Vastuskiri

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

Sotsiaalministeerium; e-post: [email protected] Riigi Infosüsteemi Amet; e-post: [email protected] Teie 27.03. nr 5.2-2/621-2 (SoM)

Teie 30.03.2026 nr 1.1-6/26790 (RIA)

Meie 12.05.2026 nr 1-11/7-5

Koopia:

Andmekaitse Inspektsioon; e-post: [email protected] Terviseamet e-post: [email protected]

Kooliõdede andmeside turvalisus ning vajadus ühtse riikliku arhitektuuri järele

Täname vastuste eest.

Soovime siiski täpsustada, et meie pöördumise keskne küsimus ei puudutanud kooli või kohaliku omavalitsuse võrgu üldist turvalisust, vaid olukorda, kus koolitervishoiuteenuse osutaja töötleb eriliiki isikuandmeid koolipidaja hallatavas võrgus, ilma et tervishoiuteenuse osutaja ise omaks kontrolli selle võrgu tehnilise arhitektuuri, turvameetmete või halduse üle.

Kooliõde ei ole kooli sisevõrgu tavakasutaja ega koolipere liige, vaid koolitervishoiuteenuse osutaja töötaja, kes töötleb terviseandmeid kõrgendatud kaitsevajadusega keskkonnas. Vastutav töötleja ei ole seejuures kool ega kohalik omavalitsus, vaid tervishoiuteenuse osutaja.

Kuni 19.01.2025 kehtis sotsiaalministri määrus nr 56 „Nõuded ambulatoorse õendusabi iseseisvalt osutamiseks vajalikele ruumidele, sisseseadele, aparatuurile, töövahenditele ja ravimitele“, mille § 2 lõike 4 kohaselt pidi vastuvõturuumis olema ühendusvõimalus telefoni- ja arvutivõrgu süsteemiga. Praktikas tähendas see, et telefoni- ja internetiühenduse tagamine oli koolipidaja vastutusalas selgelt määratletud.

Alates 20.01.2025 jõustunud määruses „Iseseisva õendusabiteenuse osutamine ja õendusabi erialad“ telefoni- ja internetiühenduse vajadust ega vastutust enam ei käsitleta. Seega on varasem selge vastutusnorm kadunud, kuigi terviseandmete töötlemise turvanõuded on muutunud sisuliselt rangemaks.

Sotsiaalministeerium selgitas 27.03.2026 kirjas nr 5.2-2/621-2, et terviseandmete töötlemiseks peab kooliõe töökoht olema eraldatud võrgusegmendis (nt VLAN või

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

samaväärne lahendus), ühendus tervishoiuteenuse osutaja infosüsteemidega peab toimuma turvalise kaugühenduse kaudu ning kaitsmata või jagatud sidekanalite kasutamine ei ole lubatav. Samuti tuleb koolipidaja ja tervishoiuteenuse osutaja vahel kirjalikult kokku leppida taristu, ligipääsu, intsidentide käsitluse, logimise, toe ja vastutuse jaotus.

SA Tallinna Koolitervishoid puhul tähendaks see praktikas kuni 89 eraldi kokkuleppe sõlmimist Tallinna koolivõrgu kasutamiseks, mis näitab selgelt ühtse riikliku lahenduse puudumist.

Sellest tulenevalt palume Riigi Infosüsteemi Ametilt täpsustada järgmised küsimused E-ITS rakendamise vaates:

1. Kas kooli üldise võrgu kasutamine ilma loogilise eralduseta (nt VLAN või muu samaväärne lahendus) on terviseandmete töötlemiseks lubatav?

2. Kas eraldatud võrgusegment on minimaalne nõue või võib seda asendada muu lahendus ning millistel tingimustel?

3. Milline osapool vastutab kooliõe töökoha võrgu tsoneerimise ja tehnilise eraldamise (nt VLAN, eraldi võrgusegment või muu samaväärne lahendus) kavandamise, rakendamise ja järelevalve eest – kas koolipidaja, tervishoiuteenuse osutaja või tuleb see tagada keskse riikliku standardlahenduse kaudu?

4. Millistel juhtudel tuleb pidada VPN-lahenduse kasutamist kohustuslikuks?

5. Kas kooliõe kasutatav tööjaam, printer ja muu kontoritehnika peab olema eraldi hallatav ja kontrollitud seade või võib kasutada tavapärast kooli tööjaama ja kontoritehnikat?

6. Milline osapool kannab infoturbe rikkumise korral vastutust juhul, kui terviseandmeid töödeldakse koolipidaja hallatavas võrgus, kuid vastutav töötleja on tervishoiuteenuse osutaja?

Peame oluliseks, et sellele küsimusele kujuneks ühtne riiklik praktika, kuna ei ole mõeldav, et iga koolipidaja või koolitervishoiuteenuse osutaja töötab need nõuded iseseisvalt välja.

Rõhutame taas, et SA Tallinna Koolitervishoid standardse koolitervishoiuteenuse raames saavad teenust 89 Tallinna ja Harjumaa kooli, ent koolitervishoiuteenust osutatakse riigiüleselt.

Leiame, et terviseandmete töötlemise turvaline arhitektuur peab olema selgelt määratletud ja üheselt mõistetav kogu Eestis.

