TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_r1

ANDMEKAITSEALASE MÕJUHINNANGU VORM

Kinnitatud: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 1/5

SISUKORD

1. SISSEJUHATUS .......................................................................................................................... 1

2. INFOSÜSTEEMI KIRJELDUS ................................................................................................... 1

3. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD ..................................................................... 2

4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID ..................................................................... 3

5. RISKID JA NENDE MAANDAMINE ....................................................................................... 3

6. RISKIDE MAANDAMISE MEETMED ..................................................................................... 5

Mõjuhinnang peab hõlmama vähemalt järgmist:

 süsteemne (kogu süsteemi hõlmav) kirjeldus kavandatud isikuandmete töötlemise

toimingutest ja töötlemise eesmärkidest;

 hinnang, kas isikuandmete töötlemine on vajalik ja proportsionaalne eesmärkide suhtes;

 riskide hindamist, mis võivad ohustada füüsiliste isikute õigusi ja vabadusi;

 kavandatud meetmed riskide käsitlemiseks, sealhulgas nõuded, protseduurid ja süsteemid, mis

tagavad isikuandmete kaitse ning kinnitavad vastavust isikuandmete kaitse määrusele, võttes

arvesse andmesubjektide ja teiste asjaomaste isikute õigusi ja õigustatud huve.

1. SISSEJUHATUS

1.1. Mõjuhinnangu koostamise eesmärk.

1.2. Mõjuhinnangu koostamise periood.

1.3. Milline on mõjuhinnangu ulatus või skoop? Kas hinnatakse infosüsteemi (olemasolevat või

uut) või andmetöötlustoimingut olemasolevas süsteemis?

2. INFOSÜSTEEMI KIRJELDUS

Eesmärk on võimalikult arusaadavalt selgitada süsteemi olemust ja isikuandmetesse puutuvat selles.

Infosüsteemi kohta käivad alapealkirjad/teemad on indikatiivsed – alateemad olenevad infosüsteemi

spetsiifikast ning kokku tuleb panna sobiv teemadegrupp. Kui süsteemist on olemas

arhitektuuridokument, võib selle viidata. Mõjuhinnangus tuleb kindlasti käsitleda andmekaitselaselt

olulised teemad nagu kasutajad ja nende rollid, isikuandmete allikad ja teadaolevad turvameetmed.

2.1. Infosüsteemi (edaspidi IS) kasutusotstarve.

2.2. Tugisüsteemid, server.

2.3. Kasutajad ja nende rollid (konto loomine, kasutajate tuvastamine, süsteemi logimine).

2.4. Isikuandmete allikad (nt isikut tõendav dokument, dokumendifoto, ostu-müügi leping vms).

2.5. IS arhitektuuriskeem.

2.6. Turvameetmed ja olemasolev riskidokumentatsioon.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_r1

ANDMEKAITSEALASE MÕJUHINNANGU VORM

Kinnitatud: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 2/5

3. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD

Olemasoleva süsteemi korral: milline on praegune olukord? Mis muutub, kui lisandub uus

andmetöötlustoiming?

Näiteks: Jrk nr Andmete kogumise ja töötlemise protsess

praegu

Kavandatav muutus andmete kogumise ja

töötlemise protsessis

3.1. Isikuandmete kogumine

 Kirjeldage andmesubjekte (sh alaealised).

 Milliseid andmeid kogutakse (nt isiku nimi, isikukood, kontaktandmed jne)?

 Kuidas andmekogumise protsess töötab?

 Andmete muutmine, lisamine.

 Andmete ühildamine ja ühendamine.

 Kuidas tagatakse andmete ajakohasus?

 Kui töötlemine ei ole seaduse alusel, siis andmesubjekti nõusolek. Kuidas tõendatakse, et on

andnud nõusoleku? Nõusoleku tagasivõtmine.

3.2. Isikuandmete säilitamine

 Kuidas ja kus andmeid säilitatakse?

 Ligipääs andmetele.

 Säilitamise tähtajad.

 Kuidas tagatakse, et andmeid säilitatakse seni, kuni see on vajalik töötlemise eesmärgi

täitmiseks (avalikes huvides võib säilitada kauem, kui see vajalik näiteks teadusuuringute

läbiviimiseks)?

 Hoiustamisel kasutatavad turvameetmed?

 Kuidas välditakse andmete juhuslikku hävimist või kahjustumist?

 Logid, turvakoopiad ja varundamine.

 Arhiveerimine.

 Kas andmed on arhiiviväärtusega?

3.3. Isikuandmete kasutamine

 Millal, kelle poolt ja kuidas andmeid kasutatakse?

 Kasutajad ja nende lisamine.

 Päringute tegemine.

 Andmete lugemine.

 Kättesaadavaks tegemine. Avalikustamine.

