AKI trahvidest 2025. aastal rääkides tuleb eristada määratud karistust, kohtus kontrollitud otsust ja jõustunud menetlustulemust. Allium UPI OÜ-le määratud 3 miljoni euro suurune trahv ning Asper Biogene OÜ 85 000 euro suuruse trahvi tühistamine annavad erineva õppetunni. Esimene puudutab ulatusliku kliendiprogrammi turvameetmeid, teine näitab lisaks andmekaitsespetsialisti sõltumatuse küsimusele karistusvastutuse ja menetlusotsuse tähtsust.
See ülevaade käsitleb neid kahte 2025. aastal avalikustatud juhtumit ja Alliumi asjas 2. septembril 2026 teatatud kohtuotsust. See ei ole kõigi Eesti trahvide täielik register. Seaduseviited lähtuvad 30. septembril 2026 kehtivast redaktsioonist; hiljem jõustuvaid muudatusi ei käsitleta juba kohaldatava õigusena. Juhtumite asjaolud põhinevad Andmekaitse Inspektsiooni avalikel teadetel; õiguslikud selgitused aitavad hinnata, mida neist saab oma organisatsiooni jaoks järeldada. Trahvisumma üksi ei näita, milline puudus tuleb esimesena parandada.
Allium UPI: mida AKI 2025. aastal teatas?
AKI 5. septembri 2025. aasta teate järgi sai Apotheka lojaalsusprogrammi haldav Allium UPI sel päeval kätte otsuse, millega määrati 3 miljoni euro suurune trahv. Teate avaldamise ja otsuse kättesaamise kuupäev ei tähenda iseenesest, et otsus koostati samal päeval. Sanktsiooni põhjuseks kirjeldati kliendiandmete ebapiisavat kaitset ja puudulikke turvameetmeid.
Turvaintsident toimus 2024. aasta alguses. AKI teatel said kõrvalised isikud korduvalt ligipääsu infosüsteemile ning andmebaasi varukoopiale ja laadisid alla ulatusliku hulga andmeid. Juhtum puudutas enam kui 750 000 inimese, sealhulgas laste ja teiste haavatavate inimeste privaatsust. Mõjutatud andmete hulka kuulusid aastatel 2014–2020 kliendiprogrammiga liitunute nimed, isikukoodid, kontaktandmed ja ostuajalugu.
Ostuajalugu ei olnud üksnes neutraalne nimekiri igapäevastest kaupadest. AKI tõi välja isikustatud teabe ravimite, tervisenäitajate mõõtmise teenuste ning intiimse elu ja tervisega seostuvate toodete kohta. Sellest võib ilmneda inimese terviseseisundit puudutav teave. Seetõttu ei piisa andmete tundlikkuse hindamisel väitest, et tegemist on tavalise kliendikaardiprogrammiga, mitte raviasutuse patsiendiregistriga.
AKI kirjeldas mitme teguri koosmõju: mitmetasemelist autentimist ei olnud kasutusele võetud, sama personaalset administraatorikontot kasutas mitu inimest, tegevuslogide jälgimine oli puudulik ja varukoopiaid hoiti ebaturvaliselt. Lisaks ei olnud rollid ega vastutus piisavalt selged. Trahvi suuruse hindamisel arvestati teate järgi muu hulgas juhtumi ulatust, andmete tundlikkust, mõjutatud inimeste arvu ja ettevõtte käivet.
Need on konkreetse menetluse kohta avaldatud järeldused. Neist ei saa teha järeldust, et iga mitmikautentimiseta konto eest määratakse sama karistus või et üks tehniline toode oleks vältimatu kõigis ettevõtetes. Küll aga näitab juhtum, miks suure andmemahu ja tundliku sisu puhul tuleb administraatoriõiguste, turvaseire ja varukoopiate kaitset hinnata koos.
Alliumi kohtulik kontroll: seis pärast 2. septembrit 2026
AKI 2. septembri 2026. aasta teade kirjeldab olulist arengut: Harju Maakohus jättis Allium UPI kaebuse rahuldamata ja pidas 3 miljoni euro suurust trahvi põhjendatuks ning proportsionaalseks. Teate järgi rõhutas kohus vastutava töötleja kohustust tagada piisav turvalisus, sealhulgas terviseandmete töötlemisel.
