Vastus märgukirjale

Tartu Linnavalitsus [email protected] Raekoja plats 1a Teie 19.02.2026 nr 21.3-1.2/02224 Tartu linn, Tartu linn 50089 Meie 04.03.2026 nr 1-17/26/744-2 Vastus märgukirjale Täname Teid pöördumise eest. Mõistame, et tegemist on kõigi osapoolte jaoks keerulise olukorraga ja püüame selle lahendamiseks leida võimalikult kiire ja tõhusa lahenduse. Loodame siinkohal ka Teie koostööle, et tagada ehitisregistris (EHR) isikuandmete piisav kaitse. Märgite oma kirjas, et „ehitisregistri kannete järgi on kõikidele Tartu linna haldusterritooriumil paiknevate ehitistega seotud dokumentidele tehtud märge: „Fail on asutusesiseseks kasutamiseks. Teabevaldaja: Tartu Linnavalitsus. Alus: AvTS § 35 lõige 1 punkt 12. Põhjendus: Ajutine ettevaatusabinõu, mille eesmärk on ennetada võimalikku isikuandmete kaitse riivet. Kohalikud omavalitsused ja teised menetlejad hindavad juurdepääsupiirangu vajadust.“ Selgitate, et „Avaliku teabe seaduse tähenduses on aga teabevaldaja see avaliku sektori asutus, kes vastutab teabe haldamise ja avalikustamise eest. See tähendab, et dokumentide juurdepääsu- ja avalikustamise reeglid saab kehtestada ainult see asutus, kellel on selgelt õigus ja kohustus teavet avaldada.“ Selgitate ka, et „Omavalitsus on üks andmeandjatest, kõrvuti kõigi teiste füüsiliste ja juriidiliste isikutega. Ehitusdokumentatsiooni osas on teabevaldaja Kliimaministeerium (registri pidaja) – ainus riigiasutus, kelle pädevusse kuulub juurdepääsupiirangute kehtestamine registris hoitavatele dokumentidele. Andmeandjad edastavad registrile dokumentatsiooni, kuid ei halda ega avalikusta registris infot ise.“ Sellise teabevaldaja mõiste ja KOV-i rolli tõlgendusega ei saa nõustuda, samuti ei ole see meie hinnangul kooskõlas Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM). Põhjendame seda seisukohta allpool. AvTS-i § 3 lõike 1 kohaselt on avalik teave mis tahes viisil ja mis tahes teabekandjale jäädvustatud ja dokumenteeritud teave, mis on saadud või loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites. Teabevaldajaks on seega AvTS-i § 5 lõikes 1 nimetatud isik, kes on avalikke ülesandeid täites teabe saanud või loonud. Sellel isikul on AvTS-ist tulenevalt ka teabe avalikustamise, sh juurdepääsupiirangute kehtestamise kohustus. Ilmselgelt saab avaliku ülesande täitmisega olla seotud ka mitu asutust. Antud juhul on EHR-i pidajana selle andmekogu strateegiliste otsuste tegemise pädevus KLIM-is ja volitatud töötleja Suur-Ameerika 1 / Tallinn 10122 / 626 2802/ [email protected] / www.kliimaministeerium.ee/ Registrikood 70001231 ülesanded kuuluvad MARU-le, kes peab tagama registris erinevad tehnilised võimalused ja lahendused. KLIM ja MARU ei ole aga ehitistega seotud menetluste läbiviijad, kes oma tööga seoses ehitusdokumentatsiooni saavad või koostavad – selleks on valdavalt KOV-id 1 . Ehitisregistri kaudu esitatakse taotlused, sh ehitusdokumendid, menetlejale. Ehitisregister ei ole seega pelgalt ehitusdokumentatsiooni hoidmise koht, kuhu neid riik kogub ainult enda ülesannete täitmiseks, vaid ka menetluskeskkond/menetlusportaal, mis on seadusega ette nähtud menetlustoimingute läbiviimiseks. Näiteks esitatakse EhS-i § 40 lõige 1 esimese lause kohaselt ehitusloa taotlus ja sellega seonduvad dokumendid pädevale asutusele elektrooniliselt ehitisregistri kaudu, EhS-i § 42 lõike 8 kohaselt antakse ehitusluba elektrooniliselt ehitisregistrisse. Pädevaks asutuseks, kes EHR-i kaudu oma tööks vajalikke dokumente saab ja avaldab on seega KOV, kes on seetõttu nende dokumentide osas AvTS-i tähenduses samuti teabevaldajaks. Nagu selgitasime eespool, on ka KLIM-il ja MARU-l EHR-i pidajatena vastutus selle isikuandmete töötlemise nõuetega kooskõla tagamisel. Küll aga ei ole selle põhisisuks menetleja – KOV-i – poolt saadud