Isikuandmete töötlemise leping hankes "Andmeladude ja analüütika arendus- ja hooldustööde arendusressurss"

ISIKUANDMETE TÖÖTLEMISE TINGIMUSED

Tervise ja Heaolu Infosüsteemide Keskus (edaspidi volitaja), registrikood 70009770, asukohaga

Pärnu mnt 132, 11317 Tallinn, keda esindab direktor Margus Arm

ja

Industry62 OÜ (edaspidi volitatud töötleja), registrikood 11124544, asukohaga Harju maakond,

Tallinn, Põhja-Tallinna linnaosa, Toompuiestee 35, 10149, keda esindab juhatuse liige Andrus Altrov.

on sõlminud käesoleva isikuandmete töötlemise lepingu hankelepingu nr 3-9/4512-8 lisana nr 5

(edaspidi leping):

1. Ese ja eesmärk

1.1. Lepingu esemeks on volitaja ja volitatud töötleja (edaspidi koos nimetatud kui pooled)

vaheliste tingimuste sätestamine seoses „Andmeladude ja analüütika arendus- ja

hooldustööde arendusressurss“ tööde käigus käsitletavate andmete töötlemisega.

1.2. Volitatud töötleja töötleb lepingus kirjeldatud isikuandmeid hankelepingu nr 3-9/4512-

8 täitmiseks, millele on volitatud töötlejal õigus saada ligipääs hankelepingus

määratletud tööde teostamiseks vastavalt lepingus sätestatud piirangutele.

1.3. Lepingu täitmiseks on volitatud töötleja isikuandmete töötlemisega seotud tegevused

lepingu alusel piiratud hankelepingu täitmiseks vajalike tegevustega.

2. Isikuandmed

2.1. Volitatud töötlejale võivad hankelepingu täitmise käigus teatavaks saada volitaja poolt

hallatavas infosüsteemis või // andmekogus töödeldavad isikuandmed järgmises

koosseisus:

2.1.1. Ravimiameti tegevuslubade registri andmed vastavalt tervise- ja tööministri

14.12.2017 määruse nr 51 „Ravimiameti tegevuslubade registri põhimäärus“

peatüki 2 §-le 6. Registrisse kantavad andmed;

2.1.2. Tervise infosüsteemi andmed vastavalt Vabariigi Valitsuse 01.12.2016 määruse nr

138 Tervise infosüsteemi põhimäärus peatüki 2 §-le 5 Tervishoiuteenuse osutaja

andmeandjana ja §-le 6 Muud isikud andmeandjana ning Sotsiaalministri

17.09.2008 määrusele nr 53 „Tervise infosüsteemi andmekoosseisud ja nende

esitamise tingimused“ § 2. Tervise infosüsteemi dokumendid ja andmestik ja § 3.

Tervise infosüsteemi edastatavate dokumentide andmekoosseisud;

2.1.3. Nakkushaiguste registri andmed vastavalt Tervise- ja tööministri 12.03.2019

määruse nr 25 Nakkushaiguste registri põhimäärus peatüki 3 §-le 7. Andmete

esitajad, esitamise viis ja andmete koosseis ja §-le 8. Muud isikud andmeandjana;

2.1.4. Töökeskkonna andmekogu andmed vastavalt tervise- ja tööministri 18.02.2021 nr

4 „Töökeskkonna andmekogu põhimäärus“ peatüki 2 §-le 6. Andmekogu

üldandmed, §-le 7 Andmed ettevõtte töökeskkonna riskianalüüsi kohta, §-le 8.

Andmed Tööinspektsiooni järelevalvetegevuse ja -toimingute kohta, §-le 9.

Andmed ettevõtte suhtes rakendatud sunniraha kohta, §-le 10. Andmed

väärteomenetluse kohta, §-le 11. Andmed töökeskkonnas juhtunud õnnetuse,

tööõnnetuse, kutsehaigestumise ja tööst põhjustatud haigestumise kohta, §-le 12.

