Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Kristi Vinter-Nemvalts Teie 05.08.2024 nr 1.1-10.4/24/3375 kantsler Meie 22.08.2024 nr 2.2.-1/24/14-2 Lp Mirjam Reinthal andmekaitsespetsialist Haridus- ja Teadusministeerium [email protected] Puuduste kõrvaldamiseks tähtaja määramine Andmekaitse Inspektsiooni menetluses on Haridus- ja Teadusministeeriumi taotlus uuringus „Õpetajate palgaandmete, töötamiste ja koormuste analüüs“ isikuandmete töötlemiseks andmesubjekti nõusolekuta. Tutvunud Teie taotlusega, palun selgitusi järgnevatele punktidele ja täiendada sellest tulenevalt esitatud taotlust. 1. Palun esitada andmekaitsealane mõjuhinnang või kui seda ei ole koostatud või ei koostata, siis palun seda otsust põhjendada, arvestades Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM) art-s 35 sätestatuga. Taotluse punktist 9 nähtuvalt on analüüsi valim kõikne ja hõlmab kõiki Eesti hariduse infosüsteemi õpetajate ja akadeemiliste töötajate alamregistrisse üldhariduskoolide, kutseõppeasutuste, koolieelsete lasteasutuste õpetajana kantud isikuid. Viimasel õppeaastal 2023/2024 oli õpetajaid kolme haridustaseme peale kokku ligi 27 500. Andmeid soovitakse kasutada alates 2021/2022. õppeaastast. IKÜM art 35 lg 1 kohaselt peab isikuandmete vastutav töötleja hindama enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb olukorrad, millal andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu koostamine kohustuslik, kui toimub füüsiliste isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 Inspektsiooni koostatud isikuandmete töötleja üldjuhendis1 on selgitatud, mis on süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure ohu kohta. Juhendis on viidatud suunistele2, mis käsitlevad andmekaitsealast mõjuhinnangut. Olemasolevast teabest lähtuvalt palun hinnata, kas käesoleval juhul on mõjuhinnangu koostamine vajalik ja kui on, siis palun see koostada. Kui mitte, siis palun tuua esile oma sellekohased kaalutlused. 2. Palun täpsustada ja täiendada taotluse punkte 9.1, 10.2 ja 10.3. Taotluse punktis 9.1 on öeldud, et andmete kasutamise vajadus on järjepidev ja vajalik on iga- aastaselt õpetajate palku analüüsida. Taotluse punktist 10.3 ilmneb, et registriandmetest loodud andmebaasi säilitatakse kuni kümme aastat andmete saamisest. Selline tähtaeg on piisav, et vajadusel ajas tagasi minna ja teha täiendavaid analüüse. Selgitan, et vastavalt isikuandmete kaitse seaduse § 6 lg-le 5 annab inspektsioon kooskõlastuse konkreetsele uuringule konkreetsete inspektsioonile teadaolevate tingimuste alusel. Seetõttu on vajalik määratleda konkreetne uuringu läbiviimise periood ja millal kogu andmestik kustutatakse. Kui andmestikku soovitakse säilitada muude või järgnevate uuringute/analüüside tegemiseks, siis tuleb selgitada, millisel õiguslikul alusel toimub edaspidine täiendavate analüüside tegemine. Eeltoodust tulenevalt palun selgitada ja põhjendada täpsemalt 2.1. mis on uuringu läbiviimise periood; 2.2. kas nimetatud uuringut hakatakse läbi viima igal aastal järgneva kümne aasta jooksul ja seda üksnes 05.08.2024 inspektsioonile esitatud taotluse alusel (taotledes seega luba uuringu läbiviimiseks etteulatuvalt järgmiseks kümneks aastaks) või 2.3. kui uuringut hakatakse läbi viima ka järgnevatel aastatel, siis kas iga kord esitatakse selleks enne taotlus inspektsioonile; 2.4. kui uuringut hakatakse läbi viima ka järgnevatel aastatel, siis kas iga kord päritakse selleks andmekogudest värsked andmed või tehakse järgnevad uuringud ühekordselt päritud andmete alusel. 3. Juhul kui inspektsioon mõistis eelmises küsimuses kirjeldatud olukorda teisiti, st sama uuringut ei kavatseta viia järgnevate aastate jooksul läbi sama taotluse alusel, vaid tegemist on ühekordse uuringuga, siis 3.1. palun enam põhjendada taotluse punkti 10.3, miks on vajalik säilitada andmebaasi kümme aastat, võttes arvesse IKÜM art 5 lg 1 p-s e kehtestatud isikuandmete säilitamise piirangu põhimõtet; 3.2. palun esitada konkreetne kuupäev või ajavahemik vm kvartali ja aasta täpsusega, millal uuringu aluseks olevad algandmed kustutatakse. 4. Taotlusest ei selgu, mis tähtajaks uuringu aluseks olev koodivõti hävitatakse. Palun täiendada taotluse punkti 10.2. 5. Palun täpsustada taotluse punkte 11, 11.1 ja 11.2. Taotluse punkti 11 kohaselt andmesubjekte nende isikuandmete töötlemisest ei teavitata, sest nende kontaktandmed ei ole ministeeriumile teada (p 11.1). Andmesubjekti teavitamise kohustus tuleneb isikuandmete kaitse üldmääruse art-st 14. Üldmäärus küll kehtestab ka andmesubjektide teavitamata jätmise alused, kuid neid saab rakendada pigem erandlikel asjaoludel. Praegusel juhul ei nähtu, et oleksid sellised erandlikud asjaolud, mis takistavad inimeste teavitamist. Teavitada on võimalik läbi (sotsiaal)meedia, ministeeriumi 1 https://www.aki.ee/sites/default/files/dokumendid/isikuandmete_tootleja_uldjuhend.pdf, lk 23 jj. 2 https://ec.europa.eu/newsroom/article29/items/611236 2 (3) kodulehe (enne päringute tegemist) jms, seega palun ministeeriumil uuesti kaaluda andmesubjekti teavitamise võimalusi. Palun taotluses esinevad puudused kõrvaldada ning selgitused ja täpsustused taotlusvormile sisse viia esimesel võimalusel, kuid hiljemalt 02.09.2024. Muudatused palun algtekstist eristada. Vastus palun saata [email protected]. Lugupidamisega (allkirjastatud digitaalselt) Agnes Järvela jurist peadirektori volitusel 3 (3)