ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ASUTUSESISESEKS KASUTAMISEKS
Teabevaldaja: Andmekaitse Inspektsioon
Märge tehtud:
Juurdepääsupiirang kehtib kuni:
Alus:
Lp Maarjo Mändmaa
Kantsler
Teie: 19.10.2021 nr 2-4.12/3106-3
Sotsiaalministeerium Meie: 02.11.2021 nr 2.2.-1/21/16
[email protected];
[email protected]
Puuduste kõrvaldamiseks tähtaja määramine
Andmekaitse Inspektsiooni (edaspidi ka inspektsioon) menetluses on Teie taotlus teadusuuringus
„Asendushoolduse TATi tegevuste ja SHS muudatuste mõjude hindamine
Sotsiaalministeeriumile“ isikuandmete töötlemiseks.
Andmekaitse Inspektsioon esitas 19.10.2021 järgmise küsimuse:
Olete märkinud, et hanke võitjaks, volitatud töötlejaks isikuandmete töötlemisel kasutatakse OÜ-d
Haap Consulting. Taotluse punktis 9 olete kirjutanud, et isikuandmete välisriiki edastamist ei
toimu. Sellest tulenevalt palun vastata inspektsioonile, kas omate täpset ülevaadet, millist tarkvara
ja andmemajutust Haap Consulting OÜ kasutab ning kas saate olla kindlad, et hanke võitja ei
kasuta pilvepõhist andmemajutus- või töötlusteenust?
Vastavalt sotsiaalministeeriumi 26.10.2021 vastusele plaanib hankepartner kasutada uuringu
läbiviimisel TEHIKu soovitusel LimeSurvey keskkonda, kuna nimetatud keskkond koos
andmetega asub TEHIKus ja seega ülesande tarvis sobilik ning kolmandaid osapooli selle teenuse
tarbimisel ei kaasne.
01.12.2020 sai avalikuks leke 9158 koroonapositiivse inimese andmete leke. Andmed lekkisid
liidese kaudu, mille üheks pooleks oli LimeSurvey.
TEHIK on pärast terviseandmete lekkimise intsidenti kinnitanud inspektsioonile, et LimeSurvey
keskkonda enam ei kasutata, kuivõrd TEHIK ei ole nimetatud keskkonnale teinud turvaanalüüsi
ning inspektsioonile teadaolevalt ei ole tehtud ka auditit (ISKE/ pen.test). Seega ei saa võtta
kasutusele keskkonda vaid teenusepakkujat usaldades ning ilma, et vastutav töötleja oleks ise
testinud või tuvastanud keskkonna nõrkusi.
Seni, kuni ei ole hinnatud andmekaitse ja infoturberiske, tuleb lähtuda eeldusest, et tegemist on
mitteturvalise keskkonnaga. Sellise mõjude hindamise peab läbi viima vastutav töötleja
(Sotsiaalministeerium) ning põhjendama, miks nimetatud keskkonda on sobilik kasutada käesoleva
uuringu läbiviimiseks.
Isikuandmete kaitse üldmääruse (IKÜM) artikkel 35 lõike 1 kohaselt kui teatavat tüüpi
isikuandmete töötlemise ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste
isikute õigustele ja vabadustele suur oht, hindab vastutav töötleja enne isikuandmete töötlemist
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele. Inspektsiooni
hinnangul ei ole LimeSurvey keskkonna kasutamisel suure ohu tekkimine tõenäoline, vaid
tegemist on juba reaalselt realiseerunud juhtumiga. Seetõttu on vastutaval töötlejal kohustus viia
läbi mõjuhinnang LimeSurvey keskkonna kasutamiseks. Inspektsioon möönab, et andmed lekkisid
läbi kasutatava liidese, kuid hoolimata sellest tuleb veenduda ka kasutatavate keskkondade
turvalisuses.
Küberturvalisuse seaduse (KüTS) § 9 lg 2 järgi kohaldatakse riigi ja kohaliku omavalitsuse üksuse
süsteemi haldamisel KüTS § 7 lõigetes 1-3 sätestatud kohustusi ning süsteemi turvalisuse
tagamisele kohaldatakse avaliku teabe seaduse § 439 lõike 1 punkti 4 alusel kehtestatud määruses
sätestatud nõudeid ehk infosüsteemide turvameetmete süsteemi (ISKE). Kuivõrd turvariskid
LimeSurvey keskkonnas on realiseerunud, soovib inspektsioon teada, kas ISKEt on rakendatud,
milline on LimeSurvey turvaklass, kas on auditeeritud või millal auditeerimise tähtaeg saabub.
Eeltoodule lisaks ei ole Andmekaitse Inspektsioonile esitatud küsimustikku, mida soovitakse
teadusuuringu käigus isikutele vastamiseks välja saata. Inspektsioonile teadaolevalt ei ole
teenusepakkuja Sotsiaalministeeriumile küsimustikku käesolevaks hetkeks koostanud. Kuivõrd
küsimustikus peab sisalduma teave selle kohta, kust registritest on andmed võetud, soovib
inspektsioon enne teadusuuringuks loa andmist tutvuda küsimustiku projektiga.
Palun esitada Andmekaitse Inspektsioonile hiljemalt 28.11.2021:
1. IKÜM art 35 lg 1 alusel läbiviidud mõjuhinnang LimeSurvey keskkonna
kasutamiseks;
2. kas ISKEt on rakendatud, milline on LimeSurvey turvaklass, kas on auditeeritud või
millal auditeerimise tähtaeg saabub;
3. küsimustiku projekt, milles sisaldub mh teave selle kohta, millistest registritest on
isikute kontaktandmed võetud.
Tähtajaks puuduste kõrvaldamata jätmise korral võib Andmekaitse Inspektsioon vastavalt
haldusmenetluse seaduse § 15 lg 3 jätta taotluse läbi vaatamata.
Lugupidamisega
/allkirjastatud digitaalselt/
Kirsika Berit Reino
jurist
peadirektori volitusel
Saatja: <
[email protected]>
Saadetud: 02.11.2021 14:17
Adressaat: Maarjo Mändmaa <
[email protected]>; SM Info <
[email protected]>
Teema: Puuduste kõrvaldamiseks tähtaja määramine
Tere! Teile on saadetud Andmekaitse Inspektsiooni dokumendihaldussüsteemi
Delta kaudu dokument. Pealkiri: Puuduste kõrvaldamiseks tähtaja määramine
Registreerimise kuupäev: 02.11.2021 Registreerimise number: 2.2.-1/21/16
Tundliku sisuga elektroonilised pöördumised on võimalik inspektsioonile
edastada krüpteeritult kasutades ID- kaarti ja . Kuidas dokumente
krüpteerida, vaata .
Andmekaitse Inspektsioon
Tatari 39, 10134 TallinnTelefon: 627 4135E-mail:
[email protected]
ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Leia meid