Page History

...

Eesti õigusruumis valitsevad pseudonüümitud andmete kohta eri arusaamad. Näiteks on Andmekaitse Inspektsioon juhtinud tähelepanu IGUS-e § 7 muutmise vajaduse kohta. Nimelt sätestatakse selles: „Pseudonüümitud koeproovide, pseudonüümitud DNA kirjelduste ja pseudonüümitud terviseseisundi kirjelduste töötlemise suhtes ei kohaldata isikuandmete töötlemist reguleerivaid sätteid juhul, kui koeproove, DNA kirjeldusi või terviseseisundi kirjeldusi töödeldakse hulgana ja tingimusel, et töödeldavaid proove või kirjeldusi on üheaegselt vähemalt viie geenidoonori kohta.“ Ent üldmääruse põhjenduses 26 on öeldud, et pseudonüümitud andmeid tuleks käsitleda teabena tuvastatava füüsilise isiku kohta. Seega ei saa pseudonüümitud geneetilisi ega terviseandmeid liigitada isikustamata andmeteks, millele üldmäärus ega IKS ei kohaldu.

3.

...

3.1.    Andmete pseudonüümimise põhjused ja aeg

Üldmääruse kohaselt suurendab pseudonüümimine isikuandmete töötlemise turvalisust ja lõimitud andmekaitset. Sealjuures tuleb järgida minimaalsuspõhimõtet: kui töötlemise käigus ei ole vaja teada isikut, kelle kohta andmed käivad, ei ole põhjendatud ka isikustatud andmete töötlemine. Seega ei puuduta pseudonüümimine vaid isikuandmete edastamist, vaid ka ühe teadusasutuse tööd või teadusprojekti, et vähendada nende teadlaste hulka, kes saavad andmete põhjal inimesi tuvastada.

...

Isikuandmed tuleks pseudonüümida esimesel võimalusel. Näiteks mitme välismaise partneriga teadusprojektis tuleks seda teha vahetult pärast andmete kogumist ja enne analüüsiga alustamist või andmete edastamist projektipartneritele.

3.

...

3.2.    Andmete pseudonüümijad

Nagu on öeldud Euroopa Liidu Küberturvalisuse Ameti (ENISA) 2019. aasta juhendis pseudonüümimisvõtete ja parimate tavade kohta, võib pseudonüümijaks olla kas vastutav töötleja, volitatud töötleja või usaldusväärne kolmas isik. Andmete töötlemise turvalisuse tagab aga alati vastutav töötleja.

Pseudonüümimine on kindlasti vajalik mitme asutuse ühise teadusuuringu puhul. Näiteks võivad kaks või enam partnerit olla kaasvastutavad töötlejad, kuid neil tuleb leppida kokku, et isikuandmeid koguv teadusasutus pseudonüümib andmed enne kaasvastutavatele partneritele edastamist. Sel viisil järgitakse andmetöötluse minimaalsus- ja turvalisuspõhimõtet. Samuti võib isikuandmed pseudonüümida volitatud töötleja (nt küsitlusettevõte), enne kui ta need teadusasutusele üle annab.

3.

...

3.3.    Andmete pseudonüümimise meetodid

Asutuse või projektipõhiste pseudonüümimispõhimõtete kehtestamisel võib lähtuda ENISA juhendist pseudonüümimisvõtete ja parimate tavade kohta, kus soovitatakse pseudonüümimismeetodi valikule läheneda riskipõhiselt. Riskidena võetakse arvesse võimalikke ründeid pseudonüümitud andmestikele, andmete tundlikkust, käideldavust ja nende kaitsmise vajadust.

...