Seaduseelnõu

Riigikantselei Ministeeriumid Eesti Linnade ja Valdade Liit Meie 24.11.2022 nr 2-1/2022/7229 Andmekaitse Inspektsioon Riigi Infosüsteemi Amet Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seaduse eelnõu Edastame kooskõlastamiseks ja arvamuse avaldamiseks avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seaduse eelnõu. Palume kooskõlastused ja arvamused edastada hiljemalt 6. detsembriks 2022, kuivõrd samateemaline eelnõu on kooskõlastamisele esitatud ka varasemalt (18. november 2021). Täpsem informatsioon varasema eelnõu osas leitav: https://eelnoud.valitsus.ee/main/mount/docList/f379bacf-33c4-44a7-9daf-83ffb2fced65. Lugupidamisega (allkirjastatud digitaalselt) Kristjan Järvan ettevõtlus- ja infotehnoloogiaminister Lisad: 1) Lisa 1 – AvTS muutmine_EN 2) Lisa 2 – AvTS muutmine_SK 3) Lisa 3 – Rakendusakti kavand (SK lisa 1) Kätlin Aren 625 6382 [email protected] Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  EELNÕU 23.11.2022 Avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seadus § 1. Avaliku teabe seaduse muutmine Avaliku teabe seaduses tehakse järgmised muudatused: 1) seaduses asendatakse läbivalt sõnad „kindlustav süsteem“ sõnadega „toetav süsteem“ vastavas käändes; 2) paragrahvi 432 lõikes 1 asendatakse sõnad „andmekogude pidamist“ sõnadega „riigi infosüsteemi“; 3) paragrahvi 439 lõike 1 sissejuhatav lauseosa muudetakse ja sõnastatakse järgmiselt: „Vabariigi Valitsus kehtestab määrusega järgmised riigi infosüsteemi toetavad süsteemid:“; 4) paragrahvi 439 lõiget 1 täiendatakse punktidega 7 järgmises sõnastuses: „7) andmeedastuse nõusoleku süsteem.“; 5) paragrahvi 439 lõike 3 esimeses lauses asendatakse sõnad „Riigi infosüsteemi kindlustavate“ sõnadega „Käesoleva paragrahvi lõike 2 punktides 1–6 nimetatud“; 6) seaduse 51. peatükki täiendatakse §-dega 4310 ja 4311 järgmises sõnastuses: „§ 4310. Andmeedastuse nõusoleku süsteem (1) Andmeedastuse nõusoleku süsteem on infosüsteem, mis võimaldab: 1) füüsilisel isikul (edaspidi andmesubjekt) anda riigi infosüsteemi kuuluva andmekogu vastutavale töötlejale isikuandmete kaitse üldmääruse artikkel 6 lõige 1 punktist a või artikkel 9 lõige 2 punktist a tuleneva nõusoleku (edaspidi nõusolek) tema kohta riigi infosüsteemi kuuluvas andmekogus sisalduvate isikuandmete edastamiseks infosüsteemide andmevahetuskihi kaudu eraõiguslikule juriidilisele isikule (edaspidi andmesaaja); 2) andmesubjektil esitada isikuandmete kaitse üldmääruse artiklist 20 või seadusest tuleneva isikuandmete ülekandmise tahteavalduse (edaspidi isikuandmete ülekandmise tahteavaldus) tema kohta käivate isikuandmete edastamiseks infosüsteemide andmevahetuskihi kaudu ühest riigi infosüsteemi andmekogust (edaspidi isikuandmeid ülekandev andmekogu) teise riigi infosüsteemi andmekogusse (edaspidi isikuandmeid vastuvõttev andmekogu). (2) Kui riigi infosüsteemi kuuluva andmekogu vastutav töötleja võimaldab andmeedastuse nõusoleku süsteemis antud nõusoleku alusel isikuandmete edastamist ja andmesaaja taotleb temalt olemasoleva isikuandmete edastamise võimest erineva võime loomist, on riigi infosüsteemi kuuluva andmekogu vastutaval töötlejal õigus keelduda võime loomisest, kui see takistab avalike ülesannete täitmist. (3) Andmeedastuse nõusoleku süsteemis antud nõusoleku alusel isikuandmete edastamise kulud katab riigi infosüsteemi kuuluva andmekogu vastutav töötleja, kui seadus ei sätesta teisiti. (4) Kui seaduse alusel võetakse andmeedastuse nõusoleku süsteemis antud nõusoleku alusel isikuandmete edastamise eest tasu, avalikustab riigi infosüsteemi kuuluva andmekogu vastutav töötleja oma asutuse veebilehel seaduses sätestatud tasu suuruse, tasu võtmise tingimused ja tasu arvutamise alused ning teavitab tasu võtmisest käesoleva seaduse § 321 lõikes 2 nimetatud asutust. (5) Andmeedastuse nõusoleku süsteemis antud nõusoleku alusel isikuandmete edastamise eest tasu võtvate riigi infosüsteemi kuuluvate andmekogude vastutavate töötlejate nimekiri avalikustatakse Eesti teabeväravas. § 4311. Andmeedastuse nõusoleku süsteemi andmekogu (1) Andmeedastuse nõusoleku süsteemi andmekogu (edaspidi nõusoleku andmekogu) eesmärk on võimaldada riigi infosüsteemi kuuluva andmekogu vastutaval töötlejal kontrollida andmesubjekti nõusoleku või isikuandmete ülekandmise tahteavalduse olemasolu ja ulatust riigi infosüsteemi kuuluvast andmekogust andmete edastamiseks andmesaajale või isikuandmeid vastuvõtva andmekogu vastutavale töötlejale ning tagada toimunud andmevahetuse õiguspärasuse tõendatavus. (2) Nõusoleku andmekogus töödeldakse järgmisi andmeid: 1) nõusoleku või isikuandmete ülekandmise tahteavalduse andnud andmesubjekti üldandmed; 2) andmesaaja üldandmed; 3) andmekogu vastutava töötleja üldandmed; 4) isikuandmete ülekandmise õiguse alusel isikuandmeid edastava ja vastuvõtva andmekogu üldandmed; 5) volitatud töötleja olemasolul tema üldandmed; 6) infosüsteemide andmevahetuskihi alamsüsteemi kood ja edastatava andmekoosseisu metaandmed; 7) nõusoleku või isikuandmete ülekandmise tahteavalduse andmise ja tagasivõtmise aeg, nõusoleku või isikuandmete ülekandmise tahteavalduse kehtivuse lõppkuupäev, nõusolekuga või isikuandmete ülekandmise tahteavaldusega seotud andmesaaja andmed; 8) andmetöötlustoimingute logid. (3) Nõusoleku andmekogu vastutav töötleja on Riigi Infosüsteemi Amet. (4) Nõusoleku andmekogus sisalduvaid andmeid ja logisid säilitatakse kolm aastat pärast nõusoleku või isikuandmete ülekandmise õiguse tahteavalduse tähtaja lõppu. (5) Nõusoleku andmekogu asutab ja selle põhimääruse kehtestab Vabariigi Valitsus.“. § 2. Keskkonnaseire seaduse muutmine Keskkonnaseire seaduse § 13 lõikes 2 asendatakse sõnad „kindlustavate süsteemide“ sõnadega „toetavate süsteemide“. § 3. Ruumiandmete seaduse muutmine Ruumiandmete seaduse § 21 lõikes 2 ja § 39 lõikes 2 asendatakse sõnad „kindlustab andmekogude pidamist“ sõnadega „toetab riigi infosüsteemi“. Jüri Ratas Riigikogu esimees Tallinn, „…“ ............................. 2022. a Algatab Vabariigi Valitsus „…“ ………………….. 2022. a (allkirjastatud digitaalselt)  Avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seaduse eelnõu seletuskirja juurde Lisa 1 Rakendusakti kavand VABARIIGI VALITSUS MÄÄRUS Andmeedastuse nõusoleku süsteem ja andmeedastuse nõusoleku süsteemi andmekogu põhimäärus Määrus kehtestatakse avaliku teabe seaduse § 439 lõike 1 punkti 7 ning § 4311 lõike 5 alusel. 1. peatükk ÜLDSÄTTED § 1. Kohaldamisala Määrusega kehtestatakse andmeedastuse nõusoleku süsteem (edaspidi nõusolekuteenus) ning selle haldamine ja kasutamine ning asutatakse andmeedastuse nõusoleku süsteemi andmekogu (edaspidi nõusoleku andmekogu) ja kehtestatakse selle põhimäärus. 2. peatükk NÕUSOLEKUTEENUSE HALDAMINE JA KASUTAMINE § 2. Nõusolekuteenuse haldaja Nõusolekuteenuse haldaja on Riigi Infosüsteemi Amet (edaspidi haldaja). § 3. Andmeandja tähendus ja liidestamine nõusolekuteenusega (1) Andmeandja käesoleva määruse tähenduses on riigi infosüsteemi kuuluv nõusolekuteenusega liidestatud andmekogu kuskohast väljastatakse andmesaajale andmeid. (2) Andmeandja teavitab nõusolekuteenusega liidestumise soovist haldajat, kes korraldab andmeandja liidestamise. § 4. Andmeandja õigused ja kohustused (1) Andmeandja vastutav töötleja sõlmib haldajaga liitumiskokkuleppe. Liitumiskokkuleppes määratakse teenustaseme tingimused ning poolte õigused, kohustused ja vastutus. (2) Andmeandja vastutav töötleja kohandab oma infosüsteemi tööks nõusolekuteenuse keskkonnas. § 5. Andmesaaja kohustused (1) Andmesaaja sõlmib haldajaga liitumiskokkuleppe. Liitumiskokkuleppes fikseeritakse teenustaseme tingimused ning poolte õigused, kohustused ja vastutus. (2) Nõusolekuteenusega liidestatud andmesaaja on kohustatud: 1) tagama nõusolekuteenuse sihipäraseks ja nõuetekohaseks kasutamiseks oma infosüsteemi järjepideva toimimise ja haldamise ning selle turvalise ja häireteta töö; 2) kohandama oma infosüsteemi tööks nõusolekuteenuse keskkonnas; 3) järgima haldaja edastatud korraldusi teenuse sihipärase ja nõuetekohase kasutamise kohta. (3) Käesoleva paragrahvi lõikes 2 nimetatud kohustuste rikkumisel on haldajal õigus lõpetada andmesaaja liidestus nõusolekuteenusega. § 6. Andmesubjekti nõusoleku andmine, haldamine ja tagasivõtmine (1) Andmesubjekti poolt nõusolekuteenuses nõusoleku andmine, haldamine ja tagasivõtmine ning isikuandmete ülekandmise tahteavalduse andmine toimub Eesti teabevärava kaudu. (2) Nõusolekuteenuse kasutamine nõusoleku andmiseks, haldamiseks ja tagasivõtmiseks ning isikuandmete ülekandmise tahteavalduse andmiseks on andmesubjektile tasuta. (3) Andmeandja esitab andmesaaja esitatud informatsiooni põhjal andmesubjektile enne nõusolekuteenuses nõusoleku andmist vähemalt järgmise teabe: 1) teave andmesaaja kohta; 2) teave andmeandja ning selle vastutava töötleja kohta; 3) teave andmeandjalt andmesaajale edastavate andmesubjekti isikuandmete liikide kohta; 4) teave, mis eesmärgil andmesaaja isikuandmeid edaspidi kasutab; 5) teave, mis õiguslikul alusel andmesaaja isikuandmeid töötleb; 6) nõusoleku kehtivusaeg; 7) teave, et andmesubjekt võib nõusolekuteenuses antud nõusoleku igal ajal tagasi võtta. (4) Isikuandmeid edastava ja vastuvõtva andmekogu vastutavad töötlejad esitavad andmesubjektile enne nõusolekuteenuses isikuandmete ülekandmise tahteavalduse tegemist vähemalt järgmise teabe: 1) teave isikuandmeid edastava andmekogu ja tema vastutava töötleja kohta; 2) teave isikuandmeid vastuvõtva andmekogu ja tema vastutava töötleja kohta; 3) isikuandmeid vastuvõtva andmekogu vastutava töötleja poolt isikuandmete töötlemise õiguslik alus; 4) isikuandmeid edastava andmekogu poolt isikuandmeid vastuvõtvale andmekogule edastatav andmekoosseis. § 7. Nõusolekuteenuse kasutamise lõppemine Nõusolekuteenuse kasutamise lõpetamiseks esitab andmesaaja või andmeandja vastutav töötleja haldajale avalduse. 