Arvamuse edastamine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Sotsiaalministeerium Teie 14.08.2026 nr 1.2-2/71-1 [email protected] Meie 31.08.2026 nr 2.3-4/26/3171-2 Arvamuse avaldamine eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks inimpäritolu materjali seaduse eelnõu. Seoses eelnõuga on meil alljärgnevad märkused. 1. Eelnõu § 14 lg 3 sätestab, et doonorilt eemaldatud inimpäritolu materjali võib teadustöös kasutada doonori kirjalikul nõusolekul ning isikuandmete töötlemine toimub IKS § 6 alusel. Samas IKS § 6 räägib nõusolekuta isikuandmete töötlemisest. Segaseks jääb, kas soovitakse isikuandmete töötlemise aluseks sätestada nõusolek või lähtuda IKS §-st 6. 2. Eelnõu § 20 lg 6 kohaselt on riikliku vereteenistuse infosüsteemi kaasvastutavad töötlejad Sotsiaalministeerium ja Tervisekassa. Sätte põhiline puudus seisneb selles, et kaasvastutus on seaduses üksnes deklareeritud, kuid selle õiguslikku ja faktilist sisu ei ole avatud. Eelnõust ega seletuskirjast ei nähtu, milliseid infosüsteemis toimuva isikuandmete töötlemise eesmärke ja olulisi vahendeid nimetatud asutused ühiselt kindlaks määravad, milliste töötlemistoimingute suhtes kaasvastutus kehtib ega milline on kummagi asutuse tegelik otsustusõigus ja vastutus. Pelgalt infosüsteemi arendamises, rahastamises või toimimise korraldamises osalemine ei ole piisav alus IKÜM art 26 kohase kaasvastutuse tekkimiseks. Samuti ei määra eelnõu § 20 lg 6 üheselt ka andmekogu vastutavat töötlejat ehk haldajat AvTS § 43⁴ tähenduses. Seetõttu jääb ebaselgeks, kas mõlemad asutused on kavandatud andmekogu vastutavateks töötlejateks, isikuandmete kaasvastutavateks töötlejateks või täidavad samaaegselt mõlemat rolli. Seda ebaselgust süvendab eelnõu kavand 4 ehk põhimääruse kavand, milles nimetatakse Sotsiaalministeeriumi ja Tervisekassat esmalt kaasvastutavateks töötlejateks, kuid käsitatakse seejärel Sotsiaalministeeriumit eraldi vastutava töötlejana. Selline regulatsioon ei võimalda üheselt tuvastada, kes vastutab andmekogu haldamise seaduslikkuse ja arendamise eest ning kes vastutab konkreetsete isikuandmete töötlemise toimingute õiguspärasuse eest. Seega ei kõrvalda põhimääruse kavand seaduse puudust, vaid kordab ja süvendab seda. Kaasvastutavate töötlejate vastutusvaldkonnad on jäetud sisuliselt määratlemata ning nende täpsemad ülesanded ja vastutus soovitakse lahendada pooltevahelise koostöökokkuleppega. Õigusaktist peavad siiski nähtuma vähemalt kaasvastutuse esemeline ulatus, kummagi töötleja põhiülesanded ning vastutus andmesubjekti õiguste, teavitamiskohustuse, juurdepääsude, andmete väljastamise, turvameetmete, andmekaitsealase mõjuhinnangu, rikkumiste lahendamise, säilitamise ja kustutamise ning volitatud töötleja kontrollimise eest. Neid põhiküsimusi ei saa jätta avalikkusele kättesaamatu koostöökokkuleppe lahendada. Seetõttu leiame, et teha tuleks tegelikust tööjaotusest lähtuv rollianalüüs ning näidata iga asutuse puhul konkreetne seadusest tulenev ülesanne ja otsustuspädevus, mille tõttu määrab asutus koos Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 teise töötlejaga kindlaks isikuandmete töötlemise eesmärgid ja olulised vahendid. Eriti tuleb põhjendada Tervisekassa kaasvastutava töötleja staatust. Kui Tervisekassa ülesanded piirduvad infosüsteemi