Teavituskiri

Vastavalt nimekirjale Meie 24.08.2021 nr 2-2/80082/2 Teavituskiri Austatud asutuse juht Teavitan Teid, et Riigikontroll on alustanud riigi 2021. aasta raamatupidamise aastaaruande õigsuse ja tehingute seaduslikkuse auditit. Audit on Riigikontrolli 2021. aasta tööplaanis. Riigikontroll peab riigieelarve seadusest tulenevalt auditeerima riigi majandusaasta koondaruande osaks olevat riigi raamatupidamise aastaaruannet. Samuti tuleb Riigikontrollil kontrollida riigiasutuste tehingute seaduslikkust. Selleks korraldab Riigikontroll auditi, mille eesmärgiks on avaldada arvamust riigi raamatupidamise aastaaruande õigsuse ja riigi tehingute seaduslikkuse kohta. Auditi läbiviijateks on raamatupidamise ja tehingute seaduslikkuse valdkonna audiitorid. Auditiaruande valmimise ajaks oleme planeerinud 31.08.2022. Audititoiminguid teeb Riigikontroll riigiraamatupidamisekohustuslastes ajavahemikul augustist 2021 augustini 2022, lähtudes auditi ulatusest, enda koostatud riskihinnangutest ja valitud lähenemisviisist. Auditiks vajalikke finants- ja personaliandmeid võtab Riigikontroll osaliselt automatiseeritult Riigi Tugiteenuste Keskuse hallatavast finantsaruandlussüsteemist SAP BO (detailsem info vastustena asutuste küsimustele on lisas 1, info automatiseeritult võetavate andmete kohta on esitatud SAP BO aruannete nimede nimekirjana lisas 2). Milliseid valdk ondi täpselt kontrollitakse ja millistele infosüsteemidele on vaja ligipääsuõigusi ning kes teevad audititoiminguid, sellest annab Riigikontroll täpsemalt teada Teie määratud kontaktisikule. Palun Teid teavitada asjassepuutuvaid ametnikke kavandatavast auditist ja määrata kontaktisik, kelle kaudu saab auditi käigus Riigikontroll korraldada edaspidist suhtlemist. Kontaktisiku andmeid (ametikoht, telefon, e-posti aadress) ootame hiljemalt 8. septembriks 2021. Lugupidamisega /allkirjastatud digitaalselt/ Ines Metsalu-Nurminen peakontrolör Lisad: Nimekiri teavituskirja adressaatidest Lisa 1. Info automatiseeritud andmepäringu kohta Lisa 2. Nimekiri SAP BO aruannetest Angela Onno [email protected] Kiriku 2/4, 15013 Tallinn. Tel +372 640 0700, www.riigikontroll.ee, e-post [email protected], reg-nr 74000056.  Nimekiri teavituskirja adressaatidest: Haridus- ja Teadusministeerium; Justiitsministeerium; Kaitseministeerium; Keskkonnaministeerium; Kultuuriministeerium; Maaeluministeerium; Majandus- ja Kommunikatsiooniministeerium; Rahandusministeerium; Siseministeerium; Sotsiaalministeerium; Välisministeerium; Riigikantselei; Vabariigi Presidendi Kantselei; Õiguskantsleri Kantselei; Riigikogu Kantselei; Riigikohus  Lisa 1. info automatiseeritud andmepäringu kohta 1. ’Mis on aruannetele juurdepääsu taotlemise, andmekogu/infosüsteemi asutamise eesmärk? Mis on selle alus (sh ka juriidiline)? Riigikontrolli seaduse (RKS) § 6 lg 1 alusel on Riigikontrolli põhiülesandeks majanduskontroll (audit). RKS § 7¹ lg 1 alusel on Riigikontroll riigi konsolideerimisgrupi audiitor. Oma põhiülesannete täitmiseks viib Riigikontroll igal aastal läbi riigi raamatupidamise aastaaruande õigsuse ja tehingute seaduslikkuse auditit. Näiteks viib Riigikontroll sellel aastal vastavalt tööplaanile läbi auditit nr 80060 “Riigi 2020. aasta raamatupidamise aastaaruande õigsus ja tehingute seaduslikkus“ ja auditit nr 80082 “Riigi 2021. aasta raamatupidamise aastaaruande õigsus ja tehingute seaduslikkus“. Nende kahe auditi vahel ei ole ajalist vahet. Nimetatud auditite eesmärgiks on anda hinnang aruandeaasta majandustehingute riigieelarve seadustele vastavusele ja nende