Kiri

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Marika Priske Teie: 04.07.2021 nr 2- Sotsiaalministeerium 4.13/1799-3 Meie: 14.07.2021 nr 2.2.- 1/21/9 Täiendava tähtaja määramine puuduste kõrvaldamiseks Andmekaitse Inspektsiooni menetluses on Teie taotlus teadusuuringus „Töövõime toetamise skeemi loomise ja juurutamise makromajandusliku mõju hindamine“ isikuandmete töötlemiseks. Tutvunud Teie taotlusega ning Teie poolt 05.07.2021 esitatud täiendavate dokumentide ja selgitustega, esinesid meil siiski mõned tähelepanekud: 1. Palusime eelnevas kirjas täpsustust andmesubjekti teavitamisega seonduvalt (taotluse punkt 8). Olete teavitamise osas täpsustanud, et teave uuringu, sh isikuandmete töötlemise kohta lisatakse Turu-uuringute AS-i koduleheküljele ning vastava teabeni viiv link lisatakse valimiisikutele saadetavasse kutsekirja, mille saavad kõik uuringusse kaasatud valimiisikud. Te ei ole täpsustanud, kuidas teavitatakse teisi isikuid, kelle isikuandmeid uuringu raames töödeldakse või millisel õiguslikul alusel jätate teised isikud teavitamata. Olete välja toonud, et artikli 14 lõike 5 tingimused ei ole kumulatiivsed mis tähendab, et sätte mõte ei ole, et tingimused peavad olema üheaegselt täidetud. AKI on Teie välja tooduga nõus, kuid kuigi täidetud ei pea olema kõik tingimused üheaegselt, peab teavitamata jätmiseks olema täidetud vähemalt üks välja toodud tingimus. Samuti olete teavitamise punkti juures taaskord viidanud sellele, et töötlemine võib toimuda mõningal juhul ilma andmesubjekti nõusolekuta. Selgitame selles osas veelkord, et andmetöötluse seaduslik alus (k.a nõusolek) on erinev andmesubjekti teavitamise kohustusest. Olenemata sellest, millisel seaduslikul alusel isikuandmeid töödeldakse (IKÜM artiklid 6 ja 9, IKS, eriseadused) tuleb andmesubjekte teavitada nende andmete töötlemise tingimustest (v.a juhul, kui esineb IKÜM art 14 lõikes 5 välja toodud alus). Artikli 14 lõike 5 punkti b kohaldamiseks on oluline, et isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil ja teabe esitamine kujutab endast ebaproportsionaalset jõupingutust.1 1 Sama on artikli 14 lg 5 p b osas välja toodud ka andmekaitse töörühma (Euroopa sõltumatu nõuandeorgan andmekaitse ja eraelu puutumatuse küsimustes) suunistes IKÜM-i kohase läbipaistvuse kohta (punkt 61, lk 30). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  Andmekaitse töörühma suunistes IKÜM-i kohase läbipaistvuse kohta, on selgitatud, et kui vastutav töötleja soovib tugineda artikli 14 lõike 5 punktis b toodud erandile selle põhjal, et teabe esitamine nõuaks ebaproportsionaalselt suurt jõupingutust, peaks ta tegema võrdluskatse, et hinnata vastutava töötleja andmesubjektile teabe esitamisega kaasnevat jõupingutust ning andmesubjektile avalduvat mõju ja tagajärgi juhul, kui talle teavet ei esitata. Vastutav töötleja peaks sellise hindamise dokumenteerima kooskõlas oma vastutamise kohustustega. Artikli 14 lõike 5 punktis b on täpsustatud, et ka sellisel juhul peab vastutav töötleja võtma asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks. Asjakohased meetmed peab vastutav töötleja kasutusele võtma ka siis, kui teabe esitamine osutub võimatuks või tõenäoliselt muudab töötlemise eesmärkide saavutamise võimatuks või häirib seda suurel määral. Üks artikli 14 lõike 5 punktis b nimetatud asjakohane meede, mida vastutavad töötlejad peavad alati võtma, on teabe avalikult kättesaadavaks