В этой политике конфиденциальности (далее – Политика конфиденциальности) описывается, как происходит обработка персональных данных государственного портала eesti.ee. Политика конфиденциальности охватывает обработку персональных данных Департаментом государственной инфосистемы (RIA/мы/нас) на государственном портале eesti.ee:
- для пользователя, не вошедшего на веб-сайт eesti.ee,
- для пользователя, вошедшего на государственный портал eesti.ee (т. е. в среду самообслуживания),
- при использовании услуг RIA, включая: услуги аутентификации, рабочие столы гражданина, электронные услуги (запросы в самообслуживании), почтовый ящик
другие услуги, указанные в Политике конфиденциальности.
Также в условиях конфиденциальности мы предоставляем информацию о ваших правах, связанных с персональными данными.
На что не распространяется данная Политика конфиденциальности?
Другие способы обработки данных RIA за пределами государственного портала eesti.ee описаны на веб-сайте RIA https://www.ria.ee/amet-uudised-ja-kontakt/isikuandmete-tootlemine#veebileht-uldtelefon
Почему стоит ознакомиться с Политикой конфиденциальности?
Обязательно ознакомьтесь с Политикой конфиденциальности, поскольку она содержит важную информацию об обработке ваших персональных данных и описывает ваши права в отношении ваших персональных данных.
Где можно получить дополнительную информацию?
Если вам нужна дополнительная информация или у вас есть вопросы о том, как обрабатываются ваши личные данные на государственном портале eesti.ee, пожалуйста, свяжитесь с нами по контактным данным, указанным в пункте 3.1.
1. СТРУКТУРА ПОЛИТИКИ КОНФИДЕНЦИАЛЬНОСТИ
1. СТРУКТУРА ПОЛИТИКИ КОНФИДЕНЦИАЛЬНОСТИ
3. ОБЩАЯ ИНФОРМАЦИЯ И КОНТАКТНЫЕ ДАННЫЕ
5. ОБЩИЕ ЦЕЛИ И ОСНОВАНИЯ ОБРАБОТКИ, А ТАКЖЕ ДЕЙСТВИЯ
11. ОТСЛЕЖИВАНИЕ ДАННЫХ, УСЛУГА СОГЛАСИЯ, ПОЛНОМОЧИЯ, ПРОАКТИВНЫЕ УСЛУГИ
12. ПЕРЕДАЧА И УПОЛНОМОЧЕННАЯ ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
13. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРИНЦИПЫ
14. ПРАВА СУБЪЕКТОВ ДАННЫХ В СООТВЕТСТВИИ С ОБЩИМ РЕГЛАМЕНТОМ ПО ЗАЩИТЕ ДАННЫХ
15. ДАННЫЕ О ДЕТЯХ И ДАННЫЕ О ПРЕДСТАВИТЕЛЯХ И ПЕРСОНАЛЕ ПОСТАВЩИКОВ УСЛУГ
2. ОПРЕДЕЛЕНИЯ И ИХ ПОЯСНЕНИЯ
2.1. Термины "защита персональных данных" имеют то же значение, которое определено в этом документе или в Общем регламенте по защите данных (2016/679, GDPR). Чтобы сделать текст более удобным для чтения, мы расширили некоторые термины GDPR в этом разделе, но мы используем основные термины GDPR в основном тексте Политики конфиденциальности прописными во всем тексте.
2.2. Субъект данных/вы – это физическое лицо, о котором у нас есть информация, которая может быть использована для идентификации физического лица.
2.3. Самообслуживание – находится в поле зрения пользователя, вошедшего на Государственный портал eesti.ee. В системе самообслуживания субъект данных может пользоваться услугами.
2.4. Файлы cookie – файлы данных, которые сохраняются на устройстве посетителей государственного портала eesti.ee в соответствии с выбором, сделанным посетителем в отношении файлов cookie. Более подробную информацию об использовании файлов cookie можно найти в разделе о файлах cookie на портале eesti.ee и в Политике использования файлов cookie.
2.5. Политика конфиденциальности – это условия соблюдения конфиденциальности, описывающие обработку персональных данных на Государственном портале eesti.ee.
2.6. RIA/мы /нас – Департамент государственной инфосистемы
2.7. Государственный портал eesti.ee – весь государственный портал eesti.ee (доступный по адресу: https://www.eesti.ee) как в режиме авторизованного входа (т. е. самообслуживание), так и без авторизации (веб-страница eesti.ee).
2.8. Поставщик услуг – как правило, юридическое лицо, выполняющее публично-правовые задачи, услуги которого доступны через государственный портал eesti.ee.
2.9. Услуга/услуги – это услуги, запросы и т. п., доступные через государственный портал eesti.ee, а также услуги аутентификации, предоставляемые RIA. Более конкретно, термин "Услуги" охватывает следующие услуги:
- Отслеживание данных – функциональность отслеживания данных, которую предоставляет RIA, и которая позволяет субъектам данных получить доступ к обработке их персональных данных в государственных базах данных через систему самообслуживания. Уведомление о соблюдении конфиденциальности Отслеживания данных
- Услуги аутентификации – RIA предлагает следующие услуги аутентификации: Государственная услуга аутентификации (TARA); Государственная услуга SSO (GovSSO) и Эстонский узел трансграничной инфраструктуры аутентификации Европейского союза (Государственный eIDAS-Node) (вместе – услуги аутентификации). Уведомление о соблюдении конфиденциальности услуги аутентификации
- Электронные услуги – запросы, ходатайства и связанная информация, доступная через систему самообслуживания X-tee. Уведомление о соблюдении конфиденциальности электронных услуг
- Услуга «Мой рабочий стол» – услуга Департамента государственной инфосистемы, которая позволяет субъекту данных видеть общий обзор результатов запросов из различных баз данных, где, по сути, на рабочей панели отображаются результаты запросов из разных баз данных по тематическим блокам. Уведомление о конфиденциальности рабочей панели гражданина
- Услуга согласия – электронная услуга, предлагаемая Департаментом государственной инфосистемы, с помощью которой субъект данных может разрешить государству или предприятиям доступ к персональным данным, хранящимся в государственных базах данных, например, для целей рассрочки платежей. Уведомление о соблюдении конфиденциальности услуги согласия
- Полномочия – центральная информационная система управления полномочиями, предоставляемая Департаментом государственной инфосистемы, которая называется Pääsuke. Pääsuke — это централизованная электронная система управления полномочиями электронного государства Эстонии, в которой пользователь может управлять выданными им или предоставленными ему полномочиями, которые действуют в подключенных к Pääsuke системах самообслуживания. Уведомление о соблюдении конфиденциальности системы полномочий
- Услуга официального почтового ящика – услуга почтового ящика с адресом субъекта данных личный.код@eesti.ee (а также регистрационный.код@eesti.ee для представителей юридических лиц), на который органы государственной власти и иные лица, выполняющие публичные функции, могут направлять уведомления и информацию, которые доставляются на адрес электронной почты (по электронной почте) или номер телефона (по SMS) субъекта данных или на адрес электронной почты, указанный RIA на основании данных регистра народонаселения. Уведомление о соблюдении конфиденциальности услуги официального почтового ящика доступно
2.10. Веб-сайт – веб-сайт eesti.ee (https://www.eesti.ee) в режиме без авторизации.
