Isikuandmed definitsioon: mida need hõlmavad

Isikuandmed definitsioon

Isikuandmed definitsioon on lühike: see on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Nimi, isikukood, aadress, e-post, telefon, pilt, hääl, asukoht, ostuajalugu. Piir ei ole andmeliigis, vaid selles, kas selle saab konkreetse inimesega siduda.

Andmekaitse Inspektsiooni mõistete leht täpsustab kolm asja, mis Eesti praktikas kõige rohkem segadust tekitavad:

• Juriidilise isiku andmed ei ole isikuandmed. Ettevõtte nimi, registrikood ja üldaadress ei kuulu üldmääruse alla. Küll on isikuandmed äriühinguga seotud füüsiliste isikute andmed, näiteks juhatuse liikme nimi ja isikukood.
• Pseudonümiseerimine ei vabasta. Kui andmeid saab uuesti isikuga siduda, jäävad need isikuandmeteks.
• Auto numbrimärk. Eestis ei ole autoomanike register avalik, seega pelk numbrimärk ei ole isikuandmed. Koos omaniku andmetega on.

Euroopa määrus ise annab sama määratluse artiklis 4: isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Määratlus on meelega lai, sest tehnika muutub kiiremini kui seadus.

Mis on töötlemine

Töötlemine ei ole ainult andmete kogumine. See on iga toiming andmetega: salvestamine, korrastamine, muutmine, väljavõtte tegemine, edastamine, avaldamine, piiramine ja kustutamine. Praktikas tähendab see, et ka vana andmebaasi lugemine või logi vaatamine on töötlemine ja vajab alust.

Alus on üks viiest või kuuest, olenevalt sellest, kuidas lugeda: nõusolek, lepingu täitmine, seadusest tulenev kohustus, eluline huvi, avalik ülesanne või õigustatud huvi. Kõige sagedasem eksimus ei ole vale alus, vaid aluse puudumine: andmed on olemas, aga keegi ei ole kunagi öelnud, miks neid tohib hoida.

Näide Eesti ettevõttest

Veebipood tahab hakata saatma isikupärastatud soovitusi ja hoiab selleks 30 000 kliendi ostuajalugu. Ainuüksi soovituste äriline idee ei ole alus. Aluseks sobib tellimuse täitmine nende andmete piires, mis on selleks vajalik, ja turunduse jaoks on vaja eraldi alust või nõusolekut.

Praktiline töö jaguneb kolmeks. Kirjelda, milliseid välju päriselt kasutad ja miks. Määra iga välja säilitusaeg. Kontrolli, et logidest ja analüütikast ei jääks alles rohkem kui vaja. Kui süsteem puutub isikuandmeid ja kasutab neis AI-d, lisandub eraldi küsimus, mida mudelile sisestada tohib. Seda käsitleb artikkel AI ja isikuandmed.

Millal see ei ole isikuandmete küsimus

• Ettevõtte üldandmed. Registrikood, käive, tegevusala ja juriidilise isiku aadress on avalikud ega kuulu andmekaitse alla.
• Päris anonüümne statistika. Kui isikut ei saa ühelgi mõistlikul viisil tuvastada, ei ole tegu isikuandmetega. Kontrolli seda aga päriselt, sest väikeses andmestikus on inimene tihti tuvastatav ka ilma nime.
• Isiklik kasutus. Eraelu tarbeks tehtud töötlemine jääb üldmääruse kohaldamisalast välja.

Töömaht

Kaks küsimust tasub esitada iga uue süsteemi juures enne, kui andmed sinna lähevad: milliseid isikuandmeid see päriselt vajab ja kaua neid hoidma peab. Vastused muutuvad harva, aga nende puudumine tähendab, et otsuse teeb arendaja hetke mugavuse järgi.

Isikuandmete korrastamine algab tavaliselt andmeväljade nimekirjast ja säilitusaegadest, mis on ühe lehe suurune töö. Minu hinnang: nädal-paar kulub siis, kui välju on palju ja süsteeme mitu. Kui töötlemine on ulatuslik või puudutab eriliiki andmeid, lisandub andmekaitsealane mõjuhinnang, mille sisu ja künnised on eraldi mõistel kirjas. Üldraam on GDPR. Kui andmetöötlus on osa AI-projektist, vaata AI konsultatsiooni.