Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Mari-Liis Jakobson

Tallinna Ülikool

[email protected]

Teie 15.08.2025 Meie 01.09.2025 nr 2.2-9/25/2668-2

Vastus selgitustaotlusele

Pöördusite Andmekaitse Inspektsiooni (AKI) poole küsimustega teadusprojekti raames uuringu

läbiviimiseks riigi andmekogudest isikuandmete saamise tingimuste ja nende andmete töötlemise

nõuete kohta.

Esmalt selgitame, et riigi andmekogudest isikuandmete väljastamise tingimuste ja protseduuride

osas tuleb konsulteerida konkreetse andmekogu vastutava töötlejaga1. Andmekaitse Inspektsiooni

pädevuses on üldiselt isikuandmete kaitse seaduses (IKS), selle alusel kehtestatud õigusaktides

ning Euroopa Parlamendi ja nõukogu määruses (EL) 2016/679 (IKÜM) sätestatud nõuete ning

muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle riikliku ja

haldusjärelevalve teostamine2. IKS § 6 lõigetes 4 ja 5 on sätestatud AKI ülesanne hinnangu

andmiseks andmesubjekti nõusolekuta isikuandmete töötlemisele teadus- ja ajaloouuringutes ehk

teisisõnu on seaduses kehtestatud täiendav kaitsemeede uuringutes isikuandmete töötlemisele.

Isikuandmete kaitse üldmääruse kohaselt peab igasuguseks isikuandmete töötlemiseks (sh ka

teadusuuringutes) olema õiguslik alus tulenevalt IKÜM artikli 6 lõikest 1 ning eriliiki andmete (sh

rassiline või etniline päritolu, poliitilised vaated jne)3, puhul peab lisanduma IKÜM artikli 9 lõikest

2 tulenev õiguslik alus.

Teadusuuringutes isikuandmete töötlemiseks saab õiguslikuks aluseks üldjuhul olla isiku

informeeritud nõusolek, avalikes huvides oleva ülesande täitmine (seadus) või eraõigusliku

teadusuurija puhul lisaks veel õigustatud huvi.

IKS § 6 sätestab erisuse olukorras, kus isikuandmete töötlemiseks isiku nõusolek puudub4. IKS §

6 kohaselt on AKI kooskõlastust vaja taotleda kahel juhul:

1. kui uuring põhineb eriliiki isikuandmetel ning valdkondlik eetikakomitee puudub (IKS § 6 lg

4) või

2. kui tegemist on täidesaatva riigivõimu uuringu või analüüsiga, mis viiakse läbi poliitika

kujundamise eesmärgil (IKS § 6 lg 5).

IKS § 6 lõike 4 kohaselt, kui teadus- või ajaloouuring põhineb eriliiki isikuandmetel, siis kontrollib

asjaomase valdkonna eetikakomitee eelnevalt IKS paragrahvis 6 sätestatud tingimuste täitmist. 1 Vastavalt konkreetse andmekogu pidamist reguleerivale seadusele või andmekogu põhimäärusele, näiteks

rahvastikuregistri vastutav töötleja on Siseministeerium (rahvastikuregistri seadus § 3 lg 2). 2 IKS § 56 lg 1 3 Isikuandmete kaitse üldmääruse artikkel 9 lg 1 4 Vt ka inspektsiooni veebilehel Isikuandmed uuringutes | Andmekaitse Inspektsioon.

2 (3)

Justiits- ja digiministeerium on selgitanud, et kui uuringus kasutatakse eriliigilisi isikuandmeid,

siis uuring põhineb eriliigilistel andmetel sõltumata töödeldavate andmete hulgast5. Kuna

eriliigilised isikuandmed vajavad oma tundlikkuse poolest rohkem kaitset, siis on kooskõlastamine

isikuandmete töötlemisel käsitletav täiendava kaitsemeetmena. AKI kooskõlastab teadusuuringus

isiku nõusolekuta isikuandmete töötlemise ainult juhul, kui valdkondlik eetikakomitee puudub (st

eetikakomitee leiab, et uuringu kooskõlastamine ei kuulu tema pädevusse).

Kehtiv IKS § 6 lg 4 regulatsioon eetikakomiteede osas on üsna üldine ning erinõuded puuduvad.

Seega võib ka ülikooli eetikakomitee täita seda ülesannet ning hinnata IKS §-s 6 ja eelkõige lõikes

3 sätestatud tingimuste täitmist. Juhime tähelepanu, et tulenevalt 01.10.2025 jõustuvast teadus- ja

arendustegevuse ning innovatsiooni korralduse seadusest (TAIKS) muutub mõnevõrra

regulatsioon eetikakomitee poolt kooskõlastamise osas, sh IKS § 6, kuid muudatus ei välista

institutsionaalsete eetikakomiteede (sh ülikoolide eetikakomiteede) vastavat pädevust.

