Andmete ülekandmise õigus (GDPR art. 20) 2026: millal kehtib ja mis vorming

Andmete ülekandmise õigus annab andmesubjektile isikuandmete kaitse üldmääruse (GDPR) artikli 20 kohaselt õiguse saada teda puudutavad isikuandmed, mille ta on vastutavale töötlejale esitanud, struktureeritud, üldkasutatavas ja masinloetavas vormingus ning edastada need takistusteta teisele vastutavale töötlejale. Kui see on tehniliselt teostatav, on andmesubjektil õigus nõuda andmete otseülekannet ühelt vastutavalt töötlejalt teisele. Õigus kehtib üksnes kitsalt: see hõlmab ainult andmesubjekti enda esitatud andmeid, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. See juhend selgitab, millal ülekandmise õigus kehtib, milliseid andmeid see hõlmab, millises vormingus andmed väljastada ja kuidas see erineb tutvumisõigusest.

Millal andmete ülekandmise õigus kehtib?

Õigus kohaldub üksnes siis, kui täidetud on kõik kolm tingimust:

1. Õiguslik alus on nõusolek või leping. Sellel õiguslikul alusel töödeldavate andmete suhtes õigus ei kohaldu, kui aluseks on hoopis juriidiline kohustus, avalik ülesanne või õigustatud huvi; sama konto muid andmerühmi hinnake eraldi.
2. Töötlemine toimub automatiseeritult. Paberkandjal andmekogud jäävad õiguse alt välja.
3. Andmed on andmesubjekti enda esitatud. See hõlmab nii aktiivselt sisestatud andmeid (nimi, e-post) kui ka tegevuse käigus tekkinud andmeid (asukohaajalugu, ostuajalugu), kuid mitte vastutava töötleja tuletatud ega järeldatud andmeid (näiteks krediidiskoor või profiil).

Kui mõni tingimus ei ole täidetud, võib andmesubjekt siiski kasutada õigust tutvuda andmetega (art. 15), mille ulatus on laiem, kuid mis ei taga artikli 20 vormis ülekantavat eksporti.

Milline peab olema vorming?

Andmed tuleb väljastada struktureeritud, üldkasutatavas ja masinloetavas vormingus – näiteks CSV, XML või JSON. Vorming peab võimaldama andmete taaskasutust teise teenusepakkuja süsteemis. Üksnes skaneeritud PDF või ekraanipilt ei täida tavaliselt kõiki neid nõudeid; hinnata tuleb konkreetse väljundi struktuuri ja taaskasutatavust.

Otseülekande korral peavad süsteemid suutma andmeid vahetada, kui see on tehniliselt teostatav. GDPR ei kohusta vastutavaid töötlejaid looma tehniliselt ühilduvaid süsteeme, kuid soodustab koostalitlusvõimet. Andmete ülekandmine ei tohi kahjustada teiste isikute õigusi ja vabadusi (art. 20 lg 4) – näiteks kolmandate isikute andmete sisaldumine sõnumivahetuses nõuab nende õiguste ja vabaduste eraldi kaalumist, mitte kogu andmestiku automaatset välistamist.

Mille poolest erineb ülekandmine tutvumisõigusest?

Praktikas käsitletakse mõlemat õigust sageli koos ühtses andmesubjektide õiguste protsessis, kuid nende ulatus ja väljastatav vorming erinevad. Ülekandmise õiguse hindamisel aitab töötlemise register koos õigusliku aluse sisemise kaardiga; artikkel 30 ei loetle õiguslikku alust iga kirje kohustusliku väljana.

Kuidas taotlusele vastata

1. Registreerige taotlus ja fikseerige ühe kuu tähtaeg, nagu teiste andmesubjekti õiguste puhul (art. 12 lg 3).
2. Kontrollige, kas kolm tingimust on täidetud – õiguslik alus, automatiseeritus, andmesubjekti esitatud andmed.
3. Eraldage ülekantavad andmed vastutava töötleja tuletatud andmetest; ühiskirjete puhul hinnake teiste isikute õigusi ning rakendage vajalikku kaitset või piiratud varjamist, mitte ärge välistage kirjet automaatselt.
4. Väljastage masinloetavas vormingus või teostage otseülekanne, kui see on tehniliselt teostatav.
5. Teavitage andmesubjekti ja osalise keeldumise korral põhjustest ning tema õigusest pöörduda AKI poole.

