Vastus pöördumisele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Tööinspektsioon Teie 18.02.2025 [email protected] Meie 05.03.2025 nr 2.3-8/25/569-2 Vastus pöördumisele Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles avaldasite soovi saada AKI-lt arvamust, kas Tööinspektsioonil (TI) on õigus terviseandmeid töödelda sh andmeid küsida ja saada ning kas tervishoiuteenuse osutaja on kohustatud andmesubjekti terviseandmeid TI-le edastama. Isikuandmete kaitse üldmääruse (IKÜM) art 5 lg 1 p-i a kohaselt tuleb isikuandmete töötlemisel tagada, et töötlemine on mh seaduslik ja andmesubjektile läbipaistev. Igasuguseks isikuandmete töötlemiseks (sh kogumiseks, edastamiseks, säilitamiseks) peab lähtuvalt IKÜM art 6 lg-st 1 esinema õiguslik alus. Järelevalvemenetluses isikuandmete töötlemise õiguslikuks aluseks saab olla IKÜM art 6 lg 1 p e ehk isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. IKÜM art 6 lg 1 p-i e alusele tuginemine eeldab lisaks, et isikuandmete töötlemise alus on kehtestatud täiendavalt ka liidu või liikmesriigi õigusega. Ehk teisisõnu IKÜM art 6 lg 1 p e ei ole ilma täiendava EL-i või siseriikliku sätteta iseseisev õiguslik alus isikuandmete töötlemiseks. Lisaks peab terviseandmete töötlemisel esinema mõni alus IKÜM art 9 lg-st 2. TI ei ole konkreetset õiguslikku alust täpsustanud. IKÜM art 9 lg 2 p b lubab töödelda terviseandmeid mh siis, kui see on vajalik seoses vastutava töötleja või andmesubjekti tööõigusest tulenevate kohustuste täitmiseks niivõrd, kui see on lubatud liidu või liikmesriigi õigusega. Kui IKÜM-is osutatakse õiguslikule alusele või seadusandlikule meetmele, ei pea selleks tingimata olema parlamendi poolt vastu võetud seadusandlik akt, kuid selline õiguslik alus või seadusandlik meede peaks siiski olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse (IKÜM põhjenduspunkt 41). Samas austatakse määruses kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja EL põhiõiguste hartas (harta) tunnustatud põhimõtetest, mille hulka kuulub ka mh isikuandmete kaitse (IKÜM põhjenduspunkt 4). Vastavalt harta art 52 lg 1 esimesele lausele tohib aga hartaga tunnustatud õiguste ja vabaduste, sh art-ga 7 tagatud õiguse eraelu puutumatusele ja harta art-ga 8 tagatud õiguse isikuandmete kaitsele teostamist piirata ainult seadusega, mis konkreetsemalt tähendab, et õiguslik alus, mis võimaldab neid õigusi riivata, peab tulenema seadusest. TTOS § 24 lg 1 paneb tööandjale kohustuse uurida kõiki tööõnnetusi ja kutsehaigestumisi ning sama sätte lg 5 annab uurimisõiguse ka TI-le. TTOS § 24 lg 12 annab tööandjale õiguse töödelda töötaja terviseandmeid ulatuses, mis on vajalik tööõnnetuse ja kutsehaiguse uurimiseks. Tööõnnetuste ja kutsehaigestumiste uurimisel saab tööandja paratamatul teada, millise vigastuse töötaja sai või milles seisneb haigestumine ning seetõttu on tööandjale sõnaselgelt antud õigus Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 töödelda töötaja terviseandmeid piiratud ulatuses (nt ei ole tööandjal vaja teada konkreetset diagnoosi). TTOS § 25 lg 1 alusel teostab TTOS-i ja selle alusel kehtestatud õigusaktides sätestatud nõuete täitmise üle riiklikku ja haldusjärelevalvet TI. TTOS § 25 lg 5 p 2 alusel on TI kohustatud teostama järelevalvet tööõnnetuste uurimise üle. Järelevalve teostamiseks on TI-l kui korrakaitseorganil paratamatult vajalik töödelda isikuandmeid vähemalt samas ulatuses kui tööandjal. Vastasel korral muutuks järelevalve tööõnnetuste ja kutsehaiguste uurimise üle võimatuks ning muudaks järelevalvekohustust käsitlevad TTOS-i sätted sisutühjaks, mis ei saa kuidagi olla seadusandja tahe. See aga ei tähenda automaatselt seda, et tervishoiuteenuse osutajal on õigus TI-le terviseandmeid edastada. Riikliku järelevalve teostamisel on TI-l õigus isikuid küsitleda ja nõuda nendelt dokumente (HMS § 38 lg 1, TTOS § 26, KorS § 30 lg 1 ja 3), mis võivad muuhulgas sisaldada ka isikuandmeid. Ühelt poolt on TI-l õigus nõuda tervishoiuteenuse osutajalt teavet, kuid teiselt poolt on tervishoiuteenuse osutaja seotud patsiendisaladuse hoidmise kohustusega. Konfidentsiaalsuskohustusega on kaetud kogu tervishoiuteenuse käigus isiku kohta teatavaks saanud informatsioon. VÕS § 768 lg 1 kohaselt on tervishoiuteenuse osutaja ja tervishoiuteenuse osutamisel osalevad isikud peavad hoidma saladuses neile tervishoiuteenuse osutamisel või tööülesannete täitmisel teatavaks saanud andmeid patsiendi isiku ja tema tervisliku seisundi kohta, samuti hoolitsema selle eest, et tervishoiuteenuse osutamisel koostatud dokumentides sisalduvad andmed