Soovitused koolile

Haridus- ja Teadusministeeriumi (2024) veebilehel kirjutatakse, et "isikuandmete töötlemine on isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu kogumine, dokumenteerimine, korrastamine, struktureerimine, säilitamine, kohandamine ja muutmine, päringute tegemine, lugemine, kasutamine, edastamise, levitamise või muul moel kättesaadavaks tegemise teel avalikustamine, ühitamine või ühendamine, piiramine, kustutamine või hävitamine". 

Isikuandmete kaitse üldmääruse rakendamine haridusasutustes juhendmaterjalis (Haridus- ja Noorteamet, 2018) kirjutatakse, et  haridusasutuse pidaja vastutab kõigi kogutud isikuandmete töötlemise eest, sõltumata nende kogumise viisist. Isikuandmete töötlemist haridusasutuses saab jagada kahte põhikategooriasse: 

• Seadusest tulenevad andmed, mis põhinevad õigusaktidel või asutuse sisemistel dokumentidel. Sellised andmed on tavaliselt dokumenteeritud ja registreeritud. Neile on määratud vastutaja, ligipääsupiirangud ja säilitamistähtajad. Näiteks: sisseastumisavaldused, tunnistused, käskkirjad, töölepingud

• Vajaduspõhised andmed, mida kogutakse vastavalt tekkinud vajadusele. Sellised andmed võivad olla mitteametlikud või vähem struktureeritud. Näiteks: suhtlus lapsevanematega, sotsiaalmeedia kontod, töökohtade info.

Seetõttu on vajalik koolis läbi mõelda ka vajaduspõhiselt kogutud andmete töötlemise kord, et tagada vastavus isikuandmete kaitse üldmääruse (IKÜM ehk GDPR) nõuetele.  

Ringkirjas (AKI, 2024) jagatakse nõuandeid koolidele isikuandmete kaitsmiseks: 

• veenduda, et kõik isikuandmete töötlemise toimingud koolis on õiguspärased;

• töötada välja andmekaitsetingimused, kui neid ei ole siiani tehtud (kui andmekaitsetingimused on välja töötatud, siis veenduda, et need on ka ajakohastatud) ja avaldada need oma veebilehel;

• kindlustada, et isikuandmeid töötlevad töötajad oleksid andmekaitsetingimustest informeeritud;

• vaadata üle alles hoitavad dokumendid ja veebikeskkondadesse sisestatud isikuandmed ja dokumendid ning nende säilitamise tähtajad;

• luua süsteem, kuidas toimub andmete säilitustähtaegade jälgimine ja tähtaja lõppedes andmete kustutamine;

• veenduda, et asutuses oleks läbi mõeldud kõik veebikeskkondades toimuvad isikuandmete töötlused ja mis andmeid nendes töödeldakse, sh oleks määratud, kuidas toimub kontroll, et õppijate ja õpetajate andmed saavad kustutatud, kui eesmärk on täidetud. 

Andmekaitsetingimuste väljatöötamine

Ringkirjas (AKI, 2024) soovitatakse õppeasutusel välja töötada andmekaitsetingimused. Kui tingimused on olemas, tuleb veenduda, et need oleksid ajakohased ja vastaksid kehtivatele nõuetele. 

Andmekaitsetingimustes selgitatakse, kuidas õppeasutuses isikuandmeid töödeldakse. Oluline on, et oleks selge ülevaade töödeldavatest isikuandmetest: kus need asuvad, kellel on neile ligipääs ja millised toimingud tehakse, kui isikuandmeid töötlev töötaja lahkub. Samuti tuleb määrata säilitustähtajad.

Soovitav on välja tuua, milliste andmete eest vastutab kool ja milliste eest õppekorralduskeskkond. Näiteks võivad õppekorralduskeskkonnad olla vastutavad töötlejad seoses kasutajatoe kirjavahetuse ja kontodega seotud andmete osas.

Andmekaitsetingimused peaksid olema kirjutatud lihtsalt ja arusaadavalt, et kõik koolipere liikmed – õpilased, vanemad ja õpetajad – mõistaksid, kuidas nende isikuandmeid töödeldakse. Tingimused tuleb avaldada ka kooli veebilehel, et tagada läbipaistvus ja usaldusväärsus.

Rohkem infot leiad järgevast ringkirjast.