From: Urmo Sutermäe
Sent: Friday, 24 November 2017 17:19:30 (UTC+02:00) Helsinki, Kyiv, Riga, Sofia, Tallinn, Vilnius
To: AKI info
Subject: [VÄLJAST] Logimise nõude täpsustamine
Tere
Pöördun Teie poole lootuses saada selgust GDPR-is sätestatud logimise nõude täitmise kohta.
Vastutan Tallinna lennujaamas GDPR-i rakendamise eest. Täpsustan praegu arendusprojektide
skoopi, mille käigus on peamised küsimused seotud just logimise nõude tehnilise
implementeerimisega. Pean arenduspartneritele tehniliselt kirjeldama, kuidas tuleb logimine
infosüsteemides realiseerida. Soovin seda teha mõistlikult, vastavalt meie andmeturbe vajadustele ja
GDPR-iga kooskõlas.
GDPR nõuab, et isikuandmete töötlemise toimingute kohta logitakse: kogumine, muutmine,
lugemine, avalikustamine (sh edastamine), ühendamine ja kustutamine. Kuna GDPR ei defineeri
nimetatud toiminguid ega kirjelda tehnilisi logimise nõudeid, ei ole arusaadav, mida ja kuidas tuleb
logida.
Mida mõeldakse täpsemalt andmete lugemise all? Kas ka otsing isikuandmete järgi ja sellele vastava
otsingu tulemuste kuvamine?
Mida ja kuidas tuleb sellisel juhul logida:
(1) kui kasutaja otsib infosüsteemist andmeid isiku nime järgi;
(2) kui kasutajale kuvatakse otsingu tulemusena või infosüsteemi avamisel isikuandmed.
Kuidas tuleb logida andmete muutmine? Kas peab logima kogu diffi ehk esialgne andmete koosseis ja
sisu ning uus andmete koosseis ja sisu või piisab, kui logida andmete muutmise fakt.
Antud juhul toon näiteks dokumendihaldussüsteemi, mis hõlmab isikuandmeid sisaldavaid vaateid ja
loendeid (hanked, hankeplaan, projektid, tööülesanded) ning dokumentide metaandmeid.
Isikuandmete töötlemist analüüsides oleme jõudnud järeldusele, et isikuandmete
lugemist/vaatamist/nägemist ei ole mõistlik logida, kuna seda on keeruline ja mõnel juhul ka võimatu
täielikult realiseerida. Lisaks tekitab see suures hulgas logikirjeid, mille säilitamine vajab palju vaba
kettapinda.
Kas on lubatud andmete lugemise logimine jätta rakendamata?
Kuna GDPR ei sätesta tehnilisi logimise nõudeid, kas ettevõttel on lubatud need ise määrata vastavalt
praktilistele vajadustele ja andmekogu turvaklassile?
Ette tänades
Urmo Sutermäe
Infoturbejuht
AS Tallinna Lennujaam
Lennujaama tee 12, Tallinn 11101
Telefon +372 6058104 |
[email protected] Mobiil +372 5156840 www.lennujaam24.ee