Küsimustik

ANDMEKAITSE INSPEKTSIOONI OMAALGATUSLIKU RIIGI ANDMELADUDE SEIRE KÜSIMUSTIK DEFINITSIOONID Andmekogu – AvTS § 431 (1). Riigi Infosüsteemi kuuluv kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum. Andmekogu asutatakse seadusega või KOV määrusega. Infosüsteem – KüTS § 2 p 1. „Seade või omavahel ühendatud või seotud seadmete rühm, millest vähemalt ühes toimub mõne programmi kohaselt digitaalsete andmete automaatne töötlemine, või digitaalsed andmed, mida salvestatakse, töödeldakse, saadakse päringuga või edastatakse eelnimetatud komponentide poolt nende töö, kasutamise, kaitsmise või hooldamise jaoks.“ Teisisõnu hõlmab Infosüsteemi mõiste nii andmekogud, aga ka kõik need digitaalsed andmekogumid (sh nt Confluence, Sharepoint, exceli failid), mis pole andmekoguna seadusega asutatud. Andmeladu (ka andmeait, andmejärv; kasutatakse siin sünonüümidena) – andmekogu osaline või täielik koopia, mida kasutatakse muul kui turvakoopia/varukoopia eesmärgil ning mis pole ajutine.1 Andmeladu võib sisaldada ühe või mitme andmekogu või muu Infosüsteemi andmeid. Pseudonüümitud andmed – isikut otseselt tuvastada võimaldavad andmed (nimi, isikukood) on asendatud pseudokoodiga, kuid tagasikodeerimine on võimalik. Anonüümitud andmed – andmekoosseis ei võimalda otseselt (st nime, isikukoodi kaudu) ega kaudselt (muude tunnuste kaudu) inimesi tuvastada. KÜSIMUSED 1. Palun loetlege kõik teie ministeeriumi haldusalas eksisteerivad andmelaod (vt andmelao definitsiooni) sõltumata sellest, kas või kuidas nad on õiguslikult reguleeritud ja RIHAs registreeritud või kas neil mingi nimetus on. Iga andmelao kohta eraldi palume: 2. Palun loetlege kõik andmekogud ja muud infosüsteemid (vt andmekogu ja Infosüsteemi definitsioone) ning muud andmeallikad (nt töötaja käsitsi kanded otse andmeaita), millest pärinevad andmed andmelaos sisalduvad. 3. Kas inimeste andmed andmelaos on isikustatud (st isikukoodide ja nimedega), pseudonüümitud või anonümiseeritud (vt definitsioone)? a. Kui andmed on isikustatud või pseudonüümitud, palun selgitage, miks ei saa andmelaos inimeste andmed olla anonümiseerituna? b. Kui andmed on pseudonüümitud, siis mis olukordades võidakse pseudonüümitud andmeid tagasi kodeerida (muuta isikustatuks)? c. Kuidas on korraldatud pseudonüümitud andmete puhul pseudokoodide võtmete (mille abil on võimalik pseudonüümitud andmed tagasi kodeerida (isikustada)) haldus? 4. Palun loetlege andmelao kõik kasutuseesmärgid. 5. Palun selgitage, miks andmeladu oli vaja luua? Miks samu eesmärke ei saa saavutada ilma andmelaota? Palume üksikasjalikku põhjendust, mitte üksnes üldist viidet. 6. Millal andmeladu loodi? (aasta) 1 Ajutine oleks näiteks selline koopia, mis tehakse ühe konkreetse teadusuuringu tarbeks andmete agregeerimise eesmärgil ning mis pärast andmete teadusuurijale väljastamist hävitatakse 7. Kuidas toimub andmevahetus andmekogu/Infosüsteemi ja andmelao vahel (üle x-tee või muul viisil)? Kui muul viisil, siis miks ei kasutata x-teed? Ja kuidas andmevahetus sel juhul käib (kirjeldage lühidalt kasutatava ühenduskanali tehnoloogiat)? 8. Kas ja millise regulaarsusega uuendate andmelaos olevaid andmeid? 9. Millistel asutustel (nii haldusala sisesed kui välised kui KOV-d) on otsejuurdepääs andmelaole (st kasutajaõigused andmelaost andmete töötlemiseks)? a. Kas kasutajatel on alati juurdepääs isikustatud andmetele või on juurdepääsud andmelao sisule reguleeritud kasutajate eesmärkide/vajaduste põhiselt (nt teatud kasutajad näevad ainult anonüümitud, pseudonüümitud või agregeeritud andmeid või analüüse)? b. Kas andmelaos tehtav andmetöötlus on kasutajate põhiselt logitud? c. Kas logimine on tasemel, mis võimaldab tuvastada kasutajate eesmärgiväliseid tegevusi? d. Kui kaua logisid säilitatakse? e. Kas andmelaos toimuvale andmetöötlusele rakendatakse perioodilist (sise)kontrolli? Kui jah, siis kui tihti seda tehakse? f. Kuidas toimub andmelao kasutajate autentimine (kas eID, salasõna või mõni muu lahendus)? Kui salasõna, kas on nõuded salasõna pikkusele/struktuurile ning millised need nõuded on? g. Kas juurdepääs andmelaole on veebiteenusena või kasutatakse töölaua rakendust? 10. Kas andmelaost väljastatakse andmeid kellelegi? Kui jah, siis: a. kellele ja milleks väljastatakse (nt teadlastele isikustatud andmestikena, andmeteenusena teisele riigiasutusele, KOV-le või andmekogule, riigi või KOV avalikule e-teenusele, avalikkusele üldistatud statistikana)? b. kuidas väljastatakse, kas üle x-tee? Kui muul viisil, siis millisel (kirjeldage lühidalt kasutatava ühenduskanali tehnoloogiat)? c. Kas andmeid väljastatakse isikustatult või üksnes agregeeritult, ilma isikustatud andmeteta? 