Saatja: info - AKI </o=ExchangeLabs/ou=Exchange Administrative Group (FYDIBOHF23SPDLT)/cn=Recipients/cn=3a0530d90ba74eefad219f849e05de0c-info - AKI>
Saaja: 'Teabe Amet'
Teema: RE: Kuidas suhtute pangaandmete jagamisse ametiasutustele, vastus
Tere!
Oleme saanud teie selgitustaotluse, millest saame aru selliselt, et te soovite meilt selgitust ja vastuseid alljärgnevatele küsimustele:
1. Kellel on ligipääs täitemenetluse seadustiku §-s 63 nimetatud täitmisregistrile ja millal ning millisel eesmärgil on ligipääsu kasutatud ehk siis, kes on päringuid teinud ja mis eesmärgil ning õiguslikul alusel?
2. Kas AKI toetaks ideed avalikustada andmekogusse tehtud päringute logid 5+ aasta pärast?
3. Kuidas käesoleval hetkel toimub ligipääsude jälgimine ja milliseid järelevalvemehhanisme on võimalik rakendada?
Vastuseks selgitame:
1. Täitemenetluse seadustiku (TMS) § 63 lg 3 kohaselt on täitmisregistri vastutav töötleja Justiits- ja Digiministeerium. Seega peaks esimene küsimus olema suunatud neile. Kuivõrd registril puudub põhimäärus, millele viitavad TMS § 63 lg 9 ja 10 ning millest peaks selguma mh andmetöötluse täpsed reeglid ja andmetele juurdepääsu andmise kord, siis saab üksnes andmekogu vastutav töötleja teile selgitada, kellele tegelikult juurdepääs võimaldatud on, samuti seda, kes on andmekogusse päringuid teinud ja mis eesmärgil. Samuti on vastutaval töötlejal võimalik selgitada, kuidas kontrollitakse, kas päringuid registrisse tehakse õiguslikul alusel.
2. Küsimus kaks on hetkel spekulatiivne, mistõttu ei saa me sellele vastata. Hetkel jääb segaseks idee mõte ja teostus. Igasugune andmete avaldamine saab toimuda mingil õiguslikul alusel, mistõttu vastus sellele küsimusele sõltub suuresti sellest, kuidas selline avaldamine õiguslikult reguleeritaks, milline oleks avaldatavate andmete sisu jne
3. Kolmanda küsimuse esimesele poolele saab samuti vastata andmekogu vastutav töötleja ehk Justiits- ja Digiministeerium. Andmekogus toimuva andmetöötluse osas on muuhulgas järelevalvepädevus andmekaitse inspektsioonil ja seda nii avaliku teabe seaduse (AvTS) § 44 lg 1 p 1 kui ka isikuandmete kaitse seaduse § 56 alusel. Lisaks on järelevalve pädevus Riigi Infosüsteemi Ametil AvTS § 44 lg 1 p 2 ja § 531 alusel.
Lõpetuseks juhime tähelepanu, et selgitustaotluse adressaadil on MSVS <https://www.riigiteataja.ee/akt/125102016016> § 5 lg 9 p 1 alusel õigus jätta selgitustaotlusele vastamata, kui isikut ei ole võimalik kindlaks teha. Meile esitatud selgitustaotlus on anonüümne.
Lugupidavalt
Andmekaitse Inspektsioon
ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Tatari 39 | 10134 Tallinn | Eesti
LinkedIn <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> | YouTube <https://www.youtube.com/@andmekaitse>
<https://www.aki.ee/>
From: Teabe Amet <
[email protected]>
Sent: Wednesday, July 2, 2025 2:39 PM
To:
[email protected]
Cc: info - AKI <
[email protected]>;
[email protected];
[email protected]; LHV Pank <
[email protected]>
Subject: Kuidas suhtute pangaandmete jagamisse ametiasutustele, vastus
Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.
Tundmatu saatja korral palume linke ja faile mitte avada.
