Source: https://www.riigiteataja.ee/en/compare_original/512112013011
Timestamp: 2020-05-30 22:31:50+00:00

Document:
Entry into force: 15.01.201916.01.201601.01.201501.07.201401.01.2011
6) demand relevant documents and other necessary information from persons and to make copies of documents.
(4) Competent officials of the Data Protection Inspectorate have the right to enter, without hindrance, the premises or territory of a processor of personal data for the purposes of inspection, to access the documents and equipment of a processor of personal data as well as the recorded data and the software used for data processing.
Officials of the Data Protection Inspectorate are required to:
1) be guided by this Act, other Acts and legislation established on the basis thereof;
2) maintain, for an unspecified term, the confidentiality of restricted data and personal data made known to them in the course of their official duties;
3) to present identification upon the request of an inspected person;
4) prepare an inspection report concerning the results of inspection;
5) in the event of a violation of personal data processing requirements, explain the nature of the violation to the processor of the personal data or a representative thereof and demand termination of the violation;
6) issue, in the case of violation of the requirements for processing personal data, a precept or initiate misdemeanour proceedings.
RT I, 30.12.2010, 11
(1) Seaduse eesmärk on kaitsta isikuandmete töötlemisel füüsilise isiku põhiõigusi ja -vabadusi, eelkõige õigust eraelu puutumatusele.
(2) Seadus sätestab:
2) isikuandmete töötlemise riikliku järelevalve korra;
(1) Käesolevat seadust ei kohaldata, kui:
1) isikuandmeid töötleb füüsiline isik isiklikul otstarbel;
2) isikuandmeid üksnes edastatakse läbi Eesti territooriumi, ilma et neid andmeid Eestis muul viisil töödeldaks.
(2) Käesolevat seadust kohaldatakse kriminaalmenetlusele ja kohtumenetlusele menetlusseadustikes sätestatud erisustega.
1) 1990. aasta 19. juulil allakirjutatud konventsioonist, millega rakendatakse 14. juuni 1985. aasta Beneluxi Majandusliidu riikide, Saksamaa Liitvabariigi ja Prantsuse Vabariigi valitsuste vahel sõlmitud Schengeni lepingut kontrolli järkjärgulise kaotamise kohta nende ühispiiridel (Schengeni konventsioon) või
5) biomeetrilised andmed (eelkõige sõrmejälje-, peopesajälje- ja silmaiirisekujutis ning geeniandmed);
7) andmed ametiühingu liikmelisuse kohta;
8) andmed süüteo toimepanemise või selle ohvriks langemise kohta enne avalikku kohtuistungit või õigusrikkumise asjas otsuse langetamist või asja menetluse lõpetamist.
Isikuandmete töötlemine on iga isikuandmetega tehtav toiming, sealhulgas isikuandmete kogumine, salvestamine, korrastamine, säilitamine, muutmine ja avalikustamine, juurdepääsu võimaldamine isikuandmetele, päringute teostamine ja väljavõtete tegemine, isikuandmete kasutamine, edastamine, ristkasutamine, ühendamine, sulgemine, kustutamine või hävitamine, või mitu eelnimetatud toimingut, sõltumata toimingute teostamise viisist ja kasutatavatest vahenditest.
§ 7. Isikuandmete töötleja
(1) Isikuandmete töötleja on füüsiline või juriidiline isik, välismaa äriühingu filiaal või riigi- või kohaliku omavalitsuse asutus, kes töötleb või kelle ülesandel töödeldakse isikuandmeid.
(2) Isikuandmete töötleja määrab kindlaks:
(3) Isikuandmete töötleja (edaspidi vastutav töötleja) võib haldusakti või lepinguga volitada isikuandmeid töötlema teist isikut või asutust (edaspidi volitatud töötleja), kui seadusest või määrusest ei tulene teisiti.
(4) Vastutav töötleja annab volitatud töötlejale kohustuslikke juhiseid isikuandmete töötlemiseks ja vastutab selle eest, et volitatud töötleja täidab isikuandmete töötlemise nõudeid. Käesoleva paragrahvi lõikes 2 nimetatud nõuded määrab volitatud töötleja jaoks kindlaks vastutav töötleja.
(5) Volitatud töötleja võib isikuandmete töötlemist edasi volitada üksnes vastutava töötleja kirjalikul nõusolekul ning tingimusel, et ei ületata volitatud töötleja volituste mahtu.
