Andmete edastamine väljapoole ELi: SCC, BCR, piisavus

Ühe lausega. Andmete edastamine väljapoole ELi on GDPR V peatüki kohaselt lubatud üksnes siis, kui sihtriigi kohta on tehtud kaitse piisavuse otsus (art. 45), või kui edastaja rakendab asjakohaseid kaitsemeetmeid – lepingu tüüptingimusi, siduvaid kontsernisiseseid eeskirju, heakskiidetud toimimisjuhendit või sertifitseerimist (art. 46) – ning erandkorras artikli 49 alusel, mis on mõeldud üksikjuhtumiteks, mitte püsivaks lahenduseks.

See juhend on mõeldud Eesti ettevõtetele, kes kasutavad USA või muu kolmanda riigi pilveteenuseid, tugiteenuseid või kontsernisiseseid süsteeme. Saate tööriistade valiku loogika, edastamise mõjuhinnangu ülesehituse ja selle, mida tuleb dokumenteerida enne, kui Andmekaitse Inspektsioon (AKI) küsib.

Peamised punktid

• Edastamine on GDPR-i mõttes olemas juba siis, kui kolmandas riigis asuv teenusepakkuja pääseb andmetele ligi – füüsiline koopia ei ole vajalik.
• Kaitse piisavuse otsused kehtivad täna muu hulgas Jaapani, Korea Vabariigi, Šveitsi, Uruguay ja Ühendkuningriigi kohta; USA puhul katab otsus üksnes DPF-i nimekirja sertifitseeritud organisatsioone.
• Euroopa Komisjoni lepingu tüüptingimused (rakendusotsus (EL) 2021/914) koosnevad neljast moodulist; vale mooduli valik on kõige levinum viga.
• Pärast Schrems II kohtuotsust (C-311/18) ei piisa tüüptingimuste allkirjastamisest – klausel 14 nõuab sihtriigi õiguse hindamist ehk edastamise mõjuhinnangut.
• Artikkel 49 erandid on kitsad ja mittekorduvad; korrapärast pilveteenuse kasutamist nõusoleku või lepingu erandiga katta ei saa.

Edastamine ei ole sama mis ülekandmine

Eesti keeles satuvad kaks täiesti erinevat mõistet ohtlikult lähestikku, sest artikkel 20 kasutab samuti sõna “edastada”.

	Andmete edastamine (V peatükk)	Andmete ülekandmise õigus (art. 20)
Olemus	Vastutava töötleja kohustus ja piirang	Andmesubjekti õigus
Kes algatab	Vastutav või volitatud töötleja	Andmesubjekt
Küsimus	Kas andmeid tohib viia kolmandasse riiki?	Kas andmesubjekt saab oma andmed kaasa võtta?
Tingimus	Piisavusotsus, art. 46 kaitsemeede või art. 49 erand	Nõusolek või leping + automatiseeritud töötlemine
Rikkumise tagajärg	Kuni 20 mln eurot või 4% käibest (art. 83 lg 5)	Andmesubjekti kaebus, korraldus taotlus täita

Praktikas tähendab see, et kui klient palub oma andmed CSV-failina kätte saada, ei ole tegemist kolmandasse riiki edastamisega ja V peatükki ei kohaldata. Ja vastupidi: kui teie CRM-i majutatakse Virginias, ei aita ükski ülekandmisõiguse säte – vaja on V peatüki alust.

Millal on tegemist edastamisega?

Euroopa Andmekaitsenõukogu suunistes 05/2021 (vastu võetud 14. veebruaril 2023) on kolm kumulatiivset tingimust. Edastamisega on tegemist siis, kui: (1) eksportija suhtes kohaldub GDPR asjaomase töötlemise osas; (2) eksportija avalikustab andmed edastamise teel või teeb need muul viisil kättesaadavaks teisele vastutavale või volitatud töötlejale (importijale); ja (3) importija asub kolmandas riigis või on rahvusvaheline organisatsioon.

Kolmas tingimus tekitab kõige rohkem üllatusi. Edastamine toimub ka siis, kui andmed füüsiliselt jäävad Frankfurti serverisse, kuid India tugimeeskond saab neile kaugjuurdepääsu. Sama kehtib olukorras, kus USA emaettevõte pääseb Eesti tütarettevõtte personaliandmetele ligi. Kui andmesubjekt ise sisestab oma andmed otse kolmanda riigi teenusepakkuja süsteemi, edastamist GDPR-i mõttes ei toimu – aga see on erand, mitte reegel.

