Selgitustaotlus

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

16.07.2024

SELGITUSTAOTLUS

Lugupeetud Andmekaitse Inspektsiooni esindaja

Pöördun Teie poole seoses AS Arstikeskus Confidole laekunud kahe Politsei- ja Piirivalveameti

(PPA) päringuga. Mõlemat päringut iseloomustab asjaolu, et PPA küsib meilt eriliigilisi

isikuandmeid tuginedes kahtlustatava nõusolekule. Ühel juhul küsitakse ravidokumente, mis on

seotud konkreetse ravimi kasutamisega ning teisel juhul küsitakse koopiaid haiguslugudest ja

tervisekaardist, kui isik on käinud psühholoogi/psühhiaatri vastuvõtul.

Andmekaitses on põhimõte, et avaliku sektori asutus pigem ei saa andmetöötluses nõusolekule

kui õiguslikule alusele tugineda, kuna nõusoleku oluline kriteerium on vabatahtlikus. Sellele viitab

isikuandmete kaitse üldmääruse pp 43 märkides, et nõusolek ei tohiks anda isikuandmete

töötlemiseks kehtivat õiguslikku alust, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses

olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus ning seega on ebatõenäoline,

et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Samale asjaolule

viitab ka Euroopa Andmekaitsenõukogu oma suunistes 05/2020 määruse (EL) 2016/679 kohase

nõusoleku kohta, kuid lisab, et nõusolekule tuginemine ei ole „tõenäoliselt“ võimalik (p 3.1.1)1.

Ühtlasi leiab ka Andmekaitse Inspektsiooni kodulehelt selgituse, et on vähetõenäoline, et

riigiasutused saaksid isikuandmete töötlemisel nõusolekule tugineda, sest alati, kui vastutav

töötleja on avaliku sektori asutus, esineb vastutava töötleja ja andmesubjekti vahelistes suhetes

sageli selge tasakaalustamatus.2 Andmekaitse Inspektsioon (AKI) on avaliku sektori poolt

võetavat nõusolekut kommenteerinud ka Sotsiaalkindlustusametile saadetud vastuskirjas ning

isegi seadusest tuleneva nõusoleku võtmise kohustuse puhul asunud seisukohale, et seda ei saa

pidada vabatahtlikult antuks.3

Mõlema AKI selgituse puhul tuuakse välja, et kui andmesubjektil ei ole nõusoleku andmise osas

valikut, st nõusolekut andmata võivad talle tekkida negatiivsed tagajärjed, siis sellisel juhul ei saa

pidada nõusolekut vabatahtlikult antuks.

1 https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under- regulation-2016679_et 2 https://www.aki.ee/nousolek 3 04.09.2023 nõudekirja vastus nr 2.1-5/23/1062-2 (leitav aadressilt https://adr.rik.ee/aki/fail/14637904/Vastus%20nõudekirjale.pdf)

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

PPA päringute valguses tähendaks see, et isegi kui isik päriselt soovibki anda vabatahtliku

nõusolekut isikuandmete töötlemiseks, siis eeltoodust tulenevalt ei oleks võimalik nõusolekule

tugineda, sest igal juhul võivad kaasneda nõusolekut andmata kahjulikud tagajärjed. Näiteks, kui

kahtlustatav annaks nõusoleku PPA-le selleks, et küsitavad andmed võivad teda süüst vabastada,

siis nõusolek ei ole kehtiv, sest ilma nõusolekut andmata kaasneksid negatiivsed tagajärjed (isik

saaks süüdimõistva otsuse). Samale tulemusele võib jõuda ka juhul, kui me vaatame seda

kannatanu poolelt. Hüpoteetiliselt, kui kannatanu on andnud PPA-le päriselt vabatahtliku

nõusoleku andmete saamiseks, et tõendada näiteks tema kehavigastusi, siis ei saaks me pidada

nõusolekut vabatahtlikult antuks, sest ilma nõusolekuta kaasneksid jällegi negatiivsed tagajärjed

– kannatanu ei saaks tõendada, et talle on kehavigastusi tekitatud ega saaks ennast kaitsta.

