Arvamuse edastamine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Sotsiaalministeerium Teie 27.08.2026 nr 1.2-2/78-1 [email protected] Meie 17.09.2026 nr 2.3-4/26/3344-2 Arvamuse avaldamine eelnõule (PISTS) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks puuetega inimeste sotsiaaltoetuste seaduse (PISTS) muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu. Meil on esitatud eelnõu osas järgmised tähelepanekud. Eelnõu § 1 punktis 5 jääb ebaselgeks, milline on inimese nõusoleku õiguslik tähendus. Puude raskusastme tuvastamine on Sotsiaalkindlustusameti avalik ülesanne, mistõttu ei pruugi nõusolek olla terviseandmete töötlemiseks sobiv õiguslik alus. Isikandmete kaitse üldmääruse (IKÜM) artiklist 7 tulenevalt peab nõusolek olema vabatahtlik ning selle andmisest keeldumine või tagasivõtmine ei tohiks mõjutada inimese võimalust saada puude raskusastme tuvastamise taotlus sisuliselt menetletud. Lisaks ei selgu eelnõust ega seletuskirjast, millise ajavahemiku ja milliste tervishoiuteenuse osutajate visiitide kuupäevadele Sotsiaalkindlustusamet juurdepääsu saab. Sõnastus „inimese viimaste visiitide kuupäevad“ ei võimalda üheselt aru saada, millise perioodi kohta võib andmeid pärida, ning võib võimaldada juurdepääsu ka selliste visiitide andmetele, mis ei ole konkreetse puude raskusastme tuvastamiseks vajalikud. Seetõttu ei ole töödeldavate terviseandmete ulatus piisavalt selgelt piiritletud ega arusaadav, kuidas on tagatud andmete minimaalsuse põhimõtte järgimine. Eelnõu § 1 punktiga 12 täiendatakse PISTS §-ga 2⁸, millega vastavalt seletuskirjale luuakse riigisisene õiguslik alus valideerimisrakenduse kasutamiseks Eestis ja sätestatakse rakenduse kaudu töödeldavate isikuandmete töötlemise tingimused, kasutajate õigused ning kohustused ja juurdepääsu korraldus. Paraku eelnõust ega seletuskirjast ei selgu, millised isikuandmed valideerimisrakenduse kaudu kaardi kontrollijale avaldatakse. Viide üksnes rakenduse kaudu kättesaadavaks tehtud andmetele ei piiritle töödeldavate andmete koosseisu ega võimalda hinnata, millised andmed iga kontrollija tegelikult näeb konkreetse soodustuse või õiguse kontrollimise käigus. Kavandatud PISTS § 2⁸ lõikes 5 viidatakse isikuandmete säilitamise puhul üldiselt Euroopa Liidu õigusaktide nõuetele, kuid eelnõust ega seletuskirjast ei selgu, kas ja milliseid valideerimisega seotud isikuandmeid rakenduses või kontrollija juures säilitatakse. Kui valideerimise kohta tekivad logid või muud andmed, peab olema arusaadav, kes neid säilitab, millisel eesmärgil ja kui kaua. Lisaks ei ole piisavalt selge valideerimisrakenduse kasutamisega seotud osaliste rollid ega vastutus isikuandmete töötlemisel. Arvestades, et valideerimine võib hõlmata inimese puude kohta teavet avaldavate andmete töötlemist ning rakendust võivad kasutada paljud avaliku ja erasektori isikud, peab olema arusaadav, kes on vastutav töötleja, kes haldab rakendust ning kelle ülesanne on Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 lahendada andmesubjekti taotlusi ja võimalikke rikkumisi. Direktiiv (EL) 2024/2841 loob Euroopa puudega inimese kaardi ja Euroopa parkimiskaardi ühise raamistiku, kuid riigisisene regulatsioon peab siiski võimaldama aru saada Eestis toimuva isikuandmete töötlemise sisust ja ulatusest. Samasisulised märkused on AKI-l eelnõu § 2 punkti 6 kohta, mis reguleerib analoogselt valideerimisrakenduse kasutamist LS alusel. Parkimiskaardi puhul tuleb arvestada, et kaardil olev QR-kood võib olla avalikult nähtav ka siis, kui kaardiomanik ise sõiduki juures ei viibi. Seetõttu on eriti oluline tagada, et tehniline lahendus välistaks kaardiomaniku andmete kättesaadavaks tegemise selleks õigustamata isikutele. Eelnõu § 1 punktiga 14 lisatakse PISTS-le § 2¹⁰, milles sätestatakse Sotsiaalkindlustusameti ülesanded Euroopa puudega inimese kaardi kasutamise edendamisel ning kuritarvitamisjuhtumite käsitlemisel. Viidatud paragrahvi lõige 3 ja seletuskirja selgitused ei ole omavahel kooskõlas. Eelnõu kohaselt teavitab Sotsiaalkindlustusamet teise liikmesriigi pädevat asutust tõsisest süstemaatilisest kuritarvitusest, samas kui seletuskiri käsitleb üldiselt kuritarvitamisest teavitamise õigust. Samuti ei selgu, mida tuleb pidada tõsiseks süstemaatiliseks kuritarvituseks, millise Euroopa Liidu õigusaktist tuleneva kohustuse alusel teavitamine toimub ega milliseid isikuandmeid võib teisele liikmesriigile edastada. Ebaselge on ka see, kas Sotsiaalkindlustusamet edastab teabe omal algatusel või teise