ANDMETÖÖTLUSLEPING
1. ÜLDSÄTTED
1.1 Käesolev andmetöötlusleping (edaspidi ATL) on sõlmitud Registrite ja Infosüsteemide Keskus (edaspidi karistusregistri volitatud töötleja) ja Riigi Infosüsteemi Ameti (edaspidi volitatud töötleja) vahel andmesubjektile tema isikuandmetele juurdepääsu võimaldamiseks Andmejälgija teenuse vahendusel (edaspidi teenus) teabevärav Eesti.ee portaali (edaspidi Riigiportaal) kaudu.
1.2 Karistusregistri volitatud töötleja on esitanud volitatud töötlejale taotluse teenuse avamiseks Riigiportaalis ning on nõustunud taotluse esitamisel teenuse osutamise tingimustega.
1.3 Volitatud töötleja töötleb seoses teenuse osutamisega isikuandmeid karistusregistri vastutava töötleja Justiits- ja Digiministeeriumi nimel.
1.4 Isikuandmete töötlemisel kohustuvad pooled juhinduma kehtivatest õigusaktidest, sealhulgas avaliku teabe seadusest ning Euroopa Parlamendi ja nõukogu 27. aprill 2016. a määrusest (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) ja isikuandmete kaitse seadusest.
2. POOLTE KOHUSTUSED
2.1 Karistusregistri volitatud töötleja kohustused
2.1.1 Karistusregistri volitatud töötleja on kohustatud tagama, et teenuse kasutamisega seotud isikuandmete töötlemine on vastavuses õigusaktidega.
2.1.2 Andmesubjekti päringule tema isikuandmete töötlemise kohta vastab Riigiportaali päringu teinud asutus või ettevõte.
2.2 Volitatud töötleja kohustused
2.2.1 Volitatud töötleja on kohustatud rakendama teenuse osutamisel isikuandmete turvalisuse tagamiseks asjakohaseid tehnilisi ja korralduslikke meetmeid, hõlmates muu hulgas vastavalt vajadusele järgmist: isikuandmete pseudonümiseerimine ja krüpteerimine; võime tagada isikuandmeid töötlevate süsteemide ja teenuste kasutamisel kogutud isikuandmete kestev konfidentsiaalsus, terviklus, kättesaadavus ja vastupidavus; võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral; tehniliste ja korralduslike meetmete tõhususe korrapärase testimise ja hindamise kord isikuandmete töötlemise turvalisuse tagamiseks vastavalt Riigiportaali teenustaseme tingimustes toodule.
2.2.2 Volitatud töötleja teeb kõik endast sõltuva, et kaitsta töödeldavaid isikuandmeid loata või ebaseadusliku töötlemise ning juhusliku kaotamise, hävitamise või avalikustamise eest.
2.2.3 Kui volitatud töötleja kahtleb karistusregistri volitatud töötleja poolt määratud tehniliste ja korralduslike meetmete asjakohasuses ja piisavuses, teatab ta sellest viivitamatult karistusregistri volitatud töötlejale.
2.2.4 Volitatud töötleja tagab tehniliste ja korralduslike meetmete rakendamise valmisoleku enne isikuandmete töötlemisega alustamist.
2.2.5 Volitatud töötlejal ei ole õigust töödelda teenuse osutamisel andmesubjekti isikuandmeid oma või mis tahes muudel eesmärkidel kui need, mis on sätestatud käesolevas ATL-is.
2.2.6 Teenuse osutamisel aset leidnud isikuandmete töötlemise rikkumise korral teavitab volitatud töötleja sellest viivitamatult karistusregistri vastutavat töötlejat e-posti aadressil
[email protected] ning karistusregistri volitatud töötlejat
[email protected]. Teates annab volitatud töötleja vastutavale töötlejale teavet asjaoludest, mis on põhjustanud isikuandmetega seotud rikkumise, ning ükskõik mis muust karistusregistri isikuandmete vastutava töötleja või karistusregistri volitatud töötleja poolt mõistlikult nõutud seonduvast teabest, mis isikuandmete volitatud töötlejale kättesaadav on.
2.2.7 Volitatud töötleja dokumenteerib kõik isikuandmete töötlemise rikkumist puudutavad faktid kooskõlas kohaldatava õigusega.
2.3 Pool esitab teisele poolele ja/või karistusregistri vastutavale töötlejale käesoleva lepingu alusel toimuva isikuandmete töötlemise kohta kõik vajalikud andmed ja dokumendid, kui see on vajalik poolele kohaldatava õiguse kohaselt pandud ülesannete täitmiseks. Pool esitab teisele poolele ja/või karistusregistri vastutavale töötajale kogu teabe ja dokumentatsiooni ning osutab vajalikku abi, et poolel ja või karistusregistri vastutaval töötlejal oleks võimalik pidada kinni kohaldatava õiguse nõuetest ning tõendada vastavust sellistele nõuetele.
