Isikuandmete kaitse haridusasutuses Urmas Kukk 29 01 2019

Isikuandmete kaitse haridusasutuses. Urmas Kukk 29. 01. 2019

Urmas Kukk CIPP/E 2003 – 2008 Andmekaitse Inspektsioon International Association of Privacy Professionals Eesti Andmekaitse Liit Advokaadibüroo Koch ja Partnerid vibu maastikulaskmine 2

Andmekaitse Kellel on vaja – kättesaamine kiiresti ja mugavalt. Kellel ei ole vaja – ei tohi tihti teadagi, et teavet töödeldakse. 3

Eraelu Piirid ja sisu otsustab igaüks ise. Väljast saab hinnata ainult sekkumise õigustatust ja sekkumise määra õigustatust. 4

Eraelu Passiivne iseolemine (privaatsus) – oma eraelu kaitseks ei pea ise midagi tegema, teised on kohustatud hoiduma sekkumisest. Aktiivne iseolemine – igaühe õigus otsustada kui palju oma eraelust avaldada teistele. 5

Andmete omand Üldmääruse jõustumisega ei saanud isik enda kohta käivate omanikuks. Isik on kogu aeg olnud enda kohta käivate andmete omanik. 6

Isikuandmete kaitse üldmäärus Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM). Rakendatakse alates 25. 05. 2018 7

Isikuandmete kaitse üldmäärus Tähte närides – GDPR Eestis ei kehti! 8

Üldmäärus Ei kohaldata: 1. töödeldakse tegevuse käigus, mis ei kuulu EL õiguse kohaldamisalasse; 2. riigiasutus töötleb välis- või julgeoleku poliitika elluviimiseks; 3. füüsiline isik töötleb eranditult isiklike või koduste tegevuste käigus; 9

Üldmäärus Ei kohaldata: 4. töötlejaks on õiguskaitseorgan Sel juhul rakendatakse direktiivi (EL) 2016/680. 10

Üldmäärus ei kehtesta reegleid isikuandmete kaitsele. Üldmäärus kehtestab reeglid isikuandmete töötlemisele. 11

Üldmäärus IKÜM ei käsitle eraldi laste isikuandmete töötlemist või isikuandmete töötlemist haridusasutustes. 12

Haridusseadus Ei käsitle eraldi laste või üldse isikuandmete töötlemist. 13

Koolieelse lasteasutuse seadus Ei käsitle eraldi laste või üldse isikuandmete töötlemist. 14

Põhikooli- ja gümnaasiumiseadus § 10 lg 2 – Koolikohustuslike isikute üle arvestuse pidamist korraldab valla- või linnavalitsus. 15

Põhikooli- ja gümnaasiumiseadus § 44 lg 5 – Kool võib õpilaste ja koolitöötajate turvalisust ohustava olukorra ennetamiseks ning olukorrale reageerimiseks kasutada kooli territooriumil jälgimisseadmestikku turvaseaduses sätestatud tähenduses ja korras, arvestades isikuandmete kaitse seaduses sätestatud nõudeid. 16

Põhikooli- ja gümnaasiumiseadus § 46 Kooli pidaja ja kooli ülesanded vajaliku toe väljaselgitamisel ja rakendamisel lg 7 – Hindamise, testimise ja uuringute tulemused, samuti õpetajate tähelepanekud, tugispetsialistide ning koolivälise nõustamismeeskonna antud soovitused, rakendatud teenused ja tugi ning hinnang nende tulemuslikkuse kohta kantakse õpilase individuaalse arengu jälgimise kaardile. Direktor määrab koolis isiku, kes vastutab selle kaardi täitmise eest. 17

Põhikooli- ja gümnaasiumiseadus § 47 Soovituse andmine õppe ja kasvatuse korraldamiseks ning tugiteenuste rakendamiseks lg 5 – Koolivälise nõustamismeeskonna liikmel on õigus vanema nõusolekul töödelda soovituse andmiseks vajalikke õpilase isikuandmeid, sealhulgas delikaatseid isikuandmeid, üksnes soovituse andmiseks vajalikus mahus ja ulatuses. 18

Põhikooli- ja gümnaasiumiseadus § 47 täitmiseks vajalike andmete loetelu jne on kehtestatud haridus- ja teadusministri 08. 02. 2018 määrusega nr 2: § 3 – Koolivälise nõustamismeeskonna liikmel on õigus vanema nõusolekul töödelda soovituse andmiseks vajalikke õpilase isikuandmeid, sealhulgas delikaatseid isikuandmeid, üksnes soovituse andmiseks vajalikus mahus ja ulatuses. 19

Määrus nr 2 § 3. Taotluse sisu Taotlus peab sisaldama: 1) lapse ees- ja perekonnanime, isikukoodi või selle puudumisel sünniaega; 2) taotluse eesmärki; 3) õppeasutuse nime, rühma või klassi, kus laps käib või õpib; 4) taotleja ees- ja perekonnanime, isikukoodi ja kontaktandmeid; 5) taotlejale soovituse teatavaks tegemise viisi; 6) taotluse esitamise kuupäeva ja taotleja allkirja. 20

