Kiri

Ministeeriumid Maksu- ja Tolliamet Politsei- ja Piirivalveamet 01.04.2021 nr 1.2.-2/21/1302 Head õigusloome eksperdid ja andmekaitse spetsialistid Olles lõpusirgel 2020. aasta kokku võtmisega, tuleb tõdeda, et oli üsna tegus õigusloome aasta. Andmekaitse Inspektsioonil tuli seaduse või määruse eelnõule või väljatöötamiskavatsusele anda oma arvamus 47 korral. Eriti hoogsaks muutus õigusloome covid-19 pandeemia lahvatamisega ega ole päriselt raugenud tänini. Et Andmekaitse Inspektsiooni arvamust oluliseks peeti, on märk sellest, et üha enam puudutab õigusloome andmeid – nende kasutamist, kogumist, jagamist jne. Kõige enam küsiti meie arvamust muudatustes, mis puudutasid üht või teist andmekogu. Nii märkasimegi, et jätkuvalt valmistab seaduse või põhimääruse koostajatele muret, kus mida kajastada, ei teadvustata endale andmete kasutamise täpse regulatsiooni väärtust ega mõisteta, miks mingid andmeid kogutakse. Tänasel rahvusvahelisel naljapäeval lubage mul edastada hoopis teile ülevaatamiseks üks andmekogu põhimäärus ja selle seletuskiri, milles oleme väikeses huumorivõtmes kokku võtnud enim esinevad vead ning need ka lahti seletanud. Loodame, et neist selgitustest on edaspidi kasu eelnõude tegemisel ja seniste õigusaktide kriitilisel ülevaatamisel. Käesolevat kirja võib lahkelt omakorda oma kolleegide ja partneritega jagada. Heade soovidega /allkirjastatud digitaalselt/ Pille Lehis peadirektor Sama: Sotsiaalkindlustusamet Päästeamet Terviseamet Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Statistikaamet Transpordiamet Lisad: 1. PÄKIS põhimäärus 2. PÄKIS seletuskiri 2 (2)  PÄKAPIKKUDE ANDMEKOGU PÕHIMÄÄRUSE SELETUSKIRI I Sissejuhatus Seletuskirja sissejuhatuseks toon välja mõned levinud põhimääruste koostamise probleemid:  Teistest põhimäärusest kopeeritud arhailised sätted, mis pigem risustavad põhimäärust. Põhimäärus peaks olema dokument, millest saab tervikliku ja realistliku ülevaate andmetöötlusest: kes, miks, mida, kuidas ja kui kaua töötleb ning kellega veel mille jaoks jagab.  Volitusnormi ületamine, õigemini küll selle puudumine. Seadusesse pannakse vaid üks lause ning ülejäänu lükatakse määrusesse, et lihtsam muuta oleks.  Sisult valed sätted (näiteks et andmete säilitamistähtaeg tuleb arhiiviseadusest või et kõik andmed on asutusesiseseks kasutamiseks), mida üksteise pealt maha viksitakse, sest normi loojad ei tunne vajalikke õigusakte.  Õigusakti regulatsioon ei pea sammu infosüsteemi arenguga. Kui ettevõtja ise sisestab andmed, pole kohane rääkida, et kande teeb asutus ettevõtja esitatud andmete alusel. Ka ei käi tihti jutt „registrikaardist“ või „vanale kandele punase joone alla tõmbamisest“ päriseluga kokku. Tihti pole normilooja ja infosüsteemi tundvate it-spetsialistide ning kasutajate vahel piisavat koostööd.  Püüded saada läbi ilma andmekogu õigusliku regulatsioonita. Olgu öeldud, et ISKEt tuleb küberturvalisuse seaduse järgi rakendada sõltumata sellest, kas infosüsteem on andmekoguna reguleeritud. Andmekoguna võib asutamata jätta üksnes sellise asutuse töö korraldamiseks mõeldud infosüsteemi, mida kasutatakse asutuse siseselt, kus isikuandmeid töödeldakse üksnes menetluse vältel ning kust ei väljastata teistele andmekogudele andmeid. Seadusega tuleb andmekoguna asutada infosüsteem, mis kogub ja säilitab andmeid lisaks algsele eesmärgile veel muudel eesmärkidel ning pikemat aega. Näiteks passi välja andmiseks kogutakse inimeselt andmed (sh sõrmejäljekujutised), kuid andmeid säilitatakse 50 aastat ning andmekogu andmeid kasutavad erinevad asutused isiku tuvastamiseks. Niisiis lähevad andmekogus andmete töötlemise eesmärgid oluliselt kaugemale andmete kogumise eesmärgist. Seega kujutab andmete töötlemine andmekogus endast täiendavat põhiõiguste riivet, mis aga tuleb sätestada seaduse tasandil. Põhiõiguste riive võib kaasneda ka ilma isikuandmeteta, nt kui ettevõtjatele seatakse kohustusi või piiranguid (tegevuse alustamise eelne kohustus sisestada infosüsteemi andmed, teatada andmete muutumisest). Kui tegemist pole isikuandmetega, võib seadusega andmekoguna asutamise tingida ka vajadus tagada andmete säilitamise järjepidevus. Näiteks kui tegemist on ajas püsivaid objekte (teed, kohanimed, maastikuelemendid, ehitised) iseloomustavate näitajatega, mille säilitamine pikaajaliselt on vajalik muutuste analüüsimiseks või ajaloolise järjepidevuse huvides. Põhimääruse põhjalikul regulatsioonil on