Pöördumine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Marke Teppor Teie: 25.01.2017 Kaitseressursside Amet [email protected] Meie: 07.02.2017 2.1.-5/17/186 Maneeži 3 10117 Tallinn Vastus nõudekirjale Andmekaitse Inspektsioonis registreeriti 25.01.2017 Teie nõudekiri, milles soovite teada, kas delikaatsete isikuandmete töötlemiseks on vaja andmesubjekti digitaalselt allkirjastatud nõusolekut. 30.01.2017 edastasite Andmekaitse Inspektsioonile palutud täpsustava info terviseandmete juurdepääsu nõusoleku andmisele kaasnevate selgituste kohta ja pildid infosüsteemi testkeskkonnast. Isikuandmete töötlemiseks antav andmesubjekti nõusolek peab vastama IKS § 12 lõigetes 1-4 sätestatud tingimustele. Mainitud sätted ei nõua nõusoleku allkirjastamist. Samuti ei näe andmete töötlemiseks nõusoleku andmise allkirjastamist ette alates 2018. aasta maist kohaldamisele kuuluv Euroopa andmekaitse üldmääruse1 artikkel 7. Siiski soovitan nõusoleku andmise vorm ja tehniline toestus (sh digiallkirjastamise vajadus) kooskõlastada Sotsiaalministeeriumiga, tagamaks, et infosüsteemides nõusolekute andmise võimalused oleksid võimalikult sarnased ja arusaadavad ning et isikutel oleks võimalikult lihtne saada ülevaade enda antud nõusolekutest. Lisaks tegin mõningad muudatused Teie saadetud infotekstis, et sellest tuleks paremini välja terviseandmete edastamise erinevad võimalused. Senise teksti puhul võib süvenemata ekslikult jääda mulje, et terviseandmetele juurdepääsu andmise nõusolek on kohustuslik. Soovitan infosüsteemis seni kuvatav selgitus asendada uue väljapakutuga ja mitte jätta dubleerima kahe sarnase sõnastusega teksti. Lugupidamisega /allkirjastatud digitaalselt/ Liisa Ojangu inspektor peadirektori volitusel 1 EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). Arvutivõrgus kättesaadav: http://eur-lex.europa.eu/legal- content/ET/TXT/PDF/?uri=OJ:L:2016:119:FULL&from=ET. Väike-Ameerika 19 / 10129 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  üldine valik esilehel – „Terviseandmete avamine“ Kaitseväeteenistuses vastutab Sinu tervise eest riik. Ülevaade terviseandmetest tagab, et komisjonide arstid hindavad õigesti Sinu terviseseisundi vastavust nõuetele ja sobivust sõjaväeliseks väljaõppeks. Sel moel saab riik parimal moel Sinu tervise eest hea seista. Meile terviseandmete esitamine on kohustuslik. Selleks on Sul kaks võimalust. Sa ise avad oma terviseandmed patsiendiportaalis. Selleks pead ID-kaarti või mobiil-IDd kasutades PIN2-ga allkirjastama patsiendiportaalis nõusoleku. Avatud terviseandmeid saavad pärida Kaitseressursside Ameti arstlik komisjon, Kaitseväe arstlik komisjon ja Kaitseministeeriumi arstlik vaidekomisjon. Komisjonid kasutavad andmeid Sinu terviseseisundi hindamiseks kaitseväeteenistuse seaduses ja Kaitseliidu seaduses sätestatud eesmärkide täitmiseks ja korras. Päringu tulemusel näevad komisjoni arstid kõiki Sinu terviseandmeid viimase viie aasta lõikes. Varasemaid andmeid näevad arstid ainult nende diagnooside ja operatsioonide kohta, mis on nimetatud tervise infosüsteemi päringuid reguleerivas kaitseministri määruses. Päringus ei kajastu lõpetamata haigusjuhtude andmed. See tähendab, et Sinu kõige värskemad terviseandmed ei pruugi olla komisjoni arstidele kättesaadavad, kui Sinu raviarst ei ole epikriisi patsiendiportaali saatnud. Selle info pead komisjoni arstidele kirjalikul kujul ise edastama. Lisaks terviseandmete avamisele on Sul võimalus täita tervisedeklaratsioon, mis jääb pärast Sinu poolt allkirjastamist portaalis komisjoni arstide päringule avatuks 90 päeva jooksul. Tervisedeklaratsiooni on võimalik igal ajal muuta ning nähtav on viimane allkirjastatud versioon. Nõusoleku võid igal ajal patsiendiportaalis tagasi võtta. Nõusoleku andmisest loobumisel või selle tagasi võtmisel pead oma terviseandmed komisjonile esitama paberil või mõnel muul kirjalikul kujul. Lisainfo:  Kaitseressursside Ameti arstlik