ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Majandus- ja Teie 05.07.2024 nr
Kommunikatsiooniministeerium
[email protected] Meie 26.07.2024 nr 2.3-4/24/1782-3
Arvamuse avaldamine eelnõule
Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks avaliku teabe
seaduse § 32¹ ja muutmise eelnõu.
1. AKI-l on eelnõuga seonduvalt järgmised tähelepanekud.
1.1.Eelnõu § 1 p 2 märgitud AvTS § 32¹ lg 5 sõnastus „Vabariigi Valitsus võib määrusega
kehtestada Eesti teabevärava ja selles nii isikustatud kui isikustamata teabe ja teenuste
kättesaadavaks tegemise, arendamise, haldamise, kasutamise, isikuandmete töötlemise
ning andmekogu teabeväravaga liidestamise nõuded ja korra.“ ei sobi, kuna see jätab
seadusandjale kaalutlusruumi selle suhtes, kas üldse sätestatakse täiendav regulatsioon
Eesti teabevärava kaudu isikuandmete töötlemise reeglite ja põhimõtete osas või mitte.
Seaduses sätestatud volitusnorm peab olema selge ja konkreetne, seega AKI soovitab
loobuda sõna „võib“ kasutusest ning määrata konkreetselt Vabariigi Valitsuse
kohustuse kehtestada määrusega Eesti teabevärava kasutamise nõuded ja korra.
1.2.Eelnõu seletuskirjas on keskendutud suuresti analüüsile, kas Eesti teabevärava puhul
on tegemist infosüsteemi või andmekoguga. AKI nõustub seletuskirjas toodud
argumentidega ning sellega, et tegu on infosüsteemiga. Kuid seletuskirjas jäid muud
olulised asjad seletamata.
1.3.Arusaamatuks jääb näiteks see, kas Eesti teabevärava teenuse kasutamiseks antav
nõusoleku all peetakse silmas IKÜM art 6 lg-s 1 mõeldud nõusolekut. Inimene küll
avaldab nõustumust (tahteavaldus), et oma isikuandmed töölauale saada või
sündmusteenust kasutada. Kuid AKI hinnangul ei ole siiski antud juhul tegu
klassikalise andmekaitselise nõusolekuga. Ühtlasi ei ole eelnõust, rakendusaktist ega
seletuskirjast ühiselt selge, kellele ja kuidas peaks inimene nõusolekut andma, kas Eesti
teabeväravale või andmeandjale.
1.4.Eelnõu seletuskirjas AvTS § 32¹ lg 1 kommentaari juures väidetakse, et isikustatud
teavet saab teabeväravas kättesaadavaks teha juhul, kui sellise võimaluse sätestab
eriseadus või füüsilise isiku nõusolekul, kui pakutakse mugavusteenust. Arusaamatuks
jääb siinjuures see, millise isikustatud teave kättesaadavus on ettenähtud eriseadusega,
eriti arvestades, et rakendusakti § 23 lg näeb ette isikustatud teabe kuvamist süsteemis
ainult isiku tahteavalduse või nõusoleku alusel.
1.5.Seletuskirjas on täiesti jäetud käsitlemata rakendusakti muudatused, millised on aga
suuresti seotud isikuandmete töötlemisega. Puhtalt rakendusakti kavandi alusel ei ole
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee / registrikood 70004235
võimalik hinnata, kas Eesti teabeväravas töödeldavate isikuandmete töötlemisel on
järgitud isikuandmete kaitse põhimõtted, näiteks, kas isikuandmete säilitamise tähtajad
on põhjendatud, kuna seletus valitud tähtaegade pikkuse vajalikkuse osas puudub.
2. Rakendusakti kavandiga seonduvalt on AKI-l järgmised tähelepanekud.
2.1.Rakendusakti kavandi § 23 lg 1 mõlema punkti teavet kuvatakse Eesti teabeväravas,
seega oleks AKI hinnangul mõistlikum tõsta fraasi „Eesti teabeväravas“ teisest punktist
lõike 1 põhilausesse nt järgmiselt: „Isikustatud teabe kuvamise süsteem võimaldab
näidata Eesti teabeväravas füüsilisele isikule: /…/“. Muidu tekib ekslik mulje, justkui
kuvatakse Eesti teabeväravas ainult punktis 2 nimetatud andmed.
