Tähelepanu juhtimine

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Igor Taro Siseministeerium [email protected] 13.05.2025 nr 2.3-4/25/1521-1 Tähelepanu juhtimine EL isikuandmete kaitse üldmääruse (IKÜM) artikkel 58 lõike 3 järgi on Andmekaitse Inspektsioonil järelevalveasutusena mitmeid lubavaid ja nõuandvaid volitusi, milleks on ka volitus esitada omal algatusel isikuandmete kaitsega seotud küsimustes arvamusi riigi parlamendile, liikmesriigi valitsusele või, kooskõlas liikmesriigi õigusega, muudele institutsioonidele ja asutustele ning samuti avalikkusele. Eelnevast lähtuvalt peame vajalikuks juhtida tähelepanu numbrituvastuskaamerate kasutamisega seotud probleemile. Esmalt märgime, et enne 06.05.2009 vastu võetud politsei ja piirivalve seadust kehtinud politseiseaduse § 51 lõike 2 alusel kehtestatud siseministri 03.10.2007 määruse nr 66 „Politsei andmekogu asutamine ja andmekogu pidamise põhimäärus“ § 10 loetles samuti politsei ennetava tegevuse andmestikku kantavate andmete koosseisu. Andmestik koosnes piirkondlikest infoteadetest ja infost õigusevastase teo toime pannud alaealiste kohta. Sealjuures kanti piirkondlike teadete osas andmekogusse andmed juhtumite või tähelepanekute kohta, mis on seotud toimepandud või tõenäoliselt tulevikus toimepandava õigusrikkumise kohta, andmed piirkonnas tegutsevate isikute ja ettevõtete kohta ning teave piirkonna aadresside kohta. 06.05.2009 vastu võetud politsei ja piirivalve seaduse (PPVS) § 8 lõike 3 alusel kehtestatud siseministri 22.12.2009 määruse nr 92 „Politsei andmekogu põhimäärus“ § 10 lõige 4 loetleb aga juba ennetava tegevuse andmestiku andmekoosseisu ka kiirus- ja numbrituvastuskaamera teate osas andmestikku kantavate andmetena foto sõidukist ja sõiduki registreerimismärgist, sõiduki fotografeerimise aja ja koha ning sõiduki kiiruse. Politsei ja piirivalveseaduse 343 SE1 seletuskirja kohaselt oli seaduse eelnõu üheks eesmärgiks just vajadus korrigeerida politseiseaduses loetletud ülesandeid ning täpsustada politsei tegevuse aluseks olevat riivevolitust, märkides, et avaliku korra kaitsel lubab põhiseadus isiku põhiõigusi piirata vaid juhul, kui selleks on seaduslik alus. Lisaks on seletuskirjas märgitud, et peale uute riikide liitumist Schengeni viisaruumiga on selgelt kujunenud Euroopa prioriteediks ühtne sisejulgeolek ja turvalisus ning liikmesriikidel lasub eriline vastutus valvata oma välispiire. Välispiirid on ainsad kohad, kus korraldatakse süstemaatilist kontrolli Schengeni õigusruumi saabujate või sealt lahkujate suhtes. Kõik liikmesriigid juhinduvad sealjuures Schengeni piirieeskirja välispiiride kontrolli reguleerivatest sätetest. Siinkohal peab märkima, et välispiiriks ei ole ainult maismaa piiripunktid, vaid ka rahvusvahelised lennuväljad ja meresadamad, mis olenevalt transpordivahendi lähteriigist/sihtriigist, nõuavad välispiiri kontrollprotseduure. 1 Politsei ja piirivalveseaduse 343 SE Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 7000423 Andmekogude osas on seletuskirjas selgitatud, et eelnõu kohaselt on politseil kolm andmekogu: politsei andmekogu, piirikontrolli andmekogu ning Schengeni infosüsteemi riiklik register. Andmekogud olid sel hetkel praktikas kasutusel ning kehtivas õiguses olemas. Seaduse eelnõuga põhimõttelisi ja sisulisi muudatusi andmekogude regulatsioonides ei plaanitud teha. Seaduse tasandile tõsteti kehtivate põhimääruste vastavad sätted samas sõnastuses, mis olid kehtivates andmekogude põhimäärustes. Seaduses täpsustati andmekogude vastutavaid ja volitatud töötlejaid ning piirikontrolli infosüsteemis täiendati andmete