VAIDEOTSUS
isikuandmete kaitse asjas nr. 2.1.-3/20/4479
Otsuse tegija Andmekaitse Inspektsiooni järelevalve juht Maris Juha
Otsuse tegemise aeg ja koht 17.12.2020 Tallinn
Vaide esitamise aeg 07.12.2020
Vaidlustatav haldusakt või Andmekaitse Inspektsiooni 30.11.2020. a ettekirjutus
toiming isikuandmete kaitse asjas nr. 2.1.-4/20/1662
Mustamäe Apteek OÜ
Vaide esitaja
e-posti aadress: [email protected]
I RESOLUTSIOON
Haldusmenetluse seaduse (HMS) § 85 punkti 4 alusel otsustan jätta vaie rahuldamata.
II VAIDLUSTAMISVIIDE
Vaide esitaja saab käesoleva otsuse vaidlustada 30 päeva jooksul, esitades
halduskohtumenetluse seadustiku kohase kaebuse halduskohtusse.
III FAKTILISED ASJAOLUD
3.1. Andmekaitse Inspektsioon (AKI) avastas 2020. a novembri lõpus, et Apotheka e-apteegis
(apotheka.ee) on võimalik tutvuda suvalise teise isiku isikukoodi sisestades talle välja kirjutatud
retseptidega. Selleks tuli e-apteeki ID-kaardiga sisse logida ning sisestada teise isiku isikukood,
misjärel koheselt kuvati kõik teise isiku väljaostmata retseptid. Kuvatud infos oli kirjas: retsepti
välja kirjutamise aeg, väljakirjutaja nimi, retsepti kehtivusaeg, toimeaine(d) ning viide
haigusele (või haiguste rühmale), mille puhul ravimit kastutatakse (nt astmavastased ravimid;
aknevastased preparaadid; teised närvisüsteemi toimivad ravimid; südame- ja veresoonkond;
urogenitaalsüsteem ja suguhormoonid). Seejuures viimati nimetatud välja ei ole retsepti enda
andmekoosseisus.1 Selles protsessis ei tuvastatud kuidagi, kas teise isiku andmete kuvamiseks
sisse loginud kasutajale on õiguslik alus (nt seadusjärgne või volitatud esindusõigus).
Seejärel tuvastas AKI, et Eestis eksisteerivad veel mõned e-apteegid ning kontrollis sama
asjaolu ka neis. Samasugune protsess toimus ka ülejäänud kahes e-apteegis.
3.2. Kuvatud andmed on ilmselgelt andmesubjekti kohta käivad terviseandmed ehk eriliigilised
isikuandmed, mille töötlemine on keelatud, kui ei esine vähemalt üht isikuandmete kaitse
üldmääruse (IKÜM) art 9 loetletud alust. Selliste andmete ebaseadusliku töötlemise osas on
1
Vaide esitaja nimetab seda ATC grupi nimetuseks. Sotsiaalministri määruse „Ravimite väljakirjutamise ja
apteekidest väljastamise tingimused ja kord ning retsepti vorm“ § 4 loetleb retsepti andmeväljad. Ka
patsiendiportaalist kontrollides pole digiretseptil sellist andmevälja.
Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee
Registrikood 70004235
riigil ilmselgelt oluliselt kõrgem isikute kaitsekohustus. AKI hindas ohtu andmesubjektidele
väga kõrgeks, mistõttu kasutas erandlikult haldusmenetluse seaduse (HMS) § 40 lõike 3 punkti
1 antud õigust anda haldusakt ilma menetlusosalise vastuväiteid ära kuulamata. 30. novembril
2020 tegigi AKI ettekirjutuse OÜ-le Mustamäe Apteek, Veerenni Apteek OÜ-le ja OÜ-le
PharmaMint ettekirjutuse peatada e-apteekides isikukoodi alusel inimese kehtivate retseptide
loetelu kuvamine teistele isikutele, kuivõrd selliseks avaldamiseks puudub õiguslik alus.
Ettekirjutuse täitmise tähtajaks oli 01.12.2020.
3.3. 1. detsembril 2020 teatas Mustamäe Apteek OÜ ettekirjutuse täitmisest.
