Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Karmen Joller Teie 06.01.2026 nr 1.2-2/2-1 Sotsiaalministeerium [email protected] Meie 23.01.2026 nr 2.3-4/26/64-2 Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks tervishoiuteenuste korraldamise seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus eelnõu. Meil on eelnõu osas järgmised tähelepanekud. 1. Eelnõuga muudetakse tervishoiuteenuste korraldamise seaduse (TTKS) §-e 591–593. Muudatuse kohaselt näeb TTKS § 591 lõige 5 ette, et tervise infosüsteemis säilitatakse andmeid nende infosüsteemi vastuvõtmisest alates tähtajatult, loetledes punktides 1–8 erisused, kus andmete säilitamisele on kehtestatud konkreetne tähtaeg. Seletuskirjas on selgitatud, et andmekogude ühendamisel säilib senine säilitustähtaegade loogika, kuid eelnõuga soovitakse siiski muuta retseptikeskuse (RETS) andmete säilitamise tähtaega – senise seitsme aasta asemel tähtajatuks. Seletuskirjas on tähtajatu säilitamise vajaduse osas märgitud, et retsept on ainus usaldusväärne infoallikas selle kohta, milline ravim on inimesele määratud ja milliseid ravimisoovitusi on talle antud. Samuti on selgitatud, et vanemate andmete olemasolu võimaldab hinnata pikaajaliste ravitrendide ja ravimikasutuse mõjusid rahvastiku tervisele ning kujundada tõenduspõhiseid tervisepoliitika otsuseid. Lisaks on seletuskirjas leitud, et retsepti andmetega koos on vajalik säilitada ka ravimi väljaostmise andmeid, kuna ravisoostumise ja ravijärgimuse seisukohast on oluline, et arst teab, kas patsient ravi järgib ja oskab sellele vastavalt ravimiskeemi muuta ehk retsept on üks ravidokument teiste kõrval ning vajab samaväärset käsitlust andmete säilitamisel. Eelnõule lisatud tervise infosüsteemi põhimääruse kavandi lisa 2 loetleb retseptkeskuse andmekoosseisu, mis ilmselgelt sisaldab ka selliseid andmeid, mille osas on nende alalise säilitamise vajadus küsitav, sh säilitatakse näiteks alaliselt ka retsepti alusel ravimi või meditsiiniseadme välja ostnud isiku isikukoodi. Märgime, et andmete alalise säilitamise vajadus tähendab tegelikult seda, et andmed peaksid olema vajalikud ka näiteks 100 aastat pärast inimese surma ja on küsitav, kas aastakümneid tagasi välja ostetud ravimi puhul omab tähtsust, kes tegelikult ravimi välja ostis või kes oli see retsepti välja kirjutanud tervishoiutöötaja või ravimi müüja. Seetõttu soovitame RETS-i puudutavate andmete säilitamise tähtaega vajadusest ja eesmärgist lähtuvalt uuesti analüüsida, sh unustamata, et tegelikult tähendab säilitamine alati ka ressursi kulu. 2. Kehtiva TTKS § 42 lõike 5 punkti 1 järgi säilitatakse kiirabikaardi andmeid viis aastat alates andmete kinnitamisest. Eelnõuga muudetakse ka kiirabikaardi säilitamise tähtaega sarnaselt retseptidele tähtajatuks. Seletuskirjas toodud selgituste kohaselt on kiirabikaart Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  ainus dokument, kus on detailselt kirjeldatud juhtumit ja kiirabi osutatud teenuse asjaolusid, sealjuures on tervishoiutöötajal vaja terviklikku ülevaadet kõigist inimesele osutatud tervishoiuteenustest, et pakkuda talle parimat ravi, sh on terviklik ülevaade vajalik patsiendi ohutuse tagamiseks ja ravivigade tuvastamiseks. Lisaks on seletuskirjas leitud, et praegune 5-aastane säilitustähtaeg ei võimalda hinnata kiirabi kasutamise pikaajalist dünaamikat ega planeerida tervishoiuteenuseid tõhusalt. Pikaajalised andmed on olulised, et analüüsida kiirabiteenuse koormuse