saajate ringi Teabeametiga. Ülejäänud sätete osas jäädi kehtivate põhimääruste regulatsioonide juurde. Seega nähtub seletuskirjast, et süstemaatilise kontrolli teostamist nähakse ette üksnes välispiiridel Schengeni õigusruumi saabujate või sealt lahkujate suhtes, sh rahvusvahelistel lennuväljadel ja meresadamates ning puuduvad viited vajadusele viia siseriiklikult läbi süstemaatilist kontrolli numbrituvastuskaamerate abil. Samas aga lisati 22.12.2009 vastu võetud andmekogu põhimäärusesse sätted, mille kohaselt sellist kontrolli teostatakse ja andmeid andmekogusse kogutakse, kuigi andmekogu asutamist lubav volitusnorm oli siis ja on ka praegu üldsõnaline ning ei näe numbrituvastuskaamerate kasutamist ette. 2011. aastal vastu võetud ja 01.07.2014 jõustunud korrakaitseseaduse (KorS) §-ga 34 küll anti politseile õigus ohu väljaselgitamiseks ja tõrjumiseks või korrarikkumise kõrvaldamiseks kasutada avalikus kohas toimuva jälgimiseks pilti edastavat või salvestavat jälgimisseadmestikku, kuid säte ei võimalda kaamerat paigaldada olukorras, kus tegemist on alles ohu ennetamisega. Sellele on 03.05.2024 tähelepanu juhtinud ka õiguskantsler oma märgukirjas, märkides, et kaamera võib KorS alusel paigaldada alles siis, kui on juba vähemalt tekkinud konkreetse ohu kahtlus2. Seoses salvestusseadmetega oleme 29.08.2024 korrakaitseseaduse muutmise seaduse väljatöötamiskavatsusele antud arvamuses samuti leidnud, et KorS alusel kohtkaamerate paigaldamise regulatsioon vajab õigusakti tasandil täpsustamist3. Politsei- ja Piirivalveameti põhimääruse § 1 lõike 1 järgi on Politsei- ja Piirivalveamet (PPA) Siseministeeriumi valitsemisala valitsusasutus, kes täidab seadusest ja teistest õigusaktidest tulenevaid ülesandeid, teostab riiklikku järelevalvet ning kohaldab riiklikku sundi seaduses ettenähtud alusel, ulatuses ja korras ehk tegemist on avalikku ülesannet täitva riigiasutusega. IKÜM artikkel 4 punkti 1 kohaselt on isikuandmeteks igasugune teave tuvastatud või tuvastatavate füüsiliste isiku kohta, sealjuures on tuvastatav füüsiline isik selline isik, keda saab otseselt või kaudselt tuvastada. Sama artikli punkti 2 järgi on isikuandmete töötlemine isikuandmete või nende kogumitega tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, mis tähendab, et ka numbrituvastuskaamerate kasutamisel toimub isikuandmete töötlemine ja seda isegi olukorras, kus numbrituvastuskaameratega salvestatud fotod sõidukist ja sõiduki registreerimismärgist ei ole andmekogus auto omaniku või kasutajaga seotud. Arvestades, et numbrituvastuskaamerad kuuluvad ennetava tegevuse andmestikku, siis tuleb andmestikku kuuluvate isikuandmete töötlemisel lähtuda IKÜM nõuetest. Sealjuures tuleb tagada IKÜM artiklis 5 toodud isikuandmete töötlemise põhimõtete järgimine, milleks muu hulgas on seaduslikkuse, õigluse ja läbipaistvuse põhimõte (artikkel 5 lõige 1 punkt a) ning eesmärgipärasuse põhimõte (artikkel 5 lõige 1 punkt b). Nende kahe põhimõtte järgi peab isikuandmete töötlemiseks olema alati õiguslik alus ning andmeid tohib koguda ainult täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel. Seega õiguspärane isikuandmete töötlemine eeldab, et töötlemine vastab IKÜM artiklis 5 loetletud isikuandmete töötlemise põhimõtetele ning töötlemiseks on IKÜM-st tulenev seaduslik alus. Lisaks peaks selline õiguslik alus või seaduslik meede olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse. 2 03.05.2024 märgukiri nr 7-7/212350/2402585 3 29.08.2024 kiri nr 2.3-4/24/1765-2 2 (4) Isikuandmete töötlemise seaduslikkuse alused on loetletud IKÜM artikli 6 lõikes 1. PPA puhul saab õiguslikuks