ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Lp Jaana Allingu Teie 16.08.2024 nr
Sihtasutus Pärnu Haigla
[email protected] Meie 13.09.2024 nr 2.2-9/24/2111-2
Vastus selgitustaotlusele
Andmekaitse Inspektsioon (AKI) sai Teie pöördumise, milles kirjutate:
Pärnu Haiglal on plaanis võtta kasutusele Jira Cloud tarkvara pilveversioonina. Soovime seetõttu
täpsustada mõningaid punkte GDPR vaatest, et kas peaksime millegagi selles osas arvestama või
mingeid kohandusi teostama. Oleme läbi viinud riskianalüüsi ja selle käigus tuvastasime riskid,
millele leidsime ka leevendavad meetmed. Eelanalüüsi käigus tuvastasime, et kui kasutame Jira
tooteid erinevate infosüsteemide tõrgete edastamiseks IT spetsialistidele, siis edastatavad piletid
võivad sisaldada isikuandmeid teksti kujul või screenshotina. Pärast lahendatud tõrget suletakse
pilet, kuid isikuandmed jäävad piletisse alles. Seda võib olla vaja hilisemalt uuesti avada või
tuvastada samasisulisi tõrkeid ja varasemalt rakendatud lahendusi. Oleme planeerinud oma
tööprotsessidesse ümberkorraldusi ja rakendada IT lahendusi, et vähendada kogutud
isikuandmete hulka.Kas selline tegevus on GDPR vaatest lubatud või peaksime midagi veel
ennetavalt tegema või rakendama, et selline tegevus oleks lubatud ja vastav GDPR määrusega.
Esmalt märgime, et seda, millist konkreetset andmebaasi või arvutitarkvara ettevõte kasutab, on
asutuse enda valida. Teadma peab, et vastutus võimalike andmekaitseliste rikkumiste puhul lasub
eelkõige vastutaval andmetöötlejal, mistõttu tasub oma tegevused alati läbi kaaluda (sh millist
andmebaasi või süsteemi kasutada, kas ning milliseid andmeid on üldse vaja koguda-minimaalsuse
põhimõte).
Andmetöötlejal on oluline teadvustada, et andmesubjektil on õigus teada, kuidas tema
isikuandmeid töödeldakse, sh kellele tema isikuandmeid edastatakse (asutusevälised isikud, nt
haigekassa vms) ning kes neid andmeid veel töötleb (asutusesisesed isikud ning asutusega seotud
isikud, nt raamatupidamisteenuse osutaja või muud teenuse osutajad), mistõttu tasub eeskirjad
kirja panna ning andmesubjektile tutvustada enne tema isikuandmete töötlemist. Soovi korral võib
andmesubjekt pöörduda selgituste saamiseks andmetöötleja poole ja vajadusel Andmekaitse
Inspektsiooni poole ning sellisel juhul tuleb andmetöötlejal korrektseid selgitusi ka jagada.
Te ei ole pöördumises Andmekaitse Inspektsioonile (AKI) viidanud, et milliste järeldusteni ning
millistel kaalutlustel Te olete jõudnud, sh kas Teie hinnangul on selline andmetöötlus isikuandmete
kaitse üldmääruse vaatest lubatud? Andmetöötlejal peab endal olema teadmine, kas siis selline
andmetöötlus on lubatud (sh millisel konkreetsel õiguslikul alusel ja eesmärgil).
Selgitame, et AKI ei saa nii napi pöördumise pinnalt jagada ammendavaid selgitusi, mistõttu tuleks
teil inspektsioonile edastada sisuliseks arusaamiseks mõjuhinnang (riskihinnang vms) koos
võimalike leevendusmeetmete, järeldustega ning muu olulisega.
Etteruttavalt saame koheselt viidata, et haigla peab teadvustama muuhulgas, et teenuse
andmetöötlusest kolmandates riikides (sh Austraalias ning USA-s) ning analüüsis kajastama,
kuidas on sellisel juhul võimalikud riskid maandatud.
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee / registrikood 70004235
Eelnevast tulenevalt, palume edastada haigla koostatud analüüsid ning lõppjäreldused
aadressil
[email protected]. Peale dokumentidega tutvumist saaksime juba vajadusel kokku
leppida kohtumise võimalikuks konsultatsiooniks (IKÜM artikkel 36 alusel).
Soovitame kindlasti tutvuda Andmekaitse Inspektsiooni isikuandmete töötlemise üldjuhendiga,
kus on kirjas kõige olulisem, mida isikuandmete töötleja peab teadma. Samuti on antud juhul
oluline juhend isikuandmete töötlemisest töösuhetes. Samuti leiab informatsiooni andmetöötleja
vastutusest ning kohustustest isikuandmete töötlemisel siit.
Olukorras, kus Andmekaitse Inspektsioon ei osuta õigusabi, siis kui Teil on vaja konkreetsemat
õiguslikku seisukohta lähtuvalt konkreetsetest asjaoludest, kogutavatest andmetest ning
kasutatavast teenusest, siis soovitame ka pöörduda õigusnõustajate (advokaadid, juristid jne)
poole.
Lugupidamisega
Liina Kroonberg
jurist-konsultant
peadirektori volitusel
2 (2)