Xi kaebus tühistada Andmekaitse Inspektsiooni 30.09.2022 vastus nr 2.1.-1/22/2138 ja kohustada Andmekaitse Inspektsiooni menetleda Xi 05.09.2022 kaebust
Menetlusosalised
Kaebuse esitaja: X, esindaja vandeadvokaat Urmas Kukk Vastustaja: Andmekaitse Inspektsioon
Asja läbivaatamine
Kirjalik menetlus
RESOLUTSIOON
1.Rahuldada kaebus.
2.Tühistada Andmekaitse Inspektsiooni 30.09.2022 vastus nr 2.1.-1/22/2138 ja kohustada Andmekaitse Inspektsiooni uuesti menetlema Xi 05.09.2022 kaebust.
3.Jätta rahuldamata kaebaja taotlus Euroopa Kohtult eelotsuse küsimiseks.
4.Mõista vastustajalt kaebaja kasuks välja menetluskulud kokku 1040 eurot (koos käibemaksuga).
EDASIKAEBAMISE KORD
Otsuse peale võib esitada apellatsioonkaebuse Tallinna Ringkonnakohtule 30 päeva jooksul otsuse avalikult teatavakstegemisest arvates, s.o hiljemalt 25.11.2024 (halduskohtumenetluse seadustiku (HKMS) § 181 lg 1). Vastuseks esitatud apellatsioonkaebusele võib teine menetlusosaline esitada vastuapellatsioonkaebuse 14 päeva jooksul apellatsioonkaebuse vastuapellatsioonkaebuse esitajale kättetoimetamisest arvates või ülejäänud apellatsioonitähtaja jooksul, kui see on pikem kui 14 päeva (HKMS § 184). Kui apellant soovib asja arutamist kohtuistungil, tuleb tal seda apellatsioonkaebuses märkida, vastasel korral eeldatakse, et ta on nõus asja lahendamisega kirjalikus menetluses (HKMS § 182 lg 1 p 9). Kui menetlusosaline soovib apellatsioonkaebuse esitamiseks saada menetlusabi, tuleb tal esitada ringkonnakohtule vastavasisuline taotlus. Menetlusabi taotluse esitamine ei peata menetlustähtaja kulgemist (HKMS § 116 lg 5) ning apellatsioonitähtaja järgimiseks peab
menetlusabi taotleja tegema tähtaja kestel ka menetlustoimingu, mille tegemiseks ta menetlusabi taotleb, eelkõige esitama apellatsioonkaebuse (HKMS § 116 lg 6).
ASJAOLUD JA MENETLUSE KÄIK
1.X on Sakas OÜ (reg.nr 12783773) juhatuse liige ja sellest tulenevalt on tema isikukood fikseeritud ja ilma piiranguteta nähtav e-äriregistris.
2.Xi esindaja pöördus 21.01.2022 e-äriregistri vastutava töötleja Justiitsministeeriumi poole sooviga, et ligipääsu Xi isikukoodile e-äriregistris piirataks või isikukood eemaldataks avalikust vaatest. Tema hinnangul on isikukoodi selline avaldamine vastuolus Euroopa Parlamendi ja Nõukogu 27. aprill 2016 määrusega (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (edaspidi ka Üldmäärus ja
IKÜM).
3.Justiitsministeerium vastas 17.02.2022 vastuses, et juhatuse liikme isikukoodi piiramatu avaldamine e-äriregistris on kooskõlas Üldmäärusega ja keeldus nõuet täitmast. (dtl 8-11)
4.X pöördus 5.09.2022 kaebusega Andmekaitse Inspektsiooni poole (dtl 12-14). Kaebuses soovis X: 1) tuvastada Euroopa Parlamendi ja Nõukogu määrusega (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (edaspidi Üldmäärus) art. 25 lg 2 rikkumine Justiitsministeeriumi poolt; 2) anda korraldus Justiitsministeeriumile lõpetada e-äriregistris Xi isikukoodi ilma asjaomase isiku sekkumiseta kättesaadavaks tegemine määramata füüsiliste isikute ringile; 3) anda korraldus Justiitsministeeriumile viia Xi isikuandmete töötlemise toimingud e-äriregistris vastavusse kõigi Üldmääruse art. 25 lg 2 nõuetega; 4) määrata Justiitsministeeriumile trahv vastavalt Üldmääruse art. 83 lg 4 punktile a) arvestades rikkumise ulatust e-äriregistris.
5.30. septembril 2022 otsustas Andmekaitse Inspektsioon jätta menetluse algatamata (dtl 15). Andmekaitse Inspektsioon on oma menetluse algatamata jätmise teates seisukohal, et juhatuse liikme isikukoodi avaldamine on õiguspärane, sest see toimub Üldmääruse art. 6 lg 1 punkti e) alusel.
