Lühike vastus
- aasta veebruaris tegi Andmekaitse Inspektsioon mulle ettekirjutus-hoiatuse asjas nr 2.1.-6/21/4 IKÜM rikkumiste tõttu minu enda finantsteemalistel võrgulehtedel. Täitsin kõik nõuded 13 päevaga ja 18. märtsil 2021 lõpetas inspektsioon järelevalvemenetluse, tehes noomituse IKÜM artikli 58 lõike 2 punkti b alusel — kõige leebema meetme, mida kohaldatakse toimunud rikkumise eest. Rahatrahvi ei olnud, kohtumenetlust ei olnud.
Ettekirjutuse dokument on avalikult kättesaadav ja kerkib aeg-ajalt pinnale. Häda on selles, et tavaliselt loetakse see pooleni: nähakse mainitud 20 miljonit eurot ja tehakse järeldus, mida dokumendis ei ole. Seepärast käin asja sisuliselt läbi: mis juhtus, mida ma tegelikult rikkusin, kuidas see lõppes ja millised järeldused ma sellest oma töösse kaasa võtsin.
Asja kronoloogia
| Kuupäev | Mis toimus |
|---|---|
| 28.09.2020 | Eraisik esitas inspektsioonile kaebuse tema pöördumise avaldamise kohta võrgulehel 44finance.com |
| 23.02.2021 | Tehti ettekirjutus-hoiatus, täitmise tähtaeg 10.03.2021 |
| 08.03.2021 | Andsin aru mõlema võrgulehe ja kõigi 29 minu nimele registreeritud domeeni kohta |
| 09.03.2021 | Kinnitasin kõigi kogutud isikuandmete kustutamise |
| 16.03.2021 | Saatsin aruande täienduse |
| 18.03.2021 | Menetlus lõpetatud, tehtud noomitus |
Menetluse lõpetamise otsuses sõnastab inspektsioon selle nii: «Tänaseks on Vladislav Krivorutško inspektsiooni ettekirjutuses toodud nõuded täitnud». Ja edasi: «Lähtuvalt eeltoodust lõpetame järelevalvemenetluse».
Lõppdokumendist ja miks ma seda ei avalda
Esimesel dokumendil — 23.02.2021 ettekirjutusel — juurdepääsupiirangut ei ole. Just see internetis ringlebki.
Teine aga, seesama, kus on kirjas «täitnud» ja «lõpetame», on märgistatud ASUTUSESISESEKS KASUTAMISEKS avaliku teabe seaduse (AvTS) § 35 lõike 1 punktide 2 ja 12 alusel, isikuandmete osas kuni 18.03.2096. Piirang kaitseb muu hulgas kaebuse esitaja andmeid, mitte üksnes minu omi.
Seetõttu toon ära kirja viited — 18.03.2021, nr 2.1.-1/20/3467 — ja tsiteerin sellest üksikuid minu asja puudutavaid sõnastusi, kuid ei avalda dokumenti tervikuna. Inspektsiooni ametlik vastus on olemas; vajadusel saab selle ehtsust kontrollida päringuga inspektsioonile asja numbri järgi.
Mida ettekirjutuses ei ole
Alustan sellest, mida kõige sagedamini juurde mõeldakse.
| Levinud tõlgendus | Mis dokumentides tegelikult on |
|---|---|
| «Trahv 20 miljonit eurot» | See on tsitaat IKÜM artikli 83 ülempiirist tüüphoiatuse plokis. Trahvi ei määratud |
| «Trahv 1000 eurot» | Sunniraha on tingimuslik meede: 1000 eurot punkti eest ainult juhul, kui ettekirjutust ei täideta 10.03.2021-ks. See täideti |
| «Kriminaal- või väärteoasi» | Tekstis on «võidakse algatada». Ei algatatud |
| «Kohus tunnistas süüdi» | Kohtumenetlust ei olnud. Tegemist on järelevalveasutuse haldusaktiga |
| «Pettus, andmete vargus või müük» | Selliseid süüdistusi dokumentides üldse ei ole. Jutt on IKÜM-i läbipaistvuse ja minimaalsuse nõuete rikkumisest |
Veel üks detail, mida tasub teada: ettekirjutus tehti minu selgitusi ära kuulamata, kiirendatud korras — inspektsioon viitab otse haldusmenetluse seaduse § 40 lõike 3 punktile 1. Mind ei kuulatud enne akti tegemist ära. See ei võta nõuetelt põhjendatust, kuid selgitab, miks esimene dokument kõlab karmimalt kui asja lõpplahend.
Mida ma tegelikult rikkusin
Nüüd ebameeldiv osa ja ma ei kavatse seda pehmendada. Inspektsioon sõnastab noomituse aluse sõna-sõnalt nii: kogusin võrgulehtedel isikuandmeid, kuid täitmata olid IKÜM-i nõuded — eelkõige puudusid võrgulehtedel artiklitele 12-14 vastavad andmekaitsetingimused, millest nähtuks vastutav töötleja, tema kontaktandmed, töötlemise eesmärk ja õiguslik alus.
