Andmekaitse põhimõtted

Andmekaitse põhimõtted (edaspidi: Põhimõtted) kehtivad Riigi Infokommunikatsiooni Sihtasutuse (edaspidi: RIKS) ja temaga lepingulises suhtes oleva Kliendi (sh tema töötaja, füüsilisest isikust esindaja, koostööpartneri, edaspidi: Andmesubjekt) ning RIKS administratiivalal viibiva isiku suhtes (edaspidi: kolmas isik või Andmesubjekt).

Andmete vastutavaks töötlejaks on Riigi Infokommunikatsiooni Sihtasutus, Ädala 29, Tallinn, registrikood 90006101.

1.1. Põhimõtted määravad kindlaks selle, kuidas RIKS võib Kliendile Teenuste osutamise raames Kliendi või kolmanda isiku Andmeid töödelda ning annavad teavet Andmete kasutamisega seotud olulistes küsimustes.
1.2. RIKS on avaldanud Põhimõtted oma kodulehel. RIKSil on õigus eeldada, et Klient on Põhimõtetest teadlik. RIKS administratiivalale sisenenud kolmas isik saab Põhimõtetega soovi korral tutvuda turvatöötaja juures pääslas.
1.3. Põhimõtted ei kajasta muude ettevõtete veebilehtede ega nende poolt pakutavate teenuste kohast andmetöötlust, seda ka siis kui neid kasutatakse läbi RIKS võrgu või teenuste.
1.4. Põhimõtetes tutvustame mida teeme Andmete kaitsmiseks, kuidas neid töötleme ja millised on andmesubjekti õigused oma isikuandmetega seoses.
1.5. RIKS lähtub Andmete töötlemisel Eesti ja Euroopa Liidu õigusaktidest, kogume andmeid selgelt kindlaksmääratud ja õiguspärastel eesmärkidel.
1.6. RIKSil on õigus igal ajal muuta Põhimõtteid, et hoida need ajakohasena ja kättesaadavana RIKS kodulehel. Olulistest muudatustest teavitame kodulehe kaudu, e-kirja teel või muul mõistlikul viisil.

2. Isikuandmed ja nende jaotumine
Isikuandmed on igasugune teave otseselt või kaudselt tuvastatud või tuvastatava füüsilise isiku (ehk andmesubjekti) kohta (nimi, isikukood, asukohateave, võrguidentifikaator, füüsilise isiku ühe või mitme füüsilise, füsioloogilise, geneetilise, vaimse, majandusliku, kultuurilise või sotsiaalse tunnuse põhjal).

RIKSis on Andmed grupeeritud järgmiselt:
2.1. Põhiandmed
Põhiandmete hulka kuuluvad näiteks: ees- ja perekonnanimi, isikukood, isikut tõendava dokumendi (nt pass, ID-kaart) number ja muu sellega seotud info, aadress, e-posti aadress, tellitud teenuste või toodete info (nt teenuse koosseis, lisateenused, parameetrid, teenuse aadress, kasutatavad seadmed jms) ja sellega seotud staatiline IP-aadress, domeeninimi või seadme seerianumber, arveldusinfo (nt arve aadress, viitenumber, arveldusaadress jms), jne.
Andmed saame kliendilt endalt ja läbi kliendi poolt teenuste kasutamise, samuti kolmandatelt isikutelt RIKS administratiivalale juurdepääsu taotlemisel. Teatud põhiandmeid saame ka riiklikest registritest.
2.2. Sideandmed

Elektroonilise side seaduse alusel osutatavate teenuste kasutamisel tekkivad andmed, mida RIKS töötleb side edastamise eesmärgil Sidevõrgus. Sideteenuste kasutamisel tekkivad andmed võivad sisaldada näiteks andmeid lõppseadmete, side alguse- ja lõpuaegade, side kestuse ja marsruutimise kohta, samuti infot andmeedastusprotokolli, edastatud andmete mahu, teenuse osutamise või lõppseadme asukoha kohta (vt Asukoha andmed), edastatud andmete formaati ja muud sarnast infot.
2.3. Asukoha andmed
Asukohaandmed on teenuse kasutamisel tekkivad andmed lõppseadme geograafilise asukoha või teenuse osutamise asukoha kohta. Samuti on asukohaandmed seotud isikuga RIKS administratiivalal viibides ning liikumine on fikseeritud videovalve- ja läbipääsusüsteemi poolt. Sellised andmed võivad olla Kliendiga ja kolmanda isikuga seostatavad otseselt (andmed viitavad konkreetselt ühele füüsilisele isikule) või kaudselt (neid saab Kliendiga või kolmanda isikuga seostada läbi täiendava informatsiooni või töötluse kaudu). Andmed saame Kliendilt nende teenuste kasutamise kaudu kus asukoha määramine on vajalik või kui Klient või kolmas isik liigub RIKS administratiivalal.
2.4. Sõnumisisu
Sõnumisisu on igasugune kahe isiku vahel elektroonilise side teenust kasutades toimunud suhtlus, näiteks telefonikõnede ja e-kirjade sisu. Kui klient pöördub sidevahendite kaudu RIKSi poole (helistades näiteks asutuse üldtelefonile, juhtimiskeskuse või klienditeeninduse telefonile või saates e-kirja) või RIKS kliendi poole, on meil õigus kasutada ja salvestada sõnumisisuks olnud andmeid eesmärgipäraselt (nt sündmuse tõendamiseks, teeninduskvaliteedi tagamiseks jms). Andmed saame omavahelise suhtlemise käigus.
2.5. Eriliigilised isikuandmed
RIKSi eesmärgiks ei ole koguda eriliigilisi isikuandmeid (rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta), kuid need võivad meile teatavaks saada juhuslikult omavahelise suhtluse kaudu, kui isik need andmed avaldab. 

