Andmekaitse korra kinnitamine

KÄSKKIRI veebruar 2025 nr 14 Andmekaitse korra kinnitamine Vabariigi Valitsuse seaduse § 74 lõike 1, ning sotsiaalministri 11. oktoobri 2005.a. määruse nr 105 „Ravimiameti põhimäärus“ § 7 punkti 13 alusel 1. Kinnitan Ravimiameti andmekaitse korra. 2. Tunnistan kehtetuks Ravimiameti peadirektori 19. oktoobri 2020. a käskkirja nr 35 „Isikuandmeid töötlevate ametnike ja töötajate määramine“. 3. Arendus- ja haldusosakonna dokumendihalduse spetsialistil teha käskkiri teatavaks Ravimiameti ametnikele ja töötajatele dokumendihaldussüsteemi kaudu. Vaide käskkirjale saab esitada peadirektorile 30 päeva jooksul arvates käskkirja teatavaks tegemisest vastavalt haldusmenetluse seaduse § 71 lõikele 1 ja §-le 75. Kui ametnik või töötaja soovib käskkirja vaidlustada halduskohtus, võib ta vastavalt halduskohtumenetluse seadustiku § 7 lõikele 1 ja § 46 lõikele 1 esitada kaebuse käskkirja peale Tartu Halduskohtule või oma teenistuskoha järgi Tallinna Halduskohtule 30 päeva jooksul arvates käskkirja teatavaks tegemisest. (allkirjastatud digitaalselt) Katrin Kiisk Peadirektor Heleni Mäe [email protected]  KINNITATUD Ravimiameti peadirektori veebruari 2025 käskkirjaga nr 14 ANDMEKAITSE KORD SISUKORD 1. SISSEJUHATUS ............................................................................................................... 1 2. ASJAKOHASED ÕIGUSAKTID.................................................................................... 1 3. MÕISTED .......................................................................................................................... 2 4. ANDMETE TÖÖTLEMISE PÕHIMÕTTED ............................................................... 3 5. VASTUTUS ....................................................................................................................... 3 6. ANDMESUBJEKTI ÕIGUSED ...................................................................................... 4 7. ANDMETE AVALDAMINE KOLMANDATELE OSAPOOLTELE ........................ 5 1. SISSEJUHATUS 1.1 Käesolev juhend kirjeldab andmetele juurdepääsu andmise ning andmete kogumise, töötlemise, säilitamise ja kustutamise põhimõtted, Ravimiameti ja teenistujate vastutust ja käitumisjuhiseid, Ravimiameti teenistujatele suunatud tegevusjuhiseid andmete turvalisust mõjutavate intsidentidele ja andmesubjektide pöördumistele reageerimiseks. 1.2 Selles dokumendis on sätestatud, kuidas kogutakse, kasutatakse ja jagatakse andmeid ning kuidas saab andmesubjekt oma isikuandmetele nende uuendamiseks ja parandamiseks juurdepääsu. 2. ASJAKOHASED ÕIGUSAKTID 1) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). 2) Isikuandmete kaitse seadus (IKS). 3) Ebaausa konkurentsi takistamise ja ärisaladuse kaitse seadus (EKTÄKS). 4) Avaliku teabe seadus (AvTS). 5) Ravimiseadus (RavS). 6) Andmekaitse Inspektsiooni juhised. 3. MÕISTED 3.1 Andmed - andmeteks, mille töötlemisele käesolev juhend kohaldub, on 1) isikuandmed, sh eriliigilised isikuandmed ja 2) andmed, mida tuleb käsitleda ärisaladusena. Muu juurdepääsupiiranguga teabe töötlemisel lähtub Ravimiameti teenistuja ülalviidatud õigusaktidest. 