Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (RIT) andmekaitsetingimuste kinnitamine

KÄSKKIRI 13.05.2022 nr 8 Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (RIT) andmekaitsetingimuste kinnitamine Ettevõtlus- ja infotehnoloogiaministri 12.11.2021 käskkirjaga nr 225 kinnitatud „Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse põhimäärus“ § 13 lg 1 p 7 aluse ja lähtudes Euroopa Parlamendi ja Nõukoja määruse (EL) 2016/679 artikkel 12 punktist 1 1. Kinnitan Riigi Info-ja Kommunikatsioonitehnoloogia Keskuse andmekaitsetingimused (lisa 1). 2. Käskkiri jõustub allkirjastamisel. (allkirjastatud digitaalselt) Ergo Tars direktor  KINNITATUD direktori 13.05.2022 käskkirjaga nr 8 Lisa 1 Riigi Info- ja Kommunikatsioonitehnoloogia Keskuse (RIT) andmekaitsetingimused Teave on koostatud ELi isikuandmete kaitse üldmääruse 2016/679 artiklis 12 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“ sätestatud nõuete täitmiseks. Samuti ka füüsiliste isikute teavitamiseks nii andmete töötlemise põhimõtetest kui ka õiguste tagamisest. Eelnimetatud kord sätestab meile, kui andmete vastutavale töötlejale, isikuandmete töötlemise nõuded. Vastutava töötleja rolli kõrval võime olla ka volitatud töötleja rollis (nt kliendi kontaktisikute või teenistujate andmete töötlemisel). Volitatud töötlejana töötleme isikuandmeid ainult vastutava töötleja nimel, lepingu või muu õigusakti alusel. Meie andmekaitsetingimusi puudutavad küsimused on oodatud e-posti aadressile: [email protected] 1. Milliseid isikuandmeid ja millal töötleme? Isikuandmed on igasugune teave tuvastatud või tuvastatava füüsilise isiku (andmesubjekti) kohta. Eelkõige on füüsiline isik tuvastatav identifitseerimistunnuse (nimi, isikukood, elukoht, asukoht, e-posti aadress, telefoninumber, võrguidentifikaator) või ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Eri liiki isikuandmed on isikuandmed, mis sisaldavad rassilist või etnilist päritolu, poliitilisi vaateid, usulisi või filosoofilisi veendumusi või ametiühingusse kuulumist, geneetilisi andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavaid biomeetrilisi andmeid, terviseandmeid või andmeid füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. Töötleme Teie isikuandmeid alljärgnevatel juhtudel: 1.1 esitate meile teabenõude, selgitustaotluse või märgukirja; 1.2 olete osaline riigihangetes ja sõlmitud lepingute täitmisel; 1.3 kandideerite meile tööle (või olete meil töötanud); 1.4 külastate meie kontorit; 1.5 külastate meie sotsiaalvõrgustiku lehekülge Facebookis või LinkedInis; 1.6 külastate meie veebilehte. 1.1. Teabenõude, selgitustaotluse, märgukirja või muu taotluse esitamine Teie märgukirjas, teabenõudes, selgitustaotluses või ka muus taotluses (näiteks teie isikuandmetega seotud õiguste kasutamisel) sisalduvaid isikuandmeid kasutame Teie pöördumise läbi vaatamiseks ja Teile vastamiseks. Kui peame Teile vastamiseks kelleltki teiselt järelepärimisi tegema, avaldame Teie isikuandmeid üksnes minimaalselt, hädavajalikus mahus. Kui peame Teile vastamiseks väljastama Teie või kolmanda isiku juurdepääsupiiranguga isikuandmed, peame olema veendunud teie isikusamasuses. Seetõttu peate oma pöördumise omakäeliselt või digitaalselt allkirjastama. Teie pöördumise andmestik on avaliku teabe seaduse kohaselt nähtav meie dokumendiregistris. Registreeritud