Vastus

Lp Piret Hartman Teie: 16.09.2022 nr 1-11/1618-1 Kultuuriministeerium [email protected] Meie: 04.10.2022 nr 1.2.-4/22/2227 Arvamuse avaldamine muinsuskaitseseaduse, halduskoostöö seaduse ja muuseumiseaduse muutmise seaduse eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks muinsuskaitseseaduse, halduskoostöö seaduse ja muuseumiseaduse muutmise seaduse eelnõu. Esmalt vabandust, et meie arvamus on pisut hiljaks jäänud. Loodame, et saate sellega siiski arvestada. I. Muinsuskaitseseaduse, halduskoostöö seaduse ja muuseumiseaduse muutmise seaduse eelnõu osas on inspektsioonil mõned märkused: 1. Eelnõu § 1 järgi muudetakse muinsuskaitseseadust (MuKS) ning täiendatakse sättega, millega asutatakse Rahvakultuuri andmekogu (MuKS § 791). Nimetatud paragrahvi lõikes 2 on sätestatud andmekogu eesmärk, milleks on rahvakultuuri korraldamise ja juhtimise ning rahvakultuuri tegevustes osalemise tõhustamine, laulu- ja tantsupeo korraldamine ning andmete kasutamine toetuste eraldamisel. Samas aga sätestab lõige 3, et andmekogus töödeldavaid andmeid kasutatakse rahvakultuuri ning laulu- ja tantsupeoga seotud riikliku statistika tegemiseks ja kultuuripoliitika kujundamiseks. Selgusetuks jääb, milline on andmekogusse kogutavate andmete tegelik töötlemise eesmärk. Samas on hädavajalik, et seaduses sätestatud volitusnorm annaks konkreetse vastuse küsimusele, millisel eesmärgil, milliste ülesannete täitmiseks andmekogu luuakse. Ilma selleta on raskendatud kontroll andmekogu pidamise õiguspärasuse ja isikuandmete töötlemise ulatuse üle. 2. Seoses andmete säilitamisega peab Andmekaitse Inspektsioon jätkuvalt vajalikuks toonitada, et isikuandmete kogumine ja säilitamine kui eraelupuutumatuse riive peaks põhiseaduse § 26 sõnastusest ja olulisuse põhimõttest tulenevalt olema reguleeritud seaduse tasemel, mitte jäetud reguleerida määruse tasemel. Ideaalis peaks volitusnorm ette nägema vähemalt säilitamise maksimaalse aja (mis ei saa sealjuures kindlasti olla tähtajatu). Praeguse eelnõu puhul on andmekogusse kantavate andmete säilitamise tähtaeg jäetud reguleerida andmekogu põhimääruses ehk valitsuse tasandile. II. Eelnõule lisatud Rahvakultuuri andmekogu põhimääruse kavandi (lisa 5) osas on inspektsioonil alljärgnevad märkused ja ettepanekud: 3. Andmekogu põhimääruse kavandi § 6 järgi on Rahvakultuuri andmekogul kaks alamandmekogu – rahvakultuuri alamandmekogu (RAKU) ning laulu- ja tantsupeo planeerimise ja korraldamisega seotud alamandmekogu (ELTSA register), millest Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  viimases töödeldakse andmeid laulu- ja tantsupeol osaleda soovivate või osalevate kollektiivide ja osalejate kohta. Põhimääruse kavandi § 3 lõike 3 järgi on Rahvakultuuri andmekogul kaks volitatud töötlejat – Eesti Rahvakultuuri Keskus (ERK) ning Eesti Laulu- ja Tantsupeo Sihtasutus (ELT SA). Andmekogu volitatud töötleja ülesanded on loetletud põhimääruse § 3 lõikes 4. Loetelu järgi volitatud töötleja muu hulgas kontrollib andmekogusse esitatud andmeid ning korraldab parandamise, koordineerib andmevahetust, tagab andmete kandmise andmekogusse jne, kuid põhimäärusest ei ole aru saada, millises ulatuses kumbki volitatud töötleja oma ülesandeid täidab. Eelnõu seletuskirjas on märgitud, et KuM on seisukohal, et haldusülesande andmine ELT SA-le laulu- ja tantsupeo alamandmekogu osas on ainuvõimalik valik, sest sihtasutus oma põhikirja kohaselt korraldab laulu- ja tantsupeol osalevate