Andmekaitsealane mõjuhinnang on kirjalik hinnang, mille teie organisatsioon peaks tegema, et hinnata kavandatava töötlemistoimingu mõju. See aitab teil kindlaks teha asjakohased meetmed riskide maandamiseks ja nõuetele vastavuse tõendamiseks.
Kuigi andmekaitsealase mõjuhinnangu tegemisega on alati soovitatav prognoosida teie organisatsiooni kavandatavate töötlemistoimingute mõju, on andmekaitsealane mõjuhinnang kohustuslik, kui töötlemine toob tõenäoliselt kaasa suure ohu üksikisikute õigustele ja vabadustele.
Täpsemalt on see nii juhul, kui kavandatav töötlemine hõlmab järgmist:

• delikaatsete isikuandmete või süüdimõistvate kohtuotsustega seotud andmete ulatuslik töötlemine;
• isiku isiklike aspektide süstemaatiline ja ulatuslik hindamine, mis põhineb automatiseeritud töötlemisel, sealhulgas profiilianalüüsil, ning millel põhinevad otsused, millel on asjaomase isiku jaoks õiguslikud tagajärjed või mis mõjutavad oluliselt üksikisikuid;
• üldsusele kättesaadava ala süstemaatiline ulatuslik seire.

Euroopa Andmekaitsenõukogu (EAKN) on välja töötanud suunised, milles loetletakse kriteeriumid, mida peate andmekaitsealase mõjuhinnangu kohustuslikkuse hindamisel arvesse võtma. Andmekaitseasutused on avaldanud ka loetelu töötlemistoimingutest, mille suhtes kohaldatakse andmekaitsealast mõjuhinnangut. Lisaks on mitu andmekaitseasutust töötanud välja juhendeid, tarkvara või enesehindamise vahendeid, et aidata teil oma hinnangut anda.

Lisateave:

• Vastavus nõuetele

Ei, te ei pea olema sertifitseeritud, et saada andmekaitsespetsialistiks.

Andmekaitsespetsialistid peavad siiski suutma tõendada, et neil on IKÜM-s nõutud vajalik kvalifikatsioon, näiteks eksperditeadmised andmekaitsealaste õigusaktide ja tavade kohta.

Lisateave:

• Andmekaitsespetsialist

Isikuandmetega seotud rikkumine on turvarikkumine, mis toob kaasa isikuandmete juhusliku või ebaseadusliku hävitamise, kaotsimineku, muutmise, loata avalikustamise või neile juurdepääsu.

• Kui andmetega seotud rikkumine kujutab endast ohtu asjaomastele isikutele, peate sellest teatama asjaomasele andmekaitseasutusele 72 tunni jooksul.
• Kui rikkumine toob tõenäoliselt kaasa suure ohu üksikisikutele, peate ka sellest rikkumisest asjaomastele isikutele põhjendamatu viivituseta teatama.

Igal juhul peate kõigi rikkumiste puhul – isegi, kui neist ei ole andmekaitseasutust teavitatud – registreerima vähemalt rikkumise põhiandmed, hinnangu rikkumise kohta, selle mõju ja reageerimiseks võetud meetmed.
 

Lisateave:

• Andmetega seotud rikkumised

IKÜM-i kohaselt on vastutava töötleja ja volitatud töötleja vaheline kehtiv leping kohustuslik. Rikkumise eest võib määrata haldustrahvi kuni 10 miljoni euro ulatuses või kuni 2 % ulatuses äriühingu aastasest kogukäibest, olenevalt sellest, kumb summa on suurem.

Selleks, et aidata teid vastutava töötleja ja volitatud töötleja vahelise lepingu sõlmimisel, on Taani ja Sloveenia andmekaitseasutused ning Euroopa Komisjon välja töötanud näidislepingud.

Lisateave:

• Vastutav töötleja või volitatud töötleja

Andmekaitsespetsialistid (AKS)võivad täita organisatsioonis muid ülesandeid, kuid see ei tohi põhjustada huvide konflikti. See tähendab, et AKS ei saa olla olukorras, kus ta määrab kindlaks töötlemistoimingute eesmärgid ja vahendid. Vastuoluliste ülesannete hulka kuuluvad peamiselt juhtivad ametikohad (juht, tegevjuht, finantsjuht, personalijuht, IT-juht, tegevdirektor), kuid võivad hõlmata ka muid ülesandeid, kui nende tulemusel määratakse kindlaks töötlemise eesmärgid ja vahendid.
AKS peab olema võimeline täitma oma kohustusi ja ülesandeid sõltumatult. See tähendab, et teie organisatsioon:

• ei tohi anda AKS-le juhiseid seoses tema AKS-i ülesannete täitmisega;
• ei tohi AKS-i tema ülesannete täitmise eest karistada ega ametist vabastada.

