Arvamuse avaldamine eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Rahandusministeerium Teie 10.10.2024 nr 1.1-10.1/4377-1 Meie 08.11.2024 nr 1.2.-4/24/2579-2 Arvamuse avaldamine eelnõule (RahaPTS ja AvTS) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks rahapesu ja terrorismi rahastamise tõkestamise seaduse ning avaliku teabe seaduse muutmise seaduse eelnõu. Meil on järgmised tähelepanekud esitatud eelnõu osas. 1. Üldised märkused Eelnõu § 1 p 3 kohaselt on komisjonil ja töörühmal õigus töödelda mh asjakohaseid andmeid. Kuigi seletuskirjas on öeldud, et riiklik riskihinnang baseerub kvantitatiivsetele ja kvalitatiivsetele andmetele ning selle koostamiseks puudub vajadus isikuandmete töötlemiseks, mistõttu seaduses sellist õigust rahapesu ja terrorismi rahastamise tõkestamise valitsuskomisjonile ja riikliku riskihinnangu läbiviimiseks moodustatavatele töörühmadele ei anta, siis edasi täpsustatakse, et andmete töötlemise õiguse reguleerimisel võetakse aluseks RahaPTS § 11 lõige 2, milles on nimetatud riikliku riskihinnangu koostamiseks vajalike kvantitatiivsete ja kvalitatiivsete andmete loetelu. Viidatud säte omakorda mainib asjakohast teavet, mis on avaldatud või ministeeriumidele või nende valitsemisala asutustele kättesaadavad, sealhulgas rahvusvaheliste organisatsioonide ja Euroopa Komisjoni asjakohased riskihinnangud, raportid ning soovitused, järgides seejuures andmekaitsenõudeid. Kuivõrd viidatud on andmekaitsenõuetele, mis viitab justkui töödeldaks siiski ka isikuandmeid, sest miks muidu kõneldakse andmekaitsenõuetest. Seega tekitab segadust, kas riskihinnangu koostamisel töödeldakse siiski ka isikuandmeid. Kui isikuandmeid ikka töödeldakse (sh pseudonüümitud kujul), peab selline õigus tulenema selgelt seaduse sättest, seega palume vajadusel sätet täpsustada. Eelnõu § 1 p 6 käsitleb kontaktisiku või kontaktisikukandidaadi maine kontrollimist vastavalt § 72 lg-le 2². Seletuskiri täpsustab, et kontrollitakse sh isikuandmeid. Eelnõu § 72 lg 2² sätestab Rahapesu Andmebüroo õiguse saada erinevat teavet ja andmeid mitmetest allikatest, täpsustamata, et tegemist on isikuandmetega. Siinkohal on oluline juhtida tähelepanu, et kui jutt käib isikuandmetest, siis see vajab seaduse tasandil täpsustamist. Eelnõu § 1 p 10 sõnastus on AKI hinnangul segane. Nimelt viitab nimetatud punkt AvTS-le, mis on aga tegelikult sisutühi, sest piirang ei tulene AvTS-st, vaid eriseadusest, millisel juhul AvTS ei kohaldatata (AvTS § 2 lg 2 p 4). AvTS-st saab siin tuleneda ainult piirangu tähtaeg, kui seda ei soovitata kehtestada erikorra alusel. Märgime, et üldiselt saab asutusesiseseks kasutamiseks mõeldud teabele kehtestada juurdepääsupiirang viieks aastaks, mille võib asutuse juht pikendada kuni viie aasta võrra, kui juurdepääsupiirangu kehtestamise põhjus püsib (AvTS § 40 lg 1). Asutusesiseseks kasutamiseks tunnistatud isikuandmeid sisaldavale teabele kehtib juurdepääsupiirang selle saamisest või dokumenteerimisest alates 75 aastat või isiku surmast alates Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 30 aastat, või kui surma ei ole võimalik tuvastada, siis 110 aastat, alates isiku sünnist. Eriseadusega võib nimetatud korrast kõrvale kalduda ning vajadusel kehtestada pikemat juurdepääsupiirangut (kehtestada erikord). Seega kui seadusandja sooviks on siiski kehtestada eriseaduses erikorda, ka piirangu tähtaja osas, siis ei pea üldse AvTS-le viitama. Kui aga peab piirang AvTS-st tulenema, siis tuleks viidata ka konkreetsele AvTS sättele. Eelnõus sätestatud juurdepääsupiirangu regulatsioonist ega seletuskirjast ei selgu, kas tegemist on erikorraga ning kui jah, siis kui pikalt juurdepääsupiirang kehtib. Lähtuvalt RAB-i eesmärgist võib AKI eeldada, et seadusandja soov on kehtestada eriseadusega juurdepääsupiirangu