Selgitustaotlus

From: Richard Veltri [mailto:[email protected]] Sent: Tuesday, January 9, 2018 2:22 PM To: AKI info <[email protected]> Subject: [VÄLJAST] General Data Protection Regulation. Tere Võtan Teiega ühendust ettevõttest Coolbet (Staycool OÜ), kes tegutseb Eestis ja on Eesti Hasartmänguliidu poolt litsentseeritud (litsentsid: HKL000206, HKL000207, HKT000028, HKT000027). Ettevõte tegutseb mitmes jurisdiktsioonis, nimelt: Eesti, Norra, Soome ja Rootsi riigis. Lähtuvalt sellest, et käesoleva aasta jooksul jõustub üle Euroopaline uus andmekaitse direktiiv, General Data Protection Regulation, siis sooviksin konsulteerida Andmekaitse inspektsiooniga ning saada täiendavat informatsiooni. Eesmärk on veenduda, et oleme täies ulatuses uue direktiiviga kooskõlas, implementeerinud ja sätestanud vajalikud meetmed ning saada Andmekaitse inspektsioonilt täiendavat lisainformatsiooni kui ka juhendamist, mis võimaldaksid seda vajadusel täiustada. Allpool tooksin välja tegevused mida oleme teinud, kavandanud ning küsimused mille puhul on Teiepoolne tagasiside äärmiselt oodatud. Mida oleme seni teinud: 1) Määranud ettevõttes Data Protection Officer ametikoha. 2) Identitiseerinud kolmandad osapooled kellega Coolbet teeb koostööd:  Milliseid kliendiandmeid me nendega jagame.  Millisel kujul need edasi saadetakse. (mida nendest andmetest saab välja lugeda, kas klient on identifitseeritav mingil moel)  Kas andmed salvestatakse kolmanda osapoole poolt.  Kellel on andmetele ligipääs kolmanda osapoole poolt.  Kas kolmas osapool on GDPR compliant või valmistumas selleks.  Millised on võimalikud turvariskid seoses sellega, et kasutame kolmanda osapoole teenuseid.  Kas antud kolmanda osapoole teenuse kasutamine on meie ettevõttele vajalik, kas me saaksime edukalt operatiivselt tegutseda ka ilma selle teenuseta?  Kui esinevad riskid kolmanda osapoolega, siis kuidas me saaksime neid riske mitigeerida.  Kas mõni kolmas osapool, kellega me jagame kliendiandmeid, asub väljaspool EU piirkonda. Küsimused (2) a) Kaardistasime, millised on teenused mille puhul me peaksime kliendile andma valikuvabaduse ja teavituse, et kas ta soovib et tema andmeid kasutatakse antud operatiivsetes protsessides: nende hulka kuuluvad peamiselt turundusega seotud tegevused, nagu sms ja emaili saatmine. Mida peaksime veel kaalutluse alla võtma? b) Kas on kindel formaat millisel kujul antud dokumentatsioon tuleks koostada ning kas antud dokumendile peaks olema elektrooniline ligipääs tagatud, selleks et tõestada dokumentatsiooni olemasolu? 3) Kaardistasime ning dokumenteerisime:  Kuidas ettevõte kogub, hoiustab ja töötleb andmeid.  Kus asuvad meie ettevõtte serverid ja andmebaasid.  Kellel on ligipääs antud infrastruktuurile.  Millised on võimalikud riskid seoses meie infrastruktuuriga.  Kas hoiustame kõik andmed EU ala piires või asub osa infrastruktuurist väljaspool EU ala.  Tuvastasime, kas ja kus kohas oleks võimalik kasutada krüpteeringut. 4) Sätestasime:  Leitud riskiallikatele seoses infrastruktuuriga uued nõuded ning viisime läbi parendused mis hõlmasid: krüpteeringu kaardistamist (kus võimalik), dokumenteerisime kellel on millele ligipääs ning sätestasime sisemise poliitika kuidas tuleks sensitiivsete juurdepääsuandmetega ümber käia.  Vaatasime üle ettevõtte sisemise poliitika andmetetöötlemisel, eetika standardid ning kriteeriumid nende käitlemisel. Küsimused (4):  kuidas ning millisel ajaskaalal kliendiga suhelda olukordades kus, kliendil on küsimused või päringud tema andmete käitlemise osas, päringud erinevate andmete olemasolu kohta ? Nimelt, kas online lehel peaks olema nupp, millele vajutades klient saab teada millist infot tema kohta omame ning millistes protsessides me seda infot kasutame? Või piisab ka sellest, kui klient saab meile saata päringu kirja või emaili teel ning me vastame talle 30 päeva jooksul?  