Isikuandmete töötlemise registri (ROPA) tarkvara 2026: võrdlus ja valik

Milline on parim ROPA tarkvara 2026. aastal? Lühike vastus: isikuandmete töötlemise toimingute registri tööriist peab automaatselt koostama ja ajakohasena hoidma GDPR-i artikli 30 kohase registri – iga töötlemistoimingu eesmärgi, õigusliku aluse, andmekategooriate, vastuvõtjate ja säilitustähtajaga – ning võimaldama eestikeelset eksporti Andmekaitse Inspektsioonile. See on kõige olulisem üksik andmekaitsedokument, sest see on peaaegu alati kontrolli esimene vaadeldav asi. Realistlikud valikud on Legiscope (tehisintellektil põhinev genereerimine, EL-i majutus), Dastra (EL-i mallid) ja käsitsi tabelarvutus (odav, kuid vananeb kiiresti ja tekitab riske). See juhend selgitab, mida ROPA tarkvaralt vajada ja miks tabelarvutus enam ei piisa.

Töötlemistoimingute register ei ole bürokraatlik formaalsus. Eesti järelevalve keskendub just põhikohustustele ja säilitustähtaegade määramata jätmine on korduv sanktsiooni põhjus. Konteksti kohta loe andmekaitse Eestis.

Mis on ROPA ja miks see kohustuslik on?

ROPA (records of processing activities, eesti keeles isikuandmete töötlemise toimingute register) on GDPR-i artikli 30 kohane loetelu kõigist organisatsiooni töötlemistoimingutest. Levinud on eksiarvamus, et artikli 30 lõike 5 erand alla 250 töötajaga ettevõtetele vabastab neid registri pidamisest. Praktikas see erand ei kehti, kui töötlemine ei ole juhuslik, hõlmab eriliigilisi andmeid või kujutab riski – ehk peaaegu iga tegutseva ettevõtte puhul. Register on ka aluseks kõigile teistele kohustustele: mõjuhinnangule (DPIA), andmesubjekti päringute käsitlemisele ja rikkumisest teavitamisele.

Mida ROPA peab sisaldama?

GDPR-i artikkel 30 nõuab, et register sisaldaks iga töötlemistoimingu kohta konkreetseid andmeid:

Element	Sisu
Vastutava töötleja andmed	Nimi, kontakt, vajaduse korral DPO
Töötlemise eesmärgid	Miks andmeid töödeldakse
Õiguslik alus	GDPR art 6 (ja art 9 eriliigiliste puhul)
Andmesubjektide kategooriad	Kliendid, töötajad, tarnijad
Isikuandmete kategooriad	Kontakt, finants, tervis jne
Vastuvõtjate kategooriad	Volitatud töötlejad, kolmandad isikud
Edastused väljapoole EL-i	Riik ja kaitsemeede
Säilitustähtajad	Kui kaua andmeid hoitakse
Turvameetmed	Tehnilised ja korralduslikud meetmed

Just säilitustähtajad on koht, kus tabelipõhine register tavaliselt ebaõnnestub – need jäävad määramata või vananevad. Eesti järelevalves on see korduv puudus.

Miks tabelarvutus enam ei piisa

Tabelarvutus on ROPA jaoks levinud, kuid probleemne lähtekoht. Kolm peamist puudust:

• Vananemine. Register on ajakohane vaid siis, kui keegi seda pidevalt uuendab. Praktikas jääb tabel nädalatega ajast maha.
• Puuduvad väljad. Käsitsi täidetud tabelis jäävad õiguslik alus või säilitustähtaeg sageli märkimata.
• Versioonihalduse puudumine. Kes muutis, mida ja millal – tabelarvutuses on seda raske tõendada, kuid kontrollis just seda küsitakse.

Automaatika kaotab need probleemid: tööriist juhib läbi vajalike väljade, hoiab versioone ja jälgib ajakohasust.

Realistlikud valikud

Legiscope koostab töötlemistoimingute registri tehisintellekti abil umbes nelja minutiga. GDPR-i kohtupraktikal ja järelevalveasutuste juhistel treenitud mudel juhib läbi vajalike väljade ja tagab, et säilitustähtajad ja õiguslikud alused on määratud. Kogu töötlus toimub EL-is majutatud taristul ja eksport on eestikeelne.

Dastra pakub EL-i malle ja selget liidest, kaldudes Prantsusmaa praktikale.

Käsitsi tabelarvutus on odav, kuid vananeb kiiresti ja tekitab just neid puudujääke, mille eest sanktsioone määratakse.

Võrdluskriteeriumid

Kriteerium	Miks loeb
Automaatne genereerimine	Säästab 80% käsitsitööst
Säilitustähtaegade haldus	Korduv sanktsiooni põhjus Eestis
Õigusliku aluse juhtimine	Iga töötlemine vajab kehtivat alust
Versioonihaldus	Kontrollis tuleb tõendada muudatusi
Eestikeelne eksport	Asutus asjaajab eesti keeles
EL-i majutus	Väldib kolmandatesse riikidesse edastamist

ROPA ja teised kohustused

Töötlemistoimingute register on kogu andmekaitseprogrammi selgroog. Sellel põhinevad:

• Mõjuhinnang (DPIA). Kõrge riskiga töötlemised registris märgivad, kus on vaja mõjuhinnangut.
• Volitatud töötleja lepingud. Registri vastuvõtjate osa näitab, kellega on vaja sõlmida leping (art 28).
• Andmesubjekti päringud. Register näitab, kus andmeid hoitakse, mis kiirendab päringutele vastamist.