Iga edastamine tuleb kirja panna isikuandmete töötlemise registrisse: artikkel 30 lg 1 punkt e nõuab kolmandate riikide ja rahvusvaheliste organisatsioonide nimetamist ning artikkel 30 lg 1 punkti e teine lause dokumente asjakohaste kaitsemeetmete kohta. Ilma selle nimekirjata ei ole ühtki järgnevat sammu võimalik teha.

Kaitse piisavuse otsused

Artikkel 45 lubab edastada ilma eraldi loata riikidesse, mille kohta Euroopa Komisjon on teinud kaitse piisavuse otsuse. Nimekirjas on täna muu hulgas Andorra, Argentina, Kanada (kaubanduslike organisatsioonide osas), Fääri saared, Guernsey, Iisrael, Mani saar, Jaapan, Jersey, Uus-Meremaa, Korea Vabariik, Šveits, Uruguay, Ühendkuningriik ja Ameerika Ühendriigid (piiratult).

Kaks nüanssi.

Ühendkuningriik. Komisjon uuendas 19. detsembril 2025 mõlemad Ühendkuningriiki puudutavad otsused – GDPR-i ja õiguskaitsedirektiivi alusel – ning need kehtivad kuni 27. detsembrini 2031, kui neid uuesti ei pikendata.

USA. 10. juuli 2023. aasta otsus ELi-USA andmekaitseraamistiku (Data Privacy Framework) kohta ei muuda kogu USA-d piisava kaitsetasemega riigiks. See katab üksnes neid organisatsioone, kes on end USA kaubandusministeeriumi juures sertifitseerinud ja on DPF-i nimekirjas aktiivsed. Enne igat edastamist tuleb nimekirja kontrollida ja veenduda, et sertifikaat katab just seda andmekategooriat (näiteks HR-andmed on eraldi kategooria). Euroopa Liidu Üldkohus jättis 3. septembril 2025 kohtuasjas T-553/23 (Latombe) otsuse tühistamise nõude rahuldamata, mistõttu raamistik on jõus, kuid selle kestlikkus sõltub korralistest läbivaatamistest.

Piisavusotsus ei vabasta ühestki muust GDPR-i kohustusest: õiguslik alus, minimeerimine, turvalisus ja teavitamiskohustus kehtivad edasi.

Lepingu tüüptingimused ja neli moodulit

Kui piisavusotsust ei ole, on kõige levinum tööriist Euroopa Komisjoni rakendusotsusega (EL) 2021/914 (4. juuni 2021) kehtestatud lepingu tüüptingimused. Need on modulaarsed ja moodul tuleb valida poolte rollide järgi:

Moodul	Eksportija	Importija	Tüüpiline olukord
1	Vastutav töötleja	Vastutav töötleja	Kontsernisisene kliendiandmete jagamine
2	Vastutav töötleja	Volitatud töötleja	Pilvemajutus, SaaS, tugiteenus
3	Volitatud töötleja	Volitatud töötleja	Teie alltöötleja kaasab USA alltöötleja
4	Volitatud töötleja	Vastutav töötleja	Teenusepakkuja tagastab andmed kolmanda riigi kliendile

Enamik vigu tekib siin: ettevõte allkirjastab mooduli 1, kuigi tegelikult ostab töötlemisteenust, ja moodul 2 kohustused (juhiste järgimine, alltöötlejate ahel, kustutamine lepingu lõppedes) jäävad katmata. Tüüptingimusi ei saa muuta, kuid neid võib täiendada – ja need tuleb siduda volitatud töötleja lepinguga, sest tüüptingimuste moodul 2 sisaldab ka artikli 28 kohustuslikke tingimusi. Valmis struktuuri leiab volitatud töötleja lepingu näidisest.

Lisad täidetakse alati: Lisa I (pooled ja edastamise kirjeldus), Lisa II (tehnilised ja korralduslikud turvameetmed) ja Lisa III (lubatud alltöötlejad). Tühjade lisadega tüüptingimused ei ole kehtiv kaitsemeede – see on esimene asi, mida järelevalve kontrollib.

