Vabariigi Valitsuse määruse „Tõlkeandmekogu põhimäärus" eelnõu

Haridus- ja Teadusministeerium Teie: 02.07.2026 nr HTM/26-0785/-1K Meie: 20.07.2026 nr 1-7/204-2 Vabariigi Valitsuse määruse „Tõlkeandmekogu põhimäärus" eelnõu kooskõlastamine Lugupeetud minister Siseministeerium kooskõlastab Vabariigi Valitsuse määruse „Tõlkeandmekogu põhimäärus“ eelnõu (edaspidi eelnõu) alltoodud tähelepanekutega arvestamisel: 1. Andmete kaitse ja turvameetmete proportsionaalsus Eelnõu § 5 kohaselt peavad tõlkevärava turvameetmed tagama konfidentsiaalsuse turvaklassi S3, tervikluse turvaklassi T3 ja käideldavuse turvaklassi K2 ning tõlkevärava kaitsetarve on väga suur. Siseministeerium nõustub, et tõlkeväravas töödeldavate andmete kaitse on oluline, arvestades, et tõlgitav teave võib sisaldada isikuandmeid, eriliiki isikuandmeid, juurdepääsupiiranguga teavet või muud tundlikku teavet. Samas on andmete kaitseks rakendatavate meetmete proportsionaalsus samuti oluline, kuna kõrgendatud turvanõuete rakendamine võib kaasa tuua märkimisväärse tehnilise, korraldusliku ja rahalise koormuse. Konfidentsiaalsuse turvaklass S3 eeldab tavapäraselt andmete krüpteerimist ja mitmetasandilist autentimist ning seda rakendatakse üldjuhul ülisalajase iseloomuga teabe kaitseks. Palume seletuskirjas täiendavalt põhjendada eelkõige konfidentsiaalsuse turvaklassi S3 valikut ja selle proportsionaalsust. Seletuskirjas on märgitud, et tõlkeväravas võib töödelda muu hulgas terviseandmeid, süüteoandmeid ja maksuandmeid, kuid täiendavalt vajab selgitamist, miks on kogu andmekogu puhul vajalik just S3 taseme konfidentsiaalsus ning kas kõigi andmekoosseisude ja kasutusjuhtude puhul on selline kaitsetase põhjendatud. Samuti palume hinnata, kas eelnõus sätestatud turvanõuded ja kavandatav turvaklass on omavahel piisavas kooskõlas. Kui andmekogule nähakse ette väga suur kaitsetarve ja konfidentsiaalsuse turvaklass S3, peaks eelnõust või seletuskirjast selgemalt nähtuma, millised tehnilised ja korralduslikud meetmed selle taseme tagamiseks rakendatakse. Näiteks ei ole eelnõus praegu selgelt käsitletud andmete varundamist, taastamist, juurdepääsude regulaarset kontrolli ega muid kõrgendatud kaitsetarbega andmekogu pidamisel olulisi meetmeid. Pikk 61 / 15065 Tallinn / [email protected] / www.siseministeerium.ee Registrikood 70000562 Palume eelnõu ja seletuskirja täiendada selliselt, et kavandatud turvaklass, selle põhjendus ning turvaklassist tulenevad nõuded oleksid omavahel loogilises ja kontrollitavas seoses. 2. Mõistete ja rollide selgus Eelnõus kasutatakse mitut omavahel seotud mõistet ja rolli, sealhulgas „kasutajaasutus“, „andmeandja“, „andmete esitaja“, „lõppkasutaja“, „tõlkepartner“, „kaasvastutav töötleja“, „haldaja“ ja „volitatud töötleja“. Kuigi osa mõisteid on eelnõus sisustatud, võib rollide ja vastutuse jaotus jääda adressaadile ebaselgeks, kuna sarnaseid või osaliselt kattuvaid rolle kirjeldatakse eri sätetes erinevate mõistete kaudu. Palume eelnõus ja seletuskirjas mõistete kasutus läbivalt üle vaadata ning vajadusel struktuursemalt selgitada, milline isik või asutus millises rollis tegutseb, milliseid andmeid ta esitab või töötleb ning mille eest ta vastutab. See on oluline nii andmekaitseõigusliku vastutuse, juurdepääsuõiguste haldamise kui ka andmete õigsuse ja turvameetmete rakendamise seisukohalt. Samuti juhime tähelepanu eelnõu § 10 lõikele 1, mille kohaselt tagab kasutajaasutus, et isikuandmed ja juurdepääsupiiranguga andmed ei satu avalikku tõlkemällu, ning haldaja ei kontrolli juurdepääsupiirangu kohast rakendamist. Palume täpsustada, kuidas jaguneb selle kohustuse täitmisel vastutus kasutajaasutuse, haldaja ja volitatud töötleja vahel. Kasutajaasutus saab küll kehtestada sisemised reeglid ja juhised, kuid nende tehniline rakendamine sõltub tõlkevärava funktsionaalsusest ja volitatud töötleja tagatud tehnilistest lahendustest. Seetõttu palume selgitada, milliste tehniliste ja korralduslike meetmetega tagatakse, et kasutajaasutuse kehtestatud piirangud tegelikult välistavad isikuandmete ja juurdepääsupiiranguga teabe sattumise avalikku