(6) Väljaspool Euroopa Liitu tegutsev isikuandmete töötleja, kes kasutab isikuandmete töötlemiseks Eestis asuvaid seadmeid, on kohustatud määrama kindlaks Eestis asuva esindaja, välja arvatud käesoleva seaduse § 2 lõike 1 punktis 2 nimetatud juhul.
§ 8. Andmesubjekt
§ 9. Kolmas isik
Kolmas isik on füüsiline või juriidiline isik, välismaa äriühingu filiaal või riigi- või kohaliku omavalitsuse asutus, kes ei ole:
1) isikuandmete töötleja ise;
2) andmesubjekt;
3) füüsiline isik, kes isikuandmete töötleja alluvuses töötleb isikuandmeid.
§ 10. Isikuandmete töötlemise lubatavus
(2) Haldusorgan võib isikuandmeid töödelda üksnes avaliku ülesande täitmise käigus seaduse, välislepingu või Euroopa Liidu Nõukogu või Euroopa Komisjoni otsekohalduva õigusaktiga ettenähtud kohustuse täitmiseks.
(3) Andmesubjektil on õigus igal ajal nõuda isikuandmete avalikustajalt isikuandmete avalikustamise lõpetamist, välja arvatud juhul, kui avalikustamine toimub seaduse alusel või kooskõlas käesoleva paragrahvi lõikega 2 ning andmete jätkuv avalikustamine ei kahjusta ülemääraselt andmesubjekti õigusi. Isikuandmete avalikustajalt ei saa nõuda avalikustamise lõpetamist selliste andmekandjate suhtes, mille üle andmete avalikustajal puudub nõude esitamise ajal kontroll.
(4) Andmesubjektil on õigus igal ajal nõuda avalikustatud isikuandmete töötlejalt isikuandmete töötlemise lõpetamist, kui seadus ei sätesta teisiti ja see on tehniliselt võimalik ega too kaasa ebaproportsionaalselt suuri kulutusi.
(5) Lisaks käesoleva paragrahvi lõigetes 3 ja 4 sätestatule on andmesubjektil õigus esitada käesoleva seaduse §-des 21–23 sätestatud nõudeid.
(6) Isikute krediidivõimelisuse hindamise või muul samasugusel eesmärgil kolmandatele isikutele edastamiseks mõeldud isikuandmete töötlemine on lubatud üksnes juhul, kui:
1) kolmandal isikul on isikuandmete töötlemiseks õigustatud huvi;
2) isikuandmete edastaja on tuvastanud kolmanda isiku õigustatud huvi, kontrollinud edastatavate andmete õigsust ning registreerinud andmeedastuse.
(7) Käesoleva paragrahvi lõikes 6 nimetatud eesmärgil andmete kogumine ja kolmandatele isikutele edastamine ei ole lubatud, kui:
1) tegemist on delikaatsete isikuandmetega;
2) see kahjustaks ülemääraselt andmesubjekti õigustatud huve;
3) lepingu rikkumisest on möödunud vähem kui 30 päeva;
4) kohustuse rikkumise lõppemisest on möödunud rohkem kui kolm aastat.
(8) Kui seadus ei sätesta teisiti, asendab avalikus kohas toimuva heli- või pildimaterjalina jäädvustamise puhul avalikustamise eesmärgil andmesubjekti nõusolekut tema teavitamine sellises vormis, mis võimaldab tal heli- või pildimaterjali jäädvustamise faktist aru saada ja enda jäädvustamist soovi korral vältida. Teavitamiskohustus ei kehti avalike ürituste puhul, mille avalikustamise eesmärgil jäädvustamist võib mõistlikult eeldada.
§ 12. Andmesubjekti nõusolek isikuandmete töötlemiseks
(1) Andmesubjekti tahteavaldus, millega ta lubab oma isikuandmeid töödelda (edaspidi nõusolek), kehtib üksnes juhul, kui see tugineb andmesubjekti vabal tahtel. Nõusolekus peavad olema selgelt määratletud andmed, mille töötlemiseks luba antakse, andmete töötlemise eesmärk ning isikud, kellele andmete edastamine on lubatud, samuti andmete kolmandatele isikutele edastamise tingimused ning andmesubjekti õigused tema isikuandmete edasise töötlemise osas. Vaikimist või tegevusetust nõusolekuks ei loeta. Nõusolek võib olla osaline ja tingimuslik.
(2) Nõusolek peab olema kirjalikku taasesitamist võimaldavas vormis, välja arvatud juhul, kui vorminõude järgmine ei ole andmetöötluse erilise viisi tõttu võimalik. Kui nõusolek antakse koos teise tahteavaldusega, peab isiku nõusolek olema selgelt eristatav.
(3) Enne andmesubjektilt isikuandmete töötlemiseks nõusoleku küsimist peab isikuandmete töötleja andmesubjektile teatavaks tegema isikuandmete töötleja või tema esindaja nime ning isikuandmete töötleja aadressi ja muud kontaktandmed. Kui isikuandmeid töötlevad vastutav töötleja ja volitatud töötleja, siis tehakse teatavaks või kättesaadavaks vastutava ja volitatud töötleja või nende esindajate nimed ning vastutava ja volitatud töötleja aadressid ja muud kontaktandmed.