 Kättesaadavuse piiramine.

 Kuidas andmesubjektil on võimalik saada väljavõte andmetest, mida tema kohta on kogutud?

Mis kujul see väljavõte antakse?

 Juurdepääs andmetele.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_r1

ANDMEKAITSEALASE MÕJUHINNANGU VORM

Kinnitatud: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 3/5

 Kuidas välditakse loata või ebaseadusliku juurdepääsu eest?

3.4. Isikuandmete edastamine

 Kas ja kellele andmeid edastatakse?

 Kui erinevatele osapooltele/süsteemidesse, siis igale osapoolele/süsteemile edastavate

andmete koosseis.

 Kuidas andmeid edastatakse?

 Kas andmesubjekt saab taotleda oma andmete ülekandmist teisele töötlejale?

 Kolmandatesse riikidesse edastamine?

3.5. Isikuandmete kustutamine

 Millal, kuidas ja kelle poolt andmeid kustutatakse?

 Hävitamine, blokeerimine.

 Ebaõigete andmete muutmine või kustutamine? Kuidas toimub valede andmete

parandamine? Andmesubjekti õigused andmete parandamisel.

 Kustutamise dokumenteerimine (logi selle kohta).

4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID

4.1. Töötlemise eesmärgid

 Kirjeldage eesmärke, miks isikuandmeid kogutakse ja töödeldakse (näiteks avalikes huvides

oleva ülesande täitmiseks – siis lisada õigusakti nimetus).

 Kas ja kuidas eesmärkidele vastavus tuvastatakse enne andmete kogumist või andmete

kogumise ajal?

 Kuidas tagatakse, et andmeid töödeldakse üksnes neil eesmärkidel, milleks neid kogutakse?

 Kas ja millisel juhul võib andmeid töödelda algsest erineval eesmärgil (nt küsitluste

läbiviimiseks)? Kelle poolt?

4.2. Töötlemise vajalikkus ja proportsionaalsus

 Mis põhjustel töödeldakse andmeid töötlemise eesmärkide saavutamiseks just sel viisil, nagu

seda praegu tehakse?

 Kas eesmärkide saavutamiseks on võimalik andmeid töödelda ka mõnel muul viisil?

 Kas on olemas lihtsam viis (tavaliselt see tähendab ka vähem riski põhjustav) eesmärkide

saavutamiseks? Oluline on siin täpselt ja argumenteeritult selgitada, miks andmeid

töödeldakse just sel viisil ja sellises ulatuses.

 Minimaalsuse põhimõte (andmeid kogutakse üksnes ulatuses, mis on vajalik andmetöötluse

eesmärkide täitmiseks).

 Täpsus, täielikkus ja ajakohasus.

 Kas andmesubjektil endal on juurdepääs tema kohta kogutavale andmestikule?

5. RISKID JA NENDE MAANDAMINE

5.1. Kirjeldada riskid.

 Riskide hindamise metoodika aluseks on tugiteenus TT_13_K1_Riskide hindamise kord.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_r1

ANDMEKAITSEALASE MÕJUHINNANGU VORM

Kinnitatud: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 4/5

Riski

nr

Eesmärk Riski

nimetus

Riski põhjus Riski

realiseerumise

tagajärg

Riski

tõenäo

sus

Riski

mõju

Riski tase Tende

nts

Ennetamise tegevus Maandamistegevus Tähtaeg Vastutaja

1 [0-4] [0-4] [kõrge,

keskmin

e, madal]

Maandada,

kasutusele võtta,

…

2

Näiteks: andmete leke, lubamatu töötlemine, küberrünne, inimlik viga, loata juurdepääs, välise teenuspakkuja viga, tehnilised tõrked jms.

Andmekaitse kontekstis täpsemalt tähendab risk, et andmete töötlemise toimingute tulemusena on oht, et see võib põhjustada füüsilise isiku:

 diskrimineerimist;

 identiteedivargust või -pettust;

 rahalist kahju;

 maine kahjustamist;

 ametisaladusega kaitstud isikuandmete konfidentsiaalsuse kadu;

 isikuandmete pseudonümiseerimise loata tühistamist (pseudonüümitud andmete lubamatu tagasipööramine);

 mõnda muud tõsist majanduslikku või sotsiaalset kahju;

 sõna- või teabevabaduse rikkumist;

 ettevõtlusvabaduse rikkumist;

 mõtte-, südametunnistuse- või usuvabaduse rikkumist.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_r1

ANDMEKAITSEALASE MÕJUHINNANGU VORM

Kinnitatud: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 5/5

6. RISKIDE MAANDAMISE MEETMED

6.1. Organisatsioonilised turvameetmed

Kasutusel olevad korralduslikud meetmed (näiteks, korrad, juhendid ja sise-eeskirjad vms).

