Vastus

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Kultuuriministeerium Teie 15.05.2025 nr 1-11/563-1 [email protected] Meie 20.06.2025 nr 2.3-4/25/1559-2 Arvamuse avaldamine eelnõule (Rahvaraamatukogu seadus) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks rahvaraamatukogu seaduse (RaRS) eelnõu. Meil on edastatud eelnõu osas järgmised tähelepanekud. AKI arvates tuleb eelnõu isikuandmete töötlemise osas hoolikalt üle vaadata ja täpsustada nii seaduse regulatsiooni kui ka seletuskirja. Vajadusel on AKI valmis andma allpool esitatud märkuste osas täiendavaid selgitusi ka kohtumisel. 1. RaRS-i isikuandmete töötlemise regulatsioon 1.1. Lugeja vs külastaja Eelnõu § 16 lõike 1 kohaselt saab raamatukogu teenuseid kasutada igaüks, va RaRS § 21 lõigetes 6 ja 7 nimetatud juhtudel (kui lugejalt on ära võetud väljaannete ja esemete kojulaenutamise õigus või lugejale või külastajale on kehtestatud ajutine keeld rahvaraamatukokku siseneda). Sellest võib järeldada, et kõiki raamatukogu teenuseid saab kasutada iga isik, sõltumata sellest, kas ta on registreeritud kasutaja (lugeja) või mitte (külastaja). Seejuures näeb eelnõu § 15 ette erisuse raamatukogu lugeja ja külastaja vahel. Seletuskirjas on täpsustatud, et lugeja saab kasutada selliseid rahvaraamatukogu teenuseid, mis eeldavad isiku tuvastamist (näiteks kojulaenutus) ning külastaja saab kasutada rahvaraamatukogu isikustamata teenuseid (näiteks väljaannete kohapeal kasutamine). Ehk sisuliselt on registreerimata külastaja saadavate teenuste maht piiratud, mida aga seadusest välja lugeda ei ole võimalik. Seletuskirjal ei ole õigust loovat funktsiooni, mistõttu ei saa sellega seaduse sätetes määratud õigusi kitsendada. Lugeja ja külastaja eristamine on oluline mitte ainult kasutatavate teenuste määratlemisel, vaid ka isikuandmete töötlemisel. Nagu on eespool toodud, kasutab külastaja isikustamata teenuseid ehk kui isik ei soovi isikustatud teenust, ei pea ta ennast tuvastama. Eelnõu § 18 lõige 1 ühtlasi sätestab, et rahvaraamatukogu teenuste osutamiseks töödeldakse ainult lugeja isikuandmeid, külastaja osas tuleb isikuandmete töötlemine kõne alla vaid vastutuse kontekstis, st kui esineb eelnõu § 21 lõikes 7 viidatud olukord. Siinkohal on oluline märkida, et eelnõu § 21 lõige 7 näeb ette, et rikkumine peab olema korduv, mis tähendab, et esmakordsel rikkumisel ei tekki õigust külastaja isikut tuvastada. Selgusetuks seega jääb, kuidas siis tuvastada korduvrikkumist, arvestades, et esmarikkumise fikseerimine ei ole võimalik, kuna rikkujat ei tohi tuvastada. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Isegi juhul, kui seadus näeks ette isiku tuvastamist esmarikkumisel, jääb siiski arusaamatuks, kuidas reaalelus tagada eelnõu § 21 lõikes 7 ettenähtud külastamise õiguse piiramist, arvestades, et üldjuhul ei tohi külastaja isikuandmeid töödelda. Selleks, et tuvastada, et tegemist on külastamise piiranguga inimesega, peaks kõiki külastajaid tuvastama, milleks aga seaduses õiguslikku alust ei ole, mh ei tundu kõikide külastajate õiguste riive proportsionaalne, lähtuvalt kasust, mida potentsiaalselt toob kaasa eelnõu § 27 lõikes 7 ettenähtud sanktsiooni rakendamine. Seletuskirjas on öeldud, et erinevalt lugeja andmetest ei hakata