kollektiivide registreerimise, koostab vastava registri ja peab osalejate kohta arvestust. Seega näib, et eesmärk on siiski volitatud töötlejate ülesandeid piirata vastava alamandmekoguga, kuid põhimääruse kavandi järgi see nii ei ole. Volitatud töötleja ülesanded on põhimääruse kavandis loetletud selliselt, et ei ole aru saada, milliste andmete kandmise volitatud töötleja tagab, kellele juurdepääsuõiguste andmist korraldab, milliste andmete õigsust kontrollib jne. Soovitame põhimääruses konkreetselt sätestada mõlema volitatud töötleja ülesanded eraldi. 4. Põhimääruse kavandi § 4 järgi on andmekogusse kantud andmetel informatiivne ja statistiline tähendus. Kuigi AvTS seda nõuab, on sellised sätted sisutühjad. Ilmselgelt asutus lähtub oma töös andmekogusse kantud andmetest, vastasel juhul oleks andmekogu pidamine mõttetu. Seetõttu on kohatu märkida, et andmetel on vaid statistiline ja informatiivne tähendus. Eristama peab vaid neid juhte, kus andmekogu andmetel on kolmandate isikute (s.t asutuseväliste) suhtes konstitutiivne tähendus. Nii on see näiteks kinnistusraamatu ja äriregistri osade kannete puhul. 5. Põhimääruse kavandi 2. peatükk sätestab andmekogu pidamise viisid, koosseisu ja ülesande. Kavandi §-d 7 ja 8 loetlevad kahe alamandmekogu asutamise ja kasutusele võtmise eesmärgid, mis tegelikult on põhimääruse §-is 2 toodud Rahvakultuuri andmekogu eesmärkides juba sõnastatud. Selline teksti kordamine jätab mulje nagu ei oleks need kaks alamandmekogu mitte Rahvakultuuri andmekogu üheks osaks, vaid tegemist oleks eraldiseisvate andmekogudega, millel on oma eesmärk ning mida soovitakse Rahvakultuuri andmekogu põhimäärusega asutada. Andmekogude kontekstis on inspektsiooni eesmärk alati püüelda selle poole, et andmekogu reguleerivaid sätteid lugedes oleks lihtsalt, kiirelt ja üheselt võimalik aru saada, miks mingeid andmeid kogutakse, kuhu neid kogutakse, milliseid andmeid kogutakse ja kellega neid jagatakse. Kuna Rahvakultuuri andmekogu eesmärgid on juba põhimääruse §-is 2 sõnastatud, siis tekitab nende ülekordamine §-ides 7 ja 8 õigusaktiga tutvujas ainult segadust. Küll aga soovitame §-is 2 toodud andmekogu eesmärke täiendada §-ides 7 ja 8 loetletud ülesannetega, mis annaks kokkuvõttes selgema vastuse küsimusele, millisel eesmärgil ja milliste ülesannete täitmiseks Rahvakultuuri andmekogu, sh selle kaks alamandmekogu luuakse. 6. Kavandi § 9 sätestab andmekogusse kantava andmekoosseisu. Andmete koosseis alamandmekogude kaupa on loetletud lisas 1. Samas on põhimääruse § 6 lõike 3 järgi Rahvakultuuri andmekogul alusandmed ja kaks alamandmekogu. Lisas 1 on loetletud mõlema alamandmekogu andmekoosseis, kuid põhimäärusest ei ole aru saada, milliseid andmeid sisaldab alusandmete osa. 2 (4)  7. Põhimääruse kavandi § 12 lõige 1 sätestab, et volitatud töötlejal on õigus teha andmekogusse kantavate andmete saamiseks ja kontrollimiseks päringuid ning saada andmeid eelkõige järgmistest andmekogudest /…/. Tegemist on sisutühja normiga. Õigus teistelt isikutelt ja asutustelt andmeid saada ei saa tuleneda andmekogu põhimäärusest, vaid seaduse menetlusnormidest, mis asutuse tegevusele kohalduvad. Küll aga tuleb loetleda põhimääruses andmeallikad ehk millistest andmekogudest või kelle käest (millistelt andmeandjatelt) andmeid saadakse ning milliseid andmeid. Selline loetelu on kavandis ka olemas, kuid § 12 lõike 1 punktis 5 ei ole loetletud andmekoosseisu, mida Kultuuriministeeriumi toetuste menetlemise süsteemist (TMS) Rahvakultuuri andmekogusse kantakse. 