Otsus isikuandmete töötlemiseks teadusuuringus

Andmekaitse Inspektsioon Teie 09.03.2026 nr 2.2.-1/26/19-2 [email protected] Meie 16.03.2026 nr 21-2/26/1230-3 Taotlus isikuandmete töötlemiseks teadusuuringus Juhindudes isikuandmete kaitse seaduse (IKS) paragrahvis 6 sätestatust palun kooskõlastada Uuringu pealkiri Statistikaameti poolt läbiviidav uuring, 2026. aasta Internetikasutuse ja Digioskuste uuring. Kas poliitika kujundamise uuring (IKS § 6 lg 5) või JAH uuring hõlmab eriliigilisi isikuandmeid ja puudub valdkondlik EI eetikakomitee (IKS § 6 lg 4) Palume eelmise kahe lahtri puhul valida üks vastavalt õiguslikule alusele, v.a olukorras, kui poliitika kujundamise uuringu puhul puudub valdkondlik eetikakomitee. Kui poliitika kujundamise uuringus töödeldakse eriliiki isikuandmeid, siis täita ka eetikakomitee otsuse lahter. Kas isikuandmete töötleja on määranud andmekaitsespetsialisti (sh Andmekaitsespetsialisti rolli tema nimi ja kontaktandmed)? täidab Justiits- ja Digiministeeriumi julgeoleku ja teabe kaitse talitus (Liisi Seene, [email protected] või Sander Heinsoo [email protected]) Andmekaitse | Statistikaamet Kas on olemas eetikakomitee otsus1? Kooskõlastuse olemasolul lisada see taotlusele. - Kas osa uuringust toimub andmesubjekti nõusoleku alusel? JAH Kui jah, siis palume taotlusele lisada nõusoleku vorm või selle kavand ning küsimustik või selle kavand. 1. Vastutava töötleja üldandmed2 1.1. Vastutava töötleja nimi, registrikood, aadress Justiits- ja Digiministeerium ja kontaktandmed (sh kontaktisik) Riikliku küberturvalisuse talitus analoogne registrikandega, kontaktisiku e-post, Suur-Ameerika 1, Tallinn telefon Telefon (372) 620 8100 Reg. kood 70000898 www.justdigi.ee Taavi Viilukas, 56156788, [email protected] Riikliku küberturvalisuse talituse juhataja Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898 1.2. Isikuandmete töötlemiskoha aadress (kui - erineb registriandmetest) maja, tänav, asula/linn, maakond, postiindeks 2. Volitatud töötleja üldandmed3 2.1. Volitatud töötleja nimi, registrikood, aadress Statistikaamet ja kontaktandmed (sh kontaktisik) Majandus- ja keskkonnastatistika osakond Põllumajandus- ja Aadress analoogne registrikandega, kontaktisiku tehnoloogiastatistika teenustiim e-post ja telefoninumber Tatari 51, 10134 Tallinn Tel: +372 625 9300 Reg. kood: 70000332 https://www.stat.ee Tiina Pärson, 53840141, [email protected] Juhtivanalüütik 2.2. Isikuandmete töötlemiskoha aadress (kui - erineb registriandmetest) maja, tänav, asula/linn, maakond, postiindeks 3. Mis on teadusuuringu läbiviimise õiguslik Justiits- ja Digiministeeriumi põhimääruse alus? kinnitamine–Riigi Teataja Nimetage õigusakt, mis annab Teile õiguse teadusuuringut läbi viia. Ei piisa viitest IKS § 6- §142. Ministeeriumi pädevuses riikliku le. Poliitikakujundamise eesmärgil läbiviidava küberturvalisuse korraldamise alal on: uuringu puhul tuua välja volitusnorm, millest 1) üleriigilise küberturvalisuse tagamise juhtimine, nähtub, et asutus on selle valdkonna eest korraldamine, edendamine ja koordineerimine nii vastutav. Akadeemilise uuringu korral võib see riigisiseselt kui ka rahvusvaheliselt; olla näiteks Teadus- ja arendustegevuse 2) vastava poliitika ja arengukavade korralduse seadus või teadus- või arendusprojekti väljatöötamine ning nende elluviimise ja avamise otsus, leping vms. tulemuslikkuse seire, algatuste eestvedamine; 3) koostöö korraldamine rahvusvaheliste organisatsioonidega. [RT I, 29.12.2024, 2 - jõust. 