juurdepääsupiiranguga dokumentide puhul on avalikust dokumentregistrist nähtavad vaid saatja või saaja initsiaalid, mitte nimi ega dokumendi sisu. Kui olete saatnud meile pöördumise, millele vastamine on teise asutuse pädevuses, edastame selle asjaomasele asutusele. Pöördumise edastamisest teavitame ka Teid. Eraisikutega peetav kirjavahetus on juurdepääsupiiranguga. Kui keegi tahab Teie kirjavahetusega tutvuda ja esitab teabenõude, siis teabenõude saamisel vaatame üle, kas küsitud dokumenti saab täielikult välja anda või tuleb see välja anda osaliselt. Juurdepääsu piiramine sõltub dokumendi sisust. Võimalikud juurdepääsupiirangute alused on toodud avaliku teabe seaduse §-s 35. Sõltumata juurdepääsupiirangust väljastame dokumendi asutusele või isikule, kellel on otsene seadusest tulenev õigus seda küsida (nt uurimisasutus, kohtuväline menetleja või kohus). Eraisikutega peetud kirjavahetust (teabenõuded/märgukirjad jne) säilitame dokumendihaldussüsteemis viis aastat. Selle tähtaja ületanud dokumendid kuuluvad hävitamisele. 1.2. Riigihangetes osalemine ja sõlmitud lepingute täitmine (sh eraisikutega sõlmitud lepingud, kliendilepingud jne) Võime Teie isikuandmeid töödelda riigihangetes ja sõlmitud lepingute täitmisel, kui olete riigihanke pakkumuses või sõlmitud lepingus kontaktisikuna, spetsialistina vmt rollis nimetatud. Sellisel juhul töötleme Teie isikuandmeid ulatuses, mis on riigihankes osaleva pakkuja või lepingu täitmisel lepingu partneri poolt esitatud, nimetatud eesmärkide täitmiseks. Samad tingimused laienevad ka juhul, kui lepingu täitmisel kasutatakse alltöövõttu. Teenuste osutamiseks, kliendisuhete haldamiseks ja oma olemasolevatele või potentsiaalsetele klientidele antud lubaduste täitmiseks vajame Teie kontaktandmeid alljärgnevateks tegevusteks: 1. klientidega lepingute ettevalmistamine ja täitmine ning klientidele soovitud pakkumiste ja teabe edastamine; 2. meie teenuste kasutajatele toe pakkumine; 3. klientide tagasiside kaudu meie teenuste pidev parandamine; 4. arvete esitamine, maksete ja muude rahaliste toimingute tegemine. Lepinguid säilitame 10 aastat lepingu lõppemisest. Selle tähtaja ületanud lepingud kuuluvad hävitamisele ja teave kustutatakse. 1.3. Meile tööle või praktikale kandideerimine Vabade töö- ja praktikakohtade info on kättesaadav meie veebilehel. Meile tööle või praktikale kandideerides kasutame Teie poolt esitatud andmeid üksnes järgnevatel eesmärkidel:  tööle kandideerimise avalduse hindamiseks;  kvalifikatsiooni hindamiseks ja töölevõtmisega seotud otsuste tegemiseks;  suhtlemiseks, nt teabe andmiseks töövestluse võimalike kuupäevade kohta;  baasteabematerjali koostamiseks, mida kasutatakse juhul, kui Teid tööle võetakse. Kandidaadi isikuandmeid töötlevad värbamisprotsessis osalevad töötajad. Teistel töötajatel juurdepääs Teie, kui tööle kandideerija, isikuandmetele puudub. Kandidaatide isikuandmed kogunevad kandideerimiskuulutuses nõutavate dokumentide esitamisel, sealjuures:  lähtutakse kandidaadi enda avaldatud teabest ning avalikest allikatest (sh meedia k.a artiklid, salvestused, suhtlusvõrgustikud, blogid jne; avalikud registriandmed k.a karistusregister, äriregister, kohtulahendid jne);  on kandidaadil õigus teada, milliseid andmeid on RIT tema kohta kogunud;  on kandidaadil õigus RITi kogutud andmetega tutvuda ja anda selgitusi