külastaja isikuandmeid töötlema eelnõuga asutatavas raamatukogude andmekogus. Kuna vajadus külastaja isikuandmete töötlemise järele on eeldatavasti väga harv, ei ole mõistlik nende töötlemiseks andmekogusse eraldi lahendust luua ning kõnealuseid andmeid töödeldakse asjaomase rahvaraamatukogu dokumendihaldussüsteemis või mujal vastavalt selle rahvaraamatukogu suhtes kohalduvatele teabehalduse korraldust reguleerivatele aktidele ja juhenditele. Seejuures tekib küsimus, kas ja kuidas on reguleeritud külastajate isikuandmete säilitamine. Märgime, et isikuandmete säilitamise tähtaeg peab olema sätestatud seaduses ka siis, kui andmeid ei koguta andmekogusse. Ühtlasi, vaadates raamatukogude andmekogu põhimääruse kavandi § 2 lõiget 2, selgub, et külastaja isikuandmete töötlemine on üks andmekogu pidamise eesmärk. Jääb arusaamatuks, kas ja millistel juhtudel külastaja isikuandmed kantakse andmekogusse. 1.2. Eriliigilised isikuandmed Eelnõu § 18 lõige 3 näeb ette, et puudega isikule avalike teenuste osutamiseks võib rahvaraamatukogu töödelda andmeid isiku puude liigi ja kestuse kohta, sh küsida tõendeid. AKI märgib, et sätte sõnastuse pinnalt jääb arusaamatuks, mida peetakse silmas avalike teenuste all. Kui tegemist on rahvaraamatukogu teenustega, siis nii peab ka sättes ütlema. Seletuskiri ei seleta lahti nimetatud sätte eesmärki, vaid ainult viitab kehtivale regulatsioonile. Kehtiv regulatsioon lisati seadusesse isikuandmete kaitse seaduse rakendamise seaduse eelnõuga, mille seletuskirja kohaselt on täiendavalt seaduse tasandile toodud võimalus küsida isiku terviseandmeid puudega isikule raamatukogu teenuse osutamiseks. Rahvaraamatukogu seaduse § 15 lõike 6 kohaselt korraldab raamatukogu elanikele, kes terviseseisundi tõttu ei ole võimelised raamatukogu külastama, nende soovil tasuta koduteeninduse. Terviseandmete küsimine võimaldab seda sätet realiseerida, raamatukogu peab veenduma, et isikul on tulenevalt puudest õigus eriteenuseid saada. Tegemist on puhtalt koduteenuse osutamisega (koduteeninduse vajadus). Samas eelnõu § 18 lõige 2 punkti 6 kohta on seletuskirjas selgitatud, et rahvaraamatukogu ei küsi selle teenuse osutamiseks konkreetseid terviseandmeid (st mis põhjusel koduteenindust täpselt vajatakse), kuid koduteeninduse vajaduse kohta tehakse lugeja andmete juurde märge. Seletuskirjas on öeldud, et kuna koduteenindust pakutakse just tervislikust seisundist tulenevalt, tähendab ka taolise märke olemasolu vähemalt kaudselt isiku terviseandmete töötlemist. Ehk sellest võib järeldada, et rahvaraamatukogu ei küsi tõendeid konkreetse puue kohta, vaid lähtub koduteenuse vajaduse määramisel puhtalt isiku enda ütlustest. Seega jääb arusaamatuks ja küsitavaks eelnõu § 18 lõikes 3 nimetatud terviseandmete kogumise eesmärk. Eelnõu § 18 lõige 2 ei näe ette eestkoste kohta andmete töötlemist. Kuidas tuvastatakse, et 2 (8) inimesele on eestkoste määratud? Kas isik peab esitama eestkoste määramist tõendava kohtuotsuse? Eestkoste määramise fakt võib iseenesest viidata isiku terviseprobleemidele, seega võib olla tegemist eriliigiliste andmetega. 