Käskkirja kinnitamine

KÄSKKIRI Tallinn 04.12.2024 nr 171 Eesti Kohtuekspertiisi Instituudi andmekaitsetingimuste kinnitamine Justiitsministri 04.10.2023 määruse nr 25 „Eesti Kohtuekspertiisi Instituudi põhimäärus“ § 11 lg 1 p 4 alusel ja ELi isikuandmete kaitse üldmääruse 2016/679 artiklis 12 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“ sätestatud nõuete täitmiseks ja füüsiliste isikute teavitamiseks nii andmete töötlemise põhimõtetest kui ka õiguste tagamisest: 1. Kinnitan Eesti Kohtuekspertiisi Instituudi andmekaitsetingimused, versioon 1 (lisatud). 2. Asjaajamisjuhil teavitada käskkirjast kõiki Eesti Kohtuekspertiisi Instituudi töötajaid. (allkirjastatud digitaalselt) Gunnar Tasa arenduse asedirektor direktori ülesannetes Merilyn Pallas 663 6608; [email protected]  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 1(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht 1. Eesmärk Eesti Kohtuekspertiisi Instituudi (edaspidi instituut) andmekaitsetingimuste kinnitamise eesmärgiks on ELi isikuandmete kaitse üldmääruse 2016/679 artiklis 12 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“ sätestatud nõuete täitmine ning füüsiliste isikute (edaspidi andmesubjekt või isik) teavitamine nii andmete töötlemise põhimõtetest kui ka õiguste tagamisest. 2. Ulatus Juhend laieneb kõikidele instituudi töötajatele ja kõikidele instituudiga seotud andmesubjektidele. 3. Üldnõuded 3.1 Instituudi andmekaitsetingimused sätestab instituudile, kui andmete vastutavale töötlejale, isikuandmete töötlemise nõuded. 3.2 Instituut võib olla vastutava töötleja rolli kõrval ka volitatud töötleja rollis (nt lepingutes kontaktisikute või töötajate andmete töötlemisel). 3.3 Volitatud töötlejana töötleb instituut isikuandmeid ainult vastutava töötleja nimel, lepingu või muu õigusakti alusel. 4. Tegevused ja vastutused 4.1 Instituut on teadlik vastutusest, mis andmekaitsetingimuste kehtestamisega asutusele kaasneb. 4.2 Instituudi andmekaitsetingimused ei hõlma teisi riiklike registrite ja infosüsteemide, isikuandmete töötlemise eesmärke, ulatust ja viise, avalikkusele kättesaadavaks tegemise tingimusi ja isiku poolt enda andmetega tutvumise õigusi ja korda, mis on sätestatud, kas seadustes (näiteks kohtuekspertiisiseadus) või seadustes sisalduvate volitusnormide alusel vastu võetud määrustes (näiteks riikliku süüteomenetluse biomeetriaregistri põhimäärus). 4.3 Instituut töötleb isikuandmeid alljärgnevatel juhtudel: 4.3.1 instituudile teabenõude, selgitustaotluse, märgukirja vm taotluse esitamisel; 4.3.2 olles osaline riigihangetes ja sõlmitud lepingute täitmisel (sh andmesubjektidega sõlmitud lepingud, töövõtulepingud); 4.3.3 instituuti tööle kandideerimisel; 4.3.4 instituudi külastamisel; 4.3.5 instituudi veebilehe külastamisel; 4.3.6 kohtuekspertiisi infosüsteemi kasutamisel. 4.4 Instituudi tegevused isikuandmete töötlemisel: 4.4.1 Teabenõude, selgitustaotluse, märgukirja vm taotluse esitamine Märgukirjas, teabenõudes, selgitustaotluses või ka muus taotluses (näiteks isiku isikuandmetega seotud õiguste kasutamisel) sisalduvaid isikuandmeid kasutatakse pöördumise läbivaatamiseks ja vastamiseks. Kui isikule vastamiseks peab kelleltki järelepärimisi tegema, avaldab instituut isiku isikuandmeid üksnes minimaalselt, hädavajalikus mahus.  