6.X esitas 13. oktoobril 2022 Tallinna Halduskohtusse kaebuse tühistada Andmekaitse Inspektsiooni 30.09.2022 vastus nr 2.1.-1/22/2138 ja kohustada Andmekaitse Inspektsiooni menetlema Xi 05.09.2022 kaebust (dtl 2-7). Ühes kaebusega esitas kaebaja kohtule järgmise taotluse: Kui menetluse käigus leiab kinnitust, et Andmekaitse Inspektsioon Eesti Vabariigi õigusnormide kohaselt ei pea menetlema Xi 05.10.2022 kaebust, siis taotleda Euroopa Kohtult eelotsust järgmiste küsimustes: - kas Euroopa Parlamendi ja Nõukogu määrusega (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (edaspidi Üldmäärus) kohaselt võib järelevalveasutus jätta menetlemata art 77 lg1 alusel esitatud andmesubjekti kaebuse; - kas Üldmääruse kohaselt võib järelevalveasutus jätta kontrollimata vastutava või volitatud töötleja tegevuse vastavuse Üldmäärusega, sh artiklitega 25 ja 87, kui on täidetud siseriikliku õiguse normid;
2(10)
- kas Üldmääruse kohaselt võib järelevalveasutus jätta kohustamata vastutavat või volitatud töötlejat täitma Üldmäärust, sh artikleid 25 ja 87, kui töötlemine on vastuolus Üldmäärusega kuid kooskõlas siseriikliku õigusega; - kas Andmekaitse Inspektsioon on sõltumatu järelevalveasutus Üldmääruse art 51 tähenduses. Kohus võttis X kaebuse menetlusse oma 17.10.2022 määrusega (dtl 19-20) ja viis läbi eelmenetluse.
MENETLUSOSALISTE SEISUKOHAD
7.Kaebaja on seisukohal, et vastustaja peab menetlema tema 5.09.2022 (kaebuses ekslikult märgitud 5. oktoobri 2022) kaebust järgmistel põhjustel:
7.1.Kaebaja leiab, et Justiitsministeerium tõlgendab teadlikult Üldmäärust valesti ja juhatuse liikme, sh Xi, isikukoodi piiramatu avaldamine e-äriregistris on vastuolus Üldmääruse nõuetega. Seejuures ei ole Üldmääruse art. 25 lg 2 seisukohalt määrav, kas nõude täitmata jätmine toob kaasa ohu füüsilise isiku õigustele ja vabadustele. Rikkumine on ainuüksi asjaolu, et isikuandmed on vaikimisi, ilma asjaomase isiku sekkumiseta, kättesaadavad määramata füüsiliste isikute ringile.
7.2.Kaebaja toob välja, et Justiitsministeerium väidab oma 17.02.2022 vastuses: „Kolmandad isikud peavad saama üheselt kindlaks teha, kas näiteks isik, kes on sõlmimas ettevõtte nimel olulist lepingut, on juriidiliselt volitatud seda allkirjastama või mitte.“. Sellest jääb kaebajale arusaamatuks jääb, miks juhatuse liikme isikukood on tehtud nähtavaks ka nendele kolmandatele isikutele, kes ei ole sõlmimas lepingut äriühinguga. Seejuures teab Justiitsministeerium, et e-äriregistri avalikus vaates ei ole võimalik kindlaks teha millisel eesmärgil kolmas isik kandega tutvub.
7.3.Kaebaja toob välja, et isikukoodi piiramatu avaldamine võib kaasa tuua selle väärkasutamise, mis omakorda võib kaebajale kaasa tuua muuhulgas ohu elule, tervisele, varale ja/või mainele. Andmekaitse Inspektsioon on seejuures lugenud oma isikuandmete töötleja üldjuhendi lk 30 ohud isiku elule, tervisele, varale ja/või mainele suureks ohuks isiku õigustele ja vabadustele. Kaebaja toob välja, et e-äriregistrisse on kantud üle 300 000 juriidilise isiku ja seega puudutab tema poolt välja toodud Üldmääruse nõuete rikkumine väga suurt hulka füüsilisi isikuid. Isikukoodi piiramatu avaldamine e-äriregistris loob lihtsa võimaluse selle väärkasutamiseks. Mis omakorda võib kaasa tuua ohu füüsiliste isikute õigustele ja vabadustele.
7.5.Kaebaja on seisukohal, et alates 25. maist 2018 (Üldmääruse kohaldamise alguspäev) peab isikuandmete töötlemisele kohaldama Üldmääruse nõudeid isegi juhul, kui äriseadustiku sätteid oleks võimalik tõlgendada Üldmääruse nõuetest erinevalt. Üldmääruse art. 25 lg 2 kohaselt peab vastutav töötleja (e-äriregistri puhul Justiitsiministeerium) rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagataks eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta kättesaadavaks määramata füüsiliste isikute ringile. Praegu on kõigi e-äriregistrisse kantud äriühingute juhatuse liikmete, sh Xi, isikukoodid ilma asjaomase isiku sekkumiseta kättesaadav määramata füüsiliste isikute ringile.