Andmete kustutamist ning kliendile andmete edastamist - nimelt meil on seadusest tulenevad kohustused teatud andmeid säilitada. Kas me peame kliendile kuidagi tõestama et me ei protsessi tema andmeid enam? Millisel kujul ja mil viisil me peaksime kliendile üle andma tema andmed? (data portability) Kas me oleme kohustatud ka midagi enamat tegema seoses data portability'ga? Nagu näiteks suunama mingil viisil kliendi andmed, tema soovil kolmandale osapoolele? 5) Andmete vajalikkus äri operatsioonide vajalikkusest lähtuvalt:  Viisime läbi inventuuri andmetest ning andme kategooriatest, mida iga kliendi kohta kogume.  Kirjeldasime iga unikaalse andme atribuudi osavajalikkust, töötlemise eesmärki ning millist väärtust see ettevõttele loob.  Kaardistamise milliseid andmeid tuleb ettevõttel salvestada ning hoiustada, Eestis kehtivast hasartmängu seadusest.  Tuvastasime millised on andmed, mida saaksime kustudada - kliendi soovil.  Ülalpool väljatoodu eesmärgiks oli rakendada andmehoidmise minimiseerimist ning mitte hoiustada ega protsessida andmeid, mis ei loo tegelikku, vajalikku ning seadusest tulenevat väärtust. Küsimused (5): Kas on kindel formaat millisel kujul peaks olema antud dokumentatsioon koostatud? 6) Tootearenduse ning integratsioonide eeskiri: 6.a) Tootearenduse seisukohalt oleme kehtestanud eeskirja mis kirjeldab järgmist  Milliseid riske tuleks silmas pidada projekti koostamisel uue IT arenduse jaoks. Kuidas on riskid maandatud või mitigeeritud?  Kus toimub andmete hoiustamine?  Klassifitseerimise nõude, millisesse kategooriasse antud arendus kuulub: kas see on seadusest tulenev, kas see on vajalik kriitiliste äri protsesside hõlbustamiseks või parendamiseks, kas see on tulevikus väärtust loov funktsioon või toode, milliseid kliendiandmeid antud toote või funktsiooni piires hakatakse töötlema - miks on nende töötlemine vajalik - millist väärtust see loob - kes on arendaja ning kellel on andmetele ligipääs.  Lisaks, kas antud tootega seoses on vajalik ka kliendi teavitus ning esmane nõusolek?  Kas seda nõusolekut peaks eraldiseisvalt küsima või käib see juba mõne olemasoleva kategooria alla. 6.b) Integratsioonide eeskiri: Dokumenteerida milliseid andmeid me jagame integreeritavaga. Kas toimub andmete salvestamine. Kui jah, siis millised andmed salvestatakse. Kus piirkonnas toimub andmete töötlus või salvestamine. Kellel on ligipääs andmetele. Millised on turvariskid. Kuidas on turvariskid maandatud või mitigeeritud. Kas Coolbet saab omaltpoolt riskide mitigeerimisele kuidagi kaasa aidata. Kas klienti tuleks antud tegevusega seoses informeerida. Küsimused (6):  Mida teha kliendi andmetega kes pole olnud aktiivsed üle teatava perioodi, näiteks üle 12 kuu?  Kas meil on kohustus hoida kõikide klientide andmed alati uuendatuna? Kas piisab kui palume klientidel seda teha või me oleme kohustatud kasutama mõnda kolmandat osapoolt selle lahenduseks? Näiteks inimesed tihtipeale kolivad, kuid meie portaalis nad ei uuenda aadressi.  Kas me oleme kohustatud kliendi soovil, suunama ja saatma tema "andmete paketi" konkureeriva või üldiselt teise ettevõtte käsutusse?  Millised on kriitilised protsessid ning andmete kasutusalad mida ettevõte teostab kliendiandmetega, millest me peaksime klienti teavitama? Veel enam, mille osas me peaksime luba küsima? Meie tegevused jagunevad:  Seadusest lähtuvad.  Äri kriitilised - st. esmatähtsad selleks,et läbi operatiivse tegevuse saaks firma täita oma peamisi ülesandeid.  Lisandväärtust loovad protsessid, ehk mis toetavad ja loovad väärtust põhiprotsessidele. Kuidas lähtuda olukorras, kus klient teeb kaebuse Norra, Rootsi või Soome andmekaitse inspektsioonile? - Kas peame neile vastama või peaksime enne teavitama Eesti Andmekaitse inspektsiooni? Milliste tegevuste puhul peaksime kliendilt küsima luba protsessimiseks? Mil kujul peaksime seda luba küsima ja kas eraldi iga tegevuse osas? Loodan et saate antud kontekstis, meie konkreetsele valdkonnale tuginedes nõu anda. Teie tagasisidet ootama jäädes Lugupidamisega Richard Veltri Project Manager _________________________ StayCool OÜ | Tel: (+372) 569 599 08 E-mail: [email protected] Web: coolbet.com | coolpickz.com