Teema: „Taotlus: riigivõimu ligipääsu logide avalikustamine 5+aastase perioodi jooksul“
Lugupeetud Andmekaitse Inspektsioon,
Soovin teada, kas panganduses kasutatavate täitmisregistri (e-aresti) logide juurdepääsu kohta on dokumenteeritud: kes, millal, milleks ligipääsu on kasutanud, ning kas AKI kavatseb toetada mehhanismi, mille kohaselt need logid avalikustatakse 5+ aasta jooksul.
Palun ka selgitust, kuidas praegu toimub ligipääsude jälgimine ja millised järelevalvemehhanismid on seaduslikud.
Lugupidamisega, M. M. "
Taust ja kiri:
Kuidas suhtute pangaandmete jagamisse ametiasutustele
Ilmselgelt on see normaalne ja vajalik.
On arusaamatu, miks peaks igasugustelt pättidelt ja agentidelt luba küsima, et üldist pilti kokku panna.
See ei kahjusta inimesi mitte kuidagi, küll aga on see hädavajalik riigi püsimajäämise ja julgeoleku tagamiseks.
Ükski ametkond ei hakka niisama lihtsa talumehe andmeid uurima – ja isegi kui uurib, mis sellest siis?
Inimestele, kelle kohta ei leitud kahtlusi, võiks näiteks viie aasta möödudes saata teavituse läbi eesti.ee <http://eesti.ee> , et nende kohta viidi läbi taustauuring.
Aga üldiselt peaks luure- ja julgeolekuasutustel olema ligipääs kõikidele andmetele, mida nad vajavad.
Mis mõte neil asutustel muidu üldse on?
USA luure, KGB jäänukid ja häkkerid saavad ligi kuhu iganes tahavad, aga meie süsteem siin kodumaal kokutab ja viivitab bürokraatlike tõkete taga.
---
⚖️ 🗝️
Siin on valmis mustand formaalseks teavituseks ja ettepanekuks, mille võib suunata kas:
Andmekaitse Inspektsioonile või
Riigikogu julgeolekuasutuste järelevalve erikomisjonile,
või ka avalikuks petitsiooniks kodanikualgatuse või vabaühenduste tasandil.
ETTEPANEK ja TEAVITUS
Seoses ligipääsu- ja järelevalvesüsteemide läbipaistvuse, turvalisuse ja kodanikuõigustega Eesti Vabariigis
Taust ja seisukoht:
Meie praegune ajastu on üha enam seotud metaandmete, digitaalse tuvastamise, võrgusuhtluse ja salajase jälgimisega. Paraku on kodanikele ja isegi seaduslikele Eesti järelevalveorganitele seatud ebaproportsionaalsed piirangud teabe kättesaamiseks, samas kui tegelik ligipääs strateegilistele või tundlikele andmetele toimub „tagauksest“ nii USA kui Vene luurevõrgustike kaudu – tihti erastruktuuride, firmade või hallide alamtöövõtjate kaudu, mille kohta puudub igasugune kodaniku järelevalve või läbipaistvus.
Seetõttu tuleb eeldada, et ligipääs sensitiivsetele ja massilistele andmetele on paljudel salavõrgustikel juba olemas — de facto.
Probleem
Samas näeme absurdset olukorda, kus Eesti enda ametlikud järelevalveorganid (nt politsei, inspektsioonid, parlamentaarsed komisjonid, sisekontrollid, andmekaitse järelevalve)
peavad taotlema lubasid,
on seotud ülereguleeritud raamistikuga,
ja nende tegevus on halvasti koordineeritud või isegi takistatud,
eriti kui teema puudutab näiteks:
andmepäringuid liikluskaamerate salvestistest;
õigust jälgida, kes on kasutanud võimuametites andmebaase kodanike kohta;
või võimalust vaadata, kas mingi välisriigi või erafirma käsutuses olev süsteem pääseb Eesti kodaniku andmetele ligi.
Ettepanekud
1. Ligipääs järelevalveasutustele ei tohi olla piiratud:
Eesti Vabariigi sisemistele järelevalveasutustele peab olema tagatud täielik ja ametlik ligipääs kõikidele andmebaasidele ning side- ja logiteenustele ilma, et nad peaksid luba paluma kolmandatelt osapooltelt või alluma poliitilisele tsensuurile.
