Andmete ülekandmise õigus (GDPR art. 20) 2026: millal kehtib ja mis vorming

Andmete ülekandmise õigus annab andmesubjektile isikuandmete kaitse üldmääruse (GDPR) artikli 20 kohaselt õiguse saada teda puudutavad isikuandmed, mille ta on vastutavale töötlejale esitanud, struktureeritud, üldkasutatavas ja masinloetavas vormingus ning edastada need takistusteta teisele vastutavale töötlejale. Kui see on tehniliselt teostatav, on andmesubjektil õigus nõuda andmete otseülekannet ühelt vastutavalt töötlejalt teisele. Õigus kehtib üksnes kitsalt: see hõlmab ainult andmesubjekti enda esitatud andmeid, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. See juhend selgitab, millal ülekandmise õigus kehtib, milliseid andmeid see hõlmab, millises vormingus andmed väljastada ja kuidas see erineb tutvumisõigusest.

Millal andmete ülekandmise õigus kehtib?

Õigus kohaldub üksnes siis, kui täidetud on kõik kolm tingimust:

1. Õiguslik alus on nõusolek või leping. Kui töötlemine põhineb juriidilisel kohustusel, avalikul huvil või õigustatud huvil, ülekandmise õigust ei ole.
2. Töötlemine toimub automatiseeritult. Paberkandjal andmekogud jäävad õiguse alt välja.
3. Andmed on andmesubjekti enda esitatud. See hõlmab nii aktiivselt sisestatud andmeid (nimi, e-post) kui ka tegevuse käigus tekkinud andmeid (asukohaajalugu, ostuajalugu), kuid mitte vastutava töötleja tuletatud ega järeldatud andmeid (näiteks krediidiskoor või profiil).

Kui mõni tingimus ei ole täidetud, võib andmesubjekt siiski kasutada õigust tutvuda andmetega (art. 15), mille ulatus on laiem, kuid mis ei taga masinloetavat ülekantavat vormingut.

Milline peab olema vorming?

Andmed tuleb väljastada struktureeritud, üldkasutatavas ja masinloetavas vormingus – näiteks CSV, XML või JSON. Vorming peab võimaldama andmete taaskasutust teise teenusepakkuja süsteemis. PDF-fail või ekraanipilt ei täida masinloetavuse nõuet, sest neid ei saa automaatselt teise süsteemi importida.

Otseülekande korral peavad süsteemid suutma andmeid vahetada, kui see on tehniliselt teostatav. GDPR ei kohusta vastutavaid töötlejaid looma tehniliselt ühilduvaid süsteeme, kuid soodustab koostalitlusvõimet. Andmete ülekandmine ei tohi kahjustada teiste isikute õigusi ja vabadusi (art. 20 lg 4) – näiteks ei tohi üle kanda kolmandate isikute andmeid, mis sisalduvad andmesubjekti sõnumivahetuses.

Mille poolest erineb ülekandmine tutvumisõigusest?

Tunnus	Õigus tutvuda (art. 15)	Andmete ülekandmine (art. 20)
Õiguslik alus	Kõik alused	Ainult nõusolek või leping
Töötlemise viis	Kõik	Ainult automatiseeritud
Andmete ulatus	Kõik andmesubjekti andmed	Ainult tema esitatud andmed
Vorming	Arusaadav koopia	Masinloetav (CSV, JSON, XML)
Otseülekanne	Ei	Jah, kui tehniliselt teostatav

Praktikas käsitletakse mõlemat õigust sageli koos ühtses andmesubjektide õiguste protsessis, kuid nende ulatus ja väljastatav vorming erinevad. Ülekandmise õiguse rakendamiseks tuleb töötlemise registris märkida iga töötlemistoimingu õiguslik alus, et kiiresti tuvastada, milliste andmete suhtes õigus üldse kehtib.

Kuidas taotlusele vastata

1. Registreerige taotlus ja fikseerige ühe kuu tähtaeg, nagu teiste andmesubjekti õiguste puhul (art. 12 lg 3).
2. Kontrollige, kas kolm tingimust on täidetud – õiguslik alus, automatiseeritus, andmesubjekti esitatud andmed.
3. Eraldage ülekantavad andmed tuletatud ja kolmandate isikute andmetest.
4. Väljastage masinloetavas vormingus või teostage otseülekanne, kui see on tehniliselt teostatav.
5. Teavitage andmesubjekti ja osalise keeldumise korral põhjustest ning tema õigusest pöörduda AKI poole.

