JUHEND ISIKUANDMETE KAITSE EEST VASTUTAVATELE ISIKUTELE ANDMETÖÖTLEMISTE REGISTRITE KOOSTAMISEKS
Juhend kehtestatakse isikuandmete kaitse seaduse § 33 lõike 1 punkti 5 alusel
Kinnitatud 25. juunil 2012. aastal
Üle vaadatud 28. veebruaril 2013. aastal

Käesolev juhendmaterjal on mõeldud inimestele, kes on määratud asutustes, ettevõtetes isikuandmete kaitse eest vastutavateks ning kellel on isikuandmete kaitse seadusest tulenev kohustus pidada isikuandmete töötleja (asutuse, ettevõtte) andmetöötlemiste registrit. Juhendmaterjalist leiab praktilist nõu selle kohta, millises vormis andmetöötlemiste registrit koostada, kuidas ja mida sinna kanda. Käesoleva dokumendi juurde kuuluvad valdkondade kaupa koostatud vormid, mida on võimalik kasutada või millest lähtuda oma asutuses, ettevõttes andmetöötluste registri koostamisel. Juhime tähelepanu asjaolule, et vormides toodud andmekategooriate loetelud ei ole absoluutsed. Asutuse või ettevõtte töövaldkonda reguleerivate õigusaktide süvaanalüüs, mis puudutab isikuandmete töötlemise lubatavust, tuleb asutusel või ettevõttel endal läbi viia. Sealjuures ei tohi unustada ega registrist välja jätta asutuse või ettevõtte personali andmete töötlemist. Isikuandmete kaitse eest vastutav isik peab oma asutuse või ettevõtte isikuandmete töötlemist jälgima sellise  pilguga, et register oleks dünaamiline ja kajastaks jooksvalt tegelikke asjaolusid ning vastaks tõele. Vajadusel võib inspektsiooni poolt välja töötatud vorme redigeerida, täiendada, muuta.
Kui mõnes vormis on kokku pandud mitu tegevusvaldkonda, siis tuleb teie asutuse või ettevõtte tegevusega mitteseonduv vormilt eemaldada. Samuti ei ole vormidega hallatud kõik tegevusvaldkonnad, inspektsioon on lähtunud vormide koostamisel tegevusvaldkondadest, millistega me enamasti kokku puutume. 

Kuna isikuandmete kaitse seadus räägib vaid andmetöötluste registrite pidamise kohustusest üldises mõttes, sätestamata täpsemalt, kas andmetöötlemiste register peab hõlmama kogu asutuse või ettevõtte andmetöötlust või peab register olema andmekogupõhine, osakonnapõhine, valdkonnapõhine (kui asutus või ettevõte tegeleb erinevate valdkondadega), siis on selles suhtes jäetud isikuandmete töötlejatele vabad käed. Täpsemalt tähendab see seda, et asutus või ettevõte võib määrata mitu isikuandmete kaitse eest vastutavat isikut, kes peavad eraldi registreid. Samuti võib isikuandmete töötleja määrata ühe isikuandmete kaitse eest vastutava isiku, kes peab kas ühte ühtset andmetöötlemiste registrit või mitut osakonna- või andmekogupõhist registrit. Näiteks kui ministeeriumi haldusalas on palju erinevaid asutusi, siis võib ministeerium määrata ühe isikuandmete kaitse eest vastutava isiku, kes peab registrit kõikide haldusalasse kuuluvate asutuste kohta. Samas võib ministeerium määrata isikuandmete kaitse eest vastutava isiku vaid ministeeriumisiseselt ja haldusala asutused võivad enda siseselt selle isiku määrata. Variante on mitmeid, oluline on see, et kogu isikuandmete töötlemine oleks hallatud.

Millised andmed peavad sisalduma andmetöötlemiste registris

Isikuandmete kaitse seaduse § 30 lõige 3 ütleb, et isikuandmete kaitse eest vastutav isik peab isikuandmete töötleja andmetöötlemiste registrit, milles peavad sisalduma isikuandmete kaitse seaduse § 28 lg 2 punktides 1-7 nimetatud andmed.

Viimati nimetatud paragrahvi punktide kohaselt peab andmetöötlemiste register sisaldama:
1)	isikuandmete töötleja, sealhulgas volitatud töötleja nime, registri- või isikukoodi, tegevuskohta, asu- või elukohta ja muid kontaktandmeid;
2)	viidet isikuandmete töötlemise õiguslikule alusele;
3)	isikuandmete töötlemise eesmärke;
4)	isikuandmete koosseisu;
5)	isikute kategooriaid, kelle andmeid töödeldakse;
6)	isikuandmete allikaid; 
7)	isikuid või nende kategooriaid, kellele isikuandmete edastamine on lubatud.

