3-07-317 KOHTUOTSUS EESTI VABARIIGI NIMEL Kohus Tallinna Halduskohus Kohtukoosseis Hurma Kiviloo Otsuse tegemise aeg ja koht 17. aprill 2007. a, Tallinn Haldusasja number 3-07-317 Haldusasi AS Hansapa

§ 8

lg 1 p 5 kohaselt, on mittedelikaatsete isikuandmete töötlemine lubatud ilma isiku nõusolekuta, kui töötlemise eesmärk on üldiste huvide või vastutava töötleja õigustatud huvide või kolmanda isiku, kellele andmed üle antakse, õigustatud huvide arvestamine, kui isiku huvid ei ole olulisemad. Antud juhul oli maksehäirete avaldamine kooskõlas IKS § 8 lg 1 p-ga 5. Kehtiva IKS § 2 lg 2 p 2 kohaselt ei kohaldata IKS-t kui töödeldakse õiguspäraselt avalikuks kasutamiseks antud isikuandmeid. Õiguskantsler Allar Jõks asus oma 29.09.2005 Riigikogu ettekandes seisukohale, et antud säte ei võimalda isikul nõuda enda kohta käivate vananenud andmete kustutamist juhul, kui need andmed on juba kord õiguspäraselt avalikustatud. Nii kuni 01.10.

§ 8

lg 1 p 1 kui ka kehtiva IKS § 14 lg 1 p 1 kohaselt on 2 isikuandmete töötlemine lubatud andmesubjekti nõusolekuta, kui isikuandmeid töödeldakse andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks. H. R. tasus Hansapanga ees lõplikult lepingust tuleneva võla 20.04.2006. a. Vastutaja on Ettekirjutuses asunud seisukohale, et lähtudes tasumata võlast avalikustati H. R.i võlainformatsioon õiguspäraselt ja vastavuses nii kuni 01.10.

§ 8lg 1 p 1 ja § 8 lg 1 p 5 kui ka kehtiva IKS § 14 lg 1 p 1.

Seega kohaldub H. R.i võlainformatsioonile IKS § 2 lg 2 ning seetõttu puudub vastustajal ka õigus nõuda H. R.i võlainformatsiooni kustutamist. KrAS sätestab krediidiasutustele maksehäirete avalikustamise osas võrreldes IKS-ga eriregulatsiooni. Pangasaladuse avaldamine saab üldjuhul toimuda ainult kliendi kirjalikul nõusolekul. KrAS § 88 lg-ga 2 oli seadusandja tahe määratleda informatsioon, mille avaldamiseks ei ole vaja kliendi nõusolekut. Kui selle informatsiooni avaldamiseks oleks vaja kliendi nõusolekut, siis ei oleks antud infot vaja pangasaladusest eristada, vaid sellele kehtiks üldine pangasaladuse regulatsioon. Pangasaladust eristab pangasaladuseks mitte olevatest andmetest eelkõige õigus ühte liiki infot avaldada (info, mis ei ole salajane) ja teisi andmeid ilma kliendi nõusolekuta mitte avaldada (pangasaladus). Riigikogu poolt 11.05.2000 a vastu võetud KrAS § 88 lg 2 p 4 kehtestav seaduseelnõu seletuskiri ei sisalda vastustaja poolt väidetud viidet, et kohaldamisele kuulub IKS üldine regulatsioon. Seega KrAS § 88 lg 2 p 4 kehtestab krediidiasutustele, võrreldes IKS toodud nõuetega, erinormi pangaandmete töötlemisele ja lubab maksehäiret avalikustada ilma kliendi nõusolekuta. Seda kinnitavad ka eelkirjeldatud ning alates 01.01.2007 kehtima hakkavad KrAS muudatused. Kuigi eeltoodust lähtudes ei ole krediidiasutusel vaja maksehäire avalikustamiseks kliendi nõusolekut, ei saa nõustuda vastustaja väitega, et H. R. ei olnud teadlik isikuandmete töötlemise asjaoludest ja ei ole isikuandmete töötlemiseks nõusolekut andnud. Kehtivat IKS ja vastustaja tänaseid tõlgendusi ei ole õige panna

