4-25-326/35 · Tartu Maakohus Tartu kohtumaja

Väärteoasi nr 4-25-326

K O H T U O T S U S

EESTI VABARIIGI NIMEL

Kohus

Tartu Maakohus

Otsuse tegemise aeg ja koht

26. juuni 2025. a, Tartu kohtumaja

Väärteoasja number

4-25-326

Kohtunik

Marek Vahing

Kohtuistungi sekretär

Margot Nigol, Piia Laurson

Väärteoasi

Menetlusaluse isiku Asper Biogene OÜ kaebus

Andmekaitse Inspektsiooni (AKI) 9. jaanuari 2025

otsusele väärteoasjas nr 951024000001

Menetlusalune isik

Asper Biogene OÜ

(registrikood: 14265334; asukoht: Tartu maakond, Tartu

linn, Vaksali tn 17a; telefon: 7307295; e-post:

info@asperbio.com; menetlusaluse isiku seaduslik

esindaja: H. T.)

Menetlusaluse isiku kaitsjad

vandeadvokaat Triinu Hiob ja vandeadvokaadi abi

Henri Oliver Palm

(NJORD advokaadibüroo OÜ; asukoht: Telliskivi 60/2,

Tallinn; telefon: 667 6440; e-post: menetlus@njordlaw.ee)

Kohtuväline menetleja

Andmekaitse Inspektsioon

(registrikood: 70004235; asukoht: Tatari tn 39, Tallinn;

esindaja jurist A. K.; e-post: XXX)

RESOLUTSIOON

1. Rahuldada Asper Biogene OÜ kaitsjate kaebus.

2. Tühistada Andmekaitse Inspektsiooni 9. jaanuari 2025 otsus väärteoasjas nr

951024000001.

3. Lõpetada VTMS § 30 lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS §

62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse jätkamiseks

puudub avalik menetlushuvi.

4. Lõpetada VTMS § 29 lg 1 p 1 alusel menetlus Asper Biogene OÜ väärteoasjas IKS §

62 lg 2 ja § 65 lg 2 järgi, kuna teos puuduvad väärteo tunnused.

4. Hüvitada Asper Biogene OÜ-le riigieelarve vahenditest tema poolt kantud

õigusabikulude katteks 11 750 (üksteist tuhat seitsesada viiskümmend) eurot.

Edastada kohtuotsus Asper Biogene OÜ-le, tema kaitsjatele ja kohtuvälisele menetlejale.

Edasikaebamise kord

Kohtuotsuse peale võivad menetlusaluse isiku advokaadist kaitsja ning kohtuväline menetleja

või tema advokaadist esindaja esitada kassatsiooni Riigikohtule. Kassatsioon esitatakse

Riigikohtule 30 päeva jooksul alates otsuse avalikult teatavakstegemisest.

ASJAOLUD JA MENETLUSE KÄIK

1. Andmekaitse Inspektsiooni 9. jaanuari 2025 otsusega väärteoasjas nr 951024000001

määrati Asper Biogene OÜ-le isikuandmete kaitse seaduse (IKS) § 62 lg 2 alusel rahatrahv

5000 eurot ja IKS § 62 lg 2 ning § 65 lg 2 alusel rahatrahv 80 000 eurot.

2. Väärteoprotokollis toodud väärtegude kirjeldused on järgmised.

I Huvide konflikt ja andmekaitseametniku pädevus.

Väärtegu on pandud toime 1. jaanuar 2023 kuni 22. jaanuar 2024 Asper Biogene OÜ aadressil

Tartu maakond, Tartu linn, Vaksali tn 17a.

Isikuandmete kaitse üldmääruse (IKÜМ) art 37 lg 1 kohustab nii vastutavat kui volitatud

töötlejat määrama andmekaitseametniku (edaspidi ka AKS) samas lõikes ettenähtud juhtudel.

Art 37 lg 1 p c kohaselt on andmekaitseametniku määramine kohustuslik, kui vastutava või

volitatud töötleja põhitegevuse moodustab artiklis 9 osutatud andmete eriliikidega seotud

isikuandmete ulatuslik töötlemine.

Asper Biogene OÜ on juriidiline isik ja IKÜМ art 4 р 7 tähenduses andmete vastutav töötleja

ning määrab seega ettevõttes toimuvate isikuandmete töötlustoimingute eesmärgid ja

vahendid, st mis põhjusel ja kuidas isikuandmeid töödeldakse. Asper Biogene OÜ tegeleb

põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning arendusteenuste

pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste osutamisega) ning

töötleb seeläbi ulatuslikult terviseandmeid IKÜM art 9 1g 1 tähenduses ja on seetõttu

kohustatud IKÜM art 37 1g 1 p-st c tulenevalt määrama andmekaitseametniku.

H. T. on olnud Asper Biogene OÜ juhatuse liige alates 08.06.2021, sh käesoleval hetkel ning

on ainuisikulist esindusõigust omav juhatuse liige. Lisaks oli H. T. perioodil 01.01.2023-

30.01.2024 Asper Biogene OÜ andmekaitsespetsialist.

Täpsemalt reguleerivad andmekaitseametnikule kehtestatud nõudeid IKÜM art-d 37-39.

IKÜM art 37 lg 5 sätestab, et andmekaitseametniku määramisel lähtutakse eelkõige tema:

1. kutseoskustest;

2. ekspertteadmistest andmekaitsealase õiguse ja tava kohta ning

3. suutlikkusest täita art-s 39 osutatud ülesandeid.

IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja kohustusi,

kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised ülesanded ja

kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema

andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte,

võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et

andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema

sõltumatuses.

H. T. määras ennast 01.01.2023 andmekaitseametniku positsioonile vaatamata sellele, et tal

puuduvad kutseoskused ja eelkõige ekspertteadmised andmekaitsealase õiguse ja tava kohta

ning arusaam, millised on andmekaitseametniku ülesanded, et hinnata oma suutlikkust

nendega toime tulla. Paralleelselt oli samal perioodil andmekaitsespetsialistiks määratud ka K.

J., kes tegelikkuses andmekaitsespetsialisti tööülesandeid ei täitnud. H. T. ei täitnud

andmekaitseametniku ülesandeid kahasse K. J. ning ei konsulteerinud temaga andmekaitset

puudutavates küsimustes. Seega H. T. tegutses tegelikkuses (faktiliselt)

andmekaitseametnikuna ainuisikuliselt.

H. T. jättis ennast andmekaitseametniku positsioonile määrates kontrollimata, kas

andmekaitseametniku määramisele on kehtestatud nõuded ja kas selline otsus on nende

nõuetega kooskõlas. H. T. täitis Asper Biogene OÜ-s andmekaitsespetsialisti ülesandeid alates

01.01.2023 kuni 22.01.2024 ning samal ajal oli ta ka Asper Biogene OÜ juhatuse ainuliige.

See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada isikuandmete töötlemise

vahendite ja eesmärkide üle ainuisikuliselt, kuid andmekaitsespetsialistina oli tal kohustus

järgida, et juhatuse liikme isikuandmete kaitse valdkonna otsused oleksid olnud IKÜM

nõuetega kooskõlas.

Andmekaitseametnikul on õigus täita ka muid ülesandeid ja kohustusi, kuid teisi ülesandeid ja

kohustusi saab talle panna üksnes tingimusel, et need ei tekita huvide konflikti. Eeskätt

tähendab see, et andmekaitseametnik ei saa organisatsioonis olla sellisel ametikohal, millest

tulenevalt ta peab otsustama isikuandmete töötlemise eesmärkide ja vahendite üle.

Seega oli H. T. Asper Biogene OÜ andmekaitsespetsialistina kohustatud järgima

isikuandmete kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel

viisil tegutsedes ei olnud tal võimalik täita andmekaitseametniku ülesandeid sõltumatul viisil,

nii et ei oleks sellega põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema

isikuandmete kaitsevaldkonna otsuseid ettevõtte huvidest lähtuvalt, kuid

andmekaitsespetsialistina oli ta kohustatud sõltumatul viisil teavitama ennast kui juhatuse

liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ andmekaitse valdkonnas täitma

pidi (näiteks et vajalik on tagada nõuetekohane turvalisus kliendisuhte haldusrakenduse

kasutamisel).

Eeltoodust tulenevalt on menetlusalusele isikule etteheidetav ajavahemikus 01.01.2023 kuni

22.01.2024 IKÜМ art 37 lg-s 5 sätestatud andmekaitseametniku pädevuse nõude rikkumine

(huvide konflikti vältimise nõue) ja IKÜM art 38 lg-s 6 sätestatud andmekaitseametniku

ametiseisundi nõude rikkumine ja teo eest on ette nähtud juriidilise isiku vastutus IKS § 62 lg

2 järgi.

Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult.

Karistusseadustiku (KarS) § 14 lg 1 (teo toimepanemise ajal kehtinud redaktsioon, RT I,

06.08.2022, 27, jõustumise kp 01.11.2022) sätestab, et juriidiline isik vastutab seaduses

sätestatud juhtudel teo eest, mis on toime pandud tema organi, selle liikme, juhtivtöötaja

võipädeva esindaja poolt juriidilise isiku huvides.

Riigikohus asus otsuses 4-23-742 seisukohale, et EL-i õigusega pole kooskõlas kuni 31.

oktoobrini 2023 (k.a) kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele isikule

IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi üksnes

siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule. Eeltoodust

tulenevalt ei ole vajalik juriidilise isiku vastutusele võtmiseks rikkumist omistada eelnevalt

Asper Biogene OÜ juhatuse liikmele kui füüsilisele isikule ja tuvastada tleb, et tegu on toime

pandud juriidilise isiku huvides.

Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper

Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete

vastutava töötleja seadusejärgse kohustusega (IKÜM art 37 lg 1 p c) määrata nõuetele vastav

andmekaitseametnik. Arvestades, et andmekaitseametniku erialaste teadmiste vajalik tase

tuleb määrata kindlaks eelkõige vastavalt teostatavatele andmetöötlustoimingutele ning

vastutava töötleja või volitatud töötleja töödeldavate isikuandmete kaitsmise nõuetele, toimub

andmekaitseametniku määramine ettevõtte huvides.

Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 alusel.

II Isikuandmete asjakohase turvalisuse tagamine

Väärtegu on pandud toime määratlemata algusajaga kuni esmase ründe toimumise algusajani

26.09.2023 ning toimepanemise koht on Asper Biogene OÜ veebipõhine kliendisuhete

haldusrakendus ehk CRM (aadressil XXX), mis paikneb Zone Media OÜ pilveserveris.

IKÜM art 5 lg 1 p f sätestab, et isikuandmete töötlemisel tagatakse, et isikuandmeid

töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või

ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest,

kasutades asjakohaseid tehnilisi või korralduslikke meetmeid (usaldusväärsus ja

konfidentsiaalsus).

IKÜM artikkel 32 lg 1 sätestab, et võttes arvesse teaduse ja tehnoloogia viimast arengut ja

rakendamise kulusid ning arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja

eesmärke, samuti erineva tõenäosuse ja suurusega ohte füüsiliste isikute õigustele ja

vabadustele, rakendavad vastutav töötleja ja volitatud töötleja ohule vastava turvalisuse

tasemetagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid.

26.09.2023 algatati esmane küberrünnak Asper Biogene OÜ veebipõhisesse kliendisuhte

haldusrakendusse ehk CRM-i (aadressil XXX), mille käigus tehti päringuid tähestikulises

järjekorras erinevate failinimede kohta. Sellele järgnes koheselt katse CRM-i sisse logida

erinevate kasutajanimedega, millele anti vastuseks ,,Lubamatu parool“ või ,,Vale parool“.

Ebaõnnestunud katsete järel muudeti rünnet ja alustati SQL-süsti (SQL Injection) rünnakuga.

Süstide käigus saadi kätte andmebaasistruktuur (tabelite ja veergude nimed) ning CRM

kasutajanimed ja parooliräsid. Rünnaku tulemusel saadud Asper Biogene OÜ töötaja

kasutajanime ,,XXX“ ja parooli ära kasutades logiti 01.11.2023 süsteemi sisse ning

ajavahemikul 01.11.2023 kell 20:43 - 02.11.2023 kell 04:06 paigaldati Asper Biogene OÜ

andmebaasi CRM pahavara. Pahavara võimaldas selleks volitamata kolmandatel isikutel

(ründajad) perioodil 02.11.2023 - 10.11.2023 korduvalt CRM andmebaasist andmeid alla

laadida.

Rünnete käigus kasutati ära Asper Biogene OÜ veebipõhises rakenduses CRM esinevat SQL

süsti turvaviga, nõrka paroolipoliitikat ning aegunud РНР tarkvara versiooni. Rünnete

tulemusel laeti andmebaasist alla kokku 33,5 GB ulatuses andmeid, mis sisaldab 106 837 faili,

millest valdav osa sisaldab eriliigilisi andmeid (peamiselt patsientidele teostatud

geenianalüüsidega seonduvad andmed ning teostatud analüüside tulemused).

CRM-i haldas ja turvalahendusi tagas Asper Biogene OÜ lepingupartner XXX OÜ.

Asper Biogene OÜ süsteemidesse toimunud ründest ja selle tagajärjel aset leidnud

andmelekkest oli puudutatud ca 10 000 isikut 22-st Euroopa Liidu liikmesriigist. Seega on

tegemist mahuka ja ulatusliku andmetöötlusega. Lekkinud andmed sisaldasid mh puudutatud

isikute analüüsitulemusi ja geeniandmeid, mille töötlemine on ettevõtte põhitegevuse osa.

Seega on Asper Biogene OÜ tegevuses kõige suurem töödeldavate isikuandmete osakaal

eriliigiliste isikuandmete töötlemisel.

IKÜM artikkel 32 lg 1 p b kohustab nii vastutavat kui volitatud andmetöötlejat, arvestades mh

isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke ning ohte isikute õigustele ja

vabadustele, rakendama meetmeid, et oleks tagatud isikuandmete töötlemise ohule

vastavturvalisuse tase. Rakendada tuleb tehnilisi ja korralduslikke meetmeid, et tagatud oleks

muuhulgas isikuandmeid töötlevate süsteemide kestev konfidentsiaalsus ja vastupidavus.

Enne ründe toimumise aega olid CRM-i võimalik sisse logida, kasutades selleks kasutajanime

ja parooli. Kasutusel olid järgmised paroolireeglid: 1) Parooli tuleb vahetada vähemalt 90

päeva tagant; 2) uus ja vana parool ei tohi olla samad; 3) Parool peab sisaldama ka suurtähti ja

numbreid; 4) Parool peab olema vähemalt 9 märki pikk. Ebaõnnestunud sisselogimisel 3

korda järjest blokeeritakse konto 60 minutiks. Õnnestunud ja ebaõnnestunud sisselogimised,

samuti paroolivahetused logitakse eraldi registrisse. Paroolide krüpteerimiseks kasutati

räsialgoritmi MD5, mis ei ole teiste tänapäeval kasutusel olevate krüpteerimisvõimalustega

võrreldes turvaline. Kaheastmelise autentimine ei olnud kasutusel.

Seega kasutas Asper Biogene OÜ enne andmeleket CRM-i sisselogimiseks turvalahendusi,

mis ei suutnud tagada eriliiki isikuandmetele IKÜM-iga nõutud turvalisust. Asper Biogene

OÜ-l oli kohustus täiendava turvalisuse tõstmiseks võtta kasutusele paroolireeglid, mis on

tänapäevanõuetele vastavad (nt vähemalt 12-tähemärki, mitmikautentimine, IP-piirangud)

ning paroolide kaitsmiseks turvalised räsialgoritmid (nt XXX, XXX).

Samuti oli Asper Biogene OÜ-l paigaldatud ühele veebilehele spetsiaalne tööriist, mis

võimaldas kaitsta veebilehti SQL-süsti rünnete eest. Tegelikkuses see tööriist ei toiminud ning

selle toimivuses ei veendutud. SQL-süsti näol on tegemist ühe levinuima veebiründega ning

eksisteerivad automaatsed lahendused selliste turvanõrkuste tuvastamiseks. Arvestades

töödeldavate isikuandmete tundlikkust ja hulka oli Asper Biogene OÜ-l kohustus võtta CRM-

i kaitsmiseks kasutusele täiendavad meetmed (nt toimiv SQL-süsti rünnete tuvastamise

lahendus) ning veenduda nende meetmete toimivuses.

Lisaks oli Asper Biogene OÜ poolt CRM-is kasutatav PHP tarkvaraversioon uuendatud

uusimale versioonile (8.1.), kuid sellest hoolimata olid süsteemid programmeeritud kasutama

vanemat versiooni (7.3.), mille tehniline tugi oli lõppenud aastal 2021.

Asper Biogene OÜ rakendas täiendava turvalisuse meetmena enne ründe toimumise aega

turvasündmuste logimissüsteemi. Süsteemis logitavaid sündmuseid ei monitooritud.

Monitoorimise puudumise tõttu ei olnud võimalik kiiresti reageerida toimuvale ründele, sh

andmete allalaadimisele. Täiendava turvameetmena on võimalik rakendada automaatset

monitoorimist, mis mh annab märku, kui süsteemi püütakse sisse logida erinevatelt

(välismaistelt) IP-aadressitelt või suuremahulisi andmeid alla laadida.

Asper Biogene OÜ kehtestas isikuandmete töötlemisega seotud kordasid ja juhendeid, mis

sisaldavad pinnapealseid regulatsioone ning ei anna selget vastust, millised on andmekaitse-

ja turvareeglid.

Eeltoodust tulenevalt rakendas Asper Biogene OÜ, võttes arvesse isikuandmete

töötlemiselaadi, ulatust, konteksti ja eesmärke, selliseid tehnilisi ja korralduslikke meetmeid,

mis ei suutnud tagada suurele ohule vastavat andmete turvalisust ja mis ei olnud kooskõlas

IKÜM art 32 lg-ga 1.

IKÜM art-st 32 tulenev kohustus tagada isikuandmete töötlemise turvalisus hõlmab endas

muuhulgas IKÜM art 28 lg-st 1 tulenevat kohustust kasutada ainult selliseid volitatud

töötlejaid, kes annavad piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja

korralduslikke meetmeid sellisel viisil, et töötlemine vastab IKÜM-i nõuetele ja sealjuures

tagatakse andmesubjekti õiguste kaitse. Asper Biogene OÜ eelkäija Asper Biotech sõlmis

XXX OÜ-ga CRM-i haldamise ja arendamise lepingu. Asper Biotech üleminekul Asper

Biogene OÜ-ks lepingut ei uuendatud, kuid 20.08.2018 sõlmiti täiendav andmetöötlusleping.

Asper Biogene OÜ usaldas olemasoleva rakenduse (CRM) senist töökindlust ning et kasutusel

on vajalikud tehnilised meetmed isikuandmete töötlemise turvalisuse tagamiseks. Asper

Biogene OÜ kohustus vastutava töötlejana oli muuhulgas veenduda, et XXX OÜ poolt

kasutatavad turvameetmed on ka tegelikkuses rakendatud ja ajakohastatud. Selle kohustuse

täitmiseks, ilma vastavaid IT-valdkonna teadmisi omamata, on vastutaval töötlejal võimalik

kasutada erinevaid meetmeid, nt veenduda, et teostatakse regulaarseid turvatestimisi või

auditeid, mis oleksid süsteemi nõrkused välja toonud. Asper Biogene OÜ ja XXX OÜ on

omavahelise koostöölepingu lisana sõlminud ka andmetöötluslepingu, mis loetleb

töödeldavate andmete liigid (isiku nimi, isikukood/sünniaeg, etnilist päritolu ja rassilist

kuuluvust kirjeldavad andmed, pärilikkuse informatsiooni andmed, biomeetrilised andmed

ning teised isiku tervist ja geene puudutavad andmed) et nende töötlemine on seotud teenuse

osutamisega. Lepingust ei ilmne, mis teenuse osutamisest ja mis ulatuses käib jutt ning

lepingus on sätestamata isikuandmete töötlemise laadid ja nende eesmärgid.