Andmed tööinspektori nõusoleku ja loataotluse menetlemise kohta, §-le 13.

Andmed Tööinspektsioonile esitatud teadete kohta, §-le 14. Andmed

töövaidlusasja lahendamise ja lepitusmenetluse kohta, §-le 15. Andmed kaebuste

ja vihjete kohta, §-le 16. Andmed ennetus- ja teavitustegevuse ning

nõustamisteenuse kohta;

2.1.5. Vähi sõeluuringute registri andmed vastavalt Sotsiaalministri 21.08.2025 nr 34

Vähi sõeluuringute registri põhimäärus peatüki 3 §-le 7. Andmevahetus

sõeluuringu sihtrühma ja kutsutavate isikute määramiseks, §-le 8. Rinna-,

emakakaela- ja jämesoolevähi sõeluuringu põhiuuringu andmed, §-le 9. Rinna-,

emakakaela- ja jämesoolevähi sõeluuringu lisauuringu andmed, §-le 10. Rinna-,

emakakaela- ja jämesoolevähi sõeluuringujärgse ravi andmed, §-le 11.

Sõeluuringu käigus kinnitunud esmase diagnoosi andmed, §-le 12. Sõeluuringu

episoodi kokkuvõtvad andmed ja muud andmeandjad;

2.1.6. Jira infosüsteemi andmed vastavalt TEHIK direktori 09.12.2024 käskkirjale nr 70

„Jira pidamise kord“ peatüki 6 punktile 6.2. Andmekoosseis ja isikute kategooriad,

kelle andmeid töödeldakse (Tervise ja heaolu keskuse peadirektori käskkiri);

2.1.7. Patsiendiohutuse andmekogu andmed vastavalt 28.10.2024 nr 45

Patsiendiohutuse andmekogu põhimäärus peatüki 2 §-le 5. Andmekogusse

kantavad andmed;

2.1.8. Tervishoiukorralduse infosüsteemi andmed vastavalt tervise- ja tööministri

07.07.2022 määruse nr 59 „Tervishoiukorralduse infosüsteemi põhimäärus“

peatüki nr 2 §-le 7. Infosüsteemi andmete koosseis;

2.1.9. Ravimiregistri andmed vastavalt tervise- ja tööministri 20.05.2016 määrusele nr

36 „Ravimiregistri põhimäärus“ peatüki nr 2 §-le 9. Registrisse kantavad andmed;

2.1.10. Mürgistusteabekeskuse andmekogu andmed vastavalt Terviseameti peadirektori

20.11.2023 käskkirja nr 1.1-1/23/92 „Mürgistusteabekeskuse andmekogu

põhimäärus“ peatüki 2 punktile 5. Andmekogu andmete koosseis;

2.1.11. Vee terviseohutuse infosüsteemi andmed vastavalt Sotsiaalministri 27.08.2025

määruse nr 44 „Vee terviseohutuse infosüsteemi põhimäärus“ peatüki 3 §-le 10.

Andmete täpsem koosseis;

2.1.12. Terviseameti menetlusinfosüsteemi andmed vastavalt Terviseameti peadirektori

25.10.2023 käskkirja nr 1.1-1/23/83 „Terviseameti menetlussüsteemi põhimäärus“

peatükile 3 punktile 7. Andmed järelevalvetegevuse ja -toimingute kohta, punktile

8. Tervist toetav ja ohutu keskkonna andmestik, punktile 9. Kemikaaliohutuse

andmestik, punktile 10. Meditsiiniseadmete ohutuse andmestik, punktile 11.

Nakkushaiguste epidemioloogia andmestik ning punktile 12. Tervishoiu

andmestik);

2.1.13. Tervise infosüsteemi vastutava töötleja (Sotsiaalministeerium) luba 08.01.2025 nr

1.5-20/3173- 2 Tervise Arengu Instituudi statistika andmete skeem Eesti bioeetika

ja inimuuringute nõukogu 18.09.2024 otsus nr 1.1-12/2358 lisa nr 1 Väljavõtete

andmekoosseisud.

