Kiri

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Heidy Purga Teie 28.07.2026 nr 1-11/811-1 Kultuuriministeerium [email protected] Meie 12.08.2026 nr 2.3-5/26/2935-2 Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks kultuuriministri 27. veebruari 2020. a määruse nr 4 „Eesti spordiregistri põhimäärus“ muutmise eelnõu. Arvestades, et käsil on andmekogu põhimääruse muutmine, mis annab võimaluse muuta ka kehtivat põhimäärust selgemaks ja konkreetsemaks, siis esitame tähelepanekud nii eelnõu kui ka kehtiva põhimääruse osas. 1. Eelnõu punktiga 9 täiendatakse põhimääruse lisa 1 ning lisatakse sporditulemuste alamandmekogusse uus andmeväli „võistlusklass“. Seletuskirja järgi on täiendamine vajalik parasportlaste võistlustulemuste kajastamiseks, kuna paraspordis tuleb tulemuste võrreldavuse tagamiseks arvestada sportlasele rahvusvahelise klassifikatsioonisüsteemi alusel määratud võistlusklassi. Samas paistab, et rahvusvaheline paraspordi klassifikatsioonisüsteem ei kujuta endast lihtsalt võistluskorralduslikku liigitust. Rahvusvahelise Paraolümpiakomitee selgituse kohaselt eeldab paraspordis võistlemine terviseseisundist tulenevat püsivat kvalifitseeruvat kahjustust ning klassifikatsiooni eesmärk on rühmitada sportlased võistlusklassidesse selle järgi, kuidas kahjustus mõjutab konkreetse spordiala sooritust. Seega, kui sportlase nimele ja võistlustulemusele lisandub ka võistlusklass, siis võib see anda teavet sportlase terviseseisundi või funktsionaalse piirangu kohta. Oleme oma varasemas arvamuses1 juba juhtinud Kultuuriministeeriumi tähelepanu sellel, et ainuüksi sportlase osalemine paraolümpiamängudel annab teavet tema terviseseisundi kohta, mis tähendab, et tegemist on terviseandmetega ehk IKÜM2 artikli 9 lõike 1 tähenduses eriliiki isikuandmetega. Siinjuures peame vajalikuks juhtida tähelepanu andmekogu asutamist puudutavale volitusnormile. Nimelt näeb spordiseaduse (SpS) § 61 lõige 5 ette, et spordi andmekogu kehtestab valdkonna eest vastutav minister määrusega. Sama paragrahvi lõige 7 võimaldab põhimääruses sätestada andmekogusse kantavate andmete, sh isikuandmete täpsema koosseisu, säilitamise täpsema tähtaja, andmetele juurdepääsu ja andmete väljastamise korra ning muud andmekogu pidamiseks vajalikud tingimused. Seega võimaldab volitusnorm seaduses ette nähtud andmekoosseisu põhimääruses täpsustada, kuid ei anna alust lisada põhimääruse tasandil uut sisuliselt eriliiki isikuandmete kategooriat, kui sellist 1 31.07.2025 kiri nr 2.3-5/25/2317-2 2 EUROOPA PARLAMENDI JA NÕUKOGU MÄÄRUS (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  andmetöötlust ei ole seaduses piisavalt selgelt ette nähtud. SpS § 61 lõike 6 punkt 5 sätestab sportlase kohta kogutavate isikuandmetena sportlase nime, isikukoodi ja tema sporditulemuse, kuid puude andmeid, terviseandmeid, funktsionaalse piirangu andmeid ega võistlusklassi selles loetelus eraldi nimetatud ei ole. Antud juhul jääbki selgusetuks, kas võistlusklassi puhul on tegemist sporditulemuse n-ö tehnilise täpsustusega või on tegemist eraldi andmekategooriaga, mis võib avaldada teavet sportlase terviseseisundi või funktsionaalse piirangu kohta. Viimasel juhul ei pruugi põhimääruse tasand olla sellise andmetöötluse reguleerimiseks piisav. Seega tuleks uuesti hinnata, kas võistlusklass on terviseandmeid kaudselt avaldav andmeväli, millisel õiguslikul alusel seda isikustatud kujul töödeldakse, kas seda avalikustatakse koos sportlase nime ja tulemusega, kui kaua seda avalikustatakse ning kas selline avalikustamine on vajalik ja proportsionaalne. Seejärel täiendada seletuskirja analüüsiga võistlusklassi õigusliku olemuse kohta ning vajadusel täiendada seaduse tasandi regulatsiooni. 