Leping

Prokuratuuri arhiiviteenuse andmetöötlusleping nr 1-

4/25/236-1

Käesolev andmetöötlusleping (edaspidi: leping) on lahutamatu osa Justiits- ja

Digiministeeriumi ja Riigi Tugiteenuste Keskuse vahel 03.07.2024 sõlmitud tugiteenuste

osutamise kokkuleppele nr 4-7/24-17-1, mida on viimati muudetud 05.01.2026 a. sõlmitud

kokkuleppega nr 1-4/25/295-1 (edaspidi: kokkulepe), teostamaks teenuse saajale

Prokuratuurile (edaspidi: vastutav töötleja) teenuseosutaja Riigi Tugiteenuste

Keskuse (edaspidi: volitatud töötleja) poolt kokkuleppes nimetatud tegevusi andmesubjektide

osas.

1. Lepingu ese

1.1. Lepingu eesmärk on tagada kokkulepitud Prokuratuuri arhiiviteenuse

osutamiseks andmesubjektide isikuandmete õigus- ja eesmärgipärane töötlemine kooskõlas

ELi isikuandmete kaitse üldmäärusega (2016/679) (edaspidi: üldmäärus) ja Eesti riigisiseste

isikuandmete kaitset käsitlevate õigusaktidega.

1.2. Lepingus kasutatud mõistetel on üldmääruses sätestatud tähendus, kui pooled ei ole kokku

leppinud teisiti.

1.3. Kokkuleppe järgsete tugiteenuste osutamisel tegutseb Riigi Tugiteenuste Keskus

isikuandmete volitatud töötlejana ja Prokuratuur isikuandmete vastutava töötlejana.

1.4. Pooled kohustuvad järgima andmekaitsealaseid juhendeid ja tegevusjuhiseid, mis on

väljastatud isikuandmete kaitse eest vastutava kohaliku ja/või Euroopa Liidu asutuse poolt.

Vastutav töötleja annab isikuandmete töötlemiseks täiendavaid dokumenteeritud juhiseid.

1.5. Andmesubjektide kategooriad ja isikuandmete liigid, mida kokkuleppest tulenevalt

töödeldakse, isikuandmete töötlemise kestus, iseloom ja eesmärgid ning vastutava töötleja

antud juhised on lisatud lepingule (Lisa 1).

2. Isikuandmete töötlemine

2.1. Volitatud töötleja kohustub töötlema isikuandmeid vaid sellises ulatuses, mis on vajalik

kokkuleppe täitmiseks asjakohaste õigusaktide, juhendite ja vastutava töötleja antud

dokumenteeritud juhiste kohaselt.

2.2. Volitatud töötleja võib andmesubjektide isikuandmeid töödelda ka asjakohaste info- ja

sidesüsteemide hooldamise eesmärgil, kui see on kokkuleppe täitmiseks vajalik, tagades

sellisel juhul töötlemise vastavuse lepingule.

2.3. Kui volitatud töötleja ei ole vastutava töötleja juhistes kindel, kohustub ta mõistliku aja

jooksul vastutava töötlejaga ühendust võtma selgituste või täiendavate juhiste saamiseks.

Volitatud töötleja teavitab vastutavat töötlejat kõigist avastatud vastuoludest dokumenteeritud

juhiste ja õigusaktide või juhendite vahel.

2.4. Volitatud töötleja võib isikuandmete töötlemiseks kasutada teisi volitatud töötlejaid

(edaspidi teine volitatud töötleja) üksnes vastutava töötleja eelneval nõusolekul, mis peab

olema kirjalikku taasesitamist võimaldavas vormis. Ilma vastutava töötleja kirjaliku

nõusolekuta võib volitatud töötleja vajadusel kasutada isikuandmete töötlemiseks

süsteemihoolduspartnereid üksnes volitatud töötleja info- ja sidesüsteemide hoolduseks.

2.4.1. Volitatud töötleja vastutab teise volitatud töötleja tegevuse eest samal viisil nagu enda

tegevuse eest. Üldmääruse artikli 28 lõike 4 kohaselt sõlmib volitatud töötleja teise volitatud

töötlejaga isikuandmete töötlemiseks kirjaliku kokkuleppe, mis näeb ette samad

andmekaitsekohustused nagu on volitatud töötlejal lepingus.

2.4.2. Kui vastutav töötleja on andnud volitatud töötlejale loa kasutada kokkuleppest

tulenevate kohustuste täitmiseks teisi volitatud töötlejaid, on kokkuleppest tulenevatele

küsimustele vastamisel kontaktisikuks vastutavale töötlejale üksnes volitatud töötleja ning

volitatud töötleja tagab selle, et kõnealune teine volitatud töötleja täidab lepingu nõudeid ja

on sellega seotud samal viisil nagu volitatud töötleja ise.

2.4.3. Vastutav töötleja võib igal ajahetkel võtta tagasi volitatud töötlejale antud loa kasutada

teisi volitatud töötlejaid.

2.5. Volitatud töötleja kohustub hoidma konfidentsiaalsena kokkuleppe täitmise käigus

teatavaks saanud isikuandmeid ning mitte töötlema isikuandmeid muul kui kokkuleppes

sätestatud eesmärgil. Samuti tagama, et isikuandmeid töötlema volitatud isikud, teised

volitatud töötlejad, volitatud töötleja töötajad jt, kellel on ligipääs kokkuleppe täitmise käigus

töödeldavatele isikuandmetele järgivad konfidentsiaalsusnõuet.

2.6. Volitatud töötleja kohustub rakendama asjakohaseid tehnilisi ja korralduslikke turvalisuse

tagamise meetmeid sellisel viisil, et isikuandmete töötlemine vastaks üldmääruse artikli 32

nõuetele:

2.6.1. vältima kõrvaliste isikute ligipääsu isikuandmete töötlemiseks kasutatavatele

andmetöötlusseadmetele;

2.6.2. ära hoidma andmekandjate omavolilist teisaldamist;

2.6.3. tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid

isikuandmeid töödeldi.

2.7. Volitatud töötleja aitab võimaluste piires vastutaval töötlejal asjakohaste tehniliste ja

korralduslike meetmete abil täita vastutava töötleja kohustusi vastata üldmääruse tähenduses

kõigile andmesubjekti taotlustele oma õiguste teostamisel, edastades kõik andmesubjektidelt

saadud andmete kontrollimise, parandamise ja kustutamise, andmetöötluse keelamise ja muud

taotlused vastutavale töötlejale viivitamatult nende saamisest alates.

2.8. Volitatud töötleja aitab vastutaval töötlejal täita üldmääruse artiklites 32–36 sätestatud

kohustusi, võttes arvesse isikuandmete töötlemise laadi ja volitatud töötlejale kättesaadavat

teavet.

2.9. Vastutav töötleja võib viia läbi auditeid, taotledes volitatud töötlejalt kirjalikku

taasesitamist võimaldavas vormis asjakohast teavet eesmärgiga kontrollida volitatud töötleja

lepingust tulenevate kohustuste täitmist. Pooled on kokku leppinud, et:

2.9.1. vastutava töötleja auditeid võib läbi viia kas vastutav töötleja ja/või kolmas isik, keda

vastutav töötleja on selleks volitanud;

2.9.2. volitatud töötleja kohustub andma vastutavale töötlejale teavet, andmeid ja dokumente,

selleks, et tõendada lepingu nõuetekohast täitmist;

2.9.3. vastutav töötleja käsitleb volitatud töötlejalt saadud teavet kogu auditi raames

konfidentsiaalsena.

2.10. Volitatud töötleja edastab kõik järelevalveasutuste päringud vastutavale töötlejale.

Järelevalveasutustega suhtleb vastutav töötleja. Volitatud töötlejal pole õigust vastutavat

töötlejat esindada ega tema nimel tegutseda. Volitatud töötleja teeb vastutava töötlejaga

koostööd volitatud töötlejat puudutavates küsimustes või järelevalveasutusele vastamisel.

3. Isikuandmete töötlemine väljaspool Euroopa Liitu ja Euroopa Majanduspiirkonda

3.1. Kokkuleppe esemeks olevaid isikuandmeid ei tohi töödelda väljaspool Euroopa Liitu ega

Euroopa Majanduspiirkonda, sh ei tohi nimetatud isikuandmeid edastada kolmandale riigile

või rahvusvahelisele organisatsioonile, v.a kui selliste andmete avaldamise kohustus tuleneb

õigusaktist.

3.2. Juhul, kui kokkuleppe esemeks olevate isikuandmete töötlemine väljaspool Euroopa Liitu

ja Euroopa Majanduspiirkonda, sh nende edastamine kolmandale riigile või rahvusvahelisele

organisatsioonile, on vajalik kokkuleppe täitmiseks, lepivad pooled sellises andmetöötluses

eelnevalt kirjalikult kokku.

3.3. Kirjalikku kokkulepet ei ole vaja sõlmida, kui volitatud töötleja on kohustatud

isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile edastama volitatud

töötleja suhtes kohaldatava Euroopa Liidu või liikmesriigi õiguse alusel. Sellisel juhul teatab

volitatud töötleja sellise õigusliku aluse olemasolust enne isikuandmete töötlemist vastutavale

töötlejale, kui selline teatamine ei ole olulise avaliku huvi tõttu kõnealuse õigusega keelatud.

4. Isikuandmete töötlemisega seotud rikkumiste peatamine ja sellest teavitamine

4.1. Kui volitatud töötleja avastab isikuandmetega töötlemisega seotud rikkumise, teeb ta kõik

endast oleneva, et andmetöötluse rikkumise korral edasine rikkumine viivitamatult peatada.

