Leping

Andmevahetuse ja isikuandmete töötlemise leping SKA-RaM-MTA nr 5.2-9/5941-1 Sotsiaalkindlustusamet (edaspidi SKA, andmeandja), mida esindab põhimääruse alusel peadirektor Maret Maripuu, Rahandusministeerium (edaspidi RaM, vastutav töötleja), mida esindab põhimääruse alusel Merike Saks, ja Maksu- ja Tolliamet (edaspidi MTA, volitatud töötleja), mida esindab põhimääruse alusel Raigo Uukkivi RaM ja MTA edaspidi koos nimetatud ka andmesaajad ning SKA, RaM ja MTA edaspidi eraldi nimetatud pool ja koos pooled võttes arvesse: A. Rahandusministeeriumi 07.04.2026 taotlust nr 5-3/1553-1 andmete pärimiseks teadusuuringu

raames; B. Andmekaitse Inspektsiooni otsust nr 2.2.-1/26/17-4 andmete töötlemiseks teadusuuringus,

millega kooskõlastati andmesubjektide nõusolekuta isikuandmete töötlemine teadusuuringus "Mootorsõidukimaksu leevendusmeetmete sihtgrupi määratlemine puude ja töövõime andmete alusel " 26.03.2026 täiendatud taotluses esitatud tingimustel ja mahus

sõlmisid alljärgneva andmevahetuse ja isikuandmete töötlemise lepingu (edaspidi leping) järgmistel tingimustel: 1. Mõisted 1.1. Andmed – käesoleva lepingu alusel edastatavad isikuandmed isikute puude tuvastamise

otsuste, puude liigi, puude raskusastme ning otsuse kehtivuse kohta. 1.2. Vastutav töötleja – RaM, kes määrab kindlaks teadusuuringu eesmärgid ja peamised

töötlemise vahendid IKÜM tähenduses. 1.3. Volitatud töötleja – MTA, kes töötleb andmeid vastutava töötleja nimel ja dokumenteeritud

juhiste alusel IKÜM artikli 28 tähenduses. 1.4. Volitatud isik – andmesaaja töötaja või muu füüsiline isik, kellele on antud õigus töödelda

lepingu alusel saadud andmeid ulatuses, mis on vajalik tema töö- või teenistusülesannete täitmiseks ning kellele on antud vastavad juurdepääsuõigused.

1.5. Turvaintsident – situatsioon, kus infosüsteemi ja/või infosüsteemis töödeldava teabe konfidentsiaalsus, terviklikkus või käideldavus satub ohtu või seda rikutakse, mh kui süsteemi on üritatud volitamata kasutada, nii edukalt kui edutult.

1.6. Isikuandmetega seotud rikkumine – turvanõuete rikkumine, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävimise, kaotsimineku, muutmise, loata avalikustamise või juurdepääsu neile.

1.7. Pseudonüümimine – isikuandmete töötlemine sellisel viisil, et andmeid ei saa enam ilma täiendava teabeta seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ning selle suhtes rakendatakse tehnilisi ja korralduslikke meetmeid, mis tagavad, et isikuandmeid ei omistata tuvastatud või tuvastatavale füüsilisele isikule.

1.8. Pseudonüümimisvõti – eraldi hoitav tehniline teave, mis võimaldab pseudonüümitud andmete kokkuviimist teiste andmekogumitega MTA turvatud analüüsikeskkonnas üksnes käesolevas lepingus sätestatud eesmärgil ja tingimustel.

2. Lepingu ese 2.1. Lepingu ese on SKA poolt RaMile andmete edastamine teadusuuringu

"Mootorsõidukimaksu leevendusmeetmete sihtgrupi määratlemine puude ja töövõime andmete alusel" läbiviimiseks ning andmete tehniline edastamine MTAle SKAIS2 infosüsteemist, kes töötleb andmeid RaMi nimel.

2.2. Edastatakse andmed 19-aastaste ja vanemate isikute kohta, kellel on 2025. aastal kehtiv või vähemalt ühe päeva kehtinud puude tuvastamise otsus. Edastatav andmekoosseis: - pseudonüümitud isikukood; -otsuse kuupäev (viimase otsuse kohta); -puude kehtivuse algus- ja lõpukuupäev;

-puude liik (funktsiooni kõrvalekalle); -puude raskusaste. Andmete periood on 01.01.2025-31.12.2025.

