Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Igor Taro Teie 18.08.2025 nr 1-6/3227-1 Siseministeerium [email protected] Meie 02.09.2025 nr 2.3-4/25/2686-2 Arvamus taktikalise juhtimise andmekogu põhimääruse muutmise eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks siseministri määruse „Siseministri 25. septembri 2018. aasta määruse nr 22 „Politsei taktikalise juhtimise andmekogu põhimäärus“ muutmine“ eelnõu. Meil on eelnõu osas järgmised tähelepanekud. 1. Eelnõu § 1 punktiga 4 täiendatakse põhimääruse § 7 lõikes 2 toodud andmeandjate loetelu nende andmete kategooriatega, mida politsei taktikalise juhtimise andmekogu (KILP) teistest andmekogudest saab. Muudatustest nähtuvalt vahetab KILP andmeid 17 erineva andmekoguga, kuid jätkuvalt jääb selgusetuks, kas ja millises ulatuses andmeandjatelt saadud andmeid KILP-i salvestatakse. AvTS § 435 lõike 1 järgi tuleb andmekogu põhimääruses muu hulgas sätestada nii andmeandjad kui ka andmekogusse kogutavate andmete koosseis. See tähendab, et põhimäärus peab sisaldama ammendavat loetelu andmekogusse kogutavatest andmetest, sh peab andma ülevaate sellest, millised nendest andmetest on saadud teistest andmekogudest (on mõne teise andmekogu põhiandmeteks). Oleme ka varasemalt antud arvamuses1 selgitanud, et põhimääruses tuleb välja tuua ka see, millised andmekogu andmed saadakse teistest andmekogudest, kuna vastasel juhul ei ole võimalik määrata, millised andmed on KILP-i unikaalsed põhiandmed ja millised andmed on saadud teistest andmekogudest. Samuti ei ole võimalik kontrollida, kas edastatavad andmed kajastuvad ka andmekoosseisus, sh hinnata, kas need andmed on üldse andmekogu eesmärgi täitmiseks vajalikud. Palume eelnõu selles osas täiendada. Lisaks juhime tähelepanu Interpoli andmebaasiga andmevahetust puudutavale sättele.2 Täiendusest nähtuvalt esitab Interpoli andmebaas KILP-i isikuandmeid ning varastatud või kaotatud reisidokumendi andmed, varastatud sõiduki andmed. Märgime, et isikuandmete kaitse üldmääruse (IKÜM) artikkel 4 punkti 1 järgi on isikuandmed igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta, mis tähendab, et kõik andmed, mille kaudu on isik kas otseselt või kaudselt tuvastatav, liigituvad isikuandmeteks. Seega ei anna eelnõus toodud viisil sõnastatud säte teavet selle kohta, milliseid konkreetseid isikuandmeid tegelikult Interpoli andmebaasist andmekogusse edastatakse. Palume säte sõnastada selliselt, et oleks selge, milliseid isikuandmeid Interpoli andmebaasist andmekogusse edastatakse. 1 Andmekaitse Inspektsiooni avalik dokumendiregister 2 Põhimääruse § 7 lõige 2 punkt 1 Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  2. Ühtlasi peame vajalikuks veel kord juhtida tähelepanu politsei ja piirivalveseaduses (PPVS) toodud volitusnormile. Nimelt on PPVS § 251 lõike 1 järgi andmekogu eesmärgiks 1) reageeriva ressursi planeerimine ja haldamine, 2) operatiivteadete ja -sündmuste registreerimine, taktikalise juhtimise ja lahendamise korraldamine ning 3) rahvusvahelise koostööga seotud operatiivinformatsiooni haldamine. Samas näeb põhimääruse § 1 lõige 3 aga ette andmekogu andmete kasutamist ka sündmuste ennetamisel, avastamisel ja analüüsimisel ning statistilistel eesmärkidel. Nagu varasemalt oleme selgitanud, siis põhiseadusest tulenevalt peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seadusandja, mis tähendab, et ka kõik andmekogu puudutavad olulised küsimused, milleks kindlasti on andmekogu pidamise eesmärk, töödeldavate isikuandmete liigid, andmete säilitamise tähtajad, peavad olema reguleeritud seaduse tasandil. Sealjuures, mida intensiivsemalt isiku põhiõigusi riivatakse (nt mida tundlikumad on andmed), seda täpsem peab olema selleks riiveks alust andev regulatsioon. Põhimääruse muutmise eelmisel kooskõlastamisel antud selgitustes on leitud, et ei oleks sisult õige sätestada seaduse tasandil, et KILP-i asutamise eesmärk on statistika koostamine. Seni on lähtutud eeldusest, et tegu on andmekogu pidamisega seotud korraldusliku küsimusega, mitte andmekogu asutamise eesmärgi laiendamisega. Sellise lähenemisega ei saa nõustuda olukorras, kus seadusandja volitab vastutavat ministrit asutama andmekogu volitusnormis loetletud ülesannete täitmiseks, kuid põhimäärusega on asutud andmekogusse kogutud andmete kasutamise eesmärki laiendama selliselt, et andmekogu andmeid tohib kasutada ka muudel eesmärkidel, kui on volitusnormis loetletud. Siinjuures peame täiendavalt vajalikuks selgitada, et kui aruannete koostamiseks ja statistika tegemiseks peetakse vajalikuks luua andmekogu juurde nt andmeladu, siis tuleb ka andmeladu puudutav läbipaistvuse tagamiseks põhimääruses välja tuua. Samuti ei nähtu volitusnormist, millist liiki isikuandmeid PPVS § 251 lõikes 2 loetletud juhtudel töödeldakse. Nimelt on seaduse tasandil KILP-is töödeldavate andmete