Mida peab privaatsuspoliitika sisaldama? Tasuta näidis

Privaatsuspoliitika, privaatsustingimused või andmekaitsetingimused?

Kõiki kolme mõistet kasutatakse sama tüüpi dokumendi kohta. Andmekaitse Inspektsioon eelistab nimetust andmekaitsetingimused, sest dokument kirjeldab isikuandmete töötlemise tingimusi. Otsingutes ja ettevõtete veebilehtedel kasutatakse sagedamini ka sõnu privaatsuspoliitika ja privaatsustingimused.

Nimest olulisem on sisu ja leitavus. Dokument peab olema inimesele lihtsalt kättesaadav ajal, mil tema andmeid kogutakse. Näiteks kontaktivormi, tellimuse või uudiskirjaga liitumise juures võiks olla lühike teavitus ja link täielikele tingimustele. AKI rõhutab, et teave peab olema kokkuvõtlik, selge, arusaadav ning lihtsasti kättesaadav (AKI läbipaistvuse juhis).

Millal on veebilehel privaatsuspoliitikat vaja?

Privaatsuspoliitikat on vaja praktiliselt igal ettevõtte veebilehel, kus töödeldakse füüsilise isikuga seotud teavet. Isikuandmed ei ole ainult nimi ja isikukood. Nende hulka võivad kuuluda ka e-posti aadress, telefon, IP-aadress, tellimuste ajalugu, kliendikonto, asukohaandmed ja veebikäitumine, kui teabe kaudu saab inimest otseselt või kaudselt tuvastada.

Andmeid koguvad näiteks:

• kontakt-, broneerimis- ja päringuvormid
• e-poe tellimused, maksed ning tarned
• kliendikonto ja ostuajalugu
• uudiskiri ja turundusautomaatika
• analüütika-, reklaami- ja jälgimisküpsised
• vestlusaken, kommentaarid või tagasisidevorm
• serverilogid, turvatööriistad ja pettuste ennetamine
• tööle kandideerimise vorm.

Kui sinu leht sisaldab üksnes avalikku infot ega kogu ühegi inimese kohta andmeid, võib töötlemine olla minimaalne. Praktikas tekivad vähemalt serverilogid ja tehnilised ühendusandmed peaaegu alati, mistõttu tasub tegelik seadistus enne järelduse tegemist üle vaadata.

Mida peab privaatsuspoliitika sisaldama?

IKÜM-i artiklid 12-14 ja AKI juhised annavad teavituse põhiraami. Täpne sisu sõltub sellest, kas andmed saadakse inimeselt endalt või mujalt ning milliseid tööriistu ettevõte kasutab.

1. Vastutava töötleja andmed

Märgi ettevõtte nimi, registrikood, aadress ja kontakt, kuhu saab privaatsusküsimustega pöörduda. Kui ettevõttel on andmekaitsespetsialist, lisa tema kontaktandmed. Selgita ka ettevõtte rolli: enamasti otsustab veebilehe omanik eesmärgid ja vahendid ning on seetõttu vastutav töötleja.

2. Andmete liigid ja allikad

Kirjelda konkreetselt, milliseid andmeid kogud. „Kogume teie isikuandmeid” on liiga üldine. Kas tegemist on kontaktandmete, tellimusandmete, makseinfo, IP-aadressi, kliendisuhtluse või turunduseelistustega?

Kui saad andmeid mujalt kui inimeselt endalt, tuleb kirjeldada ka andmete liike ja allikat. AKI järgi rakendub inimeselt kogutud andmetele IKÜM-i artikkel 13 ning kolmandalt isikult või registrist saadud andmetele artikkel 14 (AKI inimese õiguste juhend).

3. Eesmärk ja õiguslik alus

Iga eesmärk tuleb siduda konkreetsete andmete ja õigusliku alusega. Levinud alused on:

• lepingu täitmine – näiteks tellimuse vormistamine ja kauba kohaletoimetamine
• seadusest tulenev kohustus – näiteks raamatupidamisdokumentide säilitamine
• nõusolek – näiteks vabatahtlik uudiskiri või turundusküpsised
• õigustatud huvi – näiteks veebilehe turvalisus või õigusnõuete kaitsmine, kui huvide kaalumine seda toetab
• eluliste huvide, avaliku ülesande või avaliku võimu alus, kui need sinu tegevuses tegelikult kohalduvad.

