Arvamus eelnõu kohta

Pr Liisa-Ly Pakosta Teie: 16.12.2025 nr 8-1/10086-1 Justiits- ja Digiministeerium Suur-Ameerika 1 Meie:kuupäev digiallkirjas nr1-14/RE/30108-1 10122 Tallinn Isikuandmete kaitse seaduse ja teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse kooskõlastamine Lugupeetud minister Pakosta Tartu Ülikool esitab isikuandmete kaitse seaduse ja teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse eelnõu (edaspidi: eelnõu) kohta järgmised ettepanekud ja märkused. - IKS § 6 lg 1 sätestatud määratlus „teadus-, ajaloouuringu- või statistikatöö“ ei ole üheselt selge, kuna ei ole arusaadav, millised sõnad omavahel ühilduvad. Teen ettepaneku kasu- tada sõnastust „teadus- ja ajaloouuringu tegemise ja riikliku statistika kogumise (edaspidi uuring) eesmärgil“. Lisaks palun seletuskirjas lahti seletada, millist ja kelle poolt tehtavat ajaloouuringut peetakse silmas juhul, kui ajaloouuring ei kvalifitseeru teadusuuringuna. - IKS § 6 lg 3 ei ole selge, millistel juhtudel on isiku tuvastamise vältimiseks vajalik kaitse- meetmena pseudonüümimine ja millisel juhul anonüümimine. Tartu Ülikool teeb ettepaneku sõnastada IKS § 6 lg 3 punktid 2 ja 3 alljärgnevalt: „2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku otseselt tuvastada; 3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada otse- selt ega kaudselt tuvastada isikut, kelle isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldi;“ Sõnastuse eesmärk on tagada, et IKS § 6 lg 3 p 2 kohaselt oleks pseudonüümitud uuringuandmete töötlemisel keelatud nende depseudonüümimine. IKS § 6 lg 3 p 3 kohaselt tuleks aga uuringuandmete avalikustamisel (näiteks publitseerimisel) tagada vastavate andmete anonüümsus. Kui uuringu vastutav töötleja soovib uuringu tulemusena avalikustada pseudonüümitud või isikustatud kujul isikuandmeid, vajab see Tartu Ülikooli hinnangul andmesubjekti nõusolekut ja selline avalikustamine ei ole IKS § 6 kohaldamisalas. - IKS § 6 lg 4 soovitakse luua olukord, kus Statistikaametile luuakse seadusega eristaatus. Tartu Ülikooli hinnangul ei ole põhjendatud seaduse tasandil välja tuua ainult Statistikaa- meti kui ühe vastutava töötleja andmetöötluskeskkonda kui IKS § 6 lg 3 p 1 sätestatud Ülikooli 18, 50090 Tartu | 737 5100 | [email protected] | www.ut.ee | Registrikood 74001073  nõuetele vastavat. Tartu Ülikool teeb ettepaneku, et vastavad keskkonnad kehtesta- takse seaduse alusel antava rakendusaktiga, et mitte piirata uuringute tegemist tulevalt Statistikaameti protsesside ja süsteemide eripäradest. - IKS § 6 lg 7 osas kordab Tartu Ülikool nii teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse (edaspidi: TAIKS) eelnõu kui ka isikuandmete kaitse seaduse muut- mise seaduse eelnõu väljatöötamiskavatsuse kooskõlastamisel esitatud ettepanekut. Olu- line on tagada, et TAIKSi alusel antav eetikakomitee tegevust reguleeriv ministri määrus kehtestaks eetikakomiteele täpsemad ülesanded isikuandmete kaitse aspektide hindamisel. Selline lahendus võimaldaks teadlastel ette näha, milliseid aspekte nad peavad taotluses lahti kirjutama. Samuti oleks selgem, milliseid isikuandmete kaitse aspekte on eetikakomi- tee hinnanud ja kooskõlastanud. Uuringute praktikas on tulnud ette olukordi, kus ka eel- neva eetikakomitee kooskõlastuse olemasolul algab andmete väljastamisel andmekogu vastutava töötlejaga isikuandmete kaitse aspektide arutelu uus ring, mis tarbetult kulutab nii teadlaste kui ametnike tööaega. Veelgi enam, uuringu detailide muutumisel (nt uuri- mismeeskonna uurijate lisandumisel) menetlevad hetkel seda muudatust nii eetikakomitee kui seejärel ka kõik andmekogude vastutavad töötlejad. Tänaseks on Haridus- ja Teadus- minister TAIKSi § 26 lg 7 alusel teaduseetikakomitee juba moodustanud ja selle hinnan- gute andmise korra kehtestanud. Isikuandmete kaitse seadusesse muudatuste tegemisel tu- leks ette näha ka vastavate muudatuste tegemine