Tugiteenuste osutamise koostöökokkulepe

Tugiteenuste osutamise koostöökokkulepe nr 1-4/25/80-1 Majandus- ja Kommunikatsiooniministeerium, registrikood 70003158, asukoht Suur- Ameerika 1, 10122 Tallinn, keda esindab põhimääruse alusel majandus- ja tööstusminister Erkki Keldo (edaspidi nimetatud Tellija või Pool), ja Riigi Tugiteenuste Keskus, registrikood 70007340, asukoht Lõkke 4, 10122 Tallinn, keda esindab põhimääruse alusel peadirektor Pärt-Eo Rannap (edaspidi nimetatud Teenuseosutaja või Pool või koos Tellijaga Pooled), sõlmivad tugiteenuste osutamise koostöökokkuleppe (edaspidi Kokkulepe) järgnevas: 1. Üldsätted 1.1. Kokkuleppe eesmärgiks on reguleerida Tellija ja tema valitsemisala asutuste (edaspidi ühiselt nimetatuna Teenuse saaja) ning Teenuseosutaja õiguseid ja kohustusi tugiteenuste (edaspidi Teenus) osutamisel ja saamisel ning Teenuse tingimusi ja kvaliteeti. 1.2. Poolte õiguste ja kohustuste aluseks on Eestis kehtivad õigusaktid ja Kokkulepe koos lisadega. Kui konkreetsest sättest ei tulene teisiti, tähendab mõiste „kokkulepe“ Kokkuleppe põhiteksti koos kõikide lisadega. 1.3. Kokkuleppe lahutamatu osa on Teenuseosutaja nõukojas heaks kiidetud ja peadirektori käskkirjaga kinnitatud ning Teenuseosutaja kodulehel avaldatud järgmised standardtoimemudelid ja Teenuse osutamise tingimused: 1.3.1. Personali- ja palgaarvestuse standardtoimemudel; 1.3.2. Riigihangete korraldamise standardtoimemudel; 1.3.3. Majandustarkvara SAP ERP administreerimise teenuse osutamise tingimused; 1.3.4. SAP aruandluskeskkonna Business Objects administreerimise teenuse osutamise tingimused; 1.3.5. E-arvekeskuse administreerimise teenuse osutamise tingimused; 1.3.6. Riigitöötaja Iseteenindusportaali administreerimise teenuse osutamise tingimused. 1.4. Kokkuleppel on selle sõlmimise hetkel järgmised lisad: 1.4.1. Lisa 1. Majandus- ja Kommunikatsiooniministeeriumi valitsemisala finantsarvestuse toimemudel; 1.4.2. Lisa 2. Teenusega liitunud Majandus- ja Kommunikatsiooniministeeriumi valitsemisala asutuste dokumendihaldus- ja arhiiviteenuse toimemudelid; 1.4.3. Lisa 3. Majandus- ja Kommunikatsiooniministeeriumi dokumendihaldus- ja arhiiviteenuse andmetöötlusleping. 2. Teenused 2.1. Teenust osutatakse Teenuse saajale, välja arvatud kui Kokkuleppes on Teenuse juures eraldi nimetatud selle Teenuse saajad. Teenuste all peetakse Kokkuleppes silmas: 2.1.1 finantsarvestuse teenuse osutamist koos vastava aruandlusega Teenuse saajale. Teenuse osutamise tulemuseks on Teenuse saaja finantsarvestuse teostamine ning aruandluse koostamine; 2.1.2 personali- ja palgaarvestuse teenuse osutamist koos vastava aruandlusega Teenuse saajale. Teenuse osutamise tulemuseks on Teenuse saaja personaliandmete sisestuse ja palgaarvestuse teostamine ning aruandluse koostamine; 2.1.3 majandustarkvara SAP administreerimist; 2.1.4 SAP aruandluskeskkonna Business Objects (edaspidi SAP BO) administreerimist; 2.1.5 E-arvekeskuse administreerimist; 2.1.6 Riigitöötaja Iseteenindusportaali administreerimist; 2.1.7 riigihangete korraldamise teenust vastavalt Teenuse saaja iga-aastasele hankeplaanile, mille raames Teenuseosutaja korraldab Teenuse saaja vajadustele vastavaid riigihankeid, mis nõuavad riigihangete seaduse kohaselt toiminguid riigihangete registris või mille korraldamises riigihangete registris on Teenuse saaja ja Teenuseosutaja kokku leppinud. Teenuseosutaja ei korralda hankeid, mille korraldamiseks on Vabariigi Valitsus määranud kohustusliku keskse hankija; 2.1.7.1 Kokkuleppe alusel on riigihangete korraldamisel Teenuse saajaks Tellija ruumilise planeerimise valdkond, Maa- ja Ruumiamet, soolise võrdõiguslikkuse ja võrdse kohtlemise volinik ning Tööinspektsioon. Maa- ja Ruumiameti maaparanduseosakonna hangete arv ja nende eest tasumine lepitakse kokku igal aastal eraldi. Poolte eraldi kokkuleppe alusel võib Teenuseosutaja pakkuda riigihangete korraldamise teenust ka teistele Tellija valdkondadele või osakondadele. Sellisel juhul tasutakse riigihangete korraldamise teenuse eest hankepõhiselt peale iga hankemenetluse lõppemist. Teenuseosutaja vaatab igal aastal neljandas kvartalis riigihangete korraldamise teenuse maksumuse üle ja esitab vajadusel Tellijale uuendatud hinnapakkumuse; 2.1.8 dokumendihaldus- ja arhiiviteenuse osutamist; 2.1.8.1 Kokkuleppe alusel osutatakse dokumendihaldus- ja arhiiviteenust Tellijale ja Tarbijakaitse ja Tehnilise Järelevalve Ametile. Kooskõlas 28.12.2023 sõlmitud Tugifunktsioonide koostöökokkuleppega nr 1.9-1/409-1 loevad Pooled Tellijale osutava teenuse puhul Tellijaks ka Rahandusministeeriumi ühisosakonna dokumendihaldustalituse, välja arvatud kui funktsioon ei ole õigusaktidest tulenevalt või oma olemuselt üleantav (nt korra või liigitusskeemi kinnitamine). 