Kas otsite privaatsuspoliitika näidist oma veebilehele, mis vastab isikuandmete kaitse üldmääruse (GDPR) artiklitele 13 ja 14? Siin on kohandatav lähtepunkt; nurksulud ja töötlemise kirjeldused tuleb enne avaldamist oma tegelike andmetega täita. Privaatsuspoliitika on dokument, milles vastutav töötleja täidab oma teavitamiskohustust: ta selgitab andmesubjektidele selges ja lihtsas keeles, milliseid isikuandmeid ta kogub, mis eesmärgil, millisel õiguslikul alusel, kui kaua neid säilitatakse, kellega jagatakse ja millised on andmesubjekti õigused. Privaatsuspoliitika ei ole formaalsus – see on esimene dokument, mida külastaja ja Andmekaitse Inspektsioon (AKI) läbipaistvuse kontrollimiseks vaatavad. See juhend annab näidise, selgitab artiklite 13 ja 14 erinevust ning aitab kontrollida välju, mida lühike veebimall ei saa iga ettevõtte eest ette täita.
Kohandatav privaatsuspoliitika näidis
PRIVAATSUSPOLIITIKA
Viimati uuendatud: [kuupäev]
1. Vastutav töötleja. Käesolev privaatsuspoliitika selgitab, kuidas [Ettevõte OÜ], registrikood […], aadress […], e-post […], töötleb teie isikuandmeid. [Andmekaitse küsimustes saate ühendust meie andmekaitsespetsialistiga: dpo@ettevote.ee.]
2. Milliseid andmeid me kogume. Sõltuvalt teie suhtlusest meiega töötleme järgmisi andmeid:
- Kontaktvormi kaudu: nimi, e-post, sõnumi sisu;
- Kliendikonto loomisel: nimi, e-post, telefon, aadress;
- Tellimuse esitamisel: tarne- ja arveandmed, ostuajalugu;
- Veebilehe kasutamisel: IP-aadress, seadme- ja külastusandmed (vt küpsised).
3. Töötlemise eesmärgid ja õiguslik alus.
- [Konkreetse tellimuse täitmiseks objektiivselt vajalikud andmed, kui tellija on andmesubjekt] – õiguslik alus: leping (art. 6 lg 1 p b);
- [Kohaldatavast õigusest tuleneva arvestuskohustuse täitmiseks vajalikud andmed] – juriidiline kohustus (art. 6 lg 1 p c; märkige õigusnorm);
- [Vabatahtlik uudiskiri, kui nõusoleku tingimused on täidetud] – nõusolek (art. 6 lg 1 p a);
- [Konkreetne veebiturbe toiming, kui õigustatud huvi ja tasakaalutest seda toetavad] – õigustatud huvi (art. 6 lg 1 p f). [Eraldi analüütika ja küpsiste puhul hinnake ka nende enda alust ning vajaduse korral eelnevat nõusolekut.]
4. Kui kaua me andmeid säilitame. Märkige iga eesmärgi ja andmeliigi kohta põhjendatud säilitusaeg või selle määramise arusaadav kriteerium: [tellimuse andmed …], [arve …], [uudiskirja kontakt …]. Konto sulgemine ei määra iseenesest kõigi andmete lõpptähtaega.
5. Kellele me andmeid edastame. Märkige tegelikud vastuvõtjad või kategooriad ning nende rollid: [majutus], [maksevahendaja], [kuller]. Kõik saajad ei ole volitatud töötlejad. Kui andmeid edastatakse väljapoole EMP-d, kirjeldage [konkreetne edastamise alus ja kaitsemeetmete kättesaamise viis].
6. Küpsised. Kasutame veebilehe toimimiseks vajalikke küpsiseid ja teie nõusolekul analüütika- ja turundusküpsiseid. Küpsiste seadeid saate igal ajal muuta [küpsiste seaded].
7. Teie õigused. Teil on õigus: tutvuda oma andmetega (art. 15); nõuda parandamist (art. 16); nõuda kustutamist (art. 17); piirata töötlemist (art. 18); saada andmed ülekantavas vormingus (art. 20); esitada vastuväide (art. 21); võtta nõusolek tagasi. Õiguste teostamiseks võtke ühendust [e-post].
8. Kaebuse esitamine. Kui leiate, et teie andmete töötlemine rikub GDPR-i, on teil õigus pöörduda Andmekaitse Inspektsiooni poole (www.aki.ee).
