ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp TTO-de kliendikeskkonna
teenusepakkuja
26.05.2025 nr 2.1.-4/25/476-1676-1
TTO-de kasutatavate kliendisuhtluskeskkondade seire
Andmekaitse Inspektsioon (AKI) on algatanud omaalgatusliku seire, et saada ülevaade
isikuandmete töötlemisest tervishoiuteenuse osutajate (TTO) poolt kasutatavates
kliendisuhtluskeskkondades. Seire läbiviimise põhjuseks on asjaolu, et AKI on täheldanud
erinevates valdkondades (sh tervishoius) teenuste kasutamist ilma, et seda oleks reguleeritud
kirjalike andmetöötluslepingutega.
Eesmärk on kaardistada TTO-dele pakutavates kliendisuhtluskeskkondades isikuandmete
töötlemisega kaasnevad võimalikud kitsaskohad. Seire küsimuste vastustest lähtuvalt on võimalik
koostada tagasiside ja vajadusel konkreetsed soovitused kliendisuhtluskeskkondade
teenusepakkujatele ja TTO-dele.
AKI viib seire läbi isikuandmete kaitse üldmääruse art 58 ja isikuandmete kaitse seaduse § 56
alusel ning seetõttu on küsimustele vastamine Teile kohustuslik.
Käesolev kiri on saadetud koopiana ka kliendikeskkondade teenusepakkujate poolt äriregistrisse
kantud andmekaitsespetsialistidele, kui see oli märgitud.
Palun vastata alljärgnevatele küsimustele hiljemalt 30.06.2025 e-posti aadressil
[email protected]:
1. Palun selgitage, millisel eesmärgil Teie kliendisuhtluskeskkonda kasutatakse ja milliseid
funktsioone seejuures kasutada saab? Näiteks broneerimine, patsiendi pöördumine ja
tagasiside, failde edastamine, videovastuvõtt jm.
2. Millised TTO-d kasutavad Teie kliendisuhtluskeskkonda, palun lisage TTO nimi,
registrikood, kontaktandmed ja tooge välja milliseid funktsioone vastav TTO kasutada saab
(nt broneerimine, patsiendi pöördumine ja tagasiside, videovastuvõtt jm)?
3. Kas kõigi TTO-dega on sõlmitud kirjalikud andmetöötluslepingud? Kui ei, siis palun
selgitage.
4. Isikuandmete kaitse üldmäärus1 (IKÜM) eristab andmetöötlejana vastutavat,
kaasvastutavat ja volitatud töötlejat (IKÜM artiklid 24, 26, 28). Millised on Teie ettevõtte
ja TTO vahelised rollid Teie vahel sõlmitud lepingu puhul (nt vastutav töötleja,
kaasvastutav töötleja, volitatud töötleja)? Kas olete sõlminud vastavalt omavahelisele
rollile TTO-ga kokkuleppe või lepingu isikuandmete töötlemise osas ning kui jah, siis
millises vormis? Tooge iga TTO juures välja, milline on Teie omavaheline rollijaotus.
1
Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679.
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
5. Milliseid andmeid säilitatakse kliendisuhtluskeskkonnas, kui kaua andmeid säilitatakse,
kellel on andmetele ligipääs?
6. Millised võimalused on keskkonda sisse logimiseks (nt ID-kaart, SmartID, salasõna jne)?
7. Kas Te olete saanud otse andmesubjektilt või aidanud TTO-l lahendada IKÜM artikli 15
kohaseid taotlusi andmetega tutvumiseks kliendisuhtluskeskkonnaga seoses? Kui jah, siis
palun esitage ligikaudne taotluste arv 2024. aastal.
8. Kas Teie ettevõttel on eelnevalt määratud protsess andmetega tutvumise taotluse
käsitlemisel kooskõlas IKÜM artikliga 15. Kui jah, siis palun kirjeldage taotluste
lahendamise protsess (alates taotluse saamisest kuni taotluse lahendamiseni), kui
ettevõttele laekub andmetega tutvumise taotlus kliendisuhtluskeskkonnaga seoses?
9. Palun kirjeldage, kas kliendisuhtluskeskkonnas saab TTO määrata kasutajatele erinevad
rollid (nt administraator, kellel rohkem õiguseid)?
10. Kas keskkonna kasutamist logitakse?
- Kui jah, siis palun kirjeldage, millal ja millised logid tekivad.
- Kui ei, siis palun põhjendage, miks ei logita.
11. Kas Teie ettevõtte kasutab andmeid (TTO poolt sisestatud isikuandmeid või TTO-ga
suhtlemiseks andmesubjekti poolt sisestatud isikuandmeid) edasi muul eesmärgil iseseisva
vastutava töötlejana (nt süsteemi testimiseks, otseturustuseks vm)?
- Kui jah, siis palun selgitage, millisel eesmärgil andmesubjekti isikuandmeid veel
töödeldakse.
- Kui jah, siis millisel õiguslikul alusel algsest erineval eesmärgil töötlemine toimub.
- Kui jah, siis kas ja kuidas andmesubjekte on teavitatud teisel eesmärgil isikuandmete
töötlemisest.
12. Kas Teie ettevõtte kasutab alltöötlejaid kliendikeskkonnaga seotud isikuandmete
töötlemisel?
- Kui jah, siis palun lisage alltöötleja nimi, registrikood, asukoht ja alltöötleja kasutamise
eesmärk.
- Kas olete teadlik, kus alltöötleja isikuandmeid töötleb (serveri asukoht) ja kust
andmetele juurde pääseb?
13. Kas 2024. või 2025. a jooksul olete kliendikeskkonnas läbi viinud või tellinud turvaauditi,
mis on hinnanud Teie andmetöötlussüsteemide turvalisust? Kui jah, siis mis oli auditi
tulemus, järeldused ja järeltegevused?
14. Loetlege tegevused, mida rakendate igapäevaselt andmetöötlussüsteemide
turvalisuse tagamisel, mõjude ennetamisel ja leevendamisel.
15. Palun esitage omapoolsed selgitused ja arvamus, mida peate vajalikuks seire raames lisada.
Lugupidamisega
(allkirjastatud digitaalselt)
Kirsika Lääts
jurist
peadirektori volitusel
2 (2)
ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp juhatuse liige
VIVEO Health OÜ
[email protected] 08.08.2025 nr 2.1.-4/25/476-1676-6
Meeldetuletus TTO-de kasutatavate kliendisuhtluskeskkondade seire küsimustele
vastamiseks
Andmekaitse Inspektsioon (AKI) on algatanud omaalgatusliku seire, et saada ülevaade
isikuandmete töötlemisest tervishoiuteenuse osutajate (TTO) poolt kasutatavates
kliendisuhtluskeskkondades.
Tuletame meelde, et saatsime VIVEO Health OÜ-le seire raames küsimused 26.05.2025 kirjaga
nr 2.1.-4/25/476-1676-1, millele palusime vastata hiljemalt 30.06.2025. VIVEO Health OÜ poolt
ei ole seire küsimustele vastuseid 08.08.2025 seisuga saadetud ning vastamise tähtaja pikendamist
ei ole taotletud.
AKI viib seire läbi isikuandmete kaitse üldmääruse art 58 ja isikuandmete kaitse seaduse § 56
alusel ning seetõttu on küsimustele vastamine Teile kohustuslik.
Eelnevast tulenevalt palun anda AKI-le tagasisidet, millal esitate seire küsimustele vastused.
Palun AKI pöördumisele vastata hiljemalt 21.08.2025 e-posti aadressil
[email protected].
Lugupidamisega
Kirsika Lääts
jurist
peadirektori volitusel
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235