ning esitada vastuväiteid;  eeldame, et kandideerimisdokumentides esitatud soovitajatele on kandideerija andnud nõusoleku enda kohta käivatele küsimustele vastamiseks, samuti on soovitajad nõustunud sellega, et võime nende poole teabe saamiseks pöörduda;  ei avaldata Teie andmeid teistele kandidaatidele, samuti ei avaldata Teile teiste kandidaatide andmeid. Kandidaatide andmed on juurdepääsupiiranguga teave, millele kolmandad isikud (sh pädevad asutused) saavad juurdepääsu ainult seaduses sätestatud juhtudel. Säilitame kandideerijate isikuandmeid värbamisprotsessis tekkivate võimalike õigusvaidluste lahendamiseks - kuni sellise nõude aegumiseni (1 aasta). Kirjavahetust töösuhete, personali jmt küsimustes, säilitame 5 aastat. Praktika-, käsundus- ja töölepinguid säilitame 10 aastat alates lepingu lõpetamisest. Tähtaja ületanud dokumendid kuuluvad hävitamisele. 1.4. Meie kontoriruumide külastamine Meie kontorisse, Lõõtsa 8a, Tallinnas, kohtumisele tulles võtab hoonesse sisenevaid külalisi vastu Teid kutsunud töötaja. Meie töötajal on õigus paluda Teilt isikut tõendavat dokumenti, et kontrollida isikusamasust. Teile antakse vajadusel külalisekaart, millega pääsete koosolekuruumi. Majas saate liikuda koos saatjaga, kelle juurde olete tulnud. Meie kontoris ja selle ümbruses on ööpäevaringne videovalve. Teie liikumine hoones ja territooriumil (parklad, hoonega piirnevad alad) salvestatakse turvakaalutlustel. Videosalvestisi ja uksekaardi logisid haldab Maksu-ja Tolliamet. Videosalvestisi säilitatakse 2 kuud ja uksekaardilogisid 1 aasta. 1.5. Meie sotsiaalmeedia kontode kasutamine Meie Facebooki lehe kasutamisel on järgmised seadistused:  leht (k.a jälgijad, kommentaarid jm reaktsioonid) on kõigile nähtav(ad);  lehel saab postituse avaldada administraator;  kõik Facebooki kasutajad saavad lehte jälgida, avaldada postituste all kommentaare, jagada lehel loodud sisu – tegevuse kohta saame teate;  meie töökeeleks on eesti keel;  rakendame postitaja sõnumi sisu automaatse filtreerimise seadistust, see tähendab, et Facebook tõkestab automaatselt üldiselt teada solvavaid väljendeid sisaldavate postituste avaldamise (seadistus Profanity Filter – keskmine);  Facebooki kasutajad saavad meiega platvormil privaatselt ühendust võtta;  kõigil on võimalik viidata meie lehele ja selle avalikule sisule (k.a #tagimine).  Facebooki kogutud kasutuse statistika andmed saame anonüümsel kujul. Facebook koostab selle statistika teie isikuandmeid kogudes. Detailsemalt saab sellest lugeda Facebooki andmepoliitikat ja küpsiseid puudutavatest eeskirjadest. Meie LinkedIni lehe kasutamisel on järgmised seadistused:  leht on nähtav LinkedIni konto omanikele;   kõik LinkedIn kasutajad saavad lehte jälgida, avaldada postituste all kommentaare, jagada lehel loodud sisu – tegevuse kohta saame teate;  meie töökeeleks on eesti keel;  külastades kogub Teie kohta andmed meie jaoks kolmas osapool ning nende üle puudub meil kontroll puudub;  külastatavuse statistika saame isikustamata kujul. Sotsiaalmeedia kanalites lähtume Eesti Ajalehtede Liidu online kommentaaride hea tava leppest, mille järgi on RITil oma hallatavatel lehtedel õigus blokeerida kasutajad või kustutada kommentaarid, mis heale tavale ei vasta. 