9. Mujalt saadud andmed, kui see olukord esineb. Kui saame teie andmed mujalt kui teilt endalt, kirjeldame [andmete liigid], [konkreetne allikas või allikate kategooriad, sh vajaduse korral avalik allikas] ja kõik muud artikli 14 järgi nõutud asjaolud. Anname teabe mõistliku aja jooksul, hiljemalt ühe kuu jooksul andmete saamisest; kui võtame teiega varem ühendust või avaldame andmed saajale varem, siis vastavalt esimesel suhtlusel või hiljemalt esimesel avaldamisel, kui erand ei kohaldu.
10. Muudatused. Ajakohastame käesolevat privaatsuspoliitikat vajaduse korral. Kehtiv versioon on alati kättesaadav sellel lehel.
Kuidas näidist kohandada
Kirjelda üksnes tegelikku töötlemist. Ära kopeeri klausleid töötlemise kohta, mida sa ei tee. Privaatsuspoliitika peab peegeldama sinu töötlemise registrit – kui register näitab neli töötlemistoimingut, peab poliitika neid nelja kajastama.
Märgi iga eesmärgi õiguslik alus. See on osa, mis kõige sagedamini puudub või on vale. Ära märgi kõige aluseks nõusolekut. Lepingu alus sobib konkreetsele töötlusele siis, kui see on objektiivselt vajalik andmesubjektiga sõlmitud lepingu täitmiseks või tema taotletud lepingueelseks sammuks; raamatupidamise puhul kontrolli, milline kohaldatav õigusnorm vastavat töötlust nõuab. Veebilehe parandamine ei muutu automaatselt õigustatud huviks ning jälgimisküpsised võivad vajada eraldi eelnevat nõusolekut. Õigete aluste valik on selgitatud nõusoleku juhendis.
Lisa andmekaitsespetsialisti kontakt, kui oled andmekaitsespetsialisti määranud (kohustuslik või vabatahtlik). Vastasel juhul märgi üldine andmekaitse kontaktpunkt.
Seosta küpsiste osa nõusolekulahendusega. Mittevajalikud küpsised nõuavad eelnevat nõusolekut; küpsiste teabe peab poliitika ja küpsiseriba kokku viima. Lahenduse valikut käsitleb nõusolekuhalduse platvormide võrdlus.
Uuenda kuupäeva ja säilita versioonid. Privaatsuspoliitika on elav dokument – iga muudatus tuleb kuupäevastada.
Levinud vead
- Üldise malli kopeerimine tegelikkust kontrollimata. Poliitika, mis kirjeldab töötlemist, mida ei toimu (või jätab kajastamata tegeliku töötlemise), on eksitav ja rikub läbipaistvust.
- Kõige aluseks nõusoleku märkimine. Enamik töötlemist põhineb lepingul, juriidilisel kohustusel või õigustatud huvil, mitte nõusolekul.
- Säilitustähtaegade puudumine. Artikkel 13 nõuab säilitustähtaja või selle kriteeriumi märkimist.
- Õiguste ebatäielik loetelu – kõik kohalduvad andmesubjekti õigused tuleb nimetada.
- Küpsiste käsitlemata jätmine või küpsiseriba ja poliitika lahknevus.
- AKI kui järelevalveasutuse mainimata jätmine kaebuse esitamise õiguse juures.
Registri ja avaliku teate võrdlemiseks võib kasutada ühiseid kontrollvälju, kuid õiguslik alus, saajad ja tähtaeg vajavad inimese kinnitust; ükski dokumendimall ei taga nende automaatset kooskõla.
Läbipaistvus ja järelevalve fookus
Privaatsuspoliitika täidab GDPR-i läbipaistvuse põhimõtet (art. 5 lg 1 punkt a) ja artiklite 13–14 teavitamiskohustust. Läbipaistvus ei ole formaalne kastikeste märkimine, vaid sisuline nõue: teave peab olema kokkuvõtlik, läbipaistev, arusaadav ja lihtsasti kättesaadav ning esitatud selges ja lihtsas keeles (art. 12 lg 1). Just seetõttu on juriidilise žargooniga täidetud, mitmeleheküljeline poliitika sageli halvem kui lühike ja täpne – arusaamatu poliitika ei täida teavitamiskohustust.
