Obsah (8)

§ 30§ 29§ 107§ 38§ 150§ 132§ 23§ 123

Väärteoasi nr 4-25-326 KOHTUOTSUS EESTI VABARIIGI NIMEL Kohus Tartu Maakohus Otsuse tegemise aeg ja koht 26. juuni 2025. a, Tartu kohtumaja Väärteoasja number 4-25-326 Kohtunik Marek Vahing Kohtuistun

§ 30

lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS § 62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi. 4. Lõpetada

§ 29

lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS § 62 lg 2 ja § 65 lg 2 järgi, kuna teos puuduvad väärteo tunnused. 4. Hüvitada Asper Biogene OÜ-le riigieelarve vahenditest tema poolt kantud õigusabikulude katteks 11 750 (üksteist tuhat seitsesada viiskümmend) eurot. Edastada kohtuotsus Asper Biogene OÜ-le, tema kaitsjatele ja kohtuvälisele menetlejale. Edasikaebamise kord Kohtuotsuse peale võivad menetlusaluse isiku advokaadist kaitsja ning kohtuväline menetleja või tema advokaadist esindaja esitada kassatsiooni Riigikohtule. Kassatsioon esitatakse Riigikohtule 30 päeva jooksul alates otsuse avalikult teatavakstegemisest. ASJAOLUD JA MENETLUSE KÄIK 1. Andmekaitse Inspektsiooni 9. jaanuari 2025 otsusega väärteoasjas nr 951024000001 määrati Asper Biogene OÜ-le isikuandmete kaitse seaduse (IKS) § 62 lg 2 alusel rahatrahv 5000 eurot ja IKS § 62 lg 2 ning § 65 lg 2 alusel rahatrahv 80 000 eurot. 2. Väärteoprotokollis toodud väärtegude kirjeldused on järgmised. I Huvide konflikt ja andmekaitseametniku pädevus. Väärtegu on pandud toime 1. jaanuar 2023 kuni 22. jaanuar 2024 Asper Biogene OÜ aadressil Tartu maakond, Tartu linn, Vaksali tn 17a. Isikuandmete kaitse üldmääruse (IKÜМ) art 37 lg 1 kohustab nii vastutavat kui volitatud töötlejat määrama andmekaitseametniku (edaspidi ka AKS) samas lõikes ettenähtud juhtudel. Art 37 lg 1 p c kohaselt on andmekaitseametniku määramine kohustuslik, kui vastutava või volitatud töötleja põhitegevuse moodustab artiklis 9 osutatud andmete eriliikidega seotud isikuandmete ulatuslik töötlemine. Asper Biogene OÜ on juriidiline isik ja IKÜМ art 4 р 7 tähenduses andmete vastutav töötleja ning määrab seega ettevõttes toimuvate isikuandmete töötlustoimingute eesmärgid ja vahendid, st mis põhjusel ja kuidas isikuandmeid töödeldakse. Asper Biogene OÜ tegeleb põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning arendusteenuste pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste osutamisega) ning töötleb seeläbi ulatuslikult terviseandmeid IKÜM art 9 1g 1 tähenduses ja on seetõttu kohustatud IKÜM art 37 1g 1 p-st c tulenevalt määrama andmekaitseametniku. H. T. on olnud Asper Biogene OÜ juhatuse liige alates 08.06.2021, sh käesoleval hetkel ning on ainuisikulist esindusõigust omav juhatuse liige. Lisaks oli H. T. perioodil 01.01.202330.01.2024 Asper Biogene OÜ andmekaitsespetsialist. Täpsemalt reguleerivad andmekaitseametnikule kehtestatud nõudeid IKÜM art-d 37-39. IKÜM art 37 lg 5 sätestab, et andmekaitseametniku määramisel lähtutakse eelkõige tema: 1. kutseoskustest; 2. ekspertteadmistest andmekaitsealase õiguse ja tava kohta ning 3. suutlikkusest täita art-s 39 osutatud ülesandeid. IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja kohustusi, kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte, võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema sõltumatuses. 2 H. T. määras ennast 01.01.2023 andmekaitseametniku positsioonile vaatamata sellele, et tal puuduvad kutseoskused ja eelkõige ekspertteadmised andmekaitsealase õiguse ja tava kohta ning arusaam, millised on andmekaitseametniku ülesanded, et hinnata oma suutlikkust nendega toime tulla. Paralleelselt oli samal perioodil andmekaitsespetsialistiks määratud ka K. J., kes tegelikkuses andmekaitsespetsialisti tööülesandeid ei täitnud. H. T. ei täitnud andmekaitseametniku ülesandeid kahasse K. J. ning ei konsulteerinud temaga andmekaitset puudutavates küsimustes. Seega H. T. tegutses tegelikkuses (faktiliselt) andmekaitseametnikuna ainuisikuliselt. H. T. jättis ennast andmekaitseametniku positsioonile määrates kontrollimata, kas andmekaitseametniku määramisele on kehtestatud nõuded ja kas selline otsus on nende nõuetega kooskõlas. H. T. täitis Asper Biogene OÜ-s andmekaitsespetsialisti ülesandeid alates 01.01.2023 kuni 22.01.2024 ning samal ajal oli ta ka Asper Biogene OÜ juhatuse ainuliige. See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada isikuandmete töötlemise vahendite ja eesmärkide üle ainuisikuliselt, kuid andmekaitsespetsialistina oli tal kohustus järgida, et juhatuse liikme isikuandmete kaitse valdkonna otsused oleksid olnud IKÜM nõuetega kooskõlas. Andmekaitseametnikul on õigus täita ka muid ülesandeid ja kohustusi, kuid teisi ülesandeid ja kohustusi saab talle panna üksnes tingimusel, et need ei tekita huvide konflikti. Eeskätt tähendab see, et andmekaitseametnik ei saa organisatsioonis olla sellisel ametikohal, millest tulenevalt ta peab otsustama isikuandmete töötlemise eesmärkide ja vahendite üle. Seega oli H. T. Asper Biogene OÜ andmekaitsespetsialistina kohustatud järgima isikuandmete kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel viisil tegutsedes ei olnud tal võimalik täita andmekaitseametniku ülesandeid sõltumatul viisil, nii et ei oleks sellega põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema isikuandmete kaitsevaldkonna otsuseid ettevõtte huvidest lähtuvalt, kuid andmekaitsespetsialistina oli ta kohustatud sõltumatul viisil teavitama ennast kui juhatuse liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ andmekaitse valdkonnas täitma pidi (näiteks et vajalik on tagada nõuetekohane turvalisus kliendisuhte haldusrakenduse kasutamisel). Eeltoodust tulenevalt on menetlusalusele isikule etteheidetav ajavahemikus 01.01.2023 kuni 22.01.2024 IKÜМ art 37 lg-s 5 sätestatud andmekaitseametniku pädevuse nõude rikkumine (huvide konflikti vältimise nõue) ja IKÜM art 38 lg-s 6 sätestatud andmekaitseametniku ametiseisundi nõude rikkumine ja teo eest on ette nähtud juriidilise isiku vastutus IKS § 62 lg 2 järgi. Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult. Karistusseadustiku (KarS) § 14 lg 1 (teo toimepanemise ajal kehtinud redaktsioon, RT I, 06.08.2022, 27, jõustumise kp 01.11.2022) sätestab, et juriidiline isik vastutab seaduses sätestatud juhtudel teo eest, mis on toime pandud tema organi, selle liikme, juhtivtöötaja võipädeva esindaja poolt juriidilise isiku huvides. Riigikohus asus otsuses 4-23-742 seisukohale, et EL-i õigusega pole kooskõlas kuni 31. oktoobrini 2023 (k.

