ning ettekirjutuse resolutsiooni p 2.5 õiguspärane. Võrgulehtedel olevate isikuandmete indekseerimine
21.Kaebajad kui äriühingud pakuvad informatsiooni osutamise teenust ehk teabeteenust võrgulehtede www.infoXxxxxxx.ee ja www.xxxxxXxxxxxxxx.ee kaudu. Kaebajatel on ärihuvi seda teenust võimalikult edukalt turundada ja müüa. Kaebajad on teenusega seotud avaliku huvina määratlenud ausa ettevõtluskeskkonda. Euroopa Kohtu kohtujurist tõi 2013.a välja, et internet võimendab ja lihtsustab info levikut enneolematul määral (Kohtuasi C-131/12, kohtujuristi ettepanek p 28, samuti IKÜM põhjenduspunkt 6). See areng on jätkunud ning eelnimetatud võrgulehed on näide, kuidas võrgulehtedel oleva teave koosmõjus Google indekseerimisfunktsiooni kasutamisega võimaldab avalikustada suures koguses isikuandmeid. Võrgulehtedel olevate isikuandmete indekseerimine võimaldab intensiivselt sekkuda isiku eraelu puutumatusesse, kui on võimaldatud lihtsa vaevaga tasuta koguda teavet kõikide ettevõtjate kohta. Kaebajate hallatavate võrgulehtede puhul tähendab lihtne vaev seda, et mõne minutiga on võimalik endale luua tasuta kasutajakonto. Selle tulemusel on kättesaadavad andmed suures mahus: leia infot 123 287 030 ettevõtte äritegevuse kohta (XXXXXXXXX ® 123M+ ettevõtet | Xxxinfo andmebaas | AI rakendused (xxxxxXxxxxxxxx.ee). Nende hulgas on isikuandmed, see tähendab äriregistris olevad füüsiliste isikute kontaktandmed, lisaks maineja krediidiskoor.
Võrgulehtede www.infoXxxxxxx.ee ja www.xxxxxXxxxxxxxx.ee leitavus isikuandmete indekseerimise tulemusel on kaebajate ärihuvi, sest see võimaldab nende teenuse kasutamist. Lihtne tasuta juurdepääs sellisel hulgal andmetele võib tekitada huvi võrgulehtede kasutamise vastu isikutel, kes ei huvitu võimalike xxxpartnerite taustast, vaid koguvad isikuandmeid näiteks reklaami masspostituse eesmärgil. Samuti võimaldab see võrgulehtede uudishimust kasutamist. Seetõttu on AKI ettekirjutuses jõudnud õigele järeldusele, et kaebajate tegevus väga suures mahus isikuandmete kogumisel ja teisesel avalikustamisel võimaldades isikuandmetele ligipääsu nn googeldamise teel rikub ülemääraselt andmesubjektide eraelu puutumatust. See tegevus lähtub kaebajate xxxhuvist, mis ei ole õiguspärane eesmärk (IKÜM art 5 p 1 b).
22.Kohus kogus 30.05.2022 kohtumäärusega tõendid, mis näitavad, et kaebajad indekseerivad isikuandmeid oma võrgulehtede leitavuse eesmärgil. Kohus võttis 12.04.2022 määrusega asja materjalide juurde tõendi 3, mis kajastab infoXxxxxxx.ee võrgulehel olevat X. X. kontakttelefoni XXXXXXX ja e-maili aadresse [email protected], [email protected]. Kui minna X. X. otsingu alusel võrgulehele www.infoXxxxxxx.ee ja vajutada Ctrl+U, siis näeb võrgulehe lähtekoodi. Kohus võttis 30.05.2022 määrusega asja materjalide juurde väljavõte infoXxxxxxx.ee lähtekoodist X. X. (272855-ID) puhul: 1) rida 44 <meta name="robots" content="index, follow" /> annab Google otsingumootorile aluse infoXxxxxxx.ee võrgulehe lähtekoodi analüüsimiseks; 2) rida 46 sisaldab X. <meta name="description" content="Telefon (+372) 504... sisaldab X. X. kontakttelefoni XXXXXXX ja e-maili aadresse [email protected], [email protected] ehk isikuandmeid. Kui kohus analüüsis õigusmõistmise eesmärgil teiste isikute (nt 276741-ID, 594890-ID) infoXxxxxxx.ee lähtekoode, siis need sisaldasid vähemalt kontakttelefoni ja e-maili aadressi ehk isikuandmeid IKÜM art 4 p 1 mõttes. Kohus võttis 30.05.2022 määrusega asja materjalide juurde kohtujuristi ettepaneku kohtuasjas nr C-131/12, milles ta toob välja tehnilise lahenduse otsingumootori indekseerimise vältimiseks – selleks on „välistuskoodi” „robots.txt” (http://en.wikipedia.org/wiki/Robots.txt või http://www.robotstxt.org/.) Välistuskood annab otsingumootoritele märku, et nad ei indekseeriks ega säilitaks allikveebilehte ega kuvaks seda otsingutulemustes (kohtujuristi ettepaneku p 41). Kohus võttis asja materjalide juurde väljavõtte võrgulehelt infoXxxxxxx.ee/robots.txt., mille alusel teeb kohus järelduse, et kaebajad on välistuskoodist teadlikud. Kaebajate väide selle kohta, et välistuskoodi kasutamine on raskendatud, sest tuhanded isikud soovivad enda profiilide indekseerimist ja enda andmete läbipaistvust, on otsitud. Isikuandmete vastutav töötleja peab leidma infotehnoloogilised lahendused, et tegutseda õiguspäraselt. Kohtul puudub veendumus, et lahenduse otsimine jääb kaebajate oskuste/teadmiste taha. Kohus leiab, et kaebajad ei soovi isikuandmete indekseerimist lõpetada, sest see on neile äriliselt kahjulik. Kaebajate väide, et väidetavalt kasutab ka xxxXxxxxxx isikuandmete indekseerimist, ei mõjuta ettekirjutuse õiguspärasust. Vaidluse esemeks ei ole äriregistri tegevus. AKI-l on võimalik kaebajate väidet hinnata oma volitusi teostades. Eeltoodust tulenevalt on kaebajate tegevus õigusvastane ning ettekirjutuse resolutsiooni p-d 1.4 ja 2.4 õiguspärased.