2. Ligipääsu fikseerimine ja järelkontroll:
Ettepanek seadustada kohustuslik hiline ligipääsuloend, mis näitaks hiljemalt 5 aasta jooksul:
Kes pääses andmetele ligi;
Milline oli eesmärk;
Mis andmestikuga seoses;
Millise volituse alusel.
Selline süsteem juba eksisteerib Eestis osaliselt (nt e-tervisesüsteemis, X-tees, notarite portaalis, pangasisestes logides) ja peaks olema kohustuslik kõigile riiklikele ja poolriiklikele struktuuridele.
3. Topeltstandardite kaotamine:
On hädavajalik kaotada topeltstandard, kus võõrad luurestruktuurid saavad automaatselt ligipääsu andmetele läbi mitteametlike kanalite, samas kui Eesti ametkonnad ja kodanikud peavad läbima absurdse „lubade“ või „liigse delikaatsuse“ protsessi.
Näiteks ei tohiks seadus piirata:
kaamerate kasutamist avalikus ruumis andmete kogumiseks kuritegevuse ennetamiseks,
auto registreerimisandmete vaatamist, kui see on seotud turvalisuse või liikluskorraldusega,
ega pangaametniku sisekontrolli, kui tegemist on sisemiste andmete väärkasutuse jälgimisega.
Miks see on oluline?
Seni, kuni riik ei kontrolli digitaalseid juurdepääse ja jääb loiduks varjatud luurevõrkude töö suhtes, ei saa Eesti pidada ennast suveräänseks ega turvaliseks riigiks.
Just läbipaistvus ja logitud järelevalve on see, mis tagab kodaniku õiguste ja turvalisuse tasakaalu, mitte pelgalt "lubade küsimine", mis samal ajal varifirmade kaudu niikuinii kõrvale hiilitakse.
Kellele see kiri/ettepanek on adresseeritav:
Andmekaitse Inspektsioonile – seoses vajadusega tugevdada logijälgede ja ligipääsuregistrite süsteeme kõikides ametkondades.
Riigikogu julgeolekuasutuste järelevalve erikomisjonile – seoses riikliku suveräänsuse ja läbipaistvuse tagamise küsimustega.
Siseministeeriumile ja Justiitsministeeriumile – seoses seadusloome korrastamise vajadusega.
Kodanikualgatus.ee portaalile – petitsioonina kodanike ja asutuste toetuse kogumiseks.
-------------------
Seisukoht: Läbipaistev ligipääs ja järelevalve õigustatud teenistuste töö üle
Lähtudes loogikast ja olemasolevatest süsteemidest, peab olema tagatud kodanike ligipääs neile olulisele infole – eriti juhul, kui salateenistused ja julgeolekuasutused saavad nagunii sellele ligi.
1. Järelevalveasutuste töö eeldab ligipääsu – mitte üksnes õigust, vaid ka kohustust tegutseda
Kui järelevalveasutustel (nt finantsinspektsioon, sisejulgeolek, andmekaitseamet, või parlamentaarsed kontrolliorganid) ei ole õigust või julgust andmetele ligi pääseda, siis nende olemasolu muutub formaalseks. Ligipääs ei tohiks sõltuda üldsuse loast juhul, kui tegemist on õigustatud ja ametliku uurimisega, ning kui eksimuste korral on süsteemis tagantjärele jälgitavus.
Nagu öeldakse: "Kui neil on volitus vastutada, peab neil olema ka võimalus kontrollida."