(4) Delikaatsete isikuandmete töötlemiseks tuleb isikule selgitada, et tegemist on delikaatsete isikuandmetega ning võtta selle kohta kirjalikku taasesitamist võimaldav nõusolek.
(5) Andmesubjektil on õigus igal ajal keelata teda käsitlevate andmete töötlemine tarbijaharjumuste uurimiseks või otseturustuseks ja andmete üleandmine kolmandatele isikutele, kes soovivad neid kasutada tarbijaharjumuste uurimiseks või otseturustuseks.
(6) Andmesubjekti nõusolek kehtib andmesubjekti eluajal ning 30 aastat pärast andmesubjekti surma, kui andmesubjekt ei ole otsustanud teisiti.
(7) Nõusoleku võib andmesubjekt igal ajal tagasi võtta. Nõusoleku tagasivõtmisel ei ole tagasiulatuvat jõudu. Nõusoleku suhtes kohaldatakse täiendavalt tsiviilseadustiku üldosa seaduses tahteavalduse kohta sätestatut.
(8) Vaidluse korral eeldatakse, et andmesubjekt ei ole oma isikuandmete töötlemiseks nõusolekut andnud. Andmesubjekti nõusoleku tõendamise kohustus on isikuandmete töötlejal.
(1) Pärast andmesubjekti surma on andmesubjekti isikuandmete töötlemine lubatud andmesubjekti pärija, abikaasa, alaneja või üleneja sugulase, õe või venna kirjalikul nõusolekul, välja arvatud juhul, kui isikuandmete töötlemiseks nõusolekut ei ole vaja, või juhul, kui andmesubjekti surmast on möödunud 30 aastat. Mitme pärija või muu käesolevas lõikes nimetatud isiku olemasolul on andmesubjekti isikuandmete töötlemine lubatud neist ükskõik kelle nõusolekul, kuid igaühel neist on õigus nimetatud nõusolek tagasi võtta.
(2) Käesoleva paragrahvi lõikes 1 nimetatud nõusolekut ei ole vaja, kui töödeldavateks isikuandmeteks on üksnes andmesubjekti nimi, sugu, sünni- ja surmaaeg ning surmafakt.
1) seaduse alusel;
2) välislepingu või Euroopa Liidu Nõukogu või Euroopa Komisjoni otsekohalduva õigusaktiga ettenähtud ülesande täitmiseks;
3) üksikjuhtumil andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks, kui andmesubjektilt ei ole võimalik nõusolekut saada;
4) andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks, välja arvatud delikaatsete isikuandmete töötlemine.
(2) Isikuandmete edastamine või nendele juurdepääsu võimaldamine andmete töötlemiseks kolmandale isikule on lubatud andmesubjekti nõusolekuta:
1) kui kolmas isik, kellele andmed edastatakse, töötleb isikuandmeid seaduse, välislepingu või Euroopa Liidu Nõukogu või Euroopa Komisjoni otsekohalduva õigusaktiga ettenähtud ülesande täitmiseks;
2) üksikjuhtumil andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks, kui andmesubjektilt ei ole võimalik nõusolekut saada;
3) kui kolmas isik taotleb teavet, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites ja taotletav teave ei sisalda delikaatseid isikuandmeid ning sellele ei ole muul põhjusel kehtestatud juurdepääsupiirangut.
(3) Isikute või vara kaitseks võib isikuandmeid edastavat või salvestavat jälgimisseadmestikku kasutada üksnes juhul, kui sellega ei kahjustata ülemääraselt andmesubjekti õigustatud huve ning kogutavaid andmeid kasutatakse ainult nende kogumise eesmärgist lähtuvalt. Andmesubjekti nõusolekut asendab sellise andmetöötluse korral jälgimisseadmestiku kasutamise fakti ning andmete töötleja nime ja kontaktandmete piisavalt selge teatavakstegemine. Nõue ei laiene jälgimisseadmestiku kasutamisele riigiasutuse poolt seaduses sätestatud alustel ja korras.
Veaparandus - Parandatud ilmne ebatäpsus sõnas "eesmärgist" Riigi Teataja seaduse § 10 lõike 4 alusel.
(1) Kui isikuandmete allikaks ei ole andmesubjekt, peab isikuandmete töötleja pärast isikuandmete saamist, parandamist või enne isikuandmete edastamist kolmandale isikule tegema andmesubjektile viivitamata teatavaks töödeldavate isikuandmete koosseisu ja allikad ning käesoleva seaduse § 12 lõikes 3 nimetatud andmed.
(2) Andmesubjekti ei ole vaja tema isikuandmete töötlemisest teavitada:
1) kui andmesubjekt on andnud nõusoleku oma isikuandmete töötlemiseks;
2) kui andmesubjekt on käesoleva paragrahvi lõikes 1 nimetatud asjaoludest teadlik;
3) kui isikuandmete töötlemine on ette nähtud seaduses, välislepingus või Euroopa Liidu Nõukogu või Euroopa Komisjoni otsekohalduvas õigusaktis;
