Euroopa Liidu Kohus otsustas asjas C‑154/21 (RW versus Österreichische Post AG), et isikuandmete vastutav töötleja on kohustatud andma inimesele teada ka tema isikuandmete vastuvõtjate nimed.
Tegu on EL Kohtu äsjase, 12.01.2023 antud tõlgendusega GDPR artikli 15 lõike 1 punktile c.
Kõnealune säte annab andmesubjektile õiguse saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse ning sellisel juhul tutvuda ka teabega vastuvõtjate või vastuvõtjate kategooriate kohta, kellele need isikuandmeid on avalikustatud või avalikustatakse.
Austrias pöördus andmesubjekt RW postiteenuse osutaja Österreichische Post poole, et tutvuda isikuandmetega, mida viimane tema kohta säilitab või on varasemal ajal säilitanud. Samuti huvitas isikut, kas tema isikuandmeid on avalikustatud kolmandatele isikutele, ja kui on, siis kellele on?
Postiasutus vastas, et kasutab isiku andmeid ainult seadusega lubatud ulatuses oma tegevuse – telefonikataloogide väljaandmise tarbeks, ning et ta jagab isikuandmeid ka oma äripartneritele turunduse jaoks. Lisaks viitas ta oma veebisaidile, kust leiab lisateabe ja muud andmete töötlemise eesmärgid. Postiasutus ei edastanud RW‑le teavet isikuandmete konkreetsete vastuvõtjate kohta.
RW esitas Austria kohtule hagi, paludes, et Österreichische Post`i kohustataks esitama talle teave siiski ka konkreetse(te) vastuvõtja(te) kohta, kellele tema isikuandmeid on avalikustatud.
Kohtumenetluse käigus teatas Österreichische Post et on RW andmeid töödelnud turunduse eesmärgil ning edastanud neid oma klientidele, sealhulgas reklaamiettevõtjatele kaugmüügi ja kaubanduse valdkonnas, IT‑ettevõtjatele, otseturunduse vahendajatele ning mitmesugustele ühingutele, näiteks heategevusorganisatsioonidele, valitsusvälistele organisatsioonidele ning parteidele.
Esimese astme kohus ja apellatsioonikohus jätsid RW hagi rahuldamata ning leidsid, et GDPR artikli 15 lõike 1 punkt c annab vastutavale töötlejale võimaluse piirduda sellega, et andmesubjektile tehakse teatavaks vaid vastuvõtjate kategooriad, ilma kohustuseta isikuandmete konkreetseid vastuvõtjaid eraldi ära nimetada.
EL kohus, kelle poole Austria kõrgeim kohus eelotsustusmenetluse käigus pöördus, asus aga seisukohale, et andmesubjektile antud õigus tutvuda tema kohta käivate isikuandmetega tähendab ka seda, et juhul, kui need andmed on avalikustatud või avalikustatakse edaspidi, on vastutav töötleja kohustatud esitama andmesubjektile tema isikuandmete konkreetsete vastuvõtjate nimed.
Välja võib arvata vaid juhud, kui vastuvõtjaid ei ole võimalik kindlaks teha või kui vastutav töötleja tõendab, et andmesubjekti taotlused teabega tutvumiseks on selgelt põhjendamatud või ülemäärased. Sellisel juhul võib vastutav töötleja teatada andmesubjektile ainult vastuvõtjate kategooriad.
Artikli kirjutamisel kasutatud allikas:
https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:62021CJ0154
