Arvamus eelnõudele

Lp Andres Sutt Teie: nr Majandus- ja Kommunikatsiooniministeerium [email protected] Meie: 06.06.2022 nr 1.2.-4/22/1439 Arvamus Vabariigi Valitsuse määruse eelnõule „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ ning ettevõtlus- ja infotehnoloogia ministri määruse eelnõule „Eesti infoturbestandard“ Austatud minister Andmekaitse Inspektsioonil on võrgu ja infosüsteemide küberturvalisuse määruse eelnõule järgmised tähelepanekud ja ettepanekud: 1. Eelnõu § 17 kohustab kasutajat rakendama täiendavaid konfidentsiaalsusmeetmeid sh krüpteerimist, kui pilvsüsteemis töödeldakse avaliku teabe seaduse (AvTS) § 35 lõike 1 punktides 31, 4, 5, 51, 52, 6, 61, 62, 9 või 181 loetletud AK teavet. Loetelu punkt 9 puudutab teatavasti teavet turvasüsteemide, turvaorganisatsiooni või turvameetmete kirjelduse kohta. Selle punkti alla minevat sisu kirjeldavad üldjuhul andmetöötlejad ka andmekaitse inspektsioonile saadetavates rikkumisteadetes. Rikkumisteavitustega seotud teabele rakendub täna piirangu alusena AvTS § 35 lõige 1 punkt 182 st teave isikuandmetega seotud rikkumisest teavitamise kohta. Kuna AvTS § 35 lõige 1 punkt 9 ja punkt 182 alusel kirjeldatud teave võib olla kattuva sisuga, teeme ettepaneku lisada eelnõu § 17 lõikes 1 olevasse AK aluste loetelu ka AvTS § 35 lõige 1 punkt 182. 2. Eelnõu § 18 lõige 1 paneb kasutajale kohustuse edastada või tagada juurdepääs Riigi Infosüsteemi Ametile (RIA) pilvandmetöötlusteenuse kasutamisega kaasnevatele logidele. Eelnõu seletuskirja kohaselt tuleks sama määrust koosmõjus RIA põhimäärusega pidada RIA-le sobivaks õiguslikuks aluseks kasutaja logide töötlemiseks, kui kasutaja logid sisalduvad isikuandmeid. Leiame, et õiguslik alus RIA-le logide töötlemiseks peab olema siiski kirjas seaduses. Näiteks küberturvalisuse seaduses. Logid on oma olemuselt väga mahukad. Seda enam, et eelnõu ei välista edaspidi ka andmekogude pidamist avalikes pilvsüsteemides. Kohalduma peaks sarnane põhimõte kui on riikliku nõusoleku teenuse puhul, kus nõusolek annab riigi- või omavalitsusasutusele õigusliku aluse eelkõige andmete väljastamiseks. Andmeid saav organisatsioon peab aga edasise andmetöötluse puhul tuginema uuele õiguslikule alusele. Kokkuvõtvalt – eelnõu § 18 lõige 1 saab olla kasutajale õiguslikuks aluseks logide edastamiseks või juurdepääsu andmiseks RIA-le. Õiguslik alus saadud logide töötlemiseks sh säilitamiseks peab RIA-le tulema aga seadusest. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 3. Sarnaselt meie arvamuse p 1 selgitusele, teeme ettepaneku lisada eelnõu § 18 lõige 2 punkti 1 AK aluste loetellu ka AvTS § 35 lõige 1 punkt 182. 4. Eelnõu § 18 lõige 2 punkt 2 kohaselt tohib Eesti infoturbestandardi kohase kaitsetarbe vähemalt S (suur) puhul kasutada ainult sellist pilvsüsteemi, mis võimaldab kasutajatele pilvelogidele juurdepääsu. Teeme ettepaneku mitte piirduda ainult suure kaitsetarbe juhuga, vaid rakendada pilvsüsteemi logidele juurdepääsu nõuet juba alates kaitsetarbest N (normaalne). Põhjendame ettepanekut sellega, et juba normaalse kaitsetarve puhul võib tegemist olla isikuandmete töötlemisega. Selleks, et eelnõu harmoniseeruks selgemalt juba kehtiva andmekaitse raamistikuga sh isikuandmete kaitse üldmääruse (IKÜM) artiklitega 5, 32 ja isikuandmete kaitse seaduse § 36, on logide pidamine (või juurdepääs nendele) andmekaitsenõete täitmiseks möödapääsmatu. Ettevõtlus- ja infotehnoloogia ministri määruse eelnõuga kehtestatavale Eesti infoturbestandardile (E-ITS) on meil järgmine tähelepanek: 1. Eelnõule lisatud E-ITS 2021 versiooni etalonturbe meetmete kataloogis käsitletakse 10 meetme puhul ka andmekaitsespetsialisti (AKS) rolle. 9-l juhul on AKS-le pandud lisavastutaja kohustus. Meetme CON.2: Isikuandmete kaitse puhul on AKS-le määratud põhivastutus. Juhime tähelepanu, et E-ITS ei saa käsitleda andmekaitset laiemate kohustustega kui on kirjas IKÜM artiklites 38 ja 39. Ehk, vastutus andmekaitsenõuete täitmise eest saab olla ainult organisatsiooni juhtkonnal. Vastavalt IKÜM-le peab AKS küll olema andmekaitselistesse protsessidese kaasatud, kuid eelkõige teavitavas, nõustavas rollis. Teeme ettepaneku standardi vastavad meetmed üle vaadata ja AKS-le kohalduvad kohustused ümber sõnastada kooskõlas IKÜM-ga. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Urmo Parm 627 4143 [email protected] 2 (2)