3. peatükk NÕUSOLEKU ANDMEKOGU § 8. Andmekogu nimetus Andmekogu ametlik nimetus on „andmeedastuse nõusoleku süsteemi andmekogu“, inglise keeles „Consent Management System“. Andmekogu ametlik lühinimetus on „Nõusolek“, inglise keeles „Consent“. § 9. Andmekogu pidamise viis Nõusoleku andmekogu peetakse ühetasandilise elektroonilise andmekoguna. § 10. Andmekogu vastutava töötleja ülesanded Nõusoleku andmekogu vastutava töötleja ülesanded on: 1) anda andmeandja vastutava töötleja kontaktisikule juurdepääs nõusoleku andmekogule andmeedastuse infotehnoloogiliseks haldamiseks; 2) anda andmesaajale juurdepääs nõusoleku andmekogule andmeedastuse tegemiseks; 3) hallata nõusoleku andmekogu iseteeninduskeskkonna kasutajakontosid; 4) avada nõusoleku andmekogu infosüsteemide andmevahetuskihi (edaspidi X-tee) teenus andmeandja vastutava töötleja kontaktisikule; 5) koguda nõusolekuteenuse kasutamise statistikat ja teha see andmesaajatele kättesaadavaks; 6) tagada nõusoleku andmekogu kaitsmise abinõud; 7) kontrollida isikukoodi alusel nõusolekut või isikuandmete ülekandmise tahteavalduse teinud andmesubjekti teovõimet; 8) täita nõusoleku andmekogu pidamisel õigusaktidest tulenevaid muid ülesandeid. § 11. Andmekogu ülesehitus (1) Nõusoleku andmekogu koosseisu kuuluvad: 1) andmeandja andmed; 2) andmeandja poolt pakutava andmeteenuse kirjeldus (edaspidi teenusedeklaratsioon); 3) andmesaaja poolt päritavate andmete kasutamise eesmärk (edaspidi eesmärgideklaratsioon); 4) andmesubjekti nõusoleku või isikuandmete ülekandmise tahteavalduse andmed; 5) nõusoleku või isikuandmete ülekandmise tahteavalduse alusel toimunud andmeedastuste andmed; 6) andmeandja vastutava töötleja kontaktisiku andmed. (2) Nõusoleku andmekogul on iseteeninduskeskkond. § 12. Andmekogusse kantavad andmed (1) Andmeandja kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) nimetus; 2) vastutav töötleja; 3) vastutava töötleja registrikood; 4) volitatud töötleja; 5) volitatud töötleja registrikood; 6) X-tee alamsüsteemi kood. (2) Teenusedeklaratsiooni kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) identifikaator; 2) nimi; 3) väljastatava andmekoosseisu kirjeldus; 4) tehniline kirjeldus; 5) nõusoleku maksimaalne kehtivusaeg; 6) teenusedeklaratsiooniga seotud X-tee teenuse kood; 7) kehtivusaja lõppkuupäev. (3) Eesmärgideklaratsiooni kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) andmesaaja nimi; 2) andmesaaja registrikood; 3) eesmärgideklaratsiooni identifikaator; 4) asjassepuutuva teenusedeklaratsiooni identifikaator; 5) pakutava teenuse nimetus; 6) andmete kasutamise eesmärgi kirjeldus; 7) eesmärgideklaratsiooni kehtivusaja lõppkuupäev. (4) Andmesubjekti ja tema nõusoleku või isikuandmete ülekandmise tahteavalduse kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) isikukood; 2) eesnimi; 3) perekonnanimi; 4) käesoleva määruse § 12 lõikes 1 nimetatud andmed; 5) käesoleva määruse § 12 lõike 2 punktides 1 – 3 nimetatud andmed; 6) käesoleva määruse § 12 lõike 3 punktides 1 – 6 nimetatud andmed; 7) nõusoleku või isikuandmete ülekandmise tahteavalduse andmise aeg; 8) nõusoleku või isikuandmete ülekandmise tahteavalduse tagasivõtmise aeg; 9) nõusoleku või isikuandmete ülekandmise tahteavalduse kehtivuse lõppkuupäev; 10) nõusoleku või isikuandmete ülekandmise tahteavalduse viide. (5) Nõusoleku või isikuandmete ülekandmise tahteavalduse alusel toimunud andmeedastuste kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) andmeedastuse kuupäev; 2) andmeedastuse aluseks olnud nõusoleku või isikuandmete ülekandmise tahteavalduse viide. (6) Nõusoleku või isikuandmete ülekandmise tahteavalduse alusel andmeid edastava riigi infosüsteemi andmekogu vastutava töötleja kontaktisiku kohta kantakse nõusoleku andmekogusse järgmised andmed: 1) eesnimi; 2) perekonnanimi; 3) isikukood; 4) e-posti aadress. § 13. Nõusoleku andmekogusse andmete esitamine Nõusoleku andmekogusse esitab andmeid: 1) andmesaaja; 2) andmesubjekt, kes soovib anda nõusoleku või isikuandmete ülekandmise tahteavalduse; 3) andmeandja. § 14. Andmete õigsuse tagamine (1) Andmeandja ja andmesaaja teavitavad nõusoleku andmekogu andmetes vigade avastamisel viivitamata nõusoleku andmekogu vastutavat töötlejat. (2) Kui andmeandja või andmesaaja teatab ebaõigetest andmetest, on nõusoleku andmekogu vastutav töötleja kohustatud kontrollima andmete õigsust ja ebaõiged andmed parandama. § 15. Nõusoleku andmekogu andmete avalikkus (1) Andmed nõusoleku andmekoguga liidestatud andmesaajate ja andmeandjate kohta on juurdepääsupiiranguta. (2) Andmesubjektil on juurdepääs käesoleva määruse § 12 lõigetes 4 ja 5 nimetatud andmetele Eesti teabevärava eesti.ee kaudu. (3) Andmeandja vastutaval ja volitatud töötlejal on juurdepääs vastava andmekoguga seotud, käesoleva määruse § 12 lõigetes 1 – 4 nimetatud andmetele. (4) Andmesaajal on juurdepääs käesoleva määruse § 12 lõike 3 punktis 3 ja lõike 4 punktides 8 – 11 nimetatud andmetele. (5) Juurdepääs nõusoleku andmekogu andmetele antakse andmeandja vastutava töötleja ametnikele ja töötajatele neile teenistuskohustuste täitmiseks määratud ulatuses. § 16. Andmekogu pidamise ja likvideerimise kord (1) Nõusoleku andmekogu hooldus- ja arendustöid ning pidamist rahastatakse riigieelarvest vastutavale töötlejale selleks eraldatud rahast. (2) Nõusoleku andmekogu pidamise lõpetamine otsustatakse kooskõlas asjakohastes seadustes sätestatud nõuetega. (3) Nõusoleku andmekogu likvideerimise korral otsustatakse andmete teise andmekogusse või avalikku arhiivi üleandmine või hävitamine ja nende üleandmise või hävitamise tähtaeg. § 17. Andmete kaitse ja järelevalve andmekogu pidamise üle (1) Nõusoleku andmekogu vastutav töötleja tagab andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse organisatsiooniliste, füüsiliste ja infotehnoloogiliste turvameetmetega. (2) Nõusoleku andmekogu turvaklass on K2T3S2 ja turbeaste kõrge (H). (3) Nõusoleku andmekogusse andmete esitamist, muutmist, kustutamist ja kasutamist logitakse. (4) Järelevalvet nõusoleku andmekogu pidamise üle teevad vastutav töötleja ning teised isikud ja asutused, kellel on selleks seadusest tulenev õigus. peaminister ettevõtlus- ja infotehnoloogiaminister riigisekretär  23.11.2022 Avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seaduse eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Avaliku teabe seaduse (AvTS), keskkonnaseireseaduse ja ruumiandmete seaduse muutmise seaduse eelnõuga (edaspidi eelnõu) ühtlustatakse ja täpsustatakse riigi infosüsteemi komponendi – andmekogude pidamist kindlustava süsteemi – terminikasutust seadustes ning luuakse AvTS-i õiguslik alus andmeedastuse nõusoleku süsteemi (edaspidi nõusolekuteenus) kasutuselevõtmiseks riigis. Muudatusi ajendavad tegema järgmised põhjused: a) vajadus õigusselguse järele, et anda asutustele ühtne arusaam õigusaktides kasutatavatest terminitest ja nende koostoimest teiste sätetega ning viia õigusakti tekst vastavusse tegelikkusega; b) praktiline vajadus luua selge õigusraamistik edastada riigi infosüsteemi (edaspidi RIS) kuuluvast andmekogust inimese nõusolekul tema isikuandmeid eraõiguslikule juriidilisele isikule. 1.1.1. Riigi infosüsteemi komponendi terminikasutus Kuna RIS-i komponendi terminikasutus ehk „andmekogude pidamist kindlustav süsteem“ ei ole kõigis õigusaktides ühtne ja järjepidev, ei ühti see hea õigusloome ja normitehnika eeskirja1 (edaspidi HÕNTE) termini määratlemise nõuetega ning tekitab segadust sätete koostoimes ja nende rakendamisel. Samuti ei ole termini „riigi infosüsteem“ definitsioonis kasutatav sõnaühend „kindlustav süsteem“ piisavalt lai, et sobituda kõikide nende süsteemide olemusega, mida on praktikas vajalik määrata RIS-i komponendina. Teisisõnu, RIS-i komponendi alla on vaja paigutada ka selliseid süsteeme, mis olemuselt või kirjelduse kaudu RIS-i ei kindlusta, kuid millel on muu oluline roll, näiteks a) RIS-i toimimise toetamisel, b) andmekogude pidamisel või neile seadusega pandud ülesannete täitmisel või c) andmeliikluse tagamisel, sealhulgas inimeste õiguste ja kohustuste efektiivsema rakendamise toetamisel e-teenuse vahendusel, nagu näiteks nõusolekuteenus (vt kirjeldust punktis 1.1.2). Toetavate süsteemide loetelu võidakse lähiajal tõenäoliselt veelgi täiendada. Seda tingib ühelt poolt asjaolu, et üha enam arendatakse juurde infosüsteeme, mis aitavad kaasa RIS-i läbipaistvuse suurendamisele ja andmekogude pidamisele ning võimaldavad ühel teenuseosutajal osutada kvaliteetseid e-teenuseid, kogu avalikule sektorile. Teisalt on kesksete toetavate süsteemide kasutamine riigile tervikuna soodsam, võrreldes sellega, kui iga andmekogu pidaja või teenuse osutaja arendaks oma süsteemide juurde vastavad lahendused ise ja haldaks neid eraldi. 1 Vabariigi Valitsuse 22. detsembri 2011. a määrus nr 180 „Hea õigusloome ja normitehnika eeskiri“ – RT I, 29.12.2011, 228. https://www.riigiteataja.ee/akt/129122011228. 1 1.1.2. Nõusolekuteenuse olemus ja loomise vajadus Füüsilistel isikutel on Euroopa Liidu isikuandmete kaitse üldmääruse2 (edaspidi IKÜM) kohaselt õigus endaga seotud isikuandmeid vabalt kasutada, näiteks anda teistele isikutele nõusolek oma isikuandmete kasutamiseks või õigus nõuda teda puudutavate isikuandmete ülekandmist ühelt vastutavalt töötlejalt teisele3. Isikuandmete kaitset reguleerivatest õigusaktidest tulenevate õiguste realiseerimine on aga manuaalsusest tulenevalt raske ja aeganõudev, kui ei ole neid tegevusi toetavaid tehnilisi võimalusi. Lisaks jääb andmete teisesest kasutamisest loodav väärtus paljudel juhtudel realiseerimata, kui puuduvad tehnoloogilised, protsessilised ja organisatoorsed eeldused luua koostöös erasektoriga innovaatilisi ja personaliseeritud teenuseid, seal hulgas e-teenuseid, näiteks arendada personaalmeditsiini. Andmeliikluse efektiivistamine elavdab andmemajandust, soodustades inimestele mõeldud innovaatiliste lahenduste loomist erasektoris ja isikuandmete hõlpsamat kasutamist teaduses. RIS-i kuuluvates andmekogudes sisalduvate isikuandmete kasutamise võimalused on piiratud, kui kasutusele ei võeta keskset, standardset, skaleeruvat ja majanduslikult vähekoormavat tehnoloogilist lahendust, et pakkuda inimestele võimalust anda RIS kuuluva andmekogu vastutavale töötlejale elektrooniline nõusolek tema isikuandmete edastamiseks kolmandale poolele, mis on RIS-i kuuluvas andmekogus juba olemas. Eeltoodud vajaduste tõttu sõlmis Riigi Infosüsteemi Amet (edaspidi RIA) 16. juunil 2020. aastal hankelepingu sellise terviklahenduse (nõusolekuteenuse) arendamiseks. See valmis 26. oktoobril 20214. Lihtsustatult öeldes on tegemist e-teenusega, mis võimaldab inimesel anda riigile loa jagada tema RIS-i kuuluvates andmekogudes olevaid isikuandmeid kindla teenusepakkujaga. Kokkuvõttes võimaldab nõusolekuteenus rakendada inimestel ja RIS-i kuuluvate andmekogude vastutavatel töötlejatel senisest läbipaistvamalt ja mugavamalt Euroopa Liidu ja riigisisestest õigusaktidest tulenevaid õiguseid isikuandmetega seonduvate toimingute tegemisel ning aitab ettevõtetel arendada mugavamalt ja efektiivsemalt teenuseid, mille kvaliteetne pakkumine on seotud isikuandmete automatiseeritud kättesaadavusega. Eelnõu kohta ei ole koostatud väljatöötamiskavatsust, lähtudes HÕNTE § 1 lõike 2 punktist 5. Nõusolekuteenuse kasutuselevõtmine ei too kaasa olulisi muudatusi ja mõjusid (vt punkt 6) ning tegemist on teenusega, mille kasutamine on ettevõtjatele, inimestele kui ka RIS-i kuuluvate andmekogude vastutavatele töötlejatele vabatahtlik ega loo osalistele kohustusi. Samuti ei muudeta eelnõuga poolte kehtivaid õiguseid, vaid luuakse tehnoloogiline lahendus õiguste mugavamaks realiseerimiseks. 