3. ОБЩАЯ ИНФОРМАЦИЯ И КОНТАКТНЫЕ ДАННЫЕ
3.1. О нас Департамент государственной инфосистемы (RIA), регистрационный код 70006317, адрес Пярну мнт., 139a Таллинн Харьюмаа 15169, общий адрес эл. почты [email protected]. RIA – это государственный центр компетенции, который формирует и укрепляет основы цифрового общества Эстонии: развивает и управляет в цифровом государстве технологическими платформами и обеспечивает кибербезопасность страны.
3.2. Контакты по защите данных. Если у вас возникли вопросы по поводу обработки ваших персональных данных, пожалуйста, свяжитесь с нами [email protected]. С нашим специалистом по защите данных можно связаться по электронной почте [email protected] или через контактную форму: https://www.eesti.ee/et/vajad-abi.
3.3. О Политике конфиденциальности. Политика конфиденциальности распространяется на обработку данных на государственном портале eesti.ee, то есть на обработку данных пользователя без авторизации на веб-сайте eesti.ee и обработку данных авторизованного пользователя в системе самообслуживания. Также она охватывает предоставление услуг Департаментом государственной инфосистемы на государственном портале eesti.ee. RIA может в одностороннем порядке изменить Политику конфиденциальности. Мы информируем субъекта данных о любых существенных изменениях на Государственном портале или иным способом.
3.4. Условия конфиденциальности и уведомления о соблюдении конфиденциальности услуг. Условия конфиденциальности дают обзор всей обработки персональных данных, происходящей на государственном портале и в услугах. Также они предоставляют информацию о правах субъекта данных. Уведомления о соблюдении конфиденциальности услуг предназначены для предоставления пользователям компактного краткого обзора. В случае противоречия между условиями конфиденциальности и уведомлениями применяются условия конфиденциальности. Ссылки на уведомления об услугах находятся в пункте 2.89.
3.5. Статус ответственного обработчика и уполномоченного обработчика. RIA выступает в различных ролях при обработке персональных данных.
3.5.1. В частности, RIA является ответственным обработчиком данных в следующих случаях, подпадающих под действие Политики конфиденциальности:
- Предоставление услуги отслеживания данных;
- Обработка персональных данных на веб-сайте (т. е. в случае неавторизованного пользователя);
- Предоставление услуги «Мой рабочий стол» (за исключением содержания запросов);
- Предоставление услуги согласия;
- Предоставление услуги официального почтового ящика;
- Предоставление услуги полномочий;
- Регистрация поведения и маршрута пользователя на всем государственном портале eesti.ee;
- Аналитика и развитие веб-сайта и государственного портала eesti.ee, включая аналитику и развитие услуг, а также обеспечение безопасности и хранение логов.
3.5.2. RIA является уполномоченным обработчиком данных в следующих случаях, подпадающих под действие Политики конфиденциальности:
- Предоставление услуги аутентификации;
- Предоставление функциональности электронных услуг в рамках самообслуживания (т. е. в отношении запросов, выполняемых через самообслуживание);
- Содержание запросов в разделе «Мой рабочий стол»;
- В отношении содержания электронных писем официального почтового ящика;
- При использовании ИТ-услуг (где используется услуга, предоставляемая третьей стороной) или при их предоставлении на основании инструкций ответственного обработчика данных.
3.6. Другие ссылки/приложения и т. д. Ссылки на государственном портале могут вести на веб-сайты, которые регулируются политикой конфиденциальности отдельных поставщиков услуг, а не настоящей Политикой конфиденциальности. RIA не несет ответственности за содержание, опубликованное на других сайтах, и за обработку персональных данных, которая там происходит. На каналах социальных сетей RIA ваши личные данные будут обрабатываться соответствующим поставщиком платформы в соответствии с политикой конфиденциальности соответствующей платформы. RIA соблюдает условия соответствующей платформы социальных сетей и настоящей Политики конфиденциальности для обработки данных на платформах социальных сетей.
4. КАТЕГОРИИ СУБЪЕКТОВ ДАННЫХ
4.1. Категории субъектов данных. В соответствии с Политикой конфиденциальности RIA обрабатывает персональные данные следующих субъектов данных:
- Посетители веб-сайта eesti.ee (неавторизованные пользователи);
- Лица, вошедшие на государственный портал (физическое лицо, физический представитель юридическое лицо);
- Должностные лица и сотрудники RIA;
- Должностные лица и сотрудники поставщиков услуг (например, имя и адрес электронной почты представителя Кассы по безработице);
- Другие субъекты данных (например, в содержании запросов – опекаемые, дети, супруги, спутники жизни и т. д.);
- Должностные лица и сотрудники организации-источника (например, информация Кассы здоровья о семейном враче).
