Andmete päritolu ja kogumise viisi põhjal saab eristada esmaseid ja teiseseid andmeid. Esmased ehk primaarsed isikuandmed kogutakse vahetult inimeselt, teisesed ehk sekundaarsed isikuandmed on algul muul eesmärgil kogutud ja neid ei saada inimeselt endalt, vaid andmebaasidest, arhiividest või mujalt.

Esmaste andmete töötlemine teadusuuringus on üldjuhul lihtsam ja sirgjoonelisem, kuna õiguslik suhe tekib vaid andmekoguja ja andmesubjekti vahel, õiguslikuks aluseks on nõusolek ning kogu vastutus isikuandmete töötlemise eest lasub vastutaval töötlejal. Teiseseid isikuandmeid töödeldakse aga sageli nõusolekuta ning lisaks andmesubjektile peab arvestama ka andmete valdaja kohustuste ja huvidega. Seega on teiseste isikuandmete töötlemine üldiselt keerulisem, kuna kehtib mitu erandit.

2.8.1.     Teisene kasutus võib olla kooskõlas esialgse eesmärgiga

Kui olemasolevate isikuandmete plaanitav uus kasutus on kooskõlas esialgse eesmärgiga, milleks andmed koguti, ei vaja see üldjuhul eraldi õiguslikku alust. Seega tuleb teiseste andmete kasutamisel hinnata, kas isikuandmete töötlemise esialgne ja uus eesmärk on omavahel kooskõlas. Teadustöö puhul eeldatakse üldmääruse artikli 5 lg 1 p b ja põhjenduse 50 kohaselt küll alati kooskõla algse eesmärgiga, kuid see ei tähenda, et igasuguste varem kogutud isikuandmete töötlemine teadusuuringus on automaatselt lubatud. Vastutav töötleja peab arvestama ka teiste andmekaitsepõhimõtetega ning veenduma nende põhjal teiseste andmete kasutamise lubatavuses.

Kuigi ei ole üht kindlat põhimõtet, mille põhjal algse ja uue eesmärgi kooskõla hinnata, eeldatakse, et kooskõla on suurem, kui mõlema eesmärgi saavutamiseks töötleb andmeid sama vastutav töötleja. Kooskõla on väiksem või puudub üldse, kui isikuandmed antakse üle uuele vastutavale töötlejale, kui algne ja uus kasutus erinevad märgatavalt, kui töödeldakse eriliiki isikuandmeid või kui töötlemisega kaasneb suurem oht inimeste õigustele ja vabadustele.

Kui uus eesmärk ei ole algsega kooskõlas, on andmete töötlemiseks vaja uut õiguslikku alust (vt ka p-d 1.5.3 ja 2.8.4).

2.8.2.     Teabe andmine andmesubjektile teiseste andmete kogumisel

Kui esmaste isikuandmete puhul antakse kogu oluline teave andmesubjektile vahetult kas kogumise ajal või enne seda, siis teiseste uuringute puhul, kui isikuandmeid ei koguta otse andmesubjektilt, kehtivad teavitamiskohustuse suhtes mõningad erandid (vt üldmääruse artikkel 14). Näiteks ei ole teavitamiskohustust, kui teabe esitamine osutub võimatuks või eeldab ebaproportsionaalseid jõupingutusi (andmed on kogutud kaua aega tagasi või andmesubjektide hulk on väga suur). Siiski tuleb teave andmesubjekti õiguste ja huvide kaitsmiseks avalikustada näiteks teadusasutuse või -projekti veebilehel. Sellisel juhul ei ole vastutaval töötlejal kohustust andmesubjektiga ühendust võtta, kuna eeldada võib, et andmesubjekt leiab ise vajaliku teabe üles.

