Ettekirjutus-hoiatus isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

ETTEKIRJUTUS-HOIATUS isikuandmete kaitse asjas nr 2.1.-4/23/792-1995-1

Ettekirjutuse tegija

Andmekaitse Inspektsiooni jurist Virve Lans

Ettekirjutuse tegemise aeg ja koht

14.08.2023 Tallinnas

Ettekirjutuse adressaadid – isikuandmete töötlejad

Tartu Ülikool (74001073)

e-posti aadress: [email protected] Pere Sihtkapital Sihtasutus (90014626) e-posti aadress: [email protected] RAIT Faktum & Ariko OÜ (10892011) e-posti aadress: [email protected]

RESOLUTSIOON:

Isikuandmete kaitse seaduse (IKS) § 56 lõike 1, lõike 2 punkti 8, § 58 lõike 1 ning

isikuandmete kaitse üldmääruse artikli 58 lõike 2 punkti f, artikli 5 lõike 5 lõike 1 punkti

a, artikli 6 lõike 1 alusel teen täitmiseks kohustusliku ettekirjutuse:

1. Tartu Ülikoolil, Pere Sihtkapital SA-l ja RAIT Faktum & Ariko OÜ-l piirata

„Lastetute perede uuringu“ raames saadud isikuandmete töötlemine ja keelata

selliste isikuandmete edasine töötlemine kuni ettekirjutuse adressaadiks olevate

isikute suhtes alustatud järelevalvemenetluse lõpuni;

2. juhul, kui Tartu Ülikooli ja Pere Sihtkapitali SA vahel sõlmitud lepingule

tuginedes koguti ka teiste uuringute jaoks isikuandmeid, siis laieneb

töötlemiskeeld ka nendele isikuandmetele kuni järelevalvemenetluse lõpuni;

3. määran ettekirjutuse täitmise tähtajaks 15.08.2023;

4. samaks kuupäevaks tuleb teavitada Andmekaitse Inspektsiooni ettekirjutuse

täitmisest. VAIDLUSTAMISVIIDE: Käesoleva ettekirjutuse saab vaidlustada 30 päeva jooksul, esitades kas:

- haldusmenetluse seaduse kohase vaide Andmekaitse Inspektsioonile või

- halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse (sel juhul ei saa enam samas

asjas vaiet läbi vaadata).

Ettekirjutuse vaidlustamine ei peata selle täitmise kohustust ega täitmiseks vajalike abinõude

rakendamist.

SUNNIRAHA HOIATUS:

Kui ettekirjutus on jäetud määratud tähtajaks täitmata, on Andmekaitse Inspektsioonil õigus

määrata ettekirjutuse igale adressaadile isikuandmete kaitse seaduse § 60 alusel:

sunniraha 10 000 eurot.

Sunniraha võib määrata korduvalt – kuni ettekirjutus on täidetud. Kui adressaat ei tasu

sunniraha, edastatakse see kohtutäiturile täitemenetluse alustamiseks. Sel juhul lisanduvad

sunnirahale kohtutäituri tasu ja muud täitekulud.

FAKTILISED ASJAOLUD:

Andmekaitse Inspektsioon sai augusti alguses vihje võimaliku andmekaitsealaste nõuete

rikkumiste kohta seoses Pere Sihtkapital SA (edaspidi ka SA) korraldatud „Lastetute perede

uuringuga“. RAIT Faktum & Ariko OÜ oli saatnud SA korraldusel inimestele nimetatud

uuringute kutseid.

Pere Sihtkapital SA on saanud rahvastikuregistrist valimisse kuuluvate inimeste kontaktandmed

(e-post, telefoni number ja isikukood). Siseministeeriumile esitatud inimeste kontaktandmete

saamise taotlusel oli uuringu tellijaks Tartu Ülikool. Andmekaitse Inspektsioonile teadaolevalt

on Siseministeerium Pere Sihtkapital SA-le väljastanud inimeste kontaktandmeid „Lastetute

perede uuringu“ läbi viimiseks.

RAIT Faktum & Ariko OÜ poolt andmesubjektidele saadetud uuringukutses on kirjas, et

ettevõte viib läbi uuringu Pere Sihtkapital SA tellimusel. Uuring viiakse läbi nõusoleku alusel,

kontaktandmed on saadud rahvastikuregistrist.

Inspektsiooni valduses on ka kuvatõmmised küsimustikust, kust nähtub küsimuste ulatus ja

iseloom.

