Andmekaitsealane mõjuhinnang (inglise keeles Data Protection Impact Assessment, DPIA) on isikuandmete kaitse üldmääruse (GDPR) artiklist 35 tulenev menetlus, mille käigus hinnatakse eelnevalt töötlemistoimingu mõju isikuandmete kaitsele ja maandatakse tuvastatud riske. Mõjuhinnang on kohustuslik, kui töötlemine tõenäoliselt põhjustab füüsiliste isikute õigustele ja vabadustele suurt riski – eelkõige uue tehnoloogia kasutamisel, ulatusliku profileerimise, eriliigiliste andmete ulatusliku töötlemise või avalike alade süstemaatilise ulatusliku jälgimise korral. See juhend selgitab, millal mõjuhinnang on kohustuslik, kuidas kasutada Andmekaitse Inspektsiooni (AKI) soovituslikke näiteid koos artikli 35 suure ohu testiga ning kuidas mõjuhinnang samm-sammult läbi viia.
Millal on mõjuhinnang kohustuslik?
Artikli 35 lõige 3 nimetab kolm kohustuslikku juhtu:
- Süstemaatiline ja ulatuslik automaatne hindamine (profileerimine), millel põhinevad isikut oluliselt mõjutavad otsused;
- Eriliigiliste andmete (art. 9) või süüteoandmete (art. 10) ulatuslik töötlemine;
- Avalike alade süstemaatiline ulatuslik jälgimine (näiteks videovalve).
Euroopa Andmekaitsenõukogu on määratlenud üheksa kriteeriumi (WP 248), millest kahe täitmisel on mõjuhinnang üldjuhul nõutav: hindamine/profileerimine, automaatsed otsused, süstemaatiline jälgimine, eriliigilised andmed, ulatuslik töötlemine, andmekogumite ühendamine, haavatavad andmesubjektid, uuenduslik tehnoloogia ja andmesubjektide takistamine õiguste või teenuse kasutamisel.
AKI üldjuhendi viies peatükk esitab soovituslikke näiteid ja selgitusi. Need ei asenda artikli 35 lõike 1 tõenäolise suure ohu testi ega muutu iga näite korral eraldi automaatseks kohustuseks. Suurt ohtu tuleb hinnata ka siis, kui ükski näide täpselt ei sobi.
Kuidas mõjuhinnang läbi viia: kuus sammu
Artikli 35 lõige 7 sätestab mõjuhinnangu minimaalse sisu. Praktikas jaguneb protsess kuueks sammuks:
- Töötlemise süstemaatiline kirjeldus. Kirjeldage töötlemise laadi, ulatust, konteksti ja eesmärke ning andmevoogusid. Aluseks sobib töötlemise register.
- Vajalikkuse ja proportsionaalsuse hindamine. Kontrollige õiguslikku alust, andmete minimeerimist, säilitustähtaegu ja andmesubjektide teavitamist.
- Riskide tuvastamine. Hinnake ohtusid andmesubjektide õigustele ja vabadustele (ebaseaduslik juurdepääs, soovimatu muutmine, kadu) koos tõenäosuse ja raskusastmega.
- Meetmete kavandamine. Määrake riske maandavad tehnilised ja korralduslikud meetmed – pseudonümiseerimine, krüpteerimine, juurdepääsu piiramine, lõimitud andmekaitse põhimõtted.
- Andmekaitsespetsialisti nõuande küsimine. Kui andmekaitsespetsialist on määratud, peab vastutav töötleja küsima tema nõuannet (art. 35 lg 2).
- Dokumenteerimine ja ülevaatus. Talletage tulemused ja vaadake mõjuhinnang üle, kui töötlemisega seotud risk muutub.
Eelnev konsulteerimine AKI-ga (art. 36)
Kui mõjuhinnang näitab, et töötlemine põhjustaks suure jääkriski kavandatud meetmetest hoolimata, peab vastutav töötleja enne töötlemise alustamist konsulteerima AKI-ga (art. 36). AKI võib anda kirjalikke soovitusi või kasutada oma sekkumisvolitusi. Eelneva konsulteerimise vajadus tekib praktikas harva, kuid selle vahelejätmine olukorras, kus see oli nõutav, on iseseisev rikkumine.
