GDPR-st tulenevad õigused seoses isiku soolise identiteediga

 
Sooline identiteet ehk sooidentiteet väljendab inimese enesemääratlust ja tema enesetunnetust, selle kohta, millisest soost ta on. Sugu võib määratleda mitmel alusel, näiteks bioloogilisel, juriidilisel, tunnetuslikul või sotsiaalsel alusel. Käesolevas artiklis pööratakse juriidilisele soole erilist tähelepanu, kuna see väljendub isikukoodis ning seda on võimalik passi või ID-kaardi alusel määrata. Kuna juriidilist sugu määratakse enamikus riikides sõnadega “mees” või “naine”, muudab see sooidentiteedi tuvastamise keerulisemaks. Osades riikides on võimalik kasutusele võtta ka kolmas kategooria, mistõttu võib inimeste sooidentiteedi kategoriseerimine osutuda esialgselt oodatust keerukamaks. Sooline identiteet on oluline osa isikuandmetest ja seega on see oma olemuselt eriti tundlik eraelu puutumatuse seisukohast. Euroopa Liidus (edaspidi EL) reguleerib isikuandmete töötlemist ja nende vaba liikumist Isikuandmete kaitse üldmäärus (edaspidi GDPR). Käesolev artikkel annab ülevaate GDPR-ist tulenevatest õigustest seoses sooidentideediga. Artiklis antakse ülevaade isikuandmete töötlemise ajaloost, GDPR-ist ning asjakohastest sätetest. Lisaks analüüsitakse, kuidas on EL-i kohtupraktikas tõlgendatud soolist identiteedi isikuandmena kohtulahendites C-394/23 ja C-247/23. Viimasena antakse ülevaade muudest asjakohastest EL-i kohtulahenditest ning Eesti kohtupraktikast. 
Sooline identiteet Euroopa tasandil.
2016. aastal autorite Richard Köhler ja Julia Ehrt poolt avaldatud käsiraamatus “Legal Gender Recognition in Europe” on välja toodud, et Euroopa Nõukogu 46 liikmesriigist on sooidentiteeti muutmine võimalik 41 riigis. Neist omakorda vaid 30-s on õiguslikult defineeritud ja selgitatud, kuidas on võimalik vastavas jurisdiktsioonis sugu muuta. Riikides, kus on välja toodud soo vahetamise eeldused, peab 21 riigis inimene oma soo muutmiseks läbima sterilisatsiooni. See tähendab, et inimestel puudub täielik valikuvabadus määratleda oma sugu vastavalt isiklikule soovile. Steriliseerimise nõue piirab inimeste põhiõigusi ja seab sugu vahetada sooviva isiku raske valiku ette. Osades riikides nõutakse soo vahetusel soolise identiteedihäire tuvastamist või isiku vaimsele tervisele psühholoogilist hinnangu andmist, sealhulgas Eestis. Ainult neljas Euroopa Liidu riigis – Islandil, Maltal, Taanis ja Norras – ei nõuta vaimse tervise hinnangut. 4 Nendest kahes – Islandil ja Maltal – on võimalik määrata oma sugu enesemääratluse alusel. Ülejäänud riikides on soo muutmine siseriikliku seadusandluse otsustada ning kriteeriumid varieeruvad vastavalt. 
Sooline identiteet Eesti Vabariigis.
Eesti Vabariigis väljendub inimese sugu isikukoodis. Kui inimene on läbimas soovahetusprotsessi ning arstlik ekspertiisikomisjon on teinud otsuse soo muutmise kohta, on võimalik Rahvastikuregistris muuta nii sugu kui ka isikukoodi. Lisaks on võimalik valida uus eesnimi ning rahvusliku tava korral vajadusel ka uus perekonnanimi. Isikukoodi ja rahvastikuregistri andmete muutmist saab taotleda üksnes juhul, kui on tehtud vastav avaldus ning väljastatud arstliku ekspertiiskomisjoni otsus.
Sooline identiteet isikuandmena.