Läbipaistvus on ka Euroopa järelevalveasutuste kasvava tähelepanu all. Euroopa Andmekaitsenõukogu 2026. aasta koordineeritud järelevalvetegevus keskendub just läbipaistvusele ja teavitamiskohustusele artiklite 12–14 alusel, kusjuures järelevalveasutused üle Euroopa auditeerivad, kuidas vastutavad töötlejad oma teavitamiskohustust täidavad. See tähendab, et privaatsuspoliitika sisu ja tegeliku töötlemise vastavus on 2026. aastal senisest suurema tähelepanu all.
Praktiline soovitus on ehitada poliitika kihiti: lühike ülevaatlik esimene kiht kõige olulisema teabega ja üksikasjalikumad selgitused sügavamal. Nii saab andmesubjekt kiiresti aru põhilisest ja soovi korral süveneda. Poliitika peab olema hõlpsasti leitav – tavaliselt lingitud iga lehe jaluses – ja alati ajakohane. Kui muutub töötlemine, uus teenusepakkuja või säilitustähtaeg, tuleb poliitikat uuendada ja kuupäev muuta. AKI kui järelevalveasutuse mainimine kaebeõiguse juures on kohustuslik osa teavitamisest.
Artiklite 13 ja 14 erinevus: kust andmed pärinevad
Teavitamiskohustus jaguneb kaheks sõltuvalt sellest, kust isikuandmed pärinevad. Artikkel 13 kohaldub, kui andmed kogutakse andmesubjektilt endalt – näiteks kui klient täidab veebivormi või loob konto. Artikkel 14 kohaldub, kui andmed saadakse mujalt – näiteks avalikust registrist, andmemaaklerilt või partnerilt. Sisu on suures osas sama, kuid artikkel 14 nõuab lisaks andmete allika ja andmete liikide avaldamist ning teavitamist mõistliku aja jooksul ja hiljemalt ühe kuu jooksul andmete saamisest; esimene suhtlus või andmete esimene avaldamine võib nõuda varasemat teavitamist.
Praktikas tähendab see, et ettevõte, kes ostab kontaktandmeid või rikastab oma andmebaasi väliste allikatega, peab andmesubjekte sellest teavitama, isegi kui neil puudub otsene kontakt. Selle kohustuse eiramine on levinud viga eelkõige turunduses ja andmete rikastamisel. Kui teavitamine nõuaks ebaproportsionaalset jõupingutust, näeb artikkel 14 ette piiratud erandid, kuid nendele tuginemine tuleb dokumenteerida ja põhjendada.
Privaatsuspoliitika võib katta mõlemad olukorrad, kui organisatsioon kogub andmeid nii otse kui ka kaudselt, kuid kaudselt saadud andmete puhul tuleb mõelda, kuidas teave konkreetse inimeseni õigel ajal jõuab. See on veel üks põhjus, miks poliitika peab peegeldama tegelikku töötlemise registrit: registri juurde võib lisada andmeallika kontrollvälja; artikkel 30 ei nõua seda eraldi miinimumväljana, kuid see aitab otsustada, kas vaja on artikli 13 või 14 teavet.
Alustage andmevoost, mitte näidise sõnastusest
Veebilehe jaoks koostatud andmekaitsetingimused peavad kirjeldama konkreetset vastutavat töötlejat ja tegelikke andmevooge. Avage ükshaaval kontaktvorm, konto loomine, tellimus, uudiskiri ja kasutusstatistika. Küsige iga tegevuse puhul, millised väljad liiguvad brauserist teenusesse, kas midagi lisatakse hiljem klienditoest või partnerilt ning kes saab andmeid vaadata. Töötlemisülevaate näidis aitab koguda sisemisi fakte, kuid inimesele antav selgitus peab olema arusaadav ka ilma registrit nägemata. Kui üks tegevus on alles plaanis, ärge kirjeldage seda juba toimiva teenusena.
Kirjutage teates üks rida ühe eesmärgi kohta. Tellimuse täitmine, arve säilitamine, klienditoe vastus ja eraldi turundussõnum ei muutu üheks eesmärgiks selle tõttu, et andmed asuvad samas kontos. Määrake igale eesmärgile konkreetne artikli 6 alus. Kui tuginete õigustatud huvile, nimetage asjaomane huvi ja hinnake tasakaalu; õigustatud huvi test on eraldi otsus. Nõusoleku puhul peab inimene teadma, kuidas ta selle tagasi võtab. Eriliigiliste andmete töötlemisel uurige lisaks artikli 9 tingimust, mitte ärge eeldage, et tavaline teenusleping lahendab selle küsimuse.
