GDPR-i järgimise põhimõtted

Ettevõttes Eesti Firma (juriidiline nimi Eesti Firma OÜ, registrikood 14164797, registrijärgne aadress: Vesivärava 50-301, 10152 Tallinn, Eesti) on teie isikuandmete kaitsmine meie kõrgeim prioriteet. Eesti litsentseeritud usaldus- ja äriühinguteenuste pakkujana töötleme isikuandmeid täielikus kooskõlas isikuandmete kaitse üldmäärusega (EL) 2016/679 (GDPR) ning Eesti isikuandmete kaitse seadusega. Meie pühendumus eraelu puutumatuse kaitsele põhineb GDPR-i artiklis 5 sätestatud andmetöötluspõhimõtetel.

Need põhimõtted juhivad kõiki meie otsuseid teie andmete töötlemise kohta ja on meie sisemiste menetluste aluseks. Allpool selgitame iga põhimõtet, selle praktilist rakendamist, teie õigusi andmesubjektina ning pädeva järelevalveasutusega ühenduse võtmise võimalusi. Üksikasjalik teave konkreetsete andmetöötlustoimingute ja kaitsemeetmete kohta on esitatud meie privaatsuspoliitikas.

Seaduslikkus, õiglus ja läbipaistvus

Töötleme isikuandmeid teie suhtes seaduslikult, õiglaselt ja läbipaistvalt, nagu nõuab GDPR-i artikli 5 lõike 1 punkt a. See tähendab, et andmete töötlemine toimub seaduslikul alusel ning teie kui andmesubjekti suhtes ausalt ja avatult. Selle põhimõtte raames järgime järgmisi lähenemisviise:

• Seaduslikkus: kogume ja kasutame teie isikuandmeid ainult juhul, kui selleks on GDPR-i artikli 6 kohaselt selge ja seaduslik alus. Meie õiguslikud alused hõlmavad teie teadlikku nõusolekut (kui see on nõutav), lepinguliste kohustuste täitmist, seadusest tulenevate nõuete järgimist (näiteks rahapesuvastased ja KYC kohustused) või meie õigustatud ärihuve, mis ei kaalu üles teie õigusi. Teid teavitatakse alati teie andmete töötlemise õiguslikust alusest.
• Õiglus: tagame andmete õiglase töötlemise. See tähendab, et me ei kogu andmeid pettuse teel ega kasuta neid teie kahjuks. Me ei eksita teid kunagi teabe kogumise eesmärkide ega selle kasutamise suhtes. Lisaks arvestame teie huvide ja õigustega – näiteks tagame teie õiguste (nagu õigus oma andmetega tutvuda) mittediskrimineeriva kasutamise sõltumata teenusetingimustest. Andmete töötlemisel väldime teie eraelu puutumatuse põhjendamatut kahjustamist.
• Läbipaistvus: selgitame avatult ja arusaadavalt, miks ning kuidas teie andmeid kasutatakse. Kogu töötlemist puudutav teave esitatakse lihtsas keeles, vältides liigset õigusterminoloogiat. Meie privaatsuspoliitika ja muud teavitused on alati hõlpsasti kättesaadavad, et saaksite igal ajal teada, milliseid andmeid, millisel alusel ja mis eesmärgil kogume. Vajaduse korral kasutame mitmetasandilist teavitamist – tõstame esile põhipunktid ning esitame üksikasjad lisalinkide või kohtspikrite kaudu. Ajakohastame teavet korrapäraselt ja teavitame teid olulistest muudatustest. Selline läbipaistvus tagab, et teate täpselt, kuidas teie isikuandmeid töödeldakse.

Eesmärgi piirang

Kooskõlas GDPR-i artikli 5 lõike 1 punktiga b kogume ja kasutame isikuandmeid ainult konkreetsetel, eelnevalt kindlaks määratud ja seaduslikel eesmärkidel, millest teid teavitatakse ette. See tähendab, et teie andmeid kasutatakse üksnes eesmärkidel, milleks need koguti. Me ei kasuta isikuandmeid ühelgi uuel viisil, mis ei ole algsete eesmärkidega kooskõlas. Näiteks kui annate meile oma e-posti aadressi meie teenust puudutavate uudiste saamiseks, ei jaga me seda teie teadmise ja nõusolekuta reklaami eesmärgil partneriga.