Eelnevast nähtub, et erinevate juhendmaterjalide pinnalt tuleks asuda seisukohale, et PPA ei saa

tugineda andmesubjekti nõusolekule, et isikuandmeid või veelgi enam eriliigilisi isikuandmeid

saada. Seejuures loob aga ebaselgust Riigikohtu 1. aprill 2022 tehtud otsus nr 1-20-5071, mis

käsitleb patsiendisaladuse kaitsmist kriminaalmenetluses. Viidatud kohtulahendi punkt 23 ütleb

selgelt, et ebaseaduslik on igasugune patsiendisaladuse avaldamine, mille jaoks ei ole kas

patsiendi nõusolekut või seadusest tulenevat selget alust. Seega annab Riigikohus lahendis selge

viite nõusolekule kui õiguslikule alusele.

Eelnevast tulenevalt palume Andmekaitse Inspektsiooni seisukohta järgnevates küsimustes:

1. Kas PPA saab tervishoiuteenuse osutajalt isikuandmete, sh eriliigiliste isikuandmete küsimisel

tugineda õigusliku alusena andmesubjekti nõusolekule?

2. Kas PPA poolt õigusliku alusena nõusolekule tuginemise käsitlus isikuandmete, sh eriliigiliste

isikuandmete saamiseks sõltub sellest, kas andmesubjekt, kes nõusolekut annab on kahtlustatav

või kannatanu?

3. Juhul, kui Andmekaitse Inspektsiooni hinnang on, et nõusoleku alusel ei ole võimalik PPA-le

andmeid väljastada ning see tuleneb vabatahtlikkuse nõude rikkumisest, siis kas juhul, kui

andmesubjekt kinnitab nõusolekus selgesõnaliselt, et ta annab kõnealuse nõusoleku

vabatahtlikult, on nõusolekule tuginemine siiski võimalik?

4. Juhul, kui mõne eelneva küsimuse puhul asuda seisukohale, et isikuandmete väljastamine

PPA-le nõusoleku alusel on põhimõtteliselt võimalik, siis kas nõusoleku andmise eesmärgi

hindamisel piisab sellest, kui nõusolekus on kirjas, et nõusoleks antakse „eesmärgiga koguda

kriminaalmenetluses tõendeid toimepandud kuriteo kohta“? Ehk et andmesubjekt küll väga täpselt

piiritleb, et lubab PPA-l saada näiteks oma haiguslugu, aga andmetöötluse täpne eesmärk

seevastu ei ole piiritletud – viidatakse vaid, et üldiselt kriminaalmenetluses tõendite kogumise

tarbeks. Küsimus on ajendatud asjaolust, et vastutav töötleja peab andmete väljastamisel

hindama, kas küsitud andmed on konkreetse eesmärgi täitmiseks vajalikud (minimaalsuse ja

eesmärgipärasuse põhimõte).

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

Eraldi nõusolekut puudutavatest küsimustest sooviksime veel AKI hinnangut Riigikohtu lahendis

1-20-5071 toodule. Nimelt saab õiguslik alus andmeid saada tuleneda ka seadusest. Riigikohus

analüüsib oma lahendi punktis 28 õigusliku alusena psühhiaatrilise abi seaduse § 5 lg-t 2 (lahendis

lg 1). PsAS § 5 lg 2 viitab psühhiaatrilise ravi ja diagnoosi puudutavatele andmetele. Riigikohus

loob nende vahel seose ning toob välja, et see lubab väljastada fakti, kas isik on ravi saanud ning

seoses millise diagnoosiga.

Selgitame, et psühhiaatrias on mitmeid häireid, mis ei vaja eraldi sekkumist, antakse näiteks vaid

soovitusi elustiili osas või muud taolist. Sellisel juhul ei ole see otseselt psühhiaatri poolt määratud

ravi. Riigikohtu selline tõlgendus tähendab aga justkui seda, et kui patsient on käinud psühhiaatri

vastuvõtul ning psühhiaater on määranud isikule küll diagnoosi X, aga ei ole määranud sellele

ravi, siis puudub uurimisasutusel ka õigus saada infot, et isikul on diagnoos X.

Arvestades PsAS § 5 lg 2 sõnastust, siis kas ka AKI leiab, et sätte mõte on olnud diagnoosi info

saamine siduda ravi saamisega või tuleks Riigikohtu selgitusi tõlgendada kuidagi teisiti, et võib

väljastada ka ainult diagnoosi?

Mõistame, et selgitustaotlusele vastamise tähtaeg on 30 kalendripäeva, kuid oleksime väga

tänulikud kui jõuaksite vastata esimesel võimalusel Teile sobival ajal, et saaksime PPA-le

päringute osas tagasisidet anda.