1.2. Eelnõu ettevalmistajad Eelnõu ja seletuskirja koostas Majandus- ja Kommunikatsiooniministeeriumi (edaspidi MKM) digiriigi arengu osakonna IT-õiguse nõunik Kätlin Aren (tel 625 6382; e-post 2 Euroopa parlamendi ja nõukogu määrus (EL) 2016/679 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). https://eur-lex.europa.eu/legal- content/ET/TXT/HTML/?uri=CELEX:32016R0679. 3 IKÜM-i artiklist 20 tulenev andmesubjekti õigus, mille puhul õigus nõuda andmete ülekandmist ühelt vastutavalt töötlejalt teisele on vaid juhul, kui vastutav töötleja töötleb andmeid nõusoleku või lepingu alusel. Nõudeõigus ei kohaldu juhul, kui isikuandmeid töödeldakse avalikes huvides oleva ülesande täitmiseks. See asjaolu ei piira aga avaliku sektori asutustel kodanikule sellist õigust soovi korral pakkuda. 4 Nõusolekuteenuse terviklahenduse hanke informatsioon on kättesaadav riigihangete registris: https://riigihanked.riik.ee/rhr-web/#/procurement/1642354/contracts/3977697 2 [email protected]). Eelnõu osas tegi õiguslikke ettepanekuid MKM-i õigusosakonna nõunik Ave Henberg (tel 6256360, e-post [email protected]). Eelnõu ja seletuskirja on keeleliselt toimetanud Justiitsministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse toimetaja Airi Kapanen (e-post [email protected]). 1.3. Märkused MKM-i valitsemisalas on MKM-i põhimääruse5 § 11 lõige 1 punkt 7 alusel RIS-i areng ning õigusaktide eelnõude väljatöötamine valitsemisalas. Seega on vastava eelnõu koostanud MKM. Eelnõu väljatöötamisel arvestati asjakohases ulatuses MKM-i tellitud lihthanke „Nõusolekuteenuse analüüs“ (viitenumber 223829, riigihangete registris avaldatud 27.05.2020) tulemusel valminud töös sisaldunud ettepanekutega6. Eelnõuga muudetakse järgmiseid seadusi: 1) AvTS-i 2021. aasta 10. detsembril jõustunud redaktsiooni (RT I, 10.03.2022, 4), 2) keskkonnaseire seaduse7 (edaspidi KeSS) 2021. aasta 1. jaanuaril jõustunud redaktsiooni (RT I, 17.12.2021, 3) ja 3) ruumiandmete seaduse8 (edaspidi RAS) 2020. aasta 1. detsembril jõustunud redaktsiooni (RT I, 09.10.2020, 4). Eelnõu ei ole seotud muu menetluses oleva eelnõuga, kuid on kaudselt seotud Euroopa Liidu õiguse rakendamisega, täpsemalt inimese IKÜM-st tulenevate õiguste efektiivsema täitmisega. Eelnõu on seotud Vabariigi Valitsuse 23. veebruari 2021. a korralduse nr 83 „Vabariigi Valitsuse tegevusprogramm 2021–2023“9 punktiga 8.4. Eelnõu vastuvõtmiseks on vaja Riigikogu poolthäälte enamust. 2. Seaduse eesmärk Eelnõu eesmärgid on: 1) tagada õigusselgus ehk AvTS-i rakendajatele parem arusaam RIS-i komponendiga – andmekogude pidamist kindlustava süsteemiga – seotud terminitest ja koostoimest teiste sätetega ning viia õigusakti tekst vastavusse tegelikkusega; 2) võimaldada kasutusele võtta innovaatiline tehnoloogiline lahendus ehk nõusolekuteenus, et pakkuda inimestele paremaid ja mugavamaid avalikke e-teenuseid, mille kaudu inimesed saavad oma õiguseid efektiivsemalt rakendada. Eelnõu eesmärgi täitmiseks tehakse järgmist: 1) täpsustatakse RIS-i komponendi termineid ja ühtlustatakse nende kasutus asjakohastes õigusaktides; 2) luuakse AvTS-i nõusolekuteenuse kasutuselevõtmise õiguslik alus. 5 Majandus- ja Kommunikatsiooniministeeriumi põhimäärus - RT I, 23.10.2021, 5. https://www.riigiteataja.ee/akt/123102021005 6 Nõusolekuteenuse analüüs. https://www.sm.ee/sites/default/files/content- editors/Ministeerium_kontaktid/Uuringu_ja_analuusid/nt_aruanne_final_3.pdf 7 keskkonnaseire seadus – RT I, 17.12.2021, 3. https://www.riigiteataja.ee/akt/117122021003 8 ruumiandmete seadus – RT I, 09.10.2020, 4. https://www.riigiteataja.ee/akt/109102020004 9 Vabariigi Valitsuse 23. veebruari 2021. a korralduse nr 83 „Vabariigi Valitsuse tegevusprogramm 2021–2023“. https://www.riigiteataja.ee/akt/326022021001 3 2.1. Riigi infosüsteemi komponendi terminikasutus Kehtiv AvTS näeb ette, et RIS koosneb kahest komponendist: 1) andmekogudest, mis on liitunud infosüsteemide andmevahetuskihiga ja registreeritud RIS-i haldussüsteemis, ning 2) andmekogude pidamist kindlustavatest süsteemidest. andmekogud, mis on süsteemid, mis kindlustavad  liitunud infosüsteemide andmekogude pidamise andmevahetuskihiga X-tee ja  registreeritud RIS-i haldussüsteemis RIIGI INFOSÜSTEEM Joonis. Riigi infosüsteemi kaks komponenti. Terminit „andmekogude pidamist kindlustav süsteem“ kasutatakse üksnes lõikes, milles on defineeritud „riigi infosüsteem“. Kogu ülejäänud AvTS-is on läbivalt kasutatud „riigi infosüsteemi kindlustav süsteem“ või „kindlustav süsteem“. HÕNTE § 15 lõike 2 kohaselt ei ole sünonüümide kasutamine lubatud ning ühe ja sama mõiste edasiandmisel välditakse eri väljendite kasutamist. Seega ei ole terminikasutus ühtne ega vasta HÕNTE termini määratlemise nõuetele, tekitades segadust sätete koostoimes ja nende rakendamisel. Kuna RIS-i arendatakse kogu aeg edasi – luuakse nii uusi infosüsteeme kui ka senistele infosüsteemidele tugisüsteeme, on oluline, et õigusaktides sisalduv ühtiks tegeliku olukorraga. Terminis „andmekogude pidamist kindlustav süsteem“ kasutatav sõnaühend „kindlustav süsteem“ ei ole piisavalt lai, et täpselt sobituda kõikide juba olemasolevate või loodavate süsteemide olemusega, mis peaksid samuti kuuluma RIS-i komponentide hulka. Teisisõnu, RIS-i komponentide alla on vajalik paigutada ka selliseid süsteeme, mis olemuselt või kirjelduse kaudu ei kindlusta RIS-i kuuluvate andmekogude pidamist, kuid millel on muu oluline roll RIS-i toimimisel, andmekogude pidamisel, neile seadusega asetatud ülesannete täitmisel, andmeliikluse tagamisel või õiguste ja kohustuste efektiivsemal realiseerimisel. Selliseks süsteemiks on ka nõusolekuteenus. 2.2. Nõusolekuteenuse olemus ja selle loomise vajadus Nõusolekuteenus on tehnoloogiline lahendus, mis annab inimesele võimaluse anda elektrooniline nõusolek edastada tema RIS-i kuuluvas andmekogus sisalduvad isikuandmed kolmandale isikule infosüsteemide andmevahetuskihi (edaspidi X-tee) kaudu. Seega on nõusolekuteenus infosüsteem, mis toetab RIS-i, andmeliiklust ja õiguste efektiivsemat realiseerimist. Inimesel on juba praegu IKÜM-i artikli 15 alusel õigus küsida RIS-i kuuluvate andmekogude vastutavatelt töötlejatelt temaga seotud isikuandmete väljastamist ja tal on vaba voli otsustada, kellele ta oma isikuandmeid jagab, ilma et riik sellesse sekkuks. Isikuandmed väljastatakse üldjuhul avalduse alusel ja e-kirjaga, ent see moodus on ajakulukas, ebamugav ja esineb suurem oht, et isikuandmed võivad lekkida. Nõusolekuteenuse loomine on vajalik selleks, et võimaldada 1) inimestel efektiivsemalt, kiiremini ja turvalisemalt kasutada õigusaktidest tulenevaid õiguseid, 4 2) toetada andmeliiklust ning 3) ettevõtjatel mugavamalt ja efektiivsemalt arendada teenuseid, seal hulgas e-teenuseid, mille pakkumine on seotud kvaliteetse andmeliikluse ning isikuandmete turvalise ja läbipaistva töötlemisega. Teenuste digiteerimine ja järjest suurenev andmepõhisus loovad üha enam võimalusi senisest personaalsemate e-teenuste arendamiseks ja kasutamiseks. Selliste e-teenuste levinud näitena võib esile tuua personaalmeditsiini rakendused, mis suudavad arvestada inimese tegelike terviseandmetega ning seetõttu pakkuda põhjalikumat, andmepõhisemat ja personaalsemat e-teenust. Kui inimene aga edastab andmed käsitsi, piirab see personaalsete e-teenuste arendamist märkimisväärselt, sest on kõikidele osalistele ajakulukas ja ebamugav. Nõusolekuteenuse puhul tuleb seega arvesse võtta kolme poole huve ja eesmärke: 1) ettevõtjatest teenusepakkujad on huvitatud riiklikes andmekogudes leiduvate isikuandmete kasutamisest, et pakkuda oma klientidele personaalsemaid ja seeläbi atraktiivsemaid e-teenuseid; 2) inimesed ehk andmekaitseõiguse tähenduses andmesubjektid (edaspidi andmesubjekt) on huvitatud innovaatilistest e-teenustest ja parematest tehnilistest lahendustest, sh avalikest e-teenustest, mis võimaldavad tal mugavalt otsustada tema andmete teisese kasutamise kohta; 3) riik kui kolmas nõusolekuteenuse pool on huvitatud ettevõtluse toetamisest, uute majandusliku potentsiaaliga digiriigi teenuste arendamisest, isikuandmete teisesest kasutamisest ning Eesti inimestele innovatiivse, hästi toimiva ja kasutusmugava digiriigi kogemuse pakkumisest. Nõusolekuteenus on infosüsteem, mis võimaldab: 1) andmesubjektil anda RIS-i kuuluva andmekogu vastutavale töötlejale IKÜM-i artiklist 6 lõige 1 punktist a või artikkel 9 lõige 2 punktist a tulenev nõusolek (edaspidi nõusolek) tema kohta RIS-i kuuluvas andmekogus sisalduvate isikuandmete edastamiseks X-tee kaudu eraõiguslikule juriidilisele isikule (edaspidi andmesaaja); 2) andmesubjektil esitada IKÜM-i artiklist 20 või seadusest tulenev andmete ülekandmise tahteavaldus (edaspidi isikuandmete ülekandmise tahteavaldus) tema kohta käivate isikuandmete edastamiseks X-tee kaudu ühest RIS-i kuuluvast andmekogust (edaspidi isikuandmeid ülekandev andmekogu) teise RIS-i kuuluvasse andmekogusse (edaspidi isikuandmeid vastuvõttev andmekogu). Kuigi andmete ülekandmise nõudeõiguse teostamine andmesubjekti poolt ei ole võimalik, kui andmeid töödeldakse avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks (IKÜM-i artikkel 20 lõige 3), ei ole selle õiguse teostamine välistatud, kui RIS-i kuuluvate andmekogude vastutavad töötlejad on vabatahtlikult sellise võimaluse omavahel kokku leppinud ja nõusolekuteenuse platvormil andmesubjektile ette näinud. Andmete ülekandmise õigus on praktilise näitena olulisel kohal personaalmeditsiini arendamisel, näiteks andmete ülekandmiseks geenivaramust10 tervise infosüsteemi (edaspidi TIS) juurde arendatavasse genoomiandmete infosüsteemi (edaspidi GAIS)11. Nõusolekuteenuse kasutuselevõtmine ei ole RIS-i kuuluva andmekogu vastutavale töötlejale kohustuslik, sest teenus ei ole otseselt vajalik, et täita õigusaktidest tulenevaid kohustusi. Samas lubab selle teenuse kasutuselevõtt luua uusi ärimudeleid ja märkimisväärselt arendada digiriigi 10 Tartu Ülikool tegeleb paralleelselt käesoleva eelnõu koostamisega geenivaramu andmekogule RIS-i andmekogu staatuse saavutamisega ehk X-tee liidestuste loomise ja RIHA-s registreerimisega. 