Jagan selle kolmeks.
1. Puudusid andmekaitsetingimused, omaniku nimi ja toimivad kontaktid
Kõige vaieldamatum rikkumine ja täielikult minu oma. Inimene, kes jättis võrgulehele oma andmed, ei saanud aru, kes neid töötleb, ega saanud füüsiliselt pöörduda nõudega need kustutada. Just see sai asja materjalide järgi otsustades kaebuse põhjuseks: kaebaja lihtsalt ei leidnud, kellele kirjutada, ja läks inspektsiooni.
Kohustus on siin tingimusteta ja ükski turunduskaalutlus seda ei tühista: vastutava töötleja nime ja toimivaid kontaktandmeid nõuab IKÜM artikli 13 lõike 1 punkt a, teenuse osutajalt ka infoühiskonna teenuse seaduse § 4 — ja seal kehtib nõue isegi siis, kui isikuandmeid üldse ei töödelda.
Täna ehitan kõike vastupidi. Võrguleht, mida te praegu loete, on minu nime ja näo all, ADLAB OÜ rekvisiitide ja toimiva e-postiga kontaktide lehel.
2. Külastajate pöördumiste avaldamine koos nimedega
Mõlema võrgulehe lehtedel olid avalikult ja indekseeritult näha inimeste pöördumiste tekstid koos nende nimedega. Osa neist on raskes olukorras inimeste pöördumised, mis sisaldavad andmeid nende isiklike ja perekondlike olude kohta. Inspektsioon märkis eraldi, et selliste andmete avaldamine puudutab ka laste õigusi ja et ühe pöördumise sisu oli oma võrgulehel juba taasavaldanud kolmas ettevõte.
Siin ei ole millelegi tugineda: need tekstid ei tulnud minuni koos domeeniga ega ilmunud sinna tähelepanematusest. Pöördumised kuvati lehele automaatselt, sest ma ise kavandasin saidi nii — mulle tundus, et avatud voog päris päringutest näitab, et teenus töötab, ja tekitab rohkem usaldust kui leht ilma ühegi tagasisideta. Mõte oli läbipaistvusest, välja tuli aga isikuandmete avaldamine ilma õigusliku aluseta ja ilma inimeste teadliku nõusolekuta.
Viga oli selles, et ma ei mõelnud neile sõnumitele üldse kui isikuandmetele. Nimi koos pöördumise tekstiga on isikuandmed ja otsus neid avalikult näidata nõudis õiguslikku alust, tagasivõtmise võimalust ja hoiatust juba saatmise hetkel. Midagi sellest ei olnud. Inspektsiooni nõudel muudeti kõik kommentaarid anonüümseks ja kogutud andmed kustutati.
3. Koguti rohkem andmeid, kui vaja oli
Vormid küsisid tunduvalt rohkem välju, kui eesmärgi täitmiseks vaja oli: pakkumisi saatsin ainult e-posti teel, kuid kogusin muu hulgas telefoninumbrit. Inspektsioon osutas IKÜM artikli 5 lõike 1 punkti b minimaalsuse põhimõttele: üldjuhul piisab ainsast e-posti aadressist ja telefoninumber on e-kirjaga saatmisel põhimõtteliselt üleliigne. Üksikud lisaväljad võivad olla õigustatud, kui neist tegelikult sõltub tulemus, kuid siis peab see olema andmekaitsetingimustes selgelt kirjas ja säilitamistähtajad määratud.
Mida inspektsioon minu kasuks kinnitas
Kui juba asja sisuliselt lahkan, tasub ka see ära nimetada.
Affiliate-viited on seaduslikud. Inspektsioon kinnitas otsesõnu, et laenuettevõtete võrgulehtedele viitamine ei ole keelatud — võrdlusportaalil on õigus teenida partnerprogrammidelt.
Kustunud domeenide taaselustamine iseenesest IKÜM-i ei riku. Esitasin otsese küsimuse — kas võib kasutada eelmise võrgulehe sisu, kui isikuandmeid ei töödelda. Vastus: «Kui isikuandmeid ei töödelda, siis IKÜM ka ei kohaldu»; teiste seaduste järgi hinnangut inspektsioon anda ei oska. Ehk andmekaitse järelevalveasutus ei tunnistanud seda praktikat ebaseaduslikuks. Andsin siiski eraldi teada, et võõra sisu pealt võrgulehtede ülespanemise olin lõpetanud juba enne menetluse algust.
Kahtlus ülejäänud domeenide osas ei leidnud kinnitust. Eesti Interneti SA teatas inspektsioonile, et ma taaselustan kustunud domeene, ja inspektsioon pidas «kaheldavaks», et ülejäänud minu võrgulehed IKÜM-ile vastavad, nõudes kõigi 29 ülekontrollimist. Kontrollisin ja andsin aru iga kohta: enamikul isikuandmeid üldse ei kogutud, osa domeene enam ei töötanud või suunas mujale, ülejäänutel vormid suleti ja kogutud andmed kustutati. Oletus jäigi oletuseks.