Isikuandmete määratlus on välja toodud GDPR-i artiklis 4. GDPR defineerib isikuandmeid kui “/../ igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta /../”. Artiklis 4 on märgitud, et isikuandmeteks võivad olla tunnused, mille alusel on võimalik inimest tuvastada, näiteks nimi või isikukood. Otseselt ei ole artiklis sätestatud, et sooidentiteet kuulub isikuandmete hulka. Siiski on Euroopa Liidu Kohus kohtulahendis C-394/23 punktis 30 toonud välja, et soopõhist pöördumissõna võib kvalifitseerida isikuandmetena, kui see on seotud tuvastatud isikuga GDPR-i artikli 4 punkt 1 tähenduses. 
GDPR.
Ülevaade.
GDPR ehk isikuandmete kaitse üldmäärus on andmekaitsemäärus, mis kehtib kõigile Euroopa Liidu liikmesriikidele. Lisaks liikmesriikidele peavad seda järgima ka kõik teised riigid ja organisatsioonid üle maailma, kui nad töötlevad EL-i kodanike isikuandmeid. GDPR hakkas kehtima 25. mail 2018. 
Euroopa Parlamendi ja Nõukogu direktiiv 95/46/EÜ.
Enne GDPR-i jõustumist kehtis Euroopa Liidus andmekaitsedirektiiv 95/46/EÜ. Direktiivi artikli 8 lõikes 1 oli sätestatud: “Liikmesriigid keelavad töödelda selliseid isikuandmeid, mis paljastavad rassilise või etnilise päritolu, poliitilised vaated, usulised või filosoofilised veendumused, ametiühingusse kuulumise, ning tervislikku seisundit või seksuaalelu käsitlevate andmete töötlemise.” Direktiivi artiklis ei ole mainitud, et sooline identiteet kuuluks isikuandmete hulka. Direktiivi kehtivusaja jooksul ei ole teada kohtuvaidlusi, milles oleks tõlgendatud soolist identiteeti isikuandmena või mis oleks keelanud riikidel või organisatsioonidel inimese soo või sooidentiteeti kohta andmeid küsida. Sellest võib järeldada, et direktiivi kohaldamisajal ei käsitletud soolist identiteeti isikuandmetena. 
Asjakohased GDPR-i artiklid.
Järgnevalt käsitletud kahes kohtulahendis on viidatud mitmetele GDPR-ist tulenevatele artiklile. Eelkõige viidatakse mõlemas lahendis artikkel 5-le „Isikuandmete töötlemise põhimõtted“ punktidele a), c) ja d).
Artiklis 5 sätestatud põhimõtted vastavad sisuliselt direktiivi 95/46/EÜ artiklis 6 sätestatule, kuid täiendavalt lisati GDPR-i läbipaistvuse põhimõte ja andmete vähendamise põhimõte.
C-247/23 | Deldits.
Asjaolud.
13. märts 2025 tegi Euroopa Kohus otsuse kohtuasjas C-247/23 [Deldits] seoses avalikust registrist sooidentiteeti puudutavate andmete parandamise üle. Taotlus esitati füüsilise isiku VP ja Ungari migratsiooniasjade politsei peadirektoraat vahelises kohtuvaidluses.
VP on Iraani kodanik, kellele anti 2014. aastal pagulasseisund. Seisundi saamiseks esitas VP taotluse, milles tugines transsoolisusele ning esitas sellekohased arstide väljastatud tõendid. Dokumentide alusel oli VP sündinud naisena, kuid tema sooidentiteet oli mees. Tõendeid kirurgilise soo muutmise kohta VP ei esitanud. VP pagulasseisund kinnitati, kuid ta kanti varjupaigaregistrisse ikkagi naisena.
2022. aastal esitas VP varjupaigaametile isikuandmete kaitse üldmääruse artikli 16 alusel taotluse parandada varjupaigaregistris tema sugu meessooks ja muuta eesnime. VP lisas taotluse juurde juba varem esitatud tõendid, millest nähtus, et VP näeb välja mehelik ning, et tema diagnoos on transsoolisus. Varjupaigaamet jättis 11. oktoobri 2022. aasta otsusega taotluse rahuldamata ja põhjendas otsust sellega, et VP pole esitanud tõendeid oma soo kirurgilise muutmise kohta ning olemasolevad tõendid tunnistavad ainult tema transsoolisust. VP esitas selle otsuse peale tühistamiskaebuse eelotsusetaotluse esitanud kohtule, Fővárosi Törvényszékile (Pealinna Budapesti kohus, Ungari). Kaebuse põhjenduses tõi VP välja, et Euroopa Inimõiguste Kohtu (EIK) praktika kohaselt ei saa nõuda sooidentiteedi muutmise tunnustamiseks kirurgilist soovahetust ning samuti oleks selline nõue vastuolus harta artiklitega 3 ja 7. Varjupaigaamet palus jätta kaebus rahuldamata.