2.2 Teenuse osutamise tingimused, ulatus, toimingud ning tööjaotus Teenuseosutaja ja Teenuse saaja vahel, mida ei ole Kokkuleppes reguleeritud, kirjeldatakse (standard)toimemudelites või infosüsteemide administreerimise puhul teenuse osutamise tingimustes. 2.3 Teenuse osutamise kohustus laieneb ka nendele toimingutele, mis ei ole Kokkuleppes otseselt sätestatud, kuid mis oma olemusest lähtuvalt kuuluvad Kokkuleppes nimetatud Teenuse hulka. 3. Dokumendihaldus- ja arhiiviteenuse osutamise eritingimused 3.1. Punktis 2.1.8.1. nimetatud Teenuse saaja volitab Teenuseosutajat dokumendihaldus- ja arhiiviteenuse osutamiseks töötlema Teenuse saaja ametialaseid dokumente ja andmeid, mis on osaks Teenuse saaja dokumendihaldus- ja arhiiviteenuse korraldusest. Kokkuleppe tähenduses käsitletakse Teenuse saajat dokumendihaldus- ja arhiiviteenuse osutamisel andmete vastutava töötlejana ning Teenuseosutajat andmete volitatud töötlejana. 3.2. Dokumendihaldus- ja arhiiviteenuse osutamiseks vajalikud täpsustatud tingimused, isikuandmete liigid ning andmesubjektide kategooriad lepitakse kokku Kokkuleppe lisa(de)s või kokkuleppes, mille iga Teenuse saaja sõlmib Teenuseosutajaga eraldi. 3.3. Teenuseosutaja ei kaasa dokumendihaldus- ja arhiiviteenuse osutamiseks teisi andmete volitatud töötlejaid ilma Teenuse saaja eelneva nõusolekuta. 4. Poolte kohustused ja õigused 4.1. Teenuseosutaja kohustub: 4.1.1. osutama Teenust hoolikalt ning professionaalselt kooskõlas oma tegevus- või kutsealal kehtivate standardite ja heade kommetega; 4.1.2. lähtuma Teenuse osutamisel vastavat valdkonda reguleerivatest õigusaktidest, Teenuse saaja kehtestatud juhenditest ja kordadest, kui Teenuse saaja on need  Teenuseosutajale edastanud, Teenuse saaja esitatud dokumentidest ning Kokkuleppest; 4.1.3. läbi rääkima kõik olulised töökorralduslikud muudatused Teenuse saajaga, kui see võib mõjutada Teenuse osutamist; 4.1.4. tegutsema Teenuse osutamisel Teenuse saajale lojaalselt, arvestades Teenuse saaja huvidega ning neid huve kaitsma; 4.1.5. teavitama Teenuse saajat oma parimaid teadmisi rakendades juhul, kui Teenuse saaja poolt Teenuse osutamiseks vajalik edastatud dokument on vastuolus õigusaktidega, sisaldab olulisi puudusi, ei ole Teenuse osutamiseks piisavalt selge või üheselt mõistetav, samuti juhul, kui Teenuse osutajale teadaolevalt Teenuse osutamiseks vajalik dokument puudub või esineb muu puudus, esitades ühtlasi omapoolsed ettepanekud puuduste kõrvaldamiseks; 4.1.6. andma Teenuse saajale asjakohast teavet kõikvõimalikes Teenuse osutamisega seotud küsimustes ning võimaldama Teenuse saaja esindajate ligipääsu Teenuse osutamisega seotud andmetele; 4.1.7. võimaldama Teenuse saajale ligipääsu juhtimisinfole ja aruandlusele SAP BO kaudu. Teenuseosutaja muudab olemasolevaid aruandeid või lisab uusi aruandeid Teenuse saaja põhjendatud taotluse korral, kui vajalikud andmed on majandustarkvarast SAP kättesaadavad; 4.1.8. vajadusel esindama Teenuse saajat Teenuse osutamisega seotud küsimuste või vaidluste lahendamisel (standard)toimemudelis määratud ulatuses või Teenuse saaja sellekohase nõusoleku või volituse olemasolul; 4.1.9. kõrvaldama kokkulepitud tähtaja jooksul kõik Teenuse osutamist mõjutavad puudused või takistused, kui need on olemuslikult Teenuseosutaja poolt kontrollitavad; 4.1.10. hüvitama Teenuse saajale varalise kahju, kui see tekkis Teenuseosutaja poolse Teenuse mittenõuetekohase osutamise tõttu ning vajadusel esindama Teenuse saajat kahju sissenõudmisel või vaidluste lahendamisel; 4.1.11. säilitama Teenuse osutamisega seotud andmeid õigusaktides sätestatud või Teenuse saajaga kokku lepitud tähtaegade vältel. Juhul kui kehtivast õigusaktist ei tulene andmete või dokumentide säilitamiskohutust, siis Teenuse saaja eelneval juhendamisel või nõusolekul need andmed või dokumendid kustutama või tagastama; 4.1.12. mitte avaldama ilma Teenuse saaja eelneva nõusolekuta Teenuse osutamise käigus teatavaks saanud andmeid kolmandatele isikutele, v.a kui selliste andmete avaldamise kohustus tuleneb õigusaktist ning eelneva nõusoleku küsimiseks puudub vajadus. Pooled on kokku leppinud, et mõlemal juhul teavitab Teenuseosutaja andmete avaldamise vajaduse või kohustuse tekkimisel viivitamata Teenuse saaja esindajat. 