1.3. Isikuandmete kontrollimine Eelnõu § 17 lõige 5 punkt 1 sätestab, et lugejalt võib nõuda väljaande või eseme kojulaenutamisel tagatist kuni selle hinna kümnekordses suuruses, kui tema rahvastikuregistrisse kantud elukoht ei ole Eestis. Lugeja elukoha andmete saamine rahvastikuregistrist ei ole aga eelnõuga ette nähtud. Andmekogu põhimääruse järgi lugeja andmed kannab andmekogusse lugeja ise e-kataloogi veebiliidese kaudu või tema taotlusel raamatukogu töötaja otse andmekogusse. Andmevahetust reguleerivas põhimääruse kavandi §-s 25 ei ole samuti ette nähtud, et rahvastikuregister peaks isiku registreeritud elukoha andmeid edastama. Seega on selgusetu, kuidas ja mille alusel toimub eelnõu § 17 lõike 5 punktis 1 nimetatud tingimuse (mis eeldab päringut rahvastikuregistrisse) kontrollimine. Eelnõu § 18 lõike 5 kohaselt lugeja andmete õigsust kontrollitakse kord aastas rahvaraamatukogu külastusel. Samas lugeja andmed kustutatakse kolme aasta pärast juhul, kui isik ei külasta raamatukogu. Seega võib isik käia raamatukogus korra kolme aasta jooksul. Kuidas siis sellisel juhul toimib andmete õigsuse kontroll? Omaette küsimus on seadusliku esindaja andmete kontrollimine. Kui alaealine käib raamatukogus ise, kas siis tema esindaja andmed kontrollitakse alaealise ütluste järgi (alaealine ei pruugi vanema kontaktid peast teadma) või jäävad esindaja andmed kontrollimata? 1.4. Kontaktandmete kasutamise eesmärgid Eelnõu § 19 lõige 1 annab rahvaraamatukogule õiguse edastada lugejale tema esitatud postiaadressile, telefoninumbrile või elektronposti aadressile meeldetuletusi ja muud lugejat puudutavat teavet, sealhulgas rahulolu- ja tagasisideküsitlusi. Seletuskirjas on selle kohta öeldud, et eraldi on nimetatud rahulolu- ja tagasisideküsitlusi, et oleks selge, et ka nende edastamine on kõnealuse õigusega hõlmatud ega eelda lugejalt nõusoleku küsimist. Selliste küsitluste perioodiline korraldamine on vajalik lugejate kaasamiseks rahvaraamatukogu teenuste arendamisesse ja teenuste kõrge kvaliteedi tagamiseks. Rahvaraamatukogu õigusega taoliste küsitluste kohta teavet edastada ei kaasne lugeja kohustust küsitlustes osaleda. Juhul, kui isiku kontaktandmete kasutamise eesmärgiks on isikute täiendav teavitamine ja küsitluste korraldamine, peab sellise õiguse kehtestamine olema põhjalikult kaalutud ja vajalik. AKI leiab, et eelnõus ei ole sellist vajadust veenvalt põhjendatud. Juhul, kui isikutega eelnimetatud eesmärkidel ühenduse võtmine siiski kehtestada, on see võimalik ainult juhul, kui isik on andnud selleks nõusoleku ning ka siis peab isikule jääma võimalus nõusolek igal ajal tagasi võtta. Palume eelnõu vastavalt muuta. 1.5. Lugeja andmete kustutamine Vastavalt eelnõu § 18 lõikele 6 isikuandmeid ei kustutata, kui lugejal on rahvaraamatukogu ees täitmata kohustusi. Nimetatud juhul säilitatakse isikuandmeid kuni kohustuste täitmiseni. Eelnõuga on ette nähtud aegumine 10. aasta jooksul, andmete kustutamist reguleeriv säte aga lubab 3 (8) säilitada andmeid põhimõtteliselt igavesti (võlgnevus ei pruugi olla kunagi tasutud), mis ei ole IKÜMi kohaselt aktsepteeritav. Sama paragrahvi lõige 7 näeb ette, et seadusliku esindaja andmed kustutatakse lugeja isikuandmete kustutamisel või esindusõiguse lõppemisel. Seejuures jääb arusaamatuks, kas nt juhul, kui alaealisel lugejal on tekkinud võlgnevus, mis ei ole tema täisealiseks saamise hetkel tasutud, siis