Viis enimlevinud andmekaitselist eksimust e-poodides

Usaldusväärse e-poe üks eeldus on andmekaitsereeglite tundmine ja järgimine. Vältides viite enamlevinud eksimust, kasvatate usaldust ja vähendate võimalusi andmeleketeks.

Keegi meist ei sooviks ju ka ise leida otsimootorist oma mistahes kliendikonto andmed või kuulda võõrastelt, milliseid tehinguid on tehtud.

Esimene eksimus: Kliendikonto loomiseks vajalik parool saadetakse turvameetmeid kasutamata Uuele kliendile saadetakse vaikesalasõna e-kirjaga ja edastamisel krüpteeringut kasutamata.

• Vaikesalasõna e- kirjas ei ole andmekaitse seisukohalt turvaline, sest e- kirjale võivad ligipääseda soovimatud isikud.

Lisaks vaadake üle, kas saadetava vaikesalasõna kehtivuse aeg on lühiajaline ja kas klient saab kohustuseks salasõna ise muuta. Andke kliendile ka soovitusi salasõna pikkuse ja kasutatavate sümbolite osas, sest klient ei pruugi olla teadlik turvalisest salasõnast. Soovitused võib välja tuua näiteks eraldi salasõna sisestuskasti kõrval avanevas infoaknas.

Veelgi praktilisem on lahendus, mil te ei jätagi kliendile võimalust e-poodi sisenemisel sisestada teatud pikkusest lühemat salasõna. Klientide salasõnad tuleb e-poe infosüsteemis hoida räsitult, mitte avatud tekstina. Lülitage mailiserverite vahelise andmevahetuse kaitsmiseks sisse SMTP protokollil TLS tugi. Soovitav on seda teha nii saadetavate kui vastuvõetavate e-kirjade puhul.

‍Teine eksimus: Andmekaitsetingimusi ei ole või need on puudulikud Andmekaitsetingimused ei anna e-poe andmetöötlusest täielikku ülevaadet või ei ole need kliendi jaoks kättesaadavad.

• Andmekaitsetingimused tuleb avalikustada e-poe veebis ja võimaldada kliendil nendega tutvuda enne ostu sooritamist.

Andmekaitsetingimustes tuleb selgitada kliendile lihtsas keeles ning arusaadavalt e-poe isikuandmete töötlemise põhimõtteid.

Ehk, kes on vastutav töötleja, millisel eesmärgil ja õiguslikul alusel isikuandmeid töödeldakse, kui kaua andmeid säilitatakse ning kes on volitatud töötlejad, kellele isikuandmeid edastatakse. Ekslikult arvatakse, et isikuandmed on ainult need, mis on otseselt klienti tuvastavad ja mida klient on kontot luues ise sisestanud või e-pood ostu sooritamise raames kogunud. Tegelikult jõuavad e-poe käsutusse näiteks ka IP-aadressid, kui klient poe veebilehte külastab.

Andmekaitsetingimustes tuleb loetleda kõik andmekoosseisud, mida töödeldakse. Samuti tuleks eraldi kirjeldada, milliseid küpsiseid ning mis eesmärgil e-pood kasutab. Kui e-pood kasutab kolmandate osapoolte küpsiseid, tuleb anda infot ka nende kohta.

Lisaks on vaja anda andmekaitsetingimustes teavet selle kohta, millised on kliendi õigused enda kohta käiva andmetöötluse osas. Andmekaitsetingimuste minimaalne sisu on kirjas isikuandmete kaitse üldmääruse artiklites 13-14.

Täiendavalt soovitame tutvuda meie võrgulehel Euroopa andmekaitseasutuste ühise juhisega, mis kirjeldab arusaadavalt, kuidas tagada andmetöötluse läbipaistvus.

Andmekaitsetingimused võivad olla osa e-poe ja kliendi vahelisest lepingust.

Kolmas eksimus: Ei tunta oma partnerit ja tema andmetöötlust E-poed ei oma kas üldse ülevaadet sellest, kuidas koostööpartnerid nende klientide andmeid kasutavad ning kui kaua säilitavad, või ei ole ülevaade piisav.

• Oluline, et e-pood omab täielikku ülevaadet, kuidas koostööpartnerid klientide andmeid koguvad, kasutavad ja säilitavad. Lisaks sellele peab e-pood vastutava andmetöötlejana seisma selle eest, et kõik tema koostööpartnerid töötleks volitatud andmetöötlejatena e-poe klientide isikuandmeid õiguspäraselt. Volitatud andmetöötlejate tegevus ei tohi olla vastuolus e-poe enda andmetöötlusega.

E-poe koostööpartneriteks võivad olla nii majutus,- tarkvara kui logistikaettevõtted. Partneritega tuleb sõlmida e-poel vastutava-volitatud töötleja andmetöötlusleping. Sellise lepingu olemasolu tagab, et partnerid ei teeks midagi ilma vastutava töötleja kirjaliku loata. Samuti saab lepinguga paika panna täpselt andmetöötluse sisu ja kestvuse, eesmärgi, turvameetmed ning vajadusel konfidentsiaalsuse kohustuse. Minimaalsed nõuded lepingu sisule on kirjas isikuandmete kaitse üldmääruse artiklis 28. Neljas eksimus: Andmete kogumisel eiratakse minimaalsuse põhimõtet Isikuandmeid kogutakse igaks juhuks ja see on vastuolus andmekaitse põhimõtetega.

• Kui E-poe eesmärgiks on kauba toimetamine kliendile, siis sellest tulenevalt ei ole vajalik ega seaduspärane koguda kliendi kohta isikuandmeid, mida ei ole tarvis kauba kätte toimetamiseks.