2.2.AKI leiab, et nii isikustatud teave (rakendusakti kavandi § 23 lg 1 p 1) kui isiku
sündmusteenuste kohta käiva teave (rakendusakti kavandi § 23 lg 1 p 2) Eesti
teabeväravas kuvamise aluseks on isiku tahteavaldus. Nii seletuskirjas kui rakendusakti
kavandi tekstist tulenevalt on võimatu aru saada, milles seisneb sisuline erinevus
tahteavalduse ja nõusoleku vahel. Ühtlasi, nagu on juba eespool mainitud, jääb
arusaamatuks, kas nõusoleku puhul on tegemist andmekaitsealase nõusolekuga, mille
jaoks on IKÜM-is ettenähtud konkreetsed põhimõtted ja reeglid.
2.3.Rakendusakti kavandi § 23 lg 2 iga punkti sõnastuses säilitustähtaja määramisel
kasutatud sõna „kuni“ ei sobi, kuna isikuandmete puhul peab säilitustähtaeg olema
sätestatud üheselt arusaadavalt ning seletuskiri peab sisaldama põhjendused selle
pikkuse kohta. Lisaks jääb ebaselgeks, mis andmed on „isikustatud teabe kuvamisega
seotud andmeid“, st kas tegemist on rakendusakti kavandi §-s 27 nimetatud andmetega
või nende kuvamisega seotud andmetega (viimase puhul jääb arusaamatuks millised
need andmed võiksid olla). Kui siiski tegemist on §-s 27 nimetatud andmetega, siis
peaks § 23 lg 2 sõnastuse muutma selgemaks.
2.4.Mõisted kehtivas määruses ja muudatustes ei lähe kokku. Määruses kasutatakse
termineid, mis tegelikult tähendavad üht aja sama isikut (nt teabevaldaja, andmeandja,
teenusepakkuja). Seletamata on andmesaaja mõiste. Kui andmesaaja puhul on tegemist
isikuga, kelle andmed kuvatakse süsteemis, siis arusaamatuks jääb, kuidas tema saab
rakendusakti kavandi §-s 26 ettenähtud õigust kasutada ehk esitada haldajale avalduse
isikustatud teabe kuvamise süsteemi kasutamise lõpetamiseks.
2.5. Rakendusakti kavandi § 26 reguleerib sama asja, ehk Eesti teabevärava süsteemi
kasutamise lõppemist, mida on juba reguleeritud kehtiva määruse §-ga 17.
2.6.Lisaks ülaltoodule jääb rakendusakti kavandi §-i 26 kohaselt arusaamatuks, kas
süsteemi kasutamine lõppeb kohe avalduse esitamisest või avalduse läbi vaatamine
võtab omajagu aega. Sätet võiks selgemini sõnastada.
2.7.Rakendusakti kavandi § 27 lg 2 on sisutühi, kuna dubleerib § 3 lg-t 1, millega tekitab
ebaselgust.
2.8. Rakendusakti kavandi § 28 (haldaja ülesanded) on sisuliselt haldaja kohustused, mis
on juba reguleeritud kehtiva määruse § 3 lg-s 3. Loogiline oleks paigutada haldaja
õigusi ja kohustusi puutuava regulatsiooni ühte paragrahvisse, sh vaadata üle, et
muudatused ei oleks juba olemasoleva regulatsiooniga vastuolus ega dubleeriks
teineteist.
2.9.Rakendusakti kavandi § 29 reguleerib isikuandmete logimist, seega peab ka logide
säilitamise tähtaega määrusega kindlaks määrama, mis on hetkel tegemata. Andmete
säilitamine ja logimine on reguleeritud kehtiva määruse §-s 21, mille lg 5 kohaselt
logisid säilitatakse kuni viis aastat andmete muutmise hetkest arvates. Ehk juttu on
2 (3)
ainult muudatustest, reguleerimata on logide säilitamine nende tekkimisest, sh ei sobi
isikuandmete säilitamise puhul ebamäärane säilitustähtaeg, ehk sõna „kuni“ peaks
isikuandmete säilitamise tähtaja määramisel vältida. Lisaks viitab kehtiva määruse §
21 lg 6 kehtetu määrusele, seega sisuliselt on hetkel logide säilitamise regulatsioon
üldiselt puudulik.
Kokkuvõtvalt on AKI seisukohal, et eelnõu vajaks veel erinevate osapoolte arutelusid enne, kui
sellega edasi liikuda ja palub sellega arvestada. Vajadusel on AKI valmis osapooltega kohtuda, et
anda täiendavad selgitused ülaltoodud tähelepanekute osas ning soovitusi võimalike
muudatusettepanekute osas.
Lugupidamisega
(allkirjastatud digitaalselt)
Andres Kudrjavtsev
jurist
peadirektori ülesannetes
Irina Meldjuk
[email protected]
+372 6274108
3 (3)