Levinud vead
- Mõjuhinnangu tegemata jätmine kõrge riskiga töötlemise puhul. Mõjuhinnangu puudumine on iseseisev artikli 35 rikkumine, sõltumata sellest, kas kahju tekkis.
- Vormi täitmine sisuta. Mõjuhinnang, mis loetleb riskid, kuid ei paku konkreetseid maandusmeetmeid, ei täida artikli 35 lõike 7 nõudeid.
- Ühekordne dokument. Mõjuhinnang on elav dokument, mis tuleb üle vaadata töötlemise muutumisel.
- Määratud andmekaitsespetsialisti kaasamata jätmine. Artikli 35 lõige 2 nõuab tema nõuande küsimist siis, kui spetsialist on määratud.
- Registriga sidumata jätmine. Iga kõrge riskiga töötlemistoiming registris peaks viitama vastavale mõjuhinnangule.
Struktureeritud küsimustik võib aidata riske ja otsuseid seostada, kuid ei asenda töötlemise tegelike asjaolude kontrolli ega vastutava töötleja lõppotsust.
Näide: videovalve mõjuhinnang
Konkreetne näide aitab mõista, kuidas mõjuhinnang praktikas välja näeb. Oletame, et kaubanduskeskus soovib paigaldada näotuvastusega videovalve süsteemi, mis analüüsib külastajate liikumist ja tuvastab varem tabatud poevargaid. Selline kavand vajab tõsist artikli 35 hinnangut: näokujutiste kasutamine inimese kordumatuks tuvastamiseks võib hõlmata artikli 9 biomeetrilisi andmeid ning avaliku ala süstemaatiline ulatuslik jälgimine on määruses eraldi näide. Kontrollige kavandi tegelikku ulatust, eesmärki ja aluseid, mitte ainult kahe tunnuse olemasolu.
Süstemaatiline kirjeldus: kaamerad avalikus ruumis, näokujutiste võrdlemine andmebaasiga, salvestiste säilitamine. Vajalikkuse hindamine: kas eesmärgi – varguste vähendamine – saavutaks vähem riivava vahendiga, näiteks tavalise videovalve või turvatöötajatega? Sageli on vastus jaatav, mis tähendab, et näotuvastus ei ole proportsionaalne. Riskide tuvastamine: vale tuvastamine, kõigi külastajate massiline biomeetriline töötlemine, ebaseaduslik juurdepääs. Meetmed: töötlemise ulatuse piiramine, lühike säilitustähtaeg, range juurdepääsukontroll, lõimitud andmekaitse põhimõtete rakendamine.
Kui mõjuhinnang näitab, et suur jääkrisk säilib ka meetmete rakendamisel, tuleb enne süsteemi käivitamist konsulteerida AKI-ga (art. 36). Näotuvastuse puhul on Euroopa järelevalveasutused olnud järjekindlalt kriitilised, mistõttu sellise töötlemise õiguspärasus on üldjuhul küsitav. See näide illustreerib mõjuhinnangu tegelikku väärtust: see ei ole üksnes dokumenteerimisharjutus, vaid otsustusvahend, mis võib viia järelduseni, et kavandatud töötlemist ei tohiks üldse alustada. Vähem riivava videovalve puhul tuleb samuti hinnata konkreetset ulatust, vajalikkust ja säilitustähtaega; üks universaalne ühekuuline säilitamispiir või automaatne mõjuhinnangu erand sellest näitest ei tulene.
Mõjuhinnangu seos registri, lõimitud andmekaitse ja tehisintellektiga
Mõjuhinnang ei ole eraldiseisev dokument, vaid osa laiemast andmekaitsesüsteemist. Selle lähtepunkt on töötlemise register, mis näitab, millised töötlemistoimingud üldse eksisteerivad ja millised neist võivad olla kõrge riskiga. Praktikas tasub registrisse lisada väli, mis märgib iga toimingu juures, kas mõjuhinnang on tehtud, ei ole vajalik või on tegemata – nii muutub mõjuhinnangute haldamine süstemaatiliseks ega jää üksikute projektide taha.
Teisalt on mõjuhinnang tihedalt seotud lõimitud andmekaitsega: mõjuhinnangu käigus tuvastatud riskid maandatakse just tehniliste ja korralduslike meetmetega, mis tuleb töötlemisse sisse ehitada. Mõjuhinnang on seega mehhanism, mille kaudu artikli 25 põhimõtted konkreetseks muutuvad.
