Arvamuse avaldamine

Teie: 16.12.2025 nr JDM/25-1413/-1K Justiits- ja Digiministeerium Suur-Ameerika 1, 15006 Tallinn Meie: 15.01.2026 nr 5-7/25/113-7 [email protected] Isikuandmete kaitse seaduse ja teadus- ning arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse eelnõu kooskõlastamine Justiits- ja Digiministeerium esitas Kaitseministeeriumile kooskõlastamiseks isikuandmete kaitse seaduse (IKS) ja teadus- ning arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse eelnõu (edaspidi eelnõu). Kaitseministeerium kooskõlastab eelnõu meie märkustega arvestamisel. 1. Palume õigusakti ja seletuskirja tasandil selgitada, milline on sätte isikuline kohaldamisala, ehk kas IKS §-le 6 tuginemine on planeeritud sätestada kodanikuõigusena või on säte käsitletav igaüheõigusena (sh kolmandate riikide kodanike õigusena). Näiteks, kas riigiasutustel on õigus andmete väljastamisest keelduda, tuginedes andmesubjektide eraelu kaitsele või riigi julgeolekule (nt Moskva Ülikooli tudengi läbiviidav uuring). Advokatuuri komisjon on Pere Sihtkapitali kaasuses1 soovitanud tuua seadusesse lisatingimused uuringufirmadele, et tagada andmete kaitstus poliitiliselt, religioosselt või filosoofiliselt motiveeritud ühingute eest, kelle kavatsused võivad olla vähemasti küsitavad. Kehtiv õigus ning eelnõu selliseid lisatingimusi ei sätesta, seega puudub rakendajal alus andmete väljastamisest keelduda, kui uuringu läbiviija motiivid ei ole selged. 2. Eestis on paljud isikuandmed avalikud läbipaistvuse huvides ning isikuandmete avalikustamise puhul peavad vastavad sätted olema ette nähtud seadusega. Isikuandmete avalikustamine on suur põhiõiguste riive, kuna avalikustatud andmete puhul pääseb andmetele ligi põhimõtteliselt igaüks. Seega kaotab andmesubjekt kontrolli oma andmete üle2. Ühiskonnas on alanud debatt selle üle, kas õigusaktide alusel on avalikustatud liialt isikuandmeid, mille avalikult kättesaadavust on asunud ära kasutama küberkurjategijad ning samuti võib kättesaadav teave olla vaenuliku riigi julgeolekuteenistuse tööriistaks kübermaailmas sihitatud rünnete tegemisel. Kaitsevägi teeb ettepaneku sõnastada säte selliselt, et andmesubjekti nõusolekuta isikuandmete, sh eriliiki isikuandmete töötlemisel on pseudonüümimine või samaväärset kaitset pakkuva meetme kasutamine kohustuslik, välja arvatud juhul, kui see muudab uuringuga planeeritud saavutatavat eesmärki. Erisuse kasutamisel on uuringu läbiviijal kohustus lähtuda IKS § 6 lõigetest 6 ja 7. Sätte praegune sõnastus annab uuringu läbiviijale liialt laia kaalutlusõiguse, mida toetab ka sätte seletuskiri („kui asjaolud võimaldavad, tuleb enne uuringu tegemist andmed pseudonüümida“). Isikuandmete vastutaval töötlejal tuleb tagada ja veenduda, et uuringu eesmärgil isikuandmete üleandmisel ning enne nende töötlemise alustamist, et 1 Advokatuuri komisjon: Pere Sihtkapitali lastetute naiste uuringu audit väärib ausamat kajastust - Eesti Advokatuur 2 Avalikud isikukoodid aitavad kaasa kelmide tegevusele | Eesti | ERR Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502  töötlemisel järgitaks kõiki isikuandmete kaitse nõudeid, sh vältida olukordi, kus ka anonüümsete andmete kirjeldustest on võimalik isikuid tuvastada (sõltuvalt valimi väiksusest ning uuringu teemast võivad isikud olla tuvastatavad muude parameetritega). Samuti ei pruugi ülikooli uurimistöö kirjutaja omada piisaval määral tehnoloogilisi turvameetmeid, et kaitsta talle teadustöö koostamise raames edastatud isikuandmeid, sh eriliiki isikuandmeid. Isikuandmete kaitse üldmääruse (IKÜM) art 9 lg 2 punkti j kohaselt tuleb tagada sobivate ja konkreetsete meetmetega