Lugupidamisega

Made Rästas

Jurist

AS Arstikeskus Confido

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

16.07.2024

SELGITUSTAOTLUS

Lugupeetud Andmekaitse Inspektsiooni esindaja

Pöördun Teie poole seoses AS Arstikeskus Confidole laekunud kahe Politsei- ja Piirivalveameti

(PPA) päringuga. Mõlemat päringut iseloomustab asjaolu, et PPA küsib meilt eriliigilisi

isikuandmeid tuginedes kahtlustatava nõusolekule. Ühel juhul küsitakse ravidokumente, mis on

seotud konkreetse ravimi kasutamisega ning teisel juhul küsitakse koopiaid haiguslugudest ja

tervisekaardist, kui isik on käinud psühholoogi/psühhiaatri vastuvõtul.

Andmekaitses on põhimõte, et avaliku sektori asutus pigem ei saa andmetöötluses nõusolekule

kui õiguslikule alusele tugineda, kuna nõusoleku oluline kriteerium on vabatahtlikus. Sellele viitab

isikuandmete kaitse üldmääruse pp 43 märkides, et nõusolek ei tohiks anda isikuandmete

töötlemiseks kehtivat õiguslikku alust, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses

olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus ning seega on ebatõenäoline,

et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Samale asjaolule

viitab ka Euroopa Andmekaitsenõukogu oma suunistes 05/2020 määruse (EL) 2016/679 kohase

nõusoleku kohta, kuid lisab, et nõusolekule tuginemine ei ole „tõenäoliselt“ võimalik (p 3.1.1)1.

Ühtlasi leiab ka Andmekaitse Inspektsiooni kodulehelt selgituse, et on vähetõenäoline, et

riigiasutused saaksid isikuandmete töötlemisel nõusolekule tugineda, sest alati, kui vastutav

töötleja on avaliku sektori asutus, esineb vastutava töötleja ja andmesubjekti vahelistes suhetes

sageli selge tasakaalustamatus.2 Andmekaitse Inspektsioon (AKI) on avaliku sektori poolt

võetavat nõusolekut kommenteerinud ka Sotsiaalkindlustusametile saadetud vastuskirjas ning

isegi seadusest tuleneva nõusoleku võtmise kohustuse puhul asunud seisukohale, et seda ei saa

pidada vabatahtlikult antuks.3

Mõlema AKI selgituse puhul tuuakse välja, et kui andmesubjektil ei ole nõusoleku andmise osas

valikut, st nõusolekut andmata võivad talle tekkida negatiivsed tagajärjed, siis sellisel juhul ei saa

pidada nõusolekut vabatahtlikult antuks.

1 https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under- regulation-2016679_et 2 https://www.aki.ee/nousolek 3 04.09.2023 nõudekirja vastus nr 2.1-5/23/1062-2 (leitav aadressilt https://adr.rik.ee/aki/fail/14637904/Vastus%20nõudekirjale.pdf)

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

PPA päringute valguses tähendaks see, et isegi kui isik päriselt soovibki anda vabatahtliku

nõusolekut isikuandmete töötlemiseks, siis eeltoodust tulenevalt ei oleks võimalik nõusolekule

tugineda, sest igal juhul võivad kaasneda nõusolekut andmata kahjulikud tagajärjed. Näiteks, kui

kahtlustatav annaks nõusoleku PPA-le selleks, et küsitavad andmed võivad teda süüst vabastada,

siis nõusolek ei ole kehtiv, sest ilma nõusolekut andmata kaasneksid negatiivsed tagajärjed (isik

saaks süüdimõistva otsuse). Samale tulemusele võib jõuda ka juhul, kui me vaatame seda

kannatanu poolelt. Hüpoteetiliselt, kui kannatanu on andnud PPA-le päriselt vabatahtliku

nõusoleku andmete saamiseks, et tõendada näiteks tema kehavigastusi, siis ei saaks me pidada

nõusolekut vabatahtlikult antuks, sest ilma nõusolekuta kaasneksid jällegi negatiivsed tagajärjed

– kannatanu ei saaks tõendada, et talle on kehavigastusi tekitatud ega saaks ennast kaitsta.

Eelnevast nähtub, et erinevate juhendmaterjalide pinnalt tuleks asuda seisukohale, et PPA ei saa

tugineda andmesubjekti nõusolekule, et isikuandmeid või veelgi enam eriliigilisi isikuandmeid

saada. Seejuures loob aga ebaselgust Riigikohtu 1. aprill 2022 tehtud otsus nr 1-20-5071, mis

käsitleb patsiendisaladuse kaitsmist kriminaalmenetluses. Viidatud kohtulahendi punkt 23 ütleb

selgelt, et ebaseaduslik on igasugune patsiendisaladuse avaldamine, mille jaoks ei ole kas

patsiendi nõusolekut või seadusest tulenevat selget alust. Seega annab Riigikohus lahendis selge

viite nõusolekule kui õiguslikule alusele.

