Andmekaitse

**Andmekaitse** (inglise keeles *data protection*) hõlmab reegleid, mis kaitsevad üksikisikute õigusi seoses nende isikuandmetega ning sätestab riigiasutuste, ettevõtete ja teiste organisatsioonide kohustused nende andmete kaitsmisel.

Eesmärk on kaitsta inimeste privaatsust, turvalisust ja ka õigusi. Kuna digitaalajastul kogutakse ja töödeldakse suurel hulgal isikuandmeid, on nende andmete kaitse muutunud aina olulisemak.

Isikuandmete kaitse on tunnustatud iga inimese põhiõigusena, mida reguleerib Euroopa Liidu põhiõiguste harta artikkel 8. Isikuandmete töötlemine peab olema sihipärane ning põhinema kas isiku nõusolekul või seaduslikul alusel. Eestis reguleerib isikuandmete kaitset isikuandmete kaitse seadus IKS.

## Andmekaitse Euroopas
Andmekaitse reform algas 1995. aastal. Võeti vastu Euroopa Andmekaitsedirektiiv (95/46/EÜ), et kaitsta isikuandmeid ja tagada nende vaba liikumine. 2012. aasta jaanuaris tegi Euroopa Komisjon ettepaneku EL-i 1995. aasta andmekaitse-eeskirjade põhjalikuks reformiks, et tugevdada privaatsusõigusi internetis ja edendada Euroopa digitaalset majandust. Oluline eesmärk oli lihtsustada andmetöötluse reegleid ettevõtetele, et luua seejuures soodsamad tingimused ELi digitaalse ühisturu arenguks ja suurendada seega konkurentsivõimet Ameerika Ühendriikides asuvate suuremate teenusepakkujate, näiteks Google jt. vastu.

Euroopa Parlament ja Euroopa Liidu Nõukogu võtsid andmekaitse üldmääruse ehk GDPR-i (ingl. k. *General Data Protection Regulation*) vastu 14. aprillil 2016. Andmekaitse üldmäärus rõhutab isikuandmete privaatsuse tähtsust, pannes organisatsioonidele suure vastutuse andmekaitse tagamiseks. Määrus jõustus 24. mail 2016 ning hakkas pärast kaheaastast üleminekuperioodi kehtima 25. mail 2018. EL-i määrusena (direktiivi asemel) on GDPR otsekohalduv seaduse jõuga, samas annab see ka üksikutele liikmesriikidele paindlikkuse mõningate selle sätete muutmiseks ehk erandite tegemiseks.

Brüsseli efekti näitena on see määrus olnud inspiratsiooniks paljudele seadustele üle maailma, sealhulgas Jaapanis, kus loodi APPI (*Act on the Protection of Personal Information*). Samuti on California tarbijate privaatsuse seadusel (*California Consumer Privacy Act* / CCPA), mis võeti vastu 28. juunil 2018, palju ühist GDPR-iga. Pärast Euroopa Liidust lahkumist kehtestas Ühendkuningriik oma versiooni, "UK GDPR", mis on sisult sama mis GDPR.

## Andmekaitse Eestis
Andmekaitse Inspektsiooni (AKI) põhimääruse üldsätete artiklis 1, paragrahvides 1, 2 ja 3  on sätestatud, et AKI on Justiitsministeeriumi haldusalas tegutsev asutus, mille ülesanne on tagada isikuandmete kaitse ja avaliku teabe kättesaadavus. AKI vastutab selle eest, et inimeste eraelulist teavet (isikuandmeid) kaitstaks ning et avalikku teavet hoitaks üldsusele kättesaadavana. Mõlemad on põhiseaduslikud õigused, mille kaitsmine kuulub AKI pädevusse.

Kui isikuandmete kaitse õigust on rikutud ja rikkuja ei ole esitatud pöördumisele kuu aja jooksul vastanud, võib pöörduda AKI poole. Samuti lasub igaühel endal vastutus oma andmete turvalisuse tagamiseks – hooletu andmete hoidmine või nende avalikustamine võib kaasa tuua mitmeid soovimatuid tagajärgi, nagu rämpsposti saamine või isegi konto- või identiteedivargus.

AKI poole saab pöörduda nõuandetelefoni, e-posti, posti või kohalemineku teel. Erinevate pöördumiste jaoks on inspektsiooni kodulehel saadaval vastavad vormid: sekkumistaotluse, selgitustaotluse ja teabenõude jaoks.

### Lõimitud ja vaikimisi andmekaitse
Lõimitud andmekaitse tähendab, et andmekaitse on algusest peale arvestatud toodete, teenuste ja süsteemide loomisel. Vaikimisi andmekaitse tagab, et isikuandmete kogumine ja kasutamine on vaikimisi võimalikult piiratud – kogutakse ainult hädavajalikud andmed, juurdepääs neile on rangelt kontrollitud ning andmeid säilitatakse vaid nii kaua, kui vaja. Need andmekaitse vormid on kohustus kõigile vastutavatele töötlejatele, olenemata töötlemise suurusest ja erinevast keerukusest.

Vastutav töötleja on organisatsioon või isik, kes määrab kindlaks, miks ja kuidas isikuandmeid töödeldakse. Ta vastutab andmetöötluse eesmärkide ja meetodite eest ning kannab õiguslikku vastutust andmekaitse nõuete täitmise eest.

Vastutavatel töötlejatel tuleb uue töötlemistoimingu kavandamisel juba varakult silmas pidada lõimitud ja vaikimisi andmekaitset. Nad rakendavad lõimitud ja vaikimisi andmekaitset nii enne töötlemist kui ka pidevalt töötlemise ajal, vaadates korrapäraselt läbi valitud meetmete ja kaitsemeetmete tõhususe. Lõimitud ja vaikimisi andmekaitse kohustus kehtib ka olemasolevate süsteemide suhtes, milles töödeldakse isikuandmeid (isikuandmete kaitse üldmääruse artikkel 25 lõige 1).

Lisaks peavad vastutavad töötlejad suutma tõendada, et põhimõtteid on järgitud. Rakendatavad meetmed ja kaitsemeetmed peaksid saavutama andmekaitse seisukohast soovitud mõju ning vastutav töötleja peaks sellised meetmed dokumenteerima.

## Vaata ka
* Isikuandmete kaitse seadus
* Andmekaitse Inspektsioon
* General Data Protection Regulation
* Volitatud töötleja
* Eraelu puutumatus
* Privaatsus internetis

## Viited