GDPR eesti keeles: mida üldmäärus nõuab?

GDPR eesti keeles: mis see on ja kellele kehtib

GDPR eesti keeles on isikuandmete kaitse üldmäärus ehk IKÜM, Euroopa Liidu määrus (EL) 2016/679, mis hakkas kehtima 2018. aasta 25. mail. Eestis täpsustab seda isikuandmete kaitse seadus, ja oluline on teada mõlemat: määrus annab põhimõtted, seadus riigisisesed erisused.

Kehtivus ei sõltu ettevõtte suurusest ega sellest, kas andmeid töödeldakse paberil või pilves. Kui ettevõttel on kliendid, töötajad või liikmed, on tal isikuandmeid, ja seega ka kohustused. Määruse tekst on eesti keeles ametlikult kättesaadav.

Mida üldmäärus päriselt nõuab

Nõuded jagunevad viieks, ja enamik ettevõtteid komistab teise või neljanda juures:

1. Õiguslik alus iga töötlemise kohta

   Leping, nõusolek, seadusest tulenev kohustus, eluline huvi, avalik ülesanne või õigustatud huvi. Kirjalikult, mitte mälus.

2. Põhimõtted artiklist 5

   Seaduslikkus ja läbipaistvus, eesmärgipärasus, minimaalsus, õigsus, säilitamise piirang, usaldusväärsus ja konfidentsiaalsus ning vastutus. Neli neist puudutavad otseselt andmebaasi disaini.

3. Teave inimesele

   Privaatsusteade, mis ütleb, mida kogutakse, miks ja kui kaua hoitakse. Teade peab vastama sellele, mida süsteem tõesti teeb.

4. Turvalisus ja logimine

   Juurdepääsu piiramine, varundus, logid ja see, et keegi vastutab nende eest. Artikkel 32 nimetab seda töötlemise turvalisuseks.

5. Vastutuse tõendamine

   Töötlemistoimingute register, lepingud töötlejatega, mõjuhinnang seal, kus seadus seda nõuab. Kui inspektsioon küsib, peab vastus olema olemas, mitte kokku pandud nädala jooksul.

Näide: kus GDPR Eesti ettevõttel päriselt pinnule tuleb

Turundusagentuur hoiab kliendi kampaaniate tarbeks 80 000 kontakti, kellele saadetakse uudiskirju. Andmed on kolmes kohas: CRM, meilimootor ja vana tabel, mis jäi üleminekust alles.

Praktiline töö on kolm sammu. Esiteks selgitada, mille alusel iga nimekiri tekkinud on ja millised kontaktid on aegunud. Teiseks kustutada see, millele alust ei ole, ka siis, kui see kahandab nimekirja veerandi võrra. Kolmandaks panna kirja, kes vastutab ja kuidas inimene saab oma andmeid näha, parandada või kustutada.

Kui ettevõte kasutab lisaks AI-d, tuleb vastata ka küsimusele, kas mudelile tohib kliendiandmeid saata ja kuhu need pärast jäävad. Seda käsitlevad artikkel AI ja isikuandmed ning mõiste andmekaitsealane mõjuhinnang, kui töötlemine on ulatuslik.

Millal GDPR ei kohaldu

• Juriidilise isiku andmed. Ettevõtte nimi ja registrikood ei ole isikuandmed, küll on seda juhatuse liikme nimi ja isikukood.
• Eraelu tarbeks tehtud töötlemine. Kui inimene hoiab sõprade kontaktandmeid telefonis, on see erand. Erand ei kata andmeid, mida kasutatakse ärilisel eesmärgil; piir tuleb hinnata juhtumi kaupa.
• Päris anonüümne statistika. Kui inimesi ei saa tuvastada, määrus ei kohaldu. Väikeses andmestikus tuleb seda eeldust päriselt kontrollida.
• Karistusregistri andmed ja muu erikord. Riigisisene seadus võib kehtestada lisatingimusi, mida määrus üksi ei näita.

Töömaht ja kulu

Minu hinnang: väikeettevõttes tehakse põhitöö paari nädalaga: aluste nimekiri, privaatsustekstid, register ja üks läbivaatamine. See ei ole arendusprojekt, aga vajab inimese tunde, kes teab, mida süsteemid päriselt teevad.

Kui andmeid on palju, süsteeme on mitu ja tegevus on ulatuslik, muutub asi projektiks, mille maht sõltub sellest, kui palju tuleb andmeid puhastada ja dokumenteerida. AI konsultatsiooni osa on siin ülevaatus: enne AI-projekti on odavam teada, millised andmed on olemas ja millele tohib mudelit lasta ligi.