Vastus selgitustaotlusele Oskuste Kompassi kasutamise kohta

Täname, et pöördusite Andmekaitse Inspektsiooni poole. 

 

Oma pöördumises soovite selgitust selle kohta, kas isikuandmete kaitse õigusest tuleneb keeld võimaldada Oskuste Kompassi sisselogitava teenuskeskkonna kasutamist vähemalt 13-aastastele kasutajatele, sealhulgas üldhariduskoolide karjääriõppe raames. 

Selgitame, et isikuandmete kaitse üldmäärusest ega isikuandmete kaitse seadusest ei tulene üldist keeldu pakkuda infoühiskonna teenust vähemalt 13-aastastele lastele. Teenuse õiguspärasuse hindamisel ei piisa siiski üksnes vanusepiiri kontrollimisest. Hinnata tuleb, milliseid isikuandmeid teenuses töödeldakse, mis eesmärgil ja millisel õiguslikul alusel seda tehakse, kes on andmetöötluses vastutav töötleja, kellele andmeid avaldatakse, kui kaua neid säilitatakse ning milliseid kaitsemeetmeid rakendatakse laste õiguste ja huvide kaitseks. 

Oskuste Kompassi isikuandmete töötlemise korra kohaselt on teenusepakkujaks Sihtasutus Kutsekoda. Kui Sihtasutus Kutsekoda määrab, milliseid andmeid teenuses kogutakse, kuidas kasutajakonto luuakse, kuidas oskusprofiil moodustatakse, kuidas ametisoovitused tekivad ning kui kaua andmeid säilitatakse, on Sihtasutus Kutsekoda selle teenuse isikuandmete vastutav töötleja. 

Isikuandmete töötlemise korra järgi töötleb teenusepakkuja registreerimis- ja kontaktandmeid, tehnilisi andmeid, kasutusandmeid ning kasutaja vabatahtlikult edastatud andmeid. Registreerimis- ja kontaktandmetena on nimetatud nimi, isikukood, e-posti aadress, telefoninumber, sugu, rahvus ja maakond; tehniliste andmetena IP-aadress, seadme ja brauseri info ning logid; kasutusandmetena teenuses tehtud toimingud ja funktsioonide kasutamise statistika; vabatahtlikult edastatud andmetena kasutajapäringud, tagasiside ning üles laaditud või sisestatud materjalid. Kuna tegemist on isikuandmetega, siis nende andmete töötlemisel tuleb järgida kõiki isikuandmete töötlemise põhimõtteid. 

Sisselogitavas teenuses ei piirdu isikuandmete töötlemine üksnes konto loomise ja autentimisega. Kui kasutaja sisestab teenuses oma oskusi, huvisid, eelistusi või muid andmeid ning nende põhjal koostatakse oskusprofiil või ametite või karjääritee soovitused, tekib kasutaja kohta uus isikustatud teave. Sellist töötlemist tuleb omakorda käsitada isikustatud hindamise või profiilianalüüsi laadse töötlemisena, isegi kui teenuse väljund ei ole kasutaja suhtes õiguslikult siduv otsus. Seetõttu peab kasutajale olema arusaadav, milliseid andmeid soovituste tegemiseks kasutatakse ja mille põhjal soovitused kujunevad. 

Isikuandmete töötlemise korras on isikuandmete töötlemise eesmärkidena nimetatud muu hulgas teenuse pakkumine ja haldamine, kasutajakonto loomine ja autentimine, teenuse arendamine ja analüütika, turvameetmete rakendamine, kasutajaga suhtlemine, õigusaktide nõuete täitmine ning vaidluste lahendamine. Need eesmärgid on sisuliselt erinevad ning nende puhul võib erineda ka töötlemise õiguslik alus, andmekoosseis ja säilitustähtaeg. Seetõttu peab vastutav töötleja suutma selgelt näidata, milliseid andmeid iga eesmärgi jaoks kasutatakse ja millisel õiguslikul alusel seda tehakse. 