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 2(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht Kui instituut peab isikule vastamiseks väljastama isiku või kolmanda isiku juurdepääsupiiranguga isikuandmed, peab olema veendunud isiku isikusamasuses. Seetõttu peab isik oma pöördumise omakäeliselt või digitaalselt allkirjastama. Isiku pöördumise andmestik on avaliku teabe seaduse kohaselt nähtav instituudi dokumendiregistris. Registreeritud juurdepääsupiiranguga dokumentide puhul on avalikust dokumendiregistrist nähtavad vaid saatja või saaja initsiaalid, mitte nimi ega dokumendi sisu. Kui instituuti on saadetud pöördumine, millele vastamine on teise asutuse pädevuses, siis edastab instituut selle asjaomasele asutusele. Instituut teavitab pöördumise edastamisest ka isikut. Eraisikutega peetav kirjavahetus on juurdepääsupiiranguga. Kui keegi tahab (konkreetse) isiku kirjavahetusega tutvuda ja esitab teabenõude, siis teabenõude saamisel vaadatakse üle, kas küsitud dokumenti saab täielikult välja anda või väljastada osaliselt. Juurdepääsu piiramine sõltub dokumendi sisust. Võimalikud juurdepääsupiirangute alused on toodud avaliku teabe seaduses (§ 35). Sõltumata juurdepääsupiirangust väljastab instituut dokumendi asutusele või isikule, kellel on otsene seadusest tulenev õigus seda küsida (nt uurimisasutus, kohtuväline menetleja või kohus). Eraisikutega peetud kirjavahetust (teabenõuded, märgukirjad jne) säilitatakse dokumendihaldussüsteemis viis aastat. Selle tähtaja ületanud dokumendid kuuluvad hävitamisele. Instituudi töötajate ametlikele e-postiaadressidele edastatud e-kirju, mida dokumendihaldussüsteemis ei registreerita säilitatakse üldjuhul 1 aasta. Instituudis võib koostada kirjavahetuse statistikat ja kokkuvõtteid (umbisikuliselt (nimedeta)) ning kasutada asutusesiseselt oma töö kvaliteedi hindamiseks. 4.4.2 Riigihangetes osalemine ja sõlmitud lepingute täitmine (sh eraisikutega sõlmitud lepingud, töövõtulepingud) Instituut võib isikuandmeid töödelda riigihangetes ja sõlmitud lepingute täitmisel, kui riigihanke pakkumuses või sõlmitud lepingus on isik kontaktisikuna vmt rollis nimetatud. Sellisel juhul töötleb instituut isikuandmeid ulatuses, mis on riigihankes osaleva pakkuja või lepingu täitmisel lepingu partneri esitatud nimetatud eesmärkide täitmiseks. Samad tingimused laienevad ka juhul, kui lepingu täitmisel kasutatakse mingil põhjusel alltöövõttu. Lepinguid säilitatakse 10 aastat lepingu lõppemisest. Selle tähtaja ületanud lepingud kuuluvad hävitamisele ja teave kustutatakse. 4.4.3 Instituuti tööle kandideerimine Vabade töökohtade info on leitav instituudi kodulehel. Instituuti tööle kandideerides sh värbamisprotsessis töödeldakse järgmisi kandideerija andmeid (kvalifikatsiooni, kompetentsuse ja sobivuse hindamiseks):  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 3(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht 1. põhiandmed (nimi, kontaktandmed), mis võimaldavad instituudil kandideerijaga suhelda; 2. tööalane teave (haridus, töökogemus ja oskused), mis aitab instituudil hinnata kandidaadi sobivust töökohale; 3. valikuprotsessi tulemused (testide ja intervjuude tulemused), mis toetavad valikuprotsessi objektiivsust ja läbipaistvust. Kandidaadi isikuandmeid töötlevad värbamisprotsessis osalevad töötajad. Teistel töötajatel juurdepääs tööle kandideerija isikuandmetele puudub. Kandidaatide isikuandmed kogunevad kandideerimiskuulutuses nõutavate dokumentide esitamisel, sealjuures: 1. lähtutakse kandidaadi enda avaldatud teabest ning avalikest allikatest (sh meedia, k.a artiklid, salvestised, suhtlusvõrgustikud, blogid jne; avalikud registriandmed, k.a karistusregister, äriregister, kohtulahendid jne); 2. on kandidaadil õigus teada, milliseid andmeid on instituut tema kohta kogunud; 3. on kandidaadil õigus instituudi kogutud andmetega tutvuda ja anda selgitusi ning esitada vastuväiteid; 4. eeldab instituut, et kandideerimisdokumentides esitatud soovitajatele on kandideerija andnud nõusoleku enda kohta käivatele küsimustele vastamiseks, samuti on soovitajad nõustunud sellega, et instituut võib