2448560 0 0 0 -864235 -144145 0 0 Lp Sinan Elver CEO Reachpeople OÜ
[email protected] Teie: 21 .0 5 .2018 Meie: 24.05.2018 nr 2.1.-5/18/1251 Vastus selgitustaotlusele Andmekaitse Inspektsioon sai Teie selgitustaotluse, milles soovite selgitus i mitme teema kohta seoses isikuandmete kaitse üldmäärusega (edaspidi: üldmäärus ). Esitan vastused Teie küsimustele samas järjekorra, mis on toodud Teie selgitustaotluses. Rõhutan, et vastamisel on lähtutud ainult Teie selgitustaotlus es esitatud kirjeldusest, kuid t egemist ei ole õigusnõu andmisega, vaid õigusalaste selgituste esitamisega. Seega, kui sellest on jäänud mingi teave tahtlikult/kogemata välja, siis ei ole välistatud, et allpool esitatud selgitused võivad muutuda. Vastus 1: inspektsioonil pu udub teadmine asutustest/ettevõtetest , kes saaksid Teie välja töötatud lahendust ning selle infrastruktuuri kooskõlastada või sertifitseerida. Vastus 2: kui tegemist on kolmandatesse riikidesse isikuandmete edastamisega üldmääruse mõistes, siis ainult teatavatel juhtudel on vajalik inspektsiooni luba taotleda (toimub üldmääruse art 46 lõikes 3 toodud olukordades ning artikli 47 korral ) . Seetõttu soovitan ennekõike selgeks teha, kas kohaldub üldmääruse artiklist 49 tulenevad erisused või on olemas Euroopa Komisjoni otsus piisava andmekaitsetasemega riigi osas ( üldmääruse art 45) . Kui need erisused ei kohaldu, siis tasub üle kontrollida, kas kohaldub mõni üldmääruse art 46 lõikest 2 tulenev olukord. Märgin, et i sikuandmete edastamine välisriiki on ennekõike olukorras, kus ka reaalselt ühest riigist edastatakse isikuandmeid teise riiki ning selles vastuvõtvas riigis toimub edastatud isikuandmete töötlemine. Vastus 3: seos ISO 27001 ning üldmääruse erisuste ning sarnasuste osas inspektsioonil teadmine puudub, kuna inspektsioon ei ole sellekohast analüüsi teostanud. Samas on veebist leitavad mitmed artiklid (nt kui kasutada otsingusõnu „ ISO 27001 vs gdpr “), mis justkui viitavad võimalusele kasutada ISO 27001 nõudeid, et saada üldmäärusele vastavaks. Samas on ka artikleid, mis ütlevad, et ISO 27001 rakendades ollakse osaliselt üldmäärusele vastav ning täiendavalt on vaja teha ka täiendavaid toiminguid. ISO 27000 perekond on kindlasti üks täiendav garantii infoturbe pädevas rakendamises, kuid kindlasti ei anna see tõendust üldmääruse muude nõuete osas. Näiteks on veel ISO 29134 privaatsusmõjude hindamiseks jne. Lugupidamisega Raavo Palu õigusdirektor p eadirektori ülesannetes