Isikuandmete kaitse üldmäärus

Mis on isikuandmete kaitse üldmäärus?

ELi isikuandmete kaitse üldmäärus on maailma rangeim eraelu puutumatust ja turvalisust käsitlev õigusakt.

Selle määrusega ajakohastati ja kaasajastati 1995. aasta andmekaitsedirektiivi põhimõtteid. See võeti vastu 2016. aastal ja seda hakati kohaldama 25. mail 2018.

Isikuandmete kaitse üldmääruses on määratletud:

• üksikisikute põhiõigused digiajastul
• andmetöötlejate kohustused
• nõuete täitmise tagamise meetodid
• sanktsioonid normide rikkujate suhtes

Üksikisikute õigused

Isikuandmete kaitse üldmääruses loetletakse andmesubjekti (s.t üksikisikute, kelle isikuandmeid töödeldakse) õigused. Need tugevdatud õigused suurendavad üksikisikute kontrolli oma isikuandmete üle, sealhulgas järgmise kaudu:

• vajadus omada üksikisiku sõnaselget nõusolekut isikuandmete töötlemiseks
• andmesubjekti lihtsam juurdepääs oma isikuandmetele
• õigus andmete parandamisele ja kustutamisele ning õigus olla unustatud
• õigus esitada vastuväiteid, sealhulgas seoses isikuandmete kasutamisega profiilianalüüsi eesmärgil
• õigus andmete ülekandmisele ühelt teenuseosutajalt teisele

Andmekaitsemääruses sätestatakse üksikisikute õigused ning andmeid töötlevate ja andmete töötlemise eest vastutavate isikute kohustused.

Ettevõtete ja organisatsioonide kohustused

Isikuandmete kaitse üldmääruses sätestatakse vastutavate töötlejate ja volitatud töötlejate (kes töötlevad isikuandmeid vastutavate töötlejate nimel) üldised kohustused.

Need hõlmavad kohustust rakendada asjakohaseid turvameetmeid vastavalt nende poolt teostatavate andmetöötlustoimingutega kaasnevale riskile.

Teatud juhtudel on vastutavatel töötlejatel ka kohustus teavitada isikuandmete kaitsega seotud rikkumistest. Kõik riigiasutused ja ettevõtted, kes viivad läbi teatavaid andmetöötlustoiminguid, millega kaasneb risk, peavad ametisse nimetama ka andmekaitseametniku.

Andmekaitsenormide kohaldamine

Määrusega kinnitatakse liikmesriikide kehtivat kohustust luua riiklikul tasandil sõltumatu järelevalveasutus ning kehtestatakse mehhanism andmekaitsealaste õigusaktide ühtse kohaldamise tagamiseks kogu ELis.

Selles sätestatakse, et piiriüleste juhtumite puhul, milles osaleb mitu riiklikku järelevalveasutust, võetakse vastu üks järelevalvealane otsus. See ühtse kontaktpunkti põhimõte tähendab, et ettevõte, mille tütarettevõtjad asuvad mitmes liikmesriigis, peab suhtlema vaid oma peamiseks tegevuskohaks oleva liikmesriigi andmekaitseasutusega.

Euroopa Andmekaitsenõukogu tagab isikuandmete kaitse üldmääruse täieliku ja järjekindla kohaldamise. See nõukogu koosneb kõigi 27 sõltumatu järelevalveasutuse esindajatest.

Nõukogu võttis 17. novembril 2025 vastu ELi õigusakti, mis peaks jõustuma 2026. aastal. Selle õigusaktiga tõhustatakse ja kiirendatakse riiklike andmekaitseasutuste koostööd piiriüleste – mitut ELi riiki hõlmavate – isikuandmete kaitse üldmääruse kohaste kaebuste käsitlemisel. Normidega lihtsustatakse haldusmenetlusi ja nende eesmärk on tagada:

• piiriüleste kaebuste kiire menetlemine ja parem koostöö
• kaebuste esitajate ja asjaomaste isikute õiguste uurimine

Isikuandmete kaitse norme rikkuvatele vastutavatele töötlejatele ja volitatud töötlejatele on isikuandmete kaitse üldmäärusega ette nähtud ranged karistused. Vastutavatele töötlejatele võib määrata trahvi, mis ulatub kuni 20 miljoni euroni või kuni 4% aastasest kogukäibest.

Ühtlasi võivad üksikisikud esitada kaebuse järelevalveasutusele ning neil on õigus õiguskaitsevahenditele ja hüvitisele. Neil on õigus lasta oma andmekaitseasutuse otsus läbi vaadata siseriiklikul kohtul, olenemata sellest, millises liikmesriigis asjaomane vastutav töötleja on asutatud.

• Euroopa Andmekaitsenõukogu
• Nõukogu võttis vastu uue ELi õigusakti, et kiirendada piiriüleste andmekaitsealaste kaebuste käsitlemist (pressiteade, 17. november 2025)
• Andmekaitse: nõukogu leppis kokku seisukohas isikuandmete kaitse üldmääruse täitmise tagamise normide suhtes (pressiteade, 13. juuni 2024)

Edastamine ELi-välistesse riikidesse

Isikuandmete kaitse üldmäärus hõlmab ka isikuandmete edastamist ELi-välistele riikidele ja rahvusvahelistele organisatsioonidele. Euroopa Komisjoni ülesanne on hinnata ELi-välise riigi territooriumi või töötleva sektori tagatud kaitsetaset.

Kui komisjon ei ole territooriumi või sektori kohta teinud kaitse piisavuse otsust, võib isikuandmete edastamine siiski toimuda konkreetsetel juhtudel või kui on olemas asjakohased kaitsemeetmed.