Kohtu hinnangut vahendavas teates ei käsitleta probleemi pelgalt välise küberrünnakuna. Puudused seostusid ettevõtte meetmete vastavusega töödeldavate andmete mahule ja tundlikkusele. Eraldi nimetati halduskontode kaitset, turvaseiret ja varukoopiate säilitamist. See eristus on ettevõttele praktiline: ründaja kuritegelik käitumine ei kõrvalda automaatselt vajadust hinnata enda turvameetmete piisavust.
Samas märkis AKI sõnaselgelt, et maakohtu otsus ei olnud teate avaldamise ajal jõustunud. Ettevõttel oli võimalik otsus 30 päeva jooksul Riigikohtusse edasi kaevata. Seetõttu on täpne kirjeldus, et maakohus jättis trahvi jõusse, kuid 2. septembri teade ei kinnita menetluse lõplikku lõppu. Siin ei esitata hilisemat jõustumist ega kassatsiooni esitamist kontrollitud faktina.
Otsuse staatust tuleb arvestada ka ettevõtte sisekoolitusel ja riskianalüüsis. Maakohtu seisukoht võib anda olulise suuna, kuid avalik pressiteade ei asenda kohtuotsuse täielikke põhjendusi ega võimaliku edasikaebamise tulemust. Käesolev käsitlus tugineb ametlikus teates avaldatud asjaoludele, mitte kogu kohtutoimiku analüüsile.
Asper Biogene: miks trahvi tühistamine vajab selgitust?
AKI 3. septembri 2025. aasta teade kinnitab, et Asper Biogene asjas jõustus Tartu Maakohtu otsus. Maakohus tühistas 26. juunil 2025 ettevõttele määratud trahvi ja lõpetas menetluse. Riigikohus jättis AKI kassatsioonikaebuse 2025. aasta augustis menetlusse võtmata. Tegemist oli Tartu Maakohtu, mitte ringkonnakohtu lahendiga.
AKI oli 2025. aasta jaanuaris määranud kokku 85 000 euro suuruse väärteotrahvi. Inspektsioon heitis ettevõttele ette kahte eri puudust: ebapiisavaid turvameetmeid ning oma ainsa juhatuse liikme määramist andmekaitsespetsialistiks olukorras, kus vajalik sõltumatus ja pädevus puudusid. Juhtumi taustaks oli 2023. aasta rünnak, mille käigus saadi ligipääs ligikaudu 100 000 isikuandmeid sisaldavale failile, sealhulgas geeni- ja terviseandmetele.
Trahvi tühistamine ei tähendanud AKI teate järgi, et kohus oleks pidanud juhatuse liikme samaaegset rolli sobivaks. Maakohus nõustus andmekaitsespetsialisti määramise rikkumisega. Isik, kes otsustab ettevõtte andmetöötluse eesmärkide ja vahendite üle, ei saa samal ajal nende otsuste nõuetekohasust sõltumatult kontrollida. Kohus arvestas aga hooletust, hilisemat pädeva spetsialisti määramist ja täiendavate meetmete rakendamist ning lõpetas selle osa menetlusest otstarbekuse kaalutlusel.
Turvameetmete osa lõpetamisel oli teate järgi eraldi põhjus: tegu leidis aset enne seadusemuudatusi, mis reguleerivad selgemalt juriidilise isiku vastutust. Seda ei tohi esitada üldise kinnitusena, et ettevõtte turvameetmed olid piisavad. Menetluslik tulemus ja sisuline hinnang eri kohustustele tuleb hoida lahus, muidu tekib juhtumist eksitav soovitus, nagu võiks sõltumatuse või turvalisuse nõudeid eirata.
Avaldatud arvude võrdlemisel tuleb tähele panna ka mõõtühikut. Ligikaudu 100 000 faili ei tähenda tingimata sama arvu inimesi: ühe inimese kohta võib olla mitu faili ning üks fail võib sisaldada mitme inimese andmeid. Intsidendi ulatuse hindamisel tuleb seepärast eraldi selgitada failide, kirjete ja puudutatud inimeste arv. Hinnangulist suurust ei tohiks esitada lõplikult kontrollitud arvuna.
Organisatsioonile on sellest kasu ka pärast vaidluse lõppu. Kui kohus lõpetab menetluse konkreetsel õiguslikul alusel, tuleb hinnata, millised puudused on tegelikult parandatud ja millised jäävad alles. Üks edukas kohtuvaidlus ei asenda püsivat vastutuse ja kontrolli korraldust. Andmekaitsespetsialisti rolli hindamisel on tähtis tegelik otsustusõigus, mitte ainult ametinimetus või teenuseleping.
