Arvamus "Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimääruse" eelnõule

Siseministeerium Teie 03.07.2021 nr 1-6/2358-1 [email protected] Meie 13.08.2021 nr 5-6/21/2541 Eelnõu kooskõlastamine märkustega Esitasite kooskõlastamiseks Vabariigi Valitsuse määruse „Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus“ (edaspidi ABIS põhimäärus) eelnõu. Oleme eelnõuga tutvunud ja kooskõlastame selle allolevate märkustega arvestamisel. 1. Kaitseväeteenistuse seaduse (edaspidi KVTS) kohaselt säilitatakse demineerimistööga seotud sõjaväelise auastmega rahuaja ametikohale nimetatud tegevväelase (edaspidi tegevväelane) daktüloskopeerimisel saadud andmeid 3 aastat tegevteenistusest lahkumisest arvates. ABIS põhimääruse § 38 lõike 2 järgi säilitatakse tegevväelase daktüloskopeerimisel saadud andmeid Vabariigi Valitsuse 7. juuni 2013. a määruses nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ (edaspidi RSR põhimäärus) sätestatud aja jooksul. RSR põhimääruse § 19 lõike 1 kohaselt säilitatakse andmeid kohtuekspertiisiseaduse § 99 kohaselt, mille lõike 6 järgi KVTS § 921 lõike 3 alusel riiklikusse sõrmejälgede registrisse ja riiklikusse DNA-registrisse kantud tegevväelase daktüloskopeerimisel ja DNA-proovi analüüsil saadud andmed kustutatakse nimetatud registritest KVTS § 921 lõike 4 kohaselt. Edaspidi kantakse aga daktüloskopeerimisel saadud biomeetrilised andmed riikliku sõrmejälgede registri (edaspidi RSR ) asemel andmekogusse ABIS. Seega ei ole meie hinnangul võimalik sätestada ABIS põhimääruses, et andmete säilitamisele kohaldatakse RSR põhimäärust. Lisaks märgime, et määrusega ei saa muuta seadusega kehtestatud säilitustähtaegu. Seetõttu palume eelnõu muuta ja kõikide ABIS-esse kantavate andmete säilitamistähtajad seadusest tulenevalt põhimääruses sätestada ilma viideteta. 2. KVTS § 111 lõike 5 kohaselt on ABIS-e vastutavad töötlejad Politsei- ja Piirivalveamet (edaspidi PPA) ning Eesti Kohtuekspertiisi Instituut (edaspidi EKEI). ABIS põhimääruse § 4 lõike 3 järgi on vastutav töötleja üksnes EKEI. Meie hinnangul oleks määrus sellisel kujul seadusega vastuolus ning KVTS-i alusel ABIS-esse kantud andmete vastutavad töötlejad peaksid olema nii PPA kui EKEI. Palume eelnõu muuta. 3. KVTS § 111 lõike 2 kohaselt töödeldakse tegevväelase kohta ABIS-esse kantud andmeid pseudonüümitud kujul. Palume vastav säte lisada ka eelnõusse (nt § 10 lõikesse 2). Jälje omaniku tuvastamiseks peab päringu tegija pöörduma Kaitseväe poole, kellel on info tegevväelaste identifitseerimiskoodide kohta. Kaitsevägi peab olema veendunud, et tegemist on Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502 omaniku tuvastamiseks peab päringu tegija pöörduma Kaitseväe poole, kellel on info tegevväelaste identifitseerimiskoodide kohta. Kaitsevägi peab olema veendunud, et tegemist on õiguspärasel eesmärgil andmete küsimisega, mis omakorda tähendab, et üksnes jälgede välistamiseks ekspertiisiobjektil ei ole põhjendatud isiku tuvastamine. 4. Eelnõust ja seletuskirjast ei selgu, kuidas viiakse tegevväelase sõrmejälg ja identifitseerimiskood kokku. Selgusetu on, kuidas ja millises andmekogus on edaspidi võimalik tuvastada, millisele tegevväelasele jäetud jälg kuulub. KVTS kohaselt on tagatud tegevväelase anonüümsus, ning välistatud on tuvastamine vahetu päringu kaudu. Samuti on lubatud tegevväelase daktüloskopeerimisel saadud teavet hoida vaid automaatse biomeetrilise isikutuvastuse süsteemi andmekogus. Sarnaselt tegevväelase andmetele on selgusetu ka teiste isikute andmete puhul, kuidas toimub andmete liikumine, võrdlemine ja biomeetria kuuluvuse tuvastamine. Palume eelnõu ja seletuskirja täiendada teabe hoidmist ja vahetamist puudutavaga. 