Tähtis nüanss: ülekandmine ei tähenda kustutamist. Kui andmesubjekt soovib andmed teisele teenusepakkujale üle kanda ja seejärel esialgsest süsteemist kustutada, peab ta eraldi kasutama õigust olla unustatud.

Levinud vead

• Tuletatud andmete lisamine. Õigus hõlmab üksnes andmesubjekti esitatud andmeid, mitte vastutava töötleja loodud profiile või skoore.
• Ebasobiv vorming. Üksnes skaneeritud PDF või ekraanipilt ei täida üldjuhul masinloetavuse ja struktureerituse nõuet; kontrollige konkreetset faili.
• Õige õigusliku aluse kontrollimata jätmine. Kui töötlemine põhineb õigustatud huvil, ülekandmise õigust ei ole.
• Kolmandate isikute andmete üle kandmine, mis kahjustab nende õigusi.
• Ülekandmise ja kustutamise segiajamine – ülekandmine ei kohusta esialgset töötlejat andmeid kustutama.

Näited: panga-, tervise- ja sotsiaalmeedia andmed

Andmete ülekandmise õiguse ulatust on kõige lihtsam mõista konkreetsete näidete kaudu.

Pangandus. Klient soovib vahetada panka ja saada oma tehinguajaloo üle kanda uude panka. Tema tegevuse käigus vaadeldud tehinguandmed võivad kuuluda artikli 20 alla, kui selle konkreetse töötlemise alus on temaga sõlmitud leping või nõusolek ja töötlemine on automatiseeritud. Panga tuletatud andmed, näiteks krediidiskoor või riskihinnang, seevastu ei kuulu. Makseteenuste puhul haakub ülekandmise õigus ka avatud panganduse (PSD2) loogikaga, mis soodustab andmete liikuvust teenusepakkujate vahel.

Tervishoid. Patsient soovib viia oma andmed ühelt eraõiguslikult teenusepakkujalt teisele. Kui konkreetsete patsiendi esitatud või vaadeldud andmete automatiseeritud töötlemise alus on kehtiv nõusolek või patsiendiga sõlmitud leping, võib ülekandmise õigus nende suhtes kohalduda. Kui aga töötlemine põhineb juriidilisel kohustusel (näiteks seadusest tulenev terviseandmete säilitamine), ülekandmise õigust ei ole, kuid patsient saab kasutada laiemat tutvumisõigust.

Sotsiaalmeedia ja teenused. Kasutaja soovib oma postitused, kontaktid ja üleslaaditud sisu üle kanda teise platvormile. Tema enda loodud sisu võib tingimuste täitmisel kuuluda ülekandmise õiguse alla, kuid tähelepanu tuleb pöörata kolmandate isikute andmetele – näiteks sõnumivahetus sisaldab ka teise poole andmeid, mille ülekandmist tuleb teiste inimeste õiguste ja vabaduste suhtes kaaluda (art. 20 lg 4).

Kõigil kolmel juhul on määrav sama kolme tingimuse kontroll: õiguslik alus (nõusolek või leping), automatiseeritud töötlemine ja andmesubjekti enda esitatud andmed. Kui üks tingimustest puudub, tuleb taotlus lahendada tutvumisõiguse, mitte ülekandmise raames. Õiguslike aluste sisemine kaart ja töötlemise register aitavad vastata kiiresti; artikkel 30 ei tee õigusliku aluse välja igale kirjele kohustuslikuks.

