Riigikohus tegi esimese õigusselgust loova otsuse IKÜM osas

Kuidas mõjutab Riigikohtu otsus IKÜM trahve Eestis?

Riigikohtu ajalooline otsus kinnitab, et Eestis saab määrata isikuandmete kaitse üldmääruse (IKÜM) trahve otse Euroopa Liidu õiguse esimuse alusel, vaatamata varasematele siseriiklikele piirangutele. Kuigi konkreetne ITK trahv aegus menetlusvigade tõttu, loob lahend olulise pretsedendi ja selguse tulevasteks andmekaitsealasteks menetlusteks ning trahvide rakendamiseks.

Juhtumi taust ja kulg

20. juunil avaldas Riigikohus esimese isikuandmete kaitse üldmääruse (IKÜM) trahvi puudutava otsuse kaasuses Ida-Tallinna Keskhaigla vs. Andmekaitse Inspektsioon. Kaasus puudutas patsiendiandmete prügikonteinerisse vedelema jätmist. Kuigi lahend lisab õigusselgust, ei järgne aegumise tõttu haiglale karistust ning riik kannab poole ITK õigusabikuludest (13 260 €). AKI taotletud 200 000 € suurune trahv jäi väärteo aegumise tõttu kohaldamata.

Juhtum sai alguse 11. veebruaril 2022, kui AKI ametnik avastas Magdaleena polikliiniku eest prügikonteinerist kõigile kättesaadavad terviseandmed. Menetlust alustati sama aasta 18. veebruaril, kuid väärteootsuseni jõuti alles 13. veebruaril 2023. Riigikohus tõi välja, et menetlus seisis AKI laual sisulise tegevuseta umbes seitse kuud.

ITK vaidlustas trahvi Harju Maakohtus. Kohus leidis 31. augustil 2023, et kuigi andmete töötlemine oli kahetsusväärne, välistab karistusseadustik (KarS) juriidilise isiku vastutuse, kuna puudus konkreetne füüsiline süüdlane. AKI kaebas otsuse edasi Riigikohtusse.

Seadusandlikud muudatused ja Riigikohtu seisukoht

Selleks, et viia Eesti seadusandlus kooskõlla EL-i nõuetega, jõustusid 1. novembril 2023 muudatused KarS-is:

• Menetlustähtaega IKÜM-i menetlustes pikendati ühe aasta võrra.
• Maksimaalne trahvimäär tõsteti 400 000 eurolt kuni 4%-ni ettevõtte globaalsest käibest.
• Võimaldati organisatsiooni trahvida ka ilma konkreetset füüsilist toimepanijat tuvastamata.

Riigikohus leidis, et vaatamata menetluse aegumisele oleks juriidilist isikut saanud karistada otse IKÜM-i alusel ka enne 2023. aasta seadusemuudatusi. Kohus täpsustas, et EL õiguse esimuse põhimõtte kohaselt tuleb siseriikliku vastuolu korral alati tagada EL õiguse täitmine.

Kolm peamist möödalaset menetlusprotsessis

1. Andmekaitse Inspektsiooni ajakulu: AKI viivitas menetluse käivitamisega seitse kuud, mis vähendas oluliselt otsuse aegumise eelset menetlusakent.
2. Kohtusüsteemi aeglus: Harju Maakohus lükkas otsuse tegemist edasi üle kahe kuu, mille tõttu kaotati väärtuslikku aega Riigikohtu tasemel menetlemiseks.
3. Esimese astme kohtuotsus: Harju Maakohus tegi vea, kui ei arvestanud EL seadusandlust esimuslikuna ja tühistas esialgse trahvi.

Kokkuvõte: Mida see tähendab ettevõtetele?

Kuigi antud juhtumis pääses haigla trahvist, on sõnum ettevõtjatele ja omavalitsustele selge: trahvid on suured ning reaalselt rakendatavad. Riigikohtu otsus koos uue KarS-i redaktsiooniga tagab Andmekaitse Inspektsioonile tugeva juriidilise aluse rikkujate karistamiseks. Andmehügieeni ja isikuandmete kaitse nõuete täitmine peab muutuma organisatsioonide jaoks absoluutseks prioriteediks.