Märgukiri

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Kaitseministeerium Kaitsevägi Kaitseliit 01.04.2021 nr 1.2.-1/21/1309 Riigisaladusele juurdepääsuloa taotlemiseks vajalike ankeetide töötlemine Andmekaitse Inspektsioon (AKI) on kujundanud seisukoha isikuandmete kaitse asjas nr 2.1.- 6/20/15 taustakontrollide läbiviimise korralduse kohta. Sellest tulenevalt oleme menetluste käigus toonud paralleeli riigisaladuse juurdepääsuloa taotlemiseks vajaliku ankeedi täitmisega ja selle edastamisega tööandjale. Praeguseks on selge, et eriliigiliste isikuandmete töötlemine ei ole kooskõlas isikuandmete kaitset reguleerivate õigusaktidega ja seniseid protsesse peab muutma. AKI vastas 2021. veebruaris Politsei- ja Piirivalveameti järelepärimisele, milles paluti selgitada inspektsiooni seisukohta riigisaladuse ja salastatud välisteabe kaitse korra (RSVKK) § 23 punkti 5 tõlgendamisel. Edastame antud selgitused ka laiemale ringile. Praeguseni on ankeetide töötlemise õigusliku alusena viidatud eelkõige riigisaladuse ja salastatud välisteabe seaduse (RSVS) § 31 lõikele 1 ja RSVKK § 23 punktile 5. RSVS § 31 lõike 1 kohaselt peab isik juurdepääsuloa saamiseks või selle kehtivuse pikendamiseks esitama taotluse enda suhtes julgeolekukontrolli teostamiseks pädevale asutusele juurdepääsuloa toetaja kaudu. RSVKK § 23 punkt 5 sätestab, et riigisaladuse kaitset korraldav isik või struktuuriüksus kontrollib nõusolekute, kinnituste, juurdepääsuloa ja töötlemisloa ning nende kehtivuse pikendamise taotluste ning juurdepääsuloa ja töötlemisloa taotleja ankeedi vormilistele nõuetele vastavust enne edastamist. On leitud, et tööandja tegevus ei saa piirduda üksnes ankeedi edastamisega julgeolekukontrolli teostajale, vaid tööandja peab lisaks kontrollima dokumentide vastavust vormilistele nõuetele. Andmekaitse Inspektsioon selgitab, et eelpool kirjeldatud lähenemine on vastuolus andmekaitseliste põhimõtetega. Tegelikkuses tuleb tööandjal üksnes kontrollida krüpteeritud failide konteineri või suletud ümbriku olemasolu. Andmekaitse Inspektsioonil on teadmine, et samale asjaolule on Kaitsepolitseiamet varasemalt osapoolte tähelepanu juhtinud. Samuti on õiguskantsler oma 19.12.2018 kirjas nr 14-5/182636/1805545 jõudnud seisukohale, et kontrollitaval peab olema võimalus edastada ankeet ise otse isiklikult julgeolekukontrolli teostajale, kas krüpteeritult või muul viisil. Tuleb tunnistada, et julgeolekukontrolli regulatsioon sellist võimalust praegu ette ei näe, kuid AKI nõustub õiguskantsleriga, sest andmekaitse seisukohalt on see üks ja ainuõige viis. Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 AKI on seisukohal, et viidet sellele, et tööandjal on kohustus kontrollida ankeedi vormilistele nõuetele vastavust, tuleb tõlgendada kooskõlas isikuandmete kaitse üldmääruse (IKÜM) ja isikuandmete kaitse seadusest (IKS) tulenevate põhimõtetega. Üheks selliseks põhimõtteks on minimaalsus, mille kohaselt tuleb andmeid koguda nii vähe kui võimalik soovitud eesmärgi saavutamiseks. Riigisaladuse juurdepääsuloa andmise otsustab Kaitsepolitseiamet või Välisluureamet ja AKI hinnangul ei tohi asutuses või ettevõttes riigisaladust korraldav üksus või isik tutvuda ankeedis olevate eriliigiliste isikuandmetega. Tuleb tõdeda, et RSVKK § 23 punkt 5 on sõnastatud kehvasti ja vormilistele nõuetele vastavuse kontroll võiks justkui sisaldada ka ankeedi sisu kontrollimist. Siiski, kui tõlgendada seda sätet IKÜM-ist ja IKS-ist lähtuvalt, siis peab vormilistele nõuetele vastavuse kontroll piirnema kõigest failide olemasolu kontrolliga. Ankeedis tuleb esitada mh väga isiklikke ja tundliku iseloomuga andmeid, nt alkoholi ja narkootikumide tarvitamine (ka ühekordne proovimine), psühholoogi ja psühhiaatri poole pöördumised, hasartmängude mängimine jne. Isikuandmete ankeet sisaldab seega selgelt eriliiki andmeid, mille töötlemine on rangemalt reguleeritud. Mh võib eriliiki andmeteks kvalifitseeruda ka andmed endiste ja praeguste elukaaslaste kohta, millest saab teha järeldusi seksuaalse sättumuse