8. Põhimääruse kavandi § 14 lõike 1 järgi kontrollib volitatud töötleja vähemalt korra aastas andmete õigsust. Sellest sättest võib välja lugeda, et näiteks ELT SA võib kontrollida rahvakultuuri alamandmekogusse ehk RAKU andmekogusse kantud andmete õigsust ja ERK võib kontrollida ELTSA registrisse kantud andmeid. Küsitav on, kuivõrd selline andmete kontrollimine tagab andmekogus olevate andmete õigsuse. Nagu juba punktis 3 märkisime, siis tuleks põhimääruses määrata kindlaks, millises ulatuse kumbki volitatud töötleja andmekogus toiminguid teeb. 9. Põhimääruse kavandi § 15 reguleerib andmekogu andmete säilitamist ja arhiveerimist. Nimetatud paragrahvi lõike 1 järgi lähtutakse andmete säilitamisel arhiiviseadusest, selle alusel antud õigusaktidest, andmekogu põhimäärusest ja volitatud töötleja kehtestatud arhiveerimiskorrast. Märgime, et arhiiviseadusele viitamine on sisutu, kuna arhiiviseadus ei anna tähtaegu. Andmete säilitamistähtajad tuleb ise selgelt kindlaks määrata, lähtudes andmete kasutamise eesmärgist. Samuti ei taga viide asjaajamises kehtestatud säilitamistähtaegadele seda, et andmekogus tõepoolest ka järgitakse neid tähtaegu, lisaks võib tähtaegades orienteerumine olla andmekogu pidajale endale keeruline, rääkimata avalikkusest. Seetõttu oleks õige andmekogus olevate andmete säilitamise konkreetsed tähtajad reguleerida põhimääruses. Näiteks ei anna lõikes 3 toodud lause „pärast seda andmed kustutatakse“ andmesubjektile selget ülevaadet ega arusaama sellest, kui kaua tema andmeid säilitatakse. Seega tuleks täpsustada kes, millise aja jooksul ning kuidas isiku kohta (kes ei ole enam tegev kollektiivi koosseisus) kogutud isikuandmed kustutab. 10. Põhimääruse § 15 lõike 4 järgi toimunud laulu- ja tantsupidude andmed anonüümitakse. Kuna põhimäärusel puudub seletuskiri, kust oleks võimalik saada rohkem teavet anonüümimise protsessi kohta, siis ei ole võimalik ka hinnata, kas säilitamisele kuuluvate andmete puhul on tegemist anonüümsete andmetega või on tegemist andmete pseudonüümimisega. Märgime, et andmed on anonüümsed üksnes siis, kui need on muudetud anonüümseks sellisel viisil, et üksikisikut kas ei ole või ei ole enam võimalik tuvastada. Anonüümseks muutmine peab olema pöördumatu, et andmed oleksid tõeliselt anonüümsed. III. Eelnõule lisatud Muuseumide andmekogu põhimääruse kavandi (lisa 3) osas on inspektsioonil alljärgnevad märkused: 11. Muuseumide andmekogu põhimääruse eelnõu § 8 lõige 3 sätestab, et infosüsteemi andmeid säilitatakse alaliselt, samas kui lõike 4 järgi säilitatakse alusdokumente 10 aastat pärast museaali ja hoiulevõetud asja tagamist. Kooskõlastamiseks esitatud dokumentidest ei nähtu, milline on andmekogus andmete alatise säilitamise põhjendus. Siinjuures aga märgime, et IKÜM artikli 5 lõike 1 punktist e tulenevalt ei tohi ükski 3 (4)  isikuandmete hulk olla igavene. Isikuandmete säilitamiseks peab olema konkreetne põhjus ning kui andmete töötlemise eesmärk on saavutatud ja kui ei ole muid seadusest tulenevaid õigustusi, miks andmeid säilitada, siis tuleb andmed hävitada. See tähendab, et isikuandmed on alati kindla säilitustähtajaga. IV. Ülejäänud rakendusaktide kavandite osas Andmekatse Inspektsioonil muudatusettepanekud ja märkused puuduvad. Lugupidamisega (allkirjastatud digitaalselt) Kadri Levand jurist peadirektori ülesannetes Koostaja: Terje Enula [email protected], telefon: 627 4144 4 (4)