01.01.2025] Statistikaamet viib läbi uuringuid riikliku statistika seaduse § 4 p 1 alusel. Antud uuring viiakse läbi lähtuvalt Euroopa Parlamendi ja nõukogu määrust (EL) 2019/1700 (digioskuste ja internetikasutuse uuringu). 4. Mis on isikuandmete töötlemise eesmärk? Kirjeldage uuringu eesmärke ja püstitatud hüpoteese, mille saavutamiseks on vajalik isikuandmete töötlemine. Palume siin punktis selgitada kogu uuringut, mitte ainult taotluse esemeks olevat osa (näitaks ka nõusoleku alusel toimuvat uuringu osa). Kui osa uuringust toimub nõusoleku alusel, siis palume taotlusele lisada nõusoleku vorm või selle kavand ning küsimustik või selle kavand. JDMi poolt lisatakse Statistikaameti 2026. aasta Internetikasutuse ja digioskuste uuringusse kuni 7 küsimust, mis puudutavad digiteenuste kasutamist, digiteenuste kasutamisest loobumise põhjuseid, teadlikkust küberohte kohta ja tegevusi enda turvalisuse tagamiseks internetis (vt Lisa 1). JDMi uuringu eesmärk: tegemist on uuringu eraldiseisva osaga, mille viib läbi Justiits- ja Digiministeerium küberturvalisuse poliitika kujundamiseks ja tulemuslikkuse hindamiseks. Nimelt määratleb Euroopa Parlamendi ja nõukogu direktiivi (EL) artikkel 7 riikliku küberturvalisuse strateegia sisu, mille üheks osaks (vt selle artikli lõike 1 punkti h) on kava, sealhulgas meetmed elanike üldise küberturvalisusalase teadlikkuse parandamiseks. Lisaks peavad riigid sama artikli lõike 2 punkti f kohaselt määrama kindlaks sama strateegia osana poliitikameetmed, mille abil edendatakse ja arendatakse küberturvalisusalast haridust, koolitust ja teadlikkust, küberturvalisusalaseid oskusi ning teadus- ja arendusalgatusi ning 2 suuniseid heade küberhügieenitavade ja küberkontrolli tagavate meetmete kohta elanikele, sidusrühmadele ja üksustele. Eeltoodud nõuetest lähtuvalt on koostatud kehtiv riikliku küberturvalisuse strateegia,1 Strateegias on seatud laiapindse ennetuse puhul muuhulgas järgmised eesmärgid, milleni soovitakse strateegiaperioodil jõuda: 1) Laiapindse ennetuse tulemusena on Eesti ühiskond küberteadlik. Kõigil küberruumis tegutsejatel on vajalikud teadmised ohtudega toimetulekuks ning intsidentide ennetamiseks; 2) Elanikkonna küberhügieeni tase on tõusnud ning vähenenud on nende elanike hulk, kes ei ole küberruumis oma isikliku turvalisuse või privaatsuse tagamiseks astunud mitte ühtegi sammu. Nende eesmärkide saavutamisega seonduvalt on ette nähtud mõõdikud, mis on otseselt seotud siinse taotlusega: 1) Turvariski tõttu e-teenustest hoidumine – alla 10%; 2) Üle 90% elanikkonnast on võtnud oma isikliku turvalisuse või privaatsuse tagamiseks vajalikke meetmeid. JDMi uuringu tulemusteta ei ole võimalik kontrollida, kas oodatud eesmärgid on saavutatud. Samuti ei ole võimalik planeerida ega kavandada vajalikke poliitikameetmeid. Uuringus osalemiseks küsitakse inimeselt andmete töötlemise nõusolekut. Nõusolek küsitakse nii uuringu eraldiseisvas osas osalemiseks kui ka andmesubjekti isikuandmete töötlemiseks. Nõusolek võetakse aktiivse toiminguga. Teavitus uuringu kutses: Järgnevad kuni 7 küsimust puudutavad digiteenuste kasutamist, digiteenuste kasutamisest loobumise