3.2 Isikuandmed - igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta; tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal. 3.3 Eriliiki isikuandmed - eriliiki isikuandmeteks loetakse selliseid isikuandmeid, mis annavad teavet isiku rassilise või etnilise kuuluvuse kohta, näitavad tema poliitilisi, religioosseid või maailmavaatelisi veendumusi, seksuaalset sättumust, ametiühingusse kuulumist või on seotud isiku tervisega. Biomeetrilised andmed ja geeniandmed on samuti eriliiki isikuandmed. Eriliiki isikuandmed puudutavad eriti isiklikke ja intiimseid eluvaldkondi, seetõttu võib nende seadusevastane või hooletu töötlemine viia eelarvamuste tekke või diskrimineerimiseni. Nendel asjaoludel on eriliiki isikuandmete töötlemine lubatud üksnes erandjuhtudel. 3.4 Isikuandmete töötlemine - isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine. 3.5 Ärisaladus - ärisaladus on ettevõtja konkurentsieelis. Ärisaladuseks on eelkõige kaubanduslikku või tehnilist laadi teave, mis ei ole avalikult kättesaadav ja mida ettevõtja hoiab salajas, sest selle teabe teistele isikutele õigustamata teatavaks saamine kahjustab ettevõtja ärihuve. Ärisaladus on teave, mis vastab EKTÄKS § 5 lõikes 2 sätestatud tingimustele. 3.6 Andmesubjekt – isikuandmete puhul on andmesubjektiks füüsiline isik ehk inimene, kelle andmeid töödeldakse. Ärisaladuse puhul on andmesubjektiks juriidiline isik, kelle ärihuve see puudutab. 3.7 Krüpteerimine - loetaval kujul oleva informatsiooni muutmine loetamatuks. Failide krüpteerimine aitab kaitsta failide sisu. 3.8 Pseudonümiseerimine – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga, tingimusel et sellist täiendavat teavet hoitakse eraldi ja andmete tuvastatud või tuvastatava füüsilise isikuga seostamise vältimise tagamiseks võetakse tehnilisi ja korralduslikke meetmeid. 3.9 Anonüümimine - teabest kõikide jälgede kaotamist, mis võiksid viia tuvastatavate isikuteni. Kui pseudonüümimine ja krüptimine on tagasipööratav umbisikustamine, siis anonüümimine tähendab tagasipööramatut ehk lõplikku umbisikustamist. 4. ANDMETE TÖÖTLEMISE PÕHIMÕTTED 4.1 Ravimiamet on haldusasutus, mis töötleb isikuandmeid seaduse ja nende alusel antud õigusaktidega temale pandud ülesannete täitmisel ja täitmiseks ning seadusega lubatud ulatuses. 4.2 Andmete töötlemine Ravimiametis on seaduslik, õiglane ja andmesubjektile läbipaistev (seaduslikkus, õiglus, läbipaistvus). 4.3 Isikuandmete töötlemise põhimõtted on kooskõlas isikuandmete kaitse üldmääruse artiklis 5 sätestatud nõuetega. 4.4 Andmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. 4.5 Isikuandmete töötlemine on igasugune isikuandmetega tehtav toiming nagu kogumine, dokumenteerimine, kohandamine, muutmine, lugemine, säilitamine, hävitamine jmt. 4.6 Ravimiametis töödeldakse nii isikuandmeid, sh eriliigilisi isikuandmeid, kui ettevõtja ärisaladusena käsitletavaid andmeid. 4.7 Üldiseid isikuandmeid töödeldakse isikutega suhtlemisel, kui teada on isiku nimi ja kontaktandmed (nimi, elukoha aadress, telefoninumber või e-maili aadress). 4.8 Eriliigilisi isikuandmeid töödeldakse järelevalve tegemisel (näiteks retseptiravimite müüki kontrollides, kliiniliste uuringute inspekteerimisel), patsiendi kõrvaltoime teatiste kogumisel ja vaktsiinikahju taotluse menetluses põhjusliku seose hindamisel. 