jätkatakse ka seadusliku esindaja andmete säilitamist kuni lõikes 6 nimetatud tähtaja saabumiseni või määravaks on esindusõiguse kadumine sõltumata võlgnevuse olemasolust. Seejuures eelnõu 21 § lõike 11 kohaselt vastutab viivituse eest seaduslik esindaja, mis on mh kooskõlas üldise võlaõigusliku vastutuse ja tsiviilõiguse regulatsiooniga. Seega on selgusetu, kuidas toimub nii alaealise kui esindaja andmete säilitamine juhul, kui esineb eelnõu § 18 lõikes 6 sätestatud olukord (arvestades, et alaealine lugeja ise võlgnevuse eest ei vastuta, ei ole eelnõu loogika järgi justnagu alust tema andmete säilitamiseks). 1.6. Automaatne haldusmenetlus Eelnõu § 22 lubab seaduses ettenähtud haldusmenetluse läbi viia infosüsteemi vahendusel elektrooniliselt, ilma ametniku või töötaja vahetu sekkumiseta (automaatne haldusmenetlus). Lõikes 2 on sätestatud, et automaatses haldusmenetluses antud haldusaktis ei märgita haldusorgani juhi või tema volitatud isiku nime ja allkirja, kuid selles märgitakse, et tegemist on automaatse haldusaktiga, ning haldusorgani kontaktandmed. Lõikes 3 on öeldud, et automaatses haldusmenetluses sooritatud toimingu juures on selgitus, et tegemist on automaatse toiminguga, ja teave vahetu isikliku kontakti õiguse kohta kohaliku omavalitsuse üksuse või rahvaraamatukogu ametniku või töötajaga. AKI arvates ei taga selline regulatsioon andmesubjektile piisavat kaitset. IKÜM põhjenduspunktis 71 on selgitatud, et igal juhul tuleks sellise töötlemise korral kehtestada sobivaid kaitsemeetmeid, mis peaksid hõlmama andmesubjektile konkreetse teabe andmist ja õigust otsesele isiklikule kontaktile, õigust väljendada oma seisukohta, õigust saada selgitust otsuse kohta, mis tehti pärast sellist hindamist, ning õigust seda otsust vaidlustada. Selline meede ei tohiks puudutada last. Lisaks on põhjenduspunktis 71 märgitud, et automatiseeritud otsuste tegemine ja profiilianalüüs konkreetsete isikuandmete liikide põhjal peaks olema lubatud ainult eritingimustel. AKI hinnangul vajab automaatse haldusmenetluse regulatsioon täiendamist. Sätte peaks ette nägema paremat andmesubjekti õiguste kaitset, sh peab seaduse tasandil olema sätestatud, et automatiseerituid otsuseid ei tohi vastu võtta alaealiste suhtes. Lisaks peab seadus kohustama andma andmesubjektile konkreetsemat teavet, sh viidet konkreetsele isikule, kellega saab andmesubjekt vajadusel otseselt ühendust võtta. Tagatud peab olema ka õigus väljendada oma seisukohta, õigus saada selgitust otsuse kohta ning õigust seda otsust vaidlustada. 2. Andmekogu põhimääruse regulatsioon 2.1. Andmekogu eesmärgid Rahvaraamatukogu seaduse eelnõu (eelnõu) § 29 näeb ette Eesti Rahvusraamatukogu seaduse (ERRS) muutmise. Muudatuste punktiga 16 täiendatakse seadust andmekogu puudutava 1.1 peatükiga (§-d 7³–7⁷). ERRS § 7³ lõige 2 sätestab andmekogu pidamise eesmärgi, milleks vastavalt punktile 5 on ka 4 (8) riikliku statistika tegemine. Samas jääb selgusetuks, mida on silmas peetud riikliku statistika tegemise all. Üldjuhul peetakse riikliku statistika all silmas riikliku statistika seaduses (RStS) sätestatut ehk tegemist on kvantitatiivse, kvalitatiivse, kokkuvõtliku ja üldistava teabega, mis iseloomustab massnähtust vaatlusaluses kogumis ja mis saadakse