Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Lauri Läänemets Teie 27.01.2025 nr 1-6/3094-1 Siseministeerium [email protected] Meie 10.02.2025 nr 2.3-5/25/298-2 Arvamus politsei andmekogu põhimääruse muutmise eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks siseministri 22. detsembri 2009. a määruse nr 92 „Politsei andmekogu põhimäärus“ muutmise eelnõu. Meil on esitatud eelnõu osas järgmised tähelepanekud. 1. Kehtiva põhimääruse § 5 sätestab infosüsteemi POLIS vastutava ja volitatud töötleja. Nimetatud sätte järgi on andmekogu vastutavaks töötlejaks Politsei- ja Piirivalveamet ning andmekogu volitatud töötlejateks põhimääruse § 15 lõikes 2 (andmeandjad) ning § 19 lõikes 2 ja § 191 nimetatud asutused ehk asutused, millel on õigus andmekogust andmeid saada. Plaanitavate muudatustega täiendatakse põhimäärust selliselt, et andmekogu volitatud töötlejateks on edaspidi ka valla- ja linnavalitsused andmeandjatena ning Transpordiamet kui juurdepääsuõigust omav asutus. Samas ei ole põhimäärusest võimalik aru saada, milline on andmekogu vastutava töötleja ning erinevate volitatud töötlejate vaheline tööjaotus. Ilmselt ei ole kohaliku omavalitsusüksuse ülesanded andmeandjana samad, mis Transpordiametil kui liiklusjärelevalvesüsteemide haldajal, sealjuures võivad andmekogu volitatud töötlejaks olla ka Transpordiameti lepingupartnerid. Samuti ei nähtu põhimäärusest, milliseid ülesandeid täidab näiteks Siseministeeriumi infotehnoloogia- ja arenduskeskus, mis samuti omab kehtiva põhimääruse järgi juurdepääsu andmekogule või milliseid ülesandeid täidavad põhimääruse §-des 15 ja 19 loetletud muud asutused seoses andmekogus olevate andmete töötlemisega. Andmekaitse Inspektsioon on andmekogude juhendis põhimääruse sisu puudutavas osas toonud olulise küsimusena, mida tuleks põhimääruses reguleerida, muu hulgas välja ka kohustuste jaotuse vastutava ja volitatud töötlejate vahel – et tööjaotus ja vastutus andmekogu töötlejate vahel oleks selge, on mõistlik vastavalt tegelikule tööjaotusele kirjeldada, kes mida teeb. Näiteks kes haldab kasutajaõigusi, kes vastab päringutele, kes andmekogu arendab ja rahastab jne. Politsei andmekogu põhimääruses vastutava ja volitatud töötlejate vahelist tööjaotust reguleerivad sätted puuduvad, mistõttu ei ole selge ka see, kes mille eest tegelikult vastutab. Näiteks ei ole ka selge, kuidas toimub ebaõigete andmete parandamine. Põhimääruse § 18 lõike 1 järgi olukorras, kus andmeandja või andmete töötleja (ehk andmekogu volitatud töötleja) avastab ebaõiged andmed, tuleb tal võtta tarvitusele vajalikud meetmed nende parandamiseks. Samas jääb ebaselgeks, mida ebaõigete andmete avastaja tegelikult tegema Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235  peab – enda sisestatud andmed parandama või teavitama ebaõigetest andmetest vastutavat töötlejat, sealjuures ei ole selge, millise aja jooksul seda teha tuleb jne. Samuti näeb sama paragrahvi lõige 2 ette andmesubjekti õiguse nõuda andmetöötlejalt ebeõigete isikuandmete parandamist. Kui nõudmine on põhjendatud, parandab andmete töötleja ebaõiged andmed viivitamata, kui nõue ei ole põhjendatud, keeldub andmete töötleja andmete parandamisest, põhjendades seda kirjalikult. Samas ei selgu põhimäärusest, keda on andmetöötleja all silmas peetud – andmeandjat või andmekogule juurdepääsuõigust omavat asutust. Seega ei ole ka selge, kes peaks andmed parandama või andmesubjektile parandamisest keeldumist põhjendama. Andmekogude kontekstis on Andmekaitse Inspektsioon korduvalt rõhutanud oma eesmärki püüelda alati selle poole, et andmekogu reguleerivaid sätteid lugedes oleks lihtsalt, kiirelt ja üheselt võimalik aru saada, miks, kuhu ja milliseid andmeid kogutakse, aga vähemtähtis pole ka see, kes milliseid ülesandeid seoses andmekogu pidamisega on kohustatud täitma. 2. Ühtlasi juhime tähelepanu sellele, et kehtiv andmekogu põhimäärus sisaldab mitteregulatiivseid, sisutühje sätteid. Näiteks põhimääruse § 7 lõige 1 – õigus teistelt isikutelt ja asutustelt andmeid saada ei saa tuleneda andmekogu põhimäärusest, vaid seaduse menetlusnormidest, mis selle konkreetse asutuse tegevusele kohalduvad. Sama paragrahvi lõige 4 – AvTS § 439 lõike 5 alusel peab andmevahetus riigi infosüsteemi kuuluvate andmekogudega ja riigi infosüsteemi kuuluvate andmekogude vahel toimumagi läbi riigi infosüsteemide andmevahetuskihi (X-tee), seadus ei näe ette muid viise. Samuti põhimääruse § 4, mille 1. lõike esimese lause kohaselt peetakse andmekogu ühetasandilise infotehnoloogilise andmekoguna. Märgime, et kuni 2007. aastani kehtinud andmekogude seaduse § 35 punktis 3 oli sätestatud kohustus reguleerida registri põhimääruses registri ülesehitus ja registri pidamise organisatsiooniline struktuur, andmete töötlemise kord eri tasanditel, andmete vahetamine ja võrdlemine eri tasandite vahel, kuid AvTS § 435 enam andmekogu tehnilise ülesehituse detailset sätestamist põhimäärustes ei nõua. Sama paragrahvi lõige 2 – sisutu säte. Infosüsteem on defineeritud küberturvalisuse seaduses ning selle järgi kujutabki infosüsteem endast digitaalsete andmete automaatset töötlemist. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Koostaja: Terje Enula [email protected], 627 4144 2 (2)