Kas ettevõtete andmete ostmine on legaalne Eestis?

1. Õigusraamistik: GDPR ja isikuandmete kaitse seadus

Eestis moodustavad isikuandmete kaitse üldise raamistiku Euroopa Liidu isikuandmete kaitse üldmäärus ehk GDPR ja isikuandmete kaitse seadus ehk IKS. Järelevalveasutus on Andmekaitse Inspektsioon. GDPR kaitseb füüsiliste isikute andmeid, mitte juriidilist isikut kui sellist. Seetõttu ei ole osaühingu ärinime ostmine õiguslikult sama mis selle töötaja nimelise e-posti aadressi kogumine.

Ettevõtteandmete müümine ega ostmine ei ole iseenesest keelatud. Seaduslikkus sõltub andmete sisust, päritolust, avaldamise tingimustest ja kasutamise eesmärgist. Avalik kättesaadavus ei tähenda, et isikuandmeid võib piiranguteta kopeerida, edasi müüa või turunduses kasutada. Ka registrist nähtav teave võib olla seotud tuvastatava inimesega ning vajada isikuandmete kaitse reeglite järgimist.

Ostjana vastutad oma töötluse eest: otsustad, miks andmeid vajad, kellele ligipääsu annad ja kui kaua neid säilitad. Müüja kinnitus andmete päritolu kohta on oluline lähtekoht, mitte sinu kampaania õiguslik hinnang. Enne ostu küsi selgitust väljade, allikate ja kasutustingimuste kohta. Enne kampaaniat kontrolli kehtivat õigusakti ning Andmekaitse Inspektsiooni asjakohaseid juhiseid.

2. Õigustatud huvi ettevõtetevahelises turunduses

GDPR-i artikli 6 lõike 1 punkt f võimaldab teatud juhtudel töödelda isikuandmeid õigustatud huvi alusel. Ettevõtetevaheline müük võib olla õigustatud huvi, kuid pelgalt äriline eesmärk ei lahenda kaalumist sinu kasuks. Kirjelda konkreetne eesmärk, hinda töötlemise vajalikkust ning kaalu mõju inimese õigustele ja mõistlikele ootustele. Pane analüüs kirja enne andmete kasutamist.

Näiteks võib ettevõttele tööks vajaliku teenuse pakkumine olla põhjendatum kui töötaja eraeluga seotud toote reklaamimine tema tööaadressil. Ka asjakohase pakkumise puhul küsi, kas piisaks ettevõtte üldkontaktist. Vähem sekkuv lahendus aitab piirata isikuandmete hulka. Õigustatud huvi ei asenda nõusolekut seal, kus konkreetse kanali reeglid nõusolekut nõuavad, ega anna luba vastuväidet eirata.

Kui isikuandmed saadakse andmebaasist, mitte inimeselt endalt, tuleb arvestada GDPR-i artikli 14 teavitamiskohustusega. Üldjuhul tuleb teave anda hiljemalt kuu jooksul, inimesega suhtlemisel aga hiljemalt esimesel suhtluskorral. Selgita vastutavat töötlejat, eesmärki, õiguslikku alust, andmete kategooriaid ja allikat, säilitamist ning inimese õigusi. Turundusele esitatud vastuväite korral tuleb selle inimese isikuandmete töötlemine otseturunduseks lõpetada.

Kui valid ettevõtete andmebaasi turunduseks, erista ettevõtete valimine nimeliste kontaktide kasutamisest. Turu kaardistamiseks ei pruugi isikuandmeid üldse vaja minna. Koosta töövoog nii, et isikuandmeid lisatakse ainult põhjendatud vajaduse korral ning teavituse saatmine ja vastuväidete käsitlemine ei jää töötaja mälu hooleks.

3. Külma e-kirja reeglid Eestis

Elektroonilise side seaduse § 103¹ eristab füüsilise ja juriidilise isiku elektrooniliste kontaktandmete kasutamist otseturustuseks. Juriidilisele isikule võib saata turundussõnumi, kui ta ei ole sellest keeldunud ning talle antakse nõuetekohane loobumisvõimalus. Füüsilise isiku puhul on lähtekoht eelnev nõusolek. Selle juhendi praktiline soovitus on piirduda ettevõtte üldiste e-posti aadressidega.

Ka üldpostkasti kasutamisel peab saatja olema selgelt tuvastatav ja loobumine lihtne ning tasuta. Lisa igasse sõnumisse arusaadav võimalus edasistest pakkumistest keelduda. Ära nõua selleks konto loomist ega keerukat põhjendamist. Kontrolli enne saatmist oma keeldumiste nimekirja ning veendu, et vastused jõuavad postkasti, mida keegi tegelikult jälgib.

Ettevõtte domeen ei tõenda iseenesest, et konkreetne aadress on juriidilise isiku üldkontakt. Töötaja nimeline aadress võib olla isikuandmed ning selle kasutamine vajab eraldi hinnangut. Ka FIE on füüsiline isik, mitte äriühing. Seetõttu ei tohiks Eesti FIE-de andmebaasi käsitleda üldiste ettevõttepostkastide nimekirjana ega saata sellele automaatselt sama kampaaniat.

Sõnumi nimetus ei muuda selle sisu: müügipakkumine võib olla otseturustus ka siis, kui nimetad selle koostööettepanekuks või lühikeseks küsimuseks. Hinda tegelikku eesmärki. Hoia pöördumine ettevõtte tegevusega seotud, väldi eksitavat pealkirja ja ära esita ostetud kontakti inimesena, kes on sinu pakkumise vastu juba huvi üles näidanud.