riikliku statistika programmi või programmivälise statistikatöö raames andmete statistilise töötlemise tulemusena. RStS § 6 järgi on riikliku statistika tegijateks Statistikaamet ja Eesti Pank. Ilmselt on siiski silmas peetud statistikat, mis on vajalik raamatukogude tegevuse korraldamiseks. Palume eelnõu selles osas täpsustada. Andmekogu eesmärk on sätestatud ka eelnõule lisatud andmekogu põhimääruse kavandi §-s 2, mis on aga laiem, kui seaduse volitusnormis toodud eesmärk. Näiteks on põhimääruses ühe eesmärgina toodud lugejatele ja külastajatele teenuste osutamine, kuid volitusnorm sellist eesmärki ei kajasta. Andmekaitse Inspektsioon on andmekogude juhendis selgitanud, et andmekogu eesmärk peab olema seaduses selgelt sätestatud, kuna see on volitusnormi tuum. Vajalik on, et volitusnorm annaks vastuse küsimusele, millisel konkreetsel eesmärgil ja milliste ülesannete täitmiseks andmekogu asutatakse. AvTS § 43¹ lõike 1 ja § 43³ lõike 1 järgi on andmekogu riigi, kohaliku omavalitsuse, avalikõigusliku juriidilise isiku või muu avalikke ülesandeid täitva isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse seaduse või selle alusel antud õigusaktiga ja selles sätestatud ülesannete täitmiseks. Seega peab andmekogu asutamise aluseks olevast seadusest ehk seaduse volitusnormist tulenema andmekogu loomise konkreetne eesmärk ehk avalik ülesanne, mille täitmiseks andmekogu luuakse ning seda ei tohiks muuta madalama taseme õigusaktiga. 2.2. Andmekogu põhimääruse struktuur Eelnõule lisatud põhimääruse kavandi ülevaatamisel hakkas silma, et andmekogu põhimäärus erineb oma ülesehituselt ja struktuurilt paljude teiste andmekogude põhimäärustest ning ei ole seetõttu ka niivõrd selge ja üheselt arusaadav kui võiks. Kogemusele tuginedes võib märkida, et enamike andmekogude põhimäärused järgivad enam- vähem väljakujunenud struktuuri, mis algab üldsätetega, kus käsitletakse andmekogu asutamist, eesmärki ja määratletakse selle nimetus, samuti tuuakse selgelt välja vastutav ja volitatud töötleja ning loeteluna mõlema ülesanded eraldi. Seejärel järgmise peatükina käsitletakse andmekogu ülesehitust ja andmete tähendust, kus tuuakse eraldi paragrahvidena välja andmekogu ülesehitus, andmete kaitse ehk millist turvaklassi kohaldatakse jms ning andmete õigluslik tähendus (kas on õigust loov vms). Sellele järgneb peatükk andmeandjatest ja andmete esitamisest ning andmete koosseisust, töötlemisest ja logimisest, kus saab juba konkreetselt välja tuua, kes on andmekogusse andmete esitajad, milliseid andmeid ja mis koosseisus nad seda teevad, kuidas nad seda teevad, kes ja millistel alustel ning tingimustel andmeid andmekogust saavad (kellele ja kuidas andmed väljastatakse ning ligipääsud). Samuti kuidas toimub andmete andmekogusse kandmine, muutmine ja parandamine, logimine ning kui on mingid juurdepääsu erisused, siis käsitletakse neid (nt ligipääs isikustatud andmetele). Lisaks reguleeritakse põhimääruses seda, kuidas andmeid säilitatakse, arhiveeritakse ja kustutatakse. Viimaks aga antakse ülevaade, kuidas toimub andmekogu üle järelevalve, selle rahastamine ja lõpetamine. Mõistagi sõltub täpne struktuur ja detailsus konkreetse andmekogu iseloomust ja keerukusest, ent üldjoontes võib ülesehitust sellisena