ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Ministeeriumid, ametid,
inspektsioonid 18.04.2018 nr 2.1-5/18/
Ringkiri isikuandmete kaitse üldmääruse rakendamise kohta
Alates 25.05.2018 jõustub uus Euroopa Liidu isikuandmete kaitse üldmäärus. Et selleks
valmis olla tuletame veel kord meelde, millised kõige olulisemad tegevused peaksid olema
juba tehtud või kui veel ei ole tehtud, siis millega peaks tegelema kiiremas korras.
1. Asutusel peaks olema määratud andmekaitsespetsialist. Sellest tuleb teavitada
Andmekaitse Inspektsiooni Äriregistri ettevõtjaportaali kaudu.
2. Läbi viidud olemasoleva infovara kaardistamine, et koostada/uuendada omavahel
seotud dokumendid:
a) bilansi-laadne andmetöötluse register üldmääruse art 30 kohaselt (inspektsioonile
seda esitama ei pea, kuid inspektsioonil on õigus seda välja nõuda). Lihtsamad
näidised leiate meie võrgulehelt;
b) avaandmete mõjuhinnang AvTS § 31 (miks ja kuidas Teie asutus annab või ei anna
oma avalikku digiandmestikku avaandmeteks);
c) avalikkusele suunatud andmetöötlustingimused üldmääruse art 12 kohaselt.
Avaliku teabe seaduse § 28 lg 1 p 311 kohaselt tuleb see avaldada asutuse
veebilehel;
d) riskianalüüs turvameetmete võtmiseks küberturvalisuse seaduse kohaselt;
e) ülevaade infovara kohta vastavalt „Teenuste korraldamise ja teabehalduse“
määruse §-le 12;
f) dokumentide liigitusskeem vastavalt „Arhiivieeskirja“ §-dele 6-8.
3. Selle kaardistuse põhjal saate võtta vajalikke meetmeid, et olla valmis:
a) iseenda andmete kohta esitatud päringuteks. Võib eeldada, et peale üldmääruse
jõustumist pöördub teie poole rohkem isikuid, kes soovivad oma andmete
kustutamist. Õigus nõuda oma andmete kustutamist kehtib ka praegu. Kustutamist
saab siiski nõuda nende andmete osas, mida töödeldakse nõusoleku alusel või
mille töötlemiseks puudub õiguslik alus. Kui andmeid töödeldakse (sh säilitatakse)
seaduse alusel, siis selliste andmete kustutamist nõuda ei saa;
b) rikkumisteadete esitamiseks oluliste rikkumiste kohta inspektsiooni võrgulehe
kaudu;
c) küberintsidentidest teatamiseks Riigi Infosüsteemi Ametile.
4. Üldmääruse artikkel 35 kohustab andmetöötlejaid viima enne isikuandmete töötlemise
alustamist läbi andmekaitsealase mõjuhinnangu. Kuigi enne 25. maid alustatud
isikuandmete töötlemisele mõjuhinnangu läbiviimise kohustus ei laiene, v.a juhul kui
töötlemistoimingute põhimõtted oluliselt muutuvad, soovitame vastava mõjuhinnangu
siiski teha. Läbi selle saab kõige parema ülevaate, kas organisatsiooni tegevus vastab
andmekaitse üldmääruse nõuetele.
Väike-Ameerika 19 / 10129 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Kõik inspektsiooni juhised ja seisukohad jõustuva isikuandmete kaitse üldmääruse osas on
leitavad Andmekaitse Inspektsiooni võrgulehelt „Andmekaitse reform“ ning avaliku teabe
nõukogu (ministeeriumite esindajate ühisorgan avaliku teabe ja isikuandmete kaitse alal)
alt, mida täiendame jooksvalt. Vajadusel küsige nõu ka oma ministeeriumi esindajalt
nõukogus.
Lugupidamisega
/allkirjastatud digitaalselt/
Viljar Peep
peadirektor
2 (2)