Nõusolekut ei tasu kasutada igaks juhuks. Tellimuse täitmiseks vajalik aadress ei põhine nõusolekul, vaid lepingul. Õigustatud huvi kasutamine omakorda eeldab vajaduse ja inimese õiguste kaalumist; pelgalt selle aluse nimetamisest ei piisa.

4. Vastuvõtjad ja teenusepakkujad

Selgita, kellele andmeid avaldatakse või kes neid sinu nimel töötleb. Veebilehe puhul võivad nendeks olla majutaja, IT-tugi, makseteenus, pakiautomaat või kuller, raamatupidaja, e-posti- ja uudiskirjateenus ning analüütika- või reklaamiplatvorm.

Kasuta võimalusel teenusepakkuja nime, mitte üksnes ebamäärast väljendit „usaldusväärsed partnerid”. Kontrolli ka lepinguid ja seadistusi: privaatsuspoliitika ei asenda volitatud töötlejaga sõlmitavat andmetöötluslepingut.

5. Andmete edastamine väljapoole Euroopa Majanduspiirkonda

Kui mõni teenusepakkuja töötleb andmeid väljaspool Euroopa Majanduspiirkonda, kirjelda sihtriiki või rahvusvahelist organisatsiooni ning kasutatavat kaitsemeedet. Selleks võib olla Euroopa Komisjoni piisavusotsus, lepingu tüüptingimused või muu IKÜM-is lubatud alus.

Ära eelda teenusepakkuja nime põhjal, et andmed jäävad Euroopa Liitu. Kontrolli teenuse tingimusi, serverite asukohta, alltöötlejaid ja tegelikke edastusvooge.

6. Säilitustähtajad

Kirjuta iga andmeliigi juurde konkreetne tähtaeg või arusaadav kriteerium. „Säilitame nii kaua, kui vajalik” ei ütle inimesele piisavalt. Näiteks võib kontaktipäringuid hoida kuus kuud pärast suhtluse lõppu, uudiskirja nõusoleku tõendit kuni nõusoleku tagasivõtmiseni ja raamatupidamise algdokumente seadusest tulenevalt seitse aastat vastava majandusaasta lõpust.

Tähtaeg peab tulenema tegelikust vajadusest. Kui eesmärk lõpeb ja muud õiguslikku alust pole, tuleb andmed kustutada või anonüümseks muuta.

7. Inimese õigused

Privaatsustingimustes tuleb kirjeldada vähemalt õigust:

• saada teavet ja enda andmetega tutvuda
• nõuda ebaõigete andmete parandamist
• nõuda andmete kustutamist, kui selleks on alus
• piirata töötlemist
• esitada õigustatud huvile tugineva töötlemise suhtes vastuväide
• võtta nõusolek igal ajal tagasi
• saada enda esitatud andmed masinloetaval kujul, kui andmete ülekandmise õigus kohaldub
• esitada kaebus Andmekaitse Inspektsioonile või pöörduda kohtusse.

Lisa lihtne juhis taotluse esitamiseks. Üldjuhul tuleb inimese taotlusele vastata ühe kuu jooksul. Vajaduse korral võib küsida isikusamasuse kinnitamist, kuid mitte rohkem andmeid, kui tuvastamiseks vaja.

8. Automatiseeritud otsused ja profiilianalüüs

Kui teed inimese kohta üksnes automatiseeritud otsuseid või kasutad profiilianalüüsi, kirjelda selle olemasolu, loogikat ning võimalikku mõju. Tavaline anonüümne külastusstatistika ei tähenda automaatselt sellist otsustamist, kuid reklaamiprofiilid, krediidiotsused ja isikustatud hinnastamine vajavad põhjalikumat kontrolli.

9. Küpsised ja jälgimispikslid

Hädavajalikud küpsised toetavad veebilehe põhifunktsioone. Tuvastamist võimaldavad analüütika-, reklaami- ja muud täiendavad küpsised ning jälgimispikslid vajavad üldjuhul eelnevat vabatahtlikku nõusolekut. Kasutaja peab teadma eesmärki, kestust ja kolmandaid osapooli ning saama nõusoleku sama lihtsalt tagasi võtta, nagu ta selle andis (AKI küpsiste selgitus).

