ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Katri Meltsas

Türi Vallavalitsus

[email protected]

Teie 09.09.2026

Meie 24.09.2026 nr 2.3-8/26/3551-2

Vastus nõudekirjale

Pöördusite Andmekaitse Inspektsiooni poole seoses sooviga saada inspektsiooni seisukohta, kas

projekti „TERVIK“ kompleksjuhtumi koordinaatorile, kes ei ole kohaliku omavalitsuse ametnik

ega töötaja ning kellel puudub kohaliku omavalitsusega lepinguline suhe, võib anda juurdepääsu

sotsiaalteenuste ja -toetuste andmeregistrile (STAR). Samuti palute hinnata sellise juurdepääsu

õiguslikku alust ja ulatust, välise kasutaja tegevuse kajastamist andmejälgijas ning korralduse

vastavust isikuandmete kaitse nõuetele.

Õiguslik alus

Isikuandmete töötlemise õiguslikku alust tuleb hinnata isikuandmete kaitse üldmääruse (IKÜM)

artikli 6 kohaselt. Sotsiaalhoolekande korraldamine on kohaliku omavalitsuse avalik ülesanne,

mistõttu saab selle täitmiseks vajalik isikuandmete töötlemine tugineda eelkõige IKÜM artikli 6

lõike 1 punktile e koostoimes töötlemise alust ja eesmärki määravate riigisiseste õigusnormidega.

IKÜM artikli 6 lõike 1 punkt c oleks asjakohane konkreetse töötlemistoimingu puhul, mille

tegemiseks on vastutavale töötlejale pandud selgelt määratletud seadusjärgne kohustus. Kuna

STAR-s töödeldakse ka eriliiki isikuandmeid, peab lisaks esinema mõni IKÜM artikli 9 lõikes 2

sätestatud erand. Sotsiaalhoolekande ülesande täitmisel võib sõltuvalt töötlemise eesmärgist olla

asjakohane IKÜM artikli 9 lõike 2 punkt h. Selle sätte kasutamisel tuleb arvestada ka artikli 9

lõikes 3 sätestatud ametisaladuse või muu samaväärse saladuse hoidmise kohustusega.

Sotsiaalhoolekande seaduse (SHS) § 9 reguleerib abi andmist juhtumikorralduse põhimõttel ning

näeb muu hulgas ette juhtumi koordineerija määramise, kuid samas ei tulene sellest siiski

koordinaatorile iseseisvat õigust STAR kasutada või tutvuda selles sisalduvate isikuandmetega ehk

projekti „TERVIK“ eesmärkide täitmine ja projektis osalemine ei anna iseenesest isikule õigust

töödelda STAR-s sisalduvaid isikuandmeid.

Ka STAR põhimääruse § 2 punkt 2, mille kohaselt on registri üks eesmärk juhtumikorralduse

põhimõttel tehtava sotsiaaltöö läbiviimine ja dokumenteerimine, määrab kindlaks küll

andmetöötluse eesmärgi, kuid mitte isikute ringi, kellele võib anda kasutajaõiguse. Seega ei piisa

juurdepääsu põhjendamiseks projektis osalemisest ega sellest, et koordinaatori tegevus on seotud

juhtumikorraldusega. Konkreetse isiku juurdepääsu lubatavust tuleb hinnata koos STAR

töötlejaid, kasutajaid ja juurdepääsu korraldust reguleerivate sätetega.

STAR põhimääruse § 5 kohaselt on registri vastutav töötleja Sotsiaalkindlustusamet ning volitatud

töötlejad muu hulgas kohaliku omavalitsuse üksus ja sotsiaalteenuse osutaja. Põhimääruse § 6

punktide 1 ja 2 kohaselt juhib vastutav töötleja registri pidamist, annab volitatud töötlejatele

selleks vajalikke juhiseid ja korraldusi, kehtestab registriandmetele juurdepääsu ja nende

2 (4)

töötlemise korra ning tagab, et andmeid töötlevad ainult selleks määratud isikud. Põhimääruse § 7

lõike 2 punkti 3 kohaselt peab kohaliku omavalitsuse üksus tagama, et tema juures töötlevad

andmeid ainult selleks määratud isikud ja üksnes tööülesannete täitmiseks vajalikus ulatuses.

