IKÜM.
Töödelge isikuandmeid seaduslikult, kaitske õigusi ja tõendage rakendamist jälgitavalt.
- Määrus (EL) 2016/679 · BDSG
- Autor: Derya Altinay
- Seisuga: 22.10.2026
- Lugemisaeg: 7 min
Lühivastus.
IKÜM reguleerib isikuandmete töötlemist Euroopa kohaldamisalas. Ettevõtted vajavad sobivaid õiguslikke aluseid, läbipaistvat teavet, andmesubjektide õiguste menetlusi ja riskile vastavaid kaitsemeetmeid. IKÜMi artikli 5 järgi lasub vastutavatel töötlejatel vastutuse põhimõte: nad peavad suutma tõendada põhimõtete järgimist. Volitatud töötlejatel on oma kohustused ning nad toetavad vastutavat töötlejat tema kohustuste täitmisel.
IKÜM: andmekaitse ulatub IT-turvalisusest kaugemale.
Isikuandmete kaitse üldmäärus on vahetult kohaldatav ELi õigus füüsiliste isikute kaitseks nende isikuandmete töötlemisel. Määrust (EL) 2016/679 kohaldatakse alates 25. maist 2018; GDPR on selle ingliskeelne lühend. Saksamaal täiendavad Euroopa raamistikku eelkõige föderaalne andmekaitseseadus ja valdkondlikud eeskirjad.
IKÜM küsib esmalt, kas ja milleks on töötlemine lubatud. Turvaline andmebaas ei vasta veel küsimusele, kas kogutud teave on vajalik või kui kaua seda tohib säilitada. IKÜMi artiklid 5 ja 6 ühendavad põhimõtted ja õiguslikud alused; artikkel 32 puudutab selle raames töötlemise turvalisust.
Andmekaitse jääb pidevaks ülesandeks, sest eesmärgid, andmevood ja kasutatavad teenused muutuvad. Vastutav töötleja peab IKÜMi artikli 24 järgi võtma sobivaid meetmeid, kontrollima nende asjakohasust ning neid vajaduse korral ajakohastama. Ühekordselt täidetud dokument ei asenda seda pidevat hindamist.
Millistele ettevõtetele IKÜM kohaldub.
IKÜMi artikli 2 järgi kehtib määrus seal hõlmatud isikuandmete töötlemisele olenemata ettevõtte suurusest. Siia kuuluvad näiteks kliendiandmed, kandideerimisdokumendid või isikuandmeid sisaldav klienditoe sisu. Ka pseudonüümitud andmed jäävad isikuandmeteks, kui isiku saab lisateabe abil tuvastada; tegelikult anonüümset teavet liigitatakse teisiti.
Territoriaalne kohaldamisala tuleneb IKÜMi artiklist 3. Lisaks ELi tegevuskoha tegevuse raames toimuvale töötlemisele võivad olla hõlmatud väljaspool ELi asuvate ettevõtete teatavad pakkumised ELis asuvatele isikutele või nende käitumise jälgimine. Üksnes serveri asukoht või veebisaidi kättesaadavus seda ei otsusta.
Roll määratakse konkreetse tegevuse jaoks: vastutavad töötlejad otsustavad eesmärkide ja vahendite üle, volitatud töötlejad töötlevad andmeid nende nimel. Organisatsioonil võib tegevusest sõltuvalt olla eri rolle. IKÜMi artiklid 26 ja 28 nõuavad kaasvastutuse või volitatud töötlemise puhul sobivat korraldust; lepingupäis üksi ei selgita tegelikku rolli.
IKÜMi nõuded ettevõtetele.
IKÜMi nõuded ühendavad õiguslikud otsused tegeliku töötlemisega. Seitse töövaldkonda annavad suuna; lisanduvad erikohustused sõltuvad rollist, andmetest, tegevusest ning riskidest asjaomastele inimestele.
Määrake põhimõtted ja õiguslikud alused.
IKÜMi artiklid 5 ja 6 nõuavad seaduslikku, eesmärgipärast ning läbipaistvat töötlemist. Piirake andmeid ja säilitamist vajalikuga ning hoidke teave õige. Nõusolek on üks võimalik õiguslik alus; selle eeldusi ei tohi vahele jätta samamoodi nagu teiste õiguslike aluste omi.
Võimaldage läbipaistvus ja andmesubjektide õigused.
IKÜMi artiklid 12–22 puudutavad arusaadavat teavet ning õigusi, nagu juurdepääs, parandamine ja kustutamine. Õigustel on erinevad eeldused ja erandid. Vastutusalad, andmeotsing, isikusamasuse kontroll ja turvaline vastamine peavad sobima kokku; üksnes andmekaitsetingimused ei lahenda veel ühtegi taotlust.
Korraldage vastutus ja teenuseosutajad.