põhjuseid, teadlikkust küberohtude kohta ja tegevusi enda turvalisuse tagamiseks internetis. Tegemist on uuringu eraldiseisva osaga, mille viib läbi Justiits- ja Digiministeerium küberturvalisuse poliitika kujundamiseks. Oma nõusoleku eraldiseisvas osas osalemiseks saate igal ajal tagasi võtta pöördudes Statistikaameti poole uuringu kutses toodud kontaktandmetel (telefonil 625 9300 või e-postimeili aadressil [email protected]). Täpsema info uuringu sisu ja nõusoleku tagasivõtmise kohta leiate siit: https://www.justidigi.ee/isikuandmete-tootlemine Nõusolek: Kas soovite selles osaleda ning olete nõus enda isikuandmete töötlemisega? ( ) Jah ( ) Ei Teavitusteksti lisame kodulehe alates uuringu läbiviimistest. 5. Selgitage, miks on isikut tuvastamist võimaldavate andmete töötlemine vältimatult vajalik uuringu eesmärgi saavutamiseks. JDM soovib täiendavate küsimuste lisamist Statistikaameti uuringusse. Isikukood, ees- ja perenimi ning kontaktandmed on vajalikud uuringus osalemiseks kutse saatmiseks. Eelmainitud isikuandmete koosseisud on seotud Statistikaameti poolt läbi viidava uuringuga ning nendega ei ole võimalik valimile saata kutset. Tegemist ei ole täiendavate isikuandmete koosseisudega, mis lisatakse JDMi tehtavale uuringule. Isiku sugu, rahvus, vanus, leibkonna sissetulek ja sotsiaalmajanduslik lõige on vajalikud poliitika kujundamise ja tulemuslikkuse hindamiseks erinevates rühmades. Tegemist on andmetega, mis lisatakse JDMi uuringu osale koos esitatavate küsimustega (taotluse lisa). Eelmainitud andmete kogumise vajadust on selgitatud taotluse punktis 7. Uuringu käigus JDM-i jaoks töödeldavad andmed kustutab Statistikaamet peale töö teostamise lõppu (vastav kohustus nähakse ette ka JDM ja Statistikaameti vahelises lepingus). 6. Selgitage ülekaaluka huvi olemasolu. 1 Küberturvalisuse strateegia 2024-2030. https://www.justdigi.ee/digi-side-ja-kuber/riigi- kuberturvalisuse-tagamine. 3 Küberturvalisus on riigi ja ühiskonna toimimise seisukohalt kriitiline valdkond. Uuringu eesmärk on hinnata küberturvalisuse meetmete tulemuslikkust ning kujundada tõenduspõhist poliitikat, mis omakorda teenib laiemat avalikku huvi, mitte üksnes JDMi eesmärke. Tulemuste abil on võimalik ennetada riske, suurendada elanikkonna teadlikkust ja parandada riiklikke küberturvalisuse meetmeid. Vt ka taotluse punkti 4. 7. Selgitage, kuidas tagate, et isikuandmete töötlemine ei kahjusta ülemääraselt andmesubjekti õigusi ega muuda tema kohustuste mahtu. Vajadusel loetleda täiendavaid kaitsemeetmeid privaatsuse riive vähendamiseks. Küsimused on märgitud uuringu eraldiseisva osana ning küsimustele vastamiseks küsitakse isikult nõusolek. JDMi poolt eraldiseisva uuringu läbiviimine on isikule koormavam ning kasutame selleks Statistikaameti olemasolevat uuringut. Statistikaameti uuringu raames taustaandmete (nt vanus, rahvus) kogumine rikastab tulemit, et mõista, kuidas küberturvalisuse meetmed ja riskid erinevaid sihtrühmi mõjutavad. Ilma nende andmeteta ei oleks võimalik tuvastada, millistel elanikkonnagruppidel on suurem haavatavus või spetsiifilised vajadused, ega kujundada sihitud ja tõhusaid poliitikameetmeid. Isikuandmeid ei edastata JDMile üksikisiku tasandil, vaid agregeeritud tulemi kujul, mis välistab konkreetsete isikute tuvastamise. See vähendab oluliselt privaatsusriske ning näitab, et