erikord. Eelnõu § 1 p 11 osas jääb arusaamatuks, kas keeldumise alused tulenevad IKS-st või AvTS-st. Kui AvTS-st, siis peab keeldumist ka põhjendama. Kui soovitakse kehtestada mingit (erandit) erikorda, siis peab see erikord olema täpsemini reguleeritud. Eelnõu § 1 p 20 sätestab isikuandmete säilitamise tähtajad. Kui teiste andmete liikide säilitustähtaja pikkus on seletuskirjas ilusti põhistatud, siis strateegilise analüüsi ülesande täitmiseks kogutud andmete säilitamine tähtaja kohta esitatud põhjendus on liiga lakooniline, puudub andmete viie aasta vältel säilitamise vajaduse põhjendus. Palume selles osas seletuskirja täiendada. Andmekogu logide maksimaalset tähtaega peaks AKI hinnangul samuti sätestama seaduse tasandil, jättes võimaluse reguleerida logide säilitamise täpsem kord põhimääruses (praeguse sõnastuse järgi on logide säilitamise tähtaja reguleerimine jäetud täielikus ulatuse põhimäärususesse). Eelnõu § 1 p 20 sätestab rahvusvahelise infovahetuse kaudu saadud andmete säilitamise tähtajale 15-aastase piirangu, mis on aga vastuolus AvTS § 40 lg-ga 1¹. Nimelt näeb AvTS § 40 lg 1¹ ette, et välisriigi või rahvusvahelise organisatsiooni poolt edastatud juurdepääsupiirangu märkega teabele, mis loetakse asutusesiseseks kasutamiseks mõeldud teabeks, kehtib juurdepääsupiirang teabe loonud riigi või organisatsiooni määratud tähtaja lõpuni, mis võib teatud juhtudel olla ka pikem, kui eelnõuga kehtestatav maksimaalne tähtaeg. 2. Märkused loodava § 601 osas (andmesubjekti õiguste piirang) Eelnõu § 1 p 15 paneb teavet andnud asutustele ja isikutele kohustuse kohaldama isikuandmeid sisaldavat teavet töödeldes RahaPTS §-s 60¹ sätestatud andmesubjekti õiguste piiranguid. RahaPTS §-s 60¹ (eelnõu § 1 p 25) näeb ette RAB-il võimaluse seaduses sätestatud ülesannete täitmiseks piirata andmesubjekti õigusi juhul, kui piiramata jätmine võib takistada või kahjustada süüteo tõkestamist, avastamist, menetlemist või karistuse täideviimist, kahjustada teise isiku õigusi ja vabadusi, ohustada avaliku korra kaitset või riigi julgeolekut või takistada rahapesu või terrorismi rahastamise tõkestamist, ja seda kuni nimetatud aluste äralangemiseni. Kuivõrd loodava sätte sõnastus ei ole imperatiivne, vaid jätab RAB-i juhile kaalutlusõiguse otsustamaks andmesubjekti õiguste piiramise üle, siis tekib küsimus, kuidas teavet andvad isikud saavad andmete edastamise hetkel teada juurdepääsu piirangu aluste esinemisest ja olla seetõttu kohustatud piiranguid järgima. Seetõttu tuleks täpsustada, kas ja kuidas saab teavet andev isik teada piirangu seadmisest. Kui sätte mõte on olnud, et teavet andev isik peab igal juhul piirama andmesubjekti õigust enda andmetega tutvuda, on see aga vastuolus sätte sõnastusega kavandataval kujul. Kuivõrd loodava sätte mõte on piirata andmesubjekti õigust saada juurdepääsu enda andmetele isikuandmete kaitse üldmääruse artikkel 23 tähenduses, siis inspektsiooni hinnangul on hetkel piirangut kehtestav säte liiga üldine. 2 (4) Isiku õigus tutvuda enda kohta kogutud andmetega tuleneb IKÜM artiklist 15. Seda õigust saab artikli 23 kohaselt piirata seadusandliku meetmega, kui selline piirang austab põhiõiguste ja - vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada art 23 lõike 1 alapunktides sätestatud eesmärke. IKÜM artikkel 23 lõige 2 täpsustab, milliseid sätteid peab viidatud seadusandlik meede sisaldama. Euroopa Kohus on IKÜM art 23 lg-s 1 sätestatud mõiste „seadusandlik meede“ kohta öelnud, võttes arvesse IKÜM-is, aluslepingutes ja hartas sätestatut, et õigusaktid, mis sisaldavad sellist riivet lubavat meedet, peavad sätestama selged ja täpsed reeglid, mis reguleerivad kõnealuse meetme ulatust ja kohaldamist ning kehtestavad miinimumnõuded, millest tulenevalt on isikutel, kelle isikuandmetega on