Obsah (10)

§ 10 § 11 § 25 § 4 § 6 § 73 § 61 § 56 § 60 § 46

KOHTUOTSUS Eesti Vabariigi nimel Kohus Tallinna Halduskohus Kohtunik Daimar Liiv Otsuse avalikult teatavaks 23. märts 2026, Tallinn tegemise aeg ja koht Haldusasja number 3-24-1844 Haldusasi X. X kaeb

) § 4 ja isikuandmete kaitse üldmääruse sätete rikkumise tuvastamiseks.

04.07.2024 määrusega võttis kohus kaebuse menetlusse ja viis läbi eelmenetluse. 28.08.2025 määrusega määras kohus asja lahendamise viisik kirjaliku menetluse ja lõplikud menetlustähtajad. KAEBUSE ESITAJA NÕUDED JA PÕHJENDUSED
Kaebaja leiab, et kaebus on põhjendatud ja tuleb rahuldada alljärgnevatel põhjustel: 5.
AKI on vaidlustatava otsuse tegemisel jätnud täielikult tähelepanuta 16.01.2024 esitatud kaebuse fundamentaalse seisukoha, mille kohaselt on Delfi, F. F ja Y. Y edastanud Euroopa Liidu välistele kolmandatele isikutele X. Xi nõusolekuta tema isikuandmeid, sh tundlikke isikuandmeid. X. X edastas AKI-le 16.01.2024 kaebuse, kuivõrd Delfi, F. F ja Y. Y on tsiviilasjas ise kohtule korduvalt avaldanud ja kinnitanud, et nemad töötlesid ja edastasid Journalism Development Network, Inc-le (OCCRP) X. Xi isikuandmeid, sh tundlikke isikuandmeid. Delfi, F. F ja Y. Y on oma väidete tõendamiseks esitanud tsiviilasjas kohtule koguni OCCRP peatoimetaja C. C kirja (dtl 82-83), milles OCCRP peatoimetaja selgitab ja kinnitab, milliseid konkreetseid andmeid Delfi, F. F ja Y. Y USA-s asuvale OCCRP-le edastasid. 16.01.2024 kaebuse põhirõhk seisneb X. Xi isikuandmete OCCRP-le kui USAs tegutsevale ehk Euroopa Liidu välisele isikule õigusvastasel avaldamisel ja edastamisel Delfi, F. Fi ja Y. Ye poolt. Andmekaitse Inspektsioon ei ole aga vaidlustatavas otsuses kaebuse 16.01.2024 põhilist seisukohta vähimalgi määral hinnanud, sh hinnanud Delfi, F. Fi ja Y. Ye tegevuse kooskõla IKÜM-i sätetega. Vaidlustatavas otsuses on Andmekaitse Inspektsioon asunud selgitama hoopis OCCRP artikli avaldanud meediaväljaandel lasuvast vastutusest avaldatud teabe eest, millele aga 16.01.2024 kaebuses ei ole tuginetud. Mistahes isikuandmete töötlemisel, sh nt andmete kogumisel, avaldamisel, edastamisel tuleb lähtuda

ja IKÜM asjakohastest sätetest. IKÜM art 4 kohaselt on isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. 2 Ei saa olla vaidlust, et Delfi, F. Fi ja Y. Ye poolt OCCRP-le edastatud teave X. Xi kohta on igal juhul käsitletav X. Xi isikuandmetena IKÜM art 4 tähenduses. X. Xi kunagise süüteomenetlusega seotud andmed on aga nii IKÜM-i kui ka

-i tähenduses tundlikud isikuandmed, mille töötlemisele kehtivad tavaliste isikuandmete töötlemisega võrreldes oluliselt kõrgemad standardid. Lisaks süütegudega seotud andmetele, on tundlike isikuandmetena käsitletavad ka X. Xi elukoha andmed ning andmed X. Xile kuuluvate kinnistute väärtuse kohta. Seega Delfi, F. F ja Y. Y pidid X. Xi isikuandmete töötlemisel lähtuma tundlike isikuandmete töötlemise põhimõtetest, mida nad aga antud juhul selgelt ei ole teinud, mistõttu on Delfi, F. F ja Y. Y kolmandatele isikutele X. Xi teadmata ja nõusolekuta isikuandmeid (sh tundlikke) edastades tegutsenud õigusvastaselt. Õigusvastaseks muudab Delfi, F. Fi ja Y. Ye tegevuse tõik, et Delfil, F. Fil ja Y. Yel puudus X. Xi isikuandmete töötlemiseks ja OCCRP-le edastamiseks mistahes õiguslik alus ning X. Xi nõusolek. Vaidlust ei saa olla asjaoludes, et: 1) Delfil, F. Fil ja Y. Yel puudus X. Xi nõusolek X. Xi isikuandmete, rääkimata tundlike isikuandmete avaldamisest ja edastamisest kolmandatele isikutele, sh Euroopa Liidu välisele OCCRP-le ning C. Cle Bosnia ja Hertsegoviinas; 2) Delfi, F. Fi ja Y. Y ei ole kunagi küsinud X. Xilt nõusolekut tema isikuandmete edastamiseks kolmandatele isikutele, sh USA-s tegutsevsale juriidilisele isikule või Bosnia ja Hertsegoviina kodanikule C. Cle. Kaebuse esitaja märgib, et reeglina on just andmesubjekti nõusolek seaduslikuks aluseks isikuandmete töötlemisel. Nii on ka Riigikohus selgitanud lahendi nr 2-15-16007 p-s 13 varem kehtinud

-i alusel, et üldjuhul on isikuandmete töötlemine lubatud

§ 10

lg 1 järgi üksnes andmesubjekti nõusolekul, samuti on

§ 11

lg 3 järgi andmesubjektil õigus igal ajal nõuda isikuandmete avalikustajalt isikuandmete avalikustamise lõpetamist. Samad põhimõtted kehtestab IKÜM art 6 ja

§ 25. Olukorras, kus Delfil, F.

Fil ja Y. Yel puudus X. Xi nõusolek X. Xi isikuandmete, sh tundlike isikuandmete töötlemiseks, sh kogumiseks ning kolmandatele isikutele avaldamiseks ja edastamiseks, võisid Delfi, F. F ja Y. Y X. Xi isikuandmeid X. Xi nõusolekuta kolmandatele isikutele edastada üksnes mingil

-ist või IKÜM-ist tuleneval õiguslikul alusel, mis võimaldab isikuandmeid töödelda andmesubjekti nõusolekust sõltumata. Arvestades, et Delfi on meediaväljaanne ning F. F ja Y. Y Delfi ajakirjanikud, saab X. Xi nõusolekuta isikuandmete töötlemise õigusliku alusena kõne alla tulla eeskätt

§ 4. Antud juhul puudus Delfil, F.

Fil ja Y. Yel kaebuse esitaja isikuandmete töötlemiseks aga mistahes

§ 4kohane ajakirjanduslik eesmärk, seda muu hulgas põhjusel, et Delfi, F.

F ja Y. Y on ise asunud tsiviilasjas seisukohale, et nemad ei olnud OCCRP artikli avaldajateks. Siinkohal juhib kaebuse esitaja tähelepanu ka vaidlustatavas otsuses esinevale vastuolule. AKI on sissejuhatuseks märkinud, et AKI-il ei ole võimalik taotlust Delfi, F. Fi ja Y. Ye tegevuse

§-le 4 vastavuse osas kontrollida, kuna see säte käsitleb ajakirjanduslikul eesmärgil avalikustamist, kuid kaebusest nähtuvalt on antud juhul tegemist isikuandmete edastamisega ning avaldamine toimub OCCRP poolt. Samas vaidlustatava otsuse viiendas lõigus jõuab aga AKI siiski järeldusele, et puudutatud isikud ei ole rikkunud võrgulehel /www.occrp.org avaldatud artikli osas

§ 4nõudeid.

Kui AKI-il ei olnud võimalik Delfi, F. Fi ja Y. Ye tegevuse vastavust

§-le 4 kontrollida, siis ei olnud inspektsioonil kuidagi võimalik jõuda ka järeldusele, et Delfi, F. F ja Y. Y

§ 4nõudeid ei ole rikkunud.

AKI seisukohad vaidlustatavas otsuses on lubamatult vastuolulised. Kaebuse esitaja märgib, et kui AKI leidis, et puudutatud isikud ei ole tegutsenud

§ 4alusel, oleks AKI pidanud kontrollima, millisel õiguslikul alusel Delfi, F.

F ja Y. Y kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid edastades tegutsesid. Vaidlustatud otsusest mistahes sellist analüüsi ega põhjendusi ei nähtu. Ainus õiguslik alus, 3 millele vaidlustatavas otsuses on viidatud, on IKÜM artikkel 6 lg 1 p f, mis sätestab isikuandmete töötlemise seaduslikkuse vastutava töötleja või kolmanda isiku õigustatud huvi korral. Samas ei nähtu vaidlustatavast otsusest, et vastustaja peaks antud juhul puudutatud isikute tegevuse õiguslikuks aluseks IKÜM 6 lg 1 p f. Igal juhul ei oleks IKÜM 6 lg 1 p f alusel võimalik puudutatud isikute tegevust seaduslikuks pidada, kuivõrd IKÜM artikkel 6 lg 1 p f välistab isikuandmete töötlemise seaduslikkuse, kui andmesubjekti huvid või põhiõigused ja -vabadused vastutava töötleja või kolmanda isiku huvid üles kaaluvad. Ei esine ühtegi argumenti, millest tulenevalt võ

USA-s asuva OCCRP huvi X. Xist ebaõigeid ja au teotavaid andmeid sisaldava artikli avaldamist pidada kaalukamaks X. Xi huvidest, põhiõigustest ja -vabadustest, sh IKÜM alusel tagatud õigusest olla unustatud. Ühtegi sellist põhjendust ei ole vastustaja esile toonud ka vaidlustatavas otsuses, kuna vastustaja ei ole otsuse tegemisel nimetatud asjaolusid kontrollinud ega hinnanudki, mistõttu vastustaja menetluse lõpetamise otsus on selgelt õigusvastane ning motiveerimata. Seega on vastustaja jätnud kaebuse esitaja 16.01.2024 kaebuse põhiküsimuse täielikult lahendamata, asjaolud välja selgitamata ning kaebuses toodud asjaoludele õigusliku hinnangu andmata, rääkimata antud õigusliku hinnangu motiveerimisest. Kaebuse sisulise lahendamise asemel on AKI asunud selgitama võrgulehe omaniku vastutusest artiklite juures olevate kommentaaride eest, olenemata sellest, et OCCRP veebilehel mistahes kommenteerimise võimalust ei nähtu, samuti allikakaitsest, mis on käesoleval juhul asjakohatu (vt põhjendusi allpool) ning millele pole isegi Delfi, F. F ja Y. Y tuginenud. Lõpuks leiab AKI üldse, et tal käesoleva juhtumi lahendamiseks ehk sisuliselt kaebuse esitaja isikuandmete kaitsmiseks, mis peaks olema AKI põhifunktsioon, pädevust ei ole. Kokkuvõttes on AKI kaebja arvates jätnud 16.01.2024 esitatud kaebuse sisuliselt lahendamata, asjaolud välja selgitamata ning asjaoludele õigusliku hinnangu andmata. Vastustaja ei ole tuvastanud ega välja selgitanud Delfi, F. Fi ja Y. Ye tegevuse õguslikku alust X. Xi isikuandmete kolmandatele isikutele edastamisel. Vaidlustatud otsuses on asutud hoopis analüüsima võrgulehe omaniku vastutust avaldatud teabe ning artiklile lisatud kommentaaride eest, allikakaitse olemust jms, mis on antud juhtumi valguses täielikult asjakohatud. 5.2. Kaebaja leiab, et AKI on vaidlustatava otsuse tegemisel kohaldanud ebaõigesti

§ 4

sätestab, et isikuandmeid võib andmesubjekti nõusolekuta töödelda ajakirjanduslikul eesmärgil, eelkõige avalikustada meedias, kui selleks on avalik huvi ja see on kooskõlas ajakirjanduseetika põhimõtetega. Isikuandmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi. Isikuandmete kaitse seaduse eelnõu seletuskirjas on selgitatud, et kõnesolevas paragrahvis toodud kriteeriume on vaja kaaluda igakordse isikuandmete töötlemise juures. Oluline on tähele panna, et ajakirjanduslikul eesmärgil töötlemise korral tuleb iga töötlemistoimingu puhul eraldi hinnata, kas selleks on õigus kasutada erandeid. Avalikustamine on üks põhilisemaid isikuandmete töötlemise toiminguid, kuid analüüsida oleks vaja ka säilitamist, otsingumootoritele kättesaadavaks tegemist, edastamist kolmandatele isikutele ning arhiveerimist või kustutamist. Muuhulgas tuleb tähele panna ka isikuandmete kaitse üldmääruse art 6 lõikes 4 sätestatud isikuandmete edasise töötlemise tingimusi. Nii

§ 4

sätte sõnatusest kui ka

eelnõu seletuskirjast nähtuvalt rakendub säte oluliselt laiapindsemale isikuandmete töötlemise viisidele, kui ainult meedias avalikustamisele. Vaidlustatud otsuse teises lõigus on AKI pidanud Delfi, F. Fi ja Y. Ye tegevuse vastavuse kontrollimist

§-le 4 võimatuks, kuna säte käsitleb ajakirjanduslikul eesmärgil avalikustamist. Arvestades

eelnõu seletuskirjas toodud selgitusi, millele kaebaja kusjuures ka 16.01.2024 kaebuses viitas, on ilmne, et säte ei reguleeri üksnes ajakirjanduslikul eesmärgil avalikustamist, nagu inspektsioon

§-i 4 väga kitsendavalt on tõlgendanud. Seega ei ole vaidlustatud otsuses märgitud vastustaja seisukohad kooskõlas 4 seadusandja eesmärkidega

§ 4loomisel.

Vastustaja on vaidlustatavas otsuses jätnud

§ 4

kohaldamisega seotud asjaolud ja eeldused täielikult kontrollimata, mistõttu vaidlustatav vastustaja otsus on täielikult motiveerimata. AKI on vaidlustatavas otsuses leidnud, et meediaväljaanded peavad saama oma töö tarbeks omavahel vajalikku infovahetust teostada. Jääb arusaamatuks, millist „tööd“ vastustaja silmas peab. Kaebuse esitaja selgitab, et Delfi on meediaväljaanne ning F. F ja Y. Y ajakirjanikud. Seega nende „töö“ saab seisneda üksnes mingi artikli loomises. Kui vastustaja leiab, et Delfi, F. F ja Y. Y avaldasid ja edastasid kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid seoses oma „tööga“, jääb arusaamatuks, miks välistab AKI Delfi, F. Fi ja Y. Ye vastutuse

§ 4rikkumise eest.