4. Telefonikõned ja telefoniturundus

Telefoninumbri olemasolu andmebaasis ei tähenda nõusolekut müügikõneks. Enne helistamist erista ettevõtte üldnumbrit, töötajaga seotud numbrit ja eraisiku kontakti. E-kirjale tehtud õiguslikku hinnangut ei saa automaatselt telefonikõnele üle kanda. Samuti vajavad inimese tehtud kõne, automatiseeritud kõne ja sõnum erinevat käsitlust; kontrolli oma lahendusele kohalduvaid nõudeid.

Ettevõtte üldnumbrile helistades tutvusta kohe ennast, oma ettevõtet ja kõne ärilist eesmärki. Küsi, kas teema kuulub selle kontakti pädevusse, ning austa soovi vestlus lõpetada. Ära suru läbi ühendamist nimelise töötajaga, kui ettevõte on pakkumistest keeldunud. Kui vestluses saad inimese nime või otsekontakti, tekib vajadus hinnata ka nende isikuandmete edasist töötlemist.

Telefoniturunduse töökorralduses peab olema koht keeldumiste registreerimiseks ja järgmiste kõnede tõkestamiseks. Kui kasutad välist kõnekeskust, lepi kokku andmete kasutamise piirid, ligipääs ja vastuväidete edastamine. Kõne salvestamine on eraldi töötlemistoiming: ära eelda, et helistamise lubatavus katab ka salvestamise. Selle eesmärk, õiguslik alus ja teavitus tuleb eraldi läbi mõelda.

5. Isikuandmed ja ettevõtteandmed: praktiline erinevus

Andmete liigitamisel loeb see, keda teave puudutab ja kas inimene on tuvastatav. Sama fail võib sisaldada nii juriidilise isiku andmeid kui ka isikuandmeid. Seepärast ei saa kogu tabelit nimetada GDPR-i alt vabaks lihtsalt põhjusel, et failis on ettevõtted. Allolev võrdlus aitab märgata välju, mille kasutamine vajab põhjalikumat kontrolli.

Võimalusel alusta ettevõttetasandi valikust, näiteks tegevusala või piirkonna järgi. Eesti osaühingute andmebaas aitab piiritleda juriidiliste isikute sihtrühma, kuid õiguslik vorm ei muuda kõiki selle ettevõttega seotud kontakte ettevõtteandmeteks. Kontrolli nimelisi välju eraldi ning jäta kampaaniast välja andmed, mida eesmärgi saavutamiseks tegelikult vaja ei ole.

6. Nõuetele vastava pöördumise kontrollnimekiri

Käsitle kontrollnimekirja kampaania ettevalmistamise osana, mitte ostu järel tehtava formaalsusena. Määra vastutaja, kes kinnitab sihtrühma, kanali ja keeldumiste käsitlemise korra. Kui mõni punkt jääb ebaselgeks, peata vastavate kontaktide kasutamine kuni asjaolude kontrollimiseni.

1. Määra eesmärk ja sihtrühm. Kirjelda, mida pakud, miks pakkumine on ettevõttele asjakohane ning milliseid andmeid vajad. Välista kontaktid, mille seost eesmärgiga ei saa põhjendada. Suur nimekiri ei õigusta iseenesest laiemat töötlemist.
2. Kontrolli päritolu ja kontaktide liiki. Vaata näidist, küsi andmete allikate kohta ning erista üldpostkastid nimelistest aadressidest ja FIE kontaktidest. Ära tuleta puuduvat nõusolekut sellest, et kontakt on avalik või ostetud.
3. Dokumenteeri õiguslik alus ja kanali lubatavus. Isikuandmete puhul määra alus, vajaduse korral koosta õigustatud huvi analüüs. Kontrolli e-posti või telefoni reegleid eraldi. Hoia nõusolekut puudutavad tõendid alles, kui sellele alusele tuginetakse.
4. Valmista ette läbipaistev teavitus. Selgita, kes andmeid kasutab, mis eesmärgil ja millisest allikast need pärinevad. Lisa nõutav andmekaitseteave ning nähtav loobumisvõimalus. Kontrolli, et teavituse tekst kirjeldaks sinu tegelikku töökorraldust.
5. Rakenda keeldumised enne saatmist. Võrdle kampaanianimekirja varasemate vastuväidetega. Testi loobumisvõimalust ja määra vastuste menetleja. Uue faili import ei tohi eemaldada varasemaid keelde ega tuua keeldunud saajat kogemata järgmisse kampaaniasse.
6. Piira ligipääsu ja säilitamist. Anna failile ligipääs ainult vajalikele inimestele ning määra kustutamise või ülevaatamise kord. Keeldumise austamiseks säilita põhjendatud ulatuses minimaalne tõkestuskirje, mitte tarbetut kontaktiprofiili. Vaata töökorraldus järgmise kampaania eel uuesti üle.

7. Õiguslik märkus

See juhend annab üldise ülevaate ega ole õigusnõuanne ega kinnitus konkreetse kampaania seaduslikkuse kohta. Reeglite kohaldumine sõltub saajast, andmetest, kanalist ja pöördumise sisust. Kahtluse korral kontrolli kehtivat õigust, tutvu Andmekaitse Inspektsiooni juhistega ning küsi oma olukorrale vastavat nõu pädevalt juristilt.

Korduma kippuvad küsimused andmekaitse ja turunduse kohta

Seotud andmebaasid ja lisalugemine

• Eesti ettevõtete andmebaas
• Kõik Eesti osaühingud
• Eesti FIE-de andmebaas
• Ettevõtete andmebaas turunduseks
• Ettevõtete meiliaadressid
• Andmete metoodika
• Andmekaitse