11 tervishoiuteenuste korraldamise seaduse, inimgeeniuuringute seaduse ja teiste seaduste muutmise eelnõu väljatöötamise kavatsus (2021). Kättesaadav eelnõude infosüsteemist: https://eelnoud.valitsus.ee/main/mount/docList/52db9e10-d066-46d3-b258-5a1b7754392d 5 kasutajakogemust nii andmesaajate kui ka andmesubjektide jaoks, kuna toetab andmeliiklust ja võimaldab andmesubjektidel oma õiguseid efektiivsemalt rakendada. Nõusolekuteenuse tehniline lahendus näeb esialgu ette, et nõusoleku andmise võimalus on isikukoodiga täisealistel täieliku teovõimega füüsilistel isikutel. Kui see lahendus osutub edukaks, on tõenäoline laiendada nõusoleku andmise võimalust seadusliku esindaja vahendusel ka noorematele kui 18-aastastele isikutele ja piiratud teovõimega isikutele. Piiratud teovõimega isiku õiguseid reguleerib tsiviilseadustiku üldosa seadus12, mistõttu ei ole käesoleva eelnõuga antud asjaolusid korratud. Lisaks peab regulatsioon võimaldama tehnoloogianeutraalsust ehk regulatsioon peab olema piisavalt paindlik tehnoloogia muutusteks selliselt, et sellega ei kaasneks igakordselt seaduse muutmine. 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb kolmest paragrahvist, millest esimene sisaldab AvTS-is tehtavaid muudatusi, teine KeSS-is tehtavat muudatust ja kolmas RAS-is tehtavat muudatust. Paragrahv 1 koosneb kuuest punktist. Paragrahvi 1 punktiga 1 asendatakse seaduse tekstis läbivalt sõnad „kindlustav süsteem“ sõnadega „toetav süsteem“, et võtta kogu seaduses kasutusele termin „riigi infosüsteemi toetav süsteem“. Nimetatud asendus tehakse § 433 lõikes 5, § 437 lõikes 1, § 439 pealkirjas ja sama paragrahvi lõigetes 1–4 ning § 581 lõikes 11. Termini asendamine on vajalik kahel põhjusel: 1) kaotada praegune põhjendamatu erinevus „riigi infosüsteemi kindlustava süsteemi“ ja „andmekogude pidamist kindlustav süsteemi“ vahel, sest need tähistavad üht ja sama mõistet; 2) viia terminikasutus kooskõlla AvTS-i § 439 lõikes 1 nimetatud süsteemide olemusega – tegu on RIS-i toetavate süsteemidega. Pärast eelnõu jõustumist tuleb terminimuudatused teha ka määrustesse, milles on kasutatud „riigi infosüsteemi kindlustav süsteem“, „kindlustav süsteem“ või „kindlustav infosüsteem“ ja kõik need asendada terminiga „riigi infosüsteemi toetav süsteem“. Määrused, mida on vaja muuta, on loetletud seletuskirja punktis 8.2. Paragrahvi 1 punktiga 2 muudetakse AvTS-i § 432 lõiget 1. Kõnealuse sätte kehtiva sõnastuse kohaselt kuuluvad RIS-i andmekogud, mis on X-teega liitunud ja RIS-i haldussüsteemis (edaspidi RIHA) registreeritud, ning andmekogude pidamist kindlustavad süsteemid. AvTS-is kasutatakse terminit „andmekogude pidamist kindlustavad süsteemid“ ainult muudetavas sättes. Teistes sätetes on kasutatud sama mõtte edasiandmiseks eri väljendeid, nagu „riigi infosüsteemi kindlustavad süsteemid“ või lühemalt „kindlustav süsteem“ (nt AvTS-i § 439). HÕNTE § 15 lõige 2 näeb ette, et seaduseelnõu keel peab olema selge, ühetähenduslik ja täpne ning ühe ja sama mõtte edasiandmisel välditakse eri väljendite kasutamist. Sünonüümide kasutamine ei ole lubatud. Teiseks ei ole terminis „andmekogude pidamist kindlustav süsteem“ kasutatav sõnaühend „kindlustav süsteem“ piisavalt lai, et täpselt sobituda kõikide selliste juba 12 Tsiviilseadustiku üldosa seadus. - RT I, 20.06.2022, 32. https://www.riigiteataja.ee/akt/120062022032?kuvaKohtulahendid=true. 6 loodud või loodavate süsteemide olemusega, mis peaksid samuti kuuluma RIS-i. RIS-i komponendi alla on vajalik paigutada ka selliseid süsteeme, mis olemuselt või kirjelduse kaudu RIS-i ei kindlusta, kuid millel on muu oluline roll RIS-i toimimisel, andmekogude pidamisel, neile seadusega asetatud ülesannete täitmisel, andmeliikluse tagamisel või õiguste ja kohustuste efektiivsemal realiseerimisel. Sellise süsteemi näiteks on nõusolekuteenus, mis lisatakse käesoleva eelnõuga vastavasse loetellu. Seega asendatakse muudatusega RIS-i komponendi ülesehituse kirjeldamisel kasutatav termin „andmekogude pidamist kindlustavad süsteemid“ terminiga „riigi infosüsteemi toetavad süsteemid“, et luua õigusselgus ja kooskõla HÕNTE-ga ning termini vastavus tegelike vajadustega. Paragrahvi 1 punktiga 3 muudetakse AvTS-i § 439 lõike 1 sissejuhatavat tekstiosa. Kehtiva sätte järgi kehtestab Vabariigi Valitsus määrusega „andmekogude pidamiseks kindlustavad süsteemid“. Uue sõnastuse järgi kehtestab Vabariigi Valitsus määrusega „riigi infosüsteemi toetavad süsteemid“. Paragrahvi 1 punktiga 4 täiendatakse AvTS-i § 439 lõiget 1 punktiga 7. RIS-i toetavate süsteemide loetelusse lisatakse nõusolekuteenus. Lähtudes riigivõimu seaduslikkuse põhimõttest (põhiseaduse § 3) ning asjaolust, et nõusolekuteenuse kasutuselevõtmise korral töödeldakse isikuandmeid, peab võimalus sellist teenust pakkuda olema korraldatud seaduses ja selle kasutamine põhinema läbipaistval õiguslikul alusel. Nõusolekuteenus on oluline süsteem, mis toetab RIS-i andmeliikluse kaudu, võimaldab andmete teisest kasutamist ja inimeste õiguste efektiivsemat realiseerimist – tegemist on süsteemiga, mida tuleb keskse tähtsuse tõttu käsitada kui RIS-i komponenti ja selleks sobib käesoleva eelnõuga loodav termin „riigi infosüsteemi toetav süsteem“. AvTS-i § 439 lõikes 1 esitatud loeteluelemendid kujutavad endast vastavate süsteemide kehtestamise volitusnorme, mille alusel kehtestab Vabariigi Valitsus süsteemi kohta asjakohased määrused. Käesolevale eelnõule on lisatud rakendusakti kavand (lisa 1). Paragrahvi 1 punktiga 5 muudetakse AvTS-i § 439 lõike 3 esimest lauset. Sõnad „Riigi infosüsteemi kindlustavate“ asendatakse sõnadega „Käesoleva paragrahvi lõike 2 punktides 1- 6 nimetatud“. Kehtiva AvTS-i sõnastuse järgi on andmekogude pidamist kindlustavad süsteemid kasutamiseks kohustuslikud kõigi riigi ja kohaliku omavalitsuse andmekogude pidamisel. Muudatusega luuakse erisus, mille järgi ei ole nõusolekuteenuse kasutamine riigi ja kohaliku omavalitsuste andmekogude pidamisel kohustuslik. Tegemist on teenusega, mis võimaldab avaliku sektori asutustel hakata kasutama innovaatilist tehnoloogilist lahendust, et pakkuda inimesele asjakohast avalikku e-teenust nende õiguste paremaks rakendamiseks ning muuta avalike e-teenuste kasutamine ühtlasemaks, kiiremaks ja mugavamaks, järgides rangeid turvanõudeid ja Eesti digiühiskonna vajadusi. Nõusolekuteenuse kasutamine ei ole aga vajalik seadusest tulenevate kohustuste täitmiseks, kuivõrd inimesed saavad oma õigusi teostada ka ilma selle süsteemi ja nõusoleku andmise protsessi olemasoluta. Arvestades ka, et tegemist on uudse lahendusega, ei ole mõistlik vähemalt esialgu kehtestada nõusolekuteenuse kasutuselevõtmise kohustust. Sealjuures tuleb aga silmas pidada, et nõusolekuteenuse kui RIS-i toetava süsteemi laialdane kasutuselevõtmine on midagi, mille poole digiriik lähtudes arengukavast „Eesti digiühiskond 2030“13 suundub, 13 Eesti digiühiskond 2030. https://mkm.ee/sites/default/files/mkm_arengukava_digiuhiskond_26-10-2021.pdf 7 kuna see süsteem võimaldab inimesel efektiivsemalt kasutada riigis pakutavaid e-teenuseid ja teostada oma õiguseid. Paragrahvi 1 punktiga 6 täiendatakse AvTS-i §-dega 4310 ja 4311. Paragrahv 4310 sätestab nõusolekuteenuse kui infosüsteemi olemuse ja selle kasutuselevõtmisega seonduva. Paragrahvi 4310 esimese lõike järgi on nõusolekuteenus infosüsteem, mis võimaldab kahe peamise asjana: 1) andmesubjektil anda RIS-i kuuluva andmekogu vastutavale töötlejale IKÜM-i artiklist 6 lõige 1 punktist a või artikkel 9 lõige 2 punktist a tulenev nõusolek edastada tema kohta RIS-i kuuluvas andmekogus sisalduvaid isikuandmeid X-tee vahendusel andmesaajale, kelleks on eraõiguslik juriidiline isik; 2) andmesubjektil esitada IKÜM-i artiklist 20 või seadusest tulenev isikuandmete ülekandmise tahteavaldus (edaspidi isikuandmete ülekandmise tahteavaldus) tema kohta käivate isikuandmete edastamiseks X-tee kaudu ühest RIS-i andmekogust (edaspidi isikuandmeid ülekandev andmekogu) teise RIS-i andmekogusse (edaspidi isikuandmeid vastuvõttev andmekogu). Inimesel on juba praegu IKÜM artikli 15 alusel õigus küsida RIS andmekogude vastutavatelt töötlejatelt temaga seotud isikuandmete väljastamist ja tal on vaba voli otsustada, kellele ta oma isikuandmeid jagab ilma, et riik sellesse sekkuks. Seega peab isikule jääma ka nõusolekuteenuse kasutamisel võimalikult suur voli otsustada, kellele ja mis andmeid ta edastab. Seetõttu ei ole eelnõus ette nähtud üheseid isiku otsustusõigust piiravaid tingimusi isikuandmete edastamiseks nõusolekuteenuses antud nõusoleku alusel. Isikuandmed, mis oma olemuselt on põhiõiguste ja -vabaduste seisukohast eriti tundlikud, väärivad erilist kaitset, sest nende töötlemise kontekst võib põhiõigusi ja -vabadusi olulisel määral ohustada14. Nendeks on IKÜM-i artikkel 9 järgi isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmeid, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. Seega kui seadusandja leiab, et on põhjendatud sätestada valdkondlikus seaduses konkreetsemad tingimused ja kord eriliiki andmete edastamiseks nõusolekuteenuses antud nõusoleku alusel, saab vastavad erisused valdkondlikus seaduses ette näha. AvTS-i puhul on tegemist üldseadusega, mis ei peaks reguleerima valdkondlikke üksikasju. Kuivõrd üldisest on võimalik erisusi luua ilma, et üldseadus seda expressis verbis määraks, ei ole hea õigusloome huvides seda ka eelnõus sätestatud. Nõusolek on piiritletud tingimustega tahteavaldus. Käesolevas eelnõus on nõusoleku all peetud silmas IKÜM-i artikli 4 punktis 11 sätestatud nõusolekut, mis peab olema vabatahtlik, konkreetne, teadlik ja ühemõtteline tahteavaldus, millega andmesubjekt kas avalduse vormis või selget nõusolekut väljendava tegevusega nõustub, et tema isikuandmeid töödeldakse. Nõusolekuteenuses esitatakse andmesubjektile enne nõusoleku andmist vajalik info, et nõusolek vastaks IKÜM-i tingimustele. Rakendusaktis sätestatakse loetelu vähimast teabest, mis tuleb andmesubjektile esitada enne, kui ta nõusolekuteenuses annab nõusoleku. Selleks on vähemalt järgmine teave: 1) teave andmesaaja kohta; 2) teave andmeandja ning selle vastutava töötleja kohta; 14 IKÜM põhjenduspunkt 51. https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32016R0679. 