Seega sõlmisid Asper Biogene OÜ juhatuse liige ja XXX OÜ juhatuse liige omavahel IKÜM

nõuetele mittevastava vastutavat ja volitatud töötlejat siduva kirjaliku andmetöötluslepingu,

kuivõrd Asper Biogene OÜ kohustus vastutava töötlejana oli anda XXX OÜ-le selged ja

dokumenteeritud suunised, et andmetöötlus vastaks IKÜM-i nõuetele. Nõuetele mittevastava

lepingu sõlmimisega jäi tagamata seejuures andmesubjektide õiguste kaitse. IKÜM art 5 lg 2

kohaselt vastutab isikuandmete kaitse põhimõtete, sh usaldusväärsuse ja konfidentsiaalsuse

põhimõtete täitmise eest vastutava töötlejana Asper Biogene OÜ. Eeltoodust tulenevalt on

menetlusalusele isikule seeläbi ette heidetav IKÜM art 5 lg 1 p f ja art 32 lg 1 rikkumine ehk

isikuandmete asjakohase turvalisuse tagamise kohustuse täitmata jätmine. Antud teo eest on

ette nähtud juriidilise isiku vastutus IKS § 62 lg 2 ja § 65 lg 2 järgi.

Etteheidetav tegu oli H. T. poolt toime pandud kavatsetult.

Rikkumine on toime pandud Asper Biogene OÜ huvides, kuna tegu on toime pandud Asper

Biogene OÜ majandustegevuse raames ning seotud juriidilise isiku kui isikuandmete

vastutava töötleja seadusejärgse kohustusega (IKÜM art 32 lg 1) rakendada ohule vastava

turvalisusetaseme tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid. Arvestades,

et vastutav töötleja peab tagama töödeldavate isikuandmete kaitsmise vastavalt IKÜM-i

nõuetele, toimub asjakohaste tehniliste ja korralduslikke meetmete rakendamine ettevõtte

huvides. Seega kuulub Asper Biogene OÜ vastutusele võtmisele IKS § 62 lg 2 ja § 65 lg 2

alusel.

3. Tartu Maakohtusse saabus 24. jaanuaril 2025. a menetlusaluse isiku Asper Biogene OÜ

kaitsjate kaebus eelnimetatud väärteootsusele. Kaitsjad taotlevad Andmekaitse Inspektsiooni

9. jaanuari 2025 otsuse väärteoasjas 951024000001 tühistamist. Kaitsjate arvates tuleks teha

uus otsus, millega lõpetada Andmekaitse Inspektsiooni väärteomenetlus 951024000001

VTMS § 107 lg 1 p 2 ning § 29 lg 1 p 1 alusel. Samuti taotlevad kaitsjad Asper Biogene OÜ

menetluskulude riigi kanda jätmist VTMS § 38 lg 1 ning KrMS § 181 lg 1 alusel.

4. Kokkuvõtvalt leitakse kaebuses esimese väärteoetteheite kohta, et AKI on vääralt

tõlgendanud IKÜM art 37 lg-t 5 ning eksinud tegude toimepanemise aja määramisel. Kaebaja

ei nõustu, et juriidilise isiku juhtorgani liikme määramisega andmekaitseametnikuks rikkus

viidatud artiklis sätestatud huvide konflikti vältimise kohtustust. Huvide konflikt sai olla

üksnes näilik. H. T. ei tegutsenud kavatsetult. Kaebaja hinnangul ei oleks Asper Biogene

suhtes mõistlikult ootuspärane tõlgendus, mille kohaselt kohaldataks IKÜM art 37 lg 5

rikkumise puhul alates 01.11.2023 kehtima hakanud KarS § 14 regulatsiooni. KarS § 5 lg 3

kohaselt seadusel, mis tunnistab teo karistatavaks, raskendab karistust või muul viisil

halvendab isiku olukorda, ei ole tagasiulatuvat jõudu. Nimetatud õiguse üldpõhimõtte olulisus

peegeldub asjaolus, et üksnes süüteod inimsuse vastu ja sõjasüüteod on karistatavad,

sõltumata teo toimepanemise ajast (KarS § 5 lg 4). Euroopa Inimõiguste Kohtu praktikast

tuleneb ka, et ootuspärase mõiste ulatus sõltub suurel määral asjaomase teksti sisust,

hõlmatavast ainevaldkonnast ning normi adressaatide arvust ja nende isikutest. Seaduse

ootuspärasuse põhimõttega ei ole vastuolus see, kui asjaomane isik peab pöörduma

õigusnõuandja poole, et konkreetsetel asjaoludel piisava mõistlikkusega hinnata kindla teo

tagajärgi. Kokkuvõttes märgib kaebaja, et kuni 31.10.2023 (k.a.) kehtinud KarS § 14-s

sätestatud juriidilise isiku derivatiivse vastutuse põhimõtet oli kinnitatud Riigikohtu

väljakujunenud praktika ning juriidilise isiku derivatiivse vastutuse põhimõte leidis laialdaselt

kohaldamist. Kaebajale ei ole seetõttu mõistlikult ootuspärane alates 1. novembrist 2023

sätestatud KarS § 14 vastutuse põhimõtete rakendamine.

5. Teise väärteoetteheite kohta leiavad kaebajad esmalt, et kuivõrd IKÜM art 32 lg-s 1

sätestatud kohustuse täitmine on seatud nii vastutavale töötlejale kui ka volitatud töötlejale ja

AKI väärteootsusest nähtub, et Asper Biogenele heidetakse ette tema kohustuste täitmist

vastutava töötlejana, siis nad ei nõustu AKI rollide määratlusega ning rollide määratluse

eksimusega on tegu VTMS § 150 lg 1 p 1 ning § 29 lg 1 p 1 rikkumisega, mis välistab

käesoleva teokoosseisu osas edasise väärteomenetluse Asper Biogene suhtes. Kaebaja

hinnangul pidanuks AKI esmalt tuvastama, milliste lekkinud andmete osas oli Asper Biogene

vastutavaks töötlejaks, st osutas teenust otse andmesubjektile, ning milliste andmete osas

volitatud töötlejaks, alles mille järel saanuks AKI hinnata, kes ja millises ulatuses vastutab

CRM-i tehniliste ja korralduslike meetmete eest. Kuna Asper Biogene OÜ oli sõlminud

andmetöötluslepingu tarkvaraarendajaga, kelle pädevuses oli otsustada üksikasjalike tehniliste

turvameetmete üle, on kaebaja hinnangul vastutavatel töötlejatel õigustatud valdkonnas IT

lahendusi pakkuvalt ettevõtjalt teenust tellides eeldada, et rakendatakse sektori spetsiifilisi

minimaalseid turvalisuse meetmeid. Mõlemad osapooled pidasid pikalt efektiivselt toiminud

lahendusi CRM-i sisselogimisel piisavaks ning ei pidanud vajalikuks turvalisuse taseme

tõstmist. See tähendab, et H. T. tugines lepingupartneri hinnangule süsteemi efektiivsuse osas.

Ka leitakse, et H. T. ei tegutsenud tahtlikult ja et juriidilisele isikut ei saa süüdi mõista juba

esimese väärteoetteheite juures toodud põhjendustel.

6. Eraldi tuuakse kaebuses välja, et karistus ei ole proportsionaalne.

7. AKI esitas 26. veebruaril 2025 oma seisukoha kaebuse osas. Kohtuväline menetleja ei

nõustu kaebusega ja vaidleb sellele vastu. Kohtuväline menetleja on seisukohal, et

menetlusalusele isikule inkrimineeritud tegudes esinevad nii süüteokoosseisu objektiivsed kui

ka subjektiivsed tunnused, teod on õigusvastased ning süülised. Seetõttu palub ta jätta otsus

muutmata ja Asper Biogene OÜ kaebus rahuldamata, samuti jätta kõik menetluskulud kaebaja

kanda.

8. Menetlusaluse isiku kaitsjad esitasid 20. märtsil 2025 seisukoha AKI 26. veebruari 2025

seisukoha kohta. Kaitsjad teatasid, et Asper Biogene OÜ jääb enda kaebuses esitatud

seisukohtade juurde.

9. Kohus pidas 21. märtsil 2025 kohtuistungi asja arutamise planeerimiseks. Kohtuistungid

tõendite uurimiseks toimusid 29.-30. aprillil, 9. mail 2025. Kohtuvaidlused peeti 29. mail

2025.

10. Kaebaja jäi oma kaebuse juurde. Kaebuse esitaja leiab, et kohtuvälise menetleja otsus

tuleb täielikult tühistada ja väärteomenetlus lõpetada VTMS § 29 lg 1 p 1 ning VTMS § 132 p

3 alusel. Alternatiivselt palub menetlusalune isik teha uus otsus, millega tühistada

Andmekaitse Inspektsiooni otsus täies ulatuses või osaliselt ja teha uus otsus, millega

kergendada menetlusalusele isikule mõistetud karistust VTMS § 132 p 2 alusel ja/või lõpetada

väärteomenetlus otstarbekuse kaalutlusel VTMS § 30 lg 1 p 1 alusel. VTMS § 132 p 2 kohase

otsuse korral määrata rahatrahvi tasumine ositi KarS § 66 lg 2 alusel. Jätta Asper Biogene OÜ

menetluskulud riigi kanda VTMS § 23, VTMS § 38 lg 1 ning KrMS § 175 lg 1 alusel ning

kaitsjate menetluskulude nimekirjas toodud ulatuses.

11. Kohtuväline menetleja palus kohtul jätta AKI üldmenetluse otsus muutmata ja kaebus

rahuldamata.

