Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Liisa-Ly Pakosta Teie 16.02.2026 nr 8-1/1173-1 Justiits- ja Digiministeerium [email protected] Meie 04.03.2026 nr 2.3-5/26/650-2 Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks huvide deklaratsioonide registri põhimääruse eelnõu. Arvestades, et käsil on andmekogu põhimääruse muutmine, mis annab võimaluse muuta ka kehtivat põhimäärust selgemaks ja konkreetsemaks, siis esitame oma tähelepanekud nii eelnõu kui ka kehtiva põhimääruse osas. Eelnõu ülevaatamisel hakkas silma, et huvide deklaratsioonide registri põhimäärus erineb oma ülesehituselt ja struktuurilt paljude teiste andmekogude põhimäärustest ning ei ole seetõttu ka niivõrd selge ja üheselt arusaadav kui võiks. Kogemustele tuginedes võib märkida, et enamike andmekogude põhimäärused järgivad enam- vähem väljakujunenud struktuuri, mis algab üldsätetega, kus käsitletakse andmekogu asutamist, eesmärki ja määratletakse selle nimetus, samuti tuuakse selgelt välja vastutav ja volitatud töötleja ning loeteluna mõlema ülesanded eraldi. Seejärel järgmise peatükina käsitletakse andmekogu ülesehitust ja andmete tähendust, kus tuuakse eraldi paragrahvidena välja andmekogu ülesehitus, andmete kaitse ehk millist turvaklassi kohaldatakse jms ning andmete õigluslik tähendus (kas on õigust loov vms). Sellele järgneb peatükk andmeandjatest ja andmete esitamisest ning andmete koosseisust, töötlemisest ja logimisest, kus saab juba konkreetselt välja tuua, kes on andmekogusse andmete esitajad, milliseid andmeid ja mis koosseisus nad seda teevad, kuidas nad seda teevad, kes ja millistel alustel ning tingimustel andmeid andmekogust saavad (kellele ja kuidas andmed väljastatakse ning juurdepääsud). Samuti kuidas toimub andmete andmekogusse kandmine, muutmine ja parandamine, logimine ning kui on mingid juurdepääsu erisused, siis käsitletakse neid (nt juurdepääs isikustatud andmetele). Lisaks reguleeritakse põhimääruses seda, kuidas andmeid säilitatakse, arhiveeritakse ja kustutatakse. Viimaks aga antakse ülevaade, kuidas toimub andmekogu üle järelevalve, selle rahastamine ja lõpetamine. Mõistagi sõltub täpne struktuur ja detailsus konkreetse andmekogu iseloomust ja keerukusest, ent üldjoontes võib ülesehitust sellisena kirjeldada. Leiame, et paljude andmekogude põhimääruste puhul n-ö tavaks saanud struktuur võimaldaks kiiremat ja selgemat ülevaadet saada, mis andmekoguga on tegu, miks seda vaja on, milliseid andmeid sinna kogutakse, kes neid esitavad ning kes andmekogust andmeid saavad. Andmekogu põhimääruse eesmärk ongi just luua selgust ja läbipaistvust. Huvide deklaratsioonide registri põhimääruses on küll eelpool nimetatud aspektid enam-vähem käsitletud, kuid nagu märgitud, siis ei ole seda tehtud selge ülesehituse ja struktuuriga, mistõttu on raskendatud andmekogus toimuvast ülevaate saamine. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Näiteks annab põhimääruse § 7 ülevaate andmekogusse kantavatest andmestikest, milleks on deklarandi andmed, deklaratsiooni andmed, deklaratsiooni kontrollimise andmed ja deklaratsiooniga tutvumise andmed. Samas loetelu nendesse andmestikesse kuuluvatest andmetest on esitatud erinevates paragrahvides segamini sätetega, mis puudutavad andmetega tehtavaid toiminguid ning deklaratsioonide esitamist ja avalikustamist. See aga raskendab andmekogusse kogutavatest andmetest tervikpildi saamist. Seetõttu soovitame kaaluda andekogu põhimääruse struktuuri selgemaks ning jälgitavamaks muutmist. Eelnev puudutab ka andmekogusse kogutavate andmete säilitamist, mida on kajastatud kolmes erinevas paragrahvis. Põhimääruse § 6 lõige 3 näeb ette (arvestades eelnõu § 1 punktiga 8 tehtud muudatust), et registris säilitatakse seitse aastat logidena andmeid sündmuste ja toimingute kohta. Põhimääruse § 14 lõige 5 näeb ette, et deklaratsiooni andmed kustutatakse registrist seitsme aasta möödumisel nende esitamisest ning § 20 omakorda näeb ette (arvestades eelnõu § 1 punktiga 40 tehtavat muudatust), et kustutatud deklaratsioonid ja muud andmed hävitatakse. Viimase osas on seletuskirjas muudatuse vajadust selgitatud sellega, et §-st 20 jäetakse välja sõna „logid“, kuna see rikub logide terviklikkuse põhimõtet ning seda on tehniliselt keeruline teostada. Registriandmed muudetakse hävitamisel jäädavalt loetamatuks ning logide mainimine siin lisandväärtust ei anna. Nõustuda võib, et logide eraldi välja toomine muude andmete hulgast lisandväärtust ei anna, kui kõik andmed kuuluvad seitsme aasta möödumisel kustutamisele ja hävitamisele, kuid seletuskirjast jääb siiski selgusetuks see osa, mis puudutab logide terviklikkuse põhimõtte rikkumist ja tehnilist teostust. 25.03.2014 eelnõude infosüsteemis registreeritud huvide deklaratsioonide registri põhimääruse eelnõu seletuskirja1 järgi kustutatakse § 14 lõike 5 kohaselt deklaratsioonid seitsme aasta möödumisel registrist automaatselt ning tulenevalt §-st 20 muudetakse andmed nende kustutamisel jäädavalt loetamatuks, sh logid. Arvamuse andmiseks esitatud eelnõu seletuskirjast võib aga välja lugeda, et logid siiski hävitamisele ei kuulu, kuna see rikuks logide terviklikkuse põhimõtet ja seda oleks tehniliselt keeruline teostada. Samas nähtub põhimääruse § 6 lõikest 3, et logid sisaldavad registrisse andmete sisestaja, salvestaja, kinnitaja, muutja, kustutaja või andmetele juurdepääsu saanud isiku isikukoodi ehk isikuandmeid. Juhime tähelepanu sellele, et IKÜM artikkel 4 punkti 4 järgi on isikuandmete töötlemine igasugune isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum. Seega, kui isikuandmeid sisaldavad logid pärast nende registrist kustutamist jäetakse siiski lõplikult hävitamata ja neid registris edasi säilitatakse, siis on tegemist jätkuva isikuandmete töötlemisega, kuid seda juba ilma õigusliku aluseta. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 1 Vabariigi Valitsuse määruse „Huvide deklaratsioonide registri põhimäärus“ eelnõu – EIS 2 (2)