Järgmise aasta maist hakatakse kohaldama Euroopa Liidu isikuandmete kaitse üldmäärust 2016/679. Kuigi üldmäärus on otsekohalduv, jätab ta liikmesriikide seadusandjatele teatud mänguruumi. Seda iseäranis avaliku sektori andmetöötluses, kirjutab Andmekaitse Inspektsiooni peadirektor Viljar Peep.
- Andmekaitse Inspektsiooni peadirektor Viljar Peep. Foto: Raul Mee
Andmekaitseõiguse vundament on ikka seesama mis enne. Kõik senised andmekaitsedirektiivist tulenevad ja tänases Eesti seaduses kajastuvad põhimõtted kehtivad ikka edasi.
Tõsi, vana vundamendi (seniste põhimõtete) peale on ehitud uus, senisest suurem hoone (uue sõnastusega õigusaktid). Ühe maja mööbel ei pruugi täpselt sobida teise majja. Samamoodi ei pruugi kõik senised ettevõtetes ja asutustes kasutusel olevad infohaldusviisid ja käitumismustrid, lepinguvormid ja dokumendipõhjad sobida uude olukorda.
Üldmääruse läbiv joon on riskipõhine lähenemine. Mida tundlikum andmetöötlus, seda rangemad reeglid. Ettevõte ja asutus, kel tundlikku andmetöötlust pole ning kes ka seni reegleid korralikult täitis, ei pea suuri muudatusi tegema.
Kes aga kogub ja kasutab tundlikku isikuteavet ja suuri andmemassiive, teeb automaatprofileerimist või ulatuslikku kaamerajälgimist, peaks kindlasti oma töökorralduse, infosüsteemid ja dokumendipõhjad üle vaatama.
Suurim sisuline muutus, mis ootab kogu erasektorit, on isikuandmete ülekantavus. Inimene võib võtta oma digitaalandmed ettevõttest A ja viia nad ettevõttesse B. Ettevõttel, kel on põhjust selliseid soove palju oodata, on mõistlik kulude optimeerimiseks ning klientide rahuolu suurendamiseks oma infosüsteem(id) üle vaadata – et andmeid oleks võimalikult hõlbus ja lihtne üle kanda. Arvestama peab ka struktureeritud üldkasutatava masinloetava vormingu nõudega. Ülekantavuse kohta saad täpsemalt lugeda
siit.
2018. aasta muudatusteks valmistumisel vajab nii era- kui ka avalik sektor korraga suurel hulgal asjatundjaid. Inspektsioon pidas ettevõtlus- ja erialaorganisatsioonide ja ülikoolidega nõu. Selle tulemusena sündis
andmekaitsespetsialisti ülesannete, teadmiste ja oskuste kirjeldus.
Uus andmekaitseõigus sisaldab era- ja avaliku sektori jaoks päris arvestatavaid erisusi. Seetõttu jagame põhisoovitused kaheks: soovitused ettevõtjatele ja soovitused asutuste juhtidele.
Soovitused ettevõtjatele
Andmekaitsespetsialist
Olenemata sellest, kas peate üldmääruse kohaselt (art. 37-39) määrama andmekaitsespetsialisti või mitte, leidke endale abiks asjatundja. Ärge usaldage diletante! Vaadake, kas saadate omaenda töötaja soliidsele täiendkoolitusele või kas majaväline nõustaja on asjakohast koolitust saanud. Ta peab oskama sidustada andmekaitse ja infoturbe nõudeid reaalselt teie ettevõtte tööprotsesside ja infosüsteemidega. Teil ei ole kasu teoreetikust, kes oskab vaid papagoina õigusnorme korrutada.
Andmekaitsespetsialisti määramisest saab täpsemalt lugeda
siit.
Andmekaitsespetsialisti teadmised ja oskused on kirjeldatud
siin.
Tervikhindamine
Kui isikuandmete kogumine ja kasutamine teie ettevõttes on suuremahuline või sisaldab olulisi riske, võtke ette oma andmetöötluse tervikhindamine. Vaadake uue andmekaitseõiguse pilguga üle kogu oma töökorraldus, infosüsteemid ja dokumendipõhjad. Nii saate ühekorraga tervikliku tulemuse, mis
- sisaldab andmekaitselist mõjuhinnangut (üldmääruse art. 35) koos riskide maandamisega;
- sisustab andmetöötlusregistri (art. 30);
- juurutab lõimitud ja vaikimisi andmekaitset (art. 25);
- juurutab rikkumistest teatamise protseduurid (art. 33, 34);
- dokumenteerib klientidele ja partneritele avaldamiseks ettevõtte andmekaitsetingimused (art. 12-22 nõuded).