7.6.Justiitsministeeriumi valitsemisalasse kuuluvad vastavalt vabariigi valitsuse seaduse § 59 lg-le 1 andmekaitsealased küsimused. Arvestades seda ja asjaolu, et Justiitsministeerium on oma vastuses tsiteerinud ka Üldmääruse art 25 lg 2, ei ole usutav, et Justiitsministeeriumi asjaomased ametnikud (sh andmekaitse spetsialist) ei tea Üldmääruse sisu ja nõudeid. Seega on Justiitsministeerium teadlik asjaolust, et e-äriregistri avalik vaade ei vasta Üldmääruse art
3(10)
25 lg 2 viimase lause nõuetele. Selle vaatamata on Justiitsministeerium otsustanud õigusnormi täita valikuliselt ja teadlikult isiku õigusi eirates.
7.7.Kaebaja leiab, et ka Andmekaitse Inspektsioon seisukoht, et juhatuse liikme isikukoodi avaldamine on õiguspärane, sest see toimub Üldmääruse art. 6 lg 1 punkti e) alusel, on ekslik ja vale. Kaebaja toob välja, et Andmekaitse Inspektsioon kirjutab: „Isikuandmete kaitse üldmääruse artikkel 6 lõike 1 punkt e võimaldab töödelda isikuandmeid, kui töötlemine on vajalik avalikes huvides /---/“. Tegelikult ütleb aga Üldmääruse art 6 lg 1 punkt e) : „ isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks;“. Kaebaja leiab, et töötlemine „avalikes huvides“ ja „avalikes huvides oleva ülesande täitmiseks“ ei ole üks ja sama.
7.8.Kaebaja leiab, et Andmekaitse Inspektsioon ignoreerib oma 30.09.2022 keeldumises Xi kaebuse p 3.2. toodud seisukohta, et e-äriregistris juhatuse liikme isikukoodi avaldamine on vastuolus Üldmääruse art 25 lg 2 nõuetega. Vastustaja ei ole ka põhjendanud, miks ta ei käsitle nimetatud vastuolu. Või miks ta üldse ei kontrolli e-äriregistri tegevuse vastavust Üldmäärusega. Rääkimata sellest, kas isikukoodi töötlemine e-äriregistris vastab Üldmääruse art 87 nõuetele.
7.9.Kaebaja toob välja, et Andmekaitse Inspektsiooni vastusest jääb tervikuna mulje, et püüdlikult hoidutakse mistahes kommentaaridest, viidetest või seisukohtadest, mis näitaks, et Justiitsministeeriumi tegevus on vastuolus Üldmäärusega. Selline valikuline õiguse kohaldamine ei jäta kaebajale muud võimalust, kui asuda seisukohale, et vähemalt Justiitsministeeriumi tegevuse suhtes ei ole Andmekaitse Inspektsioon selline sõltumatu jäerelevalveasutus, nagu näeb ette Üldmääruse art 51. Seda seiskohta kinnitab ka asjaolu, et: - vastavalt Vabariigi Valitsuse seaduse (VVS) § 59 lg 3 p 1 on Andmekaitse Inspektsioon Justiitsministeeriumi valitsemisalas; - vastavalt IKS § 54 lg 1 nimetatakse Andmekaitse Inspektsiooni peadirektor ametisse justiitsministri ettepanekul; - Andmekaitse Inspektsiooni eelarve suuruse üle otsustab justiitsminister; - Andmekaitse Inspektsiooni põhimääruse kehtestab justiitsminister; - justiitsminister omab Andmekaitse Inspektsiooni peadirektori üle distsiplinaarvõimu. 7.10 Kaebaja leiab, et Andmekaitse Inspektsiooni vastusest võib aru saada, et: - Andmekaitse Inspektsioon ei pea algatama menetlust füüsilise isiku kaebuse alusel; - Andmekaitse Inspektsioon ei pea põhjendama, millisel õiguslikul alusel ta jätab menetluse algatamata; Andmekaitse Inspektsioon ei pea kontrollima e-äriregistri tegevuse vastavust Üldmäärusega, kui on olemas siseriiklik õigusakt, mis õigustab sellist tegevust, isegi juhul, kui siseriiklik õigusakt on vastuolus Üldmäärusega. Nendest seisukohtadest (Andmekaitse Inspektsiooni on tegutsenud Eesti Vabariigi õigusnormide kohaselt) lähtudes on kaebaja esitanud ka Euroopa Kohtult eelotsuse küsimise taotluse küsimused.
7.11.Kaebaja leiab tuginedes Üldmääruse art. 51 lg 1, art. 55 lg 1, art. 57 lg 1 punktile a), art. 57 lg 1 punktile f) ja art 77 lg 1, et ükski õigusakt ei näe ette, et Andmekaitse Inspektsioon ei pea käsitlema andmesubjekti poolt Üldmääruse art 77 lg1 alusel esitatud kaebust või ei pea kontrollima isikuandmete töötleja tegevuse vastavust Üldmäärusega, kui töötlemine toimub siseriikliku õiguse alusel. Samuti ei näe õigus ette, et Andmekaitse Inspektsioon ei pea rikkujalt nõudma Üldmääruse täitmist, kui Üldmääruse rikkuja täidab siseriikliku õiguse norme, mis on vastuolus Üldmäärusega. Kaebaja on ka seisukohal, et isikuandmete kaitse seaduse (edaspidi ka IKS) § 56 tulenevalt ei ole Andmekaitse Inspektsiooni pädevuses mitte kontrollida e- äriregistri tegevuse vastavust äriseadustikuga või otsustada, et e-äriregister võib rikkuda Üldmääruse nõudeid, kui ta tegutseb kooskõlas siseriikliku õigusega.