4.1.13. töötlema temale Teenuse osutamise käigus edastatud andmeid vaid ulatuses, mis on vajalik Teenuse osutamiseks; 4.1.14. esitama aruandeid ja andmeid ning andma selgitusi Teenuse saaja siseauditi osakonnale, Riigikontrollile vm kontrolliorganile auditeerimise protseduuri ning õigusaktidest tuleneva kontrolli läbiviimiseks, kui õigusaktidest ei tulene teisiti; 4.1.15. tagama Teenuse saajale juurdepääsu SAP testkeskkonnale Teenuse saaja sidussüsteemide arendamisel vajaliku testkeskkonna loomiseks; 4.1.16. viivituseta teavitama Teenuse saaja andmekaitsespetsialisti seotud rikkumisest teada saamisest kooskõlas isikuandmete kaitse üldmääruse (Euroopa Parlamendi ja Nõukogu määrus) nr (EL) 2016/679) artikliga 33. 4.2. Teenuseosutajal on õigus keelduda Teenuse või selle osa osutamisest vastavas osas kuni Teenuse saaja poolsete kohustuste täitmiseni, kui Teenuse saaja ei täida punktis 4.3.1.– 4.3.3. nimetatud kohustusi ning see takistab Teenuse osutamist. 4.3. Teenuse saaja kohustub: 4.3.1. esitama Teenuseosutajale Teenuse osutamiseks vajaliku teabe (standard)toimemudelis määratud või Poolte esindajate poolt kokku lepitud aja jooksul ja sidekanaleid kasutades; 4.3.2. võimaldama vajaduse korral juurdepääsu Teenuse osutamiseks vajalikele andmebaasidele ja infosüsteemidele; 4.3.3. informeerima viivitamata Teenuseosutajat kõikidest asjaoludest, mis võivad mõjutada Teenuse osutamise käiku; 4.3.4. läbi rääkima Teenuseosutajaga kõik muudatused Teenuse saaja juhendites ja eeskirjades kui need on seotud Teenuse osutamisega; 4.3.5. kõrvaldama mõistliku aja jooksul kõik Teenuse saajast tingitud Teenuse osutamist mõjutavad puudused või takistused; 4.3.6. hüvitama Teenuseosutajale riigihangete korraldamise teenuse osutamisel vaidlustuse ja kohtumenetlusega seotud kulud, kui vaidlustus või kaebus on esitatud riigihanke tingimuste ja toimingute kohta, mille eest vastutab vastavalt riigihangete korraldamise standardtoimemudelile Teenuse saaja ja eeldusel, et need kulud on eelnevalt Teenuseosutaja poolt Teenuse saajaga kooskõlastatud vastavalt standardtoimemudelile. 4.4. Teenuse saajal on õigus: 4.4.1. saada Kokkuleppes nimetatud Teenuseid kooskõlas kehtivate õigusaktidega ja Kokkuleppega; 4.4.2. nõuda varalise kahju hüvitamist, kui see tekkis Teenuseosutaja poolse Teenuse mittenõuetekohase osutamise tõttu; 4.4.3. kasutada majandustarkvara SAP testbaasi (SAP500) andmesisestuseks SAPi andmeid kasutavate asutuste teiste infosüsteemide testimiseks. 4.5. Teenuse mitteosutamiseks või ebakvaliteetseks täitmiseks ei loeta Teenuse katkestusi või rikkumisi, mis on tingitud asjaoludest, mille üle Teenuseosutajal puudub kontroll (vääramatu jõud). Kui Teenuseosutaja soovib vääramatu jõu asjaolule tugineda, peab ta sellest Tellijat teavitama esimesel võimalusel. 4.6. Vääramatu jõud ei vabasta Pooli kohustusest võtta tarvitusele kõik võimalikud abinõud Kokkuleppe mittetäitmise või mittekohase täitmisega tekkida võiva kahju vältimiseks või vähendamiseks. 5. Infoturve ja andmekaitse 5.1. Pooled järgivad Kokkuleppe kohustuste täitmisel küberturvalisuse seaduses ja selle alusel kehtestatud õigusaktides sätestatud nõudeid, isikuandmete töötlemisel isikuandmete kaitse seaduses ja isikuandmete kaitse üldmääruses (Euroopa Parlamendi ja Nõukogu määrus nr (EL) 2016/679) toodud andmekaitse põhimõtteid ja muid infoturvet reguleerivaid õigusakte. 5.2. Kokkuleppe alusel töötleb Teenuseosutaja isikuandmeid Teenuseosutaja põhimääruses sätestatud ülesannete ja Kokkuleppest tulenevate ülesannete täitmiseks. Teenuse osutamiseks vajalikud täpsustatud tingimused, isikuandmete liigid, andmesubjektide kategooriad lepitakse vajadusel Teenuse saajaga kokku Kokkuleppe lisa(de)s või kokkuleppes, mille iga Teenuse saaja sõlmib Teenuseosutajaga eraldi. 5.3. Pooled tagavad Kokkuleppe täitmise ajal ja pärast selle lõppemist määramata tähtaja jooksul Kokkuleppe täitmise käigus teineteiselt saadud teabe, mis on kas kirjalikus või digitaalses vormis varustatud märkega „konfidentsiaalne“ või millel on märge juurdepääsupiirangu kohta (eelkõige kuid mitte ainult AvTS alusel) või, kui see teabe avaldamise asjaolusid silmas pidades on asjakohane, teavitanud konfidentsiaalsusest suuliselt, konfidentsiaalsuse ja ei anna seda edasi ega võimalda sellele teabele juurdepääsu kolmandatele isikutele ilma teise Poole kirjaliku nõusolekuta. 