3. Volitatud töötleja kohustused

3.1. Volitatud töötleja on kohustatud:

3.1.1. tagama lepingueelsete läbirääkimiste ja lepingu täitmise käigus volitajalt ükskõik mis

vormis saadud isikuandmete konfidentsiaalsuse ja mitte edastama ega võimaldama

sellele teabele juurdepääsu kolmandale isikule ilma volitaja sellekohase selgesõnalise

kirjaliku nõusolekuta;

3.1.2. tagama, et lepingu täitmise raames töödeldavaid isikuandmeid ei edastata väljapoole

Euroopa Liidu liikmesriikide ja Euroopa Majandusühendusse kuuluvate riikide

territooriumi ilma volitaja sellekohase selgesõnalise kirjaliku nõusolekuta;

3.1.3. kasutama ja töötlema isikuandmeid üksnes hankelepingu täitmiseks ja volitaja

dokumenteeritud juhiste alusel, välja arvatud juhul, kui volitatud töötleja on

kohustatud teavet töötlema volitatud töötleja suhtes kohalduva õiguse alusel. Viimati

nimetatud juhul teavitab volitatud töötleja volitajat vastava kohustuse olemasolust

enne teabe töötlemist;

3.1.4. võimaldama juurdepääsu isikuandmetele ainult nendele isikutele, kellel on selleks oma

tööülesannete täitmiseks vajadus ning tagab, et need isikud on teadlikud ning järgivad

isikuandmete töötlemis alaseid nõudeid ja õigusakte, nad on saanud asjakohase

koolituse eelmainitud nõuete kohta, on võtnud endale konfidentsiaalsuskohustuse või

neile kehtib asjakohane seadusest tulenev konfidentsiaalsuskohustus;

3.1.5. teavitama volitajat toimunud või põhjendatult kahtlustatavast lepingu punktis 3.1.4.

sätestatud konfidentsiaalsuskohustuse rikkumisest viivitamatult;

3.1.6. täitma kõiki kehtivaid isikuandmete töötlemisalaseid nõudeid, andmete turvalisust

puudutavaid ning isikuandmete kaitse alaseid Euroopa Liidu ja Eesti Vabariigi

õigusakte ja muid eeskirju;

3.1.7. rakendama alltoodud organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid

isikuandmete kaitseks juhusliku või tahtliku volitamata muutmise; juhusliku hävimise

ja tahtliku hävitamise eest ning õigustatud isikule andmete kättesaadavuse

takistamise eest, volitamata töötlemise, sh avalikustamise eest:

3.1.7.1. vältima kõrvaliste isikute ligipääsu isikuandmete töötlemiseks kasutatavatele

seadmetele;

3.1.7.2. ära hoidma andmete omavolilist lugemist, kopeerimist ja muutmist

andmetöötlussüsteemis, samuti andmekandjate omavolilist teisaldamist;

3.1.7.3. ära hoidma isikuandmete omavolilist salvestamist, muutmist ja kustutamist ning

tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja

milliseid isikuandmeid salvestati, muudeti või kustutati või millal, kelle poolt ja

millistele isikuandmetele andmetöötlussüsteemis juurdepääs saadi;

3.1.7.4. tagama, et igal andmetöötlussüsteemi kasutajal oleks juurdepääs ainult temale

töötlemiseks lubatud isikuandmetele ja temale lubatud andmetöötluseks;

3.1.7.5. tagama andmete olemasolu isikuandmete edastamise kohta: millal, kellele ja

millised isikuandmed edastati, samuti selliste andmete muutusteta säilimise;

3.1.7.6. tagama, et isikuandmete edastamisel andmesidevahenditega ja andmekandjate

transportimisel ei toimuks isikuandmete omavolilist lugemist, kopeerimist,

muutmist või kustutamist;

3.1.7.7. pidama arvestust isikuandmete töötlemisel kasutatavate tema kontrolli all

olevate seadmete ja tarkvara üle, dokumenteerides järgmised andmed:

3.1.7.7.1. seadme nimetus, tüüp ja asukoht ning seadme valmistaja nimi;

3.1.7.7.2. tarkvara nimetus, versioon, valmistaja nimi ja kontaktandmed.