tegelikult ka andmetöötleja seisukohast praktiline väärtus, mida seni pole taibatud. Isikuandmete kaitse üldmäärus näeb ette, et inimest tuleb tema andmete töötlemisest (ning töötlemisega seotud asjaoludest) teavitada 1 kuu jooksul andmete saamisest. Teavitama ei pea, kui see on selgelt õigusaktis kirjas. Niisiis saaksid andmeid töötlevad asutused vabaneda inimeste teavitamisest, kui nad seadus või põhimäärus kõik teavitamiskohustuse elemendid ära kataks. Viimaks märgin, et ka seletuskirja kohustuslikud osad „puutumus EL õigusega“, „mõjud“ ning „eelnõu rakendamiseks vajalikud ressursid“ vajavad samuti sisukat tähelepanu. Liiga tihti pole seletuskirja kohaselt puutumust EL õigusega, ometi töödeldakse andmekogus isikuandmeid, mis tähendab otsest kokkupuudet EL otsekohalduva isikuandmete kaitse üldmäärusega. Seletuskirjast peaks selguma, kas on läbi viidud IKÜMis nõutud mõjuhinnang ning andmete teisese kasutamise lubatavuse analüüs ning millistele tulemustele nendega jõuti. Järgnevalt on selgitatud päkapikkude andmekogu põhimääruse näitel, mis põhimääruses teisiti teha tuleks. Olgu öeldud, et suurem osa sellest põhimäärusest koosneb erinevate, praegu kehtivate põhimääruste tekstidest. II Seletused eelnõu sätete juurde Määrus kehtestatakse kooskõlas avaliku teabe seaduse § 43 1 lõikega 1, §-ga 43 3 ja §-ga 43 5 Määrusel puudub volitusnorm. Avaliku teabe seaduse andmekogu sätted ei sisalda üldvolitust andmekogude asutamiseks. Andmekogu asutamise sätted seaduses peavad piiritlema põhiõiguste riive ulatuse: andmekogu eesmärk, kogutavad andmed, andmekogu vastutav töötleja, andmete säilitamise aeg ning teisese kasutamise tingimused. Põhimäärusega võib andmekoosseisu täpsemalt lahti kirjutada, kuid seadust lugedes peab olema võimalik aru saada, milliseid andmeid inimese kohta kogutakse. Pikaajaline säilitamine ning isikuandmete avalikustamine tuleb sätestada seaduse tasandil. Eriliiki isikuandmete töötlemist ette nägevad normid peavad vastama IKÜM art 9 nõuetele.1 § 1. Päkapikkude andmekogu nimetus Infosüsteemi ametlik nimetus on PÄKIS. (PÄKIS on siiski vaid lühend, mitte ametlik nimetus). § 2. Registri pidamise eesmärk (põhimääruses kastutakse segamini erinevaid mõisteid – register, andmekogu, infosüsteem). Päkapikkude andmeid kogutakse päkapikkude üle arvestuse pidamiseks (mis eesmärgil arvestust peetakse? Arvestuse pidamine pole eesmärk iseenesest), päkapikkude kohta informatsiooni kogumiseks (andmete töötlemise, seega ka andmekogu eesmärk ei saa olla andmete kogumine), avaliku korra (avaliku korra mõiste2 on liiga lai, et selle kaudu saaks püstitada andmete töötlemise selge eesmärgi), siseturvalisuse (määratlemata õigusmõiste, ei selgu andmete töötlemise ulatus) ja riigi julgeoleku tagamiseks, päkapikkude levikutendentside selgitamiseks, levimuse ja suremuse analüüsimiseks, statistika ja teadusliku uurimistöö 1 Norm on selge; andmetöötlus on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. 2 Vt avaliku korra mõiste korrakaitseseaduse § 4 lg 1: „Avalik kord on ühiskonna seisund, milles on tagatud õigusnormide järgimine ning õigushüvede ja isikute subjektiivsete õiguste kaitstus.“ Näitena korrarikkumisest on kirjanduses toodud ka teele murdunud puu. tegemiseks, poliitika kujundamiseks (mis valdkonnas poliitika?) ja järelevalve teostamiseks (kelle poolt mille üle?). § 3. Andmete õiguslik tähendus (1) Infosüsteemi andmed on informatiivse ja statistilise tähendusega, kui seadusest ei tulene teisiti. Kuigi AvTS seda nõuab, on sellised sätted sisutühjad. Ilmselgelt asutus lähtub oma töös andmekogusse kantud andmetest, vastasel juhul oleks andmekogu pidamine mõttetu. Nii on kohatu rääkida, et andmetel on vaid statistiline või informatiivne tähendus. Seadus peab eristama vaid neid juhte, kus andmekogu andmetel on kolmandate isikute (st asutuseväliste) suhtes konstitutiivne tähendus. Nii on see kinnistusraamatu ja äriregistri osade kannete puhul. (2) Infosüsteem on piiratud juurdepääsuga ja infosüsteemi andmed on ainult ametialaseks kasutamiseks, kui ei ole sätestatud teisiti. Säte on eksitav ja sisutu. Ka andmekogusse kantud andmete puhul tuleb lähtuda AvTS juurdepääsupiirangute regulatsioonist. Kõik andmed pole kunagi AK. Juurdepääsupiirangud on ju ka tähtajalised. Andmekogust saab teha erinevaid väljavõtteid nii, et juurdepääsupiiranguga infot ei väljastata. Andmekogu omanik peab olema andmekogus olevatele andmetele määranud