2.3. Andmeandja edastab andmed krüpteeritult turvalise failivahetuslahenduse Nextcloud (https://pilv.emta.ee) kaudu. Ligipääsu taotlemiseks esitatakse MTA kontaktisikule lepingu punktis 7 nimetatud e-posti aadressile andmete edastaja nimi ja isikukood. Andmed peavad olema eelnevalt pseudonüümitud. Pseudonüümimise võtme edastab andmeandja eraldi krüpteeritud failina, mis võimaldab andmete tehnilist kokku viimist MTA turvatud analüüsikeskkonnas ja RaMi dokumenteeritud juhiste alusel. Fail krüpteeritakse lepingu punktis 7 nimetatud MTA kontaktisiku nimele.

2.4. Isikuandmete töötlemise õiguslik alus tuleneb Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus, edaspidi IKÜM) artikli 6 lõike 1 punktist e, artikli 9 lõike 2 punktist j, asjakohastest Eesti õigusaktidest ning Andmekaitse Inspektsiooni otsusest nr 2.2.-1/26/17-4 teadusuuringu "Mootorsõidukimaksu leevendusmeetmete sihtgrupi määratlemine puude ja töövõime andmete alusel" läbiviimiseks.

2.5. RaM kasutab andmeid üksnes käesolevas lepingus ja Andmekaitse Inspektsiooni otsuses kirjeldatud teadusuuringu eesmärgil. MTA töötleb andmeid üksnes RaMi nimel ning üksnes ulatuses, mis on vajalik RAMi juhiste täitmiseks.

3. Andmeandja kohustub: 3.1. tagama lepingus nimetatud andmete edastamise lepingus sätestatud tingimustel ja korras

seitsme tööpäeva jooksul pärast andmevahetuslepingu sõlmimist või poolte vahel kokkulepitud muul tähtajal;

3.2. teavitama andmesaajaid viivitamata turvaintsidentidest ning infosüsteemi riketest, mille tagajärjel võib mõjutatud olla andmete edastus, teatades andmevahetuse taastamise eeldatava tähtaja;

3.3. edastama üksnes käesolevas lepingus sätestatud eesmärgi saavutamiseks vajalikud andmed ning vältima liigsete andmete avaldamist;

3.4. andma põhjendatud juhtudel andmesaajatele selgitusi edastatud andmete koosseisu, tähenduse ja kvaliteedi kohta.

4. RaM kohustub: 4.1. töötlema andmeid üksnes käesolevas lepingus kirjeldatud teadusuuringu eesmärgil; 4.2. määrama kindlaks isikuandmete töötlemise eesmärgid ning andma MTAle andmete

töötlemiseks dokumenteeritud juhised; 4.3. tagama andmesubjekti õiguste teostamisega seotud taotluste sisulise lahendamise

ulatuses, milles RaM on vastutav töötleja; 4.4. tegema SKA ja MTAga koostööd juhul, kui andmesubjekt esitab taotluse, mis puudutab

käesoleva lepingu alusel töödeldavaid andmeid; 4.5. tagama, et teadusuuringu tulemusi kasutatakse ja avaldatakse viisil, mis ei võimalda

andmesubjektide tuvastamist, välja arvatud juhul, kui selline tuvastamine on õigusaktidega lubatud ja vältimatult vajalik;

4.6. hindama vajaduse korral isikuandmete töötlemise mõju ning täitma vastutavale töötlejale õigusaktidest tulenevad kohustused seoses andmekaitsealase mõjuhinnangu, eelneva konsulteerimise ja rikkumisteavitustega;

4.7. teavitama andmeandjat teadusuuringu lõppemisest. 5. MTA kohustub: 5.1. töötlema lepingu alusel saadud andmeid RaMi juhiste alusel ja üksnes teadusuuringus

määratud eesmärkidel ning kooskõlas andmekaitsealaste õigusaktidega, tagades isikuandmete konfidentsiaalsuse ja andmesubjekti õiguste kaitse;

5.2. tagama, et andmetele saavad juurdepääsu ja andmeid töötlevad ainult selleks volitatud isikud vastavalt põhjendatud teadmisvajadusele;

5.3. tagama, et kõik volitatud isikud oleksid teadlikud konfidentsiaalsuse kohustusest ja isikuandmete töötlemise nõuetest ning nõudma nimetatud isikutelt nende kohustuste tingimusteta ja tähtajatut täitmist;

5.4. tagama, et tema volitatud isikud ei töötle andmeid suuremas ulatuses, kui on vajalik lepingus ja teadusuuringu eesmärgi täitmiseks;

5.5. rakendama andmete töötlemise turvalisuse tagamiseks asjakohaseid ning vajalikke tehnilisi ja korralduslikke meetmeid, rakendades vajadusel muuhulgas IKÜM art 32 toodud meetmeid, sh tagama andmete töötlemise viisil, mis kindlustab nende turvalisuse, kaitse

loata või ebaseadusliku töötlemise eest ning juhusliku või ebaseadusliku kadumise, hävimise, muutmise, loata avalikustamise ja juurdepääsu või kahjustumise eest;

5.6. mitte edastama ega avaldama andmeid kolmandatele isikutele ega andma neile andmetele ligipääsu või kaasama neid andmete töötlemisse;

5.7. teavitama viivitamata RaMi ja andmeandjat andmete kolmandatele isikutele või avalikkusele teatavaks saamisest, turvaintsidendist või muudest asjaoludest, mis võivad kaasa tuua andmete töötlemise selleks õigust mitteomavate isikute poolt;

5.8. teavitama viivitamata RaMi ja andmeandjat, kui saadud andmed ei ole õiged või täielikud; 5.9. pidama arvestust selle üle, millistele volitatud isikutele on andmetele juurdepääs antud, ning

säilitama töötlemistoimingute logid ulatuses, mis võimaldab kontrollida andmete õiguspärast kasutamist;

5.10. tegema andmeandjaga mõistlikus ulatuses koostööd andmesubjekti õiguste teostamise taotluste lahendamisel, kui selline taotlus puudutab käesoleva lepingu alusel edastatud andmeid;

5.11. säilitama lepingu alusel saadud andmeid üksnes kuni teadusuuringu eesmärgi täitmiseni, kuid mitte kauem kui teadusuuringu lõppemiseni;

5.12. pärast säilitamisvajaduse lõppemist kustutama või anonüümima kõik lepingu alusel töödeldud isikuandmed ja pseudonüümimise võtme ning teavitama andmeandjat ja RaMi andmete kustutamisest või anonüümimisest kirjalikult.

6. Vastutus 6.1. Andmeandjal on igal ajal õigus teha andmesaajatele järelepärimisi lepingu alusel saadud

andmete töötlemise õiguspärasuse, andmekaitsealastele õigusaktidele vastavuse ja lepingu tingimustest kinnipidamise kontrolliks, samuti asjakohaste tehniliste ja korralduslike meetmete rakendatuse kontrolliks. Järelepärimisele vastatakse viie tööpäeva jooksul järelepärimise saamisest.

6.2. RaMil on õigus teha MTAle järelepärimisi ja kontrolle ulatuses, mis on vajalik MTA kui volitatud töötleja kohustuste täitmise kontrollimiseks.

6.3. Andmete töötlemise nõuete rikkumise, lepingu mittetäitmise või mittenõuetekohase täitmise korral on pool kohustatud kolmandatele isikutele või teisele poolele hüvitama oma tegevuse või tegevusetusega tekitatud kahju õigusaktides sätestatud korras.

6.4. Pool vastutab enda volitatud isikute tegevuse õiguspärasuse eest ja mitteõiguspärasest tegevusest põhjustatud kahjude eest.

6.5. Pool ei vastuta temast mitte sõltuvatest asjaoludest põhjustatud andmekogu mittetoimimise või mittekohase toimimisega tekitatud kahjude või muude tagajärgede eest.

6.6. Juhul kui on tuvastatud andmeandja andmekogu andmete väärkasutus või muu turvaintsident, peatab MTA andmetele juurdepääsu viivitamata.

6.7. MTA teavitab andmeandjat ja RaMi isikuandmetega seotud rikkumisest viivitamata, võimaluse korral hiljemalt 24 tunni jooksul rikkumise avastamisest. Teade peab sisaldama vähemalt rikkumise laadi kirjeldust, mõjutatud andmeliikide ja võimaluse korral andmesubjektide hinnangulist arvu, rikkumise võimalikke tagajärgi, rakendatud või kavandatavaid leevendusmeetmeid.

