2.2. Kui palju peab teadustöös isikuandmetega seonduvat dokumenteerima?

Enne teadustööga alustamist tuleks välja selgitada, milline isikuandmete töötlemise dokumentatsioon on plaanitavas teadustöös vajalik. Allpool on loetletud sellekohased võimalikud ja vajalikud dokumendid. Lisaks võib olla vaja isikuandmete töötlemist kirjeldada ka mujal, näiteks rahastajatele esitatavates taotlustes ja aruannetes.

2.1.1.     Andmehaldusplaan

Andmehaldusplaan on vahend andmete ja nendega tehtava töö kirjeldamiseks. Selle koostamine algab kõige üldisematest vastustest küsimustele, kust ja kuidas plaanitakse andmeid saada, millised on nende tüübid ja kuidas need on seotud, milliseid andmevorminguid kasutatakse, milline on andmemaht, millist tarkvara kasutatakse, kus, kuidas ja kui kaua andmeid säilitatakse.

Andmehaldusplaan aitab kirjeldada andmeid, et muuta need avatud teaduse huvides leitavaks, juurdepääsetavaks, koostalitlusvõimeliseks ja taaskasutatavaks (Findable, Accessible, Interoperable, Reusable, FAIR-põhimõte). Ent lisaks saab plaani koostamisega tuvastada juba aegsasti isikuandmete töötlemisega kaasnevad võimalikud probleemid, samuti kohustused ja nõuded. Näiteks saab anda ülevaate sellest, milline osa andmetest on isikuandmed, kas töödeldakse eriliiki isikuandmeid, kas kasutatakse juba varem muul eesmärgil kogutud andmeid, kuidas tagatakse andmete konfidentsiaalsus ja terviklus või kellega andmeid jagatakse.

Kuigi ülikoolis ei ole üldist kohustust koostada iga uuringu jaoks andmehaldusplaan, on andmete süsteemne haldamine muutumas tavaks. Seda võivad nõuda ka uuringu rahastajad, näiteks programmi „Horisont 2020“ toetuste, Euroopa Teadusnõukogu ja Eesti Teadusagentuuri grantide andjad. Kuna andmehaldusplaani loomisel moodustub süsteemne ülevaade kõigist andmetest, mida on plaanis koguda ja analüüsida, on see mõistlik ühendada isikuandmete töötlemise ülevaate kirjutamisega ja vajaduse korral eetikakomiteele esitatava taotluse koostamisega.

2.1.2.     Andmekaitsetingimused

Andmekaitsetingimuste avaldamine on kohustuslik kõikidele asutustele, kes töötlevad isikuandmeid. Mahukamate teadusprojektide puhul võib olla tarvis koostada ka eraldi andmekaitsetingimused. Näiteks ülikooli andmekaitsetingimustes on esitatud üldinfo, kuid suuremahulise teadusprojekti raames toimuvat andmetöötlust tuleks eraldi kirjeldada. Rahvusvahelistes uuringutes seda üldjuhul ka tehakse.

Nõusolekupõhistes uuringutes esitatakse suur osa andmekaitsetingimustest ka informeeritud nõusoleku lehel. Kuna läbipaistvuspõhimõtte kohaselt peab isikuandmete töötlemist puudutav teave olema inimestele alati kättesaadav ja lihtsasti leitav, võiks sama teabe avaldada ka teadusprojekti või vastutava töötleja veebilehel (vt alaptk-d 2.7).

2.1.3.     Ülevaade isikuandmete töötlemisest

Isikuandmete töötlemise ülevaate koostamine on nii vastutava kui ka volitatud töötleja kohustus, mis tuleneb üldmääruse artiklist 30[1]. Üldjuhul ei ole ülevaate koostamine iga uuringu või projekti jaoks eraldi põhjendatud ega vajalik. Samas ei pruugi ülikool tegelikult teada, kuidas täpsemalt isikuandmeid mõnes mahukas uuringus või projektis töödeldakse. Samuti võib olla vastutus isikuandmete eest jagunenud arvukate teadusasutuste vahel. Seda arvesse võttes võib olla siiski vajalik koostada ülevaade isikuandmete töötlemisest ka ühe teadusprojekti jaoks, eriti kui selles töödeldakse tundlikke andmeid või kasutatakse suurema riskiga andmetöötlusmeetodeid.

2.1.4.     Eetikakomitee kooskõlastus

Mitmes Eesti seaduses on antud eetikakomiteedele ülesanne hinnata kavandatava teadustöö vastavust andmekaitsenõuetele. Eetikakomitee kooskõlastus on olenevalt teadustööst kohustuslik või vabatahtlik. Kooskõlastustaotluses tuleb kirjeldada muu hulgas, milliseid isikuandmeid, millisel õiguslikul alusel, kuidas ja kui kaua töödeldakse (vt ka alaptk 2.13).

2.1.5.     Andmekaitsealane mõjuhinnang

Kui teadusuuringu andmetöötlus kujutab endast suurt ohtu inimeste õigustele ja huvidele, saab neid kaitsta andmekaitsealase mõjuhinnanguga, mis on vastutavale töötlejale kohustuslik. Kui teadlasele tundub, et plaanitava teadustöö jaoks võib mõjuhinnang olla vajalik, tuleks ühendust võtta andmekaitsespetsialistiga.

Koostööprojektide puhul tuleks eraldi kokku leppida, millised partnerid vastutavad mõjuhinnangu tegemise eest ja kuidas teisi partnereid sellesse kaasatakse. Lisaks tasub arvestada, et eri Euroopa Liidu riikides tehakse mõjuhinnangut eri viisidel. Rahvusvaheliste projektide puhul oleks seega mõistlik eelnevalt arutada ja kokku leppida, millisel viisil ja kes mõjuhinnangu koostab.

Andmekaitsealane mõjuhinnang on spetsiifiline kohustus, mis ei tähenda, et teist laadi riskide hindamine ei ole vajalik. Sõltuvalt olukorrast võib olla vajalik ka andmeturbe- või eetiliste riskide hindamine (vt ka alaptk 2.14).

2.1.6.     Informeeritud nõusolek

Nõusolek on üks võimalik õiguslik alus isikuandmete töötlemiseks teadustöös. Informeeritud nõusoleku lehel peab sisalduma kõige olulisem teave isikuandmete töötlemise kohta. Mõnikord tuleb luua samast infolehest mitu versiooni, näiteks üks täiskasvanutele ja teine lastele. Samuti võib olla vajalik informatsiooni tõlkimine eri keeltesse.

Informeeritud nõusoleku leht koos inimese nõusolekuga on ametlik dokument, mida tuleb nõuetekohaselt hoida. Teadlasel võib olla vajalik tõendada andmesubjektilt saadud nõusolekut, kui näiteks inimene vaidlustab enda andmete töötlemise. Lisaks võivad informeeritud nõusoleku lehega tutvumist nõuda eetikakomiteed või rahastajad hindamaks, kas see vastab nõuetele.

Nõusolekut on võimalik tagasi võtta. Ka tagasivõtmine tuleb dokumenteerida (vt järgmine alaptk).

[1] Üldmääruse artiklis 30 kasutatud väljendi isikuandmete töötlemise toimingute registreerimine asemel eelistatakse Eestis väljendeid isikuandmete töötlemise ülevaade, ülevaade isikuandmete töötlemisest ja isikuandmete töötlemisülevaade. Kaht esimest on kasutatud ka siin juhendis.