koosseis kehtestatud sellise üldistusastmega, millest ei ole võimalik aru saada, milliseid isikuandmeid andmekogus tegelikult töödeldakse. Oleme oma varasemas arvamuses3 seoses KILP-iga märkinud järgmist: Juba aastaid tagasi on AKI POLISe regulatsiooni osas tähelepanu juhtinud, et nii ulatuslik isikuandmete töötlemine peab seaduse tasandil olema selgemalt reguleeritud. Nüüd ei tohiks korrata sama viga, et andmekogu funktsionaalsuste ülekandumisel POLISest KILPi reguleeritakse KILP seaduse tasandil sama ebamääraselt, nagu POLIS. Seega soovitame edaspidi PPVS muutmisel vaadata üle andmekogu eesmärk ning sõnastada volitusnorm selliselt, et oleks aru saada, millistel eesmärkidel tohib andmekogu andmeid kasutada ning millist liiki isikuandmeid ja kelle kohta andmekogusse kogutakse. 3. Kehtiva põhimääruse § 2 järgi on andmekogu vastutavaks töötlejaks Politsei- ja Piirivalveamet ning volitatud töötlejateks Maksu- ja Tolliamet, julgeolekuasutus, Kaitsevägi ning andmekogu arendamisel ja majutamisel SMIT4. AvTS § 43⁴ lõike 1 järgi on andmekogul vastutav töötleja (haldaja), kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Sama paragrahvi lõige 2 annab andmekogu vastutavale töötlejale õiguse volitada edasi andmete töötlemist ja andmekogu majutamist teisele riigi- või kohaliku omavalitsuse asutusele, avalik-õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses. Põhimäärusest nähtuvalt täidab andmekogu arendamise ja majutamisega seotud ülesandeid SMIT, kuid selgusetuks jääb, milline on ülejäänud volitatud töötlejate roll andmekogu pidamisel. 3 30.08.2021 nr 1.2.- 4/21/2290 4 Siseministeeriumi infotehnoloogia- ja arenduskeskus 2 (3)  Andmekogude juhendi punktis 3.2 on välja toodud loetelu andmekogu pidamise olulistest küsimustest, mida tuleks põhimäärusega reguleerida. Selleks tuleks põhimääruses muu hulgas välja tuua volitatud töötleja ja tema roll ning kohustuste jaotus andmekogu vastutava ja volitatud töötleja vahel. Juhendis on selgitatud: et tööjaotus ja vastutus andmekogu töötlejate vahel oleks selge, on mõistlik vastavalt tegelikule tööjaotusele kirjeldada, kes mida teeb. Näiteks kes haldab kasutajaõigusi, kes vastab päringutele, kes andmekogu arendab ja rahastab jne. Põhimääruse § 16 pealkirjast nähtuvalt peaks säte sisaldama volitatud töötleja ülesandeid. Tegelikult aga ei nähtu nimetatud paragrahvist tegelik kohustuste jaotus vastutava ja volitatud töötleja vahel – kõik (k.a vastutav töötleja) vastutavad isikuandmete nõuetekohase töötlemise ja toimingute õiguspärasuse eest, tagavad andmekogu nõuetekohase pidamise ning rakendavad vajalikke turbemeetmeid. Säte ei anna aga vastust küsimusele, milliseid ülesandeid on volitatud töötlejad andmekogu pidamisel, s.o andmete töötlemisel kohustatud täitma. Põhimäärusest nähtuvalt on juurdepääsude haldamine, andmete väljastamine ja ebaõigete andmete parandamine vastutava töötleja ülesandeks. Küll aga võib põhimääruse § 8 lõikest 2 tulenevalt eeldada, et volitatud töötlejate ülesandeks on andmete andmekogusse kandmine, kuid selgusetuks jääb, milliseid andmekogu andmeid volitatud töötlejad on kohustatud andmekogusse kandma ning milline on seoses kandmisega nende vastutus. Lisaks selgitame, et kui andmekogu volitatud töötlejad kannavad andmekogusse isikuandmeid seoses õigusaktidest tulenevate ülesannete täitmisega, siis võib tegemist olla IKÜM mõistes isikuandmete kaasvastutavate töötlejatega, kelle vastutusvaldkonnad isikuandmete töötlemisel tuleb samuti põhimääruses kindlaks määrata. IKÜM artikli 26 lõige 1 näeb ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt (või on seda nende eest teinud ametlikult juba seadusandja) kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on nad kaasvastutavad töötlejad. Kaasvastutavate töötlejate vastutuse määramisel isikuandmete töötlemisel tuleb eelkõige arvesse võtta andmesubjektide õiguste kasutamist ja teabe andmise kohustusi. Lisaks peaks vastutuse jaotus hõlmama muid vastutava töötleja kohustusi, näiteks seoses üldiste andmekaitsepõhimõtete, õigusliku aluse, turvameetmete, andmetega seotud rikkumisest teatamise kohustuse, andmekaitse mõjuhinnangute, volitatud töötlejate kasutamise, kolmandate riikide andmete edastamise ning andmesubjektide ja järelevalveasutusega suhtlemisega. Kuigi IKÜM kaasvastutavate töötlejate vahelise kokkuleppe õiguslikku vormi ei täpsusta, soovitab Euroopa Andmekaitsenõukogu õiguskindluse huvides ning läbipaistvuse ja vastutuse tagamiseks sellise kokkuleppe sõlmida siduva dokumendina, näiteks lepingu või muu liidu või liikmesriigi õiguse kohase õiguslikult siduva aktina, millele vastutavad töötlejad on allutatud ehk antud juhul andmekogu põhimäärusena.5 Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 5 Suunised 07/2020 vastutava töötleja ja volitatud töötleja mõistete kohta isikuandmete kaitse üldmääruses 3 (3)