TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 1/9

SISUKORD

EESMÄRK ........................................................................................................................................... 1

SELGITUS ........................................................................................................................................... 1

1. ÜLDINFO ........................................................................................................................................ 1

2. SISSEJUHATUS .............................................................................................................................. 3

3. INFOSÜSTEEMI KIRJELDUS ....................................................................................................... 3

4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID ......................................................................... 4

5. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD ......................................................................... 6

6. RISKID JA NENDE MAANDAMISE MEETMED ....................................................................... 7

EESMÄRK

See juhend aitab täita Transpordiameti (edaspidi amet) infosüsteemi jaoks tehtavat

andmekaitsealase mõjuhinnangu vormi (TT_04_K4_V1_Infosüsteemi andmekaitsealase

mõjuhinnangu vorm).

SELGITUS

Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille eesmärk on hinnata,

kuidas infosüsteemis toimuv isikuandmete töötlemine võib mõjutada inimeste

(andmesubjektide) õigusi ja privaatsust.

Mõjuhinnangu tegemine tuleneb isikuandmete kaitse üldmääruse (IKÜM e GDPR) artiklist 35.

Mõjuhinnang aitab:

1) mõista, milliseid isikuandmeid süsteemis kasutatakse;

2) hinnata võimalikke riske inimeste õigustele;

3) kavandada meetmeid nende riskide vähendamiseks.

Mõjuhinnang tuleb (tavaliselt) teha juhul, kui:

1) luuakse uus infosüsteem;

2) lisatakse uus andmetöötlus olemasolevasse süsteemi;

3) hakatakse töötlema suures mahus isikuandmeid;

4) töödeldakse tundlikke (eriliigilisi) andmeid.

1. ÜLDINFO

Siin märgi põhiandmed infosüsteemi ja mõjuhinnangu kohta.

1.1. Infosüsteemi nimetus – Kirjuta süsteemi ametlik nimi ja kui on, siis ka lühend.

Näide: Liiklusregistri infosüsteem; Sadamaregistri (SAR) infosüsteem vms

1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus)

1.3. Mõjuhinnangu koostamise ajavahemik – Millal mõjuhinnang koostati

Näide: 01.02.2026 – 15.03.2026

1.4. Mõjuhinnangu versiooni number – Näitab, mitmes dokumendi versioon on

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 2/9

Näide: esimene hinnang → versioon 1; täiendatud hinnang → 2, 3 jne

1.5. Hinnangu koostaja – Kirjuta:

 nimi

 ametikoht

 kontakt

Näide: Mari Maasikas, registri peakasutaja, [email protected]

1.6. Kokkuvõte – Siia kirjuta lühike kokkuvõte kogu hinnangust.

Kokkuvõte peaks vastama kolmele küsimusele:

1) milleks infosüsteemi kasutatakse;

2) milliseid (isiku)andmeid töödeldakse;

3) kas riskid on vastuvõetavad.

Näide: Infosüsteemi kasutatakse sõidukite registreerimiseks. Süsteemis töödeldakse sõiduki omanike

isikuandmeid (nimi, isikukood, kontaktandmed). Riskide hindamise tulemusel tuvastati keskmise

tasemega risk loata juurdepääsuks. Rakendatud turvameetmete tõttu on infosüsteemi kasutamine

isikuandmete kaitse seisukohalt vastuvõetav.

1.7. Jääkrisk –Hinda, kas pärast meetmete rakendamist (nt ligipääsupiirangud, andmete

minimeerimine, pseudonüümiseerimine, logimine, teenistujate koolitamine jne) väheneb tuvastatud

risk inimeste õigustele ja vabadustele, kuid ei pruugi täielikult kaduda.

Jääkriski hindamisel tuleb arvesse võtta eelkõige:

 töödeldavate andmete liiki ja tundlikkust;

 andmetöötluse mahtu ja ulatust;

 andmesubjektidele võimaliku kahju raskust ja tõenäosust.

Sõltuvalt hinnangust võib jääkrisk olla:

 madal, kui täiendavaid olulisi ohte ei tuvastata;

 keskmine, kui riskid on kontrolli all, kuid mitte täielikult välditud;

 kõrge, kui vaatamata meetmetele võib andmetöötlus endiselt oluliselt mõjutada andmesubjektide

privaatsust.

Kui jääkrisk hinnatakse kõrgeks, tuleb enne andmetöötluse alustamist või töötlemise ajal

mõjuhinnangu tegemisel kaaluda konsulteerimist Andmekaitse Inspektsiooniga (AKI).

Kirjuta, kas on plaanis AKI-ga konsulteerida ning kui jah, siis millal ja miks seda peaks tegema.

Näide 1 – madal jääkrisk

Pärast turvameetmete rakendamist (ligipääsupiirangud, logimine ja teenistujate koolitus) on

andmetele juurdepääs piiratud ning isikuandmete väärkasutuse tõenäosus minimaalne. Töödeldavad

andmed ei ole kõrge tundlikkusega ning võimalik mõju andmesubjektidele on väike. Jääkrisk

hinnatakse madalaks.

Näide 2 – keskmine jääkrisk

Kuigi rakendatud on tehnilised ja korralduslikud meetmed (pseudonüümiseerimine,

ligipääsukontroll, regulaarne audit), esineb endiselt piiratud risk isikuandmete väärkasutuseks või

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 3/9

lekkeks. Töödeldakse mõõduka tundlikkusega andmeid ning võimalik mõju andmesubjektidele võib

olla keskmine. Jääkrisk hinnatakse keskmiseks.

Näide 3 – kõrge jääkrisk

Hoolimata rakendatud meetmetest (andmete minimeerimine, krüpteerimine, juurdepääsupiirangud)

töödeldakse suures mahus tundlikke isikuandmeid, mille võimalik väärkasutus võib põhjustada olulist

kahju andmesubjektidele. Riskide täielik maandamine ei ole võimalik. Jääkrisk hinnatakse kõrgeks

ning soovitatav on konsulteerida Andmekaitse Inspektsiooniga.

2. SISSEJUHATUS

2.1. Mõjuhinnangu koostamise eesmärk

Selgita, miks mõjuhinnang tehakse.

Näide: Mõjuhinnangu eesmärk on hinnata infosüsteemis toimuva isikuandmete töötlemise mõju

inimeste õigustele ning tuvastada võimalikud riskid.

2.2. Metoodika

Kirjelda lühidalt, kuidas hinnang koostati, milliseid dokumente või süsteemi kirjeldusi kasutati,

kellega konsulteeriti ning kuidas hinnati riske (tõenäosus ja mõju). Andmekaitsespetsialisti (AKS)

kaasamisel kirjuta, millises etapis seda tehti ning mida ta soovitas.

Näited:

 analüüsiti süsteemi dokumentatsiooni;

 intervjueeriti süsteemi kasutajaid;

 konsulteeriti juristi, andmeanalüütiku ja teiste asjaosalistega;

 hinnati andmetöötlusega seotud riske;

 kaasati AKS mõjuhinnangu algetapis ja hiljem arvamuse andmises.

Näide kokkuvõtlikust lausest: Mõjuhinnang koostati infosüsteemi dokumentatsiooni analüüsi ja IT-

spetsialistide konsultatsioonide põhjal. Riskide hindamisel kasutati neljaastmelist skaalat (tõenäosus

ja mõju). Mõjuhinnangu koostamisse kaasati AKS, kes andis soovitusi (täiendavate) riskide

maandamiseks.

2.3. Mõjuhinnangu ulatus e skoop

Selgita, mida hinnatakse (kui suures ulatuses).

Näide 1: Kogu infosüsteemi; uut funktsiooni/töötlemisviisi/uusi andmeid infosüsteemis.

Näide 2: Mõjuhinnang käsitleb uut e-teenuse moodulit, mille kaudu esitatakse avaldusi.

3. INFOSÜSTEEMI KIRJELDUS

Kirjelda alapunktides infosüsteemi nii, et lugeja saaks aru:

1) milleks süsteem on loodud;

2) kuidas see töötab;

3) milleks see kasutab isikuandmeid.

3.1. Infosüsteemi kasutusotstarve

Selgita infosüsteemi eesmärki.

Näide: Süsteemi kasutatakse avalduste menetlemiseks ja klientide andmete haldamiseks.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 4/9

3.2. Tugisüsteemid ja server

Kirjelda, kus süsteem töötab.

Näide: Infosüsteem töötab riigi pilvekeskkonnas ja kasutab X-tee andmevahetust.

3.3. Kasutajad ja nende rollid

Kirjelda:

1) kes süsteemi kasutavad (nii ameti teenistujad kui ka asutusevälised kasutajad);

2) millised on süsteemis nende õigused ja rollid.

Näide:

Kasutaja Roll

klienditeenindaja menetleb taotlusi – vaatamise, muutmise õigused

administraator haldab süsteemi ja kasutajate juurdepääsuõigusi

ning seadistusi.

Samuti kirjelda:

1) kuidas kasutaja tuvastatakse (nt TARA, ID-kaart, Mobiil-ID, Smart-ID, kaheastmeline

autentimine vms)

2) kas tegevused logitakse.

3.4. Isikuandmete allikad

Kuidas isikuandmed infosüsteemi saadakse/tulevad.

Näited:

 inimene ise (taotluse/päringu esitamisel, lepingu sõlmimisel vms);

 teine register (rahvastikuregister, maksehäirete register, kinnistusraamat vms):

 dokument (isikut tõendav dokument, dokumendifoto vms).

Näide: Andmed saadakse taotluse esitamisel ning rahvastikuregistrist automaatpäringuga.

3.5. Infosüsteemi arhitektuuriskeem (kui on olemas)

Võib lisada lihtsa skeemi või viidata olemasolevale dokumendile.

3.6. Turvameetmed ja olemasolev riskidokumentatsioon

Kirjelda olemasolevaid turvameetmeid.

Näited:

 ligipääsupiirangud (rollipõhine juurdepääs);

 logimine (mida logitakse, kus hoitakse, kaua säilitatakse, kellel on juurdepääs logidele);

 varukoopiad (millal tehakse, kus hoitakse, kaua säilitatakse jne).

4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID

4.1. Töötlemise eesmärgid

Selgita:

1) miks isikuandmeid kogutakse;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 5/9

2) milline õiguslik alus (seadus, määrus vms) seda lubab;

3) märgi IKÜM-i õiguslik alus, kas:

 nõusolek;

 lepingu täitmine;

 juriidiline kohustus

 avalikes huvides ülesande täitmine või avaliku võimu teostamine;

 õigustatud huvi.

Näide 1: Isikuandmeid töödeldakse avaliku teenuse osutamiseks vastavalt liiklusseaduse § X.

Näide 2: Isikuandmeid töödeldakse õigustatud huvi alusel (nt turvakaamerad, sõidueksamite

salvestuskaamerad).

4.2. Töötlemise vastavuse tuvastamine

Kirjelda, kuidas kontrollitakse, et andmeid töödeldakse ainult lubatud eesmärgil.

Näide: Süsteemis on rollipõhised õigused, mis piiravad andmete kasutamist.

4.3. Töötlemine algsest erineval eesmärgil

Selgita, kas andmeid töödeldakse ka mõnel teisel eesmärgil.

Näide: Andmeid kasutatakse ka statistika koostamiseks, kuid anonüümiseeritud kujul.

4.4. Töötlemise vajalikkus ja proportsionaalsus

Kirjuta siia:

 milleks on andmeid vaja

 miks vähemaga ei saa

 kuidas tagad, et ei kogu üleliigseid andmeid

Näide: Me vajame e-posti aadressi, et kasutajale saata teavitusi. Me ei kogu isikukoodi, sest teenuse

jaoks piisab e-posti aadressist.

4.5. Praegune töötlemise viis

Kirjelda, kuidas andmeid kasutatakse.

Näide: Infosüsteemis kasutatakse isikuandmeid teenuse osutamiseks ja taotluste menetlemiseks.

Kasutaja sisestab oma andmed e-teeninduse kaudu, misjärel süsteem salvestab need andmebaasi.

Andmeid kasutavad menetlejad taotluse läbivaatamiseks ja otsuse tegemiseks. Vajadusel

kontrollitakse andmeid teistest registritest. Kõik andmetega seotud tegevused logitakse ning ligipääs

on piiratud vastavalt kasutaja rollile.

4.6. Võimalik alternatiiv

Kas eesmärki oleks võimalik saavutada vähemate isikuandmetega või mõnel muul viisil?

Näide: Ilma isikukoodi kasutamata ei oleks võimalik andmeid teistest registritest kontrollida.

4.7. Minimaalsuse põhimõte

Kogutakse ainult vajalikud andmed.

Näide: Infosüsteemis töödeldakse (nt kogutakse, kasutatakse, muudetakse jne) vaid neid

isikuandmeid, mis on vajalikud inimestele teenuse osutamiseks (nt juhilubade taotluste menetlemine;

lennuohutusalaste menetluste läbiviimine). Süsteemis ei koguta isikuandmeid, mis ei ole teenuse

osutamiseks vajalikud.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 6/9

4.8. Andmesubjekti juurdepääs

Kas inimene saab näha oma andmeid.

Näide: Inimene saab oma andmeid näha e-teeninduse portaalis.

4.9. Andmesubjekti õigused

Kirjelda, millised on andmesubjekti õigused arvestades infosüsteemi olemust. Kas tal on õigus:

 oma isikuandmetega tutvuda;

 isikuandmete parandamisele;

 isikuandmete kustutamisele;

 isikuandmete töötlemise piiramisele;

 esitada vastuväiteid;

 isikuandmete ülekandmisele (kui asjakohane).

Näide: Isikul on võimalik esitada taotlusi e-teeninduse kaudu, e-posti või posti teel ning büroos

kohapeal. Taotlused menetletakse vastavalt kehtivale korrale. Andmesubjektil ei ole võimalik

kasutada oma õigust andmete kustutamisele, sest sellisel juhul ei ole ametil võimalik osutada talle

enam vajalikku teenust.

5. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD

Selles osa järgnevates alapunktides kirjelda isikuandmete elutsüklit – andmete teekonda alates nende

kogumisest kuni kustutamise või arhiveerimiseni. Kirjelda terviklikku ülevaadet, kuidas andmeid

konkreetses infosüsteemis käsitletakse.

Kui mõjuhinnangu koostamise põhjuseks on olemasoleva infosüsteemi uuendamine või uue loomine,

uu(t)e tegevus(t)e lisamine või töötlemise ulatuse muutmine,siis kasuta alljärgnevat tabelit:

Esmakordsel mõjuhinnangu koostamisel ei ole vaja tabelit täita ning täidetaval vormil tabel

kustutada.

Jrk

nr

Hetkel olemasolev andmete töötlemise

(kogumise, kasutamise jms) protsess

Kavandatav muutus andmete töötlemise

(kogumise, kasutamise jms) protsessis

5.1. Isikuandmete kogumine

Kirjelda:

1) kelle isikuandmeid kogutakse (nt kliendid; kinnistute omanikud; piloodid, meremehed/kaptenid;

ameti teenistujad);

2) milliseid isikuandmeid kogutakse (nt nimi, e-posti aadress, posti/elukoha-aadress, telefoni nr,

kinnistu nr, pangakonto nr, teenistujate fotod, tervisetõendid jne);

3) kuidas need infosüsteemi jõuavad (nt klient esitab taotluse e-teeninduse kaudu/büroos

paberkandjal kirjalik avaldus, isik sisestab e-teeninduse kaudu oma andmed vms).

Näide: Taotleja esitab avalduse e-teeninduses ning sisestab oma nime ja kontaktandmed (e-posti

aadress, telefon, postiaadress).

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 7/9

5.2. Isikuandmete kasutamine

Kirjelda:

1) kes isikuandmeid kasutavad;

2) milleks neid kasutatakse.

Näide: Klienditeenindaja/menetleja kasutab isikuandmeid taotluse menetlemiseks.

5.3. Isikuandmete edastamine

Kirjelda, kas ja kuidas andmeid edastatakse:

1) teistele asutustele;

2) teenusepakkujatele (volitatud töötlejad).

Lisa ka edastatavad andmekoosseisud, kui erinevatele asutustele edastatavad andmed ei ole

ühetaolised.

Näide: Andmeid edastatakse Maksu- ja Tolliametile järelevalve eesmärgil. Andmeid edastatakse X-

tee andmevahetuskihi kaudu. Edastatav andmekoosseis on: …

Kui andmeid edastatakse väljapoole Euroopa Majanduspiirkonda (kolmandasse riiki), siis

kirjelda, millisesse riiki või millisele teenusepakkujale andmeid edastatakse ning milliseid

kaitsemeetmeid kasutatakse (nt Euroopa Komisjoni piisavuse otsus, EL-i tüüplepingutingimused või

muu GDPR-is sätestatud edastamise alus)

Näide 1: Isikuandmeid edastatakse Ameerika Ühendriikides asuvale pilveteenuse pakkujale. Andmete

edastamise aluseks on EL-i ja USA andmekaitseraamistik (EU–US Data Privacy Framework).

Näide 2: Isikuandmeid edastatakse Indias asuvale teenusepakkujale. Andmete edastamise aluseks on

Euroopa Komisjoni tüüplepingutingimused.

5.4. Isikuandmete säilitamine

Kirjelda:

1) kus andmeid hoitakse;

2) kui kaua.

Näide: Isikuandmeid säilitatakse 75 aastat vastavalt avaliku teenistuse seaduse § 35 lg 1 p 12-le või

kuni teenuse osutamise lõpuni, misjärel kantakse need digitaalsesse arhiivi, kuhu on juurdepääs

piiratud rollipõhiselt.

5.5. Isikuandmete kustutamine

Selgita:

1) millal andmed kustutatakse (nt 10 aastat pärast töölepingu lõpetamist, vms);

2) kuidas (nt paberkandjal hävitatakse purustamise teel, digitaalsed andmed kustutab

süsteemiadministraator pärast säilitustähtaja lõppu (nt 5 aasta pärast)).

Näide: Pärast säilitustähtaja lõppu kustutatakse andmed automaatselt.

6. RISKID JA NENDE MAANDAMISE MEETMED

Risk tähendab võimalikku olukorda, kus andmete töötlemine võib põhjustada kahju inimese eraelu

puutumatusele.

Näited:

 andmete leke (juurdepääsupiiranguga andmete avalikuks saamine);

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 8/9

 loata juurdepääs (isik, kellel ei ole õigust andmeid näha, saab neile ligipääsu);

 identiteedivargus.

Riskide tabelis kirjelda infosüsteemis juhtuda võivad võimalikud riskid ja nende maandamise

meetmed. Riskide hindamise aluseks on ameti riskijuhtimise poliitika (TT_13_P1_Riskijuhtimise

poliitika).

Riskide hindamise neljaastmeline skaala:

Riski tõenäosus:

1 – väga madal

2 – madal

3 – keskmine

4 – kõrge

Riski mõju:

1 – tähtsusetu/tühine

2 – vähene

3 – oluline e märkimisväärne

4 – kriitiline

Riski tase – leitakse riski tõenäosuse ja mõju tegurite korrutamisel:

1) madal – skoor 1-2;

2) keskmine – skoor 3-6;

3) kõrge – skoor 7-12;

4) kriitiline – skoor 13-16.

Mõjuhinnangu koostamisel:

1) kaardista ja hinda riskid, arvestades riski võimalikku mõju inimesele;

2) vali need, mis võivad infosüsteemi puhul esineda;

3) kohanda kirjeldust vastavalt hinnatavale infosüsteemile;

4) lisa riskid tabelisse.

Riski

nr

Riski

nimetus

Riski põhjus Riski

tõe-

näosus

Riski

mõju

Riski tase Riski maandamis-

tegevus

Vastutaja

1. [Riski

kokkuvõttev

nimetus]

[Riski põhjustav

toiming või tegur]

[1-4] [1-4] [madal,

keskmine,

kõrge,

kriitiline]

[Millised meetmed

võetakse/on võetud

kasutusele, et

võimalik risk oleks

viidud

vastuvõetavale

tasemele (madal,

keskmine)]

[Kes

vastutab]

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1

INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI

TÄITMISE JUHEND

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 9/9

1. Näide:

Loata

juurdepääs

isiku-

andmetele

Töötaja pääseb ligi

isikuandmetele ilma

tööalase vajaduseta

2 4 kõrge Rollipõhine ligipääs;

kasutajate tegevuste

logimine; regulaarne

ligipääsuõiguste

ülevaatus

Süsteemi

pea-

kasutaja

2. Näide:

Andmeleke

(andmete

lubamatu

avaldamine)

Isikuandmed

avaldatakse või

lekivad volitamata

isikutele (e-kiri

valele aadressile,

turvanõrkuse tõttu

satuvad isiku-

andmed avalikku

internetti)

3 3 kõrge Krüpteeritud

andmeedastus;

Turva-monitooring;

Teenistujate

koolitamine;

Teenistujad on

teadlikud

andmeleketest

teavitamise

protsessist.

Teenuse-

juht

Näited:

1. Riski nimetus: Valeandmete kasutamine

Riski kirjeldus - Süsteemis kasutatakse ebaõigeid või aegunud andmeid

Näide olukorrast - inimese aadress on vale või registriandmed pole ajakohased

Võimalik mõju - vale otsus või teenus, inimese õiguste rikkumine

Näited maandamismeetmetest - andmete kontroll teistest registritest, regulaarne andmete

uuendamine, võimalus inimesel oma andmeid parandada.

2. Riski nimetus: Andmete liiga pikk säilitamine

Riski kirjeldus - Isikuandmeid säilitatakse kauem kui vajalik

Näide olukorrast - süsteem ei kustuta aegunud andmeid

Võimalik mõju - suurem andmelekkega seotud risk; andmekaitse rikkumine

Näited maandamismeetmetest - säilitustähtaegade määramine; automaatne kustutamine;

regulaarne andmete ülevaatus.

3. Riski nimetus: Küberrünnak infosüsteemi vastu

Riski kirjeldus - Välised ründajad üritavad süsteemi sisse murda või andmeid varastada

Näide olukorrast – pahavara, teenusetõkestusrünnak

Võimalik mõju - andmete hävimine; teenuse katkestus; andmeleke

Näited maandamismeetmetest – tulemüür; turvauuendused; turvamonitooring; sissetungituvastus.

4. Riski nimetus: Süsteemi tehniline rike

Riski kirjeldus - Infosüsteem ei tööta tehnilise vea tõttu

Näide olukorrast - serveri rike, tarkvara viga

Võimalik mõju - teenuse katkestus; andmete kadumine

Näited maandamismeetmetest – varukoopiad; taastamiskava; süsteemi monitooring.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 1/9

SISUKORD

EESMÄRK ................................................................................................................................. 1

SELGITUS ................................................................................................................................. 1

1. ÜLDINFO .............................................................................................................................. 1

2. SISSEJUHATUS .................................................................................................................... 3

3. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID ............................................................... 4

4. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD ............................................................... 5

5. RISKID JA NENDE MAANDAMISE MEETMED ............................................................. 7

EESMÄRK

See juhend aitab täita Transpordiameti (edaspidi amet) isikuandmetega seotud

andmetöötlustoimingu jaoks koostatavat andmekaitsealase mõjuhinnangu vormi

(TT_04_K4_V2_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vorm).

SELGITUS

Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille käigus hinnatakse,

kuidas konkreetne andmetöötlustoiming võib mõjutada inimeste (andmesubjektide)

õigusi ja privaatsust.

Mõjuhinnangu koostamise kohustus tuleneb isikuandmete kaitse üldmääruse (IKÜM e

GDPR) artiklist 35.

Mõjuhinnang aitab:

1) saada ülevaade, milliseid isikuandmeid andmetöötlustoimingus kasutatakse;

2) hinnata võimalikke riske inimeste õigustele ja privaatsusele;

3) kavandada meetmeid nende riskide vähendamiseks.

Mõjuhinnang tuleb (tavaliselt) teha juhul, kui:

1) kavandatakse uut andmetöötlustoimingut;

2) olemasolevasse andmetöötlusse lisatakse uusi tegevusi või muudetakse selle ulatust;

3) hakatakse töötlema isikuandmeid suures mahus;

4) töödeldakse tundlikke (eriliigilisi) andmeid.

1. ÜLDINFO

Siin märgi põhiandmed andmetöötlustoimingu ja mõjuhinnangu kohta.