aluseks olla ennekõike artikli 6 lõike 1 punkt e, mille kohaselt on isikuandmete töötlemine lubatud avaliku ülesande täitmiseks või avaliku võimu teostamiseks. Samas tuleb arvestada ka IKÜM artikkel 6 lõikega 3, mis näeb ette, et kui tegemist on isikuandmete töötlemisega avaliku ülesande täitmiseks või avaliku võimu teostamiseks, tuleb isikuandmete töötlemise alus kehtestada siseriikliku õigusega. IKÜM põhjenduspunktis 45 on selgitatud, et kui töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks, peaks töötlemise alus ja eesmärk olema sätestatud liikmesriigi õigusaktis. Lisaks võiks nimetatud õigusaktis olla sätestatud IKÜM üldtingimused, millega reguleeritakse isikuandmete töötlemise seaduslikkust, tingimused vastutava töötleja kindlaksmääramiseks, töötlemisele kuuluvate isikuandmete liik, asjaomased andmesubjektid, andmesaajad, eesmärgi piirangud, säilitamise aeg ja muud meetmed seadusliku ja õiglase töötlemise tagamiseks. Järelikult peab isikuandmete töötlemist lubav norm sisaldama endas kindlasti andmete töötlemise selget eesmärki, aga ka töödeldavate isikuandmete liiki, asjaomaseid andmesubjekte ja andmete säilitamise tähtaega. IKÜM iseenesest räägib õigusaktist laiemas tähenduses ja ei nõua määratlemist just seaduse tasandil, kuid kuna isikuandmete töötlemine, sh nende salvestamine andmekogus kujutab endast põhiõiguste ja -vabaduste riivet, mõjutades nii pere- ja eraelu puutumatust kui ka informatsioonilise eneseteostuse vabadust, siis tuleneb põhiõiguste riive puhul seadusliku aluse nõue meie põhiseadusest. Põhiseaduse § 11 kohaselt tohib õigusi ja vabadusi piirata ainult kooskõlas põhiseadusega. See aga tähendab, et selline piirang peab olema kooskõlas põhiseaduse § 3 esimese lausega, mille kohaselt teostatakse riigivõimu üksnes põhiseaduse ja sellega kooskõlas olevate seaduste alusel. Selle seadusereservatsiooni põhimõtte järgi peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seadusandja. Riigikogu võib täidesaatvat võimu volitada reguleerima üksnes vähem intensiivseid põhiõiguste piiranguid ning sealjuures peab seaduses sisalduv volitusnorm olema täpne, selge ja vastavuses piirangu intensiivsusega. See aga tähendab, et ka kõik andmekogu puudutavad olulised küsimused, milleks kindlasti on andmekogu pidamise eesmärk, töödeldavate isikuandmete liigid, andmete säilitamise tähtajad, peavad olema reguleeritud seaduse tasandil. Määrusega võib seaduse norme täpsustada, kuid seda üksnes selge ja täpse ulatusega volitusnormi alusel. Sealjuures, mida intensiivsemalt isiku põhiõigusi riivatakse (nt kui suurt hulka isikuid andmekogu hõlmab või kui tundlikud on andmed), seda üksikasjalikumad peavad olema täitevvõimu tegutsemise aluseks olev volitusnorm ja menetlusnormid. Seega ei sobi isikuandmete töötlemise seaduslikuks aluseks üldine volitusnorm, mis jätab kõik peamised küsimused täitevvõimu reguleerida. Volitusnormi täpsuse kohta on Riigikohus 19.01.2009 otsuse 3-3-85-08 punktis 18 märkinud järgmist: Põhiseaduse § 3 kohaselt teostatakse riigivõimu üksnes põhiseaduse ja sellega kooskõlas olevate seaduste alusel. Määrusandluse puhul tähendab nimetatud säte täitevvõimu jaoks kohustust järgida talle delegatsiooninormiga antud volitusi ja neid mitte ületada. HMS § 90 lg 1 kohaselt võib määruse anda ainult seaduses sisalduva volitusnormi olemasolul ja kooskõlas volitusnormi piiride, mõtte ja eesmärgiga. Kohtupraktikas on rõhutatud, et volitusnormis sätestatakse määrusandliku volituse selge eesmärk, sisu ja ulatus (põhiseaduslikkuse järelevalve kolleegiumi 20. detsembri 1996. a otsus asjas nr 3-4-1-3-96). Politsei andmekogu