3.4. 7. detsembril 2020 esitas Mustamäe Apteek OÜ vaide ettekirjutuse peale. Vaide esitaja
nõuab ettekirjutuse tühistamist.
IV VAIDE PÕHJENDUSED ja AKI VASTUSED
4.1. Vaide esitaja: AKI rikkus ettekirjutuse tegemisel määratletuse põhimõtet sellega, et käskis
peatas retseptide kuvamise ilma, et oleks määranud peatumise tähtaega. Vaide esitaja sõnul ei
saanud ta ka aru, kas ta peab lõpetama ravimite müümise. Vaide esitaja arvates ei ole seetõttu
ettekirjutus täidetav.
Vaide esitaja väide, et ettekirjutus ei olnud täidetav, on sisutühi, sest vaide esitaja esindaja saatis
1. detsembril AKI-le kinnituse: „Teise isiku kehtivate retseptide loetelu kuvamine apteekri poolt
ja nende retseptiravimite väljastamine Apotheka e-apteegis on inaktiveeritud.“
AKI hinnangul oli resolutsioon lühike ja selge: peatada e-apteekides isikukoodi alusel inimese
kehtivate retseptide loetelu kuvamine teistele isikutele. Resolutsioonis ega ettekirjutuse
põhjendustest pole kordagi viidatud ravimite müügi keelule. Sellist keeldu ei saaks AKI ka
kuidagi anda.
4.2. Vaide esitaja: AKI rikkus menetlusnõudeid, kuna jättis ta ära kuulamata.
AKI märkis ka ettekirjutuses, et kasutas HMS § 40 lg lõike 3 punktiga 1 antud õigust. IKÜMist
leiab mitmeid sätteid, mis nõuavad andmetöötluse peatamist vaidluse ajaks. Ka on
andmetöötluse peatamiseks korralduse andmise õigus eraldi välja toodud IKÜM art 58 lõige 2
punktis f. AKI hinnangul oli antud juhul oht andmesubjektidele niivõrd suur, et esmase
meetmena tuli andmete sel viisil avaldamine kiiremas korras peatada. AKI, saades teadlikuks
niivõrd tundlike andmete nii lihtsast kättesaadavusest, ei saa sellise olukorra jätkumist kuidagi
aktsepteerida isegi menetluse vältel. Ka ühe inimese terviseandmete ebaseaduslik avaldamine
võib inimesele kaasa tuua pöördumatud tagajärjed. Nähtut ei saa teise inimese peast ära
kustutada või olematuks teha. Hilisem võimalus kohtu kaudu aeganõudvas menetluses
mõnesaja eurost moraalse kahju hüvitist saada ei korva tehtud kahju. Inspektsiooni menetluses
on pidevalt kaebused, mille kohaselt tuttavad, sugulased, endised elukaaslased, kohtus
vaidlevad pooled, naabrid, tööandjad ja töökaaslased jt hangivad ja levitavad terviseandmeid.
Tihti kasutatakse hangitud terviseandmeid just töövaidlustes ning lapse hooldusõiguse
vaidlustes.
Keegi ei kujutaks ette olukorda, et internetipanka sisse logides oleks seal võimalik sisestada
teise isiku isikukood ja vaadata nii tema pangakonto väljavõtet ja teha mõned ülekanded. Kui
selline tegevus aset leiaks, ei imestaks ilmselt keegi, kui AKI selle päevapealt peataks.
Seejuures ei ole pangakonto jääk eriliiki isikuandmed, erinevalt retseptiandmetest.
4.3. Vaide esitaja: AKI-l on ekslik ettekujutus, nagu toimuks isikukoodi sisestamisel
retseptiandmete kuvamine automaatselt. Vaide esitaja väitel kuvatakse andmed apteekri
2 (7)
vahendusel ning mitte alati ei kuvata toimeainet, vaid vahel ka ainult ATC nimetus.
Inspektsioon tuvastas järgmise protsessi Apotheka e-apteegis:
Peale sisse logimist pakkus e-apteegi suhtlusaken valikud „Vaatan enda retsepte“,
„vaatan teise isiku retsepte“.