Kasvava tähtsusega on mõjuhinnangu roll tehisintellekti kasutuselevõtul. Kui organisatsioon rakendab isikuandmete töötlemisel automatiseeritud otsuseid või profileerimist masinõppe abil, tuleb hinnata otsuse mõju, ulatust ja muid artikli 35 suure ohu tunnuseid; pelk tehnoloogia nimetus ei tee igast rakendusest mõjuhinnangukohustusega tegevust. ELi tehisintellekti määruse (AI Act) jõustumisega tekivad kõrge riskiga tehisintellektisüsteemidele täiendavad kohustused, mis tuleb siduda GDPR-i mõjuhinnanguga – kaks hindamist tasub läbi viia kooskõlastatult, et vältida topelttööd ja tagada, et nii andmekaitse- kui ka tehisintellektiriskid on kaetud. Selle kooskõlastamiseks on eraldi tööriistad – vaata TI määruse (AI Act) tarkvara. Andmekaitsespetsialisti kaasamine mõlemasse hindamisse on siin eriti oluline.
Tehke otsus mõjuhinnangu vajaduse kohta enne hanget
Mõjuhinnangu vajadus ei teki ainult siis, kui projekt on juba saanud sildi „kõrge riskiga”. Kirjeldage kavandatav tegevus: eesmärk, andmete liigid, puudutatud inimeste arv, jälgimise kestus, andmeallikad, ühendatavad andmekogud ning otsuse mõju inimesele. Töötlemise registri näidis võib anda lähtefaktid, kuid artikkel 30 ülevaade ei asenda riskihinnangut. Vaadake eraldi GDPR artikli 35 lõike 3 kolme sõnaselget juhtumit ning AKI juhendi soovituslikke näiteid. Kui ükski näide ei sobi, jääb artikli 35 lõike 1 tõenäolise suure ohu test siiski alles.
AKI üldjuhendi viies peatükk kirjeldab Eesti tingimustes näiteks andmete ulatust ja haavatavust. Selle selgitavad arvud ei ole kõigile Euroopa või piiriülestele tegevustele kehtivad mehaanilised lävendid; AKI juhend ütleb piiriüleste toimingute puhul otsesõnu, et üht täpset minimaalset inimeste arvu ei määrata. Ka WP248 kriteeriumide puhul ei saa kahte tunnust kasutada lihtsa kalkulaatorina: kaks viitavad tavaliselt vajadusele mõjuhinnang teha, kuid üks võib mõnes olukorras juba näidata suurt ohtu. Kui otsustate hindamist mitte teha, kirjutage üles konkreetne põhjendus, mitte ainult märge „alla lävendi”.
Võtke näiteks tööle kandideerijate automaatne eelsõelumine. Esmalt küsige, kas süsteem hindab isiklikke aspekte süstemaatiliselt ja ulatuslikult ning kas otsusel on õiguslik või samavõrra oluline mõju. Seejärel hinnake, kas kandideerijad saavad otsusest teada, vaidlustada vea ja saada inimese sekkumise seal, kus artikkel 22 seda nõuab. Mõjuhinnangu puudumist ei saa õigustada üksnes sellega, et süsteemi müüja nimetab toodet „abistavaks”; uurige tegelikku kasutust ja otsustusõigust. Samas ei nõua iga tavaline tabelarvutus või inimeste abiga tehtud valik automaatselt artikli 35 mõjuhinnangut.
Eristage õiguslik alus, vajalikkus ja riskimeede
Mõjuhinnang ei loo puuduvat õiguslikku alust. Kirjeldage eraldi, millisele artikli 6 alusele tegevus tugineb ning kas eriliigiliste andmete puhul on täidetud artikli 9 tingimus. Kui töötlus ei ole eesmärgi saavutamiseks vajalik või proportsionaalne, ei muuda krüpteerimine seda automaatselt õiguspäraseks. Lõimitud andmekaitse aitab riskimeetmeid projekteerida, kuid tuleb kontrollida ka eesmärgi enda põhjendatust. Näotuvastuse korral küsige, kas sama eesmärki saaks täita ilma iga külastaja biomeetrilise võrdluseta, ja dokumenteerige tegelikud alternatiivid.
