Arvamuse edastamine

Tere!

Statistikaameti kaasasite meid isikuandmete kaitse seaduse (IKS) eelnõu tagasiside andmise protsessi ning palus meil edastada oma seisukoha ka otse teile. Andmekaitse regulatsioon on meie jaoks väga oluline teema ja, mis seal salata, viimasel ajal üha enam problemaatiline.

Meie hinnangul tuleks tänases olukorras, kus uuringute andmekaitsealasele kooskõlastamisele kuluv aeg on veninud mitme kuu pikkuseks, seada IKS-i muudatuste ettevalmistamisel eesmärgiks sellele kuluva aja märgatav lühendamine. Andmekaitsealased kooskõlastused ja menetlused peavad olema korraldatud viisil, mis ei takista tõenduspõhist poliitikakujundamist. Poliitikauuringute läbiviimiseks vajalikud andmekaitselised protsessid on praegu kohmakad ja ajamahukad ning kiireloomuliste rakendusuuringute tegemine (mille käigus on vaja kasutada ka isikuandmeid) on muutunud sisuliselt võimatuks.

Selleks, et andmed oleksid poliitikakujundamise sisendina taas kasutatavad, teeme järgmised ettepanekud:

1. Täiendada riikliku statistika seaduse eesmärkide sõnastust ja IKS § 6 sisu

Riikliku statistika seaduses tuleks sõnastada üheselt mõistetavalt, et riikliku statistika raames varem kogutud ja pseudonüümitud andmeid võib kasutada uuringute läbiviimiseks ilma AKI kooskõlastuse ja eetikakomitee loata ja ainult Statistikaameti konfidentsiaalsusnõukogu otsusega, kui see võimalus IKSi ja praeguse seaduse järgi tundub lahtiseks jäävat.

2. Luua alus andmepäringutele, mida saaks kasutada uuringutes poliitikakujundamises ettevõtjad, mittetulundussektor, sotsiaalpartnerid nende esindajad ja miks mitte ka üksikisikud, et juba kogutud andmeid oleks võimalik kasutada võimalikult laialt targemate ja paremate otsuste tegemiseks, mis omakorda oleks aluseks kogutud andmete kasutamisega Eesti ühiskonna ja majanduse arengu tugevdamisele.

IKS-i ja riikliku statistika seaduse muutmisel tuleks ette näha, et juba kogutud andmete kasutamiseks on õigus pöörduda Statistikaameti poole andmepäringuga igaühel, kellel on sisukas küsimus ning Statistikaametil peab olema selgelt sõnastatud õigus nendele päringutele vastata.

Näiteks ei ole praeguse praktika kohaselt võimalik tellida Statistikaametilt vanuse-palgakõveraid (andmetabel, mis näitab, milline on teatud inimrühmade keskmine palk või palga mediaan/kvartiil/detsiil vanuse lõikes), isegi kui need on kõrgel tasemel agregeeritud andmed (iga andmepunkti taga on sadu või tuhandeid vaatlusi) ja kedagi nende alusel tuvastada ei ole võimalik. Kui andmepäringu tulemusel antakse välja isikut tuvastamist mittevõimaldavad agregeeritud andmed, ei tohiks see eeldada ei AKI ega eetikakomitee nõusolekut ega ka nende teavitamist. Kahju, mida sellistele andmepäringutele vastamisega andmesubjektidele põhjustatakse, on olematu, sest Statistikaameti töötleb nende andmeid statistika tegemiseks nagunii. Samas võidab ühiskond sellest märkimisväärselt, et selle liikmed ei pea tegema oma otsuseid pimesi vaid saavad tugineda andmetele.

3. Mitte-eriliigiliste andmete korral peaks piisama konfidentsiaalsusnõukogu otsusest ja AKI teavitamisest.

Kui andmetöötlus toimub ainult pseudonümiseeritud andmestikega Statistikaameti teadlaste turvalises keskkonnas, tuleks andmekaitse alaste nõusolekute osas piirduda Statistikaameti konfidentsiaalsusnõukoguga.