Valides „Vaatan teise isiku retsepte“ ilmus: „Automaatvastus. Valige isik, kelle retsepte
soovite vaadata. Teise isiku retseptide nägemiseks kirjutage vestlusaknasse tema
isikukood.“
Peale isikukoodi sisestamist ilmus: „Automaatvastus. Kas soovite vaadata isiku XXX
XXX2 retsepte?“
Peale „Jah“ valikut ilmus vestlusaknasse järjest: „Automaatvastus: Apteeker on hetkel
hõivatud. Ühendan esimesel võimalusel..“ „Apteeker Jaanika Treimann. Tere, olen
Jaanika Treimann. XXX XXX nimel on järgmised digiretseptid. Valige, millise
retseptiga soovite jätkata.“
Selle all edasi oligi kuvatud retseptide loetelu. Iga retsepti juures oli nupp „Vali“.
Täpselt samasugune protsess (täpselt samas järjekorras, sama sõnastusega) toimus ka teise
isikuga läbi viidud katses.
Inspektsiooni hinnangul on eelkirjeldatud protsess täisautomatiseeritud, st ei vaja
inimtoiminguid. Isegi kui vaide esitaja väidab, et retseptide info kuvamiseks oli vajalik apteekri
manuaalne toiming, ei muuda see fakti, et retseptide info kuvati üksnes isikukoodi alusel ilma
ühegi täiendava kontrollita.
4.4. Vaide esitaja: samasugune protsess toimub ka tavalises apteegis selle erisusega, et
füüsilises apteegis on ostjal võimalik saada detailsem ülevaade enda ja teise isiku retseptidest,
sest füüsilises apteegis väljastatakse ostjale kogu ravimite nimekiri toimeainepõhiselt või
preparaadipõhiselt.
Inspektsioon ei olnud seni teadlik, et ka füüsilisest apteegist on võimalik kolmandal isikul saada
retseptide loetelude väljatrükke. Kui tõesti füüsilises apteegis on samuti võimalik saada üksnes
teise inimese isikukoodi öeldes retseptide loetelu väljatrükk, on ka see seaduserikkumine. Üks
seaduserikkumine ei saa olla õigustuseks teisele.
Seejuures ei ole vahet, kas kolmandale isikule väljastatakse toimeaine, ravimi nimi, diagnoos v
või ATC nimetus. Kõik viitavad terviseseisundile. Ka eelpoolviidatud ATC nimetuste näidete
alusel saab teada, et andmesubjektil on mõni sellisesse haiguste gruppi kuuluv haigus. Pole
sugugi oluline, kas nende andmete põhjal on võimalik teada saada inimese täpne diagnoos. Ka
üldisem info või viited isiku terviseseisundile on eriliiki isikuandmed (vt ka IKÜM art 4 p 15
terviseandmete definitsiooni).
4.5. Vaide esitaja: AKI seisukoht, nagu saaks e-apteegis suvaline isik pärid ükskõik millise
isiku retseptiandmeid isikukoodi teades on ebaõige, sest päringu tegemiseks peab isik end
esmalt e-apteeki sisse logima (end tuvastama) ja kogu tegevus on logitud.
IKÜM art 9 ei näe ette alust, et eriliiki isikuandmeid võiks väljastada, sest küsija identifitseerib
end. Identifitseerimine on tõepoolest esmane eeldus, et üldse saaks edasi rääkida juurdepääsu
andmisest teise isiku isikuandmetele. Ka andmesubjekti isik, selleks et talle tema enda kohta
käivaid andmeid anda, tuleb esmalt tuvastada.
Nagu viitasime ettekirjutuses, peab retseptiandmete väljastamiseks olema õiguslik alus ning
2
Isiku ees- ja perekonnanimi, mis oli kuvatud, kuid mis käesolevast vaideotsusest on välja jäetud.
3 (7)
selle olemasolus peab vastutav töötleja (ehk andmete väljastaja, kelleks on e-apteek) veenduma
enne andmete välja andmist. Teisisõnu – enne e-apteeki sisse loginud isikule teise isiku
retseptide kuvamist peab e-apteek tuvastama, et sel inimene esindab andmesubjekti või
on andmeid õigustatud saama mõnel muul seadusest tuleneval alusel. Just seda tuvastamist
e-apteekides ei toimunud. Keegi ei uurinud, mis alusel kolmas isik andmesubjekti retseptide
vastu huvi tunneb ning kuidas ta enda väiteid tõendab.