2. Ligipääs peab olema jälgitav ja läbipaistev – hilisem kontroll on oluline
Isegi kui teatud toimingud on salastatud või tundlikud, peaks olema tagatud, et hiljemalt näiteks 5 aasta jooksul tekiks märge selle kohta:
Kes pääses andmetele ligi
Milline oli eesmärk või põhjendus
Kas see oli seotud ametliku uurimisega
Selline süsteem juba eksisteerib Eestis teatud baasides – näiteks:
Andmekaitse seadus näeb ette logi säilitamise
Pankades on sisekontroll ja audit süsteemid, kus iga ligipääs kliendiandmetele on logitud
E-tervise, X-tee ja Notari infosüsteemides näeb kodanik ise, kes on tema andmetele ligi pääsenud
3. Topeltstandardite kaotamine: kui varjatud luureüksused niikuinii ligi pääsevad...
On naiivne või silmakirjalik eeldada, et "tavaline kodanik ei tohiks midagi teada ega uurida", kui samal ajal on teada, et mitteametlikud või varjatud struktuurid:
Omavad erivahendeid (nt metaandmete, sidevõrkude, backdoor-juurdepääsud)
Teevad koostööd rahvusvaheliste luurevõrkudega
Kasutavad andmeid, mille puhul pole selge, kust need hangiti
Seega peaks vähemalt kodanikul ja ametlikul järelevalveorganil olema kindlam positsioon kui mitteametlikul luurel.
💬 Võimalik sõnastus algpostituseks
Me peame nõudma selgelt: kui juba salaluure ja süva-analüüsivad süsteemid pääsevad nagunii andmetele ligi (olgu ametlikult või varjatult), siis milleks keelata või raskendada ametlikku ja hiljem kontrollitavat ligipääsu neile, kes vastutavad seaduslikkuse, ohutuse ja kodanike õiguste eest?
Iga järelevalveasutus peaks saama ligi, mitte "paluma luba", sest muidu pole nad enam järelevalveasutused, vaid lihtsalt tühjad vormid.
Me ei räägi massijälgimisest, vaid sihitud ja hiljem kontrollitavast ligipääsust, kus on logi ja vajadusel ka vastutus. Näiteks võiks seadustada, et 5 aasta möödudes peab igast ligipääsust olema nähtav märge, kes, miks ja millal ligipääsu sai – nii nagu see juba toimib mitmes Eesti süsteemis (nt E-tervis, pangalogid).
Vastupidine – totalitaarne must kast, kus keegi ei saa midagi ega tohi midagi teada – ei sobi vaba ühiskonnaga kokku.
-------
Lühikokkuvõte:
Õiguskantsleri tuvastatud massiline reegliteta ligipääs pangasaladusele (kümned tuhanded päringud).
Pangad väidavad, et tegutsevad seaduse alusel ja ei saa kontrollida päringute sisu.
Täitmisregistri süsteemi reeglid puuduvad, kuid see võimaldab ligipääsu isegi konto väljavõttele.
LHV ja pärijate vaidlus paljastab, kuidas pank võib seadusi “ülekaitsevalt” või mugavalt tõlgendada.
Tekkinud on olukord, kus täitevvõim, salateenistused ja rahapesuorganid pääsevad rahva varalise teabe juurde praktiliselt ilma välise kontrollita.
Pärijad, advokaadid ja õigusteadlased on pidanud pingutama, et jõuda isegi seaduses sisalduva elementaarse õiguse rakendamiseni.
1. Üldine ohtlik suund: administratiiv-neofeodalism
Eestis, nagu mitmes teises riigis, on hakanud levima hall “tehnokraatlik autokraatia”, kus õigusi antakse ja võetakse tagasi mitte otsese seaduse kaudu, vaid süsteemide vaikimisi ligipääsude, API-ühenduste ja "varem kehtinud õiguste vaikimisi kandumise" kaudu.
Tegelik “võim” asub tehnilistes registrites (RIK, MTA, SISU, X-tee ligipääsud), millele lisandub formaalsuse ettekäändel puuduv kodanikukontroll.
Tegemist ei ole seadusliku korrakaitsega, vaid registrikeskse võimuvõttega, millele parlament pole andnud teadlikku heakskiitu, nagu rõhutab ka õiguskantsler.
