2.14. Kuidas hinnata isikuandmete töötlemisega kaasnevaid riske?

Üks keskseid teaduseetilisi põhimõtteid on, et teadustööst peaks sündima võimalikult palju kasu ja võimalikult vähe kahju. Mõnikord on kahju vältimatu, kuid enamjaolt on seda võimalik põhjaliku riskide hindamise ja maandamisega vähendada.

2.14.1. Riskihindamise üldmeetod

Mõnikord nõuavad teadusuuringute rahastajad, et teadlased hindaks teadustööga seotud eetilisi riske ja kirjeldaks, kuidas neid riske maandada. Oma teadusuuringut kavandades või sellele granti taotledes võib ka teadlasel endal tekkida vajadus oma teadustööga seotud riske hinnata.

Üldjuhul hinnatakse riske mitmes etapis.

Riskide tuvastamise etapis loetletakse kõik võimalikud riskid. Selleks ei ole üht ainuõiget viisi. Mõnikord delegeeritakse see ülesanne ekspertidele või projekti juhtpartnerile, kuid seda võivad teha ka teadustööga seotud teadlased. Kuna tuvastada tuleks ka harva esinevaid ohte, on rohkemate inimeste kaasamine alati kasulikum.

Ka siis, kui riski ei tuvastata, näitab see välishindajatele (Euroopa Komisjon, Eesti Teadusagentuur, Andmekaitse Inspektsioon, eetikakomitee), et võimalikele ohtudele on mõeldud, neid ei esine ja lisameetmed pole vajalikud.

Riskide analüüsimise etapis antakse igale tuvastatud ohule hinnang selle tõenäosuse ja võimaliku mõju alusel. Kõige lihtsam ja enamasti piisav on lahendus, kus tõenäosust ja mõju hinnatakse viiepallisel skaalal („väga väike“, „väike“, „keskmine“, „suur“ ja „väga suur“) ja riski kolme värvuse alusel (roheline, kollane ja punane). Nende põhjal koostatakse riskimaatriks, mille põhjal tõenäosuse ja mõju hinnangud summeeritakse. Allolevas tabelis tähistab suurt riski punane värvus, keskmist riski kollane ja väikest roheline.

Tabel. Riskide jagunemine tõenäosuse ja mõju tugevuse järgi

TÕENÄOSUS	MÕJU
TÕENÄOSUS	Väga väike	Väike	Keskmine	Suur	Väga suur
Väga väike	0	1	2	3	4
Väike	1	2	3	4	5
Keskmine	2	3	4	5	6
Suur	3	4	5	6	7
Väga suur	4	5	6	7	8

Riskide hindamiseks leidub ka muid meetodeid ning mõju, tõenäosuse ja riski skaalad võivad neis erineda.

Riskide hindamise etapis tuleb otsustada, millised riskid on väikesed ja millised on keskmisest suuremad, nii et neid tuleb maandada. Selleks tuleb välja pakkuda meetmed, mis vähendavad riski tõenäosust ja mõju. Need võivad olla tehnilised (turvalised infosüsteemid), õiguslikud (andmevahetusleping volitatud töötlejaga) või korralduslikud (vajaduspõhine juurdepääs andmetele). Pärast riskide maandamist tuleks riske uuesti hinnata, kuni need on allapoole keskmist. Kui riski ei saagi täiesti maandada, tuleb kirjeldada seiretegevust selle pidevaks jälgimiseks ja maandamiseks kogu uurimistöö vältel. Seda nimetatakse riskide haldamiseks ja see eeldab valmidust ja võimekust tegutseda, kui mõni riskidest realiseerub või tuvastatakse mõni uus risk. Riskide haldamise eel tuleb kokku leppida, milline on eri osaliste vastutus, kes riske seirab ja kuidas neile reageeritakse.

Loe lisaks

Euroopa Liidu Küberturvalisuse Ameti (ENISA, 2006) aruanne „Risk Management: Implementation principles and Inventories for Risk Management/Risk Assessment methods and tools“
Euroopa Komisjoni (2021) suunis „EU Grants: How to complete your ethics self-assessment“, kus nähakse ette riskide hindamise vajadus keskkonna kahjustamise, teadustöö ohutuse, tehisintellekti kasutamise, teadustulemuste väärkasutamise ja isikuandmete töötlemise kontekstis

2.14.2. Isikuandmete töötlemisega seotud ohtude hindamine

Üldistel teaduseetilistel riskidel võib olla ühisosa andmekaitseohtudega[1] – näiteks võidakse uuringu tegemisel kahjustada inimeste õigust privaatsusele või neid diskrimineerida. Seega tuleb teadlasel enne teadustööga alustamist välja selgitada, milline oht isikuandmete töötlemisega kaasneb ja milline on selle võimalik mõju inimestele.

Andmekaitsega seoses tuleks kaaluda ohte vähemalt kahel juhul.

Esiteks tuleb hinnata infoturberiske, et tagada isikuandmete terviklus, käideldavus, konfidentsiaalsus ja turvaline töötlemine. Enamasti tegelevad sellega ülikooli infoturbespetsialistid, kes kindlustavad teadlastele sobivad töövahendid (vt alaptk 3.1).

