Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Evelyn Liivamägi

Rahandusministeerium

[email protected]

Teie 17.02.2026 nr 5-3 /788-1 Meie 05.03.2026 nr 2.2.-1/26/17-2

Puuduste kõrvaldamiseks tähtaja määramine

Andmekaitse Inspektsiooni (AKI) menetluses on Rahandusministeeriumi taotlus uuringus

„Mootorsõidukimaksu leevendusmeetmete sihtgrupi määratlemine puude ja töövõime andmete

alusel“ isikuandmete töötlemiseks andmesubjekti nõusolekuta.

Tutvunud teie taotlusega, palun taotlust täiendada vastavalt alljärgnevale:

1. Uuringus ühendatakse viiest erinevast andmekogust pärinevad isikuandmed isikukoodi

abil. Taotluse punkti 10 kohaselt kogutud andmeid ei pseudonümiseerita ega

anonümiseerita, st kogu uuringu andmetöötlus viiakse läbi isikustatud andmetega.

Isikuandmete kaitse seaduse (IKS) § 6 lg 1 näeb ette, et isikuandmeid võib andmesubjekti

nõusolekuta teadus- või ajaloouuringu või riikliku statistika vajadusteks töödelda eelkõige

pseudonüümitud või samaväärset andmekaitse taset võimaldaval kujul. Antud juhul jääb

arusaamatuks, mis põhjusel töödeldakse uuringus andmeid isikustatult, mitte nt

pseudonüümitult. Pseudonüümimine või muu sarnast kaitset pakkuv vahend on esmane ja

üks lihtsamini kasutatav kaitsemeede isikuandmete töötlemise turvalisuse tagamiseks ja

andmesubjekti privaatsuse riive vähendamiseks. Eriti oluline on võimalike kaitsemeetmete

rakendamine eriliiki isikuandmete töötlemisel, mis oma olemuse tõttu eeldavad suuremat

kaitset. Uuringus kasutatavad isikuandmed liigituvad eriliiki isikuandmete hulka, kuivõrd

võimaldavad saada teavet isiku terviseseisundi kohta. Andmed on võimalik koodivõtit

jagades pseudonüümida juba andmekogust andmete väljavõtul ning enne andmete

edastamist ja sidumist. Kuid igal juhul on pseudonüümimine vms meede asjakohane ja

vajalik pärast andmekogude andmete liitmist nende uuringu eesmärkidel analüüsimiseks.

Seega palun uuringu andmetöötlusprotsess ja rakendatavad kaitsemeetmed põhjalikult läbi

mõelda ning taotluses kirjeldada (vt lisaks p 3). Kui vastutav töötleja leiab, et täiendavate

meetmete rakendamine ei ole siiski vajalik, palun otsust põhjendada.

2. Taotluse punkti 9 kohaselt töödeldakse uuringus rohkem, kui 300 000 inimese andmeid, sh

eriliiki andmeid. Isikuandmete kaitse üldmääruse1 (IKÜM) art 35 lg 1 kohaselt peab

isikuandmete vastutav töötleja hindama enne isikuandmete töötlemist kavandatavate

isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete

töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste

isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb olukorrad, millal

andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu koostamine

kohustuslik, kui toimub füüsiliste isiklike aspektide süstemaatiline ja ulatuslik hindamine,

mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel

põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis

1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete

töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta

2 (2)

samaväärselt mõjutavad oluliselt füüsilist isikut, samuti ka eriliigiliste isikuandmete

ulatuslik töötlemine. Inspektsiooni koostatud isikuandmete töötleja üldjuhendis2 on

selgitatud, mis on süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure

ohu kohta. Juhendis on viidatud suunistele3, mis käsitlevad andmekaitsealast

mõjuhinnangut. Palun esitada andmekaitsealane mõjuhinnang või kui seda ei ole koostatud

või ei koostata, siis palun seda otsust põhjendada, arvestades isikuandmete kaitse

üldmääruse artiklis 35 sätestatuga.

3. Täiendavalt kirja punktis 1 toodud märkusele palun kogu andmetöötlusprotsess ja uuringu

metoodika täpsemalt lahti kirjutada. Taotlusest ei selgu kuidas isikuandmete töötlemine on

kavandatud. Kas esmalt liidetakse kõik andmestikud ning seejärel välistatakse valimist

nende isikute andmed, kes ei kuulu sihtgruppi, nt puudega isikud, kellele või kelle

lähedasele ei ole maksuteadet väljastatud. Või moodustatakse lõppvalim enne andmete

sidumist mingite kriteeriumite põhjal või kasutatakse muud metoodikat. Milliseid

kaitsemeetmeid kasutatakse andmeanalüüsi läbiviimisel, jne.

4. Taotluse punkti 11 kohaselt andmesubjekte individuaalselt nende isikuandmete

töötlemisest ei teavitata. Isikuandmete kaitse üldmääruse üheks oluliseks põhimõtteks on

läbipaistvuse põhimõte. Läbipaistvuse tagamiseks tuleb andmesubjekte isikuandmete

töötlemisest teavitada vastavalt IKÜM artiklitele 12 – 14 konkreetselt selles uuringus

toimuvast andmetöötlusest. Üldmäärus küll kehtestab ka andmesubjektide teavitamata

jätmise alused, kuid neid saab rakendada pigem erandlikel asjaoludel. Antud uuringu

taotluses ei nähtu selliseid erandlikke asjaolusid, mis takistavad isikute teavitamist.

Individuaalne teavitamine ei ole alati põhjendatud. Kuid teavitada on võimalik üldiselt läbi

(sotsiaal)meedia, ministeeriumi või asutuse kodulehe vms viisil, avaldades konkreetse

uuringu andmekaitsetingimused. Kui leiate, et ka üldine andmesubjektide teavitamine

võimalikuks ei osutu, palun seda otsust põhjendada.

Palun esimesel võimalusel, kuid hiljemalt 13.03.2026 taotluses esinevad puudused kõrvaldada

ning täpsustused taotlusvormile sisse viia. Muudatused palun algtekstist eristada. Vastus palun

saata aadressil [email protected].

Tähtajaks puuduste kõrvaldamata jätmise korral võib AKI vastavalt haldusmenetluse seaduse § 15

lõikele 3 jätta taotluse läbi vaatamata.

Lugupidamisega

(allkirjastatud digitaalselt)

Anu Suviste

jurist

peadirektori volitusel

2 Isikuandmete töötleja üldjuhend | Andmekaitse Inspektsioon 3 Artikli 29 töörühm. Suunised, mis käsitlevad andmekaitsealast mõjuhinnangut ja selle kindlaksmääramist, kas

isikuandmete töötlemise tulemusena „tekib tõenäoliselt suur oht“ vastavalt määrusele (EL) 2016/679