- Сотрудники RIA получают информацию об обработке своих персональных данных внутри учреждения. Информацию об обработке персональных данных соискателей можно найти в Политике конфиденциальности на сайте RIA https://www.ria.ee/amet-uudised-ja-kontakt/isikuandmete-tootlemine#veebileht-uldtelefon.
4.2. Сбор персональных данных RIA получает персональные данные от поставщиков услуг, третьих лиц (например, отправителя электронного письма в случае почтового ящика) или от субъекта данных. Как правило, обмен данными осуществляется по протоколу X-tee.
4.3. Более подробная информация об обрабатываемых персональных данных приведена в разделе, посвященном каждой услуге. Если вы хотите получить дополнительную информацию об обработке ваших персональных данных в рамках услуг, свяжитесь с нами по адресу электронной почты, указанному в пункте 3.2. Если мы являемся уполномоченным обработчиком, мы перенаправим вас к поставщику услуг, который является ответственным обработчиком данных.
5. ОБЩИЕ ЦЕЛИ И ОСНОВАНИЯ ОБРАБОТКИ, А ТАКЖЕ ДЕЙСТВИЯ
5.1. Согласие. При наличии согласия RIA обрабатывает персональные данные строго в пределах, в объеме и для целей, на которые субъект данных дал свое согласие. Согласие субъекта данных будет считаться действительным, если оно дано свободно, конкретно, информировано и недвусмысленно (например, проставление галочки на веб-сайте). Субъект данных имеет право в любое время отозвать свое согласие. Отзыв согласия не влияет на законность обработки, которая имела место до отзыва согласия.
5.2. Заключение и исполнение договора. Если RIA заключает договор с субъектом данных, то обработка персональных данных, необходимых для выполнения договора, осуществляется на основании и в рамках договора
5.3. Общественный интерес. RIA обеспечивает работу Мобильного приложения – mobiili rakendust, riigiportaali oleks Государственного портала и оказывает услуги в рамках выполнения своих государственных задач, поэтому основным основанием для обработки персональных данных является общественный интерес(ст. 6 (1) e GDPR).
5.4. Юридическое обязательство. В качестве основания для обработки RIA может использовать закон, если обязанность делать это прямо предусмотрена законом. Например, в соответствии с Законом об информации, персональные данные могут обрабатываться для целей соблюдения обязательств, изложенных в статье 321 Закона об общественной информации и применяемом законодательстве.
5.5. Законный интерес. При выполнении своих государственных задач RIA не использует законный интерес в качестве основания для обработки. Использование законного интереса может быть использовано и для других целей обработки RIA (отношения сотрудничества за пределами государственного задания, трудовые отношения и т. д.). Если RIA действует на основании законного интереса, мы предварительно оценили свои интересы и интересы субъекта данных и тщательно продумали обоснование для обработки. Субъект данных имеет право получить оценку обработки своих персональных данных, написав письмо по контактным данным, указанным в пункте 3.2. RIA может обрабатывать персональные данные субъекта данных (за исключением специальных категорий персональных данных и при выполнении своих государственных задач) на основании законного интереса для следующих целей:
5.5.1. обеспечивая лучший пользовательский опыт;
5.5.2. проведение опросов удовлетворенности и оценка эффективности маркетинговых мероприятий;
5.5.3. составление, подача или защита судебных исков.
5.6. Новая цель. Если персональные данные обрабатываются с целью, отличной от той, для которой они были изначально собраны, или обрабатываются не на основании согласия субъекта данных, мы тщательно оцениваем допустимость такой новой обработки. Чтобы определить, совместима ли обработка для новой цели с первоначальной целью, для которой были собраны персональные данные, мы принимаем во внимание, среди прочего, следующее:
5.6.1. связь между целями, для которых собираются персональные данные, и целями их дальнейшей обработки;
5.6.2. контекст, в котором собираются личные данные, в частности, в связи с отношениями между субъектом данных и нами;
5.6.3. характер персональных данных, в частности, обрабатываются ли специальные категории персональных данных или персональные данные, относящиеся к обвинительным приговорам и преступлениям;
5.6.4. возможные последствия предлагаемой дальнейшей обработки для субъектов данных;
5.6.5. соответствующие меры предосторожности, которые могут включать шифрование или псевдонимизацию.
6. ВЕБ-СТРАНИЦА EESTI.EE
6.1. Роли для обработки данных. RIA является ответственным обработчиком данных веб-страницы государственного портала eesti.ee. RIA выполняет роль ответственного обработчика данных посетителей веб-сайта, не вошедших в систему. В случае с авторизованными лицами роль обработки RIA зависит от конкретной услуги.
6.2. Цели обработки. В отношении веб-страницы eesti.ee RIA является ответственным обработчиком в следующих целях:
6.2.1. Обеспечение работы веб-сайта, которое также включает в себя следующее:
- разработка и аналитика;
- обеспечение безопасности;
- доступ к государственному порталу eesti.ee – вход в систему;
- предоставление данных через формы обратной связи, контактные и другие формы.
6.2.2. Услуги, предоставляемые через государственный портал, и обработка RIA персональных данных в рамках этих услуг описаны в следующих главах.