tegu, piisavad tagatised, mis võimaldavad neid andmeid kuritarvitamise ohu eest tõhusalt kaitsta. Järelikult peavad kõik IKÜM art 23 alusel võetud meetmed olema selged ja täpsed, nagu liidu seadusandja on seda ka määruse põhjenduses 41 rõhutanud, ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata.1 Eelnevalt esitatud seisukohti on Euroopa Kohus2 täiendanud seonduvalt rahapesu ja terrorismi rahastamise tõkestamisega järgmiselt. Mis puudutab nõuet, et põhiõiguste teostamist tohib piirata ainult seadusega, siis see tähendab, et õigusakt, mis võimaldab nendesse õigustesse sekkuda, peab ise määrama kindlaks, kui ulatuslikult tohib asjaomase õiguse teostamist piirata, kusjuures tuleb täpsustada, et esiteks ei välista see nõue seda, et sellist piirangut sisaldav regulatsioon võib olla sõnastatud piisavalt lahtiselt, et seda saaks kohandada erinevate juhtumite ja muutuvate asjaoludega (p 47). Rahapesu tõkestamise IV ja V direktiivi alusel teabe kogumine, hoidmine ja kättesaadavaks tegemine peab täielikult vastama IKÜM-st tulenevatele nõuetele (p 53). Seadusandja eesmärk ‒ rahapesu ja terrorismi rahastamise tõkestamine ‒ kujutab endast üldist huvi pakkuvat eesmärki, mis võib põhjendada harta artiklitega 7 ja 8 tunnustatud põhiõiguste riiveid, isegi kui need on rasked (p-d 58 ja 59). Proportsionaalsuse nõude järgimiseks peavad ka riivet sisaldavas õigusaktis olema sätestatud selged ja täpsed reeglid, mis reguleerivad õigusaktiga ette nähtud meetmete ulatust ja kohaldamist ning millega on kehtestatud miinimumnõuded, millest tulenevalt on andmesubjektidel piisavad tagatised, mis võimaldavad tõhusalt kaitsta nende isikuandmeid kuritarvitamise ohu eest. Täpsemalt peab õigusaktis olema märgitud, millistel asjaoludel ja tingimustel võib nende andmete töötlemist hõlmava meetme võtta, tagades seeläbi, et riive piirdub tingimata vajalikuga (p 65). Ehk siis, kuigi Euroopa Kohus jaatab, et seadusandlik meede, mis sellise piirangu seadmise võimaluse ette näeb, ei pea olema imperatiivne ja otsustamise võib jätta ka haldusorgani pädevusse, siis peaks aga seadusandlik meede, mis sellist piirangut võimaldab, andma piisavalt täpsed ja selged raamid, kuidas piirangut kohaldatakse. Nii nagu Euroopa Kohus on rõhutanud, peab isikule, kelle õigust tutvuda enda kohta kogutud andmetega piiratakse, olema sellise piirangu seadmise aluseks olevad kriteeriumid, ulatus ja kehtivus ettenähtavad. AKI hinnangul pakutud sõnastuses säte nendele nõuetele ei vasta. Sätte sõnastusest nähtub, et on järgitud hetkel Eesti õiguses kehtivaid sarnaseid andmesubjekti õiguste piirangute aluseid, kuid tähele tuleb panna, et enamus neist on kehtestatud IKÜM-i jõustumisel, mil puudus piisav teadmine, kuidas selliseid piiranguid seada. Viidatud kohtuasjad, kus IKÜM-i nõudeid täpsustatakse pärinevad hilisemast ajast. Seega tuleks kaaluda võimalust andmesubjekti õigusi piirava sätte sõnastuse täpsustamist, võttes arvesse eelpool viidatud Euroopa Kohtu lahendites väljendatut. 1 Euroopa Kohtu 24.02.2022 otsuse nr C-175/20 p-d 52‒57 2 Liidetud kohtuasjad nr C-37/20 ja C-601/20 3 (4) Eelkõige, kui sisuliselt RAB-i juht ei otsusta igakordselt isiku õiguste piiramise üle, vaid teatud tingimuste esinemisel on tulenevalt muudest rahapesu ja terrorismi tõkestamise regulatsioonidest tulenevalt kohustatud seda tegema, tuleks kaaluda, kas oleks otstarbekam sõnastadagi säte selliselt, et teatud tingimuste esinemisel isiku õigus enda andmete tutvumisel on piiratud teatud ajani. Või alternatiivselt sätestada RahaPTS-s selgemad kriteeriumid, millest lähtuvalt RAB-i juht sellise otsuse vastu võtta võib. Nii oleks tagatud isikule selgus piirangu ulatusest ja kohaldamisest. Loodame, et neist selgitustest oli abi. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] +372 6274108 4 (4)