Eelotsusetaotluse esitanud kohus palus vastust sisuliselt küsimustele:
Analüüs ja kohtuotsus.
Euroopa Kohtu kohtuasjas C-247/23 Deldits käsitleti küsimust, kuidas tõlgendada isikuandmete kaitse üldmääruse (GDPR) artiklit 16 seoses isiku õigusega nõuda avalikus registris sisalduvate sooidentiteeti puudutavate andmete muutmist. Samuti ilmestab kohtuasi Euroopa Liidu õiguse ülimuslikkust, kuna analüüsi jooksul tekkis lahkheli siseriikliku õigusnormi ja isikuandmete kaitse üldmääruse vahel. 
Pealinna Budapesti kohus leidis, et kuigi varjupaigaseaduses on olemas üldsäte ebaõigete kannete parandamise kohta, siis puudub regulatsioon sooidentiteedi muutmise menetluse ning tunnustamise tingimuse osas. Ungari konstitutsioonikohus on 2018. Aastal leidnud, et põhiseadusega vastuolus on olukord, kus seadusandja ei ole kehtestanud menetlust, mis võimaldaks mitte-kodanikest Ungaris elavatel isikutel muuta oma soo ja eesnime kohta tehtud kannet, samal ajal kui kodanikel on see võimalus olemas. Alates 2020. aastast ei ole ka Ungari kodanikel enam võimalik soovahetust õiguslikult tunnustada lasta. 
Euroopa Kohtu analüüsis toetuti isikuandmete kaitse üldmääruse (GDPR) artiklile 16, mille kohaselt on andmesubjektil õigus nõuda ebaõigete isikuandmete parandamist ilma põhjendamatu viivituseta ning mittetäielike andmete täiendamist. Seda sätet tõlgendati koosmõjus määruse artikli 5 lõike 1 punktiga d, mille alusel peavad andmed olema õiged ja asjakohased. Andmete õigsuse hindamisel tuleb lähtuda nende kogumise eesmärgist ning antud juhul võttis kohus seisukoha, et kuna registri eesmärk on isiku tuvastamine, siis peavad andmed kajastama ka isiku tunnetuslikku sooidentiteeti. 
Teise ja kolmanda eelotsuse küsimusega analüüsiti, kas liikmesriigil on õigus nõuda sooidentiteedi tõendamist kirurgilise soomuutuse kaudu. Kohus otsustas, et kuigi andmesubjektil lasub kohustus esitada piisavad ja asjakohased tõendid oma andmete ebaõigsuse kohta, siis peavad kõik tõendamisnõuded olema proportsionaalsed ja kooskõlas isikuandmete kaitse üldmääruse artikliga 23. Kohus märkis ka, et siseriiklike õigusnormidega ei tohi teha erandeid GDPR´ist, kuid võib ette näha piiranguid andmete parandamise õigusele juhul kui tegemist on isikuandmetega, mis sisalduvad avalikes huvides peetavates registrites. (selliseks registriks on ka varjupaigaregister). Kohus leidis aga, et kaasuses tugines Ungari haldustavale, mis läheb vastuollu põhimõttega, et andmete parandamisõigust võib piirata vaid seadusandlike meetmetega. Haldustava, mis seob õiguse andmete parandamisele kirurgilise protseduuriga, ei vasta seaduslikkuse, vajalikkuse ega proportsionaalsuse nõuetele. Samuti on selline nõue vastuolus Euroopa Inimõiguste Kohtu praktikaga ning Euroopa Liidu põhiõiguste harta artiklitega 3 ja 7, mis tagavad isikupuutumatuse ja eraelu austamise. 
C-394/23 | Mousse.
Asjaolud.