6.3. Информация об обработке персональных данных на веб-сайте eesti.ee (цель, основание, персональные данные, хранение):
| ЦЕЛЬ | ОСНОВАНИЕ | ЛИЧНЫЕ ДАННЫЕ | ХРАНЕНИЕ ДАННЫХ |
|---|---|---|---|
| Обеспечение работы государственного портала (общий обзор, без входа в систему) | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам через информационный портал (ст. 32 Закона о публичной информации, далее AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA) и вытекающее из закона обязательство в объеме предусмотренной законом обработки. |
Для посетителей без входа в систему собирается: нформация, полученная через файлы cookie веб-сайта в соответствии с выбранными посетителем настройками cookie и через распределитель нагрузки (см. решение по cookie на веб-сайте государственного портала) , техническая информация (включая информацию об устройстве, IP-адрес, информацию о веб-браузере, перемещение по государственному порталу – журналы). Отзывы и информация, предоставленные через контактную форму. |
Файлы cookie хранятся в соответствии с политикой в отношении файлов cookie, указанной в решении о файлах cookie. Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Информация, предоставленная через веб-формы и формы обратной связи, хранится до 3 лет для контактной формы и до 3 лет для формы обратной связи). |
| Разработка веб-сайта и аналитика | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам через информационный портал (ст. 32 Закона о публичной информации, далее AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA) и вытекающее из закона обязательство в объеме предусмотренной законом обработки. Запрос обратной связи, законный интерес к действиям в интернете (ст. 6(1)(f) GDPR). |
SВ отношении посетителей без входа в систему (См. предыдущую строку). | Файлы cookie хранятся в соответствии с политикой в отношении файлов cookie, указанной в решении о файлах cookie. Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Информация, предоставленная через веб-формы и формы обратной связи, хранится до 3 лет для контактной формы и до 3 лет для формы обратной связи). Другая информация в соответствии с целью сбора. |
| Вход на государственный портал, аутентификация (после чего открывается система самообслуживания) | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам через информационный портал (ст. 32 Закона о публичной информации, далее AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA) и вытекающее из закона обязательство в объеме предусмотренной законом обработки |
При входе в систему: полное имя, личный код, информация об аутентификации, техническая информация о перемещениях на информационном портале, журналы. | Информация о входе хранится в течение 18 месяцев. Журналы хранятся до 5 лет в зависимости от выбранного способа входа в систему. Другая информация в соответствии с целью сбора. |
| Обеспечение безопасности | Обязательство, вытекающее из закона (AvTS и Постановление о Информационном портале; Устав RIA) и общественный интерес | Как правило, техническая информация, журналы, но при необходимости в целях безопасности могут быть обработаны все персональные данные, обрабатываемые через государственный портал. | Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Другая информация в соответствии с целью сбора. |
7. УСЛУГИ АУТЕНТИФИКАЦИИ
7.1. Роли для обработки данных. При оказании услуг аутентификации RIA является уполномоченным обработчиком, если предоставляет доступ к услугам другого учреждения / поставщика услуг. В этом случае ответственным обработчиком является учреждение /поставщик услуг, доступ к услугам которого запрашивается, и RIA использует для обработки основание ответственного обработчика. RIA является ответственным обработчиком данных для разработки, обеспечения безопасности и ведения журналов услуги аутентификации.
7.2. Цели обработки. Целями обработки данных RIA являются оказание услуг по аутентификации и обеспечение общественных интересов и безопасности. В этом представлении выясняется и лицо может выбрать переход к представлению частного лица или представителя юридического лица.
7.3. При оказании услуг аутентификации аутентификацию лица осуществляет выбранный доверенный поставщик услуг. RIA не использует субобработчиков для предоставления услуг аутентификации.
7.4. Более подробную информацию об описании услуг аутентификации можно найти на сайте https://www.ria.ee/riigi-infosusteem/elektrooniline-identiteet-ja-usaldusteenused/kesksed-autentimisteenused.
7.5. Уведомление о соблюдении конфиденциальности услуги аутентификации
7.6. RIA как ответственный обработчик данных – информация об обработке услуг аутентификации (цель, основание, персональные данные, хранение):
| ЦЕЛЬ | ОСНОВАНИЕ | ЛИЧНЫЕ ДАННЫЕ | ХРАНЕНИЕ ДАННЫХ |
|---|---|---|---|
| Разработка услуг и аналитика | Ст. 6 (1) e GDPR – общественный интерес | Как правило, неперсонализированные данные, но при необходимости могут обрабатываться данные аутентификации, т. е. в услуге аутентификации обрабатываются следующие данные: данные, идентифицирующие пользователя (т. е. физическое лицо, проходящее аутентификацию): сертификат аутентификации; личный код или другой персональный идентификатор; имя и фамилия; дата рождения; страна; номер мобильного телефона; регистрационный код или другой юридический идентификатор; фирменное наименование юридического лица; выбор языка; сия расширения браузера Web eID и версия собственного приложения; HTTP-заголовок User-Agent, то есть информация, профилирующая браузер и устройство пользователя; и данные операции аутентификации: дата и время; приложение, с которого пользователь был направлен на аутентификацию; метод аутентификации; IP-адрес, с которого пользователь был направлен на аутентификацию; результат аутентификации (аутентифицирован или нет). | Не хранятся отдельно, т. е. данные хранятся в соответствии с целью, для которой они были изначально собраны. |
| Обеспечение безопасности и ведение журнала | Обязательство, вытекающее из закона (AvTS и Постановление о Информационном портале; Устав RIA) и общественный интерес. | Как правило, техническая информация, журналы, но при необходимости в целях безопасности могут быть обработаны все персональные данные, обрабатываемые через государственный портал и услугу аутентификации. | Журналы хранятся в течение 18 месяцев. Другая информация в соответствии с целью сбора. |
8. МОЙ РАБОЧИЙ СТОЛ
8.1. Роли при обработке данных. RIA является ответственным обработчиком данных в отношении предоставления доступа к разделу «Мой рабочий стол» и возможности подачи запросов в системе самообслуживания. В отношении содержания ответов на запросы RIA является уполномоченным обработчиком: ответственным обработчиком является поставщик услуг, которому был направлен запрос, или тот, кто указан в качестве ответственного обработчика соответствующей электронной услуги/услуги.
8.2. Цели обработки. Общая цель обработки функционала «Мой рабочий стол» – предоставление функциональности рабочего стола, что также включает в себя обеспечение безопасности, разработку и аналитику.
8.3. Функционал рабочего стола доступен только пользователям, вошедшим в систему. Таким образом, предоставлению функционала рабочего стола предшествует аутентификация субъекта данных (подробнее см. в главе7).
