Arvamus Laevade infosüsteemi põhimääruse eelnõule

Lp Riina Sikkut Teie: 27.07.2022 nr 2-1/2022/4831 Majandus- ja Kommunikatsiooniministeerium [email protected] Meie: 15.08.2022 nr 1.2.-4/22/1983 Arvamus Laevade infosüsteemi põhimääruse eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks laevade infosüsteemi põhimääruse eelnõu. Meil on eelnõu osas mõned märkused: 1. Põhimääruse eelnõu § 2 lõike 1 kohaselt peetakse infosüsteemi ühetasandilise digitaalse andmekoguna. Tänapäeval ei ole enam vaja täpsustada, et andmekogu peetakse digitaalselt. AvTS § 431 sätestab, et andmekogu on infosüsteem ning infosüsteem on defineeritud küberturvalisuse seaduses ning selle järgi kujutabki infosüsteem endast digitaalset andmete töötlust. 2. Eelnõu § 4 lõikes 2 on loetletud andmekogud, millega toimub andmevahetus. Sama lõike punkti 3 järgi toimub andmevahetus ka liiklusregistriga, mille käigus saadakse alla 12-meetrise kogupikkusega laevade ja jettide andmebaasi andmed. Selgusetuks jääb, milliste andmetega on tegemist. Põhimääruses tuleks sätestada kogu kogutavate andmete koosseis. 3. Eelnõu § 3 järgi koosneb infosüsteem neljast erinevast andmekogust (andmebaasist), kuhu kogutakse lisaks muudele andmetele ka isikuandmeid, milleks üldjuhul on füüsilise isiku ees- ja perekonnanimi, isikukood, elukoha aadress ning kontaktandmed. Samas on infosüsteemi kuuluva iga nelja andmebaasi puhul andmekooseis välja toodud erinevalt. Kui 2. peatükis toodud laevade järelevalve andmekogu puhul on §-s 6 loetletud andmekoosseis selliselt, et on aru saada, milliseid konkreetseid isikuandmeid kogutakse, siis § 7 lõike 1 punkti 4 järgi kantakse riikliku järelevalve andmestikku menetlustoimingu läbiviinud järelevalveametnik või § 8 lõike 2 punkti 7 järgi auditi või ülevaatuse komisjoni juht ja komisjoni liikmed, kuid selgusetuks jääb nendesse andmestikke kantav andmekoosseis. Samuti ei ole 3. peatükis toodud kahe andmebaasi puhul aru saada, kas üldse ja milliseid isikuandmeid kogutakse. Näiteks § 15 lõike 1 punkti 2 järgi kantakse registriosa 2. jakku vastutava isiku olemasolul tema andmed ja kontaktandmed või punkti 3 järgi laeva omaniku andmed. Selgusetuks jääb, milliste andmetega on tegemist. Samas näeb põhimääruse § 24 lõige 2 ette, et laevade infosüsteemis töödeldavaid andmeid, v.a isikuandmeid, säilitatakse 30 aastat andmekogust kustutamisest arvates. Kui põhimäärusest ei ole aru saada, milliseid andmeid infosüsteemi kogutakse, siis kuidas on võimalik aru saada, kui kaua mingeid andmeid säilitada tuleb. Soovitame Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  vaadata üle kõikide infosüsteemi kuuluvate andmebaaside andmekoosseisude kirjeldused ning kirjeldada koosseis selliselt, et iga infosüsteemi kuuluva andmebaasi puhul oleks aru saada, milliseid isikuandmeid andmebaasidesse tegelikult kogutakse. 4. Eelnõu § 9 lõike 1 järgi kannab laevade järelevalve andmekogusse andmeid vastutav töötleja. Sama paragrahvi lõike 2 järgi on vastutav töötleja ka andmete esitaja. Mereohutuse seaduse § 752 lõike 1 punkti 3 järgi kantakse laevade järelevalve andmekogusse Transpordiameti tehtavate auditeerimise, ülevaatuse ja riikliku järelevalve menetluse andmed. Seega on Transpordiamet ühelt poolt laevade infosüsteemi vastutavaks töötlejaks, kelle ülesandeks on andmeid infosüsteemi kanda, kuid teiselt poolt on Transpordiamet ka laevade