Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Jürgen Ligi Teie 27.07.2026 nr 1.1-10.1/3128-1 Rahandusministeerium [email protected] Meie 18.08.2026 nr 2.3-5/26/2926-2 Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks Vabariigi Valitsuse 31. juuli 2014. a määruse nr 121 „Struktuuritoetuse registri pidamise põhimäärus“ muutmise eelnõu. Meil on eelnõu osas järgmised tähelepanekud. 1. Eelnõu § 1 punkti 4 järgi nimetatakse senine struktuuritoetuse register ümber toetuste registriks. Seletuskirjas on põhjendatud, et registris hoitakse lisaks struktuuritoetuste andmetele ka mitmete teiste toetuste andmeid ning 2021–2027 perioodil ei kasutata enam struktuuritoetuse mõistet, mistõttu on registri nimetus vananenud ja ei vasta enam sisule. Samas ei ava seletuskiri piisavalt senise struktuuritoetuse registri, ÜSS2021_20271 § 21 tähenduses toetuse haldamise registri ja eelnõuga kavandatava toetuste registri omavahelist seost. Oleme oma varasemas arvamuses2 juhtinud juba tähelepanu sellele, et toetuste haldamise registri, toetuste haldamise keskkonna ja struktuuritoetuste registri vahekord jäi ebaselgeks ning seletuskiri seda piisavalt ei avanud. Ka antud eelnõus on nimetust küll muudetud, kuid nime muutmine ei asenda andmekogu õigusliku järjepidevuse ja ulatuse selgitamist. Soovitame seletuskirjas selgelt märkida, kas struktuuritoetuse register, toetuse haldamise register ja toetuste register tähistavad kõik sama andmekogu. Samuti palume selgitada, milliseid toetusi ja rahastusallikaid register hõlmab ning kas tegemist on sama andmekogu ümbernimetamise ja regulatsiooni ajakohastamisega või andmekogu ulatuse sisulise laiendamisega. 2. Eelnõu preambulis viidatakse mitmele volitusnormile: perioodi 2007–2013 struktuuritoetuse seaduse § 4 lõikele 3, perioodi 2014–2020 struktuuritoetuse seaduse § 37 lõikele 4, perioodi 2021–2027 seaduse § 21 lõikele 5, mis eelnõu § 1 punkti 2 kohaselt asendatakse § 21 lõikega 2, ning välissuhtlemisseaduse § 8 lõikele 6. Juhime tähelepanu sellele, et kõik need volitusnormid ei ole sama sisuga. ÜSS2021_2027 § 21 lõige 2 on kõige detailsem ning nõuab, et põhimääruses sätestatakse muu hulgas andmeandjad ja nendelt saadavad andmed, täpsem andmekoosseis, vastutava ja volitatud töötleja ülesanded, andmetele juurdepääsu ja andmete väljastamise kord ning andmete 1 Perioodi 2021–2027 Euroopa Liidu ühtekuuluvus- ja siseturvalisuspoliitika fondide rakendamise seadus 2 04.02.2026 nr 2.3-4/26/258-2 Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  säilitamise täpsemad tähtajad. Perioodi 2014–2020 struktuuritoetuse seadus viitab struktuuritoetuse registrile ning seob selle määruse (EL) nr 1303/2013 artikli 125 lõike 2 punktides d ja e nimetatud ülesannetega. Välissuhtlemisseaduse § 8 lõige 6 võimaldab asutada Euroopa Liidu toetuse või välisabi vahendamisega seotud andmekogu ja kehtestada selle põhimääruse, milles sätestatakse muu hulgas isikuandmete liigid, juurdepääsu ja väljastamise kord ning säilitamise tähtajad. Seletuskirjas on lühidalt selgitatud vaid, et ÜSS2021_2027 § 21 volitusnormi asukoht muutus paragrahvi sees. Leiame, et seletuskirjas antud selgituse puhul on tegemist üksnes vormilise selgitusega, mis ei näita aga, kuidas eri volitusnormid katavad eelnõuga reguleeritava andmetöötluse. Palume seletuskirjas iga toetuse perioodi ja rahastusallika puhul välja tuua, millise seaduse ja millise volitusnormi alusel andmeid registris töödeldakse, milline volitusnorm katab andmekoosseisu, andmeandjad, andmesaajad, juurdepääsud, väljastamise, säilitamise, logimise ning registri kasutajate ja projektiosaliste kontaktisikute andmete töötlemise. 