Siduvad kontsernisisesed eeskirjad ja artikli 49 erandid

Siduvad kontsernisisesed eeskirjad (BCR, art. 47) sobivad rahvusvahelisele kontsernile, kes edastab andmeid regulaarselt oma üksuste vahel. Eeskirjad peavad olema õiguslikult siduvad kõigile kontserni liikmetele, andma andmesubjektidele jõustatavaid õigusi ning need kiidab heaks pädev järelevalveasutus järjepidevuse mehhanismi kaudu. Menetlus võtab tavaliselt aastaid, mistõttu BCR on suurte kontsernide, mitte keskmise Eesti ettevõtte tööriist.

Artikkel 49 erandid on viimane võimalus, mitte mugav otsetee. Need on: andmesubjekti selgesõnaline nõusolek pärast riskidest teavitamist (punkt a); edastamine, mis on vajalik andmesubjektiga sõlmitud lepingu täitmiseks (punkt b); leping andmesubjekti huvides (punkt c); olulise avaliku huviga seotud põhjused (punkt d); õigusnõuete koostamine, esitamine või kaitsmine (punkt e); eluliste huvide kaitse (punkt f); ja avalikust registrist edastamine (punkt g).

Andmekaitsenõukogu tõlgendab neid rangelt: erandid eeldavad juhuslikku ja mittekorduvat edastamist. Punkti a nõusolek peab olema selgesõnaline ja hõlmama teavet konkreetsetest riskidest – seetõttu ei sobi tavaline nõusoleku vorm selleks ümber kirjutamata. Punkt b katab näiteks broneeringu edastamise USA hotellile, mitte kogu kliendibaasi majutamist USA pilves.

Edastamise mõjuhinnang pärast Schrems II

16. juulil 2020 tunnistas Euroopa Kohus kohtuasjas C-311/18 (Schrems II) kehtetuks Privacy Shieldi ja jättis tüüptingimused kehtima, kuid ühe tingimusega: eksportija peab igal üksikjuhul kontrollima, kas sihtriigi õigus ja praktika tagavad ELi omaga sisuliselt samaväärse kaitse, ja vajaduse korral lisama täiendavad meetmed. See kohustus on kirjutatud otse tüüptingimuste klauslisse 14.

Andmekaitsenõukogu soovituste 01/2020 (lõplik versioon 18. juuni 2021) kuus sammu annavad struktuuri:

1. Kaardista edastamised – kes, mida, kuhu, millise kaugjuurdepääsuga.
2. Tuvasta kasutatav tööriist – art. 45, art. 46 või art. 49.
3. Hinda tööriista tegelikku toimivust sihtriigi õiguse ja praktika valguses (näiteks USA puhul FISA § 702 ja Executive Order 12333 ulatus).
4. Rakenda täiendavad meetmed – tehnilised (tugev krüpteerimine ELis hoitavate võtmetega, pseudonümiseerimine, jagatud töötlemine), lepingulised (teavitamine ametiasutuse päringutest, auditiõigus) ja korralduslikud (sisemine päringute käsitlemise kord).
5. Tee vajalikud formaalsused – näiteks järelevalveasutuse luba ad hoc klauslitele.
6. Hinda uuesti korrapäraste ajavahemike järel.

Kolmas samm on see, kus enamik hinnanguid pealiskaudseks jääb. Hinnang peab olema kirjalik, kuupäevastatud ja tuginema tegelikule õigusanalüüsile, mitte tarnija turundusmaterjalile. Kui edastamine on osa suure riskiga töötlemisest, tehke see hinnang koos andmekaitsealase mõjuhinnanguga – need kaks dokumenti toetuvad samale andmevoogude kirjeldusele.

Sanktsioonid näitavad, et tegemist ei ole formaalsusega. Iirimaa järelevalveasutus määras 22. mail 2023 Meta Platforms Ireland Limitedile 1,2 miljardi euro suuruse trahvi tüüptingimuste alusel toimunud USA-edastuste eest, tuginedes Euroopa Andmekaitsenõukogu siduvale otsusele 1/2023. Hollandi järelevalveasutus trahvis 26. augustil 2024 Uberit 290 miljoni euroga juhiandmete edastamise eest USA-sse ilma nõuetekohase kaitsemeetmeta.

Mida peab Eesti ettevõte praktikas tegema?

Alusta nimekirjast: iga teenusepakkuja, kes pääseb isikuandmetele ligi, koos asukoha ja alltöötlejatega. Seejärel määra igale kirjele tööriist – piisavusotsus, moodul, BCR või erand – ja säilita tõend: allkirjastatud tüüptingimused koos täidetud lisadega, DPF-i sertifikaadi väljavõte kuupäevaga või mõjuhinnang. Kolmandaks avalikusta edastamised privaatsuspoliitikas, nagu nõuab artikkel 13 lg 1 punkt f: nimeta kolmas riik ja kasutatav kaitsemeede ning viita, kust saab koopia.