Seega ei saa kohalik omavalitsus otsustada STAR kasutajaõiguse andmist üksnes oma

töökorraldusliku kaalutluse alusel, vaid peab järgima põhimäärust ning andmekogu vastutava

töötleja kehtestatud juurdepääsu- ja töötlemiskorda.

Teie pöördumises esitatud asjaolude kohaselt ei ole kompleksjuhtumi koordinaator aga kohaliku

omavalitsuse ametnik ega töötaja, tal puudub kohaliku omavalitsusega lepinguline suhe ning talle

ei ole üle antud kohaliku omavalitsuse sotsiaalhoolekande ülesannet. Seetõttu ei vasta kirjeldatud

olukord selgelt põhimääruses ette nähtud mudelile, mille kohaselt töötleb isik andmeid volitatud

töötleja juures oma tööülesannete täitmiseks. Üksnes projektis osalemine või võrgustikujuhi

taotlus ei ole piisav alus isiku määramiseks kohaliku omavalitsuse kaudu STAR kasutajaks. Enne

juurdepääsu võimaldamist peab olema selgelt kindlaks määratud koordinaatori ülesanded, tema

õiguslik suhe kohaliku omavalitsuse või muu STAR põhimääruses nimetatud töötlejaga ning

isikuandmete töötlemise eesmärk ja ulatus.

Ülesande üleandmine ja välise isiku kaasamine

Olukorras, kus andmete töötlemisse kaasatakse väline organisatsioon, tuleb kõigepealt tegeliku

ülesannete jaotuse põhjal määrata tema roll andmetöötluses. Kui organisatsioon töötleb andmeid

kohaliku omavalitsuse nimel ja juhiste alusel, siis tuleb arvestada, et kohaliku omavalitsuse üksus

on STAR suhtes ise volitatud töötleja. Sellisel juhul on teise volitatud töötleja kaasamiseks IKÜM

artikli 28 lõike 2 kohaselt vaja Sotsiaalkindlustusameti eelnevat konkreetset või üldist kirjalikku

luba ning artikli 28 lõike 4 kohaselt tuleb teisele volitatud töötlejale panna samad

andmekaitsekohustused, mis kohalduvad kohaliku omavalitsuse üksusele. Lepinguline nimetus ei

ole seejuures määrav, vaid roll tuleb kindlaks teha tegeliku andmetöötluse järgi. Kui koordinaator

tegutseb füüsilise isikuna kohaliku omavalitsuse üksuse või muu STAR põhimääruses nimetatud

töötleja alluvuses, võib ta IKÜM artikli 29 kohaselt andmeid töödelda üksnes selle töötleja juhiste

alusel. See eeldab tegelikku ja tõendatavat alluvus-, juhendamis- ja kontrollisuhet. Üksnes

kasutajakonto, konfidentsiaalsuskohustus või üldine koostöökokkulepe sellist suhet ei loo.

Juhul kui kohalik omavalitsus aga volitab välist organisatsiooni seaduses sätestatud alusel ja

nõuetekohases korras sotsiaalhoolekande haldusülesannet iseseisvalt täitma, ei pruugi

organisatsioon töödelda isikuandmeid kohaliku omavalitsuse nimel ega olla tema volitatud

töötleja. Kui organisatsioon määrab talle üle antud ülesande ja õigusaktidega kehtestatud raamides

kindlaks konkreetse isikuandmete töötlemise eesmärgid ja olulised vahendid, võib ta olla selle

töötlemise suhtes iseseisev vastutav töötleja IKÜM artikli 4 punkti 7 tähenduses. Kui töötlemise

eesmärgid ja olulised vahendid määratakse koos kohaliku omavalitsusega, siis tuleb hinnata

kaasvastutuse tekkimist IKÜM artikli 26 tähenduses. Töötlejaroll tuleb seega kindlaks määrata

üleantud ülesande sisu, organisatsioonile antud otsustuspädevuse ja tegeliku töökorralduse järgi.

