Eesti andmekaitsefirma GDPR Register juht Krete Paal analüüsis suurimaid eksimusi ja kohtuotsuseid, mis mõjutavad ka Eesti ettevõtteid ja andmekaitse valdkonna arengut.
Rekordilised GDPR-trahvid
Eelmisel aastal sai suurima nn GDPR-trahvi Facebooki emaettevõte Meta Platforms, keda trahviti 1,3 miljardi euroga Euroopa Liidu kodanike andmete edastamise eest Ameerika Ühendriikidesse ilma piisava kaitseta.
„Rahvusvahelised andmeedastused on GDPR-i üks keerukamaid ja rangemaid valdkondi ning sellest juhtumist on palju õppida ka Eesti ettevõtetel. Kindlasti tasub oma protsessid üle vaadata, hinnata nende seaduslikkust viimaste arengute ja nõuete valguses ning ei tohi ka unustada, et andmeedastusel tuleb tagada piisavad kaitsemeetmed,“ kommenteeris Krete Paal.
Andmekaitseekspert soovitas ettevõtetel teha regulaarselt rahvusvaheliste andmevoogude auditeid, kasutada vajaduse korral krüpteerimist või täiustatud andmekaitseprotokolle ning järgida viimaseid Euroopa Kohtu otsuseid.
Mullu sai suurtrahvi ka TikTok, mis peab tasuma 345 miljonit eurot. Trahv määrati nooremate kasutajate andmete ebaseadusliku töötlemise eest. „Saame sellest õppida, et laste andmete töötlemisel tuleb järgida kõrgendatud standardeid, sealhulgas läbipaistvat teavitamist ja vanemate nõusoleku tagamist, kui see on nõutud,“ tõi Paal välja.
Suuruselt kolmanda trahvi sai sotsiaalmeediaplatvorm LinkedIn, keda trahviti 310 miljoni euroga kasutajaandmete väärkasutamise eest käitumisanalüüsi ja sihitud reklaami tarbeks.
Andmekaitsefirma juht tõi välja, et lõppenud aasta oli märgiline ka oluliste kohtuotsuste valguses, mis kujundavad andmekaitse arengut tulevikus.
Euroopa Kohtu otsused kujundavad andmekaitse tulevikku
Euroopa Kohtu otsus puudutas Google Analyticsi kasutamist ja selle raames isikuandmete edastamist kolmandatesse riikidesse, eelkõige Ameerika Ühendriikidesse, kus puuduvad samaväärsed andmekaitsemeetmed nagu Euroopa Liidus. Otsuse kohaselt rikuvad sellised andmeedastused GDPR-i nõudeid, kui puuduvad piisavad kaitsemeetmed, näiteks standardlepingu tingimused või andmete krüpteerimine.
Euroopa Kohtu otsus mõjutab ka Eesti ettevõtteid, kes tegutsevad rahvusvaheliselt, kasutavad Google Analyticsi või sarnaseid tööriistu või edastavad andmeid kolmandatesse riikidesse.
„Soovitan andmekaitse spetsialistiga konsulteerida ja olemasolevad protsessid kriitiliselt üle vaadata. Võimaluse korral tasub kasutada Euroopa servereid või alternatiivseid analüüsitööriistu,“ ütles Paal.
Euroopa Kohus andis selged suunised töötajate jälgimise kohta, rõhutades, et sellised tegevused peavad olema õigustatud, läbipaistvad ja kooskõlas GDPR-iga. „Otsus tõstis esile, et töötajate teavitamine on kohustuslik ning järelevalve ulatus peab olema proportsionaalne eesmärgiga. Lisaks rõhutab otsus privaatsuse austamise tähtsust,“ kommenteeris GDPR Registri juht Krete Paal.
Otsus selgitab järelevalve lubatavuse piire logistika-, tootmis- ja teenindussektorites, kus kasutatakse töötajate jälgimisvahendeid, näiteks kaameravalvet või GPS-seadmeid. „Selle valguses tuleb rohkem pöörata tähelepanu sellele, et ettevõtte sisemised eeskirjad ja praktikad oleks läbipaistvad ning järgiks regulatsioone,“ ütles Paal.
Euroopa Kohus keelustas manipuleeriva kasutajaliidese disaini, mis suunab kasutajaid tegema otsuseid vastu oma tahtmist ehk näiteks peidab valiku „keeldu“ või muudab selle vähem märgatavaks. Näiteks peab "kõik nõusolekud" nupp olema sama selgelt nähtav kui „keeldu“ nupp ning nõusoleku andmine peab olema vabatahtlik ja teadlik.
Kasutajakogemuse disain rangema kontrolli all
Paal tõi välja, et otsus mõjutab oluliselt kasutajakogemuse disaini ning seab kõrgemad standardid läbipaistvusele ja aususele, puudutades peaaegu kõiki veebipõhiseid ja e-kaubanduse ettevõtteid, kus kasutajaliidese disain mõjutab klientide otsuseid. „See kohtuotsus sunnib ettevõtteid üle vaatama oma veebiliideseid ning tagama, et need ei manipuleeri kasutajat. Teiselt poolt suurendab see kindlasti läbipaistvuse nõudeid ja mõjutab kasutajakogemuse disaini,“ tõi ta välja.
Lõppenud aasta õppetunde kokku võttes möönis Paal, et andmekaitse on kiirelt arenev ja muutuv valdkond, kus peamiseks märksõnaks on andmekaitse rikkumiste ennetamine.
„Rikkumiste ennetamiseks ja trahvide vältimiseks on oluline regulaarselt teha andmekaitse auditeid, koolitada töötajaid ning rakendada tehnilisi ja organisatsioonilisi meetmeid,“ soovitas andmekaitse ekspert.
Eesti iduettevõtte loodud GDPR Register on arendatud koostöös IT-ekspertidega ning teeb GDPRi nõuete järgimise lihtsaks ja loogiliseks, aidates ettevõtetel ja asutustel efektiivselt hallata GDPR-i regulatsiooniga kaasnevaid protsesse, toiminguid ja dokumente.
