2.9. Kuidas arvestada teadustöös inimeste õigustega oma andmete üle?

Üldmääruse III peatükis on nimetatud andmesubjekti õigused, mis on tal alati olemas sõltumata isikuandmete töötlemise eesmärgist või õiguslikust alusest. Seega võib uuringus osaleja esitada teadlasele päringu enda andmete töötlemise kohta isegi juhul, kui uuringus kasutatakse avalikust registrist saadud pseudonüümitud andmeid. Segaduste vältimiseks on hea, kui teadusrühmas on aegsasti kokku lepitud, kes on uuringuga seotud isikuandmete eest vastutav töötaja. Temal tuleb ka päringule vastata.

Allpool on loetletud andmesubjekti õigused ja neid lühidalt selgitatud.

2.9.1.     Õigus saada teavet isikuandmete töötlemise kohta

Üldmääruse artiklites 12, 13 ja 14 sätestatakse üldine teabe saamise õigus, mille tõttu on vastutaval töötlejal kohustus koostada ja avaldada andmekaitsetingimused ning teavitada neist andmesubjekti. Kui teadlasel on võimatu või ebamõistlikult keeruline inimestega ühendust võtta, piisab teabe avalikult kättesaadavaks tegemisest. Teabe esitamine toetab läbipaistvus- ja õigluspõhimõtet.

Teadusuuringute puhul on peamine teabevahend uuringus osaleja nõusoleku küsimisel talle antav infomaterjal. Siiski tuleb arvestada, et andmesubjektil on õigus enda isikuandmete töötlemise kohta igal ajal teavet küsida, mistõttu ei pruugi infomaterjali edastamine või vastutava töötleja andmekaitsetingimustele viitamine olla piisav ning tagatud peab olema uuritava võimalus teadusuuringu tegijaga ühendust võtta.

Inimesele jääb õigus saada teavet oma andmete töötlemise kohta ka siis, kui isikuandmeid ei töödelda tema nõusolekul, vaid muul õiguslikul alusel.

2.9.2.     Õigus andmetega tutvuda

Üldmääruse artiklis 15 antakse andmesubjektile õigus tutvuda tema kohta kogutavate andmete, nende vastuvõtjate, kolmandatesse riikidesse edastamise, allikate (kui andmed ei pärine andmesubjektilt) ning teabe põhjal tehtavate automatiseeritud otsuste kohta. Samuti võib ta küsida üldisemat teavet, mis puudutab uuringu eesmärkide ja säilitamise aega.

Oma andmetega tutvumiseks peab andmesubjekt esitama sellekohase taotluse vastutavale töötlejale, kellel on enne andmete väljastamist õigus taotleja tuvastada, et veenduda, kas see on sama inimene, kelle andmeid küsitakse. Kui taotlus on saadetud e-kirjaga, tuleb küsida digitaalselt allkirjastatud taotlust.

Kui isik on tuvastatud, on tal Tartu Ülikoolis kaks võimalust oma isikuandmete kohta teavet saada: ta võib tulla nendega tutvuma kohapeale või saada koopia oma andmetest. Ainus erand, mille puhul kumbagi võimalust kasutada ei saa, kehtib juhul, kui andmesubjekti andmeid sisaldava baasi või keskkonna näitamine või koopia esitamine tekitaks kellelegi kahju – näiteks on näha ka teiste isikute andmed. Sel juhul andmetega kohapeal tutvuda ei saa ja koopiat ei väljastata, vaid taotlejale antakse üksnes kirjeldav tekst. Sealjuurest tuleb kindlasti selgitada, miks ta ei saa kohapeale tulla või miks talle koopiat ei anta.

IKS-i § 6 lg 6 alusel võib vastutav töötleja andmetega tutvumise õigust piirata, kui selle järgimine muudab teadusuuringu eesmärgi täitmise võimatuks või takistab seda oluliselt.

2.9.3.     Õigus andmete parandamisele

Üldmääruse artikli 16 kohaselt on andmesubjektil õigus nõuda ebatäpsete andmete parandamist või mittetäielike andmete täiendamist. See õigus on seotud andmete kvaliteedi põhimõttega ja tagab, et inimese kohta tehtavad otsused ei põhineks valedel või poolikul teabel.

