Andmeturbe olulisi elemente, IV Isikuandmete kaitse head tavad ja õigusaktid

1. Andmeturbe olulisi elemente, IVIsikuandmete kaitse head tavad ja õigusaktid Valdo Praust mois@mois.ee arvuti- ja andmeturbespetsialist isikuandmete kaitse seaduse kaasautor Infoühiskonna harrastusfilosoof Täienduskoolitus IT Kolledzis 12. oktoobril 2004

2. Peamised valdkonda reguleerivad seadused • Isikuandmete kaitse seadus (1. oktoober 2003) • Andmekogude seadus (12. märts 1997) • Avaliku teabe seadus (15. jaanuar 2000) • Digitaalallkirja seadus (8. märts 2000, tuleb vaatluse alla koolituse 3. osas)

3. Milleks isikuandmete töötlemisele piirangud? Et kaitsta inimese eraelu puutumatust: kaasaja digitaalne ja Internetiga ühendatud maailm võimaldab erinevais paigus olevatest andmetest ülikiirest otsimist ning tulemuste võrdlemist ning analüüsi – süüdi on digitaalteabe head omadused. Kui ei saa kaitsta tehniliste vahenditega, tuleb kaitsta seaduse jõuga Paberkandjal andmete maailmas ei olnud see teema aktuaalne, kuna puudusid efektiivsed teabe korrastamise, edastamise ja süstematiseerimise vahendid

4. Straßburgi (Strasbourg’i) konventsioon isikuandmete kaitse alusena • 28. jaanuar 1981, ETS 108 • Konventsiooni peamiseks eesmärgiks on tagada igale isikule, olenemata kodakondsusest või alalisest elukohast, tema põhiõiguste ja vabaduste austamine. Eriti on rõhutatud isikuandmete automatiseeritud töötlemisel isiku privaatsuse tagamist • On Riigikogu poolt ratifitseeritud (RT II, 2001, 1, 3) • Sellest konventsioonil algas isikuandmete kaitse tava Euroopas

5. Eurodirektiiv 95/46/EÜ • Täielik nimetus: ”Euroopa Parlamemndi ja Nõukogu direktiiv 95/46/EÜ üksikisikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta” • On vastu võetud Euroopa Parlamendi ja Euroopa Liidu Nõuogu poolt 24. oktoobril 1995 • Sätestab isikuandmete kaitse head tavad Euroopas, mis on üle võetud sh Eesti isikuandmete kaitse seaduses

6. II Isikuandmete kaitse seadus Isikuandmete kaitse seaduse eesmärk on isikuandmete töötlemisel füüsilise isiku põhiõiguste ja põhivabaduste kaitsmine kooskõlas avalike huvidega Seadus seab isikuandmete töötlemisele terve hulga piiranguid, tingimusi ja kohustusi Seaduse vana versioon pärines 1996. aastast (RT I 1996, 48, 944) ning seda oli palju muudetud Alates 1. oktoobrist 2003 kehtib uus seadus, mis on sõnastatud täiesti uuesti (paragrahvid ei kattu): RT I 2003, 26, 158

7. Isikuandmete kaitse seaduse kohaldamisala (§ 2 lg 2) Kohaldub igasugusele isikuandmete töötlemisele, v.a.: • füüsilise isiku poolt isiklikul otstarbel isikuandmete töötlemisele • avaliku teabe puhul • kui isikuandmeid edastatakse läbi Eesti territooriumi, ilma neid siin muul viisil töötlemata • riigisaladust sisalduvate isikuandmete puhul

8. Isikuandmete mõiste Isikuandmed(§ 4 lg 1)– andmed füüsilise isiku kohta, mis väljendavad isiku füüsilisi, pssüühilisi, füsioloogilisi, majanduslikke, kultuurilisi või sotsiaalseid omadusi, suhteid ja kuuluvust Isikuandmeteks loetakse kõik inimesega seostatud või seostatavad andmed

