Nõusolek on isikuandmete kaitse üldmääruse (GDPR) artikli 6 üks kuuest õiguslikust alusest ja artikkel 7 sätestab, millal see on kehtiv. Kehtiv nõusolek peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline ning väljendatud selge kinnitava tegevusega. Vaikimist, eeltäidetud kastikest ega tegevusetust ei loeta nõusolekuks. Vastutav töötleja peab suutma nõusolekut tõendada ja andmesubjekt peab saama selle igal ajal sama lihtsalt tagasi võtta, kui ta selle andis. Oluline on mõista, et nõusolek ei ole alati parim õiguslik alus – mõnikord kohaldub lepingu täitmine või õigustatud huvi koos tasakaalutestiga, kui nende eraldi tingimused on täidetud; üksnes tagasivõtmise võimalus ei õigusta aluse vahetamist. See juhend selgitab kehtiva nõusoleku tingimusi, nõusoleku tagasivõtmist ja tõendamist ning toob konkreetsed sõnastuse näited.
Kehtiva nõusoleku neli tingimust
Artikli 4 punkt 11 ja artikkel 7 näevad ette neli tingimust:
- Vabatahtlik. Andmesubjektil peab olema reaalne valik. Nõusolek ei ole vabatahtlik, kui teenuse osutamine on seatud sõltuvusse nõusolekust, mida teenuse jaoks ei ole vaja (art. 7 lg 4). Tööandja ja töötaja vahel on nõusolek harva vabatahtlik ebavõrdse suhte tõttu.
- Konkreetne. Nõusolek antakse iga kindla eesmärgi jaoks eraldi. Mitut eesmärki ei tohi ühte üldnõusolekusse koondada.
- Teadlik. Andmesubjekt peab enne nõusoleku andmist teadma vastutava töötleja isikut, töötlemise eesmärke, andmete liike ja õigust nõusolek tagasi võtta.
- Ühemõtteline. Nõusolek antakse selge kinnitava tegevusega – linnukese märkimine, nupu vajutamine. Eeltäidetud kastike ega vaikimine ei kõlba.
Eriliigiliste andmete (art. 9) töötlemiseks nõusoleku alusel peab nõusolek olema selgesõnaline – see tähendab sõnaselget kinnitust, mitte üksnes kinnitavat tegevust.
Nõusoleku tagasivõtmine ja tõendamine
Andmesubjektil on õigus nõusolek igal ajal tagasi võtta ja see peab olema sama lihtne kui nõusoleku andmine (art. 7 lg 3). Kui nõusoleku sai anda ühe klõpsuga, ei tohi tagasivõtmine nõuda kirja saatmist. Tagasivõtmine ei mõjuta enne seda toimunud töötlemise seaduslikkust.
Vastutav töötleja peab suutma tõendada, et andmesubjekt on nõusoleku andnud (art. 7 lg 1). Praktikas tähendab see nõusoleku salvestamist: kes, millal, mille kohta ja millise sõnastuse alusel nõusoleku andis. Nõusoleku tagasivõtmisel tuleb töötlemine lõpetada ja kui muud alust ei ole, andmed kustutada.
Praktilised sõnastuse näited
Uudiskirja tellimine (kehtiv):
☐ Soovin saada [Ettevõte OÜ] uudiskirja uute toodete ja pakkumiste kohta oma e-posti aadressile. Nõusoleku saan igal ajal tagasi võtta iga kirja jaluses oleva lingiga.
Turunduslik profileerimine (eraldi konkreetne nõusolek):
☐ Nõustun, et [Ettevõte OÜ] analüüsib minu ostuajalugu, et saata mulle isikustatud pakkumisi.
Eriliigiliste andmete töötlemine (selgesõnaline nõusolek):
☐ Annan selgesõnalise nõusoleku, et [Kliinik OÜ] kasutab minu terviseandmeid eraldi pakutava vabatahtliku terviseuuringu tegemiseks. Uuringust loobumine ei mõjuta minu tavapärast ravi. Võin nõusoleku igal ajal tagasi võtta [selgitatud kanalis].
Kehtetu näide (mida vältida):
☑ Nõustun andmete töötlemisega turunduse, profileerimise ja andmete edastamisega partneritele. (Eeltäidetud kastike, mitu eesmärki koos, ebamäärane – kehtetu.)