8 3) teave andmeandjalt andmesaajale edastatavate andmesubjekti isikuandmete liikide kohta; 4) teave, mis eesmärgil andmesaaja isikuandmeid edaspidi kasutab; 5) teave, mis õiguslikul alusel andmesaaja isikuandmeid töötleb; 6) nõusoleku kehtivusaeg; 7) teave selle kohta, et andmesubjekt võib nõusolekuteenuses antud nõusoleku igal ajal tagasi võtta. Eeltoodud informatsiooni selge esitamine andmesubjektile aitab kaasa sellele, et andmesubjekt teeb oma otsuse nõusoleku andmise kohta teadlikult ja informeeritult ning saab aru kellelt, kellele ja mis tingimustel ta nõusoleku oma isikuandmeid edastada annab. Andmete kasutamise eesmärgi kirjelduse ja RIS-i kuuluvast andmekogust väljastatavate andmete kirjelduse lisab nõusolekuteenusesse andmesubjektile kuvamiseks RIS-i kuuluva andmekogu vastutav töötleja, lähtudes andmesaaja edastatud informatsioonist. Vastav asjaolu on määratud rakendusaktis. Nõusolekute ja andmete ülekandmise tahteavalduste andmist võimaldatakse Eesti teabeväravas eesti.ee. Teabeväravasse suunatakse inimene nõusolekut andma ettevõtja elektroonilisest teenuse pakkumise keskkonnast. Nõusolekuteenuse kasutamise kohta on loodud ka prototüüp, mis tutvustab, kuidas nõusoleku andmine käib15. Teabeväravas on isikul võimalus anda nõusolekuid, neid hallata ja tagasi võtta ning näha kogu informatsiooni seoses antud nõusolekutega. RIS-i kuuluva andmekogu vastutav töötleja saab kontrollida (toimub automaatselt) andmesubjekti nõusoleku olemasolu ja kehtivust enne isikuandmete andmesaajale väljastamist käesoleva eelnõuga loodavast andmeedastuse nõusoleku süsteemi andmekogust. Kui isik on nõusoleku tagasi võtnud, siis peatub RIS-i kuuluva andmekogu vastutava töötleja õigus edaspidi andmeid edastada, kuid nõusoleku tagasivõtmine ei mõjuta juba edastatud andmete töötlemist. Seega ei väljastata andmeid edasistel andmepäringutel, kui nõusolek oli antud korduvateks andmepäringuteks ehk kindlal ajavahemikul andmete väljastamiseks. Vastav olukord on reguleeritud IKÜM-i artikli 7 lõikega 316. Andmesaajal tuleb arvestada, et andmesubjekt annab nõusoleku RIS-i kuuluvast andmekogust isikuandmete e d a s t a m i s e k s andmesaajale, mitte nende edasiseks töötlemiseks andmesaaja poolt. Isikuandmete edasise töötlemise aluseks võib olla näiteks leping ja selle tingimusi tuleb andmesaajal tutvustada andmesubjektile enne, kui andmesubjekt nõusoleku annab. Seega ei lõppe nõusoleku tagasivõtmisega alati automaatselt andmesaaja õigus andmesubjekti isikuandmeid töödelda ja lähtuda tuleb näiteks kas konkreetse andmesaaja teenusetingimustest või isikuandmete töötlemise muust õiguslikust alusest. Nõusoleku tagasivõtmise või aegumise korral edastatakse andmesaajale nõusoleku andmed, milles on esile toodud kas nõusoleku andmisest keeldumine, selle tagasivõtmine või aegumine. Infosüsteemis tähistatakse seda nõusoleku staatuse „heaks kiidetud“ asemel „tagasi lükatud“. Andmesaaja peab sel juhul tagama, et isikuandmete töötlemine vastaks ka edaspidi IKÜM-i nõuetele. Lähitulevikus luuakse nõusolekuteenuse platvormile lisaks lahendus, mis pakub andmesubjektile võimalust teostada IKÜM-i artiklist 20 või seadusest tulenevat isikuandmete ülekandmise õigust ühest RIS-i andmekogust teise. Tegemist on Sotsiaalministeeriumi poolt esitatud vajadusega. IKÜM-i art 20 lõike 3 kohaselt ei kohaldata andmete ülekandmise õigust juhul, kui andmeid töödeldakse avalikes huvides oleva ülesande täitmiseks või vastutava 15 Nõusolekuteenuse prototüüp: https://www.figma.com/proto/AOLWfaI9YWXYouwbksDtos/NT%3A- Medikeep%3A-n%C3%B5usoleku-andmine-ver-08.04.2021?node-id=407%3A2907&scaling=min-zoom 16 Andmesubjektil on õigus oma nõusolek igal ajal tagasi võtta. Nõusoleku tagasivõtmine ei mõjuta enne tagasivõtmist nõusoleku alusel toimunud töötlemise seaduslikkust. Andmesubjekti teavitatakse sellest enne nõusoleku andmist. Nõusoleku tagasivõtmine on sama lihtne kui selle andmine. 9 töötleja avaliku võimu teostamiseks. Samas ei ole selle õiguse teostamine välistatud juhul, kui RIS-i kuuluvate andmekogude vastutavad töötlejad on vabatahtlikult sellise võimaluse kokku leppinud ja nõusolekuteenuse platvormil andmesubjektile ühiselt ette näinud. Praktikas on andmete ülekandmise õiguse kasutamisel oluline roll personaalmeditsiini arendamisel, näiteks andmete ülekandmine geenivaramust TIS-i juurde arendatavasse GAIS-i17. Geenivaramusse on isikuandmed kantud geenidoonoriks saamise nõusoleku alusel. IKÜM-st tulenev andmete ülekandmise õiguse teostamine ja nõusolek on õiguslikult eri instrumendid (IKÜM-i artiklid 6 ja 9 versus artikkel 20). RIS-i kuuluva andmekogu vastutav töötleja võib andmete ülekandmise puhul andmeid edasi töödelda üksnes seaduse alusel, seega tuleb vastav õiguslik alus õigusaktis ette näha ja andmesubjektile enne andmete ülekandmise tahteavalduse esitamise võimalust teatavaks teha. TIS-i kui riikliku andmekogu eesmärgid ja töötlemise toimingud sätestatakse andmete ülekandmise võimaldamiseks õigusaktides (tervishoiuteenuste korraldamise seadus ja TIS-i põhimäärus). Geenivaramust saab TIS-ile andmeandja ja andmete ülekandmise saab algatada isiku tahteavaldus ehk taotlus, milles isik avaldab soovi kanda tema geenivaramus asuvad genoomiandmed üle TIS-i, et saada personaalmeditsiini teenuseid. TIS-is, sh GAIS-is, olevate andmete kasutamine on otseselt seotud tervishoiuteenuse osutamisega ja tervishoiuteenuse osutamise lepinguga18. Andmete ülekandmine ühest andmekogust teise ei tähenda, et isikuandmeid ülekandvast andmekogust tuleb andmesubjekti isikuandmed ära kustutada. Kui isikuandmeid ülekandva andmekogu vastutav töötleja töötleb andmeid seaduse alusel, siis töödeldakse isikuandmeid asjakohase seaduse alusel edasi. Lisada nõusolekuteenusesse isikuandmete ülekandmise tahteavalduse andmise funktsioon on RIA 2024. aasta tegevusplaanis. Andmete ülekandmise tahteavalduse õiguslik alus on seaduse tasandil aga mõistlik ette näha juba käesoleva eelnõuga, arvestades et a) nõusolekuteenuse vahendusel andmete ülekandmise õiguse rakendamise võimaldamine andmesubjektile RIS-i andmekogude vahel on RIS-i andmekogude vastutavate töötlejate ühine vabatahtlik otsus, b) IKÜM-st tulenevalt puudub andmesubjektil andmete ülekandmise nõudeõigus ja c) õigusloomeprotsess on pikaajaline. Nii on võimalik vähendada menetlusaega ja seaduse mitmekordset muutmist ning andmete ülekandmise tahteavalduste esitamise saab nõusolekuteenuses kasutusele võtta kohe, kui selline võimalus välja arendatakse. Andmesubjekti seisukohast vaadatuna käiakse isikuandmete ülekandmise tahteavaldustega ümber nii, nagu ka nõusoleku andmisega, sealjuures esitatakse andmesubjektile enne tahteavalduse tegemist asjakohane teave, mis kehtestatakse rakendusaktis. RIA-l on tulevikus plaanis analüüsida, millistel viisidel on nõusolekuteenuses võimalik andmevahetust teha ka juriidiliselt isikult juriidilisele isikule või riigilt juriidilisele isikule. Käesoleva eelnõuga seda olukorda ei korraldata. Nõusolekuteenuse haldaja on RIA ja see määratakse rakendusaktis. RIA liidestab nõusolekuteenuse osalised nõusolekuteenusega ja arendab nõusolekuteenuse infosüsteemi. 17 tervishoiuteenuste korraldamise seaduse, inimgeeniuuringute seaduse ja teiste seaduste muutmise eelnõu väljatöötamise kavatsus. Kättesaadav eelnõude infosüsteemist: https://eelnoud.valitsus.ee/main/mount/docList/52db9e10-d066-46d3-b258-5a1b7754392d 18 ibid., lk 30. 10 Andmesaaja peab olema nõusolekuteenuse kasutamiseks liidestatud X-teega, kuna andmed edastatakse X-tee vahendusel. Seega, infosüsteemide andmevahetuskihi määruse19 (edaspidi X-tee määrus) § 5 lõike 2 kohaselt on andmesaajal vaja sõlmida RIA-ga X-teega liitumise kokkulepe. Lisaks sõlmivad andmeteenuse pakkumiseks X-tee vahendusel andmesaaja ja RIS-i kuuluva andmekogu vastutav töötleja omavahel andmeteenuse kasutamise kokkuleppe X-tee määruse §-s 12 toodud tingimuste kohaselt. Nimetatud paragrahvi esimeses lõikes on sätestatud andmeteenuse kasutamise kokkuleppe miinimumnõuded. X-tee määruse § 12 lõike 1 kohaselt määratakse andmeteenuse kasutamise kokkuleppes kindlaks andmeteenuse kasutamiseks vajalikud infoturbemeetmed ning andmeteenuse kasutaja alamsüsteemilt nõutavad organisatsioonilised, füüsilised ja infotehnilised turvameetmed, arvestades töödeldavate andmete koosseisu ja õigusaktidega ettenähtud nõudeid. X-tee määruse seletuskirja järgi on arvestatud, et selline kokkulepe võib olla nii kliendipõhine kui ka teenusepõhine. Teenusepõhist lähenemist on seadusandja näinud ette olukordades, kus pakutav teenus on näiteks osa liikme osutatavast avalikust teenusest. Andmete edastamine X-tee vahendusel on osa nõusolekuteenusest ja üks osa liikme osutatavast avalikust teenusest. Andmesaajal ja RIS-i kuuluva andmekogu vastutaval töötlejal tuleb sõlmida RIA-ga ka nõusolekuteenusega liidestamise kokkulepe. Kokkuleppes määratakse kindlaks teenustaseme tingimused ning poolte õigused, kohustused ja vastutus. Nimetatud kohustus sisaldub rakendusaktis. AvTS-i § 436 lõige 2 näeb ette, et andmeid päritakse põhiandmekogust. See tähendab, et RIS-i kuuluvate andmekogude vastutavad töötlejad peavad veenduma, et andmesaaja soovitud andmed on nende andmekogudes p õ h i a n d m e d . AvTS-i § 436 lõike 1 kohaselt on põhiandmed RIS-i kuuluvasse andmekogusse kogutavad andmekogu unikaalsed andmed, mis tekivad andmekogu haldaja avalike ülesannete täitmise käigus. Andmete töötlemisel, mida kogub põhiandmetena teine RIS-i kuuluv andmekogu, tuleb aluseks võtta selle teise andmekogu põhiandmed. Teisisõnu, vajalikud andmeid tuleb pärida just sellest andmekogust, kus need on registreeritud põhiandmetena. Andmete põhiandmeteks olek määratakse kindlaks AvTS-i § 433 lõike 3 järgi kooskõlastatud tehnilise dokumentatsiooni alusel RIHA-s. Põhiandmete kindlaksmääramisel lähtutakse andmekogu asutamise eesmärgist. Millised andmed RIS-i andmekogudes olemas on, saab andmesaaja kontrollida RIHA-s avalikult kättesaadavate metaandmetega. Arvestada tuleb sellega, et metaandmed on RIHA-s ebaühtlaselt kirjeldatud, mistõttu ei anna metaandmetega tutvumine täpset ülevaadet RIS-i kuuluvates andmekogudes sisalduvate andmete kohta. MKM- i ja RIA eesmärk on tagada, et RIHA-s kajastuv RIS-i andmehaldus oleks ajakohastatud ja korrektne. Seni tuleb andmesaajatel arvestada, et RIS-i kuuluvas andmekogus sisalduvate andmete teadasaamiseks on ka võimalus pöörduda otse RIS-i kuuluva andmekogu vastutava töötleja poole. Nõusolekuteenuse paremaks kasutamiseks on tulevikus võimalik andmesaaja tarbeks arendada välja RIS-i kuuluvate andmekogude vastutavate töötlejate pakutavate võimalike andmeteenuste kataloog ja selles sisalduvad andmekoosseisud (näiteks RIHA-s). Nii ei peaks andmesaaja andmete standardkoosseisude puhul nende väljastamise võimekuse hindamiseks RIS-i kuuluva andmekogu vastutava töötleja poole eraldi pöörduma. Seni aga peab iga andmekoosseisu ja andmeteenuse soovi hindama RIS-i kuuluva andmekogu vastutav töötleja eraldi. Andmesaaja peab järgima IKÜM-i nõudeid. Nii peab isikuandmete töötlemiseks olema IKÜM-i artikli 6 lõikes 1 sätestatud õiguslik alus ja andmetöötlus olema kooskõlas IKÜM-i artiklis 5 ette nähtud andmetöötluse põhimõtetega. Lühidalt on need põhimõtted järgmised: 19 Vabariigi Valitsuse 23. septembri 2016. a määrus nr 105 „Infosüsteemide andmevahetuskiht“ – RT I, 06.08.2019. https://www.riigiteataja.ee/akt/106082019017. 