2. Kehtiva põhimääruse § 5 kohaselt on andmekogu turbeaste madal ning turvaklass K1T1S1. Leiame, et kui andmekogus töödeldakse andmeid, mis otseselt või kaudselt kajastavad sportlase terviseseisundit, siis ei ole piisav piirduda senise turvaklassi kordamisega ilma täiendava analüüsita. Turvaklassi küsimus ei ole üksnes tehniline infoturbe küsimus, vaid osa isikuandmete töötlemise vajalikkuse, proportsionaalsuse ja kaitsemeetmete hindamisest. Andmekaitse Inspektsiooni koostatud andmekogude juhendis3 (lk 14) on selgitanud, et ühe andmekogu erinevatel andmeliikidel võib olla erinev turvaklass ning eriliiki isikuandmete töötlemisel tuleks määrata teabe konfidentsiaalsuse turvaosaklassiks vähemalt S2. Samuti on Justiits- ja Digiministeeriumi juhises4 (JDM juhis) selgitatud, et eriliiki isikuandmete töötlemine kuulub selliste olukordade hulka, kus isikuandmete töötlusprotsessidega kaasnev riive on suur ning seaduse tasandi regulatsioon peab olema täpsem. Samuti on JDM juhises märgitud, et eriti tundlike andmete puhul, näiteks terviseandmed, tuleks seaduses ette näha, kellel on juurdepääs andmekogu andmetele, millises ulatuses ning kellele andmekogust andmeid väljastatakse. Lisaks rõhutab JDM juhis, et kui töödeldakse eriliiki isikuandmeid, tuleb ette näha täiendavad kaitsemeetmed andmesubjekti õiguste kaitseks ning pelgalt eriliiki isikuandmete töötlemise õiguse andmisest ei piisa. Eeltoodust tulenevalt palume seletuskirja täiendada hinnanguga, kas spordiregistri praegune turvaklass K1T1S1 on piisav olukorras, kus andmekogus töödeldakse või hakatakse töötlema andmeid, mis otseselt või kaudselt kajastavad sportlase terviseseisundit. Kui võistlusklassi või muude paraspordiga seotud andmete töötlemine võimaldab teha järeldusi isiku terviseseisundi või funktsionaalse piirangu kohta, tuleb vähemalt nende andmeliikide või andmekogu vastava alamregistri konfidentsiaalsuse turvaosaklass üle vaadata ning põhjendada, miks ei kohaldata vähemalt S2 taset. 3. SpS § 61 lõike 3 punkt 4 võimaldab spordi andmekogus koguda, töödelda, avalikustada ja säilitada sporditulemusi toetuste eraldamise otsuste tegemiseks, Eesti spordi arengu toetamiseks ning spordiajaloo jäädvustamiseks. Sama paragrahvi lõike 61 kohaselt säilitatakse sporditulemusi tähtajatult. Siinjuures peame vajalikuks rõhutada, et sporditulemuste tähtajatu säilitamine ei tähenda 3 Andmekogude juhend 4 Andmekaitseõiguse ja avaliku teabe juhised 2 (4)  automaatselt kõigi sporditulemusega seotud andmete tähtajatu avalikustamise lubatavust. Säilitamine ja avalikustamine on eraldiseisvad isikuandmete töötlemise toimingud ning mõlema puhul tuleb hinnata eesmärki, ulatust, kestust ja proportsionaalsust. Oleme oma varasemas arvamuses märkinud, et tähtajatu andmete avalikustamine tähendab intensiivset riivet isiku privaatsusele ning nõuab põhjalikku põhjendamist. Ka JDM juhise kohaselt tuleb isikuandmete avalikustamisel ette näha avalikustamise eesmärk, avalikustatavate isikuandmete kategooriad ja tähtaeg. Juhise järgi tuleb juhul, kui andmekogus tehakse avalikkusele kättesaadavaks isikuandmeid, sätestada isikuandmete avaldamise eesmärk, milliseid isikuandmeid avalikustatakse ning kui kaua isikuandmeid avaldatakse. Seega, kui eelnõuga lisatav võistlusklass loetakse sporditulemuse osaks, tuleb selgitada, kas sellele laieneb SpS § 61 lõikes 61 sätestatud sporditulemuste tähtajatu säilitamine. Samuti tuleks selgitada, kas võistlusklass avalikustatakse koos sportlase nime ja tulemusega ning kas avalikustamine on ajaliselt piiratud. Kui ajalist piirangut ei ole, siis tuleb selle puudumist põhjalikult ka põhjendada. Palume eelnõu seletuskirjas eristada sporditulemuste kogumine, säilitamine ja avalikustamine ning esitada iga töötlemistoimingu kohta eraldi eesmärgi, ulatuse ja tähtaja põhjendus, sh võistlusklassi osas. 4. Eelnõu punktiga 4 täpsustatakse andmekogus andmete säilitamist. Muudatuse kohaselt antakse arhiiviväärtusega andmed üle Rahvusarhiivile ning isikuandmed, millele on määratud säilitustähtaeg, anonüümitakse pärast säilitustähtaja möödumist ja arhiiviväärtusega andmete üleandmist Rahvusarhiivile. Seletuskirjas