5.4. Teenuseosutaja kindlustab Teenuse saaja andmete haldamisel andmete käideldavuse, konfidentsiaalsuse ja terviklikkuse. Teenuseosutaja tagab, et Teenuse osutamiseks  isikuandmeid töötlema volitatud isikud on kohustunud järgima andmete töötlemise konfidentsiaalsusnõudeid. 5.5. Teenuseosutaja vastutab tema poolt töödeldavate Teenuse saaja andmete volitamata või juhusliku hävimise või hävitamise kaitseks meetmete rakendamise eest või rakendamata jätmise eest. 6. Teabevahetus 6.1. Teabevahetus toimub kirjalikku taasesitamist võimaldavas vormis (sh kirjalikult või elektrooniliselt). Teave tuleb esitada samas vormis kui see on küsitud, kui teine Pool ei ole täpsustanud, millises vormis vastust ta soovib, v.a kui teave sisaldab konfidentsiaalseid andmeid, mh isikuandmeid. Sellisel juhul tuleb teave esitada krüpteeritult või läbi turvalise kanali. 6.2. Pool vastab teise Poole esitatud küsimusele, järelepärimisele, teabe nõudmisele vms võimalikult kiiresti, kuid mitte hiljem kui 5 tööpäeva jooksul arvates küsimisest. Pooled võivad vastamiseks kokku leppida muu tähtaja. 6.3. Kokkuleppega seotud teated edastatakse teisele Poolele asutuse üldkontakti ja asutust Teenuseosutaja nõukojas esindava liikme kaudu. 6.4. Teenuseosutaja kontaktisikud, kellel on õigus anda Kokkuleppega seotud nõusolekuid ja volitusi ning teha Teenuseosutaja nimel muid toiminguid peale Kokkuleppe muutmise, lepitakse kokku Kokkuleppe lisa(de)s või muul kirjalikku taasesitamist võimaldaval viisil. 6.5. Teenuse saaja kontaktisikuks, kellel on õigus anda Kokkuleppega seotud nõusolekuid ja volitusi ning teha Teenuse saaja nimel muid toiminguid peale Kokkuleppe muutmise, lepitakse kokku Kokkuleppe lisa(de)s või muul kirjalikku taasesitamist võimaldaval viisil. 7. Vaidluste lahendamine 7.1. Kõik pooltevahelised Kokkuleppest tulenevad vaidlused lahendatakse läbirääkimiste teel. 7.2. Kui erimeelsusi ei ole võimalik kokkuleppeliselt lahendada, siis lahendatakse vaidlus vastavalt Eesti Vabariigis kehtivatele õigusaktidele. 8. Kokkuleppe kehtivus ja muutmine 8.1. Kokkulepe jõustub mõlemapoolse allkirjastamise hetkest ja rakendatakse tagasiulatuvalt alates 1. jaanuarist 2025 tähtajatult. 8.2. Kokkuleppe jõustumisel loetakse lõppenuks Poolte vahel 27. märtsil 2013 sõlmitud tugiteenuste osutamise koostöökokkulepe nr 1.5-3/0157 ja selle alusel sõlmitud kokkulepped. 8.3. Teenuse saaja teavitab Teenuseosutajat kuus kuud ette kui ta soovib dokumendihaldus- ja arhiiviteenusest loobuda, välja arvatud juhul kui Teenuseosutaja rikub oluliselt isikuandmete töötlemise nõudeid. 8.4. Kokkuleppe muudatused vormistatakse kirjalikus või elektroonilises vormis, kui Kokkuleppes ei ole ette nähtud teisiti. 8.5. Standardtoimemudelite ja teenuse osutamise tingimuste muudatused kiidab heaks Teenuseosutaja nõukoda ning need kinnitatakse Teenuseosutaja peadirektori käskkirjaga. Muudatused jõustuvad alates kinnitamisest, va kui kinnitamise otsuses on märgitud teisiti. Teenuseosutaja avaldab kehtiva versiooni standardtoimemudelitest ja teenuse osutamise tingimustest oma kodulehel. /allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/ Erkki Keldo Pärt-Eo Rannap Majandus- ja tööstusminister Peadirektor  Tugiteenuste osutamise koostöökokkulepe nr 1-4/25/80-1 lisa 3 MAJANDUS- JA KOMMUNIKATSIOONIMINISTEERIUMI DOKUMENDIHALDUS- JA ARHIIVITEENUSE ANDMETÖÖTLUSLEPING 1. Lepingu ese 1.1. Andmetöötluslepingu eesmärk on tagada koostöökokkuleppes (edaspidi koostöölepe) kokkulepitud dokumendihaldus- ja arhiiviteenuse osutamisel andmesubjektide isikuandmete õigus- ja eesmärgipärane töötlemine kooskõlas ELi isikuandmete kaitse üldmäärusega (2016/679) (edaspidi üldmäärus) ja Eesti riigisiseste isikuandmete kaitset käsitlevate õigusaktidega. 1.2. Andmetöötluslepingus kasutatud mõistetel on üldmääruses sätestatud tähendus, kui pooled ei ole kokku leppinud teisiti. 1.3. Koostööleppe järgse tugiteenuse osutamisel tegutseb Riigi Tugiteenuste Keskus isikuandmete volitatud töötlejana ja Majandus- ja Kommunikatsiooniministeerium isikuandmete vastutava töötlejana. 1.4. Pooled kohustuvad järgima andmekaitsealaseid juhendeid ja tegevusjuhiseid, mis on väljastatud isikuandmete kaitse eest vastutava kohaliku ja/või Euroopa Liidu asutuse poolt. Vastutav töötleja annab isikuandmete töötlemiseks täiendavaid dokumenteeritud juhiseid. 1.5. Andmesubjektide kategooriad ja isikuandmete liigid, mida koostööleppest tulenevalt töödeldakse, isikuandmete töötlemise kestus, iseloom ja eesmärgid ning vastutava töötleja antud juhised on lisatud andmetöötluslepingule (Lisa 1). 