7.12.Oma 24.05.2023 vastuses kohtu 24.04.2023 kohtunõudele märgib kaebaja kõigepealt, et ta on seisukohal, et Euroopa Kohtu eelotsus on vajalik Üldmääruse nõuete õiguspäraseks kohaldamiseks Eesti Vabariigis tegutsevate isikuandmete töötlejate ja järelevalveasutuse 4(10)
suhtes ning see ei ole esitatud tingimuslikult, sõltuvalt kohtuotsusest. Kaebaja on seisukohal, et Euroopa Kohtu eelotsus on vajalik selleks, et käesolevas asjas tehtav otsus vastaks Euroopa Kohtu seisukohale, kuidas peab tõlgendama Üldmäärust. Kaebaja leiab, et Euroopa Kohtult eelotsuse küsimine ei ole vajalik, kui kohus leiab menetluse käigus, enne otsuse tegemist, et Eesti Vabariigi õigusnormid ei vabasta Üldmääruse täitmise üle järelevalvet teostajat Andmekaitse Inspektsiooni kohustusest kontrollida isikuandmete töötlemise vastavust Üldmäärusega ka siis, kui isikuandmete töötlemine toimub kooskõlas siseriikliku õigusega. Kaebajale ei ole teada ühtegi õigusnormi, mis vabastaks Andmekaitse Inspektsiooni Üldmääruse art 57 lg 1 punkt a) tulenevast ülesandest jälgida Üldmääruse kohaldamist ja tagada Üldmääruse kohaldamine. Ühegi sellise õigusnormi olemasolule ei ole viidanud ka Andmekaitse Inspektsioon. Euroopa Kohtult eelotsuse küsimine on vajalik siis, kui kohus leiab asja lahendamise käigus, et Üldmääruse puhul ei ole selge, kas seda on võimalik tõlgendada selliselt, et Andmekaitse Inspektsioonil ei ole, siseriiklikust õigusest tulenevalt kohustust, teostada järelevalvet Üldmääruse kohaldamise ja täitmise üle. Seda isegi siis, kui on rikutud Euroopa Liidu õigusnormi. Kaebaja juhib tähelepanu asjaolule, et Andmekaitse Inspektsioonile jäävad segaseks, millised on tema ülesanded seoses järelevalvega Üldmääruse täitmise üle. Seda kinnitab asjaolu, et Andmekaitse Inspektsioon ei ole andnud sisulist vastust kaebuses toodud väidetele, mis puudutavad Andmekaitse Inspektsiooni Üldmäärusest tulenevatest kohustusi järelevalveasutusena.
7.13.Kaebaja jaoks oli üllatuslik Andmekaitse Inspektsiooni tuginemine Üldmääruse art 57 lg 4 kohtusse esitatud kaebusele vastamisel. Nimetatud sättele ei ole Andmekaitse Inspektsioon varasemalt viidanud. Hea haldustavaga ei ole kooskõlas Andmekaitse Inspektsiooni poolt uute aluste esitamine iga uue kirjaga. Andmekaitse Inspektsioon ei ole varem kordagi väitnud, et kaebaja kaebus on olnud põhjendamatu. Seetõttu ei ole ka kohane Andmekaitse Inspektsioon poolt Euroopa Kohtule esitatav küsimus. Lisaks on see ka eksitav, sest sellest on jäetud välja asjaolu, et siseriiklikust õigusest tulenev alus on vastuolus Üldmäärusega.
7.14.Kaebaja lisab, et vastustaja hoidub jätkuvalt püüdlikult mistahes kommentaaridest, viidetest või seisukohtadest, mis näitaks, et Justiitsministeeriumi tegevus on vastuolus Üldmäärusega. Asjaolu, et Andmekaitse Inspektsioon ei saa Justiitsministeeriumile määrata sunniraha või rahatrahvi, ei saa olla järelevalvemenetlusest keeldumise aluseks. See saab olla ainult sunnivahendi valimise aluseks. Andmekaitse Inspektsioonil on Üldmääruse art 58 lg 2 antud rida parandusvolitusi. Näiteks punkti d) kohaselt on Andmekaitse Inspektsioonil õigus anda korraldus, et vastutav töötleja või volitatud töötleja viiks asjakohasel juhul isikuandmete töötlemise toimingud teatud viisil ja teatud aja jooksul vastavusse Üldmääruse sätetega. Arvestades eeltoodut leiab kaebaja kokkuvõtvalt, et Andmekaitse Inspektsiooni küsimuse sõnastus on eksitav ja menetlusökonoomika seisukohalt on otstarbekas, kui Euroopa Kohtu eelotsus küsitakse I astme menetluses.