Artikli 35 lõike 7 minimaalne sisu on töötlemise süstemaatiline kirjeldus ja eesmärgid, vajalikkuse ning proportsionaalsuse hindamine, ohtude hinnang ja kavandatud meetmed. Seostage iga risk konkreetse mõjuga inimesele: vale tuvastus võib takistada teenust; kõrvalise isiku ligipääs võib paljastada terviseandmed; pikalt säiliv asukohalugu võib näidata inimese käitumist. Kirjutage, kes meetme rakendab, kuidas selle toimimist kontrollitakse ja milline risk jääb pärast meedet alles. Sõna „pseudonümiseerimine” üksi ei ütle, kas võti on eraldi hoitud või kas kõrvaline kasutaja saab inimese ikkagi uuesti ära tunda. Ka rikkumiste käsitlemise kord on riskimeede vaid siis, kui tegelik teatamise ja uurimise töövoog toimib.
Hinnake nii tõenäosust kui ka tagajärje raskust inimese vaatenurgast. Ärge kasutage vaid organisatsiooni trahvi või mainekahju mõõduna; mõjuhinnang keskendub füüsilise isiku õigustele ja vabadustele. Kui erinevatel inimrühmadel on erinev haavatavus, näiteks lapsed, töötajad või patsiendid, kirjeldage nende olukord eraldi. Sama töötlemine võib põhjustada ühe rühma jaoks suuremat kahju kui teise jaoks. Riskimaatriks aitab arutelu, kuid ei asenda selgitust, miks just teie andmevoog ja pakutud kaitsemeede annavad konkreetsel juhul vastuvõetava lõpptulemuse.
Kaasake õiged inimesed ja testige järeldust
Mõjuhinnangu eest vastutab vastutav töötleja. Kui andmekaitsespetsialist on määratud, tuleb küsida tema nõuannet artikli 35 lõike 2 järgi; spetsialist ei asenda omaniku otsust. IT meeskond teab tegelikke ligipääse ja varukoopiaid, teenuse omanik kirjeldab eesmärki ning hankija selgitab tarnija tööd. Volitatud töötleja peab artikli 28 kokkuleppe või muu siduva õigusakti järgi asjakohase teabega abistama. Vajaduse korral küsige artikli 35 lõike 9 järgi andmesubjektide või nende esindajate seisukohta, kui see ei kahjusta ärilisi või avalikke huve ega töötlemise turvalisust. Kirjutage ka põhjus, kui kaasamine ei ole sobiv.
Tarnija üldine „DPIA valmis” esitlus võib kirjeldada tema toodet, kuid ei saa hinnata teie konkreetset andmeallikat, seadistust ja kasutajate õigusi. Tehke lühike proov: muutke üks ligipääsureegel, eemaldage mittevajalik väli ning simuleerige ekslikku automaatset märget. Kes saab muutuse heaks kiita ja milline tõend jääb? Kui meetme rakendamine nõuab veel arendust, ei tohiks hinnang näidata riski juba maandatuna. Siduge avatud ülesanne vastutaja ja kontrollihetkega, seejärel hinnake jääkriski uuesti enne käivitamist.
Otsustage, kas AKI-ga tuleb eelnevalt konsulteerida
Artikli 36 eelnev konsulteerimine puudutab olukorda, kus mõjuhinnang näitab, et töötlemine põhjustaks suure ohu hoolimata vastutava töötleja kavandatud riskimaandusmeetmetest. Ärge kasutage enne-meetmeid riski ja jääkriski vaheldumisi. Kui kavandatud meetmed vähendavad ohu sobivale tasemele ja on päriselt kasutuselevõtuks valmis, ei muutu iga tehtud mõjuhinnang automaatselt AKI-le saadetavaks avalduseks. Kui suur jääkrisk püsib, tuleb enne töötlemise algust konsulteerida järelevalveasutusega; projekti ei tohi lihtsalt käivitada ja pärast nõu küsida.
Vaadake ka kolmandat võimalust: kui eesmärk või meede ei ole õiguspärane, ei saa konsulteerimine seda iseenesest parandada. Tehke otsus tegevus ümber kujundada või sellest loobuda. Näiteks liiga laia näotuvastuse asemel võib kaaluda piiratud juurdepääsukontrolli, kuid ka uus lahendus vajab eraldi õigusliku aluse ja riskide hindamist. Kui esitate AKI-le eelneva konsulteerimise taotluse, hoidke valmis mõjuhinnangu kirjeldus, eesmärgid, meetmed ja spetsialisti kontakt, kui ta on määratud. Artikli 36 menetlus ei asenda organisatsiooni enda põhjendatud otsust.