4.9 Töödeldavate andmete liigid, nende töötlemise alused ja säilitustähtajad on dokumenteeritud Ravimiameti töötlemistoimingute registrist (S:\SAMyld\Andmekaitse). 4.10 Ravimiametis säilitatakse teenistujate ja klientide isikuandmeid töötlemistoimingute registris kirjeldatud eesmärkidel. 4.11 Isikuandmeid töödeldakse senikaua, kuni neid on vaja eesmärgi täitmiseks ning vastavalt kehtestatud säilitusaegadele (seadustest või tehingu iseloomust tulenevad säilitusajad). Kui isikuandmete säilitusaeg on möödunud, isikuandmed kustutakse vastavalt andmekaitsealasele seadusandlusele. 4.12 Andmesubjektile on Ravimiameti veebilehel avaldatud teave isikuandmete töötlemisest. 5. VASTUTUS 5.1 Ravimiamet tagab, et isikuandmeid töötlevad teenistujad on teadlikud andmekaitseregulatsioonist ja isikuandmete vastutustundliku töötlemise põhimõtetest. Teadlikkust andmete töötlemise olulisusest ja järgimise vajadusest hoitakse ja tõstetakse järjepidevalt. Teenistujaid koolitatakse vähemalt kord aastas. 5.2 Kogutud isikuandmetele määratakse säilitamistähtaeg sõltuvalt andmete töötlemise eesmärgist. Säilitamistähtaja saabumisel isikuandmeid sisaldav andmestik kustutatakse või isikuandmed anonüümitakse. 5.3 Iga teenistuja vastutab selle eest, et tema valduses olevad isikuandmed oleksid hoolikalt hoitud ning nõuetekohaselt töödeldud. Isikuandmeid, millele juurdepääsuõigus on teenistujal oma tööülesannete täitmiseks, ei tohi edastada kõrvalistele isikutele. 5.4 Kui teenistujal on oma ülesannete täitmiseks antud juurdepääs mõnele andmekogule või infosüsteemile, tohib sealt teha üksnes tööülesannetega seonduvaid päringuid. Lubatud ei ole teha päringuid kellegi palvel või mõnel muul eesmärgil (lisaks, vt p 5.10). 5.5 Kui teenistuja saadab e-kirja ekslikult valele adressaadile, tuleb e-kirja saajat koheselt teavitada toimunud eksimusest ning vajadusest saadud kiri kustutada. Teenistuja kustutab e-kirja saadetud andmete hulgast (lisaks, vt p 5.10). 5.6 Ravimiameti teenistujatel on juurdepääs tema ülesannete täitmiseks vajalikele isikuandmetele. Juurdepääs piiratud juurdepääsuga andmete võrguketastel ja dokumendihaldussüsteemis on määratud isikupõhiselt teenistuja tööülesannetest lähtuvalt. 5.7 Isikuandmetega kokku puutuvad teenistujad: 1) töötlevad isikuandmeid üksnes isikuandmete kaitse üldmääruses ja isikuandmete kaitse seaduses ettenähtud tingimustel ja korras ning lubatud eesmärkidel; 2) hoiduvad turvanõuete rikkumisest, mis põhjustab edastatavate, salvestatud või muul viisil töödeldavate isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu; 3) täidavad Ravimiameti rakendatud asjakohaseid tehnilisi ja korralduslikke meetmeid, mis tagavad isikuandmete töötlemise kooskõlas isikuandmete kaitse üldmääruse ja isikuandmete kaitse seadusega, 4) täidavad teisi isikuandmete kaitse üldmäärusest ja isikuandmete kaitse seadusest tulenevaid kohustusi. 5.8 Andmete volitatud töötleja on TEHIK. Sõlmitud teenuslepingu kohaselt tagab volitatud töötleja logimise, logide regulaarse kontrolli, varundamise ja varukoopiate säilitamise. Andmete varundamise aeg on kokku lepitud teenuslepingu lisades, ligipääsu taotletakse põhjendatud vajadusel vastavalt Infovara juurdepääsuõiguste haldamise korrale. 