1. a konteksti. Hansapank on järginud isikuandmete töötlemisel lepingute sõlmimise ajal kehtinud IKS § 10 lg 1 mõtet ja
2. a vastustaja poolt heaks kiidetud praktikat. Hansapank on selle alusel loonud oma klientidega pikaajalised vastastikusi õigusi ja kohustusi sisaldavad lepingusuhted. H. R.i poolt 20.03.2001 alla kirjutatud Ego järelmaksukaardi kasutamise lepingu p 13.3 kohaselt on pank ja liising õigustatud avaldama informatsiooni lepingu, konto omaniku ja kaardi valdaja kohta kolmandale isikule, kelle õigus informatsiooni saada tuleneb Eesti Vabariigi seadustest, AS-le Krediidiinfo, panga või liisingu tütarettevõtetele ja pangas olulist osalust omavatele krediidiasutustele. H. R.i poolt allkirjastatud 23.10.2002 Ego järelmaksukaardi kasutamise lepingust tuleneva võlgnevuse tagasimaksmiseks võlalepingu nr 01-094294-KE p 9.4 kohaselt on pank ja liising õigustatud avaldama informatsiooni lepingu ja võlgniku kohta kolmandale isikule, kelle õigus informatsiooni saada tuleneb Eesti Vabariigi seadustest, AS-le Krediidiinfo, panga või liisingu tütarettevõtetele ja pangas olulist osalust omavatele krediidiasutustele. Kui võlgnik ei täida Lepingust tulenevaid kohustusi kohaselt, on pangal õigus avaldada lepingut ja võlgnikku puudutav informatsioon kolmandale isikule omal äranägemisel. Informeeritud nõusoleku nõude eesmärk on võimaldada andmesubjektile igakülgset informatsiooni nõusolekuotsuse tegemiseks sealhulgas hinnata kaasnevaid riske ja võimalikke tagajärgi, ehk lihtsustatult – saada aru, kes, miks ja kuidas tema andmetega kokku puutub. Lepingutele allakirjutamisega ja teenuse kasutama hakkamisega on H. R. kinnitanud, et ta on teadlik (sh eeltoodud lepingu punktide kaudu) vastutavast töötlejast, andmete töötlemise eesmärgist (lepingu rikkumise korral töötlemine vastutava töötleja enda äranägemisel), andmete koosseisust ja allikast mis kuuluvad avaldamisele, üldiseks kasutamiseks antavate isikuandmete loetelust (võlgnikku ja lepingut puudutav informatsioon), samuti teadlik nendest isikute kategooriatest, kellele andmeid avalikustatakse (sh lepingu rikkumise korral kõik kolmandad isikud). Ühtlasi on andnud H. R. selge ja teadliku kirjaliku nõusoleku avaldada lepingu rikkumise korral kõik lepinguga seotud asjaolud täielikult 3 Krediidiinfole ja muudele kolmandatele isikutele. Viite puudumine IKS-le või KrAS-le (õiguslikule alusele) ei ole piisavaks aluseks lugeda kliendi nõusolek puuduvaks. Vastustaja Andmekaitse Inspektsioon leiab, et Ettekirjutus on õiguspärane ning ei riku Hansapanga õigusi, mistõttu kaebus on põhjendamatu ja tuleb jätta rahuldamata. Hansapank on oma kaebuses selgitanud põhjalikult Krediidiinfo peamist eesmärki, milleks ei ole võlgade tagasisaamise tagamine, vaid isiku maksekäitumise kohta isiku finantsilise usaldusväärsuse hindamiseks teistele krediteerijatele info andmine ning vastutustundliku laenamise printsiibi tagamine. Eelnimetatud isikuandmete töötlemise eesmärgist andmesubjekti teavitatud ei ole. Mainitud eesmärk ei sisaldu ka käesoleval ajal Hansapank kliendiandmete töötlemise põhimõtetes. Kui Hansapank leiab, et isikuandmete töötlemine on vajalik ka teistele krediteerijatele info andmise eesmärgil ning vastutustundliku laenamise printsiibi tagamise eesmärgil, siis on tal IKS § 12 lg 2 p-st 1 tulenev kohustus teavitada sellest andmesubjekti enne isikuandmete töötlemiseks nõusoleku saamist. Eesmärgipärasuse nõue on isikuandmete kaitse üks põhilisi printsiipe ja selle kohaselt tohib isikuandmeid töödelda ainult eelnevalt üheselt kindlaksmääratud ülesande täitmiseks või eesmärgi saavutamiseks. Kui eesmärk on saavutatud, tuleb isikuandmete töötlemine lõpetada. Muudel eesmärkidel tohib andmeid töödelda vaid andmesubjekti nõusolekul või selleks pädeva organi loal (IKS § 6 p 4). Võlainformatsiooni avalikustamine on põhimõtteliselt lubatav, kui on paigas vähemalt minimaalsed tagatised ka andmesubjektide kaitseks – teiste hulgas asjaolu, et võlg on tasumata. H. R. tasus oma võla Hansapangale 20.04.2006 a ning seetõttu ei ole käesoleval ajal enam asjakohane ka Hansapanga viide kuni 01.10.