3. Eelnõu § 1 punktiga 7 täiendatakse andmekogu põhimääruse § 2 lõigetega 21 ja 22, milles sätestatakse volitatud töötlejate ülesanded. Leiame, et selline täiendus on küll vajalik, kuid kavandatud regulatsioon ei ava piisavalt tegelikku tööjaotust. Eelnõu ja seletuskiri käsitlevad küll vastutavat töötlejat ja volitatud töötlejaid, kuid seletuskirjast ei nähtu, millises rollis tegutsevad ministeeriumid, Riigikantselei, rakendusüksused ja muud toetuse andjad siis, kui nad sisestavad, kontrollivad, parandavad, kasutavad või väljastavad registriandmeid. Kui asutus ei tegutse registris üksnes vastutava töötleja juhiste alusel, vaid menetleb oma õigusaktist tuleneva pädevuse piires toetuse taotlusi, hindab taotleja või taotluse nõuetele vastavust, määrab konkreetse meetme puhul nõutavad andmed, tuleb seletuskirjas hinnata, kas ta on selles andmetöötluse osas volitatud töötleja, iseseisev vastutav töötleja või kaasvastutav töötleja IKÜM artikli 26 tähenduses. Seda rollianalüüsi seletuskirjast praegu ei nähtu. Seega palume seletuskirjas lisaks andmekogu vastutava ja volitatud töötleja rollidele analüüsida ka isikuandmete töötlemisel kaasvastutuse võimalikku esinemist. Praegu ei ole põhjendatud, miks määruses nimetatud asutused on üksnes volitatud töötlejad ega võiks mõnes andmetöötluse osas olla isikuandmete kaasvastutavad töötlejad. Kui kaasvastutavaid töötlejaid ei ole, tuleb põhjendada, miks kõiki registri pidamises osalevaid asutusi saab käsitada üksnes volitatud töötlejatena. Kui analüüsi tulemusel aga selgub, et mõni asutus määrab oma ülesannete täitmisel iseseisvalt või koos vastutava töötlejaga (RTK) isikuandmete töötlemise eesmärgid või olulised vahendid, tuleb põhimääruses määratleda kaasvastutus ning vastutuse jaotus andmesubjekti õiguste teostamise osas. Soovitame tutvuda ka Justiits- ja Digiministeeriumi juhisega3 (JDM juhis). 4. Eelnõu § 1 punktiga 12 antakse põhimääruse §-le 4 uus sõnastus, millega korrastatakse andmekogu andmete loetelu. Kavandatava § 4 muudatuses viidatakse lõike 1 punktis 5 ÜSS2021_2027 § 2 punktile 7 ning nimetatakse registrisse kantavate andmetena riigi pikaajalises arengustrateegias kinnitatud strateegilisi sihte, aluspõhimõtteid ja näitajaid. Samas ÜSS2021_2027 § 2 punkt 7 määratleb küll strateegilised sihid ja aluspõhimõtted, kuid säte ei sisalda mõistet „näitajad“ ega ka näitajate registrisse kandmise alust. Palume täpsustada eelnõu § 4 lõike 1 punkti 5 sõnastust või seletuskirjas selgitada, millise õigusliku aluse alusel kantakse registrisse lisaks strateegilistele sihtidele ja aluspõhimõtetele ka näitajad. Kui näitajad tulenevad muust õigusaktist, meetmete nimekirjast, rakenduskavast või registri pidamise vajadusest, tuleb vastav alus ja andmekoosseis seletuskirjas selgelt välja tuua. 3 Andmekaitseõiguse ja avaliku teabe juhised eelnõu koostajale 2 (4)  Lisaks juhime tähelepanu uuendatud §-s 4 toodud andmekooseisule. Nimelt on sättes andmeid küll rühmitatud, kuid andkogusse kogutavate andmete loetelu on endiselt esitatud üldiste kategooriatena. Näiteks nimetatakse eelnõus toetuse taotluse ning projekti andmeid, kontrollidega seotud andmeid, auditite ning tuvastatud asjaolude andmeid ja Euroopa Komisjonile esitatava kuluaruande andmeid, kuid avamata on jäänud, millised konkreetsed andmed nende kategooriate alla kuuluvad. Andmekaitse Inspektsioon on andmekogude juhendis4 selgitanud, et andmekogu põhimäärus peab sisaldama ammendavat loetelu antud andmekogusse kogutavatest andmetest. Seejuures peab loetelust ka selguma, kelle kohta (st andmesubjektide kategooriad) neid andmeid kogutakse. Kui andmete koosseis on väga mahukas, võib loetelu esitada põhimääruse lisana. Põhimäärusesse ei tuleks panna tehnilisi andmeid, mida on vaja infosüsteemi toimimiseks. Näiteks andmevälja või kande liigi süsteemi- sisene tunnus või andmete muutmise