KOHTU SEISUKOHT

12. VTMS § 123 lg 2 kohaselt vaatab maakohus väärteoasja läbi täies ulatuses, sõltumata

esitatud kaebuse piiridest, kontrollides kohtuvälise menetleja otsuse tegemise aluseks olnud

faktilisi ja õiguslikke asjaolusid.

13. Väärteoasjas on keskseks vaidlusküsimuseks juriidilise isiku vastutuse teema, mis seondub

väärtegude toimepanemise aja määratlemisega.

14. Väärteootsuse kohaselt oli Asper Biogene OÜ andmekaitsespetsialist huvide konfliktis ja

ebapädev perioodil 1. jaanuar 2023 kuni 22. jaanuar 2024; isikuandmete turvalisust ei taganud

Asper Biogene OÜ määratlemata algusajast kuni ründe toimumise algusajani, so kuni 26.

septembrini 2023.

15. Kaebuse esitaja hinnangul on AKI eksinud tegude toimepanemise aja määramisel.

Esimese koosseisu, ehk IKÜM art 37 lg 5 ning art 38 lg 6 rikkumise puhul, on AKI kohaselt

tegu vältava teoga. Kaebaja ei nõustu, et IKÜM art 37 lg 5 rikkumist saab toime panna

vältavalt. IKÜM art 37 lg 5 grammatilisest tõlgendusest tuleneb, et rikkumist saab toime

panna üksnes „andmekaitseametniku määramisel“. Seega tulnuks AKI-l märkida IKÜM art 37

lg 5 rikkumise toimepanemise ajaks 1. jaanuariks 2023.

16. Kohus kaebajaga ei nõustu ja leiab, et IKÜM art 37 lg 5 näol on tegemist

tegevusetusdeliktiga ning tegu on pandud toime vältavalt, sest Asper Biogene OÜ oli tervel

väärteoprotokollis märgitud perioodil tegevusetu. Teisisõnu on õiguslikult on tegemist vältava

tegevusetusega, mis algas 1. jaanuaril 2023 ja lõppes pädeva AKS-i määramisega. See

tähendab, et kogu selle perioodi jooksul, mil Asper Biogene OÜ-l ei olnud nõuetele vastavat

AKS-i, oli Asper Biogene OÜ-l kohustus AKS määrata.

17. Teise väärteokoosseisu, ehk IKÜM art 32 lg 1 rikkumise, pani Asper Biogene OÜ

väärteoprotokolli kohaselt toime määratlemata algusajaga kuni esmase küberründe toimumise

algusajani 26. septembril 2023. Ajavahemikul 1. - 2. november 2023 paigaldati Asper

Biogene OÜ andmebaasi CRM pahavara, mis võimaldas selleks volitamata kolmandatel

isikutel (ründajad) perioodil 2. - 10. november 2023 korduvalt CRM andmebaasist andmeid

alla laadida.

18. Kohtu hinnangul ei ole AKI väärteo toimepanemise aega õigesti määratlenud. Tegemist

on taas tegevusetusdeliktiga ja vältava tegevusetusega, mis sisuliselt kestis vähemalt kuni 10.

novembrini 2023, ehk et ajani, mil ründajad saavutasid oma eesmärgi ja rünne lõppes. Kuna

aga kohus on seotud väärteoprotokollis toodud etteheitega ega saa menetlusaluse isiku

olukorda raskendada ega nö süüdistuse raamidest väljuda, siis tuleb lähtuda AKI märgitud

väärteo toimepanemise ajast.

19. Seega on esimene väärteokoosseis toime pandud vältavalt 1. jaanuarist 2023 kuni 22.

jaanuar 2024 ja teine määratlemata algusajast kuni ründe toimumise algusajani, so kuni 26.

septembrini 2023.

20. Viidatud perioodil sätestas juriidiliste isikute karistusõiguslikku vastustust kaks erinevat

karistusseadustiku redaktsiooni. Kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon

kohaselt pidi juriidilise isiku vastutusele võtmiseks tuvastama füüsilise isiku, kellele selline

tegu omistada.

21. Samas on Riigikohus jõudnud seisukohale, et Euroopa Liidu õigusega ei ole kooskõlas

kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon osas, mis võimaldas juriidilisele

isikule IKÜM art 83 lg-tes 4-6 nimetatud rikkumiste eest määrata väärteomenetluses trahvi

üksnes siis, kui see rikkumine oli enne omistatud identifitseeritud füüsilisele isikule (vt

Riigikohtu 20. juuni 2024. a otsus nr 4-23-742 p 19-21). Sealjuures tugines Riigikohus

eelkõige Deutsche Woheni otsusele (Euroopa Kohtu 5. detsembri 2023. a otsus nr C-807/21).

Riigikohtu lahend on asjakohane ka praeguses asjas.

22. Nagu öeldud, pani väärteoprotokolli kohaselt menetlusalune isik väärteod toime osaliselt

enne ja osaliselt pärast KarS § 14 muudatusi. Seega on tekkinud olukord, kus kohus peab

otsustama, kas jätta kohaldamata Euroopa Liidu õigusnormiga vastuolus olev siseriiklik norm

või tuleks lähtuda riigisisese põhiõiguste kaitse kõrgemast standardist ning Euroopa Liidu

õigus kohaldamata jätta.

23. Kohtule on teada, et sama õigusküsimust on Harju Maakohtu 13. mai 2025 otsuses

väärteoasjas nr 4-24-2473 lahatud ja jõutud seisukohale, mis on tänaseks ka jõustunud. Kohus

kirjutab oma lahendis, et õigusküsimust lahendades tuleb eeskätt vaadelda ettenähtavuse, kuid

ka seaduse määratletuse ja tagasiulutava jõu keelu põhimõtteid. Seega tuleb hinnata, kas

menetlusalusele isikule oli mõistlikult ettenähtav, et 31. oktoobrini 2023 kehtinud KarS § 14

regulatsioon ei ole Euroopa Liidu õigusega kooskõlas ning IKÜM-i nõuete rikkumiste eest

võib määrata väärteomenetluses trahvi ka siis, kui rikkumine ei ole kindlale füüsilisele isikule

identifitseeritud. Mainitu on eriti kaalukas kontekstis, kus kõikide süüks pandavate väärtegude

objektiivse koosseisu esimese elemendina tuleb selgeks teha, kas esineb erisubjekti ehk teod

peab olema toime pannud vastutav töötleja IKS-i tähenduses. Euroopa Liidu õiguse

kohaldamise või kohaldamata jätmisel konkureerivad omavahel Euroopa Liidu õiguse

esimuse põhimõte ja vajadus järgida liidu õiguse üldpõhimõtetega tagatud põhiõigusi.

Esimuse põhimõte tähendab, et liikmesriigi kohtul on kohustus jätta vaidluses vajaduse korral

omal algatusel kohaldamata mis tahes riigisisese õigusnormi, mis on vastuolus vahetut

õigusmõju omava Euroopa Liidu õigusnormiga. Euroopa Liidu esimuse põhimõte ei ole aga

absoluutne, kuna liidu õigust kohaldades tuleb menetlusosalistele tagada Euroopa põhiõiguste

harta ja liidu õiguse üldpõhimõtetest tulenevad põhiõigused (vt Euroopa Kohtu 24. juuli 2023.

a otsus nr C-107/23 p-d 95 ja 101). Euroopa Kohus on märkinud, et riigisisese normi

kohaldamine ei tohi takistada süstemaatiliselt tõhusate ja hoiatavate karistuste määramist (vt

nt Euroopa Kohtu 5. detsembri 2017 otsus nr C-42/17, p-d 29-62 ja C-107/23, p-d 95-125).

Seda tuleks muuseas arvestada Euroopa Liidu õiguse esimuse põhimõtte kohaldamisel.

Euroopa Kohus on iseenesest jaatanud liikmesriigi kohtu õigust jätta ettenähtavuse,

määratletuse ja tagasiulutava jõu keelu põhimõtete põhimõttele tuginedes Euroopa Liidu

õigus kohaldamata isegi siis, kui seadusandja ei ole vaidlusalust normi ühtlustanud ning

riigisisene normi kohaldamine takistaks süstemaatiliselt tõhusate ja hoiatavate karistuste

määramist (vt C-107/23 p 118, sh Euroopa Kohtu 5. detsembri 2017. a otsust nr C-42/17;

ettenähtavuse, määratletuse ja tagasiulatuva jõua keelu põhimõtete kohta vt ka C-107/23 p

113 ja C-42/17 p 51). Viidatud põhimõtete kohta on Euroopa Kohus veel märkinud, et kuniks

Euroopa Kohus ei ole mingit konkreetset õigusküsimust lahendanud, tuleks enne kohtuotsuse

kuulutamist toime pandud süütegude puhul lähtuda riigisisese põhiõiguste kaitse kõrgemast

standardist. Vastasel juhul võidakse tagasiulatuvalt kohaldada rangemaid vastutusele võtmise

tingimusi kui need, mis kehtisid süüteo toimepanemise ajal (vt C-42/17 p 60).

24. Harju Maakohtu 13. mai 2025 otsuses väärteoasjas nr 4-24-2473 leidis kohus kokkuvõttes

seda, et menetlusalusele isikule ei saanud olla mõistlikult ette nähtav, et Euroopa Liidu

õigusega pole kooskõlas kuni 31. oktoobrini 2023 kehtinud KarS § 14 regulatsioon.

Vastupidine käsitlus läheks vastuollu ka seaduse määratletuse põhimõttega (s.o nõue, et

normid ja nendes sisalduv teave peavad olema selged, kätte- ja arusaadavad) ning tekkida

võib olukord, kus menetlusalusele isik võetakse tagasiulatuvalt vastutusele tingimustel,

millistel ei oleks teda varem karistatud. Seda seetõttu, et ilma Deutsche Woheni otsuseta ei

oleks kuni 31. oktoobrini 2023 kehtinud KarS § 14 ja IKÜM-i vastuolu ja Euroopa Liidu

õiguse otsekohaldumise küsimust üleüldse tekkinud. Kuigi IKÜM kehtis Eestis juba aastaid

muutumatuna enne etteheidetava teo toimepanemist, omaks see isiku vastutuse seisukohalt

tähendust siis kui IKÜM ise juriidilise isiku vastutust reguleeriks ja seda IKÜM ei tee.

25. Kuivõrd viidatud Harju Maakohtu seisukohad on tänaseks jõustunud, sest Riigikohus ei

võtnud AKI kassatsiooni menetlusse, ei näe praegust asja lahendav kohus põhjust asuda

teistsugusele seisukohale.

26. Ettenähtavust saab hinnata sündmuste ajateljel. Praegused väärteod pandi toime

ajavahemikul 1. jaanuar 2023 kuni 22. jaanuar 2024 ja määratelemata ajast kuni 26.

septembrini 2023. KarS § 14 jõustus uues sõnastuses 1. novembril 2023. Deutsche Wohneni

(C-807/21) otsus kuulutati 5. detsembril 2023. Riigikohtu otsus IKÜM-i ja KarS § 14

vastuolu kohta kuulutati 20. juunil 2024. Seega nii KarS § 14 muudatused, kuid ka Deutsche

Woheni otsus sündisid süüks pandavate väärtegude toimepanemise ajal ja ei olnud

menetlusalusele isikule ettenähtavad.

27. Järelikult tuleb väärtegude objektiivsete koosseisude hindamisel kuni 1. novembrini 2024

jätta kohaldamata Euroopa Liidu õigus ning lähtuda menetletava teo ajal kehtinud KarS-i, s.o

kuni 31. oktoobrini kehtinud, redaktsioonist. See omakorda tähendab, et Asper Biogene OÜ-d

ei saa karistada teo või tegude eest, mille ta pani toime perioodil enne 31. oktoobrit 2023, sest

H. T. tegevusetust ei saa temale omistada, kuivõrd H. T. endal kohustusi IKÜM-ist tulenevalt

ei lasunud.

28. Käesoleval juhul on väärteoprotokollis vastutava töötlejana osutatud Asper Biogene OÜ-

le. Seega ei sisalda väärteoprotokoll andmeid, millele tuginedes saaks tuvastada juriidilise

isiku karistusõigusliku vastutuse eeldusi. Juhatuse liiget ei saa samastada juriidilise isikuga,

keda ta esindas. Juriidilise isiku kohustuste täitmata jätmist ei saa omistada juhatuse liikmele

isiklikult. Järelikult ei täida juriidilise isiku nimel tegutsenud füüsiline isik H. T. erilise

isikutunnuse puudumise tõttu IKS-is sätestatud väärteokoosseise kuni 31. oktoober 2023

kehtinud KarS § 14 mõttes ja puuduvad koosseisupärased teod, mida oleks võimalik KarS §

14 lg 1 alusel Asper Biogene OÜ-le omistada. Seetõttu tuleb väärteomenetlus Asper Biogene

OÜ suhtes VTMS § 29 lg 1 p 1 alusel lõpetada tegudes, mis jäid perioodi enne

1. novembrit 2023.

29. Eeltoodust tulenevalt lõpetab kohus menetluse Asper Biogene OÜ karistamises IKS § 62

lg 2 ja § 65 lg 2 järgi isikuandmete turvalisuse tagamata jätmises.

30. Alates 1. novembrist 2023 kehtiva KarS § 14 lg 1 kohaselt vastutab juriidiline isik

seaduses sätestatud juhtudel teo eest, mille on tema huvides või tema õiguslikke kohustusi

rikkudes toime pannud tema organ, selle liige, juhtivtöötaja või pädev esindaja või mistahes

isik käesoleva lõike punktis 1 nimetatud organi või isiku korraldusel või juriidilise isiku

puuduliku töökorralduse või järelevalve tõttu. KarS § 14 lg 2 kohaselt, kui juriidiline isik on

õiguslikult kohustatud tegutsema, vastutab ta KarS § 14 lg 1 sätestatud alustel tegevusetuse

eest, sõltumata sellest, kas juriidilise isiku kõrval on õiguslikult kohustatud tegutsema ka

lõikes 1 nimetatud organ või isik.

31. Väärteootsuse kohaselt oli Asper Biogene OÜ AKS huvide konfliktis ja ebapädev

perioodil 1. jaanuar 2023 kuni 22. jaanuar 2024 ja kontrollida tuleb Asper Biogene OÜ

vastutust perioodil 1. novembrist 2023 kuni 22. jaanuar 2024. Hinnata tuleb, kas kellegi isiku

tegevusetus, kellel endal küll ei olnud IKÜM-ist tulenevat kohustust tegutseda, kuid kelle

tegevusetuse saab omistada juriidilisele isikule, viis selleni, et Asper Biogene OÜ rikkus

andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja

pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5). Ei seaduse seletuskiri

teo toimepanemise hetkel kehtinud KarS § 14 lg 1 ja 2 kohta ega ka KarS § 14 lg 2 sõnastus ei

luba järeldada, et juriidilist isikut saaks vastutusele võtta ilma konkreetse füüsilise isiku teos

väärteokoosseisule vastavate asjaolude tuvastamist.

32. IKS § 62 lg 2 näeb ette juriidilise isiku vastutuse vastutava töötleja ja volitatud töötleja

kohustuse rikkumise eest, täpsemalt Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679

artiklites 8, 11, 25–39, 42 ja 43 sätestatud vastutava töötleja või volitatud töötleja kohustuse

rikkumise eest.

33. Kohtuvälise menetleja otsuses tehtud väärteoetteheite kohaselt rikkus Asper Biogene OÜ

juhatuse liige H. T. olles üheaegselt ettevõtte juhatuse liige ja andmekaitseametnik esiteks

andmekaitseametniku määramisel huvide konflikti vältimise kohustust (IKÜM art 38 lg 6) ja

teiseks pädeva andmekaitseametniku määramise kohustust (IKÜM art 37 lg 5).

34. IKÜM art 37 lg 1 p c kohaselt määravad vastutav töötleja ja volitatud töötleja

andmekaitseametniku, kui vastutava töötleja või volitatud töötleja põhitegevuse moodustab

artiklis 9 osutatud andmete eriliikidega seotud isikuandmete ulatuslik töötlemine. Asper

Biogene OÜ tegeleb põhitegevusena pärilike haiguste testimise, geenitestide arenduse ning

arendusteenuste pakkumisega, mis on seotud terviseandmetega (sh tervishoiuteenuste

osutamisega) ning töötleb seeläbi ulatuslikult terviseandmeid ja on seetõttu kohustatud

määrama andmekaitseametniku. Täpsemalt reguleerivad andmekaitseametnikule kehtestatud

nõudeid IKÜM art 37–39.

35. H. T. on Asper Biogene OÜ juhatuse liige alates 8. juunist 2021 ning on ainuisikulist

esindusõigust omav juhatuse liige. H. T. määras ennast 1. jaanuarist 2023

andmekaitseametniku positsioonile mõtlemata, et andmekaitsespetsilisti ja juhatuse liikme

rolli vahel võiks tekkida huvide konflikt. Andmekaitsespetsialisti ametisse määramise kohta

ühtegi lepingut enne küberründe toimumist ei vormistatud.

36. IKÜM art 38 lg-s 3 esimese lause kohaselt tagavad vastutav töötleja ja volitatud töötleja,

et andmekaitseametnik ei saa nende ülesannete täitmise suhtes juhiseid. Sama sätte kolmas

lause sätestab, et andmekaitseametnik allub otse vastutava töötleja või volitatud töötleja

kõrgeimale juhtimistasandile. Andmekaitsespetsialistil peab olema võimalus täita oma

kohustusi ja ülesandeid sõltumatult. Käesoleval juhul tähendab see seda, et H. T. täitis Asper

Biogene OÜ-s andmekaitsespetsialisti ülesandeid ning samal ajal oli ta ka Asper Biogene OÜ

juhatuse ainuliige. See tekitas olukorra, kus juhatuse liikmena sai H. T. otsustada

isikuandmete töötlemise vahendite ja eesmärkide üle ainuisikuliselt, kuid

andmekaitsespetsialistina oli tal kohustus järgida, et juhatuse liikme isikuandmete kaitse

valdkonna otsused oleksid olnud IKÜM-i nõuetega kooskõlas.

37. IKÜM art 38 1g 6 sätestab, et andmekaitseametnik võib täita muid ülesandeid ja

kohustusi, kuid seda tingimusel, et vastutav töötleja või volitatud töötleja tagab, et sellised

ülesanded ja kohustused ei põhjusta huvide konflikti. IKÜM pp 97 kohaselt peab olema

andmekaitseametnikel, sõltumata sellest, kas nad on vastutava töötleja töötajad või mitte,

võimalik täita oma kohustusi ja ülesandeid sõltumatul viisil. See tähendab seda, et

andmekaitseametniku ülesandeid ei saa ettevõttes täita isik, kelle puhul ei saa olla kindel tema

sõltumatuses. IKÜM art 38 lg 6 eesmärgi kohaselt ei saa andmekaitseametnikule anda

selliseid ülesandeid ja kohustusi, mis võiksid kahjustada tema kui andmekaitseametniku

ülesannete täitmist. Samuti ei saa andmekaitseametnikule anda ülesandeid või kohustusi,

mille tulemusel määratakse vastutava töötleja või volitatud töötleja juures kindlaks

isikuandmete töötlemise eesmärgid ja vahendid.

38. H. T. Asper Biogene OÜ andmekaitsespetsialistina oli kohustatud järgima isikuandmete

kaitse nõuete täitmist iseenda kui juhatuse liikme tehtud otsuste suhtes. Sellisel viisil

tegutsedes ei olnud tal võimalik täita AKS-i ülesandeid sõltumatul viisil, nii et ei oleks sellega

põhjustanud huvide konflikti. Ta pidi juhatuse liikmena tegema isikuandmete kaitsevaldkonna

otsuseid ettevõtte huvidest lähtuvalt, kuid AKS-ina oli ta kohustatud sõltumatul viisil

teavitama ennast kui juhatuse liiget kohustustest, mida vastutav töötleja Asper Biogene OÜ

andmekaitse valdkonnas täitma pidi.