Vastutav töötleja on kohustatud alati teavet andmesubjekti taotluse järgi parandama või täiendama, välja arvatud juhul, kui töötleja hinnangul on andmed täielikud või õiged. Sel juhul tuleb oma otsust ka andmesubjektile põhjendada.

IKS-i § 6 lg 6 annab vastutavale töötlejale võimaluse andmete parandamise õigust piirata, kui selle järgimine muudab teadusuuringu eesmärgi täitmise võimatuks või takistab seda oluliselt.

2.9.4.     Õigus andmete kustutamisele

Üldmääruse artiklis 17 on sätestatud õigus andmete kustutamisele – see on tuntud ka kui õigus olla unustatud. Andmete kustutamine on üks keerulisemaid õigusi. Seda tuleb teha, kui kehtib üks järgmistest üldmääruses nimetatud asjaoludest:

• kui andmete töötlemise eesmärk on täidetud;
• kui andmete töötlemine on ebaseaduslik;
• kui isik võtab nõusoleku tagasi ja puudub muu õiguslik alus;
• kui andmesubjekt on vaidlustanud enda andmete töötlemise ja edasine töötlemine ei ole põhjendatud;
• kui see on vajalik juriidilise kohustuse täitmiseks;
• kui andmed puudutavad infoühiskonna teenuse kasutamist ajal, mil andmesubjekt oli alaealine.

Siiski on andmete kustutamise õiguse puhul mitu erandit, mil vastutaval töötlejal on õigus jätkata isikuandmete töötlemist, isegi kui andmesubjekt esitab taotluse nende kustutamiseks. Sellised on näiteks juhud, kui töötlemine on vajalik avalikes huvides toimuva teadusuuringu eesmärgil, andmete kustutamine muudaks teadusuuringu eesmärkide saavutamise võimatuks või häiriks seda suurel määral. Andmete kustutamine teadusuuringutes on üldse pigem erandlik.

Isikuandmeid saab pikemat aega säilitada siis, kui need anonüümida või teha otsus hoida need alles arhiveerimise eesmärgil (vt alaptk 4.1). Isikuandmete kogumise ajal tuleb aga anda inimesele teada, kuidas ja kui kaua on plaanis neid säilitada.

2.9.5.     Õigus andmete töötlemise piiramisele

Üldmääruse artikli 18 kohaselt on andmesubjektil õigus piirata isikuandmete töötlemist neljal juhul, millest teadusuuringute kontekstis on asjakohased kolm:

• kui andmete õigsus on vaidlustatud, saab töötlemist piirata ajaks, mil andmete õigsust kontrollitakse;
• kui andmete töötlemine vaidlustatud, saab töötlemist piirata ajaks, mil kontrollitakse, kas vastutava töötleja huvid kaaluvad üles andmesubjekti huvid;
• kui isikuandmete töötlemine on ebaseaduslik ehk selleks puudub õiguslik alus, võib andmete kustutamise asemel nõuda töötlemise piiramist.

Üldmääruses sätestatakse üksikud erandid, mille kohaselt on vastutaval töötlejal siiski lubatud töötlemispiiranguga andmeid töödelda: eelkõige andmesubjekti nõusolekul, õigusnõuete koostamise eesmärgil, teiste isikute õiguste kaitseks või olulise avaliku huvi korral.

IKS-i § 6 lg 6 kohaselt ei pea vastutav töötleja isikuandmete töötlemise piiramise õigust täiel määral järgima, kui see muudab teadusuuringu eesmärgi täitmise võimatuks või takistab seda oluliselt. Töötlemise piiramine teadusuuringute puhul on siiski väga erandlik ja vähetõenäoline. Peamiselt võidakse seda teha siis, kui inimene võtab tagasi nõusoleku oma andmete töötlemiseks, kuid otsustab kustutamise asemel nõuda andmete töötlemise piiramist. Sellisel juhul võib andmeid säilitada, kuid nende kasutamine peab olema piiratud. Ent kuna andmete kustutamine puudutabki enamasti juhtumeid, mil töötlemiseks puudub õiguslik alus, oleks andmete edasine töötlemine niikuinii keelatud.

