Tere

Andmekaitse Inspektsioon (AKI) on saanud teie pöördumise seoses õpilaste õpimotivatsiooni seire ning selle käigus isikuandmete töötlemisega.

Esmalt selgitame AKI pädevuse piire selgitustaotlusele vastamisel. Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse § 3 kohaselt annab riigi- või kohaliku omavalitsuse üksuse asutus tasuta selgitusi tema poolt väljatöötatud õigusaktide, nende eelnõude, asutuse tegevuse aluseks olevate õigusaktide ning asutuse pädevuse kohta.

AKI saab seega anda üldisi õigusalaseid selgitusi isikuandmete töötlemisele kohalduvate nõuete kohta, kuid ei osuta õigusabi ega määra selgitustaotlusele vastates konkreetse kavandatava andmetöötluse eest, millisel õiguslikul alusel seda tuleb teha või millised lepingulised suhted peavad osapooled valima. Vastutav töötleja peab ise enne isikuandmete töötlemise alustamist kindlaks määrama töötlemise eesmärgi, õigusliku aluse, töödeldavate andmete koosseisu, osapoolte rollid ning muud töötlemise tingimused ja suutma valitud lahenduse vastavust isikuandmete kaitse üldmäärusele (IKÜM) tõendada.

Seetõttu ei saaks AKI käesoleva selgitustaotluse raames kinnitada, et kirjeldatud õpimotivatsiooni seire, andmete edastamine ILOA-le või kavandatav koolide ülene analüüs on konkreetselt kirjeldatud viisil õiguspärane. Küll aga selgitame alljärgnevalt üldisi nõudeid, mida tuleb andmetöötluse kavandamisel arvestada.

Esmalt tuleb kindlaks määrata eesmärk ja õiguslik alus. Isikuandmete töötlemisel tuleb lähtuda eelkõige isikuandmete kaitse üldmäärusest (IKÜM), isikuandmete kaitse seadusest (IKS) ning valdkondlikest õigusaktidest. Haridusasutuse puhul tuleb muu hulgas hinnata põhikooli- ja gümnaasiumiseadusest (PGS).

IKÜM artikli 5 kohaselt peab isikuandmete töötlemine olema seaduslik, õiglane ja läbipaistev, andmeid tuleb koguda täpselt ja selgelt kindlaksmääratud õiguspärastel eesmärkidel ning töödeldavate andmete hulk peab olema eesmärgi saavutamiseks vajalik. Isikuandmete töötlemise võimalikud õiguslikud alused on sätestatud IKÜM artiklis 6.

Seega peab andmetöötleja enne andmetöötlust (sh isikuandmete kogumise alustamist) suutma vastata vähemalt küsimustele:

• * mis konkreetsel eesmärgil andmeid kogutakse;
• * milliseid isikuandmeid selle eesmärgi saavutamiseks tegelikult vajatakse;
• * kes määrab töötlemise eesmärgid ja vahendid;
• * millisel IKÜM artiklis 6 sätestatud õiguslikul alusel töötlemine toimub;
• * kui tuginetakse IKÜM artikli 6 lõike 1 punktile e, siis milline liidu või liikmesriigi õiguse norm annab vastutavale töötlejale vastava avalikes huvides oleva ülesande;
• * kellele andmeid edastatakse ja millises rollis vastuvõtja neid töötleb;
• * kui kaua andmeid säilitatakse;
• * kuidas täidetakse läbipaistvuse, turvalisuse ja andmesubjekti õigustega seotud nõuded.

AKI ei saa valida andmetöötleja eest sobivat õiguslikku alust ega kinnitada üksnes pöördumises esitatud asjaolude pinnalt, et IKÜM artikli 6 lõike 1 punkt e on kirjeldatud seire puhul kohaldatav. Kui andmetöötleja soovib sellele alusele tugineda, peab ta ise tuvastama piisavalt selge õigusnormi, millest tuleneb ülesanne, mille täitmiseks kõnealune isikuandmete töötlemine on vajalik. Seejuures ei piisa üksnes sellest, et õigusaktiga on koolile antud teatud ülesanne. Hinnata tuleb ka seda, kas kõnealuste isikuandmete töötlemine konkreetsel viisil on selle ülesande täitmiseks õiguslikult ette nähtud ja vajalik. Üksnes asjaolu, et tegevusel on hariduslik või kooli arengut toetav eesmärk, ei asenda sellise õigusliku aluse analüüsi.

