Tere

Andmekaitse Inspektsioon (AKI) on saanud teie pöördumise, milles küsite koolitustel isikuandmete töötlemise kohta.

Selgitame, et isikukood on isikuandmed ning selle kogumisele ja muul viisil töötlemisele kohalduvad isikuandmete kaitse üldmäärusest (IKÜM) tulenevad nõuded. Isikukood ei ole küll eriliiki isikuandmed, kuid ka selle töötlemiseks peab olema kindlaksmääratud eesmärk ja õiguslik alus ning järgida tuleb kõiki IKÜM artiklis 5 sätestatud isikuandmete töötlemise põhimõtteid.

Ainuüksi asjaolust, et koolitusele registreerimisel küsitakse isikukoodi, ei saa järeldada, et selline andmetöötlus oleks õigusvastane. Vastutav töötleja peab aga suutma põhjendada, miks on isikukoodi kogumine konkreetse koolituse puhul vajalik, millisel õiguslikul alusel seda tehakse ning miks ei ole sama eesmärki võimalik saavutada vähemate isikuandmetega. See tuleneb muu hulgas eesmärgi piirangu ja võimalikult väheste andmete kogumise põhimõttest. AKI enda koolitusmaterjalides on samuti rõhutatud, et töötlemiseks peab olema selge eesmärk ja õiguslik alus ning koguda võib ainult selliseid andmeid, mida on eesmärgi saavutamiseks vaja.

Seetõttu tuleks andmetöötlejalt (kas siis koolituse korraldajalt või Riigikantseleilt) eelkõige välja selgitada, millisel konkreetsel eesmärgil isikukoodi vajatakse. Kui seda põhjendatakse näiteks koolituse läbimise tõendamise, tunnistuse väljastamise või muuga, tuleks omakorda hinnata, kas just isikukoodi kasutamine on selle eesmärgi saavutamiseks vajalik.

Selgitamist vajaks ka see, et milliseid rolle andmetöötlejad täidavad (sh kes on vastutav ning kes on volitatud töötleja).IKÜM-i tähenduses on vastutav töötleja see, kes määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid. Seega vastutab koolitusel osalejate andmete töötlemise nõuetekohasuse eest eelkõige organisatsioon, kes otsustab, miks ja kuidas registreerimisel isikuandmeid, sealhulgas isikukoode, töödeldakse.

Vastutav töötleja peab IKÜM artikli 24 kohaselt suutma ka tõendada, et andmetöötlus vastab IKÜM-i nõuetele. See tähendab muu hulgas, et enne andmete kogumist peab olema läbi mõeldud:

• * millisel eesmärgil andmeid kogutakse;
• * millisele IKÜM artikli 6 õiguslikule alusele töötlemine tugineb;
• * milliseid andmeid on selle eesmärgi saavutamiseks tegelikult vaja;
• * kui kaua andmeid säilitatakse;
• * kellel on andmetele juurdepääs ja kellele neid edastatakse;
• * kas kasutatakse teisi teenusepakkujaid ehk volitatud töötlejaid;
• * millised tehnilised ja korralduslikud meetmed kaitsevad andmeid.

Kui näiteks registreerimisplatvormi või muud infosüsteemi haldab koolitaja nimel teine ettevõte, tuleb hinnata ka selle ettevõtte rolli. Kui tegemist on volitatud töötlejaga, peab vastutava ja volitatud töötleja vaheline andmete töötlemine vastama IKÜM artikli 28 nõuetele. Pooltevaheline kokkulepe reguleerima muu hulgas töötlemise sisu, kestust, laadi ja eesmärki ning isikuandmete ja andmesubjektide kategooriaid.

Oluline on ka töötlemise läbipaistvus. Koolitusele registreeruvale inimesele peab olema IKÜM artiklite 12 ja 13 kohaselt arusaadavalt ja hõlpsasti kättesaadavalt selgitatud, kes tema andmeid töötleb ning milleks, millisel õiguslikul alusel ja kui kaua neid kasutatakse, kellele andmeid võidakse edastada ning millised õigused inimesel oma andmete suhtes on. Praktikas esitatakse selline teave tavaliselt andmekaitsetingimustes (AKT). AKT-s peab olema inimesele lihtsasti kättesaadav kirjalik teavet selle kohta, mida andmetöötleja tema isikuandmetega teeb.

Seega võiks esmalt kontrollida, kas registreerimisvormi juures või koolituse korraldaja veebilehel on esitatud andmekaitsetingimused ning kas nendes on kirjeldatud ka registreerimisel kogutavate andmete, sealhulgas isikukoodi töötlemist.

Isikuandmete turvalisuse tagamine on vastutava töötleja kohustus. IKÜM artikli 32 kohaselt peab töötleja rakendama töötlemise riskile vastavaid tehnilisi ja korralduslikke turvameetmeid.

See tähendab muu hulgas, et vastutav töötleja peab hindama, kellel on andmetele juurdepääs, kuidas neid säilitatakse ja edastatakse, kuidas välditakse kõrvaliste isikute juurdepääsu ning kuidas reageeritakse võimalikele turvaintsidentidele. Asjakohaste meetmetena saab käsitleda muu hulgas pääsuõiguste piiramist, töötajate väljaõpet, turvapoliitikaid, kasutajarolle, autentimist, varundamist ja vajaduse korral andmete krüpteerimist.

Seda, milliseid konkreetseid turvameetmeid koolituse korraldaja tegelikult rakendab tuleb selgitada andmetöötlejal.

Kokkuvõtteks soovitamegi teha korduva pöördumise koolituse korraldaja poole ning küsida koolituse korraldajalt muuhulgas täiendavalt millised andmekaitsetingimused kohalduvad koolitusele registreerimisel kogutavatele andmetele.

Andmekaitsetingimustest peab tulema välja küsitud informatsioon, sh:

• * mis eesmärgil on koolitusele registreerimiseks vaja isikukoodi;
• * millisele õiguslikule alusele isikukoodi töötlemine tugineb;
• * miks ei ole sama eesmärki võimalik saavutada isikukoodi kogumata või vähemate andmetega;
• * kui kaua isikukoode ja muid registreerimisandmeid säilitatakse;
• * kellel on nendele andmetele juurdepääs ja kas andmeid edastatakse teistele isikutele;
• * milliseid tehnilisi ja korralduslikke meetmeid rakendatakse registreerimisandmete kaitsmiseks.

Kui koolituse korraldaja ei suuda selgitada isikukoodi kogumise konkreetset eesmärki ja vajalikkust või kui sama eesmärki on võimalik mõistlikult saavutada isikukoodi kogumata, tuleks andmetöötlejal isikukoodi kogumise vajadus üle vaadata. Isikuandmete töötlemisel ei tule lähtuda põhimõttest, milliseid andmeid on võimalik koguda, vaid sellest, milliseid andmeid on konkreetse õiguspärase eesmärgi saavutamiseks tegelikult vaja.

Loodame, et selgitustest on abi.

Lugupidamisega

Andmekaitse Inspketsioon

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube