ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
ASUTUSESISESEKS KASUTAMISEKS
Teabevaldaja: Andmekaitse Inspektsioon
Märge tehtud:
Juurdepääsupiirang kehtib kuni:
Alus:
Lp Sten Andreas Ehrlich Teie: 13.07.2021 nr 1.1-16/2249-1
Sotsiaalministeerium Meie: 16.08.2021 nr 2.2.-1/21/2467
[email protected]
Puuduste kõrvaldamiseks tähtaja määramine
Andmekaitse Inspektsiooni menetluses on Teie taotlus teadusuuringus „Paindliku vanaduspensioni
ja tööturuaktiivsuse müksamisuuring“ isikuandmete töötlemiseks.
Tutvunud Teie taotlusega ja Sotsiaalministeeriumi Sotsiaal- ja töövaldkonna uuringute ja
analüüside ajutise eetikakomitee elektroonilise koosoleku protokolliga, soovime täpsustusi
järgmistes asjaoludes:
1. Palume täpsustada töödeldavate isikuandmete koosseisu (taotluse p 5.1).
- Olete välja toonud, et Sotsiaalkindlustusameti registrist vajalike andmete koosseisu
kuulub ka isikute sünniaeg ja surma kuupäev. Saan aru, et erinevalt isikukoodist, mida
uuringu läbiviijale ei edastata, sünniaeg ja surmakuupäev edastatakse ka uuringu
läbiviijale. Palume põhjendada, miks on uuringu läbiviimiseks vajalik TÜ-le edastada
täpne sünni- ja surmaaeg, miks ei piisa näiteks aastanumbrist või aastanumbrite
vahemikust?
- Haigekassa registrist vajalike andmete koosseisu kuulub muuhulgas välja kirjutatud
retseptide arv. Palume põhjendada, miks uuringu juures on oluline isikutele välja
kirjutatud retseptide arv.
2. Taotluse punkti 7.2 kohaselt säilitatakse punktis 5.1. toodud andmekoosseis, v.a isikukood.
Palun selgitage, kes säilitab ja miks? Juhin tähelepanu, et nii TÜ kui Sotsiaalministeeriumi
jaoks võib ka selline andmekoosseis olla isikustatav, arvestades kui paljudele andmetele
mõlemal juurdepääs on. Andmekoosseisus on näiteks palju isiku kohta käivaid
konkreetseid kuupäevi, mida on võimalik mujalt saadud samade andmetega kokku panna.
Selgitan, et seda, kas andmed on isikustatavad või mitte, hinnatakse siiski selle järgi, kas
konkreetsele andmetöötlejale on isikud tuvastatavad.
3. Taotluse punktis 8 olete välja toodud, et andmesubjekti teavitamine ei ole valimi
ulatuslikkuse tõttu vajalik ega põhjendatud, sest andmete töötlemine ei kahjusta
andmesubjekti huve ja selle väljund on teaduslik üldistus.
Andmesubjekti teavitamise kohustus tuleneb isikuandmete kaitse üldmääruse (IKÜM)
artiklitest 13 (kui andmed kogutud andmesubjektilt) ja 14 (kui andmed ei ole kogutud
andmesubjektilt). Andmetöötlusest teavitamata jätmise alused on toodud IKÜM artikli 14
lõikes 5. Isikute teavitamata jätmine tuleks arvesse juhul, kui teavitamine muudaks
isikuandmete töötlemise eesmärgi saavutamise võimatuks või häiriks seda suurel määral
(IKÜM artikkel 14 lõige 5 punkt b). Vastutav töötleja peab võtma aktiivselt meetmeid
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
kõnealuse teabe esitamiseks andmesubjektile või suunama andmesubjekti aktiivselt selle
asukohta. Kui tegu on suure hulga inimestega, kelle andmeid töödeldakse ning nende
isikute osas ei kavatseta koguda kontaktandmeid, on võimalik andmesubjektide
teavitamine näiteks läbi meediaväljaannete, vastutava töötleja kodulehe vms. Sellisele
andmesubjekti teavitusele peaks olema lisatud viide, kust saab andmesubjekt
andmetöötlusest täiendavalt lugeda (näiteks viide vastutava töötleja kodulehele, kus on
välja toodud IKÜM-is loetletud kohustuslik teave).
Palume uuesti hinnata ja põhjendada andmesubjektide teavitamist, võttes arvesse eelnevaid
selgitusi.
4. Taotluse lisas 2 olete välja toonud, et andmete edastus toimub krüpteeritud kujul OneDrive
kaudu. OneDrive on USA ettevõttele kuuluv pilveteenus. Selgitame, et isikuandmete
edastamine Eestis on lubatud üksnes sellisesse riiki, kus on piisav andmekaitse tase (EL
liikmesriigid; Euroopa Majanduspiirkonna lepinguga ühinenud riigid; riigid, mille
isikuandmete kaitse tase on Euroopa Komisjoni poolt hinnatud piisavaks). USA ei ole
piisava andmekaitse tasemega riik. Krüpteerimisvahendite kasutamine on küll kaitsemeede
selles osas, kellel on võimalus andmeid krüpteerimisest tulenevalt vaadelda. Olenemata
sellest, kas isikuandmed on krüpteerimisega kaitstud, on tegu isikuandmetega ning nende
edastamisel läbi pilvepõhise teenusepakkuja toimub teenusepakkuja poolt nende andmete
töötlemine.
Sellega seoses palume täpsustada järgmist:
- Kas OneDrive kaudu edastatav teave sisaldab isikustatud või isikustamata andmeid?
Palume hiljemalt kuupäevaks 26.08.2021 taotluses esinevad puudused kõrvaldada, lisades
selgitused ja täpsustused taotlusvormile. Taotlusvormis muudetud osa palume algtekstist eristada.
Ühtlasi pikendame teadusuuringu loa menetluse tähtaega kuni 24.09.2021.
Tähtajaks puuduste kõrvaldamata jätmise korral võib Andmekaitse Inspektsioon vastavalt
haldusmenetluse seaduse § 15 lg 3 jätta taotluse läbi vaatamata.
Lugupidamisega
/allkirjastatud digitaalselt/
Virve Lans
jurist
peadirektori volitusel