Pseudonümiseeritud andmed on jätkuvalt isikuandmed. Kirjeldatud juhul tuleb eraldi tähelepanu pöörata asjaolule, et õpilaste nimede asendamine koodidega ei muuda andmeid automaatselt anonüümseks.

IKÜM eristab anonüümimist ja pseudonümiseerimist. Euroopa Andmekaitsenõukogu pseudonüümimise suuniste kohaselt jäävad pseudonüümitud andmed isikuandmeteks ka juhul, kui isiku tuvastamiseks vajalikku täiendavat teavet hoitakse eraldi, kui vastutaval töötlejal või muul isikul on võimalik andmed konkreetse isikuga siduda. Rohkem informatsiooni leite selle kohta siit.

Seega ei tähenda võtmefaili jäämine kooli valdusse iseenesest seda, et ILOA-le edastatav andmestik jääb IKÜM-i kohaldamisalast välja. Pseudonümiseerimist tuleb käsitada eelkõige riske vähendava kaitsemeetmena. Silmas tuleb pidada, et anonümiseerimise puhul inimene ei ole enam otseselt ega kaudselt tuvastatav ning andmeid ei saa viia tagasi isikut tuvastavale kujule.

Kirjeldatud olukorras on see eriti oluline, sest sama individuaalse koodi säilitamist kavandatakse mitme õppeaasta vältel, et oleks võimalik jälgida sama õpilase tulemuste muutumist. Seetõttu tuleb andmetöötlust kavandades lähtuda IKÜM-ist seni, kuni tegemist on isikuandmetega.

Nõusolek on üks õiguslik alus, mitte üldine „luba“ andmetöötluseks. Oluline on eristada andmesubjekti teavitamist, nõusolekut ja muid IKÜM artiklis 6 toodud õiguslikke aluseid.

Nõusolek on üks võimalik isikuandmete töötlemise õiguslik alus. Selleks, et nõusolek saaks olla nõuetekohane alus, peab see vastama IKÜM-is sätestatud tingimustele. Muu hulgas peab nõusolek olema vabatahtlik, konkreetne ja teadlik ning väljendatud ühemõttelise tahteavaldusena. Nõusolek eeldab tegelikku valikuvabadust ning enne nõusoleku andmist peab andmesubjekt saama otsuse tegemiseks vajaliku informatsiooni. Rohkem informatsiooni leiate nõusoleku kohta siit.

Nõusolekule ei ole aga vaja ega asjakohane tugineda juhul, kui konkreetseks töötlemiseks on olemas muu kohane õiguslik alus. Samuti ei muuda lihtsalt isikule vastuväite esitamise võimaluse andmine töötlemist nõusolekupõhiseks. Kui töötlemise õiguslikuks aluseks on nõusolek, siis kordame, peab olema tegemist nõuetekohase aktiivse tahteavaldusega, mitte olukorraga, kus nõusolekut eeldatakse vastuväite puudumisest. Peab olema ilmne, et andmesubjekt on konkreetse töötlemisega nõustunud ja selleks teadliku meetme võtnud (vt nõusoleku suunised, millele on juba eelnevalt viidatud).

Seega tuleb esmalt määrata kindlaks andmetöötluse eesmärk ja sellele vastav õiguslik alus ning alles seejärel hinnata, kas nõusolek on sobiv ja vajalik. Rõhutame veelkord, et nõusolek on vaid üks võimalikest õiguslikest alustest ning valitud õigusliku aluse olemasolu ja korrektsuse eest vastutab vastutav töötleja.

Kooli ja ILOA roll tuleb määrata tegeliku andmetöötluse järgi. Samuti tuleb enne andmete edastamist määrata kindlaks kooli ja ILOA rollid. Seda ei saa otsustada üksnes pooltevahelise kokkuleppe nimetuse põhjal, vaid lähtuda tuleb sisust, sh kes tegelikult määrab isikuandmete töötlemise eesmärgid ja vahendid.

Kui ILOA töötleb isikuandmeid üksnes kooli nimel ja dokumenteeritud juhiste alusel, tuleb hinnata volitatud töötleja regulatsiooni, sealhulgas IKÜM artikli 28 nõudeid. Kui mõlemad pooled määravad ühiselt töötlemise eesmärgid ja vahendid, tuleb hinnata IKÜM artikli 26 kohaldumist. Kui ILOA määrab mõne töötlemise puhul ise selle eesmärgid ja vahendid, ei pruugi tegemist olla enam kooli volitatud töötlejana tegutsemisega. Vastutava, kaasvastutava ja volitatud töötleja rollid tuleb seetõttu hinnata tegelike ülesannete ja otsustuspädevuse järgi. IKÜM reguleerib vastutava ja volitatud töötleja kohustusi muu hulgas artiklites 24, 26 ja 28.