1.1. Andmetöötlustoimingu nimetus – Kirjuta lühidalt, mida tehakse

Näide: „Teenistujate läbipääsusüsteemi kasutamine“ või „Rinnakaamerate kasutamine

(veonduse järelevalve)“ või „Eksamisõidukites kaamerate kasutamine“ vms

1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus)

1.3. Mõjuhinnangu koostamise ajavahemik –Millal mõjuhinnang koostati

Näide:20.04.2025 – 30.05.2025

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 2/9

1.4. Mõjuhinnangu versiooni number –Näitab, mitmes dokumendi versioon on

Näide: esimene hinnang → versioon 1; täiendatud hinnang → 2, 3 jne

1.5. Hinnangu koostaja –Kirjuta:

 nimi

 ametikoht

 kontakt

Näide: Mari Maasikas, registri peakasutaja, [email protected]

1.6. Kokkuvõte – Siia kirjuta lühike kokkuvõte kogu hinnangust.

Kokkuvõte peaks vastama kolmele küsimusele:

 milleks andmetöötlustoimingut kasutatakse;

 milliseid isikuandmeid töödeldakse;

 kas riskid on vastuvõetavad.

Näide: Andmetöötlustoimingut kasutatakse territooriumi turvalisuse tagamiseks ja rikkumiste

ennetamiseks valvekaamerate abil. Töötlemise käigus töödeldakse territooriumil viibivate

isikute isikuandmeid, eelkõige videosalvestisi, millelt võib olla tuvastatav isiku välimus ja

liikumine. Riskide hindamise tulemusel tuvastati keskmise tasemega risk seoses võimaliku loata

juurdepääsuga salvestistele. Rakendatud turvameetmete (nt ligipääsupiirangud, salvestiste

säilitamise piiramine ja logimine) tõttu on andmetöötlustoiming isikuandmete kaitse

seisukohalt vastuvõetav.

1.7. Jääkrisk –Hinda, kas pärast meetmete rakendamist (nt ligipääsupiirangud, andmete

minimeerimine, pseudonüümimine, logimine, teenistujate koolitamine jne) väheneb tuvastatud

risk inimete õigustele ja vabadustele, kuid ei pruugi täielikult kaduda.

Jääkriski hindamisel tuleb arvesse võtta eelkõige:

 töödeldavate andmete liiki ja tundlikkust;

 andmetöötluse mahtu ja ulatust;

 andmesubjektidele võimaliku kahju raskust ja tõenäosust.

Sõltuvalt hinnangust võib jääkrisk olla:

 madal, kui täiendavaid olulisi ohte ei tuvastata;

 keskmine, kui riskid on kontrolli all, kuid mitte täielikult välditud;

 kõrge, kui vaatamata meetmetele võib andmetöötlus endiselt oluliselt mõjutada

andmesubjektide privaatsust.

Kui jääkrisk hinnatakse kõrgeks, tuleb enne andmetöötluse alustamist või töötlemise ajal

mõjuhinnangu tegemisel kaaluda konsulteerimist Andmekaitse Inspektsiooniga (AKI).

Kirjuta, kas on plaanis AKI-ga konsulteerida ning kui jah, siis millal ja miks seda peaks

tegema.

Näide 1 – madal jääkrisk

Jääkrisk on madal. Rakendatud turvameetmed (ligipääsupiirangud, krüpteerimine, logimine)

vähendavad riski nii, et andmetöötlust võib jätkata ilma täiendava konsulteerimiseta

Andmekaitse Inspektsiooniga.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 3/9

Näide 2 – keskmine jääkrisk

Jääkrisk on keskmine. Rakendatud turvameetmed vähendavad riski vastuvõetavale tasemele,

kuid andmetöötluse korraldamisel tuleb jälgida regulaarset auditit ja teenistujate koolitust.

Konsulteerimine Andmekaitse Inspektsiooniga ei ole vajalik.

Näide 3 – kõrge jääkrisk

Jääkrisk on kõrge. Riskid, mis jäävad alles rakendatud meetmete tõttu, võivad avaldada olulist

mõju andmesubjektide õigustele. Enne andmetöötluse alustamist tuleb konsulteerida

Andmekaitse Inspektsiooniga ning kaaluda täiendavate turvameetmete rakendamist.

1.8. Õigustatud huvi tuvastamine

Mõjuhinnangule lisaks tuleb täita õigustatud huvi tuvastamise vorm (TT_04_K4_V3_r1) ainult

siis, kui töötlemine põhineb õigustatud huvi alusel (GDPR artikkel 6 lg 1 p f).

Kui sama andmetöötlustoimingu kohta koostatakse ka andmekaitsealane mõjuhinnang,

lisatakse õigustatud huvi tuvastamise vorm mõjuhinnangu juurde.

Lihtne otsustamise reegel:

 Avalikes huvides / avaliku võimu alusel → ei ole vajalik

 Õigustatud huvi alusel → tuleb teha

 Muud alused (leping, nõusolek, seaduslik kohustus) → ei ole vajalik

Vormile märgi, kas õigustatud huvi tuvastamine on vajalik ning lisa juurde märkus.

Näide: Õigustatud huvi tuvastamine: „On vajalik. Õigustatud huvi tuvastamine on lisatud

mõjuhinnangu juurde“ või „Ei ole vajalik.“

2. SISSEJUHATUS

2.1. Mõjuhinnangu koostamise eesmärk

Selgita, miks mõjuhinnang tehakse.

Näide: Eesmärk on hinnata, kuidas teenistujate andmete töötlemine mõjutab nende privaatsust

ja kuidas riske vähendada.

2.2. Metoodika

Kirjelda lühidalt, kuidas mõjuhinnang koostati, milliseid dokumente või tööprotsesside

kirjeldusi kasutati, kellega konsulteeriti ning kuidas hinnati riske (tõenäosus ja mõju).

Kui kaasati andmekaitsespetsialist (AKS), märgi, millises etapis ja milliseid soovitusi ta andis.

Näited:

 analüüsiti andmetöötlustoiminguga seotud dokumentatsiooni ja protsesse;

 konsulteeriti töötleja, juristi või teiste asjaosalistega;

 hinnati töötlemisega seotud riske ja nende mõju;

 kaasati AKS hinnangu alg- või täiendavas etapis.

Näide kokkuvõtlikust lausest: Mõjuhinnang koostati andmetöötlustoimingu dokumentatsiooni

analüüsi ja asjaosaliste konsultatsioonide põhjal. Riskide hindamisel kasutati neljaastmelist

skaalat (tõenäosus ja mõju). Hinnangu koostamisse kaasati AKS, kes andis soovitusi

täiendavate riskide maandamiseks.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 4/9

2.3. Mõjuhinnangu ulatus e skoop

Kirjelda, millist tegevust (andmetöötlustoimingut) tehakse.

Näide: Hinnang käsitleb teenistujate liikumise andmete kogumist ja kasutamist

läbipääsusüsteemis.

3. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID

3.1. Töötlemise eesmärgid

Selgita:

1) miks isikuandmeid kogutakse;

2) milline õiguslik alus (seadus, määrus vms) seda lubab;

3) märgi IKÜM-i õiguslik alus, kas:

 nõusolek;

 lepingu täitmine;

 juriidiline kohustus

 avalikes huvides ülesande täitmine või avaliku võimu teostamine;

 õigustatud huvi.

Näide 1: Isikuandmeid töödeldakse turvalisuse tagamiseks hoonetes ja ameti territooriumil (nt

videovalve). Töötlemine toimub õigustatud huvi alusel.

Näide 2: Töötlemine toimub avaliku ülesande täitmiseks;

3.2. Töötlemise vajalikkus ja proportsionaalsus

Selgita, kas andmete töötlemine on põhjendatud.

Kirjuta:

1) miks on selline andmetöötlus vajalik;

2) kas on olemas lihtsam viis (alternatiiv);

3) kas kogutakse ainult vajalikus ulatuses andmeid (minimaalsus põhimõte);

4) kas andmesubjektil on võimalik oma isikuandmeid näha.

Näide 1: Ilma läbipääsusüsteemita ei ole võimalik tagada turvalisust.

Näide 2: Alternatiiv oleks võtta tööle valvur, kuid see ei ole piisav turvameede, sest...

Näide 3:Kogutakse ainult ees- ja perekonnanime ning hoonesse sisenemise aega.

Näide 4: Andmesubjekt saab tema kohta kogutavaid andmeid näha, kui esitab sellekohase

päringu.

3.3. Andmesubjekti õigused

Kirjelda, millised on andmesubjekti õigused arvestades andmetöötlustoimingut. Kas tal on:

 õigus oma isikuandmetega tutvuda;

 õigus isikuandmete parandamisele;

 õigus isikuandmete kustutamisele;

 õigus isikuandmete töötlemise piiramisele;

 õigus esitada vastuväiteid;

 õigus isikuandmete ülekandmisele (kui asjakohane).

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 5/9

Näide: Isikul on võimalik esitada oma andmetega tutvumiseks taotlusi e-teeninduse kaudu, e-

posti või posti teel ning büroos kohapeal. Taotlused menetletakse vastavalt kehtivale korrale.

Andmesubjektil ei ole võimalik kasutada oma õigust andmete kustutamisele või nende

kasutamise piiramisele, sest sellisel juhul ei ole ametil võimalik osutada talle enam vajalikku

teenust. Tal on õigus esitada taotlus andmete parandamiseks ning esitada töötlemise osas

vastuväiteid kuid õigust andmete ülekandmist teisele asutusele ei ole võimalik kasutada, kuna

vastavat teenust osutab vaid amet.

4. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD

Selles osa järgnevates alapunktides kirjelda isikuandmete elutsüklit – andmete teekonda alates

nende kogumisest kuni kustutamise või arhiveerimiseni. Kirjelda terviklikku ülevaadet, kuidas

andmeid konkreetses andmetöötlusprotsessis käsitletakse.

Kui mõjuhinnangu koostamise põhjuseks on olemasolevasse andmetöötlusse uu(t)e

tegevus(t)e lisamine või töötlemise ulatuse muutmine,siis kasuta alljärgnevat tabelit.

Esmakordsel mõjuhinnangu koostamisel ei ole vaja tabelit täita ning täidetaval vormil tabel

kustutada.

Jrk

nr

Hetkel olemasolev andmete töötlemise

(kogumise, kasutamise jms) protsess

Kavandatav muutus andmete töötlemise

(kogumise, kasutamise jms) protsessis

4.1. Isikuandmete kogumine

Kirjelda:

1) kelle isikuandmeid kogutakse (nt kliendid; kinnistute omanikud; piloodid,

meremehed/kaptenid; ameti teenistujad);

2) milliseid isikuandmeid kogutakse (nt nimi, e-posti aadress, posti/elukoha-aadress,

telefoni nr, kinnistu nr, pangakonto nr, teenistujate fotod, tervisetõendid jne);

3) kuidas andmeid kogutakse (nt klient esitab taotluse e-teeninduse kaudu/büroos

paberkandjal kirjalik avaldus, isik sisestab e-teeninduse kaudu oma andmed vms);

4) kas andmeid saadakse kusagilt mujalt (nt riigitöötaja iseteenindusportaal, asutuse

personaliprogramm vms);

5) kuidas tagad andmete õigsuse (nt andmeid kontrollib personaliosakond üks kord aastas

või vastavalt vajadusele);

6) kui kasutad isikute nõusolekut või õigustatud huvi (nt nõusoleku saab anda digitaalselt

ja selle saab tagasi võtta igal ajal e-posti teel/iseteenindusportaali kaudu; andmete

kogumine toimub õigustatud huvi alusel. Selleks on tehtud huvide kaalumise test, mis on

dokumenteeritud, lisatud käesolevale hinnangule ning registreeritud

dokumendihaldussüsteemis Delta).

4.2. Isikuandmete kasutamine

Kirjelda:

1) kes ja milleks andmeid kasutab (nt klienditeenindaja/menetleja kasutab isikuandmeid

taotluse menetlemiseks. Isikuandmeid ei kasutata teistel eesmärkidel; isikuandmeid

kasutatakse ka statistika koostamiseks, kuid anonüümiseeritud kujul);

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 6/9

2) kes pääseb andmetele ligi (nt ainult volitatud töötlejad; ligipääs on võimaldatud

rollipõhiselt; on juurdepääs vaid IT-osakonnal/personaliosakonnal/haldusosakonnal

vms);

3) kas tegevusi logitakse (nt kõik kasutajate tegevused logitakse, mida säilitatakse 1,5 a);

4) kas andmeid avalikustatakse (nt kogutud andmeid ei avalikustata; kogutavaid andmeid

avalikustatakse vaid anonüümseks muudetud kujul, kus isikute tuvastamine on välistatud);

5) kuidas parandatakse vigaseid andmeid (nt isik saab esitada taotluse oma andmete

parandamiseks; personalispetsialist kontrollib regulaarselt üks kord 6 kuu jooksul

andmete õigsust ning ebaõigete andmete korral parandab need koheselt);

6) kuidas inimene (andmesubjekt) saab oma andmeid näha (nt isik esitab taotluse e-posti

teel; isik saab teha allkirjastatud taotluse).