11 1) seaduslikkus, õiglus ja läbipaistvus, 2) eesmärgi piirang, 3) võimalikult väheste andmete kogumine, 4) õigsus, 5) säilitamise piirang, 6) usaldusväärsus ja konfidentsiaalsus, 7) vastutus. Nõusolekuteenuse kontekstis tähendab see, et andmesaaja peab ise veenduma, et tema soovitud andmekoosseis vastab teenuse ja eesmärgi kirjeldusele, on minimaalselt vajalik ja nõusoleku kehtivusaeg peab olema määratud minimaalselt vajalikuna. Arvestada tuleb ka, et kui andmesaaja soovib teenuse osutamiseks isikuandmeid mitmest andmekogust, ei tohi ühest andmekogust isikuandmete saamata jäämise korral (nt andmesubjekt annab nõusoleku vaid kahele andmekoosseisule kolmest) ta töödelda ka teistest andmekogudest saadud isikuandmeid. Seda põhjusel, et sel juhul ei ole võimalik saavutada teenuse osutamisega taotletav eesmärk, mis eeldab isikuandmete töötlemist. Andmesaaja peab tagama, et andmesubjekt saab aru vajadusest anda mitu nõusolekut. Asjakohased selgitused on võimalik andmesubjektile esitada ka nõusolekuteenuses. IKÜM-i nõuete täitmise üle teostab isikuandmete kaitse seaduse § 56 lõike 1 alusel järelevalvet Andmekaitse Inspektsioon. Nõusolekuteenusega liidestamise ja kasutamise tehniline käik, kasutusjuhu prototüüp ja arhitektuur on avalikustatud keskkonnas Github20. Paragrahv 4310 lõige 2 sätestab, et kui RIS-i kuuluva andmekogu vastutav töötleja võimaldab nõusolekuteenuse kaudu isikuandmete edastamist ja andmesaaja taotleb temalt olemasolevast isikuandmete edastamise võimest erineva võime loomist, on RIS-i kuuluva andmekogu vastutaval töötlejal õigus keelduda võime loomisest, kui see takistab tema avalike ülesannete täitmist. Andmekoosseise on X-tee vahendusel võimalik edastada, kui konkreetse andmekoosseisu edastamiseks on loodud X-tee teenus. See tähendab, et iga andmekoosseisu jaoks peab olema eraldi X-tee teenus. Olukorras, kus andmesaaja taotleb RIS-i kuuluva andmekogu vastutava töötleja andmekogudest eri andmekoosseisude väljastamist ja nende väljastamine eeldab uute X-tee teenuste loomist, on RIS-i kuuluva andmekogu vastutaval töötlejal õigus keelduda X-tee teenuste loomisest, kui see takistab tema avalike ülesannete täitmist. Avalikku teenust on defineeritud kui iga teenust, mille vastu on avalik huvi. Avalik huvi ei muuda avaliku teenuse osutamist iseenesest avalikuks ülesandeks.21 Avalikuks ülesandeks muutub teenus siis, kui seda osutatakse avalik-õigusliku isiku seadusest tuleneva kohustuse täitmiseks.22 Nõusolekuteenuse kaudu andmete edastamine ei ole RIS-i kuuluva andmekogude vastutavate töötlejate avalik ülesanne, vaid vabatahtlikult valitud avaliku teenuse osutamine. Kui selle teenuse osutamisega kaasneks oht RIS-i kuuluva andmekogu vastutava töötleja seaduses sätestatud avaliku ülesande täitmisele (näiteks, X-tee teenuste loomiseks ei ole avalike ülesannete täitmise kõrvalt piisavalt personali või aega), siis on RIS-i kuuluva andmekogu vastutaval töötlejal õigus keelduda uue X-tee teenuse loomisest. Uue X-tee teenuse loomine ega olemasoleva X-tee teenuse liidestamine nõusolekuteenusega ei ole iseenesest kulu- ega ajamahukas. Kui RIS-i kuuluva andmekogu vastutaval töötlejal ei ole ühtki X-tee teenust, kuigi see on harv juhus, püstitatakse esmalt X-tee turvaserver. See võtab 20 nõusolekuteenuse tehniline dokumentatsioon: https://github.com/e-gov/NT 21 N. Parrest 2014. Segadus mõistetes seoses avaliku võimu volitustega. Juridica X, lk 736. 22 ibid., lk 734. 12 aega kolm päeva, arvestusega, et iga päev tehakse umbes kaks tundi tööd (vahepeal peab ootama vajalikku teavet). Kui asutusel on turvaserver olemas, võtab uue X-tee teenuse lisamine turvaserverisse enamasti kõige rohkem 30 minutit. Nõusolekuteenuse kasutuselevõtmisel ja X-tee teenuste loomisel tuleb silmas pidada võrdse kohtlemise põhimõtet. See tähendab, et X-tee teenuseid luuakse andmesaajatele võrdsetel alustel. Kui ühele andmesaajale on X-tee teenus loodud, siis võrreldavate asjaolude esinemisel peab olema võimalik ka teisel andmesaajal kasutusele võtta sama X-tee teenus. Seda silmas pidades võiks RIS-i kuuluva andmekogu vastutav töötleja määrata oma asutuse sees kindlaks nõusolekuteenuse kaudu andmete väljastamise reeglid. Asutusel on nõusolekuteenusega liidestumise üle otsustamiseks mitu võimalust: 1) RIS-i kuuluva andmekogu vastutav töötleja võib otsustada, et ei võta nõusolekuteenust üldse kasutusele, sest selle teenuse kasutamine on vabatahtlik; 2) RIS-i kuuluva andmekogu vastutav töötleja võib otsustada, et võimaldab ettevõtetel kasutada nõusolekuteenust ainult nende X-tee teenuste põhiselt, mis on enne nõusolekuteenuse kasutuselevõtmist avatud oma avalike ülesannete täitmise raames, või otsustada avada uusi X-tee teenuseid ainult oma avalike ülesannete täitmise raames; 3) RIS-i kuuluva andmekogu vastutav töötleja võib otsustada, et analüüsib, millistest X-tee teenustest oleks inimestele valdkondlike personaalteenuste saamiseks kõige rohkem kasu, ja avab uued X-tee teenused olenevalt analüüsitulemustest; 4) RIS-i kuuluva andmekogu vastutav töötleja avab uued X-tee teenused kõigile soovijatele, kui uute X-tee teenuste avamine ei takista tema avalike ülesannete täitmist. Näiteks, kui see on asjakohane, saab RIS-i kuuluva andmekogu vastutav töötleja esitada oma veebilehel nõusolekuteenusega seotud informatsiooni ja näha ette eraldi elektronposti aadressi, kuhu on andmesaajatel võimalik nõusolekuteenusega seotud küsimustega pöörduda. Nii tekib RIS-i kuuluva andmekogu vastutavatel töötlejatel arusaam, milliste andmekoosseisude vastu on andmesaajate huvi kõige suurem ja millised investeeringud võivad andmeteenuse loomiseks olla kasulikud. Isikuandmete ülekandmise tahteavalduse alusel edastatakse andmed ühest RIS-i kuuluvast andmekogust teise RIS-i kuuluvasse andmekogusse. Ühel RIS-i kuuluva andmekogu vastutaval töötlejal ei ole õigus nõuda teiselt RIS-i kuuluva andmekogu vastutavalt töötlejalt isikuandmete ülekandmise tahteavalduse andmise võimaldamist nõusolekuteenuses, kuivõrd tulenevalt IKÜM artiklist 20 kohustust võimaldada isikuandmete ülekandmist ei ole. Antud võimaluse pakkumine inimesele tuleb pooltel kokku leppida. Seega ei ole võime loomiseks vajalike kulude hüvitamist antud juhtumi puhul asjakohane eelnõuga reguleerida. Paragrahvi 4310 lõike 3 järgi katab nõusolekuteenuse kaudu isikuandmete edastamise kulud RIS-i kuuluva andmekogu vastutav töötleja, kui seadus ei sätesta teisiti. Säte võimaldab nõusolekuteenuse kasutuselevõtmisel tagada võimalikult suure paindlikkuse. Üldjuhul peaks andmesaajatele olema isikuandmete edastamine andmesubjektide nõusoleku alusel tasuta. Andmesaajatelt tasu küsimise aluse kehtestamine peab olema vajalik, põhjendatud ja kulupõhine. Isikuandmete edastamise eest ettevõtjalt tasu küsimine võib inimese jaoks kajastuda tema tarbitava teenuse hinnas, see aga ei vasta inimkeskse digiriigi põhimõttele23. Lisaks vähendaks see andmesaajate huvi nõusolekuteenusega liidestuda, kuivõrd andmeid on võimalik saada ka isiku enda käest otse ja tasuta, kuigi ebamugavamal ja ajakulukamal moel. Iga andmekogu ja selles sisalduvad isikuandmed ning vastutavate töötlejate poolt juba loodud 23 Digiriigis on inimeste põhiõigused kaitstud ning inimesel ja ettevõtjal on kontroll oma andmete üle. Andmeid on võimalik päriselt jagada digilahenduste vahendusel usaldusväärselt ja läbipaistvalt. Kõigil peab olema võimalik võrdselt osa saada digiühiskonnast ja -teenustest. https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna- arengukava-2030. 13 X-tee teenuste arv ja sisu on erinevad. See tähendab, et mõne vastutava töötleja andmekogus sisalduvate andmete vastu võib huvi olla suurem. See toob kaasa suurema ühiskondliku ootuse ja selle teokssaamisega kaasneva koormuse (näiteks andmesaajate suurem huvi saada just terviseandmeid). Koormus luua pidevalt uusi X-tee teenuseid, võib osutuda RIS-i kuuluva andmekogu vastutavale töötlejale põhjendamatult suureks, pärssides tema avalike ülesannete täitmist. Erandjuhtudel tasu küsimine võimaldaks RIS-i kuuluva andmekogu vastutaval töötlejal katta X-tee teenustega seotud personalikulutusi. Kuna tegemist peaks olema pigem erandliku juhuga, peaks vastav tasu olema ette nähtud asjakohases seaduses Samasugune põhimõte on kasutusele võetud ka AvTS-is varem, kus teabe taaskasutamise eest tasu üldjuhul võtta ei tohi (AvTS-i § 4 lõike 4 ja § 25 lõike 1 ja 6 koosmõju), kuid erandeid võib ette näha eriseaduses. Paragrahvi 4310 lõike 4 järgi, kui isikuandmete edastamise eest võtab RIS-i kuuluva andmekogu vastutav töötleja tasu, avalikustab RIS-i kuuluva andmekogu vastutav töötleja oma asutuse veebilehel tasu suuruse, tasu võtmise tingimused ja tasu arvutamise alused ning teavitab tasu võtmisest käesoleva seaduse § 321 lõikes 2 nimetatud asutust. See asutus on Majandus- ja Kommunikatsiooniministeerium. Tegemist on teavitamiskohustusega, et tasu võtmise ja selle tingimuste kohta oleks informatsioon avatum ning selleks ei peaks eraldi läbi töötama seaduse tekste. Tegemist ei ole ebamõistliku koormusega RIS andmekogude vastutavatele töötlejatele ning samas lihtsustab oluliselt informatsiooni leidmist andmesaajate poolt, arvestades kui palju on arvuliselt seaduseid ja vastutavaid töötlejaid. Näiteks on sarnane nõue ka AvTS § 25 lõike 6 ja § 25 lõike 7 alusel. Paragrahvi 4310 lõike 5 järgi avalikustatakse isikuandmete edastamise eest tasu võtvate RIS-i kuuluva andmekogu vastutavate töötlejate nimekiri teabeväravas. Säte võimaldab andmesaajatel ja RIS-i kuuluva andmekogu vastutavatel töötlejal leida info tasu võtvate asutuste kohta ühtse kontaktpunkti kaudu. Näiteks, samamoodi on teabeväravas eesti.ee avalikustatud ka AvTS-i § 25 lõike 5 ja 8 alusel tasu võtvate teabevaldajate nimekiri. Paragrahvi 4311 sätestab nõusolekuteenuse andmekogu asutamisega seonduva. Paragrahvi 4311 lõige 1 sätestab andmekogu eesmärgi. Andmekogu eesmärk on võimaldada RIS-i kuuluva andmekogu vastutaval töötlejal kontrollida andmesubjekti nõusoleku või isikuandmete ülekandmise tahteavalduse olemasolu ja ulatust RIS-i kuuluvast andmekogust andmete edastamiseks andmesaajale või isikuandmeid vastuvõtva andmekogu vastutavale töötlejale ning tõendada toimunud andmevahetuse õiguspärasust. Sättega antakse andmekogus registreeritud andmesubjekti nõusolekule või isikuandmete ülekandmise tahteavaldusele õiguslik tähendus, mis on oluline RIS-i kuuluva andmekogu vastutavale töötlejale või isikuandmeid edastava andmekogu vastutavatele töötlejale, et edastada nõusolekuteenuses antud nõusoleku alusel andmesaajale isikuandmeid. Õigusliku tähenduse andmine andmetele on oluline andmevahetuse õiguspärasuse ja selle tõendamise huvides. Nõusolekuteenuse osutamiseks asutatakse andmekogu, sest teenuse osutamisel moodustub korrastatud andmete kogum, mis sisaldab