Sealjuures ei ole vastustaja kontrollinud, kas

§ 4

alusel üldse esinesid eeldused, kaebuse esitaja isikuandmete (sh tundlike) edastamiseks kolmandatele isikutele. Kaebuse esitaja juhib tähelepanu, et ka Delfi ise on pidanud oma tegevuse (X. Xi isikuandmete kolmandatele isikutele avaldamisel ja edastamisel) õiguslikuks aluseks just

§-i

AKI on ise vaidlustatavas otsuses toonud välja Delfi 06.05.2024 vastuses (dtl 258-265) toodud seisukohad, milles Delfi on mh selgitanud, et informatsiooni, mida OCCRP-le edastati, töötles nii Delfi kui ka OCCRP ajakirjanduslikul eesmärgil kooskõlas isikuandmete kaitse seaduse §-ga
Olukorras, kus ka Delfi on ise pidanud oma tegevuse õiguslikuks aluseks

§-i 4, oleks AKI pidanud vaidlustatavas otsuses minimaalselt vähemalt põhjendama, mille põhjal vastustaja leiab, et

§ 4Delfi, F.

Fi ja Y. Ye tegevusele antud juhul ei kohaldu, samuti, millele tuginedes tõlgendab AKI

§-i 4 seadusandja tahtest erinevalt. Kui vastustaja lähtus vaidlustatava otsuse tegemisel

§ 4mittekohaldumisest, pidi vastustaja tuvastama, milline oli üldse Delfi, F.

Fi ja Y. Ye poolt kaebuse esitaja isikuandmete kolmandatele isikutele edastamise õiguslik alus. Kaebuse esitaja on seisukohal, et

§ 4

tõlgendamisel tuleb lähtuda nii IKÜM-i põhimõtetest ning seadusandja tahtest. Antud juhul tuleneb

eelnõu seletuskirjast expressis verbis, et

§-s 4 toodud kriteeriume on vaja kontrollida andmete igakordsel töötlemisel, sh kolmandatele isikutele edastamisel. Vastustaja ei ole seda kaebuse lahendamisel teinud, mistõttu vaidlustatav otsus on täielikult motiveerimata. Vastustaja ei ole endale selgeks teinud asjaolusid ega ka asjakohaseid kohaldamisele kuuluvaid õigusnorme, niisamuti ei ole vastustaja kontrollinud Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandemete edastamise seaduslikkust kohaldamisele kuuluvate õigusnormide valguses. Oluline on siinkohal ka rõhutada, millistele kolmandatele isikutele puudutatud isikud X. Xi isikuandmeid, sh tundlikke isikuandmeid edastasid. Kaebuse esitaja selgitab, et OCCRP väljaandja on USA-s registreeritud äriühing. OCCRP peatoimetaja, C. C, kelle kinnituskirja on puudutatud isikud tsiviilasjas tõendina kasutanud, on Bosnia ja Hertsegoviina elanik. Ka ülejäänud OCCRP artikli all- ja ülaosas märgitud ajakirjanikud asuvad üle maailma (nt Norras, Ukrainas jne). Ükski eelnimetatud riik ei ole Euroopa Liidu liikmesriik. Teisisõnu on Delfi, F. F ja Y. Y isikud edastanud X. Xi nõusolekuta tema isikuandmed, sh tundlikud isikuandmed kolmandatest riikidest pärit isikutele, kelleni Euroopa Liidu õigus, sh IKÜM ei küündi. Selliselt on Delfi, F. F ja Y. Y asetanud X. Xi olukorda, kus X. Xil on oma õiguste kaitsmine äärmiselt keeruline, kui mitte võimatu, ning ka väga ressursikulukas. Kaebuse esitaja selgitas 16.01.2024 esitatud kaebuses, et Eesti kohtud on kohtualluvuse puudumise tõttu keeldunud X. Xi hagi OCCRP vastu menetlemast. Seega on kaebuse esitaja ainus võimalus oma õigusi realiseerida, kui kaebuse esitaja esitab OCCRP vastu hagi USA kohtule. Kui aga kaebuse esitaja sooviks OCCRP vastu USA kohtus nõudeid esitada, oleks sellise õigusvaidluse kulu ca 2-3 miljonit dollarit (vt põhjendusi 16.01.2024 kaebuse p-des 2.4.5-2.4.6). 5 Lisaks eeltoodule on X. Xist avaldanud ebaõigeid ja au teotavaid faktiväiteid sisaldava artikli (dtl 118) ka Suurbritannia äriühing FINTRAIL LTD. Viidatud FINTRAIL artikli allikmaterjaliks X. Xit puudutavas osas on artiklist nähtuvalt OCCRP artikkel. Kui X. X soovib oma õigusi kaitsta, tuleb X. Xil esitada hagi ka FINTRAIL LTD vastu, sealjuures ei ole aga teada, kui kulukaks võib õigusvaidluse pidamine Suurbritannias registreeritud ettevõttega osutuda. Oluline on aga rõhuda, et sellise ahelreaktsiooni artiklite avaldamise näol on de facto teinud võimalikuks Delfi, F. Fi ja Y. Ye poolt vastutustundetult, õigusvastaselt ja mala fide kolmandas riigis tegutsevatele kolmandatele isikutele X. Xi isikuandmete, sh tundlike isikuandmete edastamine. Vaidlustatud otsusest nähtuvalt ei näe AKI tekkinud olukorras mitte mingisugust probleemi, mis on õiguslikult absurdne nii

§ 4kui ka IKÜMi sätete alusel.

Kokkuvõttes on AKI

§ 4

ebaõigesti kohaldanud, mistõttu on vastustaja jõudnud ka ebaõigele järeldusele, et

§ 4käesolevale juhtumile ei kohaldu.

5.3. AKI on jätnud täielikult kohaldamata IKÜM asjakohased sätted ning Riigikohtu praktika. AKI on ekslikult leidnud, et OCCRP artiklis avaldatu eest kannab vastutust üksnes meediaväljaanne (OCCRP). Riigikohus on leidnud lahendi nr 3-2-1-159-14 p-s 14, et kui isikuandmed on seaduse alusel ilma andmesubjekti nõusolekuta varem mingis vormis avalikustatud (nt andmete avaldamine kohtuasja avalikul arutamisel), siis ei tähenda see, et edaspidi võis neid isikuandmeid piiramatult ja korduvalt avalikustada.

§ 11

lg-st 1 ei tulene, et juba avalikustatud isikuandmete uueks töötlemiseks ei peaks olema seaduslikku alust. Ka Euroopa Inimõiguste Kohus on rõhutanud, et andmete kajastamine kohtumenetluses ei anna blankovolitust andmete avaldamiseks meedias (vt nt

jaanuari
a otsused asjas 33497/07: Krone Verlag jt vs. Austria, p 49 ja asjas 3401/07: Kurier vs. Austria, p 44;
veebruari
a otsus asjas nr 3514/02: Eerikäinen jt vs. Soome, p 63). Selline võimalus oleks vastuolus andmetöötluse eesmärgikohasuse, minimaalsuse ja kasutuse piiramise põhimõtetega (

§ 6p-d 2–4).

Kohtuistungil avaldatud andmete uus avaldamine meedias avardab oluliselt teavitatavate isikute ringi ja sellel võivad olla andmesubjekti jaoks olulised tagajärjed. Viidatud Riigikohtu lahendist tulenevad olulised põhimõtted on asjakohased ka käesoleval juhtumil. OCCRP artikliga samaaegselt avaldas Delfi oma veebilehel X. Xist artikli, mille üle käib tsiviilasjas samuti poolte vahel vaidlus, mis ei oma aga 16.01.2024 esitatud kaebuse seisukohast tähtsust. Küll aga asjaolu, et Delfi on ka oma hallataval veebilehel X. Xist artikli avaldanud, viitab, et Delfi on oma ajakirjanikega X. Xi isikuandmeid, sh tundlikke isikuandmeid (enda arust) ajakirjanduslikul eesmärgil Delfi Eesti veebilehel artikli avaldamise eesmärgil töödelnud. Isegi, kui X. Xi isikuandmete töötlemine X. Xi nõusolekuta Delfi veebilehel artikli avaldamiseks oleks olnud

§ 4kohaselt õiguspärane (X.

X vaidleb sellele tsiviilasjas täies ulatuses vastu), ei annaks see viidatud Riigikohtu praktikast tulenevalt Delfile ega tema ajakirjanikele siiski õigust X. Xi isikuandmeid, rääkimata tundlikest isikuandmetest, kolmandatele Euroopa Liidu välistele isikutele edastada ilma X. Xi kui andmesubjekti nõusolekuta. Käesoleval juhtumil puudus Delfil, M. Kundil ja Y. Yel kaebuse esitaja nõusolek tema isikuandmete kolmandatele isikutele levitamiseks, rääkimata kolmandatest Euroopa Liidu välistest isikutest. Viidatud Riigikohtu lahendist tuleneb veel üks väga oluline põhimõte, mille kohaselt isegi selliste andmete, mis ei ole olemuselt mistahes viisil salastatud, vaid on igaühele sisuliselt vabalt kättesaadavad (nt kohtuistungitel avaldatud andmed), andmete meedias uuesti avaldamisel võivad andmesubjektile olla negatiivsed tagajärjed. Kaebuse esitaja selgitab, et need Riigikohtu selgitused on antud juhul olulised, kuivõrd Delfi, F. F ja Y. Y on korduvalt tuginenud väitele, et andmed, mille Delfi, F. F ja Y. Y kolmandatele isikutele edastasid, on väidetavalt avalikest allikatest kättesaadavad. Riigikohtu selgitustest tulenevalt ei ole aga andmete vabalt kättesaadavus aluseks andmete meedias avaldamiseks, kuivõrd see avardab 6 oluliselt teavitatavate isikute ringi. Antud juhul just see stsenaarium on puudutatud isikute tegevuse tagajärjel realiseerunud. Ilmselgelt ei oleks OCCRP lugejaskond ise asunud X. Xi kohta andmeid otsima, kui Delfi, F. F ja Y. Y ei oleks kolmandatele isikutele X. Xi andmeid avaldanud ning OCCRP artiklit ei oleks avaldatud. Riigikohtu selgitustest tulenevalt tuleb ka vabalt kättesaadavate andmete uuesti avalikustamisel ning ilmselgelt ka edastamisel kaaluda andmete avalikustamise mõju andmesubjektile. Ilmselgelt Delfi, F. F ega Y. Y mingit mõjuanalüüsi läbi ei viinud, vaid edastasid X. Xi isikuandmed, sh tundlikud isikuandmed, suvaliselt OCCRP-le, kellele Euroopa Liidu õigus ei kohaldu. Tähelepanuväärne on ka asjaolu, et Delfi, F. F ja Y. Y on tsiviilasjas selgitanud, et nemad ei saanud OCCRP artikli sisu kuidagi mõjutada, vaid nende tegevus seisnes üksnes X. Xi isikuandmete OCCRP-le edastamises. Delfi, F. Fi ja Y. Ye seisukohti on kinnitanud ka OCCRP peatoimetaja C. C (vt OCCRP peatoimetaja kinnituskirja lisas 1 oleva kaebuse lisas 4). See tähendab, et Delfi, F. F ja Y. Y edastasid X. Xi isikuandmed, sh tundlikud isikuandmed kolmandates riikides tegutsevatele kolmandatele isikutele selliselt, et neil puudus mistahes võim kontrollimaks, mida sellised kolmandad isikud X. X andmetega teha kavatsevad. Tegemist on jämeda

-i ja IKÜM-i rikkumisega, mistõttu on äärmiselt kummastav, kuidas on AKI sisuliselt leidnud, et isikuandmete sellisel viisil töötlemine on õiguspärane. Õiguskirjanduses on leitud, et üldiselt peaksid ajakirjanikuid hoiduma isikuandmete edastamisest Euroopa Majanduspiirkonna välistesse riikidele, kus puudub GDPR-iga sarnane andmete kaitse.1 Kaebuse esitaja juhib ka tähelepanu, et Delfi 06.05.2024 vastuse (dtl 258-265) p-s 13 on Delfi selgitanud, et samaaegselt Eestis toimuva kohtumenetlusega on X. X esitanud Y. Y ja F. F vastu hagi kohtusse Araabia Ühendemiraatides Dubais. X on kohtule edastanud Y. Y ja F. F isikuandmed, mis on võimaldanud kohtumenetlust ebademokraatlikus ja inimõigusi mitteaustavas riigis, tekitades Y. Yle ja F. Fle suurt varalist kahju ning pannes ohtu nende isikuõigused. Kaebuse esitaja selgitab, et Delfi, F. F ja Y. Y peavad nende isikuandmete (nimi, isikukood, elukoht) edastamist kohtumenetluses nende isikuõiguste räigeks rikkumiseks. Sarnaselt näiteks USA-ga on ka Araabia Ühendemiraadid kolmas Euroopa Liidu väline riik. Delfi, F. F ja Y. Y ei edastanud kolmandates riikides tegutsevatele kolmandatele isikutele aga X. Xi kohta mitte üksnes tavalisi isikuandmeid, vaid ka IKÜM ja

tähenduses tundlikke isikuandmeid. Delfi, F. F ja Y. Y, pidades enda nime, isikukoodi ja elukoha andmete AU]E kohtule kohtumenetluse läbiviimise edastamisel nende isikuõiguste räigeks rikkumiseks, tunnistavad ja võtavad sellega omaks, et nad on ka X. Xi õigusi räigelt rikkunud. AKI on asja lahendamisel nimetatud argumendi jätnud täielikult tähelepanuta. IKÜM art 6 lg 4 sätestab, et kui isikuandmete töötlemine muul eesmärgil kui see, milleks isikuandmeid koguti, ei põhine andmesubjekti nõusolekul või liidu või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada artikli 23 lõikes 1 osutatud eesmärkide täitmine, võtab vastutav töötleja selle kindlakstegemiseks, kas muul eesmärgil töötlemine on kooskõlas eesmärgiga, mille jaoks isikuandmeid algselt koguti, muu hulgas arvesse