4) kui andmesubjekti teavitamine ei ole võimalik;
5) käesoleva seaduse § 20 lõikes 1 sätestatud juhtudel.
§ 16. Isikuandmete töötlemine teadusuuringu või riikliku statistika vajadusteks
(1) Andmesubjekti nõusolekuta võib teadusuuringu või riikliku statistika vajadusteks töödelda andmesubjekti kohta käivaid andmeid üksnes kodeeritud kujul. Enne isikuandmete üleandmist teadusuuringu või riikliku statistika vajadustel töötlemiseks asendatakse isiku tuvastamist võimaldavad andmed koodiga. Tagasikodeerimine ja selle võimalus on lubatud ainult täiendavate teadusuuringute või riikliku statistika vajadusteks. Isikuandmete töötleja määrab nimeliselt isiku, kellel on ligipääs tagasikodeerimist võimaldavatele andmetele.
(2) Andmesubjekti tuvastamist võimaldaval kujul on teadusuuringu või riikliku statistika vajadusteks andmesubjekti nõusolekuta tema kohta käivate andmete töötlemine lubatud üksnes juhul, kui pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või oleks nende saavutamine ebamõistlikult raske. Sellisel juhul võib andmesubjekti nõusolekuta isikuandmeid töödelda tingimusel, et selleks on teadusuuringu teostaja hinnangul ülekaalukas avalik huvi ning töödeldavate isikuandmete põhjal ei muudeta tema kohustuste mahtu ega kahjustata muul viisil ülemääraselt andmesubjekti õigusi.
(3) Teadusuuringu või riikliku statistika vajadusteks isikuandmete töötlemine andmesubjekti nõusolekuta on lubatud, kui isikuandmete töötleja on isikuandmete kaitseks võtnud kasutusele piisavad organisatsioonilised, füüsilised ja infotehnilised turvameetmed, delikaatsete isikuandmete puhul on registreerinud nende töötlemise ning Andmekaitse Inspektsioon on enne isikuandmete töötlemise algust kontrollinud käesolevas paragrahvis sätestatud tingimuste täitmist, kuulates vastavas valdkonnas seaduse alusel loodud eetikakomitee olemasolu korral eelnevalt ära ka nimetatud eetikakomitee seisukoha.
(4) Kogutud isikuandmeid on lubatud töödelda teadusuuringu või riikliku statistika vajadusteks, olenemata sellest, millisel eesmärgil neid isikuandmeid algselt koguti. Teadusuuringu või riikliku statistika vajadusteks kogutud isikuandmeid on kodeeritud kujul lubatud säilitada ka hilisemate teadusuuringute või riikliku statistika vajadusteks.
(1) Andmetöötlussüsteemi poolt ilma andmesubjekti osaluseta otsuse (edaspidi automaatne otsus) tegemine, millega hinnatakse tema iseloomuomadusi, võimeid või muid isiksuseomadusi, kui see toob andmesubjektile kaasa õiguslikke tagajärgi või mõjutab teda muul viisil märkimisväärselt, on keelatud, välja arvatud järgmistel juhtudel:
1) automaatne otsus andmesubjekti suhtes tehakse lepingu sõlmimise või täitmise käigus tingimusel, et andmesubjekti taotlus lepingu sõlmimiseks või täitmiseks rahuldatakse või talle on antud võimalus esitada tehtava otsuse suhtes vastuväide oma õigustatud huvi kaitseks;
§ 18. Isikuandmete edastamine välisriiki
(1) Isikuandmete edastamine Eestist on lubatud üksnes sellisesse riiki, kus on piisav andmekaitse tase.
(2) Isikuandmete edastamine on lubatud Euroopa Liidu liikmesriiki ja Euroopa Majanduspiirkonna lepinguga ühinenud riiki, samuti riiki, mille isikuandmete kaitse taset on Euroopa Komisjon hinnanud piisavaks. Isikuandmete edastamine ei ole lubatud riiki, mille andmekaitse taset on Euroopa Komisjon hinnanud ebapiisavaks.
(3) Välisriiki, mis ei vasta käesoleva paragrahvi lõikes 1 sätestatud tingimusele, võib isikuandmeid edastada üksnes Andmekaitse Inspektsiooni loal, kui:
1) vastutav töötleja garanteerib konkreetsel juhul andmesubjekti õiguste ja eraelu puutumatuse kaitse selles riigis;
2) konkreetsel isikuandmete edastamise juhul on selles riigis tagatud piisav andmekaitse tase. Andmekaitse taseme hindamisel tuleb arvesse võtta isikuandmete edastamisega seotud asjaolusid, sealhulgas andmete koosseisu, töötlemise eesmärke ja kestust, andmete edastamise siht- ja lõppriiki ning riigis kehtivat õigust.
(4) Andmekaitse Inspektsioon informeerib Euroopa Komisjoni loa andmisest käesoleva paragrahvi lõikes 3 sätestatud alusel.
(5) Välisriiki, mis ei vasta käesoleva paragrahvi lõikes 1 sätestatud tingimusele, võib isikuandmeid edastada Andmekaitse Inspektsiooni loata, kui:
1) andmesubjekt on andnud selleks käesoleva seaduse § 12 kohase nõusoleku;
2) isikuandmed edastatakse käesoleva seaduse § 14 lõike 2 punktides 2 ja 3 sätestatud juhtudel.
3. peatükk ANDMESUBJEKTI ÕIGUSED
(2) Andmesubjektil on õigus saada isikuandmete töötlejalt enda kohta käivaid isikuandmeid. Isikuandmed väljastatakse võimaluse korral andmesubjekti soovitud viisil. Andmete väljastamise eest paberkandjal võib isikuandmete töötleja alates 21. leheküljest nõuda tasu kuni 0,19 eurot iga väljastatud lehekülje eest, kui seadusega ei ole teabe väljastamise eest riigilõivu ette nähtud.
(3) Isikuandmete töötleja on kohustatud andma andmesubjektile teavet ja väljastama nõutavad isikuandmed või põhjendama andmete väljastamisest või teabe andmisest keeldumist avalduse saamise päevale järgneva viie tööpäeva jooksul. Seaduses võib andmesubjektile tema isikuandmete kohta teabe ja isikuandmete väljastamise korra suhtes näha ette erandi.
(4) Pärast andmesubjekti surma on tema kohta käivate isikuandmete suhtes käesolevas peatükis sätestatud õigused andmesubjekti pärijal, abikaasal, alanejal või ülenejal sugulasel, õel või vennal.
§ 20. Teabe ja isikuandmete saamise õiguse piirangud
(1) Andmesubjekti õigust saada teavet ja enda kohta käivaid isikuandmeid isikuandmete töötlemisel piiratakse, kui see võib:
2) ohustada lapse põlvnemise saladuse kaitset;
3) takistada kuriteo tõkestamist või kurjategija tabamist;
4) raskendada kriminaalmenetluses tõe väljaselgitamist.
(2) Andmete või teabe andmisest keeldumise otsusest teavitab isikuandmete töötleja andmesubjekti. Kui isikuandmeid töötleb volitatud töötleja, otsustab andmete või teabe andmisest keeldumise vastutav töötleja.
§ 21. Andmesubjekti õigus nõuda isikuandmete töötlemise lõpetamist ning isikuandmete parandamist, sulgemist ja kustutamist
(1) Andmesubjektil on õigus oma isikuandmete töötlejalt nõuda ebaõigete isikuandmete parandamist.
(2) Kui isikuandmete töötlemine ei ole seaduse alusel lubatud, on andmesubjektil õigus nõuda:
1) isikuandmete töötlemise lõpetamist;
2) isikuandmete avalikustamise või neile juurdepääsu võimaldamise lõpetamist;
3) kogutud isikuandmete kustutamist või sulgemist.
(3) Isikuandmete töötleja sooritab käesoleva paragrahvi lõigetes 1 ja 2 sätestatud toimingu andmesubjekti nõudel viivitamata, välja arvatud juhul, kui esinevad käesoleva seaduse § 20 lõikes 1 sätestatud asjaolud või kui andmesubjekti nõue on põhjendamatu. Isikuandmete töötleja teavitab andmesubjekti tema nõude rahuldamisest. Rahuldamata jätmist tuleb andmesubjektile põhjendada.
§ 22. Andmesubjekti õigus pöörduda Andmekaitse Inspektsiooni ja kohtu poole
Kui andmesubjekt leiab, et isikuandmete töötlemisel rikutakse tema õigusi, on tal õigus pöörduda Andmekaitse Inspektsiooni või kohtu poole, kui seaduses ei ole sätestatud teistsugust vaidlustamise korda.
§ 23. Andmesubjekti õigus nõuda kahju hüvitamist
1) riigivastutuse seaduses sätestatud alustel ja korras, kui õigusi rikuti avaliku ülesande täitmise käigus või
2) võlaõigusseaduses sätestatud alustel ja korras, kui õigusi rikuti eraõiguslikus suhtes.
4. peatükk ISIKUANDMETE TÖÖTLEMISE NÕUDED JA ISIKUANDMETE TURVAMEETMED
§ 24. Isikuandmete töötlemise nõuded
5) isikuandmed, mille õigsus on vaidlustatud, sulgema kuni andmete õigsuse kindlakstegemiseni või õigete andmete väljaselgitamiseni;
6) isikuandmete parandamise korral viivitamata teavitama sellest kolmandaid isikuid, kellelt isikuandmed saadi või kellele isikuandmeid edastati, kui see on tehniliselt võimalik ega too kaasa ebaproportsionaalselt suuri kulutusi.
§ 25. Isikuandmete organisatsioonilised, füüsilised ja infotehnilised turvameetmed
(1) Isikuandmete töötleja on kohustatud kasutusele võtma organisatsioonilised, füüsilised ja infotehnilised turvameetmed isikuandmete kaitseks:
(2) Isikuandmete töötleja on isikuandmete töötlemisel kohustatud:
3) ära hoidma isikuandmete omavolilist salvestamist, muutmist ja kustutamist ning tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid isikuandmeid salvestati, muudeti või kustutati või millal, kelle poolt ja millistele isikuandmetele andmetöötlussüsteemis juurdepääs saadi;