Andke teave õigel hetkel ja sobivas kohas
Artikkel 13 puudutab andmeid, mille inimene annab otse. Kontaktvormi kõrval peaks enne saatmist olema selge lühiselgitus eesmärgi kohta ja toimiv tee täielike tingimusteni. Kui asjakohane teave ilmub alles pärast nupu vajutamist, ei täida hiljem leitav jalus õigel ajal teavitamise ülesannet. Kihiline esitus on võimalik: esimeses kihis selgitage, kes andmeid kogub, milleks ja mis on inimese tähtsaim valik; järgmises kihis andke kõik artikli 13 väljad. See on vormistusviis, mitte luba kohustuslik teave välja jätta.
Artikkel 14 tuleb mängu siis, kui andmed saadi mujalt, näiteks kui äriklient annab oma töötaja kontakti teenuse kasutajaks või partner saadab kontaktide nimekirja. Lisaks tavapärastele väljadele tuleb selgitada andmete liigid ja allikas, vajaduse korral ka see, kas allikas oli avalik. Teave tuleb anda mõistliku aja jooksul, hiljemalt ühe kuu jooksul andmete saamisest; kui kasutate andmeid inimesega suhtlemiseks, hiljemalt esimese suhtluse ajal, ja teisele vastuvõtjale avaldamisel hiljemalt esimese avaldamise ajal. Need võivad anda ühe kuu piirist varasema hetke. Eristage kõik kolm oma töövoos.
Ärge kirjutage, et kaudselt saadud andmete puhul võib teavitamise lihtsalt ära jätta, kui adressaate on palju. Artikli 14 lõike 5 erandid on tingimuslikud: näiteks teave on inimesel juba olemas, selle esitamine osutub võimatuks või nõuaks ebaproportsionaalset pingutust, või konkreetne saamine või avaldamine on seaduses ette nähtud koos sobivate kaitsemeetmetega. Hinnake erandit konkreetse andmevoo kohta ja dokumenteerige põhjendus ning vajalikud alternatiivsed läbipaistvusmeetmed. Veebis avaldatud üldine teade võib olla üks meede, kuid ei asenda automaatselt isikule saadetavat teavet, kui teda saab mõistlikult teavitada.
Kontrollige välju, mida lühike näidis ei kata
Tabelisse lisatud andmete loend ei ole iseenesest artiklite 13 ja 14 täielik kontroll. Teates tuleb vajaduse korral anda vastutava töötleja ja esindaja ning määratud andmekaitsespetsialisti kontakt; eesmärgid ja alused; õigustatud huvi; vastuvõtjad või nende kategooriad; kolmanda riigi edastamise teave ja kaitsemeetmete kättesaadavus; säilitusaeg või määramise kriteeriumid; õigused ja kaebeõigus; nõusoleku tagasivõtmise õigus; automatiseeritud otsuste ja profiilianalüüsi asjakohane teave. Otse kogumise puhul selgitage ka, kas andmete andmine tuleneb seadusest või lepingust, kas see on lepingu sõlmimiseks vajalik ning mis on andmata jätmise võimalik tagajärg. Kaudse kogumise puhul lisanduvad allikas ja andmete kategooriad.
Ärge kasutage väidet „kliendiandmeid konto sulgemiseni”, kui arved, avatud vaidlus, garantiikohustus või turvakanne vajavad eraldi käsitlust. Ühe konto sees võivad olla erinevad tähtajad või kriteeriumid. Kustutamise ja piiratud säilitamise vahe on oluline ka artikli 17 õiguse selgituses. Näidises olev tähtaeg on täitmata lahter, kuni olete leidnud konkreetse õigusliku või eesmärgipõhise põhjenduse. Kui täpset kalendrikuupäeva ei saa ette öelda, kirjeldage arusaadavalt selle arvutamise kriteeriumi; „säilitame nii kaua kui vajalik” üksi ei aita inimesel midagi hinnata.
Vastuvõtja ei tähenda alati volitatud töötlejat. Majutusteenus võib tegutseda teie nimel, kuid maksevahendaja, pank või kuller võib oma tegevuse suhtes olla iseseisev vastutav töötleja. Kirjeldage tegelikke saajate kategooriaid ja kontrollige artikli 28 kokkulepet ainult seal, kus roll seda nõuab. Kui kasutatakse kolmanda riigi tuge või varukoopiat, ei piisa lause „andmed jäävad ELi” kordamisest. Kirjeldage asjakohane edastamise alus ja kuidas inimene saab kaitsemeetmetega tutvuda; tüüptingimused ei ole automaatne vastus kõigile andmevoogudele.