isikuandmete töötlemine on piiratud vajalikuga ja kooskõlas IKÜMi andmete minimaalsuse põhimõttega. Tulemi edastamine toimub Statistikaameti ja JDMi vahelise lepingu alusel ning Statistikaamet tegutseb seadusest tulenevate ülesannete piires. See tagab läbipaistvuse, vastutuse ja järelevalve võimaluse andmete töötlemise üle. 8. Kuidas toimub andmete edastamine isikuandmete allikalt teadusuuringu läbiviijani? Sealhulgas palume välja tuua milliseid töötlussüsteeme ja/või keskkondi (sh pilveteenus) isikuandmete (sh pseudonüümitud) töötlemiseks kasutatakse ning millises riigis4 asuvad töötlussüsteemide/pilveteenuse pakkuja serverid. Tulemi edastamine toimub Statistikaameti ja JDMi vahelise lepingu alusel ning e-kirja vahendusel. Lepingus on kehtestatud tellijad ja täitja õigused ja kohustused, sh andmekaitsealased ja konfidentsiaalsuse kohustused, andmete turvalisust puudutavad nõuded. Lepingu sõlmimine on sõltuvuses käesoleva taotluse tulemusest. 9. Loetlege isikute kategooriad, kelle andmeid töödeldakse ning valimi suurus. Inimeste rühmad, keda uurida kavatsetakse ning kui palju neid on. Statistikaamet viib läbi uuringuid riikliku statistika seaduse alusel. Statistikaameti 2026.−2030. aastal tehtavate statistikatööde loetelu–Riigi Teataja Statistikaameti poolt läbiviidav uuring, 2026. aasta Internetikasutuse ja Digioskuste uuring. Uuringu üldkogumi moodustavad Eesti alalised elanikud vanuses 16–74 (rahvastiku statistilise registri uuringuaasta seisuga), kes elavad tavaleibkondades. Institutsionaalsetes leibkondades elavad isikud ei kuulu üldkogumisse. Valimi suurus on 6500 isikut. 9.1. Tooge välja periood, mille kohta isikuandmete päring tehakse. Statistikaameti poolt läbiviidav uuring, 2026. aasta Internetikasutuse ja Digioskuste uuring. 9.2. Loetlege töödeldavate isikuandmete kooseis. Tuua detailselt välja, milliseid isikuandmeid töödeldakse (nt ees- ja perenimi, isikukood, e-posti aadress jne) ning põhjendus, miks just neid andmeid on uuringu eesmärgi täitmiseks vaja. Vajadusel esitada taotluse lisana (nt tabelina). Uuringu käigus töödeldakse järgmisi isikuandmeid: Kuna Statistikaameti valimid on isikupõhised ning uuringus osalejatele saadetakse nimeline kutse, siis kasutatakse riiklikust registrist järgmised saadaolevaid isikuandmed: isikukood, ees- ja perenimi 4 ning kontaktandmed. Tegemist ei ole täiendavate isikuandmete koosseisudega, mis lisatakse JDMi tehtavale uuringule. JDMi uuringu osale lisatakse andmetena: isiku sugu, rahvus, vanus, leibkonna sissetulek ja sotsiaalmajanduslik lõige. Sellele lisanduvad ka JDMi soovitud küsimused (taotluse lisa). JDM-ile edastatakse andmed isikustamata kujul ning küsimuste lõikes nagu vanus, rahvus, mis kajastuvad agregeeritud kujul tulemis, mida Statistikaamet JDMile pärast uuringu lõppu lepingu alusel edastab. Vastavalt tulemile on võimalik seirata küberturvalisuse tulemuslikkust ja kujundada suunatud poliitikat konkreetse vanusegrupi või rahvuse tegelikest vajadustest lähtuvalt. 9.3. Loetlege isikuandmete allikad. Nimetage konkreetsed isikuandmete allikad (nt registrid, küsitluslehed jne), kust isikuandmeid saadakse. Statistikaamet viib läbi uuringuid riikliku statistika seaduse alusel. Statistikaameti 2026.