§ 8lg 1 p-le 5.

Et Hansapanga kirjas 10.11.2006 nr 200.120-030/036633 AKI-le on esitatud seisukoht, et võlgnevuste Krediidiinfole avaldamine oli seotud lepingu täitmise tagamisega, siis jääb täiesti selgusetuks, mis eesmärgil toimub isikuandmete Krediidiinfole edastamine, kas võlgade tagasisaamise tagamiseks või isiku maksekäitumise kohta isiku finantsilise usaldusväärsuse hindamiseks teistele krediteerijatele info andmise ning vastutustundliku laenamise printsiibi tagamiseks. Tõele ei vasta informatsioon, et maksehäirete registrile on piiratud ligipääs. Registrist saab andmeid vaadata iga isik, kes sisestab oma isikukoodi vastavasse lahtrisse ning annab kinnituse, et kasutab andmeid krediidiotsuste tegemiseks. Kes ja kuidas hiljem kontrollib, et andmeid kasutati ainult krediidiotsuste tegemiseks, on selgusetu. Vaatamata asjaolule, et isikuandmed (võlainformatsioon) avalikustati endise IKS redaktsiooni kehtivuse ajal, ei tähenda see seda, et avalikustatud isikuandmetele kehtiv IKS üldse ei kohaldu. Isikuandmete avalikustamine on kestev tegevus, mis peab olema kooskõlas IKS-s sätestatud nõuetega ning millel peab olema õiguslik alus. Lisaks eesmärgipärasuse nõudele on teine oluline printsiip andmete õigsuse nõue, mille kohaselt ei tohi töödeldavad andmed olla vananenud või ebatäielikud. Juhul, kui andmed on vananenud, tuleb need kustutada või parandada. Situatsioon, kus andmete avalikustamise hetkel oli andmetöötlusel õiguspärane alus, ei saa legitimeerida edasist piirideta isikuandmete töötlemist. Ka õiguspäraselt avalikustatud isikuandmete puhul võib juhtuda, et seaduslik alus mingil ajahetkel kaob (nt saavutatakse isikuandmete töötlemise eesmärk). Sellisest hetkest alates on isikuandmete kaitse seisukohast andmed igaühele kättesaadavad ning privaatsusõigus on riivatud ilma sisulise õigustuseta. Seega ei saa rääkida õiguspäraselt avaldatud andmete töötlemisest juhul, kui see puudutab isiku maksehäireid, mis on kunagi olnud. Sellise seaduse tõlgenduse kohaselt võib krediidiasutus avaldada isikuandmeid isiku võlgnevuse kohta igavesti, kuna mingil ajahetkel olid andmed õiguspäraselt avalikuks kasutamiseks mõeldud. Samuti ei saa antud juhul rääkida andmetest, mis on mõeldud avalikuks kasutamiseks, kuna maksehäireregister ei töötle õiguspäraselt avalikuks kasutamiseks antud isikuandmeid. Krediidiinfo ei ole võlaandmeid saanud avalikest allikatest, vaid Krediidiinfoga lepingu 4 sõlmitud isikutelt ning seal avaldatud andmed ei ole mõeldud avalikuks kasutamiseks. Seega viide IKS § 2 lg-le 2 ei ole asjakohane. Hansapanga seisukoht, nagu lubaks KrAS § 88 lg 2 p 4 avalikustada maksehäiret ilma kliendi nõusolekuta, on väär. KrAS viidatud säte üksnes sätestab erinevad andmete liigid – ühelt poolt pangasaladus, mille töötlemisele on KrAS ette näinud eriregulatsiooni, ning teisalt andmed, mis ei ole käsitletavad pangasaladusena ning millele kohaldub IKS, milles on sätestatud isikuandmete töötlemise üldregulatsioon. KrAS § 88 lg 2 p 4 ei anna krediidiasutustele võimalust avalikustada oma klientide isikuandmeid ilma nende nõusolekuta. KrAS § 88 peaks tagama ühelt poolt krediidiasutuse klientide privaatsuse, teiselt poolt aga avaliku võimu teostamiseks vajaliku pangasaladuse korrektse avaldamise kolmandatele isikutele. Selline põhimõte sisaldub ka KrAS § 88 muutmise seaduse seletuskirjas. Juhul, kui tegemist ei ole pangasaladusega KrAS § 88 lg 1 mõttes, kohaldub IKS, mille kõik redaktsioonid on aga ette näinud, et isikuandmete töötlemine on lubatud üksnes andmesubjekti teavitatud nõusolekul, välja arvatud seaduses nimetatud juhtudel. Mõlemas Hansapanga ja H. R.i vahel sõlmitud lepingus puuduvad IKS § 12 lg-s 2 sätestatud teavitamiseks kohustuslikud asjaolud. Lepingud ei sisalda punkte, milles oleks kirjas isikuandmete töötlemise eesmärk ja õiguslik alus, üldiseks kasutamiseks antavate isikuandmete loetelu. Seega ei saa lugeda H. R.i poolt lepingutele alla kirjutamist tema teavitatud nõusolekuks oma isikuandmete töötlemiseks vastavalt IKS-le. Lähtuvalt asjaolust, et andmesubjekti kaebuse kohaselt ei ole ta andnud nõusolekut oma isikuandmete avalikustamiseks Krediidiinfo veebilehel ning tulenevalt põhimõttest, et vaidluse korral eeldatakse, et andmesubjekt ei ole oma isikuandmete töötlemiseks nõusolekut andnud (IKS § 12 lg 5), tuleb lugeda Hansapanga poolt H. R.i isikuandmete avalikustamine andmesubjekti nõusolekuta isikuandmete töötlemiseks. Tulenevalt asjaolust, et H. R. on oma võla Hansapanga ees tasunud, on langenud ära ka algne eesmärk – lepingu täitmine või lepingu täitmise tagamine - tema isikuandmete töötlemiseks, sh avalikustamiseks Hansapanga poolt ning käesoleval ajal ei võimalda IKS avalikustada isikuandmeid lähtudes üldistest huvidest. IKS § 14 lg 2 loetleb ammendavalt juhud, millal on lubatud isikuandmete avalikustamine andmesubjekti nõusolekuta. Samuti jääb antud juhul arusaamatuks, millisest IKS paragrahvist Hansapank on oma tegevuses lähtunud ning millisest õigusaktist tulenevalt loetakse oma tegevust õiguspäraseks. Kas on see kuni 01.10.

