Lp Tiit Riisalo Teie: 01.11.2023 nr 2-1/2023/4633
Majandus- ja
Kommunikatsiooniministeerium Meie: 16.11.2023 nr 1.2.-4/23/2860-2
[email protected]
Arvamus töötukassa andmekogu
põhimääruse eelnõule
Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks töötukassa
andmekogu põhimääruse eelnõu.
Meil on eelnõu kohta järgmised tähelepanekud.
1. Põhimääruse eelnõu § 11 lõige 1 loetleb andmed, mis kantakse andmekogusse
tööturumeetme raames osutatava tööturuteenuse kohta. Nimetatud lõike punkti 15 järgi
on kogutavateks andmeteks ka „muud andmed osutatud tööturuteenuse kohta“. Kuna
seletuskirjas puuduvad selgitused, siis jääb selgusetuks, milliseid andmeid andmekogusse
kantakse. Samuti jääb selgusetuks, mida täpsemalt kogutakse andmekogusse töövõime
hindamise taotlemisel taotleja töövõimet välistava seisundi kohta (eelnõu § 30 lõige 1
punkt 4) – kas teavet selle kohta, et taotlejal selline seisund esineb või kantakse
andmekogusse ka seisundi kirjeldus vastavalt tervise- ja tööministri 07.09.2015 määruse
nr 39 §-le 4. Palume seletuskirja selles osas täiendada.
2. Põhimääruse eelnõu § 12 lõike 2 järgi kantakse andmekogusse EURES kaudu
töövahenduse osutamisel vabade töökohtade ja töö taotlejate vahendamist reguleerivates
EL õigusaktides sätestatud andmed. Selgusetuks jääb, milliste andmetega on tegemist.
AvTS § 435 lõike 1 järgi sätestatakse andmekogu põhimääruses andmekogusse
kogutavate andmete koosseis. Andmekaitse Inspektsioon on andmekogusid puudutavas
juhendis1 (lk 15) selgitanud, et kui seaduses ei pea olema andmekogusse kogutavate
andmete täielik loetelu, siis põhimäärus peab sisaldama ammendavat loetelu antud
andmekogusse kogutavatest andmetest. Seejuures peab loetelust ka selguma, kelle kohta
(s.t andmesubjektide kategooriad) neid andmeid kagutakse. Kui andmete koosseis on
väga mahukas, võib loetelu esitada põhimääruse lisana. Palume põhimäärust ja
seletuskirja täiendada.
3. Eelnõu § 38 lõike 3 järgi täidab Tervise ja Heaolu Infosüsteemide Keskus (TEHIK)
Euroopa Parlamendi ja nõukogu määruse (EÜ) nr 987/2009 artikli 4 lõike 2
rakendamiseks loodud infosüsteemis Eesti juurdepääsupunkti ülesandeid. Nende
ülesannete täitmisel tekkivate turvaintsidentide lahendamisel omab TEHIK õigust lugeda
ja kustutada infosüsteemi kaudu edastatavaid isikuandmeid. Eelnõu seletuskirjas on
selgitatud, et kuigi rakendusasutuste õigus ja ka kohustus andmeid vahetada tuleb EL
otsekohalduvatest määrustest, ei ole see piisav, et TEHIK n-ö kolmanda asutusena saaks
juurdepääsupunkti teenust osutada. Seetõttu on leitud, et see õigus tuleb sätestada
andmekogu põhimääruses.
1
Andmekogude juhend (https://www.aki.ee/sites/default/files/dokumendid/andmekogude_juhend.pdf)
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Andmekaitse Inspektsioon on eelnimetatud juhendis (lk 18) märkinud, et eriti intensiivset
eraelu puutumatuse riivet kujutavate andmekogude osas peaks juurdepääsud olema
reguleeritud seaduse tasandil ning ühes õigusaktis koos. Kuna töötukassa andmekogu
sisaldab ka suures ulatuses terviseandmeid kui eriliiki isikuandmeid, siis soovitame
seaduse tasandil sätestada, millisteks konkreetseteks ülesanneteks ja millises ulatuses
TEHIK töötukassa andmekogu andmeid tohib kasutada.
4. Eelnõu § 39 lõike 2 järgi logitakse töövõime hindamisel antud ekspertarvamuse andmete
töötlemine ning logi sisaldab andmeid andmekogusse tehtud kannete ja päringute kohta.
Samas ei nähtu põhimäärusest ega ka seletuskirjast, milliseid isikuandmete töötlemise
toiminguid töötukassa andmekogus veel logitakse ning mida logi sisaldab. Inspektsioon
on juhendis „Isikuandmete töötleja üldjuhend“2 selgitanud, et üldmäärus ei näe ette,
millisel kujul logi peab pidama. Peaasi, et jälg jääks maha nii andmete sisestamise,
muutmise, vaatamise, edastamise kui ka kustutamise kohta. Seega vajavad põhimäärus ja
seletuskiri logimise osas kindlasti täiendamist.
5. Põhimäärus eelnõu § 41 reguleerib andmekogus andmete säilitamist. Selle sätte järgi
säilitatakse andmekogusse kantud andmeid kümme aastat isikustatult ning pärast tähtaja
möödumist andmed pseudonüümitakse. Pseudonüümimiseks annab andmekogu vastutav
töötleja andmetele juhuslikest numbritest koosneva kordumatu koodi ja asendab sellega
andmed, mis võimaldavad isiku tuvastada (eelnõu § 42 lõige 1). Seletuskirja järgi
tagatakse sellega see, et andmeid säilitatakse viisil, kus andmed ei ole otseselt seostatavad
konkreetse andmesubjektiga. Samas ei nähtu põhimäärusest ega ka seletuskirjast, millised
andmekogu andmed koodiga asendatakse, mistõttu puudub võimalus ka hinnata, kas
koodiga asendamine täidab seatud eesmärki.
6. Eelnõu § 42 lõike 3 järgi säilitatakse pseudonüümitud andmeid 65 aastat, mille
möödumisel andmed anonüümitakse. Põhimäärusest ega ka seletuskirjast ei nähtu, mida
täpsemalt andmete anonüümimine antud andmekogu puhul tähendab. Selgitame, et
anonüümsed on ainult need andmed, mis on muudetud anonüümseks sellisel viisil, et
üksikisikut ei ole võimalik tuvastada või ei ole enam võimalik tuvastada. Sealjuures peab
anonüümseks muutmine olema pöördumatu, et andmed oleksid tõeliselt anonüümsed.
Praegusel juhul puudub võimalus hinnata, kas pärast anonüümimist on tegemist
andmetega, mille kaudu ei ole üksikisikut enam võimalik tuvastada. Palume täiendada
selles osas seletuskirja.
Andmekaitse Inspektsiooni eesmärk andmekogude kontekstis on püüelda selle poole, et
andmekogu reguleerivaid sätteid lugedes oleks kiirelt ja üheselt võimalik aru saada, miks
mingeid andmeid kogutakse, kuhu neid kogutakse, milliseid andmeid kogutakse ja kellega
neid jagatakse. Andmekogu põhimääruse eesmärk ongi luua selgust ja läbipaistvust ning
selles osas on eelnõul teatavaid vajakajäämisi.
Lugupidamisega
(allkirjastatud digitaalselt)
Pille Lehis
peadirektor
Koostaja: Terje Enula
[email protected], telefon 627 4144
2
Isikuandmete töötleja üldjuhend (https://www.aki.ee/et/isikuandmete-tootleja-uldjuhendi-
veebitekst#peatukk_2.2)
2 (2)