4.3. Isikuandmete edastamine

Kirjelda:

1) kas andmeid edastatakse mõnele teisele asutusele, lisa ka andmete koosseis (nt andmeid

edastatakse Politsei- ja Piirivalveametile ning Maksu-ja Tolliametile järelevalve

eesmärgil. Edastatavad andmed on: …);

2) kuidas andmeid edastatakse (nt andmeid edastatakse X-tee andmevahetuskihi kaudu;

andmete edastamine toimub andmetöötluslepingu alusel);

3) kas andmeid edastatakse väljapoole Euroopa Majanduspiirkonda (kolmandasse riiki)

(nt andmeid ei edastata kolmandatesse riikidesse).

Kui vastus on jah, kirjelda, millisesse riiki või millisele teenusepakkujale andmeid

edastatakse ning milliseid kaitsemeetmeid kasutatakse (nt Euroopa Komisjoni piisavuse

otsus, EL-i tüüplepingutingimused või muu GDPR-is sätestatud edastamise alus)

Näide 1: Isikuandmeid edastatakse Ameerika Ühendriikides asuvale pilveteenuse pakkujale.

Andmete edastamise aluseks on EL-i ja USA andmekaitseraamistik (EU–US Data Privacy

Framework).

Näide 2: Isikuandmeid edastatakse Indias asuvale teenusepakkujale. Andmete edastamise

aluseks on Euroopa Komisjoni tüüplepingutingimused.

4.4. Isikuandmete säilitamine

Kirjelda:

1) kus ja kuidas andmeid hoitakse (nt andmeid hoitakse Exceli tabelis osakonna kettal, kuhu

on ligipääs vaid tabeli omanikul/osakonna juhatajal vms);

2) kui kaua andmeid säilitatakse (nt isikuandmeid säilitatakse 75 aastat vastavalt avaliku

teenistuse seaduse § 35 lg 1 p 12-le või kuni teenuse osutamise lõpuni, misjärel andmed

kustutatakse kui seadusest ei tulene teine säilitustähtaeg);

3) kes pääseb andmetele ligi (nt ligipääs isikuandmetele on haldusosakonnal rollipõhiselt)

4) millised on turvameetmed (nt andmeid hoitakse ainult asutuse infosüsteemides või

piiratud ligipääsuga võrgukettal; andmetele pääsevad ligi üksnes tööülesannete täitmiseks

volitatud töötajad; ligipääs on kaitstud kasutajatunnuse ja parooliga ning andmete

edastamisel kasutatakse turvalisi lahendusi).

4.5. Isikuandmete kustutamine

Kirjelda:

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 7/9

1) millal andmed kustutatakse (nt andmed kustutatakse pärast ühe (1) aasta möödumist;

andmeid ei kustutata, vaid pärast seitsme (7) kuu möödumist isikuandmed anonümiseeritakse

ning säilitatakse anonüümse statistikana).

2) kuidas kustutamine toimub (nt andmed kustuvad süsteemis automaatselt; andmed kustutab

IT-osakond pärast ühe (1) aasta möödumist; andmed kustutatakse käsitsi).

3) kas inimene ise saab nõuda oma andmete kustutamist (nt andmesubjekt saab vastavalt

GDPR-ile taotleda oma andmete kustutamist; andmesubjektil ei ole võimalik kasutada oma

õigust andmete kustutamisele, sest sellisel juhul ei ole ametil võimalik osutada talle enam

vajalikku teenust).

5. RISKID JA NENDE MAANDAMISE MEETMED

Risk tähendab võimalikku olukorda, kus andmete töötlemine võib põhjustada kahju inimese

eraelu puutumatusele.

Näited:

 andmete leke (juurdepääsupiiranguga andmete avalikuks saamine);

 loata juurdepääs (isik, kellel ei ole õigust andmeid näha, saab neile ligipääsu);

 identiteedivargus.

Riskide tabelis kirjelda andmetöötlustoiminguga juhtuda võivad võimalikud riskid ja nende

maandamise meetmed. Riskide hindamise aluseks on ameti riskijuhtimise poliitika

(TT_13_P1_Riskijuhtimise poliitika).

Riskide hindamise neljaastmeline skaala:

Riski tõenäosus:

1 – väga madal

2 – madal

3 – keskmine

4 – kõrge

Riski mõju:

1 – tähtsusetu/tühine

2 – vähene

3 – oluline e märkimisväärne

4 – kriitiline

Riski tase – leitakse riski tõenäosuse ja mõju tegurite korrutamisel:

1) madal – skoor 1-2;

2) keskmine – skoor 3-6;

3) kõrge – skoor 7-12;

4) kriitiline – skoor 13-16.

Mõjuhinnangu koostamisel:

1) kaardista ja hinda riskid, arvestades riski võimalikku mõju inimesele;

2) vali need, mis võivad andmetöötlustoimingu puhul esineda;

3) kohanda kirjeldust vastavalt hinnatavale isikuandmete töötlemise toimingule;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 8/9

4) lisa riskid tabelisse.

Riski

nr

Riski

nimetus

Riski põhjus Riski

tõe-

näosus

Riski

mõju

Riski tase Riski maandamis-

tegevus

Vastutaja

1. [Riski

kokkuvõttev

nimetus]

[Riski põhjustav

toiming või tegur]

[1-4] [1-4] [madal,

keskmine,

kõrge,

kriitiline]

[Millised meetmed

võetakse/on võetud

kasutusele, et

võimalik risk oleks

viidud

vastuvõetavale

tasemele (madal,

keskmine)]

[Kes

vastutab]

1. Näide:

Isikuandmete

töötlemine

ilma

õigusliku

aluseta

Kontaktandmeid,

mis koguti teenuse

osutamiseks,

kasutatakse hiljem

teavituste või

uuringute

saatmiseks

2 3 keskmine Õigusliku aluse

dokumenteerimine;

eesmärgipärasuse

kontroll enne uue

töötlemise

alustamist;

regulaarne

andmetöötluse

ülevaatus.

Teenuse

juht

(töötlemis

toimingu

omanik)

2. Näide:

Kaamerate

kasutamine

ulatuses, mis

ülemäära

riivab

inimeste

eraelu

Kaamera salvestab

lisaks sissepääsule

ka avaliku kõnnitee

või naaberkinnistu

ala. Samuti puudub

selge teave

videovalve kohta

või salvestisi

säilitatakse

põhjendamatult

kaua.

3 3 kõrge kaamera vaatevälja

piiramine üksnes

vajalikule alale;

videovalve eesmärgi

ja vajalikkuse

hindamine; selge

teavituse

paigaldamine;

salvestiste säilitusaja

piiramine;

juurdepääsu

piiramine

salvestistele ning

regulaarne

ülevaatus, kas

videovalve on

endiselt vajalik.

Teenuse

juht

(töötlemis

toimingu

omanik)

Näited:

1. Riski nimetus: Isikuandmete töötlemine ilma õigusliku aluseta

Riski kirjeldus – isikuandmeid töödeldakse ilma kehtiva õigusliku aluseta või kasutatakse neid

eesmärgil, milleks neid ei kogutud.

Näide olukorrast – kontaktandmeid, mis koguti teenuse osutamiseks, kasutatakse hiljem

teavituste või uuringute saatmiseks ilma sobiva õigusliku aluseta.

Võimalik mõju – isiku eraelu puutumatuse rikkumine; ebaseaduslik andmetöötlus; usalduse

vähenemine.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1

ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE

MÕJUHINNANGU VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 9/9

Näited maandamismeetmetest – õigusliku aluse dokumenteerimine; eesmärgipärasuse

kontroll enne uue töötlemise alustamist; regulaarne andmetöötluse ülevaatus.

2. Riski nimetus: Liigne isikuandmete kogumine

Riski kirjeldus – kogutakse rohkem isikuandmeid kui eesmärgi saavutamiseks vajalik.

Näide olukorrast – teenuse taotlemisel küsitakse terviseandmeid, kuigi neid teenuse

osutamiseks vaja ei ole.

Võimalik mõju – suurem mõju andmelekkega seotud juhtumi korral; andmete minimaalsuse

põhimõtte rikkumine.

Näited maandamismeetmetest – andmeväljade ülevaatamine; minimaalsuse põhimõtte

rakendamine; regulaarne vormide ja protsesside hindamine.

3. Riski nimetus: Andmesubjekti õiguste piiramine

Riski kirjeldus – isikul ei ole võimalik kasutada oma õigusi või nende täitmine viibib.

Näide olukorrast – parandamis- või kustutamistaotlusi ei menetleta õigeaegselt.

Võimalik mõju – ebaõigete andmete kasutamine; isiku õiguste rikkumine.

Näited maandamismeetmetest – selge õiguste menetlemise kord; vastutajate määramine;

tähtaegade jälgimine.

4. Riski nimetus: Kaamerate kasutamine ulatuses, mis ülemäära riivab inimeste eraelu

Riski kirjeldus - videovalve käigus kogutakse isikuandmeid laiemas ulatuses, kui on töötlemise

eesmärgi saavutamiseks vajalik, või jälgitakse inimesi viisil, millega nad ei saa mõistlikult

arvestada.

Näide olukorrast - kaamera salvestab lisaks sissepääsule ka avaliku kõnnitee või

naaberkinnistu ala. Samuti puudub selge teave videovalve kohta või salvestisi säilitatakse

põhjendamatult kaua.

Võimalik mõju - inimeste eraelu puutumatuse põhjendamatu riive; isikute pideva jälgimise

tunne; andmekaitsenõuete rikkumine.

Näited maandamismeetmetest – kaamera vaatevälja piiramine üksnes vajalikule alale;

videovalve eesmärgi ja vajalikkuse hindamine; selge teavituse paigaldamine; salvestiste

säilitusaja piiramine; juurdepääsu piiramine salvestistele ning regulaarne ülevaatus, kas

videovalve on endiselt vajalik.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1

ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 1/3

SISUKORD

EESMÄRK ................................................................................................................................. 1

SELGITUS ................................................................................................................................. 1

1. ÜLDINFO .............................................................................................................................. 1

2. ÕIGUSTATUD HUVI ANALÜÜS ....................................................................................... 2

3. JÄRELDUS ............................................................................................................................ 3

EESMÄRK

See juhend aitab täita Transpordiameti (edaspidi amet) õigustatud huvi tuvastamise vormi.

(TT_04_K4_V3_Õigustatud huvi tuvastamise vorm).

SELGITUS

Õigustatud huvi tuvastamine on analüüs, mille käigus hinnatakse, kas isikuandmete töötlemine

võib toimuda õigustatud huvi alusel vastavalt isikuandmete kaitse üldmääruse (GDPR) artikli

6 lõike 1 punktile f.

Õigustatud huvi tuvastamise eesmärk on hinnata:

1. kas ametil on isikuandmete töötlemiseks õigustatud huvi;

2. kas isikuandmete töötlemine on eesmärgi saavutamiseks vajalik;

3. kas ameti huvi on kaalukam kui andmesubjekti e inimese õigused ja vabadused.

Õigustatud huvi tuvastamine tuleb teha ainult siis, kui isikuandmete töötlemise õiguslikuks

aluseks on õigustatud huvi (Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill

2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise

ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (IKÜM) artikkel 6 lõige 1 punktile f).

Vt isikuandmete töötlemise korra punkte 6.1. ja 6.2.

Kui sama andmetöötlustoimingu kohta koostatakse andmekaitsealane mõjuhinnang,

lisatakse õigustatud huvi tuvastamine mõjuhinnangu juurde.

Kui mõjuhinnangu koostamise kohustust ei ole, koostatakse õigustatud huvi analüüs iseseisva

dokumendina.

1. ÜLDINFO

Siin märgi põhiandmed õigustatud huvi analüüsi kohta.

1.1. Andmetöötlustoimingu nimetus – Kirjuta lühidalt, millist andmetöötlustoimingut

hinnatakse.

Näiteks: „Videovalve ameti hoonetes“ või „Teenistujate läbipääsusüsteem“ või „Külastajate

registreerimine“.

1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus)

1.3. Koostamise ajavahemik –Märgi analüüsi koostamise aeg

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1

ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 2/3

Näide:“20.04.2025 – 30.05.2025“ või „20.04.2025“

1.4. Koostaja –Kirjuta:

 nimi

 ametikoht

 kontakt

Näide: Mari Maasikas, registri peakasutaja, [email protected]

2. ÕIGUSTATUD HUVI ANALÜÜS

Õigustatud huvi hindamisel kasutatakse kolmeastmelist testi (eesmärk, vajalikkus ja mõju

inimesele).