Nõusoleku sõnastus tuleb siduda privaatsuspoliitikaga, kus selgitatakse töötlemist täpsemalt, ja asjakohased töötlemistoimingud tuleb kajastada töötlemise registris artikli 30 kohaldumisel.
Millal mitte kasutada nõusolekut
Nõusolek ei ole alati parim alus. Kui konkreetne töötlemine on andmesubjektiga sõlmitud lepingu täitmiseks objektiivselt vajalik, võib alus olla leping (art. 6 lg 1 punkt b); kui kohaldatav õigus näeb töötlemise ette, tuleb hinnata juriidilise kohustuse alust (punkt c). Nõusolekut saab kasutada seal, kus andmesubjektil on reaalne valik ja vastava tegevuse õiguslikud tingimused seda lubavad – näiteks mõnes valikulise turunduse või profileerimise olukorras ning asjakohaste mittevajalike küpsiste puhul. Vale õigusliku aluse valik on levinud viga; alternatiivid tasub läbi mõelda juba lõimitud andmekaitse etapis.
Tõendamisviis võib olla lihtne, kui see seob inimese valiku eesmärgi, kuvatud sõnastuse ja ajaga; tööriist ei muuda puuduliku valiku õiguslikku alust kehtivaks.
Levinud vead
- Eeltäidetud kastikesed. Kehtetu; nõusolek nõuab aktiivset kinnitavat tegevust.
- Mitme eesmärgi koondamine ühte üldnõusolekusse rikub konkreetsuse nõuet.
- Teenuse sidumine mittevajaliku nõusolekuga rikub vabatahtlikkust.
- Tagasivõtmise raskendamine – kui andmine on ühe klõpsuga, ei tohi tagasivõtmine nõuda enamat.
- Nõusoleku tõendamise puudumine – salvestamata nõusolekut ei saa hiljem tõendada.
Nõusolek ja küpsised
Kõige levinum koht, kus organisatsioonid nõusolekuga kokku puutuvad, on veebilehe küpsised ja jälgimistehnoloogiad. Siin kehtib lisaks GDPR-ile ka ePrivaatsuse regulatsioon: mittevajalike küpsiste (analüütika-, turundus- ja profileerimisküpsiste) paigaldamine nõuab kasutaja eelnevat nõusolekut, mis vastab kõigile GDPR artikli 7 tingimustele. Veebilehe toimimiseks rangelt vajalikud küpsised (näiteks sessiooni- ja turvaküpsised) nõusolekut ei vaja.
Praktikas tähendab see, et küpsiseriba peab vastama samadele nõuetele nagu iga muu nõusolek. Ribal ei tohi olla eeltäidetud kastikesi ega ainult “Nõustun”-nuppu ilma võrdväärse keeldumisvõimaluseta – Euroopa järelevalveasutuste selge seisukoht on, et keeldumine peab olema sama lihtne kui nõustumine. Valiku kujundus peab tegema keeldumise tegelikult lihtsaks ega tohi seda peita; jälgimine ei tohi alata enne nõusoleku andmist ja nõusoleku peab saama sama lihtsalt tagasi võtta. Euroopa Kohus kinnitas Planet49 lahendis (C-673/17), et eeltäidetud kastike ei väljenda kehtivat nõusolekut. Küpsiste ja jälgimise kohta on täpsemad juhised avaldanud Andmekaitse Inspektsioon.
Küpsiste nõusoleku puhul tuleb ka tõendada ja dokumenteerida, milline nõusolek anti ja millal. Nõusoleku teave tuleb kooskõlastada privaatsusteatega, kus selgitatakse jälgimise eesmärke, ning asjakohased püsivad töötlemistegevused kajastada töötlemise registris. Kui küpsiseriba ja privaatsuspoliitika räägivad erinevat juttu – näiteks poliitika mainib küpsiseid, mida ribal ei ole loetletud – on tegemist läbipaistvuse puudusega, mida järelevalves märgatakse. Kui on vaja valida tööriist, mis nõusolekud kogub ja logib, on kriteeriumid koos nõusolekuhalduse platvormide võrdluses.