1. a)kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele isikule IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi üksnes siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule. Eeltoodust tulenevalt ei ole vajalik juriidilise isiku vastutusele võtmiseks rikkumist omistada eelnevalt Asper Biogene OÜ juhatuse liikmele kui füüsilisele isikule ja tuvastada tleb, et tegu on toime pandud juriidilise isiku huvides. Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete 3 vastutava töötleja seadusejärgse kohustusega (IKÜM art 37 lg 1 p
2. c)määrata nõuetele vastav andmekaitseametnik. Arvestades, et andmekaitseametniku erialaste teadmiste vajalik tase tuleb määrata kindlaks eelkõige vastavalt teostatavatele andmetöötlustoimingutele ning vastutava töötleja või volitatud töötleja töödeldavate isikuandmete kaitsmise nõuetele, toimub andmekaitseametniku määramine ettevõtte huvides. Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 alusel. II Isikuandmete asjakohase turvalisuse tagamine Väärtegu on pandud toime määratlemata algusajaga kuni esmase ründe toimumise algusajani 26.09.2023 ning toimepanemise koht on Asper Biogene OÜ veebipõhine kliendisuhete haldusrakendus ehk CRM (aadressil XXX), mis paikneb Zone Media OÜ pilveserveris. IKÜM art 5 lg 1 p f sätestab, et isikuandmete töötlemisel tagatakse, et isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid (usaldusväärsus ja konfidentsiaalsus). IKÜM artikkel 32 lg 1 sätestab, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse tasemetagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. 26.09.2023 algatati esmane küberrünnak Asper Biogene OÜ veebipõhisesse kliendisuhte haldusrakendusse ehk CRM-i (aadressil XXX), mille käigus tehti päringuid tähestikulises järjekorras erinevate failinimede kohta. Sellele järgnes koheselt katse CRM-i sisse logida erinevate kasutajanimedega, millele anti vastuseks ,,Lubamatu parool“ või ,,Vale parool“. Ebaõnnestunud katsete järel muudeti rünnet ja alustati SQL-süsti (SQL Injection) rünnakuga. Süstide käigus saadi kätte andmebaasistruktuur (tabelite ja veergude nimed) ning CRM kasutajanimed ja parooliräsid. Rünnaku tulemusel saadud Asper Biogene OÜ töötaja kasutajanime ,,XXX“ ja parooli ära kasutades logiti 01.11.2023 süsteemi sisse ning ajavahemikul 01.11.2023 kell 20:43 - 02.11.2023 kell 04:06 paigaldati Asper Biogene OÜ andmebaasi CRM pahavara. Pahavara võimaldas selleks volitamata kolmandatel isikutel (ründajad) perioodil 02.11.2023 - 10.11.2023 korduvalt CRM andmebaasist andmeid alla laadida. Rünnete käigus kasutati ära Asper Biogene OÜ veebipõhises rakenduses CRM esinevat SQL süsti turvaviga, nõrka paroolipoliitikat ning aegunud РНР tarkvara versiooni. Rünnete tulemusel laeti andmebaasist alla kokku 33,5 GB ulatuses andmeid, mis sisaldab 106 837 faili, millest valdav osa sisaldab eriliigilisi andmeid (peamiselt patsientidele teostatud geenianalüüsidega seonduvad andmed ning teostatud analüüside tulemused). CRM-i haldas ja turvalahendusi tagas Asper Biogene OÜ lepingupartner XXX OÜ. Asper Biogene OÜ süsteemidesse toimunud ründest ja selle tagajärjel aset leidnud andmelekkest oli puudutatud ca 10 000 isikut 22-st Euroopa Liidu liikmesriigist. Seega on tegemist mahuka ja ulatusliku andmetöötlusega. Lekkinud andmed sisaldasid mh puudutatud isikute analüüsitulemusi ja geeniandmeid, mille töötlemine on ettevõtte põhitegevuse osa. Seega on Asper Biogene OÜ tegevuses kõige suurem töödeldavate isikuandmete osakaal eriliigiliste isikuandmete töötlemisel. IKÜM artikkel 32 lg 1 p b kohustab nii vastutavat kui volitatud andmetöötlejat, arvestades mh isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning ohte isikute õigustele ja vabadustele, rakendama meetmeid, et oleks tagatud isikuandmete töötlemise ohule 4 vastavturvalisuse tase. Rakendada tuleb tehnilisi ja korralduslikke meetmeid, et tagatud oleks muuhulgas isikuandmeid töötlevate süsteemide kestev konfidentsiaalsus ja vastupidavus. Enne ründe toimumise aega olid CRM-i võimalik sisse logida, kasutades selleks kasutajanime ja parooli. Kasutusel olid järgmised paroolireeglid: 1) Parooli tuleb vahetada vähemalt 90 päeva tagant; 2) uus ja vana parool ei tohi olla samad; 3) Parool peab sisaldama ka suurtähti ja numbreid; 4) Parool peab olema vähemalt 9 märki pikk. Ebaõnnestunud sisselogimisel 3 korda järjest blokeeritakse konto 60 minutiks. Õnnestunud ja ebaõnnestunud sisselogimised, samuti paroolivahetused logitakse eraldi registrisse. Paroolide krüpteerimiseks kasutati räsialgoritmi MD5, mis ei ole teiste tänapäeval kasutusel olevate krüpteerimisvõimalustega võrreldes turvaline. Kaheastmelise autentimine ei olnud kasutusel. Seega kasutas Asper Biogene OÜ enne andmeleket CRM-i sisselogimiseks turvalahendusi, mis ei suutnud tagada eriliiki isikuandmetele IKÜM-iga nõutud turvalisust. Asper Biogene OÜ-l oli kohustus täiendava turvalisuse tõstmiseks võtta kasutusele paroolireeglid, mis on tänapäevanõuetele vastavad (nt vähemalt 12-tähemärki, mitmikautentimine, IP-piirangud) ning paroolide kaitsmiseks turvalised räsialgoritmid (nt XXX, XXX). Samuti oli Asper Biogene OÜ-l paigaldatud ühele veebilehele spetsiaalne tööriist, mis võimaldas kaitsta veebilehti SQL-süsti rünnete eest. Tegelikkuses see tööriist ei toiminud ning selle toimivuses ei veendutud. SQL-süsti näol on tegemist ühe levinuima veebiründega ning eksisteerivad automaatsed lahendused selliste turvanõrkuste tuvastamiseks. Arvestades töödeldavate isikuandmete tundlikkust ja hulka oli Asper Biogene OÜ-l kohustus võtta CRMi kaitsmiseks kasutusele täiendavad meetmed (nt toimiv SQL-süsti rünnete tuvastamise lahendus) ning veenduda nende meetmete toimivuses. Lisaks oli Asper Biogene OÜ poolt CRM-is kasutatav PHP tarkvaraversioon uuendatud uusimale versioonile (8.1.), kuid sellest hoolimata olid süsteemid programmeeritud kasutama vanemat versiooni (7.3.), mille tehniline tugi oli lõppenud aastal 2021. Asper Biogene OÜ rakendas täiendava turvalisuse meetmena enne ründe toimumise aega turvasündmuste logimissüsteemi. Süsteemis logitavaid sündmuseid ei monitooritud. Monitoorimise puudumise tõttu ei olnud võimalik kiiresti reageerida toimuvale ründele, sh andmete allalaadimisele. Täiendava turvameetmena on võimalik rakendada automaatset monitoorimist, mis mh annab märku, kui süsteemi püütakse sisse logida erinevatelt (välismaistelt) IP-aadressitelt või suuremahulisi andmeid alla laadida. Asper Biogene OÜ kehtestas isikuandmete töötlemisega seotud kordasid ja juhendeid, mis sisaldavad pinnapealseid regulatsioone ning ei anna selget vastust, millised on andmekaitseja turvareeglid. Eeltoodust tulenevalt rakendas Asper Biogene OÜ, võttes arvesse isikuandmete töötlemiselaadi, ulatust, konteksti ja eesmärke, selliseid tehnilisi ja korralduslikke meetmeid, mis ei suutnud tagada suurele ohule vastavat andmete turvalisust ja mis ei olnud kooskõlas IKÜM art 32 lg-ga 1. IKÜM art-st 32 tulenev kohustus tagada isikuandmete töötlemise turvalisus hõlmab endas muuhulgas IKÜM art 28 lg-st 1 tulenevat kohustust kasutada ainult selliseid volitatud töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab IKÜM-i nõuetele ja sealjuures tagatakse andmesubjekti õiguste kaitse. Asper Biogene OÜ eelkäija Asper Biotech sõlmis XXX OÜ-ga CRM-i haldamise ja arendamise lepingu. Asper Biotech üleminekul Asper Biogene OÜ-ks lepingut ei uuendatud, kuid 20.08.2018 sõlmiti täiendav andmetöötlusleping. Asper Biogene OÜ usaldas olemasoleva rakenduse (CRM) senist töökindlust ning et kasutusel on vajalikud tehnilised meetmed isikuandmete töötlemise turvalisuse tagamiseks. Asper Biogene OÜ kohustus vastutava töötlejana oli muuhulgas veenduda, et XXX OÜ poolt 5 kasutatavad turvameetmed on ka tegelikkuses rakendatud ja ajakohastatud. Selle kohustuse täitmiseks, ilma vastavaid IT-valdkonna teadmisi omamata, on vastutaval töötlejal võimalik kasutada erinevaid meetmeid, nt veenduda, et teostatakse regulaarseid turvatestimisi või auditeid, mis oleksid süsteemi nõrkused välja toonud. Asper Biogene OÜ ja XXX OÜ on omavahelise koostöölepingu lisana sõlminud ka andmetöötluslepingu, mis loetleb töödeldavate andmete liigid (isiku nimi, isikukood/sünniaeg, etnilist päritolu ja rassilist kuuluvust kirjeldavad andmed, pärilikkuse informatsiooni andmed, biomeetrilised andmed ning teised isiku tervist ja geene puudutavad andmed) et nende töötlemine on seotud teenuse osutamisega. Lepingust ei ilmne, mis teenuse osutamisest ja mis ulatuses käib jutt ning lepingus on sätestamata isikuandmete töötlemise laadid ja nende eesmärgid. Seega sõlmisid Asper Biogene OÜ juhatuse liige ja XXX OÜ juhatuse liige omavahel IKÜM nõuetele mittevastava vastutavat ja volitatud töötlejat siduva kirjaliku andmetöötluslepingu, kuivõrd Asper Biogene OÜ kohustus vastutava töötlejana oli anda XXX OÜ-le selged ja dokumenteeritud suunised, et andmetöötlus vastaks IKÜM-i nõuetele. Nõuetele mittevastava lepingu sõlmimisega jäi tagamata seejuures andmesubjektide õiguste kaitse. IKÜM art 5 lg 2 kohaselt vastutab isikuandmete kaitse põhimõtete, sh usaldusväärsuse ja konfidentsiaalsuse põhimõtete täitmise eest vastutava töötlejana Asper Biogene OÜ. Eeltoodust tulenevalt on menetlusalusele isikule seeläbi ette heidetav IKÜM art 5 lg 1 p f ja art 32 lg 1 rikkumine ehk isikuandmete asjakohase turvalisuse tagamise kohustuse täitmata jätmine. Antud teo eest on ette nähtud juriidilise isiku vastutus IKS § 62 lg 2 ja § 65 lg 2 järgi. Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult. Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete vastutava töötleja seadusejärgse kohustusega (IKÜM art 32 lg 1) rakendada ohule vastava turvalisusetaseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Arvestades, et vastutav töötleja peab tagama töödeldavate isikuandmete kaitsmise vastavalt IKÜM-i nõuetele, toimub asjakohaste tehniliste ja korralduslikke meetmete rakendamine ettevõtte huvides. Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 ja § 65 lg 2 alusel. 3. Tartu Maakohtusse saabus 24. jaanuaril 2025. a menetlusaluse isiku Asper Biogene OÜ kaitsjate kaebus eelnimetatud väärteootsusele. Kaitsjad taotlevad Andmekaitse Inspektsiooni 9. jaanuari 2025 otsuse väärteoasjas 951024000001 tühistamist. Kaitsjate arvates tuleks teha uus otsus, millega lõpetada Andmekaitse Inspektsiooni väärteomenetlus 951024000001

