Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Regina Suik

Orissaare Muusikakooli

[email protected]

Teie 04.09.2024 nr Meie 18.09.2024 nr 2.3-8/24/2249-2

Vastus nõudekirjale

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles kirjutate: Soovin teada, kas mul on õigus lisada vallaametnik, kelle amet on hariduse ja noorsootöö peaspetsialist, ekooli administraatoriks, et tal oleks ülevaade huvikooli õpilaste kohal käimistest ja puudumistest. See on vajalik valla erinevate toetuste väljamaksmiseks.

Kuna Te ei ole selgitanud, kas Te olete pöördunud oma asutuse andmekaitsespetsialisti poole, siis

esmalt märgime, et asutus saab/peab saama asutuses andmetöötlusega seotud küsimustes pöörduda

vajadusel oma andmekaitsespetsialisti poole või asukoha järgse (Saaremaa) vallavalitsuse poole.

Asutuse andmekaitsespetsialist teab kõige paremini, milliseid andmeid, millisel alusel ning kuidas

asutuses töödeldakse (sh kuidas on andmetöötluse protsessid asutuses kirja pandud), mistõttu

tulebki esmalt pöörduda asjakohase isiku poole.

Andmekaitsespetsialistidest, sh kes saab olla andmekaitsespetsialistiks ning millised kompetentsid

peavad andmekaitsespetsialistil olema, leiab inspektsiooni veebilehelt siit: Andmekaitsespetsialist

| Andmekaitse Inspektsioon (aki.ee).

Sõltumata eelnevast selgitame, et sedavõrd napi küsimuse pinnalt on meil keeruline ammendavaid

selgitusi jagada. Tähele tuleb panna sedagi, et olles järelevalveasutus nii isikuandmete kaitse

üldmääruse kui ka avaliku teabe seaduse täitmise üle ei saa me anda õigusnõu küsimustes, mis on

samal ajal meie järelevalve pädevuses.

Andmetöötlusprotsesside ülesehitamine, riskianalüüs ja see, milliseid andmeid kogutakse, mis

eesmärgil ning kas ja kuidas neid avaldatakse, kellega jagatakse, kaua neid säilitatakse jne, on iga

andmetöötleja (st kooli) kohustus otsustada võttes arvesse isikuandmete töötlemise nõudeid. Seda

juba ainuüksi sel põhjusel, et andmetöötleja tunneb ise kõige paremini oma andmetöötlusprotsesse.

Sama kehtib juurdepääsude kohta – teie kui andmetöötleja otsustada on, kellele ja millises ulatuses

mingitele andmetele või infosüsteemidele te juurdepääsu annate ning kuidas neid haldate pidades

seejuures silmas isikuandmete kaitse üldmäärusest tulenevaid nõudeid. Muuhulgas tähendab see

seda, et andmetele juurdepääsude õigused peavad olema dokumenteeritud ja õiguste ulatus

määratletud. Andmetöötleja peab vajadusel suutma tõendada ja selgitada, kes ja mis eesmärgil

mingeid andmeid töötles – seda nii järelevalveasutusele kui ka nt isikule tema päringu korral.

Viitame siinkohal, et andmetöötleja ehk siis kooli kohustus on muuhulgas: arvestades töötlemise

laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja vabadusi ähvardavaid

erineva tõenäosuse ja suurusega ohte, rakendab vastutav töötleja asjakohaseid tehnilisi ja

korralduslikke meetmeid, et tagada ja suuta tõendada isikuandmete töötlemist kooskõlas

käesoleva määrusega. Vajaduse korral vaadatakse need meetmed läbi ja ajakohastatakse neid

2 (2)

(IKÜM art 24). Ka viidatud säte selgitab, et andmetöötlusprotsesside ülesehitus on andmetöötleja

kohustus. Abiks küsimusele vastuse leidmisel võib teile olla ka andmetöötleja üldjuhend, mille leiate siit https://www.aki.ee/isikuandmed/juhendid/isikuandmete-tootleja-uldjuhend Lisaks leiate veel mitmeid kasulikke materjale meie kodulehelt sh korduma kippuvad küsimused: www.aki.ee

Ehk siis kokkuvõtvalt, teadmine, kas teil on õigus lisada vallaametnik, kelle amet on hariduse ja

noorsootöö peaspetsialist, e-kooli administraatoriks, peab andmetöötlejal endal olema (sh kirjas

kohustuslikes dokumentatsioonis- asututse töötlustoimingute ülevaates, infoturvet käsitlevates

dokumentides, kus peab siis olema kirjas ka õiguste haldus jne), vastasel korral puudubki alus

viidatud isik lisada.

Loodan, et minu selgitustest on abi.

Lugupidamisega

Liina Kroonberg

jurist-konsultant

peadirektori volitusel