ja loodud teabele juurdepääsupiirangute kehtestamine. Teabega seotud teabevaldajatel võivad asjaoludest sõltuvalt olla teabe avalikustamisega seoses erinevad rollid ja seega ka erinevad kohustused. Ehitisregistri pidajal on kohustus tagada, et kasutusel oleksid kõik asjakohased tehnilised ja korralduslikud meetmed, et isikuandmete töötlemine ehitisregistris oleks kooskõlas isikuandmete kaitse nõuetega. IKÜM defineerib isikuandmete vastutavad (sh kaasvastutavad) töötlejad – “„vastutav töötleja” – füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses;” Oleme seisukohal, et KOV-id menetlejatena on isikuandmete kaasvastutavad töötlejad menetlusega seotud andmete ja dokumentide osas ning sellega seoses EHR-is olevate dokumentide juurdepääsupiirangute seadmisel. Sellega on nõustunud ka Andmekaitse Inspektsioon oma 11.02.2026. a kirjas Kliimaministeeriumile2 . KOV menetlejana saab EHR-i kaudu menetluseks vajalikke dokumente, EHR-i tehnilised lahendused võimaldavad menetlejal juurdepääsupiirangud kehtestada. Menetleja on see isik, kellel on muuhulgas voli lasta esitatud taotlust täiendada või parandada. Ainuke asutus, kes omab ülevaadet esitatud dokumentide sisust ja saab hinnata nendele juurdepääsupiirangu seadmise vajadust, on seega menetleja. Osaliselt kasutavad KOV-id AvTS-i § 12 lõikes 21 tulenevat võimalust EHR-i lisatud dokumente dokumendiregistris mitte dubleerida – seega täidab EHR selles osas ka dokumendiregistri rolli. Olles kaasvastutav töötleja ja AvTS-i mõistes teabevaldaja EHR-i pidamise kohustuse kaudu, saavad KLIM või MARU põhimõtteliselt juurdepääsupiirangu kehtestada, kuid nendeni ei jõua üldjuhul teave dokumendi sisu kohta. Arvestades dokumentide mahtu, ei ole sed a mõistlikul viisil võimalik ka nii korraldada. EHR-i pidaja kui kaasvastutava töötleja vastutus ja roll on juurdepääsupiirangute seadmiseks tagada tehnilised võimalused ja korralduslikud meetmed 3 . Asjaolu, et KOV-i kontrolli all ei ole kõik andmetöötluse vahendid ja võimalused (EHR-i tehniliste lahenduste arendamine) ei vabasta KOV-e kaasvastutava töötleja rollist 4 . 1 Teatud juhtudel ka Tarbijakaitse ja Tehnilisejärelevalve Amet, kui loaandmise pädevus neile kuulub 2 11.02.2026 nr 2.1.-4/26/272-581-1 3 https://e-ehitus.taskugiid.eu/menetlejakorraldaja/ak-m%C3%A4rke-lisamine on menetlejale suunatud juhendite all kirjeldatud AK märke lisamise võimalusi, nendest võimalustest on KOVe teavitatud ka EHRi meililisti kaudu otse, võimaluse loomisel. 4 Vt ka https://ec.europa.eu/justice/article-29/documentation/opinion-recommendation/files/2010/wp169_en.pdf (eelkõige lk 21, 22), mis kirjeldab kaasvastutava töötleja mõistet ning mh täpsustab, et “First of all, it should be pointed out that, especially in cases of joint control, not being able to directly fulfil all controller’s obligations (ensuring information, right of access, etc) does not exclude being a controller.” Kirjas olete põhjendanud juurdepääsupiirangute seadmata jätmist järgmiselt „Ehitamise dokumenteerib ehitav isik. Kuigi Majandus- ja Kommunikatsiooniministeerium on nii varasemalt kirjalikult kui 4. veebruaril 2026 toimunud KOVidele suunatud infotunnis soovitanud isikuandmed enne dokumentide üleslaadimist sealt kõrvaldada, puudub KOVidel õigus ja pädevus ehitisregistrile üle antud dokumentide omaalgatuslikult muutmiseks või kustutamiseks. Kui meie enda tegevuse tulemusena on tekkinud juurdepääsupiiranguga teave, siis ehitisregistri puudulike võimaluste piires oleme vajalikud juurdepääsupiirangud seadnud.