Tsiviiltoetuse registri põhimääruse eelnõu kooskõlastamine

Kaitseministeerium Teie: 11.09.2026 nr KAM/26-0997/-1K Meie: 01.10.2026 nr 1-7/250-4 Tsiviiltoetuse registri põhimääruse eelnõu kooskõlastamine Lugupeetud minister Olete edastanud kiireloomuliselt kooskõlastamiseks tsiviiltoetuse registri põhimääruse eelnõu. Arvestades, et eelnõus toodu mõjutab olulisel määral Siseministeeriumi valitsemisala, edastame tähelepanekud eelnõus toodule Vabariigi Valitsuse 13.01.2011 määruse nr 10 „Vabariigi Valitsuse reglement“ § 7 lõikes 1 sätestatud tähtaega järgides. Siseministeerium toetab tsiviiltoetuse registri põhimääruse ajakohastamist ning registri kasutusvõimaluste laiendamist kriisivalmiduse ja riigikaitseliste ülesannete täitmiseks. Samas vajab eelnõu olulist täpsustamist eelkõige registri vastutavate ja volitatud töötlejate rollide selgust, andmete esitamise kohustust, juurdepääsukorraldust ja järelevalvereegleid puudutavas osas. Täpsustamist vajab ka eelnõu ja seletuskirja omavaheline kooskõla, et vähendada praktikas põhimääruse rakendamise ja tõlgendamise probleeme. Siseministeerium kooskõlastab tsiviiltoetuse registri põhimääruse eelnõu (edaspidi eelnõu) alltoodud tähelepanekutega arvestamisel: 1. Vastutavate töötlejate ja volitatud töötlejate rollide selgus Eelnõu üheks oluliseks muudatuseks on Päästeameti lisandumine tsiviiltoetuse registri vastutava töötlejana. Samas ei nähtu eelnõust piisava selgusega, millise andmestiku eest edaspidi Riigi Kaitseinvesteeringute Keskus (edaspidi RKIK) ja Päästeamet vastutavad, sh kuidas jagatakse andmesubjekti õiguste täitmist või kuidas toimub rikkumiste menetlus. Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 (IKÜM) art 26 nõuab kaasvastutavate töötlejate rollide selget määratlemist. Kuna ka kriisiolukorra ja riigikaitse seaduse (edaspidi KORKS) § 135 lg 4 p 1 kohaselt tuleb põhimääruses sätestada kaasvastutavate töötlejate ja volitatud töötlejate ülesanded, palume täpsustada: 1) milliste registriandmete ja registri funktsioonide eest vastutab RKIK; 2) milliste registriandmete ja registri funktsioonide eest vastutab Päästeamet; 3) kuidas jaguneb vastutus andmete kvaliteedi, registri arendamise, andmesubjektide õiguste tagamise ning rikkumiste menetlemise eest; 4) milline on Päästeameti roll tavaolukorras ning milline riigikaitselise kriisiolukorra või eriolukorra ajal. Pikk 61 / 15065 Tallinn / [email protected] / www.siseministeerium.ee Registrikood 70000562 Seletuskirjas võiks selgemalt avada, et Päästeameti vastutava töötleja roll on seotud eelkõige kriisiolukordade lahendamise toetamisega, sealhulgas evakuatsiooni, varjumise, ohuteavituse ning pääste- ja demineerimistööde läbiviimisega. Samuti vajab täpsustamist volitatud töötlejate roll. Andmekogu volitatud töötleja mõiste sisu tuleneb avaliku teabe seaduse (edaspidi AvTS) § 434 lg-test 2 ja 3. AvTS käsitleb volitatud töötlejana teist riigi- või kohaliku omavalitsuse asutust, avalik-õiguslikku juriidilist isikut või hanke- või halduslepingu alusel toimetavat eraõiguslikku isikut, kellele vastutav töötleja on volitanud andmete töötlemise ja andmekogu majutamise. Volitatud töötleja on kohustatud täitma vastutava töötleja juhiseid andmete töötlemisel ja andmekogu majutamisel ning tagama andmekogu turvalisuse. AvTS-i loogika järgi ei ole andmeandja ega registri kasutaja veel volitatud töötleja. Seetõttu jääb eelnõust ebaselgeks, milliseid volitatud töötleja rolle täidavad eelnõu § 3 lõikes 2 nimetatud volitatud töötlejad. Nende rolli sisu ei ole seletuskirjas ega eelnõus välja toodud. Samuti tekib küsimus, kas volitatud töötlejad on õigesti määratud arvestades AvTS-s sätestatut. Näiteks ei saa sama asutus korraga olla andmekogu vastutav ja volitatud töötleja, nagu eelnõu RKIK'i käsitleb. 