Määrus nr 2 § 4. Soovituse andmiseks esitatavate andmete loetelu (1) Soovituse andmiseks lisatakse taotlusele järgmised dokumendid: 1) lapse isikut tõendav dokument või sünnitunnistus, kui andmed ei ole kättesaadavad rahvastikuregistrist; 2) volitatud esindaja esindusõigust tõendav volikiri, kui taotluse esitab volitatud esindaja; 3) koolieelses lasteasutuses käiva lapse individuaalne arenduskava või koolieelses lasteasutuses või ettevalmistusrühmas käiva lapse kohta pedagoogi koostatud iseloomustus või koolivalmiduskaart (selle 21 olemasolul);

Määrus nr 2 § 4. Soovituse andmiseks esitatavate andmete loetelu 4) õpilase individuaalse arengu jälgimise kaart; 5) kooli koostatud ülevaade õpilase eelneva(te) õppeaasta(te) õpitulemustest või väljavõte õpilasraamatust, mis võimaldab hinnata õpilase arengudünaamikat; 6) perearsti või eriarsti või muu erialaspetsialisti hinnang, kui see on nõustamismeeskonna hinnangul vajalik erivajaduse täpsustamiseks ja soovituse andmiseks; 22

Määrus nr 2 § 4. Soovituse andmiseks esitatavate andmete loetelu 7) rehabilitatsiooniplaani või -programmi või rehabilitatsiooni teenuse osutamiseks koostatud tegevuskava (selle olemasolul); 8) puude raskusastme tuvastamise otsus (selle olemasolul). (2) Nõustamismeeskond võib vajadusel nõuda täiendavaid dokumente ja spetsialistide hinnanguid, kui need on vajalikud soovituse andmiseks. 23

Kutseõppeasutuse seadus Ei käsitle eraldi laste või üldse isikuandmete töötlemist. 24

Rakenduskõrgkooli seadus Ei käsitle eraldi isikuandmete töötlemist. 25

Täiskasvanute koolituse seadus Ei käsitle eraldi isikuandmete töötlemist. 26

Erakooli seadus § 55 Tegevusluba antakse isikule, kui ta vastab järgmistele nõuetele: 5) erakool on täitnud isikuandmete kaitse seadusest tulenevad delikaatsete isikuandmete töötlemise nõuded; 27

Erakooli seadus § 55 Tegevusluba antakse isikule, kui ta vastab järgmistele nõuetele: 5) erakool on täitnud isikuandmete kaitse seadusest tulenevad delikaatsete isikuandmete töötlemise nõuded; 28

Huvikooli seadus Ei käsitle eraldi isikuandmete töötlemist. 29

Isikuandmete töötlemise põhimõtted Töötlemine peab olema seaduslik, õiglane ja andmesubjektile läbipaistev. 30

Seaduslikkus Töötlemine on seaduslik kui: - andmesubjekt on andnud nõusoleku - andmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele; 31

Seaduslikkus Töötlemine on seaduslik kui: - see on vajalik töötleja juriidilise kohustuse täitmiseks; - see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks; - see on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks; 32

Seaduslikkus Töötlemine on seaduslik kui: - see on vajalik töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja - vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps. Ei kohaldata, kui andmeid töötleb avaliku sektori asutus oma ülesannete täitmiseks. 33

Isikuandmete töötlemise põhimõtted Isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. 34

Isikuandmete töötlemise põhimõtted Isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt. 35

Isikuandmete töötlemise põhimõtted Isikuandmed peavad olema õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata. 36

Isikuandmete töötlemise põhimõtted Isikuandmeid võib säilitada kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. 37

Isikuandmete töötlemise põhimõtted Isikuandmeid võib töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. 38

Isikuandmete töötlemise põhimõtted Põhimõtete täitmise eest vastutab vastutav töötleja. Põhimõtete täitmist peab võimeline olema tõendama vastutav töötleja. 39

Nõusoleku tingimused Nõusoleku olemasolu peab tõendama töötleja. Kirjaliku nõusoleku taotlus peab arusaadavalt ja lihtsasti kättesaadaval kujul, selges ning lihtsas keeles olema selgelt eristatav muust dokumendist. 40

Nõusoleku tingimused Nõusoleku võib igal ajal tagasi võtta. Tagasivõtmine ei oma tagasiulatuvat jõudu. Nõusoleku tagasivõtmise õigusest tuleb teavitada enne nõusoleku andmist. 41

Nõusoleku tingimused Kui lepingu täitmise (sh teenuse osutamise) tingimuseks on nõusolek isikuandmete töötlemiseks, mis ei ole vajalik lepingu täitmiseks, siis ei pruugi nõusolek olla vabatahtlik. 42

Nõusolekut ei ole vaja - lepingu täitmine või lepingu täitmise tagamine; - töötleja kohustuste täitmine; - isiku eluliste huvide kaitsmiseks; - avalikes huvides või avaliku võimu teostamisel, - õigustatud huvi korral. 43

Mõisted Isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta. 44

Isikuandmed Direktiiv 95/46 Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal. Määrus 2016/679 Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal 45

