ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 7000423

Tartu Spordiseltsi Kalev Spordikool

SK FC Levadia Jalgpallikool

Pärnu Spordikool

Narva Spordikool Energia

Saaremaa Spordikool

Viljandi Spordikool

22.10.2026 nr 2.1.-4/26/1936-4317-1

Huvi- ja spordikoolide rikkumiste registrite seire meeldetuletus

Andmekaitse Inspektsioon algatas omaalgatusliku seire, mille osas edastasime teile 07.10.2026

vastava pöördumise. Vastamise tähtaeg oli 20.10.2026. Kahjuks me ei ole selleks kuupäevaks teie

tagasisidet saanud. Palume vastata hiljemalt 28.10.2026 [email protected].

Inspektsioon viib seire läbi isikuandmete kaitse üldmääruse artikkel 58 ja isikuandmete kaitse

seaduse § 56 alusel ning seetõttu on küsimustele vastamine Teile kohustuslik. Käesolevale kirjale

on lisatud ka esialgne seires osalemise kutse. Selles on täpsemalt selgitatud, mida ja miks seires

vaatleme.

Lugupidamisega

(allkirjastatud digitaalselt)

Marcus Pupart

andmeturbe ekspert

peadirektori volitusel

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 7000423

Tallinna Huvikeskus Kullo

IZUM Huvikool

Tartu I Muusikakool

Tartu Loodusmaja

Audentese Spordikool

Spordiklubi Nord

Tartu Spordiseltsi Kalev Spordikool

SK FC Levadia Jalgpallikool

Pärnu Spordikool

Narva Spordikool Energia

Saaremaa Spordikool

Viljandi Spordikool

Paide Kunstikool

07.10.2026 nr 2.1.-4/26/1936-4018-1

Huvi- ja spordikoolide rikkumiste registrite seire

Andmekaitse Inspektsioon on algatanud omaalgatusliku seire, et saada ülevaade, kas ja kuidas

täidetakse huvi- ja spordikoolides isikuandmete kaitse üldmääruses (IKÜM) sätestatud kohustust

dokumenteerida kõik isikuandmetega seotud rikkumised.

Isikuandmetega seotud rikkumine on turvanõuete rikkumine, mis põhjustab edastatavate,

salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise,

kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu.

Intsidendi korral on vastutaval andmetöötlejal kohustus isikuandmete rikkumised

dokumenteerida1. Kuivõrd andmetöötleja peab kõik rikkumised dokumenteerima, on soovituslik

pidada sisemist registrit rikkumiste kohta. Rikkumiste dokumenteerimine on seotud IKÜM artikli

5 lõikes 2 sätestatud vastutuse põhimõttega. Registri ülesehitus on iga andmetöötleja enda

otsustada, kuid teatavad elemendid peavad siiski olemas olema, näiteks IKÜM artikli 33 lõikes 5

on sätestatud, et kirjas peavad olema rikkumise põhjused, toimunu kirjeldus, mõjutatud

isikuandmed ja võetud parandusmeetmed.

Tulenevalt eeltoodust on Andmekaitse Inspektsiooni eesmärk kaardistada huvi- ja spordikoolide

IKÜM nõuete täitmine eelkõige isikuandmetega seotud rikkumiste dokumenteerimisel. Huvi- ja

spordikoolides, kus isikuandmete käitlemine on teenuste osutamisel ja alaealiste õiguste kaitse

tagamisel sageli kriitilise tähtsusega, ei ole isikuandmete rikkumiste dokumenteerimine mitte

ainult regulatiivne nõue, vaid usalduse ja vastutuse säilitamise põhiaspekt.

Sellest tulenevalt valis inspektsioon senisele praktikale tuginedes 12 organisatsiooni, kellelt

küsitakse välja dokumenteeritud rikkumiste ülevaade. Valitud organisatsioonide kohta valmib

analüüs, kas ja kuidas on huvi- ja spordikoolides täidetud IKÜM artikkel 33 lg 5 sätestatud

1 Vastav kohustus tuleneb IKÜM artikkel 33 lõikest 5.

2 (2)

kohustus ning kas organisatsioonidele on üheselt selge, mis on isikuandmete rikkumine ning

kuidas toimub riski hindamine teavitamise kohustuse täitmisel.2

Inspektsioon viib seire läbi isikuandmete kaitse üldmääruse artikkel 58 ja isikuandmete kaitse

seaduse § 56 alusel ning seetõttu on küsimustele vastamine Teile kohustuslik.

Eelnevast tulenevalt palun hiljemalt 20.10.2026 [email protected] edastada Teie organisatsiooni

dokumenteeritud rikkumiste ülevaade.

Lugupidamisega

(allkirjastatud digitaalselt)

Marcus Pupart

andmeturbe ekspert

peadirektori volitusel

2 IKÜM artikkel 33 ja 34 alusel selleks, et hinnata, kas tuleb rikkumisest teavitada järelevalveasutust ja/või andmesubjekte, peab vastutav töötleja hindama ohtu füüsiliste isikute õigustele ja vabadustele.