−2030. aastal tehtavate statistikatööde loetelu–Riigi Teataja JDM täiendavad andmed ja lisaküsimused (vt taotluse lisa) ei nõua täiendavate allikate lisamist uuringusse. Tegemist on andmete ja vastustega, mille annavad uuringu vastajad. Statistikaamet kasutab uuringu läbiviimiseks rahvastikuregistri andmeid. 9.4. Kas andmeandjatega (andmekogu vastutava töötlejaga) on konsulteeritud ning nad on valmis väljastama uuringu eesmärgi saavutamiseks vajalikud andmed? Statistikaamet viib läbi uuringuid riikliku statistika seaduse alusel. Statistikaameti 2026.−2030. aastal tehtavate statistikatööde loetelu–Riigi Teataja JDM täiendavad andmed ja lisaküsimused (vt taotluse lisa) ei nõua täiendavate allikate lisamist uuringusse ning sellekohane konsulteerimine pole vajalik. 10. Kas kogutud andmed pseudonümiseeritakse või anonümiseeritakse? Mis etapis seda tehakse? Kes viib läbi pseudonümiseerimise või anonümiseerimise (vastutav töötleja, volitatud töötleja, andmeandja vms)? Pseudonüümid genereeritakse andmestikus isikukoodide põhjal. Pseudonüümimiseks kasutatakse koodivõtit, mis tugineb Statistikaameti metoodikal ja mida teistele osapooltele kättesaadavaks ei tehta. Kuivõrd tegemist on Statistikaametis kasutusel oleva pseudonüümimise metoodikaga, säilitab Statistikaamet koodivõtit tähtajatult. JDMi jaoks töödeldavad algsed andmed (st antud isikustatud vastused) ei jõua JDMi. JDM-ile edastatakse andmed agregeeritud kujul. Uuringu käigus JDM-i jaoks töödeldavad andmed, sh nõusolekud andmete töötlemiseks, kustutab Statistikaamet peale töö teostamise lõppu (vastav kohustus nähakse ette ka JDM ja Statistikaameti vahelises lepingus), kuid mitte hiljem kui 2026. aasta IV kvartali lõpuks. 10.1. Loetlege pseudonümiseeritud andmete koosseis. JDM tellimuse puhul rikastatakse andmed järgmistes lõigetes:  Sugu  Rahvus  Vanus  Sotsiaalmajanduslik lõige (Hõivatud, Töötud, Mittetöötavad (üli)õpilased, Mittetöötavad pensionärid ja teised mitteaktiivsed, Osalise või puuduva töövõimega mittetöötav (endine töövõimetuspensionär, Pensionär (vanadus-, paindlikul/ennetähtaegsel või sooduspensionil, Ajateenija, asendusteenistuja, Kodune, lapsehoolduspuhkusel, Muu) Netosissetuleku jaotus (Kuni 450 eurot, 451 kuni 800 eurot, 801 kuni 1150 eurot, 1151 kuni 1500 eurot, 1501 kuni 1900 eurot, 1901 kuni 2300 eurot, 2301 kuni 3000 eurot, 3001 kuni 4000 eurot , 4001 eurot või rohkem) 5   Leibkonna kuu netosissetuleku kvartiilide järgi  Leibkonna kuu netosissetuleku kvintiilide järgi JDM tellimusel puhul lisatakse küsimustikku ka lisaküsimused (taotluse lisa). Kui vastajate arv on alla 20 isiku, siis sel juhul andmeid ei saa avaldada (on ebausaldusväärsed). 10.2. Kirjeldage pseudonümiseerimise protsessi ja vahendeid. Kui kasutatakse koodivõtit, siis tuua välja, kes koodivõtit säilitab ja kui kaua säilitab. Vt p 10. 10.3. Tooge välja pseudonümiseeritud andmete säilitamise aeg ja põhjendus. Kui andmeid ei pseudonümiseerita, siis tuua välja andmete kustutamise tähtaeg. Vähemalt kvartali ja aasta täpsusega. Vt p 10. 11. Kas andmesubjekti teavitatakse JAH isikuandmete töötlemisest? Jah/ei 11.1. Kui vastasite ei, siis palun põhjendage5 11.2. Kui vastasite jah, siis kirjeldage, kuidas Küsimustikule vastamisel on lisatud andmete teavitatakse. kogumise eesmärk ja lisainfo isikuandmete töötlemise kohta. 11.3. Kust on leitavad Uuringus viidatuna. andmekaitsetingimused6? 