§ 8

lg 1 p 1 ja § 8 lg 1 p 5 või kehtiva IKS § 14 lg 1 p 1 või § 2 lg 2 p 2, kuna kaebuses on välja toodud asjaolu, et maksehäirete avaldamine oli kooskõlas kuni 01.10.203 kehtinud IKS § 8 lg 1 p-ga 5, seejärel on asutud seisukohale, et tegelikult ei kohaldu H. R.i võlainformatsiooni avaldamisele IKS tulenevalt § 2 lg 2 p-st 2, samas aga täideti Ettekirjutus. Kolmas isik H. R. kirjalikult ega suuliselt oma arvamust kaebuse kohta ei esitanud. Ta märkis kohtuistungil üksnes, et lepingutele allakirjutamisel keegi talle lepingupunkte ei selgitanud. KOHTU PÕHJENDUSED

1. Kaevatud Ettekirjutusega on AKI peadirektor teinud Hansapangale IKS § 40 lg 1 alusel kohustusliku ettekirjutuse lõpetada hiljemalt
2. detsembriks
3. a H. R.i isikuandmete ebaseaduslik avalikustamine. Ettekirjutuses märgitu kohaselt Hansapanga poolt rikuti/rikutakse IKS § 6 p-des 1, 2, 3, § 11 lg-s 1, § 12 lg-s 2 ja § 18 p-s 1 sätestatud nõudeid. Käesoleval juhul ei ole poolte vahel vaieldav nimetatud haldusakti formaalne õiguspärasus, st kaebaja ei ole seadnud kahtluse alla AKI peadirektori pädevust sellesisulist ettekirjutust teha ega Ettekirjutuse vastavust üldistele sisu- ja vorminõuetele. Ka kohtul ei ole selles osas kahtlusi. Halduskohtusse pöördumise põhjuseks oli/on Ettekirjutuse väidetav materiaalne e. 5 sisuline õigusvastasus, mille tõttu on kaebaja väiteil rikutud tema ettevõtlusvabadust. Sealjuures on põhiküsimus, kas krediidiasutus üldse või mis määral on kohustatud juhinduma isikuandmete töötlemisel AKI-st või on need küsimused reguleeritud ammendavalt KrAS-s kui eriseaduses.
4. Pooled ei vaidle ka selle üle, et teave maksuvõlgnevuste kohta ei olnud ega ole delikaatsed isikuandmed ei H. R.i maksuvõlgnevuste Krediidiinfos esmakordse avaldamise ega Ettekirjutuse tegemise ajal kehtinud IKS järgi. Jättes hetkel kõrvale küsimuse, kas H. R. oli andnud seaduses ettenähtud korras nõusoleku isikuandmete töötlemiseks, leiab kohus, et kuivõrd kuni 01.10.

§ 8

lg 1 p 1 kohaselt mittedelikaatsete isikuandmete töötlemine oli lubatud ilma isiku nõusolekuta, kui töötlemise eesmärk oli isikuga sõlmitud lepingu täitmine või tööde teostamine, mis toimus isiku tellimisel, ning 01.10.2003 jõustunud IKS § 14 lg 1 p 1 kohaselt isikuandmete töötlemine on lubatud andmesubjekti nõusolekuta, kui isikuandmeid töödeldakse andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks, siis sellest, Ettekirjutuses märgitust ja AKI seletusest nähtuvalt on kohus seisukohal, et poolte vahel ei ole põhimõtteliselt vaieldav H. R.i maksuvõlgnevuste Krediidiinfos avaldamise õiguspärasus kuni käesoleva haldusasja kolmanda isiku poolt oma võlgnevuste kustutamiseni Hansapanga ees. Ka sel ajal kehtinud KrAS § 88 redaktsioon ei käsitlenud informatsiooni kliendi kohustuste täitmise korrektsuse kohta krediidiasutuse ees pangasaladusena, mille avaldamiseks oli vaja kliendi kirjalik nõusolek. 3. Kohus jagab AKi seisukohta, et ka krediidiasutused peavad juhinduma isikuandmete töötlemisel IKS-st. See tuleneb otseselt kuni 01.10.