Mõisted Isikuandmete töötlemine - isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum. 46

Mõisted Isikuandmete töötlemise piiramine – säilitatud isikuandmete märgistamine eesmärgiga piirata nende edaspidist töötlemist. 47

Mõisted Profiilianalüüs – igasugune isikuandmete automatiseeritud töötlemine, mis hõlmab isikuandmete kasutamist füüsilise isikuga seotud teatavate isiklike aspektide hindamiseks. 48

Mõisted Pseudonüümiseerimine – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga. 49

Mõisted Isikuandmetega seotud rikkumine – turvanõuete rikkumine, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu. 50

Mõisted Läbipaistvus – isikule esitatav teave tema andmete töötlemisest peab olema kokkuvõtlik, arusaadav, lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt. 51

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle isikuandmete saamise ajal teatavaks teha: - vastutava töötleja ja töötleja esindaja nimi ja kontaktandmed; - andmekaitseametniku kontaktandmed; - isikuandmete töötlemise eesmärk ja õiguslik alus; 52

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - kui isikuandmete töötlemine põhineb töötleja või kolmanda isiku õigustatud huvil, siis selle nende huvide kohta; - teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta; 53

Õigustatud huvi võib olla töötlemise aluseks, kui isiku huvid või põhiõigused- ja vabadused ei ole tähtsamad. Õigustatud huvi võib olla siis, kui isik on töötleja klient või töötab tema juures. 54

Õigustatud huvi on töötlemine pettuste vältimiseks või otseturunduse eesmärgil. Samuti edastamine kontserni piires sisehalduse eesmärkidel. 55

Õigustatud huvi on ka isikuandmete töötlemine tagamaks võrgu- ja andmeturve. Sh. edastamine teabeturbeintsidentidega (CERT) ja arvutiturbe juhtumite reageerimise (CSIRT) rühmadele. 56

Õigustatud huvi on ka isikuandmete edastamine seoses võimalike süütegudega ja avalikku julgeolekut ähvardavate ohtudega. Jälgida tuleb, et see oleks kooskõlas õigusliku, kutsealase või muu saladuse hoidmise kohustusega. 57

Õigustatud huvi on ka piiratud arvu isikuid puudutav ja ühekordne edastamine. 58

Õigustatud huvi Töötleja peab tõendama, et tema õigustatud huvid kaaluvad üles isiku huvid või põhiõigused ja vabadused. 59

Õigustatud huviga isikutele avatud registrite puhul võib isikuandmeid edastada ainult vastava isiku taotluse korral. 60

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - teave selle kohta, et vastutav töötleja kavatseb edastada isikuandmed kolmandale riigile või rahvusvahelisele organisatsioonile; - isikuandmete säilitamise ajavahemik või ajavahemiku määramise kriteeriumid; 61

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - teave õiguse kohta taotleda vastutavalt töötlejalt juurdepääsu andmesubjekti puudutavatele isikuandmetele ning nende parandamist või kustutamist või isikuandmete töötlemise piiramist või esitada vastuväide selliste isikuandmete töötlemisele, samuti teave isikuandmete ülekandmise õiguse kohta; 62

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - teave õiguse kohta nõusolek igal ajal tagasi võtta, ilma et see mõjutaks enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust; - teave õiguse kohta esitada kaebus järelevalveasutusele; 63

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - teave selle kohta, kas isikuandmete esitamine on õigusaktist või lepingust tulenev nõue või lepingu sõlmimiseks vajalik nõue; - teave selle kohta, kas andmesubjekt on kohustatud kõnealuseid isikuandmeid esitama, ning selliste andmete esitamata jätmise võimalike tagajärgede kohta; 64

Läbipaistvus Kui andmed on kogutud andmesubjektilt, siis tuleb talle teatavaks teha: - teave automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks. 65

Läbipaistvus Sama ka, kui andmeid kavatsetakse kasutada muul eesmärgil, kui neid koguti. Ei kohaldata, kui isikul on see teave juba olemas. 66

Läbipaistvus Eelnev kehtib ka kui andmed ei ole kogutud andmesubjektilt. Lisaks teave andmete allika kohta ja kas allikas on avalikult kättesaadav. 67

Läbipaistvus Teave esitatakse: - mõistliku aja jooksul peale andmete saamist, kuid hiljemalt ühe kuu jooksul; - hiljemalt isiku esmakordse teavitamise ajal; - hiljemalt esimese avaldamise ajal teisele vastuvõtjale. 68

Läbipaistvus Ei kohaldata: - isik juba teab; - teavitamine on võimatu; - kui saamine või avaldamine on ettenähtud seadusandlusega, milles on ettenähtud meetmed isiku õigustatud huvide kaitseks; - avaldamist ei luba seadusandlusega ettenähtud ametisaladuse hoidmise kohustus, sh põhikirjajärgne. 69

Privaatsuspoliitika või isikuandmete kaitse reeglid Poliitika on organisatsiooni sisse suunatud dokument, mis kirjeldab üldiselt kui tähtsaks töötleja peab neid, kelle andmeid ta töötleb. 70