9. jaanuar 2025 tegi Euroopa Kohus otsuse kohtuasjas C-394/23, Mousse. Taotlus esitati ühenduse Mousse ja riikliku andmetöötluse ja vabaduste komisjoni (CNIL, Prantsusmaa) vahelises kohtuvaidluses, kuna CNIL jättis rahuldamata Mousse’i vaide, seoses äriühingu SNCF Connect poolt oma klientide soopõhise pöördumissõna eelistust puudutavate andmete töötlemisega sõidupiletite internetimüügil. CNIL on riiklik järelevalveasutus, mis tagab muuhulgas, et isikuandmete töötlemine toimuks kooskõlas isikuandmete kaitset käsitlevate õigusnormidega, mis on ette nähtud Euroopa Liidu õigusega. 
SNCF Connect müüb veebisaidi ja -rakenduste kaudu rongipileteid, sooduskaarte jms ning kliendid on ostu sooritades kohustatud valima eelistatud soopõhise pöördumissõna "härra" või "proua". Ilma selle valikuta ei olnud võimalik ostu lõpule viia. Mousse’i arvates rikkus ettevõte sellise tegevusega isikuandmete kaitse üldmääruse (GDPR) nõudeid ning ta esitas sellele vaide. CNIL tegi otsuse, et SNCF Connect ei ole läinud isikuandmete kaitse üldmäärusega vastuollu, kuna kogutavad isikuandmed on lepingu täitmiseks vajalikud. Lisaks märgiti, et kliendi poole isikustatud viisil ning soopõhise tervitussõna abil pöördumine vastab kaubandus-, tsiviil- ja haldussuhtluse valdkonnas tunnustatud tavale. 
Mousse esitas CNLI otsuse peale tühistamiskaebuse Conseil d’État’le (Prantsusmaa kõrgeima halduskohtuna tegutsev riiginõukogu). Mousse selgitas oma kaebuses, et kohustus märkida internetipõhise ostu sooritamisel soopõhine pöördumissõna "härra" või "proua" ei vasta isikuandmete kaitse üldmääruse (GDPR) seaduslikkuse põhimõttele ja võimalikult väheste andmete kogumise põhimõttele - selline kohustus rikub eraelu puutumatust, sooväljenduse vaba määratletust ja tekitab diskrimineerimise ohu ning ettevõte ei saa sellist nõuet õigustada ainult sellega, et see on Prantsusmaal selles valdkonnas tavapärane pöördumisviis. CNIL palus kaebuse jätta rahuldamata, kuna soopõhise pöördumissõnaga seotud andmete töötlemist saab samuti pidada isikuandmete kaitse üldmääruse artikli 6 lõike 1 esimese lõigu punkti f alusel vajalikuks ning andmesubjektidel on üldmääruse artikliga 21 tagatud õigus esitada vastuväiteid. 
Eelotsusetaotluse esitanud kohus esitas Euroopa Kohtule sisuliselt küsimused:
1) Kas soopõhise pöördumissõna (härra, proua) eelistust puudutavate andmete kogumist võib pidada vajalikuks lepingu täitmiseks või vajalikuks töötleja või kolmanda isiku huvi seisukohast ning,
2) kas selleks et hinnata andmete kogumise vajalikust töötleja või kolmanda isiku huvi seisukohast on tähtsust faktil, et isikul, kelle andmeid kogutakse, võib olla õigus isikuandmete kaitse määruse alusel esitada vastuväiteid? 
Analüüs ja kohtuotsus.
Euroopa Kohtu kohtuasjas C-394/23 Mousse käsitleti küsimust, kas transpordiettevõtja poolt kliendi soopõhise pöördumissõna andmete kogumine ja kasutamine on õiguspärane isikuandmete kaitse üldmääruse (GDPR) alusel lepingu täitmiseks vajalik töötlemine või vastutava töötleja õigustatud huvi alusel. Kohtuasjas puudu vaidlus selle üle, kas “härra” ja “proua” on isikuandmed, kui need on seotud tuvastatava isikuga. Andmete kogumise ja kasutamise vajalikkuse osas märkis kohus, et isikuandmete töötlemine on lepingu täitmiseks vajalik vaid siis, kui ilma selleta ei oleks võimalik raudteeveoteenuse osutamine. Kuna ka isikud, kes ostsid pileteid päevastele reisidele, kus pole vajadust jagada isikuid vagunitesse soo alusel, olid kohustatud valima piletite ostmiseks “härra” või “proua”, leidis kohus, et selline andmete töötlemine on ebaproportsionaalne ning vastuolus võimalikult väheste andmete kogumise põhimõttega. Samuti märkis kohus, et kaubandussuhtluses on võimalik kasutada ka neutraalseid viisakusvormeleid või kasvõi isiku nime. 