Haldusülesande üleandmine ega organisatsiooni võimalik vastutava töötleja staatus ei anna aga

talle siiski automaatselt STAR kasutamise õigust. Eraldi tuleb hinnata, kas organisatsioon kuulub

STAR põhimääruses nimetatud töötlejate ringi, kas registri vastutava töötleja kehtestatud kord

võimaldab organisatsioonile või tema töötajatele kasutajaõigust anda ning kas juurdepääsu saab

piirata üleantud ülesande täitmiseks vajalike juhtumite, andmete ja toimingutega. Kui kehtiv

regulatsioon sellist juurdepääsu ette ei näe, ei saa puuduvat STAR kasutamise õigust asendada

üksnes halduslepinguga.

Seega, kui kohalik omavalitsus kaalub sotsiaalhoolekande ülesande täitmise üleandmist

kolmandale isikule, tuleb esmalt veenduda, et avaliku ülesande üleandmine on seadusega lubatud

ning nõuetekohaselt vormistatud. Avaliku ülesande üleandmine ja isikuandmetele juurdepääsu

võimaldamine on omavahel seotud, kuid eraldiseisvad küsimused. Ülesande õiguspärane

üleandmine võib põhjendada kolmanda isiku osalemist ülesande täitmises, kuid ei anna talle

3 (4)

automaatselt STAR kasutamise õigust. Eraldi tuleb hinnata, kas kolmandal isikul on ülesande

täitmiseks vaja STAR andmeid töödelda, millises töötlejarollis ta tegutseb ning kas juurdepääs on

kooskõlas STAR põhimääruse ja Sotsiaalkindlustusameti kehtestatud korraga.

Juurdepääsu ulatus

Juurdepääsu ulatuse määramisel tuleb lähtuda IKÜM artikli 5 lõike 1 punktis b sätestatud eesmärgi

piirangu põhimõttest ja punktis c sätestatud võimalikult väheste andmete töötlemise põhimõttest.

Nende põhimõtete järgi võib isikuandmeid töödelda üksnes täpselt ja selgelt kindlaksmääratud

õiguspärasel eesmärgil ning andmed peavad olema asjakohased, olulised ja piiratud sellega, mis

on töötlemise eesmärgi saavutamiseks vajalik. IKÜM artikli 5 lõike 2 kohaselt vastutab vastutav

töötleja nende põhimõtete järgimise eest ja peab suutma nõuetele vastavust tõendada.

Samuti näevad IKÜM artikli 25 lõiked 1 ja 2 ette lõimitud ja vaikimisi andmekaitse põhimõtete

rakendamise kohustuse. See tähendab, et vaikimisi võib kasutajale teha kättesaadavaks ainult need

isikuandmed, mis on konkreetse töötlemise eesmärgi saavutamiseks vajalikud. Kui STAR

sotsiaaltöötaja kasutajaroll võimaldab kompleksjuhtumi koordinaatoril juurde pääseda suuremale

hulgale isikutele, juhtumitele, andmetele või funktsioonidele, kui tema ülesande täitmiseks vaja,

ei vasta sellise kasutajarolli andmine IKÜM artikli 5 lõike 1 punktile c ega artikli 25 lõikele 2.

Ülemäärast juurdepääsu ei muuda õiguspäraseks ka konfidentsiaalsuskohustus, koolitus ega

hilisem logikontroll, sest need meetmed ei piira tehniliselt kättesaadavate andmete hulka. Kui

olemasolev rollimudel ei võimalda juurdepääsu vajalikus ulatuses piirata, tuleb kasutada muud

töökorraldust või lahendada piiratud kasutajarolli loomine koostöös Sotsiaalkindlustusametiga.

Tehnilise lahenduse puudumine ei õigusta ülesande täitmiseks mittevajalikele andmetele

juurdepääsu andmist.

Andmejälgija ja vastutus

Andmejälgija puhul tuleb eristada andmesubjektile kuvatavat teavet töötleja kohta ning konkreetse

toimingu teinud füüsilise isiku tuvastamist auditi- ja logiandmete alusel. STAR põhimääruse § 9

kohaselt säilitatakse registrisse tehtud kande või päringu kohta muu hulgas toimingu teinud isiku

nimi ja isikukood, toimingu liik ja objekt ning toimingu aeg. Iga toiming peab seega olema

omistatav konkreetsele kasutajale.