7.15.Kaebaja palub vastustajalt välja mõista menetluskulud kokku summas 1040 eurot (koos käibemaksuga).
5(10)
8.Vastustaja (edaspidi ka AKI) leiab oma vastuses kaebusele, et see ei ole põhjendatud ja vaidleb sellele täies ulatuses vastu põhjendades oma seisukohti järgnevaga:
8.1.Vaidlust ei ole selles, et äriregistris avalikustatakse kaebaja isikuandmeid. Vaidlust ei ole ka selles, et isikuandmeid avalikustatakse seaduse alusel. Vaidlus seisneb selles, kas ÄS § 28 ja ÄS § 145 lg 5 punkt 5, mis näevad ette juhatuse liikmete isikukoodi avalikustamise, on kooskõlas IKÜM-ga ning kas vastustaja peaks kontrollima siseriikliku õiguse vastavust IKÜM-ga ja jätma vastuolu korral siseriikliku õiguse kohaldamata.
8.2.AKI ülesanded ja pädevused tulevad IKS-st ja IKÜM-st. Kummaski pole sätestatud AKI pädevust hinnata siseriikliku õiguse vastavust IKÜM-ga ja jätta võimaliku vastuolu korral siseriiklik õigus kohaldamata.
8.3.AKI on alati seisukohal, et avaldada tuleks võimalikult vähe isikuandmeid ja võimalikult väiksele ringile – see tuleneb ka andmete töötlemise minimaalsuse põhimõttest. Siiski ei muuda see seisukoht ega Justiitsministeeriumi äriregistri andmete avalikustamisega seotud tegevusele hinnangu andmine kaebaja taotluse alusel järelevalvemenetluse alustamata jätmise otsust.
8.4.IKÜM (art 6 lg 1 p e) ja pp 45) näevad ette igale liikmesriigile õiguse luua täiendavaid isikuandmete töötlemise aluseid. Äriseadustikus on juhatuse liikmete andmete avalikustamine seaduse tasandil ette nähtud. Iseküsimus on, kas ÄS-s on reguleeritud kõik, mida IKÜM pp-s 45 loetletakse: tingimused vastutava töötleja kindlaksmääramiseks, töötlemisele kuuluvate isikuandmete liik, asjaomased andmesubjektid, üksused, kellele võib andmeid avaldada, eesmärgi piirangud, säilitamise aeg ja muud meetmed seadusliku ja õiglase töötlemise tagamiseks. Vaatamata sellele ei saa AKI jõuda järeldusele, et äriühingu juhatuse liikme isikukoodi avalikustamiseks ei ole õiguslikku alust. IKÜM art 57 lõike 4 alusel keeldub andmekaitseasutus kaebuse menetlemisest, kui see on selgelt põhjendamatu. AKI hinnangul on kaebus põhjendamatu, kui isikuandmete töötlemiseks on õiguslik alus. AKI on ka järelevalvemenetluse alustamata jätmise otsuses esitanud oma põhjendused.
8.5.Juhul kui kohus otsustab Euroopa Kohtult eelotsust küsida, tuleks AKI hinnangul küsida, kas IKÜM art 57 lõike 4 mõistes on andmesubjekti taotlus põhjendamatu, kui ta kaebab oma isikuandmete ebaseadusliku töötlemise üle, kuid õiguslik alus selliseks töötlemiseks on siseriiklikus õiguses olemas.
8.6.Eesti siseriiklikud õigusaktid on täis üldisi ja napisõnalisi isikuandmete töötlemist puudutavaid sätteid, milles kaugeltki pole reguleeritud kõiki IKÜM-s ettenähtud aspekte. AKI saab vaid õigusloome käigus sellistele puudustele tähelepanu juhtida, kuid eelnõu lõpliku sisu määrab Riigikogu.
8.7.Isegi, kui AKI alustaks Justiitsministeeriumi suhtes järelevalvemenetluse, ei saaks AKI ministeeriumile määrata sunniraha või rahatrahvi (ATSS § 5 lg 3, KarS § 14 lg 3).
8.8.Eelnevast tulenevalt on AKI seisukohal, et on jätnud kaebaja taotluse alusel põhjendatult ja õiguspäraselt järelevalvemenetluse algatamata.
8.9.AKI leiab, et juhul kui kohus otsustab Euroopa Kohtult eelotsust küsida, tuleks AKI hinnangul küsida, kas IKÜM art 57 lõike 4 mõistes on andmesubjekti taotlus põhjendamatu, 6(10)
kui ta kaebab oma isikuandmete ebaseadusliku töötlemise üle, kuid õiguslik alus selliseks töötlemiseks on siseriiklikus õiguses olemas.