9. Isikuandmete töötlemine Isikuandmete töötlemine(§ 5)on iga andmetega tehtav toiming, sh kogumine, salvestamine, korrastamine, säilitamine, muutmine, juurdepääsu võimaldamine, päringute teostamine, väljavõtete tegemine, kasutamine, edastamine, ühendamine, sulgemine, kustutamine või hävitamine või mitu eeltoodud toimingut, sõltumata toimingute teostamise viisist või kasutatavatest vahenditest NB! Töötlemine ei ole ainult muutmine

10. Isikuandmete liigitus • Seaduse § 4 lglg 2-3 jagab isikuandmed kolme kategooriasse: • eraelulised isikuandmed • delikaatsed isikuandmed • muud isikuandmed NB! Vanas seaduses ei olnud eraelulisi andmeid sätestatud, nüüd on

11. Eraelulised isikuandmed • Eraelulised isikuandmedon: • perekonnaelu üksikasju kirjeldavad andmed • sotsiaalabi või sotsiaalteenuste osutamise taotlemist kirjeldavad andmed • isiku vaimseid või füüsilisi kannatusi kirjeldavad andmed • isiku kohta maksustamisega kogutud teave, välja arvatud teave maksuvõlgnevuste kohta

12. Delikaatsed isikuandmed, I • Delikaatsed isikuandmedon: • poliitilisi vaateid, usulisi ja maailmavaatelisi veendumusi kirjeldavad andmed • etnilist päritolu ja rassilist kuuluvust kirjeldavad andmed • andmed terviseseisundi või puude kohta • andmed pärilikkuse informatsiooni kohta • andmed seksuaalelu kohta

13. Delikaatsed isikuandmed, II • Delikaatsed isikuandmedon (järg): • andmed ametiühingu liikmelisuse kohta • kriminaalmenetluses või muus õigusrikkumise väljaselgitamise menetluses kogutav teave enne avalikku kohtuistungit või otsuse langetamist õigusrikkumise asjas või juhul, kui see on vajalik kõlbluse või inimeste perekonna- ja eraelu kaitseks või kui seda nõuavad alaealise, kannatanu, tunnistaja või õigusemõistmise huvid

14. Isikuandmete töötlemise põhimõtted (§ 6), I • Seaduslikkuse põhimõte– isikuandmeid võib koguda ausal ja seaduslikul teel • Eesmärgikohasuse põhimõte– isikuandmeid võib koguda üksnes määratletud ja õiguspäraste eesmärkide saavutamiseks ning isikuandmeid ei või töödelda viisil, mis ei ole andmetöötluse eesmärkide saavutamisega kooskõlas • Minimaalsuse põhimõte– isikuandmeid võib koguda vaid ulatuses, mis on vajalik määratletud eesmärkide saavutamiseks

15. Isikuandmete töötlemise põhimõtted, II • Kasutuse piiramise põhimõte– isikuandmeid võib muudel eesmärkidel kasutada üksnes andmesubjekti nõusolekul • Andmete kvaliteedi põhimõte– isikuandmed peavad olema ajakohased, täielikud ning vajalikud antud andmetöötluse eesmärgi saavutamiseks

16. Isikuandmete töötlemise põhimõtted, III • Turvalisuse põhimõte– isikuandmete kaitseks tuleb rakendada turvameetmeid nende tahtmatu või volitamata muutmise, avalikuks tuleku või hävimise eest • Individuaalse osaluse põhimõte– andmesubjekti tuleb teavitada tema kohta kogutavatest andmetest, talle tuleb anda juurdepääs tema kohta käivatele andmetele ja tal on õigus nõuda ebatäpsete või eksitavate andmete parandamist

17. Isikuandmete töötlemise lubatavus tulenevalt IKSist, I Üldreegel: isikuandmete töötlemine on lubatud ainult isiku nõusolekul (§ 11-14) Haldusorgan võib isikuandmeid töödelda üksnes avaliku ülesande täitmise käigus seaduse või välislepinguga ettenähtud kohustuse täitmiseks Nõusolek on selge ja teadlik andmesubjekti tahteavaldus, millega andmesubjekt lubab oma isikuandmeid töödelda

