Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Kadri Vinni Teie 27.10.2025 Tervise Arengu Instituut [email protected] Meie 12.11.2025 nr 2.2-9/25/3497-3 Vastus selgitustaotlusele Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles kirjutate: Soovime täpsustada isikuandmete töötlemise nõudeid seoses persoonade uuringu tellimisega koostööpartnerilt, kellega meil on sõlmitud töövõtuleping antud töö teostamiseks. Uuringu viib kogu ulatuses läbi meie koostööpartner - värbamine paneeli kaudu, millele järgnevad personaalintervjuud 18 inimesega, vestluste transkriptsioon ja andmete analüüs. Selle põhjal koostab töövõtja 6 sihtrühma kujutavate isikute persoonad. Meie asutus ei kogu, ei töötle ega saa juurdepääsu inimeste andmetele (ei saa intervjuude salvestusi, transkriptsioone jne), saame ainult töö lõpptulemusena kujundlikud persoonad, mis ei võimalda tuvastada üksikisikuid. Palume infot, kas sellises olukorras peab meie asutus koostama andmekaitsealase mõjuhinnangu või lasub vastutus andmete töötlemise seaduslikkuse eest täielikult koostööpartneril, kes kogub ja töötleb värbamisel ja intervjuude käigus kogutud isikuandmeid. Olete lisaks kirjutanud, et saite oma küsimusele vastuse juba ka telefoni teel ja sellest tulenevalt soovite kirjalikku kinnitust, et andmekaitsealane mõjuhinnang on Andmekaitse Inspektsiooni reeglite järgi vajalik alates 5000 suurusest inimeste valimist. Eelnevast tulenevalt ja teadmata kõiki asjas tähtsust omavaid asjaolusid (sh kes ja milliseid andmeid plaanib töödelda) pean vajalikuks esmalt selgitada isikuandmete töötlemise üldiseid põhimõtteid ning seejärel seda, kes peab hindama mõjuhinnangu tegemise vajadust. AKI teostab järelevalvet isikuandmete kaitse seaduses ja selle alusel kehtestatud õigusaktides, isikuandmete kaitse üldmääruses (IKÜM) sätestatud nõuete ning muudes seadustes isikuandmete töötlemisele kehtestatud nõuete täitmise üle. 1 Isikuandmeteks on sellised andmed, mille kaudu on võimalik konkreetset füüsilist isikut otseselt või kaudselt tuvastada. Seega on isikuandmete määratlemisel oluline küsida: kas nende andmete põhjal on võimalik füüsilist isikut otseselt või kaudselt tuvastada. Isikuandmete töötleja on kohustatud järgima IKÜM artikkel 5 lõikes 1 sätestatud põhimõtteid. Nende põhimõtete täitmise eest vastutab ja peab olema võimeline nende täitmist tõendama vastutav töötleja2. Selles osas, mil andmetöötlus ei vasta täielikult IKÜM artikkel 5 lõikes 1 sätestatud põhimõtetele, on andmetöötlus keelatud. Oluline ongi selgeks teha, kuidas on 1 Isikuandmete kaitse seaduse § 56 lõige 1. 2 vt IKÜM artikkel 5 lõige 2. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 andmetöötlejate vastutused ja kohustused jagunenud (vt infot siit). Igasugune isikuandmete töötlemine peab olema õiglane ja seaduslik ehk täielikult kooskõlas kõigi kehtivate õigusaktidega (sh IKÜM-iga). Samuti peab andmetöötlus olema läbipaistev, koostatud peavad olema andmekaitsetingimused. Läbipaistvuse põhimõte eeldab, et kogu isikuandmete töötlemisega seotud teave on inimesele lihtsalt kättesaadav, arusaadav ning selgelt sõnastatud (sh kes on vastutav andmetöötleja kelle käest saab lisainformatsiooni küsida). See puudutab eelkõige andmesubjektide teavitamist, et tagada õiglane ja läbipaistev töötlemine. Inimeste teavitamist reguleerivad täpsemalt IKÜM artiklid 12 – 14. IKÜM artiklites 13 ja 14 on välja toodud, mida peab inimesele antav teave minimaalselt sisaldama. IKÜM artikkel 6 lõike 1 alusel peab igasuguseks isikuandmete töötlemiseks olema õiguslik alus (nt seadus, isiku nõusolek jne). Isikuandmete eriliikide (sh terviseandmete) töötlemine on IKÜM artikkel 9 lõike 1 kohaselt üldiselt keelatud, kui ei esine mõni lõikes 2 väljatoodud asjaoludest. Igal andmetöötlejal tuleb hinnata, millisel õiguslikul