Arvamuse avaldamine isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Liisa-Ly Pakosta Teie 10.04.2025 nr 8-3/3312-1 Justiitsministeerium [email protected] Meie 16.05.2025 nr 2.3-4/25/1129-2 Arvamuse avaldamine isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsusele Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsuse (VTK). Inspektsioonil on VTK-ga seonduvalt järgmised tähelepanekud. 1. KOV-ide regulatsioon isikuandmete töötlemisel analüüside ja uuringute teostamise eesmärgil AKI nõustub sellega, et KOV-idel peab olema vastav õiguslik alus uuringute ja analüüside läbiviimise eesmärgil isikuandmete töötlemiseks. Seejuures ei toeta AKI VTK lisas 1 pakutud lahendust, mille kohaselt võrdsustatakse KOV-ide läbiviidavad uuringud nö tavaliste teadusuuringutega. AKI hinnangul peab KOV-idele olema ettenähtud vähemalt samaväärne kontroll, kui teistele poliitikakujundajatele ehk lähtuma peab vähemalt samadest nõuetest, mis on määratud täidesaatva riigivõimu asutuste puhul. VTK lisa 2 näeb ette KOV-idele eraldi õigusliku aluse loomise. KOV-idele erialuse variandi valimisel tuleks ühtlustada KOV-idele ettenähtud regulatsiooni valitsusasutuste taotluste tingimuste hindamisega ehk siis need võiksid olla samad. Nimelt teistes paragrahvides räägitakse ülekaalukast avalikust huvist, KOV-i erialuses lihtsalt avalikust huvist. VTK-s pakutud sätte sõnastus ei sisalda ka andmesubjekti õiguste piirangute regulatsiooni (uuringute puhul ilmselgelt ei ole andmesubjektil võimalik kõiki oma õiguseid kasutada). Valitsusasutuste puhul on selgelt välja toodud, et kui nad teevad uuringuid ühe enda andmekogu piires, siis ei ole vaja AKI kooskõlastust. KOV-idel endal on ka andmekogusid. Ehk oleks mõistlik eelnõus välja tuua, kas KOV-idel on samuti lubatud enda andmekogust isikuandmeid kasutada või peavad nad ka sellisel juhul taotlema hinnangut. Poliitika kujundamise mõiste vajaks täpsustamist. Praktikas on see tekitanud väga mitmeid küsimusi sh näiteks selles, kes võib olla poliitika kujundaja – kas üksnes ministeerium või ka valitsusasutus või ka nt KOV. Lisaks on praktikas juhitud tähelepanu, et poliitika kujundamise uuringuid viivad teatud juhtudel läbi hoopis sihtasutused või mittetulundusühingud (sh riigi osalusega) või muus õiguslikus vormis toimetavad erinevad keskused. Seetõttu palub AKI Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 vähemalt seletuskirjas selles selgus tuua. Eriliiki isikuandmete puhul on oluline regulatsioonis pöörata tähelepanu ka võimalikule vajadusele eetikakomitee hinnangu järele. Lisaks eeltoodule tuleb AKI hinnangul kitsendada KOV-ide uuringu eesmärke, mis peaksid olema piiratud konkreetse KOV-i kohaliku elu küsimustega. KOV-ide erisätte kohaselt annab AKI KOV-idele hinnangu, aga valitsusasutuste puhul kontrollib tingimuste täitmist, mille kohta on VTK-s öeldud, et tegemist on toiminguga. Selgusetu on seega, kas hinnang on samuti toiming või siiski otsus. Selles osas vajab sõnastus (sh terminoloogia) samuti täpsustamist ja ühtlustamist. 