Teiseks peab arvestama isikuandmete töötlemisel tekkiva võimaliku kahjuga andmesubjektidele. Kui uuringuga kaasneb suur risk kahjustada inimeste õigusi ja vabadusi, on vastutaval töötajal üldmääruse kohaselt kohustus koostada andmekaitsealane mõjuhinnang, mis on üks riskide hindamise erivorme.

2.14.3. Andmekaitsealase mõjuhinnangu koostamine

Andmekaitsealase mõjuhinnangu koostamine on vajalik juhul, kui isikuandmete töötlemine – võttes arvesse isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke – tõenäoliselt ohustab inimeste õigusi ja vabadusi. Puudub ühene ja lihtne määratlus, millal on mõjuhinnang kohustuslik – vastutav töötleja peab ise hindama kavandatava töötlemise mõju inimestele.

Andmekaitses on tähtsal kohal suure ohu mõiste. Üldmääruses ja Andmekaitse Inspektsiooni juhendites on aga isikuandmete suure ohuga töötlemist määratletud veidi erinevalt.

1.Üldmääruses on toodud kolm näidet suure ohuga andmetöötlusest:

inimeste süsteemne, ulatuslik ja automatiseeritud hindamine või jälgimine (sh profiilianalüüsi koostamine), millel on inimestele õiguslikud või muud samaväärse mõjuga tagajärjed;
eriliiki või süütegudega seotud isikuandmete ulatuslik töötlemine;
avalike alade ulatuslik jälgimine.

Nendel juhtudel on mõjuhinnangu tegemine kohustuslik. Muudes olukordades tuleb vastutaval töötlejal ohu suurust ise hinnata. Oluline on seejuures kahju inimeste õigustele ja vabadustele – kui esineb arvestatav tõenäosus inimeste õiguse ja vabadusi kahjustada, ongi tegemist suure ohuga.

2. Andmekaitse Inspektsioon on seadnud andmekaitsealase mõjuhinnangu tegemisele lisakriteeriumid – töötlemise ulatuslikkus ja süsteemsus. Andmekaitse Inspektsiooni isikuandmete töötleja üldjuhendi peatüki järgi on andmetöötlus süsteemne, kui see on metoodiline ja planeeritud. Kuna teadustöö on vaikimisi alati süsteemne, tuleb vastutaval töötlejal suure ohu hindamisel pöörata tähelepanu eelkõige töötlemise ulatuslikkusele, sealjuures nii kvantitatiivselt (suur andmesubjektide arv) kui ka kvalitatiivselt (eriliiki ja süüteoandmed).

Andmekaitse Inspektsioon on kirjutises „Mõjuhinnangu tegemine“ täpsustanud, millal kaasneb töötlemise ulatuslikkusega nii suur oht, et andmekaitsealane mõjuhinnang on vajalik:

5000 ja enama inimese eriliiki või süüteoandmete töötlemisel;
10 000 ja enamale inimesele suurt ohtu põhjustavate andmete töötlemisel;
muudel juhtudel 50 000 ja enama inimese andmete töötlemisel.

Need arvud puudutavad Eestis toimuvat isikuandmete töötlemist. Kui teadusuuringus töödeldakse andmeid piiriüleselt, tuleb ulatuslikkuse kriteeriumit hinnata juhtumipõhiselt.

Suur oht kaasneb Andmekaitse Inspektsiooni juhendite kohaselt näiteks siis, kui töödeldakse

andmeid, mille avalikuks tulek rikub sõnumisaladust;
inimeste asukohaandmeid reaalajas;
isikuandmeid viisil, mis võib inimestele kaasa tuua õigusliku mõjuga diskrimineerimise;
laste isikuandmeid.

Andmekaitsealase mõjuhinnangu sisu

Andmekaitsealane mõjuhinnang koosneb üldmääruse artikli 35 kohaselt neljast suuremast osast:

kavandatud andmetöötlustoimingute ja nende eesmärkide kirjeldus;
kavandatud toimingute vajalikkuse ja proportsionaalsuse hinnang;
inimeste õigusi ja vabadusi puudutava ohu hinnang;
ohu maandamiseks võetavate meetmete kirjeldus.

Mõjuhinnangu koostamisel tuleb abiks võtta teised otseselt uuringuga seotud isikuandmete töötlemist puudutavad dokumendid, näiteks uuringu protokollid, mis kajastavad andmetöötluse meetodit, juurdepääsuõiguste andmise põhimõtted, lepingud jms. Vajaduse korral tuleb kaasata andmekaitsespetsialist. Rahvusvahelise teadusuuringu puhul võib selle korraldaja seada nõude koostada tema eeskirjade alusel asukohariigis mõjuhinnang.

Andmekaitse peaspetsialist tuleb kindlasti kaasata siis, kui mõjuhinnangu tulemusena leitakse, et suur oht püsib ja kavandatud meetmed ei aita seda täielikult kaotada või piisavalt maandada. Koostöös otsitakse maandamisvõimalusi ja vajaduse korral saab pidada nõu Andmekaitse Inspektsiooniga.