ja kasutusmustrite muutumist ajas ning seeläbi kavandada ressursside jaotust – näiteks hinnata, kuhu oleks vaja rajada uusi kiirabibaase või lisada brigaade. Kiirabikaardi andmekoosseis, mis tervise infosüsteemi edastatakse, on loetletud sotsiaalministri 17.09.2008 määruse nr 53 lisas 15 ning selle järgi kuuluvad edastatavate andmete hulka lisaks patsiendi isikuandmetele ka teiste isikute isikuandmed (näiteks patsiendiga seotud kontaktisikute andmed, kiirabibrigaadi liikmete andmed, abivajajate andmed). Nagu eelnevalt selgitatud, siis ka antud andmete puhul on küsitav, kuivõrd on kõikide loetletud isikute isikuandmete alaline säilitamine seletuskirjas toodud eesmärkidel vajalik. 3. Lisaks tekitab seoses isikuandmete tähtajatu säilitamisega tervise infosüsteemis küsimusi muude TTKS §-s 591 loetletud isikut puudutavate andmete (nt kontaktandmed, arvelduskonto, töökoht, õppeasutus jms) tähtajatu säilitamine. Nagu varasemalt selgitatud, siis tähtajatu säilitamine tähendab nende andmete alatist säilitamist ning ilmselt ei oma ka nende andmete puhul näiteks 200 aasta pärast tähtsust see, millised olid isiku kontaktandmed või arvelduskonto number või kus isik õppis või töötas. Rõhutame, et tähtajatu isikuandmete säilitamine tähendab intensiivset riivet isiku privaatsusele ja saab olla pigem väga erandlik, nõudes väga põhjalikku põhjendamist. Leiame, et tervise infosüsteemi kogutud isikuandmete osas tuleks põhjalikult analüüsida nende alalist säilitamise vajadust lähtuvalt eesmärgist. 4. Samuti nähakse TTKS § 591 lõike 5 muudatusega ette ravikindlustuse andmete ja mitterahaliste ravikindlustushüvitiste eest tasumise ja rahaliste ravikindlustushüvitiste väljamaksmise aluseks olevate andmete säilitamist alates infosüsteemi vastuvõtmisest 75 aastat, kuid mitte kauem kui 30 aastat isiku surmast. Seletuskirjas on andmete säilitamise vajaduse osas märgitud, et sama säilitustähtaeg tuuakse üle ja sisulist muutust andmete säilitamises ei tehta. Samas jääb selgusetuks, millisel eesmärgil on vajalik tervise infosüsteemis säilitada eelnimetatud andmeid pärast isiku surma veel 30 aastat. Palume seletuskirja selles osas täiendada. 5. Eelnõu § 2 lõike 2 muudatustega määratakse tervise infosüsteemi kaasvastutavateks töötlejateks Sotsiaalministeerium ja Tervisekassa. Seletuskirjas on selgitatud, et senise tervisekassa andmekogu (KIRST) ja RETS-i vastutav töötleja oli Tervisekassa ning tervise infosüsteemi kaasvastutavad töötlejad olid Sotsiaalministeerium ja Tervisekassa. Sisulist muudatust vastutavates töötlejates ei tehta: ühendatud andmekogu kaasvastutavad töötlejad on Sotsiaalministeerium ja Tervisekassa. Eelnõule lisatud tervise infosüsteemi põhimääruse kavandi § 5 loetleb andmekogu vastutavad ja volitatud töötlejad ning § 6 vastutava ja volitatud töötleja ülesanded. Need kaks paragrahvi peaksid andma ülevaate sellest, milliseid kohustusi täidab andmekogu vastutav töötleja (haldaja) andmekogu pidamisel, millised on kaasvastutavate töötlejate kohustused seoses isikuandmete töötlemisega ning millised on andmekogu volitatud töötleja ülesanded. Andmekogudega seonduvat reguleerib avaliku teabe seadus (AvTS). AvTS § 43⁴ lõike 1 järgi on andmekogul vastutav töötleja (haldaja), kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Sama paragrahvi lõige 2 annab andmekogu vastutavale töötlejale õiguse volitada edasi andmete töötlemist ja andmekogu majutamist teisele riigi- 2 (6)  või kohaliku omavalitsuse