18. Isikuandmete töötlemise lubatavus tulenevalt IKSist, II • Andmesubjektile tuleb teada anda, kes ja mis eesmärgil tema andmeid hakkab töölema, kellele on üleandmine lubatud, kuidas andmesubjekt andmetele ligi saab ning parandamist ja sulgemist võib nõuda • Nõusolek kehtib andmesubjekti eluajal ja 30 aastat peale surma, kui andmesubjekt ei ole otsustanud teisiti • Nõusoleku võib igal hetkel tagasi võtta, kuid tagasivõtmisel ei ole tagasiulatuvat jõudu • Vaidluse korral eeldatakse, et töötlemiseks ei ole nõusolekut antud. Siit ka soovitus see kirjalikult vormistada eelkõige vastutava töötleja huvides

19. Isikuandmete töötlemine ilma isiku nõusolekuta Isikuandmete töötlemine ilma isiku nõusolekuta on lubatud (§ 14): • andmesubjektiga sõlmitud lepingu täitmiseks või lepingu täitmise tagamiseks • andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks • seaduse või välislepinguga ettenähtud ülesande täitmiseks

20. Delikaatsete isikuandmete töötlemise lubatavus • IKS lubab delikaatseid ja eraelulisi isikuandmeid töödelda, sealhulgas edastada ilma isiku nõusolekuta vaid: • seadusega ettenähtud kohustuse täitmiseks • andmesubjekti või muu isiku elu, tervise või vabaduse kaitseks (§ 14 lg 3) Erireegel haiglas viibiva andmesubjekti andmete osas: on lubatud lähedastele. On välistatud, kui see on andmesubjekti soov või on juurdepääsupiirangu kehtestanud uurimisasutus

21. Isikukoodi töötlemise lubatavus Isikukoodi töötlemine on lubatud (§ 16): • andmesubjekti nõusolekul • kui töötlemine on ette nähtud välislepingus, seaduses või määruses Kurioosum: digitaalallkirja infrastruktuur eeldab ja nõuab isikukoodi avalikustamist ja ID kaardi saamisel kirjutatakse vastavale nõusolekule alla. Keeld tuleneb euronõuetest

22. Teavitamis- ja registreerimiskohustus • Eraeluliste isikuandmete töötleja peab sellest teavitama andmekaitse järelevalveorganit, st Andmekaitse Inspektsiooni • Delikaatsete isikuandmete töötlemine tuleb Andmekaitse Inspektsioonis registreerida Tegevuste erinevad nimetused tulenevad põhjalikkuse astmest: registreerimisprotsess on keerukam ja mahukam kui teavitamisprotsess

23. Eraeluliste isikuandmete töötlemise teavitamine (§§ 21-23) Isikuandmete (vastutav) töötleja peab Andmekaitse Inspektsiooni eraelulisi isikuandmeid töötlemisest teavitama kui andmeid töödeldakse digitaalkujul või paberkandjate kogumis, kust isikuandmed on hõlpsasti kättesaadavad kindla kriteeriumi alusel Teavitamiskohustus ei kehti, kui isikuandmeid töödeldakse riigi põhiregistris või riiklikus registris või kui töötlemine toimub seaduse või määruse alusel

24. Delikaatsete isikuandmete töötlemise registreerimine (§§ 24-27) Vastutav töötleja on kohustatud registreerima delikaatsete isikuandmete töötlemise Andmekaitse Inspektsioonis Töötlemine registreeritakse viieks aastaks. NB! Vanas seaduses oli see tähtajatu! Registreerimistaotlus tuleb esitada vähemalt üks kuu enne delikaatsete isikuandmete töötlemise algust. Selle oluline lisa on andmete töötlemisel kasutatavate turvameetmete kirjeldus

25. Andmesubjekti õigused, I Andmesubjektil on õigus saada teavet ja tema kohta käivaid isikuandmeid isikuandmete töötlemisel (§§ 29-32) • Õigus teada: • milliseid isikuandmeid on kogutud • isikuandmete töötlemise eesmärke • isikuandmete koosseisu ja allikaid • kellele isikuandmete edastamine on lubatud

