Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Annemari Raudseping

[email protected]

Teie 07.11.2024 Meie 04.12.2024 nr 2.3-8/24/2847-2

Vastus nõudekirjale

Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles soovite teada, millisel õiguslikul

alusel toimub Haapsalu hariduse tugiteenuste keskuses isikuandmete töötlemine (sh milline on

dokumentide säilitamise kord, kuidas peaks toimuma dokumentide edastamine, kuidas peaks

toimuma tugispetsialistide omavaheline kogemuste jagamine jne).

Selgitame, et seda, milliseid andmeid asutuses töödeldakse ning kuidas peab toimuma asutuses

korrektne isikuandmete töötlemine, saab esmalt anda kohaseid selgitusi asutus ise, sh asutuse

andmekaitsespetsialist ja seejärel, kui siis veel esineb mingeid küsimusi või vajate täpsustusi

seoses isikuandmete korrektse töötlemisega, saab pöörduda Andmekaitse Inspektsiooni poole.

Eelduslikult on asutuse asjaajamise kord sätestatud asutuse sise-eeskirjas või muudes asutuse

töökorraldust reguleerivates dokumentides.

Kui Te ei soovi koheselt pöörduda kooli enda poole, siis on Teil võimalik pöörduda ka kohaliku

omavalitsuse andmekaitsespetsialisti poole – tema tunneb andmekaitsereegleid ja saab Teid

vajadusel juhendada ja selgitada andmetöötluse protsesse konkreetses asutuses.

Andmekaitsespetsialisti kontaktandmed leiab kohaliku omavalitsuse veebilehelt või äriregistrist.

Haapsalu vallas on andmekaitsespetsialistiks määratud Erko Kalev (e-post:

[email protected]).

Samuti märgime, et Andmekaitse Inspektsioon saab anda õigusalaseid selgitusi inspektsiooni

tegevuse aluseks olevate õigusaktide ja asutuse pädevuse kohta.1 Inspektsioon ei saa anda

õigusabi. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse

seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Õigusabiga

on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang.

Inspektsioon ei osuta õigusabi.

Lisaks ei ole inspektsioonile teada, kuidas on asutuses andmetöötlus reguleeritud (sh kas asutuses

on olemas läbimõeldud andmetöötluse protsessid, koostatud kohane andmetöötluse

dokumentatsioon, millised on andmete töötlemise õiguslikud alused jne), kuid siinkohal siiski

sooviksime anda mõned üldised selgitused seoses isikuandmete töötlemisega.

Isikuandmeteks on igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Isikuandmete

kaitse üldmäärus (IKÜM) sätestab, et isikuandmete töötlemine peab olema seaduslik ja

andmesubjektile läbipaistev2; samuti tohib isikuandmeid koguda üksnes kindlaksmääratud

1 Märgukirjale ja selgitustaotlusele vastamise ning kollektiivse pöördumise esitamise seaduse § 3. 2 IKÜM art 5 lg 1 p a.

2 (3)

õiguspärastel eesmärkidel3 ning koguda tuleb eesmärgi seisukohalt võimalikult vähe andmeid4.

Seda, millisel õiguslikul alusel ja eesmärgil andmetöötlust läbi viiakse, peab5 määruse

kohaselt selgitama ja tõendama iga andmetöötleja ise. Kui õiguslik alus puudub, siis andmeid

töödelda (koguda, edastada, säilitada jne) ei tohi. Igaks juhuks andmetöötlus ei ole samuti lubatud.

Eriliigilisi isikuandmeid saab töödelda ainult juhul, kui esineb IKÜM artikli 9 lõikest 2 tulenev

õiguslik alus. Kui isikuandmete töötlemiseks puudub õiguslik alus, on nende töötlemine

ebaseaduslik.

Oluline ehk on märkida, et teie viidatud isikuandmete kaitse seaduse (IKS) § 8 ei ole eelduslikult

viidatud isikuandmete töötlemise õiguslikuks aluseks. Nimelt sätestab IKS § 8 lapse isikuandmete

töötlemise infoühiskonna teenuse pakkumisel.

Infoühiskonna teenuste seaduse § 2 sätestab infoühiskonnateenuste mõiste. Selle järgi mõistetakse

infoühiskonna teenusena teenust, mida osutatakse majandus- või kutsetegevuse raames teenuse

kasutaja otsesel taotlusel ja mille puhul andmeid töödeldakse, säilitatakse ja edastatakse

digitaalkujul andmete töötlemiseks ja säilitamiseks mõeldud elektrooniliste vahendite abil,

kusjuures osapooled ei viibi üheaegselt samas kohas. Infoühiskonna teenus peab olema täielikult

üle kantud, edastatud ja vastu võetud elektrooniliste sidevahendite abil. Infoühiskonna teenus ei

ole faksi ega telefonikõne abil edastatud teenus ega televisiooni- või raadioteenus.

Ehk siis infoühiskonna teenuste andmeid töödeldakse, säilitatakse ja edastatakse digitaalkujul

elektrooniliste vahendite abil. Levinumad infoühiskonna teenused on andmete ülekande ja

salvestuse teenus, otsinguteenus; elektroonilised ajakirjad ja ajalehed; pangandusteenus,

kindlustusteenus, investeeringud ja teised finantsteenused; ekspertteenused (nt juriidiline

nõustamine); meelelahutusteenused, reklaamiteenused ja muud marketingiteenused; kaupade

müük (tarkvara, e-raamatud; hõlmab ka kaupade pakkumist elektroonilisel teel).

Samuti sooviksime rõhutada miks on oluline, et kõik isikuandmed oleksid töödeldud (sh kogutud,

säilitatud, edastatud jne) korrektselt. IKÜM näeb andmesubjektile muuhulgas ette õiguse nõuda

oma (lapse) andmeid, ehk koopiat.6 Andmetöötlejal tuleb sellisele pöördumisele vastata kuu

jooksul. Kui isik leiab, et tema (lapse) isikuandmeid on õigustamatult töödeldud, siis on tal

muuhulgas võimalus pöörduda kaebusega Andmekaitse Inspektsiooni.

Kokkuvõttes ongi oluline, et asutus teeks esmalt selgeks, milliseid andmeid töödeldakse, kes

neid andmeid töötleb ning millisel õiguslikul alusel. Kõik protsessid tuleb ka

dokumenteerida, sest vastasel korral puudub nii korrektne ülevaade andmete töötlusest ning

sellest tulenevalt ka alus andmeid töödelda.

Rohkem informatsiooni isikuandmete töötlemise kohta leiab ka inspektsiooni veebilehelt ja

isikuandmete töötleja üldjuhendist. Rohkem informatsiooni isikuandmete töötlemise õiguslikest

alustest leiab siit. Eriliiki isikuandmete töötlemisest leiab informatsiooni siit. AKI veebilehel on

ka mitmeid kasulikke artikleid seoses isikuandmete töötlemise selgitamisega, näiteks

andmekaitsest igapäevatöös leiab informatsiooni siit. Inspektsioon on loonud ka Andmekaitse

ABC videosarja, mis on leitav siit. Lõimitud ja vaikimisi andmekaitsest (sh pidades silmas ka laste

andmete edastamist kergekäeliselt jne) on leitav siit.

Loodan, et minu selgitustest on abi.

Lugupidamisega

3 IKÜM art 5 lg 1 p b 4 IKÜM art 5 lg 1 p c 5 IKÜM art 5 lg 2 kohaselt 6 IKÜM art 15

3 (3)

Liina Kroonberg

jurist

peadirektori volitusel