Selgitustaotlus Andmekaitse Inspektsioonile Täitke palun kõik kohustuslikud väljad, mis on tähistatud tärniga (*). 1. Andmed selgitustaotluse esitaja kohta* Kadri Erm DPO / Bigbank AS /:* Tartu mnt 18, Tallinn :* Telefon: 6681835, E-mail:
[email protected] (palun vastust siia) Täites kontaktandmete välja, märkige palun aadress, millele saadetakse meie vastus. 2. Selgitustaotluse valdkond Palume võimaluse korral ise ära määratleda, mis valdkonnaga seotud selgitusi soovite. ☐ avaliku teabe asjas ☒ isikuandmete asjas ☐ elektroonilise otsepostituse asjas ☐ muus asjas (täpsustage) : ….. 3. Selgitustaotluse sisu (soovitud selgituste kirjeldus)* Tere, Meile kirjutab klient (kes on võlgu jäänud pangale), et soovib saada järgnevat infot oma isikuandmete töötlemise kohta. Lisan siia kliendi inglise keelse kirja väljavõtte ka. „ This Sunday 8.4. she again sent a long list of GDPR related demands in total 13 question , of which two are the following : She demands that we send her all conversations via Message Center, Chat or Email (message content + timestamp). Also include third-party messages and any internal logs and notes. She demands that we reveal to her what privacy policies and standards do you follow to protect your personal information? Backups, encryption, protection against theft and loss? Are there any technologies / services available to detect potential data breaches? firewall or other intrusion detection system? Monitoring / auditing databases and event logs? “ Seega ta soovib saada teavet , et me saadaksime kõik vestlused sõnumikeskuse ga , vestluse d või e-posti d (sõnumi sisu + ajatempel). Sealjuures sõnumid kolmanda osapoole ga (siin ta võibolla mõtleb võlanõuete menet l ejat ) ja kõik sisemised logid ja märkmed . Lisaks soovib ta , et edastaksime talle privaatsuspoliitikad ja ettevõtte standardid. Ehk milliseid privaatsuspoliitik aid ja standardeid järgime , et kaitsta oma isikuandmeid . Varukoopiad, krüpteerimine, kaitse varguse ja kadumise eest? Kas on võimalikke tehnoloogiaid / teenuseid võimalike andmete rikkumiste tuvastamiseks? tulemüüri või muu sissetungimise avastamise süsteemi? Andmebaaside ja sündmuste logide jälgimine / auditeerimine? Siinjuures on meil küsimus, kui kaugele peab ettevõte minema, et täita Euroopa üldmääruse -st tuleneva t andmesubjekti õigust tutvuda oma isikuandmetega ? Võttes arvesse Euroopa ü ldmääruse p 63 , peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. See hõlmab andmesubjektide õigust tutvuda oma terviseandmetega, näiteks oma tervisekaardile kantud andmetega, mis sisaldab sellist teavet nagu diagnoos, arstliku läbivaatuse tulemus, raviarstide hinnangud ning mis tahes teostatud ravi ja sekkumised. Igal andmesubjektil peaks seega olema õigus teada eelkõige isikuandmete töötlemise eesmärke, võimaluse korral isikuandmete töötlemise ajavahemikku, isikuandmete vastuvõtjaid, isikuandmete automaatse töötlemise loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt juhul kui töötlemine põhineb profiilianalüüsil) ning saada eelneva kohta teate. Võimaluse korral peaks vastutav töötleja saama anda kaugjuurdepääsu turvalisele süsteemile, kus andmesubjekt saab otse tutvuda oma isikuandmetega. See õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine. Kui vastutav töötleja töötleb suurt hulka andmesubjekti käsitlevat teavet, peaks vastutav töötleja saama paluda, et andmesubjekt täpsustaks enne andmete esitamist, millise teabe või milliste isikuandmete töötlemise toimingutega taotlus seotud on. Antud juhul, panga seisukohalt, laiendab klient antavat õigust liikudes juba edasi panga ärisaladust sisaldavatesse kordadesse, standarditesse. Samuti meilivahetused- need sisaldavad ka teiste isikute isikuandmeid. Samas meilivahetused tema endaga on tal ju endal olemas või peaks olema olemas. Meilivahetus kolmanda osapoolega, kuidas siin läheneda? Kui tema ei ole olnud meilivahetuse osapooleks, siis mis ulatuses ja kuidas infot välja võtta sellest ja kas see on põhjendatud. Kuna ta ei täpsusta, milliseid meilivahetusi ta soovib ja kellega, siis peaks nagu kõigest teda informeerima (eelduslikult kus siis on tema kohta nt infot jagatud)? Seega palume Andmekaitse Inspektsioonil tõlgendada vastavat andmesubjekti õigust ja anda meile sellekohane tagasiside. Lugupidamisega, Kadri Erm Bigbank DPO Koht, kuupäev ja allkiri: Tallinn, Bigbank, 24.04.2019 /allkirjastatud digitaalselt/