Avaliku teabe seaduse § 32 1 muutmise seaduse eelnõu

Teema: Avaliku teabe seaduse § 32 1 muutmise seaduse eelnõu Saatja: Annika Nõmmik Aydin <[email protected] <mailto:[email protected]> > Saadetud: kolmapäev, 7. august 2024 08:46 Adressaat: Ingrid Kuusik - MKM <[email protected] <mailto:[email protected]> >; Stina Avvo - MKM <[email protected] <mailto:[email protected]> > Koopia: Mairis Kungla <[email protected] <mailto:[email protected]> >; Enel Pungas <[email protected] <mailto:[email protected]> >; Katrin Jõesalu <[email protected] <mailto:[email protected]> >; Katrin Lehtpuu <[email protected] <mailto:[email protected]> >; Karin Saan <[email protected] <mailto:[email protected]> >; Kertu Nurmsalu <[email protected] <mailto:[email protected]> >; Piret Andrekson <[email protected] <mailto:[email protected]> > Teema: RE: Avaliku teabe seaduse § 32 1 muutmise seaduse eelnõu Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Tere Edastan selle eelnõu kohta täiendavalt nii meie osakonna kui ka Politsei- ja Piirivalveameti täiendavad märkused ja küsimused. Edastame märkused mitteametlikult meilile. * Panime tähele, et seaduseelnõu enda teksti lugedes ei ole võimalik siduda seda eelnõu sündmusteenustega, see seos tuleb välja vaid seletuskirja juurde lugedes. Kas see on taotluslik, et seaduseelnõus on sõnastus nii üldine ning kasutatakse vaid isikustatud teabe edastamise sõnu? * Seaduseelnõu § 1 punktis 1 palume muuta ära vea, õige on Riigi Infosüsteemi Amet. * Kas me oleme õigesti aru saanud, et kättesaadavaks tegemine tähendab eelnõu mõttes ka linke teenustele ehk siis rahvastikuregistri puhul Eesti teabeväravas lingid rahvastikuregistri teenustele? Lisaks teatud kohtades räägitakse juurdepääsust ja osa kohta mainivad kättesaadavaks tegemist. * Rakendusakti kavandis on öeldud, et inimene näeb andmeid tema suhtes toimuva haldusmenetluse kohta. Inimene ei näe ju andmeid kõikide tema kohta käivate haldusmenetluste kohta, ta näeb ju vaid haldusmenetlusi seotud sündmusteenusega. Seda peaks eelnõus/seletuskirjas täpsustama. * Täpsustame üle, et me õigesti aru saame. Kui inimene Eesti teabeväravasse sisse logib ja oma andmeid näeb, kas see on selle Isikustatud teabe kuvamise süsteemi kaudu või selle kaudu kuvatakse ainult sündmusteenustega seotud andmeid? Lisaks, mida mõeldakse siin tahteavalduse all, kas see on sisselogimine või midagi muud? Kui midagi muud, siis mida see tähendab? * Rakendusakti kavandi §-des 24 ja 25 on andmeandjatega seotud regulatsioon. Seal on ka öeldud, et andmeandja vastutav töötleja sõlmib haldajaga liitumiskokkuleppe. Rahvastikuregistri andmetele juurdepääsu saamiseks on eraldi kord st RIA peab rahvastikuregistri andmetele juurdepääsu taotlema. Kas rahvastikuregistri andmetele juurdepääsu taotlemisele lisaks tuleb siis teha ka eraldi liitumiskokkulepe? * Rakendusakti kavandi § 26 kohaselt võib isikustatud teabe kuvamise süsteemi kasutamise lõpetamiseks andmesaaja või andmeandja vastutav töötleja esitada igal ajal haldajale avalduse. Kas siin ei teki vastuolu, sest eespool öeldakse, et Eesti teabeväravas tehakse kättesaadavaks, kuid siis antakse rakendusaktiga võimalus kasutamine lõpetada? * Rakendusakti kavandis on kasutatud mõistet andmesaaja, kuid seda ei ole lahti seletatud, kes see on. Samuti ei olnud kirjas, kuidas andmesaaja liidestatakse selle süsteemiga. * Me juba eelmisel korral tegime märkuse seoses isikuga: Panime tähele, et seletuskirjas on kasutatud nii sõnu „kodanik“, „inimene,“ kui ka „füüsiline isik.