Õigustatud huvi kontrollimisel keskenduti kolmele tingimusele, mis peavad esinema kumulatiivsel: (1) õigustatud huvi olemasolu, (2) töötlemise vajalikkus selle huvi saavutamiseks ja (3) andmesubjektide huvide või põhiõiguste ja -vabaduste mitteületamine, kaaludes neid vastutava töötleja või kolmanda isiku õigustatud huvidega. 
Kohus leidis, et andmete kogumine ei ole objektiivselt vältimatu ega lepingulise teenuse osutamise lahutamatu osa. Rõhutati et GDPR-i eesmärgiks on tagada isikuandmete töötlemise kõrgetasemeline põhiõiguste kaitse ning seetõttu tuleb töötlemise aluseid tõlgendada kitsalt. Sellest tulenevalt otsustati ka, et sooandmete töötlemiseks ei ole antud olukorras ettevõtte "õigustatud huvi”.
Muud asjakohased EL kohtulahendid ja õigusallikad.
GDPR ning eriti sooidentiteediga seotud andmete töötlemise põhimõtteid ja õigusi on Euroopa Liidu Kohus käsitlenud ka varem, lisaks artiklis analüüsitud kohtulahenditele. Need lahendid toetavad artikli eesmärki, rõhutades füüsiliste isikute põhiõiguste kaitset ning isikuandmete töötlemise seaduslikkuse ja proportsionaalsuse nõudeid.
Andmetöötluse õiguslikud alused.
Kohtuasjas C-252/21 täpsustas kohus andmetöötluse seaduslikkuse aluseid, tuues esile nõusoleku kui esmase aluse. Lahendites C-17/22/C-18/22 ja C-439/19 rõhutati, et „vajalik“ töötlemine peab olema objektiivselt vältimatu lepingu täitmiseks. See tähendab, et töötleja peab suutma näidata, miks eesmärki ei ole võimalik saavutada vähem andmesubjekti õigusi riivavate vahenditega. Ka lahendis C-621/22 toodi välja, et töötlemise õigustamiseks ei piisa haldus- või ärilisel tavandil põhinevatest põhjustest. See seisukoht haakub lahendiga Mousse, kus kohus leidis, et soopõhise pöördumissõna kohustuslik kogumine ei pruugi olla vajalik, isegi kui see on tavapärane praktika. Mõlemas lahendis rõhutatakse, et vajaduse ja proportsionaalsuse põhimõtted on isikuandmete töötlemisel esmatähtsad, eriti kui tegemist on delikaatsete andmetega nagu sooidentiteet. 
Soovahetusega seotud diskrimineerimine ja põhiõigused.
Kohtuotsustes C-423/04 (p 24) ja C-4/23 (p-d 53 ja 60) näitavad, et sooidentiteedi kaitse hõlmab ka soovahetusest tulenevat diskrimineerimist ning rõhutab liikmesriikide kohustust järgida liidu õigust. Nime ja soo muutmise eeskirjad kuuluvad üldjuhul liikmesriikide pädevusse, kuid seejuures peab järgima ka EL-i õigust ning austama põhiõigusi, nagu õigust vabale liikumisele ja eneseteostusele. Kohtupraktika näitab, et kui riigisisene seadus takistab transsoolistel inimestel kasutada EL-i õigusi põhjusel, et tema uut sugu ei tunnustata, on selline seadus vastuolus EL-i õigusega. Seda kinnitas kohtuasi C-4/23, viidates varasematele lahenditele C-490/20 ja C-423/04. See aitab mõista ka Delditsi kohtuasja, mis käsitles registriandmete parandamist. Kõik eeltoodud kohtuasjad kinnitavad laiemat põhimõtet, et inimese sooline identiteet ja selle õiguslik tunnustamine on Euroopa Liidu tagatud põhiõiguste kaitse all. 
