Subject: Re: Päring
From: "Anu Viita-Neuhaus" <[email-masked]>
To: "Maire Iro-Miller - AKI" <[email-masked]>
Date: Fri, 4 Sep 2026 13:33:25 +0300

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.

Tere, Maire.
Aitäh.
Mul tekkis veel küsimusi.

*	Te ütlesite, et 2025.–2026. aastal on AKI-le laekunud ligikaudu
kümme eKooli või Stuudiumiga seotud pöördumist. Kui paljudel juhtudel
tuvastas AKI rikkumise või puuduse kooli või teenusepakkuja tegevuses ning
millised olid kõige tõsisemad juhtumid?
*	Kas AKI-le on teada juhtumeid, kus eKoolis või Stuudiumis olevad
lapse andmed on jõudnud inimese või kasutajani, kellel ei oleks tohtinud
neile ligipääsu olla? Kui jah, siis milliste andmetega oli tegemist?
*	Kui laps lahkub koolist või kool vahetab eKooli/Stuudiumi teise
süsteemi vastu, kui kaua tohib vana süsteemi andmeid alles hoida ja
millised andmed tuleb kustutada? Kas AKI on tuvastanud juhtumeid, kus vana
süsteemi andmeid on hoitud liiga kaua?

*	Kas AKI hinnangul on eKooli ja Stuudiumi kasutamisel praegu mõni
konkreetne andmekaitseprobleem või risk, mida Eesti koolid eriti sageli
alahindavad?

Aitäh.
AN
  _____

From: Maire Iro-Miller - AKI <[email-masked]>
Sent: Thursday, September 3, 2026 10:10 PM
To: Anu Viita-Neuhaus <[email-masked]>
Subject: RE: Päring

Tere, Anu!

Aitäh, et kooliaasta algul seda teemat käsitled!

Saadan vastused. Kommenteerib Andmekaitse Inspektsiooni jurist Mona-Reti
Pavlov.

1.	Milliseid peamisi andmekaitseriske näeb Andmekaitse Inspektsioon
eKooli ja Stuudiumi kasutamisel? Millistele asjaoludele peaks kool
õppeinfosüsteemi valides tähelepanu pöörama?

Õppeinfosüsteemides nagu eKool ja Stuudium töödeldakse suures mahus
isikuandmeid, sealhulgas alaealiste andmeid ning sõltuvalt konkreetsest
juhtumist ka terviseandmeid või muud eriliigilist teavet. Isikuandmete
kaitse üldmääruse kohaselt vajavad laste isikuandmed erilist kaitset, kuna
lapsed ei pruugi olla täiel määral teadlikud isikuandmete töötlemisega
seotud riskidest ja tagajärgedest.

Seetõttu on õppeinfosüsteemide puhul eriti olulised andmete turvalisus,
kasutajaõiguste korrektne haldamine, tugeva autentimise rakendamine ning
andmete töötlemise minimaalsuse põhimõtte järgimine. Samuti tuleb tagada,
et ligipääs õpilaste andmetele oleks ainult neil inimestel, kellel on
selleks tööülesannetest tulenev vajadus.

AKI poole on õppeinfosüsteemidega seoses pöördutud muu hulgas küsimustes,
mis puudutavad ligipääse õpilaste andmetele, andmete nähtavust teistele
kasutajatele, andmete säilitamist ning koolisisestes suhtluskanalites
avaldatud isikuandmeid.

Õppeinfosüsteemi valides peaks kool hindama nii teenusepakkuja
rakendatavaid turvameetmeid kui ka seda, kas süsteem võimaldab hallata
kasutajaõigusi, piirata ligipääse, rakendada säilitustähtaegu ning tagada
isikuandmete kaitse üldmääruse nõuete täitmise.

2.	Mõlemas süsteemis töödeldakse laste kohta palju andmeid – näiteks
hindeid, puudumisi, märkusi ja vajadusel ka tugimeetmetega seotud infot.
Kas koolidel on piisav kontroll selle üle, milliseid andmeid süsteemis
töödeldakse ja kui kaua neid säilitatakse?

Üldjuhul on koolil vastutava töötlejana kontroll selle üle, milliseid
andmeid õppeinfosüsteemis töödeldakse ning millistel eesmärkidel neid
kasutatakse. Samuti peab kool määratlema, kui kaua andmeid säilitatakse,
lähtudes nii õigusaktidest kui ka tegelikust vajadusest.

Praktikas sõltub aga palju sellest, millised võimalused on konkreetsesse
süsteemi sisse ehitatud. Seetõttu peab kool enne teenuse kasutuselevõttu
veenduma, et süsteem võimaldab hallata kasutajaõigusi, rakendada vajalikke
säilitustähtaegu ning vajaduse korral andmeid kustutada või arhiveerida.

AKI hinnangul ei tohiks kool käsitleda õppeinfosüsteemi kui lahendust,
mille andmekaitsealane vastutus lasub üksnes teenusepakkujal. Kool peab ka
pärast süsteemi kasutuselevõttu regulaarselt üle vaatama, milliseid
andmeid kogutakse, kellel on neile ligipääs ja kui kaua neid säilitatakse.

Kas eKooli ja Stuudiumi vahel on andmekaitse seisukohast olulisi
erinevusi? Kui jah, siis milliseid?

Mõlemad teenused täidavad sarnast eesmärki ning nende kasutamisel kerkivad
üldjoontes samad andmekaitseküsimused. Andmekaitse seisukohast on sageli
määravam hoopis see, kuidas konkreetne kool süsteemi seadistab, milliseid
ligipääse töötajatele annab ning kuidas korraldab andmete säilitamist ja
töötlemist.