a)seost nende eesmärkide, mille jaoks isikuandmeid koguti, ja kavandatava edasise töötlemise eesmärkide vahel;
b)isikuandmete kogumise konteksti, eelkõige andmesubjektide ja vastutava töötleja vahelist seost;
c)isikuandmete laadi, eelkõige seda, kas töödeldakse isikuandmete eriliike vastavalt artiklile 9 või süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmeid vastavalt artiklile 10;
d)kavandatava edasise töötlemise võimalikke tagajärgi andmesubjektide jaoks;
e)asjakohaste kaitsemeetmete olemasolu, milleks võivad olla näiteks krüpteerimine ja pseudonümiseerimine. 1 https://bookdown.org/fede_caruso/bookdown/the-journalistic-exemption-in-the-gdpr.html , peatükk 3.6. 7 Kabaja rõhutab, et asjaolu, et isikuandmete töötlemise rikkumine kolmanda isiku poolt, kellele isikuandmeid edastatakse, ei välista isikuandmete töötlemise rikkumist andmeid edastanud isiku poolt. Kuigi Delfi, F. Fi ja Y. Ye tegevus X. Xi isikuandmete, sh tundlike isikuandmete kolmandatele isikutele avaldamisel ja edastamisel oli täielikult õigusvastane, oleksid Delfi, F. F ja Y. Y pidanud IKÜM art 6 lg-st 4 tulenevalt, arvestades avaldatud ja edastatud isikuandmete laadi, pidanud minimaalselt võtma kasutusele asjakohased kaitsemeetmed, et maandada võimalikke riske andmesubjektile kahju tekitamisel, nt edastades andmed vähemalt pseudonümiseeritult. Ilmselgelt ei ole Delfi, F. F ja Y. Y mistahes kaitsemeetmeid kasutusele võtnud, vaid on vastutustundetult jaganud kolmandates Euroopa Liidu välistes riikides tegutsevatele kolmandatele isikutele X. Xi isikuandmeid, sh tundlikke isikuandmeid, mõtlemata võimalikele negatiivsetele tagajärgedele, mis selline avaldamine X. Xile kaasa võib tuua. AKI ei ole järelevalvemenetluse käigus välja selgitanud, kas ja milliseid kaitsemeetmeid Delfi, F. F ja Y. Y üldse kasutusele võtsid. Seega on AKI rikkunud IKÜM art 6 lg-t 4. Vastustaja on jätnud tähelepanuta ja kontrollimata ka Delfi poolt IKÜM § 24 lg 1, § 25 lg 1 ja 2 rikkumised. IKÜM § 24 lg 1 sätestab, et arvestades töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 24 lg 1 nõuete täitmist seoses kaebuse esitaja isikuandmete välisriikidesse edastamisega. IKÜM § 25 lg 1 sätestab, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke, samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja nii töötlemisvahendite kindlaksmääramisel kui ka isikuandmete töötlemise ajal asjakohaseid tehnilisi ja korralduslikke meetmeid, nagu pseudonümiseerimine, mis on vajalikud andmekaitsepõhimõtete (nagu võimalikult väheste andmete kogumine) tõhusaks rakendamiseks ja vajalike kaitsemeetmete lõimimiseks isikuandmete töötlemisse, et täita käesoleva määruse nõudeid ja kaitsta andmesubjektide õigusi. IKÜM § 25 lg 2 sätestab, et vastutav töötleja rakendab asjakohaseid tehnilisi ja korralduslikke meetmeid, millega tagatakse, et vaikimisi töödeldakse ainult isikuandmeid, mis on vajalikud töötlemise konkreetse eesmärgi saavutamiseks. See kehtib kogutud isikuandmete hulga, nende töötlemise ulatuse, nende säilitamise aja ja nende kättesaadavuse suhtes. Nende meetmetega tagatakse eelkõige see, et isikuandmeid ei tehta vaikimisi ilma asjaomase isiku sekkumiseta määramata füüsiliste isikute ringile kättesaadavaks. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 25 lg-te 1 ja 2 nõuete täitmist seoses kaebuse esitaja isikuandmete töötlemisega. Käesoleval juhtumil on selgelt rikutud IKÜM § 25 lg-t 1, kuna Delfi, F. F ja Y. Y ei ole hinnanud isikuandmete OCCRP-le edastamisest tulenevaid kaebuse esitaja õigusi ja vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte (X. Xi au ja mainet räigelt teotava OCCRP artikli ilmumine) ning X. Xi isikuandmeid ei ole edastatud anonümiseeritult. IKÜM § 30 lg 1 sätestab, et vastutav töötleja ja asjakohasel juhul vastutava töötleja esindaja registreerib tema vastutusel tehtavad isikuandmete töötlemise toimingud. Vastustaja ei ole kontrollinud Delfi, F. Fi ja Y. Ye poolt IKÜM § 30 lg 1 nõuete täitmist seoses kaebuse esitaja isikuandmete välisriikidesse edastamisega. IKÜM preambula p-s 101 on selgitatud, et isikuandmete piiriülene liikumine liitu mitte kuuluvatesse riikidesse ja rahvusvahelistele organisatsioonidele ning nendest riikidest ja organisatsioonidest liitu on vajalik rahvusvahelise kaubanduse ja koostöö laiendamiseks. Selliste andmevoogude suurenemine on laiendanud isikuandmete kaitsega seonduvate 8 väljakutsete ja probleemide ringi. Isikuandmete edastamisel liidust vastutavatele töötlejatele, volitatud töötlejatele või muudele vastuvõtjatele kolmandates riikides või rahvusvahelistele organisatsioonidele ei tohiks aga kahjustada liidus käesoleva määrusega tagatud füüsiliste isikute kaitse taset, sealhulgas juhtudel, kui kolmandast riigist või rahvusvahelisest organisatsioonist saadud isikuandmed saadetakse edasi vastutavatele töötlejatele või volitatud töötlejatele samas või muus kolmandas riigis või rahvusvahelises organisatsioonis. Igal juhul tohib andmeid kolmandatele riikidele ja rahvusvahelistele organisatsioonidele edastada ainult käesolevat määrust täielikult järgides. Andmeid tohiks edastada ainult siis, kui vastutav töötleja ja volitatud töötleja täidavad käesolevas määruses sätestatud tingimusi isikuandmete edastamise kohta, arvestades muid käesoleva määruse sätteid. Nõuded isikuandmete edastamisele kolmandatele riikidele ja rahvusvahelistele organisatsioonidele sätestab IKÜM 5. peatükk. Vastustaja ei ole vaidlustavast otsusest nähtuvalt kontrollinud, kas X. Xi isikuandmete OCCRP-le ja C. Cle edastamisel on järgitud IKÜM 5. peatüki (§ 44-49) nõudeid. Kaebuse esitaja on seisukohal, et ilmselgelt ei ole Delfi, F. F ja Y. Y järginud IKÜM § 44- 49 nõudeid, seda enam, et käesoleval juhtumil IKÜM § 49 lg 1 selgesõnaliselt keelab X. Xi isikuandmete edastamise kolmandatesse riikidesse. Lisaks eeltoodule sätestab IKÜM art 35 vastutavale töötlejale kohustuse viia läbi andmekaitsealase mõjuhinnangu, kui isikuandmete töötlemise tulemusel võib füüsilise isiku õigustele ja vabadustele tekkida tõenäoliselt suur oht. Ei saa mingit mõistlikku vaidlust olla, et kolmandates riikides tegutsevatele kolmandatele isikutele füüsilise isiku andmete, rääkimata tundlike isikuandmete jagamisest, võib isiku õigustele ja vabadustele ilmselgelt tekkida suur oht – antud juhul on sellised ohud ka realiseerinud kaebuse esitajat räigelt laimava OCCRP artikli näol. Vastustaja ei ole järelevalvemenetluse käigus hinnanud, kas puudutatud isikutel oli antud juhul kohustus selline mõjuhinnang koostada ning kas seda on ka tehtud, mistõttu vastustaja on rikkunud IKÜM art 35. AKI ei ole antud juhul üldse kontrollinud, millisele IKÜM-ist tulenevale õiguslikule alusele X. Xi isikuandmete Euroopa Liidu välistele kolmandatele isikutele levitamisele suunatud Delfi, F. Fi ja Y. Ye tegevus liigitub ning kas Delfi, F. Fi ja Y. Ye on täitnud IKÜM-ist tulenevad nõuded X. Xi isikuandmete, sh tundlike isikuandmete kolmandates riikides tegutsevatele kolmandatele isikutele avaldades ja edastades. Sealhulgas ei ole vastustaja kontrollinud, kas IKÜM § 44-49 alusel oli Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete kolmandatesse riikidesse edastamine lubatud. Järelikult on vaidlustatud otsus täielikult motiveerimata ning vastustaja on järelevalvemenetluse läbi viinud täiesti puudulikult, tegelikke faktilisi asjaolusid välja selgitamata. Kaebuse esitaja juhib tähelepanu, et AKI on ise oma veebilehel selgitanud, millisel viisil tohib isikuandmeid välisriiki edastada (dtl 266-268). Vastustaja on selgitanud, et mittepiisava andmekaitsetasemega riikide kategooriasse kuuluvad Ameerika Ühendriigid. USAsse edastamisel tuleb rakendada IKÜM art 46 ettenähtud kaitsemeetmeid või art 49 erandeid. Antud juhul ei esine mistahes IKÜM art 49 erandeid X. Xi andmete kolmandasse riiki edastamiseks. Samuti ei ole Delfi, F. F ega Y. Y kasutusele võtnud IKÜM art-s 46 sätestatud kaitsemeetmeid. Seega on ilmne, et Delfi, F. F ja Y. Y on X. Xi andmeid kolmandates riikides tegutsevatele kolmandatele isikutele edastades tegutsenud õigusvastaselt. Vastustaja on vaidlustatava otsuse tegemisel jätnud täielikult kontrollimata ja tähelepanuta asjaolu, et Delfi, F. Fi ja Y. Ye käitumine kaebuse esitaja isikuandmete levitamisel USA-s ning Bosnia ja Hertsegoviinas asuvastele isikutele on täielikult vastuolus IKÜM artiklites 46 ja 49 sätestatuga, seda muu hulgas vastustaja enda veebilehel olevate seletuste järgi. Vastustaja otsuses esitatud vastupidised seisukohad ei ole tõsiselt võetavad, sisuliselt tegeleb vastustaja kaebuse esitaja õigusvastase ja teadliku eksitamisega. 9 5.4. Kaebaja leiab, et AKI on jätnud täielikult täitmata oma HMS §-st 6 (uurimispõhimõte) tuleneva kohustuse selgitada välja menetletavas asjas olulise tähendusega asjaolud ning vajaduse korral koguma selleks tõendeid omal algatusel. Vaidlustatavast otsusest ja inspektsiooni 31.05.2024 vastusest (dtl 258-268) kaebuse esitaja teabenõudele nähtub, et vastustaja ainus menetlustoiming on antud juhul olnud päringu esitamine Delfile. AKI on aga jätnud täielikult välja selgitamata, millised konkreetseid andmed Delfi, F. F ja Y. Y kolmandatele isikutele avaldasid ja edastasid, mil viisil andmete edastamine toimus ning muud andmete edastamisega seotud faktid. AKI järeldused baseeruvad üksnes Delfi 06.05.2024 esitatud paljasõnalisel vastusel ning selle pimesi usaldamisel, omalt poolt fakte ja tegelikke asjaolusid üle kontrollimata. AKI on leidnud, et praegusel juhul on kaebaja saanud ka enda andmete edastamise osas piisavaid selgitusi. Praegusel juhul ei ole lähtuvalt toodud andmekoosseisust meile teadaolevalt edastatud muid andmeid, mis ei oleks kaasusega seotud. Kaebuse esitaja selgitab, et sellise järelduseni jõudmiseks oleks vastustaja pidanud konkreetselt tuvastama (nt algsete e-kirjade või muude tõendite põhjal), milliseid andmeid Delfi, F. F ja Y. Y kolmandatele isikutele avaldasid ja edastasid, samuti kas üldse ja milliseid selgitusi nad X. Xile jagasid. Delfi, F. F ja Y. Y ei ole kunagi X. Xi poole pöördunud, küsimaks nõusolekut tema isikuandmete USA-sse või Bosnia ja Hertsegoviinasse edastamiseks, vaid Delfi, O.Kund ja Y. Y edastasid X. Xi isikuandmeid täiesti omavoliliselt ning õigusvastaselt. Ilmselgelt ei oleks X. X olnud oma isikuandmete (sh tundlike) USA-sse või Bosnia ja Hertsegoviinasse edastamisega nõus olnud, kui temalt oleks nõusolekut küsitud. X. X selgitas juba 16.01.2024 esitatud kaebuses, et Delfi, F. F ega Y. Y ei ole X. Xit teavitanud, et nad kavatsevad X. Xi isikuandmeid, sh tundlikke isikuandmeid, kolmandatele Euroopa Liidu välistes riikides tegutsevatele isikutele avaldada ja edastada. X. X selgitas, et sai OCCRP artikli avaldamisest teada alles siis, kui OCCRP artikkel oli juba avaldatud. X. Xile ei ole tema andmete kolmandatele isikutele edastamise kohta mistahes selgitusi jagatud ei enne ega pärast andmete kolmandatele isikutele edastamist. IKÜM art 13 lg 1 p f sätestab, et kui andmesubjektiga seotud isikuandmeid kogutakse andmesubjektilt, teeb vastutav töötleja isikuandmete saamise ajal andmesubjektile teatavaks teabe, et vastutav töötleja kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile, ning teave kaitse piisavust käsitleva komisjoni otsuse olemasolu või puudumise kohta või artiklis 46 võ i 47 või artikli 49 lõike 1 teises lõigus osutatud edastamise korral viide asjakohastele või sobivatele kaitsemeetmetele ja nende koopia saamise viisile või kohale, kus need on tehtud kättesaadavaks. Kaebuse esitaja selgitab, et F. F võttis küll enne Delfi veebilehel artikli ilmumist X. Xiga telefoni teel ühendust, kuid F. F ei selgitanud X. Xile kordagi, et Delfi, F. F ja Y. Y plaanivad X. Xi isikuandmeid OCCRP-le edastada. Seega ei saanud AKI mitte kuidagi jõuda järeldusele, et X. Xile on mingeid selgitusi jagatud, rääkimata piisavatest selgitustest. AKI vaidlustavas otsuses väljendatud seisukohad ei põhine tegelikel asjaoludel ning AKI on HMS §-st 6 tuleneva kohustuse jätnud täielikult täitmata. 5.5. Arusaamatul põhjusel on AKI pidanud vajalikuks käsitleda vaidlustatavas otsuses allikakaitset. Vastustaja selgitab vaidlustatavas otsuses, kes on allikas, kuidas tuleb allikat kaitsta ning teeb järelduse, et kuigi kaebuse esitaja antud juhul allikaid teab, on nõuded ja karistusmeetmed allikate vastu taunitavad ning võivad piirata ajakirjandusvabadust. Kaebuse esitaja vastustaja seisukohtadega ei nõustu ning leiab, et vastustaja tõlgendab ebaõigesti allikakaitse olemust ja sisu, lisaks ei tulene „allikakaitsest“ Delfile, F. File ja Y. Yele mistahes seaduslikku alust X. Xi isikuandmete edastamiseks USA-sse ning Bosnia ja Hertsegoviinasse kui Euroopa Liidu välistesse kolmandatesse riikidesse. 10 Esiteks selgitab kaebuse esitaja, et allika kaitsevajaduse hindamine, kohaste meetmete rakendamine jms on ajakirjaniku ja allika vaheline asi, mis andmesubjekti, kelle andmeid ebaseaduslikult edastatakse välisriikidesse, mitte kuidagi ei puutu. Teiseks, AKI on jätnud tähelepanuta, et Delfi, F. F ja Y. Y ei ole antud juhul allikakaitset vajavateks ega soovivateks isikuteks, samuti ei ole OCCRP pidanud vajalikuks ega võtnud kasutusele ühtegi meedet oma allikate kaitsmiseks. Delfi, F. F ja Y. Y on ise tunnistanud ning teinud kõik endast oleneva, et tsiviilasjas tõendada, et nemad olid OCCRP-le X. Xi isikuandmete, sh tundlike isikuandmete edastajateks. Ka oma vastuses AKI päringule ei ole Delfi, F. F ega Y. Y selgitanud, et nad on allikakaitset vajavad isikud. Kolmandaks, OCCRP artiklis on lausa nimeliselt viidatud nii F. File kui ka Y. Yele. Samuti on OCCRP artiklis projekti partnerina märgitud ka Delfi (OCCRP artiklis märgitud Eesti Päevaleht). Seega on ilmne, et Delfi, F. F ega Y. Y ei ole allikakaitse meetmete rakendamist soovinud ning OCCRP ei ole ühtegi sellist meedet ka kasutusele võtnud, mistõttu vaidlustatud otsuses allikakaitsele tuginemine on antud juhul täielikult asjakohatu ja põhjendamatu. Neljandaks ei vääraks ka allikakaitse vajadus ja vastavate meetmete rakendamine kaebuse esitaja suhtes