juurdepääsupiirangud. Vastasel juhul poleks võimalik vastutusele võtta isikuid, kes andmekogust teavet lekitavad (sest teave polnud AK-na tähistatud). Juurdepääsupiirangud saab määratleda ka põhimääruses, kuid seda ikka AvTS regulatsiooniga kooskõlas. § 4. Infosüsteemi pidamise viis (pigem andmekogu arhitektuur, ülesehitus). (1) Infosüsteemi peetakse ühetasandilise infotehnoloogilise andmekoguna. Siia pannakse kirja alaminfosüsteemid. Ka andmelao ja arhiivi olemasolu tuleks kirja panna. Selguse huvides võiks loetleda ka rakendused, nt kasutajatele mõeldud iseteeninduskeskkond. (2) Infosüsteemi pidamisel kasutatakse automatiseeritud andmetöötlust ja andmed säilitatakse digitaalsel kujul. 20 aastat tagasi ehk oli asjakohane, kuid tänaseks sisutu säte. Infosüsteem on defineeritud küberturvalisuse seaduses ning selle järgi infosüsteem kujutabki endast digitaalset andmete töötlust. (3) Andmekogu moodustavad infosüsteemi kanded ja kannete alusdokumendid. Ei selgu, kas alusdokumendid on infosüsteemis või kusagil eraldi. Leidub veel palju põhimäärusi, milles alusdokumentide all peetakse silmas hoopis pabertoimikuid. Andmekogu on juriidiline mõiste. Andmekogu tähistab seaduses piiritletud andmete kogumit, millele kohaldub üks kindel režiim. Andmekogu võib koosneda lisaks digitaalsetele andmetele ka pabertoimikustest, samuti võib andmekogu koosneda mitmest omavahel ühendatud infosüsteemist. § 5. Andmekogu vastutav ja volitatud töötleja (1) Infosüsteemi vastutav töötleja on Avaliku Korra Ministeerium (edaspidi vastutav töötleja). (2) Infosüsteemi volitatud töötleja on isik või asutus, kellega vastutav töötleja on sõlminud lepingu või andnud volituse registrisse andmete sisestamiseks ning andmete töötlemiseks. Tühi säte, sellest ei selgu, kes volitatud töötlejad siis tegelikult on.3 Too välja erinevate volitatud töötlejate profiilid – nt infosüsteemi arendaja-majutaja, andmeid sisestavad-kasutavad asutused. NB!  Asutuse töötajad ei ole volitatud töötlejad!  Isikuandmete vastutav töötleja ≠ andmekogu vastutav töötleja. 3 Selliseid norme leiab tihti just KOVide andmekogude põhimäärustest. Sellest ei selgu, kas volitatud töötleja on ainult KOVi enda asutus, või ka näiteks jäätmevedaja, kes registrisse andmeid esitab ja registri andmeid kasutab. Näiteks kohtute infosüsteemi vastutav töötleja on Justiitsministeerium, sellesse kantud andmete vastutavad töötlejad on aga kohtud. Kohus kui isikuandmete vastutav töötleja määrab kindlaks andmete töötlemise eesmärgid ja viisid. § Puudu on vastutava ja volitatud töötleja vahelist tööjaotust reguleeriv säte. Enamjaolt esitatakse see trafaretse loeteluna, mõtlemata, kes tegelikult mida teeb. Kui isikuandmete vastutav töötleja ≠ andmekogu vastutav töötleja, peab hoolikalt järgi mõtlema, kellel ikkagi on õigus andmeid parandada või kustutada, kellel on õigus väljastada andmeid, sh vastata andmesubjekti päringutele. § 6. Infosüsteemi ülesehitus Infosüsteem koosneb järgmistest andmestikest: 1) ühiste infoobjektide andmestik; 2) otsimise andmestik; 3) haldustegevuse andmestik; 4) ennetava tegevuse andmestik; 5) reageeriva tegevuse andmestik; 6) jälitusmenetluse andmestik. § Puudu on andmekoosseisu avavad normid. Eelnevast §-st ei selgu kuidagi, mis andmeid andmekogusse kogutakse. § 7. Andmekogudevaheline andmevahetus Infosüsteemi vastutav töötleja võib seadusega või seaduse alusel antud õigusaktiga talle pandud ülesannete täitmiseks esitada päringuid ja saada andmeid teistest riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku andmekogudest. See norm on mitteregulatiivne, sisutühi. Õigus teistelt isikutelt ja asutustelt andmeid saada ei saa tuleneda andmekogu põhimäärusest, vaid seaduse menetlusnormidest, mis asutuste tegevusele kohalduvad. IKÜM art 14 lg 2 p f kohaselt tuleb andmesubjektile teatavaks teha andmete teave isikuandmete päritoluallikas. AvTS § 435 lg 1 kohaselt tuleb põhimääruses kajastada andmeandjad. Niisiis tuleb põhimäärusesse kirja panna, kust milliseid andmed andmekogusse saadakse. § 8. Andmeandjad (1) Infosüsteemi esitavad andmeid: (norm on ebaühtlase selgusega: osadel juhtudel pole öeldud, mis andmeid esitatakse; kuivõrd põhimääruses pole andmekoosseisu toodud, ei saa ka kontrollida, kas see, mida esitatakse, kajastub ka andmekoosseisus; andmekogu eesmärgid on sõnastatud nii laialivalguvalt, et ei ole võimalik kontrollida, kas esitatu on vajalik andmekogu eesmärgi täitmiseks) 