11. jaanuaril 2024 jõustus ELi andmekaitseamet – määrus (EL) 2023/2854 – kakskümmend päeva pärast selle avaldamist Euroopa Liidu Teatajas. Määrust kohaldatakse alates 12. septembrist 2025. See õigusakt kehtestab ühendatud toodete tootjatele ja seotud teenuste osutajatele põhimõttelised uued kohustused, mis mõjutavad laia sektorit: alates tootmisest ja energeetikast kuni tervishoiu ja autotööstuseni. Kõigil, kes äritegevuse kontekstis andmeid genereerivad, töötlevad või kasutavad, on soovitatav selle õigusakti ulatust aegsasti uurida.
Mida reguleerib andmekaitseseadus?
Andmekaitseseadus on osa Euroopa andmestrateegiast, mille eesmärk on tugevdada Euroopa konkurentsivõimet andmemajanduses. Määruses sätestatakse reeglid selle kohta, kellel on juurdepääs toodete või teenuste kasutamise käigus loodud andmetele ja millistel tingimustel neid andmeid tuleb jagada. See ei puuduta üldist õigust kõigile andmetele, vaid pigem kuuest konkreetsest klastrist koosnevat raamistikku: kasutajate juurdepääs toote- ja teenuseandmetele, ettevõtetevaheline jagamine õiglastel tingimustel, avalik juurdepääs erandlike vajaduste korral, andmetöötlusteenuste vahetamine, kaitse rahvusvahelise valitsuste juurdepääsu eest isikustamata andmetele ja koostalitlusvõime.
Ettevõtete kohustused: tootekujundus
Ühendatud tooted peavad olema projekteeritud ja toodetud nii, et genereeritud andmed on kasutajale vaikimisi lihtsalt, turvaliselt, tasuta ja masinloetavas vormingus otse ligipääsetavad. Ühendatud toodete – näiteks nutika kodu seadmete, tööstusmasinate või sõidukite – kasutajad saavad seega õiguse juurde pääseda andmetele, mida nende toote kasutamine genereerib. Tootjad ja teenusepakkujad ei tohi neid andmeid enam ainult endale hoida.
Oluline on see, et sellel kohustusel on järkjärguline kohaldamine. Kuigi andmekaitseseadus tervikuna kehtib alates 12. septembrist 2025, kehtib ühendatud toodete projekteerimis- ja tootmiskohustus ainult toodetele, mis on turule lastud pärast 12. septembrit 2026. Seega ei ole olemasolevad tooted veel hõlmatud.
Õiglased tingimused B2B andmete jagamisel
Määrus sisaldab konkreetseid eeskirju B2B andmelepingute lepingutingimusedÜhe ettevõtja poolt teisele ettevõtjale ühepoolselt kehtestatud lepingutingimus ei ole teisele poolele siduv, kui see on ebaõiglane. Lepingutingimus loetakse ühepoolselt kehtestatuks, kui teine pool ei suutnud läbirääkimiskatsetest hoolimata selle sisu mõjutada. Selle tõendamise kohustus lasub lepingutingimuse lisanud poolel.
Lepingutingimus on ebaõiglane, kui selle kasutamine kaldub oluliselt kõrvale heast äritavast ning on vastuolus hea usu ja ausa tehingu põhimõttega. Määrus toob näidetena tingimused, mis välistavad vastutuse tahtluse või raske hooletuse korral, takistavad teisel poolel oma andmete kasutamist, lubavad ühepoolset lõpetamist ebamõistlikult lühikese etteteatamisega või lubavad ühepoolselt teha olulisi hinna- või muid olulisi muudatusi. Õiguslik tagajärg on see, et ebaõiglane lepingutingimus ei ole teisele poolele siduv, samas kui ülejäänud lepingutingimused jäävad jõusse osas, milles tingimus on eraldatav.
Koostoime isikuandmete kaitse üldmäärusega
Andmekaitseseadus eksisteerib kõrvuti isikuandmete kaitse üldmäärusega, kuid nende vahel on oluline seos. Määrus hõlmab ka isikuandmeid, kuid ei eralda neid andmekaitseõigusest. Kui kasutaja ei ole andmesubjekt, kelle isikuandmeid taotletakse, võib neid isikuandmeid esitada ainult juhul, kui selleks on olemas kehtiv õiguslik alus isikuandmete kaitse üldmääruse artikli 6 alusel. Seega ei loo andmekaitseseadus GDPR-ist eraldiseisvat erandit: andmetele juurdepääs andmekaitseseaduse alusel ei vabasta osapooli kohustusest nende GDPR-i kohustused, samuti ei anna see alust esitatud andmete edasiseks säilitamiseks või taaskasutamiseks väljaspool eesmärki, milleks need saadi.