5) tagama andmete olemasolu isikuandmete edastamise kohta: millal, kellele ja millised isikuandmed edastati, samuti selliste andmete muutusteta säilimise;
(3) Isikuandmete töötleja on kohustatud pidama arvestust isikuandmete töötlemisel kasutatavate tema kontrolli all olevate seadmete ja tarkvara üle, dokumenteerides järgmised andmed:
1) seadme nimetus, tüüp ja asukoht ning seadme valmistaja nimi;
2) tarkvara nimetus, versioon, valmistaja nimi ja kontaktandmed.
§ 26. Isikuandmeid töötlevatele isikutele esitatavad nõuded
(1) Füüsiline isik, kes isikuandmete töötleja alluvuses töötleb isikuandmeid, on kohustatud neid töötlema käesolevas seaduses lubatud eesmärkidel ja tingimustel ning vastutava töötleja antud juhiste ja korralduste kohaselt.
(3) Isikuandmete töötleja on kohustatud tagama oma alluvuses isikuandmeid töötlevate isikute väljaõppe isikuandmete kaitse alal.
§ 27. Delikaatsete isikuandmete töötlemise registreerimise kohustus
(1) Kui isikuandmete töötleja ei ole määranud kindlaks käesoleva seaduse §-s 30 sätestatud isikuandmete kaitse eest vastutavat isikut, on isikuandmete töötleja kohustatud registreerima delikaatsete isikuandmete töötlemise Andmekaitse Inspektsioonis. Kui isikuandmeid töötleb volitatud töötleja, esitab käesolevas peatükis sätestatud taotlusi vastutav töötleja.
(2) Isiku majandustegevust ei registreerita ega anta talle tegevusluba või litsentsi tegevusalal, millega kaasneb delikaatsete isikuandmete töötlemine, kui isikuandmete töötleja ei ole registreerinud delikaatsete isikuandmete töötlemist Andmekaitse Inspektsioonis või määranud isikuandmete kaitse eest vastutavat isikut.
(3) Delikaatsete isikuandmete töötlemine registreeritakse viieks aastaks. Isikuandmete töötleja on kohustatud vähemalt kolm kuud enne registreeringu tähtaja möödumist esitama uue registreerimistaotluse.
1) Andmekaitse Inspektsioon ei ole delikaatsete isikuandmete töötlemist registreerinud, välja arvatud käesoleva seaduse § 30 lõikes 1 nimetatud juhul;
2) delikaatsete isikuandmete töötlemise registreeringu tähtaeg on möödunud;
2) töötlemise tingimus ei vasta käesolevas seaduses, muus seaduses või selle alusel kehtestatud õigusaktis sätestatud nõudele;
3) rakendatud isikuandmete organisatsioonilised, füüsilised ja infotehnilised turvameetmed ei taga käesoleva seaduse §-s 25 sätestatud nõuete täitmist.
(1) Registreerimistaotlus esitatakse Andmekaitse Inspektsioonile isikuandmete töötlejate registrisse kandmiseks vähemalt üks kuu enne delikaatsete isikuandmete töötlemise algust.
1) isikuandmete töötleja, sealhulgas volitatud töötleja nimi, registri- või isikukood, tegevuskoht, asu- või elukoht ja muud kontaktandmed;
2) viide isikuandmete töötlemise õiguslikule alusele;
4) isikuandmete koosseis;
5) isikute kategooriad, kelle andmeid töödeldakse;
6) isikuandmete allikad;
7) isikud või nende kategooriad, kellele isikuandmete edastamine on lubatud;
8) isikuandmete töötlemise koht või kohad;
9) isikuandmete välisriiki edastamise tingimused;
10) käesoleva seaduse § 25 lõikes 2 nimetatud isikuandmete organisatsiooniliste, füüsiliste ja infotehniliste turvameetmete üksikasjalik kirjeldus;
11) käesoleva seaduse § 16 lõike 3 alusel antud eetikakomitee seisukoht, kui see on olemas.
§ 29. Registreerimistaotluse menetlus
(1) Andmekaitse Inspektsioon otsustab delikaatsete isikuandmete töötlemise registreerimise või registreerimisest keeldumise 20 tööpäeva jooksul registreerimistaotluse esitamise päevast arvates.
(2) Andmekaitse Inspektsioon võib kohapeal kontrollida valmisolekut delikaatsete isikuandmete töötlemiseks. Sel juhul pikeneb registreerimistaotluse lahendamise tähtaeg kümne tööpäeva võrra. Kontrollimise tulemusena võib Andmekaitse Inspektsioon anda soovitusi isikuandmete organisatsiooniliste, füüsiliste ja infotehniliste turvameetmete rakendamiseks ja tõhustamiseks.
(3) Isikuandmete töötleja õigus delikaatsete isikuandmete töötlemiseks tekib käesoleva paragrahvi lõikes 1 nimetatud otsuses määratud tähtpäevast. Kui otsuses on tähtpäev määramata, on isikuandmete töötlejal delikaatsete isikuandmete töötlemise õigus alates tema isikuandmete töötlejate registrisse kandmisele järgnevast päevast.
