Kas laste andmed on tundlikumad?

Foto: DataVie

1. juuni on rahvusvaheline lastekaitsepäev, mille puhul on paslik pöörata tähelepanu laste isikuandmete kaitsmisele. Lapsed ja GDPR (isikuandmete kaitse üldmäärus) on teema, mis võiks kõnetada iga lapsevanemat ja lasteasutust, kes alaealistega igapäevaselt tegelevad. Kogenud andmekaitsespetsialist ja DataVie asutaja Piia Laks-Järve jagab oma teadmisi küsimustes, mis laste privaatsust silmas pidades võivad igapäevaelus tekkida.

Kas laste andmed on tundlikumad?

Seaduse silmis ei ole laste andmed kuidagi tundlikumad kui täiskasvanute omad, kuid meeles tasub pidada, et kui andmeid töödeldakse nõusoleku alusel, siis laps ise nõusolekut anda ei saa. Selle saab anda lapse seaduslik esindaja, kas lapsevanem või tema eestkostja. Samas lastevanemate jaoks võib laste andmete kaitse olla keskmisest tundlikum teema just seetõttu, et lapsed on nõrgem osapool ning lapsevanema kohustus on neid kaitsta olukordades, mis võib lapse turvalisust ja õigusi ohustada või ebameeldivaid tagajärgi kaasa tuua.

Kuidas laste andmeid küsida ja kas ma pean jagama enda lapse andmeid?

Elame (info)ühiskonnas, kus meil on õigused ja kohustused, mis eeldavad teatud teenuste kasutamist (nt koolikohustus) ning teenuste tarbimiseks tuleb paratamatult andmeid väljastada, iseasi kui suures ulatuses. Kuidas kujutada ette olukorda, kus lapsevanem soovib oma lapse panna lasteaeda, kuid ei soovi väljastada lapse nime vms. Vähem ekstreemsema juhtumina võtame info lapse erisuse või erivajaduse kohta. Näiteks võib lapsel olla allergia pähklite või mesilase mürgi vastu või mõni krooniline tervisehäire (nt epilepsia) ning lapse huvides on mõistlik sellest lasteaeda informeerida. Ükski lasteasutus ei saa ja ei soovi võtta vastutust lapse eripärast tulenenud tagajärje osas, millest pole lapsevanem pidanud vajalikuks teavitada ning seetõttu polnud lasteasutusel võimalik sellega arvestada või lapsele õigeaegselt ja vajalikku abi osutada.

Nn liigne privaatsus ei tohiks seada ohtu lapse tervist ja heaolu. Samas lasteasutus saab küsida terviseandmeid võrdlemisi delikaatselt, stiilis “kas võib oll erisusi, millega tuleb arvestada” mitte lastes linnutada A4 pikkust nimekirja haigustest. Andmete küsimise ja andmise osas tasub siiski olla kriitiline, st andmekoguja peab suutma põhjendada, milleks ta andmeid vajab ning mis õiguslikul alusel ta neid töötleb. Nt ei ole mõtet koguda detailseid andmeid lapsele lasteaeda järgi tulijate osas, kui reaalsuses neid ei kasutata ja järgitulijat ei tuvastata nt isikut tõendava dokumendi alusel.

Mille alusel võib laste andmeid küsida ja töödelda?

Eelpool on mainitud, et isikuandmete küsimine peab olema põhjendatud, sh näeb ka GDPR ette õiguslikud alused, mille alusel tohib andmeid töödelda. Laste puhul on tõenäoliselt enamlevinud alusteks seadusest tuleneva kohustuse täitmine, (lapsevanema või eestkostja) nõusolek ja õigustatud huvi.

Näiteks õppe- ja kasvatustegevuse korraldamise eesmärgil isikuandmete töötlemine võib olla seadusest tuleneva kohustuse täitmine, sünnipäevade ja hinnete avaldamine nõusoleku ja valvekaamerate kasutamine õigustatud huvi alusel. Lapse seadusliku esindaja nõusolek on soovitatav võtta kirjalikult taasesitatavas vormis, et vältida võimalikke vaidlusi ning nõusolekut peab saama ka igal ajal tagasi võtta. Nõusoleku andmiseks piisab ühe vanema nõusolekust, kuid kui tekib olukord, kus üks vanem annab nõusoleku ja teine mitte, siis seda loetakse kehtiva nõusoleku puudumiseks. Õigustatud huvi hindamiseks viiakse läbi analüüs, kus kaalutakse privaatsuseriive plusse ja miinuseid ning kokkuvõttes peavad plussid kaaluma ülesse võimaliku negatiivse mõjuga privaatsusriive lapsele.