2. Andmete esitamise kohustuse täpsustamine Eelnõust ei selgu üheselt, milliste sätete alusel ja millises ulatuses erinevad asutused registrile andmeid esitavad. Näiteks, kui eelnõu § 11 alusel võib eeldada, et sättes kirjeldatud andmete esitamise kohustus on muuhulgas ka Politsei- ja Piirivalveametil (edaspidi PPA), mida kinnitab ka seletuskirjas sama sätte selgituseks toodud näide, siis jääb muus osas ebaselgeks, kas eelnõus toodu kohaselt on täiendavaid sätteid, mille alusel tekib PPA-le kohustus registrile andmeid esitada. Andmeandjad peavad üheselt aru saama, milliseid andmeid neilt oodatakse ning millisel õiguslikul alusel neid andmeid töödeldakse. Seetõttu palume eelnõu korrigeerida viisil, mis välistab mitmeti tõlgendamise. 3. Andmete õigsuse kontrollimine ja parandamine Eelnõu §-d 35 ja 36 reguleerivad andmete õigsust ja ebaõigete andmete kontrollimist, parandamist ja täpsustamist, kuid ei sätesta piisava selgusega: 1) kes vastutab andmete parandamise eest; 2) millise tähtaja jooksul tuleb andmed parandada; 3) kuidas toimub juurdepääsu taastamine parandatud andmetele; 4) kas ja kuidas teavitatakse parandustest asutusi, kes on vastavate andmete alusel teinud eelotsuseid või haldusotsuseid. Palume täiendada regulatsiooni ning sätestada andmete parandamise kord ja parandamisele järgnevad tegevused selgemalt. 4. Registritoimingute tähtajad Eelnõu § 34 lg 3 kohaselt on volitatud töötleja kohustatud tegema registritoimingu viivitamata, kuid mitte hiljem kui 10 tööpäeva jooksul pärast andmete saamist. KORKS § 83 lg 7 nõuab aga elutähtsa teenuse osutajaks määramise või selle lõpetamise andmete registrisse kandmist 5 tööpäeva jooksul haldusakti teatavaks tegemisest. Palume kontrollida, et põhimääruse regulatsioon ei võimaldaks seaduses sätestatud tähtaja ületamist ning vajadusel näha ette vastavad erisused. 5. Eelotsuste kajastamine registris 2 (6) Eelnõu ei reguleeri piisava täpsusega eelotsuste kajastamist registris. Eelnõu § 29 kirjeldab sundkasutusse võtmise ja sundvõõrandamise määramise ning täitmise andmeid, kuid KORKS §-s 79 nimetatud eelotsust ei ole andmekoosseisus selgelt eristatud. Tuleb täpsustada, kuidas kajastatakse eelotsust, selle tingimusi, muutmist ja kehtivuse lõppemist ning seost hilisema otsuse või täitmisega. See aitab näiteks vältida olukorda, kus tingimuslikku eelotsust käsitatakse juba rakendatava kohustusena. Seetõttu palume täpsustada: 1) kuidas eelotsus registrisse kantakse; 2) millised andmed eelotsuse kohta registreeritakse; 3) kuidas kajastatakse eelotsuse muutmine ja kehtivuse lõppemine; 4) kuidas luuakse seos eelotsuse, hilisema otsuse ja selle täitmise vahel. Eriti oluline on see olukorras, kus registrit kasutatakse sundkasutuse või sundvõõrandamise eelotsuste tegemiseks juba enne kriisiolukorra tekkimist. 6. Andmekoosseisu täpsustamine ja andmete minimaalsus Eelnõu näeb ette ulatusliku andmete kogumise ja ristkasutamise paljudest riiklikest registritest. Ristkasutus 23 erineva riikliku andmekoguga (sh töötamise register, liiklusregister, kinnistusraamat) tähendab mahukat isikuandmete kogumist. Eelnõu peaks täpsustama, millised andmeväljad erinevatest registritest üle võetakse, et vältida andmekogudest "kõige olemasoleva" automaatset peegeldamist (data scraping/bulk download). Andmete minimaalsuse põhimõttest lähtudes peaks olema selgelt põhjendatud iga registrisse talletatav andmeliik. 