2.9.6.     Andmete ülekandmise õigus

Üldmääruse artikliga 20 antakse andmesubjektile võimalus viia oma andmeid ühe vastutava töötleja juurest teise juurde. Selle toimingu suhtes kehtib paar piirangut:

• üle saab kanda üksnes andmeid, mille töötlemise õiguslikuks aluseks on nõusolek või leping;
• nõutud andmete töötlus peab olema automatiseeritud ja ülekandmine ühelt töötlejalt teisele tehniliselt teostatav;
• ülekantavad andmed peavad olema struktureeritud, üldkasutatavas vormingus ja masinloetaval kujul;
• ülekandmist saab nõuda vaid nende andmete suhtes, mille andmesubjekt on ise vastutavale töötlejale andnud.

Kuna enamik teadusuuringuid põhineb nõusolekul ja automatiseeritud andmetöötlusel, on inimesel põhimõtteliselt alati võimalik nõuda enda andmete ülekandmist.

2.9.7.     Õigus esitada vastuväiteid

Üldmääruse artiklis 21 on sätestatud andmesubjekti õigus vaidlustada oma andmete töötlemine õigustatud huvi või avalikes huvides ülesande alusel, olenemata sellest, kui põhjalikult on neid õiguslikke aluseid põhjendatud. Kui vaie on edukas, tühistatakse õiguslik alus, töötlemine muutub ebaseaduslikuks ja tekib õigus nõuda andmete kustutamist või piiramist. Vastuväite hindamise ajaks võib nõuda ka andmete töötlemise piiramist.

IKS-i § 6 lg 6 alusel võib vastutav töötleja vastuväite esitamise õigust piirata, kui selle järgimine muudab teadusuuringu eesmärgi täitmise võimatuks või takistab seda oluliselt. Kuna õigusliku aluse vaidlustamine takistab paratamatult teadusuuringu eesmärkide saavutamist, ei ole päris selge, mida vastutav töötleja sellise taotluse korral tegema peaks. Arvestama peab siiski võimalusega, et kui taotlust arvesse ei võeta, võib andmesubjekt pöördada oma õiguste kaitseks Andmekaitse Inspektsiooni poole või kohtusse.

2.9.8.     Õigus olla kaitstud automatiseeritud töötlemisel põhinevate otsuste eest

Üldmääruse artikliga 22 ei keelata isikuandmete automaattöötlust täielikult ära. Lubamatu on aga teha pelgalt automatiseeritud töötlusel, sealhulgas profiilianalüüsil (artikli 4 lg 4) põhinevat otsust, mis avaldab andmesubjektile märkimisväärset mõju või toob kaasa õiguslikke tagajärgi.

Siiski esineb siin kolm erandit. Automatiseeritud töötlemisel põhineva otsuse tegemine ei ole keelatud, kui see

• on vajalik lepingu sõlmimiseks või täitmiseks;
• on seadusega lubatud;
• põhineb andmesubjekti eraldi antaval nõusolekul konkreetselt automaattöödeldud otsuste tegemise kohta. Selline nõusolek peab olema muudest nõusolekuvormi tingimustest eristatud.

Teadusuuringute puhul ei ole selle õiguse suhtes tehtud ühtki erandit. Seega on automatiseeritud isikuandmete töötlemine, sh profiilianalüüs, keelatud, kui sellise töötlemise käigus või tulemusena tehakse kohta otsuseid, millel on uuritavatele märkimisväärne mõju või mis toovad kaasa õiguslikke tagajärgi (näiteks piiratakse nende põhjal ligipääsu avalikele teenustele). Enamasti teadustöös isikute kohta selliseid otsuseid ei langetata, ehkki mõnda tüüpi rakendusuuringutes on teoreetiliselt võimalik luua ja arendada selliseid automatiseeritud töötlemise meetodeid, mida saab hiljem kasutada isikute kohta otsuste tegemisel.