Leping

ISIKUANDMETE TÖÖTLEMISE LEPING Terviseamet (edaspidi Volitaja), registrikood 70008799, Paldiski mnt 81, 10617 Tallinn, keda esindab peadirektor Merike Jürilo ja Tervise ja Heaolu Infosüsteemide Keskus (edaspidi Volitatud Töötleja), registrikood 700097700, asukohaga Uus-Tatari 25, Tallinn 10134, keda esindab direktor Katrin Reinhold on sõlminud käesoleva isikuandmete töötlemise lepingu (edaspidi Leping): 1. Lepingu ese ja eesmärk 1.1. Lepingu esemeks on Volitaja ja Volitatud Töötleja (edaspidi koos nimetatud kui Pooled) vaheliste tingimuste sätestamine seoses isikuandmete töötlemisega Delta dokumendihaldussüsteemis. 1.2. Volitatud Töötleja töötleb punktis 2.1 kirjeldatud isikuandmeid kasutajatoe teenuse osutamiseks Volitatud Töötleja põhimääruse alusel, millele on Volitatud Töötlejal õigus saada ligipääs tööde teostamiseks vastavalt alapunktis 2 sätestatud piirangutele. 1.3. Punktis 1.2. nimetatud ülesande täitmiseks on Volitatud Töötleja isikuandmete töötlemisega seotud tegevused Lepingu alusel piiratud kasutajatoe teenuse osutamiseks vajalike tegevustega. 2. Isikuandmete töötlemise tingimused 2.1. Volitatud Töötlejale võivad kokku lepitud tööde teostamise käigus nähtavaks saada dokumendihaldussüsteemi Delta metaandmete kujul sisestatud järgmised isikuandmed nii Volitaja kui ka Volitaja klientide ja koostööpartnerite osas: 2.1.1. Isikutega seotud andmed, nt isiku nimi, sünniaeg, isikukood, isikut tõendava dokumendi andmed; 2.1.2. kontaktandmed, nt aadress, telefoninumber ja e-posti aadress; 2.1.3. ameti- ja kutsesaladust puudutav teave. 2.2. Kasutajatoe teenuse osutamise raames teatavaks saanud isikuandmete mistahes viisil (nii kirjalik kui suuline) teatavakstegemine kasutajatoe teenuse täitmisega mitteseotud isikutele on keelatud. 2.3. Volitatud Töötleja võib Volitaja dokumendihaldussüsteemis Delta sisalduvaid isikuandmeid töödelda ainult õigustatud vajadusest lähtuvalt seoses dokumendihaldussüsteemi Delta kasutajatoe teenuse osutamiseks. Töötlemine peab toimuma minimaalses mahus ja jääma konkreetse töötaja ametialase pädevuse piiridesse. 2.4. Isikuandmeid töödeldakse viisil, mis tagab isikuandmete piisava turvalisuse, sealhulgas kaitse lubamatu või ebaseadusliku töötlemise ja juhusliku kadumise, hävimise või kahjustumise eest, rakendades selleks vajalikke tehnilisi või korralduslike meetmeid ning tegutsedes isikuandmete kaitse üldmäärusest tulenevate andmesubjektide õiguste alusel. 2.5. Isikuandmete edastamine kolmandatele isikutele on keelatud. 3. Volitatud Töötleja kohustused 3.1. Volitatud Töötleja on kohustatud: 3.1.1. tagama Lepingueelsete läbirääkimiste ja Lepingu täitmise käigus Volitajalt ükskõik mis vormis saadud teabe (sh andmed, tehingudokumentatsiooni ja know-how) konfidentsiaalsuse ning ei edasta ega võimalda sellele teabele juurdepääsu kolmandale isikule ilma Volitaja sellekohase selgesõnalise kirjaliku nõusolekuta; 3.1.2. tagama, et punktis 3.1.1. nimetatud isikuandmeid ei edastata väljapoole Euroopa Liidu liikmesriikide ja Euroopa Majandusühendusse kuuluvate riikide territooriumi ilma Volitaja sellekohase selgesõnalise kirjaliku nõusolekuta; 3.1.3. kasutama ja töötlema punktis 3.1.1. nimetatud isikuandmeid üksnes Lepingu täitmiseks ja Volitaja dokumenteeritud juhiste alusel, välja arvatud juhul, kui Volitatud Töötleja on kohustatud teavet töötlema Volitatud Töötleja suhtes kohalduva õiguse alusel. Viimati nimetatud juhul teavitab Volitatud Töötleja Volitajat vastava kohustuse olemasolust enne teabe töötlemist; 3.1.4. võimaldama juurdepääsu punktis 3.1.1. nimetatud isikuandmetele ainult nendele isikutele, kellel on selleks oma tööülesannete täitmiseks vajadus ning tagab, et need isikud on teadlikud ning järgivad isikuandmete töötlemisalaseid nõudeid ja õigusakte, nad on saanud asjakohase koolituse eelmainitud nõuete kohta, on võtnud endale konfidentsiaalsuskohustuse või neile kehtib asjakohane seadusest tulenev konfidentsiaalsuskohustus; 3.1.5. täitma kõiki kehtivaid isikuandmete töötlemisalaseid nõudeid, andmete turvalisust puudutavaid ning isikuandmete kaitse alaseid Euroopa Liidu ja Eesti Vabariigi õigusakte ja muid eeskirju; 3.1.6. rakendama alltoodud organisatsioonilisi, füüsilisi ja infotehnilisi turvameetmeid punktis 3.1.1. nimetatud isikuandmete kaitseks juhusliku või tahtliku volitamata muutmise; juhusliku hävimise ja tahtliku hävitamise eest ning õigustatud isikule andmete