asutusele, avalik-õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses. Seega AvTS-ist tulenevalt peab igal andmekogul olema vastutav töötleja ehk haldaja, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Iseenesest ei ole välistatud, et andmekogul võib olla mitu vastutavat töötlejat, kes täidavad andmekogu pidamisel erinevaid ülesandeid, kuid seda eeldusel, et iga vastutav töötleja ka tegelikult vastutava töötleja funktsioone täidab. Seega, et andmekogu pidamisel oleks tööjaotus ja vastutus andmekogu töötlejate vahel selge, tuleks põhimääruses ülesandeid kirjeldadagi vastavalt tegelikule tööjaotusele ehk põhimäärusest peab nähtuma mitme vastutava töötleja puhul nii nende omavaheline tööjaotus kui ka tööjaotus andmekogu vastutava ja volitatud töötleja vahel. Siinjuures tuleb aga lahus hoida AvTS-st tuleneva andmekogu vastutava töötleja roll ja andmekogus olevate isikuandmete töötlemisel isikuandmete kaitse üldmäärusest (IKÜM) tulenev vastutava töötleja roll. Kuna AvTS ei tunne andmekogu pidamisel sellist mõistet nagu kaasvastutav töötleja, siis jääbki selgusetuks, millist rolli kaasvastava töötleja puhul antud juhul silmas on peetud. Andmekaitse Inspektsioon on varasemalt andmekogudega seoses juhtinud tähelepanu sellel, et andmekogude puhul tuleb eristada isikuandmete töötlemise vastutavat töötlejat ja andmekogu vastutavat töötlejat, sh rollidega seotud kohustusi. Kui andmekogu vastutava töötleja ülesanded on seotud andmekogu pidamisega, siis IKÜM näeb isikuandmete vastavale töötlejale ette mitmeid kohustusi just seoses isikuandmete töötlemisega. IKÜM artikli 26 lõige 1 näeb ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt (või on seda nende eest teinud ametlikult juba seadusandja) kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on nad kaasvastutavad töötlejad. Kaasvastutavad töötlejad peavad läbipaistval viisil omavahelise kokkuleppega määrama kindlaks vastutusvaldkonnad ehk selle, kes milliseid ülesandeid peab täitma veendumaks, et andmete töötlemine vastab IKÜM-ist tulenevatele kohustustele. Siinjuures ei peaks kohustuste määramisel piirduma ainult artikli 26 lõikes 1 tooduga, vaid see laieneb ka teistele vastutava töötleja kohustustele IKÜM-i alusel. Kaasvastutavad töötlejad peavad tagama, et kogu ühine töötlemine vastab täielikult IKÜM-ile. Kaasvastutavate töötlejate vastutuse määramisel isikuandmete töötlemisel tuleb eelkõige arvesse võtta andmesubjektide õiguste kasutamist ja teabe andmise kohustusi, kuid lisaks peaks vastutuse jaotus hõlmama ka muid vastutava töötleja kohustusi, näiteks seoses üldiste andmekaitsepõhimõtete, õigusliku aluse, turvameetmete, andmetega seotud rikkumisest teatamise kohustuse, andmekaitse mõjuhinnangute, volitatud töötlejate kasutamise, kolmandate riikide andmete edastamise ning andmesubjektide ja järelevalveasutusega suhtlemisega. Kuigi IKÜM kaasvastutavate töötlejate vahelise kokkuleppe õiguslikku vormi ei täpsusta, soovitab Euroopa Andmekaitsenõukogu õiguskindluse huvides ning läbipaistvuse ja vastutuse tagamiseks sellise kokkuleppe sõlmida siduva dokumendina, näiteks lepingu või muu liidu või liikmesriigi õiguse kohase õiguslikult siduva aktina, millele vastutavad töötlejad on allutatud. Andmekogude puhul saaks selleks olla andmekogu põhimäärus. Justiits- ja Digiministeerium on oma juhises1 (JDM juhis) samuti märkinud, et seaduse tasandil tuleb kindlaks määrata isikuandmete vastutav töötleja (vastutav töötleja IKÜMi mõttes). Isikuandmete