Tähtis nüanss: ülekandmine ei tähenda kustutamist. Kui andmesubjekt soovib andmed teisele teenusepakkujale üle kanda ja seejärel esialgsest süsteemist kustutada, peab ta eraldi kasutama õigust olla unustatud.

Levinud vead

• Tuletatud andmete lisamine. Õigus hõlmab üksnes andmesubjekti esitatud andmeid, mitte vastutava töötleja loodud profiile või skoore.
• Ebasobiv vorming. PDF või ekraanipilt ei täida masinloetavuse nõuet.
• Õige õigusliku aluse kontrollimata jätmine. Kui töötlemine põhineb õigustatud huvil, ülekandmise õigust ei ole.
• Kolmandate isikute andmete üle kandmine, mis kahjustab nende õigusi.
• Ülekandmise ja kustutamise segiajamine – ülekandmine ei kohusta esialgset töötlejat andmeid kustutama.

Platvorm nagu Legiscope aitab tuvastada, milliste töötlemiste suhtes ülekandmise õigus registri põhjal kehtib, ja dokumenteerida taotlustele vastamise.

Näited: panga-, tervise- ja sotsiaalmeedia andmed

Andmete ülekandmise õiguse ulatust on kõige lihtsam mõista konkreetsete näidete kaudu.

Pangandus. Klient soovib vahetada panka ja saada oma tehinguajaloo üle kanda uude panka. Tehinguandmed on kliendi enda tegevuse käigus tekkinud andmed, mida töödeldakse lepingu alusel ja automatiseeritult – seega kuuluvad ülekandmise õiguse alla. Panga tuletatud andmed, näiteks krediidiskoor või riskihinnang, seevastu ei kuulu. Makseteenuste puhul haakub ülekandmise õigus ka avatud panganduse (PSD2) loogikaga, mis soodustab andmete liikuvust teenusepakkujate vahel.

Tervishoid. Patsient soovib viia oma andmed ühelt eraõiguslikult teenusepakkujalt teisele. Kui töötlemise alus on nõusolek või leping, kohaldub ülekandmise õigus ja andmed tuleb väljastada masinloetavas vormingus. Kui aga töötlemine põhineb juriidilisel kohustusel (näiteks seadusest tulenev terviseandmete säilitamine), ülekandmise õigust ei ole, kuid patsient saab kasutada laiemat tutvumisõigust.

Sotsiaalmeedia ja teenused. Kasutaja soovib oma postitused, kontaktid ja üleslaaditud sisu üle kanda teise platvormile. Tema enda loodud sisu kuulub ülekandmise õiguse alla, kuid tähelepanu tuleb pöörata kolmandate isikute andmetele – näiteks sõnumivahetus sisaldab ka teise poole andmeid, mida ei tohi ilma aluseta üle kanda, sest see kahjustaks nende õigusi (art. 20 lg 4).

Kõigil kolmel juhul on määrav sama kolme tingimuse kontroll: õiguslik alus (nõusolek või leping), automatiseeritud töötlemine ja andmesubjekti enda esitatud andmed. Kui üks tingimustest puudub, tuleb taotlus lahendada tutvumisõiguse, mitte ülekandmise raames. Alused peavad olema fikseeritud töötlemise registris, et vastamine oleks kiire ja järjekindel.

Tähtaeg, tasu ja keeldumise alused

Andmete ülekandmise taotlusele kohalduvad samad menetlusreeglid nagu teistele andmesubjekti õigustele. Vastata tuleb põhjendamatu viivituseta ja igal juhul ühe kuu jooksul taotluse saamisest; keerukate või arvukate taotluste korral võib tähtaega pikendada veel kahe kuu võrra, teavitades sellest andmesubjekti esimese kuu jooksul. Õiguse teostamine on üldjuhul tasuta – tasu või keeldumine on lubatud üksnes ilmselgelt põhjendamatute või ülemääraste, eelkõige korduvate taotluste korral, kusjuures põhjendamatuse tõendamise koormus lasub vastutaval töötlejal.

