Subject: RE: Küsimus kliendi tuvastamise ja isikuandmete kaitse kohta
From: "rahapesu - RAB" <[email-masked]>
To: "'Andres Ojaver // Hedman'" <[email-masked]>
Date: Mon, 29 Dec 2025 14:17:02 +0200

Lugupeetud Andres Ojaver

Esitasite Rahapesu Andmebüroole (edaspidi RAB) 10.12.2025 selgitustaotluse
seoses virtuaalvääringu vahendaja platvormil konto registreerimise käigus
edastatud isikuandmete töötlemise ja kustutamisega olukorras, kus
tehinguid tehtud ei ole.

Rahapesu ja terrorismi rahastamise tõkestamise seaduse (edaspidi RahaPTS)
§ 19 lg 1 p 1 kohaselt kohustatud isik kohaldab hoolsusmeetmeid ärisuhte
loomisel. Seega võib isikuandmete kogumine ja töötlemine toimuda ka
ärisuhte loomise etapis, sõltumata sellest, kas ärisuhe hiljem realiseerub
või mitte.

Selgitame, et ärisuhte mõiste on sätestatud RahaPTS § 3 p-s 4, mille
kohaselt on ärisuhe on suhe, mis tekib kestvuslepingu sõlmimisel majandus-
või kutsetegevuses kohustatud isiku poolt teenuse osutamiseks või kauba
müümiseks või muul viisil turustamiseks või mis ei põhine kestvuslepingul,
kuid mille puhul kontakti loomise ajal võiks mõistlikult oodata suhte
teatavat kestvust ja mille jooksul teeb kohustatud isik teenust või
ametiteenust osutades, ametitoiminguid tehes või kaupa pakkudes korduvalt
eraldiseisvaid tehinguid majandus-, kutse- või ametitegevuse käigus. Juhul
kui nimetatud tingimused ei ole täidetud ja tehinguid ei ole tehtud, ei
tulene RahaPTS § 48 alusel üldjuhul isikuandmete säilitamise kohustust
samas ulatuses nagu ärisuhte olemasolul.

Sellisel juhul tuleb isikuandmete edasisel töötlemisel lähtuda Euroopa
Liidu isikuandmete kaitse üldmäärusest (edaspidi GDPR). GDPR artikli 17 lg
1 punkti a kohaselt on andmekaitse subjektil õigus nõuda isikuandmete
kustutamist, kui isikuandmeid ei ole enam vaja eesmärgil, millega seoses
need on kogutud või muul viisil töödeldud. Samas ei kohaldu nimetatud
õigus GDPR artikli 17 lg 3 punktides b ja e sätestatud ulatuses, milles
isikuandmete töötlemine on vajalik juriidilise isiku kohustuse täitmiseks
või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks.

Eeltoodust tulenevalt sõltub isikuandmete edasine töötlemine ja
säilitamise ulatus sellest, kui kaugele ärisuhte loomise protsess jõudis
ning kas ja millisel määral olid täidetud RahaPTS § 3 p 4 kohased ärisuhte
tunnused.

Käesolev vastus on koostatud konkreetselt Teie poolt selgitustaotluses
esitatud andmete ning selgituste põhjal. RAB-i seisukoht võib muutuda
vastavalt tegevuse praktikas avaldumise ja esitatud faktiliste asjaolude
esinemise korral või muul põhjusel, mida RAB ei saanud selgitustaotlusele
vastamisel arvesse võtta.

Lugupidamisega

Rahapesu Andmebüroo | Estonian Financial Intelligence Unit
Tel +372 696 0500 | Pronksi 12, Tallinn |  <https://www.fiu.ee/>
www.fiu.ee

From: Andres Ojaver // Hedman <[email-masked]>
Sent: Wednesday, December 10, 2025 2:31 PM
To: rahapesu - RAB <[email-masked]>
Subject: Küsimus kliendi tuvastamise ja isikuandmete kaitse kohta

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.

Tere,

Nõustamise käigus tekkis sisuline küsimus seoses virtuaalvääringu
ärisuhtega.

Nimelt on tekkinud olukord, kus isik registreeris konto virtuaalvääringu
vahendaja platvormil, kuid ühtegi tehingut ei ole teinud. Taustakontrolli
tegemiseks edastas isik juba ka dokumendikoopiad ja veel isikuandmeid,
kuid jättis siis toimingud pooleli ja soovib nüüd GDPR alusel isikuandmete
kustutamist. Isiku väide on, et AML säilitusnõuded talle ei kehti, sest
ärisuhet ei ole tekkinud ja samuti ei ole ta soovinud teha tehinguid.

Seega isik ei ole saanud teenuseosutajalt (kohustatud isikult) keelduvat
otsust.

Ehk oskate nõustada, kas GDPR kohane õigus saab/tuleb jätta antud juhul
kohaldamata, sest RahaPTS andmete kogumise ja säilitamise nõudeid tuleb
rakendada juba olukorras, kus isik registreerib platvormi konto, kuid
tehinguid ei tee ja mingeid varasid kontoga seotud ei ole? Ilmselt on siis
põhiküsimuseks, millal tekib RahaPTS mõttes ärisuhe.

Ette tänades,

Andres Ojaver

Specialist Data Privacy Counsel | Andmekaitse nõunik

 <mailto:[email-masked]> [email-masked]

 <https://www.linkedin.com/in/andres-ojaver/> Linkedin

 <https://hedman.legal/> hedman.legal | +372 6 645 250 |

Rotermanni 8, 10111, Tallinn, Estonia

This e-mail and its contents are confidential. If you are not an intended
recipient of this email, please delete it and notify the sender.

Ranked in
<https://hedman.legal/hedman-celebrated-by-chambers-europe-legal500-iflr10
00-for-legal-excellence-in-2025/> Chambers Europe and
<https://hedman.legal/hedman-ranked-in-band-2-in-the-chambers-fintech-2025
-edition/> FinTech,
<https://hedman.legal/hedman-celebrated-by-chambers-europe-legal500-iflr10
00-for-legal-excellence-in-2025/> Legal 500 &
<https://hedman.legal/hedman-celebrated-by-chambers-europe-legal500-iflr10
00-for-legal-excellence-in-2025/> IFLR1000 2025 guides