3.1.8. teavitama kirjalikult volitajat turvameetmete rikkumisest, mis põhjustab, on

põhjustanud või võib põhjustada töödeldavate isikuandmete juhusliku või

ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile

juurdepääsu viivitamata, kuid mitte hiljem kui kakskümmend neli tundi pärast sellest

teada saamist. Juhul, kui rikkumisest teadasaamine langeb nädalavahetusele või

riiklikule pühale, kohustub volitatud töötleja volitajat kirjalikult teavitama

viivitamatult, kuid mitte hiljem kui nelikümmend kaheksa tundi pärast rikkumisest

teada saamist. Kirjeldatud teates tuleb vähemalt:

3.1.8.1. kirjeldada isikuandmetega seotud rikkumise laadi, sealhulgas puudutatud

andmesubjektide liike ja arvu ning puudutatud kirjete liike ja arvu;

3.1.8.2. teatada andmekaitsespetsialisti või mõne teise täiendavat teavet andva

kontaktisiku nimi ja kontaktandmed;

3.1.8.3. soovitada meetmeid isikuandmetega seotud rikkumise võimalike negatiivsete

mõjude leevendamiseks;

3.1.8.4. kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi;

3.1.8.5. kirjeldada volitatud töötleja poolt pakutud või võetud meetmeid

isikuandmetega seotud rikkumisega tegelemiseks ja

3.1.8.6. esitada muud teavet, mis on mõistlikult nõutav, et volitaja saaks täita

kohaldatavaid andmekaitse õigusakte, sealhulgas riigiasutustega seotud

teavitamise ja avaldamise kohustusi, näiteks teavet, mis on nõutav

andmesubjekti tuvastamiseks.

3.1.9. lõpetama eelnevalt kirjeldatud rikkumised või tegema kõik endast oleneva nende

lõpetamiseks ja kohaldama meetmeid isikuandmetega seotud rikkumise

lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju

kõrvaldamiseks ja leevendamiseks;

3.1.10. kustutama, niivõrd kui see on võimalik, lepingu lõppemisel kõik tööde teostamise

käigus teatavaks saanud isikuandmed ja nimetatute koopiad 30 päeva jooksul, v.a

juhul, kui õigusaktidest tuleneb teisiti;

3.1.11. tegema volitajale kättesaadavaks kogu teabe, mida volitaja peab vajalikuks lepingus

sätestatud kohustuste täitmise tõendamiseks;

3.1.12. võimaldama volitajal või volitaja poolt määratud audiitoril teha seoses isikuandmete

töötlemisega auditeid ja kontrolle ning panustama nendesse.

4. Lõppsätted

4.1. Volitatud töötleja ei või oma lepingujärgseid kohustusi anda üle kolmandale isikule ega

kaasata oma lepingujärgsete kohustuste täitmiseks kolmandat isikut.

4.2. Isikuandmete konfidentsiaalsena hoidmise kohustus jääb kehtima ka pärast käesoleva

lepingu lõppemist tähtajatult.

4.3. Isikuandmete konfidentsiaalsena hoidmise kohustus ei laiene teabe avaldamisele

volitatud töötleja audiitorile ja advokaadile.

4.4. Leping on kehtiv poolte poolt allkirjastamisest kuni hankelepingu järgsete kohustuste

täitmiseni, v.a konfidentsiaalsuskohtustus, mis kehtib tähtajatult.

5. Poole allkirjad

Volitaja: Volitatud töötleja:

/Allkirjastatud digitaalselt/ /Allkirjastatud digitaalselt/