Lisateave:

• Andmekaitsespetsialist

IKÜM loob üksikisikutele konkreetsed õigused, mida tuleb austada. Seda saab teha järgmiselt:

• teavitada üksikisikuid, kelle andmeid te töötlete oma töötlemistoimingutest ja töötlemise eesmärkidest, kui kogute nende andmeid, näiteks oma veebisaidil oleva isikuandmete kaitse avalduse kaudu;
• vastates üksikisikute taotlustele kasutada oma õigusi, nagu juurdepääsu-, parandus-, vastuväite-, kustutamis- või teisaldamistaotlused.

Organisatsioonide kohta, kes on oma isikuandmete kasutamise osas läbipaistvad ja austavad üksikisikute õigusi, on kaebuste esitamise tõenäosus väiksem.

Lisateave:

• Üksikisikute õiguste austamine

Kui teie organisatsioon kogub isikuandmeid otse üksikisikutelt, peab ta esitama vajaliku teabe kogumise ajal.
Isikuandmete kaudse kogumise korral peab teie organisatsioon esitama teabe hiljemalt ühe kuu jooksul pärast seda, kui isikuandmed on algselt saadud. Seda maksimaalset ühekuulist ajavahemikku võib lühendada:

• kui isikuandmeid kasutatakse andmesubjektiga suhtlemiseks. Sellisel juhul peate andmesubjekti teavitama hiljemalt andmesubjektile esmakordsel teavitamisel;
• kui andmed edastatakse teisele vastuvõtjale, teavitab organisatsioon sellest andmesubjekte hiljemalt isikuandmete edastamisel.

Lisateave:

• Üksikisikute õiguste austamine

Konkursi võitjate nimede avaldamist oma veebisaidil võib pidada õigustatud huviks, kui saate seda tõendada tasakaalukatsega, et teha kindlaks, kas teie õigustatud huvid kaaluvad üles üksikisikute õiguse.

Hea tava oleks kehtestada sisemenetlus, milles selgitatakse võitjate isikuandmete avaldamise eeskirju.

Lisaks peaks isikuandmete töötlemine nendel eesmärkidel olema osa konkursi privaatsuspoliitikast, et osalejaid teavitataks eelnevalt sellest, kuidas nende andmeid töödeldakse.

Lisateave:

• Töötle isikuandmeid seaduslikult

Te ei saa säilitada isikuandmeid igavesti.
Üldjuhul võib isikuandmeid säilitada ainult nii kaua, kui see on isikuandmete töötlemise eesmärke silmas pidades vajalik.

Mõnel juhul saab säilitusaja kindlaks määrata konkreetsete seadustega, näiteks tööseadustega määratakse palganimekirjade säilitusaeg.

Organisatsioonid peaksid kehtestama andmete säilitamise põhimõtted, tagamaks, et isikuandmeid ei säilitata kauem, kui on vajalik. Üksikisikute isikuandmed tuleb kustutada või anonüümseks muuta, kui need andmed ei ole enam töötlemise eesmärgil vajalikud.

Lisateave:

• Andmekaitse põhitõed

Selleks, et nõusolekut saaks pidada kehtivaks, peab see olema:

• vabalt antud;
• konkreetne;
• teavitatud;
• ühemõtteline.

See tähendab, et üksikisikutel peab olema tõeliselt vaba valik küsimuses, kas nad nõustuvad oma isikuandmete töötlemisega või mitte; nad vajavad piisavalt teavet, et nad mõistaksid, milliseid andmeid töödeldakse, millisel eesmärgil ja kuidas seda tehakse; samuti vajavad nad nõusolekutaotlustes piisavalt üksikasjalikku teavet.

Lisaks peaks isik selgelt kinnitama (ilma eelnevalt märgistatud lahtriteta ja kohaldatavatest üldtingimustest eraldi).
Lisaks peavad üksikisikud saama oma nõusoleku tagasi võtta (ilma negatiivsete tagajärgedeta), kui nad hiljem meelt muudavad.

Lisateave:

• Töötle isikuandmeid seaduslikult