Pilve teisaldatavus ja vahetamine
Eraldi peatükis nõutakse andmetöötlusteenuste pakkujatelt teenusepakkuja vahetamise lihtsustamist. Nad ei tohi kehtestada klientidel teenusepakkuja vahetamist takistavaid kommertskasutusele eelnevaid, kaubanduslikke, tehnilisi, lepingulisi ega korralduslikke takistusi. Alates 12. jaanuarist 2027 ei tohi andmetöötlusteenuste pakkujad klientidelt enam teenusepakkuja vahetamise eest tasu võtta. Andmete ja konfiguratsioonide tegelik edastamine peab toimuma põhjendamatu viivituseta ja mitte mingil juhul pärast kohustuslikku üleminekuperioodi, mis ei tohi olla pikem kui kolmkümmend päeva. Organisatsioonidele, mis on suuresti sõltuvad ühest pilveteenuse pakkujast, pakub see lepingute uuendamisel või ümberläbirääkimisel uut läbirääkimispositsiooni.
Avalik juurdepääs erandjuhtudel
Määrus annab avaliku sektori asutustele rangetel tingimustel võimaluse nõuda juurdepääsu erakorralise vajaduse korral – näiteks avaliku hädaolukorra korral. Sellisel juhul on andmevaldajad, kes ei ole mikro- ega väikeettevõtted, kohustatud tegema vajalikud andmed tasuta kättesaadavaks. Muudel erakorralise vajaduse juhtudel on andmevaldajal õigus õiglasele hüvitisele. See õigus sõltub määruses sätestatud proportsionaalsuse ja subsidiaarsuse tingimustest.
Jõustamine Madalmaades
Madalmaades on jõustamine nüüdseks seadusesse lisatud andmekaitseseaduse rakendusseaduse (Uitvoeringswet dataverordening) kaudu. Hollandi Tarbija- ja Turuamet (ACM) on pädev asutus määruse suurima osa, sealhulgas tooteandmeid, ettevõtetevahelist jagamist ja pilvepõhist teisaldatavust käsitlevate peatükkide puhul. Hollandi Andmekaitseamet (AP) on pädev privaatsust tundlike elementide ja isikuandmete töötlemise osas teatud artiklite ja V peatüki raames. Mõlemad asutused võivad oma valdkonnas võtta jõustamismeetmeid, määrates korralduse, millega kaasneb karistus või haldustrahv. Rakendusseadus näeb ette ka koostöö- ja teabevahetuskorra ACM-i ja AP vahel, et mõlemad järelevalveasutused saaksid kattuvate küsimuste korral tegutseda koordineeritult.
Mida see praktikas tähendab?
Ettevõtetel, kes arendavad, impordivad või levitavad ühendatud tooteid, oleks tark oma tootekujundus ja lepinguline struktuur andmekaitseseaduse alusel juba praegu üle vaadata. Pärast 12. septembrit 2026 turule lastud toodete puhul kehtib disaini- ja ligipääsetavuse kohustus täielikult. Teenusepakkujad, kes töötlevad andmeid kasutajate nimel, peaksid hindama, millised andmete jagamise kohustused neile kehtivad ja kas olemasolevad lepingud – sealhulgas ühepoolselt koostatud andmeklauslid – on nendega kooskõlas.
Need, kes ootavad jõustamise alguseni, riskivad maha jääda. Toodete, teenuste ja lepingute õigeaegne vastavusse viimine uute eeskirjadega ei ole mitte ainult vastavuse küsimus, aga pakub ka võimalusi: need, kes pakuvad oma klientidele läbipaistvust ja andmetele juurdepääsu, paistavad silma turul, mis suhtub üha kriitilisemalt sellesse, kuidas ettevõtted andmeid käitlevad.
Kas teil on küsimusi EL-i andmekaitseseaduse mõju kohta teie ettevõttele või lepingutele? Ettevõtte juristid Law & More aitavad teid hea meelega.
Korduma kippuvad küsimused
Kas andmekaitseseadus kehtib juba minu olemasolevatele ühendatud toodetele?