6.2. Füüsilised turvameetmed

Füüsilised turvameetmed (ligipääsuõigused jmt), mida rakendatakse.

6.3. Infotehnoloogilised turvameetmed

Kasutusel olevad tehnilised meetmed (näiteks mingite konkreetsete andmete kaitsmiseks kasutatavad

meetmed).

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 1/8

SISUKORD

1. EESMÄRK ................................................................................................................................... 1

2. MÕISTED JA LÜHENDID ......................................................................................................... 1

3. KÄSITLUSALA .......................................................................................................................... 2

4. OSAPOOLED JA VASTUTUS ................................................................................................... 2

5. SEOTUD DOKUMENDID.......................................................................................................... 2

6. ÜLDSÄTTED .............................................................................................................................. 3

7. ISIKUANDMETE TÖÖTLEMINE ............................................................................................. 4

8. TEABE KAITSE KORRALDAMINE ........................................................................................ 7

9. TOETAVAD INFOSÜSTEEMID ............................................................................................... 8

1. EESMÄRK

Korra kehtestamise eesmärk on reguleerida Transpordiametis (edaspidi ametis) füüsiliste isikute

andmete töötlemist kooskõlas õigusaktidega ja kehtestada isikuandmete töötlemise põhimõtted.

1.1. Teenuse sihtrühm

1.1.1. Andmesubjektid.

1.1.2. Isikuandmete töötlejad (edaspidi andmetöötlejad).

2. MÕISTED JA LÜHENDID

2.1. Andmesubjekt – füüsiline isik, kelle andmeid töödeldakse.

2.2. Anonümiseerimine – isikut iseloomustada võivate andmete kustutamine või muutmine.

Tegevus ei ole tagasipööratav ja kustutatakse kõik isiku tuvastamist võimaldavad seosed.

2.3. IKÜM – isikuandmete kaitse üldmäärus.

2.4. Isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku (andmesubjekti)

kohta; võib jagada kolme gruppi:

 Tavalised isikuandmed – teave füüsilise isiku (andmesubjekti) kohta, millega saab teda otse

või kaudselt tuvastada. Näiteks: nimi, isikukood, asukohateave, võrguidentifikaatorid

(tunnused, mis sidevõrgus aitavad viia konkreetse isikuni), samuti füüsilised, vaimsed,

majanduslikud, kultuurilised ja mistahes muud tuvastamist võimaldavad tunnused ja nende

kombinatsioonid.

 Tundlikud isikuandmed – füüsilise isiku privaatelule suuremat ohtu valmistavad andmed,

mis ei kuulu eriliigiliste isikuandmete loetellu. Näiteks: sotsiaalabi saamine, samuti kriminaal-

ja väärteomenetlusega kogu toimumise protsessi jooksul kogutud andmed, makseteenustega

seotud andmed pankades, krediitkaardi andmed, digitaalsed usaldusteenuse andmed

digiallkirjastamiseks, mitteavalik teave inimese varandusliku seisu kohta, sõnumisaladusega

kaetud sideandmed, reaalajas asukohatuvastuse andmed, krediidireiting jm profileerimine,

millel on õiguslik tagajärg või oluline mõju.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 2/8

 Eriliigilised isikuandmed – isikuandmed, millest ilmneb rassiline või etniline päritolu,

poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine,

terviseandmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed

(ennekõike sõrmejälje-, peopesajälje- ja silmaiirisekujutised), geneetilised andmed, samuti

andmed isiku seksuaalelu ja seksuaalse sättumuse kohta.

2.5. Isikuandmete töötlemine – isikuandmete või nende kogumitega tehtav mis tahes toiming või

toimingud, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine,

kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise

või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine,

piiramine, kustutamine või hävitamine sõltumata toimingute teostamise viisist ja

kasutatavatest vahenditest.

2.6. Pseudonümiseerimine – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam

täiendavat teavet kasutamata seostada konkreetse andmesubjektiga.

3. KÄSITLUSALA

Andmekaitse korraga (edaspidi kord) reguleeritakse isikuandmete töötlemist ja kaitset

Transpordiametis.

4. OSAPOOLED JA VASTUTUS

Osapool Vastutus ja ülesanded

Andmekaitsespetsialist vastutab isikuandmete töötlemiseks teadlikkuse tõstmise eest ametis ja

aitab andmetöötlejatel rakendada isikuandmete kaitse üldmääruse

nõudeid

Õigusosakonna jurist nõustab andmekaitsespetsialisti ja andmetöötlejaid isikuandmete

kaitse õigusalastes küsimustes

Andmetöötleja töötleb isikuandmeid korra nõuete kohaselt; tagab oma pädevuse piires

isikuandmete töötlemise seaduslikkuse ja vastutab kui on rikkunud

isikuandmete töötlemise nõudeid

Andmekogu/infosüsteemi

omanik ja/või peakasutaja

vastutab andmete töötlemise korraldamise eest

andmekogus/infosüsteemis vastavalt andmekogu/infosüsteemi korrale

Sisekontrolör menetleb andmekaitse alaseid rikkumisi vastavalt sisekontrolli korrale

Riskijuht nõustab riskide hindamisega seotud küsimustes

5. SEOTUD DOKUMENDID

5.1. Õigusaktid

 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute

kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi

95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus);

 haldusmenetluse seadus;

 isikuandmete kaitse seadus;

 lennundusseadus;

 liiklusseadus;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 3/8

 meresõiduohutuse seadus.