§-st 2, eriti lg-st 2, millest tulenevalt seda seadust ei kohaldata üksnes füüsilise isiku enda poolt kogutud isikuandmete töötlemisele isiklikuks otstarbeks ja riigisaladust sisaldavate isikuandmete töötlemisele. Samuti tuleneb see selgelt sama seaduse § 3 lg-st 1, kus on sätestatud, et isikuandmete kaitse tagatakse vastutava töötleja ja volitatud töötleja kohustusega töödelda isikuandmeid selles seaduses lubatud eesmärkidel ja tingimustel ning täita isikuandmete töötlemise nõudeid ja kaitse abinõusid selles seaduses sätestatud korras. Puudub vaidlus, et Hansapank on kuni 01.10.

§ 6lg 1 ja 01.10.2003 jõustunud IKS § 7 lg 1 mõistes vastutav töötleja.

Ka Ettekirjutuse tegemise ajal kehtinud ja praegu kehtiva IKS §-dest 2-7 ei saa eelmärgitust teistsugust järeldust teha. Vastavalt IKS § 11 lg-le 1 isikuandmete töötlemine on lubatud üksnes andmesubjekti nõusolekul, kui seadus ei sätesta teisiti. Seega ülaltoodut arvestades ei reguleeri KrAS isikuandmete töötlemisega seonduvat ammendavalt, kuid võib eriseadusena sätestada erisused andmesubjekti nõusoleku küsimise vajaduse osas. Seetõttu on ekslik ka kaebaja seisukoht, et krediidiasutustele kohaldub IKS alles alates