Tähtaeg, tasu ja keeldumise alused

Andmete ülekandmise taotlusele kohalduvad samad menetlusreeglid nagu teistele andmesubjekti õigustele. Vastata tuleb põhjendamatu viivituseta ja igal juhul ühe kuu jooksul taotluse saamisest; keerukate või arvukate taotluste korral võib tähtaega pikendada veel kahe kuu võrra, teavitades sellest andmesubjekti esimese kuu jooksul. Õiguse teostamine on üldjuhul tasuta – tasu või keeldumine on lubatud üksnes ilmselgelt põhjendamatute või ülemääraste, eelkõige korduvate taotluste korral, kusjuures põhjendamatuse tõendamise koormus lasub vastutaval töötlejal.

Vastutav töötleja võib taotlust osaliselt või täielikult mitte rahuldada, kui kolm tingimust ei ole täidetud – näiteks kui töötlemise õiguslik alus on juriidiline kohustus või õigustatud huvi, mitte nõusolek ega leping. Sellisel juhul tuleb andmesubjekti teavitada keeldumise põhjustest ja tema õigusest esitada kaebus AKI-le, kelle pädevust ja menetluskäiku selgitab Andmekaitse Inspektsiooni juhend. Oluline on, et keeldumine ei tohi olla automaatne: iga taotlust tuleb hinnata konkreetselt, kontrollides, milliste andmete suhtes õigus kehtib.

Ülekandmise õigust ei tohi segi ajada tavalise andmete eksportimisega. Kui andmesubjekt soovib andmed lihtsalt endale saada, piisab sageli tutvumisõigusest. Ülekandmise õiguse eripära on masinloetav vorming ja võimalus andmed otse teisele teenusepakkujale edastada – see teenib andmesubjekti liikuvust teenuste vahel, mitte üksnes tema teavitamist.

Milline andmestik tuleb päriselt välja anda?

Alustage konkreetse eesmärgi ja õigusliku aluse kaardistamisest, mitte failinimest. Sama kliendi kontol võivad kõrvuti olla lepingulise teenuse jaoks kogutud profiiliandmed, seadusest tulenevalt säilitatavad arved, turvalisuse eesmärgil töödeldud logid ja teenuse enda koostatud riskihinnang. Artikli 20 test tuleb teha andmerühma, mitte kasutajakonto terviku kohta. Dokumenteerige, kas andmed puudutavad inimest, kas ta on need „esitanud” artikli 20 tähenduses, kas töötlemine põhineb tema nõusolekul või temaga sõlmitud lepingul ja kas töötlemine on automatiseeritud. Kui õigus ei kohaldu osale andmetest, võib tutvumisõigus ikkagi nõuda nende kohta teavet või koopiat.

„Esitatud” ei piirdu veebivormi lahtritega. Artikli 20 tõlgenduses võivad kuuluda siia teenuse kasutamisel vaadeldud andmed, näiteks inimese tellimusajalugu või mõõteriista abil registreeritud tegevus, kui teised tingimused on täidetud. Organisatsiooni enda analüüsist tuletatud skoor, järeldus või profiil ei muutu esitatuks vaid seetõttu, et selle aluseks olid inimese andmed. Eristage andmeallikat ja tuletamise sammu. Näiteks spordirakenduse jooksuaja mõõtmine võib olla vaadeldud andmestik, kuid treeningsoovituse algoritmiline hinnang on rakenduse järeldus. Piiri selgitab AKI ülekandmise üldjuhend.

Sõnumid ja ühised kontod nõuavad eraldi kaalumist. Kirjavahetus võib puudutada nii taotlejat kui teist inimest. Artikli 20 lõige 4 ei keela automaatselt kogu vestluse väljastamist, kuid ülekandmine ei tohi kahjustada teiste inimeste õigusi ja vabadusi. Hinnake, kes saab väljundit kasutada, kas kolmanda isiku andmeid saab mõistlikult eraldada või piirata ning kuidas säilib taotleja õiguse sisu. Ärge eemaldage kogu kasulikku ajalugu vaikimisi; ärge saatke ka kõrvalise inimese täielikku profiili lihtsalt sellepärast, et see asus samas failis.