ja IKÜM sätete rikkumist de facto. Isikuandmete töötlemist reguleerivad eeskätt

ja IKÜM. Igaühel, kes isikuandmeid töötlevad, tuleb lahtuda

-i ja IKÜM-i asjakohastest sätetest. Arvestades 16.01.2024 kaebuses kirjeldatud juhtumit, pidi AKI vähemalt möönma X. Xi isikuandmete, sh tundlike isikuandmete töötlemise rikkumise võimalikkust ning minimaalselt tuvastama, kas Delfi, F. F ja Y. Y võivad olla toime pannud mingi isikuandmete töötlemise rikkumise. Ka AKI ise on vaidlustatud otsuses selgitanud, et sellise usaldussuhte loomine võimaldab aga ajakirjanikul saada avalikku huvi eeldavates küsimustes informatsiooni ka isikutelt, kellele sellise teabe avaldamine on kas seadusega keelatud või toob talle muul viisil kaasa sanktsioonid, võimaldades sel moel teostada uurimisvabadust ja ajakirjandusvabadust laiemalt. Seega on ka AKI ise möönnud, et ajakirjanikule informatsiooni edastav isik võib informatsiooni edastades panna toime mingi rikkumise. Viiendaks ei välista allikakaitse vajadus meediaväljaannetele teavet andnud isiku vastutust, nagu AKI on ekslikult leidnud. Allikakaitsele tuginedes on võimalik meediaväljaandel keelduda oma informaatori kohta andmete avaldamisest, kuid see ei õigusta ega ole aluseks kaebuse esitaja isikuandmete kolmandatele Euroopa Liidu välistele isikutele edastamiseks. Riigikohus on 12.12.2022 lahendi nr 2-21-17817 p-s 8 selgitanud, et ajakirjanduslikul eesmärgil informatsiooni töötlevale isikule ning isikule, kes ametialaselt puutub kokku andmetega, mis võimaldavad tuvastada ajakirjanduslikul eesmärgil informatsiooni töötleva isiku informatsiooniallika, on TsMS § 257 lg-test 4 ja 5 tulenevalt antud õigus ütluste andmisest keelduda ning samuti TsMS § 281 lg 2 p-st 2 tulenevalt õigus dokumendi väljaandmisest keelduda, et kaitsta oma informatsiooniallikaid (õigus tugineda allikakaitsele). Ajakirjanduslikul eesmärgil informatsiooni töötlevaks isikuks on viidatud sätete mõttes füüsiline või juriidiline isik (ajakirjanik või ajakirjandusväljaanne), kes regulaarselt ja ametialaselt on seotud informatsiooni kogumise või levitamisega üldsusele mis tahes massiteabevahendi kaudu (vrd Euroopa Nõukogu soovitus nr 7

(2000)). Allikakaitse õigus on ajakirjaniku ja ajakirjandusväljaande absoluutne privileeg, seadusandja on neile andnud õiguse otsustada, kas anda informatsiooniallika identiteedi kohta ütlusi või teavet, mis võimaldaksid informatsiooniallika isikut tuvastada. Teisisõnu on näiteks ajakirjanikul või ajakirjandusväljaandel õigus keelduda selliste andmete avaldamisest, mille põhjal on võimalik tuvastada informaator. See eeldab, et ajakirjandusele on informatsiooni antud konfidentsiaalsena. Kui aga ajakirjanik oma allikat ei kaitse või ei suuda kaitsta, on see ajakirjaniku ja allika sisesuhte ja vastutuse küsimus. Antud juhul on ilmne, et mingit allikakaitset Delfi, F. Fi ja Y. Ye suhtes ei ole üldse rakendatud. Seega ei ole 11 nende vastutust X. Xi isikuandmete edastamisel OCCRP-le, C. Cle ja OCCRP artiklis märgitud teistele ajakirjanikele võimalik allikakaitsele tuginedes ka mistahes viisil välistada. Liiatigi ei õigusta „allikakaitse“ Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete õigusvastast levitamist ja edastamist kolmandatele isikutele. Sellised vastustaja seisukohad on õiguslikult sisutud. Kuuendaks on õiguslikult ainetu ka vastustaja seisukoht, mille kohaselt nõuded ja karistusmeetmed allikate vastu võivad piirata ajakirjandusvabadust. Kaebuse esitaja tõlgendab vastustaja selgitust selliselt, et vastustaja peab ajakirjandusvabadust kõrgemaks isiku õigustest oma isikuandmete kaitse üle. Selline seisukoht on täielikult sisutu ning vastuolus ka

§ 4

sätte eesmärgiga.

§ 4

teine lause sätestab, et isikuandmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi. Seega ei või ajakirjandusvabaduse teostamine andmesubjekti õigusi ülemäära kahjustada, järelikult prevaleerivad isikuõigused selgelt ajakirjandusvabaduse üle. Liiatigi ei anna „ajakirjandusvabadus“ õigust levitada kaebuse esitaja isikuandmeid ilma tema kui andmesubjekti nõusolekuta kolmandatele isikutele. Ajakirjandusvabadus annab teatud juhul õiguse kasutada ajakirjaniku poolt kogutud andmeid enda tarbeks (artikli kirjutamiseks), kuid see ei anna mingit õigust ajakirjanikule levitada kaebuse esitaja isikuandmeid kolmandatele isikutele väljapoole Euroopa Liitu. Antud juhul on Delfi, F. Fi ja Y. Ye poolt X. Xi isikuandmete õigusvastasel edastamisel OCCRP-le on olnud X. Xi jaoks rängad tagajärjed, kuna OCCRP avaldas Delfilt, F. Filt ja Y. Yelt saadud kaebaja isikuandmed artiklis, kus kajastatakse, kuidas Vene oligarhid, üle maailma tuntud tippkurjategijad ning korrumpeerunud poliitikud viljelevad Dubais rahapesu. Kaebuse esitaja ei ole mistahes rahapesu Dubais toime pannud ega mingit kuritegelikku tulu Dubai kinnisvarasse investeerinud, mistõttu Delfi, F. Fi ja Y. Ye poolt omavoliliselt ja X. Xi nõusolekuta X. Xi isikuandmete õigusvastane edastamine OCCRPle on kantud üksnes pahatahtlikust X. Xi õiguste ja hea nime kahjustamise eesmärgist. Kaebuse esitaja kirjeldas 16.01.2024 kaebuses, et X. Xi tööandjaks olnud Mercans General Trading LLC ütles OCCRP artikli ilmumise tõttu X. Xiga sõlmitud töölepingu üles. X. Xi igakuine töö tasu Mercans General Trading LLCs töötades oli (neto) 19 974,85 eurot. Hiljem ei ole X. X suutnud ligilähedaltki sama tasuvat ega ka oma kogemustele vastavat töökohta leida. Samuti on X. Xil äärmiselt keeruline oma õigusi kaitsta, kuna OCCRP on USA-s tegutsev meediaväljaanne, kelle vastu esitatud hagi Eesti kohtud kohtualluvuse puudumise tõttu ei menetle. USA-s OCCRP vastu au teotamise hagide esitamine maksab 2-3 miljonit USD, millise kahju on Delfi, F. F ja Y. Y tekitanud X. Xile. Lisaks on kaebuse esitajast kirjutanud ebaõigeid ja au teotavaid andmeid sisaldava artikli ka Suurbritannia äriühing FINTRAIL LTD, võttes aluseks OCCRP artikli. Nii on X. Xi isikuandmed hakanud üle maailma kontrollimatult levima ning selle kõik on põhjustanud Delfi, F. F ja Y. Y

§ 4ja ülal viidatud IKÜM sätete rikkumisega.

Kolmandates riikides on oma õiguste kaitsmine oluliselt ressursikulukam, kui Eestis, samas on X. X kaotanud tasuva töökoha, mis omakorda muudab X. Xil oma õiguste kaitsmise oluliselt keerulisemaks. 5.6. AKI-l on pädevus tuvastada Delfi, F. Fi ja Y. Ye rikkumised ning ka pädevus teha erineva sisuga ettekirjutusi. Andmekaitse Inspektsioon on vaidlustatavas otsuses selgitanud, et inspektsioon saab algatata kas riikliku järelevalvemenetluse, mille eesmärk on peaasjalikult õigusliku olukorra taastamine (nt ettekirjutuse tegemine), mida praegusel juhul ei ole võimalik teha, sest andmete edastamine on juba ära toimunud. Tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu, seega ei ole võimalik ka selles osas teha ettekirjutust. Kaebuse esitaja selgitab, et AKI pädevusalas ei ole üksnes riikliku järelevalvemenetluse läbiviimine. Justiitsministri 14.02.2007 määruse nr 10 „Andmekaitse Inspektsiooni põhimäärus“ § 9 sätestab inspektsiooni põhiülesanded. Mh on inspektsiooni põhiülesanneteks 12 oma tegevusvaldkondades järelevalve-, loa-, väärteo- ja muude ettenähtud menetluste läbiviimine, samuti teavitus- ja ennetustöö korraldamine. Vaidlustatud otsusest jääb mulje, justkui AKI pädevuses oleks üksnes ettekirjutuste koostamine ning sedagi vaid juhul, kui tegemist on kestva või eesseisva rikkumisega. See ei vasta tõele. AKI ei ole põhjendanud, millele tuginedes inspektsioon leiab, et tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu. Kaebuse esitaja selgitab, et ATSS § 4 lg 1 sätestab, et ettekirjutus käesoleva seaduse tähenduses on haldusakt, mis paneb isikule kohustuse teha nõutav tegu või hoiduda keelatud teost. Seega võimaldab ATSS teha ettekirjutuse ka keelatud teost hoidumiseks. Lisaks eelnevale ei piira seadus mistahes viisil AKI tegemast ettekirjutusi OCCRP-le ebaseaduslikult ning õigusliku aluseta töödeldavate X. Xi isikuandmete töötlemise lõpetamiseks. Õigusliku aluse selleks annab IKÜM § 50 (isikuandmete kaitseks tehtav rahvusvaheline koostöö), mis sätestab, et: komisjon ja järelevalveasutused võtavad kolmandate riikide ja rahvusvaheliste organisatsioonide suhtes asjakohased meetmed, selleks et

a)töötada välja rahvusvahelised koostöömehhanismid, millega hõlbustada isikuandmete kaitset käsitlevate õigusaktide tõhusa täitmise tagamist;
b)osutada rahvusvahelist vastastikust abi isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel, sealhulgas teavitamise, kaebuste suunamise, uurimistegevuse ja teabevahetuse kaudu, järgides asjakohaseid isikuandmete kaitsemeetmeid ning muid põhiõigusi ja -vabadusi;
c)kaasata asjaomased sidusrühmad arutellu ja tegevusse, mille eesmärk on edendada rahvusvahelist koostööd isikuandmete kaitset käsitlevate õigusaktide täitmise tagamisel;
d)edendada isikuandmete kaitset käsitlevate õigusaktide ja tavade vahetamist ja dokumenteerimist, sealhulgas kolmandate riikidega kohtualluvuse osas valitsevate lahkarvamuste küsimuses. Vastustajal on õigus teha ettekirjutusi Delfile, F. File ja Y. Yele edaspidise rikkumise ärahoidmiseks kui ka toimepandud rikkumiste heastamiseks (nt kohustada Delfit, F. Fi ja Y. Yt tarvitusele võtma abinõud OCCRP artiklis ebaseaduslikult avaldatud X. Xi isikuandmete avaldamise lõpetamiseks, kohustada Delfit, F. Fi ja Y. Yt hüvitama rikkumise lõpetamisega seotud nõuete OCCRP vastu esitamisega seotud kulud (X. Xi õigusabikulud USA-
s)jne). Lisaks on vastustaja pädevuses ka Delfi, F. Fi ja Y. Ye poolt rikkumise toimepanemise tuvastamine, milline asjaolu aitab samuti kaebuse esitajat oma õiguste teostamisel edasi. Vastustaja arusaamad enda pädevusest ja selle puudumisest on täielikult sisutühjad. AKI pädevuses on ka väärteomenetluste läbiviimine. Ka

§ 73

lg 2 sätestab, et

6. peatükis sätestatud väärtegude kohtuväline menetleja on Andmekaitse Inspektsioon. Antud juhul on puudutatud isikute rikkumised X. Xi isikuandmete, sh tundlike isikuandmete rikkumisel sedavõrd ilmsed, et nende tegevus võib liigituda mitme

6. peatükis sätestatud väärteo koosseisu alla. Kuna Andmekaitse Inspektsioon on ekslikult leidnud, et puudutatud isikud ei saa

§ 4

rikkumise eest vastutada ning on jätnud tuvastamata ka muud võimalikud

-i ja IKÜM-i rikkumised, on vastustaja jätnud põhjendamatult ka tuvastamata, kas Delfi, F. Fi ja Y. Ye tegevus võ

vastata mõnele

6. peatükis sätetatud väärteokoosseisu tunnusele. Kaebuse esitaja juhib ka tähelepanu, et isegi, kui Delfi, F. Fi ja Y. Ye võimalikud väärteod peaksid aeguma, oleks aegumine põhjustatud vastustaja enda suutmatusest 16.01.2024 esitatud kaebust mõistliku aja jooksul menetleda. Kaebuse esitaja on eespool kirjeldanud, et AKI ei suutnud enam kui kahe kuu jooksul kaebuse esitamisest isegi menetlust algatada, hoolimata sellest, et

§ 61

lg 1 sätestab, et AKI lahendab kaebuse 30 päeva jooksul kaebuse AKI-le esitamisest arvates.