1. a, st uue IKS jõustumisest. Viimane üksnes täpsustab neid küsimusi, mis siiani on krediidiasutuste puhul tekitanud probleeme ja vaidlusi erinevate tõlgendamisvõimaluste tõttu.
2. Õige on Ettekirjutuses märgitu, et isikuandmete avalikustamine on kestev tegevus, mis peab olema kooskõlas IKS-s sätestatud nõuetega ja millel peab olema õiguslik alus ning situatsioon, kus andmete avalikustamise hetkel oli andmetöötlusel õiguspärane alus, ei saa legitimeerida edasist piirideta isikuandmete töötlemist. Ettekirjutuses on leitud, et Hansapank on rikkunud IKS § 6 p-des 1, 2, 3, § 11 lg-s 1, § 12 lg-s 2 ja § 18 p-s 1 sätestatud nõudeid. IKS § 6 p-de 1, 2, 3 kohaselt isikuandmete vastutav ja volitatud töötleja on kohustatud isikuandmete töötlemisel järgima järgmisi põhimõtteid: 1) seaduslikkuse põhimõte – isikuandmeid võib koguda ausal ja seaduslikul teel; 2) eesmärgikohasuse põhimõte – isikuandmeid võib koguda üksnes määratletud ja õiguspäraste eesmärkide saavutamiseks ning 6 isikuandmeid ei või töödelda viisil, mis ei ole andmetöötluse eesmärkide saavutamisega kooskõlas; 3) minimaalsuse põhimõte – isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks. IKS § 11 lg 1 sisule osundas kohus juba eelnevalt. IKS § 12 lg 2 järgi enne andmesubjektilt isikuandmete töötlemiseks nõusoleku küsimist peab vastutav või volitatud töötleja andmesubjektile teatavaks tegema: 1) isikuandmete töötlemise eesmärgi; 2) isikud või nende kategooriad, kellele isikuandmete edastamine on lubatud; 3) vastutava töötleja või tema esindaja nime ja vastutava töötleja tegevuskoha aadressi; 4) juhud, millal andmesubjektil on õigus nõuda isikuandmete töötlemise lõpetamist ning isikuandmete parandamist, sulgemist, kustutamist; 5) juhud, millal andmesubjektil on õigus saada juurdepääs tema kohta töödeldavatele isikuandmetele. Vastavalt IKS § 18 p-le 1 vastutav töötleja ja volitatud töötleja on isikuandmete töötlemisel kohustatud eesmärkide saavutamiseks mittevajalikud isikuandmed viivitamata kustutama või sulgema, kui seadus ei näe ette teisiti. Seega asub kohus kontrollima, kas H. R.i maksehäirete avalikustamine Krediidiinfo veebilehel pärast H. R.i poolt võlgnevuste kustutamist Hansapanga ees oli õiguspärane või on Ettekirjutuses viidatud õigesti kaebaja rikkumistele.
3. Hansapank on seisukohal, et H. R.i võlainformatsioonile kohaldub IKS § 2 lg 2 ning seetõttu puudub vastustajal ka õigus nõuda H. R.i võlainformatsiooni kustutamist. Osundatud sätte järgi IKS-t ei kohaldata, kui töödeldakse õiguspäraselt avalikuks kasutamiseks antud isikuandmeid. Kohus sellega ei nõustu, vaid jagab antud küsimuses AKI seisukohti. Tegemist ei ole avalikuks kasutamiseks (üldiseks tutvumiseks) antud isikuandmetega, kuna ei H. R. ei ole oma isikuandmeid andnud Hansapangale ega viimane edastanud neid Krediidiinfole avalikuks kasutamiseks. Krediidiinfo ei ole H. R. võla- ja maksehäireandmeid saanud avalikest allikatest, vaid Krediidiinfoga vastava lepingu sõlminud isikult ning seal avaldatud andmed ei ole mõeldud avalikuks kasutamiseks (Hansapank on ise väitnud, et andmetele on piiratud juurdepääs). Seega ei ole viide õiguskantsler Allar Jõks`i 29.09.2005 Riigikogu tehtud ettekandele päris asjakohane, kuna õiguskantsler kõneles seal õiguspäraselt avalikustatud, st avalikest allikatest kättesaadavatest andmetest. Samas on ka käesoleva kaebuse kontekstis oluline muu, mida õiguskantsler selles ettekandes rõhutas: „Euroopa Liidus on võetud seisukoht, et Internet ei tohi endast kujutada mingit õiguslikku vaakumit ning andmetöötlust saab ja tuleb piirata. Euroopa Inimõiguste Kohus on korduvalt sedastanud, et riigil on privaatsusõiguse kaitsel kohustus aktiivselt isikute kaitseks tegutseda. /…/ Samuti on kohtupraktikas kindlalt juurdunud seisukoht, et isikuandmete töötlemine riivab privaatsusõigust. Seega on Eesti riigil kohustus isikuid ülemäärase andmetöötluse eest kaitsta. /…/ Igal inimesel on põhiseaduslik õigus oma elukäiku vabalt kujundada ning tema erasfääri ei tohi riik ega kolmandad isikud üldjuhul tungida. Inimesel on endal õigus otsustada, kui palju ta soovib ennast avalikkusele näidata. Sellest lihtsast algtõest lähtub ka isikuandmete kaitse.“
4. Kohus viitas eelpool IKS § 11 lg-le 1, mille kohaselt isikuandmete töötlemine on lubatud üksnes andmesubjekti nõusolekul, kui seadus ei sätesta teisiti. Vastavalt KrAS § 88 lg 2 p-le 4 pangasaladusena ei käsitata informatsiooni kliendi kohustuste täitmise korrektsuse kohta krediidiasutuse ees. Sama paragrahvi lg 3 järgi krediidiasutusel on õigus avaldada klienti puudutavat pangasaladust kolmandatele isikutele vaid kliendi kirjalikul nõusolekul, kui pangasaladuse avaldamise kohustus või õigus ei tulene käesoleva paragrahvi lõikes 5, 51, 8, 9 või 10 sätestatust. Seega, nagu eelnevalt sedastatud ning arvestades kuni 01.10.