Vorming, mis on päriselt kasutatav

CSV võib sobida tabelandmetele, JSON hierarhilistele andmetele ja XML standardiseeritud vahetuseks. Seadus ei nimeta üht kohustuslikku faililaiendit. Vorming peab olema struktureeritud, üldkasutatav ja masinloetav. Säilitage ekspordis väljade tähendus: andke kaasa veerunimed, kuupäeva- ja ajavööndivorming, mõõtühikud, staatuste selgitus ning teave selle kohta, kuidas mitu faili kokku kuuluvad. Üks tehniliselt avatav fail ei ole kasutatav, kui saaja ei saa aru, kas „03/04” on märts või aprill. AKI toob avatud vormingu näidetena CSV, JSON ja XML.

Ärge suruge erinevaid andmeliike vägisi ühte faili. Kontoprofiil, tellimused ja kasutaja enda üles laaditud pildid võivad vajada eraldi faile koos lühikese manifestiga, mis selgitab nende seost. Samuti ei pea tavapärane PDF alati olema sobimatu: küsimus on, kas konkreetne väljund täidab kõiki kolme vormingunõuet; skaneeritud või üksnes silmale loetav PDF seda enamasti ei tee. Kui olemasolev eksport sisaldab päiseid ja sisemisi tunnuseid, kontrollige enne saatmist, kas selles pole tarbetuid juurdepääsutokeneid, teise kliendi kirjeid või põhjendamatult avaldatavat kolmanda isiku teavet.

Turvaline väljastamine ja otseülekanne

Kontrollige taotleja isikut proportsionaalselt: ärge nõudke passikoopiat rutiinselt, kui olemasolev turvaline sisselogimine või muu usaldusväärne meetod võimaldab isiku tuvastada. Kui põhjendatud kahtlus jääb, lubab artikkel 12 lõige 6 küsida lisateavet. Seejärel valige turvaline üleandmiskanal ja kontrollige saaja aadressi; krüpteeritud failist pole kasu, kui parool saadetakse samas ekslikus kirjas. Ärge looge ekspordiga uut pikaajaliselt kättesaadavat koopiat üldisesse jagamiskausta. Jätke tõend selle kohta, mis väljastati ja millal, ning kustutage ajutine pakk asjakohase säilituskriteeriumi järgi.

Otseülekanne teisele vastutavale töötlejale on artikli 20 lõike 2 järgi õigus siis, kui see on tehniliselt teostatav. Kontrollige, kas sihtpunkti on võimalik usaldusväärselt tuvastada ja kas olemasolev turvaline kanal kannab nõutud andmestiku üle ilma ebaproportsionaalse ümberkujundamiseta. Kui otsekanalit ei ole, selgitage seda inimesele ja pakkuge nõuetekohast eksporti talle endale. GDPR ei nõua kõigilt organisatsioonidelt sama API-t ega taga, et vastuvõtja impordib iga välja. Siiski ei tohi organisatsioon kunstlikult takistada ülekandmist, näiteks ainult suletud omandivorminguga, kui üldkasutatav struktureeritud eksport on võimalik.

Osaline otsus ja vastuse selgitamine

Kirjutage vastuses selgelt, millised andmerühmad kaasati, millised jäid välja ja millise tingimuse tõttu. Kui arveandmeid säilitatakse seadusliku kohustuse tõttu, ärge nimetage seda automaatselt kogu konto ülekandmise takistuseks. Kui soov puudutab ühtaegu eksporti ja kustutamist, käsitlege neid kahe eraldi õigusliku otsusena; ülekandmine ei lõpeta algset teenust ega tühista õiguspärast säilitust. Inimesele võib olla tähtis saada väljavõte enne konto sulgemist, kuid see järjekord tuleb temaga läbi rääkida, mitte vaikimisi eeldada.

Kui te taotlust täielikult või osaliselt ei täida, nõuab artikkel 12 lõige 4 põhjustest teatamist põhjendamatu viivituseta ja hiljemalt ühe kuu jooksul taotluse saamisest, koos võimalusega esitada kaebus AKI-le ja pöörduda kohtusse. See tähtaeg ei ole ligikaudne sisemine eesmärk. Keerukate või arvukate taotluste puhul lubatud kuni kahekuuline pikendus vajab teavitamist koos põhjustega esimese kuu jooksul. Märkige kalendrisse taotluse saabumise hetk ja vastuse saatmise hetk; tööriista meeldetuletus ei asenda põhjendatud sisulist otsust. Andmesubjekti taotluste tarkvara võib aidata tööjärge pidada, kuid kontrollige, et vastus jõuab tegelikult inimeseni.