Kas lapse puudumisel tohib küsida täpset diagnoosi ja kus tuleb mängu kaine mõistus?

Terviseandmeid peetakse üldjuhul tundlikeks (nn eriliigilised) isikuandmeteks, mistõttu tuleks mõelda nende piisavale kaitstusele, lähtudes võimalusel minimaalsuseprintsiibist, üldistamisest ja tehes seda isikustamata, rakendades meetmeid nagu anonümiseerimine ja pseudonümiseerimine.

Juhul kui koolist puudumist (pikemaaegsed haigused vms) tuleb kinnitada arstitõendiga, ei ole õppeasutusel õigust küsida konkreetset infot diagnoosi kohta. Samas on n-ö halle olukordi, kus tuleks lähtuda kainest mõistusest. Lasteaiakaaslased on kindlasti tänulikud, kui lapsevanem avalikustab lasteaiale info nakkavate haiguste vms kohta, et teised lapsevanemad oskaksid olla ennetavad. Võtame kasvõi tuulerõuged, täid, kus minimaalne info, et laps on haige, ei tundu teisi väikseid sõpru arvestades piisav. Usutavasti oskab lasteasutuse personal olla ka sellistes olukordades professionaalne, avalikustades leviva nakkushaiguse, kuid mitte konkreetset last, kelle lapsevanem võis selle esimesena avastada.

Kas lapsi tohib pildistada ja seda avalikult asutuse sotsiaalmeedias, kodulehel jagada?

Lasteasutustel on sesoonselt mitmeid traditsioonilisi üritusi nagu aktused, jõulu- ja emadepäeva kontserdid jne. Kuna lasteasutuse (lasteaed, kool) puhul on üldiselt tegu avaliku asutusega, loetakse ka üritusi avalikuks. Üritusi soovitakse tihti pildistada või filmida, et talletada toredaid mälestusi pildiarhiivi või selleks, et kasutada visuaalset materjali ka (õppe)asutuse turundamisel. Kuna tegemist on üritustega, kus on tõenäoliselt sadu lapsevanemaid, siis igaühelt eraldi nõusolekut küsida ei pruugi olla mõistlik, mistõttu võib siin olla ressursisõbralikumaks lahenduseks teavitussilt, millega antakse teada, et lapsi pildistatakse, samuti info eesmärgi kohta ning viide nt QR koodi kujul asutuse kodulehele ja või -korrale, kus antakse täpsemalt teada, mis õiguslikul alusel pilte tehakse ning kuidas neid töödeldakse ja säilitatakse. Sh info, kuhu pöörduda, kui lapsevanem soovib, et tema lapsest pilte ei avaldataks.

Hea tava on jäädvustamisest teavitav info edastada koos kutsega, et asjaosalistel oleks võimalik eelnevalt privaatsusteadetega (teisisõnu andmekaitsetingimused) tutvuda. Andmekaitse Inspektsioon (edaspidi AKI) on andnud ka soovituse, et võimalusel eraldada saaliosa neile, kes kaameravälja jääda ei soovi. Üldiselt soovitatakse siiski avaldada visuaalset materjali selliselt, kus laps poleks äratuntav, nt lapsed on seljaga.

Mida teha, kui avastan avalikust veebist või teise lapsevanema postitusest pildi, kus on peal minu laps?

Lapsevanemad soovivad tihtilugu jagada oma rõõmu laulvast, tantsivast või elu esimest rattavõistlust läbivast võsukesest ka sõprade ringis sotsiaalmeedias. Kui peale on jäänud teisigi lapsi, siis korrektne ning viisakas on enne avaldamist küsida nõusolekut teistelt puudutatud lapsevanematelt.

