Peamised puudused töötajate isikuandmete kaitsmisel

Toome artiklis välja mõned enamlevinud puudused, mida oleme töö käigus tähele pannud.

Isikuandmete kaitse üldmääruse kohaselt peab tööandja isikuandmete vastutava töötlejana andma töölesoovijatele ja töötajatele teada, milliseid nende isikuandmeid andmeid, millisel alusel ja millisel eesmärgil töödeldakse. Sageli puutume aga kokku olukorraga, kus tööandjal on küll töölesoovijate või töötajate andmekaitsetingimused olemas, kuid nende sisu ei kajasta kõiki tööle kandideerimise või töösuhte raames töödeldavaid isikuandmeid või kõiki nendega tehtavaid toiminguid.

Oleme täheldanud, et selle põhjuseks on enamasti asjaolu, et enne andmekaitsetingimuste väljatöötamist ei ole tehtud vajalikku eeltööd ning kaardistatud vastavaid andmevooge, puudub dokumenteeritud isikuandmete töötlemise ülevaade ja andmekaitsetingimuste koostamise aluseks on võetud näidisdokument, mida ei ole kohandatud oma ettevõtte spetsiifika järgi. Ka esineb olukordi, kus tööandja on küll isikuandmete kaitse üldmääruse kehtima hakkamisel tublisti kõik töötlemistoimingud kaardistanud, ülevaatesse ja andmekaitsetingimustesse kirja pannud, kuid ei ole neid hiljem enam uuendanud, kuigi andmevood ja töötlemistoiminguid on vahepeal muutunud.

See viib aga selleni, et andmekaitsetingimused ja tegelikkus on omavahel vastuolus. Kõige sagedamini unustatakse töötajaid teavitada töötajate jälgimiseks kasutatavatest sellistest meetmetest nagu videovalve, internetikasutuse monitoorimine või ligipääs töötaja e-postkastile. Seda näitab ka ülalpool viidatud Andmekaitse Inspektsiooni infoliini statistika. Töölesoovijate puhul unustatakse kõige sagedamini teavitada neid taustauuringute tegemisest. Viimasel ajal on märgata ka seda, et töötlemisülevaateid ja andmekaitsetingimusi ei uuendata koroonaviiruse levikust tingitud uute töödeldavate andmekategooriate ja töötlemistoimingutega.

Isikuandmete kaitse üldmääruse kohaselt peab tööandja kui andmetöötleja korraldama andmetöötluse selliselt, et see tugineks seadusele ning oleks õiglane ja läbipaistev. Avaldatud andmekaitsetingimuste põhjal saavad töölesoovijad ja töötajad muu hulgas hinnata, kas tööandja käib nende isikuandmetega ringi õiguspäraselt ega riku nende õigusi. Kui andmekaitsetingimused ei peegelda tegelikkust, siis ei ole see võimalik. Ka seab tööandja iseennast selliselt olukorda, kus tal puudub ülevaade selle kohta, kes milliseid isikuandmeid ning millisel eesmärgil töötleb. See tekitab isikuandmete väärkasutamise ohu ning raskendab tööandjal vastata töölesoovijate ja töötajate päringutele nende andmete töötlemise kohta. Samuti puudub tööandjal võimalus vaidluse korral tõendada, et ta on andmeid õiguspäraselt töödelnud.

Paraku valitseb sarnane olukord sageli ka kliendiandmete töötlemisel.

Isikuandmete töötlemisel töösuhete raames on peamiseks õiguslikuks aluseks töölepingu ja seadusest tulenevate tööandja kohustuste täitmine. Reeglina ei ole tööandjal vajalik töötaja nõusolek tema isikuandmete töötlemiseks seoses töösuhtega. Töötaja nõusolekul saab tööandja töödelda üldjuhul üksnes selliseid isikuandmeid, mille töötlemine ei ole töösuhte seisukohalt n-ö hädavajalik. Seda põhjusel, et tulenevalt töösuhtele iseloomulikust töötaja ja tööandja vahelisest alluvussuhtest loetakse, et töötaja ei saa anda nõusolekut vabatahtlikult. Nõusoleku vabatahtlikkus on aga selle kehtivuse üheks eelduseks. Ka tuleks nõusolek anda muudest tahteavaldusest eraldi ehk töölepingu ja nõusoleku allkirjastamine peab toimuma eraldi.

Märkame ka seda, et nõusolekupõhiselt üritatakse töödelda selliseid töötajate isikuandmeid, mille suhtes puudub tööandjal õigustatud huvi. Nimelt on tööandjal õigus töödelda töötaja selliseid isikuandmeid, mille suhtes tal on õigustatud huvi. Eelkõige tähendab see selliseid andmeid, mis on vajalikud selleks, et hinnata, kas töötaja sobib tehtavale tööle või mis on vajalikud seoses töölepingu täitmisega. Kui andmed selleks vajalikud ei ole, siis anna õigust selliste andmete töötlemiseks ka töötajalt võetav nõusolek.