Proov enne esimest päris taotlust

Valige testkonto, millel on profiil, kaks tellimust ja üks tuletatud soovitus. Tehke eksport nii, nagu klient seda taotleks. Kas väljad on mõistetavad väljaspool teie süsteemi? Kas soovitus on eraldi ning selle kaasamise otsus põhjendatud? Kas teise inimese sõnumiandmeid hinnati? Kas turvaline saatmine ja allalaadimislingi lõpp on läbi proovitud? Võrrelge tulemusi töötlemisregistri näidise ja lõimitud andmekaitse otsustega. Selline proov ei ole seaduses ette nähtud kohustuslik sertifitseerimine; see leiab tehnilised tõrked enne ühe kuu tähtajaga päringut.

Taotluse vastuvõtt ja süsteemipiiride määramine

Andke inimesele privaatsusteates selge teave ülekandmise õigusest ning toimiv kontakt. Kui ta küsib „kõiki minu andmeid”, ärge sundige teda enne vastamist GDPR-i õiguslikku alust ise ära arvama. Täpsustage vajaduse korral, kas ta soovib andmeid endale, teisele teenusepakkujale või mõlemat, ning kas ta taotleb lisaks kustutamist. Vastutav töötleja peab oma süsteemidest ja eesmärkidest välja selgitama, milline õigus rakendub. Kui inimene kasutab valesid õiguslikke sõnu, saab tema tegelikku soovi siiski sisuliselt käsitleda.

Kaardistage andmed nende tegeliku asukoha järgi. Kliendikonto võib peita eraldi tellimussüsteemi, sõnumiplatvormi ja analüütikakeskkonna. Artikli 20 kohane eksport ei pruugi katta kõike, mis kasutaja ekraanil paistab, ega piirdu tingimata ühe andmebaasiga. Paluge igal süsteemiomanikul näidata, kust väljad pärinevad, kuidas neid liigitatakse ja kes ekspordi kinnitab. Kontrollige, et väljastatud pakk sisaldaks õige inimese õigeid kirjeid ning et ajutine koopia järgiks säilitamise piirangu põhimõtet. Need küsimused aitavad vältida olukorda, kus õiguspärane taotlus lahendatakse vaid ühe teenuse osalise ekspordiga.

Ärge segage väljastamise kvaliteeti sihtteenuse kohustusega. Algne vastutav töötleja peab andma artikli 20 nõuetele vastava vormingu ega tohi takistada edastamist, kuid ei vastuta automaatselt selle eest, kuidas uus pakkuja andmeid tõlgendab. Hea praktika on anda kaasa lühike väljade kirjeldus ja testida avamist levinud tööriistaga. See on praktiline koostalitlusvõime abi, mitte kohustus luua iga konkurendi jaoks eraldi liidest. Kui otseülekanne ebaõnnestub, dokumenteerige tehniline põhjus ja võimaldage inimesele turvaline väljastus.

Kui sama taotlus puudutab mitut õigust

Inimene ei pea valima ainult ühte GDPR-i artiklit. Ta võib soovida oma andmete koopiat, masinloetavat eksporti ja seejärel konto sulgemist. Kontrollige, kas tutvumisõigus annab talle teavet ka tuletatud andmete kohta, mis ei kuulu artikli 20 ülekandmisse. Kui kustutamistaotlus on esitatud, hinnake artikli 17 erandeid eraldi; eksport ei kohusta kohe kõiki andmeid hävitama. Vastuses eristage, milline osa täideti millise õiguse alusel. See aitab inimesel mõista tulemust ja väldib näilist keeldumist, mis tekib üksnes vale pealkirja tõttu.