Privaatsuspoliitika või isikuandmete kaitse reeglid Sinu isikuandmed loeme konfidentsiaalseks infoks ning ei avalda kolmandatele osapooltele v. a. seadusega ettenähtud juhtudel. Isikuandmeid kasutatakse vaid tellimuste täitmiseks. Lühike ja lihtne, kuid ei sobi läbipaistvuse nõude täitmiseks. 71

Privaatsuspoliitika või isikuandmete kaitse reeglid Reeglid kirjutavad ette, kuidas peab isikuandmeid töötlema (sisse suunatud) ja selgitavad, mida ning kuidas organisatsioon andmeid töötleb (välja suunatud) 72

Rikkumisest teavitamine Isikuandmete seotud rikkumisest tuleb teavitada viivitamata järelevalveastust. Va juhul, kui rikkumine ei kujuta tõenäoliselt ohtu füüsilise isiku õigustele ja vabadustele. 73

Rikkumisest teavitamine Teates tuleb: - kirjeldada rikkumise laadi ning nimetada asjaomaste andmesubjektide kategooriad ja ligikaudne arv ning isikuandmete kirjete liigid ja ligikaudne arv; - teatada andmekaitseametniku või mõne teise täiendavat teavet andva kontaktisiku nimi ja kontaktandmed; 74

Rikkumisest teavitamine Teates tuleb: - kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi; - kirjeldada võetud või võtmiseks kavandatud meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju leevendamiseks. 75

Rikkumisest teavitamine Isikut peab teavitama kui rikkumine kujutab endast tõenäoliselt suurt ohtu füüsiliste isikute õigustele ja vabadustele. Kõik rikkumised tuleb dokumenteerida, sh rikkumise asjaolud, selle mõju ja parandusmeetmed. 76

Rikkumisest teavitamine Isikut ei pea teavitama: - töötleja on kehtestanud kaitsemeetmed ja need olid kohaldatud; - kasutusele võetud meetmed tagavad, et suur oht isiku õigustele ja vabadustele ei ole enam tõenäoline; - kui teavitamine nõuaks ebaproportsionaalseid jõupingutusi. 77

„Uued asjad“ Õigus andmete kustutamisele („õigus olla unustatud“) Isikul on õigus nõuda, et töötleja kustutaks põhjendamatu viivituseta teda puudutavad isikuandmed ja töötleja on kohustatud kustutama isikuandmed põhjendamatu viivituseta, kui: 78

Andmete kustutamine - isikuandmeid ei ole enam vaja sellel eesmärgil, millega seoses need on kogutud või muul viisil töödeldud; - andmesubjekt võtab töötlemiseks antud nõusoleku tagasi ning puudub muu õiguslik alus isikuandmete töötlemiseks; 79

Andmete kustutamine - andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes ja töötlemiseks pole ülekaalukaid õiguspäraseid põhjuseid või andmesubjekt esitab vastuväite isikuandmete töötlemise suhtes; - isikuandmeid on töödeldud ebaseaduslikult; 80

Andmete kustutamine - isikuandmed tuleb kustutada selleks, et täita vastutava töötleja suhtes kohaldatava liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust; - isikuandmeid koguti seoses infoühiskonna teenuste pakkumisega. 81

Andmete kustutamine Kui vastutava töötleja peab andmed kustutama, siis tuleb jõudumööda teavitada teisi töötlejaid isiku taotlusest andmetele osutavate linkide, andmekoopiate või – korduste kustutamiseks. 82

Andmete kustutamine Andmeid ei kustutata kui andmete töötlemine on vajalik: - sõna- ja teabevabaduse õiguse teostamiseks; - selleks, et täita töötleja suhtes liidu või liikmesriigi õigusega ette nähtud juriidilist kohustust, mis näeb ette isikuandmete töötlemise, või täita avalikes huvides olevat ülesannet või teostada vastutava töötleja avalikku võimu; 83

Andmete kustutamine Andmeid ei kustutata kui andmete töötlemine on vajalik : - rahvatervise valdkonnas avaliku huviga seotud põhjustel; - avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil; - õigusnõuete koostamiseks, esitamiseks või kaitsmiseks. 84

Kustutamine ei ole absoluutne nõu Andmete säilitamise tähtaeg võib olla ka töötleja kehtestatud, tuginedes õigustatud huvile. Tuleb suuta põhjendada, miks just nii kauaks. 85

Töötlemise piiramine Isikul on õigus nõuda andmete töötlemise piiramist kui: - andmesubjekt vaidlustab isikuandmete õigsuse; - isikuandmete töötlemine on ebaseaduslik, kuid andmesubjekt ei taotle isikuandmete kustutamist, vaid kasutamise piiramist; 86

Töötlemise piiramine Isikul on õigus nõuda andmete töötlemise piiramist kui: - vastutav töötleja ei vaja isikuandmeid enam töötlemise eesmärkidel, kuid need on andmesubjektile vajalikud õigusnõuete koostamiseks, esitamiseks või kaitsmiseks, - andmesubjekt on esitanud isikuandmete töötlemise suhtes vastuväite. 87

