Selgitustaotlus

Saatja: "Made Rästas" <[email protected]> Saaja: "AKI info" Teema: Nõusoleku alusel PPA-le andmete väljastamine Kuupäev: 2024-07-16 11:49 Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Tere Edastan Confido Arstikeskuse poolt selgitustaotluse seoses PPA-le andmete väljastamisega. Parimate soovidega <https://www.confido.ee/> Made Rästas Jurist <mailto:[email protected]> [email protected] | Confido Meditsiinikeskus | Veerenni 51, 10138 Tallinn | <http://www.confido.ee/> www.confido.ee E‑kiri ja selle manused võivad sisaldada konfidentsiaalset informatsiooni, mille avaldamine on keelatud. Kui e-kiri on jõudnud Teieni ekslikult, siis palun teavitage sellest koheselt saatjat ning kustutage e-kiri ja selle manused oma arvutisüsteemist. Täname Teid! 16.07.2024 SELGITUSTAOTLUS Lugupeetud Andmekaitse Inspektsiooni esindaja Pöördun Teie poole seoses AS Arstikeskus Confidole laekunud kahe Politsei- ja Piirivalveameti (PPA) päringuga. Mõlemat päringut iseloomustab asjaolu, et PPA küsib meilt eriliigilisi isikuandmeid tuginedes kahtlustatava nõusolekule. Ühel juhul küsitakse ravidokumente, mis on seotud konkreetse ravimi kasutamisega ning teisel juhul küsitakse koopiaid haiguslugudest ja tervisekaardist, kui isik on käinud psühholoogi/psühhiaatri vastuvõtul. Andmekaitses on põhimõte, et avaliku sektori asutus pigem ei saa andmetöötluses nõusolekule kui õiguslikule alusele tugineda, kuna nõusoleku oluline kriteerium on vabatahtlikus. Sellele viitab isikuandmete kaitse üldmääruse pp 43 märkides, et nõusolek ei tohiks anda isikuandmete töötlemiseks kehtivat õiguslikku alust, kui andmesubjekt ja vastutav töötleja on selgelt ebavõrdses olukorras, eriti juhul kui vastutav töötleja on avaliku sektori asutus ning seega on ebatõenäoline, et nõusolek anti selle konkreetse olukorra kõigi asjaolude puhul vabatahtlikult. Samale asjaolule viitab ka Euroopa Andmekaitsenõukogu oma suunistes 05/2020 määruse (EL) 2016/679 kohase nõusoleku kohta, kuid lisab, et nõusolekule tuginemine ei ole „tõenäoliselt“ võimalik (p 3.1.1)1. Ühtlasi leiab ka Andmekaitse Inspektsiooni kodulehelt selgituse, et on vähetõenäoline, et riigiasutused saaksid isikuandmete töötlemisel nõusolekule tugineda, sest alati, kui vastutav töötleja on avaliku sektori asutus, esineb vastutava töötleja ja andmesubjekti vahelistes suhetes sageli selge tasakaalustamatus.2 Andmekaitse Inspektsioon (AKI) on avaliku sektori poolt võetavat nõusolekut kommenteerinud ka Sotsiaalkindlustusametile saadetud vastuskirjas ning isegi seadusest tuleneva nõusoleku võtmise kohustuse puhul asunud seisukohale, et seda ei saa pidada vabatahtlikult antuks.3 Mõlema AKI selgituse puhul tuuakse välja, et kui andmesubjektil ei ole nõusoleku andmise osas valikut, st nõusolekut andmata võivad talle tekkida negatiivsed tagajärjed, siis sellisel juhul ei saa pidada nõusolekut vabatahtlikult antuks. 1 https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-052020-consent-under- regulation-2016679_et 2 https://www.aki.ee/nousolek 3 04.09.2023 nõudekirja vastus nr 2.1-5/23/1062-2 (leitav aadressilt https://adr.rik.ee/aki/fail/14637904/Vastus%20nõudekirjale.pdf) Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti Telefon 1330 • [email protected] • www.confido.ee Registrikood 12381384 • AS Arstikeskus Confido PPA päringute valguses tähendaks see, et isegi kui isik päriselt soovibki anda vabatahtliku nõusolekut isikuandmete töötlemiseks, siis eeltoodust tulenevalt ei oleks võimalik nõusolekule tugineda, sest igal juhul võivad kaasneda nõusolekut andmata kahjulikud tagajärjed. Näiteks, kui kahtlustatav annaks nõusoleku PPA-le selleks, et küsitavad andmed võivad teda süüst vabastada, siis nõusolek ei ole kehtiv, sest ilma nõusolekut andmata kaasneksid negatiivsed tagajärjed (isik saaks süüdimõistva otsuse). Samale tulemusele võib jõuda ka juhul, kui me vaatame seda kannatanu poolelt. Hüpoteetiliselt, kui kannatanu on andnud PPA-le päriselt vabatahtliku nõusoleku andmete saamiseks, et tõendada näiteks tema kehavigastusi, siis ei saaks me pidada nõusolekut vabatahtlikult antuks, sest ilma