Vastus selgitustaotlusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Urve Kaur Teie 28.11.2025 Tallinna 21.Kool [email protected] Meie 10.12.2025 nr 2.2-9/25/3944-3 Vastus selgitustaotlusele Pöördusite Andmekaitse Inspektsiooni (AKI) poole seoses küsimusega, mis puudutab koolipsühholoogi õigust saada ligipääs õpilaste andmetele. Vastan küsimustele nende esitamise järjekorras. Selgitustaotlusele vastates saan anda õigusalaseid selgitusi inspektsiooni tegevuse aluseks olevate õigusaktide ja asutuse pädevuse kohta. Õigusalaste selgituste andmine ei tähenda õigusabi andmist. Õigusalaste selgituste andmisega on tegemist siis, kui selgitatakse mingi konkreetse seaduse, konkreetse paragrahvi, konkreetse lõike, konkreetse punkti sisu ja tähendust. Õigusabiga on tegemist siis, kui antakse mingite konkreetsete eluliste asjaolude osas õiguslik hinnang. Õigusaktid Esmalt, isikuandmete kaitse üldmäärus (IKÜM) on otsekohalduv Euroopa Liidu õigusakt. See tähendab, et kõik Euroopa Liidu liikmesriigid peavad seda järgima ning sellest tulenevate põhimõtete ja nõuete kohaldamiseks ei ole vajalik eraldi vastu võtta siseriiklikku õigusakti. Siiski annab IKÜM võimaluse liikmesriikidel määruses sätestatud reegleid täpsustada siseriiklikult. Näiteks on isikuandmete kaitse seaduse (IKS) § 4-s täpsustatud ajakirjanduslikul eesmärgil isikuandmete töötlemist, IKS § 10-s maksehäire andmete avalikustamist, IKS § 6 teadus- ja ajaloouuringute ning riikliku statistika tegemise nõudeid. Isikuandmete töötlemise erialused ja muud juhud on toodud IKS-i 2. ja 3. peatükis. Teie poolt viidatud redaktsiooni muutusega täpsustati juba varasemalt kehtinud IKS § 6. Muudatustega on võimalik tutvuda Riigi Teatajas. Oluline on märkida, et IKS-s ei ole täpsustatud eraldi õiguslikke aluseid, mis puudutavad õpilaste isikuandmete töötlemist. See tähendab, et kui siseriiklikult on täpsustatud õpilaste isikuandmete töötlemise õiguslikke aluseid, siis need võivad tuleneda muudest õigusaktidest. Näiteks on põhikooli- ja gümnaasiumiseaduse (PGS) § 44 lõikes 5 täpsustatud, et kooli territooriumil on lubatud kasutada videovalvet. Videovalve on oma olemuselt isikuandmete töötlemine ehk selle normi puhul on koolile antud seaduses õiguslik alus selliseks isikuandmete töötlemiseks. Mis puudutab direktiivi 2016/860, siis see on võetud üle IKS 4. peatükis. Direktiivi ja määruse erinevus seisnebki selles, et määruse kohaldamiseks ei ole vaja eraldi siseriiklikku õigusakti, kuid direktiivi rakendamiseks on vaja sealsed reeglid üle võtta ja reguleerida siseriiklikus õigusaktis. Juhin ka tähelepanu, et direktiiv 2016/860 kohaldub üksnes õiguskaitseasutustele, seega IKS-i 4. peatükk ei ole antud juhul asjakohane. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Õiguslik alus õpilaste isikuandmete töötlemiseks Igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus. Õigusliku aluse leidmiseks tuleb minna IKÜM artikli 6 juurde ning analüüsida, kas mõni artiklis lõikes 1 toodud alustest võiks olla sobiv isikuandmete töötlemiseks. Vajadusel tuleb uurida ka siseriikliku regulatsiooni, et kontrollida üle õiguslik aluse olemasolu ja reeglid. Näiteks IKÜM artiklile 6 lõikele 1 punktile e saab tugineda üksnes juhul, kui lisaks on ka siseriiklikult antud konkreetsele asutusele mingi avalik ülesanne või pädevus teostada avalikku võimu. AKI puhul on selleks siseriiklikuks õigusnormiks IKS § 56, millele tuginedes on õigus algatada järelevalvemenetlus. Selle kohta on küsimus-vastus ka AKI veebilehel korduma kippuvate küsimuste rubriigis. Andmekaitse Inspektsioon järelevalveasutusena ei saa ette öelda, milline PGS-s või muudes õigusaktidest sisalduvatest õigusnormidest on Teie olukorra jaoks sobiv õiguslik alus. See on vastutava töötleja ülesanne ja vastutus. Vastutavaks töötlejaks on isik, kes määrab kindlaks isikuandmete töötlemise õigusliku aluse, eesmärgid ja vahendid. PGS § 37 lõike 2 kohaselt on koolile pandud kohustus vajaduse korral tagada õpilastele tasuta tugispetsialistide teenuseid, sh psühholoogi teenust. See tähendab, et koolile on seadusega antud ülesanne määrata kindlaks, kuidas