Näiteks kui klient tellib kauba pakiautomaati, ei tohi pood ostu vormistamiseks küsida kliendilt kohustuslikus korras elukoha aadressi nagu linn, tänav, majanumber. Aadressiandmed on tarvilikud juhul, kui klient soovib kasutada näiteks kullerteenust. Üks olulisemaid isikuandmete töötlemise põhimõtteid ongi minimaalsus ja eesmärgipärasus. Isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks ja kui see on saavutatud, tuleb andmed kustutada. Viies eksimus: Otseturundusteateid saadetakse kliendile ilma tema nõusolekuta E-pood saadab kliendile uudiskirja või reklaami e-kirja või sms-na ilma, et tal oleks kliendi eelnev nõusolek.

• Reklaame ja otseturundusteateid saab saata kliendi eelneval nõusolekul. Kui e-pood võtab endale e-kirja või sms-ga reklaami või uudiskirja saatmise õiguse juba lepinguliseks õiguseks või ülesandeks, ei ole see korrektne. Nõusolek peab olema vabatahtlik ja põhilepingust eraldi.

E-pood saab seda nõuet näiteks nii, et võimaldab märkida inimesel „linnukese“ vastavasse nõusoleku lahtrisse.

Samuti võib see olla mõni muu infotehniline lahendus, mis võimaldab kliendil selgelt ja üheselt aru saada milleks ta nõusoleku annab ning mida saab e-kaupmees hiljem ka tõendada.Kuna nõusolekuks ei loeta vaikimist või tegevusetust, vaid kliendi tahteavaldust, siis ei tohi vastav lahter olla eeltäidetud. See tähendab, et klient peab saama „ linnukese“ lahtrisse ise teha, mitte ei pea lahtrist vaikevalikut maha võtma.

Täiendavalt tuleb jälgida, et kui e-kaupmehel on kliendi nõusolek nõuetekohaselt võetud, peab iga turundusteate või uudiskirja lõpus olema teave, kuidas klient saab edaspidistest teadetest loobuda. Näiteks võib kirja sees olla link, millele klikates saab inimene loobuda. Nõusolekust loobumine peab kliendile olema sama lihtne kui selle andmine.

‍Kaks ohtu andmetöötluses, millega e-poel on vaja täiendavalt arvestada Esiteks, kui e-pood võimaldab sotsiaalmeedia kontoga isikutuvastust  …siis peate arvestama, et kliendikontosse autentimine Facebooki või Google profilliga tähendab, et inimese tuvastamisega seotud andmetöötlus võib kas osaliselt või täies ulatuses toimuda USA infosüsteemides. See tähendab, et isikuandmete töötlemine toimub Euroopa andmekaitseõigusest teistsuguses õigusruumis, kus kehtivad Euroopast erinevad andmekaitsereeglid.

E-pood peab arvestama, et USA teenuseosutajate autentimislahenduste kasutamisel saab temast USA ettevõtte kaasvastutav andmetöötleja. Sellega tuleb kaasa kohustus anda klientidele nende soovi korral selgitusi, milliseid isikuandmeid, mis eesmärgil ning kuidas Facebook või Google e-poe kliendi osas töötlevad.Kuna Facebooki või Google kontoga klientide tuvastamisel on e-poel võimalus töödelda mitmesugust tuvastamisega kaasa tulevat infot, näiteks kontol olevaid pilte või sõprade nimekirja, siis ka selle kohta on kliendil õigus teada, kas ja milliseid andmeid e-pood enda kasutusse saab.Juhime tähelepanu, et turvalised lahendused klientide tuvastamiseks on Eesti oma autentimislahendused ID-kaart, Mobiil-ID ja Smart- ID.

‍Teiseks, kui e-pood kasutab andmete majutamiseks kolmandates riikides asuvaid servereid …siis peate arvestama, et andmete majutamine näiteks Google serverisse võib tähendada andmete edastamist väljapoole Euroopa majanduspiirkonda.Samamoodi nagu e-poodi sotsiaalmeedia kontoga isikutuvastamise võimaldamise kaudu, toimub ka andmete majutamisel kolmanda riigi pilve isikuandmete töötlemine Euroopa andmekaitseõigusest erinevas õigusruumis. Kui andmete edastamine toimub kolmandatesse riikidesse, näeb andmekaitseõigus ette, et vastutav töötleja peab rakendama täiendavaid kaitsemeetmeid.

Oluline on juhtida tähelepanu, et õiguskindlaid kaitsemeetmeid on alates 17. juulist 2020 vähem, kuna Euroopa Kohus tühistas Euroopa Liidu ja USA vahelise andmekaitseraamistiku Privacy Shield.Praktikas tähendab see, et kui USA teenuseosutaja tütarettevõte asub Euroopa Liidus, kuid peakorter asub USA-s, võib toimuda teatud osa andmetöötlusest siiski ka USA-s (nt ka Facebook või Google autentimislahenduse korral).

Seega edastab tütarettevõte isikuandmeid kolmandasse riiki ning andmetöötlust ei saa enam Privacy Shield raamistikule tuginedes võimaldada. Vajalik on kohaldada täiendavaid kaitsemeetmeid, mis on kirjas isikuandmete kaitse üldmääruse artiklis 46 lõige 2. Andmekaitse Inspektsioon on seda teemat pikemalt selgitanud oma võrgulehel. Nimekiri Euroopa Komisjon piisavusotsuse saanud kolmandates riikidest  riikidest.

‍Andmekaitse Inspektsiooni nõuandetelefonilt 5620 2341 saab küsida lisaselgitusi või pöörduda oma probleemiga igal argipäeval kell 13.00- 16.00. Neljapäeviti töötab nõuandetelefon tunni võtta lühemalt, s.t kella 13.00-st kuni 15.00-ni.

‍Urmo Parm, Andmekaitse Inspektsiooni tehnoloogia nõunik