Xxxxxxxxxi lood
23.Ettekirjutuse õiguspärasust hinnatakse ettekirjutuse tegemise seisuga (HKMS § 158 teine lause). Ettekirjutuses (põhjendus p 3) esitatud näidete (nt toredas tudengieas 24-aastane, oli värske veri jne) puhul on küsimus selliste füüsilistele isikutele antavate hinnangute avalikustamise õiguspärasuses. Tegemist ei ole tsiviilõigusliku vaidlusega füüsilise isiku mainele kahju tekitamise üle. Olemuselt on need hinnangud võrreldavad maine- ja krediidiskooriga, sest kajastavad füüsilise isiku usaldusväärsust. Seetõttu on need isikuandmed IKÜM art 4 p 1 mõttes. Kaebajatel puudub sarnaselt maine- ja krediidiskooriga õiguslik alus ja õiguspärane eesmärk selliste hinnangute andmiseks (IKÜM art 5 p 1 b). Seega on selline andmetöötlus ülemäärane. Järelikult on ettekirjutus selles osas õiguspärane ning tühistamisnõude rahuldamiseks puudub alus. AKI vastas kohtule 16.06.2022, et kaebajad on tänaseks päevaks sellised füüsiliste isikute hinnangud ära kustutanud. Seega on ettekirjutuse eesmärk saavutatud, mistõttu kohustab kohus AKI-d lõpetama selles osas järelevalvemenetluse. Vanuse ja kogemuse kirjeldamise eesmärk on konkreetse füüsilise isiku usaldusväärsuse hindamine sarnaselt maine- ja krediidiskooriga. Seetõttu on need isikuandmed IKÜM art 4 p 1 mõttes. Kaebajatel puudub sarnaselt maine- ja krediidiskooriga õiguslik alus ja õiguspärane eesmärk selliste hinnangute andmiseks (IKÜM art 5 p 1 b). Seega on selline andmetöötlus ülemäärane. Lisaks tuleb arvestada AKI poolt 16.06.2022 vastuses märgitut, et füüsilise isiku ja juriidilise isiku kehtetust seosest (pärast juhatuse liikme lõppemist) lähtumine võib anda tegelikkusele mittevastava andmetöötluse tulemuse (IKÜM art 5 p 1 d). AKI tõendas oma väidet (16.06.2022 menetlusdokumendi lisa). Eeltoodust tulenevalt on kaebajate tegevus õigusvastane ning ettekirjutuse resolutsiooni p 2.6 õiguspärane.
24.Vastustaja leidis 16.06.2022 vastuses, et kaebajad on täitnud ettekirjutuse resolutsiooni punkti 2.9 osas on vastustaja tuvastanud, et füüsilistest isikutest juhatuse liikmete kohta csv failide allalaadimise võimalus on maha võetud. Kaebajad väitsid kaebuses, et nad ei ole sellist infotehnoloogilist lahendust kunagi kasutanud. Kuna AKI ei ole ettekirjutuses ega kohtumenetluses tõendanud, et kaebajad kasutasid ettekirjutuse ajal seda infotehnoloogilist lahendust, siis ei ole kohtul võimalik kontrollida ettekirjutuse selle nõude õiguspärasust (ettekirjutuse põhjendus punkt 5). Seetõttu rahuldab kohus kaebuse vastavas osas.
25.Kaebuse osalisel rahuldamisel jagatakse menetluskulud proportsionaalselt kaebuse rahuldamisega (HKMS § 108 lg 2). Kaebajad taotlevad, et kohus mõistaks vastustajalt nende kasuks välja menetluskulud 6803,55 eurot (õigusteenus 45,73 h keskmise hinnaga 155 eurot ilma käibemaksuta, riigilõiv 45 eurot 17.06.2022 menetlusdokument). Kohus mõistab välja üksnes vajalikud ja põhjendatud menetluskulud (HKMS § 109 lg 6). Kohus leiab, et õigusteenus on põhjendatud 35 h ulatuses. Kohus rahuldas kaebuse ühes tühistamisnõudes viiest, mis eeldas sisu ja mahu poolest vähest analüüsi. Seetõttu leiab kohus, et põhjendatud on vastustajalt kaebajate kasuks välja mõista menetluskulud 474 eurot: (õigusteenuse eest 3 h eest, 3*155= ning 1/5 riigilõivust, 45:5=, 465+9=).
26.Kohus asendab avaldatavas kohtuotsuses kaebajate nimed tähemärkidega (HKMS § 175 lg 3). Kohus töötles õigusemõistmise eesmärgil füüsiliste ja juriidiliste isikute andmeid nende nõusolekuta. Nende füüsiliste ja juriidiliste isikute andmed tuleb avaldatavas kohtuotsuses kinni katta. (allkirjastatud digitaalselt)
Tristan Ploom Osaliselt jõustunud Tallinna Ringkonnakohtu 28.05.2024 kohtuotsisega.
Allikas: Riigi Teataja avaandmed. Füüsiliste isikute nimed on kohtu poolt anonümiseeritud. Andmed on informatiivsed.