Vabariigi Valitsuse määruse "Andmenõusoleku ja volitustes haldamise andmekogu põhimäärus ning andmekogu infosüsteemide pidamise, haldamise ja kasutamise kord" eelnõu kooskõlastamine

Justiits- ja Digiministeerium Teie 26.05.2026 nr 8-1/4193-1; [email protected] JDM/26-0623/-1K Suur-Ameerika 1 10122, Tallinn Meie 16.06.2026nr 1.1-11/2292-2 Vabariigi Valitsuse määruse "Andmenõusoleku ja volitustes haldamise andmekogu põhimäärus ning andmekogu infosüsteemide pidamise, haldamise ja kasutamise kord" eelnõu kooskõlastamine Lugupeetud proua Pakosta Rahandusministeerium kooskõlastab Vabariigi Valitsuse määruse „Andmenõusoleku ja volitustes haldamise andmekogu põhimäärus ning andmekogu infosüsteemide pidamise, haldamise ja kasutamise kord“ eelnõu järgmiste märkustega. 1. Eelnõu ja seletuskiri on andmekogu definitsiooni osas vastuolulised. Volitusnormi ja eelnõu § 1 kohaselt luuakse üks andmekogu, mis koosneb andmenõusolekusüsteemist ja volituste haldamise süsteemist, samas kui seletuskirjas viidatakse mitmuses „andmekogudele“ ning käsitletakse andmenõusoleku ja volituste haldamise lahendusi sisuliselt eraldiseisvate andmekogudena. Selline vastuolu tekitab ebaselgust nii õiguslikus kui arhitektuurilises plaanis. Palume eelnõus üheselt selgitada, kas reguleeritakse ühte andmekogu kahe alamsüsteemiga või kahte eraldiseisvat andmekogu, millele kohaldatakse ühist regulatsiooni. Juhul kui tegemist on sisuliselt kahe iseseisva andmekoguga, on põhjendatud nende reguleerimine eraldi põhimäärustes. Kui aga eesmärk on reguleerida üht andmekogu kahe alamsüsteemiga, tuleks see eelnõus selgelt sätestada ning tagada terminikasutuse ja regulatsiooni struktuuri vastavus sellele käsitlusele. 2. Eelnõu § 3 lõikes 1 eristatakse andmenõusolekusüsteemi kui terviklikku raamistikku ning selle koosseisu kuuluvat andmeedastuse nõusoleku infosüsteemi. Paragrahvi 3 lõikes 2 kasutatakse aga mõistet „andmeedastuse nõusoleku süsteem“, mistõttu ei ole üheselt selge, kas viidatakse kogu andmenõusolekusüsteemile või konkreetsele infosüsteemile. Arvestades, et nõusoleku andmine on infosüsteemi funktsionaalsus, oleks terminoloogiliselt täpsem kasutada mõistet „andmeedastuse nõusoleku infosüsteem“. Õigusselguse tagamiseks palume terminikasutus eelnõus ühtlustada ning kasutada läbivalt täpseid mõisteid vastavalt sellele, millist süsteemi või selle osa silmas peetakse. Suur-Ameerika 1 / 10122 Tallinn / 611 3558 / [email protected] / www.fin.ee registrikood 70000272 3. Eelnõu § 3 lõike 2 praegune sõnastus on grammatiliselt vigane ja sisuliselt lünklik. Säte märgib, et süsteem „võimaldab füüsilisel isikul anda...isikuandmete edastamiseks“, jättes nimetamata toimingu objekti (nõusoleku). Kuigi seletuskirja punktis 2 on säte avatud korrektselt (võimaldab inimesel anda nõusoleku), peab ka õigustloova akti tekst olema iseseisvalt selge ja korrektne. Palume ühtlustada eelnõu § 3 lõike 2 sõnastus seletuskirjaga ja eelnõu § 2 punktiga 1, lisades puuduva sihitise („võimaldab anda nõusoleku isikuandmete edastamiseks…"). 4. Eelnõus kasutatav termin „andmeedastuse nõusoleku andmeandja“ on põhjendamatult keerukas ning tekitab sisulist segadust osapoolte rollide määratlemisel. Mõiste segab omavahel nõusoleku andmise ja andmete edastamise rollid, kuigi andmeandja tegelik funktsioon on olla andmete allikas, mitte nõusoleku andja. Palume kaaluda mõiste lihtsustamist või selle täpsustamist viisil, mis kajastaks selgemini andmeandja tegelikku funktsiooni ning väldiks erinevate rollide põhjendamatut põimumist. 5. Eelnõu § 5 lõikest 3 ei nähtu üheselt, kuidas on praktikas võimalik täita andmeandjale pandud kohustust esitada andmesubjektile enne nõusoleku andmist selleks vajalik teave. Arvestades, et andmeandjal puudub kontroll nõusoleku andmise kasutajaliidese ning andmesaaja teenuse osutamise protsessi üle, jääb ebaselgeks, millisel viisil peaks andmeandja vastava kohustuse täitma. Nõusoleku andmise protsess toimub praktiliselt andmesaaja teenuse raames ning andmesubjekt puutub enne nõusoleku andmist esmalt kokku just andmesaajaga. Seetõttu tekib küsimus, kas nõusoleku andmiseks vajaliku teabe esitamise kohustuse panemine andmeandjale on sisuliselt põhjendatud ja praktikas täidetav. Palume täpsustada andmeandja ja andmesaaja rollijaotust nõusoleku andmise protsessis ning kaaluda, kas nõusoleku andmiseks vajaliku teabe esitamise kohustus enne nõusoleku andmist peaks olema ikka andmeandjal. 