1.6. Andmetöötluslepingu sõlmimise hetkel on sellel järgmised lisad: Lisa 1. Majandus- ja Kommunikatsiooniministeeriumi isikuandmete töötlemistoimingute register (volitatud töötleja töödeldavad andmed); Lisa 2. Isikuandmete töötlemise rikkumisest teavitamise vorm. 2. Isikuandmete töötlemine 2.1. Volitatud töötleja kohustub töötlema isikuandmeid vaid sellises ulatuses, mis on vajalik koostööleppe täitmiseks asjakohaste õigusaktide, juhendite ja vastutava töötleja antud dokumenteeritud juhiste kohaselt. 2.2. Volitatud töötleja võib andmesubjektide isikuandmeid töödelda ka asjakohaste info- ja sidesüsteemide hooldamise eesmärgil, kui see on koostööleppe täitmiseks vajalik, tagades sellisel juhul töötlemise vastavuse andmetöötluslepingule. 2.3. Kui volitatud töötleja ei ole vastutava töötleja juhistes kindel, kohustub ta mõistliku aja jooksul vastutava töötlejaga ühendust võtma selgituste või täiendavate juhiste saamiseks. Volitatud töötleja teavitab vastutavat töötlejat kõigist avastatud vastuoludest dokumenteeritud juhiste ja õigusaktide või juhendite vahel. 2.4. Volitatud töötleja võib isikuandmete töötlemiseks kasutada teisi volitatud töötlejaid (edaspidi teine volitatud töötleja) üksnes vastutava töötleja eelneval nõusolekul, mis peab olema kirjalikku taasesitamist võimaldavas vormis. Ilma vastutava töötleja kirjaliku nõusolekuta võib volitatud töötleja vajadusel kasutada isikuandmete töötlemiseks süsteemihoolduspartnereid üksnes volitatud töötleja info- ja sidesüsteemide hoolduseks. 2.4.1. Volitatud töötleja vastutab teise volitatud töötleja tegevuse eest samal viisil nagu enda tegevuse eest. Üldmääruse artikli 28 lõike 4 kohaselt sõlmib volitatud töötleja teise volitatud töötlejaga isikuandmete töötlemiseks kirjaliku kokkuleppe, mis näeb ette samad andmekaitsekohustused nagu on volitatud töötlejal andmekaitselepingus. 2.4.2. Kui vastutav töötleja on andnud volitatud töötlejale loa kasutada koostööleppest tulenevate kohustuste täitmiseks teisi volitatud töötlejaid, on koostööleppest tulenevatele küsimustele vastamisel kontaktisikuks vastutavale töötlejale üksnes volitatud töötleja ning volitatud töötleja tagab selle, et kõnealune teine volitatud töötleja täidab andmekaitselepingu nõudeid ja on sellega seotud samal viisil nagu volitatud töötleja ise. 2.4.3. Vastutav töötleja võib igal ajahetkel võtta tagasi volitatud töötlejale antud loa kasutada teisi volitatud töötlejaid. 2.5. Volitatud töötleja kohustub hoidma konfidentsiaalsena koostööleppe täitmise käigus teatavaks saanud isikuandmeid ning mitte töötlema isikuandmeid muul kui koostööleppes sätestatud eesmärgil. Samuti tagama, et isikuandmeid töötlema volitatud isikud, teised volitatud töötlejad, volitatud töötleja töötajad jt, kellel on ligipääs koostööleppe täitmise käigus töödeldavatele isikuandmetele järgivad konfidentsiaalsusnõuet. 2.6. Volitatud töötleja kohustub rakendama asjakohaseid tehnilisi ja korralduslikke turvalisuse tagamise meetmeid sellisel viisil, et isikuandmete töötlemine vastaks üldmääruse artikli 32 nõuetele: 2.6.1. vältima kõrvaliste isikute ligipääsu isikuandmete töötlemiseks kasutatavatele andmetöötlusseadmetele; 2.6.2. ära hoidma andmekandjate omavolilist teisaldamist; 2.6.3. tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid isikuandmeid töödeldi. 2.7. Volitatud töötleja aitab võimaluste piires vastutaval töötlejal asjakohaste tehniliste ja korralduslike meetmete abil täita vastutava töötleja kohustusi vastata üldmääruse tähenduses kõigile andmesubjekti taotlustele oma õiguste teostamisel, edastades kõik andmesubjektidelt saadud andmete kontrollimise, parandamise ja kustutamise, andmetöötluse keelamise ja muud taotlused vastutavale töötlejale viivitamatult nende saamisest alates. 2.8. Volitatud töötleja aitab vastutaval töötlejal täita üldmääruse artiklites 32–36 sätestatud kohustusi, võttes arvesse isikuandmete töötlemise laadi ja volitatud töötlejale kättesaadavat teavet. 2.9. Vastutav töötleja võib viia läbi auditeid, taotledes volitatud töötlejalt kirjalikku taasesitamist võimaldavas vormis asjakohast teavet eesmärgiga kontrollida volitatud töötleja andmetöötluslepingust tulenevate kohustuste täitmist. Pooled on kokku leppinud, et: 2.9.1. vastutava töötleja auditeid võib läbi viia kas vastutav töötleja ja/või kolmas isik, keda vastutav töötleja on selleks volitanud; 2.9.2. volitatud töötleja kohustub andma vastutavale töötlejale teavet, andmeid ja dokumente, selleks, et tõendada andmetöötluslepingu nõuetekohast täitmist; 2.9.3. vastutav töötleja käsitleb volitatud töötlejalt saadud teavet kogu auditi raames konfidentsiaalsena. 