6.8. Pooled teevad koostööd, et hinnata rikkumise mõju, täita vajaduse korral järelevalveasutuse teavitamise kohustust ning rakendada meetmeid rikkumise tagajärgede kõrvaldamiseks või leevendamiseks.

7. Poolte kontaktisikud ja teadete edastamine 7.1. SKA kontaktisik: Mariliis Raidma ([email protected]).

7.2. MTA kontaktisik: Imbi Kaunismaa (isikukood 49003265246, [email protected]). 7.3. RaM kontaktisik: Anna-Liisa Juhtver ([email protected]) või tema asendaja. 7.4. Kontaktisiku või kontaktandmete muutumisest teavitab pool teisi pooli e-posti teel

viivitamata. 7.5. Lepingust tulenevad teated, mis toovad kaasa õiguslikke tagajärgi, esitatakse teisele

poolele digitaalselt allkirjastatult. Informatsioonilist teadet võib edastada e-postiga või suuliselt lepingu punktis 7. nimetatud poole kontaktisikule, kui lepingus ei ole sätestatud teabe kohustuslikku edastamise viisi.

7.6. E-postiga saadetud teade loetakse kättesaaduks saatmisele järgneval tööpäeval.

8. Konfidentsiaalsuskohustus 8.1. Pooled kohustuvad hoidma konfidentsiaalsena lepingu alusel saadud teabe ja andmeid.

See tähendab muuhulgas:

8.1.1. hoidma saladuses ning mitte edastama või avalikustama kolmandatele isikutele, kellel puudub selleks vajalik õiguslik alus, teavet, mis on pooltele teatavaks saanud lepingu kohustusi täites või juhuslikult, eelkõige neile teatavaks saanud isikuandmeid, sh eriliigilisi isikuandmeid (s.o terviseandmeid);

8.1.2. tagama, et lepingu alusel saadud andmeid kasutatakse üksnes lepingus kokkulepitud tingimustel;

8.1.3. rakendama andmekaitsealastes õigusaktides sätestatud meetmeid andmete kaitse ja andmesubjektide õiguste tagamiseks.

8.2. Konfidentsiaalsuskohustuse rikkumiseks ei loeta lepingut puudutava teabe avaldamist õigusaktides ettenähtud juhtudel.

8.3. Konfidentsiaalsuskohustus on tähtajatu ja jääb kehtima ka pärast lepingu muutmist või lõppemist.

9. Lepingu kehtivus ja muutmine 9.1. Leping jõustub selle allakirjutamisest. 9.2. Lepingu muutmise ja täiendamise kokkulepped sõlmitakse kirjalikult. 9.3. Lepingu lõppemisel ei lõpe automaatselt poolte kohustus tagada juba saadud andmete

õiguspärane töötlemine, konfidentsiaalsus, turvalisus ning andmete kustutamine või anonüümimine kooskõlas käesoleva lepingu ja õigusaktidega.

10. Lõppsätted 10.1. Lepingu allkirjastamisega kinnitavad pooled, et neil on olemas teadmised, usaldusväärus

ja vahendid, millega nad suudavad rakendada tehnilisi ja korralduslikke meetmeid, mis vastavad IKÜM nõuetele, sh isikuandmete töötlemise turvalisusele kehtestatud nõuetele.

10.2. Lepingust tulenevad erimeelsused lahendatakse läbirääkimiste teel. 10.3. Pooled ei tasu andmetele juurdepääsu eest, pooled kannavad iseseisvalt kulud vajaliku

tehnilise lahenduse loomiseks, hooldamiseks ja andmekaitse nõuete, sh organisatsiooniliste, füüsiliste ja infotehniliste turvameetmete järgimiseks.

10.4. Leping allkirjastatakse digitaalselt. 11. Poolte rekvisiidid Sotsiaalkindlustusamet Maksu- ja Tolliamet Registrikood 70001975 Registrikood 70000349 Aadress Paldiski mnt 80, 15092 Tallinn Aadress Lõõtsa 8a, 15176 Tallinn Tel 620 8318 Tel +372 880 0812 E-post [email protected] E-post [email protected] (allkirjastatud digitaalselt) (allkirjastatud digitaalselt) Maret Maripuu Raigo Uukkivi peadirektor peadirektor Rahandusministeerium Registrikood 70000272 Aadress Suur-Ameerika 1, Tallinn 10122 Tel +372 611 3558 E-post [email protected] (allkirjastatud digitaalselt) Merike Saks kantsler