Nõusoleku granulaarsus, uuendamine ja aegumine
Kehtiva nõusoleku üks vähem märgatud aspekte on granulaarsus. Kui töötlemine teenib mitut eri eesmärki, tuleb igaks eesmärgiks küsida eraldi nõusolek – andmesubjekt peab saama nõustuda uudiskirjaga, kuid keelduda profileerimisest. Eesmärkide koondamine ühte “nõustun kõigega” nõusolekusse rikub konkreetsuse nõuet. Praktikas tähendab see mitut eraldi kastikest, millest igaüks on tühi ja iseseisvalt märgitav.
Teine praktiline küsimus on nõusoleku kehtivusaeg ja uuendamine. GDPR ei sätesta nõusoleku aegumistähtaega, kuid nõusolek, mida ei ole pikka aega kasutatud või mille kontekst on oluliselt muutunud, võib kaotada oma kehtivuse, sest see ei pruugi enam vastata teadlikkuse nõudele. Hea tava on nõusolekuid perioodiliselt üle vaadata ja vajaduse korral uuendada, eelkõige turunduse ja profileerimise puhul. Kui kavandatakse uut eesmärki, ei laiene vana nõusolek sellele automaatselt; hinnake, kas uus töötlemine vajab eraldi nõusolekut või muud õiguspärast alust ning andke vajalik teave enne jätkamist.
Kolmandaks tuleb nõusoleku tõendamine korraldada nii, et hiljem oleks võimalik näidata, kes, millal, mille kohta ja millise sõnastuse alusel nõusoleku andis. Selle salvestuse säilitamise põhjendus ja töötlemise eesmärk tuleb dokumenteerida, vajaduse korral ka töötlemise registris. Nõusoleku tagasivõtmise korral tuleb sellel alusel toimuv töötlemine lõpetada ning andmete edasist säilitamist hinnata säilitamise piirangu ja võimalike muude aluste järgi. Nõusolekuhaldus ei ole ühekordne toiming, vaid pidev protsess kogu andmete elutsükli vältel.
Valige alus enne nõusoleku küsimise kujundamist
Alustage ühest andmetöötluse eesmärgist. Kui veebipood vajab tarneaadressi ostu kohaletoimetamiseks, tuleb hinnata lepingu täitmiseks vajalikkust, mitte küsida näilist „nõusolekut”, millest keeldumine muudaks tellimise võimatuks. Kui sama pood tahab saata valikulist uudiskirja, on see eraldi eesmärk ja valiku tegelik vabadus tuleb läbi mõelda. Nõusolek ei ole teiste artikli 6 aluste nõrgem või tugevam asendus: iga alus peab sobima konkreetsete faktidega. Õigustatud huvi tasakaalutest ei ole luba turunduse või jälgimise küsimuses nõusoleku nõuet lihtsalt vältida.
Ka privaatsusteade ja nõusoleku küsimine täidavad eri ülesandeid. Teade selgitab töötlemist; nõusolek väljendab inimese vabatahtlikku otsust. Nupp „olen privaatsuspoliitikaga tutvunud” ei anna iseenesest luba kõigiks seal kirjeldatud eesmärkideks. Teenuse tingimustega nõustumine ei asenda eraldi andmekaitselist nõusolekut seal, kus seda alusena vajate. Kirjeldage valikut lühidalt selle tegemise kohal ja andke link täielikule teabele, et inimene mõistaks vastutavat töötlejat, eesmärki, andmeid ja tagasivõtmise võimalust enne kinnitamist.
Kui eriliigilisi andmeid töödeldakse selgesõnalise nõusoleku alusel, on vaja nii artikli 6 õiguslikku alust kui artikli 9 lõike 2 punkti a tingimust. Selgesõnalisus peab näitama konkreetset kinnitust eriliigiliste andmete töötlemiseks; üldine linnuke kogu veebilehe kohta ei piisa. Kuid tervishoiuteenuse tavapärane andmetöötlus ei põhine alati patsiendi nõusolekul: kontrollige tegelikku seaduslikku alust ja artikli 9 erandit. Näidises olev kliiniku lause on vaid olukorra illustreerimiseks ning vajab muutmist, kui teenus põhineb mõnel muul õiguslikul alusel.
