Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Pille Letjuka

[email protected]

Teie 12.04.2024 nr saada.rik.ee Meie 14.05.2024 nr 2.2-9/24/1082-2

Vastus selgitustaotlusele

Andmekaitse Inspektsioon sai Teie pöördumise, milles kirjutate:

Patsient pöördub haigla poole saamaks koopiat eriliigilisi andmeid sisaldavast dokumendist. Tema

kinnitusel ei saa ta nendele dokumentidele järele tulla ning tal puudub ka dekrüpteerimise võimalus/oskus.

Ta ütleb, et lubab haiglal saata talle tema dokumendid tavalise e-postiga. Kas haiglal on õigus saata

eriliigisi andmeid sisaldavaid dokumente e-posti teel krüpteerimata, kui saaja seda ise soovib ja lubab.

Antud juhul on esimeseks sammuks veenduda, et andmete küsija üldse on see, kelleks ta väidab end olevat.

Kui pöörduja seda tõendada ei suuda (näiteks ei saa digitaalselt allkirjastada ega ilmuda kohale koos isikut

tõendava dokumendiga), ei tohi talle ka kellegi isikuandmeid edastada.

Isikuandmete kaitse nõuded Eestis on sätestatud peamiselt Euroopa Parlamendi ja Nõukogu määruses (EL)

2016/679 (IKÜM) ning isikuandmete kaitse seaduses.

Märgime, et vastutav töötleja peab isikuandmete töötlemisel järgima IKÜM artiklis 5 lõikes 1 sätestatud

põhimõtteid, vastutama nende põhimõtete täitmise eest ja olema võimeline nende täitmist tõendama (IKÜM

artikkel 5 lg 2). Eelviidatud põhimõtete juurde kuulub ka vastutava töötleja kohustus töödelda

isikuandmeid viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või

ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades

asjakohaseid tehnilisi või korralduslikke meetmeid („usaldusväärsus ja konfidentsiaalsus“, IKÜM art 5

lg 1 p f).

Isikuandmete töötlemisel (sh edastamisel) peab eelkõige jälgima kõige tavapärasemaid turvameetmeid.

Näiteks tuleb teha nii, et andmed ei jõuaks õigustamata isikute kätte (igasugused andmelekked, mis

tulenevad ebapiisava turvalisega süsteemidest, õigustamata edastamised vms). Seda, kuidas asutus

edastab soovitud terviseandmeid õigustatud isikutele, teab ning kaalub iga asutus ise. Teadma peab,

et vastutus võimalike andmekaitseliste rikkumiste puhul lasub eelkõige vastutaval andmetöötlejal, mistõttu

tasub oma tegevused alati läbi kaaluda (sh millisel viisil andmeid patsiendile edastada vms).

Soovitame kindlasti tutvuda Andmekaitse Inspektsiooni isikuandmete töötlemise üldjuhendiga, kus on

kirjas kõige olulisem, mida isikuandmete töötleja peab teadma.

Loodan, et minu selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist-konsultant

peadirektori volitusel