2.4 Kui andmesubjekt taotleb poolelt või karistusregistri vastutavalt töötlejalt teavet tema kohta kogutud isikuandmete kohta, teevad pooled, kaasates vajadusel karistusregistri vastutava töötleja, andmesubjekti vastava taotluse lahendamisel koostööd ja abistavad teineteist koondamaks teavet asjakohaste tehniliste ja korralduslike meetmete kohta, mida pool isikuandmete töötlemise rakendab. Volitatud töötleja peab tagama, et tema süsteemid ja protsessid oleksid üles ehitatud nii, et punktis 2.1.2 märgitud andmetöötlejal oleks alati võimalik kõigi andmesubjektide taotlustele kiiresti vastata ning asjaomaste vastuste suhtes kohaldatava õigusega sätestatud tähtaegadest kinni pidada.
2.5 Kui andmekaitse- või muu järelevalveasutus algatab karistusregistri vastutava töötleja ja/või karistusregistri volitatud töötleja poolt läbi viidud isikuandmete töötlemise toimingute läbivaatamise või kui andmesubjekt esitab karistusregistri vastutava töötleja ja/või karistusregistri volitatud töötleja kohta kaebuse ja see kaebus on seotud volitatud töötleja poolt läbi viidud isikuandmete töötlemisega, abistab volitatud töötleja karistusregistri vastutavat töötlejat ja/või volitatud töötlejat dokumentide ja teabe avaldamisel asjaomastele pädevatele asutustele.
3. ALAMTÖÖTLEMINE
3.1 Volitatud töötlejal ei ole ilma karistusregistri vastutava töötleja eelneva kirjalikku taasesitamist võimaldava nõusolekuta õigust edastada kolmandatele pooltele isikuandmeid ega võimaldada isikuandmete juurdepääsu, näiteks kaugjuurdepääsu. Kui sellekohane nõusolek antakse, nähakse volitatud töötleja poolt isikuandmete edastamisele ette samad andmekaitsekohustused, mis on sätestatud käesolevas ATL-is, samuti kohaldatakse ATL-i sellisele alamtöötlejale enne isikuandmete edastamist.
3.2 Volitatud töötleja pöördub kirjaliku nõusoleku saamiseks karistusregistri volitatud töötleja või karistusregistri vastutava töötleja poole.
4. ISIKUANDMETE EDASTAMINE KOLMANDATELE RIIKIDELE
4.1 Volitatud töötlejal on õigus töödelda teenuse osutamisega seotud isikuandmeid üksnes Eesti Vabariigi territooriumil, kui pooled ei ole karistusregistri vastutava töötleja nõusolekul ei ole kokku leppinud teisiti.
4.2 Volitatud töötlejal ei ole karistusregistri vastutava töötleja eelneva kirjalikku taasesitamist võimaldava nõusolekuta õigust edastada isikuandmeid ega teha neid muul viisil kättesaadavaks väljaspool Euroopa Liitu (EL) või Euroopa Majanduspiirkonda (EMP). Juhul kui karistusregistri vastutav töötleja annab vormikohase nõusoleku, tuleb isikuandmeid töödelda üksnes ulatuses, milles selline edastamine on lubatud, ja vastavalt kohaldavas õiguses sätestatud nõuetele.
4.3 Volitatud töötleja pöördub kirjaliku nõusoleku saamiseks karistusregistri volitatud töötleja või karistusregistri vastutava töötleja poole. ´
5. TASU
5.1 Volitatud töötlejal ei ole õigust saada isikuandmete töötlemise eest tasu.
6. RIKKUMINE JA VASTUTUS
6.1 Pool vastutab teisele poolele käesoleva ATL-i või kohaldatava õiguse või pädeva andmekaitseasutuse otsusega vastuolus oleva tegevusega tekitatud kahju eest oma vastutusala piires.
6.2 Kui poole vastu suunatud nõue või trahv on põhjustatud käesoleva ATL-i või kohaldatava õiguse rikkumisest, teavitab rikkunud poolt teist poolt sellest viivitamatult ning rakendab kõikvõimalikke meetmeid, et leevendada sellisest rikkumisest tulenevat kahju.
7. KONTAKTISIKUD
7.1 Volitatud töötleja kontaktandmed:
7.1.1 Andmejälgija tootejuht
Nimi:
Joel Järvik
E-post:
[email protected]
Telefon:
+372 56476192
7.1.2 Riigi Infosüsteemi Ameti andmekaitsespetsialist
Nimi:
Mehis Lõhmus
E-post:
[email protected]
Telefon:
+372 5553 0290
7.2 Karistusregistri volitatud töötleja kontaktandmed:
Nimi:
Merilyn Anton
E-post:
[email protected]
Telefon:
+372 58557324
7.3 Karistusregistri vastutava töötleja kontaktandmed:
Nimi:
Georg Teiter
E-post:
[email protected]
Telefon:
+372
8. LEPINGU KESTUS
8.1 Käesolev ATL kehtib teenuse osutamisel tähtajatult.
9. LEPINGU LÕPPEMINE JA ANDMETE TAGASTAMINE/KUSTUTAMINE
9.1 Teenuse osutamise lõpetamisel lõpeb volitatud töötleja õigus töödelda käesoleva ATL-i alusel vastutava töötleja nimel andmesubjekti isikuandmeid automaatselt.