1) Politsei- ja Piirivalveamet teateid päkapikkude poolt toime pandud sissemurdmiste ja muude päkapikkude poolt või nende vastu toime pandud süütegude või sellekohaste vihjete kohta; 2) Võrdõiguslikkuse volinik laste poolt esitatud ebavõrdse kohtlemise teadete kohta; 3) Tööinspektsioon tööõnnetuste ning töö- ja puhkeaja reeglite rikkumise kohta; 4) Tervishoiuteenuse osutajad päkapikkude kaudu levivate nakkushaiguste negatiivsete ja positiivsete testitulemuste ning lähikontaktsete kohta; 5) Maksu- ja Tolliamet tasutud ja tasumata maksude ning päkapiku maksukuulekusprofiili kohta;  6) Transpordiamet päkapikkudele kuuluvate transpordivahendite ning nendega seotud lennu- ja saaniõnnetuste kohta; 7) Riigi Ilmateenistus ilmaolude kohta; 8) Häirekeskus reageeriva tegevuse ja otsimise andmestikku; (mis andmeid?) 9) Prokuratuur ja kohus; (mis andmeid?) 10) Terviseamet ennetava tegevuse ja otsimise andmestikku täiendava teabena – diagnoosi kuupäev, haigla kood ja nimetus, muu diagnoosiga otseselt seotud asjakohane ja oluline info. „muu info“ on liiga ebamäärane. 11) Päkapikkude külastatavate kinnistute ja kinnistuomanike andmed koostatakse olemasolevate valla ja/või riigi registrite baasil. Kinnistute ja kinnistuomanike kohta on Eestis üks ja ainus, konstitutiivse tähendusega kannetega andmekogu – kinnistusraamat. Lubamatu on pidada mingit dubleerivat kinnistute registrit. (2) Andmevahetus andmeandjatega toimub riigi infosüsteemide andmevahetuskihi kaudu või muul kokkulepitud elektroonset teabevahetust võimaldaval viisil. AvTS § 439 lõiked 1 ja 3: andmevahetus riigi infosüsteemi kuuluvate andmekogude vahel võib käia vaid üle x-tee, mitte ühelgi muul viisil. § 9. Andmete infosüsteemi kandmine (1) Andmed kantakse infosüsteemi selle kasutamiseks loodud tarkvara abil. Tänapäeval ülearune säte. Selle asemel tasub välja tuua, millised rakendused andmete sisestamiseks kasutusel on (nt iseteenindusportaal, ametnikuliides). (2) Infosüsteemi kantakse andmed alusdokumentide, isikutelt saabunud teadete või politseilise tegevusega saadud info alusel. (3) Andmete infosüsteemi kandmiseks õigustatud ametnikud ja töötajad määrab käesoleva määruse § 8 nimetatud andmeandja. Selgub, et § 8 ei kajasta mitte andmekogudevahelisi päringuid, vaid teiste asutuste töötajate poolt otse PÄKISesse andmete sisestamist. Tavaliselt saadakse andmed teistest andmekogudest siiski päringuga (kas ühekordne või automaatselt seadistatud pidev andmeedastus). (2) Kasutajad kannavad registrisse andmeid neile õigusakti, ametijuhendi või lepinguga määratud kohustuste ulatuses. Ei ole vale, kuid väheinformatiivne. Kas sellise sätte järele üldse on vajadust. § 10. Andmete õigsuse tagamine sisu on väheinformatiivne. (1) Andmeandja vastutab tema poolt infosüsteemi kantud andmete õigsuse eest andmete infosüsteemi kandmise ajal. IKÜMist tuleneb niigi, et iga isikuandmete vastutav töötleja peab tagama andmete õigsuse. Tõsi, andmekogu sisaldab ka muid, kui ainult isikuandmeid. Aga mis on selle sätte eesmärk? Kas see mõjutab riigivastutuse jaotust? Kas see on kooskõlas menetlusnormidega, mis kohalduvad sellele tegevusele, mida andmekogu andmetega tehakse? (2) Kui andmeandja või andmete töötleja avastab ebaõiged andmed, võtab ta tarvitusele vajalikud meetmed nende parandamiseks. Mis need meetmed on? Kumb siis parandab? Kas ehk on lihtsalt kantseliit, selle asemel, et öelda, et vastutav töötleja parandab andmed viivitamatult? Kui andmeandja avastab, et andmed olid valed, peab ta teavitama kõiki neid, kellele ta andmeid on edastanud. IKÜM art 19: Vastutav töötleja edastab teabe isikuandmete parandamise, kustutamise või isikuandmete töötlemise piiramise kohta vastavalt artiklile 16, artikli 17 lõikele 1 ja artiklile 18 kõigile vastuvõtjatele, kellele isikuandmed on avaldatud, välja arvatud juhul, kui see osutub võimatuks või nõuab ebaproportsionaalseid jõupingutusi. § 11. Infosüsteemile juurdepääs Normis räägitakse juurdepääsust, andmete saamisest, andmete edastamisest. Sõnastusest peaks selguma, mis vahe neil mõistetel on. Tuleb selgelt eristada erinevaid andmete saamise viise: andmete väljastamine üksikpäringu vastusena, otsejuurdepääsu andmine. Otsejuurdepääsu andmisel peab vastutav töötleja tagama, et seda kasutataks üksnes lubatud eesmärgil ja korras. Vastutav töötleja vastutab andmekogust andmete väljastamise eest. (1) Päkapikule väljastatakse tema kohta käivaid andmeid