komisjon www.kra.ee/ajateenistus/arstlik-komisjon/  Kaitseväe koduleht www.mil.ee  Kaitseministeeriumi koduleht www.kaitseministeerium.ee  Kaitseväeteenistuse seadus https://www.riigiteataja.ee/akt/108072016008?leiaKehtiv  Kaitseliidu seadus https://www.riigiteataja.ee/akt/116062016010?leiaKehtiv  Kaitseväe arstliku komisjoni, Kaitseressursside Ameti arstliku komisjoni ja Kaitseministeeriumi arstliku vaidekomisjoni ülesannete täitmiseks vajalike tervise infosüsteemi andmete loetelu ja päringute perioodid https://www.riigiteataja.ee/akt/121122016028  Tervise ja Heaolu Infosüsteemide Keskuse TEHIK [email protected] Teie nr Meie 12.04.2017 nr 1.5-1.1/1635-1 Patsiendiportaalis nõusoleku andmine KRA ligipääsuks terviseandmetele Lugupeetud Katrin Reinhold Toetudes Andmekaitseinspektsiooni (Lisa 1) ja Riigi Infosüsteemi Ameti (Lisa 2) seisukohale palume Riikliku Patsiendiportaalis Kaitseressursside Ametile terviseandmete ligipääsuks nõusolekut andes kasutajalt PIN2 sisestamist mitte nõuda. Lugupidamisega (allkirjastatud digitaalselt) Imbi Kivi-Sild Osakonna juhataja Lisad: 1. Vastus SoM 04.04.2017.docx 2. Lisa 2 AKI vastus KRAle.bdoc Tõnis Jaagus 6269 729 [email protected] Gonsiori 29 / 15027 Tallinn / 626 9301 / [email protected] / www.sm.ee / registrikood 70001952  Lp Mai-Liis Kullama Digitaalvõimekuse arendamise osakonna õigusnõunik Sotsiaalministeerium [email protected] Vastus pöördumisele Riigi Infosüsteemi Ameti vastus Teie poolt esitatud küsimusele digitaalallkirja nõude kohta on järgmine. Andmesubjekti nõusolek isikuandmete töötlemiseks on andmesubjekti tahteavaldus, millega ta lubab oma isikuandmeid töödelda.1 Nõusolek delikaatsete isikuandmete töötlemiseks peab olema kirjalikku taasesitamist võimaldavas vormis.2 Kuivõrd tahteavalduse esitamise vorminõudeid ei ole isikuandmete kaitse seaduses täpsemalt reguleeritud, tuleb vastavate nõuete sisustamisel juhinduda tsiviilseadustiku üldosa seaduse üldregulatsioonist. Kui seaduse kohaselt on nõutav tehingu kirjalikku taasesitamist võimaldav vorm, peab andmesubjekti nõusolek olema küll tehtud püsivat kirjalikku taasesitamist võimaldaval viisil, kuid ei pea olema omakäeliselt allkirjastatud.3 Omakäelise allkirja nõue on sätestatud reeglina tehingu kirjaliku vormi puhuks.4 Selgitame, et elektroonilise suhtluse puhul on omakäelise allkirjaga võrdsustatud digitaalallkiri, mis vastab kvalifitseeritud e-allkirja nõuetele,5 st digitaalallkiri on antud ID-kaardi või mobiil-ID vahendusel PIN 2 sisestamise teel. Antud juhul peab andmesubjekti nõusolek isikuandmete töötlemiseks olema antud kirjalikku taasesitamist võimaldavas vormis, mille kohaselt ei ole omakäelise allkirja ega digitaalallkirja lisamine tahteavaldusele nõutav. Seetõttu ei pea PIN 2 sisestamist andmesubjektilt ka nõudma. Samas, kui lisaks isikuandmete töötlemiseks nõusoleku andmisele esitab isik elektrooniliselt taotluse haldusmenetluses ja taotluse esitamisele ei ole seatud eritingimusi, peab vastav taotlus olema digitaalallkirjastatud (lisatud PIN 2).6 Kuigi andmesubjekti nõusolek isikuandmete töötlemiseks antakse elektrooniliselt patsiendiportaalis tuleb arvestada, et patsiendi tahteavaldus on üheselt ja kitsalt seotud isikuandmete töötlemiseks õigusliku aluse andmisega. Kui patsiendiportaali kaudu antav nõusolek salvestatakse tervise infosüsteemi on see järgmine andmetöötluse etapp, mis on tingitud infosüsteemi tehnilisest ülesehitusest. Seetõttu tuleks vaadelda andmekogu suhtes kehtivaid turvameetmeid eraldi andmesubjekti poolsest tahteavalduse esitamisest. Lugupidamisega Kristiina Laanest õigusnõunik [email protected], tel 666 8863 1 Isikuandmete kaitse seadus (IKS) § 12 lg 1. 2 IKS § 12 lg 4. 3 Tsiviilseadustiku üldosa seaduse (TsÜS) § 79. 4 TsÜS § 78 lg 1. 5 Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) art 3 p 12. E-identimise ja e-tehingute usaldusteenuste seadus § 24 lg 1. 6 Haldusmenetluse seadus § 14 lg 4.