IKÜMi artiklid 24–30 sätestavad korralduslikud kohustused, andmekaitsekohase kujundamise, rollid ja registrid. Volitatud töötlemine artikli 28 järgi nõuab lisaks sobivale lepingulisele alusele teenuseosutaja piisavaid tagatisi. Hindamisse kuuluvad tegelikult kasutatavad alamtöötlejad ning andmete liikumisteed, mitte üksnes üldised lepingutingimused.
Viige IKÜMi artikkel 32 tõhusatesse kaitsemeetmetesse.
Tehnilised ja korralduslikud meetmed peavad looma riskile vastava turvalisuse taseme. IKÜMi artikkel 32 arvestab töötlemiskonteksti, tehnika taset, kulusid ning võimalike tagajärgede tõenäosust ja raskust inimeste jaoks. Riskist sõltuvalt kuuluvad siia juurdepääsukaitse, krüpteerimine, taastatavus ja regulaarne tõhususe kontroll; kindlast universaalsest loendist ei piisa.
Kontrollige eririske ja nõustamist.
IKÜMi artikli 35 kohane andmekaitsealane mõjuhinnang on vajalik enne töötlemist, kui sellega kaasneb tõenäoliselt suur risk õigustele ja vabadustele. Kontrollige ka andmekaitsespetsialisti määramise eeldusi artikli 37 ning täiendavalt BDSG § 38 järgi. Nõustamisfunktsioon ei asenda vastutust töötlemise eest.
Hinnake isikuandmetega seotud rikkumisi ja teavitage neist.
IKÜMi artikkel 33 nõuab üldjuhul pädeva järelevalveasutuse teavitamist, välja arvatud juhul, kui rikkumine tõenäoliselt ei põhjusta riski õigustele ja vabadustele. Artikkel 34 reguleerib eraldi andmesubjektide teavitamist tõenäoliselt suure riski korral. Volitatud töötlejad teavitavad vastutavat töötlejat viivitamata; intsidendi dokumenteerimine jääb iseseisvaks kohustuseks.
Tagage kolmandatesse riikidesse edastamise kaitse eraldi.
IKÜMi V peatükk seab kolmandatesse riikidesse edastamisele lisanõudeid. Kontrollige tegelikke vastuvõtjaid, juurdepääse ja asjakohast edastamismehhanismi. Lubatud edastamine ei asenda töötlemise õiguslikku alust ega muid andmekaitsekohustusi; ka ELis asuv majutuskoht ei vasta igale välise juurdepääsu küsimusele.
IKÜMi rakendamine on pidev protsess.
Piiritlege töötlemistoimingud ja rollid.
Praktilise alustussammuna kaardistage konkreetse tegevuse eesmärgid, andmesubjektid, andmed, süsteemid ja vastuvõtjad ning selgitage, kes vastutab millise otsuse eest.
Kontrollige lubatavust ja teavet.
Hinnake õiguslikke aluseid, vajalikkust ja säilitamist ning võrrelge tegelikku töötlemist andmesubjektidele antava teabega.
Hinnake riske ja erikohustusi.
Kontrollige riske inimestele ning mõjuhinnangu, andmekaitsespetsialisti, volitatud töötlemise ja kolmandatesse riikidesse edastamise eeldusi enne töötlemise juurutamist või olulist muutmist.
Rakendage ja kontrollige meetmeid.
Ühendage õiguslikud ja korralduslikud otsused sobivate tehniliste meetmetega ning kontrollige, kas näiteks juurdepääsureeglid, kustutamine ja taastamine vaadeldavas teenuses toimivad.
Valmistage õigused ja intsidendid praktiliselt ette.
Katsetage taotluste ja isikuandmetega seotud rikkumiste tuvastamist, eskaleerimist, hindamist ning tähtajaks käsitlemist, sealhulgas ettevõtete ja teenuseosutajate vahelisi üleandmisi.
Ajakohastage dokumentatsiooni koos muudatustega.
Uuendage otsuseid ja tõendeid eesmärkide, vastuvõtjate või riskide muutumisel ning määrake, kes jälgib lahtisi meetmeid ja algatab järgmise ülevaatuse.
IKÜMi tõendid ja vabatahtlik sertifitseerimine.
Vastutuse põhimõte tähendab IKÜMi artikli 5 lõike 2 järgi suutlikkust põhimõtete järgimist selgitada ja tõendada. Sobivad dokumendid võivad hõlmata töötlemistoimingute registreid, põhjendatud õiguslikke aluseid, lepinguid, andmekaitseteavet, mõjuhinnanguid ja kaitsemeetmete kontrolle. Määrav on, kas need kajastavad tegelikku töötlemist ning näitavad, milline otsus millisel alusel tehti.
Andmekaitse järelevalveasutusel on IKÜMi artikli 58 järgi uurimis- ja parandusvolitused. Seetõttu peaks dokumentatsioon olema leitav, arusaadav ja ajakohane. Määrus ei kehtesta üldist sertifikaadikohustust, millega ettevõte saaks kogu oma andmekaitsetöö lõplikult lõpetada; vastutus jääb vastutavale töötlejale ja vastavatele kohustatud osalistele.
