Puuduste kõrvaldamiseks tähtaja määramine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Jaak Raie Teie 11.04.2025 Haridus- ja Noorteamet [email protected] Meie 02.05.2025 nr 2.2.-1/25/22-2 Puuduste kõrvaldamiseks tähtaja määramine Andmekaitse Inspektsiooni (AKI) menetluses on Haridus- ja Noorteameti taotlus uuringus „Välistudengite majandusliku mõju analüüs tööturul“ isikuandmete töötlemiseks andmesubjekti nõusolekuta. Tutvunud teie taotlusega, palun taotlust täiendada vastavalt alljärgnevale: 1. Isikuandmete kaitse seaduse (IKS) § 6 lõike 5 kohaselt loetakse teadusuuringuks ka täidesaatva riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise eesmärgil. Nende koostamiseks on täidesaatval riigivõimul õigus teha päringuid teise vastutava või volitatud töötleja andmekogusse ning töödelda saadud isikuandmeid. Andmekaitse Inspektsioon kontrollib enne nimetatud isikuandmete töötlemise algust IKS paragrahvis 6 sätestatud tingimuste täitmist, välja arvatud juhul, kui poliitika kujundamiseks tehtava uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenevad õigusaktist. Justiitsministeerium on IKS § 6 lõikes 5 nimetatud uuringute osas selgitanud1, et täidetud peab olema kaks tingimust. Esmalt analüüsid ja uuringud teostatakse täidesaatva riigivõimu poolt ning teisalt, uuringud ja analüüsid on vajalikud poliitika kujundamiseks. Taotluse punktis 3 on viidatud Haridus- ja Noorteameti põhimääruse § 6 lg 2 punktile 12, mis sätestab ülesandena Eesti haridus- ja noortevaldkonna tegevuste turundamise. Palume taotluses uuringu õiguslikku alust täpsustada võimalusel viitega Vabariigi Valitsuse seadusele, ning kaaluda, kas kohasem alus oleks ka nt põhimääruse § 6 lg 2 punkt 1. 2. Vastavalt eelnevas punktis viidatud Justiitsministeeriumi seisukohale, saab IKS § 6 lõike 5 alusel tehtavate uuringute eesmärk olla poliitika kujundamine. Palun täiendada taotluse punktis 4 toodud teavet, kuidas täidab uuring poliitika kujundamise eesmärki. 3. Taotluse punkti 4 järgi on uuringu eesmärgiks vaadata välisüliõpilaste poolt õppimise ajal ja õppimise järel Eestile toodud tulu läbi nende töötamise. Taotluses on uuringuküsimused püstitatud läbivalt vaid välisüliõpilaste kohta. Punktis 9 on nimetatud, et valimisse kuuluvad ka kohalikud üliõpilased ja vilistlased. Isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktide b ja c kohaselt võib isikuandmeid töödelda vaid ulatuses, mis on konkreetse eesmärgi täitmiseks minimaalselt vajalik. Juhul, kui kohalike üliõpilaste ja vilistlaste andmed on vajalikud uuringu eesmärgi täitmiseks, nt võrdlusgrupina, siis palun see taotluses selgelt välja tuua. Lisaks palun taotlust täiendada vähemalt ligikaudse valimi suurusega, st kui paljude isikute andmeid uuringus töödeldakse. 4. Taotluse punkti 10.2. kohaselt andmeid ei pseudonümiseerita, vaid anonümiseeritakse. Selgitan, et inspektsioon mõistab taotlust nii, et uuringu läbiviimisel kasutatakse, st 1 Justiitsministeeriumi 22.01.2024 vastus selgitustaotlusele nr 2-6/24-7834-2 Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  töödeldakse isikuandmeid siiski pseudonümiseeritud kujul. Palun taotlust selles osas täpsustada. 5. Taotluse punkti 11 kohaselt andmesubjekte nende isikuandmete töötlemisest ei teavitata, kuivõrd Haridus- ja Noorteametile ei ole isikute kontaktandmed teada. Isikuandmete kaitse üldmääruse üheks oluliseks põhimõtteks on läbipaistvuse põhimõte. Läbipaistvuse tagamiseks tuleb andmesubjekte isikuandmete töötlemisest teavitada vastavalt IKÜM artiklitele 12 – 14 konkreetselt selles uuringus toimuvast andmetöötlusest. Märgin, et taotluses viidatud andmetöötlejate üldised andmekaitsetingimused seda ei kajasta. Üldmäärus küll kehtestab ka andmesubjektide teavitamata jätmise alused, kuid neid saab rakendada pigem erandlikel asjaoludel. Antud uuringu taotluses ei nähtu selliseid erandlikke asjaolusid, mis takistavad isikute teavitamist. Teavitada on võimalik läbi (sotsiaal)meedia, ameti vm asutuse kodulehe kaudu vms üldisel viisil. Seega palun kaaluda andmesubjekti teavitamise võimalusi ja vastavalt sellele taotlust täiendada. Kui leiate, et isegi ka üldine andmesubjektide teavitamine võimalikuks ei osutu, palun seda otsust põhjendada. 6. Taotlusest ei nähtu isikute arv, kelle andmeid uuringus töödeldakse. Seetõttu osutan andmekaitsealane mõjuhinnangu koostamise vajadusele üldiselt, viidates isikuandmete kaitse üldmääruse2 (IKÜM) artiklile 35. IKÜM art 35 lg 1 kohaselt peab isikuandmete vastutav töötleja hindama enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele, kui isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht. IKÜM art 35 lg 3 loetleb olukorrad, millal andmekaitsealase mõjuhinnangu tegemine on nõutav, mh on hinnangu koostamine kohustuslik, kui toimub füüsiliste isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automaatsel isikuandmete töötlemisel, sealhulgas profiilianalüüsil, ja millel põhinevad otsused, millel on füüsilise isiku jaoks õiguslikud tagajärjed või mis samaväärselt mõjutavad oluliselt füüsilist isikut, samuti ka eriliigiliste isikuandmete ulatuslik töötlemine. Inspektsiooni koostatud isikuandmete töötleja üldjuhendis3 on selgitatud, mis on süstemaatiline ja ulatuslik andmetöötlus. Samuti on toodud näiteid suure ohu kohta. Juhendis on viidatud suunistele4, mis käsitlevad andmekaitsealast mõjuhinnangut. Seega täpsema teabe puudumisel palun hinnata, kas käesoleval juhul on mõjuhinnangu koostamine vajalik ning lisada teave taotlusesse. Palun esimesel võimalusel, kuid hiljemalt 16.05.2025 taotluses esinevad puudused kõrvaldada ning täpsustused taotlusvormile sisse viia. Muudatused palun algtekstist eristada. Vastus palun saata aadressil [email protected]. Tähtajaks puuduste kõrvaldamata jätmise korral võib AKI vastavalt haldusmenetluse seaduse § 15 lõikele 3 jätta taotluse läbi vaatamata. Lugupidamisega (allkirjastatud digitaalselt) Anu Suviste jurist peadirektori volitusel 2 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta 3 https://www.aki.ee/isikuandmed/juhendid/isikuandmete-tootleja-uldjuhend 4 https://ec.europa.eu/newsroom/article29/items/611236 2 (2)