Kiri

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Indrek Saar Teie: 05.11.2018 nr 1-11/2141-1 minister Kultuuriministeerium Meie: 22.11.2018 nr 1.2.-4/18/3500 [email protected] Eelnõule arvamuse avaldamine Tänan, et esitasite mulle arvamuse avaldamiseks spordiseaduse ja tulumaksuseaduse muutmise seaduse eelnõu. Seoses esitatud eelnõuga on mul järgnevad märkused ja tähelepanekud. Spordiseaduse ja tulumaksuseaduse eelnõu 1. Eelnõu § 1 punkt 1 1.1. Vastava punktiga soovitakse reguleerida aspekt, et spordiorganisatsioonil, spordikooli pidajal, spordi andmekogu vastutaval ja volitatud töötlejal on „spordi eripära arvestades õigus koguda ja töödelda […] spordiühenduse veebilehel avalikustatud võistluskalendris kajastatud võistlustel saavutatud sporditulemuste andmeid vastava spordiala litsentseeritud sportlaste osas“. 1.2. Samas ei selgu eelnõust, mis on selle isikuandmete töötlemise eesmärk – eelnõu seletuskiri, mis peaks abistama seaduse mõistmist, selgitab kaudselt seda eesmärki: andmetöötleja saaks sporditulemuste andmeid koguda ning esitleda neid avalikkusele ilma litsentseeritud sportlase nõusolekuta. Muudel juhtudel tuleb küsida inimeselt nõusolek. 1.3. Märgin, et seadusnorm peab olema piisavalt selge, et oleks aru saada, mis eesmärgil toimub mingi konkreetne isikuandmete töötlemine. Märgitud sätte puhul see ei ole üheselt selge, ennekõike normi teksti tõttu. Praegusel juhul tundub justkui see isikuandmete töötleja saaks õiguse koguda ning enda asutuse/ettevõtte sees töödelda sporditulemuste andmeid, mis on spordiühenduse veebilehel avalikustatud. 1.4. Lisaks märgin, et seletuskirjast avaldub mõte/soov, et sporditulemusi võidakse avalikustada ilma litsentseeritud sportlase nõusolekuta, kuid puudub selgus, kui kaua neid andmeid võidakse avalikustada. Isikuandmete töötlemises kehtib põhimõte, et kui konkreetne isikuandmete töötlemise eesmärk (nt sporditulemuse avalikustamine) langeb ära, siis tuleb isikuandmete töötlemine lõpetada (st lõpetada sporditulemuste avalikustamine ning kustutada need andmed). Samas ei selgu eelnõust, kui kaua toimuks selline isikuandmete avalikustamine. Selline avalikustamine ei saa olla ka tähtajatu. 2. Eelnõu § 1 punkt 2 – uus spordiseaduse § 61 lõike 1 tekst 2.1. Pakutud spordiseaduse § 61 lõike 1 tekst on järgnev: „Valdkonna eest vastutav minister asutab riigi infosüsteemi kuuluva spordi andmekogu, mille põhieesmärk on sporditegevuse korraldamise, juhtimise ja toetamise ning sporditegevuses osalemise tõhustamiseks ja sporditegevuses osalejate ohutuse tagamiseks andmete kogumine ja töötlemine.“ 2.2. Valdavalt on spordi andmekogu pidamise eesmärgid samad, mis on ka kehtivas spordiseaduses. Samas on lisandunud ühe eesmärgina „sporditegevuses osalejate ohutuse tagamiseks“ andmete kogumine, kuid eelnõu seletuskirjast ei ole üheselt aru saada, mida on mõeldud „ohutuse tagamise“ all. Väike-Ameerika 19 / 10129 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 3. Eelnõu § 1 punkt 2 – pakutud spordiseaduse § 61 lõike 2 tekstiga laiendatakse spordi andmekogu pidamise eesmärki erinevate toimingute tegemiseks. Samas ei ole eelnõu seletuskirjas kõiki tehtavaid toiminguid ning asjaolusid ära selgitatud – nt mis põhjusel edastatakse harrastajate andmeid Eesti Haigekassale „terviseuuringute vajaduse üle otsustamiseks“ jne. 4. Spordi andmekogule juurdepääs - eelnõu seletuskirjas (lk 29) on märgitud, et harrastajate alamandmekogu andmed oleksid juurdepääsupiiranguga. Samas ei ole selgust seletuskirjast, mis oleks piiratud teabe juurdepääsupiirangu aluseks. 