Määrust kohaldatakse alates 12. septembrist 2025, kuid kohustus kujundada ühendatud tooted nii, et andmed oleksid kasutajatele kättesaadavad, kehtib ainult toodete kohta, mis on turule lastud pärast 12. septembrit 2026. Enne seda kuupäeva turule lastud tooteid see määrus veel ei hõlma. Tootjatel ja importijatel oleks siiski tark oma tootearendus juba praegu uute nõuetega kooskõlla viia, et tulevased tooted oleksid turule toomise ajaks nõuetele vastavad.
Mida peaksin tegema, kui minu andmeleping sisaldab klausleid, mis piiravad juurdepääsu andmetele?
Andmekaitseseaduse kohaselt võidakse ühepoolselt kehtestatud lepingutingimusi, mis takistavad teisel poolel oma andmeid kasutamast või ära kasutamast, pidada ebaõiglaseks ja seega mittesiduvaks. Selliste klauslite osas on soovitatav lasta olemasolevad andmelepingud üle vaadata. Tõendamiskohustus, et tingimust ei kehtestatud ühepoolselt, lasub poolel, kes selle lisas. Varajane ümberläbirääkimine on üldiselt tõhusam kui ootamine, kuni teine pool määrusele tugineb.
Kas ma võin isikuandmeid andmekaitseseaduse alusel jagada ilma isikuandmete kaitse üldmääruse õigusliku aluseta?
Ei. Andmekaitseseadus ei anna iseseisvat alust isikuandmete avalikustamiseks. Kui kasutaja ei ole andmesubjekt, kelle isikuandmeid taotletakse, võib neid andmeid esitada ainult juhul, kui selleks on olemas kehtiv õiguslik alus isikuandmete kaitse üldmääruse artikli 6 alusel. Lisaks ei anna andmekaitseseaduse kohane andmetele juurdepääs alust avalikustatud isikuandmete edasiseks säilitamiseks või taaskasutamiseks algsest eesmärgist kaugemale. Seetõttu tuleb isikuandmete kaitse üldmääruse ja andmekaitseseaduse nõuete täitmine tagada samaaegselt.
Kas ma saan pilveteenuse pakkujana ikka veel vahetamistasusid küsida?
Alates 12. jaanuarist 2027 on andmetöötlusteenuste pakkujatel keelatud klientidelt teenusepakkuja vahetamise eest tasu võtta. Lisaks ei tohi alates 12. septembrist 2025 kehtestada teenusepakkuja vahetamist takistavaid tehnilisi, lepingulisi ega korralduslikke takistusi. Tegelik andmete edastamine teenusepakkuja vahetamisel peab samuti toimuma põhjendamatu viivituseta ja hiljemalt 30-päevase üleminekuperioodi jooksul. Kehtivad lepingud, mis sisaldavad pikemaid perioode või vahetamistasusid, vajavad läbivaatamist.
Milline järelevalveasutus on pädev Madalmaades andmekaitseseadust jõustama?
Jõustamine on jagatud Hollandi Tarbija- ja Turuameti (ACM) ja Hollandi Andmekaitseameti (AP) vahel. ACM on pädev määruse suurema osa, sealhulgas tooteandmeid, ettevõtetevahelist jagamist ja pilvepõhist teisaldatavust käsitlevate sätete osas. AP on pädev privaatsust puudutavate tundlike elementide ja isikuandmete töötlemise osas teatud artiklite ja V peatüki raames. Mõlemad asutused võivad määrata korralduse, millega kaasneb karistus või haldustrahv. Selliste otsuste vastu on võimalik kasutada tavapäraseid haldusõiguslikke õiguskaitsevahendeid, sealhulgas vastuväiteid, edasikaebusi ja esialgset õiguskaitset.
Kas andmekaitseseadus kehtib ka väikeettevõtetele?
Määrus eristab ettevõtte suurust mõnes punktis. Näiteks on mikro- ja väikeettevõtted avaliku hädaolukorra andmepäringute korral vabastatud kohustusest teha andmed tasuta kättesaadavaks; sellistel juhtudel on neil õigus õiglasele hüvitisele. Teiste kohustuste – sealhulgas ühendatud toodete ligipääsetavuse kohustuse ja ettevõtetevahelise tingimuste õigluse testi – puhul ei ole väikestele ja keskmise suurusega ettevõtetele üldist erandit. Seetõttu peavad ka ühendatud toodete või pilveteenuste väiksemad pakkujad oma tegevuse õigeaegselt määrusega kooskõlla viima.