ei saaks teatavaks kõrvalistele isikutele, kui seaduses või kokkuleppel patsiendiga ei ole ette nähtud teisiti. Seega on patsiendisaladuse avaldamiseks vaja kas patsiendi nõusolekut või seadusest tulenevat selget alust.1 Vaatamata sellele, et TI-l on õigus töödelda töötaja terviseandmeid ulatuses, mis on vajalik tööõnnetuse ja kutsehaiguse uurimiseks ning HMS-i ja KorS-i sätted võimaldavad küll TI-l nõuda haldusasja lahendamiseks vajalikku teavet, ei ole viidatud HMS-i ja KorS-i sätted oma üldsõnalisuse tõttu VÕS§ 768 lg 1 tähenduses iseseisvaks õiguslikuks aluseks patsiendisaladuse hoidumisest kõrvalekaldumiseks. TTOS § 24 lg 10 viitab määrusele nr 75, mis reguleerib tööõnnetuse ja kutsehaigestumise registreerimise, teatamise ja uurimise korda. Kõnesolev norm ise ei kohusta ega anna ka luba tervishoiutöötajale patsiendisaladuse avaldamiseks ega ole isikuandmete töötlemise aluseks. Eelviidatud normi alusel kehtestatud määruses nr 75 küll sisuliselt käsitletakse isikuandmete (sh terviseandmete) töötlust, kuid käsitletud isikuandmete töötlemine ja patsiendisaladuse kohustustest kõrvalekaldumine peavad olema reguleeritud seaduse tasandil. Lisaks nähtub määruse sisust, et määruses on väljutud seaduses sätestatud volitusnormist. TTOS § 24 lg 10 volitusnormina volitab Vabariigi Valitsust kehtestama määruse, mis käsitleb tööõnnetuste ja kutsehaiguste registreerimist, teatamist ja uurimise korda. Samas on näiteks määruse lisas olevate vormidega (nt lisa 1 ja 4) reguleeritud lisaks teavitamise korrale ka andmekooseis edastatavate terviseandmete osas, kuigi ei TTOS ega määrus ise täpset andmekoosseisu välja ei too. Eraelu puutumatus on põhiseaduslik õigus ja seda võib piirata ainult seadusega (PS § 26). Kui läbiviidav haldusmenetlus riivab isikute põhiõigusi, saab seda teha üksnes põhiseadusega kooskõlas oleva seaduse alusel (PS § 3 lg 1 ja § 11). Olulisuse põhimõtte kohaselt on seadusandja kohustatud sätestama kõik põhiõiguste seisukohalt olulised küsimused ning mida intensiivsem on põhiõiguste riive, seda üksikasjalikum peab olema täitevvõimu tegutsemise aluseks olev volitusnorm ning seda täpsemad ka menetlusnormid. Vaieldamatult on tegemist intensiivse põhiõiguste riivega kui andmesubjekti terviseandmeid töödeldakse ilma andmesubjekti nõusolekuta. Sellest lähtuvalt ei ole TTOS-s kui valdkondlikus õigusaktis terviseandmete 1 Vt ka RKKKo nr 1-20-5071, p 20 jj 2 (3) töötlemine piisavalt reguleeritud mh seoses teabe pärimisega ja selle saamisega tervishoiuteenuse osutajalt. AKI ei sea kahtluse alla, et tööõnnetuste või kutsehaiguste uurimisel on vajalik teatud olukordades mingis ulatuses saada tervishoiuteenuse osutajalt täiendavat teavet töötaja terviseandmete osas, kuid selge õiguslik alus selliseks andmetöötluseks käesoleval hetkel puudub. Regulatsioon peab olema selgelt ja üheselt mõistetav s.t milliseid isikuandmeid, millistel juhtudel ja millises ulatuses võib TI terviseandmeid saada ning millises ulatuses võib tervishoiuteenuse osutaja kalduda kõrvale patsiendisaladuse hoidmise kohustusest. Hetkel kehtiv üldsõnaline regulatsioon ei ole selgelt ja üheselt arusaadav ning ei ole kooskõlas IKÜM-ist tuleneva läbipaistvuse põhimõttega. AKI on ka varasemalt juhtinud Sotsiaalministeeriumi tähelepanu2 sellele, et isikuandmete töötlemine peab olema ette nähtud seaduse tasemel ning terviseandmete töötlemise õigus tuleb kehtestada seadusega, mida võib täpsustada selge volitusnormi alusel antava määrusega. Seoses Teie poolt viidatud TTKS § 41 ja § 593 lg 6 koosmõjust märgime järgmist. TTKS § 41 annab õiguse töödelda andmesubjekti isikuandmeid (sh terviseandmeid) ilma tema nõusolekuta ainult tervishoiuteenuse osutajal, kellel on seadusest tulenev saladuse hoidmise kohustus. TTKS § 593 lg 6 võimaldab juurdepääsu tervise infosüsteemis olevatele isikuandmetele, kui see õigus tuleneb seadusest. TI ei ole tervishoiuteenuse osutaja ja pöördumisest ei nähtu, millisest seadusest võiks tuleneda TI juurdepääs tervise infosüsteemis olevatele isikuandmetele. Kokkuvõttes on AKI hinnangul Teie viidatud õiguslikud alused liiga üldsõnalised ning ei kujuta tervishoiuteenuse osutajale iseseisvalt piisavalt selget ja üheselt mõistetavat õiguslikku alust terviseandmete väljastamiseks ja patsiendisaladuse hoidmise kohustusest kõrvalekaldumiseks. Loodan, et minu selgitustest on abi. Lugupidamisega (allkirjastatud digitaalselt) Andres Kudrjavtsev jurist peadirektori volitusel 2 Vt 17.11.2022 Vabariigi Valitsuse määruse nr 113, millega muudeti määrust nr 75, eelnõu kooskõlastustabel (eelnõu toimiku nr 22-1323). 3 (3)