Tere, Anu!

Aitäh, et kooliaasta algul seda teemat käsitled!

Saadan vastused. Kommenteerib Andmekaitse Inspektsiooni jurist Mona-Reti Pavlov.

1. 1. Milliseid peamisi andmekaitseriske näeb Andmekaitse Inspektsioon eKooli ja Stuudiumi kasutamisel? Millistele asjaoludele peaks kool õppeinfosüsteemi valides tähelepanu pöörama?

Õppeinfosüsteemides nagu eKool ja Stuudium töödeldakse suures mahus isikuandmeid, sealhulgas alaealiste andmeid ning sõltuvalt konkreetsest juhtumist ka terviseandmeid või muud eriliigilist teavet. Isikuandmete kaitse üldmääruse kohaselt vajavad laste isikuandmed erilist kaitset, kuna lapsed ei pruugi olla täiel määral teadlikud isikuandmete töötlemisega seotud riskidest ja tagajärgedest.

Seetõttu on õppeinfosüsteemide puhul eriti olulised andmete turvalisus, kasutajaõiguste korrektne haldamine, tugeva autentimise rakendamine ning andmete töötlemise minimaalsuse põhimõtte järgimine. Samuti tuleb tagada, et ligipääs õpilaste andmetele oleks ainult neil inimestel, kellel on selleks tööülesannetest tulenev vajadus.

AKI poole on õppeinfosüsteemidega seoses pöördutud muu hulgas küsimustes, mis puudutavad ligipääse õpilaste andmetele, andmete nähtavust teistele kasutajatele, andmete säilitamist ning koolisisestes suhtluskanalites avaldatud isikuandmeid.

Õppeinfosüsteemi valides peaks kool hindama nii teenusepakkuja rakendatavaid turvameetmeid kui ka seda, kas süsteem võimaldab hallata kasutajaõigusi, piirata ligipääse, rakendada säilitustähtaegu ning tagada isikuandmete kaitse üldmääruse nõuete täitmise.

1. 2. Mõlemas süsteemis töödeldakse laste kohta palju andmeid – näiteks hindeid, puudumisi, märkusi ja vajadusel ka tugimeetmetega seotud infot. Kas koolidel on piisav kontroll selle üle, milliseid andmeid süsteemis töödeldakse ja kui kaua neid säilitatakse? 

Üldjuhul on koolil vastutava töötlejana kontroll selle üle, milliseid andmeid õppeinfosüsteemis töödeldakse ning millistel eesmärkidel neid kasutatakse. Samuti peab kool määratlema, kui kaua andmeid säilitatakse, lähtudes nii õigusaktidest kui ka tegelikust vajadusest.

Praktikas sõltub aga palju sellest, millised võimalused on konkreetsesse süsteemi sisse ehitatud. Seetõttu peab kool enne teenuse kasutuselevõttu veenduma, et süsteem võimaldab hallata kasutajaõigusi, rakendada vajalikke säilitustähtaegu ning vajaduse korral andmeid kustutada või arhiveerida.

AKI hinnangul ei tohiks kool käsitleda õppeinfosüsteemi kui lahendust, mille andmekaitsealane vastutus lasub üksnes teenusepakkujal. Kool peab ka pärast süsteemi kasutuselevõttu regulaarselt üle vaatama, milliseid andmeid kogutakse, kellel on neile ligipääs ja kui kaua neid säilitatakse.

Kas eKooli ja Stuudiumi vahel on andmekaitse seisukohast olulisi erinevusi? Kui jah, siis milliseid?

Mõlemad teenused täidavad sarnast eesmärki ning nende kasutamisel kerkivad üldjoontes samad andmekaitseküsimused. Andmekaitse seisukohast on sageli määravam hoopis see, kuidas konkreetne kool süsteemi seadistab, milliseid ligipääse töötajatele annab ning kuidas korraldab andmete säilitamist ja töötlemist.

1. 3. Kelle vastutus on juhul, kui õppeinfosüsteemis olevad laste isikuandmed satuvad kõrvaliste isikute kätte või toimub andmeleke – kas kooli, süsteemi pakkuja või mõlema?

Stuudiumi ja eKooli puhul on oluline eristada kahte rolli: kool kui isikuandmete vastutav töötleja ning infosüsteemi pakkuja kui volitatud töötleja. Praktikas sõltub täpne rollijaotus konkreetsetest lepingutest ja andmetöötluse korraldusest, kuid üldjuhul otsustab kool, milliseid õpilaste, lapsevanemate ja õpetajate andmeid süsteemis töödeldakse, milleks neid kasutatakse ning kui kaua neid säilitatakse. Seetõttu vastutab kool üldjuhul andmetöötluse eesmärkide ja korralduse eest.

