Vastus pöördumisele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Sten Andreas Ehrlich Teie: 23.07.2021 nr 2-4.13/1799-5 Sotsiaalministeerium Meie: 28.07.2021 nr 2.2.-1/21/9 Täiendava tähtaja määramine puuduste kõrvaldamiseks Andmekaitse Inspektsiooni (AKI) menetluses on Teie taotlus teadusuuringus „Töövõime toetamise skeemi loomise ja juurutamise makromajandusliku mõju hindamine“ isikuandmete töötlemiseks. Tutvunud Teie taotlusega ning Teie poolt 05.07.2021 ja 23.07.2021 esitatud täiendavate dokumentide ja selgitustega, esinesid meil siiski mõned tähelepanekud: 1. Palusime eelnevates kirjades täpsustust andmesubjekti teavitamisega seonduvalt (taotluse punkt 8). Olete oma viimases vastuses AKI-le asunud seisukohale, et andmesubjekte (v.a andmesubjekte, kes osalevad küsitluses või intervjuus) ei teavitata nende isikuandmete töötlemisest isikuandmete kaitse üldmääruse (IKÜM) artikli 14 lõike 5 punktide c ja d alusel. Selgitame järgnevalt, miks AKI leiab, et Teie välja toodud teavitamata jätmise alused ei ole antud juhul Teie põhjendusi arvestades asjakohased. IKÜM art 14 lg 5 p c: Lõikeid 1–4 (andmesubjekti teavitamise kohustus) ei kohaldata, kui ja sel määral mil isikuandmete saamine või avaldamine on selgesõnaliselt sätestatud vastutava töötleja suhtes kohaldatavas liidu või liikmesriigi õiguses, milles nähakse ette asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. Olete välja toonud, et antud erand on Teie hinnangul kohaldatav, sest teadusuuringuks andmete saamiseks esineb erialus siseriiklikus õiguses IKS § 6 näol ja asjakohasteks kaitsemeetmeteks on AKI loamenetlus ja eetikakomitee luba, mistõttu ei tule andmesubjekte teavitada. Ühtlasi toote välja, et IKS § 6 asendab aga sisuliselt seni kehtinud IKS §-i 16 ning nimetatud alus ja viidatud sisu ei ole seega olemuslikult uus. IKÜM art 14 lg 5 p c kohaldamiseks on oluline vastava siseriikliku õiguse olemasolu, milles nähakse ette vastutava töötleja isikuandmete saamine või avaldamine ning asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. AKI leiab, et sätet ei saa tõlgendada laialt, tuues siseriiklikuks aluseks teavitamata jätmisele IKS § 6, mis annab üldise võimaluse isikuandmete töötlemiseks ilma andmesubjekti nõusolekuta teadus- või ajaloouuringu ning riikliku statistika vajadusteks. IKS § 6 puhul säilitati varasemalt kehtinud IKS § 16 regulatsioon, täiendades seda Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  üldmäärusest tulnud eranditega. Kuid ka varasemalt kehtinud IKS § 16 (nagu praegune IKS § 6) regulatsioon oli ette nähtud selleks, et isikuandmete töötlemine oleks võimalik ilma andmesubjekti nõusolekuta. Ka varasemalt kehtinud regulatsioonis oli lisaks õiguslikule alusele (nt nõusolek või seadusest tuleneval muul viisil nagu siis oli IKS § 16; praeguse regulatsiooni kohaselt IKÜM art 6 ja 9 koos siseriikliku õigusega) eraldi reguleeritud andmesubjekti teavitamine (tollane IKS § 15; praegune IKÜM art 13 ja 14). Erisus varasemalt kehtinud regulatsiooniga ning pärast üldmääruse jõustumist kehtiva regulatsiooniga tuleneb antud hetkel peamiselt teavitamise regulatsiooni erisusest. Kui varasemalt IKS-ist tulenev regulatsioon andis andmesubjekti teavitamata jätmiseks üldise alusena juhu, kui isikuandmete töötlemine on ette nähtud seaduses, siis IKÜM-i käsitlus ja sõnastus on teavitamise erandite osas kitsam ning art 14 lg 5 p c kohaselt peab seaduses vastutava töötleja suhtes selgesõnaliselt