Sellistes uuringutes on andmesubjektide õiguste riive minimaalne — otsene tuvastamine on välistatud ning kaudne tuvastamine väga ebatõenäoline. Andmete lekkimise risk on minimaalne. Turvalisus on muuhulgas tagatud Statistikaameti infrastruktuuri ja konfidentsiaalsuskohustustega. Täiendav kooskõlastusprotsess ei ole selle aja ja ressursimahukust silmas pidades põhjendatud. Statistikaamet võiks AKIt sellistest andmetöötlusest teavitada, see peaks toimuma automaatselt, koos Statistikaameti konfidentsiaalsusnõukogu otsuse langetamisega. Kokku ei tohiks andmekaitse seotud nõusolekutele (sh Statistikaameti konfidentsiaalsusnõukogu) kulud rohkem kui 5 tööpäeva.

4. Eriliigiliste andmete töötlemisel peaks üldjuhul piisama AKI nõusolekust.

Kui andmetöötlus toimub pseudonümiseeritud kujul Statistikaameti teadlaste keskkonnas ja hõlmab eriliigilisi isikuandmeid (ning tegemist on riigi või KOV-i tellitud poliitikauuringuga), peaks üldjuhul piisama Statistikaameti konfidentsiaalsusnõukogu otsusest ja AKI nõusolekust.

AKI pädevus katab andmekaitsealased riskid. Kui otsene tuvastamine on välistatud, ei esine üldjuhul uuringueetilisi probleeme, mida eetikakomiteed peaksid hindama. Enamik poliitikauuringutest ei ole meditsiiniuuringud, need ei tegele tundlike terviseandmetega. Näiteks inimese hinnang oma tervisele või mingit tervislikku seisundit eeldava toetuse saamine ei ole enamasti nii tundlik informatsioon, et selle pseudonümiseeritud kujul töötlemine kätkeks endas märkimisväärseid riske. Juhime siin veelkord tähelepanu, et neid andmeid töötlevatel analüütikutel on kohustus käsitleda andmeid konfidentsiaalsetena. AKI-l võiks olla võimalik erandjuhtudel (nt kui uuring hõlmab andmeid detailsema terviseseisundi kohta) eetikakomitee kaasata.

Selle punkti all võiks ühtlasi näha ette erandi Statistikaameti poolt regulaarselt teostatavatele valimipõhistele küsitlusuuringutele (eeskätt ETU, LEU, ESU). Kuna tegemist on valimipõhiste uuringutega ja neis sisalduv info inimese tervise kohta on väga üldisel kujul (hinnang 5-palli skaalal oma tervisele), siis on nende andmete põhjal andmesubjekti kaudne tuvastamise andmete väikeste modifikatsioonide (elukohta ja vanusgrupi mõõdukas üldistamine) korral sisuliselt välistatud. Nende andmete kasutamisel ei ole AKI nõusoleku küsimine asjakohane, rakenduda võiks sama lähenemine, mis punkti kolm juures. Kokku ei tohiks andmekaitse seotud nõusolekutele (sh Statistikaameti konfidentsiaalsusnõukogu) kulud rohkem kui 20 tööpäeva.

5. Vältida tuleks uuringute koondamist ühte eetikakomiteesse

Vältida tuleks olukorda, kus kõik uuringud — olgu rakenduslikud või teadusuuringud — peavad läbima ühe eetikakomitee. Selline lahendus tekitaks pudelikaela ning mitte ei lühendaks, vaid pikeneks uuringute läbiviimise aeg. Üldjuhul ei paranda see uuringute kvaliteeti ega andmesubjektide kaitset. Lisaks ei ole välistatud, et see võib viia uurimisteemade hiiliva tsensuurini. Juba praegu on eetikakomiteedel liiga suur koormus, liiga pikad ootejärjekorrad.

6. Privaatsustehnoloogiate kasutamine – soovitatav, aga mitte kohustuslik

Privaatsustehnoloogiate kasutamine võib mõnes olukorras olla hea lahendus, kuid need ei tohi muutuda ainsaks seaduslikuks viisiks andmete töötlemisel poliitikakujundamise eesmärgil.

Privaatsustehnoloogiatel on oma piirangud — kuna nende eesmärk on piirata juurdepääsu isikuandmetele, kaob sageli ka oluline kontekstiinfo. See suurendab oluliselt vigade tegemise ohtu, eriti juhul, kui analüütik pole andmestikuga varem tema originaalvormis kokku puutunud. Seetõttu tuleks vältida olukorda, kus ainsaks andmetöötluse võimaluseks jäävad spetsiifilised privaatsustehnoloogiad. 