§ 61

lg-st 2 tulenevalt võib vastustaja kaebuse läbivaatamise tähtaega pikendada kuni 60 päeva. Antud juhul tegi vastustaja aga otsuse enam kui 5 kuud pärast kaebuse esitamist, sealjuures asjaoludest nähtuvalt oli inspektsiooni ainus menetlustoiming sellel perioodil Delfile päringu esitamine, mistõttu sedavõrd pikk menetlusaeg oli antud juhul täielikult põhjendamatu. 13 Kaebuse esitaja on seisukohal, et AKI poolt järelevalvemenetluse läbiviimise viibimine kätkes endas õigusvastast viivitamist, mis kahjustab täiendavalt kaebuse esitaja õigusi, sest kaebuse esitaja isikuandmeid levitatakse jätkuvalt OCCRP artiklis ilma mistahes õigusliku aluseta ja ebaseaduslikult. Selle asemel, et astuda kaebuse esitaja õiguste kaitseks minimaalseidki samme, tegeles AKI menetluse venitamisega ning absurdsete põhjenduste otsimisega, kuidas asjaga mitte tegelda ning kuidas enda pädevust asjaga tegelemisel välistada. Lisaks juhib kaebuse esitaja tähelepanu veel ühele vaidlustatavas otsuses esitatud seisukohtadest nähtuvalt olulisele asjaolule. Nimelt on vastustaja sisuliselt leidnud, et kuna Delfi, F. F ja Y. Y on juba andmed kolmandatele isikutele ära edastanud – rikkumine on juba toime pandud – siis ei ole AKI-l enam midagi võimalik teha. Tekib õigustatud küsimus, et milleks AKI üldse eksisteerib, kui füüsilisel isikul ei ole võimalik AKI-lt, kelle peamiseks ülesandeks on isikuõiguste kaitse, oma õiguste räige rikkumise korral mitte mingisugust abi saada. Analoogselt oleks äärmiselt absurdne, kui politsei keelduks menetlemast kehalise väärkohtlemise juhtumit, tuues ettekäändeks, et kehaline väärkohtlemine on juba toime pandud ja seda enam olematuks muuta ei saa. Selliselt on AKI tunnistanud, et ta on võimetu isegi oma põhiülesannet täitma. 5.7. Kaebaja märgib, et ei ole võimalik nõustuda vastustajaga selles, et kaebusega ei ole võimalik lõplikku tulemust saavutada. Kaebuse esitaja selgitab, et kaebuse üheks ja ühtlasi ka peamiseks eesmärgiks ongi rikkumise enda lõpetamine – täpsemalt OCCRP poolt kaebuse esitaja isikuandmete avaldamise lõpetamine. Samuti on kaebuse esitaja eesmärk, et Delfi ja tema ajakirjanikud lõpetaksid igasuguse kaebuse esitaja andmete töötlemise. Kaebuse eesmärk ei ole pelgalt isikuandmete edastamise lõpetamine, nagu AKI paistab ekslikult arvavat. Teiseks annab

§ 56

mitteammendava loetelu AKI õigustest ja pädevustest riikliku ja haldusjärelevalve teostamisel. AKI õigused ja pädevused tulenevad ka muudest õigusaktidest, nt HMS-ist, ATSS-ist jne. Seega on AKI-l isikuandmete kaitse vallas hulganisti õigusi ja pädevusi, kuid AKI ei ole kaebuse esitaja isikuandmete kaitse tagamiseks teinud mitte midagi – vastupidi, AKI kiidab kaebuse vastusest nähtuvalt Delfi ja viimase ajakirjanike ilmse õigusvastase tegevuse kaebaja isikuandmete levitamisel Euroopa Liidu välistele isikutele (OCCRP jt ) igati heaks. Eelviidatud normidest tulenevalt on sisutu ka AKI seisukoht kaebuse vastuses märgitu, milles AKI leiab, et Delfit ega ajakirjanikke ei saa kohustada OCCRP poolt avaldatud artiklis isikuandmete avaldamist lõpetada, kuna see ei ole nende mõju all. AKI saab näiteks kohustada Delfit ja tema ajakirjanikke edastama OCCRP-le kirja, et viimane lõpetaks X. Xi isikuandmete avaldamise. Sellise ettekirjutuse saab OCCRPle teha ka AKI ise. Kaebuse esitaja peab oluliseks toonitada, et isikuandmete kaitse on AKI pädevusalas ja peamine ülesanne. Seega peaks AKI olema ka ise pädev otsustama, millisel menetluslikul viisil AKI oma ülesandeid täidab – kaebuse esitaja ei pea AKI-le ette ütlema, kuidas AKI oma ülesandeid täitma peab, millise menetlusliku viisi valima jne. Kaebuse esitanud isiku ülesanne on AKI ette tuua üksnes rikkumise faktilised asjaolud, mida kaebaja tegi juba esmakordselt AKI poole pöördumisel. Kolmandaks märgib kaebaja, et AKI väited selle kohta, et ta ei saa USA-s asuvaste äriühingute suhtes ühtegi järelevalvetoimingut vms teha, ei vasta tõele. Kaebaja toob näiteks, et Hollandi AKI trahvis Uberit selle eest, et see edastas autojuhtide infot, sh karistusregistri andmeid, Ameerika Ühendriikidesse (vt https://www.reuters.com/technology/cybersecurity/dutch-privacy-watchdog-ines-ubersending-drivers-data-us-2024-08-26 /). Seega AKI väited sellest, et AKI ei saa kaebaja õiguste kaitseks midagi ära teha, ei vasta tõele ning on pelgalt „otsitud“. Neljandaks, on AKI seisukohad täielikult absurdsed. Kaebuse esitaja selgitab, et antud juhul sai kaebuse esitaja oma isikuandmete töötlemisest teada alles OCCRP artikliga tutvudes ehk alles pärast seda, kui Delfi ja tema ajakirjanikud olid juba kaebuse esitaja isikuandmed 14 OCCRP-le kaebaja selja taga ning kaebajat eelnevalt teavitamata edastanud. AKI seisukohtadest nähtuvalt on AKI-l aga võimalik õigusliku olukorra taastamiseks menetlus algatada enne rikkumise lõpuleviimist. Seega olukorras, kus andmete edastamine toimub andmesubjekti teadmata ja andmete edastamine on juba toimunud, ei saagi AKI enda sõnul sisuliselt enam midagi Isiku õiguste kaitseks ära teha. Ilmselgelt ei ole see olnud IKÜM ja

loomise eesmärgiks, mistõttu AKI seisukohad on väärad. Viiendaks on AKI seisukohad vastuolulised. Vaidlustatud 20.05.2024 menetluse lõpetamise teates selgitas AKI, et tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu. Kaebuse vastuses aga selgitab AKI, et AKI-l ei ole olnud alust ega põhjust hinnata vajadust teha ettekirjutust edaspidise andmete edastamise ärahoidmiseks. Seega on AKI leidnud, et nõudeid mingist tegevusest hoidumise kohta saab esitada üksnes kohus, seejärel aga, et selline pädevus on AKI-l. Kaebuse esitaja leiab, et valitsusasutuse poolt sellisel viisil füüsiliste isikute eksitamine on lubamatu. Viidatud kahest AKI seisukohast kogumis – tulevikku hoidumist kohustavaid nõudeid saab üksnes taotleda kohtu kaudu (20.05.2024 menetluse lõpetamise teatis lk 2) ja AKI tegevus kaebuste menetlemisel on suunatud eelkõige õigusliku olukorra taastamisele ehk rikkumise lõpetamisele (06.09.2024 kaebuse vastuse p 3.2) – saab järeldada, et AKI-l on pädevus menetlus algatada üksnes juhul, kui rikkumine on kestev, kuid mitte pärast rikkumise lõpetamist. Sisuliselt saab järeldada, et AKI näeb (antud juhtumi näitel) endal tegutsemispädevust üksnes nende loetud sekundite jooksul, mil andmesubjekti andmed ühest serverist teise serverisse jõuavad, sest enne andmete ühest serverist väljumist on menetluspädevus üksnes kohtul ning pärast andmete teise serverisse jõudmist on juba AKI pädevus ammendunud. AKI seisukohad on täielikult absurdsed ja jätavad andmesubjekti tema õiguste rikkumise korral täielikult abita. Ilmselgelt ei ole see aga olnud IKÜM ja

loomisel eesmärgiks. 5.8. Arusaamatu ja vastuoluline on AKI seisukoht, mille kohaselt AKI möönab, et ei ole välistatud, et

§-s 4 nimetatud ajakirjandusliku eesmärgi laiemalt tõlgendamisel oleks võimalik jõuda seisukohale, et antud juhul tegutses Delfi teatud osas ka ajakirjanduslikul eesmärgil. Suures plaanis aga ei muuda aga see sisuliselt järelevalvemenetluses jõutud järeldust, et kaebuses viidatud isikuandmete edastamine oli vajalik ajakirjaniku uurimiskohustuse täitmiseks ja seega õiguspärane. Esiteks ei ole AKI selgitanud, millest tulenevalt AKI leiab, et Delfi tegutses teatud osas ka ajakirjanduslikul eesmärgil. Millises osas Delfi AKI hinnangul ajakirjanduslikul eesmärgil tegutses ning millises osas mitte, AKI ei selgita. Teiseks on AKI seisukoht vastuoluline. Kaebuse esitaja juhib tähelepanu, et vaidlustatud 20.05.2024 menetluse lõpetamise teatises selgitas AKI, et taotlus kontrollida isikute tegevuse vastavust isikuandmete kaitse seaduse (

) § 4 osas ei saa täita, kuna säte käsitleb ajakirjanduslikul eesmärgil avalikustamist, aga antud juhul võib kaebuse kirjelduse alusel olla tegemist üksnes isikuandmete edastamisega ja avaldamine toimub juba omakorda võrgulehe https://www.occrp.org omaniku poolt. Seejärel leidis AKI 20.05.2024 menetluse lõpetamise teatises, et puudutatud isikud ei ole rikkunud võrgulehel /www.occrp.org avaldatud artikli osas

§ 4nõudeid.

06.09.2024 vastuses kaebusele aga leiab AKI, et ei ole välistatud, et /…/ antud juhul tegutses Delfi teatud osas ka ajakirjanduslikul eesmärgil. Selliselt on AKI jõudnud kahes erinevas menetlusdokumendis sisuliselt kolmele järeldusele: 1) Delfi vaidlusalusele tegevusele ei kohaldu

§ 4

; 2) Delfi ei ole rikkunud

§ 4

; 3) On võimalik, et

§ 4osaliselt kohaldub, kuid Delfi tegevus on õiguspärane.

Kaebuse esitaja leiab, et AKI seisukohtade vastuolulisus on täielikult lubamatu. AKI ei suutnud isegi ühe menetlusdokumendi raames oma seisukohtadele kindlaks jääda. Nüüd aga pakub AKI Delfi tegevusele välja juba kolmanda tõlgenduse, kusjuures AKI kolmas seisukoht 15 ei ole esitatud kindlas kõneviisis, vaid AKI üksnes oletab, et Delfi võis tegutseda osaliselt ajakirjanduslikul eesmärgil. Kaebuse esitaja hinnangul näitab aga sellisel viisil seisukohtade pidev muutmine ja oletuslike seisukohtade esitamine asjaolu, et AKI ei ole AKI-le 16.01.2024 esitatud kaebust üldse läbi vaadanudki ega Delfi ja tema ajakirjanike tegevuse õiguspärasust kaebaja isikuandmete kolmandatele Euroopa Liidu välistele isikutele levitamisel vähimalgi määral hinnanud. Kolmandaks, AKI on teinud kummalise järelduse – kaebuses viidatud isikuandmete edastamine oli vajalik ajakirjaniku uurimiskohustuse täitmiseks ja seega õiguspärane. Kaebuse esitaja selgitab, et

§ 4

ei sätesta isikuandmete edastamise õiguspärasuse alusena ajakirjaniku uurimiskohustuse täitmist.

ega ka IKÜM ei reguleeri üldse mistahes ajakirjanike uurimiskohustusi. Seega on AKI väide, nagu muudaks uurimiskohustuse täitmine Delfi ja tema ajakirjanike tegevuse õiguspäraseks, täielikult ebaõige ja otsitud. Neljandaks on arusaamatu, millisel viisil saab üldse isikuandmete kolmandas riigis tegutsevale meediaväljaandele edastamine olla ajakirjaniku uurimiskohustuse täitmine. AKI selgitustes puudub mistahes loogika. Viiendaks on AKI seisukoht vastuolus AKI enda veebilehel avaldatud informatsiooniga (dtl 266-268), milles vastustaja on ise selgitanud, et mittepiisava andmekaitsetasemega riikide kategooriasse kuuluvad Ameerika Ühendriigid. USAsse edastamisel tuleb rakendada IKÜM art 46 ettenähtud kaitsemeetmeid või art 49 erandeid. AKI veebilehel ei ole viidatud ning AKI ei ole ka vastuses kaebusele selgitanud, millisest normist tulenevalt võib ajakirjaniku uurimiskohustuse täitmisel IKÜM art 46 kaitsemeetmed kohaldamata jätta. Samuti ei kajastu ajakirjaniku uurimiskohustuse täitmine IKÜM art 49 sätestatud erandite seas. Kaebuse esitaja hinnangul on AKI käitumine absurdne. Sisuliselt esitab AKI valimatult vastuolulisi ja asjakohatuid seisukohti, et iga hinna eest vältida oma seadusest tuleneva kohustuse täitmist – viia Delfi ja tema ajakirjanike suhtes läbi järelevalvemenetlus ning tagada kaebaja õiguste rikkumise lõpetamine. 5.