Eelnevast tulenevalt palume Andmekaitse Inspektsiooni seisukohta järgnevates küsimustes:

1. Kas PPA saab tervishoiuteenuse osutajalt isikuandmete, sh eriliigiliste isikuandmete küsimisel

tugineda õigusliku alusena andmesubjekti nõusolekule?

2. Kas PPA poolt õigusliku alusena nõusolekule tuginemise käsitlus isikuandmete, sh eriliigiliste

isikuandmete saamiseks sõltub sellest, kas andmesubjekt, kes nõusolekut annab on kahtlustatav

või kannatanu?

3. Juhul, kui Andmekaitse Inspektsiooni hinnang on, et nõusoleku alusel ei ole võimalik PPA-le

andmeid väljastada ning see tuleneb vabatahtlikkuse nõude rikkumisest, siis kas juhul, kui

andmesubjekt kinnitab nõusolekus selgesõnaliselt, et ta annab kõnealuse nõusoleku

vabatahtlikult, on nõusolekule tuginemine siiski võimalik?

4. Juhul, kui mõne eelneva küsimuse puhul asuda seisukohale, et isikuandmete väljastamine

PPA-le nõusoleku alusel on põhimõtteliselt võimalik, siis kas nõusoleku andmise eesmärgi

hindamisel piisab sellest, kui nõusolekus on kirjas, et nõusoleks antakse „eesmärgiga koguda

kriminaalmenetluses tõendeid toimepandud kuriteo kohta“? Ehk et andmesubjekt küll väga täpselt

piiritleb, et lubab PPA-l saada näiteks oma haiguslugu, aga andmetöötluse täpne eesmärk

seevastu ei ole piiritletud – viidatakse vaid, et üldiselt kriminaalmenetluses tõendite kogumise

tarbeks. Küsimus on ajendatud asjaolust, et vastutav töötleja peab andmete väljastamisel

hindama, kas küsitud andmed on konkreetse eesmärgi täitmiseks vajalikud (minimaalsuse ja

eesmärgipärasuse põhimõte).

Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti

Telefon 1330 • [email protected] • www.confido.ee

Registrikood 12381384 • AS Arstikeskus Confido

Eraldi nõusolekut puudutavatest küsimustest sooviksime veel AKI hinnangut Riigikohtu lahendis

1-20-5071 toodule. Nimelt saab õiguslik alus andmeid saada tuleneda ka seadusest. Riigikohus

analüüsib oma lahendi punktis 28 õigusliku alusena psühhiaatrilise abi seaduse § 5 lg-t 2 (lahendis

lg 1). PsAS § 5 lg 2 viitab psühhiaatrilise ravi ja diagnoosi puudutavatele andmetele. Riigikohus

loob nende vahel seose ning toob välja, et see lubab väljastada fakti, kas isik on ravi saanud ning

seoses millise diagnoosiga.

Selgitame, et psühhiaatrias on mitmeid häireid, mis ei vaja eraldi sekkumist, antakse näiteks vaid

soovitusi elustiili osas või muud taolist. Sellisel juhul ei ole see otseselt psühhiaatri poolt määratud

ravi. Riigikohtu selline tõlgendus tähendab aga justkui seda, et kui patsient on käinud psühhiaatri

vastuvõtul ning psühhiaater on määranud isikule küll diagnoosi X, aga ei ole määranud sellele

ravi, siis puudub uurimisasutusel ka õigus saada infot, et isikul on diagnoos X.

Arvestades PsAS § 5 lg 2 sõnastust, siis kas ka AKI leiab, et sätte mõte on olnud diagnoosi info

saamine siduda ravi saamisega või tuleks Riigikohtu selgitusi tõlgendada kuidagi teisiti, et võib

väljastada ka ainult diagnoosi?

Mõistame, et selgitustaotlusele vastamise tähtaeg on 30 kalendripäeva, kuid oleksime väga

tänulikud kui jõuaksite vastata esimesel võimalusel Teile sobival ajal, et saaksime PPA-le

päringute osas tagasisidet anda.

Lugupidamisega

Made Rästas

Jurist

AS Arstikeskus Confido