raamatupidamises kajastamise õigsusele. Riigikontroll soovib täita oma põhiülesannet parimal võimalikul ja kulutõhusal viisil, selleks kõikvõimalikke vajalikke olemasolevaid andmeid kasutades, neid analüüsides nii ise kui ka välist ekspertiisi kasutades jne. Riigikontroll kogub ja töötleb oma põhiülesande täitmiseks vajalikke andmeid. RKS § 43 alusel on Riigikontrollil õigus tutvuda kogu oma ülesannete täitmiseks vajaliku teabega, mh saada vajalikke andmeid kontrollitavate hulka mittekuuluvatelt isikutelt (vastavalt RKS § 43 lõikele 1 on Riigikontrollil õigus tutvuda kogu oma ülesannete täitmiseks vajaliku teabega, sealhulgas juurdepääsupiiranguga teabega). Vastavalt sama paragrahvi lõikele 4 on Riigikontrollil õigus saada kontrollitavate hulka mittekuuluvalt isikult riigi, kohalike omavalitsuse üksuste ning muude avalik-õiguslike juriidiliste isikute vara kasutamist ja säilimist puudutavate küsimuste kontrollimiseks vajalikke andmeid ja dokumente nendega tutvumiseks ja ärakirjade tegemiseks, samuti saada pankadelt ja teistelt krediidiasutustelt andmeid, õiendeid ning dokumentide ärakirju rahaliste ja muude operatsioonide kohta). RKS sisaldab selget volitusnormi Riigikontrolli põhiülesande täitmiseks vajaliku teabe ja andmete saamiseks. RKS on PS § 104 p-s 13 loetletud seadus (konstitutsiooniline seadus). Riigikontrollile põhiülesannete täitmiseks vajalike andmete saamise aluseks on konstitutsioonilise seadusega paika pandud eksklusiivne õigus - RKS § 43 lg 1 ja lg 4. 2. Kas selle õiguse andmisega näeb Riigikontroll andmeid igal ajahetkel ja täies mahus? Ka auditite välisel ajal? Riigikontrollil on õigus tutvuda auditi läbiviimiseks vajaliku teabega kogu auditi väitel (vt eelmisest punktist vastust Riigikontrolli tööplaani ja auditite järjestikuse kohta). Auditi läbiviimiseks vajaliku teabe kasutamise õigused antakse ainult auditi läbiviimise ajaks ning ainult Riigikontrolli konkreetsele teenistujale, kui see on vajalik teenistus- või tööülesannete täitmiseks (auditimeeskonna liikmetele) ja Riigikontrolli koostööpartnerile lepingust tulenevate ülesannete täitmiseks (vt ka vastust punktile 15). 3. Kas Riigikontrollile ei kehti kontrollide läbiviimisel teadmisvajaduse printsiip? Seega oleks vaja täpsemat infot, miks Riigikontroll taolisi andmeid soovib. Riigikontrollil on õigus tutvuda kogu oma ülesannete täitmiseks vajaliku teabega, sealhulgas juurdepääsupiiranguga teabega, mh töödelda isikuandmeid, kui see on vajalik auditi läbiviimiseks. Teabe kasutamise õiguste andmisel järgitakse põhjendatud teadmisvajaduse olemasolu põhimõtet, s.t teabe kasutusõigused antakse teenistujale vaid teenistus - või tööülesannete täitmiseks ja Riigikontrolli koostööpartnerile vaid lepingust tulenevate ülesannete täitmiseks vastavalt täidetavate ülesannete iseloomule. 4. Miks ja kellele on andmeid vaja ja milliseid otsuseid isiku/asutuse suhtes nende andmete alusel võidakse teha? Riigikontroll ei kasuta saadud üksikandmeid mis tahes haldusaktide andmiseks ega üksikisikuid (sh nii füüsilisi kui ka juriidilisi isikuid) puudutavate otsuste tegemiseks (nt on kõik Riigikontrolli soovitused adresseeritud konkreetsele auditeeritava asutuse juhile kui üldvastutajale teadmiseks). Vastavalt RKS § 50 lõigetele 1 ja 2 on Riigikontrollil kontrolliaruandes õigus teha ettepanekuid ja soovitusi (vt ka kommentaarid 1 ja 3 põhiseaduse § 132 juurde – Eesti Vabariigi põhiseadus. Kommenteeritud väljaanne) kontrollimisel tuvastatud puuduste kõrvaldamiseks ja tulevikus vältimiseks. Lisaks ettepanekutele võib kontrolliaruanne sisaldada ka tähelepanekuid ja hinnanguid. Seega piirdub Riigikontrolli pädevus ainult koondandmetel põhinevate soovituste andmisega kontrollitavatele, mille täitmine ei ole kontrollitavate jaoks kohustuslik (see on olemuselt poliitikaanalüüsi tegemine). Seejuures ei edasta Riigikontroll saadud üksikandmeid teistele asutustele või isikutele, kes potentsiaalselt võiksid nende andmete põhjal teha üksikisikute kohta otsuseid või mõjutada nende õigusi või kohustusi. Seda tagab RKS §-s 47 ette nähtud konfidentsiaalsuskohustus. 