Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Kerli Kurg Teie 27.02.2026 Lõuna-Eesti Hooldekeskus AS [email protected] Meie 31.03.2026 nr 2.2-9/26/809-3 Vastus selgitustaotlusele Andmekaitse Inspektsioon (AKI) sai Teie selgitustaotluse küsimustega isikuandmete töötlemise kohta hoolekandeasutuses ning soovite teada millises ulatuses on hooldustöötajal õigus tutvuda kliendi andmetega, sh terviseandmetega. Esmalt selgitan, et AKI saab siduvaid õiguslikke hinnanguid anda ainult järelevalvemenetluses. Täpsemaid asjaolusid teadmata saab inspektsioon selgitustaotlusele vastates anda vaid üldiseid õigusalaseid selgitusi. Isikuandmete töötlemist reguleerib isikuandmete kaitse üldmäärus (IKÜM), mille kohaselt peab isikuandmete töötlemine olema kooskõlas IKÜM artiklis 5 sätestatud põhimõtetega, muu hulgas seaduslikkuse, eesmärgipärasuse ja minimaalsuse põhimõtetega. Isikuandmete töötlemise õiguspärasuse tagamine, sh selle tõendamine on isikuandmete vastutava töötleja kohustus (IKÜM art 5 lg 2). Oma klientidele hoolekandeteenuse osutamisel on Lõuna-Eesti Hooldekeskus AS isikuandmete vastutavaks töötlejaks. Tuleb rõhutada, et andmetöötleja vastutus on üldmääruse üks läbivaid põhimõtteid. Andmetöötleja vastutab inimeste suhtes seadusliku, õiglase ning läbipaistva andmetöötluse korraldamise eest. Seaduslikkuse põhimõttest tulenevalt peab isikuandmete töötlemiseks olema õiguslik alus. Terviseandmed on igasugused füüsilise isiku terviseseisundit, sh ka tervishoiuteenuse osutamist käsitlevad andmed ning neid peetakse eriti tundlikeks andmeteks, mis väärivad erilist kaitset1 ning kuuluvad oma tundlikkuse tõttu eriliiki isikuandmete hulka. Eriliiki isikuandmete hulka kuuluvate terviseandmete töötlemine on üldreeglina üldse keelatud. Erandina sellest keelust võib terviseandmeid töödelda, kui esineb üks artikli 9 lõikes 2 loetletud õiguslik alus koostoimes artikli 6 lõikes 1 sätestatud õigusliku alusega. Tervishoiuteenuse osutajale kehtib saladuse hoidmise kohustus, mis ei luba terviseandmeid avaldada, kui seaduses või kokkuleppel patsiendiga ei ole ette nähtud teisiti (mistõttu on piiratud ka juurdepääs terviseandmetele tervise infosüsteemis ehk terviseportaalis). Seega saab terviseandmete avaldamise aluseks olla kas inimese nõusolek või seadus. Hoolekandeteenust osutatakse kliendile lepingu alusel või avaliku ülesandena (KOV või SKA otsusel). Lepingulise teenuse osutamisel lepitakse teenuse tingimustes kokku lepingus. Avaliku ülesande täitmisel kehtestab sotsiaalhoolekande seadus (SHS) tingimused, millele konkreetne teenus peab vastama. Muu hulgas on piiritletud ka terviseandmed, mis on teenuse osutamiseks ette nähtud ja kehtestatud nõuded töötajatele, kes vahetult teenust osutavad. 1 IKÜM artikkel 4 punkt 15, põhjenduspunktid 35 ja 51 Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Näiteks väljaspool kodu osutatava üldhooldusteenuse2 puhul koostatakse SHS § 21 järgi teenuse saajale hooldusplaan, milles hinnatakse kvalifitseeritud tervishoiutöötaja poolt ka teenuse saaja tervishoiuteenuse vajadust. Hoolekandeteenuse osutaja peab tagama teenuse osutamise vastavalt hooldusplaanile, sh ööpäevaringse üldhooldusteenuse osutamisel peab teenuse osutaja tagama terviseseisundiga seotud toimingute tegemise vastavalt määruse3 § 2 lõike 6 loetelule. Erihoolekande teenuse4 osutamisel on SHS § 84 lõike 