7. Füüsiliste isikute andmete töötlemise proportsionaalsus Eelnõu näeb ette ulatuslikus mahus füüsilisest isikutest omanike ja kasutajate andmete töötlemise (§ 15 jm). Sõidukite, veesõidukite, masinate ja katastriüksuste puhul kogutakse ulatuslikult eraisikutest omanike/kasutajate isikukoode, elukoha aadresse ja telefoni numbreid. Eelnõust ega seletuskirjast ei nähtu analüüsi, kas kõigi füüsilisest isikust omanike andmete massiline ristkasutus on igal juhul hädavajalik. Seetõttu palume hinnata: 1) kas kõik kavandatud andmed on registri eesmärgi saavutamiseks vältimatult vajalikud; 2) kas kogu kavandatud kontaktteave peab olema registrisse salvestatud; 3) kas osa andmeid võiks olla kättesaadav üksnes päringu tegemisel alusregistritest. Eelkõige vajab põhjendamist füüsiliste isikute aadressiandmete, telefoninumbrite ja muude kontaktandmete ulatuslik töötlemine. 8. Ametiisikute elukoha aadresside töötlemine Eelnõu § 8 punkt 4 kohaselt kantakse registrisse asja sundkasutusse võtmist või sundvõõrandamist teostava ametiisiku elukoha aadress. Leiame, et sellise andmevälja vajalikkus ei ole põhjendatud. Ametniku koduse aadressi töötlemine riivab põhjendamatult tema eraelu puutumatust, samas kui registri eesmärkide saavutamiseks näib olevat piisav ametiisikuga seotud ametialane kontaktteave. Palume kaaluda nimetatud andmevälja eemaldamist või selle vajalikkuse täiendavat põhjendamist. 9. Seadmete ja masinate andmestik Eelnõu § 16 kohaselt kogutakse seadmete ja masinate andmeid. Mõisted „seade“ ja „masin“ hõlmavad seadme ohutuse seaduses mõttes laia esemete hulka, sh on eelnõus nimetatud mõisted abstraktsed. Seetõttu on eelnõus nimetatud kohustus ulatuslik ning seadmete ja masinate kategooriateks ja alamkategooriateks jaotamata, ei ole eelnõus toodu sisuliselt kriisis 3 (6) rakendatav ega täida oma eesmärki. Tulemuslikum oleks loendada, mis seadmete ja masinate kohta andmeid soovitakse. 10. Andmesubjektide õiguste regulatsioon Põhimääruses puudub eraldi paragrahv või peatükk, mis sätestaks, kuidas tagatakse füüsilistest isikutest andmesubjektide õigused (sh õigus andmetega tutvuda, parandada, töötlemist piirata) või millistel juhtudel neid õigusi piiratakse (nt riigikaitse ja julgeoleku kaalutlustel vastavalt IKS §-le 14 ja IKÜM art-le 23). 11. Juurdepääsuõiguste haldus Eelnõu § 37 sätestab juurdepääsuõiguste andmise üldise regulatsiooni, kuid ei kirjelda piisavalt juurdepääsuhalduse sisu. Puudub täpsem regulatsioon selle kohta, kuidas vormistatakse püsijuurdepääsud julgeoleku- ja kriisiasutustele, millised on andmesaajate kohustused andmeturbe tagamisel ning kuidas teostatakse päringute õiguspärasuse üle järelevalvet (haldusjärelevalve kohustused). Eelnõu § 37 lg 4 järgi peab volitatud töötleja juurdepääsuõigusega isikute üle arvestust, kuid loetleb andmete väljastamise põhjuse, kuupäeva ja viisi. Andmete väljastamise arvestus on täiesti eraldi küsimus. Kasutajaõiguste arvestuses peaksid kajastuma näiteks asutus, õiguste ulatus või profiil, õiguste andmise alus ning kehtivus ja lõpetamine. Samuti tuleb täpsustada, millised andmed salvestatakse tsiviiltoetuse registrisse ning millised on vajalikud üksnes jooksva päringu tulemusena. Näiteks sotsiaalteenuste ja -toetuste andmeregistri põhimäärus § 13 eristab neid lahendusi, kasutades muu hulgas esitlusinfo mõistet. Sellest sõltuvad andmete ajakohastamise, parandamise ja kustutamise kohustused. 