Kohaliku omavalitsuse üksuse kuvamine andmejälgijas ei ole iseenesest IKÜM-ga vastuolus, kui

kasutaja tegutseb õiguspäraselt kohaliku omavalitsuse üksuse kui STAR volitatud töötleja juures,

tema ülesanded ja juurdepääsuõigus on nõuetekohaselt määratud ning tema toimingud on

logiandmete alusel tuvastatavad. Kui aga kohaliku omavalitsuse nime all tegutseb väline isik, kelle

suhe kohaliku omavalitsusega ei ole selgelt kindlaks määratud, võib kuvatav teave anda töötlemise

tegelikust korraldusest ebatäpse ettekujutuse. See võib olla vastuolus IKÜM artikli 5 lõike 1

punktis a sätestatud läbipaistvuse põhimõttega, sama artikli lõikes 2 sätestatud vastutuse

põhimõttega ning artiklites 12-14 sätestatud teavitamisnõuetega.

STAR põhimääruse § 7 lõike 2 punktide 1–3 kohaselt peab kohaliku omavalitsuse üksus järgima

vastutava töötleja antud suuniseid, rakendama andmete käideldavust, terviklust ja

konfidentsiaalsust tagavaid turvameetmeid ning tagama andmete töötlemise ainult selleks

määratud isikutele tööülesannete täitmiseks vajalikus ulatuses. Samuti peab kohalik omavalitsus

rakendama IKÜM artiklist 32 tulenevaid riskile vastavaid tehnilisi ja korralduslikke meetmeid.

Arvestades STAR põhimääruse §-s 9 sätestatud logimisnõudeid, peavad kasutajakontod ja

toimingute logid võimaldama tuvastada konkreetse kasutaja tehtud toimingud ning kasutajaõigusi

tuleb hallata viisil, mis välistab põhjendamatu juurdepääsu. See eeldab muu hulgas isikustatud

kasutajakontode kasutamist, kasutaja volituste piiritlemist, tehtud toimingute logimist,

kasutajaõiguste korrapärast kontrollimist ning õiguste lõpetamist kohe, kui nende andmise alus ära

langeb.

4 (4)

Kokkuvõtteks

Eeltoodut arvestades ei nähtu pöördumises kirjeldatud asjaoludest piisavat alust anda

kompleksjuhtumi koordinaatorile kohaliku omavalitsuse kaudu STAR kasutajaõigus.

Koordinaator ei ole kohaliku omavalitsuse ametnik ega töötaja, tal puudub kohaliku

omavalitsusega muu lepinguline suhe ning talle ei ole üle antud kohaliku omavalitsuse

sotsiaalhoolekande ülesannet. Samuti ei ole selge, millise STAR põhimääruses nimetatud töötleja

juures ning kelle juhiste ja vastutuse all ta registriandmeid töötleks.

Juurdepääsu saaks kaaluda üksnes siis, kui koordinaatori ülesanded ja õiguslik suhe kohaliku

omavalitsuse või muu STAR põhimääruses nimetatud töötlejaga on selgelt määratud, töötlemisel

on IKÜM artiklite 6 ja 9 kohane alus ning välise isiku või organisatsiooni tegelik andmetöötlusroll

on kindlaks tehtud. Sõltuvalt ülesannete ja otsustuspädevuse jaotusest võib organisatsioon

tegutseda kohaliku omavalitsuse nimel volitatud töötlejana, töötleja alluvuses oleva isikuna või

talle iseseisvalt üle antud haldusülesande täitmisel vastutava töötlejana. Siinjuures tuleb ühiste

eesmärkide ja oluliste vahendite määramisel hinnata kaasvastutust. Igal juhul peab kasutajaõiguse

andmine olema kooskõlas STAR põhimääruse ja vastutava töötleja kehtestatud korraga.

Lisaks peab juurdepääs olema tehniliselt piiratud konkreetse ülesande täitmiseks vajalike

juhtumite, andmete ja toimingutega. Kui koordinaatorile saab anda üksnes tema ülesannete

täitmiseks vajalikku ulatust ületava sotsiaaltöötaja rolli, ei ole kasutajaõiguse andmine kooskõlas

STAR põhimääruse § 7 lõike 2 punktiga 3, IKÜM artikli 5 lõike 1 punktiga c ega IKÜM artikli 25

lõikega 2.

Loodame, et saime oma selgitustega Teile abiks olla.

Lugupidamisega

(allkirjastatud digitaalselt)

Terje Enula

jurist

peadirektori volitusel