2. Eetikakomitee ja AKI kaasamine AKI arvates on mõistlik VTK-s pakutud variant, et kõik teadusuuringud, sh asutuste analüüsid ja uuringud allutatakse TAIKS-i alusel loodava eetikakomitee pädevusse, kes hindab nii uuringu eetilisust kui ka andmekaitse aspekte. See tagab ühtsete põhimõtete rakendamise ja võimaldab valdkonda reguleerida paindlikult. Ühtne uks tagab selguse nii andmesubjektile kui teadusuuringu tegijale. Selle eelduseks on aga see, et eetikakomiteel peaks olema selgesõnaline kohustus hinnata ka andmekaitset puudutavaid aspekte, milleks peab eetikakomitees olema ka vastav pädevus. Kui eetikakomitee kohustus jääb kõikidele täidesaatva võimu ja KOV-ide poolt läbiviidavatele uuringutele, siis AKI roll võiks piirduda teavitamiskohustusega, mh arvestades ka seda, et AKI on eelkõige siiski järelevalveasutus, kelle esmane kohustus on järelevalve isikuandmete töötlemise vastutava töötleja ehk uuringu korraldaja üle. AKI hinnangul võiks sellisel juhul lisada uuringu tegijal lisakohustused: AKS-iga konsulteerimine, mõjuhinnangu tegemise kohustus koos sellega, et on dokumenteeritud ka põhjendus, miks just selline andmekoosseis on eesmärgi täitmiseks vajalik, mõjuhinnangu avaldamine veebilehel vms. Ühtlasi, kui seadusesse jääb sisse sedavõrd lai avaliku huvi eesmärk (vt täpsemalt arvamuse p 5), siis iga uuringu puhul peaks uuringu uuringut ette valmistades siiski nägema ette, milleks täpselt sellist andmetöötlust on vaja. Teisisõnu, juba siis kui tegeletakse uuringu eelanalüüsiga, mõeldaks läbi ja hinnataks enne uuringu alustamist IKÜM artiklis 5 nimetatud eeldusi (eelkõige eesmärgipärasus ja minimaalsus) ja ollakse valmis hiljem seda ka tõendama. Konsulteerimiskohustusega seoses on AKI arvamusel, et sõltumata sellest, kas seaduses on see ette nähtud, on andmetöötlejal alati võimalus IKÜM-ist lähtuvalt AKI-ga konsulteerida, kui mõjuhinnangu tulemusel jäävad üles liiga suured riskid. 3. Uuringud, milles kasutatakse erinevaid õiguslikke aluseid andmete töötlemiseks AKI hinnangul peaks regulatsiooni täiendama uuringu läbiviija kohustusega kirjeldada kogu uuringut (ka neid etappe, mis ei tugine IKS §-le 6 kui õiguslikule alusele), et oleks võimalik andmetöötlusele tervikuna õige hinnang anda, arvestades erinevatel õiguslikel alustel kogutud andmeid ja töötlemise protsesse kogumis. AKI praktikas on olnud olukordi, kus tuli välja, et kooskõlastatud uuringu raames tehakse midagi veel (lisaks sellele, mida AKI-le esitatud taotlusesse kirjutatakse), millega AKI ei osanud arvestada uuringule hinnangu andmisel puuduliku 2 (5) teave tõttu. 4. Erinevate andmekogude andmete ühildamine AKI eelistaks, kui andmed paneks kokku üks kindlaks määratud asutus, eelkõige nn poliitika kujundamise uuringute puhul. Samas kaaluda tuleb ka seda aspekti, et võib olla on veel mõni teine asutus või organisatsioon, kes suudab samuti vastavat keskkonda pakkuda. Seetõttu ei ole ehk mõistlik nimetada seaduses konkreetset asutust. Ühe asutuse kasutamise korral on vastutavateks töötlejateks uuringu läbiviiv riigiasutus ja andmekogu haldav riigiasutus, ning asutus, mis paneb andmed kokku, on volitatud töötleja. IKÜM artikkel 28 näeb ette, et selline andmetöötlus on võimalik ainult töötlejate omavahel siduva lepingu või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, mis on volitatud töötleja suhtes siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Kuna isikuandmeid puudutav osa sellest informatsioonist sisaldub eetikakomiteele esitatud avalduses ja see on läbinud hindamisprotsessi ning andmetöötlus peab toimuma selle alusel, oleks AKI arvates mõistlik seadusega ära reguleerida vastutava ja