Käskkiri

1. Ü LDINFO Infosüsteemi nimetus : Vastutav töötleja : Mõjuh innangu koostamise ajavahemik : Mõjuhinnangu versiooni nr : Hinnangu koostaja : Kokkuvõte : Jääkrisk : SISSEJUHATUS 2.1. Mõjuhinnangu koostamise eesmärk 2 . 2 . M etoodika 2 . 3 . Mõjuhinnangu ulatus e skoop 3. INFOSÜSTEEMI KIR J ELDUS 3.1. Infosüsteemi kasutusotstarve 3.2. Tugisüsteemid, server 3.3. Kasutajad ja nende rollid 3.4. Isikuandmete allikad 3.5 Infosüsteemi arhitektuuriskeem (kui on olemas) 3.6. Turvameetmed ja olemasolev riskidokumentatsioon 4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID 4.1. Töötlemise eesmärgid 4. 2 . Töötlemise vastavuse tuvastamine 4. 3 . Töötlemine algsest erineval eesmärgil 4 . 4 . Töötlemise vajalikkus ja proportsionaalsus 4. 5 . Praegune töötlemise viis 4. 6 . Võimalik alternatiiv 4. 7 . Minimaalsuse põhimõte 4. 8 . Andmesubjekti juurdepääs 4. 9 . Andmesubjekti õigused 5 . ISIKUANDMETE TÖÖTLEMISE TOIMINGUD Jrk nr Hetkel olemasolev andmete töötlemise (kogumise, kasutamise jms) protsess Kavandatav muutus andmete töötlemise (kogumise, kasutamise jms) protsessis 5 .1. Isikuandmete kogumin e 5.2. Isikuandmete kasutamine 5.3. Isikuandmete edastamine 5 . 4 . Isikuandmete säilitamine 5 .5. Isikuandmete kustutamine 6. RISKID JA NENDE MAANDAMI SE MEETMED Riski nr Riski nimetus Riski põhjus Riski tõenäosus Riski mõju Riski tase Riski maandamistegevus Vastutaja 1 . 2 . 1. ÜLDINFO 1.1. Andmetöötlustoimingu nimetus: 1.2. Vastutav töötleja: 1.3. Mõjuh innangu koostamise ajavahemik: 1.4. Mõjuhinnangu versiooni nr: 1.5. Hinnangu koostaja : 1.6. Kokkuvõte: 1.7. Jääkrisk: 1.8. Õigustatud huvi tuvastamine: 2. SISSEJUHATUS 2.1. Mõjuhinnangu koostamise eesmärk 2.2. Metoodika 2. 3 . Mõjuhinnangu ulatus e skoop 3. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID 3.1. Töötlemise eesmärgid 3.2. Töötlemise vajalikkus ja proportsionaalsus 3.3. Andmesubjekti õigused 4 . ISIKUANDMETE TÖÖTLEMISE TOIMINGUD Jrk nr Hetkel olemasolev a ndmete töötlemise (kogumise, kasutamise jms) protsess Kavandatav muutus andmete töötlemise (kogumise, kasutamise jms) protsessis 4 .1. Isikuandmete kogumine 4 .2. Isikuandmete kasutamine 4 .3. Isikuandmete edastamine 4 . 4 . Isikuandmete säilitamine 4 .5. Isikuandmete kustutamine 5. RISKID JA NENDE MAANDAMI SE MEETMED Riski nr Riski nimetus Riski põhjus Riski tõenäosus Riski mõju Riski tase Riski maandamistegevus Vastutaja 1. 2. 1. ÜLDINFO 1.1. Andmetöötlustoimingu nimetus : 1.2. Vastutav töötleja : 1.3. Koostamise ajavahemik : 1.4. Koostaja: 2. ÕIGUSTATUD HUVI ANALÜÜS 2.1. Töötlemise eesmärk 2.2. Töötlemise vajalikkus 2.3. Mõju andmesubjektile 2.4. Kaitsemeetmed 2.5. Kaalumise tulemus 3. JÄRELDUS TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 1/14 SISUKORD 1. ÜLDSÄTTED .............................................................................................................................2 1.1. Eesmärk ja reguleerimisala .........................................................................................................2 1.2. Sihtrühm......................................................................................................................................2 2. MÕISTED JA LÜHENDID........................................................................................................2 3. OSAPOOLED JA VASTUTUS .................................................................................................4 4. SEOTUD DOKUMENDID ........................................................................................................5 4.1. Õigusaktid ...................................................................................................................................5 4.2. Seotud juhendid ja muud dokumendid .......................................................................................5 5. ISIKUANDMETE TÖÖTLEMINE ...........................................................................................6 5.1. Isikuandmete töötlemise põhimõtted ..........................................................................................6 5.2. Isikuandmete töötlemise õiguslikud alused ................................................................................7 5.3. Andmesubjekti õigused...............................................................................................................7 5.4. Isikuandmete töötlemine tööprotsessides ...................................................................................8 5.5. Isikuandmeid sisaldava teabe väljastamine ................................................................................9 6. ÕIGUSTATUD HUVI ................................................................................................................9 6.2. Ameti õigustatud huvi ...............................................................................................................10 6.3. Kolmandate isikute õigustatud huvi .........................................................................................10 7. ISIKUANDMETE TÖÖTLEMISTOIMINGUTE REGISTER ...............................................11 8. ISIKUANDMETE TÖÖTLEMISEGA SEOTUD RIKKUMISEST TEAVITAMINE JA RIKKUMISE MENETLEMINE ..............................................................................................12 9. ANDMEKAITSEALANE MÕJUHINNANG .........................................................................13 10. KOOLITUS JA TEADLIKKUS ...............................................................................................13 11. TOETAVAD INFOSÜSTEEMID ............................................................................................14  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 2/14 1. ÜLDSÄTTED 1.1. Eesmärk ja reguleerimisala 1.1.1. Käesoleva korra eesmärk on reguleerida Transpordiameti (edaspidi amet) isikuandmete töötlemist ja sätestada isikuandmete kaitse korralduse põhialused kooskõlas õigusaktidega ning määrata kindlaks isikuandmete töötlemise põhimõtted. Kord käsitleb üksnes isikuandmete kaitset ega reguleeri kogu ameti teabe kaitset. 1.1.2. Käesolevat korda kohaldatakse kõikidele ameti tööprotsessidele ja tegevustele, mille käigus töödeldakse isikuandmeid, kui õigusaktidest või teistest ameti sisemistest õigusaktidest ei tulene teisiti. Vajaduse korral korraldab struktuuriüksuse või teenuse juht oma vastutusvaldkonnas isikuandmete töötlemist puudutavate täiendavate juhiste koostamise. 1.1.3. Isikuandmeid sisaldavate dokumentide juurdepääsupiirangud, säilitustähtajad ja liigitus on kehtestatud ameti dokumentide liigitusskeemis. 1.1.4. Käesolev kord lähtub Euroopa Liidu isikuandmete kaitse üldmäärusest (GDPR), isikuandmete kaitse seadusest ning teistest isikuandmete töötlemist reguleerivatest õigusaktidest. 1.1.5. Kord tehakse teenistujatele kättesaadavaks tööle asumisel ja oluliste muudatuste tegemisel ning avaldatakse juhendite keskkonnas. 1.2. Sihtrühm Korra sihtrühmaks on kõik ameti ametnikud ja töölepingulised töötajad ning praktikandid (edaspidi teenistujad), kes oma tööülesannete täitmisel töötlevad isikuandmeid. 2. MÕISTED JA LÜHENDID 2.1. AKS – andmekaitsespetsialist. Andmekaitsespetsialist on asutuse määratud isik, kes nõustab isikuandmete töötlemise küsimustes, aitab tagada isikuandmete kaitse nõuete täitmist ning on kontaktisikuks Andmekaitse Inspektsiooniga suhtlemisel. 2.2. Andmekaitse – füüsiliste isikute isikuandmete kaitse, mille eesmärk on tagada, et isikuandmeid kogutakse, kasutatakse, säilitatakse ja töödeldakse turvaliselt, ainult õigustatud eesmärkidel ning selleks volitatud isikute poolt. 2.3. Andmesubjekt – füüsiline isik, kelle andmeid töödeldakse. Ameti teenistujad on samuti andmesubjektid. 2.4. Anonümiseerimine – isikuandmete töötlemine viisil, mille tulemusena ei ole võimalik enam isikut tuvastada. Anonümiseerimine on pöördumatu protsess, mille käigus eemaldatakse seosed konkreetse isikuga. Anonüümseks muudetud andmete puhul ei kohaldata isikuandmete kaitse reegleid. 2.5. GDPR – Euroopa Liidu isikuandmete kaitse üldmäärus (EL) 2016/679. Kasutatakse ka lühendit IKÜM. 2.6. Isikuandmed – andmed füüsilise isiku (andmesubjekti) kohta, keda saab otseselt või kaudselt tuvastada, eelkõige tema nime, isikukoodi, asukohateabe (e-post, aadress), võrguidentifikaatori, füüsilise (välimus, hääl jne), vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. Isikuandmed hõlmavad ka eriliigilisi isikuandmeid (rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused, ametiühingusse kuulumine, terviseandmed, biomeetrilised andmed, geneetilised andmed, andmed isiku  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 3/14 seksuaalelu ja seksuaalse sättumuse kohta), mille töötlemine on lubatud üksnes GDPR artikli 9 lõikes 2 sätestatud tingimustel. 2.7. Isikuandmete töötlemine – isikuandmetega tehtav, mis tahes toiming (e andmetöötlustoiming) või mitu toimingut, sealhulgas kogumine, dokumenteerimine, korrastamine, säilitamine, kohandamine või muutmine, päringute tegemine, lugemine, vaatamine, kasutamine, väljavõtete tegemine, ristkasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühendamine, piiramine, kustutamine või hävitamine sõltumata toimingute teostamise viisist ja kasutatavatest vahenditest. 2.8. Isikuandmetega seotud rikkumine – isikuandmetega seotud turvanõuete rikkumine, mille tagajärjel toimub isikuandmete juhuslik või õigusvastane hävimine, kadumine, muutmine, loata avaldamine või neile juurdepääs. 2.9. Kolmas isik – füüsiline või juriidiline isik, asutus või organisatsioon, kes ei ole andmesubjekt, amet ega ameti volitatud töötleja ning kellele võidakse õigusliku aluse olemasolul isikuandmeid väljastada. 2.10. Pseudonümiseerimine – isikuandmete töötlemine viisil, mille tulemusel ei saa enam isikuandmeid seostada konkreetse isikuga. Isikuga seostamiseks vajalikku täiendavat teavet hoitakse eraldi, isikuga mitteseostamine tagatakse tehniliste ja korralduslike meetmetega (krüpteerimine, eraldi serveri asukoht vms). 2.11. Struktuuriüksuse juht – käesoleva korra tähenduses isik, kellele on ameti töökorralduse või ametijuhendi alusel antud vastutus struktuuriüksuse või valdkonna juhtimise eest, sõltumata tema ametinimetusest. 2.12. Vastutav töötleja - isik või organisatsioon, kes otsustab, miks ja kuidas isikuandmeid töödeldakse. Vastutav töötleja määrab isikuandmete töötlemise eesmärgid, õigusliku aluse ja peamised tingimused ning vastutab selle eest, et isikuandmete töötlemine toimuks kooskõlas õigusaktidega. Sõlmib andmevahetuslepingud volitatud töötlejaga või kolmanda isikuga tema poolt põhjendatud õigustatud huvi korral. Hindab andmekaitsealase mõjuhinnangu vajalikkust ning korraldab selle koostamise. Teavitab vajadusel isikuandmete töötlemise rikkumisest järelevalveasutust ja andmesubjekte. Käesoleva korra tähenduses on amet üldjuhul vastutav töötleja nende isikuandmete osas, mida ta töötleb oma ülesannete täitmiseks. 