nende poole teabe saamiseks pöörduda; 5. ei avaldata kandideerija andmeid teistele kandidaatidele, samuti ei avaldata kandideerijale teiste kandidaatide andmeid. Kandidaatide andmed on juurdepääsupiiranguga teave, millele kolmandad isikud (sh pädevad asutused) saavad juurdepääsu ainult seaduses sätestatud juhtudel. Kandideerijate isikuandmeid säilitatakse värbamisprotsessi läbiviimiseks ja võimalike õigusvaidluste lahendamiseks kuni sellise nõude aegumiseni. Kandideerimisprotsessi lõppedes kustutakse kandideerija andmed, va juhul, kui kandideerija on andnud nõusoleku andmete säilitamiseks tulevaste tööpakkumiste jaoks. Mittevalituks osutunud kandidaadi kandideerimisdokumente säilitatakse võimalike õigusvaidluste lahendamise eesmärgil üks aasta alates äraütlevast otsusest. Kirjavahetust töösuhete, personali jmt küsimustes säilitatakse 5 aastat. Praktika-, töövõtu-ja käsunduslepinguid säilitatakse 7 aastat ja töölepinguid 10 aastat alates lepingu lõpetamisest. Tähtaja ületanud dokumendid kuuluvad hävitamisele. 4.4.4 Instituudi külastamine Instituuti, Tervise 20, Tallinnas kohtumisele või koosolekule tulles võtab külalise(d) vastu külalise(d) kutsunud töötaja. Instituudi töötajal on õigus instituuti külastatavalt isikult paluda isikut tõendavat dokumenti, et kontrollida isikusamasust. Instituuti külastatav isik registreeritakse instituudi külaliste registreerimise programmis. Vajadusel antakse külalisekaart, millega lubatakse koosolekuruumi. Majas liigutakse saatjaga.  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 4(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht Instituudi külaliste registreerimise programmi kantud andmeid säilitatakse 12 kuu jooksul alates instituudi külastamisest ning pärast tähtaja möödumist andmed kustutatakse. Instituudi hoones (ruumides) ja selle ümbruses on ööpäev läbi toimiv videovalve. Liikumine hoones ja territooriumil (parklad, hoonega piirnevad alad) salvestatakse turvakaalutlustel. Videosalvestisi ja uksekaardilogisid haldab instituut. Videosalvestisi säilitatakse 4 kuud ja uksekaardilogisid 12 kuud. Instituudi struktuuriüksustesse kohtumisele või koosolekule tulles võtab külalise(d) vastu külalise(d) kutsunud töötaja. Lääne-Eesti kohtuarstliku osakonnas on kasutuses SA Pärnu Haigla turvakaamerad, mis on paigaldatud turvalisuse, patsientide ohutuse ning ravi kvaliteedi tagamise eesmärgil Pärnu Haigla välisterritooriumile ja siseruumidesse. Turvakaamerate lähedusse on lisatud sellekohased teavitused. Lõuna-Eesti kohtuarstliku osakonnas on kasutuses Tartu Ülikooli Biomeedikumi turvakaamerad, mis on paigaldatud turvalisuse tagamise eesmärgil Biomeedikumi välisterritooriumile ja siseruumidesse. Turvakaamerate lähedusse on lisatud sellekohased teavitused. Uksekaardilogisid haldab Biomeedikum. Ida-Eesti kohtuarstliku osakonnas on kasutuses Riigi Kinnisvara Aktsiaseltsi turvakaamerad, mis on paigaldatud turvalisuse tagamise eesmärgil osakonna kasutuses oleva hoone välisterritooriumile ja siseruumidesse. Turvakaamerate lähedusse on lisatud sellekohased teavitused. Turvakaamerate salvestiste käitlemist haldab Riigi Kinnisvara AS. 4.4.5 Instituudi veebilehe külastamine Instituudi veebilehte külastades kogutakse järgmisi andmeid: 1. kasutatava arvuti või arvutivõrgu internetiaadress (IP-aadress), millest on võimalik tuletada kasutatava arvuti või arvutivõrgu internetiteenuse pakkuja nimi ja aadress; 2. kasutatava arvuti veebilehitseja ja operatsioonisüsteemi tarkvaraversioon; 3. veebilehe külastamise aeg (kellaaeg, kuupäev, aasta). Instituut ei seo IP-aadresse muu isikut tuvastava teabega. Andmeid kogutakse ja säilitatakse selle kohta, millist veebilehe osa külastati ja kui kaua seal peatuti. Neid