6. Eelnõu punkti § 5 lõike 3 kohaselt on andmeandja kohustatud esitama andmesubjektile nõusoleku andmiseks loetletud teabe, sealhulgas teabe andmenõusoleku andmekogu haldaja ning tema õiguste ja kohustuste kohta (punkt 8). Jääb ebaselgeks, miks on selle teabe esitamise kohustus pandud andmeandjale ning kuidas see seostub andmeandja rolli ja vastutusega nõusoleku andmise protsessis. Palume selgitada osapoolte rollijaotust ning täpsustada, millistel kaalutlustel on andmekogu haldajat puudutava teabe esitamise kohustus pandud andmeandjale. Vajaduse korral tuleks üle vaadata ka vastutuse jaotus. Selguse huvides tuleks eelnõus täpsustada, et andmeandja vastutab vaid nende andmete esitamise eest, mis puudutavad tema hallatavat andmekogu ja edastatavaid andmeliike. 7. Logide säilitamise kord peab toetama andmeandja õiguskindlust. Eelnõus sätestatud logide säilitamise tähtaeg on maksumenetluse ja võimalike õigusvaidluste perspektiivist ebapiisav ning võib pärssida andmeandja võimalusi tõendada andmete väljastamise õiguspärasust. Praegune 3-aastane säilitamise tähtaeg võib piirata Maksu- ja Tolliameti võimalusi täita oma tõendamiskohustust menetlustes, mis kestavad pikemalt. Logide säilitamise tähtaeg peab olema piisav, et tagada tegevuste tõendatavus kogu võimaliku vastutuse perioodi vältel. Arvestades maksumenetluste ja võimalike vaidluste kestust, ei ole 3-aastane tähtaeg piisav, isegi kui see võib olla tavapärane tehniliste logide puhul. Palume kaaluda logide säilitamise tähtaja pikendamist või luua alternatiivne lahendus, mis tagab andmeandjatele ligipääsu vajalikele tõenditele ka pikema aja jooksul. 8. Eelnõus puudub andmenõusoleku tagasivõtmisel selgesõnaline kohustus varasemalt päritud isikuga seotud andmed kustutada, andmenõusolekuteenus oleks justkui ainult uute andmete pärimise õiguse haldamiseks. Soovitame tõsiselt kaaluda ja välja tuua, et kui andmesubjekt (isik) on oma nõusoleku lõpetanud, siis tema andmeid edasi töödelda ei tohi. 2 9. Eelnõu §-d 22–24 on uuesti esitatud §-dena 25–27. Mõlemad sätete plokid reguleerivad identseid asjaolusid: lõppkasutaja volituste haldamist, andmesaaja liidestumist ja süsteemi kasutamise lõpetamist. Samuti on seletuskirjas esitatud dubleerivad selgitused. Ettepanek on kustutada eelnõust dubleeriv plokk ning kontrollida ja ühtlustada §-de 22–24 sõnastust, eemaldades neist trükivead (nt § 24 sõnas „avaludse“) ja ebatäpsed terminid. 10. Eelnõus kasutatakse paralleelselt mõisteid „vastutav töötleja“ ja „haldaja“, määratlemata nende omavahelist seost või juriidilist erisust, mis tekitab segadust õiguste ja kohustuste kandja osas. Eelnõu tekstis jagunevad ülesanded kahe nimetuse vahel, ilma et oleks selge, kas tegemist on ühe ja sama asutusega eri rollides või kahe erineva subjektiga. Eelnõust jääb mulje, et mõlemad mõisted viitavad samale asutusele (RIA), kuid selline tõlgendus ei tulene normitekstist selgelt. Palume täpsustada mõistete „vastutav töötleja“ ja „haldaja“ definitsioone ning selgelt määratleda nende omavaheline suhe ja rollijaotus. Kui mõlemal juhul peetakse silmas sama asutust, tuleks kaaluda ka terminikasutuse ühtlustamist, et vältida tarbetuid tõlgendus- ja rakendusprobleeme. 