2.1. Töötlemise eesmärk

Kirjelda:

 milleks isikuandmeid töödeldakse;

 millist õigustatud huvi soovitakse kaitsta.

Näiteks: „Isikuandmeid töödeldakse ameti vara ja töötajate turvalisuse tagamiseks ning

õigusrikkumiste ennetamiseks“; „Videovalve eesmärk on kaitsta ameti vara ning tagada

teenistujate ja külastajate turvalisus“.

2.2. Töötlemise vajalikkus

Selgita:

 miks on isikuandmete töötlemine eesmärgi saavutamiseks vajalik;

 millist töötlemise meetodit kavatsetakse eesmärgi saavutamiseks kasutada;

 kas sama eesmärki oleks võimalik saavutada isikuandmeid töötlemata või vähem

isikuandmeid kasutades;

 miks valitud lahendus on kõige sobivam.

Näiteks: „Eesmärgi saavutamiseks kavatsetakse kasutada videovalvet, mille abil jälgitakse

valvatavat ala ja salvestatakse seal toimuvad sündmused.“; „Alternatiivina kaaluti mehitatud

valvet, kuid see ei võimalda rikkumisi hiljem tõendada ning oleks oluliselt kulukam.“;

„Turvalisust ei ole võimalik tagada üksnes valvesiltide või pisteliste kontrollidega. Videovalve

võimaldab rikkumisi ennetada ning vajaduse korral juhtumeid hiljem kontrollida.“

2.3. Mõju andmesubjektile

Hinda, kuidas töötlemine mõjutab inimese õigusi ja privaatsust.

Kirjelda näiteks:

 kas inimene võib sellist töötlemist mõistlikult eeldada;

 milliseid isikuandmeid töödeldakse;

 kas töödeldakse eriliigilisi andmeid;

 kui ulatuslik on töötlemine (andmesubjektide arv, töödeldavate andmete hulk ja töötlemise

kestus);

 kas töötlemine võib põhjustada inimesele kahju või ebamugavusi.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1

ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND

Kinnitatud: 03.09.2026 nr 1.1-1/26/123 3/3

Näide: Hinnang käsitleb teenistujate liikumise andmete kogumist ja kasutamist

läbipääsusüsteemis. Eesmärgi saavutamiseks kasutatakse elektroonilist läbipääsusüsteemi, mis

registreerib teenistuja sisenemise ja väljumise. Töötlemine puudutab ligikaudu 50 teenistujat

ning andmeid säilitatakse 30 päeva. Eriliigilisi isikuandmeid ei töödelda. Töötlemine võib

vähesel määral mõjutada teenistujate privaatsust, kuna nende liikumise kohta kogutakse

andmeid.“

2.4. Kaitsemeetmed

Kirjelda meetmed, millega vähendatakse andmetöötlustoimingu mõju inimese õigustele.

Näited:

 ligipääsupiirangud;

 logimine;

 säilitamistähtaja piiramine;

 andmete minimeerimine;

 töötajate koolitamine;

 infotahvlid või privaatsusteavitus;

 õigus esitada vastuväide.

2.5. Kaalumise tulemus

Hinda, kas:

 ameti huvi on kaalukam kui andmesubjekti(de) õigused ja vabadused;

 isikuandmete töötlemine on selle saavutamiseks vajalik;

 õigustatud huvi on olemas.

Näiteks: „Ameti õigustatud huvi on olemas ning isikuandmete töötlemine on selle eesmärgi

saavutamiseks vajalik. Rakendatud kaitsemeetmeid arvestades on mõju andmesubjektidele

piiratud ning töötlemine ei riiva nende õigusi ja vabadusi ülemääraselt. Seetõttu on ameti huvi

käesoleval juhul kaalukam kui andmesubjektide õigused ja vabadused.“

3. JÄRELDUS

Tee kokkuvõte.

Näide 1: Analüüsi tulemusel on leitud, et isikuandmete töötlemine vastab GDPR artikli 6 lõike

1 punktis f sätestatud tingimustele. Töötlemine on eesmärgi saavutamiseks vajalik,

proportsionaalne ning rakendatud kaitsemeetmed vähendavad mõju andmesubjektide õigustele

vastuvõetava tasemeni.

Näide 2: Õigustatud huvi kaalumise tulemusel leiti, et isikuandmete töötlemine on vajalik ning

rakendatud kaitsemeetmete tõttu ei kaalu andmesubjektide õigused üles vastutava töötleja

õigustatud huvi. Isikuandmete töötlemine võib toimuda GDPR artikli 6 lõike 1 punkti f alusel.

Näide 3: Huvide kaalumise tulemusel leiti, et andmesubjekti õigused kaaluvad üles vastutava

töötleja õigustatud huvi. Seetõttu ei saa õigustatud huvi kasutada isikuandmete töötlemise

õigusliku alusena ning tuleb valida muu õiguslik alus või muuta andmetöötluse korraldust.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 1/14

SISUKORD

1. ÜLDSÄTTED ............................................................................................................................. 2

1.1. Eesmärk ja reguleerimisala ......................................................................................................... 2

1.2. Sihtrühm ...................................................................................................................................... 2

2. MÕISTED JA LÜHENDID........................................................................................................ 2

3. OSAPOOLED JA VASTUTUS ................................................................................................. 4

4. SEOTUD DOKUMENDID ........................................................................................................ 5

4.1. Õigusaktid ................................................................................................................................... 5

4.2. Seotud juhendid ja muud dokumendid ....................................................................................... 5

5. ISIKUANDMETE TÖÖTLEMINE ........................................................................................... 6

5.1. Isikuandmete töötlemise põhimõtted .......................................................................................... 6

5.2. Isikuandmete töötlemise õiguslikud alused ................................................................................ 7

5.3. Andmesubjekti õigused ............................................................................................................... 7

5.4. Isikuandmete töötlemine tööprotsessides ................................................................................... 8

5.5. Isikuandmeid sisaldava teabe väljastamine ................................................................................ 9

6. ÕIGUSTATUD HUVI ................................................................................................................ 9

6.2. Ameti õigustatud huvi ............................................................................................................... 10

6.3. Kolmandate isikute õigustatud huvi ......................................................................................... 10

7. ISIKUANDMETE TÖÖTLEMISTOIMINGUTE REGISTER ............................................... 11

8. ISIKUANDMETE TÖÖTLEMISEGA SEOTUD RIKKUMISEST TEAVITAMINE JA

RIKKUMISE MENETLEMINE .............................................................................................. 12

9. ANDMEKAITSEALANE MÕJUHINNANG ......................................................................... 13

10. KOOLITUS JA TEADLIKKUS ............................................................................................... 13

11. TOETAVAD INFOSÜSTEEMID ............................................................................................ 14

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 2/14

1. ÜLDSÄTTED

1.1. Eesmärk ja reguleerimisala

1.1.1. Käesoleva korra eesmärk on reguleerida Transpordiameti (edaspidi amet) isikuandmete

töötlemist ja sätestada isikuandmete kaitse korralduse põhialused kooskõlas õigusaktidega

ning määrata kindlaks isikuandmete töötlemise põhimõtted. Kord käsitleb üksnes

isikuandmete kaitset ega reguleeri kogu ameti teabe kaitset.

1.1.2. Käesolevat korda kohaldatakse kõikidele ameti tööprotsessidele ja tegevustele, mille käigus

töödeldakse isikuandmeid, kui õigusaktidest või teistest ameti sisemistest õigusaktidest ei

tulene teisiti. Vajaduse korral korraldab struktuuriüksuse või teenuse juht oma

vastutusvaldkonnas isikuandmete töötlemist puudutavate täiendavate juhiste koostamise.

1.1.3. Isikuandmeid sisaldavate dokumentide juurdepääsupiirangud, säilitustähtajad ja liigitus on

kehtestatud ameti dokumentide liigitusskeemis.

1.1.4. Käesolev kord lähtub Euroopa Liidu isikuandmete kaitse üldmäärusest (GDPR), isikuandmete

kaitse seadusest ning teistest isikuandmete töötlemist reguleerivatest õigusaktidest.

1.1.5. Kord tehakse teenistujatele kättesaadavaks tööle asumisel ja oluliste muudatuste tegemisel

ning avaldatakse juhendite keskkonnas.

1.2. Sihtrühm

Korra sihtrühmaks on kõik ameti ametnikud ja töölepingulised töötajad ning praktikandid (edaspidi

teenistujad), kes oma tööülesannete täitmisel töötlevad isikuandmeid.

2. MÕISTED JA LÜHENDID

2.1. AKS – andmekaitsespetsialist. Andmekaitsespetsialist on asutuse määratud isik, kes nõustab

isikuandmete töötlemise küsimustes, aitab tagada isikuandmete kaitse nõuete täitmist ning on

kontaktisikuks Andmekaitse Inspektsiooniga suhtlemisel.

2.2. Andmekaitse – füüsiliste isikute isikuandmete kaitse, mille eesmärk on tagada, et

isikuandmeid kogutakse, kasutatakse, säilitatakse ja töödeldakse turvaliselt, ainult õigustatud

eesmärkidel ning selleks volitatud isikute poolt.

2.3. Andmesubjekt –füüsiline isik, kelle andmeid töödeldakse. Ameti teenistujad on samuti

andmesubjektid.

2.4. Anonümiseerimine –isikuandmete töötlemine viisil, mille tulemusena ei ole võimalik enam

isikut tuvastada. Anonümiseerimine on pöördumatu protsess, mille käigus eemaldatakse

seosed konkreetse isikuga. Anonüümseks muudetud andmete puhul ei kohaldata isikuandmete

kaitse reegleid.

2.5. GDPR – Euroopa Liidu isikuandmete kaitse üldmäärus (EL) 2016/679. Kasutatakse ka

lühendit IKÜM.

2.6. Isikuandmed – andmed füüsilise isiku (andmesubjekti) kohta, keda saab otseselt või kaudselt

tuvastada, eelkõige tema nime, isikukoodi, asukohateabe (e-post, aadress),

võrguidentifikaatori, füüsilise (välimus, hääl jne), vaimse, majandusliku, kultuurilise või

sotsiaalse tunnuse põhjal. Isikuandmed hõlmavad ka eriliigilisi isikuandmeid (rassiline või

etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused, ametiühingusse

kuulumine, terviseandmed, biomeetrilised andmed, geneetilised andmed, andmed isiku

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 3/14

seksuaalelu ja seksuaalse sättumuse kohta), mille töötlemine on lubatud üksnes GDPR artikli

9 lõikes 2 sätestatud tingimustel.

2.7. Isikuandmete töötlemine –isikuandmetega tehtav, mis tahes toiming (e

andmetöötlustoiming) või mitu toimingut, sealhulgas kogumine, dokumenteerimine,

korrastamine, säilitamine, kohandamine või muutmine, päringute tegemine, lugemine,

vaatamine, kasutamine, väljavõtete tegemine, ristkasutamine, edastamise, levitamise või muul

moel kättesaadavaks tegemise teel avalikustamine, ühendamine, piiramine, kustutamine või

hävitamine sõltumata toimingute teostamise viisist ja kasutatavatest vahenditest.

2.8. Isikuandmetega seotud rikkumine –isikuandmetega seotud turvanõuete rikkumine, mille

tagajärjel toimub isikuandmete juhuslik või õigusvastane hävimine, kadumine, muutmine,

loata avaldamine või neile juurdepääs.

2.9. Kolmas isik – füüsiline või juriidiline isik, asutus või organisatsioon, kes ei ole andmesubjekt,

amet ega ameti volitatud töötleja ning kellele võidakse õigusliku aluse olemasolul

isikuandmeid väljastada.

2.10. Pseudonümiseerimine –isikuandmete töötlemine viisil, mille tulemusel ei saa enam

isikuandmeid seostada konkreetse isikuga. Isikuga seostamiseks vajalikku täiendavat teavet

hoitakse eraldi, isikuga mitteseostamine tagatakse tehniliste ja korralduslike meetmetega

(krüpteerimine, eraldi serveri asukoht vms).

2.11. Struktuuriüksuse juht – käesoleva korra tähenduses isik, kellele on ameti töökorralduse või

ametijuhendi alusel antud vastutus struktuuriüksuse või valdkonna juhtimise eest, sõltumata

tema ametinimetusest.

