Lp Tiit Riisalo Teie: 31.05.2023
Majandus- ja Kommunikatsiooniministeerium
[email protected] Meie: 13.06.2023 nr 1.2.-4/23/1356-2
Arvamuse avaldamine küberintsidentide
registri põhimääruse eelnõule
Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks küberintsidentide
registri põhimääruse eelnõu.
Seoses esitatud eelnõuga on meil järgmised tähelepanekud.
1. Küberturvalisuse seaduse § 13 lõike 1 järgi kantakse küberintsidentide registrisse
küberintsidendi toimumist kirjeldavad andmed eesmärgiga pidada küberintsidentide üle
arvestust ning analüüsida küberintsidente nende lahendamiseks, ohuteadete edastamiseks
ja järelevalvetoimingute tegemiseks. Seega seadusest tulenevalt analüüsitakse registrisse
kogutud andmeid küberintsidentide lahendamiseks, ohuteadete edastamiseks ja
järelevalvetoimingute tegemiseks.
Samas on põhimääruse eelnõu §-s 2 märgitud registri pidamise eesmärgiks ka
küberintsidentide tuvastamine. Eelnõu seletuskirjas on küll selgitatud, et ründevektorite ja
muude pahavara liigi või metoodika indikaatorite kohta registrisse kantud andmeid
kasutatakse ka uute küberintsidentide tuvastamiseks, kuivõrd need andmed võimaldavad
samalaadsete olukordade tuvastamist muudes võrgu- ja infosüsteemides, kuid
põhimääruses toodud andmekogu eesmärk ei tohi siiski olla laiem, kui seaduses toodud
volitusnorm ette näeb.
2. Eelnõu § 4 järgi on registri andmetel informatiivne tähendus. Kuigi avaliku teabe seadus
(AvTS) nõuab, on selline säte sisutühi. Eelnõu seletuskirjast nähtuvalt on selge, et asutus
lähtub oma töös registrisse kantud andmetest, vastasel juhul oleks registri pidamine
mõttetu. Seetõttu ei ole õige põhimääruses märkida, et andmetel on ainult informatiivne
tähendus. Eristada tuleks vaid neid juhte, kus andmekogu andmetel on kolmandate isikute
(s.t asutuseväliste) suhtes konstitutiivne tähendus.
3. Eelnõu § 11 lõige 1 on eksitav ja sisutu. Ka andmekogusse kantud andmete puhul tuleb
lähtuda AvTS juurdepääsupiirangute regulatsioonist, mis tähendab, et kõik andmed pole
kunagi piiranguga. Andmekogu omanik peab andmekogus olevatele andmetele määrama
juurdepääsupiirangud. Vastasel juhul olukorras, kus teave pole vastavalt tähistatud, ei ole
võimalik andmekogust andmeid lekitavaid isikuid vastutusele võtta.
4. Lisaks peame vajalikuks toonitada, et isikuandmete kogumine ja säilitamine kui
eraelupuutumatuse riive peaks põhiseaduse § 26 sõnastusest ja olulisuse põhimõttest
Tatari tn 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
tulenevalt olema reguleeritud seaduse tasemel, mitte jäetud reguleerida määruse tasemele.
Ideaalis peaks volitusnorm ette nägema kogutavate isikuandmete üldise loetelu ning
vähemalt andmete säilitamise maksimaalse aja. Antud eelnõu puhul on andmekogusse
kantavate andmete säilitamise tähtaeg jäetud reguleerida andmekogu põhimääruses ehk
valitsuse tasandile.
Lugupidamisega
(allkirjastatud digitaalselt)
Pille Lehis
peadirektor
Koostaja: Terje Enula
[email protected], telefon: 627 4144
2 (2)