2.13. Volitatud töötleja – isik või organisatsioon, kes töötleb isikuandmeid vastutava töötleja nimel ja tema juhiste alusel. Volitatud töötleja ei otsusta iseseisvalt isikuandmete töötlemise eesmärkide üle, vaid kasutab andmeid üksnes kokkulepitud teenuse osutamiseks või ülesande täitmiseks. Informeerib viivitamata vastutavat töötlejat isikuandmetega seotud rikkumistest ning aitab kaasa rikkumiste lahendamisele. Kaasab alamtöötlejaid ainult vastutava töötleja loal. Alamtöötlejate kaasamine peab olema dokumenteeritud ja tõendatav. Pärast lepingu lõppemist tagastab või kustutab isikuandmed vastutava töötlejaga kokkulepitud aja jooksul oma süsteemidest, logidest ja varukoopiatest. Aitab vajadusel andmekaitsealase mõjuhinnangu koostamisel. Volitatud töötlejateks võivad olla näiteks infosüsteemide haldajad, IT-teenuse pakkujad, pilveteenuse osutajad või muud koostööpartnerid, kellele on tööülesannete täitmiseks antud juurdepääs isikuandmetele.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4/14 3. OSAPOOLED JA VASTUTUS Osapool Vastutus ja ülesanded Juhtkond Vastutab selle eest, et asutuses on loodud tingimused isikuandmete õiguspäraseks, turvaliseks, eesmärgipäraseks ja läbipäistvaks töötlemiseks ning need on kooskõlas kehtivate õigusaktide ja ameti sisemiste reeglitega. Kehtestab vajalikud töökorralduslikud ja tehnilised meetmed, määrab andmekaitsealased rollid ja vastutajad. Toetab andmekaitsenõuete rakendamist kogu asutuses. Toote- ja teenusejuht Vastutab oma toote/teenuse raames isikuandmete töötlemise eesmärgi ja ulatuse määratlemise ning õiguspärase korraldamise eest. Teeb koostööd AKS-i ja infoturbejuhiga, tagades, et isikuandmete töötlemine toimub üksnes teenuse osutamiseks vajalikus ulatuses ning kooskõlas kehtivate õigusaktide ja sisemiste kordadega. Teenistuja Vastutab oma pädevuse piires, et ta töötleb isikuandmeid seaduslikult, eesmärgipäraselt ja minimaalses mahus, järgib kehtivaid õigusakte ja ameti sisemisi reegleid. Teavitab viivitamata AKS-i võimalikest isikuandmete töötlemise rikkumistest ja teeb koostööd AKS-iga. Osaleb isikuandmete töötlemise alastel koolitustel. Peakasutaja Vastutab oma vastutusalas oleva infosüsteemi või andmekogu isikuandmete töötlemise protsesside kirjeldamise ning asjakohase sisendi andmise eest andmesubjektide pöördumiste, andmekaitsealaste mõjuhinnangute ja isikuandmetega seotud rikkumiste menetlemisel. Andmekaitsespetsialist Koordineerib asutuses isikuandmete töötlemise nõuete täitmist ning (AKS) toetab teenistujaid isikuandmete õiguspärasel ja turvalisel töötlemisel: 1. juhendab, nõustab ja vajaduse korral koolitab teenistujaid isikuandmete töötlemise nõuete täitmisel; 2. toetab isikuandmete kaitse üldmäärusest ja muudest õigusaktidest tulenevate nõuete rakendamist; 3. jälgib isikuandmete töötlemise põhimõtete ja nõuete järgimist ning teeb ettepanekuid juhendite ja protseduuride ajakohastamiseks; 4. peab isikuandmete töötlemistoimingute registrit ning kontrollib koostöös struktuuriüksuse juhiga vähemalt üks kord aastas selle ajakohasust; 5. nõustab andmekaitsealase mõjuhinnangu vajalikkuse hindamisel ja läbiviimisel; 6. hindab isikuandmetega seotud rikkumisi, dokumenteerib need, koordineerib nende käsitlemist ning vajaduse korral teavitab Andmekaitse Inspektsiooni (edaspidi AKI) ja andmesubjekte. Vajaduse korral teeb koostööd infoturbejuhiga ning edastab teenistuskohustuste rikkumise või pahatahtliku tegevuse kahtlusega juhtumid sisekontrolörile; 7. teeb koostööd AKI-ga, on kontaktisik isikuandmete töötlemise küsimustes ning koordineerib vajaduse korral ettekirjutuste täitmist;  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 5/14 8. menetleb oma pädevuse piires andmesubjektide pöördumisi ning nõustab teenistujaid nende menetlemisel ja vastuste koostamisel. Vajaduse korral kaasab asjaomased struktuuriüksused ja infosüsteemide vastutavad isikud. Lähtub oma ülesannete täitmisel isikuandmete töötlemisega seotud riskidest, arvestades töödeldavate andmete olemust, mahtu ja töötlemise eesmärki. Õigusosakonna jurist Nõustab AKS-i ja teenistujaid isikuandmete kaitse õigusalastes küsimustes. Infoturbejuht Koordineerib isikuandmete töötlemise kaitseks rakendatavaid infoturbe meetmeid ning infoturbeintsidentide käsitlemist vastavalt asutuse infoturbealastele dokumentidele. Teeb koostööd AKS-iga isikuandmete töötlemisega seotud infoturberiskide hindamisel ja infoturbemeetmete kavandamisel. Sisekontrolör Menetleb teenistuskohustuste rikkumisena käsitletavaid andmekaitsealaseid rikkumisi. 4. SEOTUD DOKUMENDID 4.1. Õigusaktid  Avaliku teabe seadus (AvTS)  Haldusmenetluse seadus (HMS)  Isikuandmete kaitse seadus (IKS)  Isikuandmete kaitse üldmäärus (Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016), (GDPR) 4.2. Seotud juhendid ja muud dokumendid  TT_04_K4_V1_Infosüsteemi andmekaitsealase mõjuhinnangu vorm  TT_04_K4_V1_Lisa_1_Infosüsteemi andmekaitsealase mõjuhinnangu vormi täitmise juhend  TT_04_K4_V2_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vorm  TT_04_K4_V2_Lisa_1_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vormi täitmise juhend  TT_04_K4_V3_Õigustatud huvi tuvastamise vorm  TT_04_K4_V3_Lisa_1_Õigustatud huvi tuvastamise vormi täitmise juhend  TT_07_K2_Analüütika ja andmete kord  TT_07_K1_Andmehalduse kord  TT_04_K1_Dokumentide haldamise kord  TT_03_K1_Infosüsteemide kasutamise kord  TT_03_P1_Infoturbe poliitika  TT_13_P1_Riskijuhtimise poliitika  TT_13_K3_Sisekontrolli kord  AKI isikuandmete töötlemise üldjuhend  AKI õigustatud huvi juhend  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 6/14 5. ISIKUANDMETE TÖÖTLEMINE 5.1. Isikuandmete töötlemise põhimõtted Amet tagab isikuandmete töötlemise kooskõlas käesolevas korras sätestatud põhimõtetega. Teenistuja on kohustatud oma tööülesannete täitmisel neid põhimõtteid järgima ning tegutsema kooskõlas vastutava töötleja juhiste ja õigusaktidega. 5.1.1. Seaduslikkus, õiglus ja läbipaistvus – amet on isikuandmete töötlemisel vastutav töötleja, kes töötleb isikuandmeid üksnes õiguslikul alusel ning tagab, et töötlemine on õiglane, läbipaistev ja andmesubjektidele arusaadavalt selgitatud. Teave isikuandmete töötlemise kohta avaldatakse ameti veebilehel. Teenistuja töötleb isikuandmeid üksnes tööülesande täitmiseks ja õiguslikul alusel. 5.1.2. Eesmärgipärasus – amet määrab enne töötlemist kindlaks isikuandmete töötlemise eesmärgid. Teenistuja töötleb isikuandmeid ainult kindlaksmääratud eesmärgil ega kasuta neid eesmärgiga vastuolus oleval viisil. 5.1.3. Minimaalsus – amet korraldab tööprotsessid ja infosüsteemid viisil, mis toetab üksnes vajalike isikuandmete töötlemist. Teenistuja töötleb ainult neid isikuandmeid, mis on vajalikud tööülesande täitmiseks. 5.1.4. Õigsus – amet rakendab asjakohaseid korralduslikke ja tehnilisi meetmeid töödeldavate isikuandmete õigsuse ja ajakohasuse tagamiseks. Teenistuja kontrollib võimaluse korral kasutatavate isikuandmete õigsust ning parandab või ajakohastab ebaõiged andmed või algatab nende parandamise. 5.1.5. Säilitamise piirang – amet lähtub isikuandmete säilitamisel õigusaktides, lepingutes ja ameti dokumentide liigitusskeemis kehtestatud säilitustähtaegadest ning tagab nende järgimiseks vajalikud korralduslikud ja tehnilised meetmed. Teenistuja järgib kehtestatud säilitustähtaegu ning ei säilita isikuandmeid kauem, kui see on vajalik või õigusaktidest tulenevalt lubatud. Kui isikuandmete säilitamiseks puudub õiguslik alus, korraldab vastutav teenistuja või infosüsteemi peakasutaja andmete kustutamise, anonüümiseerimise või muu õigusaktidele või ameti sisemisele korrale vastava toimingu. 5.1.6. Usaldusväärsus ja konfidentsiaalsus – amet tagab isikuandmete kaitse loata või õigusvastase töötlemise ning põhjendamatu avaldamise eest. Teenistuja töötleb isikuandmeid üksnes oma tööülesannete täitmiseks ning on kohustatud hoidma talle teatavaks saanud isikuandmeid konfidentsiaalsena ka pärast teenistus- või töösuhte lõppemist, kui õigusaktidest ei tulene teisiti. Isikuandmete töötlemiseks kasutatakse ainult asutuse poolt ettenähtud või heaks kiidetud infosüsteeme ja muid tehnilisi vahendeid. 5.1.7. Vastutus – amet vastutab isikuandmete töötlemise õiguspärasuse eest, peab töötlemistoimingute üle arvestust ning tagab nende dokumenteerituse ja tõendatavuse. Teenistuja vastutab oma tööülesannete piires käesolevas korras sätestatud nõuete järgimise eest ning peab suutma põhjendada isikuandmete töötlemise eesmärki ja õiguslikku alust.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 7/14 5.2. Isikuandmete töötlemise õiguslikud alused Amet töötleb isikuandmeid üksnes juhul, kui selleks on olemas õiguslik alus. Isikuandmete töötlemine võib toimuda eelkõige järgmistel alustel: 5.2.1. Seadusest tulenev kohustus - kui isikuandmete töötlemine on vajalik ameti suhtes kehtivast seadusest, määrusest või muust õigusaktist tuleneva kohustuse täitmiseks. Näide: amet töötleb isikuandmeid seaduses sätestatud registri pidamiseks või järelevalvemenetluse läbiviimiseks. 5.2.2. Avaliku ülesande täitmine - kui isikuandmete töötlemine on vajalik ametile õigusaktidega pandud ülesannete täitmiseks või avaliku võimu teostamiseks. Näide: amet töötleb isikuandmeid taotluse menetlemisel või haldusotsuse tegemisel. 5.2.3. Lepingu täitmine - kui isikuandmete töötlemine on vajalik andmesubjektiga sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate toimingute tegemiseks andmesubjekti taotlusel. Näide: amet töötleb füüsilisest isikust lepingupartneri kontakt- ja arveldusandmeid lepingu sõlmimiseks ja täitmiseks. 5.2.4. Õigustatud huvi - kui isikuandmete töötlemine on vajalik ameti või kolmanda isiku põhjendatud huvi saavutamiseks ning andmesubjekti õigused ja huvid ei kaalu seda huvi üles. Õigustatud huvi alusel töötlemine on lubatud üksnes pärast huvide kaalumist ning kooskõlas käesolevas korras sätestatud tingimustega. Näide: amet töötleb turvakaamerate salvestisi vara ja isikute kaitseks või hindab kolmanda isiku õigustatud huvi alusel esitatud andmete saamise taotlust. 5.2.5. Nõusolek - erandjuhtudel, kui ükski muu õiguslik alus ei kohaldu ning isik on andnud vabatahtliku, konkreetse, teadliku ja üheselt mõistetava (soovitavalt kirjaliku) nõusoleku oma isikuandmete töötlemiseks. Andmesubjektil on õigus nõusolek igal ajal tagasi võtta. Näide: amet avaldab isiku (nt teenistuja) foto oma veebilehel või sotsiaalmeediakanalis isiku eelneval kirjalikul nõusolekul. 