vastutav töötleja on see asutus, kelle seadusest tuleneva ülesande täitmiseks isikuandmeid töödeldakse. Kui andmeid töödeldakse andmekogus, st andmekogu kaudu täidetakse seaduses sätestatud ülesannet, siis vastutab andmekogu haldaja (vastutav töötleja AvTSi mõttes) ka selles andmekogus toimuva isikuandmete 1 Juhis isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta eelnõudes 3 (6)  töötluse eest. Kui andmekogu kaudu täidavad oma ülesannet mitu asutust, siis on nad koos andmekogu haldajaga kaasvastutavad töötlejad. Sellisel juhul tuleb seaduse tasandil määrata kindlaks andmekogu kaasvastutavad töötlejad ning andmekogu põhimääruses sätestada, kellel millised kohustused on. Antud juhul jääb selgusetuks, milline on Sotsiaalministeeriumi ja Tervisekassa vaheline tegelik tööjaotus nii andmekogu pidamisel kui ka IKÜM-st tulenevate kohustuste täitmisel, mistõttu ei ole selge ka see, kes mille eest tegelikult pärast andmekogude ühendamist vastutab ning milliseid ülesandeid on kohustatud täitma. Leiame, et see osa tuleb kindlasti uuesti üle vaadata ning põhimäärust ja seletuskirja vastavalt täiendada. 6. AvTS § 435 lõike 1 järgi tuleb andmekogu põhimääruses sätestada muu hulgas ka andmekogusse kogutavate andmete koosseis. Andmekaitse Inspektsioon on andmekogude juhendis2 (lk 15) andmete koosseisu osas selgitanud, et andmekogusse kogutavate andmete täielik loetelu ei pea olema seaduses, kuid põhimäärus peab sisaldama ammendavat loetelu antud andmekogusse kogutavatest andmetest. Sealjuures peab loetelust ka selguma, kelle kohta (s.t andmesubjektide kategooriad) neid andmeid kogutakse. Kui andmekoosseis on väga mahukas, võib loetelu esitada põhimääruse lisana. Samuti on JDM juhises märgitud, et andmekogu põhimääruses tuleb muu hulgas sätestada andmekogusse kantavate andmete täpne/ammendav loetelu (vajaduse korral saab esitada lisana) – nt isiku üldandmed või „isiku kohta käivad andmed“ ei ole piisavalt ammendavad, kuna pole võimalik aru saada, mis on täpne andmekoosseis. Tervise infosüsteem koosneb mitmetest andmestikest, kuid puudub täpne loetelu sellest, millistest andmetest iga andmestik omakorda koosneb. Näiteks koosneb infosüsteemi keskandmekogu omakorda sellistest alamandmestikest nagu patsiendi esitatud andmestik, tervishoiuteenuse osutajate ja teiste isikute esitatud terviseandmestik, üleriigilise digiregistratuuri andmestik ja vastavustõendi andmestik. Samas ei nähtu põhimäärusest, milliseid andmeid need alamandmestikud tegelikult sisaldavad. Põhimääruse § 7 viitab TTKS § 592 lõigete 2 ja 3 alusel antud määrustele, kus on loetletud tervishoiuteenuse osutaja poolt tervise infosüsteemi edastatavate andmete koosseis ning samuti on sättes loetletud andmed, mida säilitatakse tervise infosüsteemis seoses ravijärjekorra pidamisega, kuid puudub täpne loetelu nendest andmetest, mida esitavad muud andmeandjad ja mida säilitatakse tervise infosüsteemis. Näiteks loetleb põhimääruse kavandi § 9 lõige 2 andmed, mida esitab Töötukaasa. Loetelu järgi edastab Töötukassa muu hulgas töövõime hindamise taotluse andmed, kuid selgusetuks jääb, milliseid konkreetseid andmeid. Sarnaselt on esitatud § 9 lõigetes 6–24 loetelu andmeandjatest, kuid puudub selgus, milliseid andmeid edastatakse ja millised edastatud andmetest on tervise infosüsteemi andmeteks. Sealjuures nähtub põhimääruse § 3 lõike 1 puntist 7, et tervise infosüsteemil on keskandmekogu andmeladu, mis koosneb keskandmekogu ja andmeandjate