Tere!

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles soovite selgitusi mõjuhinnangu kohta. Olete pöördunud ka TI-hüppe meeskonna poole, kuid Teie hinnangul ei ole saadud vastused selgust loonud.

Esmalt viitame, et käesolevat teemat on põhjalikult käsitletud ka Geeniuse portaali riigi IT podcastis „Kriitiline intsident“, kus osalesid nii AKI kui ka TI-Hüppe esindajad ning kus selgitati muu hulgas tehisaru kasutamisega seotud andmekaitseriske, koolide kohustusi ning võimalusi abi saamiseks: „07.10 Kriitiline intsident: AKI ja TI-Hüpe hoiatavad tehisarule õpilaste andmete ettesöötmise eest“. Samuti tasub tutvuda teiste AKI veebilehel avaldatud juhiste ja materjalidega, mis käsitlevad andmesubjektide õigusi, vastutava töötleja kohustusi, vastutuse põhimõtet ning turvameetmete rakendamist.

Kuna TI-hüppe meeskond on Teile selgitusi juba jaganud ning AKI-l ei ole nende selgituste osas hetkel täiendusi lisada, siis ei hakka me neid käesolevas vastuses kordama. Küll aga juhime tähelepanu sellele, et TI-Hüpe on pakkunud haridusasutustele tuge mõjuhinnangu koostamisel. Kui vastutav töötleja leiab, et soovib koostada oma organisatsiooni vajadustele paremini vastava dokumendi, võib ta koostada ka iseseisva andmekaitsealase mõjuhinnangu. Oluline on, et koostatud dokument vastaks õigusaktides sätestatud nõuetele ning kajastaks tegelikke igale vastutavale töötlejale omaseid andmetöötlustoiminguid ja nendega seotud riske.

Rohkem infot, mh mõjuhinnangu koostamise kohta, leiab siit:

• * 5. peatükk. Andmekaitsealane mõjuhinnang | Andmekaitse Inspektsioon;
• * Tehisaru kasutusele võtjale | Andmekaitse Inspektsioon;
• * Vastutav ja volitatud töötleja | Andmekaitse Inspektsioon.

Oluline ongi mõista, et koolidel peab olema seadusest tulenev alus õpilaste ja teiste õppeprotsessis osalevate isikute isikuandmete töötlemiseks õppe korraldamise ning haridusteenuse osutamise eesmärgil. Põhikooli- ja gümnaasiumiseaduse viidatud säte (mis puudutab erinevaid rakendusi) vastab küsimusele „kas andmeid tohib töödelda?“.

Andmekaitsealane mõjuhinnang seevastu vastab küsimusele „kuidas töödelda isikuandmeid selliselt, et andmesubjektide õigused ja vabadused oleksid piisavalt kaitstud?“. Mõjuhinnangu eesmärk on hinnata kavandatava andmetöötlusega kaasnevaid riske ning kavandada vajalikud tehnilised ja korralduslikud kaitsemeetmed nende riskide maandamiseks. Isikuandmete kaitse üldmääruse (IKÜM) artikli 35 kohaselt tuleb mõjuhinnang koostada juhul, kui kavandatav töötlemine võib tõenäoliselt kaasa tuua kõrge riski füüsiliste isikute õigustele ja vabadustele.

Peame vajalikuks selgitada, et andmete töötlemiseks õigusliku aluse olemasolu ning mõjuhinnangu tegemise kohustus on kaks eraldiseisvat õiguslikku küsimust. Õiguslik alus võimaldab isikuandmete töötlemist, kuid ei vabasta vastutavat töötlejat hindamast seda, kas konkreetse andmetöötlusega kaasneb kõrge risk andmesubjektide õigustele ja vabadustele. Seetõttu ei saa nõustuda seisukohaga, et näiteks üksnes seaduses sätestatud töötlemisaluse olemasolu muudaks mõjuhinnangu koostamise ebavajalikuks. Isegi kui TI-hüpe nendiks, et risk on madal mingil hetkel, siis tuleb vastutavalt töötlejal olla endal valvas ning hinnata riske järjepidevalt. TI on meeletu tempoga arenev valdkond.

Lisaks selgitame teadmiseks, et IKÜM on Euroopa Liidu määrus, mis on liikmesriikidele otsekohaldatav määrus. Seetõttu ei saa siseriiklik õigus kõrvaldada ega piirata IKÜM-ist tulenevaid kohustusi olukorras, kus määrus näeb nende kohaldamise ette. Kui andmetöötluse laad, ulatus, kontekst või eesmärgid viitavad võimalikule kõrgele riskile, tuleb vastutaval töötlejal hinnata mõjuhinnangu tegemise vajadust sõltumata sellest, et töötlemiseks on olemas seadusest tulenev alus.

Eeltoodu on eriti oluline laste isikuandmete töötlemise puhul. IKÜM põhjenduspunkti 38 kohaselt väärivad lapsed oma isikuandmete töötlemisel erilist kaitset, kuna nad ei pruugi olla täielikult teadlikud andmetöötlusega seotud riskidest, tagajärgedest ega kaitsemeetmetest. Haridusvaldkonnas kasutatavate uute tehnoloogiliste lahenduste, sealhulgas tehisarul põhinevate lahenduste puhul tuleb seetõttu pöörata erilist tähelepanu sellele, milliseid andmeid töödeldakse, millistel eesmärkidel seda tehakse, millised riskid võivad kaasneda ning kuidas neid riske maandatakse.

Veelkord juhime tähelepanu sellele, et viimaste aastate jooksul on tehisaru areng olnud erakordselt kiire. Uued teenused, funktsionaalsused ja andmetöötlusviisid muutuvad pidevalt. Seetõttu ei pruugi riskid olla alati võrreldavad tavapäraste andmetöötlustoimingutega ning vastutav töötleja peab olema võimeline hindama ka selliseid mõjusid, mis ei pruugi esmapilgul olla nähtavad.

Rõhutame, et mõjuhinnang ei ole eesmärk omaette ega lihtsalt vormitäide. Selle mõte on panna vastutavat töötlejat (kooli) enne andmete töötlemist läbi mõtlema, millised riskid võivad inimestele tekkida ning kuidas neid riske vähendada. Tegemist on riskijuhtimise ning vastutuskohustuse põhimõtte praktilise väljendusega. IKÜM artikli 5 lõike 2 kohaselt peab vastutav töötleja olema võimeline tõendama, et tema tegevus vastab andmekaitsenõuetele. Mõjuhinnang on üks olulisi vahendeid, mille abil sellist vastavust dokumenteerida ja vajadusel tõendada. Igal koolil on oma eripärad ning igal koolil endal tuleb nendega arvestada.

Seadusloomega ning sellega seotud kaalutlusotsustega seotud täiendavate selgituste saamiseks tuleb pöörduda vastava valdkonna eest vastutava ministeeriumi poole (Haridus- ja Teadusministeerium või Justiits- ja Digiministeerium). AKI ei saa anda seaduslooja eest siduvaid selgitusi seadusloome eesmärkide või kaalutluste kohta.

Loodame, et meie selgitustest on abi. Kui pärast eespool viidatud podcastiga, AKI materjalidega tutvumist ning seadusloojalt selgituste saamist tekib lisaküsimusi, mis kuuluvad AKI pädevusse, siis palume meiega ühendust võtta. Vajadusel oleme valmis ka kohtuma, et teemat sisulisemalt arutada.

Lugupidamisega