5.3. Andmesubjekti õigused 5.3.1. Olenevalt isikuandmete töötlemise õiguslikust alusest ja töötlemise asjaoludest on andmesubjektil õigus:  saada teavet selle kohta, kas amet töötleb tema isikuandmeid, ning tutvuda enda kohta kogutud isikuandmetega;  nõuda ebaõigete isikuandmete parandamist või mittetäielike andmete täiendamist;  taotleda isikuandmete töötlemise piiramist õigusaktides sätestatud juhtudel;  esitada vastuväiteid oma isikuandmete töötlemisele, kui töötlemine toimub õigustatud huvi alusel;  taotleda oma isikuandmete kustutamist õigusaktides sätestatud juhtudel, välja arvatud juhul, kui ametil on kohustus andmeid säilitada;  võtta igal ajal tagasi oma nõusolek, kui isikuandmete töötlemine põhineb nõusolekul. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist toimunud töötlemise seaduslikkust. 5.3.2. Kõiki andmesubjekti õigusi ei saa alati täiel määral rakendada, kui isikuandmete töötlemine või säilitamine tuleneb õigusaktidest. 5.3.3. Andmesubjekti taotluse saamisel kaasab teenistuja vajaduse korral AKS-i, kes nõustab taotluse menetlemisel ja vastuse koostamisel.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 8/14 5.4. Isikuandmete töötlemine tööprotsessides 5.4.1. Isikuandmete kasutamine Amet kasutab isikuandmeid üksnes õigusaktidest, lepingutest või muudest õiguspärastest alustest tulenevate ülesannete täitmiseks. Teenistuja:  kasutab isikuandmeid ainult oma tööülesannete täitmiseks;  töötleb ainult neid isikuandmeid, mis on tööülesande täitmiseks vajalikud;  ei kasuta isikuandmeid isiklikel eesmärkidel ega muul õigusliku aluseta eesmärgil. 5.4.2. Isikuandmete pseudonümiseerimine, anonümiseerimine ja krüpteerimine Amet kasutab isikuandmete töötlemisel vastavalt töötlemise eesmärgile ja vajadusele pseudonümiseerimist või anonümiseerimist ning isikuandmete konfidentsiaalsuse ja turvalisuse tagamiseks vajaduse korral krüpteerimist. Teenistuja:  kasutab anonümiseerimiseks, pseudonümiseerimiseks või krüpteerimiseks üksnes ameti poolt heaks kiidetud lahendusi ning järgib nende kasutusjuhendeid. Kui sobiv lahendus puudub või see eeldab tehnilist abi, pöördub teenistuja IT-abi poole. 5.4.3. Isikuandmete edastamine Amet edastab isikuandmeid ainult juhul, kui selleks on õiguslik alus. Teenistuja:  kontrollib enne isikuandmete edastamist saaja õigust andmeid saada (isikusamasus);  edastab üksnes vajalikud isikuandmed;  kasutab isikuandmete edastamisel asutuses kehtestatud turvalisi lahendusi;  dokumenteerib edastamise, kui see on õigusaktidest või tööprotsessist tulenevalt vajalik. 5.4.4. Isikuandmete parandamine ja kustutamine Amet tagab, et ebaõiged või mittetäielikud isikuandmed parandatakse või täiendatakse põhjendamatu viivituseta ning isikuandmed kustutatakse, kui nende säilitamiseks puudub õiguslik alus. Teenistuja:  parandab või algatab ebaõigete isikuandmete parandamise pärast nende kontrollimist;  kustutab või korraldab kustutamise, kui selleks on õiguslik alus ja see kuulub tema pädevusse;  kaasab vajaduse korral infosüsteemi eest vastutava teenistuja või AKS-i. 5.4.5. Isikuandmete töötlemise lõpetamine Kui isikuandmete töötlemise eesmärk on saavutatud ning puudub õiguslik alus andmete edasiseks töötlemiseks või säilitamiseks, lõpetab amet isikuandmete töötlemise. Teenistuja:  kustutab, anonümiseerib, hävitab või annab isikuandmed üle avalikku arhiivi vastavalt õigusaktidele, ameti dokumentide liigitusskeemile või muudele asjakohastele sisekordadele;  kui isikuandmete kustutamine või anonümiseerimine eeldab tehnilist sekkumist, pöördub teenistuja selle korraldamiseks IT-abi poole;  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 9/14  eemaldab põhjendamatu viivituseta tööalasest e-postkastist, tööarvutist ja muudest tööks kasutatavatest asukohtadest isikuandmeid sisaldavad failid ja e-kirjad, mille töötlemiseks puudub õiguslik alus või mille töötlemise vajadus on lõppenud;  tagab, et isikuandmete kustutamine ja hävitamine toimub viisil, mis välistab andmete edasise õigusvastase kasutamise. 5.5. Isikuandmeid sisaldava teabe väljastamine 5.5.1. Isikuandmeid sisaldavat teavet võib väljastada ainult juhul, kui selleks on õiguslik alus ning andmete väljastamine on kooskõlas õigusaktidega. Andmete väljastamisel tuleb tagada andmesubjekti õiguste kaitse ning andmete turvalisus. 5.5.2. Isikuandmeid võib väljastada:  andmesubjektile endale;  riigi- või kohaliku omavalitsuse asutustele, kellel on seadusest tulenev õigus andmete saamiseks;  õiguskaitseorganitele ja järelevalveasutustele nende pädevuse piires;  ameti volitatud töötlejale;  lepingupartneritele ja kolmandatele isikutele, kui selleks on õiguslik alus. 5.5.3. Enne isikuandmeid sisaldava teabe väljastamist peab teenistuja:  veenduma taotleja isikusamasuses, kui see on vajalik;  kontrollima, kas andmete väljastamiseks on olemas õiguslik alus;  hindama väljastatavate andmete ulatust, lähtudes minimaalsuse põhimõttest;  vajaduse korral kaasama AKS-i. 5.5.4. Teenistuja võib isikuandmete väljastamisest keelduda või seda piirata, kui:  puudub õiguslik alus;  andmete väljastamine kahjustaks andmesubjekti või kolmandate isikute õigusi või oleks vastuolus õigusaktidega. 5.5.5. Isikuandmeid võib väljastada teadus- ja ajaloouuringu ning riikliku statistika või poliitika kujundamise eesmärgil üksnes õigusaktides sätestatud alustel. Võimaluse korral kasutatakse isikustamata või anonüümseid andmeid. Vajadusel kaasatakse enne väljastamist AKS. 5.5.6. Isikuandmete väljastamisel väljapoole Euroopa Majanduspiirkonda järgitakse GDPR-is sätestatud nõudeid. Kui andmeid väljastatakse riiki, mille kohta Euroopa Komisjon ei ole teinud piisava andmekaitse taseme otsust, kaasatakse enne väljastamist AKS. 6. ÕIGUSTATUD HUVI 6.1. Üldsätted 6.1.1. Õigustatud huvi on üks isikuandmete töötlemise õiguslikest alustest (GDPR artikkel 6 lg 1 p f). Sellele võib tugineda ainult juhul, kui isikuandmete töötlemine on vajalik ameti või kolmanda isiku põhjendatud huvi saavutamiseks ning andmesubjekti õigused ja huvid ei ole sellest huvist kaalukamad. GDPR artikli 6 lg 1 p f ei kohaldu töötlemisele, mida amet teeb oma avalike ülesannete täitmisel. 6.1.2. Õigustatud huvi olemasolu üksi ei anna alust eriliiki isikuandmete, sh terviseandmete töötlemiseks. Kui artikkel 6 lg 1 p f on konkreetsel juhul kohaldatav, on eriliiki isikuandmete töötlemiseks lisaks vajalik GDPR artiklis 9 sätestatud asjakohane erand.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD 10/1 Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4 6.1.3. Nii ameti enda kui ka kolmanda isiku õigustatud huvi olemasolu tuleb ametil vajaduse korral üle vaadata. Kui asjaolud muutuvad, võib õigustatud huvi ära langeda või võivad andmesubjekti õigused muutuda kaalukamaks kui andmete töötlemise või väljastamise eesmärk. 6.2. Ameti õigustatud huvi 6.2.1. Amet võib õigustatud huvile tugineda eelkõige oma põhitegevusega mitteseotud haldustegevustes, näiteks:  asutuse vara ja ruumide kaitsmisel;  turvakaamerate kasutamisel;  õiguslike nõuete esitamisel, kaitsmisel või menetlemisel;  muudes juhtumites, kus andmete töötlemine on vajalik ameti õigustatud huvi kaitseks ning ei kahjusta põhjendamatult andmesubjekti õigusi. 6.2.2. Enne õigustatud huvile tuginemist tuleb hinnata, kas töötlemine on vajalik ning kas andmesubjekti õigused ja huvid ei ole kaalukamad kui ameti huvi. 6.2.3. Ameti õigustatud huvi tuvastamiseks täidab õigustatud huvile tugineda sooviv struktuuriüksus või selle juhi poolt määratud teenistuja vormi „TT_04_K4_V3_Õigustatud huvi tuvastamise vorm“, et huvide kaalumine oleks dokumenteeritud ja tõendatav. 6.2.4. AKS lisab dokumendi DHS-is aruandena ning kooskõlastajad määratakse vastavalt kavandatava isikuandmete töötlemistoimingu iseloomule. Asjaosaliste vajalike kooskõlastajate kaasamise eest vastutab õigustatud huvi koostaja. Kohustuslik on kaasata kooskõlastusringi AKS. 6.3. Kolmandate isikute õigustatud huvi 6.3.1. Amet võib väljastada kolmandale isikule õigustatud huvi alusel juurdepääsupiiranguga isikuandmeid, kui andmete taotlejal on nende saamiseks põhjendatult õigustatud huvi. 6.3.2. Enne andmete väljastamist peab teenistuja hindama, kas taotleja huvi on piisavalt põhjendatud ning kas andmete väljastamine on kooskõlas õigusaktidega. Õigustatud huvi võib esineda näiteks järgmistel juhtudel: 1) võlanõude või muu õigusliku nõude esitamine, tõendamine või sissenõudmine; 2) parkimistasu tasumata jätnud sõiduki kasutaja või omaniku andmete küsimine nõude esitamiseks; 3) turvakaamerate salvestiste kasutamine vara ja isikute kaitseks; 4) teadus- või turu-uuringute läbiviimine, kui selleks on olemas õiguslik alus ja järgitakse andmekaitsenõudeid. 6.3.3. Õigustatud huvi olemasolu tuleb hinnata igal juhul eraldi. Isikuandmete küsimine ei eelda, et andmed tuleb igal juhul väljastada. 6.3.4. Õigustatud huvi hindamisel tuleb vastata järgmistele küsimustele: 1. Kas taotlejal on õigustatud huvi? Taotleja peab selgitama, miks tal on andmeid vaja ja millise eesmärgi saavutamiseks neid kasutatakse. 2. Kas taotletavad andmed on selle eesmärgi saavutamiseks vajalikud? Väljastada võib ainult neid andmeid, mis on eesmärgi täitmiseks vajalikud. 3. Kas taotleja huvi on antud juhul kaalukam kui andmesubjekti õigused ja huvid? Tuleb hinnata, kas andmete väljastamine võib põhjendamatult kahjustada inimese õigusi,  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD 11/1 Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4 privaatsust või muid huve. Kui inimese õigused on kaalukamad kui taotleja huvi, andmeid ei väljastata. Andmeid võib väljastada ainult siis, kui kõigile kolmele küsimusele saab vastata jaatavalt. 6.3.5. Õigustatud huvi alusel andmete väljastamiseks tuleb andmete taotlejal esitada ametile kirjalik taotlus, mis sisaldab vähemalt järgmisi andmeid:  taotleja nimi ning isiku- või registrikood;  juriidilise isiku puhul volitatud esindaja andmed;  taotletavate andmete kirjeldus;  andmete kasutamise eesmärk ja õigustatud huvi põhjendus;  võimalusel õigustatud huvi tõendavad dokumendid või muud tõendid;  taotleja allkiri. 6.3.6. Õigustatud huvi alusel andmete väljastamise otsus peab olema põhjendatud ja kirjalikult tõendatav (nt kirjalik vastus, sõlmitud leping, keeldumist põhjendav kirjalik dokument). Vajaduse korral dokumenteerib teenistuja täiendavalt huvide kaalumise, et oleks võimalik hiljem selgitada, miks andmete väljastamine oli lubatud või miks sellest keelduti. 6.3.7. Kui andmete väljastamine võib oluliselt mõjutada andmesubjekti õigusi või privaatsust, tuleb teenistujal hinnata täiendavate andmekaitsemeetmete vajadust (nt minimaalne isikuandmete hulk, isikuandmete kohene kustutamine pärast kasutamist, anonümiseerimine vms). Suurema mõjuga (nt andmesubjektide suur arv) või kõrgema riskiga (nt terviseandmed) töötlemistoimingute korral võib olla vajalik andmete taotlejal lisaks andmekaitsealase mõjuhinnangu koostamine. 7. ISIKUANDMETE TÖÖTLEMISTOIMINGUTE REGISTER 7.1. Isikuandmete töötlemise kohta peetakse ametis elektroonilist töötlemistoimingute registrit (edaspidi register). Register on kasutusel sisesemise dokumendina ning kättesaadav ameti siseveebis (SharePoint). 