Proovige teksti ühe inimese teekonnaga
Võtke kontaktvormi kasutaja ja järgige tema andmeid kuni kustutamiseni. Kas ta mõistab enne saatmist, kellele kiri läheb, kas vastus salvestatakse klienditoes ja kui kaua? Kui ta küsib oma andmetega tutvumist, kas juurdepääsuõiguse kord leiab ka teenusepakkuja süsteemi koopia? Kui ta loobub uudiskirjast, kas see lõpetab ainult nõusolekupõhise turunduse või kustutatakse ekslikult ka tellimuse andmed? Läbipaistvus on usaldusväärne siis, kui tingimused vastavad sellele töövoole, mitte ainult privaatsustiimi kavatsusele.
Tehke eraldi proov töötajale, kelle kontakt tuli ettevõtte kliendilt. Tal ei pruugi olla teie veebisaidil kontot ega põhjust jaluses olevaid tingimusi otsida. Leidke viis talle artikli 14 teave õigeaegselt anda, või põhjendage seaduslik erand. Selgitage kliendile, kes tegelikult määrab selle tegevuse eesmärgid ja kes annab teabe. Lepinguline ülesannete jaotus ei tohi jätta inimest kahe organisatsiooni vahele. Kui tekib kaasvastutus artikli 26 mõttes, tuleb olulised kokkuleppe osad inimesele kättesaadavaks teha.
Hoidke teade muutustega kaasas
Seadus ei määra kõigile privaatsusteadetele ühte iga-aastast muutmiskuupäeva. Siduge ülevaatus sündmustega: uus vorm, uus analüütika, uus andmeallikas, uus saaja, teistsugune säilitamine või uus eesmärk. Kui muudatus inimest sisuliselt mõjutab, hinnake, kuidas ta saab sellest enne uue kasutuse algust teada; lihtsalt lehe „viimati uuendatud” kuupäeva muutmine ei pruugi olla piisav. AKI läbipaistvusjuhend selgitab, et olulistest muudatustest tuleb inimesi teavitada ning uus eesmärk peab olema teatatud enne edasist töötlemist.
Säilitage sisemine jälg selle kohta, milline teate versioon oli vormi kasutamise ajal nähtav ja kes kinnitas muutuse. See ei tähenda, et inimesele tuleb näidata kogu toimetamisajalugu. Tõend aitab hiljem vastata, kas teave oli antud õigel ajal ja kas see vastas tegelikule teenusele. Kontrollige ühtlasi, et küpsisevalikud, nõusoleku sõnastused ja teate kirjeldused ei räägiks eri asju. Kui uut analüütikat pole veel kasutusele võetud, ei tohiks teade lubada selle toimimist ega seda varjata.
Eristage avalik teade sisemisest tööfailist
Avalik teade ei pea avaldama kõiki turvameetmete tehnilisi detaile ega iga süsteemi sisemist nime. Ta peab siiski võimaldama inimesel mõista tema andmete peamisi kasutusi ja õigusi. Hoidke sisemises tööfailis iga avaliku lause taga tõend: kes kinnitas eesmärgi, millisest süsteemist info pärineb ja kas teenusepakkuja roll on kontrollitud. Kui avalikus teates on „andmeid ei edastata väljapoole EMP-d”, peab sisemine kontroll hõlmama ka kaugtoe, varukoopiate ja alltöötlejate tegelikke asukohti. Selline tööfail ei ole uus kohustuslik GDPR-i vorm, vaid viis vältida tühja kinnitust.
Kahe töötlemise sarnane sõnastus võib varjata erinevat inimese kogemust. Kontaktvormi vastamiseks võib olla vaja ainult e-posti aadressi ja sõnumit. Tellimuse kättetoimetamiseks võib vaja olla tarneaadressi, kuid see ei õigusta sama aadressi kasutamist valikulises profileerimises. Pange need eesmärgid eraldi nii andmekaitsetingimustesse kui sisemisse töötlemisülevaatesse. Kui teenus kogub andmeid ka kolmandalt isikult, lisage allika- ja andmeliigi selgitus õigesse teatesse. Inimene ei peaks arvama ühe üldise lause põhjal, et kõik andmed tulid temalt endalt.