11. Eelnõu § 20 ja § 30 vahel on sisuline vastuolu. Eelnõu praegune sõnastus jätab reguleerimata, milliseid andmeid peavad esitama teised asutused peale rahvastiku- ja äriregistri. Kui Maksu- ja Tolliamet (MTA) soovib liidestuda andmeandjana, siis puudub määruse tasandil volitus ja kirjeldus, milliseid andmeid MTA süsteemi edastama peaks või tohib. Seega eelnõust ei nähtu piisava selgusega, milline on teiste andmeandjate roll andmekogu andmestiku täitmisel. Samuti jääb ebaselgeks, milliseid andmeid on erinevad andmeandjad kohustatud süsteemi edastama ning kuidas jaguneb andmete esitamise vastutus andmeandjate vahel. Palume täpsustada andmekoosseisu ka teiste andmeandjate lõikes ning selgelt määratleda, milliseid andmeid iga andmeandja süsteemi edastab. See aitaks paremini mõista andmeandjate rollijaotust ning vältida võimalikke tõlgendus- ja rakendusprobleeme andmete esitamise kohustuse täitmisel. 12. Eelnõu § 36 lõikes 2 sätestatud andmete ja logide säilitamise kord on liialt üldistatud ning ei arvesta maksumenetluses oluliste andmete õiguslikku tähendust ega pikaajalisi säilitamisvajadusi. MTA-s volituste andmed maksukohustuslaste registri (MKR) puhul osa üldandmete koosseisust. MKR põhimääruse kohaselt üldandmeid säilitatakse kümme aastat pärast füüsilise isiku surma või juriidilise isiku õigusvõime lõppemist. Eelnõu § 36 lõikes 2 sätestatud regulatsioon, mille kohaselt säilitatakse volituste haldamise andmekogus nii andmeid kui logisid kolm aastat pärast volituse lõppemist, ei erista selgelt andmete eri liike ega nende õiguslikku tähendust. Selline lähenemine võib viia olukorrani, kus registri põhiandmed kustutatakse ajaliselt liiga vara. Kolmeaastane tähtaeg volituse lõppemisest arvates on põhiandmete puhul ebapiisav ning võib viia olukorrani, kus oluline tõendusmaterjal kustutatakse enne maksumenetluse või võimaliku kohtuvaidluse lõppu. Eelnõu peab selgelt eristama andmete ja logide säilitamise regulatsiooni. Lisaks tagama nende säilimise viisil, mis toetab ka MTA ülesannete täitmist ja tõendamiskohustust ka pärast kolme aasta möödumist. 13. Kui tulevikus MTA liigub täielikult Pääsukese teenuse kasutamisele ning Pääsukese teenusest saab pääsuõiguste/volituste andmete n-ö keskne tõeallikas, võib 3-aastane säilitamistähtaeg osutuda ebapiisavaks. Arvestada tuleks ka pikemaajaliste menetluste, vaidluste ja kohtumenetlustega, mille käigus võib tekkida vajadus tõendada pääsuõiguste/volituste olemasolu või sisu tagantjärele. Seetõttu võiks kaaluda pikemat säilitamistähtaega või teise lahenduse loomist, mis tagaks vajalike andmete kättesaadavuse ka pärast 3 aasta möödumist. 14. Eelnõus on märgitud, et osad teenused on lõppkasutajale tasuta (andmeedastuse nõusoleku haldamine, volituste haldamine). Kas see tähendab, et mõned teenused siiski ei ole tasuta? Kui 3 on ka tasulisi teenuseid, siis on ebaselge, et kuidas need kehtestatakse. Kui kõik on tasuta, siis võiks seda öelda kõigi teenuste kohta. Palume seletuskirjas tasudega seonduvat selgitada. 15. Määrus ei käsitle piisava detailsusega liidestamise rakendusmudelit. 16. Selgituskirjas on toodud, et „Näiteks, inimene kasutab terviseteenuse rakendust MinuDoc9 retsepti pikendamiseks, siis rakendus küsib inimeselt nõusolekut tema retseptiandmetele riiklikust tervise infosüsteemist TEHIK.“. Kas siin on mõeldud Terviseportaali? TEHIK on Tervise ja Heaolu Infosüsteemide Keskus. 17. Eelnõu seletuskirjas puudub analüüs eelnõu mõjudest ja kuludest, sh mõjust riigieelarvele, kulude mahust ja ajalisest jaotusest, võimalikest kuludest erinevatele asutustele ning nende katteallikatest. Seletuskiri suunab kulude käsitluse seaduse eelnõu materjalidesse (seletuskirja p 5). Samas tulenevad määrusest otsesed kulukohustused, eelkõige seoses infosüsteemide liidestamise ja kohandamisega (§ 4, § 20, § 23), kuid nende kulude suurusjärk ja jaotus ei ole määruse ega seletuskirja tasandil selgelt esitatud. Palume eelnõu seletuskirja täiendada ja tuua välja määrusega seotud mõjud ja kulud vastavates peatükkides. Lugupidamisega (allkirjastatud digitaalselt) Jürgen Ligi rahandusminister Virge Aasa 58851493 [email protected] Rando Kängsepp 59825053 [email protected] Kristi Müürsepp 58851397 [email protected] Kaur Karus 58851387 [email protected] Karin Madisson 58870368 Karin. [email protected] Carmen Aasamets 55638389 [email protected] Reelika Tammiste 6763298 [email protected] 4