liikmesriigi taotluse alusel. Seetõttu ei ole andmesubjekti jaoks piisavalt ettenähtav, millistel asjaoludel ja millises ulatuses tema andmeid teise liikmesriigi asutusele edastatakse. Lisaks eeltoodule nimetatakse seletuskirjas teavitamist Sotsiaalkindlustusameti õiguseks, kuid eelnõu sõnastuse kohaselt on tegemist kohustusega. Selline erinevus muudab ebaselgeks, kas Sotsiaalkindlustusamet peab PISTS § 2¹⁰ lõikes 3 nimetatud tingimuste esinemisel teabe igal juhul edastama või tegemist on asutuse valikuvabadusega. Kavandatav PISTS § 2¹⁰ lõige 5 annab Sotsiaalkindlustusametile õiguse nõuda andmeid ja dokumente väga laialt isikute ringilt, sh eraõiguslikelt isikutelt, kuid ei piiritle saadavate andmete koosseisu. Seletuskirjas korratakse sisuliselt normi sõnastust ega põhjendata, milliseid andmeid võib vaja minna, millistelt isikutelt neid eeldatavasti küsitakse ning miks ei piisa vähem riivavatest meetmetest. Andmeid võib küsida nii kaardi kehtetuks tunnistamiseks kui ka teise liikmesriigi pädeva asutuse teavitamiseks, kuid ei ole selge, kas mõlema eesmärgi puhul võib töödelda samas ulatuses andmeid. Kavandatava PISTS § 2¹⁰ lõike 6 kohaselt peab korrakaitseorgan edastama Sotsiaalkindlustusametile teabe, kui selle edastamine on vajalik Sotsiaalkindlustusameti ülesannete täitmiseks. Eelnõust ega seletuskirjast ei selgu aga, mille alusel peab korrakaitseorgan hindama teabe vajalikkust ega millises ulatuses tuleb andmeid edastada. Seetõttu võib praktikas jääda ebaselgeks, millal teavitamiskohustus tekib, samas võib tekkida oht, et Sotsiaalkindlustusametile edastatakse tema ülesannete täitmiseks ebavajalikke või ülemääraseid andmeid või vastupidi olulised andmed jäävad esitamata. Samasisulised märkused on AKI-l eelnõu § 2 punkti 8 kohta, mis reguleerib analoogselt Sotsiaalkindlustusameti ülesanded kaardi kuritarvitamisjuhtumite käsitlemisel LS alusel. Eelnõu § 1 punktiga 15 täiendatakse PISTS §-ga 2¹¹, mille eesmärgiks peab seletuskirja kohaselt olema selge õigusliku aluse loomine ning tagamine, et isikuandmeid töödeldakse üksnes ulatuses, mis on vajalik seaduses sätestatud ülesannete täitmiseks. AKI hinnangul ei ole kavandatav säte siiski piisavalt selge, et sellest nähtuks, kes ja millistel tingimustel võib isikuandmeid töödelda. Eelkõige juhime tähelepanu, et kaardi väljastab, asendab ja tunnistab kaardi kehtetuks ainult Sotsiaalkindlustusamet. Ka taotluse vastuvõtmise ja füüsilise kaardi väljastamisega seotud 2 (3) haldusülesande üleandmine ei anna ülesande täitjale kaardi väljaandmise, kehtetuks tunnistamise ega järelevalve pädevust. Seega jääb selgusetuks, millist muud kaardi väljaandmiseks, kehtetuks tunnistamiseks või kaardi kasutamise üle järelevalve tegemiseks pädevat haldusorganit § 2¹¹ lõikes 4 silmas peetakse. Kavandatavas PISTS § 2¹¹ lõikes 4 on isikuandmete võimalike saajate ring määratletud väga laialt, hõlmates mh kolmandaid isikuid. Eelnõu ega seletuskirja põhjal ei ole piisavalt selge, millistel juhtudel võib olla vajalik andmete edastamine kolmandale isikule, kes on need potentsiaalsed kolmandad isikud, milliseid andmeid edastatakse ega kuidas hinnatakse andmete edastamise vajalikkust. Lõikes 5 sätestatud nõue edastada andmeid üksnes asjaomase eesmärgi saavutamiseks vajalikus ulatuses ei kõrvalda seda ebaselgust ega anna kehtiva õigusega võrreldes täiendavat kindlust, kuna andmete minimaalsuse ja eesmärgipärasuse nõuded tulenevad juba vahetult IKÜM- i artiklist 5. Üldsõnaline viide vajalikkusele ei asenda piisavalt selget õiguslikku alust, millest nähtuks isikuandmete võimalike saajate ring ja andmete edastamise tingimused. Samasisulised märkused on AKI-l eelnõu § 2 punkti 9 kohta, mis reguleerib analoogselt isikuandmete töötlemise alused Euroopa puudega inimese parkimiskaardi menetluses. Eelnõu § 1 punktiga 25 pannakse Politsei- ja Piirivalveametile kohustus teavitada Sotsiaalkindlustusametit tagaotsimismenetluse või teadmata kadunud isiku asukoha tuvastamise menetluse algatamisest ja lõpetamisest. Seletuskirja kohaselt on teabe edastamine vajalik toetuse maksmise peatamiseks ning selle alus nähakse ette eelnõu § 1 punktis 30. Esitatud eelnõus § 1 punkt 30 puudub ning ka ühestki teisest eelnõu sättest ei tulene alust peatada toetuse maksmine nimetatud menetluste ajaks. Seetõttu ei ole võimalik hinnata, millise Sotsiaalkindlustusameti ülesande täitmiseks PPA andmeid edastab ega kas selline andmeedastus on vajalik ja eesmärgipärane. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] 627 4108 3 (3)