2.12. Vastutav töötleja - isik või organisatsioon, kes otsustab, miks ja kuidas isikuandmeid

töödeldakse. Vastutav töötleja määrab isikuandmete töötlemise eesmärgid, õigusliku aluse ja

peamised tingimused ning vastutab selle eest, et isikuandmete töötlemine toimuks kooskõlas

õigusaktidega. Sõlmib andmevahetuslepingud volitatud töötlejaga või kolmanda isikuga tema

poolt põhjendatud õigustatud huvi korral. Hindab andmekaitsealase mõjuhinnangu vajalikkust

ning korraldab selle koostamise. Teavitab vajadusel isikuandmete töötlemise rikkumisest

järelevalveasutust ja andmesubjekte.

Käesoleva korra tähenduses on amet üldjuhul vastutav töötleja nende isikuandmete osas, mida

ta töötleb oma ülesannete täitmiseks.

2.13. Volitatud töötleja – isik või organisatsioon, kes töötleb isikuandmeid vastutava töötleja nimel

ja tema juhiste alusel. Volitatud töötleja ei otsusta iseseisvalt isikuandmete töötlemise

eesmärkide üle, vaid kasutab andmeid üksnes kokkulepitud teenuse osutamiseks või ülesande

täitmiseks. Informeerib viivitamata vastutavat töötlejat isikuandmetega seotud rikkumistest

ning aitab kaasa rikkumiste lahendamisele. Kaasab alamtöötlejaid ainult vastutava töötleja

loal. Alamtöötlejate kaasamine peab olema dokumenteeritud ja tõendatav. Pärast lepingu

lõppemist tagastab või kustutab isikuandmed vastutava töötlejaga kokkulepitud aja jooksul

oma süsteemidest, logidest ja varukoopiatest. Aitab vajadusel andmekaitsealase

mõjuhinnangu koostamisel.

Volitatud töötlejateks võivad olla näiteks infosüsteemide haldajad, IT-teenuse pakkujad,

pilveteenuse osutajad või muud koostööpartnerid, kellele on tööülesannete täitmiseks antud

juurdepääs isikuandmetele.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4/14

3. OSAPOOLED JA VASTUTUS

Osapool Vastutus ja ülesanded

Juhtkond Vastutab selle eest, et asutuses on loodud tingimused isikuandmete

õiguspäraseks, turvaliseks, eesmärgipäraseks ja läbipäistvaks

töötlemiseks ning need on kooskõlas kehtivate õigusaktide ja ameti

sisemiste reeglitega.

Kehtestab vajalikud töökorralduslikud ja tehnilised meetmed, määrab

andmekaitsealased rollid ja vastutajad.

Toetab andmekaitsenõuete rakendamist kogu asutuses.

Toote- ja teenusejuht Vastutab oma toote/teenuse raames isikuandmete töötlemise eesmärgi

ja ulatuse määratlemise ning õiguspärase korraldamise eest.

Teeb koostööd AKS-i ja infoturbejuhiga, tagades, et isikuandmete

töötlemine toimub üksnes teenuse osutamiseks vajalikus ulatuses ning

kooskõlas kehtivate õigusaktide ja sisemiste kordadega.

Teenistuja Vastutab oma pädevuse piires, et ta töötleb isikuandmeid seaduslikult,

eesmärgipäraselt ja minimaalses mahus, järgib kehtivaid õigusakte ja

ameti sisemisi reegleid.

Teavitab viivitamata AKS-i võimalikest isikuandmete töötlemise

rikkumistest ja teeb koostööd AKS-iga.

Osaleb isikuandmete töötlemise alastel koolitustel.

Peakasutaja Vastutab oma vastutusalas oleva infosüsteemi või andmekogu

isikuandmete töötlemise protsesside kirjeldamise ning asjakohase

sisendi andmise eest andmesubjektide pöördumiste, andmekaitsealaste

mõjuhinnangute ja isikuandmetega seotud rikkumiste menetlemisel.

Andmekaitsespetsialist

(AKS)

Koordineerib asutuses isikuandmete töötlemise nõuete täitmist ning

toetab teenistujaid isikuandmete õiguspärasel ja turvalisel töötlemisel:

1. juhendab, nõustab ja vajaduse korral koolitab teenistujaid

isikuandmete töötlemise nõuete täitmisel;

2. toetab isikuandmete kaitse üldmäärusest ja muudest õigusaktidest

tulenevate nõuete rakendamist;

3. jälgib isikuandmete töötlemise põhimõtete ja nõuete järgimist

ning teeb ettepanekuid juhendite ja protseduuride

ajakohastamiseks;

4. peab isikuandmete töötlemistoimingute registrit ning kontrollib

koostöös struktuuriüksuse juhiga vähemalt üks kord aastas selle

ajakohasust;

5. nõustab andmekaitsealase mõjuhinnangu vajalikkuse hindamisel

ja läbiviimisel;

6. hindab isikuandmetega seotud rikkumisi, dokumenteerib need,

koordineerib nende käsitlemist ning vajaduse korral teavitab

Andmekaitse Inspektsiooni (edaspidi AKI) ja andmesubjekte.

Vajaduse korral teeb koostööd infoturbejuhiga ning edastab

teenistuskohustuste rikkumise või pahatahtliku tegevuse

kahtlusega juhtumid sisekontrolörile;

7. teeb koostööd AKI-ga, on kontaktisik isikuandmete töötlemise

küsimustes ning koordineerib vajaduse korral ettekirjutuste

täitmist;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 5/14

8. menetleb oma pädevuse piires andmesubjektide pöördumisi ning

nõustab teenistujaid nende menetlemisel ja vastuste koostamisel.

Vajaduse korral kaasab asjaomased struktuuriüksused ja

infosüsteemide vastutavad isikud.

Lähtub oma ülesannete täitmisel isikuandmete töötlemisega seotud

riskidest, arvestades töödeldavate andmete olemust, mahtu ja

töötlemise eesmärki.

Õigusosakonna jurist Nõustab AKS-i ja teenistujaid isikuandmete kaitse õigusalastes

küsimustes.

Infoturbejuht Koordineerib isikuandmete töötlemise kaitseks rakendatavaid

infoturbe meetmeid ning infoturbeintsidentide käsitlemist vastavalt

asutuse infoturbealastele dokumentidele. Teeb koostööd AKS-iga

isikuandmete töötlemisega seotud infoturberiskide hindamisel ja

infoturbemeetmete kavandamisel.

Sisekontrolör Menetleb teenistuskohustuste rikkumisena käsitletavaid

andmekaitsealaseid rikkumisi.

4. SEOTUD DOKUMENDID

4.1. Õigusaktid

 Avaliku teabe seadus (AvTS)

 Haldusmenetluse seadus (HMS)

 Isikuandmete kaitse seadus (IKS)

 Isikuandmete kaitse üldmäärus (Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679,

27. aprill 2016), (GDPR)

4.2. Seotud juhendid ja muud dokumendid

 TT_04_K4_V1_Infosüsteemi andmekaitsealase mõjuhinnangu vorm

 TT_04_K4_V1_Lisa_1_Infosüsteemi andmekaitsealase mõjuhinnangu vormi täitmise

juhend

 TT_04_K4_V2_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vorm

 TT_04_K4_V2_Lisa_1_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vormi

täitmise juhend

 TT_04_K4_V3_Õigustatud huvi tuvastamise vorm

 TT_04_K4_V3_Lisa_1_Õigustatud huvi tuvastamise vormi täitmise juhend

 TT_07_K2_Analüütika ja andmete kord

 TT_07_K1_Andmehalduse kord

 TT_04_K1_Dokumentide haldamise kord

 TT_03_K1_Infosüsteemide kasutamise kord

 TT_03_P1_Infoturbe poliitika

 TT_13_P1_Riskijuhtimise poliitika

 TT_13_K3_Sisekontrolli kord

 AKI isikuandmete töötlemise üldjuhend

 AKI õigustatud huvi juhend

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 6/14

5. ISIKUANDMETE TÖÖTLEMINE

5.1. Isikuandmete töötlemise põhimõtted

Amet tagab isikuandmete töötlemise kooskõlas käesolevas korras sätestatud põhimõtetega.

Teenistuja on kohustatud oma tööülesannete täitmisel neid põhimõtteid järgima ning tegutsema

kooskõlas vastutava töötleja juhiste ja õigusaktidega.

5.1.1. Seaduslikkus, õiglus ja läbipaistvus – amet on isikuandmete töötlemisel vastutav töötleja,

kes töötleb isikuandmeid üksnes õiguslikul alusel ning tagab, et töötlemine on õiglane,

läbipaistev ja andmesubjektidele arusaadavalt selgitatud. Teave isikuandmete töötlemise

kohta avaldatakse ameti veebilehel.

Teenistuja töötleb isikuandmeid üksnes tööülesande täitmiseks ja õiguslikul alusel.

5.1.2. Eesmärgipärasus – amet määrab enne töötlemist kindlaks isikuandmete töötlemise

eesmärgid.

Teenistuja töötleb isikuandmeid ainult kindlaksmääratud eesmärgil ega kasuta neid

eesmärgiga vastuolus oleval viisil.

5.1.3. Minimaalsus – amet korraldab tööprotsessid ja infosüsteemid viisil, mis toetab üksnes

vajalike isikuandmete töötlemist.

Teenistuja töötleb ainult neid isikuandmeid, mis on vajalikud tööülesande täitmiseks.

5.1.4. Õigsus – amet rakendab asjakohaseid korralduslikke ja tehnilisi meetmeid töödeldavate

isikuandmete õigsuse ja ajakohasuse tagamiseks.

Teenistuja kontrollib võimaluse korral kasutatavate isikuandmete õigsust ning parandab või

ajakohastab ebaõiged andmed või algatab nende parandamise.

5.1.5. Säilitamise piirang – amet lähtub isikuandmete säilitamisel õigusaktides, lepingutes ja ameti

dokumentide liigitusskeemis kehtestatud säilitustähtaegadest ning tagab nende järgimiseks

vajalikud korralduslikud ja tehnilised meetmed.

Teenistuja järgib kehtestatud säilitustähtaegu ning ei säilita isikuandmeid kauem, kui see on

vajalik või õigusaktidest tulenevalt lubatud.

Kui isikuandmete säilitamiseks puudub õiguslik alus, korraldab vastutav teenistuja või

infosüsteemi peakasutaja andmete kustutamise, anonüümiseerimise või muu õigusaktidele või

ameti sisemisele korrale vastava toimingu.

5.1.6. Usaldusväärsus ja konfidentsiaalsus – amet tagab isikuandmete kaitse loata või

õigusvastase töötlemise ning põhjendamatu avaldamise eest.

Teenistuja töötleb isikuandmeid üksnes oma tööülesannete täitmiseks ning on kohustatud

hoidma talle teatavaks saanud isikuandmeid konfidentsiaalsena ka pärast teenistus- või

töösuhte lõppemist, kui õigusaktidest ei tulene teisiti.

Isikuandmete töötlemiseks kasutatakse ainult asutuse poolt ettenähtud või heaks kiidetud

infosüsteeme ja muid tehnilisi vahendeid.

5.1.7. Vastutus – amet vastutab isikuandmete töötlemise õiguspärasuse eest, peab

töötlemistoimingute üle arvestust ning tagab nende dokumenteerituse ja tõendatavuse.

Teenistuja vastutab oma tööülesannete piires käesolevas korras sätestatud nõuete järgimise

eest ning peab suutma põhjendada isikuandmete töötlemise eesmärki ja õiguslikku alust.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 7/14

5.2. Isikuandmete töötlemise õiguslikud alused

Amet töötleb isikuandmeid üksnes juhul, kui selleks on olemas õiguslik alus. Isikuandmete

töötlemine võib toimuda eelkõige järgmistel alustel:

5.2.1. Seadusest tulenev kohustus - kui isikuandmete töötlemine on vajalik ameti suhtes kehtivast

seadusest, määrusest või muust õigusaktist tuleneva kohustuse täitmiseks.

Näide: amet töötleb isikuandmeid seaduses sätestatud registri pidamiseks või

järelevalvemenetluse läbiviimiseks.

5.2.2. Avaliku ülesande täitmine - kui isikuandmete töötlemine on vajalik ametile õigusaktidega

pandud ülesannete täitmiseks või avaliku võimu teostamiseks.

Näide: amet töötleb isikuandmeid taotluse menetlemisel või haldusotsuse tegemisel.

5.2.3. Lepingu täitmine - kui isikuandmete töötlemine on vajalik andmesubjektiga sõlmitud

lepingu täitmiseks või lepingu sõlmimisele eelnevate toimingute tegemiseks andmesubjekti

taotlusel.