§ 107lg 1 p 2 ning § 29 lg 1 p 1 alusel.

Samuti taotlevad kaitsjad Asper Biogene OÜ menetluskulude riigi kanda jätmist

§ 38lg 1 ning Kr

MS § 181 lg 1 alusel.

1. Kokkuvõtvalt leitakse kaebuses esimese väärteoetteheite kohta, et AKI on vääralt tõlgendanud IKÜM art 37 lg-t 5 ning eksinud tegude toimepanemise aja määramisel. Kaebaja ei nõustu, et juriidilise isiku juhtorgani liikme määramisega andmekaitseametnikuks rikkus viidatud artiklis sätestatud huvide konflikti vältimise kohtustust. Huvide konflikt sai olla üksnes näilik. H. T. ei tegutsenud kavatsetult. Kaebaja hinnangul ei oleks Asper Biogene suhtes mõistlikult ootuspärane tõlgendus, mille kohaselt kohaldataks IKÜM art 37 lg 5 rikkumise puhul alates 01.11.2023 kehtima hakanud KarS § 14 regulatsiooni. KarS § 5 lg 3 kohaselt seadusel, mis tunnistab teo karistatavaks, raskendab karistust või muul viisil halvendab isiku olukorda, ei ole tagasiulatuvat jõudu. Nimetatud õiguse üldpõhimõtte olulisus peegeldub asjaolus, et üksnes süüteod inimsuse vastu ja sõjasüüteod on karistatavad, sõltumata teo toimepanemise ajast (KarS § 5 lg 4). Euroopa Inimõiguste Kohtu praktikast tuleneb ka, et ootuspärase mõiste ulatus sõltub suurel määral asjaomase teksti sisust, hõlmatavast ainevaldkonnast ning normi adressaatide arvust ja nende isikutest. Seaduse ootuspärasuse põhimõttega ei ole vastuolus see, kui asjaomane isik peab pöörduma õigusnõuandja poole, et konkreetsetel asjaoludel piisava mõistlikkusega hinnata kindla teo 6 tagajärgi. Kokkuvõttes märgib kaebaja, et kuni 31.10.2023 (k.a.) kehtinud KarS § 14-s sätestatud juriidilise isiku derivatiivse vastutuse põhimõtet oli kinnitatud Riigikohtu väljakujunenud praktika ning juriidilise isiku derivatiivse vastutuse põhimõte leidis laialdaselt kohaldamist. Kaebajale ei ole seetõttu mõistlikult ootuspärane alates
2. novembrist 2023 sätestatud KarS § 14 vastutuse põhimõtete rakendamine.
3. Teise väärteoetteheite kohta leiavad kaebajad esmalt, et kuivõrd IKÜM art 32 lg-s 1 sätestatud kohustuse täitmine on seatud nii vastutavale töötlejale kui ka volitatud töötlejale ja AKI väärteootsusest nähtub, et Asper Biogenele heidetakse ette tema kohustuste täitmist vastutava töötlejana, siis nad ei nõustu AKI rollide määratlusega ning rollide määratluse eksimusega on tegu

§ 150

lg 1 p 1 ning § 29 lg 1 p 1 rikkumisega, mis välistab käesoleva teokoosseisu osas edasise väärteomenetluse Asper Biogene suhtes. Kaebaja hinnangul pidanuks AKI esmalt tuvastama, milliste lekkinud andmete osas oli Asper Biogene vastutavaks töötlejaks, st osutas teenust otse andmesubjektile, ning milliste andmete osas volitatud töötlejaks, alles mille järel saanuks AKI hinnata, kes ja millises ulatuses vastutab CRM-i tehniliste ja korralduslike meetmete eest. Kuna Asper Biogene OÜ oli sõlminud andmetöötluslepingu tarkvaraarendajaga, kelle pädevuses oli otsustada üksikasjalike tehniliste turvameetmete üle, on kaebaja hinnangul vastutavatel töötlejatel õigustatud valdkonnas IT lahendusi pakkuvalt ettevõtjalt teenust tellides eeldada, et rakendatakse sektori spetsiifilisi minimaalseid turvalisuse meetmeid. Mõlemad osapooled pidasid pikalt efektiivselt toiminud lahendusi CRM-i sisselogimisel piisavaks ning ei pidanud vajalikuks turvalisuse taseme tõstmist. See tähendab, et H. T. tugines lepingupartneri hinnangule süsteemi efektiivsuse osas. Ka leitakse, et H. T. ei tegutsenud tahtlikult ja et juriidilisele isikut ei saa süüdi mõista juba esimese väärteoetteheite juures toodud põhjendustel.

1. Eraldi tuuakse kaebuses välja, et karistus ei ole proportsionaalne.
2. AKI esitas
3. veebruaril 2025 oma seisukoha kaebuse osas. Kohtuväline menetleja ei nõustu kaebusega ja vaidleb sellele vastu. Kohtuväline menetleja on seisukohal, et menetlusalusele isikule inkrimineeritud tegudes esinevad nii süüteokoosseisu objektiivsed kui ka subjektiivsed tunnused, teod on õigusvastased ning süülised. Seetõttu palub ta jätta otsus muutmata ja Asper Biogene OÜ kaebus rahuldamata, samuti jätta kõik menetluskulud kaebaja kanda.
4. Menetlusaluse isiku kaitsjad esitasid
5. märtsil 2025 seisukoha AKI
6. veebruari 2025 seisukoha kohta. Kaitsjad teatasid, et Asper Biogene OÜ jääb enda kaebuses esitatud seisukohtade juurde.
7. Kohus pidas
8. märtsil 2025 kohtuistungi asja arutamise planeerimiseks. Kohtuistungid tõendite uurimiseks toimusid 29.-
9. aprillil,
10. mail
11. Kohtuvaidlused peeti
12. mail
14. Kaebaja jäi oma kaebuse juurde. Kaebuse esitaja leiab, et kohtuvälise menetleja otsus tuleb täielikult tühistada ja väärteomenetlus lõpetada

§ 29

lg 1 p 1 ning

§ 132p 3 alusel.

Alternatiivselt palub menetlusalune isik teha uus otsus, millega tühistada Andmekaitse Inspektsiooni otsus täies ulatuses või osaliselt ja teha uus otsus, millega kergendada menetlusalusele isikule mõistetud karistust

§ 132

p 2 alusel ja/või lõpetada väärteomenetlus otstarbekuse kaalutlusel

§ 30

lg 1 p 1 alusel.

§ 132p 2 kohase otsuse korral määrata rahatrahvi tasumine ositi Kar

S § 66 lg 2 alusel. Jätta Asper Biogene OÜ menetluskulud riigi kanda

§ 23

,

§ 38lg 1 ning Kr

MS § 175 lg 1 alusel ning kaitsjate menetluskulude nimekirjas toodud ulatuses. 11. Kohtuväline menetleja palus kohtul jätta AKI üldmenetluse otsus muutmata ja kaebus rahuldamata. 7 KOHTU SEISUKOHT 12.

§ 123

lg 2 kohaselt vaatab maakohus väärteoasja läbi täies ulatuses, sõltumata esitatud kaebuse piiridest, kontrollides kohtuvälise menetleja otsuse tegemise aluseks olnud faktilisi ja õiguslikke asjaolusid.