5. Eelnõu kohaselt soovitakse harrastajate arvudel põhinev andmete kogumine edaspidiselt muuta isikupõhiseks. Samas ei olnud seletuskirjas lisa 1 (mõjuhinnang) teavet selle kohta, kas ning millised riskid on andmesubjektile, kui sisuliselt riik hakkab teada saama isikupõhiselt, millistes sporditegevustes ta osaleb või tegutseb. See on oluline ka olukordades, kus tuleb hinnata, kellele kogutud teavet välja antakse – nt kui kindlustused hakkaksid soovima saada juurdepääsu inimese spordi tegelemisega seotud teabele, siis see mõjutaks nende kindlustusmakseid ning seeläbi ka muud elukorraldust. Märgin, et juba varasemalt on kindlustused soovinud ülemäärast juurdepääsu terviseandmetele, kuid nii inspektsiooni kui õiguskantsleri vastuseisu tõttu jäi see seadusemuudatus ära. Sporditulemuste andmebaasi info kandmine spordiregistrisse 6. Kevadel saadeti ka inspektsioonile sellele eelnõule eelnenud väljatöötamiskavatsus ning selles osas esitati mõningasi märkusi (11.05.2018 arvamus nr 1.2.-4/18/963). Eelnõu seletuskirjas lisas nr 2 ehk kooskõlastustabelis märgitakse (lk 11), et sporditulemuste andmebaas ei ole riiklik andmekogu ning ilmneb, et seda hetkel haldab Spordikoolituse ja –Teabe SA ning Kultuuriministeerium soovib, et „kõnealuste andmete töötlemise aluseks oleks spordiseadusega sätestatud alus ning olemasolevad andmed kantakse üle spetsiaalsesse sporditulemuste alamandmekogusse, mida saaksid kasutada kõik, kes seda teavet vajavad.“. 7. Kordan üle, et kui see sihtasutus on varasemalt mingeid andmeid kogunud ning töödelnud kogutud (isiku)andmeid, siis peab olema selge ning analüüsitud, kas on võimalik muuta nende andmete töötlemise õiguslikku alust. 8. Näiteks: kui hetkel kogutakse „sporditulemuste andmebaasi“ andmeid isiku nõusolekul, siis ei ole riigil võimalik asuda andmesubjekti asemele ning nö ühepoolselt muuta nõusoleku tingimusi ehk kanda sporditulemused spordiregistrisse. Eesti spordiregistri asutamine ja registri pidamise põhimäärus (eelnõu lisa 3; edaspidi: põhimääruse kavand) 9. Põhimääruse kavandi § 2 lõike 1 määratleb ära, mis on spordiregistri pidamise põhieesmärk. Samas on see põhieesmärgi sõnastus tunduvalt laiem kui eelnõu § 1 punkt 2 seda määratleb – vt pakutud spordiseaduse § 61 lõike 1 sõnastust ning lisaks ka lõike 2 sõnastust. 10. Põhimääruse kavandi § 5 säilitab kehtiva olukorra, sh et spordiregistri andmete turbeaste on madal (L) ning andmekogu turvaklass on K1T1S1. Samas eelnõu seletuskirjas (lk 31, 36) on öeldud, et ISKE turvaklassi tõstetakse, kuid vastavaid muudatusi ei tehtud põhimääruse kavandis. 11. Põhimääruse kavandi § 11 lõike 2 kohaselt on spordiregistrisse kantavate andmete koosseisud alamandmekogude kaupa esitatud määruse lisas 1. Samas ei olnud eelnõu lisadesse märgitud põhimääruse lisa, mis sätestaks ammendava koosseisu spordiregistri andmetest. Seetõttu ei ole ka võimalik hetkel anda arvamust, kas kavandatav andmete töötlemine arvestab isikuandmete kaitse minimaalsuse ja eesmärgipärasuse põhimõtteid. 12. Põhimääruse kavandi § 16 lg 1 p 3 viitab, et spordiregister saab andmeid riigi- ja kohaliku omavalitsuse asutuste riiklikust registrist. Samas on see andmekogu nüüdseks äriregistri juures. 