viidatud Haridus- ja Teadusministri mää- ruses. - Tartu Ülikool ei kooskõlasta IKS § 6 lg 8, kuna ilma taotlust sisuliselt hindamata ei saa eetikakomitee teha otsust, et riskid on väikesed, ning isikuandmete töötluse riski hindami- sel võtaks eetikakomitee sisuliselt uuringu vastutava töötleja rolli. Juhin ka tähelepanu, et IKS § 6 lg 6 ette nähtud eetikakomitee kooskõlastus täiendav kaitsemeede juhuks, kui uuringu vastutav töötleja töötleb uuritavate isikuandmeid otsest tuvastamist võimaldaval kujul ja ei rakenda IKS § 6 lg 3 toodud pseudonüümist või muid võrdväärseid kaitsemeet- meid. Seetõttu on arusaamatu, kuidas saaksid IKS § 6 lg 6 juhtudel andmekaitsealased riskid olla väikesed. Tartu Ülikooli hinnangul saab uuringu andmetöötluse riske hinnata ainult vastutav töötleja ja eetikakomitee saaks madala riskiga uuringuid hinnata nt lihtsus- tatud menetluse korras. Lisaks juhin tähelepanu, et isikuandmete kaitse seadusega regulee- ritakse üksnes andmekaitsealaste riskide hindamist, mitte eetikaalaste riskide hindamist (mida reguleeritakse TAIKSiga), seetõttu ei saa kindlasti IKS § 6 lg 8 sätestada, et juhul, kui eetikakomitee hindab, et eetikaga seotud riskid on väikesed, võib ta jätta taotluse sisu- liselt hindamata. Siiski juhin igaks juhuks tähelepanu ka sellele, et formulatsioon „eetilised riskid“ ei ole ka keeleliselt korrektne, sest kirjeldab riski omadust (eetilised vs ebaeetilised riskid). Korrektne oleks öelda nt „andmekaitse- ja eetikaalased riskid“ või „andmekaitse ja eetikaga seotud riskid“. - Tartu Ülikool teeb ettepaneku lisada IKS § 61 lg 2 p 1 täienduse, et sättes toodud tehnilised ja korralduslikud meetmed on piisavad, kui andmetöötlussüsteem järgib küberturvalisuse seaduses toodud nõuded ja on sertifitseeritud Eesti infoturbestan- dardi või sellega võrdsustatud infoturbestandardi alusel. 2 (3)  - Tartu Ülikool teeb ettepaneku täiendada IKS § 61 lg 5 ning näha ette, et Andmekaitse Inspektsiooni poolt kontrollitud ja heaks kiidetud andmetöötlussüsteemid avalikus- tatakse Andmekaitse Inspektsiooni veebilehel. See on vajalik, et tagada teadlastele ülev- aade ja kindlus andmetöötlussüsteemide kasutamisel. Andmetöötlussüsteemide valik on juba teadustöö planeerimise etapis kriitilise tähtsusega, sh et hinnata ja eelarvestada (nt granditaotluse esitamisel) eri andmetöötlussüsteemide kasutamise kulusid. Lisaks teeb Tartu Ülikool ettepaneku täiendada eelnõu seletuskirja alljärgnevalt. - Seletuskirja punkti 1.1 on selgitatud, et edaspidi võib ka eriliiki isikuandmeid töödelda eelnõus toodud kaitsemeetmete olemasolul ilma eetikakomitee kooskõlastuseta, mis peaks lihtsustama nii uurijate kui ka eetikakomiteede tööd. Tartu Ülikool juhib tähelepanu ja pa- lub seletuskirjas täiendavalt selgitada, et lisaks isikuandmete kaitse regulatsioonile võib eetikakomitee kontrollikohustus tuleneda ka teadustegevust puudutavatest õigusaktidest, teadusuuringu rahastaja ja/või publitseerija nõuetest jne ning need olukorrad ei allu isikuandmete kaitse seaduse regulatsioonile. - Tartu Ülikool palub täiendada seletuskirja IKS § 6 lõike 11 osas ja selgitada, et kui and- mesubjekti õigusi plaanitakse konkreetse uuringu raames piirata, tuleb uuringu dokumen- tatsioonis – eelkõige andmekaitsealases mõjuhinnangus – analüüsida andmesubjekti õi- guste piiramisega kaasnevaid ohte ja vastavaid maandusmeetmeid. - Tartu Ülikool palub täiendada seletuskirja IKS § 61 lg 3 puudutavat, täpsustades andmete valideerimise perioodi. Juhin tähelepanu, et lisaks enne publitseerimist toimuvale andmete kvaliteedi kontrollile võib osutuda vajalikuks kontrollida uuringu tulemusi ka pärast pub- litseerimist, lähtudes publitseerija kehtestatud reeglitest, näiteks väliste uurijate vastuväi- dete korral. Lugupidamisega (allkirjastatud digitaalselt) Toomas Asser rektor, professor Aliis Liin 5098623 [email protected] Terje Mäesalu 5542466 [email protected] 3 (3)