7.2. Registrisse kantakse kõik andmetöötlustoimingud ehk isikuandmetega seotud töötlemise viisid, meetmed ja tegevused. 7.3. Registrisse teeb sissekanded AKS koostöös struktuuriüksuse juhiga, sisendi andmetöötlustoimingu registrisse kandmiseks annab isikuandmeid töötlev struktuuriüksus, asjakohasel juhul peakasutaja. 7.4. Asutus kannab vastutava töötlejana registrisse vähemalt järgmise teabe:  töötlemistoimingu nimetus ja lühikirjeldus;  isikuandmete töötlemise eesmärk;  isikuandmete kategooriad ja andmesubjektide kategooriad;  isikuandmete saajate kategooriad, kellele andmeid avaldatakse või kellele need tehakse kättesaadavaks;  andmete edastamine välisriiki või rahvusvahelisele organisatsioonile, kui see toimub;  isikuandmete säilitamise tähtajad või nende määramise alused, kui need on teada;  vastutav struktuuriüksus või töötlemise eest vastutav ametikoht. 7.5. Registris esitatud teave peab olema ajakohane ning kajastama tegelikku isikuandmete töötlemist. Registri ajakohasuse eest vastutab töötlemistoimingu eest vastutav struktuuriüksus  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD 12/1 Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4 või selleks määratud teenistuja. Registri kirjeid ajakohastatakse töötlemistoimingute lisandumisel või muutumisel. 7.6. Isikuandmete töötlemise turvameetmed määratakse ja hallatakse asutuse infoturbe nõuete kohaselt ning neid ei kirjeldata käesoleva korra alusel peetavas töötlemistoimingute registris. 8. ISIKUANDMETE TÖÖTLEMISEGA SEOTUD RIKKUMISEST TEAVITAMINE JA RIKKUMISE MENETLEMINE 8.1. Isikuandmete töötlemisega seotud rikkumine (edaspidi rikkumine) on turvanõuete rikkumine, mille tagajärjel toimub isikuandmete juhuslik või õigusvastane hävimine, kadumine, muutmine, loata avaldamine või neile juurdepääs. 8.2. Teenistuja, kes avastab rikkumise või kahtlustab rikkumise toimumist, teavitab sellest viivitamata:  AKS-i ja/või  oma vahetut juhti või struktuuriüksuse juhti. 8.3. Kui rikkumine on ühtlasi seotud infoturbeintsidendiga (näiteks pahavara, õngitsusrünne, volitamata juurdepääs või muu infosüsteemi turvaintsident), teavitab teenistuja lisaks ka infoturbejuhti ning infoturbeintsidendi käsitlemisel lähtutakse infoturbe juhenditest. 8.4. Kui rikkumine on seotud lisaks isikuandmete töötlemise rikkumisele ka teenistuja töökohustuste rikkumisega, teavitab struktuuriüksuse juht sisekontrolöri või vajadusel muud pädevat struktuuriüksust vastavalt ameti sisemisele korrale ja AKS-i. 8.5. Pärast rikkumisest teadasaamist korraldab AKS rikkumise dokumenteerimise ja menetlemise. Selleks:  edastab rikkumisest teatajale rikkumisteate vormi ning määrab selle esitamise tähtaja (1-2 päeva);  kontrollib ja vajaduse korral täpsustab saadud teavet;  lisab rikkumisteate dokumendihaldussüsteemi (DHS);  korraldab rikkumisteate kooskõlastamise asjaomaste osapooltega;  teavitab vajaduse korral AKI-t ja rikkumisest mõjutatud andmesubjekte. 8.6. Rikkumisteates kirjeldatakse vähemalt:  rikkumise asjaolusid ja toimumise aeg;  rikkumise põhjuseid ja ulatust, kui need on teada;  mõjutatud isikuandmeid ja andmesubjekte;  rikkumise võimalikke tagajärgi;  rakendatud või kavandatavaid meetmeid rikkumise lõpetamiseks, tagajärgede leevendamiseks ja edasiste rikkumiste vältimiseks. 8.7. Rikkumisteate kohustuslikud kooskõlastajad on:  rikkumisest teataja;  asjaomase struktuuriüksuse juht;  õigusosakonna jurist;  AKS.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD 13/1 Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4 9. ANDMEKAITSEALANE MÕJUHINNANG 9.1. Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille eesmärk on hinnata, kuidas kavandatav või muudetav isikuandmete töötlemine võib mõjutada andmesubjektide õigusi ja vabadusi ning milliseid meetmeid tuleb riskide vähendamiseks rakendada. 9.2. Mõjuhinnang koostatakse enne uue isikuandmete töötlemise toimingu kasutuselevõttu või olemasoleva töötlemise olulist muutmist, kui töötlemine võib põhjustada kõrget riski andmesubjektide õigustele ja vabadustele. Vajaduse korral koostatakse mõjuhinnang ka juba kasutuses oleva infosüsteemi, andmekogu või andmetöötlustoimingu kohta. 9.3. Mõjuhinnangu koostamise vajadust hindab isikuandmete töötlemist kavandav struktuuriüksus või selle juhi poolt määratud teenistuja koostöös AKS-iga. Vajaduse korral kaasatakse infosüsteemi või andmekogu peakasutaja ning teised asjakohased teenistujad. 9.4. Mõjuhinnangu koostamisel hinnatakse vähemalt:  isikuandmete töötlemise eesmärki, õiguslikku alust ja kavandatavat töötlemisviisi;  töödeldavate isikuandmete liike ja töötlemise ulatust;  töötlemise vajalikkust ja proportsionaalsust;  võimalikke riske andmesubjektide õigustele ja vabadustele;  kavandatavaid tehnilisi ja korralduslikke meetmeid riskide vähendamiseks. 9.5. Kui isikuandmete töötlemine muutub, näiteks muutub töötlemise eesmärk, ulatus, kasutatavad andmed või töötlemisviis, vaadatakse mõjuhinnang üle ja vajaduse korral ajakohastatakse. 9.6. Kui isikuandmete töötlemine põhineb õigustatud huvil, tuleb enne mõjuhinnangu koostamist hinnata õigustatud huvi olemasolu (vt peatükk 6 Õigustatud huvi) ning dokumenteerida selle kaalumine. Õigustatud huvi hinnang lisatakse mõjuhinnangu juurde. 9.7. Mõjuhinnangu koostamisel kasutatakse käesoleva korra juurde kuuluvaid vorme ja nende täitmise juhendeid. 9.8. Mõjuhinnang kooskõlastatakse asjaomaste osapooltega, registreeritakse dokumendihaldussüsteemis (DHS) ning säilitatakse koos kooskõlastuste ja otsustega. 9.9. Kui mitu töötlemistoimingut on oma eesmärgi, olemuse ja riskide poolest sarnased, võib nende kohta koostada ühise mõjuhinnangu. 9.10. Kui mõjuhinnangust selgub, et kavandatav töötlemine põhjustab ka pärast riskide maandamise meetmete rakendamist endiselt kõrge riski andmesubjektide õigustele ja vabadustele, konsulteerib AKS enne töötlemise alustamist AKI-ga. 9.11. Infosüsteemi või andmekogu omanik või peakasutaja vaatab mõjuhinnangu regulaarselt üle ning ajakohastab selle, kui töötlemine või sellega seotud riskid on muutunud. 10. KOOLITUS JA TEADLIKKUS 10.1. Amet tagab, et isikuandmeid töötlevad teenistujad on teadlikud isikuandmete töötlemise nõuetest ning saavad oma tööülesannete täitmiseks vajalikku juhendamist ja koolitusi. 10.2. Vajaduse korral korraldatakse täiendavaid koolitusi ja teadlikkuse tõstmise tegevusi, eelkõige:  õigusaktide muudatuste korral;  uute infosüsteemide või tööprotsesside kasutuselevõtul;  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_r2 ISIKUANDMETE TÖÖTLEMISE KORD 14/1 Kinnitamine: 03.09.2026 nr 1.1-1/26/123 Koostaja: Ly Tamme 4  pärast isikuandmetega seotud rikkumisi või nende analüüsi tulemusi;  uus teenistuja läbib isikuandmete töötlemise põhimõtteid käsitleva sisekoolituse. 10.3. AKS toetab koolituste ettevalmistamist ning nõustab struktuuriüksusi isikuandmete töötlemise nõuete rakendamisel. 10.4. Teenistuja vastutab selle eest, et ta järgib talle antud juhiseid ning osaleb tööülesannete täitmiseks vajalikel koolitustel. 10.5. Amet dokumenteerib vajadusel korral isikuandmete töötlemise alaste koolituste läbiviimise ja osalemise. 11. TOETAVAD INFOSÜSTEEMID Infosüsteemi nimetus Kirjeldus, milleks kasutatakse DHS Dokumendihaldussüsteem. Isikuandmetega seotud pöördumiste kirjavahetus, rikkumistega seotud kirjavahetus ja aruanded. SharePoint Isikuandmete töötlemistoimingute register Jira Kliendipöördumiste portaal. Ametisse saabunud isikuandmetega seotud päringutele vastuste koostamiseks vajalike logiväljavõtete tellimine IT-abilt.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 1/9 SISUKORD EESMÄRK ...........................................................................................................................................1 SELGITUS ...........................................................................................................................................1 1. ÜLDINFO ........................................................................................................................................1 2. SISSEJUHATUS ..............................................................................................................................3 3. INFOSÜSTEEMI KIRJELDUS .......................................................................................................3 4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID .........................................................................4 5. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD .........................................................................6 6. RISKID JA NENDE MAANDAMISE MEETMED .......................................................................7 EESMÄRK See juhend aitab täita Transpordiameti (edaspidi amet) infosüsteemi jaoks tehtavat andmekaitsealase mõjuhinnangu vormi (TT_04_K4_V1_Infosüsteemi andmekaitsealase mõjuhinnangu vorm). SELGITUS Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille eesmärk on hinnata, kuidas infosüsteemis toimuv isikuandmete töötlemine võib mõjutada inimeste (andmesubjektide) õigusi ja privaatsust. Mõjuhinnangu tegemine tuleneb isikuandmete kaitse üldmääruse (IKÜM e GDPR) artiklist 35. Mõjuhinnang aitab: 1) mõista, milliseid isikuandmeid süsteemis kasutatakse; 2) hinnata võimalikke riske inimeste õigustele; 3) kavandada meetmeid nende riskide vähendamiseks. Mõjuhinnang tuleb (tavaliselt) teha juhul, kui: 1) luuakse uus infosüsteem; 2) lisatakse uus andmetöötlus olemasolevasse süsteemi; 3) hakatakse töötlema suures mahus isikuandmeid; 4) töödeldakse tundlikke (eriliigilisi) andmeid. 1. ÜLDINFO Siin märgi põhiandmed infosüsteemi ja mõjuhinnangu kohta. 1.1. Infosüsteemi nimetus – Kirjuta süsteemi ametlik nimi ja kui on, siis ka lühend. Näide: Liiklusregistri infosüsteem; Sadamaregistri (SAR) infosüsteem vms 1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus) 1.3. Mõjuhinnangu koostamise ajavahemik – Millal mõjuhinnang koostati Näide: 01.02.2026 – 15.03.2026 1.4. Mõjuhinnangu versiooni number – Näitab, mitmes dokumendi versioon on  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 2/9 Näide: esimene hinnang → versioon 1; täiendatud hinnang → 2, 3 jne 1.5. Hinnangu koostaja – Kirjuta:  nimi  ametikoht  kontakt Näide: Mari Maasikas, registri peakasutaja, [email protected] 1.6. Kokkuvõte – Siia kirjuta lühike kokkuvõte kogu hinnangust. Kokkuvõte peaks vastama kolmele küsimusele: 1) milleks infosüsteemi kasutatakse; 2) milliseid (isiku)andmeid töödeldakse; 3) kas riskid on vastuvõetavad. Näide: Infosüsteemi kasutatakse sõidukite registreerimiseks. Süsteemis töödeldakse sõiduki omanike isikuandmeid (nimi, isikukood, kontaktandmed). Riskide hindamise tulemusel tuvastati keskmise tasemega risk loata juurdepääsuks. Rakendatud turvameetmete tõttu on infosüsteemi kasutamine isikuandmete kaitse seisukohalt vastuvõetav. 