Näide: amet töötleb füüsilisest isikust lepingupartneri kontakt- ja arveldusandmeid lepingu

sõlmimiseks ja täitmiseks.

5.2.4. Õigustatud huvi - kui isikuandmete töötlemine on vajalik ameti või kolmanda isiku

põhjendatud huvi saavutamiseks ning andmesubjekti õigused ja huvid ei kaalu seda huvi üles.

Õigustatud huvi alusel töötlemine on lubatud üksnes pärast huvide kaalumist ning kooskõlas

käesolevas korras sätestatud tingimustega.

Näide: amet töötleb turvakaamerate salvestisi vara ja isikute kaitseks või hindab kolmanda

isiku õigustatud huvi alusel esitatud andmete saamise taotlust.

5.2.5. Nõusolek - erandjuhtudel, kui ükski muu õiguslik alus ei kohaldu ning isik on andnud

vabatahtliku, konkreetse, teadliku ja üheselt mõistetava (soovitavalt kirjaliku) nõusoleku oma

isikuandmete töötlemiseks. Andmesubjektil on õigus nõusolek igal ajal tagasi võtta.

Näide: amet avaldab isiku (nt teenistuja) foto oma veebilehel või sotsiaalmeediakanalis isiku

eelneval kirjalikul nõusolekul.

5.3. Andmesubjekti õigused

5.3.1. Olenevalt isikuandmete töötlemise õiguslikust alusest ja töötlemise asjaoludest on

andmesubjektil õigus:

 saada teavet selle kohta, kas amet töötleb tema isikuandmeid, ning tutvuda enda kohta

kogutud isikuandmetega;

 nõuda ebaõigete isikuandmete parandamist või mittetäielike andmete täiendamist;

 taotleda isikuandmete töötlemise piiramist õigusaktides sätestatud juhtudel;

 esitada vastuväiteid oma isikuandmete töötlemisele, kui töötlemine toimub õigustatud huvi

alusel;

 taotleda oma isikuandmete kustutamist õigusaktides sätestatud juhtudel, välja arvatud

juhul, kui ametil on kohustus andmeid säilitada;

 võtta igal ajal tagasi oma nõusolek, kui isikuandmete töötlemine põhineb nõusolekul.

Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist toimunud töötlemise seaduslikkust.

5.3.2. Kõiki andmesubjekti õigusi ei saa alati täiel määral rakendada, kui isikuandmete töötlemine

või säilitamine tuleneb õigusaktidest.

5.3.3. Andmesubjekti taotluse saamisel kaasab teenistuja vajaduse korral AKS-i, kes nõustab

taotluse menetlemisel ja vastuse koostamisel.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 8/14

5.4. Isikuandmete töötlemine tööprotsessides

5.4.1. Isikuandmete kasutamine

Amet kasutab isikuandmeid üksnes õigusaktidest, lepingutest või muudest õiguspärastest

alustest tulenevate ülesannete täitmiseks.

Teenistuja:

 kasutab isikuandmeid ainult oma tööülesannete täitmiseks;

 töötleb ainult neid isikuandmeid, mis on tööülesande täitmiseks vajalikud;

 ei kasuta isikuandmeid isiklikel eesmärkidel ega muul õigusliku aluseta eesmärgil.

5.4.2. Isikuandmete pseudonümiseerimine, anonümiseerimine ja krüpteerimine

Amet kasutab isikuandmete töötlemisel vastavalt töötlemise eesmärgile ja vajadusele

pseudonümiseerimist või anonümiseerimist ning isikuandmete konfidentsiaalsuse ja

turvalisuse tagamiseks vajaduse korral krüpteerimist.

Teenistuja:

 kasutab anonümiseerimiseks, pseudonümiseerimiseks või krüpteerimiseks üksnes ameti

poolt heaks kiidetud lahendusi ning järgib nende kasutusjuhendeid. Kui sobiv lahendus

puudub või see eeldab tehnilist abi, pöördub teenistuja IT-abi poole.

5.4.3. Isikuandmete edastamine

Amet edastab isikuandmeid ainult juhul, kui selleks on õiguslik alus.

Teenistuja:

 kontrollib enne isikuandmete edastamist saaja õigust andmeid saada (isikusamasus);

 edastab üksnes vajalikud isikuandmed;

 kasutab isikuandmete edastamisel asutuses kehtestatud turvalisi lahendusi;

 dokumenteerib edastamise, kui see on õigusaktidest või tööprotsessist tulenevalt vajalik.

5.4.4. Isikuandmete parandamine ja kustutamine

Amet tagab, et ebaõiged või mittetäielikud isikuandmed parandatakse või täiendatakse

põhjendamatu viivituseta ning isikuandmed kustutatakse, kui nende säilitamiseks puudub

õiguslik alus.

Teenistuja:

 parandab või algatab ebaõigete isikuandmete parandamise pärast nende kontrollimist;

 kustutab või korraldab kustutamise, kui selleks on õiguslik alus ja see kuulub tema

pädevusse;

 kaasab vajaduse korral infosüsteemi eest vastutava teenistuja või AKS-i.

5.4.5. Isikuandmete töötlemise lõpetamine

Kui isikuandmete töötlemise eesmärk on saavutatud ning puudub õiguslik alus andmete

edasiseks töötlemiseks või säilitamiseks, lõpetab amet isikuandmete töötlemise.

Teenistuja:

 kustutab, anonümiseerib, hävitab või annab isikuandmed üle avalikku arhiivi vastavalt

õigusaktidele, ameti dokumentide liigitusskeemile või muudele asjakohastele

sisekordadele;

 kui isikuandmete kustutamine või anonümiseerimine eeldab tehnilist sekkumist, pöördub

teenistuja selle korraldamiseks IT-abi poole;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 9/14

 eemaldab põhjendamatu viivituseta tööalasest e-postkastist, tööarvutist ja muudest tööks

kasutatavatest asukohtadest isikuandmeid sisaldavad failid ja e-kirjad, mille töötlemiseks

puudub õiguslik alus või mille töötlemise vajadus on lõppenud;

 tagab, et isikuandmete kustutamine ja hävitamine toimub viisil, mis välistab andmete

edasise õigusvastase kasutamise.

5.5. Isikuandmeid sisaldava teabe väljastamine

5.5.1. Isikuandmeid sisaldavat teavet võib väljastada ainult juhul, kui selleks on õiguslik alus ning

andmete väljastamine on kooskõlas õigusaktidega. Andmete väljastamisel tuleb tagada

andmesubjekti õiguste kaitse ning andmete turvalisus.

5.5.2. Isikuandmeid võib väljastada:

 andmesubjektile endale;

 riigi- või kohaliku omavalitsuse asutustele, kellel on seadusest tulenev õigus andmete

saamiseks;

 õiguskaitseorganitele ja järelevalveasutustele nende pädevuse piires;

 ameti volitatud töötlejale;

 lepingupartneritele ja kolmandatele isikutele, kui selleks on õiguslik alus.

5.5.3. Enne isikuandmeid sisaldava teabe väljastamist peab teenistuja:

 veenduma taotleja isikusamasuses, kui see on vajalik;

 kontrollima, kas andmete väljastamiseks on olemas õiguslik alus;

 hindama väljastatavate andmete ulatust, lähtudes minimaalsuse põhimõttest;

 vajaduse korral kaasama AKS-i.

5.5.4. Teenistuja võib isikuandmete väljastamisest keelduda või seda piirata, kui:

 puudub õiguslik alus;

 andmete väljastamine kahjustaks andmesubjekti või kolmandate isikute õigusi või oleks

vastuolus õigusaktidega.

5.5.5. Isikuandmeid võib väljastada teadus- ja ajaloouuringu ning riikliku statistika või poliitika

kujundamise eesmärgil üksnes õigusaktides sätestatud alustel. Võimaluse korral kasutatakse

isikustamata või anonüümseid andmeid. Vajadusel kaasatakse enne väljastamist AKS.

5.5.6. Isikuandmete väljastamisel väljapoole Euroopa Majanduspiirkonda järgitakse GDPR-is

sätestatud nõudeid. Kui andmeid väljastatakse riiki, mille kohta Euroopa Komisjon ei ole

teinud piisava andmekaitse taseme otsust, kaasatakse enne väljastamist AKS.

6. ÕIGUSTATUD HUVI

6.1. Üldsätted

6.1.1. Õigustatud huvi on üks isikuandmete töötlemise õiguslikest alustest (GDPR artikkel 6 lg 1 p

f). Sellele võib tugineda ainult juhul, kui isikuandmete töötlemine on vajalik ameti või

kolmanda isiku põhjendatud huvi saavutamiseks ning andmesubjekti õigused ja huvid ei ole

sellest huvist kaalukamad. GDPR artikli 6 lg 1 p f ei kohaldu töötlemisele, mida amet teeb

oma avalike ülesannete täitmisel.

6.1.2. Õigustatud huvi olemasolu üksi ei anna alust eriliiki isikuandmete, sh terviseandmete

töötlemiseks. Kui artikkel 6 lg 1 p f on konkreetsel juhul kohaldatav, on eriliiki isikuandmete

töötlemiseks lisaks vajalik GDPR artiklis 9 sätestatud asjakohane erand.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 10/1

4

6.1.3. Nii ameti enda kui ka kolmanda isiku õigustatud huvi olemasolu tuleb ametil vajaduse korral

üle vaadata. Kui asjaolud muutuvad, võib õigustatud huvi ära langeda või võivad

andmesubjekti õigused muutuda kaalukamaks kui andmete töötlemise või väljastamise

eesmärk.

6.2. Ameti õigustatud huvi

6.2.1. Amet võib õigustatud huvile tugineda eelkõige oma põhitegevusega mitteseotud

haldustegevustes, näiteks:

 asutuse vara ja ruumide kaitsmisel;

 turvakaamerate kasutamisel;

 õiguslike nõuete esitamisel, kaitsmisel või menetlemisel;

 muudes juhtumites, kus andmete töötlemine on vajalik ameti õigustatud huvi kaitseks ning

ei kahjusta põhjendamatult andmesubjekti õigusi.

6.2.2. Enne õigustatud huvile tuginemist tuleb hinnata, kas töötlemine on vajalik ning kas

andmesubjekti õigused ja huvid ei ole kaalukamad kui ameti huvi.

6.2.3. Ameti õigustatud huvi tuvastamiseks täidab õigustatud huvile tugineda sooviv struktuuriüksus

või selle juhi poolt määratud teenistuja vormi „TT_04_K4_V3_Õigustatud huvi tuvastamise

vorm“, et huvide kaalumine oleks dokumenteeritud ja tõendatav.

6.2.4. AKS lisab dokumendi DHS-is aruandena ning kooskõlastajad määratakse vastavalt

kavandatava isikuandmete töötlemistoimingu iseloomule. Asjaosaliste vajalike

kooskõlastajate kaasamise eest vastutab õigustatud huvi koostaja. Kohustuslik on kaasata

kooskõlastusringi AKS.

6.3. Kolmandate isikute õigustatud huvi

6.3.1. Amet võib väljastada kolmandale isikule õigustatud huvi alusel juurdepääsupiiranguga

isikuandmeid, kui andmete taotlejal on nende saamiseks põhjendatult õigustatud huvi.

6.3.2. Enne andmete väljastamist peab teenistuja hindama, kas taotleja huvi on piisavalt põhjendatud

ning kas andmete väljastamine on kooskõlas õigusaktidega.

Õigustatud huvi võib esineda näiteks järgmistel juhtudel:

1) võlanõude või muu õigusliku nõude esitamine, tõendamine või sissenõudmine;

2) parkimistasu tasumata jätnud sõiduki kasutaja või omaniku andmete küsimine nõude

esitamiseks;

3) turvakaamerate salvestiste kasutamine vara ja isikute kaitseks;

4) teadus- või turu-uuringute läbiviimine, kui selleks on olemas õiguslik alus ja järgitakse

andmekaitsenõudeid.

6.3.3. Õigustatud huvi olemasolu tuleb hinnata igal juhul eraldi. Isikuandmete küsimine ei eelda, et

andmed tuleb igal juhul väljastada.

6.3.4. Õigustatud huvi hindamisel tuleb vastata järgmistele küsimustele:

1. Kas taotlejal on õigustatud huvi?

Taotleja peab selgitama, miks tal on andmeid vaja ja millise eesmärgi saavutamiseks neid

kasutatakse.

2. Kas taotletavad andmed on selle eesmärgi saavutamiseks vajalikud? Väljastada võib ainult neid andmeid, mis on eesmärgi täitmiseks vajalikud.