5.9 Ravimiamet teeb logide pistelist ja juhtumipõhist kontrolli, kontrollib ja testib regulaarselt andmete töötlemisel tehniliste meetmete rakendamist, et veenduda nende tõhususes, turvalisuses ning vastavuses asjakohaste õigusaktidega. 5.10 Andmete volitamata töötlemisest teavitab teenistuja viivitamatult Ravimiameti andmekaitsespetsialisti (kontakt: [email protected]). Koheselt tuleb võtta meetmed, et rikkumine lõpetada. 5.11 Andmekaitsespetsialist hindab, kas toimunud rikkumine kujutab endast tõenäolist ohtu andmesubjekti õigustele ja vabadustele. Sellisel juhul vormistatakse selle kohta nõutud dokumendid ning esitatakse need Andmekaitse Inspektsioonile. Kui rikkumise tulemusena tekib andmesubjekti õigustele ja vabadustele tõenäoliselt suur oht, teavitatakse sellest andmesubjekti, et andmesubjektil oleks võimalik endal võtta vajalikke ettevaatusabinõusid olukorra leevendamiseks. 6. ANDMESUBJEKTI ÕIGUSED 6.1 Saada kinnitust, kas tema isikuandmeid töödeldakse (õigus saada ülevaadet). 6.2 Saada tasuta teavet, milliseid andmeid tema kohta töödeldakse (õigus olla informeeritud). 6.3 Nõuda isikuandmete kustutamist, kui seda võimaldavad ka teistest seadustest tulenevad nõuded (õigus unustamisele). 6.4 Nõuda isikuandmete korrigeerimist ja täiendamist, kui need on ebakorrektsed (õigus parandada enda andmeid). 6.5 Nõuda oma isikuandmete töötlemise piiramist (õigus töötlemise piiramisele). 6.6 Õigus saada enda isikuandmed struktureeritud ja masinloetavas formaadis (õigus andmete edastamisele). 6.7 Õigus vaidlustada enda isikuandmete töötlemist (õigus esitada vastuväiteid). 6.8 Õigus igal ajal tagasi võtta vabalt antud nõusolek enda andmete töötlemiseks. 6.9 Andmesubjektile eriliigiliste isikuandmete saatmisel andmed krüpteeritakse, ärisaladuse saatmisel andmed võimalusel krüpteeritakse või küsitakse kirjalik nõusolek krüpteerimata kujul saatmiseks. 6.10 Teenistuja hoiab oma isikuandmeid ja isiklikke dokumente ainult selleks ettenähtud markeeritud kaustas W-kettal. Personaalse võrguketta kasutamise kohta on sätestatud Infovara kasutamise kord. Teenistusest lahkumise korral saab teenistuja isiklikud dokumendid kaasa võtta. 6.11 Ravimiametist lahkunud teenistuja faile ja elektronkirju säilitatakse üks aasta, pikemaks säilitamiseks peab kasutaja vahetu juht saatma IT-kasutajatoele põhjendatud taotluse enne teenistuja teenistus- või töösuhte lõppemist märkides failide ja elektronposti säilitamise soovitud tähtaja. Pärast seatud tähtaega kustutatakse teenistuja personaalseks kasutuseks antavatelt seadmetelt ja andmekandjatelt (sh irdandmekandjad) kõik andmed. 7. ANDMETE AVALDAMINE KOLMANDATELE OSAPOOLTELE 7.1 Andmeid kolmandatele osapooltele ei jagata, välja arvatud juhul kui selleks on andmesubjekti nõusolek või kui see on seadusega nõutud (sh kohtuvaidluste korral). Isikuandmete kolmandate osapooltega jagamine võib osutuda vajalikuks näiteks kriminaalmenetluse käigus tehtud päringutele vastamiseks, ohtlike olukordade vältimiseks või intellektuaalomandi kaitseks. 7.2 Andmete jagamisel kolmandatele osapooltele õigustatud huvi olemasolul andmed vajadusel anonümiseeritakse, asendades piiratud juurdepääsuga andmed kas varjutuse või xxx-ga.