Õigus parandamisele ja ebaõigete andmete eemaldamine.
Kohtulahend C-460/20 (p-d 68 ja 72) puudutab õigust eemaldada veebilingid ebaõigete andmete tõttu (). See hõlmab ka isikult asjakohaste ja piisavate tõendite esitamist andmete ebaõigsuste tõendamiseks. See toob esile sarnase tõendamiskohustuse, mis oli päevakorral ka Delditsi kohtuasjas seoses isikuandmete parandamise õigusega. Mõlemas lahendis proovitakse leida tasakaalu inimese õiguse vahel ebaõigeid andmeid parandada või kustutada, ning andmete töötleja kohustuse vahe, tagades, et inimeselt ei nõutaks ebamõistlikult palju tõendeid ja pingutust 
2004. aasta direktiiv 2004/113/EÜ.
Direktiiv 2004/113/EÜ, mis võeti vastu 13. detsembril 2004, sätestab meeste ja naiste võrdse kohtlemise põhimõtted ja paneb paika õigusliku raamistiku soolise diskrimineerimise vältimiseks kaupade ja teenuste valdkonnas. Direktiiv määratleb otsese ja kaudse diskrimineerimise ja toob esile, et diskrimineerimine võib esineda ka pealtnäha neutraalsete tavade kaudu. Seos GDPR-iga ilmneb selles, et kuigi GDPR keskendub isikuandmete kaitsele, siis on selle rakendamine tugevalt seotud diskrimineerimise vältimisega. See tuleb esile Mousse’i ja Delditsi lahendites, kus isikuandmete töötlemine ja automatiseeritud otsused võivad põhjustada kaudset diskrimineerimist soo alusel. See näitab, et direktiiv annab aluspõhimõtted, millele GDPR-i rakendamisel tuleb toetuda, et tagada pädev õiguskaitse ja tehnoloogiliste arengute eetiline juhtimine. 
Kokkuvõte.
Esiteks, Euroopa Kohus on leidnud, et igal isikul on ükskõik millises EL liikmesriigis õigus oma isikuandmete (k.a sooandmete) parandamisele avalikult peetavas registris kui need on sinna valesti kantud, isegi, kui riik ei ole sellist menetlust oma siseriiklikus seaduses lubanud. 
Teiseks, et sooandmete parandamisel registris, võib registripidaja küsida tõendeid selle kohta, mis soost sa oled ja kas sa oled transsooline. Küll aga ei tohi registripidaja üheski liikmesriigis nõuda andmete parandamiseks kirurgilise sekkumise (soovahetusoperatsiooni) tõendamist.
Piisavateks tõenditeks võib pidada näiteks spetsialistide (günekoloogide ja psühhiaatrite) diagnoose. Sellised tõendid olid piisavad, kuna andmete kogumise eesmärk oli isiku tuvastamine. Olukordades, kus tegemist on teistsuguse andmekogumise eesmärgiga, võib olla ka vaja pisut erinevaid tõendeid.
Teisest kohtuasjast võiks meelde jätta, et kui sult küsitakse kuskil, kas tahad, et sind kutsutaks “härra” või “proua” ning sinu valikut on võimalik sinu isikuga seostada, on tegemist sinu isikuandmete kogumisega. Siis tuleks mõelda, millist tüüpi lepingut sõlmid. Kui sinu soo teadmine on vältimatult vajalik lepingu täitmiseks, siis võib ettevõttel olla õigus sinu sooandmeid koguda ja töödelda. Küll aga teame kindlalt, et kui sa tahad minna rongiga päevasele reisile siis ei ole sinu andmete kogumine vajalik. Samuti võiksid teada, et sooandmete kogumisel saab pidada nende andmete kogumist õigustatud huvi seisukohast vajalikuks kui sinule on õigustatud huvist teada antud.
Eestis senini kohtupraktika sel teemal puudub. Edaspidi võib tekkida vaidlusi seoses dokumentide või varasemate kannete parandamisega, mida seadus praegu piirab.