2. Seos varifirmade, riiulifirmade ja rahapesu uurimisega
See ei ole lihtne "pätikaitse" teema. Massiline ligipääs pangakontodele võib olla algselt õigustatud rahapesu, altkäemaksu, kriminaaltulu või EL sanktsioonide seire eesmärgil.
Kuid:
Süsteemi kuritarvitamine muutub võimalikuks, kui puudub logide väline auditeerimine, ajaliselt piiratud päringute jälgitavus või päringu sisuline kontroll.
Sarnast süsteemi võidakse kasutada poliitiliseks jälgimiseks, ajakirjanike, aktivistide või tundmatute "ebasobivate" isikute profiilide loomiseks.
Venemaa variagentide, äristruktuuride ja korruptiivsete skeemide uurimine vajab loomulikult ligipääsu – kuid seda tuleb teha läbipaistvalt ja põhiseaduse piires.
3. Olulised allikad ja kohtulahendid (viited ja dokumendid)
Krediidiasutuste seadus §88 (pangasaladus):
Riigi Teataja: KAS §88
Pärimisseadus §130 ja §132 (õiguste üleminek):
Pärimisseadus Riigi Teatajas
Harju Maakohus 2017 – oluline kohtuotsus, mis andis pärijale õiguse saada täielik pangaväljavõte.
(Kohtuotsuse täisviide on kättesaadav Riigi Teatajast või kohtuprotokolli alusel – võin aidata otsida, kui vajad täpsemat linki).
Õiguskantsleri pressiteade ja ERR uudis:
ERR artikkel 1 https://www.err.ee/1609735548/lepp-riigi-usaldusvaarsus-sai-pangasaladusse-sekkumisega-kovasti-pihta
ERR artikkel 2 https://www.err.ee/1609650758/lhv-lihtsustas-parast-pikka-vaidlust-parijate-ligipaasu-kontovaljavottele
4. Mida võiks kodanik või MTÜ/aktivist praegu nõuda?
Täielik audit ja logide avalikustamine – kui palju on tehtud täitmisregistri päringuid? Kelle poolt? Mis eesmärkidel?
Vajalik on sõltumatu ja läbipaistev kontroll, nt Riigikontrolli, kohtute või pressi kaudu.
Täitmisregistri põhimäärus KOHE – ilma seadusliku raamita andmete töötlemine on de facto ebaseaduslik.
Andmesubjekti teavitamine – kui keegi on teinud päringu sinu pangakonto kohta, siis sul peab olema õigus sellest teada saada.
Pangasaladuse seaduse ümbertõlgendus kodanike kasuks – pangad ei tohi olla lihtsalt “andmepostkontorid” riigile. Nad on ka kliendi usalduspartnerid.
Avatud parlamentaarne debatt – mitte IT-töörühmas, vaid Riigikogu suure saali tasandil. Tuleb arutada:
Mis õigused on täitevvõimul?
Kas ja millal saab pangainfot vaadata?
Millised on kaitsemehhanismid kuritarvituse vastu?
5. Süsteemne võime kasvatamine ja kodanike vastupanuvormid
Edukalt töötavad jälgimisvastased koalitsioonid (nt Saksamaal: Digitalcourage.de, Prantsusmaal La Quadrature du Net) võiksid Eestis inspireerida midagi sarnast.
Eesti Kodanikuandmete Kontrollvõrgustik – idee luua kodanikeühendus, mis tegeleb päringute logide nõudmise, infohalduse läbipaistvuse ja "andmepäringuõiguse" (Data Subject Access Request) tugevdamisega.
Inimõiguslik AI või P2P-vahend (nt lokaalne logibrauser, mis salvestab andmete liikumise inimese kohta, kui süsteem seda ei tee).
Kokkuvõttes
Eesti on jõudnud kriitilisse punkti, kus pankade ja riigi koostöösse on tekkinud ohtlik läbipaistmatuse kultuur. Tegemist pole pelgalt tehnilise "turvaveaga", vaid võimuharude tasakaalu ja kodanike põhiõiguste süsteemse õõnestamisega. Kõik see vajab kodanike tugevat, targalt sõnastatud ja õiguspõhist vastust.
M.M.