Tähelepanekud eelnõu osas

Pr Karmen Joller Teie 05.05.2026 nr 1.2-3/1172-1 Sotsiaalministeerium [email protected] Meie 25.05.2026 nr 1.5-1/2378 -1 Tähelepanekud eelnõu osas Lugupeetud minister Tervisekassa tutvus avaliku teabe seaduse ja teiste seaduste muutmise eelnõu materjalidega ning edastame alljärgnevad tähelepanekud andmejälgija kavandatava regulatsiooni osas. 1. Eelnõu kohaselt edastab andmejälgijasse andmesubjektiga seotud päringu logikirjed andmekogu vastutav töötleja, kes andmeid päris. Märgime, et kehtiva praktika kohaselt on Tervisekassal (ja tõenäoliselt ka teistel asutustel) andmejälgija rakendatud vastupidiselt, st andmejälgijasse edastab andmed see vastutav või volitatud töötleja, kelle andmekogust päriti. Ühe variandina oleks võimalik see päring jätta alles ja sinna kõrvale arendada n-ö pööratud loogikaga edastuse, ent meie hinnangul toob see kaasa põhjendamatu aja- ja ressursikulu. Samuti võib nö topelt logide kuvamine olla arusaamatu andmesubjektile ning koormata tema andmejälgijat üleliigsete päringulogidega. Teeme ettepaneku, et andmejälgijasse edastaks päringu logikirjed endiselt andmekogu vastutav või volitatud töötleja, kelle andmekogust päriti. Täiendavalt võiks isikuandmeid sisaldavale X-tee päringu päisele olla lisatud kohustuslik andmejälgija blokk ehk väli/väljad, mille kaudu saaks pärija edastada põhjenduse, miks andmeid päritakse, ja vajadusel muu andmejälgijaga seotud info. Selline lahendus tagab Tervisekassa hinnangul ka suurema kindluse, et iga X-tee päring saab andmejälgijas logitud, vältimaks olukorda, kus andmete pärija unustab näiteks logisid näidata. See vähendab meie hinnangul ka vajalike arenduste mahtu, sest iga X-tee päringuid saatev süsteem või rakendus ei pea tegelema andmejälgija logide saatmisega, vaid piisab vastava infobloki lisamisest X-tee päringutele. Lisaks kaob vajadus erinevate andmejälgija reeglite järele avalik- õiguslike ja eraõiguslike infotarbijate jaoks. 2. Eelnõu kohaselt on andmejälgija eesmärk võimaldada füüsilisele isikule anda Eesti teabevärava vahendusel ülevaade tema isikuandmetega seotud päringutest avalike ülesannete täitmiseks kasutatavates andmekogudes. 15.05.2026 aset leidnud avaliku teabe seaduse muutmise seminaril selgitati, et eesmärk hõlmab endas andmekogudest välja liikuvate andmete osas logide kuvamist andmejälgijas ning ühe andmekogu siseselt toimuvad päringud (nt rakendustevahelised päringud) eelnõu kohaldamisalas ei ole. Samas ei selgu see üheselt eelnõust. Samuti on ebaselge, kas vastus oleks teistsugune, kui andmekogusiseste rakenduste vahel oleks kasutusel X-tee. Teeme ettepaneku selgitada ja muuta eelnõu sõnastust selgemaks ning tuua välja, kas andmejälgija kohaldub ka andmekogu siseselt tehtavate päringute osas. Lisaks palume selgitada, kas vastus eelnevale küsimusele erineb, kui andmekogude siseselt kasutatakse andmete pärimisel X-teed. 3. Tervisekassale jääb eelnõust selgusetuks, mille järgi ja kuidas peaks andmekogu vastutav töötleja päringupõhiselt eristama avaliku ja eraõigusliku juriidilise isiku päringuid. Palume siinjuures Justiits- ja Digiministeeriumi selgitusi, kuidas sätete koostamisel kavandati see lahendada (sh tehniliselt). 4. Eelnõu põhjal jääb ebaselgeks, kas ja kes peaks andmejälgiat kasutama ja sinna logisid saatma juhtudel, kus andmekogusse andmeid esitatakse, mitte ei pärita. Näidetena võiksime tuua ravikindlustatuse tekkimise aluseks oleva teabe töötamise kohta, mida esitab Tervisekassale Maksu- ja Tolliamet (MTA). Kui MTA-l on õigusaktist tulenev kohustus esitada Tervisekassale teave isiku tööstaatuse osas, siis kas ja kes peaks selle osas esitama andmejälgijasse andmelogi? Teise näitena same tuua raviasutuste poolt Tervisekassale esitatavad raviarved ja retseptid. Tervisekassa ei käi pärimas, kas asutusel on raviarveid või kas tervishoiuteenuse osutaja on väljastanud retsepte, vaid need esitatakse raviasutuse või tervishoiutöötaja poolt teenuse osutamise käigus või järgselt. 4. Eelnõu kohaselt muutub andmejälgija kohustuslikuks alates 01.06.2027. Märgime, et Tervisekassal on kaks suurt andmekogu, mille vastu tehakse aastas sadu miljoneid päringuid. Esialgsel hinnangul tähendaks see ligikaudu üks miljard logirida aastas (umbes 100GB andmemahtu), mille andmejälgijasse edastaksime. Ühtlasi märgime, et kuivõrd Tervisekassas on paralleelselt käimas uute süsteemide arendamised, siis tähendaks täies ulatuses andmejälgija rakendamine alates 01.06.2027.a. Tervisekassa jaoks topeltarendusi. Andmejälgija rakendamine eeldab esmalt õigusselguse loomist, mida täpsemalt andmejälgijasse kuvada, arendusreeglite väljatöötamist ja arendamist. Kuna andmejälgija kohalduks eelnõus toodud reeglite kohaselt enamike Tervisekassa andmekogus ja retseptikeskuses arendatud X-tee teenuste osas, siis eeldab andmejälgija kasutuselevõtt teenuste hindamist ja iga teenuse osas reeglite ja arenduste kokkuleppimist. Lisaks märgime, et Tervisekassal on ka teisi X-teega liidestatud süsteeme ja rakendusi, millele laieneks uus andmejälgija kohustus. Seetõttu on Tervisekassa hinnangul vajalik vähemalt aasta pikkune ülemikuperiood (näiteks alates 01.06.2027), mille jooksul oleks võimalik järk-järgult teenustele andmejälgijat rakendama hakata. Märgime, et ainuüksi Tervisekassa andmekogu teenustele andmejälgija kohaldamine võib kaasa tuua olulise arendustega seotud lisakulu, millele lisandub andmejälgija andmete saatmisega seotud X-tee liikluse mahu kasv ja täiendav halduskoormus andmejälgijast tulenevate järelpärimiste vastamisel. Lugupidamisega (allkirjastatud digitaalselt) Siiri Lahe juhatuse esimees Aigi Vebernimi]koostaja [tel nr] [Koostaja [email protected] [e-post]