Kaebaja leiab, et AKI ei suutnud kaebust mõistliku aja jooksul menetleda, mille tagajärjel on Delfi ja tema ajakirjanike väärteod aegunud. Kaebuse esitaja möönab, et Delfi ja tema ajakirjanike väärteod on tänaseks aegunud. Küll aga aegusid Delfi ja tema ajakirjanike väärteod AKI suutmatuse tõttu 16.01.2024 kaebust mõistliku aja jooksul menetleda. AKI on kaebuse vastuses asunud esitama ennast õigustavaid väiteid, et väärteomenetluse läbiviimine enne aegumist (paari kuu jooksul) ei ole realistlik, kuna väidetavalt võtab vajalike toimingute tegemine keskmiselt kuus kuud. Kaebuse esitaja peab AKI selgitusi täielikult sisututeks. Esiteks selgitab kaebuse esitaja, et vaidlusalune OCCRP artikkel avaldati
aasta maikuus. Kuivõrd AKI ei ole mitte ühtegi menetluses tähtsust omavat asjaolu välja selgitanud, sh millal kaebuse esitaja andmed OCCRP-le edastati, saab aegumistähtajaks kulgemise alguse kuupäevaks pidada OCCRP artikli ilmumise kuupäeva 03.05.
Seega aegusid Delfi ja tema ajakirjanike väärteod 03.05.
Kaebuse esitaja edastas AKI-le kaebuse 16.01.
Seega oli AKI-l aega kaebust menetleda 3,5 kuud, mitte 2 kuud, nagu AKI on ekslikult väitnud. Teiseks, AKI selgitus vajalike toimingute tegemist ajast ei ole kooskõlas kehtiva õigusega.

§ 61

sätestab AKI-le kohustusliku kaebuse läbivaatamise tähtaja.

§ 61

lg-st 1 tulenevalt peab AKI kaebuse lahendama 30 päeva jooksul kaebuse esitamisest arvates.

§ 60

lg-st 2 tulenevalt võib AKI kaebuse läbivaatamise tähtaega pikendada kuni 60 päeva võrra. Seega on AKI-l seadusest tulenev kohustus lahendada AKI-le esitatud kaebused kõige enam 90 päeva jooksul. AKI aga isegi ei tegelenud enam kui kaks kuud kaebuse menetlemisega. Alles pärast kaebuse esitaja 21.03.2024 esitatud teabenõuet (dtl 246-247) vastas AKI kaebuse 16 esitajale 23.04.2024, et AKI on teinud Delfile järelepärimise. Kui AKI oleks oma seadusest tulenevat kohustust täitnud ning asunud kaebust menetlema selle esitamisest arvates, ei oleks Delfi ja tema ajakirjanike väärteod aegunud. Seega on Delfi ja tema ajakirjanike väärtegude aegumine otseselt seotud AKI suutmatusega oma seadusest tulenevat kohustust täita. Kolmandaks, kaebuse esitaja viitab, et kaebuse esitaja edastas AKI-le kaebuse 16.01.

AKI lahendas kaebuse 20.05.
Seega võttis AKI-l kaebuse menetlemine aega enam kui 4 kuud. AKI rõhutab vastuses kaebusele, et väärteomenetluses vajalike toimingute (sh tõendite kogumine, ülekuulamised jms) tegemine võtab keskmiselt kuus kuud. AKI vastusest kaebusele nähtub, et peale kaebajale edastatud Delfi vastust ei olnud haldustoimikus muid dokumente, mis ei oleks kaebajal endal olemas. Niisiis oli AKI ainus toiming 4 kuu jooksul – pärast 16.01.2024 kaebuse esitamist ja 20.05.2024 kaebuse lahendamist – Delfile päringu edastamine. Mistahes muid toiminguid AKI ei teinud, sh ei vastanud kaebuse esitaja korduvatele teabenõuetele. Seega on AKI seisukoht täielikult ainetu. 5.
Kaebaja toob eraldi välja, et Delfi Meedia AS-i poolt X. Xi isikuandmete OCCRP-le õigusvastane edastamine on toonud kaasa X. Xi isikuandmete kontrollimatu levitamise kolmandate välisriikides asuvaste isikute poolt. OCCRP kasutas X. Xi nõusolekuta X. Xi isikuandmeid 03.05.2022 artiklis „Dubai Uncovered: Data Leak Exposes How Criminals, Officials, and Sanctioned Politicians Poured Money Into Dubai Real Estate“ (dtl 43). Käesolevaks ajaks on hakanud antud OCCRP artikkel n-ö oma elu elama, st OCCRP artikli põhjal on Suurbritannias registreeritud äriühing FINTRAIL LTD kirjutanud artikli „The Real (E)state of Money Laundering in Property” (lisas 1 koos tõlkega)2, milles OCCRP 03.05.2022 artiklile tuginedes laimati X. Xit lausega “Another illicit actor is the Estonian businessman X. X, a convicted fraudster listed as owning a villa and an apartment worth over $1 million.” Eelneva põhjal on tuvastatav, kuidas X. Xi isikuandmed on Delfi Meedia AS-i õigusvastase tegevuse tulemusena (OCCRP-le avaldamiseks edastamine ja viimase poolt avaldamine) hakanud mööda maailma õigusvastaselt ning X. Xi nõusolekuta levima, ilma et X. X saaks enda isikuandmete levitamist kuidagi kontrollida või selle vastu midagi ette võtta. Delfi Meedia AS-i

§ 46

lg-t 1 jämedalt rikkuva tegevuse tulemusena levitatakse nii OCCRP kui ka FINTRAIL LTD poolt kontrollimatult X. Xi isikuandmeid. X. X pöördus FINTRAIL LTD vastu ebaõigete andmete ümberlükkamise, kahju hüvitamise ning hageja isiklike õiguste rikkumise lõpetamise nõudega hagiga Harju Maakohtusse, mis võttis 25.03.2024 määrusega tsiviilasjas nr 2-24-4136 menetlusse (dtl 465-469). Menetluse käigus on ilmnenud, et Harju Maakohtul ja ka Suurbritannia riigil on olulisi raskusi FINTRAIL LTD-le hagi ja selle lisade kättetoimetamisega (vt Harju Maakohtu ja Justiitsministeeriumi vahelist e-kirjavahetust, dtl 470-473). X. X osundab, et antud näide tõendab, milliseid raskeid tagajärgi põhjustatakse isikuandmete kolmandatesse Euroopa Liidu välistesse riikidesse õigusvastase levitamisega ning kuivõrd keeruline on sellises olukorras Eesti kodanikul oma õigusi kaitsta. Sisuliselt hakkavad isikuandmed n-ö oma elu elama, ilma et andmesubjekt saaks efektiivselt takistada oma isikuandmete jätkuvat levitamist ja oma õigusi kaitsta ning seda isegi kohtu kaudu. Iseäranis olukorras, kus andmete levitajad asuvad väljaspool Euroopa Liitu ning peidavad ennast juriidiliste isikute taha. Sellises olukorras on AKI sekkumine kodaniku õiguste kaitseks vältimatult vajalik.

§ 56

lg 2 alusel on AKI-l muu hulgas pädevus ja õigus teha koostööd rahvusvaheliste andmekaitse järelevalve organisatsioonidega ja teiste andmekaitse järelevalve asutuste ning välisriikide muude pädevate asutuste ja isikutega (

§ 56

lg 2 p 4), õigus nõuda isikuandmete parandamist, õigus nõuda isikuandmete kustutamist (

§ 56

lg 3 p 4), õigus 2 Kättesaadav: https://3intrail.com/news/the-real-estate-of-money-laundering-in-property 17 nõuda isikuandmete töötlemise piiramist (

§ 56

lg 3 p 5) ning õigus nõuda isikuandmete töötlemise lõpetamist, sealhulgas hävitamist või arhiivi edastamist (

§ 56lg 3 p 6).

Käesoleval juhtumil ei ole AKI X. Xi õiguste ja huvide kaitseks mitte kui midagi teinud. Eeltoodust tulenevalt palub X. X Tallinna Halduskohtul kaebus rahuldada. 5.

Kaebaja palub menetluskulud vastustajalt välja mõista summas 6138,30 eurot vastavalt kohtule esitatud menetluskulude nimekirjale (dtl 477-481). VASTUSTAJA SEISUKOHT
Vastustaja palub jätta kaebuse rahuldamata. Vastustaja jääb oma varasemate seisukohtade juurde ja palub kohtul arvestada lisaks käesolevas seisukohas toodule ka menetluse lõpetamise teates toodut (vt dtl 251-254). Alljärgnevaga AKI täpsustab oma varasemalt väljendatud seisukohti lähtudes kaebuses toodust. 6.
AKI viis järelevalvemenetluse läbi, uuris asjakohasel määral kaebuse sisu ja menetluse lõpetamise teates selgitas põhjalikult kaebajale, miks otsustati menetlus lõpetada. AKI leiab, et antud juhul ei ole võimalik kaebusega taotletava lõplikku tulemust saavutada, kuna riikliku järelevalve menetluse eesmärgiks ei saa seada puhtalt

ja IKÜM sätete rikkumise tuvastamist, vaid AKI tegevus kaebuste menetlemisel on suunatud eelkõige õigusliku olukorra taastamisele ehk rikkumise lõpetamisele. Antud juhul on kaebaja isikuandmete edastamine ammu (2022. aastal) lõpule viidud. AKI möönab, et ei ole välistatud, et

Järelevalvemenetluses kogutud tõendid ei anna alust eeldada, et Delfi või ajakirjanikud plaaniksid uuesti kaebaja kohta isikuandmeid edastada. Kaebaja ei ole ka seda väitnud ega selle kohta ühtegi tõendi esitanud. Seega ei olnud AKI-l alust ega põhjust hinnata vajadust teha ettekirjutuse edaspidise andmete edastamise ärahoidmiseks. 6.
Arusaamatu on ka kaebaja väide (vt kaebuse p 2.6.5) selle kohta, et AKI pädevuses on kohustada andmetöötlejat toimepandud rikkumise heastada (nt kohustada Delfit, F. Fi ja Y. Yt tarvitusele võtma abinõud Journalism Development Network, Inc (OCCRP) artiklis ebaseaduslikult avaldatud X. Xi isikuandmete avaldamise lõpetamiseks, kohustada Delfit, F. Fi ja Y. Yt hüvitama rikkumise lõpetamisega seotud nõuete OCCRP vastu esitamisega seotud kulud (X. Xi õigusabikulud USA-s) jne). Andmeid edastanud isikud saavad vastutada ainult oma tegevuse eest. Delfit ega ajakirjanikke ei saa kohustada OCCRP poolt avaldatud artiklis isikuandmete avaldamist lõpetada, kuna see ei ole nende mõju all. Lisaks ei vastuta Delfi ega ajakirjanikud artiklis avaldatud info eest, kuna selle eest, nagu AKI õigesti menetluse lõpetamise teates leidis, vastutab artikli avaldaja (kes ise otsustab, millist infot ja kas üldse artiklis kasutab). Lisaks ei ole AKI pädevuses kahju hüvitamise nõuete menetlemine, kahju hüvitamise nõudega on kaebaja AKIle teadaolevalt tsiviilkohtusse hagiga pöördunud. 6.
Kaebaja on ebaõigesti leidnud, et väärteo aegumise tähtaeg ei ole saabunud. OCCRP artikkel on avaldatud 03.05.2022, isikuandete edastamine toimus enne seda. Seega isikuandmete kogumise ja edastamise ajal kehtinud karistusseadustiku (KarS) § 81 lg 3 kohaselt on väärtegu aegunud, kui selle lõpuleviimisest kuni selle kohta tehtud otsuse jõustumiseni on möödunud kaks aastat, kui seadus ei näe ette kolmeaastast aegumistähtaega.

6. ptk-s sätestatud väärtegudele kohalduvat kolmeaastast aegumistähtaega ettenägev

§ 73lg 1 jõustus alles 1.

novembril 2023 ehk pärast väidetavat rikkumist, seega tuleb aegumistähtaja arvutamisel lähtuda kaheaastasest tähtajast. Väärteomenetluse seadustiku (VTMS) § 29 lg 1 p 5 kohaselt tuleb väärteomenetlus aegumistähtaja möödumisel lõpetada. Aegumine on väärteomenetluses absoluutne menetlustakistus, mis ei 18 võimalda asja edasist menetlemist (RKKK 11.10.2016, 3-1-1-88-16, p 8). Etteheidetava rikkumise lõpuleviimisest möödus kaks aastat igal juhul enne AKI järelevalvemenetluse lõpetamist. 6.