5. On selgusetu, kuidas on tervikuna reguleeritud juurdepääs andmekogu andmetele. Eelnõu § 4 loetleb volitatud töötlejad, kellel peaks seletuskirja kohaselt olema juurdepääs andmekogu andmetele. Paragrahvi 37 kohaselt kohaldatakse andmete väljastamisele asjakohases seaduses ja selle alusel kehtestatud põhiandmekogu põhimääruses sätestatut. Paragrahv 39 lõige 2 ütleb, et juurdepääs on vastutava (sealhulgas PPA) ja volitatud töötleja ametnikel ja töötajatel ning järelevalveasutusel teenistus- ja tööülesannete täitmiseks. Sama paragrahvi lõike 4 kohaselt võimaldatakse kolmandale isikule juurdepääs ABIS-e andmetele põhiandmekogu põhimääruses sätestatud korras. Eelnõu § 39 lõige 5 sätestab, et vastutava ja volitatud töötleja kasutaja juurdepääsu õigused antakse põhiandmekogus. Seletuskirja järgi tähendab see, et vastutava ja volitatud töötleja ametnike ja töötajate kasutajaõigused andmekogule ABIS antakse põhiandmekogudes ning nende andmisel lähtutakse põhiandmekogus kasutajaõiguste andmise korrast. Samas ei ole ühtegi ABIS-ega liidestatud põhiandmekogu, mille volitatud (või ka vastutavaks) töötlejaks oleks Välisluureamet või Kaitsevägi. Paragrahvid 40, 41 ja 43–48 aga loetlevad detailsemalt näiteks PPA juurdepääsuõigused. Seega on eelnõus palju juurdepääsuõiguseid reguleerivaid sätteid, mis osaliselt kattuvad ja osaliselt räägivad üksteisele vastu. Palume eelnõu muuta nii, et oleks tagatud õigusselgus, kes, millistel juhtudel ja millistele andmetele juurdepääsu saab, sh tegevväelaste andmetele. Samuti vajab täpsustamist andmekogus olevale teabele juurdepääsu andmise regulatsioon, eriti kui tegu on andmete pärimisega muudel eesmärkidel, milleks need on kogutud. 6. Eelnõu kohaselt kohaldatakse RSR-ile põhiandmekogude kohta sätestatut, kui ABIS põhimäärus ei sätesta teisiti. Põhiandmekogusid on üheksa ning neil on oma põhimäärused, mida ei saa kohaldada RSR-ile. Ka seletuskiri ei too selgust, milliseid õigusakte seega RSR-ile kohaldatakse. Palume muuta eelnõu ning täiendada seletuskirja. 7. Seletuskirja kohaselt siirdatakse andmed senisest põhiandmekogust ABIS-esse. Seega jääb selgusetuks, milliseid andmeid ABIS liidestatud andmekogudega vahetab. „Andmekogude juhendi“ järgi tuleb põhimääruses sätestada, millistest andmekogudest või millistelt andmeandjatelt andmeid saadakse. Seeläbi määratakse ka kindlaks, millised on andmekogu unikaalsed põhiandmed. Avaliku teabe seaduse (edaspidi AvTS) § 433 lõige 2 kohaselt ei ole lubatud asutada ühtede ja samade andmete kogumiseks eraldi andmekogusid. Ei ole välistatud erand põhiandmete kogumise dubleerimise suhtes, kuid taolise erandi kehtestamine peab „Andmekogude juhendi“ järgi olema seadusandja selgesõnaline tahe. Palume eelnõu vastavalt muuta. 8. Eelnõu § 49 sätestab järelevalve tegemise. Lõike 1 kohaselt teostavad järelevalvet andmekogu pidamise üle Riigi Infosüsteemi Amet ja Andmekaitse Inspektsioon. Lõike 2 kohaselt teevad teenistusliku järelevalve korras andmekogu pidamise üle järelevalvet vastutavad töötlejad. 