Kaks soovitust andmekaitse trahvi vältimiseks

Kookmaa sõnul on kuulda olnud, et üks eesmärk nende trahvide määramisel, eriti just suurkorporatsioonide puhul, on näidata, et Euroopa Liidu seadusandjal on GDPRiga tõsi taga ja kui rikutakse andmetöötluse nõudeid ja üldpõhimõtteid, siis sellele järgnevad sanktsioonid ja seda tuleb võtta väga tõsiselt.

Advokaat tõi hoiatava näitena Marriotti hotelliketi juhtumi. Nimelt murdsid häkkerid sisse Marriotti hotelli andmebaasi, kus oli ligi 500 miljoni kliendi isikuandmed, sh andmed nende krediitkaartide kohta, andmed selle kohta, millistes hotellides nad olid olnud, milliseid reserveeringuid teinud ja millal – ehk see rikkumine oli väga laia ulatusega, kirjeldas ta. Ja selle tegi markantseks veel see, et rikkumine algas juba aastal 2014, aga avastati alles kahjuks 2018. aasta septembris. „Rikkumisjuhtumite puhul on see nõue, et sellest peab teavitama andmekaitse järelevalveasutust õigel ajal,“ juhtis Kookmaa tähelepanu. „Meil võib alati rikkumisi juhtuda, seda ei saa kunagi ära hoida, see on normaalne. Aga kui see juhtub, siis peab ettevõte olema eriti hoolas, et ta vähemalt teavitab järelevalveasutust õigel ajal.“

Marriotti puhul esitati see teave liiga hilja – kaks kuud pärast rikkumise avastamist. „See näitab väga hästi seda, et kahjuks suurkorporatsioonid ei võta veel andmekaitset tõsiselt. Kuskil on midagi valesti läinud, on kahtlus, et kuskil on keegi andmebaasi sisse murdnud, aga noh, las see olla sahtlis, äkki keegi ei kuule, äkki keegi ei näe, ei saa teada. Aga lõpuks saab ikka,“ rääkis Kookmaa.

Advokaadil on kaks soovitust. Esiteks on GDPRis tema sõnul üks hästi spetsiifiline nõue, mis tihti jääb tähelepanuta, sest seda on ridade vahelt raske üles leida. Privaatsuspoliitikas peab tema sõnul olema sees üks rubriik, mis eesmärgil me andmeid töötleme: lepingu sõlmimiseks, tarbijaandmete analüüsimiseks, kliendikogemuse parendamiseks. „GDPR ütleb selgesti, et need üksikud isikuandmete töötlemise eesmärgid peavad olema eraldi välja toodud, aga see jäetakse tihti tähelepanuta ja ma näen oma praktikast, et ettevõtted kipuvad olema väga abstraktsed ja üldised. Me kogume sinu isikuandmeid, kuna meil on vaja neid selleks, et teenindada oma kliente, mis on kaugelt liiga üldine, see on GDPRi järgi kohe läbipaistvuse nõude rikkumine,“ kirjeldas ta igapäevaelu.

Ja Kookmaa teine praktiline soovitus puudutab koostööpartnereid, kes osutavad meile mingisugust teenust või kellega koos teeme mingeid projekte, ja seega andmed, mis on meie kasutuses, liiguvad ettevõttest või organisatsioonist väljapoole. „Selle peaks kindlasti täpsemalt üle kontrollima, kuhu need andmed liiguvad, kas meil on oma koostööpartneritega sõlmitud andmetöötluse lepingud, kui nad on meie volitatud töötlejad, või mis suhe meil nendega üldse on.“

Kookmaa sõnul on GDPRis väga täpselt ära reguleeritud, kas kaks andmete töötlejat on kui vastutav ja volitatud töötleja või on mõlemad kaasvastutavad töötlejad, seal on sellised detailsed mõisted ja sellest tulenevad omakorda kohustused. On vaja teatud lepingud ja kokkulepped sõlmida, ütles ta.