Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Liisa-Ly Pakosta Teie 01.05.2026 nr 8-1/3533-1 Justiits- ja Digiministeerium [email protected] Meie 26.05.2026 nr 2.3-4/26/1858-2 Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks avaliku teabe seaduse ja teiste seaduste muutmise eelnõu. Meil on esitatud eelnõu osas järgmised tähelepanekud. 1. Eelnõu § 1 punktiga 9 täiendatakse AvTS § 435 lõikega 3, mille kohaselt tuleb lisaks Vabariigi Valitsuse reglemendi § 6 lõike 1 kohasele kooskõlastusele andmekogude põhimäärused kooskõlastada Andmekaitse Inspektsiooniga, Maa- ja Ruumiametiga, Statistikaametiga ning Riigi Infosüsteemi Ametiga. Seletuskirjas on selgitatud, et selline kaasamine aitab tagada andmekogude põhimääruste koostamisel ühtse ja siduva kooskõlastuskorra ning kaasata varakult vastavad asutused, aidates ühtlasi ennetada hilisemaid õiguslikke ja sisulisi puudujääke, suurendada õigusselgust ning toetada andmekogude korrektset ja kooskõlalist kujundamist kogu avalikus sektoris. Samas jääb ebaselgeks, kuidas selline kooskõlastamise protsess hakkab toimuma, sh ei ole selge, millised andmekogu puudutavad dokumendid tuleb kooskõlastajatele kättesaadavaks teha, millised on kooskõlastamata jätmise tagajärjed, kuidas lahendatakse eriarvamused jms. Nagu oleme varasemalt korduvalt selgitanud, siis on Andmekaitse Inspektsioonil juba täna õigus oma arvamuse esitamiseks nii RIHA-s kui ka eelnõude osas, kuid puuduvad hoovad, mis sunniks tehtud märkuste ja soovitustega arvestama ning puudusi kõrvaldama. Juhul kui siin mingeid muudatusi ette ei nähta, siis võib juhtuda, et üks mittetoimiv süsteem asendatakse lihtsalt teise mittetoimiva süsteemiga. 2. Eelnõu § 1 punktiga 10 tunnistatakse kehtetuks AvTS § 439 lõike 1 punkt 6 seoses RIHA kooskõlastamisprotsessi ja süsteemi kaotamisega. Eelnõu seletuskirjas on selgitatud, et tänane RIHA-s olev info migreeritakse andmete teabeväravasse. Samas puudub eelnõus säte, mis kohustaks vastutavaid töötlejaid RIHA-s olevat teavet andmete teabeväravasse üle viima, sh ei ole selge, millise aja jooksul seda teha tuleb. 3. Eelnõu § 1 punktidega 11 ja 12 täiendatakse AvTS 51. peatükki §-ga 4311, mille lõigete 23 ja 24 järgi edastab andmejälgijasse andmesubjektiga seotud päringu logikirjed andmeid pärinud andmekogu vastutav töötleja, kuid täiendavalt võib sama päringuga seotud logikirje esitada andmejälgijasse ka andmeid väljastanud andmekogu vastutav töötleja. Leiame, et ühe päringu kohta topelt logikirje kuvamine võib tekitada andmesubjektides segadust. Päringu logikirje esitamisel andmejälgijasse peaks päringut tegev asutus koheselt esitama kogu vajaliku teabe, sh päringu tegemise aja, eesmärgi, õigusliku aluse, päringu teinud asutuse või isiku. Vältida tuleks sama päringu logikirje topelt kuvamist. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  Sama paragrahvi lõige 25 näeb ette, et eraõiguslikule juriidilisele isikule andmete väljastamisel edastab andmejälgijasse päringu logikirje sama paragrahvi lõikes 5 nimetatud vastutav töötleja. Samas §-s 4311 puudub lõige 5. Ilmselt on silmas peetud selle andmekogu vastutavat töötlejat, kust andmeid väljastati. 4. Eelnõu § 1 punktiga 13 täiendatakse AvTS §-ga 4312. Juhime tähelepanu, et eelnõu seletuskirjas toodud lõigete numeratsioon ei ühti eelnõus toodud lõigete numeratsiooniga. Lisaks juhime tähelepanu sama paragrahvi lõikele 6, mis sätestab raamid põhimääruse kehtestamiseks, sh tuleb punkti 2 järgi põhimääruses sätestada andmekogusse kogutavate andmete täpsem koosseis. Selgitame, et andmekogu põhimäärus peab sisaldama ammendavat loetelu andmekogusse kogutavatest andmetest, mistõttu soovitame kasutada sõna „täpsem“ asemel sõna „täpne“. Vastasel juhul võib jääda ekslik mulje nagu tuleks andmekogusse kogutavat andmekoosseisu üksnes täpsustada ja mitte esitada ammendav täpne loetelu. Samuti on lõikes 6 kasutatud koos sõnu „andmekogu“ ja „infosüsteem“, millest võib välja lugeda nagu puudutaks põhimäärus infosüsteemi, kuhu riiklik postkast kuulub. Seletuskirjast nähtuvalt on siiski silmas peetud riikliku postkasti kui andmekogu põhimäärust. 