See küsimus muutub eriti oluliseks juhul, kui ühe andmekogumise raames soovitakse andmeid kasutada erinevatel eesmärkidel, näiteks ühelt poolt konkreetse kooli õppe- ja arendustegevuse toetamiseks ning teiselt poolt koolide üleseks noppeõppe mudeli mõju analüüsiks. Sellisel juhul tuleb iga eesmärgi puhul eraldi hinnata, kes on vastutav töötleja, milline on töötlemise õiguslik alus ning kas edasine töötlemine vastab IKÜM-i nõuetele. Üksnes koostöökokkuleppe olemasolu ei loo isikuandmete töötlemiseks õiguslikku alust.

Teavitamine ja andmesubjekti õigused. Sõltumata sellest, milline IKÜM artikli 6 alus valitakse, tuleb täita läbipaistvuse nõudeid. Andmesubjektile tuleb anda IKÜM artiklites 12–14 ette nähtud teave, muu hulgas vastutava töötleja, töötlemise eesmärkide ja õigusliku aluse, andmete vastuvõtjate, säilitamise ning andmesubjekti õiguste kohta. IKÜM käsitleb neid kohustusi eraldi nõusolekust.

Seetõttu tuleb teavitamiskohustust ja nõusoleku küsimist käsitada erinevate küsimustena. Teavitamiskohustus ei sõltu üksnes sellest, kas õiguslikuks aluseks on nõusolek, vaid tuleneb läbipaistva andmetöötluse nõuetest.

Arvestades, et tegemist on laste andmetega ja kavandatud on süsteemne mitmeaastane töötlemine, peab vastutav töötleja andmetöötluse kavandamise etapis hindama ka töötlemisega kaasnevaid riske ning vajaduse korral seda, kas IKÜM artikli 35 kohaselt tuleb teha andmekaitsealane mõjuhinnang. IKÜM-is on mõjuhinnangu tegemise kohustus seotud olukorraga, kus töötlemine võib eelkõige uusi tehnoloogiaid kasutades ning töötlemise laadi, ulatust, konteksti ja eesmärke arvestades tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele.

Kokkuvõtteks saamegi selgitada, et konkreetse õigusliku aluse peab siiski valima andmetöötleja (kool ja/või ILOA) ise lähtudes reaalsest andmetöötlusest. AKI ei saa selgitustaotluse raames seda valikut andmetöötlejate eest teha ega kavandatud lahenduse õiguspärasust selgitada.

Enne andmetöötluse alustamist soovitame siiski muuhulgas:

1. 1. sõnastada konkreetsed andmetöötluse eesmärgid;
2. 2. määrata iga eesmärgi kohta sobiv õiguslik alus ja vajadusel seda toetav siseriiklik õigusnorm;
3. 3. määrata kooli ja ILOA tegelikud rollid;
4. 4. hinnata iga eesmärgi jaoks vajalikku andmekoosseisu ja säilitamisaega;
5. 5. arvestada, et pseudonümiseeritud andmed on jätkuvalt isikuandmed;
6. 6. korraldada andmesubjektide nõuetekohane teavitamine ja õiguste teostamine;
7. 7. rakendada asjakohased tehnilised ja korralduslikud turvameetmed ning
8. 8. hinnata töötlemisega kaasnevaid riske ja vajadust andmekaitsealase mõjuhinnangu järele.

Kui andmetöötlejal (sh koolidel või ILOA-l) on vaja konkreetse kavandatava andmetöötlusmudeli õiguslikku analüüsi, sh hinnangut sobiva õigusliku aluse, osapoolte rollide või lepingulise lahenduse kohta, tuleks sellises küsimuses pöörduda oma (nt kooli, KOV-i, või MTÜ-l) andmekaitsespetsialisti ja vajaduse korral õigusnõustaja poole, kuna AKI-l on voli oma pädevuse piires selgitada isikuandmete kaitset reguleerivate õigusaktide nõudeid.

Lisainformatsiooni isikuandmete töötlemise kohta leiate igal ajal AKI veebilehelt www.aki.ee. Samuti on abiks vastuste saamisel AKI virtuaalne abimees Bürokratt, mis asub veebilehel all paremas nurgas.

Loodame, et meie selgitustest on abi ning kui tekib lisaküsimusi, siis võtke ühendust.

Andmekaitse Inspketsioon

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn | YouTube