1.7. Jääkrisk – Hinda, kas pärast meetmete rakendamist (nt ligipääsupiirangud, andmete minimeerimine, pseudonüümiseerimine, logimine, teenistujate koolitamine jne) väheneb tuvastatud risk inimeste õigustele ja vabadustele, kuid ei pruugi täielikult kaduda. Jääkriski hindamisel tuleb arvesse võtta eelkõige:  töödeldavate andmete liiki ja tundlikkust;  andmetöötluse mahtu ja ulatust;  andmesubjektidele võimaliku kahju raskust ja tõenäosust. Sõltuvalt hinnangust võib jääkrisk olla:  madal, kui täiendavaid olulisi ohte ei tuvastata;  keskmine, kui riskid on kontrolli all, kuid mitte täielikult välditud;  kõrge, kui vaatamata meetmetele võib andmetöötlus endiselt oluliselt mõjutada andmesubjektide privaatsust. Kui jääkrisk hinnatakse kõrgeks, tuleb enne andmetöötluse alustamist või töötlemise ajal mõjuhinnangu tegemisel kaaluda konsulteerimist Andmekaitse Inspektsiooniga (AKI). Kirjuta, kas on plaanis AKI-ga konsulteerida ning kui jah, siis millal ja miks seda peaks tegema. Näide 1 – madal jääkrisk Pärast turvameetmete rakendamist (ligipääsupiirangud, logimine ja teenistujate koolitus) on andmetele juurdepääs piiratud ning isikuandmete väärkasutuse tõenäosus minimaalne. Töödeldavad andmed ei ole kõrge tundlikkusega ning võimalik mõju andmesubjektidele on väike. Jääkrisk hinnatakse madalaks. Näide 2 – keskmine jääkrisk Kuigi rakendatud on tehnilised ja korralduslikud meetmed (pseudonüümiseerimine, ligipääsukontroll, regulaarne audit), esineb endiselt piiratud risk isikuandmete väärkasutuseks või  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 3/9 lekkeks. Töödeldakse mõõduka tundlikkusega andmeid ning võimalik mõju andmesubjektidele võib olla keskmine. Jääkrisk hinnatakse keskmiseks. Näide 3 – kõrge jääkrisk Hoolimata rakendatud meetmetest (andmete minimeerimine, krüpteerimine, juurdepääsupiirangud) töödeldakse suures mahus tundlikke isikuandmeid, mille võimalik väärkasutus võib põhjustada olulist kahju andmesubjektidele. Riskide täielik maandamine ei ole võimalik. Jääkrisk hinnatakse kõrgeks ning soovitatav on konsulteerida Andmekaitse Inspektsiooniga. 2. SISSEJUHATUS 2.1. Mõjuhinnangu koostamise eesmärk Selgita, miks mõjuhinnang tehakse. Näide: Mõjuhinnangu eesmärk on hinnata infosüsteemis toimuva isikuandmete töötlemise mõju inimeste õigustele ning tuvastada võimalikud riskid. 2.2. Metoodika Kirjelda lühidalt, kuidas hinnang koostati, milliseid dokumente või süsteemi kirjeldusi kasutati, kellega konsulteeriti ning kuidas hinnati riske (tõenäosus ja mõju). Andmekaitsespetsialisti (AKS) kaasamisel kirjuta, millises etapis seda tehti ning mida ta soovitas. Näited:  analüüsiti süsteemi dokumentatsiooni;  intervjueeriti süsteemi kasutajaid;  konsulteeriti juristi, andmeanalüütiku ja teiste asjaosalistega;  hinnati andmetöötlusega seotud riske;  kaasati AKS mõjuhinnangu algetapis ja hiljem arvamuse andmises. Näide kokkuvõtlikust lausest: Mõjuhinnang koostati infosüsteemi dokumentatsiooni analüüsi ja IT- spetsialistide konsultatsioonide põhjal. Riskide hindamisel kasutati neljaastmelist skaalat (tõenäosus ja mõju). Mõjuhinnangu koostamisse kaasati AKS, kes andis soovitusi (täiendavate) riskide maandamiseks. 2.3. Mõjuhinnangu ulatus e skoop Selgita, mida hinnatakse (kui suures ulatuses). Näide 1: Kogu infosüsteemi; uut funktsiooni/töötlemisviisi/uusi andmeid infosüsteemis. Näide 2: Mõjuhinnang käsitleb uut e-teenuse moodulit, mille kaudu esitatakse avaldusi. 3. INFOSÜSTEEMI KIRJELDUS Kirjelda alapunktides infosüsteemi nii, et lugeja saaks aru: 1) milleks süsteem on loodud; 2) kuidas see töötab; 3) milleks see kasutab isikuandmeid. 3.1. Infosüsteemi kasutusotstarve Selgita infosüsteemi eesmärki. Näide: Süsteemi kasutatakse avalduste menetlemiseks ja klientide andmete haldamiseks.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 4/9 3.2. Tugisüsteemid ja server Kirjelda, kus süsteem töötab. Näide: Infosüsteem töötab riigi pilvekeskkonnas ja kasutab X-tee andmevahetust. 3.3. Kasutajad ja nende rollid Kirjelda: 1) kes süsteemi kasutavad (nii ameti teenistujad kui ka asutusevälised kasutajad); 2) millised on süsteemis nende õigused ja rollid. Näide: Kasutaja Roll klienditeenindaja menetleb taotlusi – vaatamise, muutmise õigused administraator haldab süsteemi ja kasutajate juurdepääsuõigusi ning seadistusi. Samuti kirjelda: 1) kuidas kasutaja tuvastatakse (nt TARA, ID-kaart, Mobiil-ID, Smart-ID, kaheastmeline autentimine vms) 2) kas tegevused logitakse. 3.4. Isikuandmete allikad Kuidas isikuandmed infosüsteemi saadakse/tulevad. Näited:  inimene ise (taotluse/päringu esitamisel, lepingu sõlmimisel vms);  teine register (rahvastikuregister, maksehäirete register, kinnistusraamat vms):  dokument (isikut tõendav dokument, dokumendifoto vms). Näide: Andmed saadakse taotluse esitamisel ning rahvastikuregistrist automaatpäringuga. 3.5. Infosüsteemi arhitektuuriskeem (kui on olemas) Võib lisada lihtsa skeemi või viidata olemasolevale dokumendile. 3.6. Turvameetmed ja olemasolev riskidokumentatsioon Kirjelda olemasolevaid turvameetmeid. Näited:  ligipääsupiirangud (rollipõhine juurdepääs);  logimine (mida logitakse, kus hoitakse, kaua säilitatakse, kellel on juurdepääs logidele);  varukoopiad (millal tehakse, kus hoitakse, kaua säilitatakse jne). 4. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID 4.1. Töötlemise eesmärgid Selgita: 1) miks isikuandmeid kogutakse;  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 5/9 2) milline õiguslik alus (seadus, määrus vms) seda lubab; 3) märgi IKÜM-i õiguslik alus, kas:  nõusolek;  lepingu täitmine;  juriidiline kohustus  avalikes huvides ülesande täitmine või avaliku võimu teostamine;  õigustatud huvi. Näide 1: Isikuandmeid töödeldakse avaliku teenuse osutamiseks vastavalt liiklusseaduse § X. Näide 2: Isikuandmeid töödeldakse õigustatud huvi alusel (nt turvakaamerad, sõidueksamite salvestuskaamerad). 4.2. Töötlemise vastavuse tuvastamine Kirjelda, kuidas kontrollitakse, et andmeid töödeldakse ainult lubatud eesmärgil. Näide: Süsteemis on rollipõhised õigused, mis piiravad andmete kasutamist. 4.3. Töötlemine algsest erineval eesmärgil Selgita, kas andmeid töödeldakse ka mõnel teisel eesmärgil. Näide: Andmeid kasutatakse ka statistika koostamiseks, kuid anonüümiseeritud kujul. 4.4. Töötlemise vajalikkus ja proportsionaalsus Kirjuta siia:  milleks on andmeid vaja  miks vähemaga ei saa  kuidas tagad, et ei kogu üleliigseid andmeid Näide: Me vajame e-posti aadressi, et kasutajale saata teavitusi. Me ei kogu isikukoodi, sest teenuse jaoks piisab e-posti aadressist. 4.5. Praegune töötlemise viis Kirjelda, kuidas andmeid kasutatakse. Näide: Infosüsteemis kasutatakse isikuandmeid teenuse osutamiseks ja taotluste menetlemiseks. Kasutaja sisestab oma andmed e-teeninduse kaudu, misjärel süsteem salvestab need andmebaasi. Andmeid kasutavad menetlejad taotluse läbivaatamiseks ja otsuse tegemiseks. Vajadusel kontrollitakse andmeid teistest registritest. Kõik andmetega seotud tegevused logitakse ning ligipääs on piiratud vastavalt kasutaja rollile. 4.6. Võimalik alternatiiv Kas eesmärki oleks võimalik saavutada vähemate isikuandmetega või mõnel muul viisil? Näide: Ilma isikukoodi kasutamata ei oleks võimalik andmeid teistest registritest kontrollida. 4.7. Minimaalsuse põhimõte Kogutakse ainult vajalikud andmed. Näide: Infosüsteemis töödeldakse (nt kogutakse, kasutatakse, muudetakse jne) vaid neid isikuandmeid, mis on vajalikud inimestele teenuse osutamiseks (nt juhilubade taotluste menetlemine; lennuohutusalaste menetluste läbiviimine). Süsteemis ei koguta isikuandmeid, mis ei ole teenuse osutamiseks vajalikud.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 6/9 4.8. Andmesubjekti juurdepääs Kas inimene saab näha oma andmeid. Näide: Inimene saab oma andmeid näha e-teeninduse portaalis. 4.9. Andmesubjekti õigused Kirjelda, millised on andmesubjekti õigused arvestades infosüsteemi olemust. Kas tal on õigus:  oma isikuandmetega tutvuda;  isikuandmete parandamisele;  isikuandmete kustutamisele;  isikuandmete töötlemise piiramisele;  esitada vastuväiteid;  isikuandmete ülekandmisele (kui asjakohane). Näide: Isikul on võimalik esitada taotlusi e-teeninduse kaudu, e-posti või posti teel ning büroos kohapeal. Taotlused menetletakse vastavalt kehtivale korrale. Andmesubjektil ei ole võimalik kasutada oma õigust andmete kustutamisele, sest sellisel juhul ei ole ametil võimalik osutada talle enam vajalikku teenust. 5. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD Selles osa järgnevates alapunktides kirjelda isikuandmete elutsüklit – andmete teekonda alates nende kogumisest kuni kustutamise või arhiveerimiseni. Kirjelda terviklikku ülevaadet, kuidas andmeid konkreetses infosüsteemis käsitletakse. Kui mõjuhinnangu koostamise põhjuseks on olemasoleva infosüsteemi uuendamine või uue loomine, uu(t)e tegevus(t)e lisamine või töötlemise ulatuse muutmine, siis kasuta alljärgnevat tabelit: Esmakordsel mõjuhinnangu koostamisel ei ole vaja tabelit täita ning täidetaval vormil tabel kustutada. Jrk Hetkel olemasolev andmete töötlemise Kavandatav muutus andmete töötlemise nr (kogumise, kasutamise jms) protsess (kogumise, kasutamise jms) protsessis 5.1. Isikuandmete kogumine Kirjelda: 1) kelle isikuandmeid kogutakse (nt kliendid; kinnistute omanikud; piloodid, meremehed/kaptenid; ameti teenistujad); 2) milliseid isikuandmeid kogutakse (nt nimi, e-posti aadress, posti/elukoha-aadress, telefoni nr, kinnistu nr, pangakonto nr, teenistujate fotod, tervisetõendid jne); 3) kuidas need infosüsteemi jõuavad (nt klient esitab taotluse e-teeninduse kaudu/büroos paberkandjal kirjalik avaldus, isik sisestab e-teeninduse kaudu oma andmed vms). Näide: Taotleja esitab avalduse e-teeninduses ning sisestab oma nime ja kontaktandmed (e-posti aadress, telefon, postiaadress).  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 7/9 5.2. Isikuandmete kasutamine Kirjelda: 1) kes isikuandmeid kasutavad; 2) milleks neid kasutatakse. Näide: Klienditeenindaja/menetleja kasutab isikuandmeid taotluse menetlemiseks. 5.3. Isikuandmete edastamine Kirjelda, kas ja kuidas andmeid edastatakse: 1) teistele asutustele; 2) teenusepakkujatele (volitatud töötlejad). Lisa ka edastatavad andmekoosseisud, kui erinevatele asutustele edastatavad andmed ei ole ühetaolised. Näide: Andmeid edastatakse Maksu- ja Tolliametile järelevalve eesmärgil. Andmeid edastatakse X- tee andmevahetuskihi kaudu. Edastatav andmekoosseis on: … Kui andmeid edastatakse väljapoole Euroopa Majanduspiirkonda (kolmandasse riiki), siis kirjelda, millisesse riiki või millisele teenusepakkujale andmeid edastatakse ning milliseid kaitsemeetmeid kasutatakse (nt Euroopa Komisjoni piisavuse otsus, EL-i tüüplepingutingimused või muu GDPR-is sätestatud edastamise alus) Näide 1: Isikuandmeid edastatakse Ameerika Ühendriikides asuvale pilveteenuse pakkujale. Andmete edastamise aluseks on EL-i ja USA andmekaitseraamistik (EU–US Data Privacy Framework). Näide 2: Isikuandmeid edastatakse Indias asuvale teenusepakkujale. Andmete edastamise aluseks on Euroopa Komisjoni tüüplepingutingimused. 