1. Väärteoasjas on keskseks vaidlusküsimuseks juriidilise isiku vastutuse teema, mis seondub väärtegude toimepanemise aja määratlemisega.
2. Väärteootsuse kohaselt oli Asper Biogene OÜ andmekaitsespetsialist huvide konfliktis ja ebapädev perioodil
3. jaanuar 2023 kuni
4. jaanuar 2024; isikuandmete turvalisust ei taganud Asper Biogene OÜ määratlemata algusajast kuni ründe toimumise algusajani, so kuni
5. septembrini
7. Kaebuse esitaja hinnangul on AKI eksinud tegude toimepanemise aja määramisel. Esimese koosseisu, ehk IKÜM art 37 lg 5 ning art 38 lg 6 rikkumise puhul, on AKI kohaselt tegu vältava teoga. Kaebaja ei nõustu, et IKÜM art 37 lg 5 rikkumist saab toime panna vältavalt. IKÜM art 37 lg 5 grammatilisest tõlgendusest tuleneb, et rikkumist saab toime panna üksnes „andmekaitseametniku määramisel“. Seega tulnuks AKI-l märkida IKÜM art 37 lg 5 rikkumise toimepanemise ajaks
8. jaanuariks
10. Kohus kaebajaga ei nõustu ja leiab, et IKÜM art 37 lg 5 näol on tegemist tegevusetusdeliktiga ning tegu on pandud toime vältavalt, sest Asper Biogene OÜ oli tervel väärteoprotokollis märgitud perioodil tegevusetu. Teisisõnu on õiguslikult on tegemist vältava tegevusetusega, mis algas
11. jaanuaril 2023 ja lõppes pädeva AKS-i määramisega. See tähendab, et kogu selle perioodi jooksul, mil Asper Biogene OÜ-l ei olnud nõuetele vastavat AKS-i, oli Asper Biogene OÜ-l kohustus AKS määrata.
12. Teise väärteokoosseisu, ehk IKÜM art 32 lg 1 rikkumise, pani Asper Biogene OÜ väärteoprotokolli kohaselt toime määratlemata algusajaga kuni esmase küberründe toimumise algusajani
13. septembril
14. Ajavahemikul
15. -
16. november 2023 paigaldati Asper Biogene OÜ andmebaasi CRM pahavara, mis võimaldas selleks volitamata kolmandatel isikutel (ründajad) perioodil
17. -
18. november 2023 korduvalt CRM andmebaasist andmeid alla laadida.
19. Kohtu hinnangul ei ole AKI väärteo toimepanemise aega õigesti määratlenud. Tegemist on taas tegevusetusdeliktiga ja vältava tegevusetusega, mis sisuliselt kestis vähemalt kuni
20. novembrini 2023, ehk et ajani, mil ründajad saavutasid oma eesmärgi ja rünne lõppes. Kuna aga kohus on seotud väärteoprotokollis toodud etteheitega ega saa menetlusaluse isiku olukorda raskendada ega nö süüdistuse raamidest väljuda, siis tuleb lähtuda AKI märgitud väärteo toimepanemise ajast.
21. Seega on esimene väärteokoosseis toime pandud vältavalt
22. jaanuarist 2023 kuni
23. jaanuar 2024 ja teine määratlemata algusajast kuni ründe toimumise algusajani, so kuni
24. septembrini
26. Viidatud perioodil sätestas juriidiliste isikute karistusõiguslikku vastustust kaks erinevat karistusseadustiku redaktsiooni. Kuni
27. oktoobrini 2023 kehtinud KarS § 14 regulatsioon kohaselt pidi juriidilise isiku vastutusele võtmiseks tuvastama füüsilise isiku, kellele selline tegu omistada.
28. Samas on Riigikohus jõudnud seisukohale, et Euroopa Liidu õigusega ei ole kooskõlas kuni
29. oktoobrini 2023 kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele isikule IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi üksnes siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule (vt 8 Riigikohtu
30. juuni
31. a otsus nr 4-23-742 p 19-21). Sealjuures tugines Riigikohus eelkõige Deutsche Woheni otsusele (Euroopa Kohtu
32. detsembri
33. a otsus nr C-807/21). Riigikohtu lahend on asjakohane ka praeguses asjas.
34. Nagu öeldud, pani väärteoprotokolli kohaselt menetlusalune isik väärteod toime osaliselt enne ja osaliselt pärast KarS § 14 muudatusi. Seega on tekkinud olukord, kus kohus peab otsustama, kas jätta kohaldamata Euroopa Liidu õigusnormiga vastuolus olev siseriiklik norm või tuleks lähtuda riigisisese põhiõiguste kaitse kõrgemast standardist ning Euroopa Liidu õigus kohaldamata jätta.
35. Kohtule on teada, et sama õigusküsimust on Harju Maakohtu
36. mai 2025 otsuses väärteoasjas nr 4-24-2473 lahatud ja jõutud seisukohale, mis on tänaseks ka jõustunud. Kohus kirjutab oma lahendis, et õigusküsimust lahendades tuleb eeskätt vaadelda ettenähtavuse, kuid ka seaduse määratletuse ja tagasiulutava jõu keelu põhimõtteid. Seega tuleb hinnata, kas menetlusalusele isikule oli mõistlikult ettenähtav, et
37. oktoobrini 2023 kehtinud KarS § 14 regulatsioon ei ole Euroopa Liidu õigusega kooskõlas ning IKÜM-i nõuete rikkumiste eest võib määrata väärteomenetluses trahvi ka siis, kui rikkumine ei ole kindlale füüsilisele isikule identifitseeritud. Mainitu on eriti kaalukas kontekstis, kus kõikide süüks pandavate väärtegude objektiivse koosseisu esimese elemendina tuleb selgeks teha, kas esineb erisubjekti ehk teod peab olema toime pannud vastutav töötleja IKS-i tähenduses. Euroopa Liidu õiguse kohaldamise või kohaldamata jätmisel konkureerivad omavahel Euroopa Liidu õiguse esimuse põhimõte ja vajadus järgida liidu õiguse üldpõhimõtetega tagatud põhiõigusi. Esimuse põhimõte tähendab, et liikmesriigi kohtul on kohustus jätta vaidluses vajaduse korral omal algatusel kohaldamata mis tahes riigisisese õigusnormi, mis on vastuolus vahetut õigusmõju omava Euroopa Liidu õigusnormiga. Euroopa Liidu esimuse põhimõte ei ole aga absoluutne, kuna liidu õigust kohaldades tuleb menetlusosalistele tagada Euroopa põhiõiguste harta ja liidu õiguse üldpõhimõtetest tulenevad põhiõigused (vt Euroopa Kohtu
38. juuli
39. a otsus nr C-107/23 p-d 95 ja 101). Euroopa Kohus on märkinud, et riigisisese normi kohaldamine ei tohi takistada süstemaatiliselt tõhusate ja hoiatavate karistuste määramist (vt nt Euroopa Kohtu
40. detsembri 2017 otsus nr C-42/17, p-d 29-62 ja C-107/23, p-d 95-125). Seda tuleks muuseas arvestada Euroopa Liidu õiguse esimuse põhimõtte kohaldamisel. Euroopa Kohus on iseenesest jaatanud liikmesriigi kohtu õigust jätta ettenähtavuse, määratletuse ja tagasiulutava jõu keelu põhimõtete põhimõttele tuginedes Euroopa Liidu õigus kohaldamata isegi siis, kui seadusandja ei ole vaidlusalust normi ühtlustanud ning riigisisene normi kohaldamine takistaks süstemaatiliselt tõhusate ja hoiatavate karistuste määramist (vt C-107/23 p 118, sh Euroopa Kohtu
41. detsembri
42. a otsust nr C-42/17; ettenähtavuse, määratletuse ja tagasiulatuva jõua keelu põhimõtete kohta vt ka C-107/23 p 113 ja C-42/17 p 51). Viidatud põhimõtete kohta on Euroopa Kohus veel märkinud, et kuniks Euroopa Kohus ei ole mingit konkreetset õigusküsimust lahendanud, tuleks enne kohtuotsuse kuulutamist toime pandud süütegude puhul lähtuda riigisisese põhiõiguste kaitse kõrgemast standardist. Vastasel juhul võidakse tagasiulatuvalt kohaldada rangemaid vastutusele võtmise tingimusi kui need, mis kehtisid süüteo toimepanemise ajal (vt C-42/17 p 60).
43. Harju Maakohtu
44. mai 2025 otsuses väärteoasjas nr 4-24-2473 leidis kohus kokkuvõttes seda, et menetlusalusele isikule ei saanud olla mõistlikult ette nähtav, et Euroopa Liidu õigusega pole kooskõlas kuni
45. oktoobrini 2023 kehtinud KarS § 14 regulatsioon. Vastupidine käsitlus läheks vastuollu ka seaduse määratletuse põhimõttega (s.o nõue, et normid ja nendes sisalduv teave peavad olema selged, kätte- ja arusaadavad) ning tekkida võib olukord, kus menetlusalusele isik võetakse tagasiulatuvalt vastutusele tingimustel, millistel ei oleks teda varem karistatud. Seda seetõttu, et ilma Deutsche Woheni otsuseta ei oleks kuni
46. oktoobrini 2023 kehtinud KarS § 14 ja IKÜM-i vastuolu ja Euroopa Liidu õiguse otsekohaldumise küsimust üleüldse tekkinud. Kuigi IKÜM kehtis Eestis juba aastaid muutumatuna enne etteheidetava teo toimepanemist, omaks see isiku vastutuse seisukohalt tähendust siis kui IKÜM ise juriidilise isiku vastutust reguleeriks ja seda IKÜM ei tee. 9
47. Kuivõrd viidatud Harju Maakohtu seisukohad on tänaseks jõustunud, sest Riigikohus ei võtnud AKI kassatsiooni menetlusse, ei näe praegust asja lahendav kohus põhjust asuda teistsugusele seisukohale.
48. Ettenähtavust saab hinnata sündmuste ajateljel. Praegused väärteod pandi toime ajavahemikul
49. jaanuar 2023 kuni
50. jaanuar 2024 ja määratelemata ajast kuni
51. septembrini
52. KarS § 14 jõustus uues sõnastuses
53. novembril
54. Deutsche Wohneni (C-807/21) otsus kuulutati
55. detsembril
56. Riigikohtu otsus IKÜM-i ja KarS § 14 vastuolu kohta kuulutati
57. juunil
58. Seega nii KarS § 14 muudatused, kuid ka Deutsche Woheni otsus sündisid süüks pandavate väärtegude toimepanemise ajal ja ei olnud menetlusalusele isikule ettenähtavad.
59. Järelikult tuleb väärtegude objektiivsete koosseisude hindamisel kuni
60. novembrini 2024 jätta kohaldamata Euroopa Liidu õigus ning lähtuda menetletava teo ajal kehtinud KarS-i, s.o kuni
61. oktoobrini kehtinud, redaktsioonist. See omakorda tähendab, et Asper Biogene OÜ-d ei saa karistada teo või tegude eest, mille ta pani toime perioodil enne
62. oktoobrit 2023, sest H. T. tegevusetust ei saa temale omistada, kuivõrd H. T. endal kohustusi IKÜM-ist tulenevalt ei lasunud.
63. Käesoleval juhul on väärteoprotokollis vastutava töötlejana osutatud Asper Biogene OÜle. Seega ei sisalda väärteoprotokoll andmeid, millele tuginedes saaks tuvastada juriidilise isiku karistusõigusliku vastutuse eeldusi. Juhatuse liiget ei saa samastada juriidilise isikuga, keda ta esindas. Juriidilise isiku kohustuste täitmata jätmist ei saa omistada juhatuse liikmele isiklikult. Järelikult ei täida juriidilise isiku nimel tegutsenud füüsiline isik H. T. erilise isikutunnuse puudumise tõttu IKS-is sätestatud väärteokoosseise kuni
64. oktoober 2023 kehtinud KarS § 14 mõttes ja puuduvad koosseisupärased teod, mida oleks võimalik KarS § 14 lg 1 alusel Asper Biogene OÜ-le omistada. Seetõttu tuleb väärteomenetlus Asper Biogene OÜ suhtes