2.10. Volitatud töötleja edastab kõik järelevalveasutuste päringud vastutavale töötlejale. Järelevalveasutustega suhtleb vastutav töötleja. Volitatud töötlejal pole õigust vastutavat töötlejat esindada ega tema nimel tegutseda. Volitatud töötleja teeb vastutava töötlejaga koostööd volitatud töötlejat puudutavates küsimustes või järelevalveasutusele vastamisel. 3. Isikuandmete töötlemine väljaspool Euroopa Liitu ja Euroopa Majanduspiirkonda 3.1. Koostööleppe esemeks olevaid isikuandmeid ei tohi töödelda väljaspool Euroopa Liitu ega Euroopa Majanduspiirkonda, sh ei tohi nimetatud isikuandmeid edastada kolmandale riigile või rahvusvahelisele organisatsioonile, v.a kui selliste andmete avaldamise kohustus tuleneb õigusaktist. 3.2. Juhul, kui koostööleppe esemeks olevate isikuandmete töötlemine väljaspool Euroopa Liitu ja Euroopa Majanduspiirkonda, sh nende edastamine kolmandale riigile või rahvusvahelisele organisatsioonile, on vajalik koostööleppe täitmiseks, lepivad pooled sellises andmetöötluses eelnevalt kirjalikult kokku. 3.3. Kirjalikku kokkulepet ei ole vaja sõlmida, kui volitatud töötleja on kohustatud isikuandmeid kolmandale riigile või rahvusvahelisele organisatsioonile edastama volitatud töötleja suhtes kohaldatava Euroopa Liidu või liikmesriigi õiguse alusel. Sellisel juhul teatab volitatud töötleja sellise õigusliku aluse olemasolust enne isikuandmete töötlemist vastutavale töötlejale, kui selline teatamine ei ole olulise avaliku huvi tõttu kõnealuse õigusega keelatud. 4. Isikuandmete töötlemisega seotud rikkumiste peatamine ja sellest teavitamine 4.1. Kui volitatud töötleja avastab isikuandmetega töötlemise seotud rikkumise, teeb ta kõik endast oleneva, et andmetöötluse rikkumise korral edasine rikkumine viivitamatult peatada. 4.2. Volitatud töötleja teavitab vastutavat töötlejat kõikidest isikuandmete töötlemisega seotud rikkumistest, või kui on alust kahtlustada, et selline rikkumine on aset leidnud, ilma põhjendamatu viivituseta alates hetkest, kui volitatud töötleja või tema poolt kasutatav teine volitatud töötleja saab teada isikuandmete töötlemisega seotud rikkumisest või on alust kahelda, et selline rikkumine on aset leidnud. 4.3. Volitatud töötleja peab viivitamatult, aga mitte hiljem kui 24 tundi pärast rikkumisest teada saamist, edastama vastutavale töötlejale kogu isikuandmetega seotud rikkumist puudutava asjakohase informatsiooni, täites andmetöötluslepingule lisatud isikuandmete töötlemise rikkumisest teavitamise vormi (Lisa 2) ja lisades juurde asjakohase muu dokumentatsiooni. Juhul, kui kõiki asjaolusid ei ole võimalik selleks ajaks välja selgitada, esitab volitatud töötleja vastutavale töötlejale vormi esialgsete andmetega. Täiendatud vorm lõpliku informatsiooniga rikkumise asjaolude kohta tuleb esitada vastutavale töötlejale esimesel võimalusel pärast esialgsete andmetega vormi esitamist. 4.4. Volitatud töötleja teeb vastutava töötlejaga igakülgset koostööd selleks, et välja töötada ja täita tegevusplaan isikuandmetega seotud rikkumiste kõrvaldamiseks. Volitatud töötleja peab tegema kõik võimaliku, et edasist rikkumist ära hoida ning kahju vähendada. 4.5. Vastutav töötleja vastutab järelevalveasutuse teavitamise eest. 5. Vastutus 5.1. Volitatud töötleja vastutab kahju eest, mida ta on põhjustanud vastutavale töötlejale, andmesubjektidele või muudele kolmandatele isikutele. isikuandmete töötlemisel andmetöötluslepingu nõudeid või õigusnorme või dokumenteeritud juhiseid rikkudes. 5.2. Volitatud töötleja, kui ta on isikuandmete töötlemise nõudeid rikkunud ja selle tagajärjel on vastutav töötleja kohustatud maksma hüvitist või trahvi, kohustatud hüvitama vastutavale töötlejale sellega seoses kantud kulud. 5.3. Kui volitatud töötleja rikub oluliselt andmetöötluslepingus sätestatud isikuandmete töötlemise nõudeid, on vastutaval töötlejal õigus koostöölepe üles öelda, teavitades sellest volitatud töötlejat ette vähemalt kolm kuud. 5.4. Oluline andmetöötluslepingu rikkumine on eelkõige, kui: 5.4.1. isikuandmete töötlemise põhimõtete täitmist kontrolliva järelevalveasutuse või kohtu menetluses selgub, et volitatud töötleja või teine volitatud töötleja ei täida isikuandmete töötlemise põhimõtteid; 5.4.2. vastutav töötleja leiab andmetöötluslepingu raames läbiviidud auditis, et volitatud töötleja ei täida isikuandmete töötlemise põhimõtteid, mis tulenevad andmetöötluslepingust või kohaldatavatest õigusnormidest. 