5.4. Isikuandmete säilitamine Kirjelda: 1) kus andmeid hoitakse; 2) kui kaua. Näide: Isikuandmeid säilitatakse 75 aastat vastavalt avaliku teenistuse seaduse § 35 lg 1 p 12-le või kuni teenuse osutamise lõpuni, misjärel kantakse need digitaalsesse arhiivi, kuhu on juurdepääs piiratud rollipõhiselt. 5.5. Isikuandmete kustutamine Selgita: 1) millal andmed kustutatakse (nt 10 aastat pärast töölepingu lõpetamist, vms); 2) kuidas (nt paberkandjal hävitatakse purustamise teel, digitaalsed andmed kustutab süsteemiadministraator pärast säilitustähtaja lõppu (nt 5 aasta pärast)). Näide: Pärast säilitustähtaja lõppu kustutatakse andmed automaatselt. 6. RISKID JA NENDE MAANDAMISE MEETMED Risk tähendab võimalikku olukorda, kus andmete töötlemine võib põhjustada kahju inimese eraelu puutumatusele. Näited:  andmete leke (juurdepääsupiiranguga andmete avalikuks saamine);  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 8/9  loata juurdepääs (isik, kellel ei ole õigust andmeid näha, saab neile ligipääsu);  identiteedivargus. Riskide tabelis kirjelda infosüsteemis juhtuda võivad võimalikud riskid ja nende maandamise meetmed. Riskide hindamise aluseks on ameti riskijuhtimise poliitika (TT_13_P1_Riskijuhtimise poliitika). Riskide hindamise neljaastmeline skaala: Riski tõenäosus: 1 – väga madal 2 – madal 3 – keskmine 4 – kõrge Riski mõju: 1 – tähtsusetu/tühine 2 – vähene 3 – oluline e märkimisväärne 4 – kriitiline Riski tase – leitakse riski tõenäosuse ja mõju tegurite korrutamisel: 1) madal – skoor 1-2; 2) keskmine – skoor 3-6; 3) kõrge – skoor 7-12; 4) kriitiline – skoor 13-16. Mõjuhinnangu koostamisel: 1) kaardista ja hinda riskid, arvestades riski võimalikku mõju inimesele; 2) vali need, mis võivad infosüsteemi puhul esineda; 3) kohanda kirjeldust vastavalt hinnatavale infosüsteemile; 4) lisa riskid tabelisse. Riski Riski Riski põhjus Riski Riski Riski tase Riski maandamis- Vastutaja nr nimetus tõe- mõju tegevus näosus 1. [Riski [Riski põhjustav [1-4] [1-4] [madal, [Millised meetmed [Kes kokkuvõttev toiming või tegur] keskmine, võetakse/on võetud vastutab] nimetus] kõrge, kasutusele, et kriitiline] võimalik risk oleks viidud vastuvõetavale tasemele (madal, keskmine)]  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V1_Lisa 1 INFOSÜSTEEMI ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitamine: 03.09.2026 nr 1.1-1/26/123 9/9 1. Näide: Töötaja pääseb ligi 2 4 kõrge Rollipõhine ligipääs; Süsteemi Loata isikuandmetele ilma kasutajate tegevuste pea- juurdepääs tööalase vajaduseta logimine; regulaarne kasutaja isiku- ligipääsuõiguste andmetele ülevaatus 2. Näide: Isikuandmed 3 3 kõrge Krüpteeritud Teenuse- Andmeleke avaldatakse või andmeedastus; juht (andmete lekivad volitamata Turva-monitooring; lubamatu isikutele (e-kiri Teenistujate avaldamine) valele aadressile, koolitamine; turvanõrkuse tõttu Teenistujad on satuvad isiku- teadlikud andmed avalikku andmeleketest internetti) teavitamise protsessist. Näited: 1. Riski nimetus: Valeandmete kasutamine Riski kirjeldus - Süsteemis kasutatakse ebaõigeid või aegunud andmeid Näide olukorrast - inimese aadress on vale või registriandmed pole ajakohased Võimalik mõju - vale otsus või teenus, inimese õiguste rikkumine Näited maandamismeetmetest - andmete kontroll teistest registritest, regulaarne andmete uuendamine, võimalus inimesel oma andmeid parandada. 2. Riski nimetus: Andmete liiga pikk säilitamine Riski kirjeldus - Isikuandmeid säilitatakse kauem kui vajalik Näide olukorrast - süsteem ei kustuta aegunud andmeid Võimalik mõju - suurem andmelekkega seotud risk; andmekaitse rikkumine Näited maandamismeetmetest - säilitustähtaegade määramine; automaatne kustutamine; regulaarne andmete ülevaatus. 3. Riski nimetus: Küberrünnak infosüsteemi vastu Riski kirjeldus - Välised ründajad üritavad süsteemi sisse murda või andmeid varastada Näide olukorrast – pahavara, teenusetõkestusrünnak Võimalik mõju - andmete hävimine; teenuse katkestus; andmeleke Näited maandamismeetmetest – tulemüür; turvauuendused; turvamonitooring; sissetungituvastus. 4. Riski nimetus: Süsteemi tehniline rike Riski kirjeldus - Infosüsteem ei tööta tehnilise vea tõttu Näide olukorrast - serveri rike, tarkvara viga Võimalik mõju - teenuse katkestus; andmete kadumine Näited maandamismeetmetest – varukoopiad; taastamiskava; süsteemi monitooring.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 1/9 SISUKORD EESMÄRK ................................................................................................................................. 1 SELGITUS ................................................................................................................................. 1 1. ÜLDINFO .............................................................................................................................. 1 2. SISSEJUHATUS .................................................................................................................... 3 3. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID ............................................................... 4 4. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD ............................................................... 5 5. RISKID JA NENDE MAANDAMISE MEETMED ............................................................. 7 EESMÄRK See juhend aitab täita Transpordiameti (edaspidi amet) isikuandmetega seotud andmetöötlustoimingu jaoks koostatavat andmekaitsealase mõjuhinnangu vormi (TT_04_K4_V2_Andmetöötlustoimingu andmekaitsealase mõjuhinnangu vorm). SELGITUS Andmekaitsealane mõjuhinnang (edaspidi mõjuhinnang) on analüüs, mille käigus hinnatakse, kuidas konkreetne andmetöötlustoiming võib mõjutada inimeste (andmesubjektide) õigusi ja privaatsust. Mõjuhinnangu koostamise kohustus tuleneb isikuandmete kaitse üldmääruse (IKÜM e GDPR) artiklist 35. Mõjuhinnang aitab: 1) saada ülevaade, milliseid isikuandmeid andmetöötlustoimingus kasutatakse; 2) hinnata võimalikke riske inimeste õigustele ja privaatsusele; 3) kavandada meetmeid nende riskide vähendamiseks. Mõjuhinnang tuleb (tavaliselt) teha juhul, kui: 1) kavandatakse uut andmetöötlustoimingut; 2) olemasolevasse andmetöötlusse lisatakse uusi tegevusi või muudetakse selle ulatust; 3) hakatakse töötlema isikuandmeid suures mahus; 4) töödeldakse tundlikke (eriliigilisi) andmeid. 1. ÜLDINFO Siin märgi põhiandmed andmetöötlustoimingu ja mõjuhinnangu kohta. 1.1. Andmetöötlustoimingu nimetus – Kirjuta lühidalt, mida tehakse Näide: „Teenistujate läbipääsusüsteemi kasutamine“ või „Rinnakaamerate kasutamine (veonduse järelevalve)“ või „Eksamisõidukites kaamerate kasutamine“ vms 1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus) 1.3. Mõjuhinnangu koostamise ajavahemik – Millal mõjuhinnang koostati Näide:20.04.2025 – 30.05.2025  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 2/9 1.4. Mõjuhinnangu versiooni number – Näitab, mitmes dokumendi versioon on Näide: esimene hinnang → versioon 1; täiendatud hinnang → 2, 3 jne 1.5. Hinnangu koostaja – Kirjuta:  nimi  ametikoht  kontakt Näide: Mari Maasikas, registri peakasutaja, [email protected] 1.6. Kokkuvõte – Siia kirjuta lühike kokkuvõte kogu hinnangust. Kokkuvõte peaks vastama kolmele küsimusele:  milleks andmetöötlustoimingut kasutatakse;  milliseid isikuandmeid töödeldakse;  kas riskid on vastuvõetavad. Näide: Andmetöötlustoimingut kasutatakse territooriumi turvalisuse tagamiseks ja rikkumiste ennetamiseks valvekaamerate abil. Töötlemise käigus töödeldakse territooriumil viibivate isikute isikuandmeid, eelkõige videosalvestisi, millelt võib olla tuvastatav isiku välimus ja liikumine. Riskide hindamise tulemusel tuvastati keskmise tasemega risk seoses võimaliku loata juurdepääsuga salvestistele. Rakendatud turvameetmete (nt ligipääsupiirangud, salvestiste säilitamise piiramine ja logimine) tõttu on andmetöötlustoiming isikuandmete kaitse seisukohalt vastuvõetav. 1.7. Jääkrisk – Hinda, kas pärast meetmete rakendamist (nt ligipääsupiirangud, andmete minimeerimine, pseudonüümimine, logimine, teenistujate koolitamine jne) väheneb tuvastatud risk inimete õigustele ja vabadustele, kuid ei pruugi täielikult kaduda. Jääkriski hindamisel tuleb arvesse võtta eelkõige:  töödeldavate andmete liiki ja tundlikkust;  andmetöötluse mahtu ja ulatust;  andmesubjektidele võimaliku kahju raskust ja tõenäosust. Sõltuvalt hinnangust võib jääkrisk olla:  madal, kui täiendavaid olulisi ohte ei tuvastata;  keskmine, kui riskid on kontrolli all, kuid mitte täielikult välditud;  kõrge, kui vaatamata meetmetele võib andmetöötlus endiselt oluliselt mõjutada andmesubjektide privaatsust. Kui jääkrisk hinnatakse kõrgeks, tuleb enne andmetöötluse alustamist või töötlemise ajal mõjuhinnangu tegemisel kaaluda konsulteerimist Andmekaitse Inspektsiooniga (AKI). Kirjuta, kas on plaanis AKI-ga konsulteerida ning kui jah, siis millal ja miks seda peaks tegema. Näide 1 – madal jääkrisk Jääkrisk on madal. Rakendatud turvameetmed (ligipääsupiirangud, krüpteerimine, logimine) vähendavad riski nii, et andmetöötlust võib jätkata ilma täiendava konsulteerimiseta Andmekaitse Inspektsiooniga.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 3/9 Näide 2 – keskmine jääkrisk Jääkrisk on keskmine. Rakendatud turvameetmed vähendavad riski vastuvõetavale tasemele, kuid andmetöötluse korraldamisel tuleb jälgida regulaarset auditit ja teenistujate koolitust. Konsulteerimine Andmekaitse Inspektsiooniga ei ole vajalik. Näide 3 – kõrge jääkrisk Jääkrisk on kõrge. Riskid, mis jäävad alles rakendatud meetmete tõttu, võivad avaldada olulist mõju andmesubjektide õigustele. Enne andmetöötluse alustamist tuleb konsulteerida Andmekaitse Inspektsiooniga ning kaaluda täiendavate turvameetmete rakendamist. 1.8. Õigustatud huvi tuvastamine Mõjuhinnangule lisaks tuleb täita õigustatud huvi tuvastamise vorm (TT_04_K4_V3_r1) ainult siis, kui töötlemine põhineb õigustatud huvi alusel (GDPR artikkel 6 lg 1 p f). Kui sama andmetöötlustoimingu kohta koostatakse ka andmekaitsealane mõjuhinnang, lisatakse õigustatud huvi tuvastamise vorm mõjuhinnangu juurde. Lihtne otsustamise reegel:  Avalikes huvides / avaliku võimu alusel → ei ole vajalik  Õigustatud huvi alusel → tuleb teha  Muud alused (leping, nõusolek, seaduslik kohustus) → ei ole vajalik Vormile märgi, kas õigustatud huvi tuvastamine on vajalik ning lisa juurde märkus. Näide: Õigustatud huvi tuvastamine: „On vajalik. Õigustatud huvi tuvastamine on lisatud mõjuhinnangu juurde“ või „Ei ole vajalik.