Lp Andrei Smagin
EDU KOOLITUS OÜ

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise seoses platvormi e-uurimus.ee kasutamisega koolis ning õpilaste isikuandmete töötlemisega platvormil.

Juhime esmalt tähelepanu, et selgitustaotlusele vastates saab AKI anda õigusalaseid selgitusi isikuandmete kaitset reguleerivate õigusaktide ja nende kohaldamise üldiste põhimõtete kohta. Konkreetse andmetöötluse õiguspärasusele siduva hinnangu andmine eeldab kõigi asjas tähtsust omavate asjaolude ja tõendite hindamist järelevalvemenetluses.

Seetõttu ei saa AKI üksnes pöördumises esitatud teabe põhjal hinnata, kas e-uurimus.ee kaudu toimuv isikuandmete töötlemine vastab kõigile isikuandmete kaitse nõuetele. Küll aga selgitame järgnevalt põhimõtteid, millest isikuandmete vastutav töötleja peab sellise digilahenduse kasutamisel lähtuma.

Isikuandmete kaitse üldmääruse (IKÜM) artikli 5 kohaselt peab isikuandmete töötlemine olema muu hulgas seaduslik ja läbipaistev ning andmeid võib koguda kindlaksmääratud õiguspärastel eesmärkidel ja üksnes eesmärgi saavutamiseks vajalikus ulatuses. IKÜM-st tuleneva vastutuse põhimõtte järgi peab vastutav töötleja olema võimeline nende nõuete täitmist ka tõendama. Kool peab oma andmetöötluse korraldama lähtudes IKÜM-ist, IKS-ist ja muudest asjakohastest õigusaktidest.

Seega tuleks (tulnuks) koolil enne platvormi kasutamist minimaalselt välja selgitada:

• * milliseid õpilaste ja õpetajate isikuandmeid platvormil töödeldakse;
• * millisel konkreetsel eesmärgil iga andmeliiki töödeldakse;
• * milline on iga töötlemistoimingu õiguslik alus;
• * kes andmetele ligi pääsevad;
• * kellele andmeid edastatakse;
• * kui kaua andmeid säilitatakse;
• * milliseid teenusepakkujaid ja alltöötlejaid kasutatakse;
• * milliseid tehnilisi ja korralduslikke turvameetmeid rakendatakse.

Ehk siis esmalt tuleb välja selgitada, kas ja milliseid isikuandmeid töödeldakse, seejärel miks ja millisel õiguslikul alusel seda tehakse ning kuidas tagatakse andmete kaitse ja inimeste õigused.

Pöördumisest nähtub, et platvormi kasutatakse kooli uurimistööde juhendamisel ja platvormi pakub koolist eraldiseisev ettevõte. Üksnes nende asjaolude põhjal ei saa siiski lõplikult järeldada, milline on iga osapoole roll IKÜM-i tähenduses.

Selleks tuleb vaadata tegelikku andmetöötlust. Vastutav töötleja määrab kindlaks töötlemise eesmärgid ja vahendid ning volitatud töötleja töötleb isikuandmeid vastutava töötleja nimel ja tema juhiste alusel.

Kui kool määrab kindlaks, miks ja millisel eesmärgil õpilaste andmeid e-uurimus.ee keskkonnas töödeldakse, ning e-uurimus.ee teenusepakkuja töötleb neid andmeid kooli ülesandel ja tema juhiste kohaselt, tuleb hinnata teenusepakkuja käsitamist volitatud töötlejana.

Kui e-uurimus.ee teenusepakkuja on kooli suhtes volitatud töötleja, peab töötlemine põhinema IKÜM artikli 28 nõuetele vastaval lepingul või muul siduval õigusaktil. Kokkuleppes tuleb muu hulgas määratleda töötlemise sisu ja kestus, laad ja eesmärk, isikuandmete liigid, andmesubjektide kategooriad ning vastutava töötleja õigused ja kohustused. Samuti peab kokkulepe käsitlema näiteks dokumenteeritud juhiseid, konfidentsiaalsust, turvameetmeid, teiste volitatud töötlejate kaasamist ning andmete kustutamist või tagastamist teenuse lõppemisel.