Vastutav töötleja võib taotlust osaliselt või täielikult mitte rahuldada, kui kolm tingimust ei ole täidetud – näiteks kui töötlemise õiguslik alus on juriidiline kohustus või õigustatud huvi, mitte nõusolek ega leping. Sellisel juhul tuleb andmesubjekti teavitada keeldumise põhjustest ja tema õigusest esitada kaebus AKI-le. Oluline on, et keeldumine ei tohi olla automaatne: iga taotlust tuleb hinnata konkreetselt, kontrollides, milliste andmete suhtes õigus kehtib.

Ülekandmise õigust ei tohi segi ajada tavalise andmete eksportimisega. Kui andmesubjekt soovib andmed lihtsalt endale saada, piisab sageli tutvumisõigusest. Ülekandmise õiguse eripära on masinloetav vorming ja võimalus andmed otse teisele teenusepakkujale edastada – see teenib andmesubjekti liikuvust teenuste vahel, mitte üksnes tema teavitamist.

Korduma kippuvad küsimused

Kui kiiresti tuleb ülekandmise taotlusele vastata?

Põhjendamatu viivituseta ja igal juhul ühe kuu jooksul taotluse saamisest. Keerukate või arvukate taotluste korral võib tähtaega pikendada veel kahe kuu võrra, teavitades andmesubjekti pikendamisest ja selle põhjusest esimese kuu jooksul. Esimene väljastamine on tasuta.

Kas ülekandmise õigus kohaldub paberkandjal andmetele?

Ei. Ülekandmise õigus kohaldub üksnes automatiseeritult töödeldavatele andmetele. Paberkandjal ehk mitteautomatiseeritud andmekogud jäävad õiguse alt välja, kuigi neile võib kohalduda laiem tutvumisõigus.

Kas ülekandmise õigus kohaldub tööandja hoitavatele andmetele?

Osaliselt. Töötaja saab nõuda nende andmete ülekandmist, mida ta on ise tööandjale esitanud ja mida töödeldakse lepingu või nõusoleku alusel automatiseeritult. Suur osa tööandja hoitavatest andmetest töödeldakse aga juriidilise kohustuse alusel (maksud, tööõigus) või on tööandja enda loodud (hindamised), mistõttu need ülekandmise õiguse alla ei kuulu. Nendele andmetele kohaldub laiem tutvumisõigus.

Kas kõiki minu andmeid saab üle kanda?

Ei. Ülekandmise õigus hõlmab üksnes andmesubjekti enda esitatud andmeid, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. Vastutava töötleja tuletatud andmed (profiilid, skoorid) ja juriidilise kohustuse alusel töödeldavad andmed jäävad välja – neile kohaldub laiem tutvumisõigus.

Millises vormingus tuleb andmed väljastada?

Struktureeritud, üldkasutatavas ja masinloetavas vormingus, näiteks CSV, JSON või XML. Vorming peab võimaldama andmete importi teise teenusepakkuja süsteemi. PDF ega ekraanipilt ei sobi.

Kas vastutav töötleja peab andmed teisele ettevõttele otse edastama?

Andmesubjektil on õigus otseülekandele, kui see on tehniliselt teostatav. GDPR ei kohusta looma spetsiaalseid ühilduvaid liideseid, kuid soodustab koostalitlusvõimet. Kui otseülekanne ei ole teostatav, väljastatakse andmed andmesubjektile masinloetavas vormingus.

Kokkuvõte

Andmete ülekandmise õigus on kitsas, kuid praktiliselt oluline õigus: see kehtib üksnes andmesubjekti esitatud andmete suhtes, mida töödeldakse nõusoleku või lepingu alusel ja automatiseeritult. Andmed tuleb väljastada masinloetavas vormingus või teostada otseülekanne, kui see on tehniliselt teostatav. Kontrollige alati kolme tingimuse täidetust, eraldage ülekantavad andmed tuletatud ja kolmandate isikute andmetest ning ärge ajage ülekandmist segamini kustutamisega. Kuna õiguse ulatus sõltub iga töötlemise õiguslikust alusest, on hästi peetud töötlemise register taotlustele vastamisel asendamatu.