Hoidke hinnang seotud tegeliku muutusega
Artikli 35 lõige 11 näeb ette läbivaatamise vähemalt siis, kui töötlemisega seotud risk muutub. Üks seaduses kõigile ette nähtud aastane uuenduspäev sellest ei tulene. Määrake sisemine käivitaja: uus andmeallikas, laiendatud kasutajate rühm, teistsugune automaatne otsus, kolmanda riigi tugi või suurem salvestusmaht. Kontrollige, kas hinnangus kirjeldatud risk ja meetmed vastavad uuele olukorrale. Kui muudatus puudutab vaid teenuse nime, võib piisata põhjendatud märkest; kui muutub inimeste jaoks mõjuv otsus, võib vaja minna sisulist uut analüüsi.
Ühe hinnanguga võib katta mitu sarnase suure riskiga toimingut, kui nende ulatus, kontekst ja meetmed on tõesti võrreldavad. Kasutage ühist osa andmevoo ja turvameetmete jaoks, kuid märkige üksuste või asukohtade erinevused. Vastasel juhul varjab „grupitasandi DPIA” ühe asutuse erilise andmeallika või töövoo. Lugejale on kasulik lõpetada hindamine otsusega: kas töötlus algab kirjeldatud meetmetega, vajab parandust, vajab artikli 36 konsultatsiooni või jääb ära. Nii on mõjuhinnang tööotsus, mitte täidetud vorm.
Näidake riskide muutus enne ja pärast meedet
Hinnangu kasulikkus ilmneb võrdluses. Kui kavandatav sissepääsusüsteem kasutab näotuvastust, kirjeldage algne risk: iga külastaja nägu võrreldakse andmebaasiga, vale tabamus võib inimese peatada ja salvestis võib paljastuda kõrvalisele isikule. Seejärel kirjeldage alternatiiv, näiteks kontroll ainult piiratud sissepääsul, ning hinnake, kas eesmärk on sel viisil saavutatav. Kui näotuvastus jääb vajalikuks väidetud põhjuse tõttu, eristage õiguslik alus, juurdepääsu piirang, vea parandamise kord ja säilitamine. Ükski krüpteerimismeede ei lahenda iseenesest küsimust, kas kõigi külastajate võrdlemine on üldse vajalik.
Lisage hinnangusse otsus iga meetme oleku kohta: kavandatud, kasutusele võetud või kontrollitud. Kui tootja lubab automaatset kustutamist, kuid kohalik seadistus pole veel tehtud, ei saa meedet jääkriski arvutuses täielikult toimivaks lugeda. Paluge süsteemi omanikul näidata katse tulemust ja korduskatse aega. Kui risk jääb suureks ka pärast tegelikult rakendatavaid meetmeid, otsustage artikli 36 eelnev konsulteerimine enne käivitamist. Kui tegevus ei ole vajalik või selle alus puudub, peatage kavand ilma nõu küsimise tulemusele lootmata.
See eristab mõjuhinnangut registrikirjest. Register ütleb, mis eesmärgil andmeid töödeldakse ja kes neid saab; hinnang selgitab, miks valitud töötlus on vajalik ning millist ohtu ta inimestele tekitab. Hoidke nende kahe dokumendi nimed, omanikud ja muudatused kooskõlas, kuid ärge täitke riskivälja üksnes lingiga registrile. Juhtkonnale võib esitada lühikese otsuslehe koos avatud riskidega; üksikasjalik hinnang jääb kontrollitavaks taustaks. Selline vormistus on soovitus, mitte GDPR-is ette kirjutatud kindel tarkvaramall.
Korduma kippuvad küsimused
Kas ühe mõjuhinnanguga võib katta mitu sarnast töötlemistoimingut?
Jah. Artikli 35 lõige 1 lubab ühe hinnanguga käsitleda mitut sarnast töötlemistoimingut, mis kujutavad endast sarnaseid suuri riske. Näiteks võib ühe mõjuhinnanguga katta mitme sarnase videovalvesüsteemi kasutuselevõtu. Oluline on, et töötlemised oleksid tõepoolest sarnase laadi, ulatuse ja riskiga.
