Selgitustaotlus

From: Hardo Kasesalu [mailto:[email protected]] Sent: Wednesday, August 30, 2017 1:03 PM To: AKI info <[email protected]> Subject: [VÄLJAST] Küsimused seoses mais rakenduva andmekaitse reformiga Tere Kõige pealt lühidalt meie ettevõttest, tegeleme igapäevaselt digikaupade jaemüügiga kauplustes üle eesti kui ka interneti poes. Täpsemalt meie kohta infot leiab https://www.klick.ee/ettevottest/ Seoses tuleva aasta mai kuus rakenduva andmekaitse reformiga, oleme alustanud ettevõtte sees oma protsesside (mis puudutab just isikuandmete töötlemist) veelgi täpsemalt kaardistamist, analüüsi ja mõjuhinnangu koostamist. Samas seoses uue määrusega on meil tekkinud rida küsimusi ja selgusetust: 1) Andmesubjekti õigus olla unustatud artikkel 17 kohta. Juhul kui klient kirjutab meile näiteks avalduse, et ta soovib kõik andmed tema kohta oleksid kõik kustutud. Kas see tähendab ka koheselt seda, et oletame kui meil enam õigusliku alust pole kliendi andmete töötlemiseks (kauba pretensiooni esitamise aeg on möödas ütleme ja raamatupidamise seisukohast arevete arhiveerimis kohtustus 7.a on samuti möödas) peaksime oma majandustarkavaras kõik kliendi andmed kustutama igasugustelt konteeritud arvetelt ja kannetelt, samuti ka kui segatud nn kolmas osapool (nt kullerfirma kes kliendile paki kätte toimetas) peks tema samuti seda tegema? Kui jah, usun oleks see paljudel ettevõttetel tänaste tarkvaraliste lahenduste juures päris tõsine väljakutse ja suur kulu. Saab see tõesti nii olema? 2) Mida täpselt peetakse silmas juhtumipõhise ja mitte juhtumipõhise isikuandmete töötlemise juures? Kui näiteks meie püsikliendiprogrammiga liitub uus andmesubjekt (konkreetselt üks isik näiteks „Pipi Piksukk“), hiljem tema andmeid muudetakse, kustutakse või lisatakse müügitellimusele ja arvele. Kas sel juhul on tegemist juhtumipõhine isikuandmete töötlemine ning see ei peaks isikuandmete töötlemise registris kajastuma või logi selle kohta jääma? Kas mitte juhtumipõhiseks isikuandmete töötlemiseks, peetakse näiteks olukoda kui saadame kas ühele grupile või kõigile oma püsiklientidele informeerima kirja e-posti teel selle kuu uute pakkumistega? Sel juhul peaks kindlasti selle kohta isikuandmete töötlemise registris jälg jääma ja logi selle kohta? 3) Isikuandmete töötlemise registeerimine artikkel 30 kohta. Mis kujul või kuidas peaks välja nägema täpsemalt isikuandmete töötlemise register? Kas ta on olemuselt rohkem nagu lihtsalt loetelu, kus saab välja lugeda konkreetse protsessi õigusliku aluse, töötlemise eesmärgi, isikuandmete kooseisu ja kellele andmed veel edastaks? Register ei hakka ju ometi olema kujul, et kus kajastuvad kõik konkreetsed toimingud, mis kellegi isiku „A“ isikuandmetega tehti mingil „B“ ajahetkel tehti (näiteks saatsime kõigile oma püsiklientidele pakkumiste kohta kirja)? Või jääb see kuju samaks või sarnaseks, nagu varasemad näited on üleval Teie koduleheküljel http://www.aki.ee/et/abiks-vastutavale-isikule-andmetootlusregistri-koostamisel ?  4) Kliendi andmete ülekantavas artikkel 20 kohta. Mida tähendab täpsemalt vorming masinloetaval kujul? „2.Kui andmesubjekt kasutab lõike 1 kohaselt andmete ülekandmise õigust, on tal õigus nõuda, et vastutav töötleja edastab andmed otse teisele vastutavale töötlejale, kui see on tehniliselt teostatav.„ – Kas selle tehnilise teostamise, nn mitte võimekust peab ka kuidagi põhjendama/kinnitama/tõestama teisele volitatud töötlejale? 5) Logimine artikkel 25 kohta. „Liikmesriigid näevad ette, et peetakse logisid vähemalt järgmiste automatiseeritud töötlemissüsteemides tehtavate isikuandmete töötlemise toimingute kohta: kogumine, muutmine, lugemine, avalikustamine (sealhulgas edastamine), ühendamine ja kustutamine. Lugemist ja avalikustamist kajastavad logid peavad võimaldama teha kindlaks nimetatud toimingute tegemise põhjenduse, kuupäeva ja aja ning võimaluse korral ka teabe isikuandmeid lugenud ja avalikustanud isiku kohta ning selliste isikuandmete vastuvõtjate nimed.“ Kuidas sellest lõigust täpselt aru saada? Mis tähendab vähemalt automatiseertutitud töötlemisüsteemidest tehtatavatest toimingutest? Kas samad andmed ja toimingud, mis on põimitud läbi mitme erineva tarkavara lahenduse, peaksid moodustama kokku nn ühe ja ainsa logi? 6) Mis on täpsemalt õiguslikud alused? Kui me kirjutame lepingutingimustesse näiteks, et õiguslikalus on pakkuda klientidele paremat klienditeenindust ja suuremat toote valikut. Kas see oleks aktsepteeritav? 7) Kas AKI ise ka korraldab või teate soovitada koolitusi, mis käsitlevad uut andmekaitse määruse reformi? Kas Teie või mõni muu asutus, hakkab tulevikus ka näiteks ettevõtte andmekaitsespetsialiste sertifitseerima? Parimate soovidega, Hardo Kasesalu Majandustarkvara võtmekasutaja E-treeningu administraator Klick Eesti AS Mustamäe tee 44, Tallinn 10621 Tel: +372 666 8109 Mob: +372 5855 9330 E-mail: [email protected] Teate sisu, sh lisatud failid, on konfidentsiaalne ja mõeldud kasutamiseks ainult kirja adressaadile. Igasugune teate kasutamine vastuolus selle eesmärgiga on keelatud. Juhul kui olete saanud teate eksituse tõttu, palume Teil teavitada saatjat ja kustutada teade koos failidega. Palume vabandust tekitatud ebameeldivuste pärast. / This message, including any attachments, is confidential, may be privileged and is intended only for the use of the addressee. Any use of this message not in accordance with its intended purpose is prohibited. If you have received this message in error, please notify the sender and delete this message, including all attachments. We apologise for any inconvenience caused.