11.08.2023 tuvastas Andmekaitse Inspektsioon, et Pere Sihtkapital SA on esitanud Tartu

Ülikooli inimuuringute eetikakomiteele uuringu eetilise hindamise taotluse, kuid eetikakomitee

kooskõlastust ei olnud.

11.08.2023 võttis Andmekaitse Inspektsioon ühendust ka Tartu Ülikooliga täpsustamaks

asjaolusid.

Tartu Ülikool on meedias teavitanud, et Tartu Ülikooli dekaan Raul Eamets sõlmis Pere

Sihtkapital SA-ga Tartu Ülikooli nimel lepingu ületades oma volitusi.

Ettekirjutuse tegemise hetkeks on Tartu Ülikool esitanud Andmekaitse Inspektsioonile

rikkumisteate, mille kohaselt Raul Eamets ületas Tartu Ülikooli nimel SA-ga lepingut sõlmides

oma volitusi.

ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED:

1. IKÜM artikli 4 punkti 1 kohaselt on isikuandmed igasugune teave tuvastatud või

tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik,

keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse

põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku

ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise

või sotsiaalse tunnuse põhjal.

IKÜM artikkel 4 punkti 2 kohaselt on isikuandmete töötlemiseks isikuandmete või

nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või

toimingute kogum, sh nende levitamine või muul moel kättesaadavaks tegemise teel

avalikustamine.

Kõnealusel juhul töödeldakse uuringu käigus isikuandmeid (e-post, telefoni number,

isikukood), kuivõrd nende andmete põhjal on võimalik isik tuvastada.

2. IKÜM artikkel 5 lõige 1 punkti a järgi tuleb isikuandmete töötlemisel tagada, et

töötlemine on seaduslik, õiglane ja läbipaistev.

3. IKÜM artikkel 6 lõike 1 kohaselt on isikuandmete töötlemine seaduslik, kui see vastab

ühele lõike 1 punktides a kuni f toodud tingimustele.

IKÜM artikkel 6 lg 1 punktides a-e sätestatud aluste korral põhineb andmetöötluse

seaduslikkus andmesubjekti nõusolekul, lepingulistel korraldustel, seadusjärgsel

kohustusel või muul konkreetselt õigusaktis määratletud põhjustel.

Ettekirjutuse resolutsioonis nimetatud uuringute puhul on kahtlus, kas ja milline

õiguslik alus isikuandmete töötlemiseks esineb.

4. Isikuandmete töötlemisel tuleb tagada, et töötlemine on andmesubjektile läbipaistev

(IKÜM art 5 lg 1 punkt a). Läbipaistvuse põhimõte eeldab, et kogu isikuandmete

töötlemisega seotud teave on andmesubjektile lihtsalt kättesaadav, arusaadav ning

selgelt sõnastatud. See puudutab eelkõige andmesubjektide teavitamist, et tagada

õiglane ja läbipaistev töötlemine. Antud juhul tuleb inimeste teavitamisel lähtuda IKÜM

artiklitest 12 – 14.

„Lastetute perede uuringu“ kutses on viide (lingina), kus on võimalik tutvuda

täiendavalt isikuandmete töötlemisega seotud õigustega. Nimetatud link viib Pere

Sihtkapitali SA kodulehel avaldatud „Privaatsuspoliitika“ juurde, kuid need on üldised

Pere Sihtkapital SA tingimused, kust ei selgu, kuidas töödeldakse isikuandmeid selle

konkreetse uuringu raames.

5. IKÜM-i kohane nõusolek isikuandmete töötlemisele peab vastama IKÜM art 7

nõuetele. IKÜM art 4 punkti 11 kohaselt peab nõusolek olema vabatahtlik, konkreetne,

teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või

selge nõusoleku väljendava tegevusega nõustub tema kohta käivate isikuandmete

töötlemisega.

Kuivõrd antud hetkel ei ole selge, kas Tartu Ülikoolil, Pere Sihtkapital SA ja RAIT

Faktum & Ariko OÜ-l on õiguslik alus rahvastikuregistrist saadud isikuandmete

töötlemiseks, on ettekirjutuse tegemine vajalik ja vältimatu ning võttes arvesse riivet

uuringu valimisse jäänud isikute eraelule ka proportsionaalne.

Ühtlasi teavitan, et alustame asjaolude täpsemaks väljaselgitamiseks järelevalvemenetlust Tartu

Ülikooli, Pere Sihtkapital SA ja RAIT Faktum & Ariko OÜ osas.

(allkirjastatud digitaalselt)

Virve Lans

jurist

peadirektori volitusel