Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Siim Viin Teie 04.09.2025 Transpordiamet [email protected] Meie 26.09.2025 nr 2.2.-1/25/37-2 Puuduste kõrvaldamiseks tähtaja määramine Andmekaitse Inspektsioon (AKI) menetluses on Transpordiameti (TRAM) taotlus uuringus „Eesti elanike liikuvusuuring 2025“ isikuandmete töötlemiseks andmesubjekti nõusolekuta. Tutvunud teie taotlusega, palun taotlust täiendada vastavalt alljärgnevale: 1. Isikuandmete kaitse seaduse (IKS) § 6 lõike 4 kohaselt kontrollib asjaomase valdkonna eetikakomitee IKS paragrahvis 6 sätestatud tingimuste täitmist, kui uuring põhineb eriliiki isikuandmetel. Taotluse kohaselt töödeldakse uuringus eriliiki isikuandmeid ning taotlus on esitatud kooskõlastamiseks eetikakomiteele. Palun edastage Andmekaitse Inspektsioonile eetikakomitee otsus, kui olete selle saanud. 2. Taotluse punktis 4 on kirjeldatud isikuandmete töötlemise eesmärk. Isikuandmete kaitse üldmääruse1 (IKÜM) artikli 5 lg 1 punkti b) kohaselt kogutakse isikuandmeid täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. IKS § 6 lg 5 alusel loetakse teadusuuringuks ka täidesaatva riigivõimu poliitika kujundamise eesmärgil läbiviidavad uuringud ja analüüsid. Uuringuna saab käsitleda mingi probleemi või uurimisküsimuse lahendamisele suunatud ajaliselt piiratud ning teadustöö vahendite ja meetodite abil läbiviidavat tegevust. See tähendab, et uuringul peab olema selge eesmärk, mille täitmiseks isikuandmeid töödeldakse. TRAM taotluse punktis 4 kirjeldatud tegevuse puhul jääb uuringu eesmärk ebaselgeks. Uuringuga kogutavate andmete analüüsimine ei saa olla iseseisev eesmärk ning eraldiseisva eesmärgina on küsitav ka andmete kogumine mudeli loomiseks. Seetõttu palume täpsustada uuringu eesmärke, st millistele probleemidele või uurimishüpoteesidele uuringu abil lahendusi või kinnitust otsitakse. 3. Küsitluse läbiviimiseks kavandatakse isikute nõusolekuta kontaktandmete pärimist rahvastikuregistrist. IKÜM artikli 5 lg 1 punkti c) järgi peab andmetöötlus vastama minimaalsuse põhimõttele ehk töödelda võib andmeid eesmärgi saavutamiseks võimalikult väheses mahus. TRAM soovib planeeritud vastajate hulga saavutamiseks pärida rahvastikuregistrist kontaktandmeid 20 – 25-kordses mahus. AKI hinnangul ei vasta see IKÜM minimaalsuse nõuetele. Uuringutes on tavapärane ca 10% ülekattega valimi väljavõtt. Ka juhul, kui saadavate andmete kvaliteet või tõenäoline vastamisaktiivsus on eeldatavalt madal, tuleb leida minimaalsusnõude järgimist soodustavad meetodid. Näiteks erinevate küsitlusmeetodite kasutamine, valimivõtu vajaduspõhine, ajaline, proportsionaalne jms jaotamine. Palume planeeritud valimivõtu kriteeriume ja vajadust kriitiliselt hinnata ning põhjendada, viidates vastava metoodika allikale ja korrigeerida. 1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 4. Taotluses on läbivalt öeldud, et küsitlusandmed on anonüümsed. AKI selgitab, et anonüümsed on andmed, mis on muudetud anonüümseks sellisel viisil, et üksikisikut ei ole või enam ei ole võimalik tuvastada mis tahes mõistlikult tõenäoliselt kasutatava vahendi abil. See tähendab, et andmed on täielikult ja pöördumatult konkreetse füüsilise isikuga seostamatud. Küsitlusankeediga kogutavate andmete koosseisu ja detailsust hinnates ei saa andmestikku anonüümseks pidada, kuivõrd kogumis ei ole välistatud konkreetse isiku tuvastamine. Ka TRAM möönab taotluses, et kaudse tuvastamise võimalus on olemas. Sellisel juhul on tegemist pseudonüümsete isikuandmetega, mille töötlemise suhtes kehtivad kõik IKÜM nõuded. Seega tuleb kavandatav andmetöötlus vastavalt eeltoodule üle hinnata ja vajadusel korrigeerida. 5. TRAM kavandab küsitlusega kogutud isikuandmeid säilitada tähtajatult. Isiku nõusoleku alusel isikuandmete säilitamine tähtajatult peab olema tõepoolest põhjendatud ja vajalik. AKI juhib tähelepanu, et nõusoleku võib andmesubjekt igal ajal tagasi võtta, misjärel tuleb andmetöötlus lõpetada. Taotlusest ei nähtu selliseid kaalutlusi või põhjendusi, mis õigustaks andmete tähtajatut säilitamist. Palume säilitamise vajadus läbi mõelda ja vajadusel korrigeerida. Lisaselgitusena märgime, et isikuandmete töötlemine on Eesti Vabariigi põhiseaduse (PS) §-s 26 sätestatud eraelu puutumatuse riive, mis isiku nõusoleku puudumisel on lubatud ainult seaduse alusel (PS § 3 ja § 11). Seega muul õiguslikul alusel peab isikuandmete tähtajatu säilitamise õigus või ka säilitamise tähtaeg olema põhjendatud kaalutlustel kehtestatud seadusega. 