2.8.3.     Teiseste andmete valdajad

Isikuandmete teisest kasutust soositakse näiteks üldmääruse artikli 5 lg 1 p-s b nimetatud eesmärgi piirangu, IKS-i § 6 lg-te 1 ja 3 ja seletuskirja põhjenduste kohaselt. Selle keerukust suurendab aga asjaolu, et arvestama peab andmeid valdava asutuse kohustustega andmesubjektide suhtes. Andmekaitseõigusest ei tulene kohustust anda teadlastele teiseseid isikuandmeid, kuid võttes arvesse teaduse tegemise vabadust ja Euroopa Liidu pühendumust avatud teadusele, infovabadust ja avalike asutuste kohustust anda teavet, edastavad avalikud asutused – sealhulgas avalike andmekogude ja registrite pidajad – üldjuhul teadlastele nende küsitud teabe, kui täidetud on kõik selleks ettenähtud nõuded. Seda toetab ka IKS-i seletuskiri, kus § 6 lg 3 nõuete hindamise kohta on öeldud: „Tavapäraste isikuandmetega tehtavad uuringud ei vaja Andmekaitse Inspektsiooni või eetikakomitee luba. Kui teadustöö vms tegija tingimused täidab, tuleb talle võimaldada juurdepääs teabele, näiteks andmekogudele.“

Avalike andmekogudega on olukord lihtsam. Palju rohkem raskusi tekib erasektoriga, kelle valduses olevat teisest teavet võib kaitsta ärisaladus. Seega jääb alati võimalus, et isegi kui teadlane on hoolikalt hinnanud isikuandmete töötlemise vajadust, selle suhtes esinevat avalikku huvi ja andmesubjektide õiguste riivete proportsionaalsust, keeldub andmete valdaja ikkagi teiseseid andmeid väljastamast.

2.8.4.     Teiseseks kasutuseks tuleb leida sobiv õiguslik alus

Et esmased andmed kogunud vastutav töötleja võiks need edastada teadlasele või teadusasutusele ning see teadlane või asutus saaks need teiseseks töötlemiseks vastu võtta, peab mõlemal poolel olema õiguslik alus.

  • Avalikes huvides ülesanne teisese kasutuse õigusliku alusena

Avalikes huvides ülesande kasutamine õigusliku alusena eeldab eelkõige teadustööga seotud avaliku huvi hindamist. IKS-i §-ga 6 on lubatud isikuandmeid teadusuuringutes ilma nõusolekuta töödelda, kuid sellele on seatud lisanõuded: pseudonüümimine (lg 1) või erandkorras isikustatud andmete kasutamine (lg 3, vt ka alaptk 2.4).

Samuti peab teadlane tõendama avalikku huvi. Selleks puudub selgelt kokku lepitud vorm või standard, kuid kuna avalikku huvi põhjendatakse ka teadustöö rahastajale või eetikakomiteele, võiks eetikakomitee kooskõlastusest üldjuhul piisata, et veenda andmete valdajat avaliku huvi olemasolus. Siiski pole välistatud, et andmete valdaja soovib ka muul viisil avalikes huvides ülesande õigusliku aluse tõestamist.

  • Nõusolek teisese kasutuse õigusliku alusena

Nõusolek ei pruugi teisese kasutuse puhul otstarbekas olla, sest andmeid küsival teadlasel on keeruline, kui mitte võimatu saada seda andmesubjektidelt, kellega tal puudub kontakt. Siiski saaks nõusolekut küsida andmete valdaja, kui see on mõistlikult võimalik: ta võib esitada ühekordse päringu või kasutada muud lahendust, näiteks nõusolekuteenust. Nõusolek annaks mõlemale vastutavale töötlejale kindluse, et andmete väljastamine konkreetse teadusuuringu jaoks on seaduslik. Ühtlasi tagab see uuringualuse suurema kontrolli oma andmete üle.