12. Kas isikuandmeid edastatakse kolmandatesse Ei riikidesse7 Jah/ei. Kui vastate küsimusele jah, siis täita ka järgnevad lahtrid. 12.1. Loetlege riigid, kuhu isikuandmeid - edastatakse. 12.2. Milliseid lisakaitsemeetmeid kasutatakse? - Kinnitan, et taotluses esitatud andmed vastavad tegelikkusele. Lugupidamisega (allkirjastatud digitaalselt) Taavi Viilukas juhataja Taotluse lisad: Lisa 1. 20261103_2026_statistika_tellimus Raavo Palu [email protected] 6  ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST OTSUS isikuandmete töötlemiseks teadusuuringus nr 2.2.-1/26/19-4 Otsuse tegija Andmekaitse Inspektsiooni jurist Anu Suviste Otsuse tegemise aeg ja koht 18.03.2026 Tallinnas Taavi Viilukas Taotluse esitaja Justiits- ja Digiministeerium [email protected] RESOLUTSIOON: Isikuandmete kaitse seaduse (IKS) § 6 lg 5 alusel Andmekaitse Inspektsioon otsustab: 1. kooskõlastada andmesubjektide nõusolekuta isikuandmete töötlemine Justiits- ja Digiministeeriumi teadusuuringus "Statistikaameti poolt läbiviidav uuring, 2026. aasta Internetikasutuse ja Digioskuste uuring" 16.03.2026 taotluses esitatud tingimustel ja mahus; 2. Justiits- ja Digiministeeriumil esitada algandmete hävitamisakt või kinnituskiri algandmete kustutamise kohta vastavalt taotluse punktile 10. hiljemalt 31.12.2026. VAIDLUSTAMISVIIDE: Otsuse peale on võimalik esitada 30 päeva jooksul vaie haldusmenetluse seaduse § 71 lõikes 1 sätestatud korras või esitada kaebus halduskohtule halduskohtumenetluse seadustiku § 7 lõikes 1 sätestatud korras. TAOTLUSE ESITAJA SELETUS JA KINNITUSED: Esitatud otsuse lisas „Taotlus isikuandmete töötlemiseks teadusuuringus“. ANDMEKAITSE INSPEKTSIOONI PÕHJENDUSED JA SELGITUSED: IKS § 6 lõike 5 kohaselt loetakse teadusuuringuks ka täidesaatva riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise eesmärgil. Nende koostamiseks on täidesaatval riigivõimul õigus teha päringuid teise vastutava või volitatud töötleja andmekogusse ning töödelda saadud isikuandmeid. Andmekaitse Inspektsioon kontrollib enne nimetatud isikuandmete töötlemise algust selles paragrahvis sätestatud tingimuste täitmist, välja arvatud juhul, kui poliitika kujundamiseks tehtava uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenevad õigusaktist. IKS § 6 lõikes 3 on nimetatud tingimused, mida tuleb hinnata enne, kui hakatakse uuringus andmesubjekti nõusolekuta tema isikuandmeid tuvastamist võimaldaval kujul töötlema. Üheks tingimuseks on, et andmetöötluse eesmärgid ei ole saavutatavad peale tuvastamist võimaldavate andmete eemaldamist. Inspektsioon nõustub, et pärast isikute tuvastamist võimaldatavate andmete eemaldamist oleks andmetöötluse eesmärkide saavutamine ebamõistlikult raske. Lisaks on taotluse esitaja hinnanud ja välja toonud ülekaaluka avaliku huvi ning kinnitanud, et töödeldavate isikuandmete põhjal ei muudeta isikute kohustuste mahtu ega kahjustata muul viisil ülemääraselt andmesubjektide õigusi. Andmekaitse Inspektsiooni kooskõlastus isikuandmete töötlemiseks poliitika kujundamise uuringus kehtib tingimustel, mis on toodud 16.03.2026 inspektsioonile esitatud täiendatud taotluses. Kui uuringu taotluses esitatud tingimused muutuvad, tuleb sellest inspektsiooni teavitada. Lugupidamisega (allkirjastatud digitaalselt) Anu Suviste jurist peadirektori volitusel Lisad: 1. Taotlus isikuandmete töötlemiseks teadusuuringus 2 (2)