Isikuandmete kaitse haridusasutuses .

1. Urmas Kukk 29.01.2019 Isikuandmete kaitse haridusasutuses.

2. Urmas KukkCIPP/E 2003 – 2008 Andmekaitse Inspektsioon International Association of Privacy Professionals Eesti Andmekaitse Liit Advokaadibüroo Koch ja Partnerid vibu maastikulaskmine

3. Andmekaitse • Kellel on vaja – kättesaamine kiiresti ja mugavalt. • Kellel ei ole vaja – ei tohi tihti teadagi, et teavet töödeldakse. • ‏

4. Eraelu • Piirid ja sisu otsustab igaüks ise. • Väljast saab hinnata ainult sekkumise õigustatust ja sekkumise määra õigustatust. • ‏

5. Eraelu • Passiivne iseolemine (privaatsus) – oma eraelu kaitseks ei pea ise midagi tegema, teised on kohustatud hoiduma sekkumisest.Aktiivne iseolemine – igaühe õigus otsustada kui palju oma eraelust avaldada teistele. • ‏

6. Andmete omand Üldmääruse jõustumisega ei saanud isik enda kohta käivate omanikuks. Isik on kogu aeg olnud enda kohta käivate andmete omanik. ‏

7. Isikuandmete kaitse üldmäärus • Euroopa Parlamendi ja Nõukogu määrus (EL) 2016/679, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM). • Rakendatakse alates 25.05.2018 • ‏

8. Isikuandmete kaitse üldmäärus • Tähte närides – GDPR Eestis ei kehti! • ‏

9. Üldmäärus • Ei kohaldata: • 1. töödeldakse tegevuse käigus, mis ei kuulu EL õiguse kohaldamisalasse; • 2. riigiasutus töötleb välis- või julgeoleku poliitika elluviimiseks; • 3. füüsiline isik töötleb eranditult isiklike või koduste tegevuste käigus; • ‏

10. Üldmäärus • Ei kohaldata: • 4. töötlejaks on õiguskaitseorgan • Sel juhul rakendatakse direktiivi (EL) 2016/680. • ‏

11. Üldmäärus • Üldmäärus ei kehtesta reegleid isikuandmete kaitsele. • Üldmäärus kehtestab reeglid isikuandmete töötlemisele. • ‏

12. Üldmäärus • IKÜM ei käsitle eraldi laste isikuandmete töötlemist või isikuandmete töötlemist haridusasutustes. • ‏

13. Haridusseadus • Ei käsitle eraldi laste või üldse isikuandmete töötlemist. • ‏

14. Koolieelse lasteasutuse seadus • Ei käsitle eraldi laste või üldse isikuandmete töötlemist. • ‏

15. Põhikooli- ja gümnaasiumiseadus • §10 lg2 – Koolikohustuslike isikute üle arvestuse pidamist korraldab valla- või linnavalitsus. • ‏

16. Põhikooli- ja gümnaasiumiseadus §44 lg5 – Kool võib õpilaste ja koolitöötajate turvalisust ohustava olukorra ennetamiseks ning olukorrale reageerimiseks kasutada kooli territooriumil jälgimisseadmestikku turvaseaduses sätestatud tähenduses ja korras, arvestades isikuandmete kaitse seaduses sätestatud nõudeid.‏

17. Põhikooli- ja gümnaasiumiseadus §46 Koolipidaja ja kooliülesandedvajaliku toe väljaselgitamisel ja rakendamisel lg7 – Hindamise, testimise ja uuringute tulemused, samuti õpetajate tähelepanekud, tugispetsialistide ning koolivälise nõustamismeeskonna antud soovitused, rakendatud teenused ja tugi ning hinnang nende tulemuslikkuse kohta kantakse õpilase individuaalse arengu jälgimise kaardile. Direktor määrab koolis isiku, kes vastutab selle kaardi täitmise eest.

18. Põhikooli- ja gümnaasiumiseadus §47 Soovituse andmine õppe ja kasvatuse korraldamiseks ning tugiteenuste rakendamiseks lg5 – Koolivälise nõustamismeeskonna liikmel on õigus vanema nõusolekul töödelda soovituse andmiseks vajalikke õpilase isikuandmeid, sealhulgas delikaatseid isikuandmeid, üksnes soovituse andmiseks vajalikus mahus ja ulatuses.