kättesaadavuse takistamise eest, volitamata töötlemise, sh avalikustamise eest: 3.1.6.1. vältima kõrvaliste isikute ligipääsu isikuandmete töötlemiseks kasutatavatele seadmetele; 3.1.6.2. ära hoidma andmete omavolilist lugemist, kopeerimist ja muutmist andmetöötlussüsteemis, samuti andmekandjate omavolilist teisaldamist; 3.1.6.3. ära hoidma isikuandmete omavolilist salvestamist, muutmist ja kustutamist ning tagama, et tagantjärele oleks võimalik kindlaks teha, millal, kelle poolt ja milliseid isikuandmeid salvestati, muudeti või kustutati või millal, kelle poolt ja millistele isikuandmetele andmetöötlussüsteemis juurdepääs saadi; 3.1.6.4. tagama, et igal andmetöötlussüsteemi kasutajal oleks juurdepääs ainult temale töötlemiseks lubatud isikuandmetele ja temale lubatud andmetöötluseks; 3.1.6.5. tagama andmete olemasolu isikuandmete edastamise kohta: millal, kellele ja millised isikuandmed edastati, samuti selliste andmete muutusteta säilimise; 3.1.6.6. tagama, et isikuandmete edastamisel andmesidevahenditega ja andmekandjate transportimisel ei toimuks isikuandmete omavolilist lugemist, kopeerimist, muutmist või kustutamist; 3.1.6.7. pidama arvestust isikuandmete töötlemisel kasutatavate tema kontrolli all olevate seadmete ja tarkvara üle, dokumenteerides järgmised andmed: 1) seadme nimetus, tüüp ja asukoht ning seadme valmistaja nimi; 2) tarkvara nimetus, versioon, valmistaja nimi ja kontaktandmed. 3.1.7. teavitama Volitajat toimunud või põhjendatult kahtlustatavast Lepingu punktis 3.1.4. sätestatud konfidentsiaalsuskohustuse rikkumisest; 3.1.8. teavitama Volitajat Lepingu punktides 3.1.6.1.-3.1.6.7. turvameetmete rikkumisest, mis põhjustab, on põhjustanud või võib põhjustada edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu, viivitamata kirjalikult, kuid mitte hiljem kui kakskümmend neli tundi pärast sellest teada saamist. Juhul, kui rikkumisest teadasaamine langeb nädalavahetusele või riiklikule pühale, kohustub Volitatud Töötleja Volitajat kirjalikult teavitama viivitamatult, kuid mitte hiljem kui nelikümmend kaheksa tundi pärast rikkumisest teada saamist. Kirjeldatud teates tuleb vähemalt: 1) kirjeldada isikuandmetega seotud rikkumise laadi, sealhulgas puudutatud andmesubjektide liike ja arvu ning puudutatud kirjete liike ja arvu; 2) teatada andmekaitsespetsialisti või mõne teise täiendavat teavet andva kontaktisiku nimi ja kontaktandmed; 3) soovitada meetmeid isikuandmetega seotud rikkumise võimalike negatiivsete mõjude leevendamiseks; 4) kirjeldada isikuandmetega seotud rikkumise võimalikke tagajärgi; 5) kirjeldada Volitatud Töötleja poolt pakutud või võetud meetmeid isikuandmetega seotud rikkumisega tegelemiseks ja 6) esitada muud teavet, mis on mõistlikult nõutav, et Volitaja saaks täita kohaldatavaid andmekaitse õigusakte, sealhulgas riigiasutustega seotud teavitamise ja avaldamise kohustusi, näiteks teavet, mis on nõutav andmesubjekti tuvastamiseks. 3.1.9. lõpetama punktides 3.1.7. või 3.1.8. nimetatud rikkumise ning kohaldama meetmeid isikuandmetega seotud rikkumise lahendamiseks, sealhulgas vajaduse korral rikkumise võimaliku kahjuliku mõju kõrvaldamiseks ja leevendamiseks; 3.1.10. kustutama Lepingu lõppemisel kõik punktis 3.1.1. nimetatud isikuandmed ja nimetatute koopiad 30 päeva jooksul, v.a juhul, kui õigusaktidest tuleneb teisiti; 3.1.11. tegema Volitajale kättesaadavaks kogu teabe, mida Volitaja peab vajalikuks Lepingus sätestatud kohustuste täitmise tõendamiseks; 3.1.12. võimaldama Volitajal või Volitaja poolt volitatud audiitoril teha auditeid ja kontrolle ning panustama nendesse. 4. Lõppsätted 4.1. Volitatud Töötleja ei või oma lepingujärgseid kohustusi anda üle kolmandale isikule ega kaasata oma Lepingujärgsete kohustuste täitmiseks kolmandat isikut, välja arvatud Registrite ja Infosüsteemide Keskusele (edaspidi RIK). Volitatud Töötleja võib RIKi kaasata nimetatud tööde teostamiseks, milleks lepivad Volitatud Töötleja ja RIK kokku isikuandmete töötlemise tingimustes 4.2. Käesoleva Lepingu punktis 3.1.4. nimetatud kohustus jääb kehtima ka pärast käesoleva Lepingu lõppemist. 4.3. Käesoleva Lepingu punktis 3.1.4. sätestatud konfidentsiaalsuse nõue ei laiene teabe avaldamisele Volitatud Töötleja audiitorile ja advokaadile. 4.4. Leping on kehtiv Poolte poolt allkirjastamisest kuni kehtetuks tunnistamiseni. Volitaja: Volitatud Töötleja: /Allkirjastatud digitaalselt/ /Allkirjastatud digitaalselt/