Privaatsuspoliitika kodulehele: mida teavitus peab sisaldama ja mida generaator ei tea

Mida privaatsusteatis päriselt peab sisaldama

Privaatsuspoliitika on halb nimi, sest see viitab nagu oleks tegemist ettevõtte enda põhimõtetega. Õiguslikult on tegemist teavitusega: dokument, mis peab andma inimesele vastused küsimustele, mida ta ei oska küsida. Üldmääruse artikkel 13 loetleb need vastused punkt-punkti haaval, ja artikkel 12 ütleb, mis vormis need anda tuleb: „in a concise, transparent, intelligible and easily accessible form, using clear and plain language“.

Allolev tabel on artikli 13 loetelu tööversioonina: iga rida on üks punkt, millele sinu tekst peab vastama, ja veerg, mis ütleb, kust selle vastuse saad. Viimane veerg on põhjus, miks see artikkel üldse olemas on: need on andmed, mida ükski generaator sinu eest ei tea.

Tabelis on kaksteist rida, sest artikli 13 lõigetes 1 ja 2 on kokku kaksteist punkti ja ükski neist ei ole teisega kattuv. Nii loeb ka Andmekaitse Inspektsioon: „Õiguslikud alused tuleb seejuures välja tuua iga töötlemise eesmärgi kohta.“

Mida generaator ei tea

Privaatsuspoliitika generaator teeb ühte asja hästi: annab struktuuri ja viisaka keele. Nelja asja ei saa ta teha, sest need ei ole kirjutamise küsimus.

• Millised töötlejad sinu saidil päriselt töötavad. Nimekiri tuleb brauseri võrguvahekaardilt ja oma lepingutest, mitte mallist. Kui mallis on kirjas „Google Analytics“, aga saidil jookseb hoopis teine mõõtmisteenus, siis on teatis vale.
• Kui kaua andmeid hoitakse. Säilitusaeg sõltub sinu töövõttest ja seadusest, mitte teksti ilust. Näiteks: raamatupidamise algdokumente hoitakse seitse aastat alates majandusaasta lõpust (RPS § 12 lg 1), kontaktvormi päringut võib hoida kaks aastat, aga see on sinu valik, mitte seadusest tulenev nõue, ja uudiskirja loendit seni, kuni inimene lahkub.
• Kas mõni töötleja on väljaspool Euroopa Majanduspiirkonda. See otsus tehakse teenuse valimisel, mitte teksti kirjutamisel.
• Kas sinu saidil on automaatne otsustamine. Kui chatbot hindab kliendi päringut ja suunab ta musta nimekirja, siis on see lause, mille peab kirjutama inimene, kes süsteemi ehitab.

Sellele lisandub reegel, mis tuleb inspektsiooni enda ettekirjutusest: „tingimused ei saa piirduda näidetega, vaid loetelu peab olema lõplik“. Samas dokumendis on ka teine pool: „Samuti ei ole lubatud tuua välja neid eesmärke või õiguslikke aluseid, mida tegelikult ei kasutata.“ Malli kopeerimine teeb mõlemad vead korraga: loetelu on lahtine ja seal on ridu, mis sinu kohta ei kehti.

Küpsised: kust see nõue Eestis tuleb

Küpsiste nõue ei ole üldmääruses. Inspektsioon viitab oma veebitegevuste vastustes otse direktiivile: „Selline nõue tuleb direktiivi 2002/58/EÜ (e-privaatsusdirektiiv) artiklist 5 lõikest 3, mida täpsustab artikkel 2 punkt f.“ Konsolideeritud tekst ütleb sama asja nii: teabe salvestamine või sellele juurdepääs on lubatud ainult tingimusel, et kasutaja on andnud nõusoleku, „having been provided with clear and comprehensive information“.

Sama direktiivi põhjendus 25 lisab selle, mille peale nõusolekuakende tegemisel kõige sagedamini komistatakse: „Users should have the opportunity to refuse to have a cookie or similar device stored on their terminal equipment.“ Keeldumise võimalus on sama nõue kui nõusolek, mitte viisakus.

Nõusoleku enda kohta kehtivad üldmääruse reeglid. Artikkel 7 lõige 3: „It shall be as easy to withdraw as to give consent.“ Põhjendus 32: „Silence, pre-ticked boxes or inactivity should not therefore constitute consent.“ Põhjendus 43: nõusolek ei ole vabalt antud, kui eri töötlemistoiminguid ei saa eraldi lubada. Euroopa Andmekaitse Nõukogu juhend 05/2020 ütleb sama asja teravamalt: „The use of pre-ticked opt-in boxes is invalid under the GDPR.“

Eesti praktikas on see kõik kokku võetud ühte lausesse inspektsiooni 2024. aasta ettekirjutuses: „peab olema keeldumine sama lihtne kui nõusoleku andmine.“ Sama dokument nõuab, et veebilehel oleks nõusolekuvorm mittehädavajalike küpsiste lubamiseks ja keelamiseks, ning märkis puudusena, et saidil ei olnud kumbagi võimalust.

Seitse testi küpsiste nõusolekule

Nõusolekuaken on õige või vale, mitte enam-vähem. Järgnev tabel on test, mille saad oma saidil läbi teha kümmekonna minutiga. Iga rida vastab ühele õiguslikule nõudele, mille tsiteerisin eespool.

Test 6 on see, mille peale keegi ei mõtle enne, kui keegi küsib. Kui sul ei ole tõendit, siis ei ole sul nõusolekut, vaid väide nõusoleku kohta. Tõend tähendab ühte rida logis: kes, millal, milline valik ja millise teatiseversiooni juures.