19. Põhikooli- ja gümnaasiumiseadus §47 täitmiseks vajalike andmete loetelu jne on kehtestatud haridus- ja teadusministri 08.02.2018 määrusega nr 2: §3 – Koolivälise nõustamismeeskonna liikmel on õigus vanema nõusolekul töödelda soovituse andmiseks vajalikke õpilase isikuandmeid, sealhulgas delikaatseid isikuandmeid, üksnes soovituse andmiseks vajalikus mahus ja ulatuses.

20. Määrus nr 2 §3.  Taotluse sisu   Taotlus peab sisaldama: 1) lapse ees- ja perekonnanime, isikukoodi või selle puudumisel sünniaega; 2) taotluse eesmärki; 3) õppeasutuse nime, rühma või klassi, kus laps käib või õpib; 4) taotleja ees- ja perekonnanime, isikukoodi ja kontaktandmeid; 5) taotlejale soovituse teatavaks tegemise viisi; 6) taotluse esitamise kuupäeva ja taotleja allkirja.

21. Määrus nr 2 §4.  Soovituse andmiseks esitatavate andmete loetelu  (1) Soovituse andmiseks lisatakse taotlusele järgmised dokumendid: 1) lapse isikut tõendav dokument või sünnitunnistus, kui andmed ei ole kättesaadavad rahvastikuregistrist; 2) volitatud esindaja esindusõigust tõendav volikiri, kui taotluse esitab volitatud esindaja; 3) koolieelses lasteasutuses käiva lapse individuaalne arenduskava või koolieelses lasteasutuses või ettevalmistusrühmas käiva lapse kohta pedagoogi koostatud iseloomustus või koolivalmiduskaart (selle olemasolul);

22. Määrus nr 2 §4.  Soovituse andmiseks esitatavate andmete loetelu  4) õpilase individuaalse arengu jälgimise kaart; 5) kooli koostatud ülevaade õpilase eelneva(te) õppeaasta(te) õpitulemustest või väljavõte õpilasraamatust, mis võimaldab hinnata õpilase arengudünaamikat; 6) perearsti või eriarsti või muu erialaspetsialisti hinnang, kui see on nõustamismeeskonna hinnangul vajalik erivajaduse täpsustamiseks ja soovituse andmiseks;

23. Määrus nr 2 § 4.  Soovituse andmiseks esitatavate andmete loetelu  7) rehabilitatsiooniplaani või -programmi või rehabilitatsiooni teenuse osutamiseks koostatud tegevuskava (selle olemasolul); 8) puude raskusastme tuvastamise otsus (selle olemasolul).  (2) Nõustamismeeskond võib vajadusel nõuda täiendavaid dokumente ja spetsialistide hinnanguid, kui need on vajalikud soovituse andmiseks.

24. Kutseõppeasutuse seadus • Ei käsitle eraldi laste või üldse isikuandmete töötlemist. • ‏

25. Rakenduskõrgkooli seadus • Ei käsitle eraldi isikuandmete töötlemist. • ‏

26. Täiskasvanute koolituse seadus • Ei käsitle eraldi isikuandmete töötlemist. • ‏

27. Erakooli seadus • §55 Tegevuslubaantakseisikule, kuitavastabjärgmistelenõuetele: •  5) erakool on täitnud isikuandmete kaitse seadusest tulenevad delikaatsete isikuandmete töötlemise nõuded; • ‏

28. Erakooli seadus • §55 Tegevuslubaantakseisikule, kuitavastabjärgmistelenõuetele: •  5) erakool on täitnud isikuandmete kaitse seadusest tulenevad delikaatsete isikuandmete töötlemise nõuded; • ‏

29. Huvikooli seadus • Ei käsitle eraldi isikuandmete töötlemist. • ‏

30. Isikuandmetetöötlemisepõhimõtted Töötlemine peab olema seaduslik, õiglane ja andmesubjektile läbipaistev. • ‏

31. Seaduslikkus Töötlemine on seaduslik kui: - andmesubjekt on andnud nõusoleku - andmete töötlemine on vajalik andmesubjekti osalusel sõlmitud lepingu täitmiseks või lepingu sõlmimisele eelnevate meetmete võtmiseks vastavalt andmesubjekti taotlusele;

32. Seaduslikkus • Töötlemine on seaduslik kui: • - see on vajalik töötleja juriidilise kohustuse täitmiseks; • - see on vajalik andmesubjekti või mõne muu füüsilise isiku eluliste huvide kaitsmiseks; • - see on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks;

33. Seaduslikkus • Töötlemine on seaduslik kui: • - see on vajalik töötleja või kolmanda isiku õigustatud huvi korral, välja arvatud juhul, kui sellise huvi kaaluvad üles andmesubjekti huvid või põhiõigused ja - vabadused, mille nimel tuleb kaitsta isikuandmeid, eriti juhul kui andmesubjekt on laps. • Ei kohaldata, kui andmeid töötleb avaliku sektori asutus oma ülesannete täitmiseks.