Kui lapsevanem ei soovi, et tema lapsest on pilt üleval (laps on äratuntav), on soovitatav alustada veebi või konto omanikust ning paluda pilt eemaldada. Kui see ei toimi, on võimalik pöörduda ka järelevalveorgani, st AKI poole. Küll aga ei tegele AKI hüvitiste (nt mainekahju vms) väljanõudmisega, mis on kohtu pädevus.

Kas valvekaamerad on lasteasutustes lubatud?

Siin kehtivad samasugused reeglid nagu ükskõik mis teises avalikus kohas. Raudreegel on, et puhkeruumides, riietus- ja pesuruumides, tualettruumides on kaamerate kasutamine keelatud. Kaamerate kasutamist võib kaaluda üksnes ohutuse ennetamiseks ja turvalisuse tagamiseks kohas, kus üldiselt viibitakse lühiajaliselt nagu sissepääsud vms. Selleks tuleb teostada ka õigustatud huvi analüüs, mis peab andma vastuse, kas huvi on õigustatud või tuleb kaamerate kasutamisest loobuda.

Mida tohib kool avaldada – kas tohib avaldada olümpiaadide ja sporditulemusi, hindeid või ka vilistlaste nimekirju?

Üldiselt tohib tulemusi avaldada nõusoleku või õigustatud huvi alusel. Esmalt tuleks selgeks teha avaldamise eesmärk ning õiguslik alus töötlemiseks. Eesmärkideks saab olla näiteks õpilaste tunnustamine, üksteise motiveerimine (nt edukas esinemine olümpiaadil tagab sissepääsu gümnaasiumisse, ülikooli vms) ning õppeasutuse turundamine, sest koolid ju konkureerivad õppeedukuselt n-ö paremate nimel.

Olümpiaadid on enamasti koolideülesed mõõduvõtmised, mistõttu siin on kindlasti oluline kooli laiem ja avalik esindamine, mistõttu võib siin kaaluda õigusliku alusena nii nõusolekut kui õigustatud huvi. Samuti näiteks spordikool, kellele on oluline silma paista sportlikult kõrgemate saavutustega.

Koolisisene hinnete või tulemuste avaldamine saab üldjuhul toimuda nõusoleku alusel. Üldise soovitusena tasub lähtuda minimaalsusest, kas piisaks näiteks paremiku (esikolmik, -kümme) väljatoomisest, eesnimedest, isikustamata edetabelist või tulemuste avaldamisest kitsamale ringile. Küsimus on, mis eesmärki täidab tabeli lõpus olevate nõrgemate tulemuste presenteerimine, tõenäoliselt tekitab see 1 meetri kaugust hüpanud lastes ebamugavust, kui parimad hüppavad 5 meetrit.

Traditsiooniliseks on kujunenud ka kooli vilistlasnimekirjade avaldamine, kuid seda tohib teha nõusoleku alusel. Kooli huviks võib olla nende vilistlaste nimede avaldamine, kes on hilisemas elus avalikkusele tuntud tipptegijad. Olgu selleks mõni minister, teadlane, olümpiavõitja või ükssarviku ehitaja. Välja tasub siiski tuua, et AKI täisnimekirjade avaldamist ei soovita ning kasutada tuleks lisaks tehnilisi turvameetmeid ning peita sellised lehed otsingumootorite eest.

Kokkuvõttes tuleb laste isikuandmete kaitsmisel lähtuda eeskätt laste huvidest, seadusest kui ka kainest mõistusest. Isikuandmete töötlusel tuleb selgeks teha eesmärk, töötlemiseks peab olema õiguslik alus ning töötlemine peab olema läbimõeldud ja põhjendatud.

Selleks, et isikuandmed (nii laste kui täiskasvanute) oleksid paremini kaitstud, korraldab DataVie suvekampaania, mille raames on kiirematele asutustele ja ettevõtetele üks tund andmekaitsealast nõustamist tasuta. Küsi nõu spetsialistidelt, kuidas koostada privaatsusteateid või õigustatud huvi analüüsi või millest üldse alustada, kui on soov viia asutuse/ettevõtte tegevus vastavusse andmekaitsenõuetega. Loe täpsemaid kampaaniatingimusi siit ja anna enda soovist märku siin, kirjeldades sõnumi lahtris lühidalt nõustamissoovi sisu ja lisades kampaaniakoodi “SUVI”.