6. Muud sätted 6.1. Volitatud töötleja kohustub koostööleppe lõppemisel tagastama vastutavale töötlejale kõik andmesubjektide isikuandmed või kustutama või hävitama isikuandmed ja nende koopiad vastavalt vastutava töötleja antud juhistele. 6.2. Volitatud töötleja väljastab vastutavale töötlejale volitatud töötleja esindusõigusega isiku kirjaliku kinnituse, et tema ja kõik tema kasutatud teised volitatud töötlejad on täitnud eelmises punktis nimetatud toimingud. 6.3. Volitatud töötleja teavitab vastutavat töötlejat kirjalikult kõigist muudatustest, mis võivad mõjutada volitatud töötleja võimet või väljavaateid pidada kinni andmetöötluslepingust ja vastutava töötleja dokumenteeritud juhistest. Pooled lepivad kõigis andmetöötluslepingut puudutavates täiendustes ja muudatustes kokku kirjalikult. 6.4. Kohustused, mis oma iseloomu tõttu peavad jääma jõusse hoolimata andmetöötluslepingu kehtivusest, nagu konfidentsiaalsuskohustus, jäävad jõusse ka pärast andmetöötluslepingu kehtivuse lõppemist, kui pooled ei ole kirjalikult kokku leppinud teisiti. Majandus- ja Kommunikatsiooniministeerium Riigi Tugiteenuste Keskus Vastutav töötleja Volitatud töötleja /allkirjastatud digitaalselt/ /allkirjastatud digitaalselt/  MAJANDUS- JA KOMMUNIKATSIOONIMINISTEERIUMI DOKUMENDIHALDUS- JA ARHIIVITEENUSE ANDMETÖÖTLUSLEPING Lisa 2 ISIKUANDMETE TÖÖTLEMISE RIKKUMISEST TEAVITAMISE VORM 1. Kontaktandmed Isik, kellelt saab rikkumise asjaolude kohta täiendavat informatsiooni ja tema kontaktandmed: ___________________________________________________________________________ 2. Teavituse tüüp (märgi kast, üks või mitu valikut) ☐ Lõplik teavitus ☐ Varasema teavituse täiendamine 3. Aeg (sisesta kuupäev ja märgi kast) Millal sain rikkumisest teada (kuupäev/kuu/aasta):_________________________________________ Rikkumine toimus pikemal perioodil (algus- ja lõppkuupäev/kuu/aasta):_________________________ ☐ Toimus ühekordne rikkumine ☐ Rikkumine jätkuvalt toimub 4. Rikkumise andmed Kirjelda, mis juhtus ning kuidas rikkumise avastasite: ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Rikkumise asjaolud (märgi kast, üks või mitu valikut) ☐ Seade isikuandmetega on kaotatud või varastatud ☐ Paberdokument on varastatud, kaotatud või jäetud mitteturvalisse keskkonda ☐ Isikuandmete loata avaldamine ☐ Isikuandmeid nägi vale isik ☐ Isikuandmed edastati valele isikule ☐ Infosüsteemidesse loata või ebaseaduslik sisenemine (nt häkkimine, pahavara, lunavara või õngitsusrünne) ☐ Isikuandmed olid kättesaadavad seoses andmekandjate ebapiisava hävitamisega ☐ Muud (palun täpsusta): ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Miks rikkumine juhtus (märgi kast, üks või mitu valikut) ☐ Organisatsiooni töökorralduse reeglite, sisekorra rikkumine ☐ Töötajate vähene teadlikkus (nt puudulikud sisekorrad ja töökorralduse reeglid, töötajate mittepiisav koolitus) ☐ Inimlik viga ☐ Tehniline viga Muu (nimetage siin ka koostööpartner(id) nt volitatud töötleja, kui rikkumine toimus tema juures):_____________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ☐ Asjaolud pole veel teada 5. Rikkumisest puudutatud isikuandmed Rikkumisest puudutatud kaustade, dokumentide, failide, e-kirjade, andmebaaside arv, mis sisaldavad isikuandmeid. (nt mitu dokumenti edastati valele inimesele; märgi kast, valides vahemik või sisesta täpne arv või märgi „pole teada“) ☐ 1–9 ☐ 10–49 ☐ 50–99 ☐ 100–499 ☐ 500–999 ☐ 1000–4999 ☐ 5000–9999 ☐ 10000 ja rohkem Kui on teada, sisesta täpne arv:______ ☐ Pole veel teada Tee järgnevalt valik, millised isikuandmeid rikkumine puudutab (märgi kast, üks või mitu valikut) ☐ Ees- ja perekonnanimi ☐ Sünniaeg ☐ Isikukood ☐ E-post ☐ Telefoni nr ☐ Postiandmed või elukoha aadress ☐ Kasutajanimed, salasõnad ☐ Maksevahendite andmed (andmed, mis võimaldavad võtta üle isiku maksevahendi) ☐ Majandus või finantsandmed (tehingu ajalugu, majanduslikku seisundit näitavad andmed, maksevõime hindamine) ☐ AK teavet sisaldavad dokumendid (sh ameti- ja kutsesaladusega kaitstud teave) ☐ Geolokatsiooni andmed ☐ Suhtlusandmed (nt kes kellega ja millal rääkis, kirjutas) ☐ Andmed süüteoasjades süüdimõistvate kohtuotsuste ja süütegude kohta ☐ Lapsendamissaladuse andmed ☐ Andmed sotsiaalkaitsevajaduse või eestkoste kohta ☐ Rassiline või etniline päritolu ☐ Poliitilised vaated ☐ Usulised või filosoofilised (maailmavaatelised) veendumused ☐ Ametiühingusse