Kaebaja etteheide, et isegi, kui Delfi, F. Fi ja Y. Ye võimalikud väärteod peaksid aeguma, oleks aegumine põhjustatud vastustaja enda suutmatusest 16.01.2024 esitatud kaebust mõistliku aja jooksul menetleda. AKI peab vajalikuks selgitada, et lisaks sellele, et järelevalvemenetluses ei olnud tuvastatud väärteo tunnuseid, ei olnud väärteomenetluse läbiviimine enne aegumist (paari kuu jooksul) realistlik, kuna väärteomenetluses vajalike toimingute (sh tõendite kogumine, ülekuulamised jms) tegemine võtab keskmiselt kuus kuud, seejuures arvestada tuleb ka võimaliku kohtumenetlusega. 6.
AKI möönab, et kaebaja taotlus tutvuda järelevalvemenetluse haldustoimikuga on jäänud piisava tähelepanuta. Siiski peab AKI vajalikuks selgitada, et peale kaebajale edastatud Delfi vastust ei olnud haldustoimikus muid dokumente, mis ei oleks kaebajal endal olemas. Pärast kaebajale Delfi vastuse edastamist vastas AKI ka Delfi selgitustaotlusele (vt Delfi 06.05.2024 vastuse p 15). Nimetatud vastus on kohtule esitatud koos käesoleva menetlusdokumentidega. 6.
Kõike eelnevat arvesse võttes ning tuginedes vaidlustatud menetluse lõpetamise teates väljendatule, on vastustaja seisukohal, et menetluse lõpetamise otsus on õiguspärane, kaalutlusvigadeta ja selle tühistamiseks puudub alus. 6.
IKÜM ei kohusta inspektsiooni menetlema iga kaebust selliselt, et selle tulemuseks on andmetöötlejale ettekirjutuse tegemine või karistuse määramine. Vastupidi, IKÜM art 57 lg 1 p f sätestab, et järelevalveasutus uurib kaebusi asjakohasel määral. Järelevalvemenetluse lõpetamise otsus on järelevalveasutuse kaalutlusõigusel põhinev otsustus ja kaebajal puudub subjektiivne õigus nõuda järelevalvemenetluses konkreetse sisuga järelevalvemeetme rakendamist.3 Sellist järelevalveasutuse õigust on jaatanud ka Euroopa Kohus.4 Läbiviidava haldusmenetluse esmane ja peamine eesmärk on, et lõppeks isiku õiguste rikkumine. Kaebaja väidab, et kaebuse peamiseks eesmärgiks on Journalism Development Network, Inc (OCCRP) poolt isikuandmete avaldamise lõpetamine. Antud juhul ei ole aga vaidlust selles, et vastustaja ei saa viia läbi menetlust artikli avaldaja ehk (OCCRP) suhtes järelevalvepädevuse puudumise tõttu. Ülaltoodust tulenevalt jääb selgusetuks, kuidas peab kaebaja poolt taotletava eesmärgi Eesti järelevalvemenetluses saavutama. Kaebaja esitatud lahendused ei ole Eesti menetlusõigusnormide kohaselt võimalikud, ka IKÜM ei kohaldu vastutava töötleja suhtes, kes ei asu Euroopa Liidus (vt IKÜM artikli 3 lõiget 1). Kaebaja viide Uberi trahvile ei ole antud juhul asjakohane, kuna Uber tegutseb EL-is ja on seega IKÜM-ile alluv vastutav töötleja, samas kui OCCRP ei asu liidus ega ole määranud EL-is esindajat. Lisaks toob kaebaja välja, et Delfi ja tema ajakirjanikud peaksid lõpetama igasuguse kaebaja andmete töötlemise. Siinkohal peab vastustaja vajalikuks rõhutada, et vaidlusalune OCCRP-le andmete edastamine on lõppenud. Kaebaja ei ole esile toonud ühtegi selgitust, miks ta leiab, et rikkumine on kestev, ega selgitanud, mida tema hinnangul tähendab Delfi ajakirjanike puhul kaebaja õiguste rikkumise lõpetamine. Kaebuses käsitletud konkreetsele andmetöötlusele on vastustaja andnud hinnangu järelevalvemenetluses. Iga järgmise andmetöötluse puhul tuleb eraldi hinnata avaldatud andmete sisu ja töötlemise asjaolusid. Ei saa keelata igasuguse edaspidise andmetöötluse puhtalt selle tõttu, et kaebajal on ajakirjandusega tekkinud negatiivne kogemus. Nagu vastustaja on juba korduvalt selgitanud, ei ole üksnes olukorrale õigusliku hinnangu andmine eraldiseisvalt eesmärk, mida peaks tagama riikliku järelevalve läbiviimisega ning sellised kaebaja esitaja seisukohad on käesoleval juhul selgelt põhjendamatud ja ülemäärased. 3 4 Vt Riigikohtu otsus asjas nr 3-3-1-85-15 Vt Euroopa Kohtu 26.04.2024 otsus asjas C-768/21 19 IKÜM artikli 82 lõike 1 kohaselt on kaebajal õigus saada vastutavalt töötlejalt või volitatud töötlejalt hüvitist tekitatud kahju eest, kui ta on saanud andmetöötleja poolt IKÜM-i rikkumise tulemusel kahju. Juhul kui kaebaja tunneb, et andmetöötleja on talle põhjustanud mingil moel kahju, siis tuleb tal pöörduda tsiviilkohtusse kahju hüvitamise nõudega. Muudes asjaoludes on vastustaja oma seisukoha varasemalt kujundanud ja neid üle kordama ei hakka. 6.
Vastustaja on seisukohal, et kaebaja menetluskulud on põhjendamatult suured. Taotlusele lisatud tõenditest nähtub, et kaebaja esindaja kulutas kaebuse koostamisele üle 20 tunni ning 12.11.2024 seisukoha (mille kaebaja esitas omal algatusel) koostamisele veel üle 7 tunni. Selline ajakulu ei ole arvestades vaidluse asjaolusid mõistlik. Märkimisväärne osa nii kaebuse kui seisukoha tekstist sisaldab pikki tsitaate erinevatest allikatest, sh kaebusele lisadena esitatud materjalidest, kohtupraktikast, seadustest ja vastustaja menetluse lõpetamise otsusest, mille täismahus kordamine ei olnud menetluse seisukohast vajalik, kuid see paisutas oluliselt esitatud dokumentide mahtu. Mõned kaebaja poolt esitatud seisukohad puudutavad seisukohti, mille üle vaidlus puudub või mis ei oma asjas tähtsust. HKMS § 108 lõike 12 kohaselt võib kohus vähendada menetluskulusid, kui need on ülemäärased või põhjendamatud. Ülaltoodust tulenevat palub vastustaja vähendada kaebaja menetluskulude suurust kohtu äranägemise järgi mõistliku ja põhjendatud määrani. KOHTU SEISUKOHT JA PÕHJENDUSED
Kohus, analüüsinud ja hinnanud vaidlustatud Andmekaitse Inspektsiooni (AKI) 20.05.2024 menetluse lõpetamise teadet isikuandmete kaitse asjas nr 2.1.-1/24/78-159-17 asjakohaseid õigusnorme, poolte kirjalikke seisukohti, ning kõiki asjas kogutud tõendeid kogumis ja nende vastastikuses seoses, on seisukohal, et kaebus tuleb rahuldada, vastustaja 20.05.2024 menetluse lõpetamise teade isikuandmete kaitse asjas nr 2.1.-1/24/78-159-17 tühistada ja kohustada vastustajat järelevalvemenetlust jätkama.
Käesolevas asjas ei ole vaidlust, et järelevalvemenetlus on kaebaja taotluse alusel AKI poolt algatatud ja läbi viidud ning selle lõpus tegi AKI kaalutlusõiguse alusel menetluse lõpetamise otsuse. Nimetatud otsus on kohtupraktika kohaselt haldusakt (vt Riigikohtu otsus haldusasjas nr 3-3-1-85-15 ja selles viidatud kohtupraktika). Menetlust lõpetava haldusaktina käsitletava kaalutusotsuse vaidlustamisel saab kaebaja eelkõige nõuda, et kohus kontrolliks, kas järelevalveorgan otsustaks järelevalvemenetluse lõpetamise ja/või järelevalvemeetme rakendamise üle kaalutlusvigadeta, kui järelevalvet sätestav õigusnorm kaitseb ka tema õigushüve.
Käesoleval ajal ei ole

ja IKÜM-is sätestatud põhimõtetest tulenevalt enam vaidlust, et õigus eraelu puutumatusele ei ole üksnes kaitseõigus riigi sekkumise vastu, vaid see loob riigile lisaks ka positiivseid kohustusi. Andmekaitse Inspektsiooni järelevalve üheks peamiseks eesmärgiks on kaitsta füüsiliste isikute õigust eraelu puutumatusele läbi mitmesuguste seaduses ettenähtud meetmete rakendamise võimaluse. Vaidlust ei ole ka selles, et isikul on järelevalvemenetluse lõpetamisel haldusorgani poolt kaebeõigus vaidluses selle üle, kas Andmekaitse Inspektsioon oleks pidanud järelevalvemenetlust jätkama ja tegema kolmandale isiku(te)le ettekirjutuse või kaaluma muu talle seadusega antud õiguse (meetme) rakendamist isiku eraelu puutumatuse tagamiseks. Riigikohus on oma haldusasjas nr 3-3-1-85-15 tehtud lahendi punktis 29 muuhulgas leidnud, et „… Andmekaitse Inspektsioonil on kaalutlusõigus, kas jääda kaebuse piiridesse või kontrolliulatust enda initsiatiivil laiendada.“. Kohus leiab, et see haldusorgani kaalutlusõigus hõlmab muuhulgas ka võimalike rakendatatavate meetmete ringi isiku õiguste rikkumise tuvastamisel. 20 10. Käesolevas asjas on isiku eraelu kaitse vajadusest lähtuvalt põhiküsimuseks küsimus, kas juba kord avaldatud kaebaja isikuandmete uuesti töötlemine ja nende edastamine avaldamise eesmärgil (mingit muud eesmärki vastavate andmete edastamine Delfi Meedia AS, F. Fi ja Y. Ye poolt OCCRP-le nähtuvalt muuhulgas ka OCCRP peatoimetaja C. C kirjast (dtl 82-83) kohtu hinnangul ilmselgelt ei kandnud) oli käesoleva juhtumi asjaolusid arvestades õiguspärane või mitte ning kas AKI, lõpetades asjas järelevalvemenetluse vastavas otsuses toodud põhjendustel, käitus õiguspäraselt. Kohus märgib, et vaidlust ei ole selles, et Delfi Meedia AS, F. F ja Y. Y kogusid erinevatest avalikest allikatest kokku dokumente ja andmeid, mis sisaldasid kaebajaja isikuandmed nii

kui ka IKÜM mõttes. Nähtuvalt OCCRP peatoimetaja selgitusest (dtl 84-85) olid nendeks isikuandmeid sisaldanud dokumentideks, mis edastati F. F ja Y. Y poolt OCCRP-le järgmised dokumendid:

Riigikohtu määruse, millega otsustati Xi väljaandmine USA-le;
Xi süüdimõistmist puudutavad kohtumaterjalid;
X. Xi ja — ajakirjanik F. F vahel toimunud — telefonikõnede transkriptsioonid. Vaidlust ei ole, et Riigikohtu määrus ja USA kohtudokumendid on kättesaadavad avalikest allikatest ja need on tehtud umbes 15 aastat tagasi.
Kohus leiab, et vaidlust ei saa olla ka selles, et andmeid kogunud isikud olid teadlikud, et neid korjatakse sisuliselt ajakirjanduslikul eesmärgil ja nende edastamisel kasutatakse neid väga suure tõenäosusega OCCRP poolt avaldatavas artiklis. Teistsugune järeldus oleks vastuolus nende kogumise kohta OCCRP peatoimetaja C. C poolt antud kirjalikus tunnistuses (dtl 82-83) punktis 4 toodu. Kohus märgib, et sisulist vaidlust ei saa tulenevalt kohtule esitatud materjalidest olla ka küsimuses, et Delfi Meedia AS ja F. F ja Y. Y tegutsesid andmete kogumisel osana rahvusvahelisest ajakirjanike koostöövõrgustikust, kes kogusid ja valmistasid OCCRP jaoks ette materjale artikli avaldamiseks Dubais eelkõige kriminaalse taustaga välismaalaste poolt soetatud kinnisvaraga. Kohus märgib, et sellele ühistegevusele viitab kõige otsesmalt ka asjaolu, et F. F ja Y. Y on nimetatud avaldatud artikli lõpus koos mitmete teiste isikutega sellele raporteerimisega kaasaaitajatena. Seega ei ole õige väide, et nad ei olnud teadlikud, mida nad teevad ja kuidas nende esitatud andmeid põhimõtteliselt nende edastamise järel kasutatakse. Asjaolu, et nad kaebaja poolt eraldi väljatooduna on tsiviilmenetluses asunud teistsugusele seisukohale (puudus ajakirjanduslik huvi), on seotud eelkõige nende kaitsepositsiooniga tsiviilmenetluses, mitte olemasolevate dokumentaalselt tõendatud faktidega. Kohus on eeltoodust tulenevalt kokkuvõtvalt seisukohal, et kõigepealt oli käesoleval juhul isikuandmete kogumiseks olemas õiguslik alus, milleks oli

§ 4

toodud võimalus töödelda isikuandmeid andmesubjekti nõusolekuta ajakirjanduslikul eesmärgil. Kohus märgib siinkohal, et selgelt eksitav on vastustaja vaidlustatud otsuses toodud väide, et ta ei saa täita taotlust kontrollida isikute tegevuse vastavust isikuandmete kaitse seaduse (

) § 4 osas, kuna säte käsitleb ajakirjanduslikul eesmärgil avalikustamist, aga antud juhul võib kaebuse kirjelduse alusel olla tegemist üksnes isikuandmete edastamisega ja avaldamine toimub juba omakorda võrgulehe https://www.occrp.org omaniku poolt. Kohus märgib, et vastustaja väidetavat ranget piirangut ainult avalikustamise eesmärgi osas

§ 4ei sisalda.

Vastav säte on sõnastatud järgmiselt: „Isikuandmeid võib andmesubjekti nõusolekuta töödelda ajakirjanduslikul eesmärgil, eelkõige avalikustada meedias, kui selleks on avalik huvi ja see on kooskõlas ajakirjanduseetika põhimõtetega. Isikuandmete avalikustamine ei tohi ülemäära kahjustada andmesubjekti õigusi.“. Nähtuvalt sellest sõnastusest, ei ole ajakirjanduslikul eesmärgil andmete töötlemine ainult nende avalikustamine meedias. Kohus on seisukohal, et see on ka loomulik, sest näiteks käesoleval juhul oli ajakirjanike koostöö puhul küll lõpp21 eesmärk selgelt isikustatud andmete avaldamine, sest vastasel juhul ei oleks artikkel vajalikul määral saavutanud oma põhilist ajakirjanduslikku – korruptsioonivastast – eesmärki. Kohus märgib, et kaebaja on siinkohal õigesti viidanud ka sellele, et

§ 4

sisu avanud seaduseelnõu seletuskirjas on otsesõnu viidatud sellele, et see ei hõlma ainult isikuandmete avalikustamist, vaid analüüsida oleks vaja ka nende säilitamist, otsingumootoritele kättesaadavaks tegemist, edastamist kolmandatele isikutele ning arhiveerimist või kustutamist. Vaatamata sellele, et andmete kogujad ja avaldajale edastajad ei otsustanud lõplikult ise nende avaldamise üle, tegutsesid nad kohtu hinnangul andmete kogumisel ja edastamisel ajakirjanikena ja olid teadlikud ka sellest, et nende poolt kogutud ja edastatud isikuandmeid kasutatakse väga suure tõenäolisususega edaspidi OCCRP poolt avaldatavas artiklis. See oli ka kohtu hinnangul terve mõistuse seisukohalt nende andmete kogumise ja edastamise ainuke loogiline ja põhjendatud eesmärk ajakirjanike koostöö raames. Seetõttu oli kohtu hinnangul tegemist isikuandmete töötlemisega ajakirjanduslikul eesmärgil ja selle teostamisel tuli kõigil töötlemise teostajatel järgida kohustust andmesubjektide ülemäärase kahjustamise vältimiseks. Selle hindamisel tuli neil lähtud nii Eesti kui Euroopa Liidu seadusandlusest. Kohus nõustub siinkohal kaebajaga, et AKI menetluse sisulist pealiskaudsust näitab päris olulises ulatuses asjaolu, et menetluse lõpetamise otsusest ei ole võimalik üheselt arusaadavalt välja lugeda, kas AKI on üldse korrektselt välja selgitanud, millisel õiguslikul alusel kaebaja isikuandmeid Delfi Meedia AS, F. Fi ja Y. Ye poolt koguti või kas sellel üldse oli õiguslik alus. Vaidlust ei ole ka selles, et kaebaja pole nõusolekut andnud ja teda pole ka ei teavitatud, et andmeid kogutakse väljaspool Euroopa Liitu tegutsevas rahvusvahelises väljaandes avalikustamiseks. 12. Kohus rõhutab, et asjaolu, et andmeid kogunud ajakirjanikud väidetavalt ei teadnud ja ei saanud mõjutada muude valmivas artiklis käsitletavate andmete sisu ja sellest tekkivat võimalikku täiendavat mõju kaebajale, mis kaasneb kaebaja isikuandmete avaldamisega samas artiklis, on vastuolus neile seaduses pandud kohustusega. Nimelt oli neil tulenevalt