39. Kohus nõustub kohtuvälise menetlejaga, et H. T. jättis ennast AKS-i positsioonile

määrates kontrollimata, kas AKS-i määramisele on kehtestatud nõuded ja kas selline otsus on

nende nõuetega kooskõlas. Kahtlust ei ole selles, et H. T. huvi ei olnud ettevõtet kahjustada.

Vastupidi, ta oli väga huvitatud muuhulgas ka andmekaitset puudutavast. Kohtuistungil antud

ütluste kohaselt oli fookus siiski põhiliselt käsil olevatel arendustel infosüsteemides. Nii

selgitas H. T. kohtuistungil, et tema asi oli sellel perioodil, kui tema AKS oli, järgi vaadata, et

saatelehtede muutmisel elektroonseks, oleksid kõik andmekaitset puudutavad aspektid läbi

analüüsitud.

40. Kokkuvõttes nõustub kohus kohtuvälise menetlejaga, et olukorras, kus AKS-iks on

ainuisikuline juhatuse liige, kes otsustab muuhulgas ettevõttes andmetöötluse eesmärgid ja

vahendid, ei ole võimalik tagada AKS-i sõltumatust, kuna tegemist on kahe rolli huvide

konfliktiga. Juhatuse liikmena pidi H. T. tegema otsuseid ettevõtte huvidest lähtuvalt, kuid

andmekaitsespetsialistina oli ta kohustatud tegutsema sõltumatult.

41. Asper Biogene OÜ-le heidetakse ette sedagi, et andmekaitsespetsialistiks määratud H. T.

puudus pädevus andmekaitsespetsialisti rolli täitmiseks. Ehk et tal puudusid AKS-i kohustuste

täitmiseks vajalikud kutseoskused ja ekspertteadmised. Vaidlust ei ole selles, et H. T. sai aru,

mida andmekaitse valdkond endast kujutab. H. T. mõtestas enda jaoks lahti, miks ettevõttel

mingid andmed on, kuidas neid töödeldakse, kes neid töötleb ja kuidas neid tuleks kaitsta.

42. IKÜM art 37 lg 5 sätestab aga konkreetsed eeldused AKS-i määramisel. Nimelt lähtutakse

andmekaitseametniku määramisel tema kutseoskustest ja eelkõige ekspertteadmistest

andmekaitsealase õiguse ja tava kohta ning suutlikkusest täita artiklis 39 osutatud ülesandeid.

43. IKÜM art 37 lg-s 5 ei ole täpsustatud, milliseid kutseoskusi tuleb andmekaitseametniku

määramisel kaaluda. Euroopa Andmekaitsenõukogu on oma suunistes välja toonud, et

andmekaitseametnikel peavad olema ekspertteadmised liikmesriigi ja liidu

andmekaitseseaduste ja tavade kohta ning põhjalikud teadmised isikuandmete kaitse

üldmäärusest. Samuti aitab see, kui järelevalveasutused pakuvad andmekaitseametnikele

piisavat ja regulaarset koolitust. Kasuks tulevad teadmised vastutava töötleja ärisektorist ja

organisatsioonist. Andmekaitseametnik peaks hästi tundma ka vastutava töötleja

andmetöötlustegevust, infosüsteeme, andmeturvet ja andmekaitsega seotud vajadusi

(Suunised andmekaitseametnike kohta, lk 13). Suunistest andmekaitseametnike kohta tuleneb,

et nõutav ekspertteadmiste tase ei ole rangelt määratletud, kuid see peab vastama

organisatsiooni töödeldavate andmete delikaatsusele, keerukusele ja hulgale. See tähendab, et

andmekaitseametniku valimisel peab vastutav töötleja lähtuma sellest, kui keeruline on

andmete töötlemine või kas see hõlmab suurt hulka delikaatseid isikuandmeid ning vastavalt

sellele valima andmekaitseametniku. Samuti on vahe sees olenevalt sellest, kas organisatsioon

edastab isikuandmeid väljapoole Euroopa Liitu süstemaatiliselt või juhuslikult. Seetõttu tuleks

andmekaitseametnik valida hoolikalt, pöörates sealjuures piisavalt tähelepanu

organisatsioonis esile kerkivatele andmekaitseteemadele (Suunised andmekaitseametnike

kohta, lk 12).

44. Asper Biogene OÜ on geneetilise testimisega tegelev ettevõte, mille peamine fookus on

pärilike haiguste testimisel ja geenitestide arendusel. Asper Biogene OÜ osutab teenuseid

rahvusvaheliselt. Asper Biogene OÜ-s toimuva isikuandmete töötlemise puhul on tegemist

ulatusliku ja komplitseeritud eriliigiliste andmete töötlemisega, mistõttu peavad

andmekaitseametniku ekspertteadmised olema kõrgel tasemel.

45. Kohtuistungil antud ütluste pinnalt ei ole kahtlust, et H. T. püüdis hoida ennast

andmekaitsenõuetega vastavalt vajadusele kursis. Vaidlust ei ole selles, et H. T. puudus

andmekaitsespetsialisti väljaõpe ja ta ei saanud koolitusi ka ametiaja jooksul. H. T. sõnul

määras ta ennast andmekaitsespetsialistiks praktilise vajaduse tõttu, kuna ettevõttes töötati

välja infosüsteemide uuendusi, mis olid samas seotud andmekaitse teemadega. Ta uskus, et

tema varasem kogemus kvaliteedisüsteemide loomisel ja arendamisel (sh Euroopa ja ka

Ameerika standardiseerimise eksperdi kogemus), võimaldab tal saada aru oma ülesannetest.

Vaid tunnistuse olemasolu ei ole tema arvates piisav pädevuse mõõtmiseks. H. T. selgitas, et

ta on andmekaitsenõudeid lugenud ja ta oli nendega kursis. Kahtlemata oli tal juhatuse

liikmena hea ülevaade ärisektorist ja organisatsiooni ülesehitusest ning asutuse

andmetöötlustegevustest, infosüsteemidest ja andmeturbest. Eelnev tuleb aga vaid kasuks

AKS-i rolli täitmisel, kuid ei ole selle eelduseks.

46. Kinnitust on leidnud seegi, et andmekaitsega seotud koolitusi H. T. AKS-ina Asper

Biogene OÜ töötajatele läbi viinud ei ole. Ta selgitas kohtuistungil, et ettevõttes olid olemas

korrad ja juhised tagamaks andmete kaitse. Kohtuistungil sai neid dokumente ka vaadeldud.

Kuni küberründe toimumiseni pidas H. T. neid piisavaks, pärast rünnet määrati AKS-iks oma

ala asjatundja. H. T. kinnitas, et inimesed, kes Asper Biogene OÜ-sse tööle tulevad läbivad

ettevalmistuse. H. T. selgitas, et teda juhina huvitavad, et asjad töötaksid, tihtipeale keerulise

protseduuri nimi võib jätta täiesti ükskõikseks ja inimestel on lihtne jälgida lihtsaid

protseduure. Süsteemi toimise juures on oluline inimese käitumine, mitte korra teadmine. Ta

leiab, et Asper Biogene OÜ töötajad olid koolitatud ja juhtum ise näitas, et töötajad

reageerisid adekvaatselt. Tema ise oli lähetuses, kuid asjad toimisid, tema hiljem koordineeris

infovahetust politsei, AKI, tervishoiuteenuste osutajate ja teistega. H. T. lisas, et nad töötavad

erinevate õigusaktide kombinatsioonis, ehk tervisehoiusüsteemi esimene kokkulepe on see, et

patsiendi ohutus kõige ülim ja kõik ülejäänud asjad peavad sellele alluma. Neid juhivad

reeglid, mille vahel nad peavad kompromisse tegema. On patsiendi ohutus, meditsiiniõigus,

siis edasi andmekaitse ja kvaliteedikontroll ning kliendi ja haigla nõudmised.

47. H. T. on ette heidetud ka suutmatust täita IKÜM art 39 lg 1 sätestatud kohustusi.

Menetluse kestel on H. T. AKS-ina olnud kohtuvälisele menetlejale alati kättesaadav ning

koostöövalmis ehk et IKÜM art 39 lg 1 p-des d ja e sätestatud kohustused on ta täitnud.

Täitmata on jäänud väärteoetteheite kohaselt p-des a, b ja c sätestatud kohustused. Kaitsjad

leidsid, et H. T. täitis p-des a ja b sätestatud kohustused ja p-s c sätestatud kohustuse täitmist

talle ette heita ei saa. Kuivõrd kaitsjate hinnangul on Asper Biogene OÜ volitatud töötleja,

kes töötles andmeid vastutavate töötlejate (tervishoiuteenuste osutajad) nimel, siis puudus tal

IKÜM art 39 lg 1 p c kirjeldatud kohustus, s.o mõjuhinnangu koostamise kohustus. See

tähendab, et kui haiglast koostööpartner on määranud endale andmekaitsespetsialisti, siis

tuleb temal vajadusel mõjuhinnang koostada. Seega on kaitsjate hinnangul välistatud H. T.

IKÜM art 39 lg 1 p c rikkumise ette heitmine.

48. Mis puutub Asper Biogene OÜ rolli vastutava või volitatud töötlejana, siis vaadeldi kohtus

tervishoiuteenuse osutajatega sõlmitud andmetöötluslepinguid, mis määratlesid Asper

Biogene OÜ-d kui volitatud töötlejat. Menetlusaluse isiku hinnangul ei olnud ta andmete

säilitamiskohustuse ulatuses vastutav töötleja. Kohtuväline menetleja asus teistsugusele

seisukohale ja leiab, et kuivõrd Asper Biogene OÜ-l on seadusest tulenev kohustus säilitada

analüüsitulemusi, on ta säilitamiskohustuse ulatuses ka vastutav töötleja. Säilitamiskohustuse

korral otsustab Asper Biogene OÜ iseseisvalt andmete säilitamise eesmärgi ja vahendite üle.