1.6. Meie veebilehe külastamine Oleme võrgukodu vastutav töötleja. Meie veebilehte haldab volitatud töötleja, Riigikantselei. Andmekaitsega seotud küsimused on oodatud e-posti aadressile: [email protected]. Kogume oma avalike veebikeskkondade puhul automaatselt külastajate kohta infot, mis salvestatakse logifailides. See info võib sisaldada kasutaja IP-aadressi, asukohta, külastamise aega, kasutatava veebilehitseja tüüpi, infot operatsioonisüsteemi kohta, lehekülgede külastamise ajalugu ja tehnilisi andmeid, näiteks andmed kasutatavate pluginate kohta (Java jt). Üldjuhul töötleme veebilehtede külastajate andmeid isikustamata kujul. Kasutame veebilehekülgede kaudu kogutavat teavet oma veebilehekülgede arendamiseks. Samuti võib olla vajalik kasutada pöörduja IP-aadressi Riigikantselei serveris probleemide väljaselgitamiseks, veebilehe haldamiseks, trendide analüüsimiseks ja lehe külastajate tegevusest ülevaate saamiseks. Meie veebikeskkonnas on kasutusel ka nn küpsised (inglise keeles cookies). Kasutame oma veebilehel ettevõtte Google Inc. pakutavat veebianalüüsi teenust Google Analytics, mis aitab koguda infot selle kohta, kuidas veebilehte kasutatakse. Vajame seda infot selleks, et parandada veebilehekülje kasutajasõbralikkust, näiteks rohkem otsitud teabe esiletõstmiseks. Google Analyticsi küpsised koguvad muu hulgas järgmisi andmeid:  IP-aadress;  veebilehe külastajate arv;  pöördumise lähtekoht (riik);  leheküljed, mida pöördujad vaatavad;  aeg, kui kaua keegi on ühel või teisel leheküljel. Teave meie veebilehe kasutamise kohta edastatakse Google’i serverisse ja salvestatakse seal. Teabe põhjal koostatakse üldisi ülevaateid veebilehekülje kasutuse kohta, milles kasutaja kohta isikustatud andmed puuduvad. Rohkem infot leiab Google’i privaatsusreeglitest. Kui Teie, meie veebilehe kasutajana, ei soovi, et Teie kohta edastatakse eespool nimetatud andmed Google Analyticsile, on võimalik see keelata. Selleks tuleb alla laadida ja installeerida veebilehitsejale vastav lisavahend. Võime kasutada oma hallatavatel veebilehekülgedel lisaks Google Analyticsi teenusele ka teisi veebianalüüsi võimaldavaid teenuseid, näiteks teenust React&Share. Rohkem infot leiab React&Share privaatsussätest. 2. Isikuandmete töötlemise põhimõtted Lähtume isikuandmete töötlemisel põhimõtetest: 2.1. Isikuandmete töötlemine on seaduslik, õiglane ja läbipaistev. Isikuandmeid kogutakse ja töödeldakse eesmärgipäraselt ja minimaalselt. Isikuandmed on õiged ja tagatakse nende parandamine. 2.2. Isikuandmeid säilitatakse ainult ettenähtud aja ja seejärel need kustutatakse. 2.3. Isikuandmete töötlemisel kasutatakse turvameetmeid, mis kaitsevad neid ebaseadusliku juurdepääsu ja juhusliku kaotamise, hävimise eest. 3. Füüsilise isiku õigused Kõikide isikuandmete osas, mida Teie kohta oleme kogunud, on Teil alljärgnevad õigused: 3.1.õigus oma andmetega tutvuda; 3.2.õigus saada teavet oma isikuandmete kohta; 3.3.õigus nõuda ebaõigete andmete parandamist; 3.4.õigus nõuda andmete töötlemise piiramist ja lõpetamist; 3.5.õigus esitada vastuväiteid; 3.6.õigus pöörduda andmekaitse järelevalveasutuse ja/või halduskohtu poole. 