§ 4

lauses toodust kohustus veenduda, et isikuandmete avalikustamine ei kahjusta ülemäära andmesubjekti õigusi. Kohus märgib, et nii terve mõistuse seisukohast kui ka asjas esitatud tõenditest lähtudes ei saa käesoleva juhtumi asjaolusid teades olla kahtlust, et isikuandmeid kogunud ajakirjanikud ja Delfi Meedia AS pidid aru saama, et need andmed kogutakse OCCRP poolt ettevalmistatavas artiklis avaldamiseks. Samuti oli käesoleval juhul selge, et nimetatud andmed puudutavad nende kogumise ajal üle 10 aasta tagust aega. Ainuüksi nendest asjaoludest tulenevalt oleks vähegi professionaalsel ajakirjanikul ja ajakirjanduslikul organisatsioonil pidanud tekkima küsimus, kas selline isikuandmete kogumine ja edastamine avaldamiseks väljaspoole Euroopa Liitu võib kahjustada andmesubjekti seadusega kaitstud õigusi. Kohus leiab, et õige on ka viide sellele, et vastustaja on jätnud hindamata kas avaldatud artiklis sisuliselt kaebaja kõrvutamine võrdsel tasemel maffiabosside ja korrumpeerunud kõrgete riigiametnikega on üldse proportsionaalne. Kohus möönab, et sellise kõrvutamise ulatus on kaheldamatult avaldaja otsustada, kuid käeoleval juhul oleks tulnud vastustajal välja selgitada, kas andmete edastajad ja kogujad olid otsuse tegemisel edastada kaebaja isikuandmeid teadlikud sellest, keda võidakse veel artiklis kajastadada ja kas kaebajate isikuandmete edastamine sellises kontekstis oli õiguspärane arvestades Eestis asuva anmete esmase töötleja kohustusega mitte kahjustada ülemäära kaebajat.
Kohus leiab siinkohal, et nn unustamisõigus on juba pikemat aega olnud üldteadaolevalt üheks oluliseks teemaks, mis otseselt puudutab ajakirjanduse poolt oma ülesannete täitmist ja inimeste eraelu kaitset, mistõttu ei ole professionaalse ja vastutustundliku ajakirjanduse 22 esindajate puhul võimalik vastava kaalutluse tegemata jätmisel tugineda ka teadmatusele. Veel vähem võib sellise kaalutluse tegemata jätmisel tugineda teadmatusele ajakirjandusväljaanne. Kohus märgib, et nähtuvalt vastastaja otsusest asi lõpetada, ta sellise kaalutluse teostamist andmete koguja ja edastaja poolt sisuliselt ei kontrollinud ja selle kohta andmeid ei kogunud tulenevalt ka asjaolust, et AKI ei selgitanud sisuliselt korrektselt välja, millisel õiguslikul alusel üldse andmeid koguti. Kaebaja on siinkohal õigesti viidanud asjaolule, et andmete kogumise õigusliku aluse küsimuses on vastustaja seisukoht otsuses vastuoluline ja suures osas arusaamatu. Kohus märgib, et siinkohal ei oma kohtu hinnangul tähtsust ainut asjaolu, et andmed edastati kolmandasse riiki, sest nende edastajatel, kes olid EL asuvad ajakirjanikud, oli kohustus kaaluda kas nende avalikustamine võib ülemäära kahjustada andmesubjekti õigusi ja võtta kasutusele meetmed selle vältimiseks. Vaidlust ei ole siinkohal, et kaebaja oli oma kogutavate isikuandmete edasise ja täiendava avalikustamise vastu. Nii oleks konkreetsel juhul saanud jätta kas andmed edastamata või seadma tingimuseks anonümiseerimise avalikustamisel. Vastavad asjaolud ning nende mõju otsusele on vastustaja nähtuvalt vaidlustatud otsusest jätnud kaalumata.
Kohus nõustub kaebajaga ka selles, et vastustaja ei ole otsuse langetamisel täitnud uurimiskohustust selgitamaks välja, kas Delfi, F. F ja Y. Y on kaebaja andmeid kolmandates riikides tegutsevatele isikutele edastades tegutsenud õiguspäraselt või õigusvastaselt. Nõuded isikuandmete edastamisele kolmandatele riikidele ja rahvusvahelistele organisatsioonidele sätestab IKÜM
peatükk. Vastustaja ei ole vaidlustavast otsusest nähtuvalt kontrollinud, kas kaebaja isikuandmete OCCRP-le ja C. Cle (kohus leiab, et tulenevalt C. C ametikohast OCCRP-s ei ole siin tegu sisuliselt erinevate adressaatidega) edastamisel on järgitud IKÜM
peatüki (§ 44-49) nõudeid. Selline kaalutlus ja põhjendus vaidlustatud otsuses sisuliselt puudub. Kaebuse esitaja on seisukohal, et ilmselgelt ei ole Delfi, F. F ja Y. Y järginud IKÜM § 44- 49 nõudeid, seda enam, et käesoleval juhtumil IKÜM § 49 lg 1 selgesõnaliselt keelab X. Xi isikuandmete edastamise kolmandatesse riikidesse. Kaebuse esitaja juhib kaebuses kohtu hinnangul õigustatult tähelepanu, et AKI on ise oma veebilehel selgitanud, millisel viisil tohib isikuandmeid välisriiki edastada (dtl 266-268). Vastustaja on selgitanud, et mittepiisava andmekaitsetasemega riikide kategooriasse kuuluvad Ameerika Ühendriigid. USAsse edastamisel tuleb rakendada IKÜM art 46 ettenähtud kaitsemeetmeid või art 49 erandeid. Antud juhul ei esine kaebaja arvates mistahes IKÜM art 49 erandeid X. Xi andmete kolmandasse riiki edastamiseks. Samuti ei ole kaebaja arvates Delfi, F. F ega Y. Y kasutusele võtnud IKÜM art-s 46 sätestatud kaitsemeetmeid. Seega on ilmne, et Delfi, F. F ja Y. Y on X. Xi andmeid kolmandates riikides tegutsevatele kolmandatele isikutele edastades tegutsenud õigusvastaselt. Kohus nõustub eelpooltoodud seisukohtadega ja leiab sarnaselt kaebajaga, et vastustaja on vaidlustatava otsuse tegemisel jätnud täielikult uurimata ja tähelepanuta asjaolu, et Delfi, F. Fi ja Y. Ye käitumine kaebuse esitaja isikuandmete edastamisel USA-s ning Bosnia ja Hertsegoviinas asuvatele isikutele võib olla olulises vastuolus IKÜM artiklites 46 ja 49 sätestatuga, seda muu hulgas vastustaja enda veebilehel olevate seletuste järgi. Nimetatud küsimuste uurimata ajätmine on ka kohtu arvates oluline menetlusviga, mis toob kaasa vaidlustatud otsuse õigusvastasuse ja selle tühistamise.
Kohus märgib, et kohtu hinnangul, mis ühtib selles küsimuses kaebaja omaga, on vastustaja ekslikult ja asjakohatult kirjeldanud vaidlustatud otsuses pikalt allikakaitsega seotud teemat. Kohus on eelnevalt selgitanud, et käesoleval juhul on vastustaja ekslikult 23 asunud seisukohale, et kaebajad on käesoleval juhul ainult allikateks ajakirjanikele mitte sisuliselt selle kallal töötanud ajakirjanikud või isegi avaldatud artikli kaasautorid, mida võib välja lugeda nende nimede avaldamisest avaldatud artikli lõpus.
Kohus nõustub kaebajaga ka selles, et vastustaja on õigusvastaselt ja põhjendamatult asunud seisukohale, et käesoleval juhul puuduvad tal alused sekkumiseks, sest kaebaja saab oma õigusi kaitsta tsiviilkorras kahjunõuete esitamisega. Kohus nõustub kaebajaga selles, et vastustaja on otsustamisel jätnud sisuliselt kaalumata tema käsutuses olevad võimalikud meetmed kaebaja õiguste kaitsmiseks. Kaebaja toob kaebuses õigustatult välja, et AKI ei ole sisuliselt üldse kaalunud, milliseid muid meetmeid, mis on temal seadusega ja IKÜM-iga tema pädevusse antud, peale ettekirjutuse väärteomenetluses oleks tal võimalik käesoleval juhul rakendada kaebaja õiguste kaitsmiseks. Kaebajad juhivad õigustatult tähelepanu, et kaebajate õiguste kaitseks on tegelikult nii

-s (§ 56-59) kui IKÜM-is (näiteks artiklis 57) laialdane valik ettenähtud meetmeid ja nende rakendamise kaalumist käesoleval juhul ei nähtu, mis on oluline kaalutlusviga menetluse lõpetamisel. Tulenevalt AKI kohustusest kaitsta Eesti inimeste õigusi seoses nende isikuandmete kaitseks ettenähtud õigusaktidega, on kohus seisukohal, et AKI on siinkohal õigusvastaselt jätnud kaalumata mitmesugused talle seadusega antud võimalused ja meetmed. AKI poolt võimalikult rakendatavad meetmed isikute kaitseks ei piirdu õigusaktidest nähtuvalt ainult väärteomenetluse läbiviimisega. Kaebaja on õigustatult välja toonud, et AKI-l on võimalik teha näiteks ettekirjutus kolmandatele isikutele OCCRP poolde pöördumiseks palvega anonümiseerida avaldatud artiklis avaldatud isikuandmed või taotlusega kustutada vastav osa artiklist üldse tulenevalt asjaolust, et see rikub oluliselt kaebaja õigust olla unustatud. Samuti on AKI-l võimalik ka ise pöörduda OCCRP poole vastava palvega. Kohus on seisukohal, et arvestades OCCRP poolt avalikustatud artikli sisu ja kaebaja asetamist selles kõrvuti orgnaiseeritud kuritegevuse ja korrumpeerunud poliitikutega ning kaebaja välja toodud oma õiguste tsiviilkorras teostamise keerukust ja hinda välismaal, oleks nende meetmete rakendamise kaalumine olnud kohustuslik ja nendest täielikku loobumist tulnud eraldi põhjendada. Samuti ei ole täielikult põhjendamatu ka kaebaja seisukoht, et on võimalik kohustada andmeid kogunud isikuid kaebajat käsitlevad andmed kustutama enda andmebaasidest, kui AKI jõuab järeldusele, et nende kogumiseks ja hoidmiseks ning avalikustamiseks edastamiseks ei olnud käesoleval juhul enam õiguslikku alust.

Kokkuvõttes on vastustaja oma vaidlustatud menetluse lõpetamise otsuses jätnud sisuliselt täitmata uurimiskohustuse mitmes olulises küsismuses (eelkõige unustamisõiguse ja isikuandmete töötleja poolt seaduses ette nähtud isiku ülemäärase kahjustamise ning välismaale isikuandmete edastamise õiguspärasuse kaalutluse teostamise küsimuses) ning tätimata oma kaalumiskohustuse tema pädevuses olevate võimalike kaebajat kaitsvate meetmete rakendamiseks ning kaebus tuleb seetõttu rahuldada, vaidlustatud haldusakt tühistada ning kohustada vastustajat menetlust jätkama. Kohus märgib, et ka ressursi puudus AKI-l ei saa olla aluseks asja sisuliselt lahendamata jätmiseks. Eesti on võtnud EL õiguse kohase rakendamise kohustuse ja neid tuleb täita eraldades selleks piisavalt ressursi riigieelarvest.
HKMS § 108 lõike 1 kohaselt kannab menetluskulud pool, kelle kahjuks otsus tehti. Käesolevas asjas tehti otsus vastustaja kahjuks. Kaebaja palub menetluskulud vastustajalt välja mõista summas 6138,30 eurot (sh käibemaks) vastavalt kohtule esitatud menetluskulude nimekirjale (dtl 477-481). Kohus leiab, et menetluskulud on väljamõistetavad (vt HKMS § 109 lg 11). 24 Kohus leiab, et arvestades kaebuse mahtu ja keerukust, on menetluskulud põhjendatud ja tuleb vastustajalt kaebaja kasuks täies ulatuses välja mõista. Kohus ei nõustu vastustaja vastuväidetega seoses kaebuse ja menetluses esitatud täiendava seisukoha koostamiseks kulunud aja liigse pikkusega ega sellega, et nendes on esitatud ülamäärasel hulgal viiteid ja kohati vaidluse all mitte olevaid väiteid.
Kaebajate eraelu kaitseks tuleb kohtulahendi avaldamisel asendada kaebaja nimi tähemärgiga (HKMS § 175 lg 3). (allkirjastatud digitaalselt) Daimar Liiv Kohtunik 25

🔗 Ametlikule allikale

Tehisintellekti selgitus ametliku seadusteksti põhjal. Orienteeruv, ei asenda õigusnõustamist.

3-24-1844/20

KOHTUOTSUS Eesti Vabariigi nimel Kohus Tallinna Halduskohus Kohtunik Daimar Liiv Otsuse avalikult teatavaks 23. märts 2026, Tallinn tegemise aeg ja koht Haldusasja number 3-24-1844 Haldusasi X. X kaeb

§ 10

§ 11

§ 25. Olukorras, kus Delfil, F.

§ 4. Antud juhul puudus Delfil, F.

§ 4kohane ajakirjanduslik eesmärk, seda muu hulgas põhjusel, et Delfi, F.

§ 4nõudeid.

§ 4nõudeid ei ole rikkunud.

§ 4alusel, oleks AKI pidanud kontrollima, millisel õiguslikul alusel Delfi, F.

§ 4

§ 4

§ 4

§ 4loomisel.

§ 4

§ 4rikkumise eest.

§ 4

§ 4Delfi, F.

§ 4mittekohaldumisest, pidi vastustaja tuvastama, milline oli üldse Delfi, F.

§ 4

§ 4kui ka IKÜMi sätete alusel.

§ 4

§ 4käesolevale juhtumile ei kohaldu.

§ 11

§ 6p-d 2–4).

§ 4kohaselt õiguspärane (X.

§ 4

§ 4

§ 4ja ülal viidatud IKÜM sätete rikkumisega.

§ 73

§ 4

§ 61

§ 61

§ 56

§ 4nõudeid.

§ 4

§ 4

§ 4osaliselt kohaldub, kuid Delfi tegevus on õiguspärane.

§ 4

§ 61

§ 61

§ 60

§ 46

§ 56

§ 56

§ 56

§ 56

§ 56lg 3 p 6).

§ 73lg 1 jõustus alles 1.

§ 4

§ 4ei sisalda.

§ 4

§ 4