2 kohaselt toetatud elamise teenust, kogukonnas elamise teenust, päeva- ja nädalahoiuteenust või ööpäevaringset erihooldusteenust saama suunatud isik kohustatud esitama suunamisotsuses nimetatud teenuseosutajale oma terviseseisundi kohta tõendi, milles on märgitud ravi nõudvate somaatiliste haiguste esinemine ja raviarsti määratud raviskeemid ning teenuseosutaja nõudmise korral ka teave nakkushaiguste esinemise kohta. SHS-s on kehtestatud nõuded vahetult teenust osutavate isikute kvalifikatsioonile, sh hooldustöötajatele ja tegevusjuhendajatele5, mille eesmärk on tagada, et teenust vahetult osutav isik on kompetentne vastu võtma teenust kasutava inimese heaolu puudutavaid otsuseid ning osutama talle asjakohast abi. Isikuandmete töötlemise üheks aluseks saab olla ka kliendi nõusolek. AKI hinnangul saab nõusolek olla õiguslikuks aluseks eelkõige juhtudel, kui isik saab teenust lepingu, mitte seaduse alusel, kuna avaliku ülesande täitmisel peab isikuandmete töötlemise alus ja ulatus tulema seadusest. Nõusolek peab vastama mitmele tingimusele, et see oleks õigusliku alusena kehtiv – nõusolek peab olema selgesõnaline, teadlik, konkreetne, vabatahtlik ja ühemõtteline ning igal ajal tagasivõetav. Nõusolekut andes peab inimene aru saama milleks täpselt ta nõusoleku annab, kes on see andmetöötleja, kuidas nõusoleku alusel isikuandmeid töödeldakse ning kuidas on võimalik nõusolekut tagasi võtta. Kohus6 on selgitanud, et nõusolek oma terviseandmete avaldamiseks kuulub patsiendi autonoomia hulka, kuid rõhutanud samas, et tervishoiuteenuse osutaja kohustuseks on selgitada patsiendile arusaadaval ja lihtsal kujul andmete avaldamise ulatust (st millised konkreetsed terviseandmed), eesmärke (kellele ja milleks andmed avaldatakse) ning tagajärgi, tagades nii, et nõusolek on antud kõiki asjaolusid arvestades (teavitatud nõusolek). Erandlikel juhtudel võib terviseandmete töötlemise õiguslikuks aluseks olla ka IKÜM art 9 lg 2 punkt c, kui töötlemine on vajalik selleks, et kaitsta andmesubjekti või teise füüsilise isiku elulisi huve, kui andmesubjekt on füüsiliselt või õiguslikult võimetu nõusolekut andma. Kuid seda saab rakendada väga piiratult, ainult juhul, kui nõusolekut ei ole võimalik võtta ja oht elule ja tervisele on vahetu, mitte oletatav. Kui vahetu oht ära langeb, tuleb esimesel võimalusel andmetöötlus lõpetada või saada nõusolek. Terviseandmete töötlemine peab olema kooskõlas ka muude artiklis 5 sätestatud põhimõtetega, eelkõige eesmärgipärasus ja minimaalsus. Kohus7 on öelnud, et isikuandmete töötlemiseks õigusliku aluse olemasolu ei tähenda seda, et isikuandmete töötlemine on igal konkreetsel juhul õiguspärane. Töötlemine kui toiming peab olema õigusliku alusega ka kooskõlas. Teisti öeldes tuleb järgida IKÜM artiklis 5 sätestatud töötlemise põhimõtteid, sealhulgas näiteks eesmärgipärasuse ja minimaalsuse põhimõtteid, mida tuleb hinnata koostoimes IKÜM artiklites 6 ja 9 sätestatud „vajalikkuse“ kriteeriumiga. See tähendab, et konkreetsete isikuandmete töötlemine peab olema vajalik kõnealuses aluses sätestatud eesmärgil töötlemiseks. 