tema digitaalallkirjastatud taotluse alusel, milles peab olema ära näidatud andmete küsimise põhjus ja kasutamise eesmärk. Andmesubjekt ei pea kunagi põhjendama, miks ta enda andmeid tahab. Andmed väljastatakse pä[email protected] aadressil sõltumata sellest, kas päkapikk seda kasutab. Riik ei saa inimesele tema teadmata luua postkasti ning hoida seda enda valduses, eriti aga veel olematu volitusnormi alusel määruse tasemel.4 Andmed jäetakse päkapikule väljastamata, kui väljastamine ohustaks avaliku korra tagamist. Andmete väljastamata jätmist ei põhjendata, kui see võiks ohustada avaliku korra kaitset. IKÜM art 23 võimaldab piirata andmesubjekti õigusi siseriikliku seadusega ent seda artiklis 23 loetletud eesmärkidel ning selgelt piiritletult. IKÜM art 23 lg 2 sätestab, millistele nõuetele selline norm peab vastama. Lühidalt öeldes peab normist selguma, kes, miks, millisel juhul, mismoodi ja kui kauaks võib andmesubjekti õigusi piirata, kuidas andmesubjektile vastatakse ning kus saab vaidlustada. (2) Infosüsteemile on juurdepääs Kaitsepolitseiametil, Välisluureametil, Kaitseministeeriumil ja Rahapesu Andmebürool. Kõik need asutused täidavad erinevaid ülesandeid, millisteks ülesanneteks juurdepääs antakse? (3) Justiitsministeeriumil on turvalise kanali kaudu juurdepääs PÄKISe andmelaos olevatele pseudonüümitud andmetele analüüside koostamise eesmärgil. Mis analüüside, millisel õiguslikul alusel? IKÜM järgi pseudonüümitud andmed = isikuandmed. Isikukoodi asendamine pseudokoodiga pole tihti piisav, sest andmekoosseisu kaudu on isik kaudselt tuvastatav. (4) Andmekogu edastab igapäevaselt e-posti teel Riigikantseleile kõik uued andmed riigi olukorrast ülevaate saamiseks. Millise Riigikantselei ülesande täitmiseks? Andmevahetus peab käima x-tee kaudu. (5) Majandus- ja Kommunikatsiooniministeeriumi poolt määratud isikud ja asutused saavad andmeid krattide treenimise eesmärgil. Säte on liialt üldine (ega vabasta seega andmetöötlejaid ka IKÜM art 14 teavitamiskohustusest). Levinud eksimus on, et antakse välja toor- ehk isikustatud andmed (nt asutusse laekunud kodanike e-kirjad). Kuna nii on kõige mugavam (ei pea andmeid puhastama). Tegelikkuses ei ole näiteks juturobotite õpetamiseks üldjuhul vaja teada, kes on see isik analüüsitava teksti (pöördumise) taga või mis soost ta on. Seega, põhimäärus võiks piiritleda, et teave antakse välja isikustamata (anonüümsel) kujul. Krattide õpetamiseks isikustatud andmete kasutamine eeldab õiguslikku alust ning andmete teisel eesmärgil kasutamise lubatavuse analüüsi IKÜM art 6 lg 4 alusel + teatud juhtudel ka mõjuhinnangut (IKÜM art 35). (6) Haigekassal on õigus saada andmekogust andmeid oma seadusest tulenevate ülesannete täitmiseks. Sellisest viitest on võimatu aru saada, milliseks andmeid töödeldakse, sest Haigekassa seaduse ise viitab edasi määratlemata ülesannetele ja õigusaktidele. Haigekassa seaduse § lg 1: „Haigekassa eesmärk on ravikindlustushüvitiste võimaldamine, tervishoiuteenuste eest tasumine ning tervishoiuteenuste korraldamisega seotud teiste 4 Andmekaitse Inspektsioon kritiseeris tugevalt [email protected] aadresside tagaselja suunamist rahvastikuregistrisse kantud e-postiaadressidele, kusjuures riigi kätte tekib sel viisil saadetud kirjade postkast. Inspektsioon on seisukohal, et seda saab teha üksnes rahvastikuregistri seadusesse normide loomise kaudu. AvTS § 321 lg 1 järgi on Eesti teabevärav veebileht, mille kaudu on kättesaadav teabevaldajate tegevusvaldkonda ja üldkasutatavaid teenuseid puudutav avalikkusele suunatud teave ning mille kaudu võimaldatakse juurdepääs elektroonilisele üldkasutatavale teenusele ja taaskasutatavale teabele. Samas sättes asuva volitusnormi alusel on aga loodud kõigile eesti inimestele riigi käes olev e-postkast. ülesannete täitmine vastavalt ravikindlustuse seadusele, tervishoiuteenuste korraldamise seadusele ja muudele õigusaktidele ning haigekassa eelarves ettenähtud kuludele.