5.2. Seotud juhendid ja muud dokumendid

 TT_04_K4_V1_Andmekaitsealase mõjuhinnangu vorm.

 Majandus- ja Kommunikatsiooniministeeriumi (edaspidi MKM) infoturbepoliitika.

 MKM töökoha arvuti kasutamise eeskiri.

 MKM andmevarunduse kord.

 MKM IT-süsteemide logimise kord.

 MKM turvaintsidentide kord.

 TT_09_K1_Töökorralduse reeglid.

 TT_09_K3_Teenistujate värbamise ja valiku kord.

 Infotelefoni kõnede salvestamine ja salvestiste töötlemine.

 TT_13_K4_Salvestamise ja salvestiste töötlemise kord.

 TT_13_K1_Riskide hindamise kord.

 TT_13_K3_Sisekontrolli kord.

5.3. Viited

 Andmekaitse Inspektsiooni „Isikuandmete töötleja üldjuhend“;

 Andmekaitse Inspektsiooni „Õigustatud huvi juhend“.

6. ÜLDSÄTTED

6.1. Amet töötleb isikuandmeid oma põhiülesannete ja sõlmitud lepingute täitmiseks ning kasutab

andmeid avaliku ülesande täitmiseks.

6.2. Amet töötleb isikuandmeid enda seadusjärgsete ülesannete täitmiseks ning kodanike kiireks

ja kvaliteetseks teenindamiseks järgides õigusaktidest tulenevaid nõudeid.

6.3. Ameti sisemise töökorraldusega on tagatud, et riive ameti klientide ja koostööpartnerite eraelu

puutumatusele on võimalikult vähene.

6.4. Isikuandmete kogumisel lähtub amet eesmärgipärasuse, konfidentsiaalsuse, usalduse,

vastutuse, turvalisuse ja minimaalsuse põhimõtetest.

6.5. Amet säilitab isikuandmeid ainult nii kaua kuni säilitamine on nõutav (õigusakti/lepingu

kohaselt) vastavuses kehtestatud andmekaitsereeglitele ja määrab andmetele säilitustähtaja.

Pärast andmete säilitustähtaja möödumist korraldab andmekogu/infosüsteemi peakasutaja

andmete kustutamise jäädavalt või anonümiseerib need.

6.6. Amet võimaldab juurdepääsu tema valduses olevatele isikuandmetele kooskõlas isikuandmete

kaitse üldmääruse, isikuandmete kaitse seaduse ja avaliku teabe seadusega.

6.7. Ameti andmekogu/infosüsteemi peakasutaja ajakohastab ja parandab isikuandmed, mille

õigsus on töötlemise eesmärgist tulenevalt oluline. Andmetes vea tuvastamisel või veast

teadasaamisel parandatakse andmed pärast nende kontrollimist. Vajadusel pöördutakse

selleks andmete esitaja poole.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 4/8

7. ISIKUANDMETE TÖÖTLEMINE

7.1. Isikuandmete töötlemise põhimõtted

7.1.1. Amet on isikuandmete töötlemisel vastutav töötleja avalike ülesannete täitmiseks, ameti

töötajate ja lepingulises suhtes olevate isikute osas.

7.1.2. Amet hoiab oma käsutuses olevaid isikuandmeid lubamatu ja sihipäratu kasutamise, avalikuks

tuleku või hävimise eest, rakendades kõiki asjakohaseid organisatsioonilisi, füüsilisi ja

tehnilisi turvameetmeid.

7.1.3. Isikuandmete töötlemise ülevaade on detailselt kirjeldatud ameti isikuandmete töötlemise

registris.