Enne avaldamist paluge kolleegil, kes ei koostanud teadet, läbida üks kasutajateekond. Las ta vastab kolmele küsimusele: mis juhtub minu andmetega, kelle poole saan pöörduda ja milline valik on minu käes? Kui vastus nõuab peidetud lisa või sisemise registri avamist, tõstke selgitus nähtavamasse kohta. Kui info on nähtav, kuid erineb rakenduse tegelikust käitumisest, parandage töövoog või tekst enne avaldamist. See proov aitab artikli 12 selge keele nõuet rakendada ilma lubaduseta, et üks universaalne näidistekst sobib igale Eesti veebilehele. Kui sihtrühmas on lapsi või erilise abivajadusega inimesi, katsetage selgitust just nende jaoks sobivas vormis. Kasutajakatse ei ole seaduses nõutud kindel tehniline meetod, kuid arusaamatu teave tuleb parandada sõltumata sellest, millise vormi valisite.
Korduma kippuvad küsimused
Kas privaatsuspoliitikas peab avaldama kõik teenusepakkujad nimeliselt?
Artikkel 13 nõuab vastuvõtjate või vastuvõtjate kategooriate avaldamist. Piisab seega kategooriate nimetamisest (näiteks “majutusteenuse pakkuja”, “e-kirjade platvorm”), kuigi läbipaistvuse huvides on hea tava nimetada olulisemad teenusepakkujad ka nimeliselt. Kolmandatesse riikidesse edastamise korral tuleb märkida kohaldatav kaitsemeede.
Kui tihti tuleb privaatsuspoliitikat uuendada?
Privaatsuspoliitikat tuleb uuendada iga kord, kui muutub töötlemine: lisandub uus eesmärk või töötlemistoiming, muutub õiguslik alus või säilitustähtaeg, kaasatakse uus teenusepakkuja või muutub andmete edastamine kolmandatesse riikidesse. Lisaks võib organisatsioon valida perioodilise sisekontrolli. Olulise muudatuse korral hinnake, kuidas inimest sellest aktiivselt teavitada; pelk kuupäeva muutmine ei pruugi piisata.
Kas privaatsuspoliitika on kohustuslik igal veebilehel?
Kui veebilehe kaudu töödeldakse isikuandmeid, näiteks kontaktvormi, kliendikonto, jälgimistehnoloogia või tuvastatavate serverilogide abil, tuleb täita kohalduv artikli 13 või 14 teavitamiskohustus. Üldine avalik teade on sageli mõistlik vorm, kuid kontrollige tegelikke andmevooge: ka staatiline veebileht võib serveris isikuandmeid töödelda. Kui isikuandmete töötlemist tõesti ei ole, ei teki üksnes lehe olemasolust GDPR-i teavitamiskohustust.
Mille poolest erineb privaatsuspoliitika küpsisepoliitikast?
Privaatsuspoliitika katab kogu isikuandmete töötlemise ja täidab artiklite 13–14 teavitamiskohustust. Küpsisepoliitika keskendub veebilehe küpsistele ja jälgimistehnoloogiatele ning on seotud ePrivaatsuse nõuete ja nõusolekuga. Sageli on küpsiste osa integreeritud privaatsuspoliitikasse või sellega seotud.
Kas privaatsuspoliitika peab olema eesti keeles?
Privaatsuspoliitika peab olema keeles, mida sihtrühm mõistab. Eesti tarbijatele suunatud veebilehel on eestikeelne teave praktiline viis tagada mõistetavus; teiste sihtrühmade puhul tuleb kasutada neile arusaadavat keelt. Ühte kõigile veebisaitidele kehtivat keelte loetelu GDPR ei anna. Oluline on selge ja lihtne keel, mitte juriidiline žargoon.
Kokkuvõte
Privaatsuspoliitika täidab GDPR-i teavitamiskohustust ja on esimene dokument, mille kaudu andmesubjekt ja AKI hindavad läbipaistvust. Hea poliitika kirjeldab tegelikku töötlemist, märgib iga eesmärgi õige õigusliku aluse, esitab säilitustähtajad, loetleb andmesubjekti õigused ja viitab kaebeõigusele AKI-le. Kohanda ülaltoodud näidist oma töötlemise registri järgi, ära märgi kõige aluseks nõusolekut ja hoia dokument ajakohasena. Poliitika ja tegeliku töötlemise kooskõla on olulisem kui teksti pikkus – eksitav poliitika on halvem kui lühike täpne.
Allikad, kontrollitud 27.09.2026: IKÜM artiklid 12–14, AKI läbipaistvusjuhend, AKI inimese õiguste juhend.