§ 29lg 1 p 1 alusel lõpetada tegudes, mis jäid perioodi enne 1.

novembrit

2. Eeltoodust tulenevalt lõpetab kohus menetluse Asper Biogene OÜ karistamises IKS § 62 lg 2 ja § 65 lg 2 järgi isikuandmete turvalisuse tagamata jätmises.
3. Alates
4. novembrist 2023 kehtiva KarS § 14 lg 1 kohaselt vastutab juriidiline isik seaduses sätestatud juhtudel teo eest, mille on tema huvides või tema õiguslikke kohustusi rikkudes toime pannud tema organ, selle liige, juhtivtöötaja või pädev esindaja või mistahes isik käesoleva lõike punktis 1 nimetatud organi või isiku korraldusel või juriidilise isiku puuduliku töökorralduse või järelevalve tõttu. KarS § 14 lg 2 kohaselt, kui juriidiline isik on õiguslikult kohustatud tegutsema, vastutab ta KarS § 14 lg 1 sätestatud alustel tegevusetuse eest, sõltumata sellest, kas juriidilise isiku kõrval on õiguslikult kohustatud tegutsema ka lõikes 1 nimetatud organ või isik.
5. Väärteootsuse kohaselt oli Asper Biogene OÜ AKS huvide konfliktis ja ebapädev perioodil
6. jaanuar 2023 kuni
7. jaanuar 2024 ja kontrollida tuleb Asper Biogene OÜ vastutust perioodil
8. novembrist 2023 kuni
9. jaanuar
10. Hinnata tuleb, kas kellegi isiku tegevusetus, kellel endal küll ei olnud IKÜM-ist tulenevat kohustust tegutseda, kuid kelle tegevusetuse saab omistada juriidilisele isikule, viis selleni, et Asper Biogene OÜ rikkus andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5). Ei seaduse seletuskiri teo toimepanemise hetkel kehtinud KarS § 14 lg 1 ja 2 kohta ega ka KarS § 14 lg 2 sõnastus ei luba järeldada, et juriidilist isikut saaks vastutusele võtta ilma konkreetse füüsilise isiku teos väärteokoosseisule vastavate asjaolude tuvastamist.
11. IKS § 62 lg 2 näeb ette juriidilise isiku vastutuse vastutava töötleja ja volitatud töötleja kohustuse rikkumise eest, täpsemalt Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 10 artiklites 8, 11, 25–39, 42 ja 43 sätestatud vastutava töötleja või volitatud töötleja kohustuse rikkumise eest.
12. Kohtuvälise menetleja otsuses tehtud väärteoetteheite kohaselt rikkus Asper Biogene OÜ juhatuse liige H. T. olles üheaegselt ettevõtte juhatuse liige ja andmekaitseametnik esiteks andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja teiseks pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5).
13. IKÜM art 37 lg 1 p c kohaselt määravad vastutav töötleja ja volitatud töötleja andmekaitseametniku, kui vastutava töötleja või volitatud töötleja põhitegevuse moodustab artiklis 9 osutatud andmete eriliikidega seotud isikuandmete ulatuslik töötlemine. Asper Biogene OÜ tegeleb põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning arendusteenuste pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste osutamisega) ning töötleb seeläbi ulatuslikult terviseandmeid ja on seetõttu kohustatud määrama andmekaitseametniku. Täpsemalt reguleerivad andmekaitseametnikule kehtestatud nõudeid IKÜM art 37–
15. H. T. on Asper Biogene OÜ juhatuse liige alates
16. juunist 2021 ning on ainuisikulist esindusõigust omav juhatuse liige. H. T. määras ennast
17. jaanuarist 2023 andmekaitseametniku positsioonile mõtlemata, et andmekaitsespetsilisti ja juhatuse liikme rolli vahel võiks tekkida huvide konflikt. Andmekaitsespetsialisti ametisse määramise kohta ühtegi lepingut enne küberründe toimumist ei vormistatud.
18. IKÜM art 38 lg-s 3 esimese lause kohaselt tagavad vastutav töötleja ja volitatud töötleja, et andmekaitseametnik ei saa nende ülesannete täitmise suhtes juhiseid. Sama sätte kolmas lause sätestab, et andmekaitseametnik allub otse vastutava töötleja või volitatud töötleja kõrgeimale juhtimistasandile. Andmekaitsespetsialistil peab olema võimalus täita oma kohustusi ja ülesandeid sõltumatult. Käesoleval juhul tähendab see seda, et H. T. täitis Asper Biogene OÜ-s andmekaitsespetsialisti ülesandeid ning samal ajal oli ta ka Asper Biogene OÜ juhatuse ainuliige. See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada isikuandmete töötlemise vahendite ja eesmärkide üle ainuisikuliselt, kuid andmekaitsespetsialistina oli tal kohustus järgida, et juhatuse liikme isikuandmete kaitse valdkonna otsused oleksid olnud IKÜM-i nõuetega kooskõlas.
19. IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja kohustusi, kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte, võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema sõltumatuses. IKÜM art 38 lg 6 eesmärgi kohaselt ei saa andmekaitseametnikule anda selliseid ülesandeid ja kohustusi, mis võiksid kahjustada tema kui andmekaitseametniku ülesannete täitmist. Samuti ei saa andmekaitseametnikule anda ülesandeid või kohustusi, mille tulemusel määratakse vastutava töötleja või volitatud töötleja juures kindlaks isikuandmete töötlemise eesmärgid ja vahendid.
20. H. T. Asper Biogene OÜ andmekaitsespetsialistina oli kohustatud järgima isikuandmete kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel viisil tegutsedes ei olnud tal võimalik täita AKS-i ülesandeid sõltumatul viisil, nii et ei oleks sellega põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema isikuandmete kaitsevaldkonna otsuseid ettevõtte huvidest lähtuvalt, kuid AKS-ina oli ta kohustatud sõltumatul viisil teavitama ennast kui juhatuse liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ andmekaitse valdkonnas täitma pidi.
21. Kohus nõustub kohtuvälise menetlejaga, et H. T. jättis ennast AKS-i positsioonile määrates kontrollimata, kas AKS-i määramisele on kehtestatud nõuded ja kas selline otsus on 11 nende nõuetega kooskõlas. Kahtlust ei ole selles, et H. T. huvi ei olnud ettevõtet kahjustada. Vastupidi, ta oli väga huvitatud muuhulgas ka andmekaitset puudutavast. Kohtuistungil antud ütluste kohaselt oli fookus siiski põhiliselt käsil olevatel arendustel infosüsteemides. Nii selgitas H. T. kohtuistungil, et tema asi oli sellel perioodil, kui tema AKS oli, järgi vaadata, et saatelehtede muutmisel elektroonseks, oleksid kõik andmekaitset puudutavad aspektid läbi analüüsitud.
22. Kokkuvõttes nõustub kohus kohtuvälise menetlejaga, et olukorras, kus AKS-iks on ainuisikuline juhatuse liige, kes otsustab muuhulgas ettevõttes andmetöötluse eesmärgid ja vahendid, ei ole võimalik tagada AKS-i sõltumatust, kuna tegemist on kahe rolli huvide konfliktiga. Juhatuse liikmena pidi H. T. tegema otsuseid ettevõtte huvidest lähtuvalt, kuid andmekaitsespetsialistina oli ta kohustatud tegutsema sõltumatult.
23. Asper Biogene OÜ-le heidetakse ette sedagi, et andmekaitsespetsialistiks määratud H. T. puudus pädevus andmekaitsespetsialisti rolli täitmiseks. Ehk et tal puudusid AKS-i kohustuste täitmiseks vajalikud kutseoskused ja ekspertteadmised. Vaidlust ei ole selles, et H. T. sai aru, mida andmekaitse valdkond endast kujutab. H. T. mõtestas enda jaoks lahti, miks ettevõttel mingid andmed on, kuidas neid töödeldakse, kes neid töötleb ja kuidas neid tuleks kaitsta.
24. IKÜM art 37 lg 5 sätestab aga konkreetsed eeldused AKS-i määramisel. Nimelt lähtutakse andmekaitseametniku määramisel tema kutseoskustest ja eelkõige ekspertteadmistest andmekaitsealase õiguse ja tava kohta ning suutlikkusest täita artiklis 39 osutatud ülesandeid.