tegemine. Andmekaitse töörühma suunistes on välja toodud, et vastutav töötleja saab teha seda mitmel viisil, näiteks pannes teabe veebisaidile, reklaamides teavet ennetavalt ajalehes või ruumides olevatel plakatitel.2 Palume eelnevat arvesse võttes täiendada taotluse vormi punkti 8, tuues välja kõigi uuringus töödeldavate isikute kohta nende teavitamise protsess ja/või teavitamata jätmise alus. Kui aluseks on artikli 14 lõige 5 punkt b, siis tuua välja ka asjakohane meede, mida kasutatakse andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks ja teabe avalikult kättesaadavaks tegemiseks. Muudetud osa palume taotluse vormil algtekstist eristada. 2. Olete pilvepõhiste andmemajutus- või töötlusteenuste osas oma vastuses välja toonud, et edastamisel kasutatakse krüpteerimisvahendeid ning seega ei toimu Teie hinnangul töötlemist pilveandmetöötluse teenuse pakkuja poolt. Selgitame, et krüpteerimisvahendite kasutamine on küll kaitsemeede selles osas, kellel on andmeid krüpteerimisest tulenevalt võimalik vaadelda. Kuid olenemata sellest, kas isikuandmed on krüpteerimisega kaitstud, on tegu isikuandmetega ning nende edastamisel läbi pilvepõhise teenusepakkuja toimub teenusepakkuja poolt nende andmete töötlemine (näiteks andmete säilitamise osas, mis on IKÜM art 4 punkti 1 kohaselt samuti isikuandmete töötlemine). Olete välja toonud, et Teie volitatud töötleja Sihtasutus Poliitikauuringute Keskus Praxis kasutab OneDrive pilveteenuse pakkujat, kuid isikuandmeid ei edastata OneDrive puhul välisriiki. Palume täpsustada, kas Praxisel on sõlmitud OneDrive-ga vastav organisatsioonipõhine leping selleks, et andmete liikumist välisriiki ei toimuks? 3. Tõime eelnevas kirjas välja, et küsitluse nõusoleku vormis (lisa 4) on andmesubjektile antud teabe osas välja toodud, et küsitluse käigus antud vastuste puhul tagatakse uuringus osalejate anonüümsus ja vastuseid ei viida kokku isikute nime ja kontaktandmetega. Leidsime Teie kirjeldusest tulenevalt, et andmetöötlust ei viida läbi anonüümselt ning vastused on uuringu läbiviija jaoks kokku viidavad teiste andmetega nagu nimi ja kontaktandmed. Palusime küsitluse nõusoleku vormil isikule antud teavet tema isikuandmete töötlemise kohta täpsustada. Olete esitanud täpsustuse selliselt, et asendasite nõusoleku vormis sõna „anonüümne“ sõnaga „konfidentsiaalne“. Samuti on ka muudetud nõusoleku vormis siiani kirjas, et 2 Andmekaitse töörühma suunised IKÜM-i kohase läbipaistvuse kohta (punkt 64, lk 31). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf 2 (3)  antud vastuseid ei viida kokku isikute nime ega kontaktandmetega. Leiame, et kuna uuringu läbi viimise protsessis on isikute nimi ja kontaktandmed uuringu läbiviija jaoks vastustega kokku viidavad, siis on selline esitatud teave isikule siiani ekslik. Palume küsitluse nõusoleku vormil isikule antud teavet tema isikuandmete töötlemise kohta täpsustada ning edastada AKI-le uuendatud nõusoleku vorm. Palume hiljemalt kuupäevaks 28.07.2021 taotluses esinevad puudused kõrvaldada, lisades selgitused ja täpsustused taotlusvormile. Muudetud osa palume algtekstist eristada. Ühtlasi pikendame teadusuuringu loa taotluse menetlemise tähtaega kuni 11.08.2021. Tähtajaks puuduste kõrvaldamata jätmise korral võib Andmekaitse Inspektsioon vastavalt haldusmenetluse seaduse § 15 lg 3 jätta taotluse läbi vaatamata. Lugupidamisega /allkirjastatud digitaalselt/ Grete Leesmann jurist peadirektori volitusel 3 (3)