Selgitustaotlus

Pöördumine Andmekaitse Inspektsiooni poole Selgitustaotlus Avalduse kuupäev: 11.11.2026 Pöörduja andmed NIMI: Jaarika Järviste E-POSTI AADRESS: [email protected] TELEFON: 56479928 Selgitustaotluse sisu: Pöördun Teie poole selgitustaotlusega, et kontrollida, kas tõlgendame isikuandmete kaitse nõudeid õigesti. Olen CLAiM OÜ (registrikood 17531368) juhatuse liige. CLAiM pakub perearstikeskustele teenust partnerasutustelt (nt haiglad, radioloogiateenuse osutajad) saabuvate terviseandmeid sisaldavate arvete lisade (edaspidi partnerarved) vastavuskontrolliks Tervisekassale esitatavate raviarvete andmetega. Perearstikeskus tasub partnerasutustele tellitud teenuste eest ning kontrollib, kas partnerarvel olevad teenused on tegelikult osutatud ja kajastuvad raviarvetel õigesti. Täna tehakse seda käsitsi, CLAiM vähendab perearstikeskuste halduskoormust. CLAiM on volitatud töötleja ja perearstikeskused on vastutavad töötlejad. Kõigi keskustega on sõlmitud GDPR art 28 kohased andmetöötluslepingud ning kõigile on esitatud sisend andmekaitsealase mõjuhinnangu läbiviimiseks. Õiguslik alus – GDPR art 6 lg 1 p c: töötlemine on vajalik vastutava töötleja juriidilise kohustuse täitmiseks. Perearstikeskus esitab Tervisekassale andmed osutatud tervishoiuteenuste kohta ravi rahastamise lepingu alusel, mis sõlmitakse ravikindlustuse seaduse §-de 35 ja 36 alusel ning mille tingimused, sh andmete esitamise tähtaeg ja koosseis, tulenevad sama seaduse § 37 p-dest 7, 10 ja 12. – GDPR art 9 lg 2 p h: terviseandmete töötlemine on vajalik tervishoiuteenuste haldamiseks, sh osutatud teenuste eest arveldamiseks. Turvameetmed Lähtume lõimitud andmekaitse põhimõttest (GDPR art 25). Töödeldakse üksnes vastavuskontrolliks vajalikke andmevälju. Raviarvete andmed kustutatakse hiljemalt 1 kalendrikuu ja partnerarvete andmed hiljemalt 6 kuu jooksul pärast CLAiM-i jõudmist. Isikukood ja nimi pseudonümiseeritakse pärast ekstraheerimist iga keskuse jaoks eraldi võtmetega, mida hoitakse andmetest eraldi. Andmed on krüpteeritud edastamisel ja säilitamisel, juurdepääs on rollipõhine mitmeastmelise autentimisega ning kõik toimingud logitakse. Kogu töötlemine toimub EL-is. Kui partnerarve struktuuri ei saa deterministliku parseriga tuvastada, kasutatakse ekstraheerimiseks suurt keelemudelit EL-is asuva lõpp-punkti kaudu. Keelemudeli teenuse osutaja (alltöötleja) on kirjalikult kinnitanud, et ta ei kasuta andmeid mudelite treenimiseks ega säilita neid. CLAiM ei kasuta isikuandmeid tehisintellekti mudelite treenimiseks. Kavandatav liidestus Praegu laeb perearstikeskus andmed ise CLAiM-i platvormile. Halduskoormuse vähendamiseks peame läbirääkimisi perearstide infosüsteemide pakkujatega liidestuse üle. Liidestuse korral edastaks infosüsteemi pakkuja, kes on samuti keskuse volitatud töötleja, raviarvete andmed CLAiM-ile otse keskuse kirjalikul juhisel. Palume Teie hinnangut järgmistes küsimustes: 1. Eesmärk ja õiguslik alus. Kas perearstikeskus võib kasutada raviarvetele kantud andmeid partnerarvete vastavuskontrolliks eespool nimetatud õiguslikul alusel? Meie hinnangul on vastavuskontroll osa samast arveldusprotsessist. Perearstiabi rahastamise lepingu üldtingimuste (lisa 1, kehtivad alates 01.01.2026) p 2.1.13 ja 3.1 kohaselt esitab keskus Tervisekassale raviarved ka nende uuringute, protseduuride ja tegevuste kohta, mida ta ise ei tee, ning teeb seda teenuse teinud tervishoiuteenuse osutaja arve alusel (p 3.3). Tervisekassal on õigus kontrollida raviarvete põhjendatust ja nõuetele vastavust (p 3.2) ning keskus peab hüvitama tasu, mis on saadud osutamata või põhjendamatult osutatud teenuse eest (p 5.1.1). Kontroll on jooksev: partnerarve saabumisel võrreldakse selle ridu raviarvetele selleks hetkeks kantud andmetega. Nii leiab keskus põhjendatud teenused, mis on veel raviarvele kandmata, ja teenused, mis on raviarvele valesti kantud, ning saab esitada puuduvad raviarved või parandada valed (p 5.5). Kontroll tagab, et raviarvete andmed on täielikud ja õiged, mistõttu on tegemist tervishoiuteenuste haldamisega art 9 lg 2 p h tähenduses. Kas Teie hinnangul on selline käsitlus kooskõlas isikuandmete kaitse nõuetega? Kui näete selles puudusi, palume need välja tuua. 2. Andmete edastamine volitatud töötlejate vahel. Kas vastutav töötleja võib anda oma volitatud töötlejale (infosüsteemi pakkujale) kirjaliku juhise edastada isikuandmed teisele volitatud töötlejale (CLAiM-ile), kellega tal on sõlmitud GDPR art 28 kohane leping? Meie hinnangul toimub selline edastamine vastutava töötleja olemasoleva õigusliku aluse raames. Mõlemad volitatud töötlejad tegutsevad vastutava töötleja nimel ega ole kolmandad isikud GDPR art 4 p 10 tähenduses, mistõttu ei ole vaja eraldi õiguslikku alust ega andmesubjektide nõusolekut. Kas Teie hinnangul on selline käsitlus kooskõlas isikuandmete kaitse nõuetega? Kui näete selles puudusi, palume need välja tuua. Täiendavate küsimuste korral annan meelsasti lisateavet. Lugupidamisega Jaarika Järviste, juhatuse liige CLAiM OÜ, [email protected]