“ (7) Maksu- ja Tolliametil on õigus saada PÄKISest andmeid üüri- ja renditulu varjamise ning keeldude ja piirangutega seotud kaupade liikumise riskihinnangute koostamiseks.5 (8) Sotsiaalkindlustusamet kasutab andmeid päkapikule proaktiivse sündmusteenuse pakkumiseks. Riik ei saa igal sammul asuda inimese teadmata tema elu analüüsima ja omal äranägemisel sekkuma. (9) Kindlustusandja saab andmeid (mis andmeid?) päkapiku ning kinnistuomaniku kindlustusriski hindamiseks, hüvitise määramiseks, tagasinõuete esitamiseks ja kindlustuskelmuste ennetamiseks ning tuvastamiseks. Õigus andmeid saada peab kindlustusandjale tulema seadusest. Põhimäärus vaid peegeldab seda. (10) Muudel asutustel on juurdepääs, kui see on vajalik nende seadusest tulenevate ülesannete täitmiseks. Üksikjuhtumiteks ei anta teistele asutustele otsejuurdepääsu, vaid väljastatakse andmed vastava taotluse alusel. (11) Kord ööpäevas edastatakse andmekogu koopia Statistikaametile, mis ühendab selle oma teiste statistiliste registritega, pakkumaks andmejagamisteenust. Andmete väljastamiseks peab olema selge õiguslik alus. Statistikaamet saab pakkuda andmejagamisteenust, kuid seda asutuse konkreetse soovi alusel ning siis määratakse kindlaks täpselt vajalik andmekoosseis. IKÜM art 13 ja 14 kohaselt tuleb andmesubjektile teatavaks teha teave isikuandmete vastuvõtjate või vastuvõtjate kategooriate kohta. Kui seda, kellele milleks andmeid väljastatakse, põhimääruses või seaduses kirjas pole, tuleb andmesubjekti andmete edastamist ja saamisest 1 kuu jooksul teavitada (vt IKÜM art 12-14). Põhimääruse kaudu saab aga realiseerida IKÜM art 14 lg 5 p c erandi teavitamiskohustusest. § Põhimääruses saaks kindlaks määrata ka avaandmeteks antavad andmed ning vajadusel avaandmete kasutamise tingimused. § 12. Andmete säilitamine (1) Registrisse kantud andmete ja registri alusdokumentide arhiveerimisel lähtutakse arhiiviseadusest ja selle alusel kehtestatud õigusaktidest. Arhiiviseadusele viitamine on sisutu, arhiiviseadus ei anna tähtaegu. Säilitamistähtajad tuleb ise selgelt kindlaks määrata, lähtudes andmete kasutamise eesmärgist. IKÜM art 13 ja 14 kohaselt tuleb andmete säilitamise aeg andmesubjektile teatavaks teha. Kui seda põhimääruses või seaduses kirjas pole, tuleb 1 kuu jooksul andmete saamisest andmesubjekti teavitada. (2) Andmestikust tehakse kord aastas varukoopia, mida säilitatakse 25 aastat turvalises MS või AWS pilveteenuses. Regulaarselt tehtavaid varukoopiaid pole mingit põhjust säilitada pikaajaliselt, kindlasti mitte aga kauem, kui andmekogu andmeid endid. Isikuandmete ja muu AK teabe pilve viimisele peab eelnema infoturberiskide ja andmekaitseliste mõjude kirjalik hindamine. Eelkõige tuleb tähelepanu pöörata, kas pilveettevõte võtab lepinguga endale õigusi teha isikuandmetega muud, kui asutuse eesmärgid ette näevad. Samuti peab asutusel enne pilve minemist olema teadmine, kas andmed võivad liikuda kolmandatesse riikidesse (millega on 5 Mis puudutab riski jm profiile, siis IKÜM art 14 lg 2 p g kohaselt tuleb andmesubjektile esitada teave artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks. Teiseks tuleb arvestada, et korrakaitseseadus ei sisalda õigusrikkujate vm kriteeriumi alusel isikute väljasõelumiseks massandmetöötluse (rasterandmetöötluse) meedet. seotud täiendavad nõuded).6 Kui jah, siis mis on need täiendavad kaitsemeetmed, mida pilveteenus rakendab. Levinud viga on nt see, et pilveteenus viitab lepingutingimustes jätkuvalt privacy shield raamistikule. Samuti peab asutus pilvelepingu tingimustest aru saama, kas ja milliseid alltöövõtjaid pilveteenus kasutab. Ning kus nad paiknevad. AKI seisukoht on, et pilveteenust kasutades peab asutus tagama andmete varundamise enda kontrolli all olevas Eestis asuvas serveris. § 13. Infosüsteemi arhiiv Andmete säilitamise tähtaja saabumisel kantakse andmed arhiivi. Arhiiv = andmete töötlemine, millele peab samuti olema ette nähtud tähtaeg. Peab selguma, mida arhiiv sisuliselt tähendab (kas on teistsugused juurdepääsuõigused) ning miks seda üldse vaja on. Andmekogu arhiiv ≠ arhiiviseaduse arhiiv. § 14. Registri pidamise, finantseerimise ja registri likvideerimise kord (1) Registri pidamist, täiendamist ja arendamist finantseeritakse selleks eraldatud vahenditest (kui neid eraldatakse). Mis on selle sätte mõte, milleks seda vaja on? (2) Registri pidamise lõpetamise otsustab avaliku korra minister omal äranägemisel. Minister ei saa lõpetada andmekogu, mille pidamine on seadusega ette nähtud. § 15. Andmete kaitse ja järelevalve registri pidamise üle (1) Registri vastutav ja volitatud töötleja tagavad registri andmete käideldavuse, tervikluse ja konfidentsiaalsuse organisatsiooniliste, füüsiliste ja infotehnoloogiliste turvameetmetega. Kui seadus näeb ette isikuandmete avalikustamise, tuleks kindlasti kasutada robotilõkse ning keelata otsingumootorite indekseerimine. Suurema