25. IKÜM art 37 lg-s 5 ei ole täpsustatud, milliseid kutseoskusi tuleb andmekaitseametniku määramisel kaaluda. Euroopa Andmekaitsenõukogu on oma suunistes välja toonud, et andmekaitseametnikel peavad olema ekspertteadmised liikmesriigi ja liidu andmekaitseseaduste ja tavade kohta ning põhjalikud teadmised isikuandmete kaitse üldmäärusest. Samuti aitab see, kui järelevalveasutused pakuvad andmekaitseametnikele piisavat ja regulaarset koolitust. Kasuks tulevad teadmised vastutava töötleja ärisektorist ja organisatsioonist. Andmekaitseametnik peaks hästi tundma ka vastutava töötleja andmetöötlustegevust, infosüsteeme, andmeturvet ja andmekaitsega seotud vajadusi (Suunised andmekaitseametnike kohta, lk 13). Suunistest andmekaitseametnike kohta tuleneb, et nõutav ekspertteadmiste tase ei ole rangelt määratletud, kuid see peab vastama organisatsiooni töödeldavate andmete delikaatsusele, keerukusele ja hulgale. See tähendab, et andmekaitseametniku valimisel peab vastutav töötleja lähtuma sellest, kui keeruline on andmete töötlemine või kas see hõlmab suurt hulka delikaatseid isikuandmeid ning vastavalt sellele valima andmekaitseametniku. Samuti on vahe sees olenevalt sellest, kas organisatsioon edastab isikuandmeid väljapoole Euroopa Liitu süstemaatiliselt või juhuslikult. Seetõttu tuleks andmekaitseametnik valida hoolikalt, pöörates sealjuures piisavalt tähelepanu organisatsioonis esile kerkivatele andmekaitseteemadele (Suunised andmekaitseametnike kohta, lk 12).
26. Asper Biogene OÜ on geneetilise testimisega tegelev ettevõte, mille peamine fookus on pärilike haiguste testimisel ja geenitestide arendusel. Asper Biogene OÜ osutab teenuseid rahvusvaheliselt. Asper Biogene OÜ-s toimuva isikuandmete töötlemise puhul on tegemist ulatusliku ja komplitseeritud eriliigiliste andmete töötlemisega, mistõttu peavad andmekaitseametniku ekspertteadmised olema kõrgel tasemel.
27. Kohtuistungil antud ütluste pinnalt ei ole kahtlust, et H. T. püüdis hoida ennast andmekaitsenõuetega vastavalt vajadusele kursis. Vaidlust ei ole selles, et H. T. puudus andmekaitsespetsialisti väljaõpe ja ta ei saanud koolitusi ka ametiaja jooksul. H. T. sõnul määras ta ennast andmekaitsespetsialistiks praktilise vajaduse tõttu, kuna ettevõttes töötati välja infosüsteemide uuendusi, mis olid samas seotud andmekaitse teemadega. Ta uskus, et tema varasem kogemus kvaliteedisüsteemide loomisel ja arendamisel (sh Euroopa ja ka Ameerika standardiseerimise eksperdi kogemus), võimaldab tal saada aru oma ülesannetest. 12 Vaid tunnistuse olemasolu ei ole tema arvates piisav pädevuse mõõtmiseks. H. T. selgitas, et ta on andmekaitsenõudeid lugenud ja ta oli nendega kursis. Kahtlemata oli tal juhatuse liikmena hea ülevaade ärisektorist ja organisatsiooni ülesehitusest ning asutuse andmetöötlustegevustest, infosüsteemidest ja andmeturbest. Eelnev tuleb aga vaid kasuks AKS-i rolli täitmisel, kuid ei ole selle eelduseks.
28. Kinnitust on leidnud seegi, et andmekaitsega seotud koolitusi H. T. AKS-ina Asper Biogene OÜ töötajatele läbi viinud ei ole. Ta selgitas kohtuistungil, et ettevõttes olid olemas korrad ja juhised tagamaks andmete kaitse. Kohtuistungil sai neid dokumente ka vaadeldud. Kuni küberründe toimumiseni pidas H. T. neid piisavaks, pärast rünnet määrati AKS-iks oma ala asjatundja. H. T. kinnitas, et inimesed, kes Asper Biogene OÜ-sse tööle tulevad läbivad ettevalmistuse. H. T. selgitas, et teda juhina huvitavad, et asjad töötaksid, tihtipeale keerulise protseduuri nimi võib jätta täiesti ükskõikseks ja inimestel on lihtne jälgida lihtsaid protseduure. Süsteemi toimise juures on oluline inimese käitumine, mitte korra teadmine. Ta leiab, et Asper Biogene OÜ töötajad olid koolitatud ja juhtum ise näitas, et töötajad reageerisid adekvaatselt. Tema ise oli lähetuses, kuid asjad toimisid, tema hiljem koordineeris infovahetust politsei, AKI, tervishoiuteenuste osutajate ja teistega. H. T. lisas, et nad töötavad erinevate õigusaktide kombinatsioonis, ehk tervisehoiusüsteemi esimene kokkulepe on see, et patsiendi ohutus kõige ülim ja kõik ülejäänud asjad peavad sellele alluma. Neid juhivad reeglid, mille vahel nad peavad kompromisse tegema. On patsiendi ohutus, meditsiiniõigus, siis edasi andmekaitse ja kvaliteedikontroll ning kliendi ja haigla nõudmised.
29. H. T. on ette heidetud ka suutmatust täita IKÜM art 39 lg 1 sätestatud kohustusi. Menetluse kestel on H. T. AKS-ina olnud kohtuvälisele menetlejale alati kättesaadav ning koostöövalmis ehk et IKÜM art 39 lg 1 p-des d ja e sätestatud kohustused on ta täitnud. Täitmata on jäänud väärteoetteheite kohaselt p-des a, b ja c sätestatud kohustused. Kaitsjad leidsid, et H. T. täitis p-des a ja b sätestatud kohustused ja p-s c sätestatud kohustuse täitmist talle ette heita ei saa. Kuivõrd kaitsjate hinnangul on Asper Biogene OÜ volitatud töötleja, kes töötles andmeid vastutavate töötlejate (tervishoiuteenuste osutajad) nimel, siis puudus tal IKÜM art 39 lg 1 p c kirjeldatud kohustus, s.o mõjuhinnangu koostamise kohustus. See tähendab, et kui haiglast koostööpartner on määranud endale andmekaitsespetsialisti, siis tuleb temal vajadusel mõjuhinnang koostada. Seega on kaitsjate hinnangul välistatud H. T. IKÜM art 39 lg 1 p c rikkumise ette heitmine.
30. Mis puutub Asper Biogene OÜ rolli vastutava või volitatud töötlejana, siis vaadeldi kohtus tervishoiuteenuse osutajatega sõlmitud andmetöötluslepinguid, mis määratlesid Asper Biogene OÜ-d kui volitatud töötlejat. Menetlusaluse isiku hinnangul ei olnud ta andmete säilitamiskohustuse ulatuses vastutav töötleja. Kohtuväline menetleja asus teistsugusele seisukohale ja leiab, et kuivõrd Asper Biogene OÜ-l on seadusest tulenev kohustus säilitada analüüsitulemusi, on ta säilitamiskohustuse ulatuses ka vastutav töötleja. Säilitamiskohustuse korral otsustab Asper Biogene OÜ iseseisvalt andmete säilitamise eesmärgi ja vahendite üle. Vastutavale töötlejale, nt koostööpartnerist haiglale, teenuse osutamise korral on Asper Biogene OÜ volitatud töötleja rollis, kuid osutatud teenuse tulemusena isikuandmete säilitamise korral on ta seaduse järgi tervishoiuteenuse osutaja ja seeläbi ka vastutav töötleja. Oluline roll on sellel, kes otsustab töötlemise eesmärgi ja vahendid konkreetse töötlemistoimingu ulatuses. Asper Biogene OÜ ei säilita andmeid haigla korraldusel vaid seda kohustab tegema seadus. Asper Biogene OÜ määrab selleks vajaliku infosüsteemi, säilitustähtajad, juurdepääsud jms. Asper Biogene OÜ teeb otsused ise ja on seega vastutav töötleja.
31. Kohtu hinnangul saab kohtuvälise menetlejaga nõustuda. Asper Biogene OÜ oli mõlemas rollis. Samas puudutab vastutava või volitatud töötleja rolli määratlemine käesolevalt vaid ühe kohustuse täitmist, s.o mõjuhinnangu koostamise kohustust IKÜM art 39 lg 1 p c mõttes, ülejäänud kohustusi tuli täita olenemata rollist. 13
