Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Mart Uusjärv

Sotsiaalministeerium

[email protected]

Teie 16.02.2026 nr 4.2-1/443-1 Meie 05.03.2026 nr 2.2.-1/26/16-2

Puuduste kõrvaldamiseks tähtaja määramine

Andmekaitse Inspektsiooni (AKI) menetluses on Sotsiaalministeeriumi taotlus uuringus

„Täiendava ravimi- ja meditsiiniseadmehüvitise skeemi abivahendite vältimatu omaosaluskulu

lisamise eelarvemõju analüüs“ isikuandmete töötlemiseks andmesubjekti nõusolekuta.

Tutvunud teie taotlusega, palun taotlust täiendada vastavalt alljärgnevale:

1. Uuringus kasutamiseks võetakse sotsiaalkaitse infosüsteemist ja retseptikeskusest

isikustatud andmed. Kahe andmekogu andmed seotakse ja analüüsitakse uuringus

isikustatud kujul. Isikuandmete kaitse seaduse (IKS) § 6 lg 1 näeb ette, et isikuandmeid

võib andmesubjekti nõusolekuta teadus- või ajaloouuringu või riikliku statistika

vajadusteks töödelda eelkõige pseudonüümitud või samaväärset andmekaitse taset

võimaldaval kujul. Antud juhul jääb arusaamatuks, mis põhjusel töödeldakse uuringus

andmeid isikustatult, mitte nt pseudonüümitult. Pseudonüümimine või muu sarnast kaitset

pakkuv vahend on esmane ja üks lihtsamini kasutatav kaitsemeede isikuandmete

töötlemise turvalisuse tagamiseks ja andmesubjekti privaatsuse riive vähendamiseks. Eriti

oluline on võimalike kaitsemeetmete rakendamine eriliiki isikuandmete töötlemisel, mis

oma olemuse tõttu eeldavad suuremat kaitset. Uuringus kasutatavad isikuandmed

liigituvad eriliiki isikuandmete hulka, kuivõrd võimaldavad saada teavet isiku

terviseseisundi kohta. Andmed on võimalik koodivõtit jagades pseudonüümida juba

andmekogust andmete väljavõtul ning enne andmete edastamist ja sidumist. Kuid igal juhul

on pseudonüümimine vms meede asjakohane ja vajalik pärast kahe andmekogu andmete

liitmist nende uuringu eesmärkidel analüüsimiseks. Seega palun uuringu

andmetöötlusprotsess ja rakendatavad kaitsemeetmed põhjalikult läbi mõelda ning

taotluses kirjeldada (selles on abiks järgnevas kirja punktis välja toodud andmekaitsealane

mõjuhinnang). Kui vastutav töötleja leiab, et täiendavate meetmete rakendamine ei ole

siiski vajalik, palun otsust põhjendada.

2. Taotluse punkti 5.2. kohaselt töödeldakse uuringus ligikaudu 1 miljoni inimese andmeid,

sh eriliiki andmeid. Isikuandmete kaitse üldmääruse1 (IKÜM) art 35 lg 1 kohaselt peab

isikuandmete vastutav töötleja hindama enne isikuandmete töötlemist kavandatavate

isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete

töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste

isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb olukorrad, millal

andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu koostamine

kohustuslik, kui toimub füüsiliste isiklike aspektide süstemaatiline ja ulatuslik hindamine,

mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel 1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete

töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta

2 (2)

põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis

samaväärselt mõjutavad oluliselt füüsilist isikut, samuti ka eriliigiliste isikuandmete

ulatuslik töötlemine. Inspektsiooni koostatud isikuandmete töötleja üldjuhendis2 on

selgitatud, mis on süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure

ohu kohta. Juhendis on viidatud suunistele3, mis käsitlevad andmekaitsealast

mõjuhinnangut. Palun esitada andmekaitsealane mõjuhinnang või kui seda ei ole koostatud

või ei koostata, siis palun seda otsust põhjendada, arvestades isikuandmete kaitse

üldmääruse artiklis 35 sätestatuga.

3. Taotluse punkti 6.1. järgi säilitatakse poliitikaanalüüsi tarbeks kogutud isikuandmeid kuni

reformi jõustava seaduseelnõu vastuvõtmiseni või kuni kaks aastat arvates väljavõtte

tegemisest, pärast mida isikuandmed hävitatakse. AKI mõistab seda nii, et maksimaalne

algandmete säilitamise aeg on kaks aastat väljavõtte tegemisest, sõltumata reformi jõustava

seaduseelnõu menetluse tulemusest. Palun eeldatav algandmete kustutamise aeg vähemalt

aasta ja kvartali täpsusega välja tuua.

4. Taotluse punkti 7.1. kohaselt teavitatakse andmesubjekte isikuandmete töötlemisest

Sotsiaalministeeriumi kodulehe vahendusel (käimasolevate uuringute alamlehel).

Isikuandmete kaitse üldmääruse üheks oluliseks põhimõtteks on läbipaistvuse põhimõte.

Läbipaistvuse tagamiseks tuleb andmesubjekte isikuandmete töötlemisest teavitada

vastavalt IKÜM artiklitele 12 – 14 konkreetselt selles uuringus toimuvast andmetöötlusest.

Taotluses viidatud teave käimasolevate uuringute kohta ja andmetöötlejate üldised

andmekaitsetingimused seda ei kajasta. Vastutaval töötlejal tuleb tagada nõutud teabe

esitamine ja vastavalt sellele taotlust täiendada.

Palun esimesel võimalusel, kuid hiljemalt 13.03.2026 taotluses esinevad puudused kõrvaldada

ning täpsustused taotlusvormile sisse viia. Muudatused palun algtekstist eristada. Vastus palun

saata aadressil [email protected].

Tähtajaks puuduste kõrvaldamata jätmise korral võib AKI vastavalt haldusmenetluse seaduse § 15

lõikele 3 jätta taotluse läbi vaatamata.

Lugupidamisega

(allkirjastatud digitaalselt)

Anu Suviste

jurist

peadirektori volitusel

2 Isikuandmete töötleja üldjuhend | Andmekaitse Inspektsioon 3 Artikli 29 töörühm. Suunised, mis käsitlevad andmekaitsealast mõjuhinnangut ja selle kindlaksmääramist, kas

isikuandmete töötlemise tulemusena „tekib tõenäoliselt suur oht“ vastavalt määrusele (EL) 2016/679