“ Antud juhul ei ole küsimus dokumentide kustutamises või muutmises KOV-i algatusel, vaid esitatud dokumentidele juurdepääsupiirangu seadmises, millist võimalust on Tartu linn EHR-is korduvalt ka kasutanud. Oleme seisukohal, et KOV saab menetlejana astuda ka muid samme, et isikuandmete töötlemine EHR-is oleks kooskõlas IKÜM-ist tulenevate andmetöötluse põhimõtetega, see tähendab eesmärgipärane (IKÜM art 5 lg 1 p b) ja minimaalne (IKÜM art 5 lg 1 p c). Näiteks vältides menetluste juurde isikuandmete või isikuandmeid sisaldavate dokumentide küsimist, mis ei ole menetluse eesmärki arvestades tingimata vajalikud. Isikuandmete kaasvastutava töötlejana on ka KOV-il kohustus IKÜM-i nõuete täitmine tagada. Märgite oma kirjas - „Avaliku teabe seadus ei näe ette võimalust kehtestada juurdepääsupiirangut abstraktse või defineerimata „ajutise ettevaatusabinõu“ alusel. Piirang peab alati tuginema AvTS §-s 35 selgelt ja ammendavalt loetletud alustele.“ Nõustume Teiega, et AvTS-i alusel juurdepääsupiirangute seadmine peab toimuma ainult juhtudel, kus selleks on alus. Kuid samas tuleb juurdepääsupiirang seada kõigil juhtudel, kus see on AvTS-i § 35 lõikest 1 tulenevalt nõutav. Kui ei ole lõplikult selge, kas dokumendis on juurdepääsu piiramist vajavaid isikuandmeid, kuid selleks on põhjendatud kahtlus, siis leiame, et on õigustatud juurdepääsu piirata kuni selle vajadus on üheselt välja selgitatud. Selline tõlgendus on kooskõlas IKÜM-i üldpõhimõtetega – isikuandmete volitamata töötlemist, sh avalikustamist, kui sellised andmed peaks olema kehtiva seaduse kohaselt kaitstud, tuleb igal juhul vältida. Kui kaaluda andmete avalikustamise tagajärgi, siis avalikuks muutunud andmete üle kontrolli võimalus kaob. Kui ka hiljem selgub, et juurdepääsu oleks siiski pidanud sulgema, ei pruugi olla avalikuks muutunud andmeid võimalik enam „tagasi võtta“. Juurdepääsupiirang ei välista andmete saamist, kui selleks on vajadus ja andmete saamisest huvitatud isik pöördub päringuga teabevaldaja poole. Seega on avalikustamise riskid selgelt suuremad. Kui KLIM-i ja MARU-ni jõudis teave selle kohta, et omavalitsuste poolt registris juurdepääsupiirangute seadmisega on olnud probleeme, pidasime põhjendatuks kuni selle kontrollimise ja võimalike vigade kõrvaldamiseni registriandmetele avaliku juurdepääsu ajutist sulgemist. Kahjuks ei võimalda EHR-i praegune tehniline lahendus seda vajaliku kiirusega teha muul viisil kui masskandena juurdepääsupiirangu seadmise kaudu, vastasel juhul oleks valitud praegusest erinev avalikkuse juurdepääsu piiramise viis. Seetõttu on piirangu juures ka selgitusena kirjas „ajutine ettevaatusabinõu“ – et eristada sellisel põhjusel ja viisil seatud piiranguid muudest piirangutest. Leiate, et kuna juurdepääsupiirangut ei ole seadnud Tartu LV, ei ole Teil õigust ka seda eemaldada. Nõustume, et juurdepääsupiirangu osas tuleb tugineda selle seadnud asutuse suunistele. Üldjuhul eemaldab piirangu selle seadnud asutus, kuna piirangu vajadust, st dokumendi sisu, oskab üldjuhul paremini hinnata teabevaldaja, kes piirangu sisulistel põhjustel algselt seadis. Praeguses olukorras oleme selgitanud selle piirangu olemust ja ka seda, et tegemist on eelkõige ettevaatusabinõuga, mille eesmärgiks on anda KOV-idele kui menetlejatele võimalus enda menetluse materjalid üle kontrollida ja hinnata, kas nendes sisaldub juurdepääsu piiramist vajavaid isikuandmeid. Antud juhul ei ole peamine küsimus selles, kes formaalselt saab või ei saa eemaldada juurdepääsupiirangut, vaid peamine eesmärk on isikute eraelulisi andmeid kaitsta. Kliimaministeerium loodab siinkohal Teie koostööle, et ühiselt see eesmärk saavutada. Kui Te leiate, et formaalsetel põhjustel siiski nende piirangute eemaldamine Teie jaoks võimalik ei ole, oleme valmis EHRi tehniliste võimaluste piires ka muid lahendusi kaaluma ning neid Teiega arutama. Oodatud on Teie ettepanekud muudeks lahendusteks. Lugupidamisega (allkirjastatud digitaalselt) Ivo Jaanisoo elukeskkonna ja ringmajanduse asekantsler Koopia: Andmekaitse Inspektsioon Annemari Vene [email protected]