2 (4) teenistusliku järelevalve korras andmekogu pidamise üle järelevalvet vastutavad töötlejad. Seega on paragrahvis kaks lõiget, mis mõlemad reguleerivad järelevalvet andmekogu pidamise üle. Lõikest 1 ei selgu järelevalve liik ning lõike 2 osas on selgusetu, kes teeb kelle üle ja mis ulatuses järelevalvet. Juhime tähelepanu, et Vabariigi Valitsuse seaduse (edaspidi VVS) § 751 lõike 1 järgi on haldusjärelevalve ühe haldusorgani kontroll teise haldusorgani üle ning teenistuslikku järelevalvet korraldatakse valitsusasutuste ja nende hallatavate riigiasutuste tegevuse seaduslikkuse ja otstarbekuse tagamiseks (VVS § 93 lõige 1) alluvuse korras vastavalt VVS-ile ning selle alusel antud Vabariigi Valitsuse poolt kehtestatud teenistuslikku järelevalvet korraldavatele määrustele ja muudele õigusaktidele (VVS § 93 lõige 4). Vastutavad töötlejad, kellele lõikes 2 viidatakse, on PPA, EKEI ja Välisministeerium. Minister valvab ministeeriumi struktuuriüksuste, ministeeriumi valitsemisala valitsusasutuste ja nende ametiisikute, samuti muude ministeeriumi hallatavate riigiasutuste tegevuse seaduslikkuse ja otstarbekuse üle (VVS § 95 lõige 1). Ministeeriumi ameti ja inspektsiooni peadirektor korraldavad teenistuslikku järelevalvet ameti ja inspektsiooni kohalike asutuste ja nende ametiisikute tegevuse üle ministri poolt määratud ulatuses ja korras (VVS § 96 lõige 1). Seejuures palume ka arvesse võtta, et näiteks Välisluureameti puhul teostab järelevalvet isikuandmete töötlemise nõuete täitmisega seoses ka Riigikogu julgeolekuasutuste järelevalve komisjon (julgeolekuasutuste seaduse § 36 lõige 1). Palume eelnõu muuta ja seletuskirja täiendada, et oleks tagatud selgus, kes ja millises ulatuses saab kelle üle järelevalvet teostada. 9. Eelnõu § 54 sätestab RSR põhimääruse muutmise seoses sõrme pööratud jälje, sõrme vajutusjälje ning peopesa ja kirjutaja-peopesa vajutusjälgede kandmisega ABIS-esse. Küll aga ei ole eelnõule lisatud teiste andmekogude põhimääruste muudatuste rakendussätteid ja eelnõude kavandeid. Seoses ABIS-e kasutamisele võtmisega, tuleks muuta ka liidestatud andmekogude põhimääruseid osas, mis reguleerib andmete siirdamist ABIS-esse ja andmekogude omavahelist liidestamist. 10. Eelnõu §-id 7-36 sätestavad ABIS-esse kogutavad andmed. Erinevates paragrahvides on kasutatud termineid „foto“ ja „näokujutis“. Samas ei selgu eelnõust ega seletuskirjast, mis on nende erinevus. Palume seletuskirja täiendada. Normitehnilised märkused: 11. Põhimääruse § 2 lõikes 2 on kirjas „infosüsteemi andmevahetuskihi“, kuid peaks olema „infosüsteemide andmevahetuskihi“ (vt Vabariigi Valitsuse 23. septembri 2016. a määrust nr 105 „Infosüsteemide andmevahetuskiht“). 12. Palume ümber sõnastada eelnõu § 10. Lähtuvalt KVTS § 111 lõikest 1 oleks korrektsem sõnastus „Demineerimistööga seotud sõjaväelise auastmega rahuaja ametikohale nimetatud tegevväelase daktüloskopeerimisel saadud andmed“. 13. AvTS § 436 lõike 1 kohaselt on põhiandmed riigi infosüsteemi kuuluvasse andmekogusse kogutavad andmekogu unikaalsed andmed, mis tekivad andmekogu haldaja avalike ülesannete täitmise käigus. Sama paragrahvi lõike 2 kohaselt tuleb andmete töötlemisel, mida kogub põhiandmetena teine riigi infosüsteemi kuuluv andmekogu, aluseks võtta vastava teise andmekogu põhiandmed. Seetõttu on termini „põhiandmekogu“ kasutamine liidestatud andmekogude puhul eelnõu kontekstis eksitav, sest ABIS on eelnõu kontekstis ise põhiandmekogu. Teeme ettepaneku eelnõus asendada mõiste "põhiandmekogu" mõistega „liidestatud andmekogu“. 3 (4) 14. Eelnõu § 2 pealkiri on hetkel „Andmekogu ülesehitus“, kuid lõigete 3 ja 4 sisu arvestades võiks see olla „Andmekogu ülesehitus ja liidestatus“. Sel juhul ei teki ekslikku arvamust, et liidestatud andmekogud on ABIS-e osad. Alternatiiv on liidestatud andmekogudest teha eraldi paragrahv. Vajadusel on Kaitseministeerium valmis kohtuma täiendavaks aruteluks. Lugupidamisega (allkirjastatud digitaalselt) Kalle Laanet Minister 4 (4)