3. Kas taotleja huvi on antud juhul kaalukam kui andmesubjekti õigused ja huvid?

Tuleb hinnata, kas andmete väljastamine võib põhjendamatult kahjustada inimese õigusi,

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 11/1

4

privaatsust või muid huve. Kui inimese õigused on kaalukamad kui taotleja huvi, andmeid

ei väljastata.

Andmeid võib väljastada ainult siis, kui kõigile kolmele küsimusele saab vastata jaatavalt.

6.3.5. Õigustatud huvi alusel andmete väljastamiseks tuleb andmete taotlejal esitada ametile kirjalik

taotlus, mis sisaldab vähemalt järgmisi andmeid:

 taotleja nimi ning isiku- või registrikood;

 juriidilise isiku puhul volitatud esindaja andmed;

 taotletavate andmete kirjeldus;

 andmete kasutamise eesmärk ja õigustatud huvi põhjendus;

 võimalusel õigustatud huvi tõendavad dokumendid või muud tõendid;

 taotleja allkiri.

6.3.6. Õigustatud huvi alusel andmete väljastamise otsus peab olema põhjendatud ja kirjalikult

tõendatav (nt kirjalik vastus, sõlmitud leping, keeldumist põhjendav kirjalik dokument).

Vajaduse korral dokumenteerib teenistuja täiendavalt huvide kaalumise, et oleks võimalik

hiljem selgitada, miks andmete väljastamine oli lubatud või miks sellest keelduti.

6.3.7. Kui andmete väljastamine võib oluliselt mõjutada andmesubjekti õigusi või privaatsust, tuleb

teenistujal hinnata täiendavate andmekaitsemeetmete vajadust (nt minimaalne isikuandmete

hulk, isikuandmete kohene kustutamine pärast kasutamist, anonümiseerimine vms). Suurema

mõjuga (nt andmesubjektide suur arv) või kõrgema riskiga (nt terviseandmed)

töötlemistoimingute korral võib olla vajalik andmete taotlejal lisaks andmekaitsealase

mõjuhinnangu koostamine.

7. ISIKUANDMETE TÖÖTLEMISTOIMINGUTE REGISTER

7.1. Isikuandmete töötlemise kohta peetakse ametis elektroonilist töötlemistoimingute registrit

(edaspidi register). Register on kasutusel sisesemise dokumendina ning kättesaadav ameti

siseveebis (SharePoint).

7.2. Registrisse kantakse kõik andmetöötlustoimingud ehk isikuandmetega seotud töötlemise

viisid, meetmed ja tegevused.

7.3. Registrisse teeb sissekanded AKS koostöös struktuuriüksuse juhiga, sisendi

andmetöötlustoimingu registrisse kandmiseks annab isikuandmeid töötlev struktuuriüksus,

asjakohasel juhul peakasutaja.

7.4. Asutus kannab vastutava töötlejana registrisse vähemalt järgmise teabe:

 töötlemistoimingu nimetus ja lühikirjeldus;

 isikuandmete töötlemise eesmärk;

 isikuandmete kategooriad ja andmesubjektide kategooriad;

 isikuandmete saajate kategooriad, kellele andmeid avaldatakse või kellele need tehakse

kättesaadavaks;

 andmete edastamine välisriiki või rahvusvahelisele organisatsioonile, kui see toimub;

 isikuandmete säilitamise tähtajad või nende määramise alused, kui need on teada;

 vastutav struktuuriüksus või töötlemise eest vastutav ametikoht.

7.5. Registris esitatud teave peab olema ajakohane ning kajastama tegelikku isikuandmete

töötlemist. Registri ajakohasuse eest vastutab töötlemistoimingu eest vastutav struktuuriüksus

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 12/1

4

või selleks määratud teenistuja. Registri kirjeid ajakohastatakse töötlemistoimingute

lisandumisel või muutumisel.

7.6. Isikuandmete töötlemise turvameetmed määratakse ja hallatakse asutuse infoturbe nõuete

kohaselt ning neid ei kirjeldata käesoleva korra alusel peetavas töötlemistoimingute registris.

8. ISIKUANDMETE TÖÖTLEMISEGA SEOTUD RIKKUMISEST TEAVITAMINE JA

RIKKUMISE MENETLEMINE

8.1. Isikuandmete töötlemisega seotud rikkumine (edaspidi rikkumine) on turvanõuete rikkumine,

mille tagajärjel toimub isikuandmete juhuslik või õigusvastane hävimine, kadumine,

muutmine, loata avaldamine või neile juurdepääs.

8.2. Teenistuja, kes avastab rikkumise või kahtlustab rikkumise toimumist, teavitab sellest

viivitamata:

 AKS-i ja/või

 oma vahetut juhti või struktuuriüksuse juhti.

8.3. Kui rikkumine on ühtlasi seotud infoturbeintsidendiga (näiteks pahavara, õngitsusrünne,

volitamata juurdepääs või muu infosüsteemi turvaintsident), teavitab teenistuja lisaks ka

infoturbejuhti ning infoturbeintsidendi käsitlemisel lähtutakse infoturbe juhenditest.

8.4. Kui rikkumine on seotud lisaks isikuandmete töötlemise rikkumisele ka teenistuja

töökohustuste rikkumisega, teavitab struktuuriüksuse juht sisekontrolöri või vajadusel muud

pädevat struktuuriüksust vastavalt ameti sisemisele korrale ja AKS-i.

8.5. Pärast rikkumisest teadasaamist korraldab AKS rikkumise dokumenteerimise ja menetlemise.

Selleks:

 edastab rikkumisest teatajale rikkumisteate vormi ning määrab selle esitamise tähtaja (1-2

päeva);

 kontrollib ja vajaduse korral täpsustab saadud teavet;

 lisab rikkumisteate dokumendihaldussüsteemi (DHS);

 korraldab rikkumisteate kooskõlastamise asjaomaste osapooltega;

 teavitab vajaduse korral AKI-t ja rikkumisest mõjutatud andmesubjekte.

8.6. Rikkumisteates kirjeldatakse vähemalt:

 rikkumise asjaolusid ja toimumise aeg;

 rikkumise põhjuseid ja ulatust, kui need on teada;

 mõjutatud isikuandmeid ja andmesubjekte;

 rikkumise võimalikke tagajärgi;

 rakendatud või kavandatavaid meetmeid rikkumise lõpetamiseks, tagajärgede

leevendamiseks ja edasiste rikkumiste vältimiseks.

8.7. Rikkumisteate kohustuslikud kooskõlastajad on:

 rikkumisest teataja;

 asjaomase struktuuriüksuse juht;

 õigusosakonna jurist;

 AKS.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 13/1

4

9. ANDMEKAITSEALANE MÕJUHINNANG

9.1. Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille eesmärk on

hinnata, kuidas kavandatav või muudetav isikuandmete töötlemine võib mõjutada

andmesubjektide õigusi ja vabadusi ning milliseid meetmeid tuleb riskide vähendamiseks

rakendada.

9.2. Mõjuhinnang koostatakse enne uue isikuandmete töötlemise toimingu kasutuselevõttu või

olemasoleva töötlemise olulist muutmist, kui töötlemine võib põhjustada kõrget riski

andmesubjektide õigustele ja vabadustele. Vajaduse korral koostatakse mõjuhinnang ka juba

kasutuses oleva infosüsteemi, andmekogu või andmetöötlustoimingu kohta.

9.3. Mõjuhinnangu koostamise vajadust hindab isikuandmete töötlemist kavandav struktuuriüksus

või selle juhi poolt määratud teenistuja koostöös AKS-iga. Vajaduse korral kaasatakse

infosüsteemi või andmekogu peakasutaja ning teised asjakohased teenistujad.

9.4. Mõjuhinnangu koostamisel hinnatakse vähemalt:

 isikuandmete töötlemise eesmärki, õiguslikku alust ja kavandatavat töötlemisviisi;

 töödeldavate isikuandmete liike ja töötlemise ulatust;

 töötlemise vajalikkust ja proportsionaalsust;

 võimalikke riske andmesubjektide õigustele ja vabadustele;

 kavandatavaid tehnilisi ja korralduslikke meetmeid riskide vähendamiseks.

9.5. Kui isikuandmete töötlemine muutub, näiteks muutub töötlemise eesmärk, ulatus, kasutatavad

andmed või töötlemisviis, vaadatakse mõjuhinnang üle ja vajaduse korral ajakohastatakse.

9.6. Kui isikuandmete töötlemine põhineb õigustatud huvil, tuleb enne mõjuhinnangu koostamist

hinnata õigustatud huvi olemasolu (vt peatükk 6 Õigustatud huvi) ning dokumenteerida selle

kaalumine. Õigustatud huvi hinnang lisatakse mõjuhinnangu juurde.

9.7. Mõjuhinnangu koostamisel kasutatakse käesoleva korra juurde kuuluvaid vorme ja nende

täitmise juhendeid.

9.8. Mõjuhinnang kooskõlastatakse asjaomaste osapooltega, registreeritakse

dokumendihaldussüsteemis (DHS) ning säilitatakse koos kooskõlastuste ja otsustega.

9.9. Kui mitu töötlemistoimingut on oma eesmärgi, olemuse ja riskide poolest sarnased, võib

nende kohta koostada ühise mõjuhinnangu.

9.10. Kui mõjuhinnangust selgub, et kavandatav töötlemine põhjustab ka pärast riskide

maandamise meetmete rakendamist endiselt kõrge riski andmesubjektide õigustele ja

vabadustele, konsulteerib AKS enne töötlemise alustamist AKI-ga.

9.11. Infosüsteemi või andmekogu omanik või peakasutaja vaatab mõjuhinnangu regulaarselt üle

ning ajakohastab selle, kui töötlemine või sellega seotud riskid on muutunud.

10. KOOLITUS JA TEADLIKKUS

10.1. Amet tagab, et isikuandmeid töötlevad teenistujad on teadlikud isikuandmete töötlemise

nõuetest ning saavad oma tööülesannete täitmiseks vajalikku juhendamist ja koolitusi.

10.2. Vajaduse korral korraldatakse täiendavaid koolitusi ja teadlikkuse tõstmise tegevusi,

eelkõige:

 õigusaktide muudatuste korral;

 uute infosüsteemide või tööprotsesside kasutuselevõtul;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2

ISIKUANDMETE TÖÖTLEMISE KORD

Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 14/1

4

 pärast isikuandmetega seotud rikkumisi või nende analüüsi tulemusi;

 uus teenistuja läbib isikuandmete töötlemise põhimõtteid käsitleva sisekoolituse.

10.3. AKS toetab koolituste ettevalmistamist ning nõustab struktuuriüksusi isikuandmete

töötlemise nõuete rakendamisel.

10.4. Teenistuja vastutab selle eest, et ta järgib talle antud juhiseid ning osaleb tööülesannete

täitmiseks vajalikel koolitustel.

10.5. Amet dokumenteerib vajadusel korral isikuandmete töötlemise alaste koolituste läbiviimise ja

osalemise.

11. TOETAVAD INFOSÜSTEEMID

Infosüsteemi nimetus Kirjeldus, milleks kasutatakse

DHS Dokumendihaldussüsteem. Isikuandmetega seotud

pöördumiste kirjavahetus, rikkumistega seotud kirjavahetus

ja aruanded.

SharePoint Isikuandmete töötlemistoimingute register

Jira Kliendipöördumiste portaal. Ametisse saabunud

isikuandmetega seotud päringutele vastuste koostamiseks

vajalike logiväljavõtete tellimine IT-abilt.

KÄSKKIRI

03.09.2026 nr 1.1-1/26/123

Transpordiameti isikuandmete töötlemise korra

kinnitamine

Majandus- ja taristuministri 03.12.2020 määruse nr 82 „Transpordiameti põhimäärus“ § 6 punktide

1 ja 5 alusel:

1. Kinnitan Transpordiameti isikuandmete töötlemise korra koos lisadega (lisatud).

2. Tunnistan kehtetuks Transpordiameti peadirektori 14.06.2022 käskkirja nr 1.1-1/22/82

„Transpordiameti andmekaitse korra kinnitamine“.

Käesolevat haldusakti on võimalik vaidlustada 30 päeva jooksul selle teatavaks tegemisest alates

vaide esitamisega Transpordiametile (Valge 4, 11413 Tallinn) haldusmenetluse seaduses sätestatud

korras või esitades kaebuse Tallinna Halduskohtule halduskohtumenetluse seadustikus sätestatud

korras.

(allkirjastatud digitaalselt)

Priit Sauk

peadirektor