kohta. Sellest tulenevalt töödeldakse olemuselt väga isiklikke ning sügavalt eraellu tungivaid, IKÜM-i mõistes eriliigilisi isikuandmeid. Seega tuleb eriti rangelt võtta arvesse IKÜM-ist ja IKS-ist tulenevaid isikuandmete töötlemise põhimõtteid. Puuduste tuvastamiseks ei ole vaja tööandja struktuuriüksusel ankeedis olevate andmetega tutvuda, nendele puudustele saab osundada julgeolekukontrolli teostav asutus ise. Olukorras, kus ankeedis on puudused, saab menetlusökonoomikast ning minimaalsuse põhimõttest tulenevalt julgeolekukontrolli teostav asutus isikuga otse suhelda. See on kiirem ja koormab osapooli vähem. Veelgi enam – haldusõiguslik suhe tekib taotleja ja julgeolekukontrolli teostava asutuse vahel, mitte julgeolekukontrolli teostava asutuse ja tööandja vahel, sest luba väljastatakse isikule, mitte asutusele või ettevõttele. Julgeolekukontrollidele eelnev andmetöötlus Vähemoluline ei ole ka ankeetide esitamise vajaduse hindamine üleüldises mõttes. Riigisaladuse ja salastatud välisteabe kaitse tagamise üks meetmetest on riigisaladusele juurdepääsu andmise korra järgimine. Vastavalt RSVS § 28 on konfidentsiaalse, salajase või täiesti salajase taseme riigisaladusele juurdepääsu õigus vastava taseme riigisaladusele juurdepääsu luba omaval isikul. Juurdepääsuloa omamiseks peab isik reeglina läbima julgeolekukontrolli. Julgeolekukontrolli teostamisel ja isikuandmete töötlemisel, sealhulgas andmesubjekti õiguste piiramisel, lähtutakse julgeolekuasutuse seaduses ja haldusmenetluse seaduses (HMS) sätestatust, arvestades RSVS erisusi (RSVS § 2 lõige 2 ja § 49). Julgeolekukontrolliga kaasneb isiku põhiõiguste riive, mida on põhjendamatu nõuda inimeselt, kelle tööülesanded ei eelda kokkupuudet riigisaladusega. Sellest tulenevalt on taotleva asutuse vastutus hinnata isiku puhul riigisaladuse või salastatud välisteabe juurdepääsuvajadust ja julgeolekukontrolliga kaasnevat isiku põhiõiguste riive põhjendatust. Rõhutame, et isikuandmete töötlemine peab alati olema proportsionaalne ja eesmärgipärane. AKI nõustub 2019. novembris siseministri saadetud märgukirjadega (riigisaladusele juurdepääsulubade taotlemisest) teistele ministeeriumitele, milles paluti järgida suuremat hoolsuskohustust juurdepääsulubade taotlemisel ning kehtivate juurdepääsulubade tähtaja pikendamisel. 2 (3) Juhime tähelepanu, et AKI pädevuses on kontrollida isikuandmete töötlemise vastavust kehtivale õigusele ka kõnealuses valdkonnas. Kokkuvõtvalt soovib Andmekaitse Inspektsioon osundada tähelepanu ja palub juhinduda järgmisest: 1. Riigisaladuse töötlemiseks juurdepääsu loa taotlemisel tuleb tööandjal juhtida töötaja tähelepanu sellele, et töötaja esitaks oma ankeedi tööandjale krüpteeritult või kinnises ümbrikus julgeolekukontrolli teostavale asutusele edastamiseks. Tööandja ise seal sisalduvaid andmeid töödelda ei tohi. 2. Asutuste ja ettevõtete tegevus juurdepääsulubade taotlemisel ja dokumentide edastamisel peab lähtuma isikuandmete kaitse põhimõtetest. Taotlused peavad olema eesmärgistatud ja põhjendatud. Kui isikul puudub juurdepääsuvajadus, siis ei ole põhjendatud nii tööandja või toetava asutuse kui ka julgeolekukontrolli teostava asutuse poolne isikuandmete töötlemine. Lugupidamisega /allkirjastatud digitaalselt/ Pille Lehis peadirektor Sama: Kaitseressursside Amet, Välisluureamet, Kalevi jalaväepataljon, 1. jalaväebrigaad, Scoutspataljon, Merevägi, 2. jalaväebrigaad, Kuperjanovi jalaväepataljon, Õhuvägi, Küberväejuhatus, Toetuse väejuhatus, Sõjaväepolitsei, Vahipataljon, Välisministeerium, Siseministeerium, Justiitsministeerium, Majandus- ja Kommunikatsiooniministeerium, Rahandusministeerium, Kaitsepolitseiamet, Politsei- ja Piirivalveamet, Päästeamet, Riigi Infosüsteemi Amet, Registrite ja Infosüsteemide Keskus, Maksu- ja Tolliamet, Siseministeeriumi infotehnoloogia- ja arenduskeskus, Kaitseväe Akadeemia, Riigikohus, Riigikogu Kantselei, Riigikontroll, Eesti Pank, Finantsinspektsioon, Õiguskantsleri Kantselei, Tallinna Halduskohus, Tallinna Ringkonnakohus, Riigikaitsekomisjon 3 (3)