Enne saatmist kontrollige ka adressaadi valikut. Kui inimene soovib faili endale, ei tohiks organisatsioon seda saata tema nimetatud uuele teenusepakkujale ilma selge soovita. Kui ta soovib otseülekannet, kontrollige sihtpunkti ja tõendage juhist; vale saaja tekitab ise andmekaitseriski. Turvaline protsess võib anda inimesele võimaluse kinnitada sihtaadress enne saatmist. See on praktiline kaitse, mitte GDPR-is nimetatud üks kohustuslik ekraanivorm.

Korduma kippuvad küsimused

Kui kiiresti tuleb ülekandmise taotlusele vastata?

Põhjendamatu viivituseta ja igal juhul ühe kuu jooksul taotluse saamisest. Keerukate või arvukate taotluste korral võib tähtaega pikendada veel kahe kuu võrra, teavitades andmesubjekti pikendamisest ja selle põhjusest esimese kuu jooksul. Õiguse teostamine on üldjuhul tasuta; ilmselgelt põhjendamatu või ülemäärase taotluse korral võib artikli 12 lõike 5 tingimustel küsida mõistlikku tasu või keelduda.

Kas ülekandmise õigus kohaldub paberkandjal andmetele?

Artikli 20 kohane ülekandmine eeldab automatiseeritud töötlemist. Üksnes paberkandjal töödeldav andmestik ei täida seda tingimust, kuid tutvumisõigus võib kohalduvas ulatuses siiski kehtida.

Kas ülekandmise õigus kohaldub tööandja hoitavatele andmetele?

Osaliselt. Töötaja saab nõuda nende andmete ülekandmist, mida ta on ise tööandjale esitanud ja mida töödeldakse lepingu või nõusoleku alusel automatiseeritult. Suur osa tööandja hoitavatest andmetest töödeldakse aga juriidilise kohustuse alusel (maksud, tööõigus) või on tööandja enda loodud (hindamised), mistõttu need ülekandmise õiguse alla ei kuulu. Nendele andmetele kohaldub laiem tutvumisõigus.

Kas kõiki minu andmeid saab üle kanda?

Ei. Ülekandmise õigus hõlmab üksnes andmesubjekti enda esitatud andmeid, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. Vastutava töötleja tuletatud andmed (profiilid, skoorid) ja juriidilise kohustuse alusel töödeldavad andmed jäävad välja – neile kohaldub laiem tutvumisõigus.

Millises vormingus tuleb andmed väljastada?

Struktureeritud, üldkasutatavas ja masinloetavas vormingus, näiteks CSV, JSON või XML. Vorming peab võimaldama andmete importi teise teenusepakkuja süsteemi. Üksnes pildina esitatud PDF või ekraanipilt üldjuhul ei sobi; hinnake konkreetse väljundi masinloetavust ja struktuuri.

Kas vastutav töötleja peab andmed teisele ettevõttele otse edastama?

Andmesubjektil on õigus otseülekandele, kui see on tehniliselt teostatav. GDPR ei kohusta looma spetsiaalseid ühilduvaid liideseid, kuid soodustab koostalitlusvõimet. Kui otseülekanne ei ole teostatav, väljastatakse andmed andmesubjektile masinloetavas vormingus.

Kokkuvõte

Andmete ülekandmise õigus on kitsas, kuid praktiliselt oluline õigus: see kehtib üksnes andmesubjekti esitatud andmete suhtes, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. Andmed tuleb väljastada masinloetavas vormingus või teostada otseülekanne, kui see on tehniliselt teostatav. Kontrollige alati kolme tingimuse täidetust, eraldage ülekantavad andmed tuletatud andmetest ja hinnake kolmandate isikute õigusi ning ärge ajage ülekandmist segamini kustutamisega. Kuna õiguse ulatus sõltub iga töötlemise õiguslikust alusest, aitab hästi peetud töötlemise register koos õiguslike aluste eraldi kaardiga taotlustele järjekindlalt vastata.

Allikad, kontrollitud 27.09.2026: IKÜM artiklid 12, 15 ja 20, AKI üldjuhendi 8. peatükk, AKI ülekandmise õiguse selgitus.