7.1.4. Amet lähtub isikuandmete töötlemisel järgmistest põhimõtetest:

 seaduslikkuse põhimõte – isikuandmeid võib koguda vaid kooskõlas õigusaktidega;

 eesmärgikohasuse põhimõte – isikuandmeid võib koguda üksnes määratletud ja õiguspäraste

eesmärkide saavutamiseks ning neid ei või töödelda viisil, mis ei ole andmetöötluse

eesmärkidega kooskõlas;

 minimaalsuse põhimõte – isikuandmeid võib koguda vaid ulatuses, mis on vajalik

andmetöötluse eesmärkide saavutamiseks;

 andmete õigsuse põhimõte – isikuandmed peavad olema aja- ja asjakohased;

 piiratud säilitamise põhimõte – isikuandmeid säilitatakse kujul, mis võimaldab

andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks

isikuandmeid töödeldakse;

 turvalisuse põhimõte – isikuandmete kaitseks tuleb rakendada turvameetmeid, et kaitsta neid

tahtmatu või volitamata töötlemise, avalikuks tuleku või hävimise eest;

 kasutuse piiramise põhimõte – isikuandmeid võib muudel eesmärkidel kui neid algselt

koguti kasutada üksnes juhul, kui töötlemine on kooskõlas algsete eesmärkidega;

 individuaalse osaluse põhimõte – andmesubjekti tuleb teavitada tema kohta kogutavatest

andmetest, talle tuleb võimaldada juurdepääs tema kohta käivatele andmetele ja tal on õigus

nõuda ebatäpsete või eksitavate andmete parandamist;

 läbipaistvuse põhimõte – isikuandmete töötlemisega seotud teave on lihtsalt kättesaadav,

arusaadav (selgelt ja lihtsalt sõnastatud) ning amet annab kodulehel teavet isikuandmete

töötlemise tingimuste kohta ametis.

7.1.5. Andmetöötlejad on kohustatud punktis 7.1.4. nimetatud põhimõtteid järgima. Isikuandmete

töötlemine ei ole lubatud viisil, mis ei ole andmetöötluse põhimõtetega kooskõlas. Uute

teenuste või isikuandmeid mõjutava töökorralduse muudatuse kavandamisel ning

rakendamisel peab andmetöötleja arvestama andmekaitse põhimõtete ja asjakohaste

turvameetmete rakendamisega.

7.2. Andmekaitsespetsialist

7.2.1. Peadirektor määrab ameti andmekaitsespetsialisti, kes:

 teavitab ja nõustab andmetöötlejaid;

 vajadusel koolitab või korraldab koolitused;

 vastab füüsiliste isikute päringutele, mis puudutavad isikuandmete töötlemist ameti

infosüsteemides;

 annab nõu seoses andmekaitsealase mõjuhinnanguga;

 registreerib isikuandmete töötlemise toimingud;

 teeb koostööd Andmekaitse Inspektsiooniga (edaspidi AKI) ja on AKI-le kontaktisikuks;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 5/8

 teavitab isikuandmete töötlemise rikkumisest vastavalt IKÜM-ile;

 koordineerib AKI ettekirjutusele vastamist.

7.2.2. Andmekaitsespetsialist võtab oma punktis 7.2.1 kirjeldatud ülesannete täitmisel asjakohaselt

arvesse isikuandmete töötlemise toimingutega seotud ohtu, arvestades isikuandmete

töötlemise laadi, ulatust, konteksti ja eesmärke.

7.3. Andmekaitsealane mõjuhinnang

7.3.1. Andmetöötleja või vastava andmekogu/infosüsteemi peakasutaja määratud töötaja koostab

andmekaitsealase mõjuhinnangu, kui andmetöötlus on automatiseeritud, süstemaatiline ja

ulatuslik ning sellel on suur mõju ja/või õiguslikud tagajärjed andmesubjektile.

7.3.2. Mõjuhinnanguga hinnatakse isikuandmete töötlemise toimingute vajalikkust ja

proportsionaalsust ning andmete kaitseks rakendatavate meetmete piisavust, et võimalikke

riske täielikult maandada (riski tase madal) või leevendada vastuvõetavale tasemele (riski tase

keskmine).

7.3.3. Mõjuhinnangu koostamiseks andmetöötleja või vastava andmekogu/infosüsteemi peakasutaja

kutsub kokku töörühma, kuhu kuuluvad vähemalt andmekogu/infosüsteemi peakasutaja,

andmekaitsespetsialist, süsteemihalduse üksuse töötaja ja õigusosakonna jurist.

7.3.4. Mõjuhinnang koostatakse, kui:

 võetakse kasutusele uus infosüsteem või tehnoloogia, milles töödeldakse isikuandmeid;

 andmekogu/infosüsteemi peakasutaja ja andmekaitsespetsialist hinnangul on vajalik koostada

kasutuses olevale andmekogule/infosüsteemile või andmetöötlustoimingule.

7.3.5. Mõjuhinnangut täiendatakse, kui andmekogus/infosüsteemis lisandub uus

andmetöötlustoiming.

7.3.6. Mõjuhinnangu koostamisel kasutatakse korra vormi TT_04_K4_V1.

7.3.7. Mõjuhinnang kooskõlastatakse ja menetletakse dokumendihaldussüsteemis (edaspidi DHS-

is). Mõjuhinnangu kohustuslikud kooskõlastajad on andmekaitsespetsialist, analüütika- ja

andmete osakonna juhataja, riskijuht ja õigusosakonna jurist, kelle arvamus peab olema DHS-

is märgitud.