8.4. Более подробная информация о рабочем столе доступна в описании услуги: https://www.eesti.ee/eraisik/ru/artikkel/dokumentacia
8.5. Уведомление о соблюдении конфиденциальности услуги «Мой рабочий стол»
8.6. RIA как ответственный обработчик данных – информация об обработке персональных данных раздела «Мой рабочий стол» (цель, основание, персональные данные, хранение):
| ЦЕЛЬ | ОСНОВАНИЕ | ЛИЧНЫЕ ДАННЫЕ | ХРАНЕНИЕ ДАННЫХ |
|---|---|---|---|
| Обеспечение доступа к разделу «Мой рабочий стол» и возможности подачи запросов |
Ст. 6 (1) a GDPR – согласие. Для отображения данных и выполнения запросов на рабочем столе (для отображения информации выполняются запросы поставщикам услуг) RIA запрашивает согласие у субъекта данных. |
Информация о согласии вошедшего в систему субъекта данных (дано/отказано; если дано, то в отношении запросов по каким темам). В отношении содержания ответа на запрос RIA является уполномоченным обработчиком. |
Срок действия: до отзыва согласия; согласие обновляется ежегодно. Запросы рабочего стола выполняются заново как минимум при каждом входе в систему (и каждые 30 минут). |
| Разработка услуг и аналитика | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам (ст. 32 AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA), а также предусмотренное законом обязательство в объеме установленной законом обработки. | Для посетителя, вошедшего в систему: полное имя, личный код, информация об аутентификации, техническая информация о трафике на государственном портале, информация об использовании функционала «Мой рабочий стол», журналы. |
Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Другая информация в соответствии с целью сбора. |
| Обеспечение безопасности | Обязательство, вытекающее из закона (AvTS и Постановление о Информационном портале; Устав RIA ) и общественный интерес. | Как правило, техническая информация, журналы, но при необходимости в целях безопасности могут быть обработаны все персональные данные, обрабатываемые через государственный портал. |
Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Другая информация в соответствии с целью сбора. |
8.7. Если субъект данных дал согласие на использование рабочего стола, то при каждом входе в систему автоматически выполняются запросы по выбранным в согласии областям. Субъект данных может в любое время отозвать согласие и включить или отключить запросы по выбранным областям (о правах, связанных с согласием, см. главу14).
8.8. RIA не использует уполномоченных обработчиков и субобработчиков при предоставлении услуги «Мой рабочий стол».
9. Э-УСЛУГИ
9.1. Роли для обработки данных. RIA является уполномоченным обработчиком данных для запросов, ходатайств и доступа к электронным услугам/информационным ссылкам. В качестве уполномоченного обработчика RIA использует то же основание для соответствующих операций обработки, что и Поставщик услуг, являющийся ответственным обработчиком данных.
9.2. Цели обработки. Информацию о поставщике услуг можно найти вместе с запросом/ходатайством (название, контакт). Для получения дополнительной информации об обработке персональных данных поставщиком услуг, пожалуйста, ознакомьтесь с веб-сайтом и политикой конфиденциальности соответствующего поставщика услуг.
9.3. Информация, которая передается поставщику услуг в случае запроса на электронную услугу, видна в запросе/ходатайстве. Запрос/ходатайство может сопровождаться технической информацией для проверки и разрешения запроса. При оказании электронных услуг (отдельные запросы) обмен информацией между RIA и базами данных происходит тремя способами:
- Создание ссылок. Обмен информацией посредством ссылок означает, что на государственном портале eesti.ee предоставляется только ссылка на местонахождение нужной информации в базе данных, сама информация не раскрывается. Кроме того, в случае создания ссылок персональные данные не передаются ни от базы данных к RIA, ни от RIA к базе данных.
- Заявка. При подаче заявки пользователь через RIA отправляет в базу данных информацию, содержащую персональные данные, для получения выбранной услуги.
- Запрос. При запросе в системе самообслуживания становится доступной информация, хранящаяся в базах данных. База данных передает информацию, содержащую персональные данные, в RIA.
9.4. Более подробную информацию об электронных услугах можно найти в кратком описании конкретной электронной услуги или на сайте поставщика.
9.5. Уведомление о соблюдении конфиденциальности электронных услуг
9.6. При оказании электронных услуг (отдельные запросы) RIA является уполномоченным обработчиком (см. главу 12) и не использует субобработчиков.
9.7. RIA как уполномоченный обработчик – информация об обработке персональных данных для электронных услуг (цель, основание, персональные данные, хранение) приведена в таблице ниже:
| ЦЕЛЬ | ОСНОВАНИЕ | ЛИЧНЫЕ ДАННЫЕ | ХРАНЕНИЕ ДАННЫХ |
|---|---|---|---|
| Услуги поставщиков услуг на государственном портале eesti.ee | Законное основание ответственного обработчика. |
Информация, которая передается поставщику услуг в случае электронной услуги с запросом или просьбой и становится доступной на государственном портале eesti.ee. Запрос/ходатайство может сопровождаться технической информацией для проверки и разрешения запроса. |
В соответствии с политикой конфиденциальности ответственного обработчика. |
10. ОФИЦИАЛЬНЫЙ ПОЧТОВЫЙ ЯЩИК
10.1. Роли для обработки данных. RIA является ответственным обработчиком данных для официального почтового ящика.
10.2. Доступ к официальному почтовому ящику могут получить только субъекты данных, вошедшие в систему. Таким образом, при входе на государственный портал, обработке предшествует аутентификация (см. подробнее гл. 7)
10.3. Цели обработки. Общая цель официального почтового ящика – обеспечить функциональность уведомлений от государственных органов и других публичных организаций субъекту данных через его адрес личный.код@eesti.ee или юридическим лицам через адрес регистрационный.код@eesti.ee, но эта цель сопровождается и связана с обеспечением безопасности, развитием и аналитикой. Официальный почтовый ящик не позволяет отправлять электронные письма, т. е. можно только получать электронные письма и пересылать их на адрес электронной почты, выбранный субъектом данных.