3. Isikuandmete töötlemine
RIKS lähtub isikuandmete töötlemisel isikuandmete kaitse üldmääruse artiklist 5, mis sätestab mitmed põhimõtted kuidas isikuandmeid võib töödelda. RIKS töötleb andmeid seadusest tuleneva kohustuse täitmiseks, lepingu täitmiseks, õigustatud huvi alusel ja andmesubjekti nõusoleku alusel.
3.1. Seadusest tuleneva kohustuse täitmiseks
Tegemist on kohustusliku andmete töötlemisega, sest RIKSilt nõutakse seda seadusega. Seadusest tulenevate kohustuste täitmisel isikuandmete töötlemise osas ei ole RIKSil ega andmesubjektil alust arutleda. Töötlemise eesmärkide alla kuulub kohustus tuvastada kõik RIKS administratiivalale sisenevad isikud ja sõidukid, korraldada raamatupidamist, tagada sideteenuse kvaliteeti, säilitada sideandmeid, teavitada järelevalveasutusi ja/või andmesubjekte toimunud rikkumistest, tagada turvalisus teenuste osutamisel jne.

Teenuste osutamisel on RIKSil kohustus täita kliendile antud lubadust ning seda ei ole võimalik saavutada andmeid töötlemata.
Töötlemise eesmärkide alla kuulub näiteks kliendisuhtluse korraldamine, kliendikontaktide haldus, infopäringute, tellimuste, lepingute haldamine, teenuse mittevastavuste kõrvaldamine, teenuse kvaliteedi tagamine vastavalt kokkulepitule, võrgu- ja teenuste toimepidevuse ja turvalisuse tagamine, arvete koostamine, esitamine, maksete laekumiste haldus, teenuste tehniline seire mittevastavuste varajaseks tuvastamiseks.
3.3. Õigustatud huvi
Õigustatud huvi tähendab seda, et RIKS soovib eelkõige kvaliteetse ja turvalise teenuse osutamise, parema teenindamise huvides, teenuste, toodete ja teeninduskeskkonna arendamiseks, tehingute dokumenteerimiseks ja muuks äriliseks infovahetuseks kasutada isikuandmeid.
Kasutame põhi- ja sideandmeid teenuse mittevastavuste, teenuse kasutuse statistika, asutusesisese andmevahetuse, võrgu- ja infoturve, seadmete ja süsteemide testimise jms jaoks. Võime mõistlikul vajadusel ja ulatuses kooskõlas õigusaktidega töödelda andmeid õigustatud huvi alusel ka muudel eesmärkidel.
3.4. Andmesubjekti nõusolekul
RIKS on kohustatud teatud aladele ja teenustele juurdepääsu lubamiseks või selle kehtivuse pikendamiseks esitama taotleja isikuandmed julgeolekukontrolli teostamiseks pädevale julgeolekuasutusele.
Tehnilisele või turvaalale või teenusele juurdepääsu taotlemisel esitab taotleja vormikohase avalduse.

4. Volitatud töötlejad
RIKS võib vajadusel anda andmete kasutamise õiguse oma koostööpartneritest volitatud töötlejatele, kellel on õigus kasutada andmeid üksnes RIKSiga sõlmitud lepingu täitmise eesmärgil. Selleks, et ka volitatud töötlejad rakendaksid vajalikul tasemel organisatsioonilisi, füüsilisi ja infotehnoloogilisi meetmeid andmete kaitseks nagu RIKS vastutava töötlejana, tutvustame lepingu sõlmides kohalduvaid nõudeid ja kontrollime nende täitmist.
Volitatud töötlejate loetelu on esitatud RIKS kodulehel.
Võime edastada informatsiooni Kliendi ja kolmanda isiku kohta pädevatele riigiasutustele (nt julgeoleku- ja jälitusasutustele, sh näiteks politseile, kohtule, häirekeskusele (112)) kui vastav kohustus tuleneb seadusest.
Samuti võime edastada Kliendimaksehäire andmeid vastavalt seadusele maksehäire avaldajatele.