6. Taotluse punktides 10.2. ja 10.3. on toodud erinevad kontaktandmete ja koodivõtme kustutamise tähtajad. Palun täpsustada. 7. AKI juhib tähelepanu, et uuringusse kutsumisel tuleb isikule arusaadavalt eristada uuringus osalemise nõusolekut ja isikuandmete töötlemise nõusolekut. Tulenevalt IKÜM artiklist 7 ja arvestades põhjendusega 32 peab isikuandmete töötlemiseks kehtiv andmesubjekti nõusolek olema antud aktiivses vormis vabatahtlik, ühemõtteline, konkreetne ja teadlik tahteavaldus. Vaikimist, eelnevalt märgistatud lahtreid, tegevusetust või muude otsustustega seotud tegevust ei saa pidada asjakohaseks nõusolekuks. Andmesubjekti kehtiva nõusoleku olemasolu tõendamise kohustus on isikuandmete vastutaval töötlejal. Palume nende nõuetega arvestada ja uuringu tingimusi täiendada. 8. Taotluse punkti 11 kohaselt andmesubjekte nende isikuandmete töötlemisest ette ei teavitata, vaid kutse saatmisel saab isik teabe uuringu andmekaitsetingimuste kohta. Isikuandmete kaitse üldmääruse üheks oluliseks põhimõtteks on läbipaistvuse põhimõte. Läbipaistvuse tagamiseks tuleb andmesubjekte isikuandmete töötlemisest teavitada vastavalt IKÜM artiklitele 12 – 14 konkreetselt selles uuringus toimuvast andmetöötlusest. Üldmäärus küll kehtestab ka andmesubjektide teavitamata jätmise alused, kuid neid saab rakendada pigem erandlikel asjaoludel. Antud uuringu taotluses ei nähtu selliseid erandlikke asjaolusid, mis takistavad isikute teavitamist. Teavitada on võimalik läbi (sotsiaal)meedia, ministeeriumi vm asutuse kodulehe kaudu vms viisil. Taotluse punktis 11.3. on ka teave, et volitatud töötleja veebilehel avaldatakse konkreetse uuringu andmekaitsetingimused. Soovitame sel juhul lisada uuringu info ja andmekaitsetingimused enne uuringu algust ka vastutava töötleja TRAM veebilehele, mis aitaks oluliselt kaasa läbipaistvuse põhimõtte rakendamisele ja andmesubjektide teavitamisele. Kui leiate, et ka üldine eelnev andmesubjektide teavitamine võimalikuks ei osutu, palun seda otsust põhjendada. 9. Palun esitada andmekaitsealane mõjuhinnang või kui seda ei ole koostatud või ei koostata, siis palun seda otsust põhjendada, arvestades isikuandmete kaitse üldmääruse artiklis 35 sätestatuga. Taotluse punktist 9 nähtuvalt on hetkeseisuga uuringu valimiks, kelle andmeid töödeldakse, 243 975 isikut. IKÜM art 35 lg 1 kohaselt peab isikuandmete vastutav töötleja hindama enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb olukorrad, millal andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu koostamine kohustuslik, kui toimub füüsiliste isiklike aspektide 2 (3)  süstemaatiline ja ulatuslik hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut, samuti ka eriliigiliste isikuandmete ulatuslik töötlemine. Inspektsiooni koostatud isikuandmete töötleja üldjuhendis2 on selgitatud, mis on süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure ohu kohta. Juhendis on viidatud suunistele3, mis käsitlevad andmekaitsealast mõjuhinnangut. Olemasolevast teabest lähtuvalt palun hinnata, kas käesoleval juhul on mõjuhinnangu koostamine vajalik ja kui on, siis palun see koostada. Kui mitte, siis palun tuua esile sellekohased kaalutlused. AKI märgib täiendavalt, et kui uuringu eesmärk täpsustub võib inspektsioonil sellest tulenevalt tekkida täiendavaid küsimusi või ettepanekuid. Palun esimesel võimalusel, kuid hiljemalt 17.10.2025 taotluses esinevad puudused kõrvaldada ning täpsustused taotlusvormile sisse viia. Muudatused palun algtekstist eristada. Vastus palun saata aadressil [email protected]. Tähtajaks puuduste kõrvaldamata jätmise korral võib AKI vastavalt haldusmenetluse seaduse § 15 lõikele 3 jätta taotluse läbi vaatamata. Lugupidamisega (allkirjastatud digitaalselt) Anu Suviste jurist peadirektori volitusel 2 https://www.aki.ee/isikuandmed/juhendid/isikuandmete-tootleja-uldjuhend 3 https://ec.europa.eu/newsroom/article29/items/611236 3 (3)