selline alus esinema ning lisaks peavad olema reguleeritud asjakohased meetmed andmesubjekti õigustatud huvide kaitsmiseks. Ka andmekaitse töörühma (Euroopa sõltumatu nõuandeorgan andmekaitse ja eraelu puutumatuse küsimustes) suunistes on IKÜM-i sätte osas asutud seisukohale, et selline siseriiklik regulatsioon peaks otseselt käsitlema vastutavat töötlejat ning kõnealune saamine või avaldamine peaks olema vastutavale töötlejale kohustuslik. Suunistest tulenevalt peab vastutav töötleja olema võimeline tõendama, kuidas kõnealust seadust nende suhtes kohaldatakse ja kuidas selles seaduses nõutakse, et nad kas saaksid või avaldaksid kõnealused isikuandmed.1 Seega peab IKÜM art 14 lg 5 p c kohaldumiseks olema vastavasisuline õigus ja kohustus andmete saamiseks või avaldamiseks selgesõnaliselt antud vastutavale töötlejale. Antud juhul IKS § 6 üldine regulatsioon nõusolekuta andmetöötlusele seda ei anna. Ühtlasi on IKÜM artiklis 23 ette nähtud, et liikmesriigid võivad siseriiklikus õiguses täiendavalt piirata andmesubjekti läbipaistvusega seotud (artiklites 12-22 ja 34) õigusi, kui sellised meetmed austavad põhiõiguste ja -vabaduste olemust ning on vajalikud ja proportsionaalsed, et tagada üks või mitu artikli 23 lõike 1 punktides a–j toodud kümnest eesmärgist. IKS §-st 6 aga piiranguid andmesubjektide teavitamisele ei tulene. IKÜM art 14 lg 5 p d: Lõikeid 1–4 (andmesubjekti teavitamise kohustus) ei kohaldata, kui ja sel määral mil isikuandmed peavad jääma salajaseks liidu või liikmesriigi õigusega reguleeritava ametisaladuse hoidmise kohustuse, sealhulgas põhikirjajärgse saladuse hoidmise kohustuse tõttu. Olete välja toonud, et IKÜM art 14 lg 5 p d erand on Teie hinnangul kohaldatav, sest tagatud on andmete saladuses hoidmise kohustus (ATS § 55, AvTS § 35 lg 1 p 11 ja 12 ning uuringu läbiviimise tingimused). Selgitame, et selle erandi kohaldamiseks peab ametisaladuse hoidmise kohustus otseselt vastutaval töötlejal keelama andmesubjektile kogu artikli 14 lõigetes 1, 2 ja 4 nimetatud teabe esitamise.2 Teie poolt viidatud avaliku teenistuse seadusest ja avaliku 1 Andmekaitse töörühma (Euroopa sõltumatu nõuandeorgan andmekaitse ja eraelu puutumatuse küsimustes) suunised IKÜM-i kohase läbipaistvuse kohta (punkt 66, lk 32). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf 2 Sama on artikli 14 lg 5 p d osas välja toodud ka andmekaitse töörühma suunistes (punkt 67, lk 33). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf 2 (4)  teabe seadusest tulenevad sätted piiravad isikuandmete avalikustamise, kuid isikutel nende enda isikuandmete osas teabe saamist ei piira. Ühtlasi juhime tähelepanu, et avaliku teabe seaduse § 39 sätestab täiendavalt ka, et teabevaldaja peab võimaldama juurdepääsu tema valduses olevatele isikuandmetele vastavalt IKÜM-is sätestatud korrale. Eelnevast tulenevalt leiab AKI, et Teie välja toodud teavitamata jätmise alused (artikli 14 lõike 5 punktid c ja d) ei ole antud juhul Teie põhjendusi arvestades kohaldatavad. AKI leiab, et IKÜM-ist tulenevate teavitamise eranditest võib antud juhul olla kohaldatav üksnes artikli 14 lõike 5 punkt b, mispärast selgitasime oma eelnevates tähelepanekutes ka selle erandi olemust täpsemalt: „Artikli 14 lõike 5 punkti b kohaldamiseks on oluline, et isikuandmeid töödeldakse avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil ja teabe esitamine kujutab endast ebaproportsionaalset jõupingutust.3 Andmekaitse töörühma