26. Andmesubjekti õigused, II Andmesubjektil on õigus saada enda kohta käivaid isikuandmeid üks kord aastas tasuta. Paberkandjal koopiate eest on õigus nõuda tasu alates 21. leheküljest kuni 3 krooni • Andmesubjekti õigust saada teavet ja enda kohta käivaid isikuandmeid piiratakse, kui see võib kahjustada: • teiste isikute õigusi ja vabadusi • lapse põlvnemise saladuse kaitset • kuriteo tõkestamist või kurjategija tabamist • kriminaalmenetluses tõe väljaselgitamist • Andmesubjekti tuleb tema õigusi piiravat otsusest viitega alusele teavitada

27. Turvanõuded töötluskeskkonnale • Isikuandmete töötleja on kohustatud kasutuselevõtma organisatsioonilised, füüsilised ja infotehnilised turvameetmed isikuandmete kaitseks (§ 19 lg 1): • andmete tervikluse osas – juhusliku või tahtliku volitamata muutmise eest • andmete käideldavuse osas – juhusliku hävimise ja tahtliku hävitamise eest ning õigustatud isikule andmete kättesaadavuse takistamise eest • andmete konfidentsiaalsuse osas – volitamata töötlemise eest.

28. Olulisemad tehnilised nõuded Isikuandmete kaitse seadus nõuab, et isikuandmete töötleja: • peab kaitsma andmeid juhusliku või tahtliku volitamatu muutmise eest (lg 1 p 1) • peab kaitsma andmeid juhusliku hävimise ja tahtliku hävitamise eest (lg 1 p 2) • peab kaitsma andmeid konfidentsiaalsuse osas volitamata töötlemise eest(lg 1 p 1) • peab võimaldamakindlaks teha, kelle poolt ja milliseid isikuandmeid salvesti, muudeti või kustutati (lg 2 p 3) On oma olemuselt käideldavuse, tervikluse ja konfidentsiaalsuse nõuded

29. Turvameetmete kirjalik dokumenteerimine Isikuandmete töötlemisel kasutatud turvameetmete üksikasjalikud kirjeldused tuleb isikuandmete kaitse seaduse § 25 lg 2 p 8 kohaselt kirjalikult dokumenteerida Delikaatsete isikuandmete töötlemise korral tuleb dee dokument tuleb esitada registreerimistaotluse lisana Andmekaitse Inspektsioonile töötlusloa saamiseks

30. Andmekogude seadus RT I 1997, 28, 423; RT I 1998, 36/37, 552; RT I 1999, 10, 155; RT I 2000, 50, 317; RT I 2000, 57, 373; RT I 2000, 92, 597; RT I 2001, 7, 17; RT I 2001, 17, 77; RT I 2002, 67, 375; RT I 2002, 63, 387, RT I 2003, 18, 107, RT I 2003, 26, 158 Andmekogude seadus sätestab riigi ja kohaliku omavalitsuse andmekogu valdamise, kasutamise ja käsutamise korra ning andmekogude pidamise, andmete väljastamise ja andmete kasutamise üldalused Seadus sätestab riiklike ja kohaliku omavalitsuse andmekogude asutamise, laiendamise, ühendamise ja likvideerimise põhimõtted Välja tuuakse andmete töötlemise nõuded ning vastutava ja volitatud töötleja õigused ja kohustused

31. Andmebaas Andmebaas — mingit rakendusvaldkonda toetav andmete kogum, mis on organiseeritud vastavalt kindlale struktuurile, kirjeldab andmete omadusi ja neile andmetele vastavate objektide vahelisi seoseid On reeglina terve hulk omavahel seostatud andmeid Sisaldab reeglina digitaalkujul andmeid Õiguslikul reguleerimisel kannab andmekogu nime