Logimine on meede, et tehtud toimingud oleks tagantjärele tõendatavad.
4.6. Vaide esitaja: AKI ei arvestanud, et e-kanalites muudatuste tegemine eeldab
infotehnoloogilist arendust, mida ei ole üldjuhul võimalik teostada 1-päevase tähtaja jooksul.
Just arvestades, et e-apteegi süsteemi ümber tegemine võtaks aega, pidaski inspektsioon esmase
meetmena vajalikuks andmetöötlus lihtsalt peatada. Selleks peab iga andmetöötleja alati valmis
olema. Näiteks kui toimub rünnak või turvaintsident, peab andmetöötleja olema samuti valmis
reageerima tundidega. Inspektsioon hindas, et ettekirjutuses nõutud andmetöötluse peatamine
on võimalik 24 h jooksul. Seda enam, et tegemist on suure ning kogenud korporatsiooniga, kel
on ka vastavad majanduslikud võimalused palgata abijõudu. Samamoodi peab andmetöötleja
ise iga hetk olema valmis peatama andmetöötluse, kui seda nõuab andmesubjekt (vt IKÜM art
17 lg 1, art 21 lg 1) või kui ilmneb andmekaitseline rikkumine.
4.7. Vaide esitaja: AKI rikkus kaalutlusnõudeid ja oleks pidanud kaaludes arvesse võtma
koroonaviiruse pandeemilist olukorda ning piiras isolatsioonis viibivatel haigetel juurdepääsu
vajalikele ravimitele, sest haiged ega nende perekonnaliikmed ei tohi minna apteeki.
On tõsi, et vaidlusaluse asjaolu avastamine langes halba aega. Kuid vaide esitaja lähtub siin
ekslikust arusaamast, nagu oleks inspektsioon ära keelanud ravimite müügi. Jätkuvalt on a)
andmesubjektil endal võimalik e-apteegist tellida endale ravimeid (mille vormistamisel talle
saavad vajadusel abi osutada lähedased); b) inspektsioon ei piiranud kuidagi e-apteegis
kolmandatele isikutele ravimite müüki (eeldusel, et apteek on kontrollinud kolmanda isiku
esindusõiguse); c) ravimeid on jätkuvalt võimalik osta füüsilisest apteegist.
4.8. Vaide esitaja: Apteek saab tugineda retseptiandmete, sh Määruse3 § 5 lg 6 alusel patsiendilt
retsepti väljakirjutamisel arsti poolt küsitud nõusoleku õigsusele ning Apteek ei pea tegema
täiendavaid pingutusi, et veelkord veenduda patsiendi poolt antud nõusoleku kehtivuses. Kui
retsept on retseptikeskuses märgitud nö „avatuks“ ehk retseptil on väljaostjaks märgitud
„määratlemata väljaostja“ on apteegil õigus tõlgendada sellist märkust andmekaitsereeglite
kohaselt andesubjekti poolt antud nõusolekuna ja avaldada sellise retsepti andmed patsiendi
asemel ravimeid väljaostvale isikule.
Inimese eest retsepti välja ostmiseks loodi tõesti aastaid tagasi süsteem, mille kohaselt peaks
arst retsepti välja kirjutamisel patsiendiga tahte alusel määrama kindlaks väljaostja (isik ise,
nimeliselt määratud kolmas isik, määramata).4 Kusjuures nimeliselt saab retsepti välja ostma
volitatud kolmanda isiku määrata üksnes patsiendiportaalis (saab määrata retsepte nägevad ja
retseptiravimeid välja ostma volitatud isikud). Retseptile endale pole võimalik märkida retsepti
välja ostma volitatud isikuid. Paraku ei ole see süsteem praktikas realiseerunud. Arstid ega
patsiendid ei ole teadlikud, et retsepti välja kirjutamisel üldse selline võimalus on. Inimesed ei
ole teadlikud patsiendiportaali volitamisvõimalusest. Väidetavalt on vaikimisi retseptikeskuse
3
Vt järgmine allmärkus
4
Sotsiaalministri määruse „Ravimite väljakirjutamise ja apteekidest väljastamise tingimused ja kord ning
retsepti vorm“ § 5 lg 6: Elektroonilise retsepti väljakirjutamise korral määratleb isik, kellele retsept välja
kirjutatakse, ravimi väljaostja järgmiselt: 1) isik ise; 2) nimeliselt määratletud kolmas isik; 3) määratlemata
väljaostja.