9.2 ATL-i lõppemisel kustutab volitatud töötleja kõik teenuse osutamisel kogutud isikuandmed ning esitab karistusregistri vastutavale töötlejale või karistusregistri volitatud töötlejale tema poolt nõutud andmed ja teabe. Pooltel on õigus sõlmida täiendavaid kokkuleppeid isikuandmete töötlemise lõpetamise tingimustes.
10. KOHALDATAV ÕIGUS
10.1 Käesolevale ATL-ile kohaldatakse Eesti Vabariigis kehtivat õigust.
10.2 Käesolevast ATL-st tulenevad vaidlused lahendatakse poolte vahel läbirääkimiste teel. Kui pooled kokkulepet ei saavuta, lahendatakse vaidlus vastavalt Eesti Vabariigis kehtivatele seadustele.
11. LISAD
LISA nr. 1 – ISIKUANDMETE KIRJELDUS
Registrite ja Infosüsteemide Keskus
Riigi Infosüsteemi Amet
(allkirjastatud digitaalselt)
(allkirjastatud digitaalselt)
Aive Normak
Joonas Heiter
Asedirektor direktori ülesannetes
peadirektor
LISA nr. 1 – ISIKUANDMETE KIRJELDUS
1. Töötlemise objekt, laad ja eesmärgid
1.1. Töötlemise objekt on Riigi Infosüsteemi Ameti poolt Registrite ja Infosüsteemide Keskusele osutatav isikuandmete töötluse jälgimise teenus (Andmejälgija) läbi selleks loodud X-tee teenuse. Teenust osutatakse üle andmevahetuskihi X-tee ning selle kaudu on andmesubjektil võimalik teostada päringuid enda isikuandmete töötlemise kohta.
1.2. Volitatud töötleja töötleb isikuandmeid karistusregistri vastutava töötleja nimel järgmistel eesmärkidel:
Teenus võimaldab volitatud töötlejal teha päring ning parsida tulemusi inimesele loetavale kujule - andmejälgija päring eesmärgiga kuvada inimesele tema isikuandmete töötluse logi, mille sisendiks on isikukood. Volitatud töötlejal ei ole õigust saadud andmeid eraldi talletada/salvestada.
2. Töödeldavate isikuandmete liik ja kategooriad
• Kuupaev – Isikuandmete töötlemise sündmuse kuupäev ja kellaaeg. Kuupäev ja kellaaeg ei tohi olla tulevikus.
• Isikukood – Isiku, kelle andmeid töödeldi, korrektne Eesti isikukood, mis vastab Eesti Vabariigi standardile EVS 585.
• Jarelparija Kood – Isiku isikukood või asutuse registrikood, kes andmeid töötles.
• Jarelparija Koosnimi - Isiku või asutuse nimi (kuni 2000 tähemärki), kes andmeid töötles.
• Tegevus – Lühikirjeldus (kuni 1000 tähemärki), miks või mis eesmärgil isikuandmeid töödeldi.
• Infosysteem – Infosüsteemi nimi (kuni 256 tähemärki), millega isikuandmeid töödeldi.
3. Volitatud töötleja tehnilised ja korralduslikud turvameetmed
3.1. Tehnilised turvameetmed
3.1.1. GovSSO autentimine isikustatud päringute tegemisel, alternatiivseid autentimisviise ei kasutata.
3.1.2. Aktiivsete sessioonide info töötlemine JSON Web Tokenite (JWT) kujul, mis on laialtlevinud ja tehnoloogiliselt turvaline lahendus.
3.1.3. X-tee päringuid teostab Andmejälgija backend komponent, mis võtab vastu kasutaja sirvikust tulnud päringu, kontrollib kasutaja sessiooni, teostab X-tee päringud registritesse, ning seejärel tagastab sirvikule tulemused.
3.1.4. Suhtlus X-tee turvaserveriga on kaitstud vastastikku TLS autentimise abil.
3.1.5. Kõikide komponentide paigaldamisel loetakse tundlikud parameetrid sisse Vault muutujatena. See tähendab, et tundlikud andmed, mis võimaldaksid süsteemi kompromiteerida, ei leki arendaja hooletusest näiteks koodirepositooriumite kaudu.
3.1.6. Kõikide komponentide logid talletatakse keskselt RIA logihoidlas.
3.1.7. Kõik muudatused, sealhulgas teenuste konfiguratsioonide omad, tehakse läbi Giti, millega tagatakse nõuetekohane versioonihaldus.
3.1.8. Arendajatel on ligipääs vaid arenduskeskkonnale, kus ei ole võimalik teha päringuid toodangukeskkonna X-tee (ega teiste teenuste toodangukeskkondade) vastu.
3.2. Korralduslikud turvameetmed
3.2.1. Ligipääs otse rakendusserveritesse üle SSH, logidele jt tundlikele andmetele toimub lähtuvalt RIA üldistest ligipääsupiirangute õiguste haldamisest. Ligipääsu toodangukeskkonna serveritele, logidele jm omavad vaid selleks volitatud isikud.