infosüsteemi andmete esitajaks, mis tähendab erinevaid rolle. Mõistlik oleks need rollid põhimääruses selgelt välja tuua. Parema ülevaate saamiseks soovitame kaaluda eraldi sätet, kus on välja toodud kõik infosüsteemi või selle erinevatesse osadesse andmete esitajad, nende poolt esitatavad andmed (andmekoosseis) ning millisel viisil andmeid esitatakse (nt veebipõhise kasutajaliidese kaudu), sh ka punkt, mille kohaselt oleks andmete esitaja vastutavaks andmete õigsuse eest. Hetkel ei ole põhimäärust lugedes üheselt aru saada, kes, milliseid andmeid ja millisel viisil esitab ehk kust ja kuidas tekivad infosüsteemi, mille osaks on mitmed andmebaasid, andmed. Et aru saada, peab õigusakti lugeja erinevate paragrahvidega tutvuma. 5. Selgusetuks jääb § 9 lõige 4, mille kohaselt andmed esitatakse laevade järelevalve andmekogusse veebipõhise kasutajaliidese kaudu või andmekogude andmevahetuskihi kaudu teisest riigi, kohaliku omavalitsuse üksuse või muu avalik-õigusliku isiku andmekogust. Põhimääruse eelnõu § 4 lõige 2 loetleb riigi andmekogud, kust infosüsteem andmeid infosüsteemide andmevahetuskihi kaudu saab, mistõttu jääb arusaamatuks, miks on vaja uuesti korrata, et andmevahetus teiste andmekogudega toimub andmevahetuskihi kaudu. Küll aga soovitame andmete esitamist veebipõhise kasutajaliidese kaudu kirjeldada andmete esitajaid puudutavas sättes (vt eelmist punkti). 6. Eelnõu 2., 3. ja 4. peatükk sisaldavad sätteid, mis reguleerivad vastavasse andmebaasi andmete esitamist ja nende õigsuse tagamist. Läbivalt on nendes sätetes toodud välja vastutava töötleja kohustus andmete vastavasse andmebaasi kandmiseks (§ 9 lõige 1, § 16 lõige 3, § 22 lõige 3) ning kohustus tagada kantud andmete õigsus (§ 16 lõige 4, § 22 lõige 4). Samuti vastutava töötleja õigus esitatud andmeid kontrollida ja kohustus nõuda andmete esitajalt täiendavat teavet (§ 10 lõige 2, § 16 lõige 7, § 22 lõige 7) ning õigus jätta teabe õigeaegsel mittesaamisel esitatud avaldus rahuldamata (§ 10 lõige 4, § 16 lõige 8, § 22 lõige 8). Tegemist on vastutava töötleja õiguste ja kohustuste korduva kirjeldamisega erinevates põhimääruse sätetes. Soovitame kaaluda vastutava töötleja ülesannete koondamist eraldi sättesse. 7. Eelnõu § 10 lõike 5 järgi logitakse laevade järelevalve andmekogu andmetega tehtavad toimingud. Samas ei nähtu eelnõust, kas infosüsteemi kuuluvate teiste andmebaaside puhul üldse toimub logimist ja kui toimub, siis milliseid tehtud toiminguid logitakse ning mida logi sisaldab. 8. Kui põhimääruse eelnõu § 23 lugeda, siis ei ole selge millistele andmetele ja kellel juurdepääsu võimaldatakse. Lõike 1 järgi on väljastatud tunnistuste kehtivuse ning registriosa andmed laeva ja laeva omaniku kohta avalikud, kuid ülejäänud andmete osas jääb juurdepääsu ulatus selgusetuks. § 23 lõigetes 3 ja 4 on küll loetletud asutused, millel on oma ülesannete täitmiseks juurdepääs infosüsteemi kantud 2 (3)  andmetele, kuid ei ole täpsustatud juurdepääsu ulatust. Andmekogude kontekstis on AKI eesmärk alati püüelda selle poole, et andmekogu reguleerivaid sätteid lugedes oleks lihtsalt, kiirelt ja üheselt võimalik aru saada, miks mingeid andmeid kogutakse, kuhu neid kogutakse, milliseid andmeid kogutakse ja kellega neid jagatakse. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Koostas: Terje Enula, [email protected], telefon 627 4144 3 (3)