11. Kas andmeladu on seadusega asutatud või andmekogu põhimääruses reguleeritud? Kui jah, palun nimetage seadus/määrus (sh kui see on loomisel). Kui ei, siis mis põhjusel pole õiguslikku regulatsiooni loodud? 12. Kas andmelaole rakendatakse ISKEt? Kui jah, siis milline on andmelao turvaklass? 13. Kas andmelaole rakendatakse mõnda muud infoturbe standardit/raamistikku? Kui jah, siis millist? 14. Kas andmeladu on perioodiliselt auditeeritud? Kui jah, siis millal viimati? Kui ei, selgitage, miks ei ole pidanud vajalikuks auditit teha. 15. Kas andmeladu on RIHAs registreeritud? Kui jah, siis mis nime või lühinime all? 16. Pilveandmetöötlus a. Kus majutatakse andmeladu (asutuse enda serveris, riigipilves, välise teenusepakkuja pilves)? b. Kui majutate erasektori teenusepakkuja pilves, siis nimetage palun pilveteenus ning andmete majutamise asukoht (Eesti, EL, väljaspool ELi). c. Kas pilveteenuse kasutamiseks on läbi viidud riskihinnang (nii andmekaitseliste kui infoturbeliste riskide mõttes)? Põhjendage vastust. 17. Palun loetlege, millist tarkvara kasutate andmeaida pidamisel ja majutamisel. Kui tegu vabavaraga, palun see eraldi välja tuua. 18. Kui andmelao kohta on arhitektuurijoonis, komponentdiagramm või andmemudeli kirjeldus, palume need lisada vastusele.  Ministeeriumid Teie: nr Riigikantselei Meie: 28.06.2021 nr 2.3.-3/21/2278 It-asutused Andmeladude seire Avaliku teabe seaduse 51. peatükk reguleerib avaliku sektori andmekogude asutamist ja pidamist. Andmeladudele pole eraldi õiguslikku regulatsiooni, mistõttu nende puhul tuleb lähtuda samast, andmekogude regulatsioonist. Samas praktikas on vähesed andmelaod andmekogudega samaväärselt reguleeritud. Tihti väidetakse, et andmelao mõiste ning pidamise reeglid pole selged. Või tuuakse tehnilisi põhjusi, miks andmekogude reegleid järgida ei saa. Andmekaitse Inspektsioon on alustanud omaalgatusliku andmeladude seire, mille eesmärk on saada ülevaade kõikidest valitsussektori andmeladudest, selgitada välja probleemid ning nende põhjused. Oleme selleks ette valmistanud küsimustiku (lisatud eraldi failina). Küsimustikus on ka defineeritud, mida andmelao all silmas peame. Küsimustikule saadud vastused võimaldavad meil süsteemselt analüüsida andmeladude pidamise praktikat, et aidata kaasa lahenduste leidmisele. Saadud teabest on huvitatud ka Majandus- ja Kommunikatsiooniministeerium andmekogude pilveteenuses majutamise teema käsitlemisel ning Justiitsministeerium andmekogude (sh andmeladude) analüüsiks ja võimalike seadusemuudatuste väljatöötamiseks. Samuti ootab Riigi Küberjulgeoleku Nõukogu (edaspidi KJN) 9. septembri istungil Andmekaitse Inspektsioonilt ülevaadet seire tulemustest. Kuivõrd Andmekaitse Inspektsioonil puudub ülevaade, millistes asutustes andmelaod on loodud, palumegi ministeeriumide ning it-asutuste abi. Me ei oota, et ministeeriumid ilmtingimata vastaksid küsimustikule ise. Tihti teavad andmekogudest enam it-majad ja - osakonnad ning allasutused ise. Palume, et edastaksite käesoleva kirja ja küsimustiku neile asutustele ja inimestele, kes kõige paremini oskavad vastata. Samuti palume, et vastamisel teeksid koostööd nii infotehnoloogid kui ka nö sisuinimesed (andmekogu vastutav kasutaja, õigusloomejuristid, andmekaitsespetsialistid). Kui küsimustiku vastused sisalduvad andmelao kohta olemasolevas dokumentatsioonis, võite neile küsimustele eraldi vastamise asemel edastada ka vastava dokumendi. Kui sellist dokumentatsiooni ei ole või see ei kata kõiki küsimusi, palume vastused lisada küsimustiku faili iga küsimuse järele. Oluline on, et vastatud saaks kõikide ministeeriumi haldusalas olevate asutuste andmeladude kohta. Samuti palume küsimustiku täita Riigikantseleil, juhul, kui teil on andmeladusid. Vastuseid palume hiljemalt 16. augustiks. Palume järgida vastamise tähtaega, et Andmekaitse Inspektsioon jõuaks vastused läbi vaadata ning kokkuvõtted teha 9. septembri KJNi istungiks. Juhime tähelepanu, et Andmekaitse Inspektsioonil on AvTS-i alusel järelevalvepädevus andmekogude pidamise üle, mistõttu küsimustikule vastamine on siiski kohustuslik. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Täname teid ette teie panuse eest olulise teema käsitlemisel. Lugupidamisega /allkirjastatud digitaalselt/ Pille Lehis peadirektor Maris Juha, [email protected] Urmo Parm, [email protected] 2 (2)