4 (7)
seadetes määratud retsepti välja ostja liigiks „määratlemata isik“. Üksnes üliväike osa
retseptidest on välja kirjutatud sellest erinevalt.
Seega ei ole patsiendi tegelik tahe retsepti välja kirjutamisel selle väljaostja osas kuidagi
realiseeritud – keegi ei ole seda välja selgitanud ega fikseerinud. Nii ei saa kuidagi öelda, et
patsient oleks andnud oma, IKÜM art 9 lg 2 p a ja art 7 kohase, informeeritud nõusoleku
oma eriliigiliste isikuandmete avaldamiseks kolmandatele isikutele.
Inspektsioon nõustub, et kui patsient on määranud patsiendiportaalis volitatud isiku ning retsept
on välja kirjutatud valikuga „nimeliselt määratud kolmas isik“ või ka „määratlemata“, saab
(e-)apteek tugineda patsiendiportaalist retseptikeskuse kaudu apteegile kuvatavatele volituse
andmetele kuvada/müüa ravimi, kui ta on tuvastanud volitatud isiku. Sel juhul on inimene ise
tõesti väljendanud oma tahet.
Samuti piisaks, kui alaealiste ning piiratud teovõimega isikute puhul oleks realiseeritud
seadusjärgse esindusõiguse (sh laste puhul ka hooldusõiguse) kontroll (nt rahvastikuregistri
päringute kaudu).
Kui volitatud isikut patsiendiportaalis ei ole, peaks väljaostja muul viisil tõendama
esindusõigust. Inspektsioon ei nõustu vaide esitajaga, et määratlemata väljaostja valikuga
retsepti puhul on andmesubjekt andnud eriliiki isikuandmete saamise nõusoleku (või
esindusõiguse) määratlemata isikute ringile. Isegi kui retsepti välja kirjutamisel on tehtud valik
„määratlemata väljaostja“, otsustab (teo- ja otsusevõimeline) andmesubjekt ikkagi ise, kes tema
eest ravimit välja ostma läheb. Andmesubjekt on sel juhul (tavaliselt suuliselt) kellegi kolmanda
isikuga kokku leppinud ravimi väljaostmises. Inspektsioon ei nõustu, et sel juhul võiks
(e-)apteek usaldada igaüht, kes väidab endal olevat esindusõiguse. Juhin tähelepanu, et
eelpoolkirjeldatud e-apteegi müügiprotsessis isegi kordagi ei küsitud, kas isikul on
esindusõigus. Kuid ka isiku kinnitus, et tal on esindusõigus, ei asenda IKÜM art 9 lg 2 p a ja
art 7 kohast andmesubjekti nõusolekut.
IKÜM art 7 lg 1 sätestab, et kui töötlemine põhineb nõusolekul, peab vastutaval töötlejal (s.o
andmete väljastajal e apteegil) olema võimalik tõendada, et andmesubjekt on nõustunud oma
isikuandmete töötlemisega. Niisiis peaks (e-)apteek enne retseptil olevate isikuandmete
kolmandale isikule väljastamist (kuvamist, välja printimist, ette lugemist) veenduma, et
kolmandal isikul on andmesubjekti nõusolek, volitus või seadusjärgne esindusõigus.
Ka kaugmüügi kehtestanud seadusemuudatuse eelnõu5 viitab kohustusele tõhusalt tagada, et
isik on õigustatud e-apteegist ravimit tellima. Seejuures viidatakse paberretseptidega seotult
probleemile, et retseptiandmed võivad sattuda selleks mitteõigustatud isikute kätte ning retsepti
võib välja osta selleks õigustamata isik.