Kõik töötlemise eesmärgid on selgelt dokumenteeritud – nii sisemistes registrites kui ka avalikes dokumentides (näiteks privaatsuspoliitikas) täpsustame teatud andmete kogumise põhjused. Kui tekib vajadus kasutada andmeid uuel eesmärgil, mis ei ole algse eesmärgiga kooskõlas, küsime teilt eelnevalt eraldi nõusoleku või tagame töötlemiseks muu seadusliku aluse. Seega võite olla kindel, et teie isikuandmeid ei kasutata ootamatult ega algselt nimetatud eesmärkidest laiemalt.

Võimalikult väheste andmete kogumine

Järgime võimalikult väheste andmete kogumise põhimõtet (GDPR-i artikli 5 lõike 1 punkt c), mis tähendab, et kogume ainult selliseid isikuandmeid, mis on nimetatud töötlemiseesmärkide saavutamiseks tõepoolest vajalikud. Praktikas rakendame seda järgmiselt:

• Küsime ainult minimaalses ulatuses andmeid, mis on vajalikud soovitud teenuse osutamiseks või lepingu täitmiseks. Meie veebisaidi vormid ja küsitlused on kavandatud nii, et nendega ei kogutaks ebavajalikku teavet. Näiteks kui veebiseminarile registreerimiseks on vaja ainult teie nime ja e-posti aadressi, ei küsi me muid asjassepuutumatuid andmeid.
• „Mitte midagi üleliigset“ põhimõte aitab vähendada ohte teie eraelu puutumatusele. Mida vähem andmeid säilitatakse ja töödeldakse, seda väiksem on lekete või loata juurdepääsu tõenäosus. Me ei kogu teavet „igaks juhuks“ ega talleta andmeid, millest võiks kunagi kasu olla. Iga teabenõue peab olema konkreetse vajadusega põhjalikult põhjendatud.
• Samuti vaatame kogutavad andmed korrapäraselt üle ning eemaldame ebavajalikud väljad ja päringud. Nii tagame, et küsime igas suhtluses ainult sellist teavet, mis on kindlaksmääratud eesmärkide saavutamiseks tõepoolest vajalik.

Õigsus

Isikuandmete õigsuse ja ajakohasuse tagamine (GDPR-i artikli 5 lõike 1 punkt d) on veel üks meie järgitav põhimõte. Teeme kõik mõistlikult võimaliku, et meie valduses olev teave teie kohta oleks õige, täielik ja ajakohane, sest sellest sõltuvad nii meie teenuste kvaliteet kui ka teie usaldus. Õigsuse tagamiseks rakendame järgmisi meetmeid:

• Korrapärane ajakohastamine: kui teie isikuandmed on muutunud (näiteks olete muutnud oma telefoninumbrit või aadressi), kajastame neid muudatusi viivitamata oma süsteemides. Meie eesmärk on vältida otsuste langetamist aegunud või ebaõige teabe põhjal.
• Vigade parandamine: kui avastate, et mõni teie andmetest on ebaõige või aegunud, võite meid alati teavitada – parandame vead viivitamata. Lisaks on teil GDPR-i artikli 16 alusel õigus ebaõigete andmete parandamisele, mida me täielikult austame, pakkudes mugavaid võimalusi meid ebatäpsustest teavitada.
• Oluliste andmete kontrollimine: juhtudel, mil andmete õigsus on eriti oluline (näiteks finantstehingute või õiguslikult oluliste teenuste osutamise korral), võime teabe kontrollimiseks ja kinnitamiseks rakendada lisameetmeid. See võib hõlmata tõendavate dokumentide küsimist või andmete koos teiega ülekontrollimist. Kõik need meetmed tagavad, et meie andmebaasid sisaldavad ainult õiget teavet.
• Ebaõigete andmete kustutamine: GDPR-i nõuete kohaselt tuleb ebaõiged või mittetäielikud andmed, mida ei saa parandada, põhjendamatu viivituseta kustutada. Järgime seda reeglit: kui teave osutub töötlemise eesmärke arvestades ebaõigeks ja seda ei saa parandada, kustutame selle võimalike negatiivsete tagajärgede vältimiseks viivitamata.