puhul on PPVS § 8 lõike 1 kohaselt tegemist andmekoguga, kus töödeldakse korrakaitse ja süüteomenetlusega seotud andmeid avaliku korra ja siseturvalisuse tagamiseks ehk andmete töötlemise eesmärgiks on avaliku korra ja siseturvalisuse tagamine. Avaliku korra mõiste on toodud korrakaitseseaduse § 4 lõikes 1, mille järgi on avalik kord ühiskonna seisund, milles on tagatud õigusnormide järgimine ning õigushüvede ja isikute subjektiivsete õiguste kaitstus. Leiame, et tegemist on liiga laia mõistega, et selle kaudu oleks 3 (4) võimalik püstitada isikuandmete töötlemise selget eesmärki. Samuti on siseturvalisuse puhul tegemist määratlemata õigusmõistega, millest ei selgu andmete töötlemise tegelik ulatus. Andmekogu asutamise eesmärk on seaduses sätestatud volitusnormi tuum, mis peab andma vastuse küsimusele, millisel eesmärgil ja milliste ülesannete täitmiseks andmekogu asutatakse. Ilma selleta on raskendatud kontroll andmekogu pidamise õiguspärasuse ja isikuandmete töötlemise ulatuse üle. Sealjuures ei saa asutamise eesmärgiks olla andmetöötlus või andmete kogumine iseenesest, vaid andmekogu asutamise eesmärk peab volitusnormis olema piisavalt konkreetne. Samuti ei selgu volitusnormist, milliseid andmeid andmekogusse tohib koguda. PPVS § 10 lõikes 1 on küll loetletud andmestikud, millest andmekogu koosneb, kuid milliseid isikuandmeid ning millisel konkreetsel eesmärgil kogutakse jääb selgusetuks. Seega pole volitusnorm selgeks juhtnööriks täitevvõimule määrusega andmekoosseisu kehtestamiseks. Politsei andmekogule on Andmekaitse Inspektsioon juba oma andmekogude juhendis viidanud kui näitele halvast regulatsioonist tundliku sisuga registrile. Samuti on korduvalt probleemile tähelepanu juhtinud Justiits- ja Digiministeerium politsei andmekogu põhimääruse muutmise eelnõude kooskõlastamisel, märkides, et PPVS §-s 10 sätestatu peab andma selgepiirilise sisu sellele, milliseid andmeid töödeldakse. Ministeerium on leidnud, et kui vaadata PPVS andmekogude regulatsiooni isikuandmete kaitse aspektist laiemalt, on kokkuvõttes PPVS regulatsioon problemaatiline. Registriandmestik on seaduse tasandil liiga ebamäärane, et võimaldada seda määruses selgepiiriliselt sisustada. See toob kaasa liiga laia (piiritlemata) hindamisruumi täitevvõimule. Samuti on juhitud tähelepanu sellele, et seaduses peavad muu hulgas olema sätestatud töödeldavate isikuandmete kategooriad ning isikuandmete säilitamise tähtajad. Põhimäärusega on võimalik neid üksnes täpsustada. Põhiseaduses väljendatud üldise seadusereservatsiooni põhimõtte järgi peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seaduseandja. Kokkuvõtteks teeb Andmekaitse Inspektsioon Vabariigi Valitsusele ja ministeeriumile ettepaneku täiendada asjakohaseid õigusakte selliselt, et täitevvõimu tegutsemise aluseks olev volitusnorm vastaks seadusreservatsiooni põhimõttele. Seaduse tasandil peab olema kindlaks määratud andmekogu pidamise selge eesmärk, töödeldavate isikuandmete koosseis, isikuandmete vastutav töötleja, andmete säilitamise tähtajad ning andmekogu põhimääruse volitusnormi raamid. Seoses salvestusseadmetega leiame, et ka korrakaitseseaduse alusel kohtkaamerate paigaldamise regulatsioon vajab õigusakti tasandil täpsustamist. Oleme sellele varasemalt juhtinud tähelepanu 29.08.2024 korrakaitseseaduse muutmise seaduse väljatöötamiskavatsusele antud arvamuses4. Ootame Siseministeeriumilt tagasisidet hiljemalt 16. juuniks 2025. Lugupidamisega (allkirjastatud digitaalselt) Virve Lans valdkonnajuht peadirektori ülesannetes Teadmiseks: Vabariigi Valitsus 4 29.08.2024 kiri nr 2.3-4/24/1765-2 4 (4)