ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Maris Kolk Teie 03.10.2023
Neomind OÜ
Meie 03.11.2023 nr 2.1.-5/23/2552-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon sai Teie pöördumise, milles palute selgitada, kas andmekaitse
seisukohalt on lubatav, et kaks asutust kasutab sama litsentsi alusel ühte perearstiprogrammi.
Esmalt toon välja, et litsentsidega seonduv ning nende kasutamine kahe juriidilise isiku poolt
samaaegselt on võlaõiguslik küsimus, millele Andmekaitse Inspektsioon hinnangut ei anna. Küll
aga selgitan Teile täiendavalt andmekaitse nõudeid, millele on sel juhul oluline tähelepanu pöörata.
Igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus – kas isiku nõusolek või muu
seadusest tulenev alus (isikuandmete kaitse üldmääruse (IKÜM) artiklid 5 ja 6). Olukorras, kus
tegemist on aga eriliigiliste isikuandmete (sh terviseandmed) töötlemisega, saab õiguslik alus
andmetöötluseks tuleneda IKÜM artiklist 9. Viidatud artiklite kesksed nõuded ja põhimõtted
ütlevad muuhulgas, et isikuandmete töötlus peab olema seaduslik, eesmärgipärane, minimaalne,
läbipaistev ning peab olema tagatud konfidentsiaalsus.
IKÜM art 5 lg 1 punktis f mainitakse, et isikuandmeid tuleb töödelda viisil, mis tagab isikuandmete
asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku
kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke
meetmeid. Isikuandmeid tuleks töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse ja
konfidentsiaalsuse.
IKÜM art 32 lõige 1 kohustab nii vastutavat kui volitatud töötlejat tagama andmetöötluse
turvalisus. Võetud korralduslikud ja tehnilised meetmed peavad olema proportsionaalsed füüsiliste
isikute õigusi ja vabadusi ähvardavate ohtudega, mis tulenevad isikuandmete juhuslikust või
ebaseaduslikust hävitamisest, kaotsiminekust, muutmisest ja loata avalikustamisest või neile
juurdepääsust. Eriti oluline on tagada, et kõrvalised isikud ei pääseks ligi isikuandmetele. Jagatud
tehniline platvorm ei tohi olla jagatud ligipääsuga andmestik. Seega tuleb Teil ühe litsentsi alusel
programmi kasutades täiendavalt läbi mõelda, kuidas tagada seda, et üks asutus ei pääse teise
asutuse sisemisse vaatesse.
Elementaarsemad infotehnilised turvameetmed on ennekõike seotud tarkvara uuendamise,
viirusetõrje omamise ja tulemüüride kasutamisega. Seega tuleb täiendavalt läbi mõelda, kuidas on
tagatud andmete turvalisus, mh olukordades, kus tekivad probleemid programmi kasutamisel.
Näiteks kas on eraldi lepingud teenusepakkujaga, kuigi litsents on üks. Mis ulatuses on võimalik
lepingu(litsentsi)tingimusi ühepoolselt muuta? Kuidas on tagatud kasutajaõiguste haldus,
välistamaks olukorda, kus teise asutuse andmetele on võimalik ligi pääseda? Kas on tagatud kahe
asutuse ühtne lähenemine riskidele? Kas süsteemi rikete korral on koheselt halvatud ka teise
asutuse töö jne.
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee / registrikood 70004235
Korraga mitut ettevõtet puudutava infohalduse riskiks on mh ka vastutuse hajumine. Sellepärast
tuleb ühise litsentsi puhul rangelt tagada, et kõigist toiminguist jääks maha eraldiseisvad
kasutajalogid. Samuti peab olema tagatud, et andmete edastamisel tervise infosüsteemi on
andmeandjana märgitud korrektne andmetöötleja.
Täiendavalt rõhutan, et terviseandmete töötlemisel peab olema tavapärasest hoolsam, sest
võimalik privaatsuseriive on suurem ning enne andmete töötlemist peab olema veendunud, et see
vastab üldmääruse põhimõtetele ning on turvaline.
Loodan, et minu selgitustest oli abi.
Lugupidamisega
(allkirjastatud digitaalselt)
Kirsika Kuutma
jurist
peadirektori volitusel
2 (2)