5. Eelnõu § 1 punktiga 15 täiendatakse AvTS §-ga 4313, millega luuakse dokumendihalduse riikliku infosüsteemi (DORIS) õiguslik alus. Eelnimetatud paragrahvi lõikes 2 loetletakse DORIS-s töödeldavate isikuandmete kategooriad ning lõike 5 punkti 2 järgi sätestatakse täpsem andmekoosseis andmekogu põhimääruses. Samas jääb selgusetuks, kas kõik lõikes 2 loetletud kategooriatesse kuuluvate isikuandmete puhul on tegemist andmetega, mis AvTS § 435 lõike 1 kohaselt tuleb sätestada andmekogu põhimääruses kui andmekogusse kogutavad andmed ning mis peavad edaspidi kajastuma ka andmekirjeldustes. Või on siiski tegemist andmetega, mis sisalduvad üksikjuhtudel asutusse saabunud erinevates dokumentides ja ei kuulu dokumendiregistris metaandmetena säilitavate andmete hulka. Palume eelnõu ja seletuskirja selles osas kindlasti täiendada. Vastasel juhul jääb mulje, et DORIS-sse plaanitakse koguda ulatuslikult väga tundlikke andmeid ning tekib küsimus, kuidas nende andmete korrastatud kogumine DORIS-sse läheb kokku AvTS §-s 11 toodud dokumendiregistri eesmärgiga, aga ka DORIS enda eesmärgiga, milleks on asutusse saabunud ja asutuses koostatud dokumentide registreerimine ja neile juurdepääsu tagamine. Lisaks juhime tähelepanu § 4313 lõike 2 punktile 10, kus töödeldavate isikuandmete hulka on loetletud ka ärisaladus. Samuti tekitab küsimusi § 4312 lõige 4, mille kohaselt säilitatakse DORIS-s andmeid 75 aastat ning lõike 5 punkti 6 järgi sätestatakse põhimääruses kategooriate kaupa andmete säilitamise täpsemad tähtajad. Seletuskirjas on näidetena toodud avaliku teenistuse seaduses sätestatud teenistusstaaži andmete säilitamine, raamatupidamise algdokumentide säilitamine, tervisekontrolli otsuste säilitamine, tööõnnetuste ja kutsehaigustega seonduvate dokumentide säilitamine. Samas näeb arhiiviseaduse § 13 alusel kehtestatud Vabariigi Valitsuse 22. detsembri 2011. a määrus nr 181 „Arhiivieeskiri“ ette asutuse kohustuse töötada oma dokumentide liigitamiseks välja funktsioonide, struktuuri ja tööprotsesside ning nendega seotud toimingute analüüsil põhinev liigitusskeem ehk asutuse funktsioonide ja sarjade struktureeritud loetelu ning raamistik autuse dokumentide hõlmamisel ja haldamisel ning arhiivi moodustamisel. Liigitusskeemis tuleb muu hulgas määrata sarjadele säilitustähtajad. Liigitusskeemi kavand tuleb esitada kooskõlastamiseks avalikule arhiivile ehk Rahvusarhiivile. Antud juhul jääb aga selgusetuks, kas andmekogu põhimääruses säilitustähtaegade sätestamise eesmärk on avaliku arhiiviga kooskõlastatud dokumentide liigituskeemi täiendamine või vastupidi. Seletuskirjas seda selgitatud ei ole, 2 (4)  mistõttu vajab seletuskiri kindlasti täiendamist. Seoses DORIS-ga jääb selgusetuks ka andmejälgijaga liidestumine. Nimelt näeb AvTS § 4311 lõige 21 ette, et andmejälgijaga liidestumine on kohustuslik kõigi infosüsteemide andevahetuskihiga liidestatud andmekogude pidamisel. Ilmselt liidestatakse ka DORIS andmevahetuskihiga, mis tähendab kohustust liidestuda ka andmejälgijaga. Samuti jäi Justiits- ja Digiministeeriumi (JDM) suulistest selgitustest kõlama, et andmejälgijaga liidestumise kohustus laieneb ka dokumendiregistrile. Arvestades, et tegemist on riigiülese dokumendihaldussüsteemiga, siis jääb selgusetuks, milliseid DORIS-s tehtud päringuid hakatakse andmejälgijas kuvama. 6. Eelnõu § 1 punktiga 16 muudetakse AvTS § 45 lõiget 1 selliselt, et Andmekaitse Inspektsioonil on õigus teha haldusjärelevalvet ka andmekogude vastutavate töötlejate üle avaandmete ja andmekirjelduste avalikustamisel ja kättesaadavaks tegemisel. Seletuskirjas on selgitatud, et muudatus on vajalik selleks, et AKI-l oleks sõnaselgelt õigus teostada haldusjärelevalvet selle üle, kas teabevaldaja on avaandmete ja andmekirjelduste avalikustamist puudutavad kohustused täitnud ehk need Eesti teabevärava kaudu kättesaadavaks teinud. Jätkuvalt jääb segaseks Andmekaitse Inspektsiooni haldusjärelevalve ulatus. Väljatöötamiskavatsuse (VTK) kooskõlastustabelis toodud JDM seisukohast