Isikuandmete töötlemine digivalimiste platvormil

1. Üldsätted

Digivalimiste platvormi vali.rahvaalgatus.ee haldab Eesti Koostöö Kogu (edaspidi EKK).
Platvorm võimaldab koolidel korraldada turvalisi elektroonilisi valimisi (st õpilasesinduse, klassivanema ja muude koolisiseste rollide valimised).
Kasutaja näeb ja saab osaleda ainult oma kooli valimistel ega näe teiste koolide kandidaate, valijate nimekirju ega hääletustulemusi.

2. Vastutavad töötlejad ja nendevahelised kokkulepped

EKK ja valimisi korraldav kool töötlevad digivalimiste läbiviimiseks vajalikke isikuandmeid kaasvastutavate töötlejatena isikuandmete kaitse üldmääruse (GDPR) artikli 26 tähenduses.

Kooskõlas GDPR artikli 26 lõikega 2 on kokkuleppe põhiolemus järgmine:

• kool või omavalitsus vastutab: valimiste väljakuulutamise, kandidaatide ja valijate nimekirja määramise ja andmete platvormile sisestamise, andmete õigsuse, õigusliku aluse olemasolu ja andmesubjektide (sh alaealiste) teavitamise enne kandideerimist ja hääletamist.
• EKK vastutab: platvormi tehnilise turvalisuse ja arhitektuuri, sh juurdepääsupiirangute rakendamise, vaikimisi säilitustähtaegade järgimise ja andmete kustutamise tähtaja möödudes ning turvaintsidentide käsitlemise.

3. Töödeldavad isikuandmed

Digivalimiste läbiviimiseks töödeldakse üksnes neid isikuandmeid, mis on vajalikud valimiste turvaliseks ja usaldusväärseks korraldamiseks.

Valija andmed:

• ees- ja perekonnanimi;
• isikukood;
• kool ning vajadusel klass või muu valijarühm;
• tehnilised logiandmed (sh IP-aadress ja sisselogimise aeg);
• hääletamisotsus (seostatakse isikuga hääletamise ajal topelthääletuse vältimiseks; hääle sisu ei ole pärast hääletamist teistele kasutajatele nähtav).

Kandidaadi andmed - valimisi korraldav kool võib platvormile lisada:

• ees- ja perekonnanime;
• klassi;
• kandidaadi tutvustuse;
• muud valimiste tutvustamiseks vajalikud andmed.

Kool vastutab platvormile lisatud kandidaatide andmete õigsuse ja õiguspärase töötlemise eest.

4. Isikuandmete päritolu

Isikuandmed jõuavad süsteemi järgmiselt:

• valimisi korraldav kool lisab enne valimiste algust kandidaatide ja hääleõiguslike õpilaste andmed;
• kasutaja tuvastab end ID-kaardi, Mobiil-ID või Smart-ID abil;
• autentimise käigus kontrollib platvorm kasutaja hääleõigust kooli esitatud valijate nimekirja alusel ning tuvastab, millise kooli andmeid kasutajale kuvada.

5. Isikuandmete töötlemise eesmärgid

Isikuandmeid töödeldakse järgmiste eesmärkide saavutamiseks: kasutaja autentimine; hääleõiguse kontrollimine; topelthääletamise vältimine; valimistulemuste korrektne arvestamine; kasutajale ainult tema enda kooli valimiste ja kandidaatide kuvamine; platvormi turvalisuse tagamine; võimalike vaidluste lahendamine.

Isikuandmeid ei kasutata reklaamiks, turunduseks ega muul eesmärgil, mis ei ole seotud digivalimiste läbiviimisega.

6. Isikuandmete töötlemise õiguslik alus

Digivalimiste raames toimuvate erinevate valimiste õiguslik alus on järgmine:

• õpilasesinduse valimised: Põhikooli- ja gümnaasiumiseaduse § 60 näeb ette õpilaskonna õiguse moodustada õpilasesindus ning selle valimise korra kehtestab kooli õpilasesinduse põhimäärus. Isikuandmete töötlemise õiguslik alus on seega GDPR artikli 6 lõike 1 punkt e (avalikes huvides oleva ülesande täitmine) koostoimes nimetatud seadusega ja kooli õpilasesinduse põhimäärusega.
• klassivanema ja muude kooli enda kodukorrast tulenevate, otsesest seadusesättest mitte tuleneva rolli valimised: õiguslik alus on GDPR artikli 6 lõike 1 punkt e - kooli kui haridusasutuse avaliku ülesande (õppe- ja kasvatustöö korraldamine) täitmine, mis on täpsustatud kooli kodukorras (Põhikooli- ja gümnaasiumiseaduse § 68).
• isikukoodi töötlemine autentimiseks: toimub topelthääletuse vältimiseks ja hääleõiguse kontrollimiseks, mis on vajalik eelnimetatud õigusliku aluse täitmiseks, ning tugineb riiklikult reguleeritud autentimisvahendite (ID-kaart, Mobiil-ID, Smart-ID) kasutamisele.