andmekoosseisu puhul tuleks ka avalikele isikuandmetele juurdepääsuks kasutada autentimist, et vältida tarbetuid uudishimupäringuid ning massallalaadimisi. (2) Registri andmekogu turvaklass on K1T1S0 ja turbeaste keskmine (M). AK teavet sisaldava andmekogu konfidentsiaalsuse osaklass ei saa olla 0. (3) Registri andmete sisestamisi ja muutmisi logitakse. Aga kustutamisi, andmetega tutvumist ja andmete väljastamist? Kui neid ei logita, kuidas siis saab tagada, et andmekogu ei väärkasutata ning andmesubjektile vastata, et kellele tema andmeid on väljastatud? AKI peab oluliseks, et kasutataks andmejälgijat. (4) Järelevalvet registri pidamise üle teostab vastutav töötleja ning teised isikud ja asutused, kellel on selleks seadusest tulenev õigus. Väheväärtuslik säte, see tuleneb niigi teistest seadustest. § 16. Andmete töötlemise erisus eriolukorras Vabariigi Valitsuse poolt 12. märtsil 2020. aastal välja kuulutatud eriolukorra ajal saab tervise ja tööminister anda juhiseid, kes milliseid andmeid peaks veel infosüsteemi kandma ja neid sellest saama. Ka häda- ja eriolukorras tuleb paraku lähtuda sellest, et riigivõim saab tegutseda üksnes seaduse alusel. § 17. Rakendussätted (1) Määrus jõustub 1. detsembril 2021. (2) Paragrahv 14 lõige 1 jõustub 1. aprillil 2035. 6 https://www.aki.ee/et/teenused-poordumisvormid/andmete-edastamine-valisriiki  PÄKAPIKKUDE ANDMEKOGU PÕHIMÄÄRUS Määrus kehtestatakse kooskõlas avaliku teabe seaduse § 43 1 lõikega 1, §-ga 43 3 ja §-ga 43 5 § 1. Päkapikkude andmekogu nimetus Infosüsteemi ametlik nimetus on PÄKIS. § 2. Registri pidamise eesmärk Päkapikkude andmeid kogutakse päkapikkude üle arvestuse pidamiseks, päkapikkude kohta informatsiooni kogumiseks, avaliku korra, siseturvalisuse ja riigi julgeoleku tagamiseks, päkapikkude levikutendentside selgitamiseks, levimuse ja suremuse analüüsimiseks, statistika ja teadusliku uurimistöö tegemiseks, poliitika kujundamiseks ja järelevalve teostamiseks. § 3. Andmete õiguslik tähendus (1) Infosüsteemi andmed on informatiivse ja statistilise tähendusega, kui seadusest ei tulene teisiti. (2) Infosüsteem on piiratud juurdepääsuga ja infosüsteemi andmed on ainult ametialaseks kasutamiseks, kui ei ole sätestatud teisiti. § 4. Infosüsteemi pidamise viis (1) Infosüsteemi peetakse ühetasandilise infotehnoloogilise andmekoguna. (2) Infosüsteemi pidamisel kasutatakse automatiseeritud andmetöötlust ja andmed säilitatakse digitaalsel kujul. (3) Andmekogu moodustavad infosüsteemi kanded ja kannete alusdokumendid. § 5. Andmekogu vastutav ja volitatud töötleja (1) Infosüsteemi vastutav töötleja on Avaliku Korra Ministeerium (edaspidi vastutav töötleja). (2) Infosüsteemi volitatud töötleja on isik või asutus, kellega vastutav töötleja on sõlminud lepingu või andnud volituse registrisse andmete sisestamiseks ning andmete töötlemiseks. § 6. Infosüsteemi ülesehitus Infosüsteem koosneb järgmistest andmestikest: 1) ühiste infoobjektide andmestik; 2) otsimise andmestik; 3) haldustegevuse andmestik; 4) ennetava tegevuse andmestik; 5) reageeriva tegevuse andmestik; 6) jälitusmenetluse andmestik. § 7. Andmekogudevaheline andmevahetus Infosüsteemi vastutav töötleja võib seadusega või seaduse alusel antud õigusaktiga talle pandud ülesannete täitmiseks esitada päringuid ja saada andmeid teistest riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku andmekogudest. § 8. Andmeandjad (1) Infosüsteemi esitavad andmeid: 1) Politsei- ja Piirivalveamet teateid päkapikkude poolt toime pandud sissemurdmiste ja muude päkapikkude poolt või nende vastu toime pandud süütegude või sellekohaste vihjete kohta;  2) Võrdõiguslikkuse volinik laste poolt esitatud ebavõrdse kohtlemise teadete kohta; 3) Tööinspektsioon tööõnnetuste ning töö- ja puhkeaja reeglite rikkumise kohta; 4) Tervishoiuteenuse osutajad päkapikkude kaudu levivate nakkushaiguste negatiivsete ja positiivsete testitulemuste ning lähikontaktsete kohta; 5) Maksu- ja Tolliamet tasutud ja tasumata maksude ning päkapiku maksukuulekusprofiili kohta; 6) Transpordiamet päkapikkudele kuuluvate transpordivahendite ning nendega seotud lennu- ja saaniõnnetuste kohta; 7) Riigi Ilmateenistus ilmaolude kohta; 8) Häirekeskus reageeriva tegevuse ja otsimise andmestikku; 9) Prokuratuur ja kohus; 10) Terviseamet ennetava tegevuse ja otsimise andmestikku täiendava teabena – diagnoosi kuupäev, haigla kood ja nimetus, muu diagnoosiga otseselt seotud