Seetõttu tasub ROPA korda saada esimesena – see on alus, millele ülejäänud vastavus ehitatakse. Legiscope genereerib registri ja seob selle automaatselt teiste kohustustega EL-i majutuses. Vaata ka GDPR tarkvara võrdlus.

Kuidas ROPA-ni jõuda: praktilised sammud

1. Kaardista töötlemistoimingud. Küsi igalt osakonnalt, milliseid isikuandmeid nad kasutavad ja miks.
2. Määra õiguslikud alused. Igal toimingul peab olema GDPR art 6 kohane alus.
3. Määra säilitustähtajad. See on kõige sagedamini vahele jääv väli – ära jäta seda tegemata.
4. Kaardista vastuvõtjad. Loetle volitatud töötlejad ja kolmandad isikud.
5. Dokumenteeri turvameetmed. Seosta iga toiming vastavate tehniliste ja korralduslike meetmetega.
6. Hoia ajakohasena. Uue töötlemistoimingu lisandumisel uuenda registrit – automaatika teeb selle jõukohaseks.

Näidis: ROPA kirje ülesehitus

Konkreetne näide selgitab, mida üks registrikirje sisaldama peab. Vaatame tüüpilist Eesti VKE töötlemistoimingut – töötajate palgaarvestust:

Väli	Näidissisu
Töötlemise eesmärk	Töötasu arvestamine ja maksmine
Õiguslik alus	Leping (art 6(1)(b)) ja juriidiline kohustus (art 6(1)©)
Andmesubjektide kategooria	Töötajad
Isikuandmete kategooriad	Nimi, isikukood, kontonumber, palgaandmed
Vastuvõtjate kategooriad	Raamatupidaja (volitatud töötleja), Maksu- ja Tolliamet
Säilitustähtaeg	Raamatupidamise seaduse alusel 7 aastat
Turvameetmed	Juurdepääsupiirang, krüpteerimine, logimine

Selline struktuur kordub iga töötlemistoimingu puhul. Eesti VKE-l on neid tavaliselt 15–40 – töötajaandmed, kliendibaas, turundus, veebisaidi analüütika, tarnijate haldus jne. Käsitsi on nende ajakohasena hoidmine töömahukas; automaatika juhib läbi iga välja ega lase säilitustähtaega vahele jätta.

Levinuimad vead ROPA koostamisel

• Säilitustähtaja määramata jätmine. Kõige sagedasem viga ja Eesti järelevalves korduv sanktsiooni põhjus – iga kirje vajab konkreetset tähtaega.
• Õigusliku aluse segiajamine. Nõusolek ja leping ei ole vahetatavad; vale alus muudab töötlemise õigusvastaseks.
• Volitatud töötlejate märkimata jätmine. Iga vastuvõtja (pilv, raamatupidamine, turundus) peab olema loetletud ja tema lepingut jälgitud.
• Registri vananemine. Uue töötlemistoimingu lisandumisel jääb tabel sageli uuendamata – automaatika ja versioonihaldus kaotavad selle riski.

Kes vastutab ROPA eest organisatsioonis

Levinud küsimus on, kes peaks registrit pidama. GDPR paneb vastutuse vastutavale töötlejale – ehk organisatsioonile endale, mitte üksikisikule. Praktikas jaguneb töö siiski nii:

• Juht või juhtkond kannab lõplikku vastutust ja peab tagama ressursid.
• Andmekaitsespetsialist (DPO), kui see on määratud, nõustab ja jälgib registri ajakohasust, kuid ei vastuta töötlemise eest ise – vaata andmekaitsespetsialisti roll.
• Osakonnajuhid annavad sisendi oma valdkonna töötlemistoimingute kohta.

Just see hajutatud vastutus muudab käsitsi registri haprakuks: kui igaüks peab oma osa eraldi tabelis, tekivad lüngad ja vastuolud. Keskne platvorm, kuhu iga osakond oma toimingud sisestab, hoiab registri ühtsena ja ajakohasena. Legiscope koondab need sisendid ühte registrisse EL-i majutuses.

Korduma kippuvad küsimused

Kui palju ROPA tarkvara maksab?

ROPA-funktsioon on tavaliselt osa laiemast GDPR platvormist, mille hind VKE-le on 2 000–12 000 eurot aastas. Algtaseme EL-i platvormid algavad umbes 79–99 €/kuus. Eraldi ROPA tööriista harva ostetakse – mõistlikum on platvorm, mis seob registri teiste kohustustega. Täpsem analüüs: GDPR tarkvara hind.

Kas väikeettevõte peab ROPA-t pidama?