muu hulgas isikuandmeid, ja mida kasutatakse käesolevas eelnõus sätestatud ülesannete täitmiseks. Käesoleva eelnõu koostamisele eelnenud „Nõusolekuteenuse analüüsis“24 toodi välja ka teoreetiline võimalus reguleerida 24 Nõusolekuteenuse analüüs. https://www.sm.ee/sites/default/files/content- editors/Ministeerium_kontaktid/Uuringu_ja_analuusid/nt_aruanne_final_3.pdf 14 nõusolekuteenus andmekogu asutamata, kuid õiguslike alternatiivide võrdlev analüüs toetas ühemõtteliselt andmekogu asutamist, mille kasuks esitati järgmised põhiargumendid: 1) vastutus turvalisuse eest langeb ühele asutusele ja see tagab parema kontrolli infoturbenõuete täitmise üle; 2) andmekogu arendamine on rohkem tsentraliseeritud, kuna volitatud töötleja ei halda kogumit mitme andmekogu andmetest. Paragrahvi 4319 lõige 2 kirjeldab, mis liiki andmeid nõusoleku andmekogus töödeldakse. Andmete täpsem jagunemine määratakse rakendusaktis. Nõusoleku andmekogus töödeldakse järgmisi andmeid: 1) nõusolekuid või isikuandmete ülekandmise tahteavalduse andnud andmesubjektide üldandmeid. Need on andmesubjekti tuvastamist võimaldavad andmed, milleks on ees- ja perekonnanimi, isikukood. Nõusolek ja isikuandmete ülekandmise tahteavaldus luuakse andmesubjektile ainult isikukoodi alusel; 2) nõusolekuteenusega liidestatud andmesaajate üldandmeid. Eelkõige on need andmed vajalikud tagamaks, et isikuandmed edastatakse üksnes õigele andmesaajale; 3) andmekogu vastutava töötleja üldandmed; 4) isikuandmete ülekandmise õiguse alusel isikuandmeid edastava ja vastuvõtva andmekogu andmeid; 5) volitatud töötlejate olemasolul nende andmeid; 6) infosüsteemide andmevahetuskihi alamsüsteemi koodi ja edastatava andmekoosseisu metaandmeid. Metaandmed tähendavad andmeväljade koosseisu. Nagu ülal kirjeldatud, hakkab nõusoleku andmekogu sisaldama üksnes sellega liidestatud andmekogude ja andmeväljade loetelu, mitte ei dubleerita vastavate andmekogude põhiandmeid. Näiteks ei koguta nõusolekute andmekogusse inimeste ravimiretseptide täpseid andmeid, vaid üksnes teave, et isik on lubanud edastada konkreetsele isikule „andmed kõigi isikule väljastatud kehtivate ravimiretseptide kohta“; 7) nõusoleku või isikuandmete ülekandmise tahteavalduse õiguse andmise ja tagasivõtmise aeg, nõusoleku või isikuandmete ülekandmise tahteavalduse kehtivuse lõppkuupäev, nõusolekuga või isikuandmete ülekandmise tahteavaldusega seotud andmesaaja andmed. Andmesubjekti nõusolek tema isikuandmete töötlemiseks peab IKÜM-i artikli 7 lõike 3 kohaselt olema tagasivõetav. Seetõttu, näiteks olukorras, kus isik on andnud nõusoleku kestvalt mõneks kindlaks ajavahemikuks (näiteks regulaarselt RIS-i andmekogus asuvate andmetega sünkrooniv personaalmeditsiinirakendus) ning võtab selle nõusoleku tagasi, peab kajastuma nõusoleku andmekogus info, mille põhjal saab RIS-i kuuluva andmekogu vastutav töötleja enne järjekordset isikuandmete edastamist järeldada, et edastamine ei ole alates nõusoleku tagasivõtmise hetkest enam lubatud; 8) andmetöötluslogid ehk andmete esitamine, muutmine, kustutamine ja kasutamine logitakse. Paragrahvi 4311 lõige 3 sätestab nõusoleku andmekogu vastutava töötleja, kelleks on RIA. Teisisõnu, nõusoleku andmekogu raames on RIA asutus, kes hakkab pakkuma nii andmesaajatele kui ka RIS-i kuuluvate andmekogude vastutavatele töötlejatele nõusolekuteenusega liidestamise võimalust, haldama andmesubjektide antud nõusolekuid ning täitma kõiki andmekogu vastutava töötleja ülesandeid, mis on sätestatud seaduses. Paragrahvi 4311 lõige 4 sätestab, et andmekogus sisalduvaid andmeid ja logisid säilitatakse kolm aastat pärast nõusoleku või isikuandmete ülekandmise tahteavalduse tähtaja lõppu. Isikuandmete säilitamisel peab IKÜM-i kohaselt olema kehtestatud säilitustähtaeg, kuivõrd isikuandmeid ei tohi säilitada igavesti. Andmete säilitamine on oluline näiteks juriidilise kohustuse täitmiseks. Arvestades, et kahju õigusvastasest tekitamisest tuleneva nõude aegumise tähtaeg on tsiviilõiguse üldosa seaduse § 150 lõike 1 järgi kolm aastat, ja riigivastutuse seaduse 15 § 17 lõike 3 järgi tuleb kahju hüvitamise taotlus esitada kolme aasta jooksul alates päevast, millal kannatanu kahjust ja selle põhjustanud isikust teada sai või pidi teada saama, siis on säilitustähtaja määramisel lähtutud sellest, et pooltel oleksid tõendid nõusoleku andmise kohta juhuks, kui peaks kerkima võimalikke vaidlusi. Paragrahvi 4319 lõige 5 loob volitusnormi nõusoleku andmekogu asutamiseks ja andmekogu põhimääruse kehtestamiseks. Selleks, et nõusolekuteenusega seonduv oleks ülevaatlik ja selge, esitatakse põhimääruse ja nõusolekuteenuse kasutamise ja haldamise kord ühes määruses. Kuivõrd kehtiva AvTS-i sõnastus näeb ette, et andmekogude pidamiseks kindlustavate süsteemide määruse kehtestab Vabariigi Valitsus, tuleb ka põhimääruse kehtestamise volitus anda Vabariigi Valitsusele, mitte asjaomasele ministrile. Põhimääruses nähakse ette kõik AvTS-i §-s 435 sätestatud kohustuslikud elemendid. Paragrahviga 2 muudetakse keskkonnaseire seaduse § 13 lõiget 2. KeSS-i § 13 lõige 2 sätestab, et keskkonnaseire andmete kasutamine ja andmevahetus riigi teiste infosüsteemide ja andmekogudega toimub andmekogude pidamist kindlustavate süsteemide kaudu, arvestades õigusaktides sätestatud piiranguid. Kuivõrd eelnõu § 1 punkti 1 järgi asendatakse AvTS-i § 432 lõikes 1 kasutatav sõnaühend „kindlustav süsteem“ sõnaühendiga „toetav süsteem“, on terminikasutus vaja ühtlustada ka teistes õigusaktides, kus kasutatakse terminit „kindlustav süsteem“. Seega asendatakse KeSS-i eelnimetatud sättes sõnaühend „kindlustavate süsteemide“ sõnaühendiga „toetavate süsteemide“. Määrused, mida terminiparanduse tõttu on vaja muuta, on loetletud seletuskirja punktis 8.2. Paragrahviga 3 muudetakse ruumiandmete seaduse (RAS) § 21 lõiget 2 ja § 39 lõiget 2. Nimetatud sätetes asendatakse termin „kindlustab andmekogude pidamist“ terminiga „toetab riigi infosüsteemi“. RAS-i § 21 lõige 2 sätestab, et geodeetiline süsteem on ruumiandmete infrastruktuuri alus, mis kindlustab andmekogude pidamist. RAS-i § 39 lõige 2 sätestab, et aadressiandmete süsteem on ruumiandmete infrastruktuuri alus ja kindlustab andmekogude pidamist. Kuivõrd eelnõu § 1 punktide 1 ja 2 järgi asendatakse AvTS-i § 432 lõikes 1 kasutatav sõnaühend „kindlustav süsteem“ sõnaühendiga „toetav süsteem“ ning sõnaühend „andmekogude pidamist“ sõnaühendiga „riigi infosüsteemi“, on sõnakasutus vaja ühtlustada ka teistes õigusaktides, kus on kasutatud sõnaühendeid „kindlustav süsteem“ või „andmekogude pidamist“. 4. Eelnõu terminoloogia AvTS-i muutmise eelnõuga võetakse kasutusele uued terminid „riigi infosüsteemi toetav süsteem“ ja „andmeedastuse nõusoleku süsteem“. Riigi infosüsteemi toetav süsteem on RIS-i komponent, mis toetab RIS-i toimimist, RIS-i kuuluvate andmekogude pidamist, andmekogude pidamisele seadusega pandud ülesannete täitmist, andmeliikluse tagamist või õiguste ja kohustuste efektiivsemat täitmist. Andmeedastuse nõusoleku süsteem on infosüsteem, mis võimaldab: 1) füüsilisel isikul anda RIS-i kuuluva andmekogu vastutavale töötlejale IKÜM-i artiklist 6 lõige 1 punktist a või artikkel 9 lõige 2 punktist a tulenev nõusolek edastada tema kohta RIS-i kuuluvas andmekogus sisalduvaid isikuandmeid X-tee vahendusel eraõiguslikule juriidilisele isikule; 16 2) andmesubjektil esitada IKÜM-i artiklist 20 või seadusest tulenev isikuandmete ülekandmise tahteavaldus edastada tema kohta käivaid isikuandmeid X-tee vahendusel ühest RIS-i kuuluvast andmekogust teise RIS-i andmekogusse. 5. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu vastab Euroopa Liidu õigusele ning võimaldab andmesubjektidel senisest efektiivsemalt teostada neile IKÜM-st tulenevat nõusolekupõhise andmetöötluse õigust ning andmete ülekandmise nõuet seoses isikuandmetega, mille suhtes RIS-i andmekogud on isikuandmete vastutava töötleja rollis. 6. Seaduse mõjud Eelnõuga laiendatakse ja muudetakse riigi infosüsteemi alla kuuluva komponendi terminit ning luuakse nõusolekuteenuse kasutuselevõtmiseks riigis õiguslik alus. Nõusolekuteenusega seonduva mõju sihtrühm: a) RIS-i andmekogude haldajad – maksimaalselt ca 1300 andmekogu (terve teenuse elutsükli jooksul); b) juriidilised isikud – kohe huvitatuid on ca 20. c) füüsilised isikud – potentsiaalselt kõik täisealised, isikukoodiga ja täieliku teovõimega füüsilised isikud, kelle andmeid töödeldakse RIS-i kuuluvates andmekogudes ja kellele on väljastatud sobiv e-identimisvahend, millega kasutada teabeväravat eesti.ee. Mõju valdkond: sotsiaalne, sealhulgas demograafiline mõju – puuduvad olulised mõjud Muudatusega kaasneb mõningane positiivne sotsiaalne mõju. Nõusolekuteenus võimaldab inimestel kasutada uusi, parendatud, ja mis kõige mõjusam, personaalseid teenuseid. Eriti on see aktuaalne tervishoiu valdkonnas, kus personaalmeditsiini ja selle teenuste pakkumise vastu tuntakse järjest suuremat huvi. Seda ilmestab ka tervishoiuteenuste korraldamise seaduse, inimgeeniuuringute seaduse ja teiste seaduste muutmise eelnõu väljatöötamiskavatsus25 (juuni 2021), mille eesmärk on luua raamistik, võimaldamaks jätkusuutlikult arendada ja rakendada personaalmeditsiini jaoks vajalikke innovaatilisi lahendusi ning tuua geeniandmed Eesti tervishoiusüsteemi, et pakkuda inimestele paremaid tervishoiuteenuseid ja edendada rahvatervist. Muudatus kasvatab inimeste teadlikkust, kuidas temaga seotud andmeid kasutatakse. Andmekaitse Inspektsiooni aastaraamatus26 on kajastatud inimeste suurenenud huvi ja teadlikkus enda õigustest oma isikuandmete haldamise suhtes. Andmete kasutamise teema püsimine avalikus diskussioonis ja tehnoloogilised lahendused isikuandmete kasutuse haldamiseks suurendavad inimese teadlikkust, et isikuandmed on väärtuslikud, mõjutades eraettevõtete suhtumist selliste andmete kasutamisse. Nimetatud trend võib nõusolekuteenuse kasutamist andmesubjektide poolt nii suurendada kui ka vähendada – selged kasutustingimused aitavad andmete väärtust teadvustada, ent võivad kahandada valmidust neid jagada. Nõusolekuteenuse kasutamine on inimesele vabatahtlik ega ole teada, kui paljud andmesubjektid nõusolekuteenuse võimalusi kasutama hakkavad. Inimesel on täna samamoodi õigus saada oma andmed RIS-i kuuluvast andmekogust ning edastada need ükskõik millisele 25 kättesaadav aadressil https://eelnoud.valitsus.ee/main/mount/docList/52db9e10-d066-46d3-b258- 5a1b7754392d 26 Andmekaitse Inspektsiooni aastaraamat (2019). Kättesaadav: https://aastaraamat.aki.ee/sites/default/files/inline- files/AKI%20aastaraamat%202019.pdf. (18.08.2021) 17 ettevõtjale. Seega ei muudeta inimese õiguseid, vaid võimaldatakse õiguste efektiivsemat