10.4. Более подробную информацию об услуге официального почтового ящика можно найти в описании услуги почтового ящика: https://www.eesti.ee/eraisik/ru/artikkel/v-pomos-polzovatelu#условия-использования-услуги-официального-почтового-ящика-eesti.ee
10.5. Уведомление о соблюдении конфиденциальности услуги официального почтового ящика доступно
10.6. RIA как ответственный обработчик данных – информация об обработке персональных данных в услуге официального почтового ящика (цель, основание, персональные данные, хранение):
| ЦЕЛЬ | ОСНОВАНИЕ | ЛИЧНЫЕ ДАННЫЕ | ХРАНЕНИЕ ДАННЫХ |
|---|---|---|---|
| Обеспечение возможности почтового ящика eesti.ee | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам (ст. 32 AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA) | Адрес электронной почты субъекта данных, личный код, номер телефона, содержание сообщений RIA не является ответственным обработчиком содержания уведомлений, электронных писем. |
Как правило, сообщение хранится не менее 3 лет, если только субъект данных не удалит информацию раньше, отправитель не удалит сообщение сам или не укажет конкретный срок хранения. |
| Переадресация на другой адрес электронной почты и/или возможность получения сообщения по телефону | Согласие с совершением действия – субъект данных указывает желаемый адрес электронной почты и/или номер мобильного телефона. Ст. 6 (1) с GDPR – предусмотренное законом обязательство – на основании которого RIA и Регистр народонаселения обновляют данные (например, ст. 53 постановления о структуре, классе защищенности, точном составе данных и списке поставщиков данных Регистра народонаселения, в соответствии с которым RIA предоставляет официальный адрес электронной почты адресата с датой начала и окончания и номер телефона этого лица). |
Адрес электронной почты субъекта данных, номер телефона, содержание сообщений. RIA не является ответственным обработчиком содержания уведомлений, электронных писем. |
Субъект данных может изменить введенные им адрес электронной почты и номер телефона. |
| Разработка услуг и аналитика | Ст. 6 (1) e GDPR – общественный интерес в предоставлении доступа к общественным услугам (ст. 32 AvTS и Постановление о Информационном портале – ч. 5 ст. 32 AvTS; Устав RIA), а также предусмотренное законом обязательство в объеме установленной законом обработки. | Для посетителя, вошедшего в систему: полное имя, личный код, информация об аутентификации, техническая информация о трафике на государственном портале, информация об использовании услуги эл. почтового ящика, журналы. | Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года). Другая информация в соответствии с целью сбора. |
| Обеспечение безопасности | Обязательство, вытекающее из закона (AvTS и Постановление о Информационном портале; Устав RIA) и общественный интерес. | Как правило, техническая информация, журналы, но при необходимости в целях безопасности могут быть обработаны все персональные данные, обрабатываемые через государственный портал. |
Журналы хранятся до 5 лет (например, журналы рабочей нагрузки хранятся 2 года).
|
10.7. Обратите внимание, что перенаправление писем с официального почтового ящика связано с определенными рисками. RIA обращает внимание на то, что вследствие перенаправления уведомлений уведомление и содержащиеся в нем персональные данные (если таковые имеются) могут попасть за пределы Европейской экономической зоны (ЕЭЗ) в зависимости от выбранного субъектом данных поставщика услуг электронной почты или связи, а в результате перенаправления содержимое писем (и персональные данные) могут попасть к поставщикам услуг с сомнительной безопасностью, и в этом случае целостность и конфиденциальность писем и их содержимого не гарантируется.
В некоторых случаях RIA добавляет адрес электронной почты или номер телефона в результате своего собственного процесса передачи данных (например, при информировании избирателей перед выборами и общении с регистром народонаселения).
10.8. Для предоставления услуги почтового ящика в качестве уполномоченного обработчика RIA использует облачный государственный сервис Центра информационных и коммуникационных технологий (RIT).
11. ОТСЛЕЖИВАНИЕ ДАННЫХ, УСЛУГА СОГЛАСИЯ, ПОЛНОМОЧИЯ, ПРОАКТИВНЫЕ УСЛУГИ
11.1. Отслеживание данных
11.1.1. С помощью услуги Отслеживание данных (эст. Andmejälgija) можно ознакомиться с обработкой своих личных данных в государственных базах данных. В Отслеживании данных отображаются запросы, связанные с вами, в том числе те, в которых третьей стороной были запрошены персональные данные. RIA является ответственным обработчиком данных при оказании услуги отслеживания данных. Уведомление о конфиденциальности Отслеживания данных содержит информацию об обрабатываемых персональных данных, целях их обработки и основании, на котором они обрабатываются.
11.1.2. Более подробную информацию об Отслеживании данных можно найти в описании услуги RIA – Отслеживание данных.
11.1.3. Уведомление о соблюдении конфиденциальности Отслеживания данных
11.2. Услуга согласия
11.2.1. С помощью Услуги согласия субъект данных может предоставить предприятиям доступ к своим личным данным, имеющимся в государственных базах данных. Согласия можно предоставить на передачу необходимого только для конкретной услуги комплекта данных, после чего имеющиеся у государства данные будут переданы выбранному частному предприятию. Посредством Услуги согласия субъект данных может осуществлять свое законное право на принятие решения в отношении обработки своих личных данных, самостоятельно выбирая третьих лиц, которые получат доступ к его данным. Использование услуги согласия и предоставление согласия всегда добровольно. Данное согласие можно отозвать в любой момент. Уведомление о конфиденциальности Услуги согласия содержит информацию об обрабатываемых персональных данных, целях их обработки и основании, на котором они обрабатываются.
11.2.2. Более подробную информацию об услуге согласия можно найти в описании услуги RIA – Услуга согласия.