5. Isikuandmete säilitamine
Säilitame isikuandmeid seni kuni vajalikud eesmärgid on saavutatud või kuni seadusest tulenev kohustus seda ette näeb. Teatud juhtudel rakenduvad andmete kustutamisele erandid, näiteks võlgnevuste korral või sarnaselt kõikide sideettevõtjatega on RIKS õigusaktidest tulenevalt kohustatud säilitama sideandmeid ühe aasta jooksul side toimumise ajast ning väljastama õigusaktides ettenähtud korras esitatud järelpärimiste alusel teavet uurimisasutustele, prokuratuurile, kohtule jm riigiasutustele. Lisaks on RIKS kohustatud täitma muid õigusaktidest tulenevaid andmetega seotud nõudeid. Täpsemad säilitustähtajad on esitatud RIKS dokumentide loetelus.

6. Andmete turvalisuse tagamine
6.1. RIKSis on rakendatud kolmeastmeline etalonturbe süsteem ISKE ning infovaradele, sh andmete terviklikkuse, käideldavuse ja konfidentsiaalsuse tagamiseks rakendame vajalikke organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid. Need meetmed hõlmavad kogu organisatsiooni, sh töötajaid, informatsiooni, taristut, hooneid ja tehniliste seadmete kaitset. Infoturbealase tegevuse eesmärgiks on infovarade kaitsmisel asjakohase taseme rakendamine, riskide maandamine ja ohtude ennetamine. Tagame sidevõrgu turvalisuse, sinu sõnumite sisu ja vormi ning sõnumite saatmise aja ja viisi saladuse vastavalt RIKS teenustele kehtivatele tingimustele ja õigusaktide nõuetele.
6.2. RIKS töötajatele kehtivad andmete konfidentsiaalsuse ja kaitse alased nõuded, osaleme isikuandmete kaitse alastel koolitustel ning töötajad vastutavad nende kohustuste täitmise eest.
6.3. RIKS volitatud Andmete töötlejad on kohustatud oma töötajate suhtes tagama samade reeglite täitmise ning nad vastutavad Andmete kasutamise nõuete täitmise eest.

7. Kliendi roll Andmete turvalisuse tagamisel
7.1. Vastutus Kliendi töötajate ja füüsilisest isikust esindajate isikuandmete kogumise ning RIKSile edastamise vajalikkuse selgitamise eest lasub Kliendil. Klient kinnitab, et on oma töötajaid ja füüsilisest isikust esindajaid teavitanud isikuandmete edastamisest RIKSile ning tutvustanud neile RIKSi poolt kohaldatavaid käesolevaid isikuandmete töötlemise tingimusi.
7.2. Klient peab kasutama Teenuseid turvaliselt ja hoolsalt ning tagama, et seadmed (nt arvuti, rakendus vms), mida Klient kasutab RIKS Teenuste kasutamiseks, on turvatud. Klient on kohustatud hoidma teiste isikute eest saladuses Kliendi, tema seadme, Teenusega seotud PIN-koodi, salasõna, kasutajatunnused ja paroolid või muu enda identifitseerimiseks kasutatava info või infokandjad (nt ID-kaardi või Mobiil-ID).
7.3. Klient peab olema teadlik ja arvestama asjaoluga, et RIKS ei saa tagada Andmete turvalisust ega ole vastutav juhul, kui Andmed ei ole kaitstud tulenevalt Kliendi poolt eelmises punktis toodud kohustuse rikkumisest (sh nt seetõttu, et Klient on jätnud muutmata algse PIN-koodi või muud algseadistused või Kliendi ID-kaart, Mobiil-ID või selle PIN-koodid on sattunud volitamata isikute kasutusse). Klient vastutab sellisel juhul ise kõikide talle tekkida võivate tagajärgede eest.

