Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Paula Puusaag

Transpordiamet

[email protected]

Teie 28.01.2025 Meie 05.02.2025 nr 2.2.-1/25/26-4

Puuduste kõrvaldamiseks tähtaja määramine

Andmekaitse Inspektsiooni (AKI) menetluses on Transpordiameti täiendatud taotlus uuringus

„Liiklusõnnetustest ühiskonnale põhjustatud kahjude määramine“ isikuandmete töötlemiseks

andmesubjekti nõusolekuta.

Tutvunud taotlusega, palun taotlust täiendada vastavalt alljärgnevale:

1. Taotlusest nähtub, et uuringus töödeldakse eriliigilisi isikuandmeid. Palun inspektsioonile

edastada eetikakomitee kooskõlastus, kui see on olemas/taotlemisel. Kui eetikakomitee

kooskõlastust ei ole taotletud, palun põhjendada.

2. Isikuandmete kaitse üldmääruse1 (IKÜM) kohaselt peab isikuandmete töötlemine vastama

artiklis 5 sätestatud põhimõtetele, sh minimaalsuse ja eesmärgipärasuse nõuetele. Palun

lisage taotlusesse kogu uuringus kasutatav andmekoosseis ja andmeallikad, jälgides

kooskõla uuringu eesmärgiga. Selgitan, et töödeldavate andmete koosseis peab vastama

uuringu eesmärgi saavutamiseks minimaalselt vajalikule. Selle hindamiseks peab uuringu

eesmärk peab olema konkreetne ning ei saa sisaldada lahtiseid loetelusid.

3. Taotluse punkt 9.2. kohaselt päritakse andmekogudest uuringu sisendandmed perioodi

01.01.2023 – 31.01.2025 kohta. Uuringu eesmärk piiritleb analüüsi aastatega 2023 – 2024.

Seega ei saa kasutada pikema periood andmeid, kui uuringu eesmärk ette näeb (vt selgitust

eelmises punktis), mistõttu palun see taotluses parandada.

4. Täiendage andmetöötlusprotsessi kirjeldust kogu uuringu läbiviimise ulatuses, st kuidas

andmed (erinevatest allikatest) uuringu tegijale edastatakse, kus andmeid hoitakse, millised

on rakendatavad kaitsemeetmed, kuidas töödeldakse, kui kaua säilitatakse jne. Palun

esitada kirjeldus protsesside kohta nii enne kui pärast andmete ühendamist.

5. Palun täpsustada ja vajadusel põhjendada uuringu algandmete säilitamise aeg vähemalt

kvartali ja aasta täpsusega.

6. Palun täpsustada kõigi uuringu etappide lõikes, kas töödeldakse isikustatud,

pseudonümiseeritud või anonümiseeritud andmeid. Selgitan, et anonüümsed on andmed

vaid juhul, kui need on muudetud anonüümseks pöördumatult ja andmesubjekti ei ole

võimalik mingil viisil ei otseselt ega kaudselt tuvastada. Vt lisaks IKÜM art 4 punkt 5 ning

põhjenduspunkt 26.

1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete

töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta

2 (2)

7. Palun esitada andmekaitsealane mõjuhinnang või kui seda ei ole koostatud või ei koostata,

siis palun seda otsust põhjendada, arvestades IKÜM artiklis 35 sätestatuga. Taotlusest

nähtuvalt kasutatakse uuringus isikuandmeid (sh eriliigilisi) nii Tervisekassa andmekogust,

kui Sotsiaalkindlustusametist (kuigi andmekoosseisu ei ole välja toodud, võib eriliigiliste

andmete kasutamist järeldada uuringu eesmärgi alusel) ning valimi suurus on punkt 9

kohaselt 6363 isikut.

IKÜM art 35 lg 1 kohaselt peab isikuandmete vastutav töötleja hindama enne isikuandmete

töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele,

kui isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib

tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb

olukorrad, millal andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu

koostamine kohustuslik, kui toimub füüsiliste isiklike aspektide süstemaatiline ja ulatuslik

hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas

profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud

tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut, samuti ka eriliigiliste

isikuandmete ulatuslik töötlemine.

Inspektsiooni koostatud isikuandmete töötleja üldjuhendis2 on selgitatud, mis on

süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure ohu kohta.

Juhendis on viidatud suunistele3, mis käsitlevad andmekaitsealast mõjuhinnangut.

Olemasolevast teabest lähtuvalt palun hinnata, kas käesoleval juhul on mõjuhinnangu

koostamine vajalik ja kui on, siis palun see koostada. Kui mitte, siis palun tuua esile oma

sellekohased kaalutlused.

8. Isikuandmete kaitse üldmääruse üheks oluliseks põhimõtteks on läbipaistvuse põhimõte.

Läbipaistvuse tagamiseks tuleb andmesubjekte isikuandmete töötlemisest teavitada

vastavalt IKÜM artiklitele 12 – 14 konkreetselt selles uuringus toimuvast andmetöötlusest.

Märgin, et taotluses viidatud andmetöötleja üldised andmekaitsetingimused seda ei kajasta.

Üldmäärus küll kehtestab ka andmesubjektide teavitamata jätmise alused, kuid neid saab

rakendada pigem erandlikel asjaoludel. Antud uuringu taotluses ei nähtu selliseid

erandlikke asjaolusid, mis takistavad inimeste teavitamist. Teavitada on võimalik läbi

(sotsiaal)meedia, asutuse kodulehe kaudu jms viisil. Seega palun kaaluda andmesubjekti

teavitamise võimalusi ja vastavalt sellele taotlust täiendada. Kui leiate, et isegi ka üldine

andmesubjektide teavitamine võimalikuks ei osutu, palun seda otsust põhjendada.

Palun esimesel võimalusel, kuid hiljemalt 18.02.2025 taotluses esinevad puudused kõrvaldada

ning täpsustused taotlusvormile sisse viia. Muudatused palun algtekstist eristada. Vastus saata

aadressile [email protected].

Tähtajaks puuduste kõrvaldamata jätmise korral võib Andmekaitse Inspektsioon

haldusemenetluse seaduse § 15 lõike 3 kohaselt jätta taotluse läbi vaatamata.

Lugupidamisega

(allkirjastatud digitaalselt)

Anu Suviste

jurist

peadirektori volitusel

2 https://www.aki.ee/isikuandmed/juhendid/isikuandmete-tootleja-uldjuhend 3 https://ec.europa.eu/newsroom/article29/items/611236