ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Katrin Meikar Teie 29.10.2025
Dental Marketing OÜ
[email protected] Meie 13.11.2025 nr 2.2-9/25/3536-2
Vastus selgitustaotlusele
Pöördusite Andmekaitse Inspektsiooni (AKI) poole küsimusega, mis puudutab patsiendi 3D
näokujutise töötlemist ja printimist.
Selgitan esmalt, et igasuguseks isikuandmete töötlemiseks peab olema õiguslik alus. Inimese näost
3D kujutise loomine ja selle 3D printimine on oma olemuselt isikuandmete töötlemine.
Isikuandmete töötlemise õiguslikud alused on toodud isikuandmete kaitse üldmääruse (IKÜM)
artiklis 6 lõikes 1. Kui töötlete ka eriliiki isikuandmeid (nt patsientide terviseandmeid,
biomeetrilised isikuandmed) peab lisaks esinema mõni IKÜM artiklis 9 lõikes 2 toodud
asjaoludest. Üldreeglina töötleb tervishoiuteenuse osutaja patsiendi isikuandmeid tuginedes
tervishoiuteenuse osutamise lepingule (IKÜM artikkel 6 lõikes 1 punkt b koostoimes IKÜM
artikkel 9 lõige 1 punkt h).
Isikuandmete kaitse üldmääruse vaatest on lisaks õigusliku aluse olemasolule oluline järgida
isikuandmete töötlemise põhimõtteid, sh eesmärgipärasuse, minimaalsuse, turvalisuse ja
läbipaistvuse põhimõtet.
Eesmärgipärasuse põhimõte tähendab seda, et isikuandmete töötlemine peab olema seotud mingi
kindla eesmärgiga. Minimaalsuse põhimõtte kohaselt tuleb isikuandmeid koguda nii vähe kui
võimalik teatud eesmärgi saavutamiseks. Igaks juhuks andmete kogumine on ebaseaduslik.
Soovitan läbi mõelda ja hinnata, milliseid andmeid on vajalik edastada kolmandatele isikutele, sh
laboritele. Näiteks, kui Te edastate patsiendi 3D pildi laborile või tehnikule, kes hakkab selle alusel
proteese jms koostama, siis kas selle ülesande täitmiseks piisaks üksnes patsiendi 3D pildist ja
triipkoodist või numbrikombinatsioonist, mis on seotud konkreetse patsiendiga või on vajalik
edastada see pilt koos patsiendi isikuandmetega.
Läbipaistvuse põhimõte kohaselt peab olema andmetöötlejal koostatud andmekaitsetingimused
ning vajadusel andma täiendavat teavet, mille abil saab inimene ülevaate, kuidas tema
isikuandmeid töödeldakse. See tähendab, et patsiendile peab olema arusaadav, kes on tema
isikuandmete (sh terviseandmete) vastutav töötleja, kellele tema isikuandmeid võidakse edastada,
mis on edastamise eesmärk ja õiguslik alus. Andmekaitse tingimuste koostamisest saab täpsemalt
lugeda AKI veebilehelt. Läbipaistvuse kohta saab lugeda isikuandmete töötleja üldjuhendi 10.
peatükist.
Turvalisuse ja konfidentsiaalsuse põhimõte on sätestatud IKÜM artiklis 5 lõikes 1 punktis f, mida
täiendavad IKÜM artiklid 25 ja 32. Nimelt sätestab IKÜM artikkel 25, et andmetöötleja peab
rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid võttes arvesse teaduse ja tehnoloogia
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
viimast arengut ja rakendamise kulusid ning töötlemise laadi, ulatust, konteksti ja eesmärke,
samuti töötlemisest tulenevaid füüsiliste isikute õigusi ja vabadusi ähvardavaid erineva tõenäosuse
ja suurusega ohte. See tähendab, et andmetöötleja peab isikuandmete töötlemisel rakendama
lõimitud ja vaikimis andmekaitset. Lõimitud ja vaikimisi andmekaitse kohta saab täpsemalt lugeda
isikuandmete töötleja üldjuhendi 2. peatükist.
IKÜM artikkel 32 seejuures täpsustab, et andmetöötleja peab kasutusele võtma konkreetsed
turvameetmed, et tagada isikuandmete töötlemise turvalisus. Näiteks, üheks meetmeks on
isikuandmete krüpteerimine enne nende edastamist volitatud töötlejale. Andmeturbe kohta oleme
pikemalt kirjutanud siin. Soovitan tutvuda ka eelmisel aastal hambaravikliinikutes läbiviidud
andmekaitse auditi kokkuvõttega.
Turvalisuse ja üldise vastutuse vaatest on oluline määrata kindlaks ja kaardistada, kellele ja mis
isikuandmeid kliinik edastab. Volitatud töötlejaid võib olla erinevaid, näiteks labor kui ka 3D
skaneerimise ja printimise tarkvara kasutajalitsentsi haldajad, kes võivad kokku puutuda patsiendi
isikuandmetega. Volitatud töötlejatega tuleks sõlmida andmetöötluslepingud (IKÜM art 28 lg 3),
milles on reguleeritud vastutava ja volitatud töötleja vaheline suhe. Oluline on meelde jätta, et
vastutav töötleja (näiteks hambaravikliinik) peab valima sellised volitatud töötlejad, kes annavad
piisava tagatise, et nad rakendavad asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil,
et töötlemine vastaks isikuandmete kaitse määruses kehtestatud nõuetele.
Lisaks soovin rõhutada, et kui töötlete eriliiki isikuandmeid (näiteks terviseandmeid) vähemalt
5000 inimese kohta, tuleks teha andmekaitsealane mõjuhinnang. AKI on selle kohta koostanud
juhise, mis on leitav isikuandmete töötleja üldjuhendi 5. peatükis. Oluline on meelde jätta, et alla
5000 inimese andmete töötlemine ei tähenda automaatselt, et mõjuhinnang pole vajalik. Kui
töötlemise laad, ulatus, kontekst või eesmärk viitab sellele, et füüsilisele isikule võib tekkida suur
oht, tuleb mõjuhinnang siiski läbi viia olenemata inimeste arvust.
Kokkuvõtlikult tuleb teil läbi mõelda ja hinnata, milliseid andmetöötlustoiminguid läbi viite ning
millistel eesmärkidel ja õiguslikel alustel isikuandmete töötlemine toimub. Selge ülevaade
isikuandmetega tehtavatest toimingutest ning andmekaitse põhimõtete järgimine, aitavad
vähendada erinevaid riske, mis võivad isikuandmete töötlemisega kaasneda.
Loodan, et vastusest on abi.
Lugupidamisega
peadirektori volitusel
2 (2)