8. Andmesubjekti õigused seoses andmetega
8.1. Õigus tutvuda oma andmetega
Andmesubjektil on õigus tutvuda enda isikuandmetega, mis on RIKS kasutuses ning saada teavet selle kohta, millised on andmete töötlemise eesmärgid ja säilitustähtajad. Andmetega tutvumiseks tuleb enda isik nõuetekohaselt tuvastada ja esitada RIKSile avaldus e-posti aadressile andmekaitse@riks.ee.
RIKS vastab andmesubjekti poolt esitatud sooviavaldustele ning vastuväidetele hiljemalt ühe kuu jooksul pärast sooviavalduse või vastuväite saamist. Nimetatud ajavahemikku võib vajaduse korral pikendada kahe kuu võrra, võttes arvesse sooviavalduse või vastuväite keerukust ja hulka. RIKS teavitab andmesubjekti vastuse esitamise tähtaja pikendamisest ja viivituse põhjustest ühe kuu jooksul alates sooviavalduse või vastuväite saamisest. Kui andmesubjekt esitab sooviavalduse või vastuväite elektrooniliselt, esitatakse ka vastus võimaluse korral elektrooniliselt, kui andmesubjekt ei soovi teisiti.
8.2. Õigus andmeid parandada

Andmesubjektil on õigus ebaõigete andmete või näiteks muutunud isikuandmete korral nõuda andmete parandamist ja selleks palume esitada RIKSile vastavasisuline avaldus e-posti aadressile andmekaitse@riks.ee.
8.3. Õigus olla unustatud
Teatud juhtudel on andmesubjektil õigus lasta oma isikuandmed kustutada. Seda eelkõige nõusoleku ja õigustatud huvi alusel toimuva andmetöötluse osas. Oluline on märkida, et isikuandmete täielik kustutamine ei ole alati võimalik, näiteks lepingust või seadusest tulenevalt ei ole ennetähtaegne kustutamine lubatud.
8.4. Õigus isikuandmete töötlemise piiramisele

Teatud juhtudel on andmesubjektil õigus nõuda andmete töötlemise piiramist, selleks palume esitada RIKSile vastavasisuline avaldus e-posti aadressile andmekaitse@riks.ee. Seda õigust saab kasutada juhul, kui:
- isikuandmete õigsuse kontrollimiseks siis, kui oled nende õigsuse vaidlustanud;

- ebaseadusliku andmete töötlemise fikseerimiseks;

- andmed on vajalikud õigusnõuete koostamiseks, esitamiseks või kaitsmiseks;

- kui on esitatud vastuväide andmete töötlemise suhtes ja kuni kontrollitakse, kas RIKSi kui vastutava töötleja õiguspärased põhjused kaaluvad üles andmesubjekti põhjused.
Juhime tähelepanu, et töötlemise piiramise nõue vajab väga täpset eesmärgi sõnastamist ning võib teatud juhtudel kaasa tuua teenuste või RIKS administratiivalale juurdepääsu ajutise peatamise.
8.5. Õigus andmete ülekandmisele

Kliendil on võimalik saada RIKSilt enda valdusesse masinloetaval kujul vaid endaga seotud isikuandmed. Õigus ülekandmisele rakendub eelkõige andmetele, mida RIKS kasutab lepingu täitmiseks, samas tuleb silmas pidada, et kui RIKS on andmetega teinud erinevaid analüüse ja loonud uusi lisandväärtusega andmeid, siis need ei kuulu ülekandmise rakendusalasse. Samuti juhime tähelepanu, et RIKS ei taga ega vastuta selle eest, kas teine teenusepakkuja, kelle poole meilt saadud andmetega pöördute, on võimeline neid isikuandmeid vastu võtma.
8.6. Õigus esitada vastuväiteid
Andmesubjektil on õigus esitada vastuväiteid teda puudutava isikuandmete õigustatud huvi alusel töötlemise toimingu suhtes. Vastavasisulise pöördumise esitamisel kaalume õiguslikke huvisid ning võimalusel lõpetame kõnealuse andmetöötluse. Juhul, kui esineb asjaolusid, mis takistavad sellise õiguse kasutamist, näiteks kui RIKSil on vajalik koostada, esitada või kaitsta õigusnõuet (nt isik on meie hinnangul lepingut või administratiivalal viibimise reegleid rikkunud ja seetõttu peame enda õiguste kaitseks pöörduma kohtusse või muu õiguskaitseorgani poole), anname andmesubjektile sellest oma vastuses teada. 
8.7. Õigus pöörduda RIKS või järelevalveasutuse või kohtu poole
Kui soovid täiendavat teavet oma isikuandmete kasutamise küsimuses või abi oma õiguste realiseerimisel või kui tunned muret, et sinu isikuandmetega on käitutud hooletult või Põhimõtetes toodu vastaselt, on sul alati võimalus pöörduda meie poole aadressil info@riks.ee.

Andmesubjektil on alati õigus pöörduda oma privaatsusõiguste ja andmete kaitsmiseks Andmekaitse Inspektsiooni või kohtu poole.