3.	Kelle vastutus on juhul, kui õppeinfosüsteemis olevad laste
isikuandmed satuvad kõrvaliste isikute kätte või toimub andmeleke – kas
kooli, süsteemi pakkuja või mõlema?

Stuudiumi ja eKooli puhul on oluline eristada kahte rolli: kool kui
isikuandmete vastutav töötleja ning infosüsteemi pakkuja kui volitatud
töötleja. Praktikas sõltub täpne rollijaotus konkreetsetest lepingutest ja
andmetöötluse korraldusest, kuid üldjuhul otsustab kool, milliseid
õpilaste, lapsevanemate ja õpetajate andmeid süsteemis töödeldakse,
milleks neid kasutatakse ning kui kaua neid säilitatakse. Seetõttu
vastutab kool üldjuhul andmetöötluse eesmärkide ja korralduse eest.

Õppeinfosüsteemi pakkuja tagab omakorda tehnilise keskkonna toimimise ning
töötleb andmeid kooli juhiste alusel.

Samas ei tähenda see, et kogu vastutus oleks alati ainult koolil. Ka
teenusepakkujal on iseseisvad kohustused, sealhulgas kohustus rakendada
asjakohaseid turvameetmeid ning tagada isikuandmete kaitse.

Seetõttu sõltub vastus sellele küsimusele alati konkreetse juhtumi
asjaoludest.

4.	Kas AKI-le on viimastel aastatel laekunud kaebusi või teateid
eKooli või Stuudiumiga seotud andmekaitseprobleemide kohta? Kui jah, siis
kui palju ja milliseid probleeme on kõige sagedamini esinenud?

Aastatel 2025-2026 on AKI-le laekunud ligikaudu kümme eKooli või Stuudiumi
kasutamisega seotud pöördumist, sealhulgas kaebusi, selgitustaotlusi ja
märgukirju.

Kõige sagedamini on pöördumised puudutanud kasutajaõiguste ja ligipääsude
korraldamist, andmete nähtavust teistele kasutajatele ning küsimusi selle
kohta, kas isikuandmeid töödeldakse üksnes ulatuses, mis on õppetöö
korraldamiseks vajalik. Samuti on küsitud andmete säilitamistähtaegade,
koolisisestes suhtluskanalites avaldatud isikuandmete ning lapsevanemate
ja õpilaste juurdepääsuõiguste kohta.

AKI senine praktika näitab, et küsimused puudutavad enamasti mitte
õppeinfosüsteemi ennast, vaid seda, kuidas kool on andmete töötlemise ja
ligipääsude korralduse konkreetsel juhul lahendanud.

5.	Kas õppeinfosüsteemi vahetamisel peab kool pöörama erilist
tähelepanu sellele, mis saab vanas süsteemis olevatest õpilaste andmetest?
Kui kaua tohib vana süsteemi andmeid säilitada?

Jah, õppeinfosüsteemi vahetamisel peab kool tähelepanu pöörama ka sellele,
mis saab vanas süsteemis olevatest isikuandmetest. Kool kui vastutav
töötleja peab tagama, et isikuandmeid säilitatakse üksnes nii kaua, kui
see on vajalik andmete töötlemise eesmärkide täitmiseks või õigusaktidest
tulenevate säilitamiskohustuste täitmiseks.

Loodan, et neist vastustest on teema käsitlemisel abi.

Heade soovidega

Maire Iro-Miller
Avalike suhete nõunik
 <mailto:[email-masked]> [email-masked]

5385 4644, 627 4136

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
 <https://www.linkedin.com/company/estonian-data-protection-inspectorate/>
LinkedIn |  <https://www.youtube.com/@andmekaitse> YouTube
 <https://www.aki.ee/>

From: Anu Viita-Neuhaus <[email-masked]>
Sent: Thursday, September 3, 2026 3:46 PM
To: press - AKI <[email-masked]>
Subject: Päring

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.

Tere!

Teen lugu eKooli ja Stuudiumi kasutamisest Eesti koolides. Soovin loos
käsitleda ka laste isikuandmete kaitse küsimust.

Palun vastake järgmistele küsimustele.

1.	Milliseid peamisi andmekaitseriske näeb Andmekaitse Inspektsioon
eKooli ja Stuudiumi kasutamisel? Millistele asjaoludele peaks kool
õppeinfosüsteemi valides tähelepanu pöörama?
2.	Mõlemas süsteemis töödeldakse laste kohta palju andmeid – näiteks
hindeid, puudumisi, märkusi ja vajadusel ka tugimeetmetega seotud infot.
Kas koolidel on piisav kontroll selle üle, milliseid andmeid süsteemis
töödeldakse ja kui kaua neid säilitatakse?

Kas eKooli ja Stuudiumi vahel on andmekaitse seisukohast olulisi
erinevusi? Kui jah, siis milliseid?

3.	Kelle vastutus on juhul, kui õppeinfosüsteemis olevad laste
isikuandmed satuvad kõrvaliste isikute kätte või toimub andmeleke – kas
kooli, süsteemi pakkuja või mõlema?
4.	Kas AKI-le on viimastel aastatel laekunud kaebusi või teateid
eKooli või Stuudiumiga seotud andmekaitseprobleemide kohta? Kui jah, siis
kui palju ja milliseid probleeme on kõige sagedamini esinenud?
5.	Kas õppeinfosüsteemi vahetamisel peab kool pöörama erilist
tähelepanu sellele, mis saab vanas süsteemis olevatest õpilaste andmetest?
Kui kaua tohib vana süsteemi andmeid säilitada?

Palun vastuseid homme kella 13.

Aitäh,

Anu Neuhaus

Postimehe ajakirjanik

5080694