Pöördumises kirjeldatud asjaolu, et platvormi kasutamine on õpilasele vabatahtlik, ei lahenda iseenesest küsimust, millisel õiguslikul alusel platvormil isikuandmeid töödeldakse.

Iga töötlemistoimingu puhul peab vastutav töötleja määratlema konkreetse eesmärgi ja sobiva IKÜM artiklist 6 tuleneva õigusliku aluse. Kui õiguslikku alust ei ole, ei tohi andmeid töödelda, sh koguda, edastada, salvestada ega säilitada. Samuti peab vastutav töötleja olema suuteline valitud õigusliku aluse olemasolu tõendama.

Seega tuleb koolil hinnata eraldi nii õpilaskonto loomise, uurimistööga seotud materjalide töötlemise, õpetaja kommentaaride ja hinnangute kui ka võimaliku tehisintellektiteenusele andmete edastamise eesmärki ja õiguslikku alust.

Tehisintellekti kasutamisel tuleb eriti hoolikalt välja selgitada, millised andmed tehisintellekti teenusepakkujale tegelikult edastatakse, millistel eesmärkidel teenusepakkuja neid töötleb, kus andmeid töödeldakse ja säilitatakse ning kas teenusepakkuja kaasab omakorda teisi töötlejaid.

AKI koolidele mõeldud materjalis on rõhutatud, et kool vastutab ise selle eest, milliseid lahendusi õppetöös kasutatakse. Enne tehisintellektilahenduse kasutusele võtmist tuleb hinnata muu hulgas õiguslikku alust, kasutustingimusi, mõjuhinnangu vajadust ning vajadusel andmetöötluslepingu sõlmimist. Samuti soovitame materjal kaasata sellesse hindamisse kooli andmekaitsespetsialisti. Laste isikuandmed väärivad erilist kaitset.

Sellise andmetöötluse puhul tuleb teha selgeks, kas on vajalik koostada mõjuhinnang. Mõjuhinnangu vajadus tuleb hinnata kavandatud töötlemise tegeliku laadi, ulatuse, konteksti ja riskide põhjal. AKI-l on selleks eraldi mõjuhinnangu tegemise juhised, mis käsitleb seda, millal andmekaitsealane mõjuhinnang tuleb koostada ja millised on selle miinimumnõuded.

Anthropicu kasutamise puhul tuleb eraldi välja selgitada ka tegelik andmevoog. Pöördumise põhjal ei ole AKI-l piisavalt teavet, et kindlaks teha, milliseid õpilaste isikuandmeid Anthropicule edastatakse, millisel õiguslikul alusel, millistes riikides neid tegelikult töödeldakse ning millised lepingulised ja tehnilised kaitsemeetmed sellele töötlemisele kohalduvad. Seetõttu ei oleks  AKI-l niikuinii võimalik neid asjaolusid pelgalt teie pöördumise põhjal hinnata.

Mis puudutab ligipääsusid,siisadministraatori ligipääsu puhul tuleb lähtuda eelkõige vajaduspõhisusest. Iga juurdepääsu olemasolu peab olema põhjendatud vastavalt konkreetsete (nt administraatori) ülesannetega ning ligipääs ei tohi olla laiem, kui ülesannete täitmiseks vajalik.

AKI koolidele on varasemalt mitmel korral kasutajate õiguste piiramist vastavalt tööülesannetele ning ligipääsude logimist ja regulaarset ülevaatamist.

Seetõttu tuleks koolil ja teenusepakkujal muuhulgas määratleda:

• * kellel on administraatoriõigused;
• * millistele õpilase andmetele administraator ligi pääseb;
• * milleks selline ligipääs vajalik on;
• * kuidas ligipääse kontrollitakse ja logitakse;
• * millal ligipääsuõigus eemaldatakse.