Töötlemise piiramine Piiramise korral võib isikuandmeid töödelda ainult: - isiku nõusolekul; - õigusnõuete koostamiseks, esitamiseks või kaitsmiseks; - teiste isikute õiguste kaitsmiseks; - olulise avaliku huvi korral. 88

Töötlemise piiramine Töötleja ei või isikuandmeid edasi töödelda, välja arvatud juhul, kui vastutav töötleja tõendab, et töödeldakse mõjuval õiguspärasel põhjusel, mis kaalub üles andmesubjekti huvid, õigused ja vabadused, või õigusnõuete koostamise, esitamise või kaitsmise eesmärgil. 89

Isikuandmete töötlemisülevaade Vastutav töötleja peab registreerima kõik isikuandmetega tehtavad toimingud. Volitatud töötleja peab pidama töötlemise toimingute kategooriate registrit. Registreerima ja registrit pidama ei pea siis, kui ettevõttes või organisatsioonis on vähem kui 250 töötajat. 90

Isikuandmete töötlemisülevaade Välja arvatud: - töötlemine kujutab tõenäoliselt ohtu isiku õigustele ja vabadustele; - töödeldakse eriliiki isikuandmeid; - töödeldakse kohtuotsuste ja süütegudega seotud andmeid; - (töötlemine ei ole juhtumipõhine) kui ta ei töötle andmeid üksnes vahetevahel. 91

Eriliiki isikuandmed Andmed millest ilmnevad: - rassiline või etniline päritolu; poliitilised vaated; usulised või filosoofilised veendumused; ametühingusse kuulumine; 92

Eriliiki isikuandmed Andmed millest ilmnevad: - geneetilised andmed; biomeetrilised andmed; terviseandmed; andmed isiku seksuaalelu või seksuaalse sättumuse kohta. 93

Eriliiki isikuandmed Töötlemine on jätkuvalt keelatud, va. kui: - isik on andnud selgesõnalise nõusoleku nende töötlemiseks, va. kui seadus ei luba isikul keeldu tühistada; - töötlemine on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest ning sotsiaalkindlustuse ja sotsiaalkaitse valdkonna õigusest tulenevate kohustuste ja eriõigustega; 94

Eriliiki isikuandmed Töötlemine on jätkuvalt keelatud, va. kui: - töötlemine on vajalik selleks, et kaitsta andmesubjekti või teise füüsilise isiku elulisi huve, kui andmesubjekt on füüsiliselt või õiguslikult võimetu nõusolekut andma; - töödeldakse poliitilise, filosoofilise, religioosse või ametiühingulise suunitlusega sihtasutuse, ühenduse või muu mittetulundusühingu õiguspärase tegevuse raames; 95

Eriliiki isikuandmed Töötlemine on jätkuvalt keelatud, va. kui: - töödeldakse isikuandmeid, mille andmesubjekt on ilmselgelt avalikustanud; - töötlemine on vajalik õigusnõude koostamiseks, esitamiseks või kaitsmiseks või juhul, kui kohtud täidavad oma õigust mõistvat funktsiooni; - töötlemine on vajalik olulise avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel; 96

Eriliiki isikuandmed Töötlemine on jätkuvalt keelatud, va. kui: - töötlemine on vajalik ennetava meditsiini või töömeditsiiniga seotud põhjustel; - töötlemine on vajalik rahvatervise valdkonna avalikes huvides; - töötlemine on vajalik avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil. 97

Isikuandmete töötlemisülevaade Registreerimise kanne: - vastutava töötleja, esindaja ja andmekaitse spetsialisti nimi ja kontaktandmed; - töötlemise eesmärgid; - andmesubjektide kategooriate ja isikuandmete liikide kirjeldus. 98

Isikuandmete töötlemisülevaade Registreerimise kanne: - vastuvõtjate kategooriad, kellele isikuandmeid avalikustatakse, sh kolmandad riigid ja rahv. organisatsioonid; - edastamisel kolmandatesse riikidesse ja rahv. organisatsioonidele, nende andmed + AKÜM art. 49 lg 1 regulatsioon. 99

Isikuandmete töötlemisülevaade Registreerimise kanne: - võimaluse korral eri andmeliikide kustutamiseks ette nähtud tähtajad; - võimaluse korral art 32 lg 1 osutatud tehniliste ja korralduslike turvameetmete üldine kirjeldus. 100

Kui tuvastamine ei ole vajalik Kui töötlemise eesmärk ei nõua isiku tuvastamist, siis ei ole kohustust hankida, säilitada ega töödelda lisateavet isiku tuvastamiseks ainult määruse järgimiseks. 101

Lõimitud andmekaitse Töötlemisvahendite valimisel (sh uute loomisel) ja andmete töötlemisel tuleb rakendada meetmeid, mis on vajalikud põhimõtete ja kaitsemeetmete rakendamiseks. 102

Lõimitud andmekaitse 1. kohal isikuandmete kaitse. 2. kohal süsteemi kasutajamugavus. 103