Eestis teostab järelevalvet Andmekaitse Inspektsioon, kes annab ka lube ad hoc klauslitele ja osaleb BCR-menetlustes; tema senist karistuspraktikat kirjeldab ülevaade AKI trahvidest. Laiema pildi Eesti andmekaitsekohustustest annab andmekaitse Eestis juhend. Kui edastamisi on kümneid ja alltöötlejate ahelad muutuvad, tasub register, tüüptingimuste versioonid ja mõjuhinnangute tähtajad hoida ühes süsteemis – seda võimaldavad GDPR tarkvara lahendused, mis seovad töötlemisregistri ja tarnijate dokumentatsiooni.

Korduma kippuvad küsimused

Kas USA pilveteenuse kasutamine on lubatud?

Jah, kui on olemas kehtiv alus. Kui teenusepakkuja on ELi-USA andmekaitseraamistiku nimekirjas ja sertifikaat katab asjaomase andmekategooria, piisab piisavusotsusest. Vastasel juhul tuleb sõlmida lepingu tüüptingimused (tavaliselt moodul 2) ja teha edastamise mõjuhinnang.

Kas andmete hoidmine ELi andmekeskuses välistab edastamise?

Ei. Kui kolmandas riigis asuv üksus – emaettevõte, tugimeeskond või alltöötleja – pääseb andmetele kaugjuurdepääsuga ligi, on tegemist edastamisega, olenemata serveri asukohast. Andmete asukoht üksi ei ole vastus.

Kas piisab, kui allkirjastame lepingu tüüptingimused?

Ei. Klausel 14 kohustab pooli hindama, kas sihtriigi õigusaktid takistavad importijal tingimusi täita. Ilma dokumenteeritud mõjuhinnangu ja vajalike täiendavate meetmeteta ei loeta tüüptingimusi Schrems II järgses praktikas piisavaks kaitsemeetmeks.

Kas andmesubjekti nõusolek katab korrapärased edastamised?

Ei. Artikli 49 lg 1 punkti a nõusolek on mõeldud juhuslikeks ja mittekorduvateks edastamisteks, peab olema selgesõnaline ja sisaldama konkreetset teavet riskidest, mis tulenevad piisavusotsuse ja kaitsemeetmete puudumisest. Püsiva teenuse alusena see ei toimi.

Mis vahe on andmete edastamisel ja andmete ülekandmisel?

Edastamine (V peatükk) on vastutava töötleja kohustustega seotud küsimus sellest, kas andmeid tohib viia väljapoole ELi. Ülekandmine (art. 20) on andmesubjekti õigus saada enda esitatud andmed masinloetavas vormingus ja lasta need üle kanda teisele teenusepakkujale. Need kaks ei ole omavahel seotud.

Kas Brexiti järel on Ühendkuningriik endiselt kaetud?

Jah. Komisjon uuendas 19. detsembril 2025 Ühendkuningriigi kohta tehtud kaitse piisavuse otsused ja need kehtivad kuni 27. detsembrini 2031. Kuni selle ajani saab Ühendkuningriiki edastada ilma täiendava kaitsemeetmeta.

Kokkuvõte

Andmete edastamine väljapoole ELi taandub kolmele küsimusele: kas edastamine üldse toimub, millisele V peatüki alusele see tugineb ja kas alus on dokumenteeritud. Kaardista kõik kolmanda riigi juurdepääsud, vali õige tööriist – piisavusotsus, õige tüüptingimuste moodul või erandkorras artikkel 49 –, tee kirjalik edastamise mõjuhinnang ja vaata see üle, kui tarnija, alltöötleja või sihtriigi õigus muutub. Meta ja Uberi juhtumid näitavad, et järelevalveasutused hindavad just tõendite kvaliteeti, mitte kavatsusi.

Õiguslik teave: GDPR V peatükk (EUR-Lex) · Rakendusotsus (EL) 2021/914 – lepingu tüüptingimused · Euroopa Komisjoni kaitse piisavuse otsused · Andmekaitse Inspektsioon.

Käesolev artikkel on üldist laadi teave ega ole õigusnõustamine.