7.3.8. Mõjuhinnang peab hõlmama vähemalt järgmist:

 kavandatav isikuandmete töötlemise eesmärk, õiguslik alus ja meetodid;

 hinnang isikuandmete töötlemise toimingute vajalikkuse ja proportsionaalsuse kohta

arvestades isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke;

 riskide analüüs, sh nende taseme määramine;

 milliseid meetmeid riskide suhtes rakendatakse.

7.3.9. Kui mõjuhinnangust selgub, et hoolimata meetmete rakendamisest jääb kõrge risk

andmesubjektide õigustele ja vabadustele, siis konsulteerib andmekaitsespetsialist AKI-ga.

7.3.10. Koostatud mõjuhinnangu vaatab üle ja hindab selle ajakohasust andmekogu/infosüsteemi

peakasutaja kord aastas.

7.4. Andmesubjekti õigused

7.4.1. Olenevalt isikuandmete töötlemise õiguslikust alusest on andmesubjektil õigus:

 saada kinnitust selle kohta, kas amet töötleb tema isikuandmeid ning tutvuda enda kohta

kogutud isikuandmetega;

 nõuda enda kohta kogutud ebaõigete isikuandmete parandamist või mittetäielike isikuandmete

täiendamist;

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 6/8

 nõuda, et amet kustutaks põhjendamatu viivituseta tema isikuandmed, mille töötlemiseks ei

ole ametil enam õiguslikku alust või mida ametil ei ole enam vaja eesmärgil, mille pärast ta

on andmed kogunud või neid muul viisil töödelnud;

 võtta igal ajal oma nõusolek tagasi, juhul kui isikuandmete töötlemine põhineb nõusolekul

(see ei mõjuta enne nõusoleku tagasivõtmist toimunud andmetöötluse seaduslikkust).

7.4.2. Kõigi küsimustega, mis on seotud isikuandmete töötlemise ja andmesubjekti eelnimetatud

õiguste kasutamisega, on andmesubjektil võimalik pöörduda ameti andmekaitsespetsialisti

poole.

7.5. Isikuandmeid sisaldava teabe väljastamine

7.5.1. Andmetöötlejad peavad rakendama halduslikke ja tehnilisi abinõusid, et teave, mille kohta

kehtib juurdepääsupiirang, ei satuks juurdepääsuõiguseta isikute kätte.

7.5.2. Juurdepääsupiiranguga teavet ei tohi edastada kolmandatele isikutele juurdepääsupiirangu

kehtestanud asutuse või isiku loata.

7.5.3. Juurdepääsupiiranguga teavet edastatakse üksnes asutus(t)ele või isiku(te)le, kellel on selleks

otsene seadusest tulenev õigus (nt kohus) ja põhjendatud vajadus.

7.5.4. Isikuandmeid sisaldava teabe väljastamisel lähtutakse asjaajamiskorrast.

7.5.5. Amet väljastab isikuandmeid sisaldatavat teavet teadus-, ajaloo- jm uuringute tarvis vaid

seadusega kooskõlas ning anonümiseeritud ja pseudonümiseeritud kujul kasutades tehnilisi

lahendusi, mis säilitaks isikute privaatsuse.

7.5.6. Isikuandmete edastamisel väljapoole Euroopa majanduspiirkonda jälgib andmetöötleja, kas

tegemist on piisava või mittepiisava andmekaitsetasemega riigiga. Mittepiisava

andmekaitsetasemega riiki isikuandmeid edastades tuleb rakendada IKÜM artikkel 46

kohaseid kaitsemeetmeid. Taseme määrab Euroopa Komisjon.

7.5.7. Välisriiki, mis ei vasta eeltoodud tingimustele, võib isikuandmeid edastada juhul kui isik,

kelle isikuandmeid töödeldakse, on andnud selleks taasesitataval kujul nõusoleku. Nõusolek

säilitatakse koos andmeid sisaldava dokumendiga DHS-is.

7.6. Andmete väljastamine põhjendatud õigustatud huvi korral

7.6.1. Amet võib infosüsteemidest põhjendatud õigustatud huvi korral andmeid väljastada.

Põhjendatud õigustatud huvi olemasolu tuvastab ja andmete väljastamise otsustab

andmetöötleja.

7.6.2. Taotleja esitab kirjaliku taotluse, mis peab vastama järgmistele tingimustele:

 taotluses on taotleja nimi, registrikood/isikukood, juriidilise isiku volitatud isiku andmed;

 märgitud, milliseid andmeid taotletakse;

 põhjendatud õigustatud huvi kirjeldus;

 tõendid õigustatud huvi põhjendamiseks, kui neid on;

 taotlus peab olema allkirjastatud.

