Autor: Tea Kookmaa • 21. august 2019

Paljud Eesti ettevõtted kasutavad võimalust siduda oma veebileht erinevate sotsiaalmeedia kanalitega. Näiteks oma veebilehele „meeldib“-nupu lisamine võimaldab ettevõttel end sotsiaalmeedias nähtavamaks teha. Selle tegevuse käigus võib toimuda aga isikuandmete liigutamine, nimelt nende edastamine sotsiaalmeediaettevõttele. Olen tähele pannud, et mitmed ettevõtted on oma privaatsuspoliitikaid koostades tõstatanud mõningaid küsimusi. Kas ja kuidas peaks kõnealust isikuandmete töötlemist privaatsuspoliitikas adresseerima? Kes on siin isikuandmete vastutav töötleja – kas ettevõte ise või sotsiaalmeedia platvorm? Millised andmekaitsealased kohustused veel kaasnevad?

„Meeldib“-nupu veebilehele lisamisel vastutab nii ettevõte kui ka sotsiaalmeediakanal

Nüüd käsitles seda teemat ka Euroopa Kohus. Moerõivaid müüv ettevõtja Fashion ID lisas oma veebisaidile Facebook’i sotsiaalmooduli, nn „meeldib“-nupu. Hiljem ilmnes, et kui isik külastab Fashion ID veebisaiti, edastatakse selle külastaja isikuandmed seetõttu, et sait sisaldab kõnealust nuppu, Facebook Irelandile. Teabe edastamine toimub ilma, et külastaja oleks sellest teadlik, ja sõltumata asjaolust, kas ta on sotsiaalvõrgustiku Facebook liige või kas ta on Facebooki „meeldib“-nupule klõpsanud. Kohtuvaidlus sellest algaski – Fashion ID-le heideti ette, et ta edastas oma veebisaidi külastajate isikuandmed Facebook Irelandile esiteks ilma nende nõusolekuta ja teiseks rikkudes kohustust teavitada andmesubjekte sellest, kuidas nende andmeid töödeldakse.

Isikuandmete „vastutav töötleja“ on see ettevõte, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Kõnealuses lahendis selgitas kohus, et nii veebilehe haldaja kui ka sotsiaalmeediaplatvorm on eraldi isikuandmete vastutavad töötlejad. See Euroopa Kohtu järeldus kummutab varem levinud arusaama, justkui ei vastutaks oma lehele sotsiaalmeedia mooduli lisanud ettevõte ise isikuandmete töötlemise eest, kuna ta niikuinii ei tea, mida sotsiaalmeediakanal nendega edasi teeb. Ettevõte on kindlasti vastutav töötleja, kui ta lisab oma veebilehele sotsiaalmeedia mooduli, mille kaudu edastatakse isikuandmeid kolmandale isikule.

Ettevõtte kohustused „vastutava töötlejana“

See tähendab, et kui ettevõte lisab „meeldib“-nupu enda veebilehele, peab ta järgima vastutava töötleja kohustusi, mis tulenevad isikuandmete kaitse üldmäärusest (GDPR). Esiteks on oluline leida sobiv õiguslik alus isikuandmete edastamiseks sotsiaalmeediaplatvormile. Teiseks on oluline nn teavitamiskohustuse täitmine. Veebilehe külastajatele tuleb selgitada, et nende isikuandmeid edastatakse sotsiaalmeedia mooduli kaudu kolmandale isikule. See info, koos muu GDPR-s nõutud teabega, tulebki kirja panna privaatsusteavitusse või -poliitikasse või esitada andmesubjektile muul viisil.

Kuidas ma ettevõtte omanikuna tean, mida sotsiaalmeediaplatvorm isikuandmetega edasi teeb?

Teave selle kohta, mida sotsiaalmeedia platvorm isikuandmetega edasi teeb, peab olema kirjas sotsiaalmeediaplatvormi enda privaatsusteavituses. Ettevõte ei saa mõistagi kontrollida seda, kuidas sotsiaalmeedia platvorm isikuandmeid edasi töötleb. Ettevõte peaks enda privaatsustingimustes juhtima tähelepanu sellele, et teavet kolmandate isikute poolse andmetöötluse kohta on võimalik saada kolmanda isiku privaatsustingimustest. Teatud juhtudel on riskide maandamiseks soovitatav leppida sotsiaalmeediaplatvormiga kokku tingimused, mida kumbki pool isikuandmete töötlemisel järgib. Sealhulgas peaks kumbki pool võtma endale kohustuse järgida kõiki GDPR-s vastutavale töötlejale sätestatud kohustusi, saades aru, et ta tegutseb iseseisva vastutava töötlejana.