(5) Isikuandmete töötleja on kohustatud isikuandmete töötlejate registrisse kantavate andmete muutmise või täiendamise registreerima Andmekaitse Inspektsioonis. Andmete muutmise või täiendamise registreerimisele kohaldatakse isikuandmete töötlemise registreerimise tähtaegade kohta sätestatut.
(3) Isikuandmete kaitse eest vastutav isik peab isikuandmete töötleja andmetöötlemiste registrit, milles peavad sisalduma käesoleva seaduse § 28 lõike 2 punktides 1–7 nimetatud andmed.
(2) Andmekaitse Inspektsioon on käesolevast seadusest tulenevate ülesannete täitmisel sõltumatu ja tegutseb, lähtudes käesolevast seadusest, muudest seadustest ja nende alusel kehtestatud õigusaktidest.
(3) Isikuandmeid sisaldava riigisaladuse töötlemise üle teostab järelevalvet Andmekaitse Inspektsioon käesoleva seaduse § 2 lõikes 3 sätestatud juhtudel ja ulatuses.
§ 33. Andmekaitse Inspektsiooni ülesanded
3) algatab vajaduse korral väärteomenetluse ja kohaldab karistust;
4) nõuda isikuandmete sulgemist või töötlemise lõpetamist, sealhulgas hävitamist või edastamist arhiivi;
5) rakendada isiku õiguste ja vabaduste kahjustamise ärahoidmiseks vajaduse korral asendustäitmise ja sunniraha seaduses sätestatud korras viivitamata isikuandmete kaitseks organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid, välja arvatud juhul, kui isikuandmeid töötleb riigiasutus;
(3) Käesoleva paragrahvi lõike 2 punktides 1, 3 ja 4 sätestatut kohaldatakse riigiasutuse suhtes üksnes juhul, kui kohaldamata jätmine tooks kaasa andmesubjekti õiguste olulise kahjustamise.
(4) Andmekaitse Inspektsiooni pädeval ametiisikul on õigus kontrollimiseks takistamatult siseneda isikuandmete töötleja territooriumile või ruumi, saada juurdepääs isikuandmete töötleja dokumentidele ja seadmetele, samuti salvestatud andmetele ning andmetöötluseks kasutatavale tarkvarale.
(5) Andmekaitse Inspektsioon võib järelevalvemenetluse algatada kaebuse alusel või omal algatusel.
§ 34. Andmekaitse Inspektsiooni juhile esitatavad nõuded
(1) Andmekaitse Inspektsiooni juhina võib töötada juhtimiskogemusega kõrgharidusega isik, kellel on piisavad teadmised isikuandmete kaitse õiguslikust regulatsioonist ja infosüsteemidest.
§ 35. Andmekaitse Inspektsiooni juhi kandidaadi julgeolekukontroll
(1) Andmekaitse Inspektsiooni juhi kandidaat peab enne Andmekaitse Inspektsiooni juhiks nimetamist läbima julgeolekukontrolli, välja arvatud juhul, kui tal on kehtiv juurdepääsuluba täiesti salajase taseme riigisaladusele juurdepääsuks või kui ta on kandidaadiks saamise ajal ametikohal, millel on ametikohajärgne õigus juurdepääsuks kõigile riigisaladuse tasemetele.
(2) Andmekaitse Inspektsiooni juhi kandidaadi julgeolekukontrolli teostab Kaitsepolitseiamet julgeolekuasutuste seaduses ettenähtud korras.
(3) Julgeolekukontrolli läbimiseks täidab Andmekaitse Inspektsiooni juhi kandidaat riigisaladusele juurdepääsu loa taotleja ankeedi ja allkirjastab nõusoleku, millega lubab julgeolekukontrolli teostaval asutusel saada julgeolekukontrolli teostamise ajal enda kohta teavet füüsilistelt ja juriidilistelt isikutelt ning riigi- ja kohaliku omavalitsuse asutustelt ja organitelt, ning esitab need Justiitsministeeriumi kaudu Kaitsepolitseiametile.
(4) Kaitsepolitseiamet edastab julgeolekukontrolli tulemusena kogutud andmed justiitsministrile kolme kuu jooksul arvates käesoleva paragrahvi lõikes 3 nimetatud dokumentide saamisest, lisades oma arvamuse Andmekaitse Inspektsiooni juhi kandidaadi vastavuse kohta riigisaladusele juurdepääsu loa saamise tingimustele.
(5) Kui Andmekaitse Inspektsiooni juhi volitused on lõppenud ennetähtaegselt, tuleb julgeolekukontroll Andmekaitse Inspektsiooni juhi kandidaadi suhtes teostada ühe kuu jooksul arvates käesoleva paragrahvi lõikes 3 nimetatud dokumentide saamisest. Vabariigi Valitsuse julgeolekukomisjoni loal võib julgeolekukontrolli teostamise tähtaega pikendada ühe kuu võrra, kui esineb riigisaladuse ja salastatud välisteabe seaduse § 33 lõike 4 punktis 1 või 2 nimetatud asjaolu või on ühe kuu jooksul võimalik punktis 3 või 4 nimetatud asjaolu ilmnemine.