KOHTU SEISUKOHT JA PÕHJENDUSED
9.Kohus, uurinud menetlusosaliste poolt esitatud tõendeid ja nende seisukohti leiab, et kaebus tuleb rahuldada tühistamis- ja kohustamisnõude osas. Kohus põhjendab oma seisukohta järgmiselt:
10.Kohus leiab, et käesolevas asjas ei ole vaidlust kõigepealt selle üle, et äriregistris avalikustatakse kaebaja isikuandmeid ja äriregistri avalikkusele avatud osast saab iga äriregistrit kasutav isik näha kaebaja isikukoodi ilma selleks täiendavalt oma tutvumisvajadust põhjendamata ja kaebaja kaasamiseta andmete avalikustamise protseduuridesse ja viimaselt nõusolekut küsimata. Vaidlust ei ole ka selles, et kaebaja isikukoodi avalikustamine äriregistris toimub äriseadustiku § 28 ja § 145 lg 5 alusel. Vaidlus seisneb eelkõige selles, kas ÄS § 28 ja ÄS § 145 lg 5 punkt 5, mis näevad ette juhatuse liikmete isikukoodi avalikustamise piiramata ringile isikutele ilma selleks kaebajat kaasamata, on kooskõlas IKÜM-ga ning kas AKI peaks kontrollima siseriikliku õiguse vastavust IKÜM-ga ja kasutama vastuolu korral siseriikliku õiguse ja Üldmääruse vahel talle seadusega antud volitusi järelevalveasutusena selle vastuolu likvideerimiseks seaduse rakendamisel ning isikute õiguste kaitseks. Lisaks eeltoodule ei ole kohtu hinnangul poolte vahel vaidlust selles, et Andmekaitseinspektsioonil on Üldmääruse art 55 p 1 alusel pädevus täita ülesandeid ja kasutada volitusi, mis on talle kooskõlas Üldmäärusega antud. Kuna käesoleval juhul on andmete töötlejaks Justiitsministeerium, kes tegutseb artikli 6 lg 1 p e) alusel, siis on vastustaja tulenevalt Üldmääruse artikli 55 lg 2 sõnastusest pädevaks liikmesriigi järelevalveasutuseks Üldmääruse mõttes. Vaidlust ei ole ka selles, et tulenevalt Üldmääruse artiklis 57 punktist 1 alapunktist a) on vastustaja ülesandeks jälgida Üldmääruse kohaldamist ja tagada selle kohaldamine Eesti territooriumil. Tulenevalt Üldmääruse artikli 57 punkti 1 alapunktist f) käsitleb vastustaja Eestis muuhulgas andmesubjekti poolt artikli 80 kohaselt esitatud kaebusi, uurib asjakohasel määral kaebuste sisu ning teavitab kaebuse esitajat mõistliku aja jooksul uurimise käigust ja tulemusest. Käesoleval juhul ei ole vaidlust, et kaebaja kasutas oma Üldmääruse art. 77 lg 1 tulenevat õigust esitada 05.09.2022 kaebus järelevalveasutusele Eestis, kuna tema väidetavate õiguste rikkumine isikuandmete töötlemisel toimub Eestis.
11.Kohus märgib, et tulenevalt Üldmääruse Art 78 lg 2 sõnastusest oli järelevalveasutusel käesoleval juhul aega kaebuse menetlemise käigust ja tulemustest kaebajale teatamiseks 3 kuud. Vaidlust ei ole, et vastustaja vastas kaebaja 05.09.2022 kaebusele 30.09.2022 ehk Üldmääruses sätestatud tähtaja piires. Kaebaja on küll toonud välja, et vastustaja ei ole oma vastuses viidanud Üldmääruse artikli 57 lg-le 4 kaebaja kaebuse menetluse keeldumise alusena, kuid kohus leiab, et see puue ei oma käesoleva kaebuse lahendamisel olulist tähendust, sest vastav õigus on tulenevalt Üldmääruse sättest vastustajal vaieldamatult olemas ja selle rakendamise eelduseks ei ole seatud vastavat viidet vastustaja vastuses talle esitatud kaebusele. Kohus märgib, et samas omab nimetatud säte olulist tähendust käesoleva kaebuse lahendamisel tulenevalt asjaolust, et see näeb ette järelevalveasutuse kohustuse tõendada muuhulgas taotluse selgelt põhjendamatut iseloomu selle menetlemisest keeldumisel. Sisuliselt vastab see nõue Eesti haldusmenetluses haldusorganile kehtivale nõudele põhjendada oma otsuseid. Eestis kehtiva isikuandmete kaitse seaduse § 3 näeb ette, et 7(10)
„ Käesolevas seaduses ettenähtud haldusmenetlusele kohaldatakse haldusmenetluse seaduse sätteid, arvestades käesoleva seaduse erisusi.“. Vaidlust ei saa seega olla asjaolu üle, et vastustaja on järelevalveasutus ka IKS § 51 lg 1 mõttes ja tal tuleb oma tegevuses lähtuda nii IKS-st, Üldmäärusest kui ka muudest seadustest ja nende alusel kehtestatud õigusaktidest ehk muuhulgas haldusmenetluse seadusest. Eeltoodust ja kaebuses põhjendustes toodust lähtudes tuleb kohtul käesoleva kaebuse õigesti lahendamiseks eelkõige kontrollida seda, kas vastustaja on täitnud oma 30.09.2022 vastuses kaebaja taotlusel Üldmääruses ja haldusmenetluse seaduses ettenähtud ulatuses taotluse menetlusest keeldumist ja teinud seda kehtivat õigust arvestades.