kuulumine ☐ Geneetilised andmed ☐ Biomeetrilised andmed ☐ Terviseandmed ☐ Seksuaalelu ja seksuaalne sättumus Muu (palun täpsusta):___________________________________________________________________ ___________________________________________________________________________ Kas isikuandmed olid asjakohaselt krüpteeritud? (sh krüptovõtmeid ei ole kompromiteeritud ja need on andmetöötleja kontrolli all. Märgi kast, üks valik) ☐ Jah ☐ Ei 6. Rikkumisest puudutatud isikud Rikkumisest puudutatud isikute arv (märgi kast, valides vahemik või sisesta täpne arv või märgi „pole teada“) ☐ 1–9 ☐ 10–49 ☐ 50–99 ☐ 100–499 ☐ 500–999 ☐ 1000–4999 ☐ 5000–9999 ☐ 10000 ja rohkem Kui on teada, sisesta täpne arv:_______ ☐ Pole veel teada Tee järgnevalt valik, milliseid isikute kategooriaid rikkumine puudutab (märgi kast, üks või mitu valikut) ☐ Töötajad ☐ Kliendid ☐ Alaealised (nt õpilased, lapsed). ☐ Patsiendid ☐ Sotsiaalset kaitset vajavad inimesed Muu (palun selgita):_____________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ 7. Võimalikud tagajärjed rikkumisest puudutatud isikutele Konfidentsiaalsuskadu (andmetele said juurepääsu selleks mittevolitatud isikud. Märgi kast, üks või mitu valikut) ☐ Oht isikuandmete ulatuslikumaks töötlemiseks kui näeb ette esialgne eesmärk või isiku nõusolek ☐ Oht isikuandmete kokku viimiseks muu isikuid puudutava infoga ☐ Oht, et isikuandmeid kasutatakse teistel eesmärkidel ja/või ebaõiglasel viisil Muu (palun täpsusta):___________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Tervikluse kadu (andmeid on volitamata muudetud. Märgi kast, üks või mitu valikut) ☐ Oht, et isikuandmeid on muudetud ja kasutatud, kuigi need ei pruugi olla enam kehtivad ☐ Oht, et isikuandmeid on muudetud muul moel kehtivateks andmeteks ja neid on hiljem kasutatud teistel eesmärkidel Muu (palun täpsusta):___________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Käideldavuse kadu (puudub õigeaegne ja hõlbus juurdepääs andmetele. Märgi kast) ☐ Puudub võime osutada rikkumisest puudutatud isikutele kriitilist (elutähtsat) teenust Muu (palun täpsusta):___________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Füüsiline, varaline või mittevaraline kahju või muu samaväärne tagajärg (märgi kast, üks või mitu valikut) ☐ Isik jääb ilma kontrollist oma isikuandmete üle ☐ Isiku õiguste piiramine (nt ei saa kasutada teenust või lepingust tulenevaid õigusi) ☐ Õiguslik tagajärg (nt isik ei saa hüvitist, toetust, luba mõneks tegevuseks) ☐ Diskrimineerimine ☐ Identiteedivargus ☐ Pettus ☐ Rahaline kahju ☐ Kahju tervisele ☐ Risk elule ☐ Pseudonümiseerimise loata tühistamine ☐ Mainekahju ☐ Usalduse kadu ☐ AK teabe või ameti- ja kutsesaladusega kaitstud teabe kadu Muu (palun täpsusta):________________________________________________________________ 8. Rikkumisega seotud järeltegevused Isikute teavitamine Juba teavitatud (kuupäev/kuu/aasta):_____________ Kuidas teavitus toimus (märgi kast, üks või mitu valikut): ☐ E-kirjaga ☐ Lühisõnumiga (SMS) ☐ Helistamisega ☐ Meedias sh sotsiaalmeedias ☐ Asutuse/ettevõtte võrgulehel Muu (palun täpsusta):___________________________________________________________________ Mis oli teavituse sisu:_______________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Veel pole teavitanud, kuid teavitame: (kuupäev/kuu/aasta):_____________ ☐ Pole selge kas on vaja teavitada ☐ Ei ole vajalik teavitada Kui pidasite vajalikuks isikuid mitte teavitada, siis selgitage, kuidas jõudsite järeldusele, et rikkumisega ei kaasne isikute õigustele ja vabadustele suurt riski: ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ Kirjeldage kavandatud ja rakendatud meetmeid rikkumise lahendamiseks, kahjulike mõjude leevendamiseks ja ennetamiseks tulevikus: ___________________________________________________________________________ ___________________________________________________________________________ ___________________________________________________________________________ 9. Rikkumise piiriülene mõju Millises riigis on teie peamine tegevuskoht? (palun kirjuta riigi nimi):___________________________ Rikkumisest on puudutatud ka teiste EL riikide isikud: ☐ Ei ☐ Jah (palun täpsusta, milliste riikide ning tooge välja isikute arv riikide lõikes. Kui puudutatud isikuandmete koosseis on riigiti erinev, tooge ka see välja): ___________________________________________________________________________ ___________________________________________________________________________