GDPR ja töölepingud – ohukohad, mida vältida

Oleme üsna kindlad, et nii mõneski ettevõttes kasutatavas töölepingu vormis puuduvad järgmised juriidilised nüansid.

- isikuandmete töötleja ja vajaduse korral sellise isiku esindaja andmed;

- nende kontaktandmed;

- isikuandmete säilitamise ajavahemik;

- teave õiguse kohta nõuda teatud tingimustel andmete kustutamist;

- teave õiguse kohta võtta tagasi oma nõusolek isikuandmete töötlemiseks, kui see on kohaldatav;

- teave õiguse kohta esitada järelevalveasutusele kaebus;

- teave selle kohta, millises ulatuses isikuandmete edastamine on vajalik.

Tuleb arvestada, et GDPR on miski, millega tuleb tööandjal end kursis hoida. Kui töölepingud ei sisalda ülaltoodud informatsiooni, avate end erinevatele riskidele, millest ehk kõige tähelepanuväärsemad on n-ö vanad head endised kolleegid, kes soovivad ettevõttele mingil põhjusel ebamugavusi valmistada.

Euroopa Liidule omane armastus paberimäärimise vastu avaldub ka siin, kuivõrd töötajatel on õigus ka muule infole, näiteks teave nende puhul tehtud automatiseeritud otsuste kohta, olgu need tehtud statistilistel eesmärkidel, profileerimiseks või muul eesmärgil.

Isegi kui eelnev on iseenesestmõistetav või isegi tähtsusetu, siis juhul, kui vastavat infot töölepingutes või sisekorraeeskirjades ei ole, võivad töötajad otsejoones esitada kaebuse nii ettevõttele kui ka andmekaitse inspektsioonile.

Olukord muutub aga veelgi keerulisemaks. GDPR-i artikkel 14 kohaselt juhul, kui on kogutud isikuandmeid mujalt kui isikult endalt, on ettevõte kohustatud ka selle kohta teavituse esitama.

Näiteks kujutame ette, et otsite endale uut töötajat. Kui soovite koguda ja kasutada tema kohta taustainfot, mida olete saanud LinkedInist või Google’i otsingumootori kaudu, peate sellest kandidaati teavitama. Lisaks rakendub siin sama loogika, mida rakendatakse GDPR-i artikkel 13 kohaldamise juures. Esitada tuleb kogu informatsiooni kogutud andmete kohta, sõltumata nende töötlemise viisist. Sama kehtib ka andmete säilitamise ajavahemiku kohta – täielik avalikustamine.

Kui seda reeglit ei järgita, saavad jällegi puudutatud isikud esitada kaebuse andmekaitse inspektsioonile lihtsalt seetõttu, et on rikutud pealtnäha lihtsat reeglit.

Need ja paljud muud reeglid kohalduvad, kui olete otsustanud teha kandidaadi, töötaja või ükskõik millise eraisiku kohta taustakontrolli, olgu see protseduur nii pealiskaudne kui võimalik. Andmete kogumine peab olema eesmärgistatud, õige ja nii edasi.

Veel üheks komistuskiviks võib saada isikuandmete säilitamise periood. Praktika käigus oleme puutunud kokku mitmete klientidega, kellele on see peavalu tekitanud. Kehtiv õigus näeb ette kohustust lõpetada isikuandmete töötlemine, kui neid pole enam vaja, kuid samas on olemas kindlad reeglid, mis näevad ette isikuandmete säilitamise kohustuse kindla perioodi jooksul.

Toome näiteks võrdse kohtlemise seaduse. Isik, kes leiab, et tema õigusi on diskrimineerimise tõttu rikutud, võib nõuda talle tekitatud kahju hüvitamist ühe aasta jooksul. Uue töötaja värbamisprotsessi puhul tähendab see seda, et kandidaadi esitatud andmeid ja kandideerimisdokumente on vaja säilitada ühe aasta jooksul juhuks, kui selline nõue esitatakse.

Esitasime üksnes kolm võimalikku näidet. Enamikul juhtudel on kõik võrdlemisi abstraktne. Tänapäeva hüperkoondunud õiguslik keskkond mõjutab muu hulgas ka kõiki standardseid juriidilisi tekste ja kokkuleppeid, isegi ja eeskätt töölepinguid.

Olge seega ettevaatlikud. See ei ole lihtsalt sõbramehelik nõuanne, vaid absoluutne õiguslik nõue. Veenduge, et ettevõte toimib kooskõlas kehtivate reeglitega KOHE, et vältida kaebuste käsitlemist ja muid ebamugavusi.