andmeid kasutab instituut külastusstatistika koostamiseks, et selle põhjal veebilehte arendada ja muuta see külastajasõbralikumaks. Andmeid säilitatakse 12 kuu jooksul alates veebilehe külastamisest ning pärast tähtaja möödumist andmed kustutatakse. Andmetele võivad lisaks instituudi töötajatele juurdepääsu saada Registrite ja Infosüsteemide Keskuse töötajad, kellel on selleks instituudi info- ja sidesüsteemide ekspluatatsiooni ning hoolduse korraldamise ja teostamisega seotud tööülesannete täitmisest tulenev otsene vajadus. Muudele isikutele/asutustele võib isiku andmeid edastada üksnes juhul, kui neil on selleks otsene seadusest tulenev õigus (näiteks kohus või kohtueelne menetleja) ja põhjendatud vajadus.  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 5(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht Facebooki (Meta), Linkedin’i või Youtube’i lehte instituut ei kasuta. Küpsised Infoturbe eesmärgil (õiguslik alus: küberturvalisuse seadus §7 lg 1 p 1 ja 3) kasutatakse avalikkusele juurdepääsetavatel veebilehtedel CloudFlare’i rakendust, mis lisab kasutaja arvutisse 2 küpsist (_cf_bm ja_ cfuvid). Küpsiste seadmise eesmärk on reguleerida liikluskoormust veeblehe paremaks toimimiseks ning küberintsidentide ennetamiseks ja need ei identifitseeri kuidagi individuaalset külastajat ega jälita tema tegevust veebis. Teenust vahendab Justiitsministeeriumi haldusalale Riigi Infosüsteemide Amet. 4.4.6 Kohtuekspertiisi infosüsteemi kasutamine Kohtuekspertiisi infosüsteemi (edaspidi KEIS) peetakse instituudi kohtuekspertiisiseadusest tulenevate ülesannete täitmiseks. Kohtuekspertiisiseaduse alusel kantakse KEISi: 1. andmed ekspertiiside ja uuringute kohta, sealhulgas isikuandmed; 2. andmed ekspertiisiks ja uuringuks esitatud materjalide ja asitõendite kohta; 3. andmed menetlusasjadega mitteseotud tasuliste uuringute kohta, sealhulgas isikuandmed; 4. andmed võrdlusmaterjali kohta. KEISi kantud andmeid säilitatakse kohtuekspertiisiseaduses vm seaduses sätestatud aja jooksul. Säilitustähtaja möödumisel kantakse KEISi kantud andmed arhiivi ning säilitatakse kohtuekspertiisiseaduses vm seaduses sätestatud arhiveerimistähtaja jooksul, mille möödumisel need kustutatakse. Andmete alusdokumente säilitatakse elektroonsel kujul või paberkandjal vähemalt sama kaua, kui andmed on kantud KEISi. Tähtaja möödumisel võib paberkandjal alusdokumendid arhiiviseaduse alusel viia üle vastavasse arhiivi või otsustada nende hävitamise. Elektroonsel kujul säilitatavatele alusdokumentidele kohaldatakse KEISi kantud andmete kohta sätestatut. KEISi volitatud töötleja on instituut ning haldajaks Registrite ja Infosüsteemide Keskus. KEISi kantud andmetele juurdepääsu võivad saada vastutava töötleja, volitatud töötleja ja/või halduri töötajad, kui selline vajadus tuleneb nende tööülesannetest. Muudel isikutele/asutustel on KEISi andmetele juurdepääsuõigus järgmistel juhtudel: 1. riigi- ja kohaliku omavalitsuse asutusel ning juriidilisel või füüsilisel isikul seadusega sätestatud ülesannete täitmiseks; 2. välisriigi asutusel ja isikul, kui see õigus on sätestatud välislepinguga. 5 Seonduvad dokumendid 5.1 ELi isikuandmete kaitse üldmäärus 2016/679 artikkel 12 „Selge teave, teavitamine ja andmesubjekti õiguste teostamise kord“; 5.2 Isikuandmete kaitse seadus; 5.3 Avaliku teabe seadus; 5.4 Küberturvalisuse seadus;  Kinnitatud 04.12.2024 käskkirjaga nr 171 Sari: 1-1 Eesti Kohtuekspertiisi Instituut Versioon: 1 Dokumendi liik: Haldustegevuse korrad, eeskirjad ja Lk: 6(6) juhendid Koostatud: 21.11.2024 Eesti Kohtuekspertiisi Instituudi Koostas: M. Pallas Pealkiri: andmekaitsetingimused Haldaja: asjaajamisjuht 5.5 Kohtuekspertiisiseadus; 5.6 KEISi põhimäärus.