kirjeldada. Esitatud määruse eelnõus on küll eelpool nimetatud aspektid enam-vähem käsitletud, kuid nagu märgitud, siis ei ole seda tehtud selge 5 (8) ülesehituse ja struktuuriga, sealjuures puudub põhimääruses ammendav ja selge loetelu andmekogusse kogutavatest andmetest. Paljude andmekogude põhimääruste puhul n-ö tavaks saanud struktuur võimaldaks kiiremat ja selgemat ülevaadet saada, mis andmekoguga on tegu, miks seda vaja on, milliseid andmeid sinna kogutakse, kes neid esitavad ning kes andmekogust andmeid saavad. Andmekogu põhimääruse eesmärk ongi just luua selgust ja läbipaistvust. Palume kaaluda andekogu põhimääruse struktuuri selgemaks ning jälgitavamaks muutmist. 2.3. Andmekogu vastutav töötleja ERRS §-ga 7⁴ määratakse andmekogu vastutav töötleja. Sätte tekstist aga nähtub, et määratakse andmekogu kaasvastutavad töötlejad. Seletuskirjas on märgitud, et säte puudutab raamatukogude andmekogu vastutavat töötlejat ja täiendavalt on selgitatud, et andmekogul on kaks kaasvastutavat töötlejat – Kultuuriministeerium (KuM) ja Rahvusraamatukogu (RaRa) ning kaasvastutavate töötlejate vastutusvaldkonnad määratakse kindlaks andmekogu põhimääruses. Esmalt peame vajalikuks selgitada, et andmekogudega seonduvat reguleerib avaliku teabe seadus (AvTS). AvTS § 43⁴ lõike 1 järgi on andmekogul vastutav töötleja (haldaja), kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Sama paragrahvi lõige 2 annab andmekogu vastutavale töötlejale õiguse volitada edasi andmete töötlemist ja andmekogu majutamist teisele riigi- või kohaliku omavalitsuse asutusele, avalik-õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses. Seega AvTS-st tulenevalt peab igal andmekogul olema vastutav töötleja ehk haldaja, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Iseenesest ei ole välistatud, et andmekogul võib olla mitu vastutavat töötlejat, kes täidavad andmekogu pidamisel erinevaid ülesandeid, kuid seda eeldusel, et iga vastutav töötleja ka tegelikult vastutava töötleja funktsioone täidab. Seega, et andmekogu pidamisel oleks tööjaotus ja vastutus andmekogu töötlejate vahel selge, tuleks põhimääruses ülesandeid kirjeldadagi vastavalt tegelikule tööjaotusele ehk põhimäärusest peab nähtuma nii vastutavate töötlejate omavaheline kui ka andmekogu vastutava ja volitatud töötleja vaheline tööjaotus. Siinjuures tuleb aga lahus hoida AvTS-st tuleneva andmekogu vastutava töötleja roll ja andmekogus olevate isikuandmete töötlemisel isikuandmete kaitse üldmäärusest (IKÜM) tulenev vastutava töötleja roll. Kuna AvTS ei tunne andmekogude pidamise osas sellist mõistet nagu kaasvastutav töötleja, siis jääbki selgusetuks, millist rolli kaasvastava töötleja puhul antud juhul silmas on peetud. AKI on varasemalt andmekogudega seoses juhtinud tähelepanu sellel, et andmekogude puhul tuleb eristada isikuandmete töötlemise vastutavat töötlejat ja andmekogu vastutavat töötlejat, sh rollidega seotud kohustusi. Kui andmekogu vastutava töötleja ülesanded on seotud andmekogu pidamisega, siis IKÜM näeb isikuandmete vastavale töötlejale ette mitmeid kohustusi just seoses isikuandmete töötlemisega. IKÜM artikli 26 lõige 1 näeb ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt (või on seda nende eest teinud ametlikult juba