13. Põhimääruse kavandi § 23 lõige 15 määratleb ära, kui kaua spordiregistrisse kantud andmeid säilitatakse peale arhiveerimise toimumist. Samas ei ole seletuskirja ega muud teavet, mis aitaks mõista, miks vastavaid säilitustähtaegasid soovitakse kehtestada. Seetõttu 2 (3)  ei ole võimalik anda ka hinnangut, kas tegemist on kohaste säilitamistähtaegadega. 14. Põhimääruse kavandi § 23 lõige 16 määratleb ära, et säilitamistähtaja möödudes isikuandmed kustutatakse või anonüümitakse. Kuna puudub seletuskiri ning ka muu teave anonüümimise kohta, siis ei ole võimalik anda hinnangut, kas kavandatav anonüümimine on kohane või mitte. 15. Põhimääruse kavandi § 23 lõige 17 määratleb ära, et sporditulemuste andmeid hoitakse alatiselt. Juhin tähelepanu, et Rahvusarhiiv ei ole hinnanud spordiregistrit arhiiviväärtuslikuks ning puudub ka selged põhjendused, miks on vajalik neid andmeid hoida alatiselt ning sisuliselt kõigile avalikuks. Seetõttu ei ole võimalik anda ka hinnangut, kas kavandatav säilitamistähtaeg on kohane või mitte. 16. Põhimääruse kavandi § 25 lõige 4, § 26 lg 1 ning § 28 viitavad hetkel kehtivale isikuandmete kaitse seadusele. Alates maist 2018 on jõustunud isikuandmete kaitse üldmäärus, mistõttu peatselt tunnistatakse ka kehtetuks Eesti isikuandmete kaitse seadus. 17. Põhimääruse kavandi § 26 lg 3 määratleb ära, mis teave on juurdepääsupiiranguline teave, kuid puuduvad selgitused, mis oleksid nende andmete juurdepääsupiirangute alused avaliku teabe seaduse § 35 järgi. Seda enam, et juurdepääsupiiranguga teave olevat „treeneri, treenerikutse taotleja ja sporditegevust juhendava treenerikutseta isiku üldandmed, välja arvatud isiku eesnimi, perekonnanimi, elukoha ja kontaktaadressi maakond ja omavalitsus (põhimääruse kavandi § 26 lg 3 punkt 8)“. Allakriipsutatud osa annaks justkui mõista, et see teave ei ole juurdepääsupiiranguga. 18. Põhimääruse kavandis puudub teave logimise korraldamise kohta ning kas ning kuivõrd tihti vastutav töötleja ise teostab logide kontrolli. Selles osas soovitan tutvuda andmekogude juhendi peatükiga 4.5. Muud märkused 19. Väljatöötamiskavatsuse raames märkis inspektsioon, et toonases väljatöötamiskavatsuses ei olnud teavet, millise põhiseaduse § 26 lõikes 2 toodud piirklausli alusel toimub eraelu riive. Eelnõu seletuskirjas lisas nr 2 märgitakse (lk 12) järgnevat: „PS koosmõjus isikuandmete kaitse üldmääruse artikli 6 lõike 1 punktiga e kannab mõtet, et isikuandmete töötlemine on võimalik seadusega või seadusel alusel antud õigusaktiga, kui see on vajalik avalikes huvides oleva ülesande või avaliku võimu teostamiseks.“ Nõustun, et isikuandmete kaitse üldmäärus lubab avalikul sektoril töödelda isikuandmeid, kui see on vajalik avalikes huvides oleva ülesande või avaliku võimu teostamiseks, kuid põhiseaduse § 26 lg 2 määratleb ära konkreetsed juhtumid, millal riik saab sekkuda inimeste eraellu. Samas ei ole eelnõu seletuskirjast ega selle lisas 1 (andmekaitsealane mõjuhinnang) selle riive lubatavuse kohta teavet. 20. Seoses esitatud eelnõuga märgin, et kui eelnõu on vastu võetud, siis tuleb teha ka sellekohased muudatused riigi infosüsteemide haldussüsteemis. Inspektsiooni võrgulehel on teave, mida inspektsioon sellega seotud kooskõlastamiste korral hindab – leitav: http://www.aki.ee/et/avalik-teave/andmekogude-kooskolastamine. Viimane kooskõlastus spordiregistriga toimus 2014. aastal. Lugupidamisega /allkirjastatud digitaalselt/ Raavo Palu õigusdirektor peadirektori ülesannetes 3 (3)