11.2.3. Уведомление о соблюдении конфиденциальности услуги согласия доступно
11.3. Полномочия
11.3.1. RIA, выступая в роли ответственного обработчика, обеспечивает работу централизованной информационной системы управления полномочиями Pääsuke. Pääsuke — это централизованная электронная система управления полномочиями электронного государства Эстонии, в которой пользователь может управлять выданными им или предоставленными ему полномочиями, которые действуют в подключенных к Pääsuke системах самообслуживания. В уведомлении о конфиденциальности услуги полномочий вы найдете информацию об обрабатываемых персональных данных, целях и основаниях обработки.
11.3.2. Подробную информацию о сервисе доверенностей можно найти в описании централизованной системы управления полномочиями Pääsuke.
11.3.3. Уведомление о соблюдении конфиденциальности полномочий
11.4. Проактивные услуги
11.4.1. Посредством проактивных услуг субъект данных (то есть вы) может просматривать статус своей проактивной услуги – а именно, какие этапы при использовании проактивной услуги запущены, находятся в работе или завершены. Вы можете пользоваться проактивными услугами в персонализированной форме только в случае, если вы дали на это согласие, и ваше согласие всё еще действительно. Вы можете прекратить потребление проактивных услуг в персонализированном виде в любой момент, если больше не желаете пользоваться услугой в персонализированном представлении. Для потребления каждой проактивной услуги необходимо дать отдельное согласие.
11.4.2. Подробную информацию о проактивных услугах можно найти в описании RIA – Платформа проактивных услуг.
11.4.3. Уведомление о соблюдении конфиденциальности проактивных услуг
12. ПЕРЕДАЧА И УПОЛНОМОЧЕННАЯ ОБРАБОТКА ПЕРСОНАЛЬНЫХ ДАННЫХ
12.1. Использование партнеров по сотрудничеству. RIA сотрудничает с лицами, которым RIA в рамках и целях сотрудничества может пересылать данные, относящиеся к субъекту данных (включая личные данные). RIA может иметь различные типы отношений ответственного обработчика, уполномоченного обработчика и уполномоченного субобработчика данных с этими партнерами. Передача персональных данных третьим лицам осуществляется в строгом соответствии с действующими требованиями по защите данных.
12.2. Требования к использованию нашими партнерами, которые являются уполномоченными нами обработчиками. К таким третьим лицам могут относиться, например:
- рекламные и маркетинговые партнеры (информация из cookie);
- Различные консультанты (в зависимости от услуги, информации, необходимой для предоставления услуги);
- Поставщики государственных услуг, например, поставщик серверных услуг – облачный государственный сервис RIT в Эстонии. при условии, что соответствующая цель и обработка являются законными, а персональные данные обрабатываются на основании указаний ответственного обработчика и действующего договора. Если вы хотите получить дополнительную информацию об используемых партнерах и уполномоченных обработчиках, пожалуйста, напишите по адресу 3.1.
12.3. Передача иного рода. В прочих случаях мы можем передавать ваши личные данные третьим лицам при условии, что у нас имеются основания для такой передачи, такие как ваше согласие или юридическое обязательство сделать это. Как правило, это отдельные ответственные обработчики. К таким лицам могут относиться:
12.3.1. Аудиторы и юридические консультанты (в зависимости от услуги могут быть переданы все персональные данные);
12.3.2. Государственные органы и следственные органы – при определенных обстоятельствах нас могут обязать разгласить Ваши персональные данные, если это предусмотрено законодательством или мы получили обоснованный запрос от органа государственной власти, например из суда или правительственного ведомства. Мы всегда оцениваем законность запросов на информацию, прежде чем раскрыть личные данные; или если раскрытие необходимо для защиты наших прав или прав третьей стороны или для предоставления доказательств;
12.4. Передача за пределы Европейской экономической зоны (ЕЭЗ). RIA обрабатывает персональные данные на территории ЕЭЗ. Данные субъекта данных могут быть переданы за пределы ЕЭЗ, если субъект данных или RIA пересылают электронные письма со своего официального почтового ящика поставщику услуг почтовой связи за пределами ЕЭЗ (см. Выше 10.7).
13. БЕЗОПАСНОСТЬ ПЕРСОНАЛЬНЫХ ДАННЫХ И ПРИНЦИПЫ
13.1. Меры безопасности Безопасность персональных данных, обрабатываемых RIA, обеспечивается как организационными, так и техническими мерами. Помимо прочего, для обеспечения безопасности и конфиденциальности мы делаем следующее:
| Меры, касающиеся конкретных обрабатываемых данных | |
|---|---|
| Шифрование | Все компоненты информационной системы используют шифрование. Трафик между компонентами зашифрован, компоненты идентифицируют друг друга с помощью сертификатов (протокол HTTPS, TLS). |
| Анонимизация | Как правило, RIA не анонимизирует персональные данные. Однако применяется псевдонимизация, например, значение файлов cookie хранится в журналах без уникального идентификатора. |
| Логическое управление доступом | Доступ для работников RIA осуществляется по принципу необходимости, для доступа к информации требуется пароль (через Active Directory), причем доступ невозможен без нахождения в сети RIA. Активность работников регистрируется по принципу использования, т. е. приложение фиксирует, куда заходил работник. Кроме того, для работников введены ограничения на скачивание и печать (в качестве организационной меры, т. е. запрещено без разрешения). В случае с государственным облаком RIT хранящаяся информация дополнительно доступна лицам, необходимым для управления государственным облаком RIT. |
| Прослеживаемость (протоколирование) | Все содержимое государственново портала протоколируется в журналах. |
| Архивирование | В качестве системы мер безопасности для информационных систем используется Эстонский стандарт информационной безопасности (e-ITS). |
| Общие меры безопасности, связанные с системами, в которых осуществляется обработка данных | |
|---|---|
| Обеспечение безопасности | Используемые серверы управляются либо RIA, либо виртуальными серверами. |
| Безопасность веб-сайта | Непроверенные разработки не доходят до live-продакшен. Проверки выполняет независимый поставщик услуг по тестированию безопасности новых сервисов и приложений. Penetration testing, то есть тестирование на проникновение – обязательная часть процесса подготовки к продакшену для обнаружения недостатков в системе безопасности. Все веб-сайты работают по протоколу HTTPS. Защита от кибератак обеспечивается с помощью защиты Cloudfare (под управлением CERT) для защиты всего трафика (например, если из определенного источника поступает много атак, он будет заблокирован). |
| Организационные меры | |
|---|---|
| Организация | В RIA имеется сотрудник по защите данных. Доступ к физическим помещениям RIA строго регламентирован |
| Политика, правила | Разработаны руководства по защите данных и информационной безопасности для должностных лиц и других работников. |
| Управление рисками | В RIA разработано руководство по управлению рисками, которое ежегодно пересматривается. |
| Управление инцидентами и утечками данных | В случае инцидента должностные лица и персонал действуют в соответствии с "Руководством по защите данных". |
| Управление персоналом | В RIA проводится повышение квалификации. |
13.2. Инцидент. В случае утечки персональных данных RIA делает все возможное, чтобы смягчить последствия и снизить подобные риски в будущем. RIA соблюдает требования по уведомлению, предусмотренные Общим регламентом по защите данных.