Privaatsuspoliitika võib anda üldise ülevaate, kuid detailne küpsiste nimekiri tasub esitada eraldi küpsiste poliitikas või eelistuste aknas. Tekst ja küpsisebänner peavad vastama lehel päriselt käivituvatele skriptidele.

„Nõustun privaatsuspoliitikaga” ei ole õige lahendus

Privaatsuspoliitika on teavitus, mitte leping. Seetõttu ei ole tavaliselt vaja lasta inimesel sellega „nõustuda”. Kontaktivormi juures piisab näiteks lausest „Tutvu meie privaatsuspoliitikaga” koos lingiga.

Kui vajad nõusolekut eraldi eesmärgiks, näiteks uudiskirjaks või turundusküpsisteks, küsi seda konkreetse, vabatahtliku ja märgistamata valikuga. Teenuse saamist ei tohi siduda mittevajaliku turundusnõusolekuga ning nõusoleku tagasivõtmine peab olema lihtne.

Levinud vead privaatsustingimustes

• Kopeeritakse teise ettevõtte dokumenti ja jäetakse sisse valed teenusepakkujad.
• Kõigi tegevuste aluseks märgitakse nõusolek, kuigi tegelik alus on leping või seadus.
• Eesmärgid, andmeliigid ja õiguslikud alused pole omavahel seotud.
• Säilitamise kohta öeldakse ainult „nii kaua, kui vajalik”.
• Google Analytics, Meta Pixel, vestlusaken või uudiskirjatööriist jääb nimetamata.
• Väljaspool EMP-d toimuvad edastused ja kaitsemeetmed jäetakse kontrollimata.
• Küpsised käivituvad enne kasutaja valikut või keeldumine on nõustumisest keerulisem.
• Inimesel palutakse „nõustuda privaatsuspoliitikaga”.
• Dokumenti ei uuendata pärast pluginate, vormide või teenusepakkujate muutmist.

Korduma kippuvad küsimused

Kas igal kodulehel peab olema privaatsuspoliitika?

Kui veebileht töötleb füüsiliste isikute andmeid, tuleb inimesi sellest teavitada. Enamik ettevõtete veebilehti töötleb vähemalt vormi-, tellimus-, küpsise- või logiandmeid.

Kas privaatsuspoliitika ja küpsiste poliitika on sama asi?

Ei. Küpsiste poliitika kirjeldab konkreetseid küpsiseid ja jälgimistehnoloogiaid. Selle võib ühendada andmekaitsetingimustega, kuid mahukama veebilehe puhul on eraldi detailne küpsiseleht selgem.

Kas tasuta privaatsuspoliitika näidise võib muutmata avaldada?

Ei ole soovitatav. Näidis ei tea sinu andmevooge, säilitustähtaegu, teenusepakkujaid ega rahvusvahelisi edastusi. Vale info võib olla halvem kui lühike, kuid täpne dokument.

Kas Google Analytics vajab nõusolekut?

Kui analüütika kasutab kasutajat tuvastada võimaldavaid täiendavaid küpsiseid või muid jälgimistehnoloogiaid, on AKI järgi vaja eelnevat vabatahtlikku nõusolekut. Konkreetne seadistus tuleb eraldi üle kontrollida.

Kui tihti tuleb privaatsustingimusi uuendada?

Kontrolli neid vähemalt kord aastas ja alati pärast vormide, küpsiste, pluginate, teenusepakkujate, eesmärkide või säilitustähtaegade muutmist. Märgi dokumendile versioon või viimase uuendamise kuupäev.

Kokkuvõte

Hea privaatsuspoliitika on aus kaart ettevõtte andmetöötlusest. See ütleb inimesele selgelt, millised andmed liiguvad, miks neid vaja on, kes neid kasutab ja millised valikud inimesel on. Dokument peab vastama veebilehe tehnilisele tegelikkusele, mitte olema üldsõnaline GDPR-i tekst.

Märkus: artikkel ja näidis on informatiivsed ning kontrollitud 18.09.2026 seisuga. Need ei asenda sinu ettevõtte andmetöötluse põhjal antavat õigusnõu.

PDF on lähtepunkt, mitte universaalne valmislahendus. Enne avaldamist kaardista oma vormid, pluginad, makse- ja tarnelahendused, analüütika, reklaamipikslid ning teenusepakkujad. Kustuta näitest kõik, mida sa ei kasuta, ja lisa see, mis sinu veebilehel tegelikult toimub.