rahastamise, arendamise, tehnilise toimimise või jätkusuutlikkuse tagamisega või Sotsiaalministeeriumi abistamisega, ei ole IKÜM art 26 kohane kaasvastutus tõendatud ning Tervisekassat ei saa üksnes nende ülesannete põhjal isikuandmete kaasvastutavaks töötlejaks määrata. Oleme juba varasemalt oma 03.03.2026 esitatud arvamuses (Andmekaitse Inspektsiooni avalik dokumendiregister) juhtinud tähelepanu sellele, et vereteenistuse infosüsteemi regulatsioonis tuleb lahus hoida andmekogu vastutav töötleja ehk haldaja AvTS § 43⁴ tähenduses, isikuandmete vastutav töötleja või kaasvastutavad töötlejad IKÜM art 4 p 7 ja art 26 tähenduses, andmekogu volitatud töötleja AvTS § 43⁴ lg-te 2 ja 3 tähenduses ning isikuandmete volitatud töötleja IKÜM art 28 tähenduses. Praegusel juhul ei ole eelnõu § 20 lg 6 ega selle alusel kavandatud põhimääruse vastutust käsitlevad sätted selged, mis tähendab, et AKI varasemas arvamuses tõstatatud põhiprobleemiga ei ole sisuliselt arvestatud. Asutuste formaalne nimetamine kaasvastutavateks töötlejateks ei asenda kaasvastutuse õigusliku aluse, ulatuse ja tegeliku vastutuse määramist. Seetõttu palume seaduses üheselt määrata andmekogu vastutav töötleja ehk haldaja ning kaasvastutavad töötlejad üksnes juhul, kui nende kaasvastutus vastab tegelikule tööjaotusele ja IKÜM art 26 tunnustele. 3. Eelnõu § 20 lg 5 p 2 annab verekeskusele, verekabinetile ja referentlaborile juurdepääsu infosüsteemi andmetele seadusest ja teistest õigusaktidest tulenevate kohustuste täitmiseks. Samal ajal näeb § 21 ette, et vere ja verekomponentide kogumine, töötlemine, kvaliteedikontroll, ladustamine, vabastamine ja väljastamine on verekeskuse ülesanne. Infosüsteemi kogutavad andmed, sh doonori terviseküsimustik, meditsiinilise läbivaatuse andmed, verevõtuandmed, retsipiendi vereülekannete ajalugu ja reaktsioonid, on otseselt seotud verekeskuste ning tervishoiuteenuse osutajate sisuliste ülesannetega. Eelnõus ja põhimääruse kavandis ei ole aga analüüsitud verekeskuste tegelikku rolli infosüsteemis toimuval isikuandmete töötlemisel. Verekeskused täidavad seadusest tulenevaid sisulisi ülesandeid, millest tulenevalt ei saa verekeskusi käsitada üksnes andmeandjate või infosüsteemi juurdepääsuõigusega kasutajatena, ilma et oleks hinnatud, kas nad määravad oma ülesannete täitmisel iseseisvalt või koos teiste töötlejatega kindlaks isikuandmete töötlemise eesmärgid ja olulised vahendid. Leiame, et eelnõust peab selgelt nähtuma, kas verekeskused on nende enda seadusest tulenevate ülesannete täitmisel iseseisvad vastutavad töötlejad, teatavate töötlemistoimingute puhul kaasvastutavad töötlejad või tegutsevad eranditult teise vastutava töötleja dokumenteeritud juhiste alusel volitatud töötlejatena. Töötleja roll tuleb määrata tegelike ülesannete ja otsustuspädevuse, mitte üksnes infosüsteemi korraldusliku kirjelduse või kasutajastaatuse järgi. Kui verekeskus otsustab oma avaliku või tervishoiuteenuse osutamise ülesande raames, miks ja kuidas doonori terviseandmeid töödeldakse, ei vasta tema käsitamine pelgalt andmeandjana tegelikule tööjaotusele. Oma varasemas arvamuses juhtisime sellele küsimusele tähelepanu, kuid eelnõus ega põhimääruse kavandis ei ole verekeskuste rolli jätkuvalt sisuliselt hinnatud. Seetõttu jääb ebaselgeks, kes vastutab verekeskuse tehtava töötlemise õiguspärasuse, andmete õigsuse, minimaalsuse, andmesubjekti õiguste ning juurdepääsude eest. Palume verekeskuste tegelik roll töötlemistoimingute kaupa kindlaks määrata ning kajastada see selgelt seaduses ja põhimääruses. Praegusel kujul ei taga regulatsioon töötlejate rollide läbipaistvust ega vastutuse üheselt tuvastatavust. 