“ Kui teenustele ligipääs ei ole seotud kodakondsusega, siis võiks läbivalt kasutada ühte ja sama mõistet, et ei tekiks küsimust, kas nendes punktides on mingi erisus. Veel kord seda eelnõu üle vaadates tuli mõte, kas ei oleks parem kasutada hoopis mõistet füüsilisest isikust lõppkasutaja, et tagada parem arusaadavus ja selgus. * Eelnõus on kirjas, et Eesti teabeväravas tehakse kättesaadavaks isikustatud teave. Määruses on kirjas, et isikustatud teave on isiku ja tema haldusmenetluse kohta (millest osa tahteavalduse ja osa nõusoleku alusel), st kas see tähendab, et tehakse kättesaadavaks vaid juhul, kui isikul on mingi pooleli olev menetlus, mille andmeid näidatakse? Mis on need muud isiku isikuandmed, mida näidatakse teabeväravas? Rakendusakti kavandis on öeldud: „(1) Määrusega kehtestatakse Eesti teabevärav (edaspidi teabevärav), mille kaudu on kättesaadav teabevaldaja tegevusvaldkonda ja üldkasutatavaid teenuseid puudutav avalikkusele suunatud teave ja läbi isikustatud teabe kuvamise süsteemi lõppkasutaja isikustatud teave. Teabevärava kaudu võimaldatakse lisaks juurdepääs elektroonilisele üldkasutatavale otsestele avalikele teenusele, taaskasutatavale teabele ja neid toetavatele tugiteenustele.“ Milliseid isikuandmeid isikule näidatakse? Kas vaid neid isikuandmeid, mis on seotud minigi haldusmenetlusega? Kas Rakendusakti § 23 lõike 1 punktis 1 on mõeldud vaid § 27 lõikes 1 nimetatud andmeid? Või mis on need rakendusakti § 23 lõike 1 punktis 1 nimetatud tema kohta käivad andmed? Ehk siis küsimus, milliseid andmeid isik Eesti teabeväravas näha saab? Politsei- ja Piirivalveameti märkused: Avaliku teabe seaduse § 321 lõike 2 (eelnõu § 1 punkt 1) kohaselt Eesti teabevärava vastutav töötleja on Riigi Infosüsteemiamet (RIA), kes haldab ja arendab teabeväravat. Samas sätestab lõige 3, et Eesti teabevärava haldaja tagab koostöös teabevaldajaga käesoleva paragrahvi lõikes 1 nimetatud teabe kuvamise ja teenusele juurdepääsu teabeväravas. Lugedes eeltoodud sätteid ja seletuskirjas toodud lauset ...//Oluline on ka määrata, kas RIA on isikuandmete vastutav või volitatud töötleja.// jääb ebaselgeks, millal RIA on vastutava töötleja rollis ning millal volitatud töötleja rollis ning kas selle rollijaotusega on silmas peetud vastavat rollijaotust ka isikuandmete osas, mille kuvamist RIA vahendab. Meie hinnangul võib RIA olla ka kaasvastutava töötleja rollis, võttes arvesse, et läbi nende pakutava ning hallatava tehnilise lahenduse töödeldakse isikuandmeid. Kui lähtuda kahe iseseisva vastutava töötleja lahendusest, siis peaks olema väga täpselt sätestatud, milliseid ülesandeid RIA vastutava töötlejana täidab. Lähtudes IKÜM art 4 toodud mõiste „isikuandmed“ definitsioonist, on isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku (ehk andmesubjekti) kohta. Eeltoodule tuginedes tuleks ümber sõnastada seletuskirjas toodud lause: …// Isikustatud teabe all tuleb mõista igasugust teavet, mis käib konkreetse isiku kohta ja võib sisaldab ka isikuandmeid.//. Kui teavet saab defineerida kui isikustatud teavet, siis ta juba sisaldab isikuandmeid, mille kaudu on võimalik isikut tuvastada. Rakendusakti kavandi §-des 23 ja 27 kasutatakse mõisteid „nõusolek“ ja „tahteavaldus“. Ebaselgeks jääb, milline sisuline erinevus on nõusoleku ja tahteavalduse vahel. Kui tegemist on erinevate mõistetega, tuleb mõlemad defineerida. IKÜM art 4 defineerib mõiste „andmesubjekti „nõusolek“ IKÜMi vaates. Lisaks ei ole üheselt selge, kas nõusolek ja/või tahteavaldus antakse teabeväravale või andmeandjale (ehk varasemale vastutavale töötlejale). Rakendusakti § 23 lõikes 2 kasutatakse andmete säilitamise tähtaja määramisel sõna „kuni“. Isikuandmete puhul peab andmete säilitamise tähtaja määrama konkreetsemalt. Lisaks jääb ebaselgeks, millest tulenevad esitatud tähtajad ning kuidas toimub vahepealne andmete säilitamine ja sellele järgnev hävitamine. Rakendusakti § 25 peaks reguleerima andmeandja õigusi ja kohustusi. Säte reguleerib aga ainult liitumiskokkuleppe sõlmimist andmeandja ning vastutava töötleja vahel. Hetkel planeeritud sõnastuse järgi on võimalik sätestada vaid poolte kohustused ning teenustaseme tehnilised tingimused. Seega jääb ebaselgeks, milliseid õigusi ja kohustusi on täpselt silmas peetud. Ettepanek – sõnastada § 25 lõike 1 teine lause nt järgmiselt: „Liitumiskokkuleppes määratakse teenustaseme tehnilised tingimused ning poolte õigused ja kohustused.“. See annab võimaluse pooltel vajadusel ka täiendavates õigustes kokku leppida. Rakendusakti §-s 29, milles reguleeritakse isikuandmete logimist, tuleb kindlaks määrata ka logide säilitamise tähtaeg. Logide säilitamine on reguleeritud ka kehtiva määruse § 21 lõikes 5, mille kohaselt logisid säilitatakse kuni viis aastat andmete muutmise hetkest arvates. Ehk siis, ühtne arusaadav logide säilitamise tähtaeg puudub ka kehtivas määruses. Parimate soovidega Annika Nõmmik Aydin õigusnõunik Siseministeerium [email protected] <mailto:[email protected]> +372 612 5184 <https://www.siseministeerium.ee/> <http://www.facebook.com/siseministeerium> <https://open.spotify.com/show/1LO39xEFNzMh1Hd5ExumMi?si=9c67417b19184c53> From: Annika Nõmmik Aydin Sent: Wednesday, July 31, 2024 11:52 AM To: '[email protected]' <[email protected] <mailto:[email protected]> >; '[email protected]' <[email protected] <mailto:[email protected]> > Cc: Mairis Kungla <[email protected] <mailto:[email protected]> >; Enel Pungas <[email protected] <mailto:[email protected]> >; Katrin Jõesalu <[email protected] <mailto:[email protected]> >; Katrin Lehtpuu <[email protected] <mailto:[email protected]> >; Karin Saan <[email protected] <mailto:[email protected]> >; Kertu Nurmsalu <[email protected] <mailto:[email protected]> > Subject: Avaliku teabe seaduse § 32 1 muutmise seaduse eelnõu Tere Saadan mitteametlikult mõned tähelepanekud avaliku teabe seaduse § 32 1 muutmise seaduse eelnõu kohta teile meilile. Kuna osa inimesi on meie osakonnast veel puhkusel, siis ei saa ma päris kindlat lubada, aga praegu tundub, et ametlikku kirja meilt ei tule ja saadame mõned tähelepanekud lihtsalt meiliga. Aga kui midagi muutub, siis annan kindlasti eraldi sellest teada kooskõlastamistähtaja jooksul. Panime tähele, et seletuskirjas, näiteks punktides 2.1.1; 2.1.2. ja 6 on kasutatud nii sõnu „kodanik“, „inimene,“ kui ka „füüsiline isik.“ Kui teenustele ligipääs ei ole seotud kodakondsusega, siis võiks läbivalt kasutada ühte ja sama mõistet, et ei tekiks küsimust, kas nendes punktides on mingi erisus. Rakendusakti kavandi § 25 lõike 2 kohta on meil ka tähelepanek. Selle sätte kohaselt kohandab andmeandja vastutav töötleja oma infosüsteemi tööks isikustatud teabe kuvamise süsteemi keskkonnas. Selle sätte juures on oluline, et selle sätte mõte peaks olema selgemalt väljendatud ja selgitatud, eelkõige mida see punkt andmeandjale tähendab. Sellele peaks hiljem määruse kehtestamisel tähelepanu pöörama nii sätte enda sõnastuses kui ka määruse seletuskirjas. Parimate soovidega Annika Nõmmik Aydin õigusnõunik Siseministeerium [email protected] <mailto:[email protected]> +372 612 5184 <https://www.siseministeerium.ee/> <http://www.facebook.com/siseministeerium> <https://open.spotify.com/show/1LO39xEFNzMh1Hd5ExumMi?si=9c67417b19184c53>