12.Vastustaja leiab oma menetluse algatamata jätmise teates põhijoontes, et kõigepealt võimaldab Üldmääruse artikkel 6 lg 1 punkt e) töödelda isikuandmeid, kui töötlemine on vajalik avalikes huvides ja et vastavalt sama artikli lõikele 3 tuleb töötlemise alus kehtestada vastutava töötleja suhtes kohaldatava liikmesriigi õigusega. Vastustaja toob välja, et Eestis on õiguslikud alused äriühingute juhatuste liikmete isikukoodide kogumiseks ja avaldamiseks eäriregistris kehtestatud äriseadustiku §-ga 22, § 62 lg-ga 1 ja § 145 lg 5 punktiga 5. Eelnevast järeldab vastustaja, et kuna Eesti äriregistris ei avalikustata kaebaja isikukoodi ilma õigusliku aluseta on see õiguspärane ja seetõttu ei algata vastustaja ka järelevalvemenetlust. Kaebaja leiab, et vastustaja on sellist vastust andes jätnud sisuliselt tähelepanuta, analüüsimata ja kohaldamata Üldmääruse art 25 lg 2 ja art 87, millede kohaselt peab vastutav töötleja (eäriregistri puhul Justiitsiministeerium) rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagataks eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta kättesaadavaks määramata füüsiliste isikute ringile ja kasutatakse riiklikku isikukoodi või muud üldkasutatavat tunnust üksnes vastavalt asjakohastele kaitsemeetmetele, mis on sätestatud andmesubjekti õiguste ja vabaduste tagamiseks käesoleva määruse kohaselt. Seejuures ei ole vaidlust, et praegu on kõigi e-äriregistrisse kantud äriühingute juhatuse liikmete, sh Xi, isikukoodid ilma asjaomase isiku sekkumiseta kättesaadav määramata füüsiliste isikute ringile.
13.Kohus leiab, et kaebaja etteheide vastustaja vastuses põhjenduste puudulikkuse osas on õigustatud ja tegemist on nii suure menetlusveaga, mis toob kaasa vaidlustatud haldusakti tühistamise ning vastustaja kohustamise kaebaja 05.09.2024 taotluse uuesti menetlemiseks. Kohus märgib oma seisukohta põhjendades esmalt, et nähtuvalt vaidlustatud vastustaja vastusest on vastustaja põhjendanud oma keeldumist taotluse lahendamisest sisuliselt ainult sellega, et Eesti äriseadustikus esineb õiguslik alus isikuandmete töötlemiseks ja avalikkusele piiramatult kättesaadavaks tegemiseks. Samas on vastustaja täielikult tähelepanuta jätnud asjaolu, et isikuandmete töötlemise puhul tuleb arvestada mitte ainult nimetatud õiguslikku alust vaid ka muid Üldmääruse ja IAKS regulatsioone. Juhul, kui vastustaja peab käesoleval juhul Üldmääruse Art 25 lg 2, millele kaebaja on kaebuses muuhulgas otse on viidanud, ja art 87 asjassepuutumatuks, oleks tal tulnud seda sisuliselt põhjendada. Vaidlust ei ole, et vastustaja seda mingilgi moel teinud ei ole. Kohus märgib, et vastustaja on siinkohal kohtule arusaamatult asunud kohtumenetluses seisukohale, et temal puudub seaduses sätestatult igasugune pädevus tõlgendada Üldmääruses sätestatut. Kohus selle seisukohaga ei nõustu. Üldmääruse art 57 lg 1 punkt a) paneb vastustajale kohustuse jälgida Üldmääruse täitmist ja tagada selle kohaldamise ning punkt b) muuhulgas kohustuse suurendada üldsuse teadlikkust ja arusaamist isikuandmete töötlemisel esinevatest ohtudest, töötlemise normidest ja kaitsemeetmetest ning isikuandmete töötlemisega seotud õigustest.
8(10)
Kohtu veendumusel ei ole juba ainuüksi neid ülesandeid võimalik täita, ilma isikuandmete kaitseks sätestatud õigusnorme, mille hulgas on Eestis otsekohaldatavana ka Üldmääruse normid, tõlgendamata. Kohus märgib, et ka IKS § 56 sätestatud ülesannete täitmine eeldab paratamatult kehtivate õigusnormide tõlgendamist nii nende individuaalset sisu osas kui ka rakendamisel kooskõlas teiste normidega.