Lugupidamisega

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

(allkirjastatud digitaalselt)

Kädi Lepp

Juhatuse liige

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

Sotsiaalministeerium; e-post: [email protected] Riigi Infosüsteemi Amet; e-post: [email protected] Teie 27.03. nr 5.2-2/621-2 (SoM)

Teie 30.03.2026 nr 1.1-6/26790 (RIA)

Meie 12.05.2026 nr 1-11/7-5

Koopia:

Andmekaitse Inspektsioon; e-post: [email protected] Terviseamet e-post: [email protected]

Kooliõdede andmeside turvalisus ning vajadus ühtse riikliku arhitektuuri järele

Täname vastuste eest.

Soovime siiski täpsustada, et meie pöördumise keskne küsimus ei puudutanud kooli või kohaliku omavalitsuse võrgu üldist turvalisust, vaid olukorda, kus koolitervishoiuteenuse osutaja töötleb eriliiki isikuandmeid koolipidaja hallatavas võrgus, ilma et tervishoiuteenuse osutaja ise omaks kontrolli selle võrgu tehnilise arhitektuuri, turvameetmete või halduse üle.

Kooliõde ei ole kooli sisevõrgu tavakasutaja ega koolipere liige, vaid koolitervishoiuteenuse osutaja töötaja, kes töötleb terviseandmeid kõrgendatud kaitsevajadusega keskkonnas. Vastutav töötleja ei ole seejuures kool ega kohalik omavalitsus, vaid tervishoiuteenuse osutaja.

Kuni 19.01.2025 kehtis sotsiaalministri määrus nr 56 „Nõuded ambulatoorse õendusabi iseseisvalt osutamiseks vajalikele ruumidele, sisseseadele, aparatuurile, töövahenditele ja ravimitele“, mille § 2 lõike 4 kohaselt pidi vastuvõturuumis olema ühendusvõimalus telefoni- ja arvutivõrgu süsteemiga. Praktikas tähendas see, et telefoni- ja internetiühenduse tagamine oli koolipidaja vastutusalas selgelt määratletud.

Alates 20.01.2025 jõustunud määruses „Iseseisva õendusabiteenuse osutamine ja õendusabi erialad“ telefoni- ja internetiühenduse vajadust ega vastutust enam ei käsitleta. Seega on varasem selge vastutusnorm kadunud, kuigi terviseandmete töötlemise turvanõuded on muutunud sisuliselt rangemaks.

Sotsiaalministeerium selgitas 27.03.2026 kirjas nr 5.2-2/621-2, et terviseandmete töötlemiseks peab kooliõe töökoht olema eraldatud võrgusegmendis (nt VLAN või

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

samaväärne lahendus), ühendus tervishoiuteenuse osutaja infosüsteemidega peab toimuma turvalise kaugühenduse kaudu ning kaitsmata või jagatud sidekanalite kasutamine ei ole lubatav. Samuti tuleb koolipidaja ja tervishoiuteenuse osutaja vahel kirjalikult kokku leppida taristu, ligipääsu, intsidentide käsitluse, logimise, toe ja vastutuse jaotus.

SA Tallinna Koolitervishoid puhul tähendaks see praktikas kuni 89 eraldi kokkuleppe sõlmimist Tallinna koolivõrgu kasutamiseks, mis näitab selgelt ühtse riikliku lahenduse puudumist.

Sellest tulenevalt palume Riigi Infosüsteemi Ametilt täpsustada järgmised küsimused E-ITS rakendamise vaates:

1. Kas kooli üldise võrgu kasutamine ilma loogilise eralduseta (nt VLAN või muu samaväärne lahendus) on terviseandmete töötlemiseks lubatav?

2. Kas eraldatud võrgusegment on minimaalne nõue või võib seda asendada muu lahendus ning millistel tingimustel?

3. Milline osapool vastutab kooliõe töökoha võrgu tsoneerimise ja tehnilise eraldamise (nt VLAN, eraldi võrgusegment või muu samaväärne lahendus) kavandamise, rakendamise ja järelevalve eest – kas koolipidaja, tervishoiuteenuse osutaja või tuleb see tagada keskse riikliku standardlahenduse kaudu?

4. Millistel juhtudel tuleb pidada VPN-lahenduse kasutamist kohustuslikuks?

5. Kas kooliõe kasutatav tööjaam, printer ja muu kontoritehnika peab olema eraldi hallatav ja kontrollitud seade või võib kasutada tavapärast kooli tööjaama ja kontoritehnikat?

6. Milline osapool kannab infoturbe rikkumise korral vastutust juhul, kui terviseandmeid töödeldakse koolipidaja hallatavas võrgus, kuid vastutav töötleja on tervishoiuteenuse osutaja?

Peame oluliseks, et sellele küsimusele kujuneks ühtne riiklik praktika, kuna ei ole mõeldav, et iga koolipidaja või koolitervishoiuteenuse osutaja töötab need nõuded iseseisvalt välja.

Rõhutame taas, et SA Tallinna Koolitervishoid standardse koolitervishoiuteenuse raames saavad teenust 89 Tallinna ja Harjumaa kooli, ent koolitervishoiuteenust osutatakse riigiüleselt.

Leiame, et terviseandmete töötlemise turvaline arhitektuur peab olema selgelt määratletud ja üheselt mõistetav kogu Eestis.

Lugupidamisega

SA Tallinna Koolitervishoid Telefon 641 4222 Tammsaare tee 92, Tallinn www.kooliode.ee Registrikood 90008488

(allkirjastatud digitaalselt)

Kädi Lepp

Juhatuse liige