alusel, ulatuses ja eesmärgil ta konkreetseid andmeid töötleb. Mis puudutab mõjuhinnangu koostamist lisaks muudele vajalikele dokumentidele (andmekaitsetingimused, andmetöötluslepingud jne), siis AKI on isikuandmete töötlemise üldjuhendis3 selgitanud, et iga mõistlik andmetöötleja hindab nii või teisiti vajadusel oma tänaseid ja tulevasi ohte. Andmekaitsealase mõjuhinnangu eesmärk ongi kirjeldada isikuandmete töötlemist, hinnata selle vajalikkust ja proportsionaalsust ning aidata andmetöötlejal käsitleda selle tulemusena füüsiliste isikute õigustele ja vabadustele tekkivaid ohte neid ohte hinnates ning määrates kindlaks meetmed, mille abil neid ohte käsitleda (sh maandada). Ehk siis andmekaitselise mõjuhinnanguga hinnatakse mõju uuringus osalevatele inimestele. IKÜM artikkel 35 lõige 3 toob küll välja kolm näidet, millal on vaja teha andmekaitsealane mõjuhinnang, kuid tegemist ei ole ammendavate näidetega, mistõttu võib vajada mõjuhinnangut ka muu andmetöötlus. Samamoodi ei ole ammendavaks loeteluks inspektsiooni poolt välja pakutud ulatuslikkuse kriteeriumi arvud. Andmekaitsealane mõjuhinnang peab hõlmama vähemalt IKÜM artikkel 35 lõikes 7 kindlaks määratud miinimumsisu. Oluline ongi see, et esmalt tuleb Teil endal teha kindlaks, milliseid andmeid uuringus täpselt töödeldakse, sh milline on täpne andmete koosseis ning kust neid andmeid kogutakse. Valimi suurus ei pruugi antud juhul olla kriteerium omaette. Tähele tulebki panna, et väga harva on andmed anonüümsed, pigem on andmed pseudonümiseeritud ning sellisel juhul on tegemist ikkagi isikuandmete töötlemisega. Olukorras, kus tegemist on suhteliselt väikesearvulise valimiga, siis võib mõjuhinnangu koostamine olla muuhulgas lisakaitsemeede. Lisaks märgin, teadmata millise uuringuga on tegu, et näiteks poliitikakujundamise eesmärgil tehtava uuringu puhul on AKI roll sätestatud isikuandmete kaitse seaduses. Isikuandmete kaitse seaduse (IKS) § 6 kohaselt on vajalik AKI kooskõlastus, kui uuringus töödeldakse eriliiki isikuandmeid ja puudub valdkondlik eetikakomitee4 või kui tegemist on täidesaatva riigivõimu uuringu või analüüsiga, mis viiakse läbi poliitika kujundamise eesmärgil5. Tavapäraste 3 Isikuandmete töötleja üldjuhend (https://www.aki.ee/sites/default/files/dokumendid/isikuandmete_tootleja_uldjuhend.pdf) 4 IKS § 6 lg 4 5 IKS § 6 lg 5 2 (3) isikuandmetega tehtavad uuringud ei vaja AKI kooskõlastust. AKI kooskõlastust ei vaja ka need uuringud, kus isikuandmeid üldse ei töödelda. Pöördumises välja toodud informatsiooni alusel ei saaks AKI öelda, kas konkreetselt antud juhul on vajalik isikuandmete töötlemise kohta mõjuhinnangu koostamine või mitte. Mõjuhinnangu koostamise vajadust saab hinnata andmetöötleja ise. Otsustamisel on asutusel igal ajal võimalus pöörduda asutusele määratud andmekaitsespetsialisti (AKS) poole6. Oluline on siinkohal kindlasti teadvustada, et uuringu tellimine koostööpartnerilt ei võta tellijalt vastutust kohase andmetöötluse eest tema tellitud uuringus. Rohkem informatsiooni andmekaitselise mõjuhinnangu kohta leiab AKI veebilehelt. Samuti on mõjuhinnangu vajaduse üle arutletud AKI andmehäälingus. Asjakohane abimaterjal on kindlasti ka mõjuhinnangu kontrollnimekiri, mis on leitav samuti AKI veebilehelt. Suunised, mis käsitlevad andmekaitsealast mõjuhinnangut ja selle kindlaksmääramist, kas isikuandmete töötlemise tulemusena „tekib tõenäoliselt suur oht“ on samuti leitavad AKI veebilehelt. Loodan, et selgitustest on abi. Kui analüüsi tulemusel on siiski midagi, mis vajaks AKI-ga üle arutamist, siis palun edastada täiendav informatsioon vastavalt eelnevalt selgitatule. Lugupidamisega Liina Kroonberg jurist peadirektori volitusel 6 Kaasatud on huvitatud isikud ehk siis on nõu küsitud andmekaitsespetsialistilt, IKÜM artikkel 35 lg 2. 3 (3)