From: Ly Vilo [mailto:
[email protected]]
Sent: Thursday, June 14, 2018 3:07 PM
To: AKI info <
[email protected]>
Subject: [VÄLJAST] Palve selgitada Andmekaitse seaduse eelnõu
Tere,
Palun selgitust alljärgnevatele küsimustele.
CSD Software OÜ on IT ettevõte. Meie kliendiks on rahvusvaheline korporatsioon,
peakorteriga Iiri Vabariigis. Klient kasutades meie toodet peab oma kontserni aktsiaregistrit.
Aktsionärideks võivad olla (register sisaldab) eraisikud tervest maailmast. Eeldatavasti asub
andmebaas serveris Iirimaal. Tugiteenust pakkudes saavad meile mõnikord nähtavaks (kuid
me ei tee ise mingeid toiminguid) aktsionäride andmed. Seega Andmekaitse Seaduse mõttes
on klient vastutav töötleja ja CSD Software OÜ volitatud töötleja. Isikuandmed võivad olla
meile (volitatud töötlejale) nähtavad kahel viisil:
1. Meie töötaja, kes asub Eestis ja kellele on klient ehk vastutav töötleja andnud
ligipäärsukoodid logib sisse registrisüsteemi, mis on eeldatavasti installeeritud Iirimaal
asuvasse serverisse. Meie ettevõtte poolt mingeid koopiaid andmebaasidest ei tehta.
2. Klient ehk vastutav töötleja saadab läbi Zendesk keskonna meile ehk volitatud
töötlejale ekraanipildi, mis sisaldab kliendi aktsionäride isikuanmeid. Koopia
andmetest jääb Zendeski serverisse ja meie ettevõtte serverisse. Zendesk on USA
ettevõte, mis on ühinenud Euroope Eraelukaitse kilbig (Privacy Shield). Zendesk
kinnitab, et hoiab andmeid Euroopa Liidus, kuid ei täpsusta riiki.
https://help.zendesk.com/hc/en-us/articles/229490288/
Klient ehk vastutav töötleja soovib, et andmetöötlus toimuks Iiri Vabariigi seadusete alusel.
Küsimused:
1. Kas Eesti ettevõte saab oma töös rakendada antud juhul Iiri Vabariigi õigust?
2. Kas ülaltoodud kaks erinevat andmete edastamise viisi avaldavad mõju rakendatavale
seadusele? Ma mõtlen siin, et kas ühe viisi korral võib rakendada Iiri seadust ja teise
puhul Eesti seadust.
3. Kas Zendesk on seaduse mõttes teine volitatud töötleja? Kui jah, siis palun selgitage
kuidas peaksid sajad Zendeski kliendid edastama vastutava töötlejana kohustuslikke
juhiseid volitatud töötlejale (Zendesk).
Selgitavaks näiteks Eestist: CSD Software OÜ kasutab Merit Tarkvara OÜ
raamatupidamisprogrammi pilveversiooni. Seega meie ettevõtte raamatupidamise
andmed sh isikuandmeid ei ole enam meie ettevõtte serveris vaid Merit Tarkvarale
pilveteenust osutavas ettevõtte serveris, mis võib asuda kus iganes.
Kas Merit Tarkvara on volitatud töötleja?
Kas pilveteenust osutav ettevõte on teine volitatud töötleja?
Kui Merit Tarkvara on volitatud töötleja ja/või pilveteenust osutav ettevõte on
teine volitatud töötleja, kuidas peaks CSD Software OÜ ehk vastutav töötleja
andma neile kohustuslikke kirjalikke juhiseid? Kas Merit Tarkava on
kohustatud järgima kõigi oma klientide (sajad kliendid) erinevaid juhiseid?
Kuidas kindlaks teha, kus tegelikult asub pilveteenuse riistvara/server ehk kus
füüsiliselt hoitakse isikuandmeid?
Lugupidamisega,
Ly Vilo
Finantsjuht
CSD Software OÜ
M: +372 53 425 385
E:
[email protected]
S: ly.vilo
www.percival.co.uk
Lõõtsa 2a, Tallinn, 11415, Estonia