2 SHS 2. ptk, 2. jagu, 2. jaotis ja sotsiaalministri 19.06.2023 määrus nr 36 „Nõuded väljaspool kodu osutatavale ööpäevaringsele üldhooldusteenusele“ 3 Sotsiaalministri 19.06.2023 määrus nr 36 4 SHS 3. ptk 3. jagu ja sotsiaalkaitseministri 21.12.2015 määrus nr 72 „Erihoolekandeteenuse osutaja kogutavate ja säilitatavate dokumentide loetelu kehtestamine“ 5 Sotsiaalministri 19.06.2023 määrus nr 36 ja Sotsiaalkaitseministri 26.04.2022 määrus nr 38 „Tegevusjuhendaja ettevalmistusnõuded ja nõuded koolitusele“ 6 RKKK 01.04.2022 nr 1-20-5071, p 24 7 RKHKo 26.09.2022 nr 3-20-1449, p 24 2 (3) Üheks andmetöötleja oluliseks kohustuseks on andmete turvalisuse põhimõtte järgimine, mis on terviseandmete töötlemisel erilise kaaluga. Vastutav töötleja peab tagama, et andmetele pääsevad juurde ainult selleks volitatud isikud ja igaühel on juurdepääs üksnes nendele andmetele ja töötlemisviisidele, mis on talle lubatud. Andmetöötleja peab seaduses sätestatud piiranguid arvestades kujundama töökorralduse ja protsessid nii, et need toetaksid andmekaitse nõuete täitmist ja andmeturbe eesmärkide saavutamist ning tagama oma töötajate väljaõppe ja teadlikkuse andmetöötluse nõuetest. Esmalt on hoolekandeasutuse ehk teenuse osutaja kohustus tagada kliendile seaduses või lepingus sätestatud mahus ja tasemel teenuse osutamine. Teenuse osutajal on õigus selle kohutuse täitmiseks minimaalselt vajalikus ulatuses kliendi terviseandmeid töödelda. See milliseid terviseandmeid ja millises ulatuses on teenuse osutajal vaja teada, on iga kliendi puhul individuaalne, sõltub tema terviseseisundist ja konkreetsest teenuse liigist. Näiteks, kui kliendil on vaja määratud annuses regulaarselt kindlat ravimit võtta, siis ilmselt ei ole tema diagnoosi või muude terviseseisundi detailide teadmine tingimata vajalik. Teisal võib teave kliendi diagnoosi kohta olla eluliselt vajalik, kui see on tema tervise huvides põhjendatud, nt epilepsia, psüühikahäire vmt terviseseisundite puhul. Nagu eespool selgitatud, on isikuandmete töötlemise õiguspärasuse tagamine teenuse osutaja ehk isikuandmete vastutava töötleja kohustus. Teenuse osutamisel on hoolekandeasutuse otsustada, mil viisil ja kuidas asutuse tööd korraldada. Vastutav töötleja peab kindlaks tegema, milliseid isikuandmeid, millistel õiguslikel alustel ja eesmärkidel on vaja oma tööprotsesside käigus töödelda ning kas neid andmeid on vaja täies ulatuses kasutada. Kui eesmärgi täitmiseks ei ole vaja kõike, mida on võimalik saada, tuleks piirduda ainult vajalikuga. Vastutav töötleja võimaldab oma töötajatele juurdepääsu samuti ainult nendele andmetele, mis on konkreetse töötaja tööülesannete täitmiseks vajalikud. Kokkuvõttes, Andmekaitse Inspektsioon ei saa anda täpseid vastuseid, milliseid andmeid on hooldustöötajal õigus teada. Hoolekandeasutus peab tagama oma klientide turvalisuse ja heaolu ning seaduses või lepingus sätestatud tasemel ja mahus teenuse osutamise. Isikuandmete töötlemine peab toimuma nõuetekohaselt, õiguslikul alusel ja eesmärgi täitmiseks minimaalselt vajalikus ulatuses. Töösuhtes on poolte kohustus käituda vastastikku heas usus ja lojaalselt, sh tööandja annab kokkulepitud töö tegemiseks selgeid ja õigeaegseid korraldusi ning töötaja täidab tööülesandeid vastavalt tööandja seaduslikele korraldustele. Isikuandmete vastutava töötlejana otsustab teenuse osutaja/tööandja selle üle, kuidas asutuse sisesed tööprotsessid ja - ülesanded ning selleks vajalikud isikuandmete töötlemistoimingud ja pädevused on jagatud ja korraldatud. Loodan, et selgitustest on abi. Lugupidamisega Anu Suviste jurist peadirektori volitusel 3 (3)