AKI ainupädevusse kuulub IKS § 6 lõike 5 alusel täidesaatva riigivõimu poliitika kujundamise

eesmärgil tehtavate uuringutes ja analüüsides isiku nõusolekuta isikuandmete töötlemise

kooskõlastamine. Justiits- ja digiministeeriumi selgituse kohaselt tuleb IKS § 6 lõiget 5 tõlgendada

kitsalt ning selle alusel saavad poliitika kujundamise analüüse ja uuringuid teha üksnes

valitsusasutused. IKS § 6 lõikes 5 on välja toodud kaks tingimust, mis peavad olema täidetud.

Esmalt analüüsid ja uuringud teostatakse täidesaatva riigivõimu poolt ning teisalt, uuringud ja

analüüsid on vajalikud poliitika kujundamiseks. Täidesaatva riigivõimuna käsitletakse Vabariigi

Valitsust ja valitsusasutusi Vabariigi Valitsuse seaduse § 39 lõike 3 alusel6. Juhul, kui täidesaatva

riigivõimu poliitika kujundamise eesmärgil läbiviidavas uuringus töödeldakse eriliigilisi

isikuandmeid, kooskõlastatakse uuring nii eetikakomitee, kui AKI poolt.

Teie pöördumises toodud info põhjal hinnates ei ole antud teadusprojekti puhul tegemist IKS § 6

lg 5 alusel täidesaatva riigivõimu poliitika kujundamise eesmärgil tehtava uuringuga.

Selgitame veel, et isikuandmeid tuleb töödelda kooskõlas muude IKÜM nõuetega. IKÜM artiklis

5 sätestatud põhimõtted ütlevad, et isikuandmete töötlemine peab muu hulgas olema usaldusväärne

ja konfidentsiaalne, ehk teisisõnu turvaline.

Turvalisuse põhimõte tähendab, et isikuandmete töötlemisel rakendatakse kogumis tegevusi ja

meetmeid, mille eesmärk on kaitsta isikuandmeid ja infosüsteeme, sõltumata andmete formaadist

või andmekandjast, volitamata juurdepääsu, kasutamise, avalikustamise, muutmise, hävitamise

või kahjustamise eest7. Konkreetses teadusuuringus isikuandmete töötlemise turvalisuse

tagamiseks peab isikuandmete vastutav töötleja rakendama meetmeid sõltuvalt töödeldavatest

isikuandmetest (andmete tundlikkus, hulk jms) ning töötlemise eesmärkidest ja vahenditest.

Selleks võib muu hulgas olla otstarbekas (teatud juhtudel kohustuslik) koostada andmekaitsealane

mõjuhinnang8.

IKÜM artikli 5 lõike 2 kohaselt vastutab isikuandmete töötleja tema käsutuses olevate

isikuandmetega tehtud toimingute eest ning peab olema valmis nõuetekohast töötlemist ka

tõendama. Vastutav töötleja võib kasutada volitatud töötlejaid, kuid üksnes selliseid, kes annavad

piisavad tagatised asjakohaste tehniliste ja korralduslike meetmete rakendamiseks, et töötlemine

vastaks IKÜMi nõuetele. Volitatud töötleja peab isikuandmeid töötlema kirjaliku ja siduva lepingu

või muu õigusakti alusel. Isikuandmete kaitse üldmääruses on loetletud elemendid, mis tuleb

töötlemislepingus sätestada9.

5 Justiitsministeeriumi 09.09.2022 vastus selgitustaotlusele nr 2.1.-5/22/1465 6 Justiitsministeeriumi 22.01.2024 vastus selgitustaotlusele nr 2-6/24-7834-2 7 Koosmõjus IKÜM art 5 lg 1 punkt f), art 25 ja art 32 8 Vt lisaks Mõjuhinnang | Andmekaitse Inspektsioon ja 5. peatükk. Andmekaitsealane mõjuhinnang | Andmekaitse Inspektsioon 9 Vt IKÜM art 28

3 (3)

Täiendavat teavet isikuandmete töötlemise nõuete kohta leiate inspektsiooni veebilehel

Isikuandmed uuringutes, samuti Isikuandmete töötleja üldjuhendist. Märgime, et täiendavad

nõuded teadustöös isikuandmete töötlemisele võivad tuleneda ka ülikooli sisestest õigusaktidest,

nt hea teadustava vms. Ühtlasi soovitame konkreetses uurimistöös isikuandmete töötlemise

toimingutega seotud küsimustes konsulteerida esmalt Tallinna Ülikooli andmekaitsespetsialistiga

(Liana Iila, kontakt [email protected])10 ning tutvuda oma asutuse andmetöötluseeskirjadega.

Loodan, et selgitustest on abi.

Lugupidamisega

Anu Suviste

jurist

peadirektori volitusel

10 Tallinna Ülikool | e-Äriregister