7.6.3. Piiratud juurdepääsuga andmete väljastamise üle otsustamisel kaalub andmetöötleja olukorra

üksikasju, andmete väljastamise kooskõla seadusega ja taotleja õigustatud huvi andmete

väljastamiseks.

7.6.4. Andmetöötleja hindab õigustatud huvi kolmeastmelise skeemi järgi:

 I aste – isikuandmete töötleja või kolmandate isikute huvid ja kaalukus;

 II aste – andmesubjekti õigused ja huvid ning kaalukus;

 III aste – vastanduvate huvide kaalumine.

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 7/8

8. TEABE KAITSE KORRALDAMINE

8.1. Isikuandmete kaitse nõuded

8.1.1. Isikuandmete kogumist, nende käitlemist ja nende infosüsteemis/andmekogus säilitamist

puudutavate juhiste loomise ja ajakohastamise eest vastutab infosüsteemi/andmekogu

peakasutaja ja/või omanik.

8.1.2. Ameti infosüsteemides asuvate dokumentide, andmete ja registrite ning võrguketastele

salvestatud teabe kaitse korraldamine, säilitamine ja varundamine toimub vastavalt MKM IT

kordadele ja eeskirjadele (vt p 5.2).

8.1.3. Amet kasutab andmete terviklikkuse, käideldavuse ja konfidentsiaalsuse tagamiseks vajalikke

organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmed. Meetmed hõlmavad

töötajate, informatsiooni, IT-infrastruktuuri, ameti siseste ja avalike võrkude ning tehniliste

seadmete kaitset. Meetmed kirjeldatakse vastava andmekogu/infosüsteemi korras.

8.1.4. DHS-is piiratakse sarjapõhiselt tundlikele ja eriliigilistele isikuandmetele juurdepääsu.

Andmetele juurdepääsu annab DHS-i peakasutaja.

8.1.5. Struktuuriüksuses paberil isikuandmeid sisaldavate teabekandjate töötlemisel ruumis on

struktuuriüksuse juht kohustatud hoiustamisel tagama ja andmetöötleja rakendama

täiendavaid turbemeetmeid (lukustatavad kapid, riiulid, sahtlid jne). Eriliigilisi isikuandmeid

sisaldavaid paberdokumente hoiustatakse alati lukustatavas kapis, riiulil, sahtlis või

arhiivihoidlas.

8.1.6. Isikuandmeid töötlevas infosüsteemis/andmekogus peab olema tagatud:

 isikuandmete konfidentsiaalsus, st isikuandmetele ei pääse ligi juurdepääsuõiguseta isikud;

 isikuandmete käideldavus, st infosüsteemi kasutaja pääseb ligi ainult lubatud isikuandmetele

ja lubatud andmetöötluseks;

 isikuandmete terviklus, st isikuandmeid ei ole võimalik volitamata muuta ega hävitada.

8.1.7. Töötaja kasutab ameti e-posti üksnes tööalaseks suhtluseks. Töötajate ameti e-posti haldamine

on kirjeldatud. Tööandjal on õigus ligi pääseda töötaja ameti e-postkastile ameti tööülesannete

katkematuks täitmiseks töösuhte jooksul ja kuu aega pärast töösuhte lõppemist.

8.1.8. Värbamise protsessis kogutav teave tööle kandideerija kohta töödeldakse kooskõlas

Teenistujate värbamise ja valiku korraga.

8.1.9. Amet videosalvestab oma teatud ruume ja territooriumi klientide ja töötajate turvalisuse

tagamiseks ning teooria- ja sõidueksami soorituste tõendamise võimaldamiseks. Salvestamine

toimub kooskõlas Salvestamise ja salvestiste töötlemise korraga.

8.1.10. Klientide kõned infoliinile salvestatakse ja salvestisi töödeldakse vastavalt Infotelefoni

kõnede salvestamine ja salvestiste töötlemine dokumendile.

8.2. Juurdepääs andmetele

8.2.1. Teabele juurdepääsu võimaldamisel ning teabe kaitse korraldamisel lähtub amet avaliku teabe

seadusest ning andmekaitset reguleerivatest õigusaktidest, ameti asjakohastest kordadest ja

Andmekaitse Inspektsiooni juhistest.

8.2.2. Juurdepääs andmetele, andmekogule või infosüsteemile antakse ameti andmetöötlejale

ametikoha ülesannete täitmiseks vajalikus ulatuses.

8.2.3. Teavet võib infosüsteemi sisestada, kasutada või muul viisil töödelda isik, kellel on vastavad

õigused ning kelle isikusamasus on tuvastatud (infosüsteemide kasutamise logid on

kontrollitavad).