nõusolekuta kaasneksid jällegi negatiivsed tagajärjed – kannatanu ei saaks tõendada, et talle on kehavigastusi tekitatud ega saaks ennast kaitsta. Eelnevast nähtub, et erinevate juhendmaterjalide pinnalt tuleks asuda seisukohale, et PPA ei saa tugineda andmesubjekti nõusolekule, et isikuandmeid või veelgi enam eriliigilisi isikuandmeid saada. Seejuures loob aga ebaselgust Riigikohtu 1. aprill 2022 tehtud otsus nr 1-20-5071, mis käsitleb patsiendisaladuse kaitsmist kriminaalmenetluses. Viidatud kohtulahendi punkt 23 ütleb selgelt, et ebaseaduslik on igasugune patsiendisaladuse avaldamine, mille jaoks ei ole kas patsiendi nõusolekut või seadusest tulenevat selget alust. Seega annab Riigikohus lahendis selge viite nõusolekule kui õiguslikule alusele. Eelnevast tulenevalt palume Andmekaitse Inspektsiooni seisukohta järgnevates küsimustes: 1. Kas PPA saab tervishoiuteenuse osutajalt isikuandmete, sh eriliigiliste isikuandmete küsimisel tugineda õigusliku alusena andmesubjekti nõusolekule? 2. Kas PPA poolt õigusliku alusena nõusolekule tuginemise käsitlus isikuandmete, sh eriliigiliste isikuandmete saamiseks sõltub sellest, kas andmesubjekt, kes nõusolekut annab on kahtlustatav või kannatanu? 3. Juhul, kui Andmekaitse Inspektsiooni hinnang on, et nõusoleku alusel ei ole võimalik PPA-le andmeid väljastada ning see tuleneb vabatahtlikkuse nõude rikkumisest, siis kas juhul, kui andmesubjekt kinnitab nõusolekus selgesõnaliselt, et ta annab kõnealuse nõusoleku vabatahtlikult, on nõusolekule tuginemine siiski võimalik? 4. Juhul, kui mõne eelneva küsimuse puhul asuda seisukohale, et isikuandmete väljastamine PPA-le nõusoleku alusel on põhimõtteliselt võimalik, siis kas nõusoleku andmise eesmärgi hindamisel piisab sellest, kui nõusolekus on kirjas, et nõusoleks antakse „eesmärgiga koguda kriminaalmenetluses tõendeid toimepandud kuriteo kohta“? Ehk et andmesubjekt küll väga täpselt piiritleb, et lubab PPA-l saada näiteks oma haiguslugu, aga andmetöötluse täpne eesmärk seevastu ei ole piiritletud – viidatakse vaid, et üldiselt kriminaalmenetluses tõendite kogumise tarbeks. Küsimus on ajendatud asjaolust, et vastutav töötleja peab andmete väljastamisel hindama, kas küsitud andmed on konkreetse eesmärgi täitmiseks vajalikud (minimaalsuse ja eesmärgipärasuse põhimõte). Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti Telefon 1330 • [email protected] • www.confido.ee Registrikood 12381384 • AS Arstikeskus Confido Eraldi nõusolekut puudutavatest küsimustest sooviksime veel AKI hinnangut Riigikohtu lahendis 1-20-5071 toodule. Nimelt saab õiguslik alus andmeid saada tuleneda ka seadusest. Riigikohus analüüsib oma lahendi punktis 28 õigusliku alusena psühhiaatrilise abi seaduse § 5 lg-t 2 (lahendis lg 1). PsAS § 5 lg 2 viitab psühhiaatrilise ravi ja diagnoosi puudutavatele andmetele. Riigikohus loob nende vahel seose ning toob välja, et see lubab väljastada fakti, kas isik on ravi saanud ning seoses millise diagnoosiga. Selgitame, et psühhiaatrias on mitmeid häireid, mis ei vaja eraldi sekkumist, antakse näiteks vaid soovitusi elustiili osas või muud taolist. Sellisel juhul ei ole see otseselt psühhiaatri poolt määratud ravi. Riigikohtu selline tõlgendus tähendab aga justkui seda, et kui patsient on käinud psühhiaatri vastuvõtul ning psühhiaater on määranud isikule küll diagnoosi X, aga ei ole määranud sellele ravi, siis puudub uurimisasutusel ka õigus saada infot, et isikul on diagnoos X. Arvestades PsAS § 5 lg 2 sõnastust, siis kas ka AKI leiab, et sätte mõte on olnud diagnoosi info saamine siduda ravi saamisega või tuleks Riigikohtu selgitusi tõlgendada kuidagi teisiti, et võib väljastada ka ainult diagnoosi? Mõistame, et selgitustaotlusele vastamise tähtaeg on 30 kalendripäeva, kuid oleksime väga tänulikud kui jõuaksite vastata esimesel võimalusel Teile sobival ajal, et saaksime PPA-le päringute osas tagasisidet anda. Lugupidamisega Made Rästas Jurist AS Arstikeskus Confido Confido Meditsiinikeskus • Veerenni 51, Tallinn 10138, Eesti Telefon 1330 • [email protected] • www.confido.ee Registrikood 12381384 • AS Arstikeskus Confido