Tehke valik eesmärkide kaupa ja ilma sunnita
Eraldi märkeruudud sobivad siis, kui inimene saab tõesti ühe eesmärgi valida ja teisest keelduda. Võtke kaks soovi: uudiskiri ning ostukäitumisel põhinev pakkumiste isikustamine. Kui need ühendatakse ühe kastiga, ei saa klient valida ainult esimest. Kirjutage kummagi juures, mis andmeid kasutatakse ja kuidas toimingut peatada. Kui profileerimine mõjutab inimest oluliselt, hinnake lisaks artikli 22 ja võimaliku mõjuhinnangu tingimusi; eraldi kastike ei lahenda teisi kohustusi.
Vabatahtlikkust kahjustab olukord, kus valikulise turundusega nõustumine on vältimatu samm teenuse ostmiseks. Artikli 7 lõige 4 nõuab tingimuslikkuse eraldi kaalumist, eriti kui nõusolek puudutab andmeid, mida lepingu täitmiseks ei vajata. Tööandja ja töötaja vahel võib võimutasakaal nõusoleku vabadust õõnestada, kuid sellest ei tulene sõnasõnalist keeldu kasutada tööelus nõusolekut igas võimalikus olukorras. Küsige, kas keeldumine või tagasivõtmine tooks töötajale reaalselt kahju. Kui vastus on jah, otsige sobiv alus või muutke tegevust.
Jätke tõend valikust, mitte ainult linnukesest
Artikli 7 lõige 1 ei kirjuta ette üht kindlat tehnilist logivormingut, kuid vastutav töötleja peab suutma näidata, et nõusolek saadi. Salvestage vähemalt vastutava töötleja, eesmärgi, kuvatud sõnastuse või versiooni, aktiivse valiku ning aja seos isikuga viisil, mis on vajalik tõendamiseks. Ärge koguge tõendiks rohkem kõrvalandmeid kui vaja. Kui nõusolek anti suuliselt, mõelge juba ette, kuidas seda usaldusväärselt tõendada; kirjalik või elektrooniline vorm võib olla lihtsam, kuid kõik nõusolekud ei pea olema digitaalsed.
Säilitage ka tagasivõtmise jälg. Kui kasutaja võtab uudiskirja nõusoleku tagasi, peab saatmise peatamine jõudma e-kirjaplatvormi ja vajaduse korral muudele asjakohastele teenusepakkujatele. Tõendi minimaalne säilitamine võib olla vajalik näitamaks, miks uut kirja ei saadetud või et varasem töötlus toimus kehtiva nõusoleku ajal; see ei õigusta vana turundusprofiili jätkuvat kasutamist. Vaadake, kas teie töötlemisülevaates on kirjeldatud mõlemad tegevused ja nende säilitamise kriteeriumid.
Tehke tagasivõtmine sama lihtsaks
AKI selgitab, et „sama lihtne” ei tähenda tingimata täpselt sama nuppu või sama tegevust. Mõõdupuu on inimese tegelik pingutus. Kui nõusolek anti veebis ühe lühikese valikuga, ei saa selle lõpetamine nõuda telefonikõnet, posti saatmist ja mitut põhjendust. Andke toimiv tagasivõtmise tee samas keskkonnas või sarnaselt lihtsas kanalis. Kontrollige seda ilma sisse logimata, kui algseks nõustumiseks polnud kontot vaja. Nõusoleku andmise ajal peab inimene teadma, et ta saab selle tagasi võtta.
Tagasivõtmine ei muuda varasemat nõusolekupõhist töötlemist tagantjärele ebaseaduslikuks, kuid tulevane töötlus sellel alusel tuleb lõpetada. Seejärel hinnake artikli 17 kustutamise tingimusi. Inimene võib eraldi kasutada ka andmetega tutvumise õigust, et saada teada, mida tema kohta alles hoitakse. Kui mõni andmerühm jääb seadusest tuleneva kohustuse või teise eraldi eesmärgi jaoks alles, selgitage seda juba teates ja ärge kasutage seda nõusolekust sõltuva eesmärgi jätkamiseks. Ühe eesmärgi tagasivõtmine ei tühista automaatselt kõiki teisi inimese ja ettevõtte suhteid.