Õigsuse säilitamisel on oluline ka teie koostöö: palun teavitage meid, kui mõni teie isikuandmetest on muutunud või vajab parandamist. Hindame teie algatusvõimet, sest õiged andmed on kvaliteetse teenuse osutamiseks ja teie õiguste kaitsmiseks hädavajalikud.

Säilitamise piirang

Säilitame isikuandmeid üksnes nii kaua, kui see on vajalik nende kogumise eesmärkide saavutamiseks. Säilitamise piirangu põhimõte (GDPR-i artikli 5 lõike 1 punkt e) tähendab, et igale andmekategooriale on määratud säilitamistähtaeg, mille möödumisel teave turvaliselt kustutatakse või anonüümitakse. Tagame selle järgmiselt:

• Selgelt kindlaks määratud säilitamistähtajad: määrame eri liiki isikuandmetele mõistlikud säilitamistähtajad, võttes arvesse töötlemise eesmärke, oma seadusest ja lepingutest tulenevaid kohustusi ning kohaldatavaid õigusnõudeid. Näiteks säilitatakse tehingu- ja raamatupidamisandmeid Eesti maksu- ja raamatupidamisõiguses nõutud aja jooksul (üldjuhul seitse aastat), samas kui ühekordse päringu jaoks kogutud andmeid hoitakse lühemat aega. Kõik säilitamistähtajad kajastuvad meie sisemistes eeskirjades ja me järgime neid rangelt.
• Korrapärane ülevaatamine: vaatame oma andmete säilitamise eeskirjad korrapäraselt üle, et tagada nende ajakohasus. Äriprotsesside või õigusaktide muutumisel kohandame vastavalt ka andmete säilitamistähtaegu. Sellised auditid aitavad tuvastada isikuandmeid, mida enam ei vajata. Korraldame ülevaatusi kasutamata või aegunud andmete leidmiseks ning kustutame need, kui nende säilitamiseks puudub seaduslik eesmärk.
• Turvaline kustutamine: säilitamistähtaja möödumisel (või varem, kui andmed muutuvad ebavajalikuks) kustutame isikuandmed viisil, mis muudab nende taastamise või isikuga seostamise võimatuks. Kui kohene kustutamine ei ole tehniliste piirangute tõttu võimalik, anonüümime teatud juhtudel esmalt andmed (eemaldades seose teie isikuga) ning kustutame need esimesel võimalusel. Võime säilitada andmeid kindlaksmääratud tähtajast kauem ainult seadusega lubatud juhul – näiteks kui andmeid säilitatakse avalikes huvides arhiveerimise või teaduslikel või statistilistel eesmärkidel GDPR-i artikli 89 lõike 1 alusel. Ka sellistel juhtudel tagame asjakohased konfidentsiaalsusmeetmed.

Isikuandmete säilitamisaja minimeerimisega vähendame aja jooksul andmete väärkasutamise ja turvaintsidentide ohtu. Võite olla kindel, et me ei säilita teie andmeid vajalikust kauem ja järgime rangelt kehtestatud tähtaegu.

Terviklus ja konfidentsiaalsus

Rakendame kõiki meetmeid teie isikuandmete tervikluse ja konfidentsiaalsuse tagamiseks (GDPR-i artikli 5 lõike 1 punkt f), kaitstes neid loata juurdepääsu, muutmise, avalikustamise või hävitamise eest. Seda andmeturbe põhimõtet rakendatakse terviklikult nii tehniliste kui ka korralduslike vahenditega. Kaitseme teie andmeid järgmiselt:

• Tänapäevased turvatehnoloogiad: rakendame isikuandmete kaitsmiseks asjakohaseid tehnilisi turvameetmeid, sealhulgas andmete krüpteerimist, tulemüüre, viirusetõrjelahendusi, sissetungide tuvastamise süsteeme ja muid küberturbevahendeid. Need meetmed vastavad töödeldavate andmete laadile ja mahule ning võimalikele riskidele. Näiteks võidakse tundlikke andmeid säilitada krüpteeritult ning isikuandmeid sisaldavatele süsteemidele pääsevad ligi ainult volitatud isikud. Hindame korrapäraselt riske ja ajakohastame turvameetmeid, et tõrjuda uusi ohte. Meie IT-taristu nõrkusi jälgitakse ning intsidentide ennetamiseks paigaldame uuendused ja turvapaigad viivitamata.
• Korralduslikud meetmed ja juurdepääsukontroll: lisaks tehnoloogiale rakendame andmete käsitlemiseks rangeid korralduslikke reegleid. Juurdepääs teie isikuandmetele on ainult neil töötajatel või volitatud isikutel, kes vajavad seda oma ülesannete täitmiseks („vähimate õiguste“ põhimõte). Iga töötaja tegutseb oma volituste piires ja saab väljaõppe andmeturbenõuete kohta. Sõlmime kõigi töötajate ja kolmandatest isikutest töövõtjatega, kellel võib olla juurdepääs teabele, konfidentsiaalsuslepingud (NDA), mis kohustavad neid õiguslikult konfidentsiaalsust hoidma. Töötajate teadlikkuse tagamiseks praegustest ohtudest ja nende ennetamise viisidest korraldame korrapäraselt koolitusi ning infotunde andmekaitse parimate tavade kohta.
• Intsidentidele reageerimine ja järelevalve: meil on turvaintsidentidele reageerimiseks sisemised menetlused. Ebatõenäolise isikuandmetega seotud rikkumise korral järgime reageerimiskava, mis hõlmab nii nõrkuse viivitamatut kõrvaldamist kui ka järelevalveasutuse teavitamist 72 tunni jooksul ja mõjutatud andmesubjektide teavitamist, kui seda nõuavad GDPR-i artiklid 33 ja 34. Dokumenteerime kõik isikuandmetega seotud intsidendid ja analüüsime nende põhjuseid, et vältida kordumist. Lisaks auditeeritakse meie turvasüsteemi korrapäraselt – teeme sise- ja välisauditeid, läbistusteste ning muid hindamisi, et meie turvastandardid püsiksid töökindlad ja ajakohased.

Seda põhimõtet järgides tagame, et teie isikuandmeid säilitatakse ja töödeldakse kõrgete turvastandardite kohaselt. Andmete terviklus tagab, et süsteemis olev teave püsib muutumatuna ja õigena, konfidentsiaalsus aga selle, et volitamata isikud ei pääse sellele ligi. Koos aitavad need meetmed säilitada kõrget usaldus- ja turvataset.

Vastutus

Eesti Firma OÜ tunnistab täielikult oma vastutust GDPR-i põhimõtete järgimise eest ja suudab nende järgimist tõendada. Vastutuse põhimõte (GDPR-i artikli 5 lõige 2) tähendab, et me mitte ainult ei järgi määrust, vaid suudame esitada selle kohta ka praktilisi ja dokumenteeritud tõendeid. Meie ettevõttes rakendatakse vastutust järgmiselt:

• Sisseehitatud nõuetele vastavus: oleme lõiminud GDPR-i nõuded kõigisse äriprotsessidesse. Iga isikuandmeid käsitlev töötaja mõistab ja järgib andmekaitsepõhimõtteid. Meil on andmete kogumist, kasutamist, edastamist ja säilitamist reguleerivad selged eeskirjad ning juhised, millest töötajaid teavitatakse. GDPR-i põhimõtted on juurdunud meie ettevõttekultuuri, tagades andmehalduse järjepidevalt kõrge taseme kõigil tasanditel.
• Määratud andmekaitsespetsialist: vastutuse võtmise raames oleme määranud andmekaitsespetsialisti (DPO) – Ilja Nikiforovi –, kelle kontaktandmed on esitatud allpool. DPO jälgib ettevõttes GDPR-i järgimist, nõustab meie töötajaid eraelu puutumatuse küsimustes ning on teie ja järelevalveasutuse kontaktisik. Eraldi DPO määramine näitab, kui tõsiselt suhtume andmekaitsesse.
• Siseauditid ja riskihindamised: korraldame korrapäraselt siseauditeid (ja kaasame vajaduse korral välisaudiitoreid), et tagada oma tegevuse vastavus GDPR-i nõuetele. Analüüsime võimalikke turva- ja privaatsusriske ning võtame auditi tulemuste põhjal parandusmeetmeid. Kui teatavat liiki töötlemine võib tõenäoliselt kujutada endast suurt ohtu üksikisikutele, teeme kooskõlas GDPR-i artikliga 35 andmekaitsealase mõjuhinnangu (DPIA). Selline pidev järelevalve ja täiustamine aitab hoida andmekaitsemeetmed ajakohasena ning muudatustega kiiresti kohaneda.
• Koolitus ja teadlikkus: investeerime töötajate andmekaitsealasesse harimisse. Korraldame perioodiliselt koolitusi, saadame infokirju ja hindame teadmisi, et kõik oleksid kursis valdkonna viimaste arengute ning nõuetega. Andmeturve sõltub olulisel määral iga inimese tegevusest, mistõttu edendame kultuuri, kus kõik mõistavad oma rolli ja vastutust.
• Valmisolek aruandluseks: oleme igal ajal valmis tõendama GDPR-i järgimist nii teile kui ka järelevalveasutustele. Meie läbipaistvus hõlmab ka seda valdkonda: võite küsida teavet oma andmete kohta ja esitame kõik vajalikud üksikasjad. Samuti on meil järelevalveauditi puhuks olemas meie vastutust tõendavad dokumendid ja protsessid. Mõistame, et klientide usaldus sõltub otseselt meie vastutustundlikkusest, mistõttu on see põhimõte meie tegevuse nurgakivi.

Teie õigused andmesubjektina

GDPR annab teile oma isikuandmete suhtes mitmesuguseid õigusi. Austame neid õigusi ja pakume nende kasutamiseks lihtsaid võimalusi. GDPR-is sätestatud tingimuste ja erandite kohaselt on teil:

• Õigus teabele (artiklid 13–14): saada selget teavet selle kohta, kuidas ja miks teie isikuandmeid töödeldakse.
• Õigus andmetega tutvuda (artikkel 15): saada kinnitus selle kohta, kas töötleme teie andmeid, ning saada neist koopia.
• Õigus andmete parandamisele (artikkel 16): lasta parandada ebaõiged või mittetäielikud isikuandmed.
• Õigus andmete kustutamisele ehk „õigus olla unustatud“ (artikkel 17): taotleda oma andmete kustutamist, kui nende säilitamiseks puudub kaalukam seaduslik alus.
• Õigus isikuandmete töötlemise piiramisele (artikkel 18): piirata teatavatel asjaoludel oma andmete kasutamist.
• Andmete ülekandmise õigus (artikkel 20): saada enda esitatud andmed struktureeritud, üldkasutatavas ja masinloetavas vormingus ning lasta need tehnilise teostatavuse korral üle kanda.
• Õigus esitada vastuväiteid (artikkel 21): esitada vastuväiteid meie õigustatud huvidel põhinevale töötlemisele ning igal ajal otseturundusele.
• Automatiseeritud otsuste tegemisega seotud õigused (artikkel 22): õigus sellele, et teie kohta ei tehtaks üksnes automatiseeritud töötlemisel põhinevat otsust, millel on õiguslikud või samaväärselt olulised tagajärjed.
• Õigus nõusolek tagasi võtta (artikli 7 lõige 3): nõusolekul põhineva töötlemise korral õigus nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist toimunud töötlemise seaduslikkust.
• Õigus esitada kaebus (artikkel 77): võtta ühendust pädeva järelevalveasutusega (vt allolevat jaotist).