suunistes IKÜM-i kohase läbipaistvuse kohta, on selgitatud, et kui vastutav töötleja soovib tugineda artikli 14 lõike 5 punktis b toodud erandile selle põhjal, et teabe esitamine nõuaks ebaproportsionaalselt suurt jõupingutust, peaks ta tegema võrdluskatse, et hinnata vastutava töötleja andmesubjektile teabe esitamisega kaasnevat jõupingutust ning andmesubjektile avalduvat mõju ja tagajärgi juhul, kui talle teavet ei esitata. Vastutav töötleja peaks sellise hindamise dokumenteerima kooskõlas oma vastutamise kohustustega. Artikli 14 lõike 5 punktis b on täpsustatud, et ka sellisel juhul peab vastutav töötleja võtma asjakohased meetmed andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks. Asjakohased meetmed peab vastutav töötleja kasutusele võtma ka siis, kui teabe esitamine osutub võimatuks või tõenäoliselt muudab töötlemise eesmärkide saavutamise võimatuks või häirib seda suurel määral. Üks artikli 14 lõike 5 punktis b nimetatud asjakohane meede, mida vastutavad töötlejad peavad alati võtma, on teabe avalikult kättesaadavaks tegemine. Andmekaitse töörühma suunistes on välja toodud, et vastutav töötleja saab teha seda mitmel viisil, näiteks pannes teabe veebisaidile, reklaamides teavet ennetavalt ajalehes või ruumides olevatel plakatitel.4“ Palume eelnevat arvesse võttes täiendada taotluse vormi punkti 8 ning taotluse vorm uuesti AKI-le esitada, tuues välja kõigi uuringus töödeldavate isikute kohta nende teavitamise protsess ja/või teavitamata jätmise alus. Kui aluseks on artikli 14 lõige 5 punkt b, siis tuua välja ka asjakohane meede, mida kasutatakse andmesubjekti õiguste, vabaduste ja õigustatud huvide kaitsmiseks ja teabe avalikult kättesaadavaks tegemiseks. Muudetud osa palume taotluse vormil algtekstist eristada. 2. Olete täpsustanud, et Teie volitatud töötleja Sihtasutus Poliitikauuringute Keskus Praxis kasutab Microsoft365 pilveteenust ja Microsoft hoiab Euroopa Liidu liikmesriikide andmeid Euroopa Liidus (vt https://docs.microsoft.com/en- us/microsoft365/enterprise/eu-data-storage-locations?view=o365-worldwide). 3 Sama on artikli 14 lg 5 p b osas välja toodud ka andmekaitse töörühma (Euroopa sõltumatu nõuandeorgan andmekaitse ja eraelu puutumatuse küsimustes) suunistes IKÜM-i kohase läbipaistvuse kohta (punkt 61, lk 30). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf 4 Andmekaitse töörühma suunised IKÜM-i kohase läbipaistvuse kohta (punkt 64, lk 31). Suunised on kättesaadavad veebilehel: https://www.aki.ee/sites/default/files/inspektsioon/rahvusvaheline/juhised/suunised_maaruse_2016679_kohase_l abipaistvuse_kohta.pdf 3 (4)  Seoses Teie antud täpsustustega palume täiendada taotluse vormi punkti 9 ning taotluse vorm uuesti AKI-le esitada. Ühtlasi juhime tähelepanu, et kuna loataotluse menetluse jooksul on Teie taotlus osaliselt muutunud oleme ka eelnevates pöördumistes palunud algse taotluse muutumisel taotluse vormi täiendada ning see AKI-le edastada. Seega palume hiljemalt kuupäevaks 11.08.2021 taotluses esinevad puudused kõrvaldada, lisades selgitused ja täpsustused taotlusvormile. Muudetud osa palume algtekstist eristada. Ühtlasi pikendame teadusuuringu loa taotluse menetlemise tähtaega kuni 25.08.2021. Tähtajaks puuduste kõrvaldamata jätmise korral võib Andmekaitse Inspektsioon vastavalt haldusmenetluse seaduse § 15 lg 3 jätta taotluse läbi vaatamata. Lugupidamisega /allkirjastatud digitaalselt/ Grete Leesmann jurist peadirektori volitusel 4 (4)