IKÜM art 5 lg 1 punktid a ja f kohustavad isikuandmete töötlemisel tagama, et isikuandmete
töötlemine (sh väljastamine) on seaduslik (s.o on olemas art 6 ja 9 kohane õiguslik alus) ning
isikuandmeid kaitstakse loata või ebaseadusliku töötlemise eest, kasutades asjakohaseid
tehnilisi või korralduslikke meetmeid (töötlemise turvalisust reguleerib täiendavalt ka IKÜM
art 32). Lõige 2 sätestab, et nende nõuete täitmise eest vastutab ja on võimeline täitmist
tõendama vastutav töötleja. Ravimiseaduse § 33 lg 6 keelab apteekidel avaldada retseptil olevat
ravimite väljakirjutamisega seonduvat teavet muidu kui seaduses ettenähtud juhtudel. Niisiis
vastutab (e-)apteek täielikult selle eest, kui väljastab andmesubjekti isikuandmed (sh eriliiki
isikuandmed) kolmandale isikule, kel polnud andmesubjekti nõusolekut või esindusõigust.
5
Ravimiseaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus 332 SE RavS § 33 lõikega 13
ja § 31 lõigetega 8-10 täiendamise kohta
5 (7)
Teisisõnu – kui e-apteegis on isikukoodi alusel kolmanda isiku andmeid saanud vaadata keegi
andmesubjekti teadmata, on see täielikult e-apteegi pidaja vastutus.
Kuid sellest ei saa järeldada, et (e-)apteek saakski omal äranägemisel rakendada süsteemi, mis
ilmselgelt annab võimaluse kuritarvitusteks. Andmekaitse Inspektsioonile on IKÜMi ja
isikuandmete kaitse seadusega antud pädevus teostada järelevalvet andmetöötlejate üle ning
hinnata, kas nende rakendatavad meetmed on piisavad.
Inspektsioon, tutvudes Apotheka (ja kahe teise) e-apteegi protsessiga, jõudiski järeldusele, et
see ei kaitse andmesubjekte kuritarvituste eest.
Tõsi, vaide esitaja pakkus välja protsessi muudatuse: „apteeker küsib enne ostjale patsiendi
retseptide avaldamist täiendavalt üle, millist retsepti ostja soovib realiseerida ning alles seejärel
avaldab ostjale väljaostmata retseptid.“
Esmalt märgin, et IKÜM art 5 lg 1 punktis c sätestatud minimaalsuse põhimõttest tulenevalt
puudub igasugune vajadus kuvada kõiki väljaostmata retsepte. Ostja peaks esmalt tõesti
teatama, millist retsepti ta realiseerida soovib. Ja ka sel juhul on küsitav, kas ja milliseid
andmeid ostjale üldse peaks kuvama. Näiteks kui andmesubjekt on volitanud naabrit apteegist
välja ostma talle täna kirjutatud retsepti, ei peaks väljaostjale üldse kuvama mingit ATC
nimetust, rääkimata diagnoosist.
Juba ainuüksi see, et e-apteegis kuvati isikukoodi alusel kõik väljaostmata retseptid, oli IKÜM
art 5 lg 1 minimaalsusnõude rikkumine.
Teiseks vastasime vaide esitajale, et lisaks isikukoodile toimeaine või ravimi nimetuse e-
apteegis sisestamise kohustus ei maandaks riski, et isik katsetab levinumate ravimitega või
varasemast teada oleva ravimiga, saamaks teada, kas andmesubjekt jätkuvalt tarvitab seda.
Selgitan, et nii füüsilise apteegi kui e-apteegi pidaja on IKÜM art 35 kohaselt kohustatud läbi
viima ning kirjalikult dokumenteerima mõjuhinnangu. Apteek töötleb selgelt eriliigilisi
isikuandmeid enama kui 5000 isiku kohta.6 Mõjuhinnangust peab nähtuma andmetöötleja
(Apotheka e-apteegi pidaja) analüüs oma tegevusega seotud ohtudest ning nende maandamise
meetmetest. Niivõrd tundlikke andmeid sisaldav protsess peaks olema mitmekihiliselt läbi
mõeldud ning apteekritele (kui vastutava töötleja nimel andmeid töötlevatele töötajatele) peaks
olema apteegipidaja (vastutava töötleja) poolt antud üksikasjalikud juhised. Viimast nõuab ka
IKÜM art 32 lg 4.