seadusandja) kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on nad kaasvastutavad töötlejad. Kaasvastutavate töötlejate vastutuse määramisel isikuandmete töötlemisel tuleb eelkõige arvesse võtta andmesubjektide õiguste kasutamist ja teabe andmise kohustusi. Lisaks peaks vastutuse jaotus hõlmama muid vastutava töötleja kohustusi, näiteks seoses üldiste andmekaitsepõhimõtete, õigusliku aluse, turvameetmete, 6 (8) andmetega seotud rikkumisest teatamise kohustuse, andmekaitse mõjuhinnangute, volitatud töötlejate kasutamise, kolmandate riikide andmete edastamise ning andmesubjektide ja järelevalveasutusega suhtlemisega. Kuigi IKÜM kaasvastutavate töötlejate vahelise kokkuleppe õiguslikku vormi ei täpsusta, soovitab Euroopa Andmekaitsenõukogu õiguskindluse huvides ning läbipaistvuse ja vastutuse tagamiseks sellise kokkuleppe sõlmida siduva dokumendina, näiteks lepingu või muu liidu või liikmesriigi õiguse kohase õiguslikult siduva aktina, millele vastutavad töötlejad on allutatud. Antud juhul saaks selleks olla andmekogu põhimäärus. Eelnõule lisatud põhimääruse kavandi § 4 reguleerib KuM ja RaRa ülesandeid. Põhimäärusest nähtuvalt on KuM ülesanded peamiselt seotud andmekogu pidamise reguleerimise, eesmärkide ja pidamise viiside määratlemise, finantseerimise, arenduste prioriteetide kinnitamise, andmekogu regulatsioonidega seotud vaidluste ja kaebuste lahendamise ning järelevalvega. RaRa andmekogu vastutava töötlejana juhib aga andmekogu pidamist ja korraldab arendamist, vastutab andmekogu pidamise eest õigusaktides sätestatud nõuete järgi, määrab andmekogu volitatud töötleja, sh sõlmib andmekogu pidamisega seotud lepinguid (sh arenduslepinguid), määrab andmekogu turvanõuded jne. Lisaks täidab ka IKÜM-st tulenevaid isikuandmete vastutava töötleja kohustusi. Seega võib kokkvõtvalt märkida, et tegelikult täidab RaRa nii andmekogu vastutava töötleja kui ka IKÜM-st tuleneva isikuandmete vastutava töötleja ülesandeid, erinevalt KuM-st, mis tegelikult põhimäärusest tulenevalt andmekogu vastutava töötleja funktsiooni ei täida. Seega jääb ka selgusetuks KuM lisamine põhimäärusesse (kaas)vastutava töötlejana. Pigem on põhimääruse järgi ministeeriumi rolliks andmekogu pidamise reguleerimine õigusloomega ja andmekogu pidamise finantseerimine ning seda saab ministeerium enda haldusalas oleva andmekogu puhul teha niigi, sh teha järelevalvet teenistusliku järelevalve kaudu. 2.4. Isikuandmete säilitamine Andmete säilitamist reguleerib põhimääruse kavandi § 24, mille lõike 2 järgi säilitatakse andmekoguga liitunud muu raamatukogu lugejate isikustatud andmeid vastavalt raamatukogu tegevust reguleerivates õigusaktides sätestatud tähtaegadele. Selgusetuks jääb, kui kaua andmekogu vastutav töötleja tohib tegelikult lugejate andmeid andmekogus säilitada. Märgime, et andmete säilitamise tähtajad tuleb ise selgelt kindlaks määrata, lähtudes andmete säilitamise eesmärgist. Viitamine ei taga seda, et andmekogus tõepoolest ka järgitakse neid tähtaegu, lisaks võib tähtaegades orienteerumine olla andmekogu pidajale endale keeruline, rääkimata lugejatest, kellele peab olema selge kaua nende isikuandmeid säilitatakse. Seetõttu oleks õige andmekogus olevate andmete säilitamise konkreetsed tähtajad reguleerida põhimääruses, arvestades sealjuures andmekogu volitusnormis kehtestatud tähtaegadega. 