Vastutavale töötlejale, nt koostööpartnerist haiglale, teenuse osutamise korral on Asper

Biogene OÜ volitatud töötleja rollis, kuid osutatud teenuse tulemusena isikuandmete

säilitamise korral on ta seaduse järgi tervishoiuteenuse osutaja ja seeläbi ka vastutav töötleja.

Oluline roll on sellel, kes otsustab töötlemise eesmärgi ja vahendid konkreetse

töötlemistoimingu ulatuses. Asper Biogene OÜ ei säilita andmeid haigla korraldusel vaid seda

kohustab tegema seadus. Asper Biogene OÜ määrab selleks vajaliku infosüsteemi,

säilitustähtajad, juurdepääsud jms. Asper Biogene OÜ teeb otsused ise ja on seega vastutav

töötleja.

49. Kohtu hinnangul saab kohtuvälise menetlejaga nõustuda. Asper Biogene OÜ oli mõlemas

rollis. Samas puudutab vastutava või volitatud töötleja rolli määratlemine käesolevalt vaid ühe

kohustuse täitmist, s.o mõjuhinnangu koostamise kohustust IKÜM art 39 lg 1 p c mõttes,

ülejäänud kohustusi tuli täita olenemata rollist.

50. IKÜM art 39 lg 1 p-des a ja b sätestatud kohustused on H. T. kohtu hinnangul jätnud

täitmata, kuna selleks puudusid tal piisavad teadmised andmekaitse valdkonnast. Tema roll oli

andmekaitsespetsialistina seotud eelkõige infosüsteemi uuenduse ja sellega seotud

arendusplaaniga. Kaitsjad on toonud rida näiteid tegevustest, mida H. T.

andmekaitsespetsialisti ülesannetena täitis. Näiteks ründe järgselt kaasas ta välise eksperdi;

juurutas andmekaitsepõhimõtteid; analüüsis või delegeeris kliendi või andmesubjekti kaebuste

või päringute analüüsi ning haldas või delegeeris päringute registrit; tegi või delegeeris

päringutest iga-aastaste kokkuvõtete tegemist ning hinnangute andmist; ründe järgselt

konsulteeris koostööpartneritega, tegi ajurünnaku ning rakendas kiireid ning tõhusaid

turvameetmeteid; tellis auditi ründe kohta info saamiseks; hindas infoturbe standardite

juurutamise vajadust; sõlmis kaks andmekaitselepingut kahe haiglaga; administreeris ründe

järgselt haiglatele saadetavate puudutatud isikute nimekirja koostamist; korraldas haiglatega

suhtlust ründe järgselt ning teavitas vastutavaid töötlejaid nende kohustustest jne. Kahtlust ei

ole, et H. T. kõiki neid tegevusi tegi. Siiski on suurem osa neist seotud toimunud

küberründega, mille järel H. T. alles oma kohustusi täitma asus. Pädev AKS oleks pidanud

tõstatama varem küsimuse süsteemide turvalisusest, tehniliste lahenduste ajakohasusest ja

piisavusest. H. T. ise kinnitas, et üldiselt oli ta asjadega kursis, kuid tema fookus oli tema

töölõigul ja seega AKS-i ülesandeid täitiski ta selle raames. Ülejäänu, s.o laiem pilt ja

spetsiifilised teadmised kogu valdkonnast olid ikkagi puudu.

51. H. T. selgitas korduvalt, et AKS-i roll ettevõttes oli jaotatud, kuid tegelikult see nii ei

olnud. Samal perioodil, kui AKS-i ülesandeid täitis H. T., oli lisaks temale AKS-i rollis

paralleelselt alates 30. maist 2018 ka K. J.. Töölepingu järgi on K. J. analüüsiosakonna

juht/kvaliteedijuht. Tema vastutusalaks oli Asper Biogene OÜ-s teostatavate geenitestide kiire

ja kvaliteetse analüüsimise, interpreteerimise ja tulemuste väljaselgitamise tagamine.

Tootmise kõrge kvaliteedi tagamine ja ettevõtte kvaliteedijuhtimine. Kohtuistungil leidis

kinnitust, et K. J. tegelikult AKS-i ülesandeid ei täitnud. K. J. roll oli formaalne ja H. T.

tegutses tegelikkuses (faktiliselt) andmekaitseametnikuna ainuisikuliselt.

52. H. T. ja K. J. kohtuistungil antud ütlustest selgub, et AKS-i ülesandeid täideti siis, kui

muude kohustuste täitmisest aega üle jäi. K. J. ei olnud teadlik AKS-ile esitatavatest nõuetest.

Veelgi enam, viimase andmekaitsealase koolituse sai ta 2008. aastal ehk 10 aastat enne

IKÜM-i jõustumist. K. J. tunnistas, et tegelikkuses ta ei jõudnud pühenduda AKS-i tööle.

Veelgi enam, ka temal puudusid AKS-i ülesannete täitmiseks vastavad kutseoskused ja

teadmised. K. J. väitis, et Asper Biogene OÜ-s oli andmekaitsega kõik korras, kuid

andmelekke osas märkis, et usaldas IT-teenuse osutajat ega osanud kohtus öelda, miks

turvameetmed väidetavalt piisavad olid. Kohus on seisukohal, et AKS ei pea teadma detailselt

IT valdkonda, kuid ta peab aru saama, mida on vaja jälgida ja kontrollida, et oleks rakendatud

ja tagatud ohule vastav turvalisuse tase.

53. Kokkuvõttes on leidnud tõendamist, et etteheidetav tegu, st andmekaitseametniku

määramisel huvide konflikti vältimise kohustuse rikkumine ja pädeva andmekaitseametniku

määramise kohustuse rikkumine, on toime pandud ja selle on toime pannud Asper Biogene

OÜ juhatuse ainuliige H. T. H. T. pani teo toime mitte isiklikes, vaid Asper Biogene OÜ

huvides.

54. AKI otsuse kohaselt pani H. T. etteheitetud teo toime kavatsetult. Kohus sellega ei nõustu,

sest H. T. tegevuses eesmärgiks ei olnud süüteokoosseisule vastava asjaolu teostamine. KarS

§ 15 lg 3 sätestatu kohaselt on väärteona karistatav nii tahtlik kui ka ettevaatamatu tegu.

Kohtu hinnangul on tegu pandud toime KarS § 18 lg 3 kohaselt hooletusest, kui ta ei tea

süüteokoosseisule vastava asjaolu esinemist, kuid oleks seda tähelepaneliku ja kohusetundliku

suhtumise korral pidanud ette nägema. Ettevaatamatuse korral rikub isik tahtmatult

hoolsuskohustust, nt ei taju tekkinud olukorda, mis võib olla süüteokoosseisu tunnus, või ei

taju oma garandiseisundit.

55. Kohus nõustub kohtuvälise menetlejaga, et juhatuse liikme ametikoha spetsiifikast

lähtudes ei saa juhatuse liige olla suuteline täitma oma kohustusi ning olla samal ajal kõikide

toimingute suhtes erapooletu. Juhatuse liikme põhiülesandeks on ettevõtte juhtimine ja selle

huvide eest seismine, mis võib sageli tähendada strateegiliste ja operatiivsete otsuste tegemist,

mis on tugevalt seotud ettevõtte majandusliku heaolu ja konkurentsivõimega. Need otsused

võivad olla mõjutatud ettevõtte finantshuvide, äripartnerite, töötajate ning teiste

sidusrühmadega seotud teguritest, mis toob paratamatult kaasa olukorra, kus erapooletuse

säilitamine muutub keeruliseks või lausa võimatuks. Kuna juhatuse liige on tihedalt seotud

ettevõtte strateegia ja otsustusprotsessidega, võib tekkida huvide konflikt, kus isiklikud või

ettevõtte huvid võivad varjutada objektiivse ja erapooletu seisukoha võtmise, mis on aga

hädavajalik andmekaitseametniku ülesannete täitmisel.

56. Kokkuvõttes rikkus H. T. hooletusest tuleneva tegevusetusega Asper Biogene OÜ

õiguslikke kohustusi ja kuivõrd Asper Biogene OÜ oli õiguslikult kohustatud tegutsema,

vastutab ta tegevusetuse eest, sõltumata sellest, et H. T. endal ei olnud IKÜM-ist tulenevat

kohustust tegutseda. Teisisõnu, pädeva andmekaitseametniku määramise nõude täitmine lasus

juriidilisel isikul ning see kohustus jäeti KarS § 14 lg-s 1 nimetatud isiku poolt täitmata.

Selleks isikuks oli Asper Biogene OÜ juhatuse liige H. T.

57. Õigusvastasust ja süüd välistavaid asjaolusid kohus ei tuvastanud, mis omakorda tähendab

seda, et Asper Biogene OÜ on toime pannud IKS § 62 lg 2 sätestatud väärteo.

Karistus

58. AKI määras Asper Biogene OÜ-le IKS § 62 lg 2 alusel rahatrahvi 5000 eurot.

59. Vastavalt KarS § 56 lg 1 sätetele on karistamise aluseks isiku süü. Karistuse mõistmisel

kohtu poolt või määramisel kohtuvälise menetleja poolt arvestatakse kergendavaid ja

raskendavaid asjaolusid, võimalust mõjutada süüdlast edaspidi hoiduma süütegude

toimepanemisest ja õiguskorra kaitsmise huvisid.

60. Karistuse määramisel on kohtuväline menetleja arvestanud väärteokoosseisude

objektiivsete ja subjektiivsete tunnustega ning karistust kergendatavate asjaoludega ning

võtnud kaalumisel arvesse ka IKÜM art 83 lg-st 2 tulenevaid aspekte. Kohtuväline menetleja

märgib sedagi, et süüdlase isik on määrav karistuse eripreventiivse eesmärgi saavutamisel.