4.9. Viimaks käsitlen ka vaide esitaja väiteid, et apteegiteenuse osutamisel on eriliigiliste
isikuandmete töötlemise alused IKÜM art 9 lg 2 p i, art 9 lg 4 ja töötlemine ravimit väljaostva
isiku ja patsiendi vahel sõlmitud käsunditüüpi lepingu täitmiseks.
Ravimit väljaostva isiku ja patsiendi vahel sõlmitud käsunditüüpi leping annab IKÜM art 6 lg
1 punkti b järgi tõepoolest lepingu pooltele õiguse töödelda isikuandmeid (mitte eriliiki
isikuandmeid). See ei anna apteegile ega ühelegi muule lepinguvälisele isikule õigust andmete
töötlemiseks (väljastamine, sh kuvamine, on ka töötlemine).
IKÜM art 9 lg 2 p i puhul tuleb tähelepanu pöörata selles sisalduvale viitele – tuginedes
liikmesriigi õigusele. See tähendab, et siseriiklik õigus peab konkreetse töötlemise ette nägema.
Apteegile pole antud abstraktset õigust kõikide isikute andmeid avalikes huvides töödelda.
6
Selgitused mõjuhinnangu kohustuslikkuse kohta on inspektsioon andnud Isikuandmete töötleja üldjuhendi 5.
peatükis. https://www.aki.ee/sites/default/files/dokumendid/isikuandmete_tootleja_uldjuhend.pdf
6 (7)
Apteegil tekib õigus isikuandmeid töödelda sel hetkel, kui isik soovib ostu sooritada (ning
sedagi mitte käsimüügiravimite sularahas ostmise korral). IKÜM art 9 lg 4 pole iseseisev alus
andmetöötluseks, vaid annab liikmesriikidele võimaluse kehtestada täiendavad tingimused
terviseandmete töötlemisele.
V KOKKUVÕTE
Eeltoodu alusel leian, et inspektsiooni ettekirjutus oli õiguspärane ja põhjendatud ning pole
põhjust selle tühistamiseks. Seetõttu jätan vaide rahuldamata.
Kui (e-)apteek soovib saada AKI-lt edasistele plaanidele heakskiitu, peaks ta esitama IKÜM
nõuete kohase mõjuhinnangu ning üksikasjaliku protsessikirjelduse, mis hõlmab nii füüsilisi,
infotehnoloogilisi kui organisatsioonilisi meetmeid. Kuid rõhutan veelkord, et AKI on seni
teinud üksnes ettekirjutuse e-apteegis isikukoodi alusel kehtivate retseptide loetelu kuvamiseks
teistele isikutele. AKI ei ole ühegi haldusaktiga keelanud teistsuguseid kaugmüügi protsesse
ega müüki üldse. Mitte keegi ei keela ühelgi e-apteegil praegu arendada välja oma süsteemi
täiendused ja võtta seda kasutusese, kui see võimaldab täita IKÜMist tulenevaid nõudeid.
Vastutus nõuetele vastavuse eest lasub vastutaval töötlejal. Küll aga on inspektsioonil õigus
kontrollida ja hinnata valitud lahendusi IKÜMi kohaste menetluste käigus.
Siiski märgin, et vaadates, milliseid ekslikke arusaamu andmekaitsest Mustamäe Apteek OÜ
on vaides esitanud, olen tõsiselt mures kogu Apotheka kaubamärgi all toimuva andmetöötluse
pärast. Olen üllatunud, et suur kontsern saab tegutseda niivõrd tundlikul erialal omamata
vastavat andmekaitsealast pädevust ning teadmisi. Seda arvestades pean kindlasti vajalikuks
kontrollida Apotheka kaubamärgi all tegutsevate apteekide andmetöötlust ulatuslikumalt.
Lugupidamisega
/allkirjastatud digitaalselt/
Pille Lehis
peadirektor
7 (7)