5. Milleks andmeid kasutatakse? Kuna personaliaruanded on isikustatud, siis peab olema selleks alus. Andmeid kasutatakse auditi läbiviimiseks, aluseks on RKS § 43 lg 1 või lg 4. 6. Kas Riigikontroll saab oma eesmärki täita, kui aruannetes kuvatakse isikustamata (kodeeritult) andmeid, ning isikustatud andmetele (nö kontrolli/uuringu valim) taotletakse vajadusel eraldi päringutega juurdepääs? Riigikontroll saab täita oma eesmärki ka kodeeritud personaliandmeid kasutades, kui andmete kodeerimine tehtaks selliselt, et kõigi asutuste andmed anonüümitakse sama loogika alusel ja Riigikontrollil oleks hiljem võimalik vajadusel isikustatud andmed välja küsida (anonüümimise võtme haldaja kaudu, näiteks lepingud, käskkirjad). Näiteks, auditis peaks Riigikontroll saama tuvastada, kas üks isik on töötanud asutuses nii teenistujana kui ka võlaõigusliku lepingu alusel, samuti peaks saa ma unikaalse tunnuse alusel tuvastada ostuarvete viseerimisringi osapoolte ametikohad (koos osakonnaga). 7. Kui suur on kogutavate andmete hulk – kui palju erinevaid andmeid ühe ja sama inimese/asutuse kohta kogutakse? Riigikontrolli kogutav info SAP BO aruannete näol on lisatud käesolevale kirjale. Andmeid kogutakse auditi vajadusest lähtuvalt (vt ka punkti 10 andmete säilitamise kohta). 8. Kas andmelattu kantakse ka need andmed, mis on AK? Jah. 9. Milline on andmete kogumise viis? Kuidas ja kust andmeid kogutakse? Kui sageli? Andmeid edastab RTK SAP-ist Riigikontrollile üle X-tee turvaserveri. Andmevahetus on igapäevane. 10. Millised on andmekogusse kantud andmete säilitamistähtajad ja milline on andmete hävitamise korraldus? Vastavalt Riigikontrolli teabehalduse ja isikuandmete kaitse korrale kajastatakse kogu auditis kogutud ja loodud asjakohane teave, v.a auditis töödeldud eriliiki isikuandmed ja riigisaladus, Riigikontrolli elektroonilises dokumendihaldussüsteemis. Korrastatud teavet säilitatakse dokumentide li igitusskeemi kohaselt 7 aastat. Auditis töödeldud isikuandmed pseudonüümitakse või kustutatakse hiljemalt kontrolliaruande allkirjastamise päeval. Eriliiki isikuandmed kustutatakse hiljemalt kontrolliaruande allkirjastamise päeval. Riigikontrolli andmetest säilitatakse varukoopiaid 1 aasta.  11. Milline on teiste asutuste juurdepääs andmekogu andmetele? Riigikontroll hoiab oma ülesannete täitmisega seoses Riigikontrollile teatavaks saanud avalikkusele mittekättesaadavad andmed konfidentsiaalsena (RKS § 47). Riigikontroll ei avalda isikuandmeid ka kontrolliaruandes (RKS § 50 lg 2¹). Kuriteo tunnuseid sisaldava õiguserikkumise avastamise kahtluse korral on Riigikontroll kohustatud vastavad materjalid esitama uurimisorganile (RKS § 51 lg 3). 12. Milline on kohustuste jaotus vastutava ja volitatud töötleja vahel? Näiteks, kes haldab kasutajaõigusi, kes vastab päringutele, kes andmekogu arendab ja rahastab? Infovara andmete töötlemiseks vajaliku keskkonda arendab ja rahastab Riigikontroll koos Riigikontrolli koostööpartneritega. Kohustuste jaotus vastutava ja volitatud töötleja vahel tulenevad vastutava ja volitatud töötleja vahel sõlmitavast isikuandmete töötlemise lepingust (vt ka p. 13). Infovara andmete töötlemiseks vajaliku keskkonna ja selle sihipärase toimimise, t urvalisuse ja arendamise põhimõtted koostatakse hiljemalt 2021. aasta novembrikuuks. 