on märgitud, et Rahvusarhiiv hindas 2026. aasta jaanuaris spordiregistris sisalduva teabe arhiiviväärtuslikuks ning hindamisotsuse kohaselt antakse arhiiviväärtuslik teave Rahvusarhiivile üle anonüümimata kujul vastavalt kokkulepitud välbale. Leiame, et seletuskirjas ei ole piisavalt selgitatud, millised konkreetsed andmekategooriad on arhiiviväärtuslikud, kas arhiiviväärtus hõlmab ka paraspordiga seotud andmeid, sh võistlusklassi andmeid, millal toimub anonüümimine ning mida anonüümimine spordiregistri kontekstis tegelikult tähendab. Andmekaitse Inspektsioon on oma varasemas arvamuses anonüümimise kohta selgitanud, et isikuandmed on anonüümsed üksnes sellisel juhul, kui andmekogus olevaid andmeid ei saa konkreetse isikuga või tema tegevustega siduda, grupeerida või isikupõhiselt eristada ehk isikustatud kujule tagasi viia või tuvastada koos muude andmetega nende põhjal konfidentsiaalset teavet. Samas arvamuses on selgitatud, et kui isikuandmete töötlemine toimub viisil, et andmeid ei ole enam täiendavat teavet kasutamata võimalik seostada konkreetse andmesubjektiga, on tegemist pseudonüümitud andmetega ning pseudonüümitud isikuandmete töötlemisele kohalduvad jätkuvalt IKÜM nõuded, sh nõue määrata andmete säilitamiseks tähtaeg. Palume seletuskirja kindlasti täiendada selgitusega, millised andmed antakse Rahvusarhiivile üle ning kuidas eristatakse anonüümimist pseudonüümimisest. 5. Kehtiva põhimääruse § 4 kohaselt on andmekogusse kantud andmetel informatiivne tähendus, välja arvatud seaduses sätestatud juhtudel. Oleme oma varasemas arvamuses märkinud, et selline säte on sisutühi, kuna asutus lähtub igal juhul oma töös andmekogusse kantud andmetest, vastasel juhul ei oleks andmekogu pidamisel mõtet. Eristada tuleb üksnes neid juhte, kus seadusest tulenevalt on andmekogu andmetel kolmandate isikute suhtes konstitutiivne tähendus ning soovitasime sätte põhimäärusest eemaldada. Kuna § 4 on kehtivas põhimääruses jätkuvalt alles, palume varasemat märkust uuesti 3 (4)  kaaluda. Kui sättel puudub iseseisev regulatiivne väärtus, tuleks see põhimäärusest välja jätta või sõnastada ümber selliselt, et see ei jätaks eksitavat muljet andmekogusse kantud andmete tegeliku kasutamise kohta. 6. Ühtlasi juhime tähelepanu sellele, et eelnõu seletuskirjas käsitletakse mõju spordivaldkonnale, andmete esitajatele ja volitatud töötlejale, kuid andmekaitsealane mõjude analüüs on ebapiisav. JDM juhise kohaselt tuleb eelnõude puhul hinnata, kas on vajalik koostada andmekaitsealane mõjuhinnang ja vajadusel see koostada. Juhises on selgitatud, et mõjuhinnang on vajalik juhul, kui isikuandmete töötlemise laad, ulatus, kontekst ja eesmärgid võivad tõenäoliselt kaasa tuua suure ohu füüsiliste isikute õigustele ja vabadustele. Arvestades, et eelnõu puudutab puudega inimeste ja parasportlastega seotud andmeid ning lisatav võistlusklass võib vähemalt teatud juhtudel anda teavet terviseseisundi või funktsionaalse piirangu kohta, tuleks seletuskirjas selgitada, kas andmekaitsealase mõjuhinnangu koostamise vajadust hinnati ning millisele järeldusele jõuti. Kui mõjuhinnangut ei peetud vajalikuks, tuleks seda seletuskirjas põhjendada. Kokkuvõtvalt rõhutame, et eelnõu ei saa käsitada üksnes spordistatistika tehnilise täpsustamisena. Kui andmekogusse lisatakse andmeid, mis võivad avaldada teavet isiku terviseseisundi või funktsionaalse piirangu kohta, peavad töötlemise õiguslik alus, eesmärk, ulatus, säilitamine, avalikustamine ja kaitsemeetmed olema selgelt ning veenvalt põhjendatud. Ilma nimetatud täiendusteta ei ole võimalik hinnata, kas eelnõu jääb spordiseaduses toodud volitusnormi piiridesse ning on kooskõlas IKÜM-st tulenevate eesmärgipärasuse, minimaalsuse, säilitamise piirangu ja usaldusväärsuse põhimõtetega. Lugupidamisega (allkirjastatud digitaalselt) Maarja Kirss valdkonnajuht peadirektori ülesannetes Terje Enula [email protected] 627 4144 4 (4)