Arvamus maksukohustuslaste registri põhimääruse muutmise eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Jürgen Ligi Teie 28.05.2025 nr 1.1-10.1/2496-1 Rahandusministeerium [email protected] Meie 18.06.2025 nr 2.3-5/25/1728-2 Arvamus maksukohustuslaste registri põhimääruse muutmise eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks Vabariigi Valitsuse 7. märtsi 2019. a määruse nr 21 „Maksukohustuslaste registri põhimäärus“ muutmise määruse eelnõu. Meil ei ole esitatud eelnõu osas tähelepanekuid, küll aga toome välja mõned peamised tähelepanekud kehtiva põhimääruse osas. 1. Esmalt peame vajalikuks rõhutada, et igasugune isikuandmete töötlemine (sh säilitamine) riivab põhiseaduse §-s 26 sätestatud õigust eraelu puutumatusele. Põhiseaduse § 11 järgi tohib õigusi ja vabadusi piirata üksnes kooskõlas põhiseadusega. See aga tähendab, et niisugune piirang peab olema kooskõlas põhiseaduse § 3 esimese lausega, mille kohaselt teostatakse riigivõimu üksnes põhiseaduse ja sellega kooskõlas olevate seadusete alusel. Selle põhimõtte järgi peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seadusandja. Riigikogu võib täidesaatvat võimu volitada reguleerima üksnes vähemintensiivseid põhiõiguste piiranguid. Sealjuures peab seaduses sisalduv volitusnorm olema täpne, selge ja vastavuses piirangu intensiivsusega. See aga tähendab, et ka kõik andmekogu puudutavad olulised küsimused, milleks kindlasti on andmekogu pidamise eesmärk, töödeldavate isikuandmete liigid, andmete säilitamise tähtajad (vähemalt maksimaalne säilitustähtaeg), peavad olema reguleeritud seaduse tasandil. Kehtiv maksukorralduse seaduses (MKS) olev volitusnorm kõiki andmekogu pidamist puudutavaid olulisis küsimusi ei sisalda (nt puuduvad andmete säilitamise tähtajad). Siinjuures juhime tähelepanu sellele, et maksukohustuslaste registri (MKR) põhimääruse § 63 lõige 4 näeb ette, et andmekogusse kogutud andmed hävitatakse nende säilitamise tähtaja möödumisele järgneva kalendriaasta jooksul. Siinkohal on seaduse volitusnormis andmete säilitamise maksimaalse tähtaja kehtestamisel oluline silmas pidada, et kui andmete maksimaalne säilitustähtaeg on näiteks kolm kalendriaastat alates andmete registrisse kandmisest ja need tuleb hävitada järgneva kalendriaasta jooksul, siis ei saa volitusnormis olev andmete säilitamise maksimaalne tähtaeg olla kolm aastat. Andmete hävitamata jätmine kohe pärast tähtaja saabumist tähendab nende edasist töötlemist, kuid seda siis juba ilma õigusliku aluseta. 2. Samuti märgime, et AvTS § 435 lõike 1 järgi tuleb andmekogu põhimääruses sätestada muu hulgas andmekogusse andmete andjad. Andmekogude juhendis (lk 13–14) on toodud loetelu andmekogu pidamise olulistest küsimustest, mida tuleks põhimäärusega reguleerida. Üheks oluliseks küsimuseks on andmete allikad ehk millistest andmekogudest või kelle käest (millistelt andmeandjatelt) andmeid saadakse. Seeläbi määratakse tegelikult Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  kindlaks ka see, millised on andmekogu unikaalsed põhiandmed. Nimelt keelab AvTS § 433 lõige 2 asutada ühtede ja samade andmete kogumiseks eraldi andmekogusid, mis tähendab, et kui samu andmeid kogutakse juba mõnda teise andmekogusse põhiandmetena, siis tuleks kasutada seal olevaid andmeid ja mitte neid isikutelt uuesti koguda. MKR põhimääruse § 58 lõige 1 loetleb MKR andmeallikad, milleks muu hulgas on ka teised riigi infosüsteemi kuuluvad andmekogud, ning kust sama paragrahvi lõike 2 järgi laekuvad andmed ka MKR isikuandmeid sisaldavasse üldandmete andmestikku. Samas ei nähtu põhimäärusest, millistest konkreetsetest andmekogudest MKR andmeid saab ning milliseid andmeid. Selles osas vajab põhimäärus kindlasti täiendamist. 3. MKS § 17 lõike 3 järgi on MKR vastutavaks töötlejaks Maksu- ja Tolliamet. Andmekogu volitatud töötlejaid puudutavad sama paragrahvi kaks lõiget – lõiked 31 ja 32, millest esimese järgi on rahaliste kohustuste üle arvestuse pidamisel ja nende täitmise korraldamisel andmekogu volitatud töötlejaks Riigi Tugiteenuste Keskus, kohus ja prokuratuur ning teise lõike järgi määratakse registri volitatud töötlejad põhimääruses. MKR põhimääruse § 72 lõike 2 järgi on registri volitatud töötlejaks asutus või isik, kellel on seadusest tulenev alus andmetele juurdepääsuks ning kellega Maksu- ja Tolliamet on sõlminud lepingu andmete töötlemiseks. AvTS § 434 lõike 1 järgi on andmekogul vastutav töötleja (haldaja), kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Sama paragrahvi lõige 2 annab andmekogu vastutavale