ja mis viisil seda teenust pakutakse. Teisisõnu, kool on vastutav töötleja, mis hõlmab ka ülesannet hinnata, millistel eesmärkidel ja kellele koolitöötajatest on vajalik anda ligipääs õpilaste isikuandmetele. Eelnev tähendab, et tugispetsialistid, sh koolipsühholoogid, ei ole eraldi vastutavad töötlejad, kui nad töötlevad õpilaste isikuandmeid enda töökohustuste raames. Vastasel juhul tekiks olukord, kus iga töötaja peab leidma endale ise õigusliku aluse, kui tema tööülesannete täitmine eeldab isikuandmete töötlemist. Kuigi kool määrab kindlaks õigusliku aluse, vahendid ja eesmärgi, on ka koolipsühholoogil kohustus järgida andmekaitse põhimõtteid. Nii kooli kui ka töötajate ülesanne on tagada, et õpilaste isikuandmete töötlemine toimuks seaduslikult, läbipaistvalt ja turvaliselt, st kooskõlas IKÜM-i nõuetega. Oluline on, et kõik töötajad oleksid teadlikud andmekaitse reeglitest ja rakendaksid neid oma töös. Kõige olulisemad andmetöötluse põhimõtted tulenevad IKÜM artiklist 5, sh eesmärgipärasuse ja konfidentsiaalsuse põhimõtted. Eesmärgipärasuse põhimõtte kohaselt peab isikuandmete töötlemine olema seotud kindla, konkreetse ja õiguspärase eesmärgiga. Kõigi õpilaste isikuandmetele (hinded, puudumised jms) ligipääsu saamiseks ehk töötlemiseks peab olema selge ja õiguspärane eesmärk. AKI ei saa ette öelda, kas koolipsühholoogile kõigi õpilaste isikuandmetele ligipääsu andmine on eesmärgipärane ja põhjendatud. Kooli ülesanne on otsustada, kellele ja mis ulatuses on vaja ligipääs anda. Konfidentsiaalsuse põhimõte tähendab seda, et isikuandmete töötleja peab tagama, et andmed hoitakse kättesaamatult kolmandate isikute eest, et ei oleks volitamata ligipääse, juhuslikku kaotamist, hävimist või kahjustumist. Konfidentsiaalsuse põhimõtte kohaselt ei ole lubatud anda ligipääsusid isikutele, kellel tegelikkuses selleks vajadus puudub. Kooli kohustus ongi hinnata, kellele ligipääs anda. Töötajad, kellele ligipääs on antud, ei tohi tööülesannete käigus teada saadud või kogutud andmeid edastada kolmandatele isikutele, kellel selleks õigus puudub. Samuti tuleks vältida ka kõrvaliste isikute ligipääsu ja andmete omavolilist lugemist või kopeerimist. Õigusaktide tõlgendus Teise ja kolmanda küsimusega soovite hinnangut, kas Teie poolt kirjeldatud ja paljudes koolides kasutusel olev IKS-i tõlgendus on mõistlik, tarvilik ja piisav tõlgendus IKS-i redaktsioonist ning kas on olemas muu tõlgendus, mis lubaks ligipääsu õpilaste andmetele. Andmekaitse Inspektsioonile ei ole teada, millisele õigusnormile täpsemalt Teie või teised koolid oma praktikas viitavad keelates koolipsühholoogidele ligipääsu õpilaste isikuandmetele. Nii nagu eelnevalt selgitasin, siis IKS üksnes täpsustab menetlusreegleid ja üksikuid juhtumeid isikuandmete töötlemiseks. Õpilaste isikuandmete töötlemise puhul tuleb lähtuda eelkõige IKÜM-st ja selles 2 (3) sätestatud põhimõtetest (sh õigusliku aluse olemasolust) ning vajadusel haridusasutuste spetsiifilistest õigusaktidest, näiteks PGS-st. Samuti soovite teada, kas on olemas mittelineaarne tõlgendus uuele IKS-i redaktsioonile. Selgitan taaskord, et 01.10.2025 jõustunud IKS-i redaktsioon ei mõjuta antud olukorda. Reeglid isikuandmete töötlemiseks ja põhimõtted tulenevad IKÜM-st, mis jõustus 2018. a maikuus. See tähendab, et isikuandmete töötlemisel peab lisaks õiguslikule alusele järgima ka isikuandmete töötlemise põhimõtteid, mis tulenevad IKÜM artiklist 5. Kokkuvõte Kokkuvõtlikult, õigusliku aluse ja ligipääsu ulatuse peab määrama kool, kes on õpilaste isikuandmete vastutav töötleja. AKI ei saa ette öelda, millises ulatuses ja mis õiguslikul alusel Teil kui koolipsühholoogil võiks see ligipääs olla. Kui Teil on küsimusi, mis õigusaktid kohalduvad haridusasutustele isikuandmete töötlemisele ning mis on Teie koolis õpilaste isikuandmetele ligipääsu andmise keeldumise alus, siis esmajoones tuleb pöörduda kooli juhtkonna ja kooli andmekaitsespetsialisti poole. Tallinna 21. kooli andmekaitsespetsialist on E-Äriregistri andmetel Merit Valgjärv. Loodan, et vastusest on abi. Lugupidamisega Geili Keppi jurist peadirektori volitusel 3 (3)