edastatavatest pseudonüümitud isikuandmetest. Kui andmekogu põhimäärus ei anna täpset loetelu keskandmekogu andmetest, siis ei ole selge ka see, millistest andmetest koosneb tegelikuilt andmekogu juurde kuuluv keskandmekogu andmeladu. Siinjuures jääb selgusetuks, mida tähendab andmeandjate edastatavad pseudonüümitud isikuandmed ehk milliseid andmeid andmeandjad täiendavalt andmelattu veel edastavad. Palume selles osas kindlasti seletuskirja täiendada. Seega tuleb kokkuvõtvalt märkida, et esitatud eelnõule lisatud põhimääruse kavand tervise infosüsteemi kogutavate andmete täpset ammendavat loetelu ei sisalda, mistõttu jääb selgusetuks, milliseid andmeid tegelikult andmekogusse kogutakse. Samas näeb TTKS § 591 lõike 3 punkt 2 ette kohustuse sätestada andmekogu põhimääruses infosüsteemi kogutavate andmete täpne koosseis ja edastamise kord. Selles osas vajab põhimäärus kindlasti täiendamist. 2 Andmekogude juhend 4 (6)  7. Muudatuste kohaselt annab TTKS § 593 lõige 7 isikule õiguse ise või tervishoiuteenuse osutaja kaudu keelata juurdepääs tervis infosüsteemis isikut puudutavatele meditsiinilistele andmetele, s.o raviprotsessi ja terviseseisundit kirjeldavatele andmetele, kutsetele ning dokumendi koostaja andmetele, kui tervise infosüsteemi põhimääruses ei ole sätestatud teisiti. Kehtiv TTKS § 593 lõige 3 ei näe selles küsimuses ette otsustusõiguse üle andmist ministrile ja seletuskirjas puuduvad selgitused, miks peaks ministril olema piiramatu pädevus otsustada isikuandmetele juurdepääsu piiramise üle. Palume seletuskirja selles osas täiendada. 8. IKÜM artikli 6 lõikest 3 tulenevad nõuded, mille kohaselt peab isikuandmete töötlemine vastama avaliku huvi eesmärgile ja olema proportsionaalne taotletava õiguspärase eesmärgiga, kujutavad endast põhiõiguste harta artikli 52 lõikest 1 tulenevate nõuete väljendust ning nende tõlgendamisel tuleb viimati nimetatud sätet arvesse võtta. Seega ei ole andmekaitsealase mõjuhinnangu eesmärk puhtalt formaalne, vaid see peab vastama küsimusele, kas kõnealuste riigisiseste õigusnormidega on kehtestatud õiglane tasakaal liikmesriigi ja kahjustatud isikute huvide vahel. Täpsemat ülevaadet selle kohta, kuidas tuleb hinnata proportsionaalsust harta vaates, saab kohtujuristi ettepanekus3. Seletuskirja punktis 6.1 toodud andmekaitsealane mõjuhinnang keskendub viljastusravi ja sugurakudoonorlusega seotud andmetöötlusele, jättes piisava tähelepanuta riske, mis tekivad kolme suure andmekogu ühendamise tagajärjel. Mõjuhinnangus on märgitud, et muudatuse tulemusena suureneb eeldatavasti TIS-i, KIRST-u ja RETS-i andmete automaatse koostöötlemise võimekus. Selle võrra riive põhiõigustele küll suureneb /…/, kuid seletuskirjas puudub täpsem riski kirjeldus, s.t milles risk seisneb ja kuidas on seda tasakaalustatud. Andmete dubleeriva töötlemise lõpetamine ei saa maandada kõike andmekogude liitmisega seotud riske. Seega mõjuhinnangu järeldus, et kokkuvõttes riive põhiõigustele oluliselt ei suurene, on pealiskaudne. Samuti on mõjuhinnangus selgitatud, et loodava tervisekassa andmelao puhul tehakse enne andmelao kasutuselevõttu eraldi andmekaitselane mõjuhinnang ja IT riskianalüüs. Samas, kui on juba teada, et andmeladu võetakse kasutusse ja selle kasutamine on eelnõuga ette nähtud, siis jääb selgusetuks, miks on mõjuhinnangu tegemine edasi lükatud. Nagu eelnevalt selgitatud, siis andmekaitsealase mõjuhinnangu eesmärk ei ole puhtalt formaalne, vaid selle tagajärjel peab reaalselt selguma, millised riskid on isikute õigustele ning kas neid on võimalik maandada. Hetkel näeb eelnõu ette andmelao loomist, kuid andmekaitsealased ja IT riskid on hindamata. 