13. Kes on andmekogu vastutava ja volitatud töötleja töötajad? St, milline on ametikohtade/isikute ring, kes neile andmetele ligi pääsevad? Infovara kasutamist, selle kasutamise õiguste haldamist, kontrolli ja teenistujate vastutust reguleerib Riigikontrollis Riigikontrolli infovara kasutamise õiguste haldamise kord. Loodava infovara kasutamise õigused hakkavad kuuluma infovara kasutamise eriõiguste hulka, st loodava infovara kasutamise õigused antakse ainult Riigikontrolli konkreetsele teenistujale, kui see on vajalik konkreetsele teenistujale spetsiifiliste teenistus- või tööülesannete täitmiseks (reeglina auditit läbiviivale meeskonnale) ning Riigikontrolli koostööpartnerile lepingust tulenevate ülesannete täitmiseks. Riigikontrolli koostööpartnerite kohustused ja vastutus infovara kasutamisel tulenevad nendega sõlmitud asjakohastest lepingutest. 14. Kellele antakse andmekogu kasutamiseks kasutajaõigused? Loodava infovara peakasutajate ja kasutajate administraatorite nimekiri kehtestatakse Riigikontrolli infovara kasutamise õiguste haldamise korraga. 15. Millised on kasutajaõigused, kuidas kasutajaõiguseid luuakse ning lõpetatakse? Kas eristatakse, milliseid andmeid mingit liiki kasutajad näevad? Loodava infovara kasutajaõiguste loomine ja lõpetamine toimub Riigikontrolli infovara kasutamise õiguste haldamise korra alusel. Infovara kasutamise õiguste andmisel järgitakse põhjendatud teadmisvajaduse olemasolu põhimõtet, s.t kasutusõigused antakse teenistujale vaid teenistus- või tööülesannete täitmiseks ja Riigikontrolli koostööpartnerile vaid lepingust tulenevate ülesannete täitmiseks vastavalt täidetavate ülesannete iseloomule. Infovara kasutajatel on infovara kasutamiseks personaalsed kasutajanimed ja paroolid või muud vahendid, mis võimaldavad isiku tuvastamist (näiteks ID-kaart, mobiil-ID, digi-ID). Infovara kasutamise eriõiguste andmise üle otsustab igal üksikul juhul teenistuja vahetu juht ja Riigikontrolli koostööpartneriga infovara kasutamist puudutavas lepingus Riigikontrolli esindajana määratud teenistuja. 16. Milline on andmekogus töödeldavate andmete turvaklass? Infovara turvaklassi määrab andmete omanik (riigikontrolör) koostöös Riigikontrolli infoturbejuhiga vastavalt Riigikontrolli infotehnoloogia käitamise eeskirjale. Riigikontrolli info- ja kommunikatsioonitehnoloogia juht korraldab turvaklassi alusel töödeldavate andmete kaitsmise.  17. Millised on andmekogu andmetega teostatud toimingute (eeskätt sisestamine, muutmine, kustutamine, vaatamine, edastamine) logimine ja logide säilitustähtajad? Riigikontrolli logisid hoitakse kuni 1 aasta. Logide hoidmise ja logitaseme vajaduse määrab andmete omanik (riigikontrolör) koostöös Riigikontrolli info- ja kommunikatsioonitehnoloogia juhiga. Logima peaks teostatud toimingu, daatumi ja kasutaja. 18. Kuidas kontrollitakse, kas teostatud toimingud on põhjendatud ja sihipärased? Infovara kasutamise üle tehakse kontrolli riigikontrolöri korraldusel või põhjendamatu viivituseta pärast turvaintsidenti, kus avastati infovara kasutamise või Riigikontrolli infovara kasutamise õiguste haldamise korra rikkumine. Põhjendatud vajaduse korral võib kontrolli algatada ka teenistuja vahetu juht ja Riigikontrolli koostööpartneriga infovara kasutamist puudutavas lepingus Riigikontrolli esindajana määratud teenistuja. Infovara kasutamise õigusi inventeeritakse kord aastas. 