32. IKÜM art 39 lg 1 p-des a ja b sätestatud kohustused on H. T. kohtu hinnangul jätnud täitmata, kuna selleks puudusid tal piisavad teadmised andmekaitse valdkonnast. Tema roll oli andmekaitsespetsialistina seotud eelkõige infosüsteemi uuenduse ja sellega seotud arendusplaaniga. Kaitsjad on toonud rida näiteid tegevustest, mida H. T. andmekaitsespetsialisti ülesannetena täitis. Näiteks ründe järgselt kaasas ta välise eksperdi; juurutas andmekaitsepõhimõtteid; analüüsis või delegeeris kliendi või andmesubjekti kaebuste või päringute analüüsi ning haldas või delegeeris päringute registrit; tegi või delegeeris päringutest iga-aastaste kokkuvõtete tegemist ning hinnangute andmist; ründe järgselt konsulteeris koostööpartneritega, tegi ajurünnaku ning rakendas kiireid ning tõhusaid turvameetmeteid; tellis auditi ründe kohta info saamiseks; hindas infoturbe standardite juurutamise vajadust; sõlmis kaks andmekaitselepingut kahe haiglaga; administreeris ründe järgselt haiglatele saadetavate puudutatud isikute nimekirja koostamist; korraldas haiglatega suhtlust ründe järgselt ning teavitas vastutavaid töötlejaid nende kohustustest jne. Kahtlust ei ole, et H. T. kõiki neid tegevusi tegi. Siiski on suurem osa neist seotud toimunud küberründega, mille järel H. T. alles oma kohustusi täitma asus. Pädev AKS oleks pidanud tõstatama varem küsimuse süsteemide turvalisusest, tehniliste lahenduste ajakohasusest ja piisavusest. H. T. ise kinnitas, et üldiselt oli ta asjadega kursis, kuid tema fookus oli tema töölõigul ja seega AKS-i ülesandeid täitiski ta selle raames. Ülejäänu, s.o laiem pilt ja spetsiifilised teadmised kogu valdkonnast olid ikkagi puudu.
33. H. T. selgitas korduvalt, et AKS-i roll ettevõttes oli jaotatud, kuid tegelikult see nii ei olnud. Samal perioodil, kui AKS-i ülesandeid täitis H. T., oli lisaks temale AKS-i rollis paralleelselt alates
34. maist 2018 ka K. J.. Töölepingu järgi on K. J. analüüsiosakonna juht/kvaliteedijuht. Tema vastutusalaks oli Asper Biogene OÜ-s teostatavate geenitestide kiire ja kvaliteetse analüüsimise, interpreteerimise ja tulemuste väljaselgitamise tagamine. Tootmise kõrge kvaliteedi tagamine ja ettevõtte kvaliteedijuhtimine. Kohtuistungil leidis kinnitust, et K. J. tegelikult AKS-i ülesandeid ei täitnud. K. J. roll oli formaalne ja H. T. tegutses tegelikkuses (faktiliselt) andmekaitseametnikuna ainuisikuliselt.
35. H. T. ja K. J. kohtuistungil antud ütlustest selgub, et AKS-i ülesandeid täideti siis, kui muude kohustuste täitmisest aega üle jäi. K. J. ei olnud teadlik AKS-ile esitatavatest nõuetest. Veelgi enam, viimase andmekaitsealase koolituse sai ta
36. aastal ehk 10 aastat enne IKÜM-i jõustumist. K. J. tunnistas, et tegelikkuses ta ei jõudnud pühenduda AKS-i tööle. Veelgi enam, ka temal puudusid AKS-i ülesannete täitmiseks vastavad kutseoskused ja teadmised. K. J. väitis, et Asper Biogene OÜ-s oli andmekaitsega kõik korras, kuid andmelekke osas märkis, et usaldas IT-teenuse osutajat ega osanud kohtus öelda, miks turvameetmed väidetavalt piisavad olid. Kohus on seisukohal, et AKS ei pea teadma detailselt IT valdkonda, kuid ta peab aru saama, mida on vaja jälgida ja kontrollida, et oleks rakendatud ja tagatud ohule vastav turvalisuse tase.
37. Kokkuvõttes on leidnud tõendamist, et etteheidetav tegu, st andmekaitseametniku määramisel huvide konflikti vältimise kohustuse rikkumine ja pädeva andmekaitseametniku määramise kohustuse rikkumine, on toime pandud ja selle on toime pannud Asper Biogene OÜ juhatuse ainuliige H. T. H. T. pani teo toime mitte isiklikes, vaid Asper Biogene OÜ huvides.
38. AKI otsuse kohaselt pani H. T. etteheitetud teo toime kavatsetult. Kohus sellega ei nõustu, sest H. T. tegevuses eesmärgiks ei olnud süüteokoosseisule vastava asjaolu teostamine. KarS § 15 lg 3 sätestatu kohaselt on väärteona karistatav nii tahtlik kui ka ettevaatamatu tegu. Kohtu hinnangul on tegu pandud toime KarS § 18 lg 3 kohaselt hooletusest, kui ta ei tea süüteokoosseisule vastava asjaolu esinemist, kuid oleks seda tähelepaneliku ja kohusetundliku suhtumise korral pidanud ette nägema. Ettevaatamatuse korral rikub isik tahtmatult hoolsuskohustust, nt ei taju tekkinud olukorda, mis võib olla süüteokoosseisu tunnus, või ei taju oma garandiseisundit. 14
39. Kohus nõustub kohtuvälise menetlejaga, et juhatuse liikme ametikoha spetsiifikast lähtudes ei saa juhatuse liige olla suuteline täitma oma kohustusi ning olla samal ajal kõikide toimingute suhtes erapooletu. Juhatuse liikme põhiülesandeks on ettevõtte juhtimine ja selle huvide eest seismine, mis võib sageli tähendada strateegiliste ja operatiivsete otsuste tegemist, mis on tugevalt seotud ettevõtte majandusliku heaolu ja konkurentsivõimega. Need otsused võivad olla mõjutatud ettevõtte finantshuvide, äripartnerite, töötajate ning teiste sidusrühmadega seotud teguritest, mis toob paratamatult kaasa olukorra, kus erapooletuse säilitamine muutub keeruliseks või lausa võimatuks. Kuna juhatuse liige on tihedalt seotud ettevõtte strateegia ja otsustusprotsessidega, võib tekkida huvide konflikt, kus isiklikud või ettevõtte huvid võivad varjutada objektiivse ja erapooletu seisukoha võtmise, mis on aga hädavajalik andmekaitseametniku ülesannete täitmisel.
40. Kokkuvõttes rikkus H. T. hooletusest tuleneva tegevusetusega Asper Biogene OÜ õiguslikke kohustusi ja kuivõrd Asper Biogene OÜ oli õiguslikult kohustatud tegutsema, vastutab ta tegevusetuse eest, sõltumata sellest, et H. T. endal ei olnud IKÜM-ist tulenevat kohustust tegutseda. Teisisõnu, pädeva andmekaitseametniku määramise nõude täitmine lasus juriidilisel isikul ning see kohustus jäeti KarS § 14 lg-s 1 nimetatud isiku poolt täitmata. Selleks isikuks oli Asper Biogene OÜ juhatuse liige H. T.
41. Õigusvastasust ja süüd välistavaid asjaolusid kohus ei tuvastanud, mis omakorda tähendab seda, et Asper Biogene OÜ on toime pannud IKS § 62 lg 2 sätestatud väärteo. Karistus
42. AKI määras Asper Biogene OÜ-le IKS § 62 lg 2 alusel rahatrahvi 5000 eurot.
43. Vastavalt KarS § 56 lg 1 sätetele on karistamise aluseks isiku süü. Karistuse mõistmisel kohtu poolt või määramisel kohtuvälise menetleja poolt arvestatakse kergendavaid ja raskendavaid asjaolusid, võimalust mõjutada süüdlast edaspidi hoiduma süütegude toimepanemisest ja õiguskorra kaitsmise huvisid.
44. Karistuse määramisel on kohtuväline menetleja arvestanud väärteokoosseisude objektiivsete ja subjektiivsete tunnustega ning karistust kergendatavate asjaoludega ning võtnud kaalumisel arvesse ka IKÜM art 83 lg-st 2 tulenevaid aspekte. Kohtuväline menetleja märgib sedagi, et süüdlase isik on määrav karistuse eripreventiivse eesmärgi saavutamisel. Seetõttu peab karistuse eripreventiivse eesmärgi saavutamiseks – prognoosimaks, milline karistus on efektiivseim, mõjustamaks süüdlast edaspidi süütegude toimepanemisest hoiduma – arvestama ka süüdlase isikut. Sama nõue tuleneb ka IKÜM art 83 lg-st 1, mille kohaselt on järelevalveasutusel kohustus tagada, et trahvi määramine peab igal üksikul juhul olema tõhus, proportsionaalne ja heidutav. IKÜM art 83 lg-d 4 ja 5 eristavad karistuse määramise lähtepunktina rikkumisi nende raskusastme järgi. Asper Biogene OÜ on rikkunud vastutava töötleja kohustusi (art 32, 37 ja 38), mida saab pidada IKÜM art 83 lg 4 järgi kergema laadiga rikkumiseks. Kohtuväline menetleja ei arvestanud karistuse määramisel menetlusaluse isiku vastulauses väljatoodud seisukohaga, mille kohaselt on Asper Biogene OÜ alates
45. veebruarist 2024 täielikult kõrvaldanud IKÜM art 37 lg 5 ning art 38 lg 6 rikkumised ning rakendanud mitmed IKÜM art 32 järgsed tehnilised ja korralduslikud meetmed (nt kaheastmeline autentimine). Kohtu hinnangul tuleb seda tulenevalt IKÜM art 83 lg 2 p f ja h siiski arvestada. Asper Biogene OÜ hilisem tegevus ei muuda toimepandud väärtegusid olematuks, nagu märgib kohtuväline menetleja, kuid Asper Biogene OÜ teavitas koheselt ründest järelevalveasutust ning tegi igakülgselt koostööd rikkumise võimaliku kahju mõju leevendamiseks. 61.