Isikuandmete teiseseks kasutamiseks teadusuuringutes on aga võimalik küsida nõusolek juba esmaste andmete kogumisel. Sel juhul on andmeid valdaval asutusel kindlus, et tal on õigus anda isikuandmeid teadlastele või teadusasutustele, keda ta usaldab. Samas tuleb arvestada inimestele esialgses nõusolekus lubatut. Kui näiteks esmaste andmete kogumisel anti lubadus, et andmeid säilitatakse viis aastat pärast projekti lõppu ja seejärel need hävitatakse, siis peab ka andmete teisene kasutus selle tähtaja sisse mahtuma (vt ka alaptk 2.3).

2.8.5.     Eriliiki isikuandmete jaoks on nõutav eetikakomitee kooskõlastus

Kui teiseseks kasutuseks vajatakse eriliiki isikuandmeid ja nende töötlemine ei toimu nõusoleku alusel, on IKS-i § 6 lg 4 kohaselt vaja eetikakomitee kooskõlastust. Kui andmeid väljastatakse tervise infosüsteemist või geenivaramust, tuleb see kooskõlastada muude seaduste alusel. Eetikakomitee kooskõlastus on vaid lisakaitsemeede, mis ei anna teiseseks töötlemiseks õiguslikku alust. Õiguslik alus saaks nõusolekuta uuringu puhul olla avalikes huvides ülesanne (vt ka alaptk 2.13).

2.8.6.     Teiseste andmete edastamiseks võib olla vaja sõlmida leping

Isikuandmete saamiseks on võimalik sõlmida andmevaldajaga leping, milles lepitakse kokku isikuandmete töötlemise tingimused, eesmärgid ja tähtajad. See aitab andmevaldajal kontrollida, et välja antud andmeid töödeldakse nõuetekohaselt, ja seada muu hulgas tingimused andmete hävitamise või pikaaegse säilitamise kohta.

Isikuandmed saanud teadusasutus on nende edasisel töötlemisel vastutav töötleja. Seega vastutavad nii teadusasutus kui ka teadlane asutuse esindajana isikuandmete teisese kasutamise korral kõigi üldmääruse nõuete täitmise eest isegi juhul, kui eraldi lepingut ei ole sõlmitud. Vaid juhul, kui andmed anonüümitakse enne väljastamist ja neid ei saa enam ühelgi viisil andmeid väljastava asutuse valduses olevate isikustatud andmetega seostada, ei kaasne teadlastele ja teadusasutustele andmekaitsealast vastutust.

2.8.7.     Avalikustatud isikuandmete teisene kasutamine

Andmekaitsepõhimõtted kehtivad ka meedias avalikustatud isikuandmete suhtes. Seega tuleb nende teisese kasutamise korral mõelda, milline on sobiv õiguslik alus nende töötlemiseks või kuidas anda inimestele plaanitava teadustöö kohta teavet. Näiteks võib sotsiaalmeedia keskkondadest tuhandete inimeste andmete kogumisel kõigilt nõusoleku küsimine või kõigile teabe edastamine olla erakordselt keeruline. Erandite kasutamisel ja võimalike alternatiivide otsimisel tasub meeles pidada, et eesmärk on vältida inimeste huvide ja õiguste kahjustamist, austada inimeste õigust otsustada oma andmete üle ja tagada seejuures teadustöö läbipaistvus ja usaldusväärsus.

Keskkonnad, kust avalikustatud isikuandmeid kogutakse, on enamasti oma kasutustingimustes täpsustanud, kuidas ja milleks on lubatud andmeid kasutada. Mõni keskkond on loonud eraldi rakendusliidesed, mille kaudu saab automatiseeritult andmeid koguda. Kõigil sellistel juhtudel tuleb järgida ka keskkonna valdaja nõudeid ja tingimusi, et andmete kogumine oleks õiguspärane. Samas võib mõni ettevõte seada ebamõistlikke piiranguid nende valduses olevate andmete töötlemisele teadustöö eesmärgil. Nagu selle alapeatüki sissejuhatuses mainitud, ei ole erasektori valduses olevate teadusliku väärtusega isikuandmete puhul alati selge, kas kaalukamad on ettevõtete erahuvid või teaduse huvid.

Loe lisaks

  • No labels