rakendamist. Eesmärk on tagada inimeste võimalikult suur teadlikkuse kasv vastutada ise oma isikuandmete jagamise eest ning ettevõtetele anda selged juhised isikuandmete töötlemise korrektsuse osas, mis ennetaks potentsiaalset koormust AKI-le. Seetõttu on hinnatud, et sotsiaalne mõju ei ole esialgu oluline. Mõju valdkond: mõju riigi julgeolekule ja välissuhetele – puudub Muudatusega ei kaasne mõju riigi julgeolekule ja välissuhetele. Mõju valdkond: mõju majandusele – puuduvad olulised mõjud Eelnõul on mõningane positiivne mõju majandusele, sest nõusolekuteenuse kui RIS-i toetava süsteemi arendamise ja kasutuselevõtuga avanevad võimalused välja töötada andmepõhiseid ja senisest personaalsemaid teenuseid ning neid osutada (näiteks, finants-, haridus- või tervishoiuvaldkonnas, sh personaalmeditsiinis), teenides riigile nii maksutulu kui ka kasvatades Eesti ettevõtete konkurentsivõimet. Eesti ettevõtetel on huvi, kogemus ja ligipääs intellektuaalsetele ja materiaalsetele ressurssidele, et luua uuenduslikke ja ainulaadseid e-teenuseid, sh kujundada selliseid, mille unikaalsus toetub nõusolekuteenuse kasutamisele. Ettevõtetel, kes juba praegu soovivad RIS-i kuuluvatesse andmekogudesse kogutud terviseandmeid kasutada, on sellega seotud konkreetsed teenuse- ja äriarendusplaanid, mis hõlmavad nii olemasolevate teenuste täiendamist kui ka uute teenuste väljatöötamist. Tegureid, mis mõjutavad ettevõtete motivatsiooni nõusolekuteenust kasutada, on mitu. Riigi kogutud andmed on ainulaadsed, täpsed, usaldusväärse päritolu ja kvaliteediga (see võib sõltuvalt arendatava teenuste iseloomust anda riigi kogutud andmetele eeliseid, võrreldes näiteks inimese enda esitatud infoga) ning riigi kogutud andmeid on kergem kasutusele võtta kui näiteks mõne eraettevõtte valdusesse kuuluvaid andmeid. Mõju majandusele on hinnatud väikeseks, sest neid juriidilisi isikuid, kes on kohe valmis nõusolekuteenusega liidestuma, on eelnõu koostamise ajal veel vähe. Lähiaastateks võib aga prognoosida, et selliste ettevõtjate arv kasvab, kuid positiivset mõju majandusele tuleb lisaandmete põhjal jooksvalt hinnata edaspidi. Samuti pole teada, kui palju RIS-i kuuluvate andmekogude vastutavaid töötlejaid reaalselt nõusolekuteenuse kasutusele võtavad, kuivõrd tegemist on vabatahtlikkuse alusel pakutava e- teenusega. Mõju valdkond: mõju elu- ja looduskeskkonnale – puudub Muudatusega ei kaasne mõju elu- ja looduskeskkonnale. Mõju valdkond: mõju regionaalarengule – puudub Muudatusega ei kaasne mõju regionaalarengule. Mõju valdkond: mõju riigiasutuste ja kohaliku omavalitsuse korraldusele – puudub oluline mõju Nõusolekuteenuse kasutuselevõtmine on vabatahtlik. Nõusolekuteenuse kasutuselevõtmise korral tuleb arvestada vajadusega teha järgmised toimingud: 1) RIS-i kuuluva andmekogu vastutav töötleja vaatab andmesaaja andmekoosseisu sooviavalduse läbi ja hindab, kas a) soovitud andmed on põhiandmetena RIS-i kuuluva andmekogu vastutava töötleja andmekogus, b) kas vastav X-tee teenus on olemas, 18  c) kas on võimekus uus X-tee teenus luua. Ajakulu on keeruline hinnata, kuna väga suuresti sõltub see soovitavast andmekoosseisust. Keskmiselt võib ühe sooviavalduse hindamiseks kuluda kaks tundi; 2) X-tee määruse kohaselt peavad andmesaaja ja RIS-i vastutav töötleja sõlmima RIA-ga X-teega liidestamise kokkuleppe. Hinnanguline ajakulu RIA-le on väga väike, kuna lepingu sisu ei räägita eraldi läbi, vaid leping sõlmitakse X-tee iseteeninduskeskkonnas. RIS-i vastutaval töötlejal on lepingu ülevaatamise ajakulu, mis on hinnanguliselt 30 minutit kuni üks tund; 3) tagamaks pooltevaheliste kokkulepete kehtivus, sõlmivad RIS-i kuuluva andmekogu vastutav töötleja ja andmesaaja X-tee määruse kohaselt andmeteenuse lepingu. Selle koostamise hinnanguline ajakulu RIS-i andmekogu vastutavale töötlejale on keskmiselt üks tund; 4) andmesaaja ja RIS-i kuuluva andmekogu vastutav töötleja peavad RIA-ga sõlmima nõusolekuteenusega liidestamise kokkuleppe. Hinnanguline ajakulu RIA-le, andmesaajale ja RIS-i vastutavale töötlejale on väga väike, kuna lepingu sisu ei räägita eraldi läbi, vaid lepingu sõlmimine soovitakse teha võimalikult vähese ajakuluga. RIS-i vastutaval töötlejal ja andmesaajal on lepingu läbivaatamise ajakulu, mis on hinnanguliselt 30 minutit kuni üks tund. RIA-l tekib ühekordne ajakulu seoses lepingu koostamisega. 5) RIS-i kuuluvate andmekogude vastutavatel töötlejatel tuleb nõusolekuteenusega liidestamisel arvestada vajadusega luua turvaserver või X-tee teenus või mõlemad. Turvaserveri puudumisel on selle loomise ajakulu kolm päeva, arvestusega, et iga päev tehakse umbes kaks tundi tööd, seejuures on arvestatud, et turvaserveri looja peab vahepeal ootama vajalikku teavet ja andmeid. Kui asutusel on turvaserver olemas, võtab uue X-tee teenuse lisamine turvaserverisse enamasti aega kõige rohkem 30 minutit; 6) pärast X-tee teenuse loomist on tarvis teenuse töös hoidmiseks seda hallata. Haldamise alla kuuluvad näiteks IT taristu ülalhoid ja andmetes esinevate vigade parandamine. Hinnanguline ajakulu on üks tund teenuse kohta kuus. Kaudselt on üks võimalik kaasnev tulemus parem andmekvaliteet nendes RIS-i kuuluvates andmekogudes, mis on nõusolekuteenusega liidestatud. Andmeid eri vajadustega kasutajatega jagades ja nende kohta tagasisidet kogudes selguvad andmetes esinevad vead, andmete vajalikkus, tegelik andmete kasutamise võimalikkus jne – loetletud infot teades on võimalik riigis rakendatavaid andmepõhiseid lahendusi efektiivistada. Andmepõhine riigivalitsemine ja andmete teisene kasutus, sh andmehalduse kvaliteet, on ka üks Eesti digiühiskonna arengukava 203027 eesmärke. Lähtudes eespool kirjeldatust ei ole mõju ulatus, sagedus ja ebasoovitava mõju risk oluline. 7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Nõusolekuteenuse tehnilise lahenduse pakkujal ehk RIA-l kaasnevad halduskulud (lepingute sõlmimine andmesaaja ja RIS andmekogude vastutavate töötlejatega, projektijuhtimine seoses arenduse ja haldusega) ja IT-arenduskulud (tehnilise lahenduse arendus, haldus ja hooldus ning 27 Eesti digiühiskonna arengukava 2030. https://www.mkm.ee/digiriik-ja-uhenduvus/digiuhiskonna-arengukava- 2030 (14.10.2022). 19 liidestamine andmekogudega). Nõusolekuteenuse tehnilise lahenduse esmasteks arenduskuludeks on eraldatud 250 000 eurot. Iga-aastaseks teenuse halduskuluks on RIA hinnanud 50 000 eurot. Teenuse arendamise edasiste kuludega on arvestatud ja need kaetakse RIA eelarvest. RIA koostöös MKM-ga taotleb vajaduse korral riigieelarvest lisaraha. Samas, praegu ei ole võimalik hinnata, kui suureks kujuneb täiendavate arendus- ja halduskulude vajadus. RIS-i kuuluvate andmekogude vastutavatel töötlejatel tekib sooviavalduse läbivaatamise ja lepingute sõlmimisega seotud halduskulud, sest personal on enam hõivatud ja nende töökoormus suureneb. Vajalikud kulud kaetakse RIS-i kuuluvate andmekogude vastutavate töötlejate eelarvest. Eelnõuga on ka ette nähtud, et nõusolekuteenuse kaudu andmete edastamise kulud on võimalik kehtestada valdkondlikus seaduses, kui RIS-i kuuluva andmekogu vastutav töötleja seda vajalikuks peab. Sellisel juhul katab kulud andmesaaja. RIS-i kuuluva andmekogu vastutava töötleja poolne X-tee teenuse loomise kulu tekib üldjuhul andmekogu volitatud töötleja juures – terviseandmete näitel TIS-i puhul Tervise ja Heaolu Infosüsteemide Keskuses (edaspidi TEHIK). Nõusolekuteenuse kasutuselevõtmine võib suurendada AKI töökoormust järelevalvetegevuste tõttu. Samas ei ole võimalik praegu hinnata, milliseks kujunevad järelevalvetegevused ja selle mõjud nõusolekuteenuse juurutamisel ühiskonnas, kuna see sõltub nõusolekuteenust kasutusele võtvate asutuste ja andmesaajate arvust, nõusolekuid ja andmete ülekandmise tahteavaldusi andvate andmesubjektide arvust, andmesaajate õiguskuulekusest jne. Eesmärk on tagada inimeste võimalikult suur teadlikkus, et oma isikuandmete jagamise eest vastutavad nad ise, ja anda ettevõtetele selged juhised isikuandmete töötlemise korrektsuse kohta – need tegevused ennetavad AKI koormuse kasvu. 8. Seaduse rakendusaktid 8.1. Seaduses sisalduvad volitusnormid Eelnõu sisaldab volitusnorme Vabariigi Valitsusele kehtestamaks andmeedastuse nõusoleku süsteem ja andmeedastuse nõusoleku süsteemi andmekogu põhimäärus. Rakendusakti kavand on lisatud seletuskirja juurde (lisa 1). 8.2 Muutmist vajavad määrused Muuta on vaja määrused, milles on kasutatud sõnu „riigi infosüsteemi kindlustav süsteem“, „kindlustav süsteem“ või „kindlustav infosüsteem“ – kõik need on määrustes vajalik asendada terminiga „riigi infosüsteemi toetav süsteem“. Seaduse jõustumisega kaasneb vajadus muuta järgmisi rakendusakte: 1) majandus- ja kommunikatsiooniministri 11. detsembri 2007. a määrus nr 97 „Infoühiskonna edendamise toetamise tingimused ja investeeringute kava koostamise kord“; 2) majandus- ja taristuministri 12. märtsil 2015 määrus nr 21 „Nutika teenuste taristu arendamise toetamise tingimused ja investeeringute kava koostamise kord“; 3) justiitsministri 27. detsembri 2000. a määrus nr 78 „Kohtu registriosakonna keskandmebaasi pidamine“; 4) justiitsministri 22. jaanuari 2001. a määrus nr 8 „Kinnistusraamatu andmetöötluskeskus“; 5) keskkonnaministri 16. juuni 2021. a määrus nr 32 „Aadressiandmete süsteem“; 6) keskkonnaministri 26. oktoobri 2011. a nr 64 „Geodeetiline süsteem“; 7) Vabariigi Valitsuse 17. jaanuari 2008. a määrus nr 17 „Volituste andmine geodeetilise süsteemi kehtestamiseks“; 20 8) Vabariigi Valitsuse 14. juuli 2011. a määrus nr 101 „Volituse andmine geodeetilise süsteemi kehtestamiseks“. Kuna muudatused seisnevad termini „andmekogude pidamist kindlustav süsteem“ ja „riigi infosüsteemi kindlustav süsteem“ või sõnade „kindlustav süsteem“ asendamisega terminiga „riigi infosüsteemi toetav süsteem“ vastavas käändes, ei ole määruste muutmise eelnõude kavandeid seletuskirjale lisatud. 9. Seaduse jõustumine Seadus jõustub üldises korras. Muudatuste jõustumiseks ei ole vajalik määrata konkreetset kuupäeva. Samuti ei ole vaja anda muudatustega kohanemiseks anda üleminekuaega, kuivõrd tehtavad muudatused ei too sihtrühmadele kaasa kohustust oma tegevust ümber korraldada. 10. Eelnõu kooskõlastamine Eelnõu mustandi ja rakendusaktide koostamisse on olnud kaasatud Sotsiaalministeeriumi, RIA, AKI ja TEHIK-u esindajad. Eelnõu esitatakse kooskõlastamiseks EIS-i kaudu ministeeriumitele ja Riigikantseleile ning arvamuse avaldamiseks RIA-le, AKI-le, Eesti Linnade ja Valdade Liidule ning Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule. ___________________________________________________________________________ Algatab Vabariigi Valitsus (allkirjastatud digitaalselt) 21