tõlkemällu. Lisaks palume seletuskirjas täiendavalt kirjeldada, millest on lähtutud kaasvastutavate töötlejate rollide kujundamisel ning kuidas on kavandatud isikuandmete kaitse üldmääruse artikli 26 kohase ühise vastutuse rakendamine praktikas. Eelkõige palume selgitada, kuidas on kavandatud kaasvastutavate töötlejate omavaheline vastutuse jaotus ning millisel viisil tagatakse, et ühise vastutuse põhimõtted on kaasvastutavate töötlejate vahel ühtselt kokku lepitud ja andmesubjektidele teatavaks tehtud. Kuigi seletuskirjas on märgitud, et kaasvastutavad töötlejad lepivad ühise vastutuse korralduses omavahel kokku, ei nähtu eelnõust ega seletuskirjast piisava selgusega, kuidas on tagatud sellise kokkuleppe sõlmimine ning ühetaoline rakendumine kõigi kaasvastutavate töötlejate suhtes. 3. Andmete säilitamine ja kustutamine Eelnõu § 14 lõikes 3 sätestatakse logiandmete säilitamise tähtaeg, mille kohaselt säilitatakse logi kaks aastat kande või päringu tegemisest arvates ning säilitustähtaja möödumisel logiandmed kustutatakse. Samas ei nähtu eelnõust ega seletuskirjast piisava selgusega, millistel alustel ja kui kaua säilitatakse andmekogu põhiandmeid, sealhulgas tõlketöid, tõlgitavat teavet, lisa- ja taustamaterjale ning tõlkemälusid. Arvestades, et eelnõu § 7 kohaselt võivad tõlgitav teave, lisa- ja taustamaterjalid ning tõlkemälu tõlkesegmendid sisaldada isikuandmeid ja eriliiki isikuandmeid, on säilitamise põhimõtete selge reguleerimine andmekaitse seisukohalt oluline. Palume eelnõus või seletuskirjas täpsustada andmete säilitamise, kustutamise, anonüümimise ja vajadusel arhiveerimise põhimõtteid. Eelkõige palume selgitada, kui kaua säilitatakse 2 (3) tõlketöid ja tõlkemälusid, kes otsustab nende säilitamise või kustutamise, kas erinevatele tõlkemälude liikidele kohalduvad erinevad säilitamispõhimõtted ning kuidas tagatakse, et isikuandmeid ei säilitata kauem, kui see on vajalik tõlkevärava eesmärkide täitmiseks. 4. Logimine, juurdepääs ja muud turvanõuded Eelnõu § 14 reguleerib tõlkeväravas andmete sisestamise, muutmise ja päringute logimist ning logi säilitamise tähtaega. Arvestades eelnõu §-s 5 kavandatud väga suurt kaitsetarvet ja turvaklasse, palume hinnata, kas logimise regulatsioon on piisavalt detailne ning kooskõlas kavandatud turvatasemega. Palume eelnõus või seletuskirjas täiendavalt selgitada, kas ja kuidas toimub juurdepääsuõiguste regulaarne kontroll, logide kontrollimine, turvaintsidentidele reageerimine, andmete varundamine ja taastamine. Kui need küsimused on reguleeritud muudes dokumentides või infoturbemeetmete kaudu, palume sellele seletuskirjas viidata. Praegusel kujul võib jääda ebaselgeks, kas eelnõus sätestatud regulatsioon on piisav kavandatud väga suure kaitsetarbega andmekogu pidamiseks. 5. Keelelised ja normitehnilised täpsustused Palume üle vaadata järgmised keelelised ja normitehnilised küsimused. Eelnõu § 3 lõike 1 punktis 4 on sätestatud, et kaasvastutav töötleja „tagab isikuandmetega seotud rikkumisest järelevalveasutuse teavitamise ja vajadusel andmesubjektile, edastades /…/“. Sätte sõnastus vajab parandamist. Eeldatavalt on mõeldud, et kaasvastutav töötleja tagab isikuandmetega seotud rikkumisest järelevalveasutuse ja vajadusel andmesubjekti teavitamise. Palume sätte sõnastust vastavalt täpsustada. Eelnõu § 6 lõike 1 punktis 4 nimetatakse kasutajaasutuse andmetena „regulaarsed tööajad (nädalapäevad ja kellaajad)“. Seletuskirjas on sama sätte selgitamisel kasutatud väljendit „asutuse regulaarsete töötajate andmed“. Palume seletuskirja parandada, kuna eelnõu tekstist nähtuvalt on tegemist regulaarsete tööaegade, mitte regulaarsete töötajate andmetega. Eelnõu § 6 lõike 4 punktis 5 nimetatakse tõlkevärava lõppkasutaja andmetena „töö- ja puhkeajad“. Seletuskirjas kasutatakse sama andmekoosseisu selgitamisel nii väljendit „töö- ja puhkeaeg“ kui ka „töö- ja puhkuseaeg“. Palume terminikasutus ühtlustada, kuna puhkeaeg ja puhkus või puhkuseaeg on õiguslikult erineva tähendusega mõisted. Lugupidamisega (allkirjastatud digitaalselt) Igor Taro siseminister Pille Tees [email protected] 3 (3)