Nende õiguste kasutamiseks võtke meiega ühendust jaotises „Kontaktandmed“ esitatud andmete kaudu. Vastame GDPR-i nõuete kohaselt ühe kuu jooksul. Keerukate või arvukate taotluste korral võib seda tähtaega pikendada veel kuni kahe kuu võrra; sellisel juhul teavitame teid põhjustest. Teie taotluse menetlemine on tasuta, välja arvatud juhul, kui taotlus on ilmselgelt põhjendamatu või ülemäärane. Enne taotluse täitmist võib meil olla vaja teie isikut kontrollida.

Järelevalveasutus ja õigus esitada kaebus

Kui leiate, et oleme töödelnud teie isikuandmeid andmekaitseõigust rikkudes, soovitame kõigepealt meiega ühendust võtta, et saaksime teie murega vahetult tegeleda. Samuti on teil GDPR-i artikli 77 alusel õigus esitada kaebus pädevale järelevalveasutusele. Eestis on selleks Andmekaitse Inspektsioon:

• Asutus: Andmekaitse Inspektsioon
• Aadress: Tatari 39, 10134 Tallinn, Eesti
• E-post: info@aki.ee
• Telefon: +372 627 4135 (nõuandetelefon +372 5620 2341, E–N 13:00–16:00)
• Veebisait: www.aki.ee

Kui elate või töötate mõnes teises EL-i/EMP riigis, võite kaebuse esitada ka selle riigi järelevalveasutusele.

Kokkuvõte

Meie kindel pühendumus teie eraelu puutumatuse kaitsmisele ja usalduse säilitamisele tähendab, et GDPR-i järgimine on midagi enamat kui formaalsus – see on meie igapäevategevuse lahutamatu osa. Kõigi eespool nimetatud põhimõtete – seaduslikkuse, õigluse, läbipaistvuse, eesmärgi piirangu, võimalikult väheste andmete kogumise, õigsuse, säilitamise piirangu, tervikluse ja konfidentsiaalsuse ning vastutuse – järgimine tagab, et teie isikuandmeid töödeldakse võimalikult korrektselt ja turvaliselt. Teeme rohkem, kui seadus nõuab, sest hindame teie usaldust.

GDPR-i mõtte kohaselt täiustame pidevalt oma andmekaitsetavasid ja reageerime kiiresti regulatiivsete nõuete muudatustele. Võite olla kindel, et teie isikuandmed on heades kätes ning töötame järjepidevalt selle nimel, et see nii ka jääks.

Uuendused ja õigusteave

Jätame endale õiguse seda dokumenti korrapäraselt ajakohastada või muuta, et kajastada meie andmetöötlustavade, õigusaktide või regulatiivsete nõuete muutumist. Kõik uuendused avaldatakse sellel lehel ning viimase läbivaatamise kuupäeva muudetakse vastavalt. Soovitame seda lehte korrapäraselt vaadata, et olla kursis meie GDPR-i järgimise põhimõtete kehtiva versiooniga.

Kontaktandmed

Kui teil on isikuandmete kaitse või teie teabe töötlemise kohta küsimusi, kommentaare või taotlusi, võtke meiega ühendust. Oleme alati valmis teid aitama ja hindame teie tagasisidet.

• Ettevõte: Eesti Firma OÜ
• Registrikood: 14164797
• Käibemaksukohustuslase number (KMKR): EE102081480
• Tegevusluba (TCSP): FIU000144
• Andmekaitsespetsialist (DPO): Ilja Nikiforov
• E-post: info@eestifirma.ee
• Telefon: +372 641 7777
• Aadress: Vesivärava 50-301, 10152 Tallinn, Eesti

Püüame vastata kõigile päringutele kiiresti ja põhjalikult. Kui taotlete teavet oma andmete või õiguste kasutamise kohta, vastame GDPR-is sätestatud tähtaja jooksul (tavaliselt ühe kuu jooksul). Täname, et usaldate oma andmete kaitse Eesti Firma OÜ hoolde – meie omalt poolt teeme kõik võimaliku selle usalduse õigustamiseks.