32. Andmekogu mõiste Andmekogu on riigi, kohaliku omavalitsuse, avalik-õigusliku või eraõigusliku isiku peetav korrastatud andmete kogum, mille pidamisel kasutatakse automatiseeritud andmetöötlust või mida peetakse käsitsi ja korrastatud vormidel, mis võimaldavad andmetega lihtsat tutvumist või nende mehhaanilist töötlemist On andmekogude seaduse definitsioon (§ 2 lg 1) ja ei ole kõige paremini õnnestunud

33. Andmekogu mõiste kitsendused Andmekogu pole sugugi mitte igasugune andmete kogum või kogumite hulk, vaid kogum peab vastama teatud tingimustele: • andmekogu peab sisaldama andmeid mingi kindla objekti kohta • andmed peavad olema korrastatud, mis võimaldab neid töödelda • andmekogul on omanik e vastutav töötleja Andmekogu ei ole pelgalt andmebaas, vaid õigusaktides sätestatud korras toimiv üksus, millel on kindlaid ülesandeid täitev omanik, kes võib olla andmekogu pidajaks ning selle eest ka vastutab

34. Vastutav ja volitatud töötleja Vastutavaks töötlejaks on andmekogude seaduse põhjal andmekogu omanik. Riigi või kohaliku omavalitsuse andmekogu vastutava töötleja õiguste teostaja määratakse seaduses või seaduse alusel Volitatud töötleja on isik, kes peab andmekogu või töötleb andmeid andmekogu vastutava töötleja tellimusel Volitatud töötleja on seega andmekogu tehniline pidaja

35. Avaliku teabe seadus RT I 2000, 92, 597; RT I 2002, 61, 375; RT I 2002, 63, 387, RT I 2003, 25, 153, RT I 2003, 26, 158 Avaliku teabe seaduse eesmärk on tagada üldiseks kasutamiseks mõeldud teabele avalikkuse ja igaühe juurdepääsu võimalus, lähtudes demokraatliku ja sotsiaalse õigusriigi ning avatud ühiskonna põhimõtetest, ning luua võimalused avalikkuse kontrolliks avalike ülesannete täitmise üle Seadus sätestab viisid, kuidas tuleb avalikku teavet levitada

36. Avaliku teabe mõiste Avalik teave on igasugune teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites ja mis pole kuulutatud saladuseks(§ 3) Avaliku teabevaldaja on kohustatud võimaldama juurdepääsu tema valduses olevale teabele seaduses sätestatud korras (§ 4) Asutuse dokumendiregister koos avalike dokumentidega tuleb avaliku teabe seaduse alusel avalikustada veebis

37. Turvanõuded avalikule teabele • Käideldavus- ja terviklusnõuded (§ 32 lg 1): • Veebilehte pidav asutus: • teavitab avalikkust veebilehega tutvumise võimalustest, avalikustades andmeside aadressid ja nende muudatused • avaldab veebilehel päevakohast teavet • ei või avalikustada veebilehel teavet, mis on vananenud, ei vasta tegelikkusele või eksitab • rakendab viivitamata abinõusid veebilehele juurdepääsu takistavate tehniliste probleemide kõrvaldamiseks

38. Eraeluliste andmete eraldamine avalikust teabest • § 37 lg 1: isikuandmeteks, mille suhtes kehtib juurdepääsupiirang ja mis on ette nähtud asutusesiseks kasutamiseks, loetakse delikaatsed ja muud eraelulised andmed • lg 3: Muud eraelulised isikuandmed on: • perekonnaelu üksikasju kirjeldavad andmed • sotsiaalabi või sotsiaalteenuste osutamise taotlemist kirjeldavad andmed • isiksuseomadusi, võimeid või muid isiku iseloomuomadusi kirjeldavad andmed • isiku vaimseid või füüsilisi kannatusi kirjeldavad andmed • isiku kohta maksustamisega kogutud teave, välja arvatud teave maksuvõlgnevuste kohta

39. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, I • Riigi- ja kohaliku omavalitsuse asutus peab pidama teatud omadustega veebilehte: § 31 Veebilehe pidamise kohustus (1) Riigikogu Kantselei, Vabariigi Presidendi Kantselei, Õiguskantsleri Kantselei, Riigikontroll, kohtud, Kaitsejõudude Peastaap, valitsusasutused ja avalik-õiguslikud juriidilised isikud on kohustatud pidama teabe avalikustamiseks veebilehte.

40. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, II § 31 Veebilehe pidamise kohustus (2) Linna- ja vallavalitsus korraldab veebilehe pidamise oma linna või valla organite ja asutuste tegevuse kajastamiseks ja nende valduses oleva teabe avalikustamiseks. Linna- ja vallavalitsused võivad lepingu alusel korraldada ühise veebilehe pidamist. (3) Riigikantselei, ministeeriumid ja maavalitsused on kohustatud kasutusele võtma abinõud hallatavate riigiasutuste poolt veebilehtede pidamiseks.

41. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, III • § 32. Riigi- ja kohaliku omavalitsuse asutus veebilehe pidamise nõuded • Veebilehte pidav asutus: • 1) teavitab avalikkust veebilehega tutvumise võimalustest, avalikustades andmeside aadressid ja nende muudatused; • 2) avaldab veebilehel päevakohast teavet; • 3) ei või avalikustada veebilehel teavet, mis on vananenud, ei vasta tegelikkusele või eksitab; • 4) rakendab viivitamata abinõusid veebilehele juurdepääsu takistavate tehniliste probleemide kõrvaldamiseks.

42. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, IV § 32. Riigi- ja kohaliku omavalitsuse asutus veebilehe pidamise nõuded (2) Teabevaldaja märgib veebilehel iga dokumendi avalikustamise kuupäeva ja millal on teave veebilehel uuendatud. (3) Riigikantselei, ministeeriumi ja maavalitsuse veebilehelt peab olema võimalik otse juurde pääseda nende halduses olevate asutuste veebilehtedele.

43. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, V § 56. Veebilehe pidamise alustamine (2) Käesoleva seaduse §-s 31 nimetatud teabevaldajad alustavad käesoleva seaduse nõuetele vastava veebilehe pidamist mitte hiljem kui 2002.aasta 1. märtsist

44. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, VI • Asutuse dokumendiregistri pidamist nõutakse digitaalkujul: • § 11. Asutuse dokumendiregister • Asutuse dokumendiregister on digitaalselt peetav andmekogu, mida asutusse saabunud ja asutuses koostatud dokumentide registreerimiseks ja neile juurdepääsu tagamiseks peab riigi- või kohaliku omavalitsuse asutus või avalik-õiguslik juriidiline isik

45. Digitaalteabe vajalikkus avaliku teabe seaduse valguses, VII • Digitaalne dokumendiregister peab olema asutuse veebilehelt täies mahus kättesaadav: • § 28. Teabevaldaja kohustus teave avalikustada • (1) Teabevaldaja on kohustatud avalikustama tema ülesannetega seotud olemasoleva teabe: • ... • 31) asutuse dokumendiregistri • ... • § 29. Teabe avalikustamise viisid • (1) Käesoleva seaduse § 28 lõikes 1 loetletud teave tuleb avalikustada veebilehel.

46. Iga avaliku dokumendihaldussüsteemi kaks põhinõuet Digitaalse asjaajamise süsteemi ehitades tuleb leida mõistlik ja toimiv kompromiss jörgmiste omaduste vahel: • Avaliku teabe avalikustamine veebis koos selle õigsuse (tervikluse) tagamisega: seda nõuab avaliku teabe seadus • Konfidentsiaalse teabe (nt isikuandmete) konfidentsiaalsuse tagamine isikute ees, kes ei tohi neid kätte saada Need on iga (digitaalse) dokumendihaldussüsteemi kaks põhinõuet

47. Käesoleva ettekande materjalid (MS PowerPoint 2000 vormingus) on saadaval veebis aadressil http://www.itcollege.ee/~valdo/taiend/plokk2-4.ppt Edasised küsimused palun aadressil mois@mois.ee

48. Tänan tähelepanu eest!