34. Isikuandmetetöötlemisepõhimõtted • Isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis on nende eesmärkidega vastuolus. • ‏

35. Isikuandmetetöötlemisepõhimõtted • Isikuandmed on asjakohased, olulised ja piiratud sellega, mis on vajalik nende töötlemise eesmärgi seisukohalt. • ‏

36. Isikuandmetetöötlemisepõhimõtted • Isikuandmed peavad olema õiged ja vajaduse korral ajakohastatud ning et võetakse kõik mõistlikud meetmed, et töötlemise eesmärgi seisukohast ebaõiged isikuandmed kustutaks või parandataks viivitamata. • ‏

37. Isikuandmetetöötlemisepõhimõtted • Isikuandmeid võib säilitada kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse. • ‏

38. Isikuandmetetöötlemisepõhimõtted • Isikuandmeid võib töödelda viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävitamise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. • ‏

39. Isikuandmetetöötlemisepõhimõtted • Põhimõtete täitmise eest vastutab vastutav töötleja. • Põhimõtete täitmist peab võimeline olema tõendama vastutav töötleja. • ‏

40. Nõusoleku tingimused • Nõusoleku olemasolu peab tõendama töötleja. • Kirjaliku nõusoleku taotlus peab arusaadavalt ja lihtsasti kättesaadaval kujul, selges ning lihtsas keeles olema selgelt eristatav muust dokumendist.

41. Nõusoleku tingimused • Nõusoleku võib igal ajal tagasi võtta. • Tagasivõtmine ei oma tagasiulatuvat jõudu. • Nõusoleku tagasivõtmise õigusest tuleb teavitada enne nõusoleku andmist.

42. Nõusoleku tingimused • Kui lepingu täitmise (sh teenuse osutamise) tingimuseks on nõusolek isikuandmete töötlemiseks, mis ei ole vajalik lepingu täitmiseks, siis ei pruugi nõusolek olla vabatahtlik.

43. Nõusolekut ei ole vaja - lepingu täitmine või lepingu täitmise tagamine; - töötleja kohustuste täitmine; - isiku eluliste huvide kaitsmiseks; - avalikes huvides või avaliku võimu teostamisel, - õigustatud huvi korral.

44. Mõisted • Isikuandmed – igasugune teave tuvastatud või tuvastatava füüsilise isiku („andmesubjekti“) kohta. • ‏

45. Isikuandmed Direktiiv 95/46 Määrus 2016/679 Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige sellise identifitseerimistunnuse põhjal nagu nimi, isikukood, asukohateave, võrguidentifikaator või selle füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal Tuvastatav isik on isik, keda saab otseselt või kaudselt tuvastada, eelkõige isikukoodi põhjal või ühe või mitme tema füüsilisele, füsioloogilisele, vaimsele, majanduslikule, kultuurilisele või sotsiaalsele identsusele omase joone põhjal.

46. Mõisted • Isikuandmete töötlemine - isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum. • ‏

47. Mõisted • Isikuandmete töötlemise piiramine – säilitatud isikuandmete märgistamine eesmärgiga piirata nende edaspidist töötlemist. • ‏

48. Mõisted • Profiilianalüüs – igasugune isikuandmete automatiseeritud töötlemine, mis hõlmab isikuandmete kasutamist füüsilise isikuga seotud teatavate isiklike aspektide hindamiseks. • ‏

49. Mõisted • Pseudonüümiseerimine – isikuandmete töötlemine sellisel viisil, et isikuandmeid ei saa enam täiendavat teavet kasutamata seostada konkreetse andmesubjektiga. • ‏

50. Mõisted • Isikuandmetega seotud rikkumine – turvanõuete rikkumine, mis põhjustab andmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise või loata avalikustamise või neile juurdepääsu. • ‏