Neid kahte trahvisummat ei saa liita ja nimetada tulemust 2025. aastal lõplikult tasumisele kuulunud Eesti karistuste kogusummaks. Asperi trahv tühistati ning Alliumi hilisem maakohtuotsus ei olnud avaldatud teate ajal lõplik. Usaldusväärne sisemine ülevaade märgib iga summa kõrvale otsuse tegija, kuupäeva, vaidlustamise ja viimase kontrollitud menetlustulemuse. Nii ei muutu vana uudis hiljem ekslikult kehtiva karistuse kinnituseks.
Milline on Eesti trahvide õiguslik raamistik?
Eestis tuleb GDPR-i artiklit 83 lugeda koos isikuandmete kaitse seadusega. Seaduse 6. peatükk sätestab väärteovastutuse ning § 73 nimetab kohtuväliseks menetlejaks Andmekaitse Inspektsiooni. Kõiki järelevalvemeetmeid ei saa seetõttu kirjeldada ühe üldise haldustrahvina. Ettekirjutus, selle täitmist tagav sunniraha ja väärteotrahv täidavad erinevaid ülesandeid.
IKS § 62 hõlmab näiteks GDPR-i artiklites 25–39 sätestatud vastutava ja volitatud töötleja kohustuste rikkumist. Juriidilise isiku puhul on selle sätte ülempiir 10 miljonit eurot või 2% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, olenevalt sellest, kumb summa on suurem. Selle hulka kuuluvad muu hulgas turvameetmete, rikkumisteadete ja andmekaitsespetsialisti nõuded.
Kõrgem piir ei kohaldu automaatselt igale rikkumisele. Näiteks töötlemispõhimõtete ja andmesubjekti õiguste rikkumisi käsitlevad IKS §-d 65 ja 66. Juriidilise isiku vastav ülempiir on 20 miljonit eurot või 4% eelmise majandusaasta ülemaailmsest aastasest kogukäibest, kui see summa on suurem. Need on seaduslikud ülempiirid, mitte tavapärased summad ega konkreetse juhtumi karistuse arvutamise valem.
Sunniraha tuleb neist eristada ka siis, kui seaduses nimetatud suurusjärk tundub sarnane. IKS § 60 käsitleb ettekirjutuse täitmata jätmise korral rakendatavat sunniraha. Selle eesmärk on tagada kohustuse täitmine. Äriühingu väärteotrahvi võimalikku suurust ei saa põhjendada üksnes sunniraha sättest võetud numbriga. Andmekaitse Eestis tähendab seetõttu nii Euroopa normide kui ka kohaliku menetluse mõistmist.
- aasta muudatuste tähtsust tuleb kirjeldada eeskätt juriidilise isiku vastutuse ja menetlusraamistiku kaudu. Väide, et Eestis puudusid enne 2023. aasta novembrit seaduses suured GDPR-i trahvipiirid, oleks liiga lihtsustav. Asperi avalik menetluskokkuvõte näitab ajaliselt kohaldatava vastutuskorra mõju, kuid ei tõenda iseenesest kõigi varasemate trahvide kogusummat ega Eesti kohta Euroopa pingereas.
Miks trahv ei sõltu ühest puudusest või tabelireast?
GDPR-i artikli 83 järgi peab karistus olema tõhus, proportsionaalne ja hoiatav. Hinnatakse muu hulgas rikkumise laadi, raskust ja kestust, andmete liiki, puudutatud inimeste arvu ning neile tekkinud kahju. Olulised on tahtlus või hooletus, varasemad asjakohased rikkumised, kahjustuste vähendamine ja töötleja vastutus rakendatud meetmete eest.
Koostöö järelevalveasutusega on üks hindamise asjaolu, kuid sellest ei tulene automaatset allahindlust. Organisatsioon peab suutma näidata, mida koostööga tegelikult saavutati: kas andmete edasine levik piirati, mõjutatud inimesed said abi või turvapuudus kõrvaldati. Tavalise seadusliku kohustuse täitmist ei saa käsitada kindla protsendina trahvi vähendavast hinnakirjast.
Ka käive ei asenda rikkumise analüüsi. Seadusliku ülempiiri määramine ja konkreetse summa põhjendamine on erinevad küsimused. Kahe ettevõtte samasuurune leke võib erineda andmete tundlikkuse, varasemate hoiatuste, tegeliku ligipääsu kestuse ja kahju vähendamise poolest. Seetõttu ei saa Alliumi kolme miljoni euro põhjal arvutada, mitu eurot tuleks maksta iga lekkinud inimese kohta.