Lugupidamisega

Janno Järve

email: [email protected]

Vabandan, link väljatöötamiskavatsusele on siin: https://eelnoud.valitsus.ee/main/mount/docList/2cf537fe-5a4e-4e5a-8d65-6d4cbe847ee1

Parimat

Jaana Tael

Head koostööpartnerid

Anname märku, et justiits-ja digiministeerium ootab kuni 12. maini tagasisidet isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsusele. Väljatöötamiskavatsusega (VTK) sõnastatakse nii aktuaalsed ja konkreetseid lahendusi vajavad probleemid kui ka üldist arutelu vajavad küsimused, et informeerida avalikkust esinevatest probleemidest ja kaasata huvigruppe uute lahenduste väljatöötamisse. Kuna eelnõu VTKs käsitletud teemad võivad otseselt ka teie tegevust ja töökoormust mõjutada, siis palume ka teil kindlasti omapoolne tagasiside anda.

Julgustame mõtlema teie tööd puudutavatele andmete saamisega seotud andmekaitse probleemidele ning tegema ettepanekuid lahendusteks või tooma välja näiteid, mis juhtudel on andmete vahetamine/saamine raskendatud olnud.

VTK eesmärgid:

• näha ette täpsemad tingimused, millele andmetöötlus peab vastama, et oleks täidetud IKÜM-i nõuded ning andmesubjekti õigused oleksid kaitstud.

• luua ühtne arusaam, millised asutused võivad IKS § 6 alusel analüüse ja uuringuid teha.

• luua ühtne arusaam, et asutus, kes on mitme erineva andmekogu vastutav töötleja, saab nende andmekogude andmeid analüüsi ja uuringu tarbeks koos töödelda üksnes IKS §-s 6 sätestatud  tingimustel.

• leida ka sobivaim lahendus eetikakomitee ja AKI kaasamiseks IKS § 6 kohaselt kõikide teadusuuringute sh asutuste analüüside ja uuringute taotluste menetlemisse. 

IKS § 6 kohaldub juhul, kui andmeid töödeldakse andmesubjekti nõusolekuta. Väljatöötamiskavatsuses käsitletakse järgmisi teemasid, mis on kehtiva IKS § 6 kontekstis osutunud problemaatiliseks:

1. Kaitsemeetmed nõusolekuta isikuandmete töötlemisel 2. Täidesaatva riigivõimu asutuse tehtud analüüsid ja uuringud 3. Tehnoloogiaarendus, sh tehisaru arendamine 4. Eetikakomiteed ja Andmekaitse Inspektsiooni hinnang 5. Eri andmekogude andmete ühildamine 6. Uuringud, milles kasutatakse erinevaid õiguslikke aluseid andmete töötlemiseks.

Tehisaru arendamisel toimuvale andmetöötlusele kohaldub IKS §-is 6 sätestatu. Täpsustus, et täidesaatva riigivõimu asutuse analüüsid ja uuringud sisaldavad endas ka tehnoloogiaarendust, on pakutud VTK lisa 3 kohases IKS § 6 sõnastuses ning eelnõu seletuskirja saab selle kohta lisada selgituse. Siinkohal oodatakse arvamust, kas nähakse vajadust tehnoloogia arendamise jaoks täiendava sätte loomiseks.

Teadusuuringute läbiviimiseks edastavate andmete pseudonüümimise või samaväärset andmekaitse taset võimaldavale kujule viimise ja andmete ühildamise kontekstis on vaja selgust, kes ja kuidas seda kõige paremal ja andmesubjekti õigusi vähem riivavamal moel teha võiks. Ehk kuidas võiks toimuda isikustatud andmete töötlemise protsess olukorras, kus uuringu läbiviimiseks on tarvis töödelda mitme erineva andmekogu andmeid.

Heade soovidega

Jaana Tael
Partnerlussuhete juht

Statistikaamet
https://www.stat.ee

tel: +372 522 8629

 



Tegutseme roheliselt! Ära prindi seda e-kirja, kui see vajalik pole.

Käesolev e-kiri võib sisaldada asutusesiseseks kasutamiseks tunnistatud teavet. Kui te ei ole selle kirja adressaat, palun võtke ühendust saatjaga ning kustutage e-kiri arvutist.
This e-mail may contain information which is classified for internal use. If you are not the intended recipient of this message, please notify the sender immediately and delete the message.