19. Kuidas kontrollite kasutajate tausta, kes andmetele juurdepääsu saavad? Iga teenistuja peab kasutama talle antud infovara kasutamise õigusi vaid teenistus- või tööülesannete täitmiseks ja kinni pidama kasutamise reeglitest ning piirangutest. Iga teenistuja, kellel on teave infovara kasutamise ja Riigikontrolli infovara kasutamise õiguste haldamise korra rikkumise ning turvaintsidendi kohta, peab teavitama sellest viivitamatult Riigikontrolli info- ja kommunikatsioonitehnoloogia juhti. Infovara kasutamise üle tehakse kontrolli vastavalt Riigikontrolli infovara kasutamise õiguste haldamise korrale. Riigikontrolli värbamisprotsessis kontrollitakse tööle asuvate isikute tausta vastavalt avaliku teenistuse seaduses sätestatud nõuetele vastavuse hindamiseks (avaliku teenistuse seadus § 15 p 1 ja 2), ühtlasi on eetilised hoiakud Riigikontrollis äärmiselt olulisel kohal. Riigikontrollis on lisaks avalik u teenistuse eetikakoodeksile välja töötatud Riigikontrolli audiitori eetikakoodeks, mis annab konkreetsemad suunised igapäevaseks tööks. 20. Kuidas andmete omanikud, st asutused, kelle andmeid kogutakse ja töödeldakse, saavad teada, et nende andmeid on tööde ldud ja mis eesmärgil seda on tehtud, mis perioodi ja andmete kohta ning kes seda on teinud? Auditite puhul saadetakse teavituskiri, on menetlusteade, küsitakse selgitusi, on selge eesmärk, algus- ja lõputähtaeg. Kuidas selliste toimingute puhul on see korraldatud? Vastavalt Riigikontrolli auditite korraldamise korrale annab auditi alguses peakontrolör välja menetlusteate, millega kinnitab menetlustoimingute sooritaja(d), menetlusosalised (s.o kõik isikud, kelle suhtes tehakse menetlustoiminguid), tehtava(d) toimingu(d) ja toimingute aja. Menetlusteated on leitavad Riigikontrolli avalikust dokumendiregistrist (auditi 80082 menetlusteade on leitav siit). Peakontrolöril on õigus täiendavate asjaolude ilmnemisel (nt menetlusosaliste hulga laiendamine, menetlustoimingute tegijate lisamine) menetlusteadet muuta. Auditi alguses koostatakse ja saadetakse menetlusosalistele teavituskiri. Kui konkreetsed menet lusosalised ei ole teada juba planeerimise alguses, võib teavitus toimuda ka hiljem (vajaduse korral suuliselt), kuid igal juhul enne nende isikute suhtes menetlustoimingute tegemist. Riigikontrolli turvasüsteemide, turvaorganisatsiooni ja turvameetmete k ohta detailsema teabe saamiseks palun vajadusel pöörduda Riigikontrolli arendus - ja haldusteenistuse info- ja kommunikatsioonitehnoloogia juhi Sander Türk poole, tel 640 0725, e- post [email protected]. Isikuandmete töötlemisel oma põhiülesande täitmisel lähtub Riigikontroll Riigikontrolli teabehalduse ja isikuandmete kaitse korrast. Riigikontrolli andmekaitsespetsialist on Igor Aljošin, tel 640 0118, e - post [email protected].  Lisa 2. Nimekiri SAP BO aruannetest, mille andmeid Riigikontroll automatiseeritult Riigi Tugiteenuste Keskusest pärib Personal ja palk: HR001 Isikkoosseisu nimekiri HR009 Teenistusse / tööle võetud HR010 Lahkumised HR011 Organisatsioonisisesed liikumised HR025 Palgakulu kontolaiendite lõikes arvestusperioodiga HR027 Palgaleht HR036 Töösuhte andmed HR072 Kokkulepitud palk perioodil Finants: PV001 Põhivarade seis PV002 Põhivarade liikumine RH001 Riigihangete täitmine RP003 Tasumata kohustused ja makstud ettemaksed RP004 Tekkepõhised detailsed tehingud RP009 Kontode käibed ja saldod kuu lõpus RP017 Pearaamatu tüüpi kontode analüütilised saldod Saldo: SD001 Saldo päring