Sisulised selgitused isikuandmete kaitse seaduse § 28 lg 2 punktide 1-7 tähenduse mõistmiseks

1.	Isikuandmete töötleja, sealhulgas volitatud töötleja nimi, registri- või isikukood, tegevuskoht, asu- või elukoht ja muud kontaktandmed – selle punkti juures kannate registrisse asutuse või ettevõtte nime ja kontaktandmed, kes isikuandmeid töötleb (ministeerium, osaühing, sihtasutus vms). Kui asutus või ettevõte kasutab isikuandmete töötlemisel ka volitatud töötlejaid, siis kannate registrisse ka nende nimed ja muud kontaktandmed. Volitatud töötlemisest saab rääkida näiteks sellisel juhul, kui ostetakse sisse raamatupidamisteenust, kui kasutatakse tsentraliseeritud registratuuriteenust või personaliarvestuse teenust vms.
2.	Viide isikuandmete töötlemise õiguslikule alusele – selle punkti juures tuleb mõelda seadustele, mis reguleerivad teie asutuse või ettevõtte töövaldkonda üldisemalt ning muudele seadustele, millega kaasneb samuti isikuandmete töötlemine just teie asutuses, ettevõttes (näiteks krediidiasutuste töövaldkonda reguleerib põhiliselt krediidiasutuste seadus, kuid isikuandmete töötlemiseks annab aluse ka rahapesu ja terrorismi rahastamise tõkestamise seadus ning loomulikult töölepingu seadus, 
       mis annab õiguse töödelda pangas töötavate inimeste andmeid). 
3.	Isikuandmete töötlemise eesmärgid – selle punkti juures sõnastate suhteliselt üldsõnaliselt isikuandmete töötlemise eesmärgid, mis tulenevad otseselt asutuse või ettevõtte ellukutsumise  ja teenuse osutamise eesmärkidest (näiteks krediidiasutus on asutatud kindla eesmärgiga, milleks on avalikkuselt rahaliste hoiuste ja muude tagasimakstavate vahendite kaasamine ning oma arvel ja nimel laenude andmine või muu finantseerimine ning krediidiasutus võib isikuandmeid töödelda vaid nende eesmärkide saavutamiseks. Krediidiasutuste isikuandmete töötlemise eesmärgiks ei saa olla meelelahutusteenuse või matuseteenuse pakkumine).
4.	Isikuandmete koosseis – selle punkti juures vaatate üle, milliseid andmeid inimeste (klientide, personali, kolmandate isikute) kohta teie asutuses või ettevõttes kogutakse (millised andmed seoses teenuse osutamisega tekivad), kategoriseerite need ära ja kannate kategooriate nimetused registrisse. Isikuandmete kategooriad peavad olema vastavuses isikuandmete töötlemise õiguslike alustega ja isikuandmete töötlemise eesmärkidega, ehk üle tuleb vaadata kõik asutuse või ettevõtte tegevusvaldkondi reguleerivad õigusaktid (näiteks krediidiasutuste puhul ei saa isikuandmete kategooriateks olla andmed klientide poliitiliste vaadete kohta, usuliste veendumuste kohta või seksuaalelu kohta, sest selliste andmete töötlemiseks ei ole krediidiasutustel seadusest tulenevat õiguslikku alust. Samuti ei aita selliste andmete töötlemine mitte mingil moel kaasa isikuandmete töötlemise eesmärkide saavutamisele).
5.	Isikute kategooriad, kelle andmeid töödeldakse – selle punkti juures teete selgeks, kes on need isikud, kelle kohta teie asutuses või ettevõttes isikuandmed tekivad, kategoriseerite need ära ja kannate registrisse kategooriate nimetused. Eraldi kategooriana tuleb välja tuua ka asutuse või ettevõttes töötav personal, sest nende isikuandmeid töödeldakse samuti.
6.	Isikuandmete allikad – selle punkti juures analüüsite läbi kõikvõimalikud variandid võimalustest, kuidas isikuandmed teie asutusse või ettevõttesse jõuavad ja millistest allikatest te neid ise hangite, kategoriseerite need ära ja kannate registrisse kategooriate nimetused. Isikuandmete allikateks saavad olla nii isikut tõendavad dokumendid, riiklikud andmekogud ja registrid, teiste asutuste poolt väljastatud tõendid, teenuse osutamisega seonduvad dokumendid vms.
7.	Isikud või nende kategooriad, kellele isikuandmete edastamine on lubatud – selle punkti juures kannate registrisse asutused, ettevõtted, institutsioonid, isikud väljaspool teie asutust või ettevõtet. Selliste isikute kategooriad peavad samuti olema kooskõlas asutuse või ettevõtte töövaldkonda reguleerivate õigusaktidega, ehk edastamise õigus peab tulenema seadusest (näiteks krediidiasutuste puhul on enamus asutusi, ettevõtteid, institutsioone ja isikuid ära toodud krediidiasutuste seaduses).