3.1. Õigus oma andmetega tutvuda Füüsilisel isikul on õigus saada kinnitust selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse ja kui töödeldakse, siis õigus nõuda nende väljastamist. Tutvumiseks peate esitama meile taotluse. Isikuandmeid väljastades peame olema veendunud Teie isikusamasuses. Seetõttu peate taotluse omakäeliselt või digitaalselt allkirjastama. Väljastame andmed Teie soovitud viisil nii kiiresti kui võimalik, kuid mitte hiljem kui 1 kuu jooksul alates Teie taotluse saamisest. Kui 1 kuu jooksul ei ole võimalik andmeid väljastada, teavitame Teid sellest ja pikendame vastamise tähtaega kuni 2 kuu võrra. Andmete väljastamise eest paberil võime alates 21. leheküljest nõuda tasu kuni 0,19 eurot iga väljastatud lehekülje eest (kui seadusega ei ole ette nähtud riigilõivu teabe väljastamise eest). 3.2. Õigus saada teavet oma isikuandmete töötlemise kohta Juhul kui oleme Teie kohta andmeid kogunud, siis on Teil õigus saada teada, mis on nende kogumise eesmärk, kellele on Teie isikuandmeid avalikustatud või avalikustatakse, kui kaua andmeid säilitatakse ning juhul, kui andmeid ei ole kogutud Teilt endalt, siis teave nende allika kohta. Õigust oma andmetega tutvuda ja saada teavet isikute kohta, kellele oleme teie isikuandmeid edastanud, tohib piirata, kui Teile andmete või teabe väljastamine võib:  kahjustada teise isiku õigusi ja vabadusi,  takistada kuriteo tõkestamist või kurjategija tabamist,  raskendada tõe väljaselgitamist kriminaalmenetluses,  ohustada lapse põlvnemise saladuse kaitsmist. 3.3. Õigus nõuda ebaõigete andmete parandamist Kui avastate, et Teie kohta käivad andmed on ebaõiged ja ei vasta tegelikkusele, on Teil õigus nõuda ebaõigete isikuandmete parandamist või andmete täiendamist. Selleks esitage meile omakäeliselt või digitaalselt allkirjastatud taotlus ning lisage sellele oma taotlust põhjendavad tõendid ja asjaolude kirjeldus. Me edastame info isikuandmete parandamise, kustutamise või töötlemise piiramise kohta kõigile, kellele isikuandmed on avaldatud, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi. 3.4. Õigus nõuda andmete töötlemise piiramist ja lõpetamist Kui Teie isikuandmete töötlemiseks, avalikustamiseks, teatud eesmärgil kasutamiseks või andmetele juurdepääsu võimaldamiseks ei ole (enam) seaduslikku alust, saate nõuda andmete kasutamise piiramist, lõpetamist või kustutamist, andmete avalikustamise või andmetele juurdepääsu võimaldamise piiramist või lõpetamist. Selleks esitage meile omakäeliselt või digitaalselt allkirjastatud põhjendatud taotlus. 3.5. Õigus esitada vastuväited Samuti on Teil õigus esitada vastuväiteid Teie isikuandmete töötlemise kohta. Selleks esitage meile omakäeliselt või digitaalselt allkirjastatud põhjendatud taotlus, mille palume saata aadressile [email protected]. 3.6. Õigus pöörduda andmekaitse järelevalveasutuse ja/või halduskohtu poole Juhul, kui leiate, et isikuandmete töötlemisel rikutakse Teie õigusi ja vabadusi, on Teil õigus pöörduda andmekaitse inspektsiooni või halduskohtusse. 4. Isikuandmetega seotud rikkumised Me dokumenteerime kõik isikuandmetega seotud rikkumised, sealhulgas rikkumise asjaolud, mõju ja rakendatud meetmed. Me teavitame rikkumisest järelevalveasutust (andmekaitse inspektsioon) põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul pärast sellest teada saamist, välja arvatud juhul, kui rikkumine ei kujuta endast tõenäoliselt ohtu füüsiliste isikute õigustele ja vabadustele. Suure ohu puhul andmesubjekti õigustele ja vabadustele teavitatakse andmesubjekti. Teavituse eesmärk on võimaldada Teil endal võtta vajalikke ettevaatusabinõusid olukorra leevendamiseks.