Trahv ei ole ainus võimalik tagajärg. AKI võib oma pädevuse piires nõuda töötlemise korrastamist või piirata töötlemist. Ettevõtte jaoks võib mõne andmekasutuse peatamine mõjutada teenust vahetumalt kui rahaline karistus. AKI ülesandeid käsitlev juhend aitab mõista, miks järelevalvele vastamine peab hõlmama ka nõutud paranduste tegelikku elluviimist.
Millised turvameetmed neist juhtumitest läbi vaadata?
Esimene praktiline küsimus on, kes saab teha kõrge mõjuga toiminguid. Administraatorikontode puhul tasub kontrollida isikupõhisust, õiguste vajadust, tugevdatud autentimist ja ligipääsu lõpetamist töötaja või teenusepakkuja lahkumisel. Need on riskide juhtimise näited. GDPR-i artikkel 32 nõuab asjakohaseid tehnilisi ja korralduslikke meetmeid, arvestades tehnika taset, kulusid, töötlemise olemust ja inimeste õigustele tekkiva ohu tõenäosust ning raskust.
Teine küsimus puudutab varukoopiaid. Varukoopia peab aitama taastada andmete kättesaadavuse, kuid võib samal ajal koondada suure hulga tundlikku teavet ühte kohta. Tuleb hinnata, kellel on ligipääs, kuidas koopiat kaitstakse ja kas taastamine tegelikult toimib. Krüpteerimise või muu meetme valik ei asenda võtmete, õiguste ja taastamisprotsessi kontrolli.
Kolmas küsimus on turvaseire. Logide kogumine ja nende sisuline jälgimine ei ole sama asi. Kui keegi ei saa ebatavalise ligipääsu kohta teadet või ei tea, kes seda kontrollib, võib rünnak jääda märkamata ka suure logimahu korral. Seire ulatus ja logide säilitamine tuleb põhjendada; üksnes trahvi kartus ei õigusta iga töötaja tegevuse piiramatut jälgimist.
Neljas küsimus on ajalooline andmemaht. Alliumi teates kirjeldati varasematel aastatel kogutud kliendiandmeid, mis olid hilisema intsidendi ajal endiselt kättesaadavad. See ei tõenda automaatselt iga kirje säilitamise ebaseaduslikkust, kuid annab põhjuse kontrollida säilitamise piirangut. Organisatsioon peab teadma, miks andmeid veel vajatakse, millal need kustutatakse ning kuidas see otsus puudutab arhiive ja koopiaid.
Vastutus teenusepakkuja ja spetsialisti kasutamisel
Pilveteenus või väline IT-partner võib täita olulist osa turvameetmetest. Vastutav töötleja peab siiski teadma, millised ülesanded ta on üle andnud ja milliste eest vastutab ise. Kui teenusepakkuja töötleb isikuandmeid tema nimel, kohaldatakse volitatud töötleja lepingu nõudeid. Iga tarnija ei ole automaatselt volitatud töötleja; roll määratakse tegeliku andmetöötluse järgi.
Lepinguline sõnastus vajab toimivat korraldust. Näiteks tuleb kokku leppida, kes märkab ligipääsurikkumist, kes säilitab uurimiseks vajalikke logisid ja kuidas jõuab teave vastutava töötlejani. Kui mõlemad pooled eeldavad, et teine jälgib halduskontode kasutust, ei lahenda lepingukaust seda lünka. Kontrolli tulemus peab näitama nii vastutajat kui ka toimivat tegevust.
Andmekaitsespetsialist nõustab ja jälgib nõuete täitmist, kuid ei võta juhtkonnalt üle vastutava töötleja kohustusi. Tema määramise kohustus sõltub GDPR-i artiklist 37. Avaliku sektori asutusel või organil on see kohustus, välja arvatud oma õigusemõistmise funktsiooni täitval kohtul. Muud alused hõlmavad põhitegevusena toimuvat ulatuslikku korrapärast ja süstemaatilist jälgimist või eriliigiliste ja süüteoandmete ulatuslikku töötlemist. Väike töötajate arv ei välista automaatselt kohustust, kuid terviseandme üksik kasutamine ei tõenda üksi ulatuslikku põhitegevust.