Isikuandmete töötlemine on ka säilitamine.Isikuandmeid ei tohi säilitada määramata ajaks või lihtsalt põhjusel, et neid võib tulevikus vaja minna. Selgitame, et kool peab, kui konkreetne säilitustähtaeg õigusaktist ei tulene, ise määrama eesmärgist lähtuva säilitamisaja. Kui töötlemise eesmärk on ammendunud, tuleb andmed üldjuhul kustutada, välja arvatud juhul, kui nende edasiseks säilitamiseks on muu õiguslik alus.

Seetõttu ei ole võimalik pöördumise põhjal öelda, et näiteks kõikidele e-uurimus.ee andmetele sobiks üks konkreetne säilitustähtaeg. Kool peab erinevad andmed ja nende eesmärgid eristama ning määrama neile põhjendatud tähtajad. Näiteks võivad kontoandmete, õpetaja tagasiside, uurimistöö materjalide ja tehniliste logide töötlemise eesmärgid ning vajalikud säilitamisajad olla erinevad.

Väga oluline ongi, et kogu andmetöötlus oleks läbipaistev, koostatud peavad olema korrektsed andmekaitsetingimused.Õpilasele, sh tema seaduslikule esindajale, peab olema arusaadav, kes tema andmeid töötleb, milliseid andmeid töödeldakse, miks seda tehakse, millisel õiguslikul alusel, kellele andmeid edastatakse ning kui kaua neid säilitatakse.

Andmekaitsetingimused peavad andma õpilasele ning tema seaduslikule esindajale arusaadava ülevaate lapse andmete töötlemisest, säilitamisest, turvalisusest ja tema õigustest. Üldisemalt peab andmekaitseteave vastama tegelikule andmetöötlusele, olema enne andmete kogumist kättesaadav ning kirjeldama tegelikke eesmärke, õiguslikke aluseid ja andmete vastuvõtjaid või nende kategooriaid.

Kokkuvõttes soovitame koolil enne platvormi edasist kasutamist koostöös kooli andmekaitsespetsialistiga terviklikult kaardistada e-uurimus.ee kaudu toimuv andmetöötlus. See tähendab muu hulgas eesmärkide ja õiguslike aluste määramist, kooli ja teenusepakkuja rollide kindlakstegemist, vajadusel IKÜM artikli 28 nõuetele vastava andmetöötluslepingu olemasolu kontrollimist, juurdepääsude ja säilitustähtaegade määramist ning tehisintellekti kasutamisega kaasnevate riskide ja mõjuhinnangu vajaduse hindamist.

See, et platvormil ei ole ette nähtud eriliiki isikuandmete töötlemist, ei vabasta kooli ülejäänud IKÜM-ist tulenevate kohustuste täitmisest. Ka nimi, e-posti aadress, klass, uurimistööga seotud materjalid ning isikuga seostatavad õpetaja kommentaarid võivad olla isikuandmed, mistõttu tuleb kogu nende töötlemise elutsükkel läbi mõelda enne uue keskkonna kasutusele võtmist. Oluline on teada, et isikuandmete töötlemisena käsitletakse kogu tegevust alates andmete kogumisest kuni nende kustutamiseni.

Lisainformatsiooni isikuandmete töötlemise kohta, sh haridusastuses, leiab www.aki.ee, kust leiab nii erinevad juhendid, korduma kippuvad küsimused, andmetöötleja vastutuse rubriigi kui ka virtuaalse abimehe Bürokratt (all paremas nurgas), kellelt saab asjakohaseid vastuseid 24/7.  Igal aastal saadame haridusasutustele ka ringkirja. Sellel aastal keskendis see rakenduste kasutamisele: Rakenduste kasutamine haridusasutuste töös | Andmekaitse Inspektsioon. Samuti arutati värskelt asja ka podcastis: Koolid peavad tehisaru kasutamisel tagama õpilaste andmete kaitse | Andmekaitse Inspektsioon.

Et toetada koolis isikuandmete nõuetekohast töötlemist, edastame käesoleva selgituse teadmiseks (koopias) ka Maardu linnavalitsuse andmekaitsespetsialistile, kelle e-posti aadress on: [email protected]. Kirjale ei ole kohaldatud juurdepääsupiirangut.

Loodame, et selgitustest ning viidetest on abi.