§ 8lg 1 p 1, 01.10.2003 jõustunud IKS § 14 lg 1 p 1 ning Kr

AS § 88 lg 2 p 4 ja lg 2 nende koosmõjus, ei olnud H. R.i maksuvõlgnevuste Krediidiinfos avaldamine 7 õigusvastane kuni H. R.i poolt oma võlgnevuste kustutamiseni Hansapanga ees. Kuni selle ajani olid täidetud ka IKS-s sätestatud isikuandmete töötlemise olulisemad põhimõtted. IKS § 6 p 2 kohaselt isikuandmeid võib koguda üksnes määratletud ja õiguspäraste eesmärkide saavutamiseks ning isikuandmeid ei või töödelda viisil, mis ei ole andmetöötluse eesmärkide saavutamisega kooskõlas. Sellest tulenevalt on õige vastustaja väide, et kui nimetatud eesmärk on saavutatud, tuleb isikuandmete töötlemine lõpetada. Vastasel korral tuleb isikuandmete edasiseks töötlemiseks taotleda andmesubjekti nõusolekut või selleks pädeva organi luba, mida nõuab IKS § 6 p-s 4 toodud kasutuse piiramise põhimõte. Sama tuleneb põhimõtteliselt ka KrAS § 89 lg-st 22, millest nähtuvalt kliendi ja tema esindaja isikuandmete töötlemine pärast kliendiga lepingulise suhte lõppemist on lubatud ilma kliendi ja tema esindaja nõusolekuta kliendiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks või krediidiasutusele seaduses sätestatud kohustuse täitmiseks, ning IKS § 18 p-st 1 vastutav töötleja ja volitatud töötleja on isikuandmete töötlemisel kohustatud eesmärkide saavutamiseks mittevajalikud isikuandmed viivitamata kustutama või sulgema, kui seadus ei näe ette teisiti. H. R. ei ole andnud Hansapangale kehtiva IKS § 12 lg-s 2 sätestatud tingimustele vastavat nõusolekut. Kohus on seisukohal, et H. R. ei andnud 20.03.

1. a Ego järelmaksukaardi kasutamise lepingule ega 23.10.2002 Ego järelmaksukaardi kasutamise lepingust tuleneva võlgnevuse tagasimaksmiseks võlalepingule nr 01-094294-KE allakirjutamisega seadusnõuetele vastavat kirjalikku nõusolekut, kuna osundatud lepingute vastavad p-d 9.4 ja 13.3 ei vastanud sel ajal kehtinud IKS § 10 lg 1 nõuetele ega vasta ka kehtiva IKS § 12 lg 2 nõuetele. Samuti ei ole täidetud teavitamiskohustust (IKS § 15), nagu on kinnitanud H. R.. Sealjuures ei ole teda teavitatud väidetavast Krediidiinfo peamisest eesmärgist, milleks kaebaja sõnul ei ole võlgade tagasisaamise tagamine, vaid isiku maksekäitumise kohta isiku finantsilise usaldusväärsuse hindamiseks teistele krediteerijatele info andmine ning vastutustundliku laenamise printsiibi tagamine. Kohus märgib lisaks, et isikuandmete Krediidiinfole edastamise eesmärgi osas on kaebaja seisukohad olnud muutlikud/ebajärjekindlad. Neil asjaoludel on kohus seisukohal, et Ettekirjutus on ka sisuliselt põhjendatud ja oma lõppjäreldustes õiguspärane. AKI peadirektor oli õigustatud nõudma Hansapangalt H. R.i isikuandmete ebaseadusliku avalikustamise lõpetamist hiljemalt
2. detsembriks
3. a. Õiguspärase haldusaktiga ei ole kaebuse esitaja ettevõtlusvabadust ebaseaduslikult piiratud ja eeltoodut arvestades tuleb Hansapanga kaebus jätta rahuldamata.
4. Vastavalt HKMS § 92 lg-le 1 kannab menetluskulud pool, kelle kahjuks kohtuotsus tehti. Antud asjas teeb kohus otsuse Hansapanga kahjuks, järelikult tuleb kaebaja kohtukulud (riigilõiv) jätta tema enda kanda. Vastustaja ei ole kohtukulunõuet esitanud. Hurma Kiviloo kohtunik 8