Huvide konflikti hindamisel vaadatakse, kas teine ülesanne sunnib spetsialisti kontrollima enda otsuseid töötlemise eesmärkide ja vahendite kohta. Asperi juhtumi juhatuse liikme olukord annab siin selge näite. Organisatsioon peab tagama vajaliku pädevuse, ressursid, ligipääsu juhtkonnale ja sõltumatuse ka siis, kui spetsialist osutab teenust lepingu alusel.
Rikkumisteade ja dokumentatsioon: mida teha enne trahviväitlust?
Andmelekke korral on esmane ülesanne kaitsta inimesi ja piirata kahju. Vastutav töötleja hindab artiklite 33 ja 34 kohast teavitamist. AKI-le tuleb teatada põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul rikkumisest teada saamisest, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi. Hilinemise põhjused tuleb esitada; kogu uurimise lõppu ei pea esimese teate jaoks ootama.
Kõik isikuandmetega seotud rikkumised dokumenteeritakse, ka siis, kui järelevalvele teatamise künnis ei ole ületatud. Mõjutatud inimesele teatamist hinnatakse eraldi: artikkel 34 lähtub suurest ohust ning sisaldab oma erandeid. Volitatud töötleja teatab vastutavale töötlejale põhjendamatu viivituseta ega saa enda jaoks üldist 72-tunnist ooteaega.
Töötlemistoimingute registri näidis aitab kaardistada, millised inimesed ja andmerühmad on mõjutatud ning milliseid teenusepakkujaid tuleb kaasata. Registri koostamise kohustuse erandeid tuleb hinnata eraldi, mitte eeldada vabastust ainult töötajate arvu tõttu. Alla 250 töötajaga organisatsiooni erand ei kohaldu muu hulgas siis, kui töötlemine võib ohustada inimeste õigusi, ei ole juhuslik või hõlmab eriliigilisi või süüteoandmeid.
Suure ohu tõenäosusega kavandatava töötlemise puhul tuleb enne töötlemist teha andmekaitsealane mõjuhinnang. See aitab siduda konkreetse andmekasutuse riskid kaitsemeetmetega enne süsteemi käivitamist. Dokument ei taga iseenesest vastavust: organisatsioon peab rakendama kavandatud meetmed ja hindama olukorra muutumist. Kui jääb maandamata suur oht, tuleb enne töötlemist täita artikli 36 kohane eelneva konsulteerimise kohustus.
Kuidas kasutada juhtumeid oma organisatsiooni juhtimisel?
Juhtkonna arutelus on kasulik eristada kolme tulemust: milline puudus on tuvastatud, kes selle parandab ja kuidas paranduse toimimist tõendatakse. Näiteks ühiskonto asendamine isikupõhiste kontodega ei ole lõpule viidud pelgalt uute kasutajanimede loomisega. Kontrollida tuleb ka vana konto sulgemist, õiguste ulatust ja teenusekatkestuste korral kasutatavat varumenetlust.
Dokumentatsioon aitab tehtut selgitada, kuid ei loo automaatset eeldust, et kõik meetmed olid nõuetekohased. Samuti ei tähenda ühe dokumendi puudumine igas olukorras, et ühtegi meedet ei rakendatud. Tähtis on asjakohane tõendikogum: tegelikud seadistused, otsused, ülevaatuste tulemused ja paranduste ajalugu. Ka karistusmenetluses tuleb järgida kohaldatavaid tõendamise ja kaitseõiguse reegleid.
Väiksem ettevõte saab alustada oma olulisematest andmevoogudest ja kõrgema mõjuga ligipääsudest. GDPR-i tarkvara VKEdele võib aidata ülesandeid ja tõendeid korrastada, kui see sobib tegeliku töökorraldusega. Tarkvara hinna hindamisel tuleb arvestada ka juurutamist, andmete ajakohastamist ja vastutajate aega. Ühe töövahendi ost ei taga trahvi vältimist ega tõenda kindlat protsenti tööaja kokkuhoiust.
Alliumi ja Asperi juhtumite ühine väärtus on võimalus küsida oma süsteemide kohta täpsemaid küsimusi. Kas kaitse vastab andmete tundlikkusele? Kas sõltumatu kontroll on tegelikult võimalik? Kas intsidendile reageeritakse kiiresti ning dokumenteeritult? Nende küsimuste põhjendatud vastused aitavad kaitsta inimesi ja valmistuda järelevalveks paremini kui üksikute trahvisummade võrdlemine ilma menetluse ja asjaolude kontekstita.