§ 30

lg 1 sätestab, et menetleja võib väärteomenetluse lõpetada, kui menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi. 15

1. Kaasuse asjaolude pinnalt saab öelda, et Asper Biogene OÜ süü väärteo toimepanemisel ei ole suur. Asper Biogene OÜ andmekaitseametnikuna olid ametis K. J. (formaalselt) ja H. T. (faktiliselt). AKS-i ülesandeid täitis H. T., kes oli samal ajal ka Asper Biogene OÜ ainus juhatuse liige ja sellega tekkis huvide konflikt kahe rolli vahel. H. T. oli juhatuse liikmena kursis kõigi ettevõtte tööprotsessidega ja püüdis samas täita ka AKS-i ülesandeid. Küll aga oli tema fookus vaid kitsal töölõigul, mis temale tegelemiseks oli määratud. Laiemalt ei olnud aga tal piisavalt teadmisi AKS-i ülesannete täitmiseks. Kohus tuvastas, et tegu on pandud toime ettevaatamatusest hooletuse vormis, ehk et erinevalt kohtuvälisest menetlejast kohus tahtlust ei tuvastanud. Seda tuleb süü suuruse hindamisel arvesse võtta.
2. Avaliku menetlushuvi osas leiab kohus, et avalik menetlushuvi puudub. Asper Biogene OÜ on oma eksimustest õppinud ja pädeva AKS-i määranud. Seoses viidatud Harju Maakohtu
3. mai 2025 otsuse väärteoasjas nr 4-24-2473 jõustumisega kirjutasid mitmed meediaväljaandes oma juhtkirjades, et AKI peaks olema pigem nõustav, kui karistav organ. Teisisõnu soovitakse andmekaitsealastes küsimustes pigem suuremat koostööd ja ennetust, kui tagantjärele tarkusena targutamist ja eksimuste karistamist. Kohus teeb siit järelduse, et avalikkus igal juhul eksinu karistamist ei eelda, st avalik menetlushuvi on pigem tagasihoidlik. Ehk et Asper Biogene OÜ karistamist ei õigusta üldpreventiivsed kaalutlused. Eripreventsiooni vaates on Asper Biogene OÜ läbi menetluse oma karistuse sisuliselt ära kandnud, ta on oma eksimust mõistnud ja selle tagajärgedega tegeleb ta siiani.
4. Seega tühistab kohus Andmekaitse Inspektsiooni
5. jaanuari 2025 otsuse väärteoasjas nr 951024000001 ja lõpetab

§ 30

lg 1 p 1 alusel menetluse Asper Biogene OÜ väärteoasjas IKS § 62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi. Menetluskulud

1. Käesoleva väärteoasja kohtuvälises kui ka kohtumenetluses on kaebajale õigusabi osutanud vandeadvokaat Triinu Hiob ning vandeadvokaadi abi Henri Oliver Palm. Kaitsjate töö tunnihinnaks on 170 eurot. Väärteoasja kohtuvälisel menetlemisel ja kohtulikul menetlemisel on kaebaja kandnud menetluskulusid kaitsjatele makstud tasu näol kokku 27953 eurot (ilma käibemaksuta). Sellele lisandub 121,77 eurot menetlusalusele isikule tekkinud kulu seoses kaitsjate transpordiga istungitele. Kokku on menetluskulude suuruseks 28074,77 eurot.
2. Käesolevas asjas heideti Asper Biogene OÜ-le ette kahe väärteo toimepanemist.
3. Kohus lõpetas

§ 30

lg 1 p 1 alusel menetluse Asper Biogene OÜ väärteoasjas IKS § 62 lg 2 järgi (IKÜM art 37 lg 5 ja art 38 lg 6), kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi.

§ 30

lg 1 3 sätestab, et § 30 lg 1 sätestatud alustel väärteomenetluse lõpetamisel hüvitab menetluskulud menetlusalune isik. 68. Kohus lõpetas

§ 29

lg 1 p 1 alusel menetluse IKS § 62 lg 2 ja § 65 lg 2 järgi (IKÜM art 32 lg 1), kuna teos puuduvad väärteo tunnused.

§ 23

sätestab, et väärteomenetluse lõpetamise korral sama seaduse § 29 lg 1 punktides 1–3 ja 5–6 sätestatud alustel hüvitatakse menetlusalusele isikule tema taotlusel valitud kaitsjale makstud mõistliku suurusega tasu kohtu määruse alusel riigi- või kohaliku eelarve vahenditest. 69. Seega osaliselt rakendub käesoleval juhul

§ 23

ja osaliselt

§ 30lg 13.

1. Kohus menetluskulude mõistlikkust ja põhjendatust hinnates leiab, et kõik kaitsjate tehtud toimingud on vajalikud, arvestades asja keerukust ja spetsiifilisust. Samas on kohus seisukohal, et nendeks kulunud aeg ei ole kõigi toimingute puhul põhjendatud. Lisaks ei nähtu menetluskulude nimekirjast, et esindajatele oleks makstud tasu selge tööjaotuse alusel erinevate ülesannete täitmise eest. Osa toiminguid on nimekirjas dubleeritud (näiteks 16 kohtuistungitel osalemine). Kahele kaitsjale makstud tasu menetluskulude hulka arvutamine ja hüvitamine ei oleks mõistlik ning kooskõlas KrMS § 175 lg-ga 2 (vt Riigikohtu
2. mai 2017 lahend nr 3-1-1-22-17, p 60).

§ 38

lg 1 kohaselt saab kohus menetluskulude arvestamisel lähtuda kriminaalmenetluse sätetest.

1. Kaitsjad on taotlenud topelt tasu nii
2. märtsi,
3. -
4. aprilli,
5. mai kui
6. mai 2025 kohtuistungitel osalemise eest. Muuhulgas kestis
7. mai 2025 kohtuistung ka ajaliselt vähem kui kaitsjate menetluskulude nimekirjas märgitud 3 tundi. Seega leiab kohus, et põhjendatud ei ole tasu istungitel osalemise eest 14 tunni ja 45 minuti eest, mis on 2508 eurot ja selles osas tuleb tasu jätta välja mõistmata.
8. Kohtu hinnangul on menetluskulude nimekirjas veel toiminguid, milleks kulunud aega ei saa põhjendatuks pidada. Nii on kohtukõne kirjutamisele ja ettevalmistamisele kulunud ajaks märgitud kokku 18 tundi ja 42 minutit. Kohtueelses menetluses on kaitsjad korduvalt analüüsinud väärteotoimikut ja koostanud vastulause, seejärel analüüsinud kohtuvälise menetleja väärteootsus ja koostanud kaebuse. Otsuse analüüsiks ja kaebuse ettevalmistamiseks kulunud ajaks on märgitud seejuures ligi 26 tundi. Argumendid, millised esitati kohtukõnes on sisuliselt samasugused kui varasemalt esitatud vastulauses ja kaebuses, mille tõttu tuleb ka siin toimingute eest küsitud tasu vähendada.
9. Tasu on kaitsjad küsinud ka selle eest, et nad on omavahel ja kolleegidega arutelusid pidanud. Selline tasu on kohtu arvates põhjendatud. Samuti on tasu põhjendatud menetlusaluse isikuga peetud kõnede, vestluste ja kirjavahetuste eest.
10. Kokkuvõttes leiab kohus, et menetlusalusele isikule tema taotlusel valitud kaitsjale makstud mõistliku suurusega tasuks on 23 500 eurot. Kuna kahest etteheidetavast süüdistusest ühe osas kohaldub

§ 30lg 13, siis tuleb vaid pool kaitsjatasust menetlusalusele isikule hüvitada.

Kahe erineva väärteoetteheite mahtu hindab kohus sisuliselt võrdseks. Tulenevalt eeltoodust tuleb Asper Biogene OÜ-le hüvitada riigieelarve vahenditest tema poolt kantud õigusabikulude katteks kokku 11 750 eurot. (allkirjastatud digitaalselt) 17