13.3. Соответствие и цель. Цель RIA – ответственно подходить к обработке персональных данных, чтобы можно было доказать соответствие обработки персональных данных поставленным целям и действующему законодательству.
13.4. Принципы. Все процессы, руководства и действия RIA, связанные с обработкой персональных данных, основаны на следующих принципах: законность, справедливость, прозрачность, целенаправленность, минимизация сбора данных, точность, ограничение срока хранения, целостность, конфиденциальность и защита данных по замыслу и по умолчанию.
14. ПРАВА СУБЪЕКТОВ ДАННЫХ В СООТВЕТСТВИИ С ОБЩИМ РЕГЛАМЕНТОМ ПО ЗАЩИТЕ ДАННЫХ
14.1. RIA стремится к тому, чтобы субъекты данных были полностью осведомлены обо всех своих правах в отношении персональных данных. Субъект данных имеет следующие права при выполнении условий, изложенных в GDPR:
- Право на ознакомление с личными данными – субъект данных имеет право ознакомиться со своими личными данными и запросить их копию.
- Право на исправление данных – субъект данных имеет право на исправление неточных или ложных данных.
- Право на удаление данных – субъект данных имеет право запросить удаление своих персональных данных при определенных обстоятельствах (например, если мы обрабатываем ваши персональные данные на основании вашего согласия).
- Право на ограничение обработки – субъект данных имеет право запросить ограничение обработки своих персональных данных в определенных обстоятельствах (например, если мы обрабатываем ваши персональные данные на основании вашего согласия или законного интереса).
- Право на возражение против обработки – субъект данных имеет право возражать против обработки своих персональных данных при определенных условиях (например, если мы обрабатываем ваши персональные данные на основании законных интересов).
- Право на переносимость данных – при определенных условиях субъект данных имеет право запросить передачу своих персональных данных другой организации.
- Права, связанные с согласием – субъект данных имеет право в любое время отозвать свое согласие (например, в случае рабочего стола eesti.ee, войдя в раздел "Согласия"). Отзыв согласия не меняет законности обработки, осуществленной до его отзыва.
- Права в отношении осуществления законного интереса – если RIA обрабатывает персональные данные на основании законного интереса субъекта данных, субъект данных имеет право на оценку законного интереса, проведенную в отношении обработки его персональных данных.
- Права, связанные с автоматизированной обработкой и профилированием, означают, что субъект данных имеет право в любое время возражать на основании своей конкретной ситуации против обработки персональных данных, основанной на автоматизированных решениях/профилировании, и добиваться вмешательства человека, если такая обработка влечет за собой юридические последствия для него или имеет для него значительные последствия. Субъект данных может также запросить объяснение логики, лежащей в основе автоматизированного решения. Для ясности: RIA может использовать такую автоматическую обработку и профилирование в рамках регулирования условий конфиденциальности, которые существенно влияют на субъект данных или его права. В таком случае RIA проводит оценку воздействия, с которой можно ознакомиться, связавшись с нами.
- Право на подачу жалобы – субъект данных имеет право подать жалобу в RIA, в надзорный орган или в суд, если он считает, что были нарушены его права, касающиеся обработки персональных данных. Для решения проблемы просим вас сначала связаться с нами. При необходимости контактные данные контролирующего органа по защите персональных данных (Инспекция по защите данных) RIA можно найти здесь: https://www.aki.ee/et/inspektsioon-kontaktid/tootajate-kontaktid. Если вы являетесь субъектом данных в другой стране ЕЭЗ, вы вправе подать жалобу в надзорный орган страны, в которой вы проживаете. Контактные данные других надзорных органов ЕС по защите данных можно найти здесь.
14.2. Контролирующим учреждением для обработки данных RIA является Инспекция по защите данных https://www.aki.ee/et.
15. ДАННЫЕ О ДЕТЯХ И ДАННЫЕ О ПРЕДСТАВИТЕЛЯХ И ПЕРСОНАЛЕ ПОСТАВЩИКОВ УСЛУГ
15.1. Данные о детях. Такие данные обрабатываются в рамках выполнения государственной задачи, осуществляемой в общественных интересах или в соответствии с юридическими обязательствами.
15.2. Информация о повышенных требованиях, вытекающих из особой чувствительности обработки данных детей, предоставлена работникам во внутренних документах учреждения.
15.3. Обработка данных поставщика услуг, связанная с выполнением публичных задач, как правило, основывается на общественном интересе и законодательном обязательстве (если обязательство по сбору соответствующих данных прямо вытекает из закона). В некоторых случаях, когда обработка выходит за рамки общественных интересов, например, отправка рождественских поздравлений представителям партнеров по сотрудничеству, обработка основывается на законных интересах.
16. ИЗМЕНЕНИЯ
16.1. Последние изменения и вступление в силу Политики конфиденциальности:
| Публикация | Вступление в силу | Основные изменения |
|---|---|---|
| 09.04.2025 | 09.04.2025 | 1-я версия новой Политики конфиденциальности. |