nähtuvalt on andmekirjelduste kvaliteedi ja asjakohasuse osas järelevalve teostamine Statistikaameti ülesanne ning Andmekaitse Inspektsiooni roll seisneb järelevalves avalikustamise riskide osas, suunates asutusi kas oma andmeid rohkem avalikustama või piirama. Siiski jääb ebamääraseks, milline on Statistikaameti ning milline Andmekaitse Inspektsiooni roll seoses avaandmete ja andmekirjelduste avalikustamise ja kättesaadavaks tegemisega. Ilmselt vajab järelevalvet puudutav osa täiendamist selliselt, et oleks üheselt selge, milline on kummagi asutuse roll järelevalve teostamisel. Samuti ei saa nõustuda VTK kooskõlastustabelis toodud JDM seisukohaga, et järelevalvepädevus avaandmete osas ei tähenda vastuolu. Oleme jätkuvalt seisukohal, et olukorras, kus Andmekaitse Inspektsioon peab ühelt poolt hakkama järelevalvemenetluse raames hindama avalikustamise riske ja suunama asutusi oma andmeid, sh isikuandmeid rohkem avalikustama ning teisalt lahendama avalikustamisega seotud vastuväiteid, on tegemist vastandlike rollidega. See aga tähendab, et lisaks töökoormuse märgatavale suurenemisele seoses plaanitavate muudatustega tekib vajadus ka inspektsiooni töö laialdasemaks ümberkorraldamiseks ja strukturaalsete muudatuste tegemiseks ehk sõltumatuse tagamiseks ja huvide konflikti vältimiseks tuleb luua eraldi struktuuriüksus, mis eeldab aga inimeste arvu suurendamist. Nagu ka VTK-le antud arvamuses märkisime, nõuavad plaanitavad muudatused olemasolevate ressursside täiendamist arvestusega, et ühe töökoha kulu aastas on kokku 61 400 eurot, s.o tööjõukulu 56 400 eurot aastas (4700 eurot kuus) ja majanduskulu 5000 eurot aastas. 7. Eelnõu § 1 punktiga 17 muudetakse AvTS § 466 lõiget 3. Juhime tähelepanu, et kehtivas AvTS-s puudub § 466. Ilmselt on siiski silmas peetud § 436. 8. Eelnõu § 1 punktiga 18 täiendatakse AvTS § 51 lõiget 1 punktiga 51, mille kohaselt on Andmekaitse Inspektsioonil tulevikus võimalik teha ettekirjutusi, kui andmekogu vastutav töötleja jätab avaandmed või andmekirjeldused avalikustamata või nõutud vormingus kättesaadavaks tegemata. Sealjuures on seletuskirjas selgitatud, et riigiasutustest teabevaldajate suhtes AvTS § 51 lõikes 3 toodud ettekirjutuse täitmata jätmisel sunniraha rakendamis võimalus ei kohaldu. Seega olukorras, kus andmekogu vastutav töötleja jätab Andmekaitse Inspektsiooni ettekirjutuse täitmata, võib Andmekaitse Inspektsioon vastavalt kehtivale AvTS §-le 53 pöörduda teabevaldaja kõrgemalseisva asutuse, isiku või kogu poole teenistusliku 3 (4)  järelevalve korraldamiseks või ametniku suhtes distsiplinaarmenetluse algatamiseks. Leiame, et tegemist on väheefektiivse mõjutusvahendiga, mistõttu teeme ettepaneku täiendada AvTS § 53 lõikega 3, mis sätestaks sõnaselgelt Andmekaitse Inspektsiooni õiguse pöörduda halduskohtumenetluse seadustikus sätestatud korras protestiga halduskohtusse, kui andmekogu vastutav töötleja ei ole Andmekaitse Inspektsiooni ettekirjutust selles määratud tähtaja jooksul täitnud. Sarnane õigus on sätestatud ka isikuandmete kaitse seaduse §-s 59. 9. VTK-le antud arvamuses märkisime, et toetame sellist alternatiivi, mis näeb ette andmekogu, sh kohaliku omavalitsuse andmekogu registreerimise kohustuse koos andmete teabevärava haldaja kontrolliga. Kooskõlastustabelis antud seisukohas on JDM selgitanud, et eelnõu raames saaks kaaluda võimalust, et andmekogu registreerimise lõplik kinnitamine on seotud kinnitatud põhimääruse olemasolu ja andmekirjelduse ning andmekoosseisu kooskõlaga. Nii on võimalik vähendada käsitööd, dubleerimist ja menetluskoormust, säilitades samal ajal vajaliku ennetava kontrolli. Kuigi eelnõu seletuskirjas on selgitatud, et andmekogude registreerimise kohustus säilib, kuid kujundatakse ümber, siis eelnõust see ei nähtu. Muutmata on jäetud AvTS § 437, mis näeb jätkuvalt ette andmekogu registreerimise riigi infosüsteem haldussüsteemis. Seega tuleks eelnõud täiendada muudatustega, mis puudutavad andmekogude andmete teabeväravas registreerimise kohustust. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 4 (4)