2.5. Andmevahetus Põhimääruse kavandi § 25 reguleerib andmevahetust teiste andmekogudega. Nimetatud paragrahvi lõige 1 annab andmekogule õiguse teha andmekogusse kantavate andmete saamiseks ja kontrollimiseks päringuid ning saada andmeid andmekogudest. Tegemist on mitteregulatiivse ja sisutühja normiga. Õigus teistelt isikutelt ja asutustelt andmeid saada ei saa tuleneda andmekogu põhimäärusest, vaid seaduse normidest, mis asutuste tegevusele kohalduvad. Lisaks märgime, et kogu § 25 mõte jääb arusaamatuks. AvTS § 43⁵ lõike 1 järgi sätestatakse andmekogu põhimääruses andmekogu pidamise kord, sh andmekogu vastutav töötleja (haldaja) ja vajadusel volitatud töötleja, andmekogusse kogutavate andmete koosseis, andmeandjad ja 7 (8) vajadusel muud andmekogu pidamisega seotud korralduslikud küsimused. Andmekogude juhendi punktis 3.2 on toodud välja loetelu andmekogu pidamise olulistest küsimustest, mida põhimäärusega reguleeritakse. Sealjuures on punktis 9 märgitud, et põhimääruses tuuakse välja andmete allikad ehk millistest andmekogudest või kelle käest (millistelt andmeandjatelt) andmeid saadakse. Seeläbi määratakse tegelikult ka kindlaks, millised on andmekogu unikaalsed põhiandmed. Nimelt keelab AvTS § 43³ lõige 2 asutada ühtede ja samade andmete kogumiseks eraldi andmekogusid, mis tähendab, et kui samu andmeid kogutakse juba mõnda teise andmekogusse põhiandmetena, siis tuleks kasutada seal olevaid andmeid, mitte neid isikutelt uuesti koguda. Antud juhul jääb arusaamatuks näiteks lõike 9 loetletu. Lisaks nähtub esitatust, et andmekogu alamandmekoguks on Eesti rahvusbibliograafia alamandmekogu, kuid põhimääruse kavandi § 5, kus on toodud andmekogu ülesehitus, sellist alamandmekogu raamatukogu andmekogu alamandmekoguna välja toodud ei ole. Kui tegemist on raamatukogu andmekogu ühe osaga, siis tuleks see selliselt põhimääruses ka välja tuua koos sätetega, mis seda alamandmekogu pidamist puudutavad. 3. Rahvaraamatukogu töökorralduse eeskiri Rahvaraamatukogu töökorralduse eeskirja kavandi § 12 lõike 7 kohaselt raamatukogu võib lugeja nõusolekul küsida lugejateeninduseks täiendavaid isikuandmeid. Arusaamatu on, mis andmed ja mis eesmärgil võib raamatukogu koguda isiku nõusoleku alusel. Reeglina, kui isikuandmete töötlemise õiguslik alus tuleb juba õigusaktist, milleks eelnõu välja töötatakse, on eksitav väita, et isikult võetakse nõusolek tema andmete töötlemiseks. Seadus ei saa kohustada andmesubjekti andma nõusolekut oma andmete töötlemiseks. Kui tegemist on vabatahtliku andmete esitamisega, mis ei ole otseselt vajalik asutuse seadusega pandud avalike ülesannete täitmiseks, siis see õigus asutusel igal ajal olemas ja seda ei pea eraldi õigusaktiga sätestama. Arvestada seejuures tuleb kõikide nõusoleku andmise ja tagasivõtmise tingimustega (IKÜM art 7). AKI peab vajalikuks rõhutada, et avalike ülesannete täitmiseks vajalike töödeldavate isikuandmete koosseis peab tulenema seadusest ning seda ei tohi määrusega laiendada. RaRS-is on lugeja ja tema esindaja kohta kogutavate isikuandmete loetelu toodud §-s 18. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] 627 4108 Terje Enula [email protected] 627 4144 8 (8)