9. Kehtiva TTKS § 508 lõige 3 loetleb andmekogud, mille andmeid piiriülene andmevahetusplatvorm töötleb. Üheks selliseks andmekoguks on ka retseptikeskus (lõige 3 punkt 5), mis plaanitavate muudatustega likvideeritakse. See aga tähendab, et sellist andmevahetust pärast muudatuste jõustumist toimuda ei saa ja vastav säte tuleks tunnistada kehtetuks. 10. Põhimääruse kavandi § 13 lõige 3 kordab § 14 lõiget 3. Samuti puudub põhimääruse kavandis § 8. 11. 12.10.2024 arvamust andes4 juhtis Andmekaitse Inspektsioon Sotsiaalministeeriumi tähelepanu TTKS § 32 lõike 4 teisele lausele, mille kohaselt on dokumenteeritud patsiendiohutusjuhtumitele ja nende analüüsimisega seotud dokumentatsioonile lubatud juurdepääs üksnes tervishoiuteenuse osutajale ning uurimist teostavale organile kriminaalmenetluses tõe väljaselgitamise huvides. Nagu ka varasemalt selgitasime, siis kasutusel olev sõnastus põhjustab praktikas 3 Kohtujuristi ettepanek, 18/12/2025, ECLI:EU:C:2025:998 (vt alates punktist 46) 4 Arvamuse avaldamine eelnõule 12.10.2024 nr 2.3-5/24/2503-2 5 (6)  tõlgendusprobleeme ja tervishoiuteenuse osutajad on asunud eelnimetatud sätet tõlgendama selliselt, et ka patsiendil andmesubjektina puudub igasugune juurdepääs teda puudutavatele andmetele, mis on patsiendiohutusjuhtumi raames kogutud. Selgitame veel kord, et andmesubjekti õigust oma andmetega tutvuda reguleerib IKÜM artikkel 15, mille 1. lõike üheks osaks on inimese õigus tutvuda teda puudutavate isikuandmetega. Õigus tutvuda oma andmetega hõlmab ka õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldavad sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. Euroopa Kohus on leidnud, et arsti ja patsiendi suhte raames tähendab õigus saada töödeldavate isikuandmete koopia seda, et andmesubjektile antakse kõigi nende andmete täpne ja arusaadav taasesitus. See õigus eeldab õigust saada täielik koopia tema tervisetoimikus olevatest dokumentidest, mis sisaldavad muu hulgas neid andmeid, kui sellise koopia esitamine on vajalik selleks, et asjaomane isik saaks kontrollida andmete õigsust ja täielikkust ning tagada nende arusaadavus. Mis puudutab andmesubjekti tervisega seotud isikuandmeid, siis hõlmab see õigus igal juhul õigust saada koopia oma tervisekaardile kantud andmetest, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemused, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised.5 Euroopa Andmekaitsenõukogu on 28.03.2023 vastu võetud suunistes6 selgitanud (lk 60), et IKÜM artiklis 15 sätestatud kohustuste ja õiguste ulatust võib piirata liidu või liikmesriikide õigusaktidega, kuid on oluline märkida, et liikmesriikide (või liidu) õiguses sätestatud andmetega tutvumise õiguse piirangud, mis põhinevad IKÜM artiklil 23, peavad rangelt vastama kõnealuses sättes sätestatud tingimustele. Seega saab andmesubjekti õigusi piirata üksnes juhul, kui liikmesriigi õiguses on sätestatud andmetega tutvumise õiguse piirangud, mis vastavad IKÜM artiklis 23 sätestatud tingimustele. Kuniks TTKS-is vastav säte puudub, jääb isikule õigus tutvuda ka patsiendiohutusjuhtumit puudutavate andmetega. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4108 Terje Enula [email protected] 627 4108 5 C-307/22 6 Suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega 6 (6)