Alaealiste andmete töötlemisest

2019. aastal sai inspektsioon mitmeid kaebusi ja märguandeid koolides toimuva andmetöötluse kohta. Ühe probleemina joonistus välja, et koolid küsivad andmeid liiga palju. Üldine reegel, mida soovitasime järgida, on lähtuda andmete kajastamisel põhimõttest „nii vähe kui eesmärgi saavutamiseks vajalik“, aga nii, et midagi olulist ei jääks jällegi tegemata.

Koolil ei ole õigus küsida tervisetõendile lisaks täpsemat diagnoosi

Inspektsioon lahendas koostöös Haridus -ja Teadusministeeriumiga ühte kaasust, kus kool küsis õpilaselt lisaks arstitõendile ka diagnoosi, et otsustada kas kool lubab õpilasel puudutud ajal toimunud kontrolltööd järele teha. Haridus-ja Teadisministeerium oli vastuses koolile selgitanud, et põhikooli- ja gümnaasiumiseaduse (PGS) § 36 lõike 2 alusel lisaandmete küsimine ei ole põhjendatud, kuna ei selgu, et koolil on tõendid ebaõigete andmete esitamise kohta.

Inspektsioon leidis samuti, et arstitõendi juurde lisaandmete küsimine on ülemäärane. Inspektsiooni hinnangul on arstitõend oma loomult nii õpilase kui ka töötaja puhul ilmselge tõend mõjuva põhjusega puudumisest, mis ei vaja eraldi hindamist, ega anna alust lisaandmete küsimiseks. Juhul kui on kahtlustusi tõendi õiguses vms, siis selle väljaandmisega seotud asjaolude kontrollimiseks saab esitada taotluse Eesti Haigekassale. 

„Inspektsiooni hinnangul on arstitõend oma loomult nii õpilase kui ka töötaja puhul ilmselge tõend mõjuva põhjusega puudumisest, mis ei vaja eraldi hindamist, ega anna alust lisaandmete küsimiseks.“

Terviseandmete kui eriliigiliste andmete saamiseks ei saa kasutada õigusliku alusena ka nõusolekut, sest nõusolek peab olema antud vabal tahtel. Diagnoosi kui eriliigiliste isikuandmete küsimisega võetakse ära võimalus avaldada neid ise vabal tahtel ehk nõusoleku alusel. Seda seetõttu, et kui kooli esindaja küsib andmeid lapsevanemalt, lapselt või töötajalt, siis on tegemist nõrgemal positsioonil oleva isikuga, kes ei saa oma vaba tahte üle ise otsustada. Inspektsioon leidis, et kool rikkus sellega andmekaitsenõudeid.

PGS § 35 lõige 2 ja § 36 lõige 2 alusel saaks kool hinnata ja täpsustada muid puudumisi (nt kui õpilane puudub seoses kooliväliste võistluste, pereürituste, reiside jms põhjustega), mis ei ole faktiliselt käsitletavad mõjuva puudumisena. Sel juhul lasub inspektsiooni hinnangul asjaolude tõendamise kohustus tõepoolest lapsevanemal ning kool võib küsida täpsustusi, nt konkursil osalemise kinnitust jms.

Õpilase diagnoosi ei ole õigust küsida ka kehalise kasvatuse õpetajatel. Piisab, kui arsti otsuses on välja toodud vastunäidustused. Seda eelkõige põhjusel, et ükski muu isik, kes ei ole meditsiinitöötaja ei saa asuda diagnoosi alusel vastu võtta otsuseid, mis on õpilasele lubatud ja mis mitte. Küll aga kutsub inspektsioon vanemaid üles koostööks õpetajatega, lähtudes perearsti soovitustest, sest see on lapse huvides, kui ta mingilgi määral olenemata oma tervislikust seisunist spordiga siiski tegeleks. Koos vanemaga oleks hea leida vastavale õpilasele alternatiivsed harjutused jms, mitte automaatselt vabastada igasugustest tundidest.

Vanema nõusolek lapse andmete töötlemiseks kehtib ainult selle küsijale

Inspektsioon sai märgukirja, et ühe laste päevahoiu juhataja kasutab lastest pilte ja videosid reklaamiks enda isiklikul Facebooki kontol. Inspektsioon tuvastas, et nõusolek laste andmete töötlemiseks oli küll võetud, aga see oli võetud lastehoiu kui juriidilise isiku nimel.

Kui nõusolek laste andmete töötlemiseks on võetud juriidilise isiku nimel, siis peab arvestama, et eraisikuna neid samu andmeid avaldada ei saa. Selleks on vaja võtta eraldi lapsevanemate nõusolek ja andmete avaldamisel tekib sel juhul kahe eraisiku vaheline õigussuhe. Antud juhul soovitas inspektsioon avaldajal veenduda, et vanemad on oma laste fotode ja videote avaldamisega nõus ja sellest teadlikud. Lisaks tuleb kasutada laste andmete avalikustamisel suhtluskeskkonnas privaatsussätteid, et andmed ei oleks kõigile nähtavad, vaid teha valik, kellele isik soovib need nähtavaks teha.

Samuti tuleb juhtida tähelepanu sellele, et kui lastehoid soovib laste andmeid avaldada ettevõtte võrgulehel, siis on võimalus kasutada sätteid, millega ei ole konkreetsed võrgulehed otsingumootoritele leitavad.