“ 2. SISSEJUHATUS 2.1. Mõjuhinnangu koostamise eesmärk Selgita, miks mõjuhinnang tehakse. Näide: Eesmärk on hinnata, kuidas teenistujate andmete töötlemine mõjutab nende privaatsust ja kuidas riske vähendada. 2.2. Metoodika Kirjelda lühidalt, kuidas mõjuhinnang koostati, milliseid dokumente või tööprotsesside kirjeldusi kasutati, kellega konsulteeriti ning kuidas hinnati riske (tõenäosus ja mõju). Kui kaasati andmekaitsespetsialist (AKS), märgi, millises etapis ja milliseid soovitusi ta andis. Näited:  analüüsiti andmetöötlustoiminguga seotud dokumentatsiooni ja protsesse;  konsulteeriti töötleja, juristi või teiste asjaosalistega;  hinnati töötlemisega seotud riske ja nende mõju;  kaasati AKS hinnangu alg- või täiendavas etapis. Näide kokkuvõtlikust lausest: Mõjuhinnang koostati andmetöötlustoimingu dokumentatsiooni analüüsi ja asjaosaliste konsultatsioonide põhjal. Riskide hindamisel kasutati neljaastmelist skaalat (tõenäosus ja mõju). Hinnangu koostamisse kaasati AKS, kes andis soovitusi täiendavate riskide maandamiseks.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 4/9 2.3. Mõjuhinnangu ulatus e skoop Kirjelda, millist tegevust (andmetöötlustoimingut) tehakse. Näide: Hinnang käsitleb teenistujate liikumise andmete kogumist ja kasutamist läbipääsusüsteemis. 3. ISIKUANDMETE TÖÖTLEMISE EESMÄRGID 3.1. Töötlemise eesmärgid Selgita: 1) miks isikuandmeid kogutakse; 2) milline õiguslik alus (seadus, määrus vms) seda lubab; 3) märgi IKÜM-i õiguslik alus, kas:  nõusolek;  lepingu täitmine;  juriidiline kohustus  avalikes huvides ülesande täitmine või avaliku võimu teostamine;  õigustatud huvi. Näide 1: Isikuandmeid töödeldakse turvalisuse tagamiseks hoonetes ja ameti territooriumil (nt videovalve). Töötlemine toimub õigustatud huvi alusel. Näide 2: Töötlemine toimub avaliku ülesande täitmiseks; 3.2. Töötlemise vajalikkus ja proportsionaalsus Selgita, kas andmete töötlemine on põhjendatud. Kirjuta: 1) miks on selline andmetöötlus vajalik; 2) kas on olemas lihtsam viis (alternatiiv); 3) kas kogutakse ainult vajalikus ulatuses andmeid (minimaalsus põhimõte); 4) kas andmesubjektil on võimalik oma isikuandmeid näha. Näide 1: Ilma läbipääsusüsteemita ei ole võimalik tagada turvalisust. Näide 2: Alternatiiv oleks võtta tööle valvur, kuid see ei ole piisav turvameede, sest... Näide 3:Kogutakse ainult ees- ja perekonnanime ning hoonesse sisenemise aega. Näide 4: Andmesubjekt saab tema kohta kogutavaid andmeid näha, kui esitab sellekohase päringu. 3.3. Andmesubjekti õigused Kirjelda, millised on andmesubjekti õigused arvestades andmetöötlustoimingut. Kas tal on:  õigus oma isikuandmetega tutvuda;  õigus isikuandmete parandamisele;  õigus isikuandmete kustutamisele;  õigus isikuandmete töötlemise piiramisele;  õigus esitada vastuväiteid;  õigus isikuandmete ülekandmisele (kui asjakohane).  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 5/9 Näide: Isikul on võimalik esitada oma andmetega tutvumiseks taotlusi e-teeninduse kaudu, e- posti või posti teel ning büroos kohapeal. Taotlused menetletakse vastavalt kehtivale korrale. Andmesubjektil ei ole võimalik kasutada oma õigust andmete kustutamisele või nende kasutamise piiramisele, sest sellisel juhul ei ole ametil võimalik osutada talle enam vajalikku teenust. Tal on õigus esitada taotlus andmete parandamiseks ning esitada töötlemise osas vastuväiteid kuid õigust andmete ülekandmist teisele asutusele ei ole võimalik kasutada, kuna vastavat teenust osutab vaid amet. 4. ISIKUANDMETE TÖÖTLEMISE TOIMINGUD Selles osa järgnevates alapunktides kirjelda isikuandmete elutsüklit – andmete teekonda alates nende kogumisest kuni kustutamise või arhiveerimiseni. Kirjelda terviklikku ülevaadet, kuidas andmeid konkreetses andmetöötlusprotsessis käsitletakse. Kui mõjuhinnangu koostamise põhjuseks on olemasolevasse andmetöötlusse uu(t)e tegevus(t)e lisamine või töötlemise ulatuse muutmine, siis kasuta alljärgnevat tabelit. Esmakordsel mõjuhinnangu koostamisel ei ole vaja tabelit täita ning täidetaval vormil tabel kustutada. Jrk Hetkel olemasolev andmete töötlemise Kavandatav muutus andmete töötlemise nr (kogumise, kasutamise jms) protsess (kogumise, kasutamise jms) protsessis 4.1. Isikuandmete kogumine Kirjelda: 1) kelle isikuandmeid kogutakse (nt kliendid; kinnistute omanikud; piloodid, meremehed/kaptenid; ameti teenistujad); 2) milliseid isikuandmeid kogutakse (nt nimi, e-posti aadress, posti/elukoha-aadress, telefoni nr, kinnistu nr, pangakonto nr, teenistujate fotod, tervisetõendid jne); 3) kuidas andmeid kogutakse (nt klient esitab taotluse e-teeninduse kaudu/büroos paberkandjal kirjalik avaldus, isik sisestab e-teeninduse kaudu oma andmed vms); 4) kas andmeid saadakse kusagilt mujalt (nt riigitöötaja iseteenindusportaal, asutuse personaliprogramm vms); 5) kuidas tagad andmete õigsuse (nt andmeid kontrollib personaliosakond üks kord aastas või vastavalt vajadusele); 6) kui kasutad isikute nõusolekut või õigustatud huvi (nt nõusoleku saab anda digitaalselt ja selle saab tagasi võtta igal ajal e-posti teel/iseteenindusportaali kaudu; andmete kogumine toimub õigustatud huvi alusel. Selleks on tehtud huvide kaalumise test, mis on dokumenteeritud, lisatud käesolevale hinnangule ning registreeritud dokumendihaldussüsteemis Delta). 4.2. Isikuandmete kasutamine Kirjelda: 1) kes ja milleks andmeid kasutab (nt klienditeenindaja/menetleja kasutab isikuandmeid taotluse menetlemiseks. Isikuandmeid ei kasutata teistel eesmärkidel; isikuandmeid kasutatakse ka statistika koostamiseks, kuid anonüümiseeritud kujul);  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 6/9 2) kes pääseb andmetele ligi (nt ainult volitatud töötlejad; ligipääs on võimaldatud rollipõhiselt; on juurdepääs vaid IT-osakonnal/personaliosakonnal/haldusosakonnal vms); 3) kas tegevusi logitakse (nt kõik kasutajate tegevused logitakse, mida säilitatakse 1,5 a); 4) kas andmeid avalikustatakse (nt kogutud andmeid ei avalikustata; kogutavaid andmeid avalikustatakse vaid anonüümseks muudetud kujul, kus isikute tuvastamine on välistatud); 5) kuidas parandatakse vigaseid andmeid (nt isik saab esitada taotluse oma andmete parandamiseks; personalispetsialist kontrollib regulaarselt üks kord 6 kuu jooksul andmete õigsust ning ebaõigete andmete korral parandab need koheselt); 6) kuidas inimene (andmesubjekt) saab oma andmeid näha (nt isik esitab taotluse e-posti teel; isik saab teha allkirjastatud taotluse). 4.3. Isikuandmete edastamine Kirjelda: 1) kas andmeid edastatakse mõnele teisele asutusele, lisa ka andmete koosseis (nt andmeid edastatakse Politsei- ja Piirivalveametile ning Maksu-ja Tolliametile järelevalve eesmärgil. Edastatavad andmed on: …); 2) kuidas andmeid edastatakse (nt andmeid edastatakse X-tee andmevahetuskihi kaudu; andmete edastamine toimub andmetöötluslepingu alusel); 3) kas andmeid edastatakse väljapoole Euroopa Majanduspiirkonda (kolmandasse riiki) (nt andmeid ei edastata kolmandatesse riikidesse). Kui vastus on jah, kirjelda, millisesse riiki või millisele teenusepakkujale andmeid edastatakse ning milliseid kaitsemeetmeid kasutatakse (nt Euroopa Komisjoni piisavuse otsus, EL-i tüüplepingutingimused või muu GDPR-is sätestatud edastamise alus) Näide 1: Isikuandmeid edastatakse Ameerika Ühendriikides asuvale pilveteenuse pakkujale. Andmete edastamise aluseks on EL-i ja USA andmekaitseraamistik (EU–US Data Privacy Framework). Näide 2: Isikuandmeid edastatakse Indias asuvale teenusepakkujale. Andmete edastamise aluseks on Euroopa Komisjoni tüüplepingutingimused. 4.4. Isikuandmete säilitamine Kirjelda: 1) kus ja kuidas andmeid hoitakse (nt andmeid hoitakse Exceli tabelis osakonna kettal, kuhu on ligipääs vaid tabeli omanikul/osakonna juhatajal vms); 2) kui kaua andmeid säilitatakse (nt isikuandmeid säilitatakse 75 aastat vastavalt avaliku teenistuse seaduse § 35 lg 1 p 12-le või kuni teenuse osutamise lõpuni, misjärel andmed kustutatakse kui seadusest ei tulene teine säilitustähtaeg); 3) kes pääseb andmetele ligi (nt ligipääs isikuandmetele on haldusosakonnal rollipõhiselt) 4) millised on turvameetmed (nt andmeid hoitakse ainult asutuse infosüsteemides või piiratud ligipääsuga võrgukettal; andmetele pääsevad ligi üksnes tööülesannete täitmiseks volitatud töötajad; ligipääs on kaitstud kasutajatunnuse ja parooliga ning andmete edastamisel kasutatakse turvalisi lahendusi). 4.5. Isikuandmete kustutamine Kirjelda:  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 7/9 1) millal andmed kustutatakse (nt andmed kustutatakse pärast ühe (1) aasta möödumist; andmeid ei kustutata, vaid pärast seitsme (7) kuu möödumist isikuandmed anonümiseeritakse ning säilitatakse anonüümse statistikana). 2) kuidas kustutamine toimub (nt andmed kustuvad süsteemis automaatselt; andmed kustutab IT-osakond pärast ühe (1) aasta möödumist; andmed kustutatakse käsitsi). 3) kas inimene ise saab nõuda oma andmete kustutamist (nt andmesubjekt saab vastavalt GDPR-ile taotleda oma andmete kustutamist; andmesubjektil ei ole võimalik kasutada oma õigust andmete kustutamisele, sest sellisel juhul ei ole ametil võimalik osutada talle enam vajalikku teenust). 5. RISKID JA NENDE MAANDAMISE MEETMED Risk tähendab võimalikku olukorda, kus andmete töötlemine võib põhjustada kahju inimese eraelu puutumatusele. Näited:  andmete leke (juurdepääsupiiranguga andmete avalikuks saamine);  loata juurdepääs (isik, kellel ei ole õigust andmeid näha, saab neile ligipääsu);  identiteedivargus. Riskide tabelis kirjelda andmetöötlustoiminguga juhtuda võivad võimalikud riskid ja nende maandamise meetmed. Riskide hindamise aluseks on ameti riskijuhtimise poliitika (TT_13_P1_Riskijuhtimise poliitika). Riskide hindamise neljaastmeline skaala: Riski tõenäosus: 1 – väga madal 2 – madal 3 – keskmine 4 – kõrge Riski mõju: 1 – tähtsusetu/tühine 2 – vähene 3 – oluline e märkimisväärne 4 – kriitiline Riski tase – leitakse riski tõenäosuse ja mõju tegurite korrutamisel: 1) madal – skoor 1-2; 2) keskmine – skoor 3-6; 3) kõrge – skoor 7-12; 4) kriitiline – skoor 13-16. Mõjuhinnangu koostamisel: 1) kaardista ja hinda riskid, arvestades riski võimalikku mõju inimesele; 2) vali need, mis võivad andmetöötlustoimingu puhul esineda; 3) kohanda kirjeldust vastavalt hinnatavale isikuandmete töötlemise toimingule;  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 8/9 4) lisa riskid tabelisse. Riski Riski Riski põhjus Riski Riski Riski tase Riski maandamis- Vastutaja nr nimetus tõe- mõju tegevus näosus 1. [Riski [Riski põhjustav [1-4] [1-4] [madal, [Millised meetmed [Kes kokkuvõttev toiming või tegur] keskmine, võetakse/on võetud vastutab] nimetus] kõrge, kasutusele, et kriitiline] võimalik risk oleks viidud vastuvõetavale tasemele (madal, keskmine)] 1. Näide: Kontaktandmeid, 2 3 keskmine Õigusliku aluse Teenuse Isikuandmete mis koguti teenuse dokumenteerimine; juht töötlemine osutamiseks, eesmärgipärasuse (töötlemis ilma kasutatakse hiljem kontroll enne uue toimingu õigusliku teavituste või töötlemise omanik) aluseta uuringute alustamist; saatmiseks regulaarne andmetöötluse ülevaatus. 