2 (4) 4. Põhimääruse kavandi §-s 3 on Tervise ja Heaolu Infosüsteemide Keskusele kui volitatud töötlejale pandud vastutus andmetöötlustoimingute õiguspärasuse ja isikuandmete töötlemise nõuete täitmise eest. Leiame, et säte ei vasta IKÜM ega AvTS kohasele rollijaotusele. AvTS § 43⁴ järgi vastutab andmekogu vastutav töötleja ehk haldaja andmekogu haldamise seaduslikkuse ja arendamise eest ning IKÜM art 24 ja art 28 järgi jääb vastutavale töötlejale üldvastutus isikuandmete töötlemise õiguspärasuse eest. Neid kohustusi ei saa põhimäärusega volitatud töötlejale üle anda. Volitatud töötleja võib täita üksnes selgelt piiritletud tehnilisi ja korralduslikke ülesandeid vastutava töötleja juhtimisel, kontrolli all ning dokumenteeritud juhiste kohaselt. Praegune sõnastus võimaldab aga vastutaval töötlejal talle seadusega pandud vastutust näiliselt volitatud töötlejale üle kanda, mis hägustab AvTS ja IKÜM rollide erinevust ega taga, et andmekogu haldamise ning isikuandmete töötlemise õiguspärasuse eest vastutav isik oleks õigusaktist üheselt tuvastatav. Palume põhimääruse kavandi § 3 ümber sõnastada nii, et andmekogu haldamise seaduslikkuse ja arendamise eest vastutamine peab jääma AvTS § 43⁴ kohasele andmekogu vastutavale töötlejale ehk haldajale ning isikuandmete töötlemise õiguspärasuse ja IKÜM nõuete täitmise üldvastutus IKÜM kohasele vastutavale või kaasvastutavatele töötlejatele. 5. Põhimääruse kavandi § 1 lg 1 järgi on infosüsteemi pidamise eesmärk tagada inimpäritolu materjali kvaliteetne käitlemine ja inimkasutuse kliiniliste tulemuste jälgimine. Samas eelnõu § 20 lg 1 sätestab aga kuus eesmärki, milleks on vere kvaliteetne käitlemine, vere käitlemise ja inimkasutuse jälgitavus ja valvsus, vere inimkasutuse kliiniliste tulemuste hindamine, vere käitlemise järelevalve, tervisestatistika ja tervishoiupoliitika jaoks vajalike andmete töötlemine ning veretarnete võimalike kriiside lahendamine. Leiame, et määrus ei tohiks kujundada seaduses sätestatud eesmärke ümber ega jätta neist osa välja. Lisaks kasutab määrus väljendit „inimpäritolu materjali kvaliteetne käitlemine“, kuigi infosüsteem on § 20 järgi vereteenistuse infosüsteem ja selle andmestikud puudutavad verd. Selline laiendus võib jätta mulje, et infosüsteemis töödeldakse ka muude inimpäritolu materjalide andmeid. Palume sõnastada säte selliselt, et ei jääks muljet nagu oleks põhimääruses toodud eesmärk laiem kui volitusnormis toodud andmekogu eesmärk või siis jätta üldse välja andmekogu eesmärgi dubleerimine põhimääruses. 6. Lisaks juhime tähelepanu põhimääruse kavandi volitusnormile. Nimelt on põhimääruses märgitud, et määrus kehtestatakse inimpäritolu materjali seaduse § 20 lg 1 alusel. See ei ole aga korrektne. Eelnõu § 20 lg 1 sätestab infosüsteemi eesmärgid. Põhimääruse kehtestamise volitusnorm sisaldub § 20 lg-s 2. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor 3 (4) Andres Kudrjavtsev [email protected] 627 4109 Terje Enula [email protected] 627 4144 4 (4)