Andmed ja privaatsus: Eesti (2026)
Eesti andmekaitseõigus põhineb otseselt kohaldataval isikuandmete kaitse üldmäärusel (GDPR), mida täiendab 12. detsembril 2018 vastu võetud ja 15. jaanuarist 2019 jõustunud riiklik isikuandmete kaitse seadus (PDPA), millega rakendatakse õiguskaitseasutuste direktiivi (EL 2016/680) ning kehtestab lubatud riiklikud erandid. Andmekaitseinspektsioon (AKI) tegutseb GDPRi artikli 51 kohaselt sõltumatu järelevalveasutusena, kellel on kahekordne volitus andmekaitse ja teabevabaduse valdkonnas. Jõustamist on ajalooliselt piiranud Eesti väärteo menetlusõigus, kuigi AKI määras 2025. aasta septembris apteekiketi „Apotheka“ püsikliendiprogrammi korraldajale oma ajaloo suurima trahvi summas 3 miljonit eurot.
Esmane raamistik
GDPR (EL 2016/679) on otseselt kohaldatav alates 25. maist 2018; seda täiendavad Eesti isikuandmete kaitse seadus (jõustus 15. jaanuaril 2019) ja isikuandmete kaitse seaduse rakendusakt (PDPAIA). Riiklik järelevalveasutus: Andmekaitse Inspektsioon (AKI).
Peamised punktid
Peamine õiguslik alus
GDPR kehtib Eestis otseselt alates 25. maist 2018. Riiklik isikuandmete kaitse seadus (2019) kehtib ainult nendes küsimustes, mida GDPR otseselt ei reguleeri või mille puhul määrus lubab liikmesriikidel selgesõnaliselt teha erandeid; see ei dubleeri määrust, vaid täiendab seda.
Riiklikud erandid ja erisätted
PDPA-ga võetakse peamiselt üle õiguskaitsealane direktiiv (EL 2016/680) politsei- ja kriminaalõigusliku andmetöötluse osas ning täpsustatakse täiendavaid õiguslikke aluseid ajakirjanduslikel, teaduslikel, ajaloolis-uurimuslikel, avaliku huvi arhiveerimise ja krediidivõime hindamise eesmärkidel.
Järelevalveasutus: AKI
Andmekaitse Inspektsioon (AKI) on Eesti GDPR-i artikli 51 kohane järelevalveasutus ning samuti teabevabaduse reguleeriv asutus. AKI sai 2024. aastal 4 162 päringut, nagu selgub 2026. aasta märtsis avaldatud aastaaruandest, ning osaleb Euroopa Andmekaitse Nõukogu töös.
Sanktsioonid ja jõustamine
AKI võib määrata haldustrahve kuni 20 miljoni euro ulatuses või 4% ulatuses ülemaailmsest aastakäibest (sõltuvalt sellest, kumb summa on suurem). Eesti väärteoõiguslik raamistik on ajalooliselt toonud kaasa väga madalaid trahsumäärasid, kuid 2025. aasta septembris määras AKI ettevõttele Allium UPI OÜ (Apotheka apteek) rekordilise 3 miljoni euro suuruse trahvi, kuna 2024. aastal toimunud andmelekke tagajärjel avalikustati üle 750 000 isiku andmed.
Andmesubjekti õigused
Eesti elanikel on kõik GDPR-is sätestatud õigused – juurdepääsuõigus, parandamisõigus, kustutamisõigus, andmete ülekandmise õigus, vastuväite esitamise õigus ja töötlemise piiramise õigus – ning neil on võimalus esitada kaebusi AKI-le. Eesti hästi arenenud e-valitsuse infrastruktuur (portaal eesti.ee, digitaalne ID) toetab nende õiguste praktilist teostamist.
ELi tasandi kiht
ELi liikmesriigina on Eesti täielikult allutatud Euroopa Andmekaitsenõukogu (EDPB) siduvatele otsustele ja järjepidevuse tagamise mehhanismile. Valdkondadevahelised ELi raamistikud, NIS2 (küberjulgeolekuintsidentide teatamine pädevale asutusele AKI-le), ELi tehisintellekti seadus (kõrge riskiga tehisintellekti kohustused) ja DSA (veebipõhiste platvormide läbipaistvus) kehtestavad GDPRi/PDPA baasnõuetele lisaks täiendavaid andmetöötlusnõudeid.
Käesolev lehekülg on tõlgitud kasutajate mugavuse huvides; ingliskeelne versioon on siduv ning ei kujuta endast õigusnõustamist.