aeg. Samuti on JDM juhendis selgitatud, et andmekogu põhimääruses tuleb sätestada andmekogusse kantavate andmete täpne/ammendav loetelu (vajadusel saab esitada lisana) – nt isiku üldandmed või „isiku kohta käivad andmed“ ei ole piisavalt ammendavad, kuna pole võimalik aru saada, mis on täpne andmekoosseis. Siinjuures näeme probleemina § 4 lõiget 7, mille kohaselt määratakse § 4 lõigetes 1–4 nimetatud andmete sisestamiseks ette nähtud andmeväljad, nende täitmise nõuded ja kohustuslikkus kindlaks vastutava töötleja koostatud juhendis. Leiame, et see ei ole kooskõlas ÜSS2021_2027 § 21 lõikega 2, mille järgi peab täpsem andmekoosseis olema sätestatud põhimääruses. Palume põhimääruses sätestada registrisse kantavate andmete piisavalt täpne ja kontrollitav loetelu. Vastutava töötleja juhend võib täpsustada tehnilist vormi või infosüsteemi kasutuskorraldust, kuid sellega ei saa määrata isikuandmete töötlemise sisulist ulatust. 5. Palusime oma varasemas arvamuses täpsustada, millised isikuandmed anonüümitakse ning kuidas tagatakse, et pärast anonüümimist ei ole võimalik isikuid tuvastada. Antud eelnõus on vastutava töötleja ülesandena nimetatud andmete säilitamise, kustutamise ja anonüümimise tagamine vastavalt õigusaktidele, kuid põhimäärus ega seletuskiri ei ava jätkuvalt anonüümimise ulatust, meetodit ega seost konkreetsete andmekoosseisudega. Selgitame, et anonüümimine ei tähenda üksnes otseste tunnuste eemaldamist. Andmed on anonüümsed vaid juhul, kui isikut ei ole võimalik mõistlikult tõenäoliste vahenditega tuvastada, sh teiste andmetega kombineerides. Seda on eriti oluline hinnata registris, kus töödeldakse toetuse taotlejate, projektiosaliste ja tegevustes osalejate andmeid ning teatud juhtudel ka eriliiki isikuandmeid. Palume täiendada seletuskirja selgitusega, milliste andmekoosseisude suhtes anonüümimist kohaldatakse, millal anonüümimine toimub, kuidas hinnatakse anonüümimise pöördumatust ning kas ja milliseid andmeid säilitatakse pärast anonüümimist statistilisel eesmärgil. 6. Andmekaitse Inspektsioon on isikuandmete töötleja üldjuhendis5 seoses logidega selgitanud järgmist: selleks, et ära hoida isikuandmete väärkasutamist ning tagada, et tagantjärele oleks võimalik kindlaks teha, kes, millal ja miks infosüsteemis andmeid 4 Andmekogude juhend 5 Isikuandmete töötleja üldjuhend 3 (4)  vaadanud või kasutanud on, peabki elektroonilise andmetöötluse puhul pidama logikirjeid isikuandmete töötlemise kohta. Andmekogude juhendis on samuti selgitatud: et andmekogu vastutaval töötlejal oleks võimalik andmete väljastamise seaduslikkus tagada, peab ta kindlustama, et päringud logitakse. Andmekogu vastutav töötleja peab läbi mõtlema, millisel viisil päringute põhjendatuse kontrollimist korraldada (kas käsitsi või rakendatakse ka mingeid automaatkontrolle, mis annavad teatud kriteeriumide esinemisel häireteate). Antud juhul hõlmab uuendatud § 4 lõige 6 süsteemilogisid andmete sisestamise, muutmise ja kustutamise ning toimingu tegija, aja ja sisu kohta ning § 15⁵ hõlmab kande tegemist, sh salvestamist, muutmist ja kustutamist, kuid kumbki eelnimetatud säte ei hõlma sõnaselgelt andmetega tutvumist, päringuid ega andmete väljastamist. Seetõttu leiame, et eelnõus jääb logimist puudutav regulatsioon kontrollitavuse ja andmesubjekti teavitamise seisukohalt poolikuks. Palume täiendada eelnõus logimise regulatsiooni nii, et lisaks sisestamisele, salvestamisele, muutmisele ja kustutamisele logitakse ka vaatamine, päringud ja andmete väljastamine. Logikirjes aga peaks kajastuma toimingu tegija, aeg, toimingu liik ning võimalusel toimingu alus või eesmärk. Seletuskirjas tuleks aga kirjeldada logide kontrollimise üldist korraldust. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 4 (4)