Andmete ülekantavus
Kindlasti vaadake üle andmete ülekantavus (art. 20) oma tööprotsessides ja infosüsteemides. See saab tõenäoliselt olema rakendustegevustest kulukaim ja aeganõudvaim. Ülekantav info peab ju olema üldkasutatavas masinloetavas vormingus struktureeritud kujul. Ärge jätke seda viimasele minutile, sest seda võidakse teilt nõuda juba üldmääruse kohaldamise esimesest päevast peale.
Soovitused asutuste juhtidele
Andmekaitsespetsialist
Andmekaitsespetsialisti (art. 37-39) määramine on kohustuslik kõigis avaliku sektori asutustes, muus on soovitus kokkulangev ettevõtetele antud soovitusega.
Tervikhindamine
Viige läbi oma asutuse andmetöötluse tervikhindamine, mis arvestaks nii üldmäärust, avaliku teabe seadust kui ka konkreetselt teie asutusele suunatud õigusakte. Teie töökorraldus, infosüsteemid ja dokumendipõhjad peavad nende kõigiga arvestama. Nii saate ühekorraga tervikliku tulemuse, mis
- sisaldab andmekaitselist mõjuhinnangut (üldmääruse art. 35) koos teabe avaandmetena kättesaadavaks tegemise mõjuhinnanguga (avaliku teabe seaduse § 31 lg 3 ja § 28 lg 1 p 312, sh nn massipiirangute ja litsentside seadmise vajaduse läbikaalumisega),
- sisustab andmetöötlusregistri (art. 30),
- katab andmekogu pidamise seniste nõuete üldmäärusega vastavusse viimise koos andmekogu kohta riigi infosüsteemi haldussüsteemi sisestatu uuendamisega (avaliku teabe seaduse 51. ptk),
- katab dokumendiregistri pidamise nõuded (avaliku teabe seaduse §-d 11 ja 12, sh 16.01.2016 jõustunud nõue näidata avalikus vaates füüsiliste isikute andmed umbisikustatult),
- juurutab lõimitud ja vaikimisi andmekaitset (art. 25),
- juurutab rikkumistest teatamise protseduurid (art. 33, 34) ning
- dokumenteerib asutuse andmetöötlustingimused (art. 12-22 nõuded), mis avaliku teabe seaduse § 28 lg 1 p 311 kohaselt tuleb avaldada asutuse võrgulehel.
Avaliku sektori asutused, kes pakuvad füüsilisest isikust klientidele kaupu ja teenuseid tsiviilõiguslikul alusel, peaksid rakendama andmete ülekantavuse sarnaselt ettevõtetega (art. 20).
Autor: Viljar Peep, Andmekaitse Inspektsiooni peadirektor
Seotud lood
PwC maksukonsultatsioonide osakonna juht Hannes Lentsius tutvustab maksuhalduri uusi töösuundi ja potentsiaalsete maksuõigusrikkujate leidmiseks loodud infokogumise lisavõimalusi.
Järgmisel aastal kehtima hakkav määrus tähendab ulatuslikke kohustusi kõikidele isikuandmeid töötlevatele firmadele, nõuete rikkumine võib tuua kuni 20 miljoni euro suuruse trahvi.
Naljakas mõelda, aga kuna meie mõtted ja tegevused on vähemalt 95% ulatuses samad, mis eelneval päeval, on inimeste käitumismustreid väga lihtne ennustada. Neid teadmisi saab aga väga edukalt ära kasutada ärilises tegevuses.
Tieto on maailma esimene börsiettevõte, mille juhatuse liikmeks on tehisintellekt. Tieto äriarendusjuht Heiti Mering rääkis Pärnu Finantskonverentsil roboti ülesannetest nende juhtkonnas ja tulevikusuundumustest.
Eesti turul üle 30 aasta tegutsenud Smarten Logistics pakub kolmanda osapoole logistikat ehk 3PL. Me hoolitseme kõige logistikaga seonduva eest: alates laovarude planeerimisest, kaupade vastuvõtust, arvele võtmisest, ladustamisest ning lõpetades nende klientideni toimetamisega. Lähemalt räägib Martin Karolin Smarteni müügiosakonnast.
Hetkel kuum
Tagasi Finantsuudised esilehele