Andmete edastamine välisriiki

Artikli 13 punkt (f) nõuab, et ütleksid, kas andmeid edastatakse kolmandasse riiki, ja kas selle kohta on olemas adekvaatsusotsus. Enamik Eesti väikeettevõtteid puutub selle punktiga kokku ühel viisil: mõni töötleja asub Ameerika Ühendriikides.

Euroopa Komisjon kirjutab adekvaatsusotsuste lehel, et sellise otsuse korral „personal data can flow from the EU … to that third country without any further safeguard being necessary“. USA puhul kehtib otsus ettevõtetele, kes osalevad EU-US Data Privacy Frameworkis, ja komisjon täpsustab, et andmed võivad vabalt liikuda nende USA ettevõtete juurde, kes raamistikus osalevad. Inspektsioon lisab olulise nüansi: „DPF on vabatahtlik raamistik, milles osalemiseks peavad USA ettevõtted ennast sertifitseerima“. Kui sinu töötleja ei ole sertifitseeritud, siis ei kata teda ka otsus, ja siis on vaja muud kaitsemeedet.

Lihtsaim lahendus on see, mida ei pea teist korda seletama: vali majutus ja analüütika Euroopa Liidus. Siis on punkt (f) vastus „ei edastata“ ja pool tööd kaob. See on ka üks põhjus, miks kodulehe tegemise juures tasub teenusepakkujad enne välja valida, mitte pärast seda, kui teatis on kirjas.

Kus järelevalve päriselt maandub

Trahvi hirm ei ole hea argument, sest üks ettekirjutus ei ole veel tavapraktika. Isikuandmete kaitse seaduse § 66 lõige 1 näeb üldmääruse artiklites 12–22 sätestatud andmesubjekti õiguse rikkumise eest ette rahatrahvi kuni 20 000 000 eurot, aga see on ülempiir, mitte tüüpiline tulemus.

Ühes AKI ettekirjutuses (2024) oli tulemuseks kohustus tekst ümber teha, ja täitmata punkti eest on ette nähtud sunniraha: „Sunniraha iga täitmata ettekirjutuse punkti eest 1 000 eurot.“ Esimene tagajärg ei ole seega trahv, vaid kohustus, ja teine tagajärg on sunniraha iga punkti eest, mida ei ole parandatud.

Samas tuleb teada ka piiri: inspektsiooni kaebuse lehel on loetletud valdkonnad, kus järelevalvemenetlus on vähetõenäoline, ja selles loetelus on „otseturustuse ehk spämmi ja veebilehtede küpsistega seotud juhtumid“. Inspektsioon ütleb ka, et järelevalvet kaalub ta siis, kui kaebaja on ise eelnevalt oma õigusi kaitsnud, näiteks nõudnud töötlejalt selgitusi või andmete kustutamist. Praktiline järeldus ei ole „ärge tehke“, vaid see, et küpsiste nõusoleku korraldus ei ole koht, kus tasub riskida: see on odav teha korralikult ja kallis hiljem tõestada.

Näidis: kolm lauset enne ja pärast

Kõige kasulikum näidis ei ole terve dokument, vaid üksik lause, mis on läbi mõeldud. Järgnev on kolm tüüpilist rida, mis generaatoritest tulevad, ja see, millega need asendada, kui rääkida Eesti väikeettevõtte päris olukorrast.

Pange tähele, mida asendus teeb: iga lause nimetab konkreetse osapoole, tähtaja või mehhanismi. Need ei ole juriidilised väljendid, vaid faktid, mida saaks kontrollida. Just sellepärast ei saa neid genereerida: generaator ei tea, kes on X, Y ja Z.

Kus teatis elab ja kuidas seda hoida

Kolm asja, mis on tehniline ja mida sageli valesti tehakse.

• Soovituslik praktika: link teatisele igalt lehelt, mitte ainult nõusolekuaknast. Artikkel 12 nõuab teabe kergesti kättesaadavaks tegemist, aga ei nimeta linki ega lehti; link jaluses on selle praktiline täitmine. Kui teatis avaneb ainult küpsisteaknast ja selle sulgemise järel linki ei ole, on kättesaadavus nõrk.
• Soovitus: märgi teatisesse versioon ja kuupäev. Kui muudad mõõtmisteenust või lisad chatboti, siis muutub teatis, ja nõusoleku logist peab olema näha, millise versiooni juures valik tehti.
• Soovitus: hoia teatis tekstina lehel, mitte ainult PDF-ina. PDF-i ei saa mobiilis lugeda ilma alla laadimata ja seda ei saa tsiteerida. Kui sul on vaja allkirjastatud versiooni, hoia PDF-i kõrval HTML.

Kogu see töö on üks rida avaldamiseelses nimekirjas, mille juurde kuulub ka tehniline pool: kodulehe tegemise juures on teatis sama kohustuslik osa kui kontaktandmed.

Kui saidile tuleb chatbot või AI-funktsioon, siis tekib uus töötlemise eesmärk ja uus vastuvõtja: see, kes mudelit teenindab. Seda ei tohi jätta üldsõnalise „kolmandad osapooled“ alla. Kuidas seda konkreetselt kirjeldada ja mida logidesse panna, on eraldi teema, mida käsitleb AI ja isikuandmete artikkel.

Kümme kontrolli enne avaldamist

Kui tahad enne avaldamist kontrollida ka tehnilist poolt, siis sama töövõtte loogika on kirjas SEO kontrollnimekirjas: iga rida peab olema kontrollitav käsuga või klõpsuga, mitte usuga. Privaatsusteatise puhul on kontrolliks võrguvahekaart ja nõusoleku logi, ja mõlemad on olemas ka siis, kui eelarve on väike.