8.2.4. Andmetöötleja isikusamasus tuvastatakse igakordsel süsteemi logimisel (sõltuvalt süsteemist)

kas:

TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r1

ANDMEKAITSE KORD

Kinnitamine: 14.06.2022 nr 1.1-1/22/82 Koostaja: Riina Õunas 8/8

 ID-kaardiga;

 mobiil-IDga;

 Smart-IDga;

 parooliga.

8.2.5. Kui sisselogimine toimub parooli alusel, siis paroole hoitakse konfidentsiaalsena ning parooli

ega viiteid selle sisule ei jagata teiste isikutega.

8.2.6. Andmetöötleja tagab, et tööülesannete täitmisel teatavaks saanud isikuandmed ja

juurdepääsupiiranguga andmed ei saaks teatavaks teadmisvajaduseta isikutele.

8.2.7. Andmetöötleja ametikoha vahetumisel või töölt lahkumisel on süsteemi peakasutajal kohustus

üle vaadata isiku kontod ja juurdepääsuõigused andmekogudes ning infosüsteemides, et

välistada õigustamata juurdepääsu teabele.

8.2.8. Süsteemi peakasutaja tagab, et infosüsteemidele tugiteenuste osutamiseks (hooldus, remont,

abi-, tugi- ja tehnilised tööd jmt) juurdepääsu vajavate füüsiliste või juriidiliste isikutega on

tugiteenuste osutamiseks sõlmitud lepingus sätestatud konfidentsiaalsuse tagamise kohustus.

8.2.9. Elektrooniliste teabekandjate kasutuselt kõrvaldamisel peavad teabekandjalt olema

isikuandmed turvaliselt kustutatud ja võimalusel üle kirjutatud. Elektroonilised teabekandjad,

millelt ei ole võimalik isikuandmeid elektrooniliselt kustutada, tuleb hävitada füüsiliselt.

8.3. Isikuandmete töötlemise nõuete rikkumine

8.3.1. Ameti infosüsteemides asuvate dokumentide, andmete, registrite ning võrguketastele

salvestatud teabe ning selle säilitamisel ja varundamisel toimunud intsidentidest teavitamine

toimub vastavalt IKÜM-ile ja MKM valitsemisala turvaintsidentide korrale.

8.3.2. Andmetöötleja teavitab kohe struktuuriüksuse juhti ja andmekaitsespetsialisti talle teatavaks

saanud isikuandmete töötlemise ja kaitse nõuete rikkumisest.

8.3.3. Teenistuskohustuste rikkumisena käsitletavate isikuandmete töötlemise ja kaitse nõuete

rikkumistest teavitab struktuuriüksuse juht sisekontrolöri.

8.3.4. Andmekaitsealaseid rikkumisi menetletakse vastavalt TT_13_K3_Sisekontrolli korrale.

8.3.5. Andmekaitsespetsialist registreerib rikkumise ja teavitab AKI-t 72 tunni jooksul

isikuandmetega seotud rikkumisest v.a juhul kui intsident ei kujuta ohtu füüsiliste isikute

õigustele ja vabadusele.

8.3.6. Amet teavitab andmesubjekte viivitamatult nende andmetega seotud rikkumisest, kui see

kujutab endast suurt ohtu andmesubjektide eraelu puutumatusele.

8.3.7. Andmekogu/infosüsteemi peakasutaja vastutab juhtumi analüüsi, parendusprotsessi ja -

tegevuskava elluviimise eest.

9. TOETAVAD INFOSÜSTEEMID

Infosüsteemi nimetus Kirjeldus, milleks kasutatakse

DHS Isikuandmete töötlemise ja kaitse päringute registreerimine

Sari 1.1-7, DHS, säilitustähtaeg 10 aastat

KÄSKKIRI

14.06.2022 nr 1.1-1/22/82

Transpordiameti andmekaitse korra kinnitamine

Majandus- ja taristuministri 03.12.2020 määruse nr 82 „Transpordiameti põhimäärus“ § 6 punkti

1 alusel:

1. Kinnitan Transpordiameti andmekaitse korra koos lisaga (lisatud).

2. Tunnistan kehtetuks Maanteeameti peadirektori 18.10.2013 käskkirja nr 338 „Liiklusregistris

sisalduvate isikuandmete töötlemise põhimõtete kinnitamine“.

3. Käskkiri jõustub allkirjastamisest.

4. Käesolevat haldusakti on võimalik vaidlustada 30 päeva jooksul selle teatavaks tegemisest

alates vaide esitamisega Transpordiametile (Valge 4, 11413 Tallinn) haldusmenetluse seaduses

sätestatud korras või esitades kaebuse Tallinna Halduskohtule halduskohtumenetluse

seadustikus sätestatud korras.

(allkirjastatud digitaalselt)

Kaido Padar

peadirektor