volitatud töötleja vastavad suhted, et kaks riigiasutust ei peaks sõlmima omavahel vastutava-volitatud töötleja lepingut. Viidatud regulatsioon peab vastama IKÜM artiklis 28 märgitud tingimustele. Arvestades riigi laiemat eesmärki juhtida riiki andmepõhiste otsuste kaudu, siis on selge, et suuremas pildis tähendab see riigi käes olevate andmete kombineerimist, et nende pinnalt saaks otsuseid teha. See tähendaks ka igakordselt andmetöötluslepingute sõlmimist erinevate riigiasutuste vahel, mis ei ole otstarbekas ja ei aita kaasa bürokraatia vähendamise eesmärgile. 5. Üldiselt sätete sõnastusest VTK lisas 1 § 6 lõige 3 näeb ette tingimused, millal on lubatud kasutada isikuandmed isikustatud kujul. Punkti 1 kohaselt on selline uuring lubatud juhul, kui pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada. Seletuskirjas tahaks näha lisaselgitust sellele, mida loetakse ebamõistlikult raskeks. Näiteks, kas uuringu maksumuse suurenemine on põhjuseks, et lubada isikustatud kujul andmete kasutamine? Punkti 2 sõnastus (teadus- või ajaloouuringu või riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi) vajab täpsustamist, kuna uurija enda hinnang on alati subjektiivne, see iseenesest ei saa olla tingimuseks, vaid avalik huvi peab objektiivselt olema ülekaalukas ehk hinnangu peab andma ikkagi uuringut lubav asutus. VTK lisas 1 § 6 lõike 4 sõnastus ei ole selge. Arusaamatuks jääb, mida tähendab „isiku tuvastamist võimaldav“, st kas siin mõeldakse ka pseudonüümitud andmeid. Ehk siis sellise sõnastuse juures tekib vaidluskoht – kas eetikakomiteesse tuleb minna ainult juhul, kui tehakse uuringut isikustatud andmetega või ikka ka pseudonüümitud andmetega. Peame rõhutama, et kui andmekoosseis on siiski selline, et inimese kasvõi kaudne tuvastamine on võimalik, siis peaksid need uuringud eetikakomiteest läbi käima. Täpsustamist vajab ka sama sätte osa, mis räägib asjaomasest eetikakomiteest, täiendades sõnastust täpsustusega „seadusega või seaduse alusel loodud“ asjaomane valdkonna eetikakomitee. Muidu jääb kehtima sama olukord, mis hetkel on kehtiva seaduse sõnastusega, et 3 (5) ükskõik kes võib luua eetikakomitee. VTK lisas 3 § 6¹ lõigete 2, 3 ja 7 sõnastus, mis puudutab eesmärke, on problemaatiline. Esimeses lõikes on räägitud ainult avalikust huvist. Kas see tähendab, et eesmärki sisustatakse ainult läbi avaliku huvi? See tundub liiga lai eesmärk olema. Kui selline sõnastus jääb, siis reaalsuses tekib võimalik vaidluskoht – kui konkreetne eesmärk siis on. Hetkesõnastus annab alust sisustada uuringu eesmärki vaid läbi selle, et esineb avalik huvi. Avalikku huvi mõistet ei ole aga kuskil lahti selgitatud, seda hinnatakse igakordselt. AKI nõustub, et laiem eesmärk võib olla vajalik ja põhjendatud (VTK-s on mainitud, et ei ole otstarbekas asutuste uuringute tegemise õigust siduda üksnes poliitika kujundamisega, asutustel on vajalik analüüse ja uuringuid teha ka muul otstarbel, nt teenuste arendamiseks jne), kuid AKI arvates aga peaks siiski eesmärgi määratlemisel olema lisaks avalikule huvile veel mingi tingimus või kriteerium. Näiteks teadusuuringute puhul on kriteeriumiks ka see, et sellest peab tekkima uus väärtus, tulemus annab sisendit asutuse töö muutmiseks, tõhustamiseks, õigusraamistiku muutmisega vms. Uuring peab olema seotud asutuse valitsemisala või ülesannetega. Samas