7. Alaealiste isikuandmete töötlemine

Digivalimiste kasutajate ja kandidaatide hulgas on suures osas alaealised. Sellega seoses kehtib järgmine kord:

• kuna valimiste enda õiguslik alus (punkt 6) tugineb GDPR artikli 6 lõike 1 punktile e, mitte nõusolekule, ei kohaldu sellele isikuandmete töötlemisele Isikuandmete kaitse seaduse §-s 8 sätestatud lapse nõusoleku vanusepiirang - see piirang puudutab üksnes nõusolekul põhinevat töötlemist infoühiskonna teenuste kontekstis.
• andmekaitsetingimused esitatakse alaealisele arusaadavas ja eakohases keeles (vt Sinu andmed) ning tehakse kättesaadavaks enne kandideerimist ja hääletamist.

8. Juurdepääs isikuandmetele ja andmete nähtavus

Platvormi kasutamisel kehtivad järgmised juurdepääsupiirangud:

• autentitud kasutaja, kelle kool on tuvastatud, näeb ainult oma kooli valimisi ja kandidaate ning saab hääletada ainult oma kooli valimistel;
• autentimata kasutajale või kasutajale, kelle kooli ei õnnestu tuvastada, kuvatakse ainult koolide nimekiri ja üldine statistika - mitte kandidaatide nimesid ega koolipõhiseid tulemusi;
• piiratud ligipääsuga kasutaja ei saa hääletada ning talle kuvatakse ainult piiratud vaade;
• teiste koolide andmed ei ole kasutajale nähtavad.

Avalikult kuvatav statistika piirdub üldnäitajatega (nt osalusprotsent) ega kuva üksikute kandidaatide vahetulemusi.

9. Isikuandmete säilitamine

Valimistega seotud isikuandmed kustutatakse hiljemalt kolme kuu jooksul pärast valimiste lõppu. Kolmekuuline tähtaeg jätab mõistliku lisaaja vaidluste menetlemiseks. Valimisi korraldava kooli soovil võib andmed kustutada ka varem.

10. Isikuandmete kaitse

Isikuandmete kaitseks rakendatakse asjakohaseid tehnilisi ja organisatsioonilisi turvameetmeid, sealhulgas turvalist autentimist ID-kaardi, Smart-ID või Mobiil-ID abil, juurdepääsupiiranguid, mille kohaselt näeb iga kasutaja ainult oma kooli andmeid ning juurdepääsu ainult selleks volitatud isikutele. Turvameetmed vaadatakse regulaarselt üle ja ajakohastatakse.

11. Isiku õigused

Kuna digivalimiste andmetöötlus tugineb valdavalt GDPR artikli 6 lõike 1 punktile e (avalikes huvides oleva ülesande täitmine), on andmesubjektil järgmised õigused:

• saada teavet oma isikuandmete töötlemise kohta;
• tutvuda enda isikuandmetega;
• nõuda ebaõigete isikuandmete parandamist;
• esitada oma konkreetsest olukorrast lähtudes vastuväide isikuandmete töötlemisele;
• nõuda isikuandmete kustutamist, mh pärast säilitustähtaja möödumist või kui töötlemine osutub õigusvastaseks;
• nõuda isikuandmete töötlemise piiramist seaduses ettenähtud juhtudel;
• pöörduda oma õiguste kaitseks Andmekaitse Inspektsiooni poole.

Kontaktandmed

Küsimustes, mis puudutavad konkreetseid valimisi, kandidaatide andmeid või valijate nimekirja, tuleb pöörduda valimisi korraldava kooli poole.

Platvormi toimimist puudutavates küsimustes:

SA Eesti Koostöö Kogu
e-post: info@kogu.ee

Järelevalveasutus:

Andmekaitse Inspektsioon
e-post: info@aki.ee