töötlejale õiguse volitada edasi andmete töötlemist ja andmekogu majutamist teisele riigi- või kohaliku omavalitsuse asutusele, avalik-õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses. Seega AvTS-st tulenevalt peab igal andmekogul olema vastutav töötleja ehk haldaja, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Seoses andmekogu volitatud töötlejatega on inspektsioon andmekogude juhendis (lk 13) selgitanud, et andmekogu volitatud töötleja võib olla nii vastutava töötleja kontrolli all tegutsev andmekogu igapäevane haldaja kui ka teenuste osutaja (nt andmekogu majutaja või arendaja). Et aga tööjaotus ja vastutus andmekogu töötlejate vahel oleks selge, on mõistlik vastavalt tegelikule tööjaotusele kirjeldada, kes mida teeb (nt kes haldab kasutajaõigusi, kes vastab päringutele, kes andmekogu arendab ja rahastab jne). MKR vastutava ja volitatud töötleja tööjaotus on toodud põhimääruse §-s 73, mille lõige 2 loetleb volitatud töötleja ülesanded, milleks muu hulgas on andmekogu hooldamine ja majutamine, intsidentide käsitlemine ja lahendamine, andmete säilitamise korraldamine ja varukoopiate tegemine ehk kokkuvõtvalt võiks öelda, et tegemist on pigem andmekogu majutaja ülesannetega. Ilmselt ei täida aga neid ülesandeid MKS §-s 17 loetletud muud volitatud töötlejad – Riigi Tugiteenuste Keskus, kohus ja prokuratuur, mistõttu ei ole tegelikult ka selge, millist osa need volitatud töötlejad andmekogu pidamisel on kohustatud täitma. Küll aga võivad eelnimetatud asutused koos andmekogu vastutava töötlejaga olla isikuandmete töötlemisel kaasvastutavad töötlejad. Andmekaitse Inspektsioon on varasemalt andmekogudega seoses juhtinud tähelepanu sellel, et andmekogude puhul tuleb eristada isikuandmete töötlemise vastutavat ja volitatud töötlejat ning andmekogu vastutavat töötlejat ja volitatud töötlejat, sh nende rollidega seotud kohustusi. Kui andmekogu vastutava töötleja ülesanded on seotud andmekogu pidamisega, siis IKÜM näeb isikuandmete (kaas)vastavale töötlejale ette mitmeid kohustusi just seoses 2 (3)  isikuandmete töötlemisega. IKÜM artikkel 28 lõige 1 näeb ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt (või on seda nende eest teinud ametlikult juba seadusandja) kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on nad isikuandmete töötlemisel kaasvastutavad töötlejad. Kaasvastutavate töötlejate vastutuse määramisel isikuandmete töötlemisel tuleb eelkõige arvesse võtta andmesubjektide õiguste kasutamist ja teabe andmise kohustusi. Lisaks peaks vastutuse jaotus hõlmama muid vastutava töötleja kohustusi, näiteks seoses üldiste andmekaitsepõhimõtete, õigusliku aluse, turvameetmete, andmetega seotud rikkumisest teatamise kohustuse, andmekaitse mõjuhinnangute, volitatud töötlejate kasutamise, kolmandate riikide andmete edastamise ning andmesubjektide ja järelevalveasutusega suhtlemisega. Kuigi IKÜM kaasvastutavate töötlejate vahelise kokkuleppe õiguslikku vormi ei täpsusta, soovitab Euroopa Andmekaitsenõukogu õiguskindluse huvides ning läbipaistvuse ja vastutuse tagamiseks sellise kokkuleppe sõlmida siduva dokumendina, näiteks lepingu või muu liidu või liikmesriigi õiguse kohase õiguslikult siduva aktina, millele vastutavad töötlejad on allutatud. Eelnevaga seoses tuleks andmekogu põhimääruses välja tuua vastutava ja volitatud töötleja ülesanded ja kohustused seoses andmekogu pidamisega ning määrata rollid ning tuua välja kohustused, mis puudutavad andmekogus isikuandmete töötlemist. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 3 (3) Saatja: [email protected] Saaja: "Info - RAM" <[email protected]> Teema: Arvamus eelnõule Kuupäev: 2025-06-18 18:06 Tere! Teile on saadetud Andmekaitse Inspektsiooni dokumendihaldussüsteemi Delta kaudu dokument. Pealkiri: Arvamus maksukohustuslaste registri põhimääruse muutmise eelnõule Registreerimise kuupäev: 18.06.2025 Registreerimise number: 2.3-5/25/1728-2 Tundliku sisuga elektroonilised pöördumised on võimalik inspektsioonile edastada krüpteeritult kasutades ID- kaarti ja ID-tarkvara <https://installer.id.ee/?lang=est> . Kuidas dokumente krüpteerida, vaata siit <https://www.aki.ee/meist/vota-uhendust/saada-kiri> . Andmekaitse Inspektsioon Tatari 39, 10134 Tallinn Telefon: 627 4135 E-mail: [email protected] <http://www.aki.ee> www.aki.ee ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Leia meid <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> LinkedInist või kuula <https://open.spotify.com/show/3zUmUfZZchralr4845AUFJ?si=a94a8df1e9264c92&nd=1&dlsi=d71b67c3014b4ca6> Andmehäälingust