Vaikimisi andmekaitse Vaikimisi võib töödelda ainult neid isikuandmeid, mis on vajalikud konkreetse eesmärgi saavutamiseks. Isikuandmed ei tohi ilma õigustatud isiku sekkumiseta olla kättesaadav määramata isikute ringile. 104

Mõjuhinnang Töötlemisel, eelkõige uute tehnoloogiate kasutamisel, kui tõenäoliselt või tekkida suur oht isikute õigustele ja vabadustele, peab enne töötlemist hindama kavandatavate toimingute mõju isikuandmete kaitsele. Peab küsima ka andmekaitsespetsialisti arvamust. 105

Mõjuhinnang on kohustuslik: - automaatsel töötlemisel põhineval süstemaatilisel ja ulatuslikul hindamisel, mille alusel tehakse otsuseid, mis omavad õiguslikke tagajärgi või mõjutava oluliselt isikut; - süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmete ulatuslikul töötlemisel; 106

Mõjuhinnang on kohustuslik: - kui toimub eriliiki isikuandmete töötlemine - toimub avalike alade ulatuslik süstemaatiline jälgimine. 107

Mõjuhinnang peab sisaldama vähemalt: - toimingute, eesmärkide ja õigustatud huvi kirjeldust; - töötlemise toimingute vajalikkuse ja proportsionaalsuse hindamist eesmärkide suhtes; - isiku õigusi ja vabadusi puudutavate ohtude hinnangut; 108

Mõjuhinnang peab sisaldama vähemalt: - ohtude käsitlemiseks kavandatavaid meetmeid, sh tagatised, turvameetmed ja mehhanismid isikuandmete kaitse tagamiseks ja määruse järgimise tõendamiseks. 109

Andmekaitsespetsialisti peab määrama: - isikuandmeid töötlev avaliku sektori asutus või organ; - töötleja kelle põhitegevuse moodustavad isikuandmete toimingud, mis hõlmavad isikute korrapärast ja süstemaatilist jälgimist; 110

Andmekaitsespetsialisti peab määrama: - töötleja kelle põhitegevuse moodustavad andmete eriliikide ulatuslik töötlemine; - süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud isikuandmete ulatuslik töötlemine. 111

Andmekaitsespetsialisti ülesanded: - teavitada ja nõustada seoses õigusaktidest tulenevate kohustustega; - jälgida isikuandmete kaitse põhimõtete järgimist, sh vastutus valdkondade jaotust, personali teadlikkuse suurendamist ja koolitamist ning isikuandmete töötlemisega seonduvat auditeerimist; 112

Andmekaitsespetsialisti ülesanded: - nõustada seoses mõjuhinnanguga ja jälgida selle toimist; - teha koostööd järelevalveasutusega; - olla kontaktisikuks järelevalveasutusega. 113

Andmekaitsespetsialist Võib täita muid ülesandeid ja kohustusi, kui need ei põhjusta huvide konflikti andmekaitsespetsialisti ülesannete ja kohustustega. 114

Andmekaitsespetsialist Ülesannetest tulenevalt ei saa andmekaitsespetsialist olla see, kes isikuandmete töötlemisega seotud asjad ära teeb. Ta kontrollib, et asjad oleks tehtud ja kooskõlas isikuandmete kaitse reeglitega. 115

Töötlemisega seotud nõuded infosüsteemile Peab olema võimalik seada piirangut ühe isiku andmete töötlemisele. Ideaalis ka seada piirangut kindlat liiki isikuandmete töötlemisele või kindlat liiki isikute andmete töötlemisele. 116

Töötlemisega seotud nõuded infosüsteemile Tagatud peab olema lõimitud andmekaitse: - isikuandmete kaitse reeglitele vastavus peab olema süsteemi sisseehitatud; - ohtude korrapärane hindamine ja vajadusel süsteemi täiendamine; - kaitse tagamine kogu andme elutsükli; - töötlemise läbipaistvus; - reeglite täitmise nõudmine ka koostööpartneritelt. 117

Töötlemisega seotud nõuded infosüsteemile Peab olema võimalik logide (toimingute) väljavõtmine ühe andmesubjekti kohta. Peab olema võimalik ühe isiku andmete andmekogust kustutamine. 118

Töötlemise eriolukorrad Isikuandmeid sisaldavat avalikku teavet võib avaldada avalikes huvides oleva ülesande täitmiseks kooskõlas Euroopa Liidu või siseriikliku õigusega.

Töötlemise eriolukorrad Direktiiv 2003/98/EÜ avaliku sektori valduses oleva teabe taaskasutamise kohta. Direktiivi ei tohiks kohaldada dokumentide suhtes, millele juurdepääs on välistatud või piiratud isikuandmete kaitse tõttu.

Avalik teave Mis tahes viisil ja mis tahes teabekandjale jäädvustatud ja dokumenteeritud teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites.

Teabenõudja Isik, kes esitab teabenõude teabevaldajale Av. TS-is sätestatud korras.