Laste nõusolek Eesti piiratud kontekstis
GDPR artikkel 8 käsitleb olukorda, kus lapsele pakutakse infoühiskonna teenust otse ja selle töötlemise õiguslik alus on artikli 6 lõike 1 punkti a nõusolek. Eesti isikuandmete kaitse seaduse § 8 kasutab selles olukorras 13 aasta piiri. Alla 13-aastase puhul annab või kiidab nõusoleku heaks seaduslik esindaja ning vastutav töötleja teeb olemasolevat tehnoloogiat arvestades mõistlikke jõupingutusi selle kontrollimiseks. See ei ole kõigi laste isikuandmete töötlemise üldine vanusepiir ega tähenda, et igas kooli- või terviseteenuses tuleb alati küsida vanema nõusolekut. Laiemat kohalikku raamistikku selgitab andmekaitse Eestis.
Näiteks kui otse noortele suunatud rakendus kasutab nõusolekut valikulise profileerimise jaoks, tuleb kontrollida, kas artikkel 8 kohaldub ning kuidas vanust ja esindaja kinnitust proportsionaalselt hinnata. Kui teenus töötleb andmeid seadusest tuleneva ülesande tõttu, tuleb analüüsida teist alust ja sobivat laste kaitset; artikli 8 numbrit ei saa lihtsalt üle kanda. AKI nõusoleku kontrollküsimustik rõhutab Eesti 13-aastast piiri just infoühiskonna teenuse korral.
Eristage küpsise salvestamise luba ja GDPR alus
Veebis tuleb eraldi uurida, kas tehnoloogia salvestab teavet kasutaja seadmesse või pääseb sellele ligi, ning kas saadavad andmed on isikuandmed. AKI veebitegevuste juhend käsitleb tuvastamist võimaldavaid analüüsi- ja reklaamiküpsiseid eelneva vabatahtliku nõusoleku olukorrana. Teenuse toimimiseks vältimatu tehnoloogia erand vajab oma eesmärgi kontrolli; ärge nimetage kõiki mugavus- või statistilisi tööriistu „vajalikuks” ainult seetõttu, et need on ettevõttele kasulikud. Enne valikut ei tohi valikulist jälgimist käivitada.
Küpsiseriba kujunduse üle otsustamisel võrrelge keeldumise ja nõustumise tegelikku lihtsust ning vaadake, kas valikud on arusaadavad. Üksainus „nõustun” nupp ilma töötava keeldumise teeta muudab vabatahtlikkuse küsitavaks. Kaks sama nimega nuppu ei ole seaduses sõnasõnaline universaalne kujundusnõue; vältige olukorda, kus loobumine on peidetud mitme vaate taha. Jälgige ka, et nõusolekuhalduse lahendus edastaks valiku tegelikele skriptidele. Roheline linnuke aruandes ei tõenda midagi, kui külastaja seadmesse pandi valikuline jälgija enne otsust.
Kontrollige sõnastust inimese silmadega
Näidiskasti „soovin uudiskirja” juurde lisage tegelikus teenuses vastutava töötleja nimi, sõnumite eesmärk, kasutatav kontaktkanal ja lihtne tagasivõtmise tee. Kui pakute mitut sõnumiliiki, näiteks tooteuudiseid ja küsitlusi, otsustage, kas need on inimese jaoks üks mõistetav eesmärk või vajavad eraldi valikut. Ärge küsige üldist luba „andmete töötlemiseks”, sest iga teenuse kasutamine hõlmab nagunii eri alusel tehtavaid toiminguid. Artikli 13 teave peab täpsustama, mida valik tähendab, ning tekst ei tohi jätta muljet, et tellimuse arve sõltub uudiskirja linnukesest.
Proovige mõlemat teekonda: inimene valib ainult uudiskirja ja hiljem loobub sellest; teine ei vali ühtegi valikulist kasti, kuid saab põhiteenust kasutada. Kui teine ei saa tellida ilma turundusvalikuta, pole sõnastuse parandamisest üksi abi. Kui esimese loobumine jõuab kampaaniasüsteemi alles pärast mitut uut saadetist, tuleb töövoogu parandada. Tõendiks sobib sündmuste minimaalne ajalugu: milline valik tehti, millise tekstiversiooniga ja millal see tagasi võeti. See ei tõenda, et vabatahtlikkus oli olemas, kui kasutajaliides varjas keeldumist.