(6) Teostatud julgeolekukontrolli käigus kogutud andmetele tuginedes võib Andmekaitse Inspektsiooni juhi kandidaadi ametisse nimetada üheksa kuu jooksul arvates ajast, kui Kaitsepolitseiamet julgeolekukontrolli käigus kogutud teabe justiitsministrile edastas. Nimetatud tähtajast hiljem võib Andmekaitse Inspektsiooni juhi kandidaadi ametisse nimetada pärast uue julgeolekukontrolli läbimist.
§ 36. Andmekaitse Inspektsiooni juhi ametisse nimetamine ja ametist vabastamine
(1) Andmekaitse Inspektsiooni juhi nimetab justiitsministri ettepanekul viieks aastaks ametisse Vabariigi Valitsus, olles eelnevalt ära kuulanud Riigikogu põhiseaduskomisjoni seisukoha.
(2) Andmekaitse Inspektsiooni peadirektori võib ametist vabastada:
(3) Andmekaitse Inspektsiooni juhi vabastab ametist Vabariigi Valitsus justiitsministri ettepanekul, olles eelnevalt ära kuulanud Riigikogu põhiseaduskomisjoni seisukoha. Riigikogu põhiseaduskomisjoni seisukoha küsimine ei ole vajalik, kui vabastamine toimub käesoleva paragrahvi lõike 2 punktide 1, 2, 5 või 6 alusel. Kui Riigikogu põhiseaduskomisjoni seisukohaga ei arvestata, peab seda põhjendama.
§ 37. Andmekaitse Inspektsiooni ametniku kohustused
5) selgitama isikuandmete töötlemise nõuete rikkumise korral isikuandmete töötlejale või tema esindajale õigusaktide rikkumise olemust ning nõudma rikkumise lõpetamist;
(1) Käesoleva seaduse täitmise tagamiseks on Andmekaitse Inspektsiooni ametiisikul õigus teha isikuandmete töötlejale ettekirjutusi ja vastu võtta otsuseid.
(2) Käesoleva paragrahvi lõikes 1 nimetatud ettekirjutuse mittetäitmisel võib Andmekaitse Inspektsioon rakendada sunniraha asendustäitmise ja sunniraha seaduses sätestatud korras. Sunniraha ülemmäär on 9600 eurot. Sunniraha ei rakendata riigiasutuse suhtes.
(3) Andmekaitse Inspektsiooni otsused ja ettekirjutused isikuandmete töötlemise õiguse peatamise, lõpetamise ning keelamise kohta kantakse isikuandmete töötlejate registrisse.
(4) Kui riigiasutusest isikuandmete töötleja ei ole Andmekaitse Inspektsiooni ettekirjutust selles määratud tähtaja jooksul täitnud, pöördub Andmekaitse Inspektsioon halduskohtumenetluse seadustikus sätestatud korras protestiga halduskohtusse.
(1) Andmekaitse Inspektsioon esitab iga aasta 1. aprilliks käesoleva seaduse täitmise kohta ettekande Riigikogu põhiseaduskomisjonile ja õiguskantslerile.
(2) Ettekandes esitatakse ülevaade eelmise kalendriaasta olulisematest käesoleva seaduse täitmise ja rakendamisega seotud asjaoludest.
§ 42. Delikaatsete isikuandmete töötlemise registreerimiskohustuse ja isikuandmete välisriiki edastamise nõuete ning andmesubjekti teavitamise kohustuse rikkumine
(1) Delikaatsete isikuandmete töötlemise registreerimiskohustuse, isikuandmete kaitse turvameetmete või isikuandmete töötlemise muude nõuete eiramise eest –
§ 43. Isikuandmete kaitse turvameetmete ja isikuandmete töötlemise nõuete rikkumine
(1) Käesoleva seaduse §-des 42 ja 43 sätestatud väärtegudele kohaldatakse karistusseadustiku üldosa ja väärteomenetluse seadustiku sätteid.
(2) Käesoleva seaduse §-des 42 ja 43 sätestatud väärtegude kohtuväline menetleja on Andmekaitse Inspektsioon.
Enne käesoleva seaduse jõustumist kogutud isikuandmete töötlemine tuleb viia vastavusse käesoleva seadusega ühe aasta jooksul käesoleva seaduse jõustumisest arvates.
§ 46. Isikuandmete kaitse seaduse kehtetuks tunnistamine
Isikuandmete kaitse seadus tunnistatakse kehtetuks.
§ 47. – § 53. [Käesolevast tekstist välja jäetud.]
§ 54. [Välja jäetud – RT I 2007, 68, 421 – jõust. 20.12.2007]
§ 55. – § 56. [Käesolevast tekstist välja jäetud.]
§ 57. [Välja jäetud – RT I 2007, 68, 421 – jõust. 20.12.2007]
§ 58. – § 72. [Käesolevast tekstist välja jäetud.]

References: § 7
 § 2

§ 8

§ 9

§ 10

§ 12
 § 10
 § 12
 § 20

§ 16

§ 18
 § 12
 § 14

§ 20

§ 21
 § 20

§ 22

§ 23

§ 24

§ 25

§ 26

§ 27
 § 30
 § 25
 § 16

§ 29
 § 28
 § 2

§ 33

§ 34

§ 35
 § 33

§ 36

§ 37

§ 42

§ 43

§ 46

§ 47
 § 53

§ 54

§ 55
 § 56

§ 57

§ 58
 § 72