4.2. Volitatud töötleja teavitab vastutavat töötlejat kõikidest isikuandmete töötlemisega seotud

rikkumistest, või kui on alust kahtlustada, et selline rikkumine on aset leidnud, ilma

põhjendamatu viivituseta alates hetkest, kui volitatud töötleja või tema poolt kasutatav teine

volitatud töötleja saab teada isikuandmete töötlemisega seotud rikkumisest või on alust

kahelda, et selline rikkumine on aset leidnud.

4.3. Volitatud töötleja peab viivitamatult, aga mitte hiljem kui 24 tundi pärast rikkumisest

teada saamist, edastama vastutavale töötlejale kogu isikuandmetega seotud rikkumist

puudutava asjakohase informatsiooni. Juhul, kui kõiki asjaolusid ei ole võimalik selleks ajaks

välja selgitada, esitab volitatud töötleja vastutavale töötlejale vormi esialgsete andmetega.

Täiendatud vorm lõpliku informatsiooniga rikkumise asjaolude kohta tuleb esitada

vastutavale töötlejale esimesel võimalusel pärast esialgsete andmetega vormi esitamist.

4.4. Volitatud töötleja teeb vastutava töötlejaga igakülgset koostööd selleks, et välja töötada

ja täita tegevusplaan isikuandmetega seotud rikkumiste kõrvaldamiseks. Volitatud töötleja

peab tegema kõik võimaliku, et edasist rikkumist ära hoida ning kahju vähendada.

4.5. Vastutav töötleja vastutab järelevalveasutuse teavitamise eest.

5. Vastutus

5.1. Volitatud töötleja vastutab kahju eest, mida ta on põhjustanud vastutavale töötlejale,

andmesubjektidele või muudele kolmandatele isikutele. isikuandmete töötlemisel lepingu

nõudeid või õigusnorme või dokumenteeritud juhiseid rikkudes.

5.2. Volitatud töötleja, kui ta on isikuandmete töötlemise nõudeid rikkunud ja selle tagajärjel

on vastutav töötleja kohustatud maksma hüvitist või trahvi, kohustatud hüvitama vastutavale

töötlejale sellega seoses kantud kulud.

5.3. Kui volitatud töötleja rikub oluliselt lepingus sätestatud isikuandmete töötlemise nõudeid,

on vastutaval töötlejal õigus kokkulepe üles öelda, teavitades sellest volitatud töötlejat ette

vähemalt kolm kuud.

5.4. Oluline lepingu rikkumine on eelkõige, kui:

5.4.1. isikuandmete töötlemise põhimõtete täitmist kontrolliva järelevalveasutuse või kohtu

menetluses selgub, et volitatud töötleja või teine volitatud töötleja ei täida isikuandmete

töötlemise põhimõtteid;

5.4.2. vastutav töötleja leiab lepingu raames läbiviidud auditis, et volitatud töötleja ei täida

isikuandmete töötlemise põhimõtteid, mis tulenevad lepingust või kohaldatavatest

õigusnormidest.

6. Muud sätted

6.1. Volitatud töötleja kohustub arhiiviteenuse osutamise lõppemisel või

lõpetamisel tagastama vastutavale töötlejale kõik andmesubjektide isikuandmed või

kustutama või hävitama isikuandmed ja nende koopiad vastavalt vastutava töötleja antud

juhistele.

6.2. Volitatud töötleja väljastab vastutavale töötlejale volitatud töötleja esindusõigusega isiku

kirjaliku kinnituse, et tema ja kõik tema kasutatud teised volitatud töötlejad on täitnud

eelmises punktis nimetatud toimingud.

6.3. Volitatud töötleja teavitab vastutavat töötlejat kirjalikult kõigist muudatustest, mis võivad

mõjutada volitatud töötleja võimet või väljavaateid pidada kinni lepingust ja vastutava töötleja

dokumenteeritud juhistest. Pooled lepivad kõigis lepingut puudutavates täiendustes ja

muudatustes kokku kirjalikult.

6.4. Kohustused, mis oma iseloomu tõttu peavad jääma jõusse hoolimata lepingu kehtivusest,

nagu konfidentsiaalsuskohustus, jäävad jõusse ka pärast lepingu kehtivuse lõppemist, kui

pooled ei ole kirjalikult kokku leppinud teisiti.

6.5. Leping jõustub pärast selle allkirjastamist mõlema poole poolt.

6.6. Poolte rekvisiidid:

Vastutav töötleja Volitatud töötleja

Ene Koitla Pärt-Eo Rannap

/allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/

Juhataja Peadirektor

Prokuratuur Riigi Tugiteenuste Keskus

registrikood 70000906 registrikood 70007340

Wismari 7, 15188 Tallinn Lõkke 4, 10122 Tallinn