Sertifitseerimine IKÜMi artikli 42 järgi on vabatahtlik ja puudutab töötlemistoiminguid heakskiidetud kriteeriumide alusel. Lõike 4 järgi ei vähenda see seadusjärgset vastutust; lõige 7 piirab kehtivusaja kuni kolme aastaga, võimaldades pikendamist. Infoturbesertifikaat ei ole automaatselt selline andmekaitseõiguslik sertifikaat.
Isikuandmetega seotud rikkumisest teavitamise otsust tuleb tõendada eraldi. Artikkel 33 näeb ette teavitamise viivitamata ja võimaluse korral 72 tunni jooksul pärast teadasaamist, kui riskierand ei kohaldu. Lõike 5 dokumentatsioon hõlmab ka teatamata rikkumisi; artikli 34 teavitamisel on oma riskilävi ja seal sätestatud erandid.
Loe edasi blogist.
- IKÜM ja turvalisusÜhendage töötlemistoimingud, õiguslik hindamine ja kaitsemeetmed igapäevategevuses.
- Volitatud töötlemise kontrollimineVõrrelge lepingulisi lubadusi teenuseosutaja tegelike andmete liikumisteedega.
- Isikuandmetega seotud rikkumisest teavitamineValmistage täpsemalt ette intsidendi hindamine, teavitusotsus ja dokumentatsioon.
- Juurdepääsutaotluste käsitlemineKorraldage teabeotsing, kontroll ja teabe turvaline edastamine.
IKÜM ja teised raamistikud.
ISO 27001 toetab infoturbe korraldamist, kuid ei asenda õiguslike aluste ja andmesubjektide õiguste kontrolli. NIS2-l on oma adressaadid ja teavitamiskohustused; üks intsident võib nõuda eraldi hindamist mõlema õigusraamistiku järgi. ELi tehisintellektimäärus täiendab teatavate tehisintellektisüsteemide nõudeid, asendamata isikuandmete töötlemise andmekaitsehindamist.
Secanis.
Secani pakub andmekaitseprofiili rollide, töötlemiskonteksti ja edastamiste jaoks ning enda koostatud IKÜMi hindamiskataloogi. Profiil talletab ettevõtte andmed ja toetab struktureeritud ülevaatust. Tegeliku töötlemise ja selle seaduslikkuse sisuline hindamine jääb iseseisvaks ülesandeks; profiil ei ole ametlik luba ega automaatne õiguskontroll.
Järgmine samm.
Alustage selgelt piiritletud töötlemisest, näiteks klienditoe päringute käsitlemisest. Kirjeldage eesmärki, andmeid, andmesubjekte, kaasatud teenuseid ja vastuvõtjaid ning kontrollige koos vastutavate spetsialistidega sobivat õiguslikku alust. Seejärel talletage, milliseid kaitsemeetmeid ning õiguste ja intsidentide menetlusi selleks tegelikult vajatakse.
Allikad.
- Määrus (EL) 2016/679: isikuandmete kaitse üldmäärus
- BfDI: IKÜM – BDSG, Info 1, seisuga märts 2026
- Euroopa Komisjon: IKÜMi kohaldamisala ja rollid
- Euroopa Komisjon: töötlemise põhimõtted
- Euroopa Komisjon: ettevõtete kohustused
- Euroopa Andmekaitsenõukogu: isikuandmete turvalisus
- Euroopa Andmekaitsenõukogu: isikuandmetega seotud rikkumised
- Euroopa Andmekaitsenõukogu: andmesubjektide õigused
- BDSG § 38: mitteavalike asutuste andmekaitsespetsialistid
Korduma kippuvad küsimused.
Ei. IKÜMi artikkel 6 näeb ette eri õiguslikke aluseid oma eeldustega. Sobiv alus sõltub konkreetsest eesmärgist ja asjaoludest; lisanõudeid, näiteks eriliiki andmete puhul, tuleb kontrollida eraldi.
Ei. IKÜMi artikli 33 järgi võib järelevalveasutuse teavitamise ära jätta, kui rikkumine tõenäoliselt ei põhjusta riski õigustele ja vabadustele. Rikkumine tuleb siiski dokumenteerida; andmesubjektide teavitamist artikli 34 järgi tuleb hinnata eraldi.
Ei. ISMS võib toetada töötlemise turvalisust, kuid ei vasta automaatselt õigusliku aluse, läbipaistvuse või andmesubjektide õiguste küsimustele. Selle käsitlusala ja tegelikku töötlemist tuleb kontrollida eraldi.
Jah, kui nende töötlemine jääb esemelisse ja territoriaalsesse kohaldamisalasse. Üksnes ettevõtte suurus ei tekita üldist erandit; üksikud kohustused sõltuvad lisatingimustest.
Korraldage andmekaitsetöö jälgitavalt.
Tutvuge Secani andmekaitseprofiili ja enda koostatud IKÜMi kataloogiga.
See leht annab üldise ülevaate ega asenda konkreetse juhtumi õiguslikku hindamist. Määravad on kehtivad õigusnormid ja konkreetne töötlemine.