14.Kohus märgib eraldi ära ka asjaolu, et vastustaja ei ole oma vastuses kaebusele mingilgi kombel kajastanud ja analüüsinud Justiitsministeeriumi 17.02.2022 vastust kaebajale, milles Justiitsministeerium on vähemalt mingiski ulatuses analüüsinud avalikku huvi isikukoodide piiramatuks avalikustamiseks. Kohus märgib, et kaebaja taotluse õigeks lahendamiseks tuleb vastustajal paratamatult siinkohal kaaluda, kas Justiitsministeeriumi poolt vastuses kirjeldatud avalik huvi isikukoodi piiramatuks avalikustamiseks kaalub üles kaebaja huvi selle avalikustamisel kaasa rääkida ja kas on olemas mingeid tehnilisi lahendusi, mis aitavad neid huve paremini tasakaalustada. Samuti tuleb vastustajal põhjendada, kas selline avalikustamine seab kaebaja (ja teiste isikute) õigused ja huvid isikukoodi kontrollimatu avalikustamise tõttu tõsisesse ohtu.
15.Eeltoodust tulenevalt leiab kohus, et vastustaja on kaebajale vastamisel oluliselt rikkunud oma põhjendamiskohustust ning seetõttu tuleb vaidlustatud vastus tühistada ning kohustada kaebajat see uuesti läbi vaadata ning langetada uus otsus.
16.Kohus märgib, et ta ei saa küll täielikult välistada, et vastustaja jõuab täiendava kaalumise järel oma vaidlustatud vastuses toodule sarnasele järeldusele, kuid käesoleval juhul ei ole sellele vaatamata täidetud HMS § 58 rakendamise eeldused. Kohus leiab, et tal puudub veendumus, et põhjendamiskohustuse rikkumine ei võinud mõjutada käesoleval juhul asja otsustamist. Kohus viitab siinkohal täiendavalt vastustaja enda kaebusele antud vastuses esitatud seisukohale, et „Eesti siseriiklikud õigusaktid on täis üldisi ja napisõnalisi isikuandmete töötlemist puudutavaid sätteid, milles kaugeltki pole reguleeritud kõiki IKÜM-s ettenähtud aspekte. AKI saab vaid õigusloome käigus sellistele puudustele tähelepanu juhtida,, kuid eelnõu lõpliku sisu määrab Riigikogu.“. Sellest tulenevalt on vastustaja siiski ise tunnistanud, et ta on analüüsinud ja tõlgendanud Eesti seadusi ja nende kooskõla Üldmäärusega ning leidnud mitmeid vastuolusid Üldmäärusega, mille kohaldamise tagamine on tema ülesanne.
17.Kohus nõustub vastustajaga siinkohal selles, et vastustajal on õigus, et ta ei saa otsustada seaduste kooskõlla viimist Üldmäärusega. Samas on tal tulenevalt Üldmäärusest ja ka IKS-st väga mitmeid erineva mõjuga võimalusi olukorrale reageerida ja kohtu hinnangul ka kohustus seda oma volituste piirides teha. Käesoleval juhul, on vastustaja märkinud, et isegi kui ta alustaks Justiitsministeeriumi suhtes järelevalvemenetluse, ei saaks ta ministeeriumile määrata sunniraha või rahatrahvi (ATSS § 5 lg 3, KarS § 14 lg 3). Kohus leiab, et vastustajal on IKS § 56 ja Üldmääruse art 58 toodud mitmesugused volitused ja võimalused selleks, et tagada oma ülesannete täitmine ja Üldmääruse ja IKS sätete kohaldamine. Kohus ei saa siinkohal otsustada vastustaja eest, milliseid volitusi kasutada, kuid kohus märgib, et vastustajal on kohustus rikkumiste avastamisel kasutada kaalutulusõiguse alusel nende võimalikult kiireks ja efektiivseks kõrvaldamiseks kõiki talle antud volitusi. Lisaks on vastustajal kohustus koostada oma tegevuse kohta aastaaruanne, mis tuleb kohustuslikult edastada ka riigi parlamendile ja valitsusele ehk tal on võimalik otseselt seadusandja ees tõstatada küsimus kehtiva siseriikliku õiguse muutmiseks tulenevalt selle mittevastavusest Üldmääruse nõuetele.
18.Kohus märgib, et tulenevalt asjaolust, et käesoleva kaebuse lahendamiseks puudub kohtul vajadus küsida eelotsust Euroopa Kohtult, jätab kohus kaebaja vastava taotluse koos vastustaja esitatud täpsustava küsimusega rahuldamata. 9(10)
19.HKMS § 108 lõike 1 kohaselt kannab menetluskulud pool, kelle kahjuks otsus tehti. Käesolevas asjas tehti otsus kaebaja kasuks. Kaebaja on esitanud kohtule taotluse hüvitada tema menetluskulud kokku summas 1040 eurot (kooskäibemaksuga). Vastustaja ei ole menetluskulude hüvitamise taotlusele ja nende suurusele vastu vaielnud. Kuna Euroopa Kohtult eelotsuse küsimuse taotlus ei ole käsitletav eraldiseisva kaebuse nõudena, siis mõistab kohus menetluskulud vastustajalt kaebaja kasuks välja taotletud ulatuses.