Korras on õigusliku alusena märgitud, et teenusepakkuja töötleb isikuandmeid Haridus- ja Teadusministeeriumi haldusala asutustele pandud ülesannete täitmisel ja täitmiseks ning seadusega lubatud ulatuses. Selline sõnastus võib vajada kasutaja jaoks täpsustamist. Kui teenusepakkuja tugineb avalikes huvides oleva ülesande täitmisele, peab olema arusaadav, millisest konkreetsest õigusaktist ülesanne tuleneb ja miks on konkreetne andmetöötlus selle ülesande täitmiseks vajalik. Isikuandmete töötlemise kord või andmekaitsetingimused ei loo iseenesest töötlemiseks õiguslikku alust, vaid peavad seda kasutajale selgitama. 

Kui mõni teenuse osa tugineb nõusolekule ja tegemist on lapsele otse pakutava infoühiskonna teenusega, võib vähemalt 13-aastane laps Eestis sellise nõusoleku ise anda. Alla 13-aastase lapse puhul peab nõusoleku andma või heaks kiitma lapsevanem või eestkostja.  

Täpsustamist vajab ka eriliigiliste isikuandmete käsitlus. Kui teenuses on kasutajapäringud, tagasisidevormid, vabatekstiväljad või üles laaditavad materjalid, võib kasutaja sinna sisestada ka tervise, erivajaduse, vaimse tervise, pereolukorra, rahvuse või muid tundlikke asjaolusid puudutavat teavet. Vastutav töötleja peab läbi mõtlema, kas selliste andmete töötlemiseks on õiguslik alus, kuidas kasutajat hoiatatakse ning kuidas sellised andmed vajaduse korral kustutatakse. 

Kui teenust kasutatakse koolis karjääriõppe raames, tuleb eraldi kindlaks teha kooli roll. Kui õpilane kasutab teenust iseseisvalt ja kool ei näe tema profiili ega soovitusi, võib kooli roll olla piiratud. Kui aga kool teeb teenuse kasutamise õppetöö osaks, vaatab õpilase profiili, kogub tulemusi või kasutab neid õpilase nõustamisel, on kool oma töötlemistoimingute osas vastutav töötleja või võib sõltuvalt teenuse korraldusest tekkida kaasvastutuse küsimus. Sellisel juhul tuleb õpilasele ja vajaduse korral lapsevanemale selgelt selgitada, kas ja milliseid andmeid kool näeb ning kas andmete jagamine kooliga on vabatahtlik või õppetöö korralduse osa. 

Arvestades, et teenus võib olla suunatud ka lastele, hõlmab sisselogitavat keskkonda, kasutaja oskuste ja eelistuste töötlemist, oskusprofiili koostamist ning isikustatud ametisoovitusi, peaks vastutav töötleja enne vähemalt 13-aastastele kasutajatele teenuse avamist dokumenteeritult hindama andmekaitseriske. Kui selle hindamise tulemusel selgub, et töötlemise laadi, ulatust, konteksti või eesmärke arvestades võib töötlemisega kaasneda inimestele suur oht, tuleb teha andmekaitsealane mõjuhinnang. 

Kokkuvõttes ei tulene isikuandmete kaitse õigusest üldist keeldu võimaldada Oskuste Kompassi kasutamist vähemalt 13-aastastele kasutajatele. Enne sellise kasutusmudeli käivitamist peab Sihtasutus Kutsekoda siiski täpsustama ja dokumenteerima, millisel konkreetsel õiguslikul alusel iga töötlemistoiming toimub, millised andmed on teenuse kasutamiseks vältimatult vajalikud ja millised vabatahtlikud, kuidas toimub võimalik andmete jagamine kooliga ning millised täiendavad kaitsemeetmed on laste isikuandmete töötlemisel rakendatud. 

Loodan, et selgitustest on Teile abi.

Lugupidamisega