12. Päringute ja registritoimingute logimine Eelnõu § 39 lg 2 kohaselt säilitatakse registritoimingute logisid kolm aastat toimingu tegemisest arvates. Arvestades registri olemust ning selles sisalduvate andmete tundlikkust, võib nimetatud tähtaeg olla ebapiisav. Register on keskmise turbeastmega (M) ja piiratud juurdepääsuga riiklik register, milles sisalduvate andmete väärkasutuse tuvastamine võib võtta kauem aega. AKI juhendi kohaselt tuleb päringute ja registritoimingute logisid säilitada piisava aja jooksul, et tagada tagantjärele kontrollitavus (IKS ja AvTS kohaselt tavaliselt vähemalt 5 aastat). 13. Säilitamistähtajad Eelnõu § 38 sisaldab omavahel vastuollu minevaid säilitamistähtaegu. Eelnõu § 38 lg 3 sätestab, et isikuandmeid säilitatakse kuni 10 aastat andmete registrisse kandmisest. Samal ajal sätestab eelnõu § 38 lg 2 p 3, et M-kategooria sõidukite (ja seeläbi nende eraisikutest omanike/kasutajate) andmeid säilitatakse 25 aastat alates sõiduki esmase registreerimise kuupäevast. Eelnõus ega seletuskirjas ei ole täpsustatud, mis saab isikuandmetest 10 aasta möödumisel, kui sõiduki andmeid tuleb säilitada 25 aastat. 14. Järelevalve regulatsioon Järelevalve registri pidamise üle on käesoleva põhimääruse § 40 lg 1 kohaselt registri vastutava töötleja (RKIK ja PäA), Kaitseministeeriumi või Siseministeeriumi ja andmekaitse järelevalveasutuse ülesanne. § 40 regulatsioonis on mitu olulist õiguslikku puudust. Probleem ei seisne ainult sõnastuses, vaid ka selles, et järelevalve subjektid, pädevused ja meetmed on omavahel läbisegi reguleeritud. Ühes sättes püütakse reguleerida erineva õigusliku olemusega 4 (6) kontrollimehhanisme eristamata teenistuslikku järelevalvet, haldusjärelevalvet, andmekaitsejärelevalvet, riigi infosüsteemi üle tehtavat järelevalvet ja vastutava töötleja sisekontrolli. Riikliku andmekogu põhimääruses peaks olema reguleeritud üksnes see järelevalve osa, mille kajastamine on vajalik registripidamise korralduse mõistmiseks. Ülejäänu tuleneb üldjuhul seadusest ega vaja dubleerimist. 1) Teenistuslik järelevalve. Teenistuslik järelevalve tuleneb eelkõige Vabariigi Valitsuse seadusest (VVS § 41 lg 1, 7. ptk, eelkõige § 95 lg 1). Päästeamet on Siseministeeriumi valitsemisala valitsusasutus. Seetõttu teostab siseminister teenistuslikku järelevalvet Päästeameti tegevuse üle (VVS § 95 lg 1). Seega leiame, et teenistusliku järelevalve pädevus on seadusest tuletatav ning ei vaja määruses käsitlemist. Kui pädevus siiski ära nimetada, palume sarnaselt VVS-ga nimetada seda ministri pädevusena. Küll aga on vaja, et andmekogu põhimäärus reguleeriks selgelt, millised on Päästeameti ülesanded ja kohustused andmekogu vastutava töötlejana, sh millise osa andmekogu eest ta vastutab. Praegu see regulatsioon määrusest puudub, mistõttu ei ole selge teenistusliku järelevalve ulatus ja järele valvatavate kohustuste ring; 2) Õiguslikult ei ole tegemist järelevalvega, kui vastutav töötleja kontrollib iseenda tegevust. Tegemist saab olla sisekontrolliga, kvaliteedikontrolliga, infoturbe auditiga või muu auditiga. Tegemist on vastutava töötleja kohustusega, mitte järelevalvega sättes nimetatud teiste asutuste mõttes. 