Mis vahe on mõjuhinnangul ja eelneval konsulteerimisel?
Mõjuhinnang on vastutava töötleja enda läbiviidav hindamine (art. 35). Eelnev konsulteerimine (art. 36) on samm, mis järgneb mõjuhinnangule üksnes siis, kui hinnang näitab, et kavandatud maandusmeetmetest hoolimata jääks töötlemisega suur risk – sel juhul tuleb enne töötlemise alustamist pöörduda AKI poole. Enamik mõjuhinnanguid ei vaja eelnevat konsulteerimist.
Kas väikeettevõte peab tegema mõjuhinnangu?
Kohustus ei sõltu ettevõtte suurusest, vaid töötlemise riskist. Väikeettevõte peab samuti tegema mõjuhinnangu, kui kavandatav töötlemine tõenäoliselt tekitab suure riski – näiteks võib see juhtuda ulatusliku ja süstemaatilise profileerimise, eriliigiliste andmete ulatusliku töötlemise või avalike alade ulatusliku jälgimise puhul. Üksik terviseandmete kirje või iga kaamera ei too kohustust automaatselt kaasa; hinnake tegevuse ulatust, konteksti ja ohtu inimestele.
Kes vastutab mõjuhinnangu läbiviimise eest?
Vastutus lasub vastutaval töötlejal (art. 35 lg 2). Ta võib mõjuhinnangu praktilise läbiviimise delegeerida, kuid peab küsima määratud andmekaitsespetsialisti nõuannet, kui spetsialist on olemas, ning jääb ise vastutavaks tulemuse eest. Volitatud töötleja peab abistama mõjuhinnangu läbiviimisel (art. 28 lg 3 punkt f).
Kas mõjuhinnang tuleb AKI-le esitada?
Ei, mitte automaatselt. Mõjuhinnang esitatakse AKI-le üksnes eelneva konsulteerimise raames (art. 36), kui jääkrisk on suur, samuti järelevalvemenetluses nõudmise korral. Muudel juhtudel hoitakse mõjuhinnangut vastutusdokumendina sisemiselt.
Kui suur töötlemine loetakse “ulatuslikuks”?
GDPR ei määra täpset arvulist piiri. Hinnata tuleb andmesubjektide arvu, andmemahtu, töötlemise kestust ja geograafilist ulatust. Näiteks haigla patsiendiandmete või suure e-poe klientide profileerimine on selgelt ulatuslik; üksiku arsti patsiendiandmed üldjuhul mitte.
Kes peab mõjuhinnangu koostama – kas selleks on vaja väliseksperti?
Mõjuhinnangu koostamise eest vastutab vastutav töötleja ja seda saab läbi viia oma jõududega, kaasates andmekaitsespetsialisti ning asjaomaste protsesside ja IT-süsteemide eest vastutavad isikud. Väliseksperti ei ole seaduse järgi vaja, kuid keerukate või kõrge riskiga töötlemiste puhul, näiteks uue tehnoloogia või ulatusliku profileerimise korral, aitab väline andmekaitsejurist tagada, et hindamine on põhjalik ja õiguslikult korrektne.
Kokkuvõte
Andmekaitsealane mõjuhinnang on kõrge riskiga töötlemise eeltingimus ja üks tugevamaid vastutuse tõendamise vahendeid. See on kohustuslik artikli 35 lõike 3 täpsustatud juhtudel ning alati siis, kui töötlemine tõenäoliselt põhjustab inimeste õigustele ja vabadustele suure ohu. AKI juhendi näited aitavad seda hinnata, kuid ei asenda määruse testi. Viige mõjuhinnang läbi kuues sammus, siduge see töötlemise registriga, küsige määratud andmekaitsespetsialisti nõuannet ja vaadake see töötlemise muutumisel üle. Kui jääkrisk jääb suureks, konsulteerige enne töötlemise alustamist AKI-ga. Praktilise aluse mõjuhinnangule annab hästi peetud töötlemise register, mis näitab, millised töötlemistoimingud üldse hindamist vajavad.
Allikad, kontrollitud 27.09.2026: IKÜM artiklid 35–36, AKI mõjuhinnangu suunis, AKI üldjuhendi viies peatükk.