2. Näide: Kaamera salvestab 3 3 kõrge kaamera vaatevälja Teenuse Kaamerate lisaks sissepääsule piiramine üksnes juht kasutamine ka avaliku kõnnitee vajalikule alale; (töötlemis ulatuses, mis või naaberkinnistu videovalve eesmärgi toimingu ülemäära ala. Samuti puudub ja vajalikkuse omanik) riivab selge teave hindamine; selge inimeste videovalve kohta teavituse eraelu või salvestisi paigaldamine; säilitatakse salvestiste säilitusaja põhjendamatult piiramine; kaua. juurdepääsu piiramine salvestistele ning regulaarne ülevaatus, kas videovalve on endiselt vajalik. Näited: 1. Riski nimetus: Isikuandmete töötlemine ilma õigusliku aluseta Riski kirjeldus – isikuandmeid töödeldakse ilma kehtiva õigusliku aluseta või kasutatakse neid eesmärgil, milleks neid ei kogutud. Näide olukorrast – kontaktandmeid, mis koguti teenuse osutamiseks, kasutatakse hiljem teavituste või uuringute saatmiseks ilma sobiva õigusliku aluseta. Võimalik mõju – isiku eraelu puutumatuse rikkumine; ebaseaduslik andmetöötlus; usalduse vähenemine.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V2_Lisa 1 ANDMETÖÖTLUSTOIMINGU ANDMEKAITSEALASE MÕJUHINNANGU VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 9/9 Näited maandamismeetmetest – õigusliku aluse dokumenteerimine; eesmärgipärasuse kontroll enne uue töötlemise alustamist; regulaarne andmetöötluse ülevaatus. 2. Riski nimetus: Liigne isikuandmete kogumine Riski kirjeldus – kogutakse rohkem isikuandmeid kui eesmärgi saavutamiseks vajalik. Näide olukorrast – teenuse taotlemisel küsitakse terviseandmeid, kuigi neid teenuse osutamiseks vaja ei ole. Võimalik mõju – suurem mõju andmelekkega seotud juhtumi korral; andmete minimaalsuse põhimõtte rikkumine. Näited maandamismeetmetest – andmeväljade ülevaatamine; minimaalsuse põhimõtte rakendamine; regulaarne vormide ja protsesside hindamine. 3. Riski nimetus: Andmesubjekti õiguste piiramine Riski kirjeldus – isikul ei ole võimalik kasutada oma õigusi või nende täitmine viibib. Näide olukorrast – parandamis- või kustutamistaotlusi ei menetleta õigeaegselt. Võimalik mõju – ebaõigete andmete kasutamine; isiku õiguste rikkumine. Näited maandamismeetmetest – selge õiguste menetlemise kord; vastutajate määramine; tähtaegade jälgimine. 4. Riski nimetus: Kaamerate kasutamine ulatuses, mis ülemäära riivab inimeste eraelu Riski kirjeldus - videovalve käigus kogutakse isikuandmeid laiemas ulatuses, kui on töötlemise eesmärgi saavutamiseks vajalik, või jälgitakse inimesi viisil, millega nad ei saa mõistlikult arvestada. Näide olukorrast - kaamera salvestab lisaks sissepääsule ka avaliku kõnnitee või naaberkinnistu ala. Samuti puudub selge teave videovalve kohta või salvestisi säilitatakse põhjendamatult kaua. Võimalik mõju - inimeste eraelu puutumatuse põhjendamatu riive; isikute pideva jälgimise tunne; andmekaitsenõuete rikkumine. Näited maandamismeetmetest – kaamera vaatevälja piiramine üksnes vajalikule alale; videovalve eesmärgi ja vajalikkuse hindamine; selge teavituse paigaldamine; salvestiste säilitusaja piiramine; juurdepääsu piiramine salvestistele ning regulaarne ülevaatus, kas videovalve on endiselt vajalik.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1 ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 1/3 SISUKORD EESMÄRK ................................................................................................................................. 1 SELGITUS ................................................................................................................................. 1 1. ÜLDINFO .............................................................................................................................. 1 2. ÕIGUSTATUD HUVI ANALÜÜS ....................................................................................... 2 3. JÄRELDUS ............................................................................................................................ 3 EESMÄRK See juhend aitab täita Transpordiameti (edaspidi amet) õigustatud huvi tuvastamise vormi. (TT_04_K4_V3_Õigustatud huvi tuvastamise vorm). SELGITUS Õigustatud huvi tuvastamine on analüüs, mille käigus hinnatakse, kas isikuandmete töötlemine võib toimuda õigustatud huvi alusel vastavalt isikuandmete kaitse üldmääruse (GDPR) artikli 6 lõike 1 punktile f. Õigustatud huvi tuvastamise eesmärk on hinnata: 1. kas ametil on isikuandmete töötlemiseks õigustatud huvi; 2. kas isikuandmete töötlemine on eesmärgi saavutamiseks vajalik; 3. kas ameti huvi on kaalukam kui andmesubjekti e inimese õigused ja vabadused. Õigustatud huvi tuvastamine tuleb teha ainult siis, kui isikuandmete töötlemise õiguslikuks aluseks on õigustatud huvi (Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (IKÜM) artikkel 6 lõige 1 punktile f). Vt isikuandmete töötlemise korra punkte 6.1. ja 6.2. Kui sama andmetöötlustoimingu kohta koostatakse andmekaitsealane mõjuhinnang, lisatakse õigustatud huvi tuvastamine mõjuhinnangu juurde. Kui mõjuhinnangu koostamise kohustust ei ole, koostatakse õigustatud huvi analüüs iseseisva dokumendina. 1. ÜLDINFO Siin märgi põhiandmed õigustatud huvi analüüsi kohta. 1.1. Andmetöötlustoimingu nimetus – Kirjuta lühidalt, millist andmetöötlustoimingut hinnatakse. Näiteks: „Videovalve ameti hoonetes“ või „Teenistujate läbipääsusüsteem“ või „Külastajate registreerimine“. 1.2. Vastutav töötleja – Transpordiamet (lisa ka vastutav osakond/üksus) 1.3. Koostamise ajavahemik – Märgi analüüsi koostamise aeg  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1 ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 2/3 Näide:“20.04.2025 – 30.05.2025“ või „20.04.2025“ 1.4. Koostaja – Kirjuta:  nimi  ametikoht  kontakt Näide: Mari Maasikas, registri peakasutaja, [email protected] 2. ÕIGUSTATUD HUVI ANALÜÜS Õigustatud huvi hindamisel kasutatakse kolmeastmelist testi (eesmärk, vajalikkus ja mõju inimesele). 2.1. Töötlemise eesmärk Kirjelda:  milleks isikuandmeid töödeldakse;  millist õigustatud huvi soovitakse kaitsta. Näiteks: „Isikuandmeid töödeldakse ameti vara ja töötajate turvalisuse tagamiseks ning õigusrikkumiste ennetamiseks“; „Videovalve eesmärk on kaitsta ameti vara ning tagada teenistujate ja külastajate turvalisus“. 2.2. Töötlemise vajalikkus Selgita:  miks on isikuandmete töötlemine eesmärgi saavutamiseks vajalik;  millist töötlemise meetodit kavatsetakse eesmärgi saavutamiseks kasutada;  kas sama eesmärki oleks võimalik saavutada isikuandmeid töötlemata või vähem isikuandmeid kasutades;  miks valitud lahendus on kõige sobivam. Näiteks: „Eesmärgi saavutamiseks kavatsetakse kasutada videovalvet, mille abil jälgitakse valvatavat ala ja salvestatakse seal toimuvad sündmused.“; „Alternatiivina kaaluti mehitatud valvet, kuid see ei võimalda rikkumisi hiljem tõendada ning oleks oluliselt kulukam.“; „Turvalisust ei ole võimalik tagada üksnes valvesiltide või pisteliste kontrollidega. Videovalve võimaldab rikkumisi ennetada ning vajaduse korral juhtumeid hiljem kontrollida.“ 2.3. Mõju andmesubjektile Hinda, kuidas töötlemine mõjutab inimese õigusi ja privaatsust. Kirjelda näiteks:  kas inimene võib sellist töötlemist mõistlikult eeldada;  milliseid isikuandmeid töödeldakse;  kas töödeldakse eriliigilisi andmeid;  kui ulatuslik on töötlemine (andmesubjektide arv, töödeldavate andmete hulk ja töötlemise kestus);  kas töötlemine võib põhjustada inimesele kahju või ebamugavusi.  TRANSPORDIAMETI JUHTIMISSÜSTEEM TT_04_K4_V3_Lisa 1 ÕIGUSTATUD HUVI TUVASTAMISE VORMI TÄITMISE JUHEND Kinnitatud: 03.09.2026 nr 1.1-1/26/123 3/3 Näide: Hinnang käsitleb teenistujate liikumise andmete kogumist ja kasutamist läbipääsusüsteemis. Eesmärgi saavutamiseks kasutatakse elektroonilist läbipääsusüsteemi, mis registreerib teenistuja sisenemise ja väljumise. Töötlemine puudutab ligikaudu 50 teenistujat ning andmeid säilitatakse 30 päeva. Eriliigilisi isikuandmeid ei töödelda. Töötlemine võib vähesel määral mõjutada teenistujate privaatsust, kuna nende liikumise kohta kogutakse andmeid.“ 2.4. Kaitsemeetmed Kirjelda meetmed, millega vähendatakse andmetöötlustoimingu mõju inimese õigustele. Näited:  ligipääsupiirangud;  logimine;  säilitamistähtaja piiramine;  andmete minimeerimine;  töötajate koolitamine;  infotahvlid või privaatsusteavitus;  õigus esitada vastuväide. 2.5. Kaalumise tulemus Hinda, kas:  ameti huvi on kaalukam kui andmesubjekti(de) õigused ja vabadused;  isikuandmete töötlemine on selle saavutamiseks vajalik;  õigustatud huvi on olemas. Näiteks: „Ameti õigustatud huvi on olemas ning isikuandmete töötlemine on selle eesmärgi saavutamiseks vajalik. Rakendatud kaitsemeetmeid arvestades on mõju andmesubjektidele piiratud ning töötlemine ei riiva nende õigusi ja vabadusi ülemääraselt. Seetõttu on ameti huvi käesoleval juhul kaalukam kui andmesubjektide õigused ja vabadused.“ 3. JÄRELDUS Tee kokkuvõte. Näide 1: Analüüsi tulemusel on leitud, et isikuandmete töötlemine vastab GDPR artikli 6 lõike 1 punktis f sätestatud tingimustele. Töötlemine on eesmärgi saavutamiseks vajalik, proportsionaalne ning rakendatud kaitsemeetmed vähendavad mõju andmesubjektide õigustele vastuvõetava tasemeni. Näide 2: Õigustatud huvi kaalumise tulemusel leiti, et isikuandmete töötlemine on vajalik ning rakendatud kaitsemeetmete tõttu ei kaalu andmesubjektide õigused üles vastutava töötleja õigustatud huvi. Isikuandmete töötlemine võib toimuda GDPR artikli 6 lõike 1 punkti f alusel. Näide 3: Huvide kaalumise tulemusel leiti, et andmesubjekti õigused kaaluvad üles vastutava töötleja õigustatud huvi. Seetõttu ei saa õigustatud huvi kasutada isikuandmete töötlemise õigusliku alusena ning tuleb valida muu õiguslik alus või muuta andmetöötluse korraldust.  KÄSKKIRI 03.09.2026 nr 1.1-1/26/123 Transpordiameti isikuandmete töötlemise korra kinnitamine Majandus- ja taristuministri 03.12.2020 määruse nr 82 „Transpordiameti põhimäärus“ § 6 punktide 1 ja 5 alusel: 1. Kinnitan Transpordiameti isikuandmete töötlemise korra koos lisadega (lisatud). 2. Tunnistan kehtetuks Transpordiameti peadirektori 14.06.2022 käskkirja nr 1.1-1/22/82 „Transpordiameti andmekaitse korra kinnitamine“. Käesolevat haldusakti on võimalik vaidlustada 30 päeva jooksul selle teatavaks tegemisest alates vaide esitamisega Transpordiametile (Valge 4, 11413 Tallinn) haldusmenetluse seaduses sätestatud korras või esitades kaebuse Tallinna Halduskohtule halduskohtumenetluse seadustikus sätestatud korras. (allkirjastatud digitaalselt) Priit Sauk peadirektor