Õppeinfosüsteemi pakkuja tagab omakorda tehnilise keskkonna toimimise ning töötleb andmeid kooli juhiste alusel.

Samas ei tähenda see, et kogu vastutus oleks alati ainult koolil. Ka teenusepakkujal on iseseisvad kohustused, sealhulgas kohustus rakendada asjakohaseid turvameetmeid ning tagada isikuandmete kaitse.

Seetõttu sõltub vastus sellele küsimusele alati konkreetse juhtumi asjaoludest.

1. 4. Kas AKI-le on viimastel aastatel laekunud kaebusi või teateid eKooli või Stuudiumiga seotud andmekaitseprobleemide kohta? Kui jah, siis kui palju ja milliseid probleeme on kõige sagedamini esinenud?

Aastatel 2025-2026 on AKI-le laekunud ligikaudu kümme eKooli või Stuudiumi kasutamisega seotud pöördumist, sealhulgas kaebusi, selgitustaotlusi ja märgukirju.

Kõige sagedamini on pöördumised puudutanud kasutajaõiguste ja ligipääsude korraldamist, andmete nähtavust teistele kasutajatele ning küsimusi selle kohta, kas isikuandmeid töödeldakse üksnes ulatuses, mis on õppetöö korraldamiseks vajalik. Samuti on küsitud andmete säilitamistähtaegade, koolisisestes suhtluskanalites avaldatud isikuandmete ning lapsevanemate ja õpilaste juurdepääsuõiguste kohta.

AKI senine praktika näitab, et küsimused puudutavad enamasti mitte õppeinfosüsteemi ennast, vaid seda, kuidas kool on andmete töötlemise ja ligipääsude korralduse konkreetsel juhul lahendanud.

1. 5. Kas õppeinfosüsteemi vahetamisel peab kool pöörama erilist tähelepanu sellele, mis saab vanas süsteemis olevatest õpilaste andmetest? Kui kaua tohib vana süsteemi andmeid säilitada?

Jah, õppeinfosüsteemi vahetamisel peab kool tähelepanu pöörama ka sellele, mis saab vanas süsteemis olevatest isikuandmetest. Kool kui vastutav töötleja peab tagama, et isikuandmeid säilitatakse üksnes nii kaua, kui see on vajalik andmete töötlemise eesmärkide täitmiseks või õigusaktidest tulenevate säilitamiskohustuste täitmiseks.

Loodan, et neist vastustest on teema käsitlemisel abi.

Heade soovidega

Maire Iro-Miller
Avalike suhete nõunik
[email protected]

5385 4644, 627 4136

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube 

1. 1. Milliseid peamisi andmekaitseriske näeb Andmekaitse Inspektsioon eKooli ja Stuudiumi kasutamisel? Millistele asjaoludele peaks kool õppeinfosüsteemi valides tähelepanu pöörama?
2. 2. Mõlemas süsteemis töödeldakse laste kohta palju andmeid – näiteks hindeid, puudumisi, märkusi ja vajadusel ka tugimeetmetega seotud infot. Kas koolidel on piisav kontroll selle üle, milliseid andmeid süsteemis töödeldakse ja kui kaua neid säilitatakse? 

Kas eKooli ja Stuudiumi vahel on andmekaitse seisukohast olulisi erinevusi? Kui jah, siis milliseid?

1. 3. Kelle vastutus on juhul, kui õppeinfosüsteemis olevad laste isikuandmed satuvad kõrvaliste isikute kätte või toimub andmeleke – kas kooli, süsteemi pakkuja või mõlema?
2. 4. Kas AKI-le on viimastel aastatel laekunud kaebusi või teateid eKooli või Stuudiumiga seotud andmekaitseprobleemide kohta? Kui jah, siis kui palju ja milliseid probleeme on kõige sagedamini esinenud?
3. 5. Kas õppeinfosüsteemi vahetamisel peab kool pöörama erilist tähelepanu sellele, mis saab vanas süsteemis olevatest õpilaste andmetest? Kui kaua tohib vana süsteemi andmeid säilitada?

Palun vastuseid homme kella 13.

Aitäh,

Anu Neuhaus

Postimehe ajakirjanik

5080694