3) Andmekaitse järelevalveasutus on loetletud ühe järelevalvajana. AKI ei tee järelevalvet kogu registri pidamise üle, vaid tema pädevus tuleb konkreetsetest IKÜMi artiklitest ja isikuandmete kaitse seadusest (edaspidi IKS) ja on suunatud isikuandmete töötlemise õiguspärasusele, turvalisusele ja andmesubjekti õiguste kaitsele. Pigem võiks AKI järelevalverolli avada järgmiselt: "Andmekaitse Inspektsioon teostab järelevalvet registris töödeldavate isikuandmete töötlemise õiguspärasuse üle seaduses sätestatud korras."; 4) Seletuskirjas on nimetatud ka RIA-t kui järelevalve tegijat. Eelnõu RIA't ei nimeta. Samas kui RIA pädevus, nagu ka AKI pädevus, tulevad seadusest, siis ei tohiks jätta määrusega muljet, et tegemist on määruse alusel loodava pädevusega. Tegemist saab olla üksnes konstateeriva või kirjeldava, kuid mitte õigustloova normiga. Seetõttu tasub kaaluda, kas asutuste, kelle järelevalvepädevus tuleb seadusest, nimetamine eelnõus on vajalik või piisab seletuskirjas järelevalvekorralduse selgitamisest; 5) Järelevalve tegija volitused ja pädevused peavad tulema seadusest. Õigused ei saa tekkida määruse alusel. Seega saaks § 40 lg 2 sisalduda määruses vaid siis, kui need pädevused tulevad nimetatud asutustele seadustest. VVS-i teenistusliku järelevalve regulatsioon selliseid pädevusi ministeeriumile ei anna. Sel juhul on vaja täiendada VVSi; 6) Esmapilgul näib, et § 40 on deklaratiivne norm, mille lisamisest saaks loobuda. Kui norm jätta, võiks selle sõnastus olla "registri pidamise üle teostatakse järelevalvet seaduses sätestatud korras" või kui on soov avada sisu rohkem siis: "(1) Registri pidamise üle teostatakse järelevalvet seaduses sätestatud korras. (2) Andmekaitse Inspektsioon teostab järelevalvet registris töödeldavate isikuandmete töötlemise õiguspärasuse üle. (3) Registri vastutav töötleja tagab oma pädevuse piires registri pidamise ja registriandmete töötlemise õiguspärasuse ning käesoleva määruse nõuete järgimise.“. 15. Muud olulised tähelepanekud Palume kontrollida eelnõu ja seletuskirja kooskõla, sh juhime tähelepanu, et: 1) seletuskirjas toodud § 3 selgituses nimetatakse Päästeametit ka volitatud töötlejaks, kuigi eelnõu § 3 lg 2 seda ei tee; 5 (6)  2) seletuskirjas toodud § 38 selgitus põhjendab sõidukiandmete ajakohasust kümne aastaga, kuid eelnõu § 38 lg 2 p 3 sisaldab M-kategooria sõidukitele 25-aastast reeglit; 3) sõidukiandmete säilitamistähtaegade põhjendused ei vasta täielikult eelnõu sõnastusele; 4) seletuskirjas märgitakse, et määrus on kooskõlas Euroopa Parlamendi ja nõukogu direktiiviga 95/46/EÜ, mis aga on kehtetu alates IKÜM-i kohaldumisest. See tuleks asendada viitega Euroopa Parlamendi ja nõukogu määrusele (EL) 2016/679 (IKÜM). Palume täiendada seletuskirjas toodud mõjuanalüüsi. Eelkõige vajab põhjendamist Päästeameti lisandumise mõju registri toimimisele ja registri kasutamise laienemine kriisivalmiduse eesmärkidel, samuti isikuandmete töötlemise ulatuse muutumine ja olemasolevate andmekaitseliste mõjuhinnangute piisavus. Seaduse seletuskirjale viitamisest üksi ei selgu põhimääruses valitud töötlemiskorra mõju ega see, kas olemasolev andmekaitsealane mõjuhinnang katab uue töökorralduse. Kehtiva põhimääruse kasutamine alusena on võimalik, kuid uue tervikteksti kehtestamisel vajab sisuline osa KORKS-ist tuleneva tööprotsessi kohast selgitamist. Lugupidamisega (allkirjastatud digitaalselt) Igor Taro siseminister 6 (6)