1

Pille Lehis

Saatja: AKI info Saatmisaeg: esmaspäev, 10. aprill 2023 14:06 Adressaat: 'Anette-Johanna Park' Teema: vastus teie 21.03.2023 pöördumisele

Tere! Olete pöördunud meie poole küsimusega, mis nõuded on tundlikke andmete hoiustamisel nii paberkandjal kui virtuaalselt. Isikuandmete kaitse üldmäärus (https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=celex%3A32016R0679 ) artikkel 32 sätestab nõuded isikuandmete töötlemise turvalisusele. Lisaks lugege määruse põhjenduspunkte 74-77 ja 83, mis aitavad lahti selgitada artikli mõtet. Mõistagi on need väga üldised ega anna ühest vastust, mida te täpselt tegema peaksite või kas üks või teine meede on piisav. Üldistatult võib öelda, olgu andmete töötlemine ja säilitamine korraldatud elektroonselt või füüsiliselt, peaksite tagama andmete hoidmise ja säilitamise selliselt, et oleks tagatud nende konfidentsiaalsus, terviklikkus, kättesaadavus ja vastupidavus. Lihtsamalt öeldes peaks olema tagatud, et andmetele saavad ligi üksnes selleks volitatud isikud teadmisvajaduse põhiselt, tagatud peab olema andmete terviklikkus ja säilitamine – st et neid ei muudaks või kustutaks volitamata isikud. Näiteks on isikutel, kelle kohta olete andmeid kogunud õigus igal ajal (v.a kui säilitustähtaeg on möödunud) tutvuda enda kohta kogutud andmetega, mis tähendab, et teil peab olema võimalik muutmata kujul need väljastada. Andmetele ligipääs, nende muutmine ja kustutamine peaks olema jälgitav st te peate olema võimeline vastuseid andma, kes mis hetkel ja mis põhjusel isiku andmeid vaatas, muutis või kustutas. Milliseid meetmeid te selleks kasutate, on teie enda otsustada, kuna ainult teie saate hinnata võimalikke ohte ja riske tulenevalt oma praksise ülesehituse loogikast. Seepärast ei saa ka üheselt vastata, kas lukustatud kapp on piisav või mitte. Alustama peaksite aga sellest, et looma andmekaitsetingimused, mis aitavad teil endal olulised küsimused läbi mõelda, aga annavad ka väljapoole teavet, eelkõige neile inimestele, kelle andmeid te töötlema asute, selle kohta, kuidas te andmekaitse oma praksises korraldanud olete. Andmekaitsetingimustes tuleb sätestada, mis andmeid te kogute, kui palju, mis eesmärgil, millisel õiguslikul alusel, kaua te neid säilitate jne. Samuti peaksid andmekaitsetingimused andma ülevaate isikutele, kuidas töötlemise turvalisus tagatud on. Ent iga andmetöötleja puhul on tema andmetöötluse põhimõtete ülesehitamine väga spetsiifiline ja lähtub konkreetsest tegevisalast jms- st, mistõttu soovitaksime siinkohal kindlasti konsulteerida mõne andmekaitset tundva õigusnõustajaga. Paraku meie järelevalveasutusena sellist õigusnõu anda ei saa. Kuna teie kätte usaldavad inimesed tõepoolest oma väga tundlikud andmed, siis peaksite nende hoidmisse ja säilitamisse suhtuma täie tõsidusega. Lisaks andmekaitselistele küsimustele peaksite ehk tähelepanu pöörama ka küberturvalisuse nõuetele. Seega tasuks kaaluda ka mõne infoturbe eksperdiga konsulteerimist. Küberintsidendid on paraku meie elu igapäeva osa ja teile usaldatud andmete osas olete sellise intsidendi aset leidmise korral teie vastutajaks. Seepärast tasub pigem eelnevalt investeerida nii aega, teadmisi kui ka raha turvalise süsteemi ülesehitamisse. Loodan, et saite meie selgitustest tuge. Kõike paremat soovides Andmekaitse Inspektsioon www.aki.ee