Selgitustaotlus on isiku pöördumine, milles isik: -taotleb adressaadilt teavet, mille andmiseks on vajalik adressaadi käsutuses oleva teabe analüüs, süntees või lisateabe kogumine

Selgitustaotlus on isiku pöördumine, milles isik: -taotleb valitsusasutuselt, valla- või linnavalitsuselt, osavalla ja linnaosa valitsuselt või valla- või linna ametiasutuselt tasuta selgitusi tema poolt välja töötatud õigusaktide või nende eelnõude, asutuse tegevuse aluseks olevate õigusaktide ja asutuse pädevuse kohta

Märgukiri on isiku pöördumine, millega isik: -teeb adressaadile ettepanekuid asutuse või organi töö korraldamiseks või valdkonna arengu kujundamiseks -annab adressaadile teavet

Teabenõue Teabenõudja poolt seaduses sätestatud korras teabevaldajale esitatud taotlus teabe saamiseks või taaskasutamiseks.

Avaliku teabe taaskasutamine Avaandmed: Füüsilise või juriidilise isiku poolt sellise avaliku teabe kasutamine, mille üldist kasutamist ei ole seadusega või seadusega kehtestatud korras piiratud, ärilisel või mitteärilisel eesmärgil, mis ei lange kokku algse eesmärgiga, mille jaoks see teave avalikke ülesandeid täites saadi või loodi. (Av. TS § 31)

Avaliku teabe taaskasutamine Avaandmed: Teabe üldiseks kasutamiseks andmisel peab olema tagatud isiku eraelu puutumatus, autoriõiguste kaitse, riigi julgeoleku kaitse, ärisaladuse ja muu juurdepääsupiiranguga teabe kaitse. (Av. TS § 31)

Avaliku teabe taaskasutamine Avaandmed: Kui avalikustatav teave sisaldab isikuandmeid, võib sellise teabe üldist kasutamist piirata, kui selle üldiseks kasutamiseks andmine kahjustab oluliselt isiku eraelu puutumatust. (Av. TS § 31)

Avaliku teabe taaskasutamine Avaandmed: Kui avalikustatava ja isikuandmeid sisaldava teabe üldiseks kasutamiseks andmine kahjustab isiku eraelu puutumatust, ei anta sellist teavet üldiseks kasutamiseks või antakse üldiseks kasutamiseks üksnes selline osa teabest, mille üldiseks kasutamiseks andmine ei kahjusta oluliselt isiku eraelu puutumatust, või antakse see üldiseks kasutamiseks viisil, mis ei kahjusta oluliselt isiku eraelu puutumatust. (Av. TS § 31)

Teabevaldaja Avaandmed: Kui avalikustatava ja isikuandmeid sisaldava teabe üldiseks kasutamiseks andmine kahjustab isiku eraelu puutumatust, ei anta sellist teavet üldiseks kasutamiseks või antakse üldiseks kasutamiseks üksnes selline osa teabest, mille üldiseks kasutamiseks andmine ei kahjusta oluliselt isiku eraelu puutumatust, või antakse see üldiseks kasutamiseks viisil, mis ei kahjusta oluliselt isiku eraelu puutumatust. (Av. TS § 31)

Teabe avalikustamine Avalikustama peab (Av. TS § 28 lg 1): p 311 isikuandmete töötlemise eesmärk, ulatus ja viis, kolmandatele isikutele, sealhulgas teisele asutusele, isikuandmete edastamise ja avalikkusele kättesaadavaks tegemise ning isiku poolt enda andmetega tutvumise õigus ja kord.

Juurdepääs isikuandmetele Isikuandmete kaitse seaduses oleva aluse olemasolul Av. TS-is sätestatud korras. Peab pidama arvestust kellele, mis eesmärgil, millal, millisel viisil ja millist AK-ks tunnistatud isikuandmeid väljastati. (Av. TS § 39)

Avalikustamisele kuuluv teave. Av. TS § 28 lg 1 - koosseisud, nimed, haridus, eriala, tel. nr, e-post - töötulemuste ja ülesannete täitmise aruanded - jur. isikute nõukogu ja juhatuse liikmed, e-post - jur. isikute tegevus- ja tulude-kulude aruanded

Avalikustamisele kuuluv teave. Av. TS § 28 lg 1 - järelevalve ettekirjutused või otsused alates jõustumisest - asutuse juhtide vastuvõtuajad - palgamäärad ja -juhendid, lisatasude ja erisoodustuste kord

Avalikustamisele kuuluv teave. ATS § 65 lg 1 ja 2 (1) Ametniku põhipalk jooksva kalendriaasta seisuga avalikustatakse avaliku teenistuse kesksel veebilehel hiljemalt 1. mail. (2) Ametniku põhipalk ja muutuvpalk ning tema teenistusülesannetest tulenev muu tulu kogusummana eelmise kalendriaasta kohta avalikustatakse avaliku teenistuse kesksel veebilehel hiljemalt 1. mail

Piiratud juurdepääsuga teave Asutusesiseseks kasutamiseks peab kuulutama: - teabe, mis sisaldab delikaatseid isikuandmeid - teabe, mis võib kahjustada eraelu puutumatust; - teabe, mis kirjeldab perekonnaelu üksikasju;