andmesubjekti põhihuvide ja õiguste kaitse. Kuna andmekogu omanik ei saa anda hinnangut uuringu läbiviija poolt kasutatavate andmetöötluse meetmete turvalisusele, nt ülikooli üliõpilase poolt uuringu läbiviimiseks kasutatava seadme ja selles tehtava andmetöötluse turvalisusele, teeme ettepaneku kehtestada just sellistes olukordades isikuandmete kaitset pakkuvate meetmete kohustuslikkus ning määrusega kehtestada sarnaselt IKS § 61 lõikele 4 vastutava ministri määrusega tehniliste turvameetmete loetelu. Andmekogu omanikul, aga ka Andmekaitse Inspektsioonil (AKI) või eetikakomiteel puudub võimalus veenduda teadus- ja ajaloouuringu teostaja tehniliste seadmete andmekaitse tasemes, kui puuduvad kriteeriumid selle hindamiseks. 3. Eelnõus sõnastatud IKS § 6 lõike 3 punkt 2 sätestab ühe kohustusliku meetmena, et „uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada“. Palume täpsustada, milliseid toiminguid ning kelle poolt antud sätte puhul on silmas peetud. 4. IKS § 6 lõikega 4 luuakse eelnõus alternatiivne lahendus olukorraks, kus eri andmekogude andmed isikustatud kujul ühendada, aga puudub võimalus eri andmekogudes andmed nt sarnase metoodika järgi pseudonüümida. Sellisel juhul on võimalus kasutada Statistikaameti vahendusel andmete ühendamist ja pseudonüümimist. Seletuskirjast ei selgu, millised on turvalised edastusviisid või tehnilised meetmed andmemassiivide edastamiseks Statistikaametile teenuse osutamiseks. Palume selles osas seletuskirja täiendada. 5. Eelnõukohase IKS § 6 lõike 5 kohaselt ei pea olukorras, kus uuringus töödeldakse andmeid nii, et on täidetud lõikes 3 sätestatud tingimused, eelnevalt taotlema eetikakomitee hinnangut, küll aga tuleb enne isikuandmete töötlemist uuringus teavitada uuringu eesmärkidest, töödeldavatest andmetest ja IKS § 6 lõike 3 tingimuste täitmisest AKI-t. Samas toob seletuskirja p 2 välja: „siinse eelnõuga allutatakse kõik uuringud eetikakomitee hindamisele“. Samas IKS § 6 lg 9 välistab AKI ja eetikakomitee kaasamise kohustuse. Palume selguse huvides üle vaadata sätete ja seletuskirja mõtete kattuvus. Lisaks palume selgitada, kas eetikakomitee hinnang kätkeb endas hinnangut ka andmekaitsealastele aspektidele, sh andmetöötluse tehnilisele korraldusele? 6. Kaitseväes läbi viidud uuringute üle peab arvestust Kaitseväe Akadeemia rakendusuuringute osakond, avaldades läbi viidud uuringute loetelu oma kodulehel. Kas IKS § 6 muudatusega on planeeritud Kaitseväe Akadeemia ja teiste kõrgkoolide juures läbi viidud uuringud koondada tänastest andmebaasidest teabeväravasse, arvestades seejuures teabele kehtestatud juurdepääspiiranguid? Kas säte omab tagasiulatuvat mõju või millisest hetkest alates on AKI lehel ning teabeväravas uuringuid kajastav info planeeritud avaldama asuda? Palume selles osas seletuskirja täiendada. 7. Eelnõukohane IKS § 6 lõige 6 annab võimaluse uuringu teostamiseks isikustatud isikuandmetega juhul, kui tegija põhjendab, et tegemist on ülekaaluga avaliku huviga. Käesoleva sätte mõistes vajab detailsemat sisustamist mõiste „avalik huvi“ (kas avalikule huvile saab tugineda nt isikustatud kujul uuringu läbiviimisel, mille eesmärk on uurida suitsiidide põhjuseid Politsei- ja Piirivalveameti/Kaitseväe teenistujatel). Samuti palume kaaluda, kas punktis 2 toodud näidete puhul (Moskva Ülikool või tundmatu taustaga uuringufirmad) saab uuringut läbiviiv organisatsioon tugineda avaliku huvi sättele. Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502 8. Paragrahvi 6 lõige 10 sätestab võimaluse jätta IKS § 6 kohaldamata, kui uuringu eesmärgid ja isikuandmete töötlemise ulatus tuleneb seadusest. Kaitseväe korralduse seadus ja Kaitseväeteenistuse seadus loovad Kaitseministeeriumi valitsemisalas õiguslikud alused isikuandmete töötlemiseks. Küll aga ei too kehtiv õigus eraldi välja kogutud andmete põhjal asutuse enda tarbeks statistika või andmete pealt analüüside koostamist. Eelnõukohase IKS § 6 seletuskiri selgitab: statistiline eesmärk tähendab kõiki isikuandmete kogumise ja töötlemise toiminguid, mis on vajalikud statistikauuringuteks või statistika koostamiseks. Sama lai on IKÜM 159 põhjenduspunkti tõlgendus, mis annab teadusuuringu eesmärgil isikuandmete töötlemisele laia ampluaa. Palume täpsustada, kas lõike 10 kohaselt tuleb näiteks Kaitseväe või Kaitseressursside Ameti sisestest kogutud isikuandmete pealt tehtavatest, aga ka Kaitseväe Akadeemias õpingute raames läbiviidavates uuringutest teavitada AKI-t ja eetikakomiteed, kui isikuandmete töötlemine statistilisel eesmärgil või uuringute läbiviimiseks ei ole eraldi seaduses välja toodud, kuid on vajalikud näiteks juhtimisalaste otsuste tegemiseks, või saab sellistel puhkudel tugineda IKS § 6 lõikele 7. 9. Seletuskiri markeerib: „Tuleb silmas pidada, et ka tehisaru arendamine on osa tehnoloogiaarendusest ning ka tehisaru andmetöötlusele kohaldub IKS § 6 juhul, kui tehisaru arendamisel soovitakse kasutada isikuandmeid“. Teeme ettepaneku vähemalt seletuskirja tasandil välja tuua, millised andmetöötluspiirangud on sätestanud tehisintellekti määruse kohaselt isikuandmete kasutamise. Vastasel korral võib seletuskirja lugedes jääda rakendajale arusaam, et tehisaru arendamiseks on isikustatud isikuandmete kasutamine lubatud tingimusteta, kuid mõnel juhul on enne tehisaru kasutamisele võttu vajalik läbi viia mh mõjuhinnang. IKÜM kohaselt on andmekogu omanik, kes tehisaru arendajale andmeid edastab, vastutav töötleja, kelle kohustus on tagada andmete töötlemise turvalisus ka volitatud töötleja juures. Kaitseministeeriumi hinnangul on vaja kokku leppida tehisaru arendamiseks isikustatud andmete edastamise põhimõtted ning teabe kaitse meetmed. Lisaks markeerime, et teatud juhtudel võib vajada andmete edastamine tehisaru arendamiseks pädeva asutuse hinnangut riigi julgeolekule. Oluline on tehisintellektiga andmetöötluses eristada asutusesisest tehisaru treenimist avalikult kättesaadavast tehisarust, kuhu isikuandmete sisestamine ei ole lubatud ka teadustöö või uuringu koostamise abistava lahendusena mistahes uuringu läbiviimise etapis. Riigiasutuste konsolideerimine on toonud kaasa olukorra, kus erinevad asutused töötlevad teavet teise asutuse jaoks ja teise asutuse, mh teenistujate kohta. Kaitseministeeriumile, Kaitseväele ja Riigi Kaitseinvesteeringute Keskusele osutab personaliteenust Kaitseministeeriumi valitsemisalasse kuuluv Kaitseressursside Amet. Samas töötleb asutus teavet, mis on oma olemuselt teise asutuse teave (näiteks Kaitseväe rahu- ja sõjaaja isikkoosseis on Kaitseväe inimvara). Sellistes olukordades võib vastav asutus olla küll teabe omanik, kuid isikuandmete töötleja mõistes volitatud töötleja või teabesaaja rollis. Andmete omanikule (teatud juhtudel jääb isikuandmete volitatud töötleja roll), peab jääma õigus läbi regulatsioonide ja ohuhinnangute hinnata ning otsustada andmete väljastamise üle. Teeme ettepaneku õigusakti tasandil kehtestada kohustus sellistes olukordades enne uuringu läbiviijale isikustatud kujul (näiteks IKS § 6 lg 6 alusel avalik huvi) andmete väljaandmist kooskõlastada andmete edastus volitatud töötlejaga, kui selline andmetöötlus võib seada ohtu riigi julgeoleku. Lugupidamisega (allkirjastatud digitaalselt) Hanno Pevkur minister Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502