AKI hinnangul tekib sellise hoomamatu eesmärgi puhul oht, et uuringu varjus hakatakse tegema asutuse ülesannete täitmiseks kogu aeg massandmetöötlust (nt elanikkonna profileerimist) ilma selleks muud õiguslikku alust loomata. Kui ikkagi mõnel asutusel on vaja teha mõnda analüüsi vms iga-aastaselt või mingi perioodi tagant ehk tegemist on selgelt asutuse avaliku ülesandega, siis tuleks see eraldi seadusega reguleerida. IKS § 6 alusel ei tohiks massandmetöötlus toimuda tavapärase ametliku ülesande täitmiseks. VTK lisas 3 § 6¹ lõike 3 osas tekkis AKI-l küsimus, kas selle regulatsiooni alla lähevad nt ka olukorrad, kus teadlased/täidesaatva riigivõimu asutused kasutavad mõnda andmemudelit, mis on Statistikaametis olemas? Meie vaatest võiks riik enda andmetöötluse puhul kasutada riigi andmetöötluskeskkondi (nt Statistikaameti teadlaste keskkond, kuna praktikas on Statistikaametil juba suurel määral andmed olemas ning sellisel juhul ei liigu andmed erinevate andmetöötlejate vahel ning risk, et andmete liikumise teekonnal nendega midagi juhtub, on väike). Palume seletuskirjas seda küsimust laiemalt puudutada. VTK lisas 3 § 6¹ lõige 4 reguleerib isikuandmete kustutamist. AKI arvates on see regulatsioon puudulik. Isikuandmete säilitamise ajaline raam peab olema konkreetsemalt paika pandud ning selgelt kohustav. Uurimistulemuste valideerimine on väga erinev. On olukordi, kui valideerimist üldse ei toimu, kuna see ei ole teatud uuringute puhul kohustuslik. Seega selgusetuks jääb, kas ja millal siis andmed kustutakse. Lisaks sellele jääb ebamääraseks, millal see „pärast“ saabub, nt kas aasta pärast valideerimist, viivitamatult või millal? VTK lisas 3 § 6¹ lõige 7 kitsendab IKÜM artiklis 14 sätestatud avaldatavat teavet, milleks AKI põhjust ei näe. Läbipaistvuse põhimõtte tagamiseks peaks see lõige sisaldama rohkem avaldatavat teavet lähtuvalt IKÜM artiklist 14. VTK lisas 3 § 6¹ lõige 10 reguleerib andmesubjekti õiguste piiramist. Kuivõrd loodava sätte mõte on piirata andmesubjekti õigust saada juurdepääsu enda andmetele IKÜM artikli 23 tähenduses, siis AKI hinnangul on hetkel piirangut kehtestav säte liiga üldine. 4 (5) Isiku õigus tutvuda enda kohta kogutud andmetega tuleneb IKÜM artiklist 151. Seda õigust saab IKÜM artikli 23 kohaselt piirata seadusandliku meetmega, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada IKÜM artikli 23 lõike 1 alapunktides sätestatud eesmärke. IKÜM artikli 23 lõige 2 täpsustab, milliseid sätteid peab viidatud seadusandlik meede sisaldama. IKÜM artikli 23 alusel võetud meetmed peavad olema selged ja täpsed, nagu liidu seadusandja on seda ka määruse põhjenduses 41 rõhutanud, ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata. Sättes ei ole selgelt reguleeritud, kes (vastutav või volitatud töötleja) ja kuidas otsustab, et andmesubjekti õigusi tuleb piirata, kaua see piirang kestab (piirang ei tohi olla igavene – seadusega tuleb sätestada, et kui õiguste piiramise aluseks olev asjaolu langeb ära, siis tuleb isikule tema õigused tagada). Seega tuleks AKI hinnangul kaaluda võimalust andmesubjekti õigusi piirava sätte sõnastuse täpsustamist. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] 627 4108 1 Siinkohal peaks analüüsima ka massandmetöötluse (seda poliitikauuringud reeglina tähendavad) logimise otstarbekuse küsimust. 5 (5)