Piiratud juurdepääsuga teave Asutusesiseseks kasutamiseks peab kuulutama: - teabe sotsiaalabi või sotsiaalteenuste osutamise taotlemise kohta; - isiku vaimseid või füüsilisi kannatusi kirjeldava teabe kohta;

Teave mille peab avalikustama Asutusesiseseks kasutamiseks ei tohi kuulutada: - töö või tööedukuse aruandeid, andmeid ülesannete täitmise kvaliteedi ja juhtimisvigade kohta - ametniku või avalikke ülesandeid täitva eraõigusliku jur. või füüsilise isiku mainet kahjustavat teavet, v. a delikaatsed või eraelu puutumatust ohustavad andmed;

Teabenõude täitmisest keeldumine - teabel on juurdepääsu piirang ja teabenõudjal ei ole juurdepääsuõigust; - ei valda teavet ja ei tea kes valdab ning valdajat ei ole võimalik kindlaks teha; - nõude täpsustamisel ei selgu , millist teavet nõutakse; - ei ole tasutud riigilõiv või kulutused.

Teabenõude täitmisest võib keelduda. . . - samale teabenõudjale on taotletav teave juba antud ja ei põhjendatud vajadust saada teavet teist korda; - füüsiliselt isikult ja eraõiguslikult juriidiliselt isikult taotletav teave ei käsitle avalike ülesannete täitmist; - teabenõude täitmine nõuab taotletava teabe suure mahu tõttu teabevaldaja töökorralduse muutmist, takistab talle pandud avalike ülesannete täitmist või nõuab põhjendamatult suuri kulutusi;

Teabenõude täitmisest võib keelduda. . . - nõuet ei saa täita ühekordse teabe väljastamisega; - teavet on vaja eelnevalt süstematiseerida ja analüüsida (selgitustaotlus); - teabenõudja teovõime on piiratud; - puuduvad teabenõudja sideandmed.

Isikuandmete kaitse seaduse rakendamise seadus (eelnõu) ATS § 1061 Andmete säilitamine Teenistussuhte lõppemisel või üleviimisel isikuandmed arhiveeritakse. Staaži arvestus ja elektr. teenistuslehe pidamiseks vajalikud andmed – 75 a

Isikuandmete kaitse seaduse rakendamise seadus (eelnõu) Av. TS § 31 lg 81 Vabariigi Valitsusele või vastutavale ministrile antakse õigus kehtestada loetelu isikuandmetest, mis ei ole avaandmed.

Isikuandmete kaitse seaduse rakendamise seadus (eelnõu) Av. TS § 1061 Andmete säilitamine Arvelduskonto numbrit, aadressi, andmeid kõrvaltegevustega tegelemise ja piirangute ning konkurentsipiirangu, tervisekontrolli läbiviimise, läbiviidud arengu- ja hindamisvestluste ning atesteerimisvestluste, terviseseisundi, vajalike lubade kohta ning andmeid asutuses teenistuses olevate ja töötavate isikute abikaasade, alaealiste laste ja teiste ülalpeetavate kohta 1 aasta

Vastutus Vastutav töötleja vastutab tekitatud kahju eest, kui töötlemisel on rikutud määrust. Volitatud töötleja vastutab tekitatud kahju eest, kui on rikkunud konkreetselt temale suunatud määruse nõudeid või ta ei ole järginud vastutava töötleja antud juhiseid või tegutsenud nende vastaselt. 146

Vastutus Järelevalveasutus peab tagama, et trahvide määramine on tõhus, proportsionaalne ja heidutav. Selleks tuleb juhinduda otsustamisel artikli 83 11 -st punktist. 147

Mida teha? Kaardistage olukord: 1. Milliseid isikuandmeid töödeldakse? 2. Mille alusel neid töödeldakse? 3. Kui kaua neid säilitatakse? Kas olete suutelised andma AKÜM art. 13 p 1 ettenähtud teavet ja nõutud kujul? 148

Mida teha? Jälgige, et oleks võimalik andmete ülekandmine ja kustutamine. Jälgige, kas töötleja seaduslikud õigused andmete säilitamisele kaaluvad üles isiku õigused. 149

Mida teha? Jälgige, et andmekaitse reeglid on lihtsas ja selges keeles. Määruse teksti kopeeri/kleebi ülekandmine siin ei sobi. Jälgige, et andmete töötlemine on läbipaistev ja lihtsalt jälgitav. 150

Mida teha? Tehke kindlaks, milline on õiguslik alus isikuandmete töötlemiseks. Jälgige, et tagatud oleks vaikimisi andmekaitse. 151

Mida teha? Viige sisse süsteem, kus isikandemete töötlemine on seaduspärane. See on lihtsam, kui hiljem määrust enda tegudele vastavaks tõlgendada. 152

Mida teha? Viige sisse süsteem, kus on võimalik kiiresti reageerida rikkumistele. 153

Mida teha? Viige läbi mõjuhinnang isegi siis, kui määruse järgi see ei ole kohustuslik. Mõjuhinnanguga peab hindama ka isikuandmete töötlemise vastavust määrusele. 154

Tänan! U. urmas. kukk@kochpartners. ee