Seetõttu peab karistuse eripreventiivse eesmärgi saavutamiseks – prognoosimaks, milline

karistus on efektiivseim, mõjustamaks süüdlast edaspidi süütegude toimepanemisest hoiduma

– arvestama ka süüdlase isikut. Sama nõue tuleneb ka IKÜM art 83 lg-st 1, mille kohaselt on

järelevalveasutusel kohustus tagada, et trahvi määramine peab igal üksikul juhul olema tõhus,

proportsionaalne ja heidutav. IKÜM art 83 lg-d 4 ja 5 eristavad karistuse määramise

lähtepunktina rikkumisi nende raskusastme järgi. Asper Biogene OÜ on rikkunud vastutava

töötleja kohustusi (art 32, 37 ja 38), mida saab pidada IKÜM art 83 lg 4 järgi kergema laadiga

rikkumiseks. Kohtuväline menetleja ei arvestanud karistuse määramisel menetlusaluse isiku

vastulauses väljatoodud seisukohaga, mille kohaselt on Asper Biogene OÜ alates 29.

veebruarist 2024 täielikult kõrvaldanud IKÜM art 37 lg 5 ning art 38 lg 6 rikkumised ning

rakendanud mitmed IKÜM art 32 järgsed tehnilised ja korralduslikud meetmed (nt

kaheastmeline autentimine). Kohtu hinnangul tuleb seda tulenevalt IKÜM art 83 lg 2 p f ja h

siiski arvestada. Asper Biogene OÜ hilisem tegevus ei muuda toimepandud väärtegusid

olematuks, nagu märgib kohtuväline menetleja, kuid Asper Biogene OÜ teavitas koheselt

ründest järelevalveasutust ning tegi igakülgselt koostööd rikkumise võimaliku kahju mõju

leevendamiseks.

61. VTMS § 30 lg 1 sätestab, et menetleja võib väärteomenetluse lõpetada, kui menetlusaluse

isiku süü ei ole suur ja väärteomenetluse jätkamiseks puudub avalik menetlushuvi.

62. Kaasuse asjaolude pinnalt saab öelda, et Asper Biogene OÜ süü väärteo toimepanemisel

ei ole suur. Asper Biogene OÜ andmekaitseametnikuna olid ametis K. J. (formaalselt) ja H. T.

(faktiliselt). AKS-i ülesandeid täitis H. T., kes oli samal ajal ka Asper Biogene OÜ ainus

juhatuse liige ja sellega tekkis huvide konflikt kahe rolli vahel. H. T. oli juhatuse liikmena

kursis kõigi ettevõtte tööprotsessidega ja püüdis samas täita ka AKS-i ülesandeid. Küll aga oli

tema fookus vaid kitsal töölõigul, mis temale tegelemiseks oli määratud. Laiemalt ei olnud

aga tal piisavalt teadmisi AKS-i ülesannete täitmiseks. Kohus tuvastas, et tegu on pandud

toime ettevaatamatusest hooletuse vormis, ehk et erinevalt kohtuvälisest menetlejast kohus

tahtlust ei tuvastanud. Seda tuleb süü suuruse hindamisel arvesse võtta.

63. Avaliku menetlushuvi osas leiab kohus, et avalik menetlushuvi puudub. Asper Biogene

OÜ on oma eksimustest õppinud ja pädeva AKS-i määranud. Seoses viidatud Harju Maakohtu

13. mai 2025 otsuse väärteoasjas nr 4-24-2473 jõustumisega kirjutasid mitmed

meediaväljaandes oma juhtkirjades, et AKI peaks olema pigem nõustav, kui karistav organ.

Teisisõnu soovitakse andmekaitsealastes küsimustes pigem suuremat koostööd ja ennetust,

kui tagantjärele tarkusena targutamist ja eksimuste karistamist. Kohus teeb siit järelduse, et

avalikkus igal juhul eksinu karistamist ei eelda, st avalik menetlushuvi on pigem

tagasihoidlik. Ehk et Asper Biogene OÜ karistamist ei õigusta üldpreventiivsed kaalutlused.

Eripreventsiooni vaates on Asper Biogene OÜ läbi menetluse oma karistuse sisuliselt ära

kandnud, ta on oma eksimust mõistnud ja selle tagajärgedega tegeleb ta siiani.

64. Seega tühistab kohus Andmekaitse Inspektsiooni 9. jaanuari 2025 otsuse väärteoasjas nr

951024000001 ja lõpetab VTMS § 30 lg 1 p 1 alusel menetluse Asper Biogene OÜ

väärteoasjas IKS § 62 lg 2 järgi, kuna menetlusaluse isiku süü ei ole suur ja väärteomenetluse

jätkamiseks puudub avalik menetlushuvi.

Menetluskulud

65. Käesoleva väärteoasja kohtuvälises kui ka kohtumenetluses on kaebajale õigusabi

osutanud vandeadvokaat Triinu Hiob ning vandeadvokaadi abi Henri Oliver Palm. Kaitsjate

töö tunnihinnaks on 170 eurot. Väärteoasja kohtuvälisel menetlemisel ja kohtulikul

menetlemisel on kaebaja kandnud menetluskulusid kaitsjatele makstud tasu näol kokku 27953

eurot (ilma käibemaksuta). Sellele lisandub 121,77 eurot menetlusalusele isikule tekkinud

kulu seoses kaitsjate transpordiga istungitele. Kokku on menetluskulude suuruseks 28074,77

eurot.

66. Käesolevas asjas heideti Asper Biogene OÜ-le ette kahe väärteo toimepanemist.

67. Kohus lõpetas VTMS § 30 lg 1 p 1 alusel menetluse Asper Biogene OÜ väärteoasjas IKS

§ 62 lg 2 järgi (IKÜM art 37 lg 5 ja art 38 lg 6), kuna menetlusaluse isiku süü ei ole suur ja

väärteomenetluse jätkamiseks puudub avalik menetlushuvi. VTMS § 30 lg 13 sätestab, et § 30

lg 1 sätestatud alustel väärteomenetluse lõpetamisel hüvitab menetluskulud menetlusalune

isik.

68. Kohus lõpetas VTMS § 29 lg 1 p 1 alusel menetluse IKS § 62 lg 2 ja § 65 lg 2 järgi

(IKÜM art 32 lg 1), kuna teos puuduvad väärteo tunnused. VTMS § 23 sätestab, et

väärteomenetluse lõpetamise korral sama seaduse § 29 lg 1 punktides 1–3 ja 5–6 sätestatud

alustel hüvitatakse menetlusalusele isikule tema taotlusel valitud kaitsjale makstud mõistliku

suurusega tasu kohtu määruse alusel riigi- või kohaliku eelarve vahenditest.

69. Seega osaliselt rakendub käesoleval juhul VTMS § 23 ja osaliselt VTMS § 30 lg 13.

70. Kohus menetluskulude mõistlikkust ja põhjendatust hinnates leiab, et kõik kaitsjate

tehtud toimingud on vajalikud, arvestades asja keerukust ja spetsiifilisust. Samas on kohus

seisukohal, et nendeks kulunud aeg ei ole kõigi toimingute puhul põhjendatud. Lisaks ei nähtu

menetluskulude nimekirjast, et esindajatele oleks makstud tasu selge tööjaotuse alusel

erinevate ülesannete täitmise eest. Osa toiminguid on nimekirjas dubleeritud (näiteks

kohtuistungitel osalemine). Kahele kaitsjale makstud tasu menetluskulude hulka arvutamine

ja hüvitamine ei oleks mõistlik ning kooskõlas KrMS § 175 lg-ga 2 (vt Riigikohtu 25. mai

2017 lahend nr 3-1-1-22-17, p 60). VTMS § 38 lg 1 kohaselt saab kohus menetluskulude

arvestamisel lähtuda kriminaalmenetluse sätetest.

71. Kaitsjad on taotlenud topelt tasu nii 21. märtsi, 29. - 30. aprilli, 9. mai kui 29. mai 2025

kohtuistungitel osalemise eest. Muuhulgas kestis 29. mai 2025 kohtuistung ka ajaliselt vähem

kui kaitsjate menetluskulude nimekirjas märgitud 3 tundi. Seega leiab kohus, et põhjendatud

ei ole tasu istungitel osalemise eest 14 tunni ja 45 minuti eest, mis on 2508 eurot ja selles osas

tuleb tasu jätta välja mõistmata.

72. Kohtu hinnangul on menetluskulude nimekirjas veel toiminguid, milleks kulunud aega ei

saa põhjendatuks pidada. Nii on kohtukõne kirjutamisele ja ettevalmistamisele kulunud ajaks

märgitud kokku 18 tundi ja 42 minutit. Kohtueelses menetluses on kaitsjad korduvalt

analüüsinud väärteotoimikut ja koostanud vastulause, seejärel analüüsinud kohtuvälise

menetleja väärteootsus ja koostanud kaebuse. Otsuse analüüsiks ja kaebuse

ettevalmistamiseks kulunud ajaks on märgitud seejuures ligi 26 tundi. Argumendid, millised

esitati kohtukõnes on sisuliselt samasugused kui varasemalt esitatud vastulauses ja kaebuses,

mille tõttu tuleb ka siin toimingute eest küsitud tasu vähendada.

73. Tasu on kaitsjad küsinud ka selle eest, et nad on omavahel ja kolleegidega arutelusid

pidanud. Selline tasu on kohtu arvates põhjendatud. Samuti on tasu põhjendatud

menetlusaluse isikuga peetud kõnede, vestluste ja kirjavahetuste eest.

74. Kokkuvõttes leiab kohus, et menetlusalusele isikule tema taotlusel valitud kaitsjale

makstud mõistliku suurusega tasuks on 23 500 eurot. Kuna kahest etteheidetavast süüdistusest

ühe osas kohaldub VTMS § 30 lg 13, siis tuleb vaid pool kaitsjatasust menetlusalusele isikule

hüvitada. Kahe erineva väärteoetteheite mahtu hindab kohus sisuliselt võrdseks. Tulenevalt

eeltoodust tuleb Asper Biogene OÜ-le hüvitada riigieelarve vahenditest tema poolt kantud

õigusabikulude katteks kokku 11 750 eurot.

(allkirjastatud digitaalselt)