Kontrollnimekiri: IKÜM kustunud domeeni taaselustamisel
See on osa, mille pärast tasub artikkel lõpuni lugeda, kui te kustunud domeenidega töötate. Kõik alljärgnev on otsesed järeldused minu asjast.
- Avage veebiarhiiv enne domeeni ostmist. Vaadake mitte linkiprofiili, vaid seda, kas seal on kasutajate loodud sisu: kommentaarid, arvustused, küsimused, taotlused, foorum. Kui on, ostate koos domeeniga võõraid isikuandmeid.
- Kustutage või anonüümistage kasutajate sisu enne käivitamist, mitte pärast. Vastutava töötleja vastutus tekib hetkel, mil leht sai teie domeenil kättesaadavaks. «Sisu oli seal enne mind» ei ole alus.
- Ärge kuvage sissetulevaid pöördumisi saidil automaatselt. «Elav päringute voog» näeb veenev välja ja tõstab usaldust, kuid nimi koos pöördumise tekstiga on isikuandmed. Avaldamine nõuab eraldi õiguslikku alust, hoiatust saatmise hetkel ja võimalust sõnum tagasi võtta. Kui sotsiaalset tõestust on väga vaja, avaldage anonüümselt ja ilma detailideta, mille järgi inimest ära tunda.
- Lülitage välja või eemaldage kõik vormid, mida te teenindada ei kavatse. Mittetöötav vorm, mis siiski midagi vastu võtab, on andmete kogumine ilma aluse ja teavituseta.
- Pange andmekaitsetingimused üles enne kogumise algust, mitte pärast esimest taotlust. IKÜM artikkel 13 nõuab, et inimene saaks andmete sisestamise hetkel aru: kes on töötleja, mis alusel, mis eesmärgil ja kui kaua.
- Nimetage ennast. Vastutava töötleja nimi ja toimivad kontaktandmed on kohustuslikud. Infoühiskonna teenuse seaduse § 4 järgi märgib teenuse osutaja oma nime ja kontaktid ka siis, kui isikuandmeid üldse ei töödelda.
- Koguge täpselt nii palju välju, kui eesmärgi täitmiseks vaja. Saadate e-postiga — järelikult telefoninumbrit teil vaja ei ole. Iga lisavälja peab oskama põhjendada.
- Looge toimiv kanal kustutamistaotluste jaoks ja vastake seal. Inimesel peab olema võimalus nõuda kustutamist igal ajal — ka siis, kui ta saatmise hetkel teadis, et sõnum avaldatakse.
- Ärge jätke muljet, et osutate teenust, mida te ei osuta. Võrdlusportaal on võrdlusportaal ja see peab olema seal otsesõnu kirjas.
Eraldi ütlen taaselustatud domeenide kohta. Ma jätkan nendega töötamist ja pean neid normaalseks töövahendiks. Kuid alates 2021. aastast on võõraste isikuandmete kontroll esimene asi, mille ma pärast domeeni ostmist teen — juba enne, kui vaatan selle SEO-näitajaid.
Mis minu töös muutus
Kirjeldan ilma paatoseta, ainult kontrollitava.
Kõik minu projektid ja kõik klientide projektid käivitatakse täna andmekaitsetingimuste, nimeliselt märgitud omaniku ja toimivate kontaktidega. Vormidel on selge nõusolek andmetöötluse tingimustega — eraldi märkeruuduga, mitte peenikeses kirjas nupu all, ja mitte kunagi eeltäidetuna: Eesti affiliate-saitide niši analüüsis leidsin vormi, kus kõik kolm nõusolekulinnukest olid vaikimisi märgitud — täpselt sama viga, ainult saidil, kes seda veel ei tea. Kasutajate loodud sisu taaselustatud domeenidel kontrollitakse enne käivitamist, mitte pärast kaebust.
Eraldi nime kohta. Täna on kogu mu äri üles ehitatud avalikule autorsusele: töötan üksi, oma nime all, ja kliendid näevad, kellega täpselt tegemist on. See osutus mitte kuluks, vaid varaks — sealhulgas SEO jaoks, sest otsingumootorid on möödunud aastatega märgatavalt nihkunud kontrollitava autorsuse suunas.
Peamise järelduse sellest asjast sõnastaksin nii: kui järelevalveasutusel on õigus, ei ole millegi üle vaielda. Nõuded olid sisuliselt põhjendatud, seetõttu ma vaiet ei esitanud ega venitanud aega, vaid parandasin kõik 13 päevaga 15-päevase tähtaja juures — ja täpsustasin paralleelselt seda, millest aru ei saanud. Menetlus kestis alla kuu just seetõttu, et vaidluseks see ei kujunenudki.
Ma eelistaksin, et seda lugu ei oleks. Kuid kui ta juba on ja otsingust leitav, on ausam see ise ja koos oma järeldustega ära rääkida kui loota, et keegi ei loe. Ühtlasi sai minu veast kontrollnimekiri, mis säästab kellelgi tunduvalt rohkem, kui see menetlus mulle maksma läks.