Vaadake üle ka arusaadavus sihtrühmale. Lapsele suunatud teenuse nõusolekutekst peab olema lapsele mõistetav, kuid Eesti 13-aasta piir rakendub üksnes artikli 8 kirjeldatud otsepakutud infoühiskonna teenuse ja nõusolekul põhineva töötluse korral. Töötaja puhul küsige, kas ta võib keelduda ilma töösuhte kahjuta. Patsiendi puhul uurige, kas tegelik terviseandmete töötlemine on üldse nõusolekupõhine. Need kolm olukorda vajavad eri analüüsi; sama malli kopeerimine ei taga üheski neist kehtivat nõusolekut.
Korduma kippuvad küsimused
Kas nõusolekut võib eeldada tegevusetuse põhjal?
Ei. Vaikimist, tegevusetust ega teenuse edasist kasutamist ei loeta nõusolekuks. Nõusolek nõuab selget kinnitavat tegevust – aktiivset märkimist või kinnitamist. See tähendab ka seda, et “jätkates lehe kasutamist nõustute küpsistega” ei ole kehtiv nõusolek mittevajalike küpsiste jaoks.
Kas laste andmete töötlemiseks on vaja vanema nõusolekut?
Kui lapsele pakutakse infoühiskonna teenust otse ning töötlemine tugineb nõusolekule, sätestab Eesti isikuandmete kaitse seaduse § 8 piiriks 13 aastat. Alla 13-aastase puhul peab nõusoleku andma või heaks kiitma seaduslik esindaja; vastutav töötleja teeb mõistlikke jõupingutusi selle kontrollimiseks. See artikli 8 piiratud reegel ei ole kõigi laste andmetöötluste üldine vanusepiir.
Kas eeltäidetud linnuke on kehtiv nõusolek?
Ei. Euroopa Kohus on kinnitanud (Planet49, C-673/17), et eeltäidetud kastike ei väljenda kehtivat nõusolekut. Nõusolek nõuab selget kinnitavat tegevust, näiteks kastikese ise märkimist või nupu vajutamist.
Kas tööandja võib tugineda töötaja nõusolekule?
Ebavõrdse suhte tõttu on töötaja nõusoleku vabatahtlikkust raske näidata, eriti kui keeldumine võib mõjutada töösuhet. See ei ole kõigi olukordade absoluutne keeld: hinnake konkreetset valikut ja tagajärgi. Töösuhte tavapäraste kohustuste jaoks tuleb leida asjaomane õiguslik alus, mitte küsida näilist nõusolekut.
Kui kaua nõusolek kehtib?
GDPR ei määra nõusolekule üht aegumistähtaega. Selle kasutatavus sõltub algse eesmärgi, antud teabe ja tegeliku töötlemise püsimisest ning tagasivõtmisest; ärge eeldage, et vana linnuke katab muutunud eesmärki. Organisatsioon võib nõusoleku kehtivust perioodiliselt kontrollida ja pärast eesmärgi täitumist andmed säilitamise piirangu järgi kustutada.
Kokkuvõte
Kehtiv nõusolek peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline ning väljendatud selge kinnitava tegevusega; eriliigiliste andmete puhul selgesõnaline. Vastutav töötleja peab nõusolekut tõendama ja andmesubjekt peab saama selle sama lihtsalt tagasi võtta. Kasutage konkreetseid, eesmärgipõhiseid sõnastusi, vältige eeltäidetud kastikesi ja mitme eesmärgi koondamist ning salvestage nõusolek tõendamiseks. Enne nõusoleku valimist hinnake konkreetse eesmärgi aluseid; leping ja õigustatud huvi sobivad üksnes oma seaduslike tingimuste täitumisel, nõusolek nõuab reaalset valikut. Nõusolekul põhinev töötlemine tuleb selgitada privaatsusteates ning kajastada töötlemise registris, kui artikli 30 arvestuskohustus selle tegevuse suhtes kohaldub.
Allikad, kontrollitud 27.09.2026: IKÜM artiklid 4(11), 6–9, Eesti isikuandmete kaitse seaduse § 8, AKI nõusoleku juhend, AKI veebitegevuste juhend.