Peaaegu alati jah. Artikli 30 lõike 5 erand alla 250 töötajaga ettevõtetele praktikas ei kehti, kui töötlemine ei ole juhuslik, hõlmab eriliigilisi andmeid või kujutab riski. Enamik tegutsevaid ettevõtteid peab registrit pidama.

Kas tabelarvutus sobib ROPA jaoks?

Tehniliselt jah, kuid see vananeb kiiresti, jätab säilitustähtajad sageli määramata ja ei võimalda versioonihaldust. Just need on Eesti järelevalves korduvad puudused. Tarkvara kaotab need probleemid automaatikaga.

Mida Andmekaitse Inspektsioon ROPA-st kontrollib?

AKI kontrollib, kas register on olemas, ajakohane ja katab kõik töötlemistoimingud koos õiguslike aluste, säilitustähtaegade ja turvameetmetega. See on tavaliselt kontrolli esimene vaadeldav dokument.

Kui kiiresti saab ROPA valmis?

Tehisintellektil põhineva tööriistaga saab esimese versiooni koostada minutitega, kuid täielik kaardistus võtab VKE-l tavaliselt paar nädalat, sõltuvalt töötlemistoimingute arvust. Käsitsi tabelarvutuses kulub oluliselt kauem.

Vastutava ja volitatud töötleja register: kaks erinevat kohustust

GDPR-i artikkel 30 näeb tegelikult ette kaks eraldi registrit. Artikli 30 lõige 1 kohustab vastutavat töötlejat pidama registrit oma töötlemistoimingute üle. Artikli 30 lõige 2 kohustab volitatud töötlejat pidama eraldi registrit kõigi töötlemiskategooriate üle, mida ta teiste nimel teeb. Paljud Eesti ettevõtted on korraga mõlemad: näiteks raamatupidamisbüroo on vastutav töötleja oma töötajate andmete osas, kuid volitatud töötleja klientide andmete osas, mida ta nende nimel töötleb.

Kahe rolli register erineb sisult. Vastutava töötleja register (lõige 1) sisaldab töötlemise eesmärke, andmesubjektide ja andmete kategooriaid, vastuvõtjaid, edastusi kolmandatesse riikidesse, säilitustähtaegu ja turvameetmeid. Volitatud töötleja register (lõige 2) on lühem: iga vastutava töötleja nimi, töötlemiskategooriad, edastused kolmandatesse riikidesse ja turvameetmete üldkirjeldus – kuid mitte säilitustähtajad ega eesmärgid, mille määrab vastutav töötleja.

Praktikas jäetakse volitatud töötleja register sageli üldse koostamata, sest ettevõte ei taju end “volitatud töötlejana”. See on Eesti järelevalves korduv puudus: kui organisatsioon osutab teenust, mis hõlmab teiste isikuandmete töötlemist (IT-majutus, palgaarvestus, turundus, klienditugi), vajab ta ka lõike 2 registrit. Register ja vastutuse jaotus peavad kajastuma ka volitatud töötleja lepingus (art 28), mis sätestab, kes millist töötlemistoimingut millise rolli all teeb. Tarkvara, mis eristab kaht rolli ja koostab mõlemad registrid automaatselt, väldib selle lünga. Legiscope loob nii vastutava kui volitatud töötleja registri ja seob need samasse EL-i majutatud keskkonda.

Tabelarvutuselt tarkvarale üleminek

Enamik Eesti VKE-sid alustab ROPA-t tabelarvutusega ja jõuab tarkvarani alles siis, kui tabel on muutunud haldamatuks või kui läheneb kontroll. Üleminek ei nõua nullist alustamist: olemasoleva tabeli sisu saab käsitsi üle kanda, kusjuures just üleminekuhetk on hea võimalus puuduvad väljad – eelkõige säilitustähtajad ja õiguslikud alused – lõpuks korralikult täita.

Praktiline soovitus: ära oota kontrolli. AKI võib registrit küsida etteteatamata ja puuduliku registri parandamiseks jääb siis vaid päevi. Kui register on juba tarkvaras ja ajakohane, muutub kontroll formaalsuseks, mitte kriisiks. Üleminekul tasub kontrollida, et iga töötlemistoiming saaks õigusliku aluse ja säilitustähtaja ning et volitatud töötlejad oleksid loetletud koos kehtivate lepingutega. Andmekaitse üldisest raamistikust annab ülevaate Euroopa Andmekaitsenõukogu (EDPB), mille suunised on ka AKI praktika aluseks.

Kokkuvõte

ROPA tarkvara koostab ja hoiab ajakohasena GDPR-i artikli 30 kohase registri, mis on kõige olulisem andmekaitsedokument ja kontrolli esimene vaadeldav asi. Tabelarvutus vananeb kiiresti ja jätab säilitustähtajad määramata – just nende puudujääkide eest on Eestis sanktsioone kohaldatud. Automaatika kaotab need probleemid ja seob registri teiste kohustustega. Legiscope genereerib registri tehisintellekti abil EL-i majutuses. Vaata ka GDPR tarkvara võrdlus ja andmesubjekti päringute tarkvara.

Vaata Legiscope’t töös – broneeri 15-minutiline demo

Viimati üle vaadatud: juuli 2026.