asjakohane ja oluline info. 11) Päkapikkude külastatavate kinnistute ja kinnistuomanike andmed koostatakse olemasolevate valla ja/või riigi registrite baasil. (2) Andmevahetus andmeandjatega toimub riigi infosüsteemide andmevahetuskihi kaudu või muul kokkulepitud elektroonset teabevahetust võimaldaval viisil. § 9. Andmete infosüsteemi kandmine (1) Andmed kantakse infosüsteemi selle kasutamiseks loodud tarkvara abil. (2) Infosüsteemi kantakse andmed alusdokumentide, isikutelt saabunud teadete või politseilise tegevusega saadud info alusel. (3) Andmete infosüsteemi kandmiseks õigustatud ametnikud ja töötajad määrab käesoleva määruse § 8 nimetatud andmeandja. (2) Kasutajad kannavad registrisse andmeid neile õigusakti, ametijuhendi või lepinguga määratud kohustuste ulatuses. § 10. Andmete õigsuse tagamine (1) Andmeandja vastutab tema poolt infosüsteemi kantud andmete õigsuse eest andmete infosüsteemi kandmise ajal. (2) Kui andmeandja või andmete töötleja avastab ebaõiged andmed, võtab ta tarvitusele vajalikud meetmed nende parandamiseks. § 11. Infosüsteemile juurdepääs (1) Päkapikule väljastatakse tema kohta käivaid andmeid tema digitaalallkirjastatud taotluse alusel, milles peab olema ära näidatud andmete küsimise põhjus ja kasutamise eesmärk. Andmed väljastatakse pä[email protected] aadressil sõltumata sellest, kas päkapikk seda kasutab. Andmed jäetakse päkapikule väljastamata, kui väljastamine ohustaks avaliku korra tagamist. Andmete väljastamata jätmist ei põhjendata, kui see võiks ohustada avaliku korra kaitset. (2) Infosüsteemile on juurdepääs Kaitsepolitseiametil, Välisluureametil, Kaitseministeeriumil ja Rahapesu Andmebürool. (3) Justiitsministeeriumil on turvalise kanali kaudu juurdepääs PÄKISe andmelaos olevatele pseudonüümitud andmetele analüüside koostamise eesmärgil. (4) Andmekogu edastab igapäevaselt e-posti teel Riigikantseleile kõik uued andmed riigi olukorrast ülevaate saamiseks. (5) Majandus- ja Kommunikatsiooniministeeriumi poolt määratud isikud ja asutused saavad andmeid krattide treenimise eesmärgil. (6) Haigekassal on õigus saada andmekogust andmeid oma seadusest tulenevate ülesannete täitmiseks. (7) Maksu- ja Tolliametil on õigus saada PÄKISest andmeid üüri- ja renditulu varjamise ning keeldude ja piirangutega seotud kaupade liikumise riskihinnangute koostamiseks. (8) Sotsiaalkindlustusamet kasutab andmeid päkapikule proaktiivse sündmusteenuse pakkumiseks. (9) Kindlustusandja saab andmeid päkapiku ning kinnistuomaniku kindlustusriski hindamiseks, hüvitise määramiseks, tagasinõuete esitamiseks ja kindlustuskelmuste ennetamiseks ning tuvastamiseks. (10) Muudel asutustel on juurdepääs, kui see on vajalik nende seadusest tulenevate ülesannete täitmiseks. (11) Kord ööpäevas edastatakse andmekogu koopia Statistikaametile, mis ühendab selle oma teiste statistiliste registritega, pakkumaks andmejagamisteenust. § 12. Andmete säilitamine (1) Registrisse kantud andmete ja registri alusdokumentide arhiveerimisel lähtutakse arhiiviseadusest ja selle alusel kehtestatud õigusaktidest. (2) Andmestikust tehakse kord aastas varukoopia, mida säilitatakse 25 aastat turvalises MS või AWS pilveteenuses. § 13. Infosüsteemi arhiiv Andmete säilitamise tähtaja saabumisel kantakse andmed arhiivi. § 14. Registri pidamise, finantseerimise ja registri likvideerimise kord (1) Registri pidamist, täiendamist ja arendamist finantseeritakse selleks eraldatud vahenditest (kui neid eraldatakse). (2) Registri pidamise lõpetamise otsustab avaliku korra minister omal äranägemisel. § 15. Andmete kaitse ja järelevalve registri pidamise üle (1) Registri vastutav ja volitatud töötleja tagavad registri andmete käideldavuse, tervikluse ja konfidentsiaalsuse organisatsiooniliste, füüsiliste ja infotehnoloogiliste turvameetmetega. (2) Registri andmekogu turvaklass on K1T1S0 ja turbeaste keskmine (M). (3) Registri andmete sisestamisi ja muutmisi logitakse. (4) Järelevalvet registri pidamise üle teostab vastutav töötleja ning teised isikud ja asutused, kellel on selleks seadusest tulenev õigus. § 16. Andmete töötlemise erisus eriolukorras Vabariigi Valitsuse poolt 12. märtsil 2020. aastal välja kuulutatud eriolukorra ajal saab tervise ja tööminister anda juhiseid, kes milliseid andmeid peaks veel infosüsteemi kandma ja neid sellest saama. § 17. Rakendussätted (1) Määrus jõustub 1. detsembril 2021. (2) Paragrahv 14 lõige 1 jõustub 1. aprillil 2035.