Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus

Rahandusministeerium Justiitsministeerium Kaitseministeerium 03.07.2021 nr 1-6/2358-1 Välisministeerium Majandus- ja Kommunikatsiooniministeerium "Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus" eelnõu Siseministeerium esitab kooskõlastamiseks Vabariigi Valitsuse määruse „Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus“ eelnõu. Eelnõuga on võimalik tutvuda eelnõude infosüsteemis (EIS): http://eelnoud.valitsus.ee. Lugupidamisega (allkirjastatud digitaalselt) Kristian Jaani siseminister Lisa: Eelnõu 15-l lehel; Seletuskiri 25-l lehel. Arvamuse avaldamiseks: Politsei- ja Piirivalveamet Siseministeeriumi infotehnoloogia- ja arenduskeskus Kaitsepolitseiamet Kaitsevägi Välisluureamet Eesti Kohtuekspertiisi Instituut Andmekaitse Inspektsioon Jarmo Lilium 6125196 [email protected] Pikk 61 / 15065 Tallinn / 612 5008 / [email protected] / www.siseministeerium.ee Registrikood 70000562  EELNÕU 30.06.2021 VABARIIGI VALITSUS MÄÄRUS Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus Määrus kehtestatakse isikut tõendavate dokumentide seaduse § 154 lõike 4, kaitseväeteenistuse seaduse § 111 lõike 4, kodakondsuse seaduse § 24 lõike 5, kohtuekspertiisiseaduse § 911 lõike 4, konsulaarseaduse § 121 lõike 5, kriminaalmenetluse seadustiku § 1092 lõike 3, politsei ja piirivalve seaduse § 257 lõike 3, päästeteenistuse seaduse § 61 lõike 3, vangistusseaduse § 55 lõike 3, välismaalasele rahvusvahelise kaitse andmise seaduse § 137 lõike 5, välismaalaste seaduse § 2794 lõike 5, väljasõidukohustuse ja sissesõidukeelu seaduse § 3315 lõike 5 ja väärteomenetluse seadustiku § 316 lõike 3 alusel. 1. peatükk Üldsätted § 1. Andmekogu asutamine ja nimetus (1) Määrusega asutatakse andmekogu, mille ametlik nimetus on automaatse biomeetrilise isikutuvastuse süsteemi andmekogu (edaspidi andmekogu). (2) Andmekogu ametlik lühend on ABIS. § 2. Andmekogu ülesehitus (1) Andmekogu peetakse elektroonilise andmekoguna. (2) Andmekogu on infosüsteemi andmevahetuskihi (edaspidi X-tee) kaudu liidestatud teiste andmekogudega ja andmekogul on süüteomenetluse liides, mis on andmekogu otseliides. (3) Andmekoguga liidestatud teised andmekogud (edaspidi põhiandmekogud) on: 1) Eestis seadusliku aluseta viibivate ja viibinud välismaalaste andmekogu; 2) Eesti kodakondsuse saanud, taastanud või kaotanud isikute andmekogu; 3) elamislubade ja töölubade register; 4) isikut tõendavate dokumentide andmekogu; 5) konsulaarametniku ametitoimingute ja diplomaatiliste passide andmekogu; 6) riiklik rahvusvahelise kaitse andmise register; 7) sissesõidukeeldude riiklik register; 8) viisaregister; 9) välismaalase lühiajalise Eestis töötamise registreerimise andmekogu. (4) Süüteomenetluse liidese kaudu ühendatud riiklikule sõrmejälgede registrile kohaldatakse põhiandmekogude kohta sätestatut, kui käesolevas määruses ei ole sätestatud teisiti. (5) Andmekogu vahetab X-tee kaudu või muul turvalist elektroonilist andmevahetust võimaldaval viisil andmeid põhiandmekogudega. 1 § 3. Andmekogu andmete kaitse (1) Kaitstakse andmekogu andmete: 1) käideldavust, tagades andmete kasutatavuse ja õigeaegse kättesaadavuse selleks volitatud isikutele; 2) terviklust, välistades andmete tahtmatu või tahtliku muutmise; 3) konfidentsiaalsust, tagades andmete kättesaadavuse üksnes volitatud isikutele. (2) Andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks rakendatakse asjakohaseid organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid. (3) Andmekogu turvaklass on K2T3S2, turbeaste on kõrge (H). 2. peatükk Andmekogu vastutav ja volitatud töötleja § 4. Andmekogu vastutav ja volitatud töötleja (1) Andmekogu vastutav töötleja on Politsei- ja Piirivalveamet, välja arvatud käesoleva paragrahvi lõigetes 2 ja 3 sätestatud andmete puhul. (2) Käesoleva määruse §-des 9, 14 ja 15 sätestatu alusel andmekogusse kantavate andmete puhul on vastutav töötleja Välisministeerium. (3) Käesoleva määruse §-des 10, 12, 13, 16–20 ja 36 sätestatu alusel andmekogusse kantavate andmete puhul on vastutav töötleja Eesti Kohtuekspertiisi Instituut. (4) Andmekogu volitatud töötlejad (edaspidi volitatud töötleja) on: 1) Kaitsepolitseiamet; 2) Kaitsevägi; 3) Välisluureamet. (5) Andmekogu volitatud töötleja andmekogu arendamisel, hooldamisel ja majutamisel on Siseministeeriumi infotehnoloogia- ja arenduskeskus. § 5. Vastutava töötleja ülesanded (1) Politsei- ja Piirivalveamet: 1) korraldab andmekogu pidamiseks vajalike projekteerimis- ja arendustööde tegemise; 2) määrab andmekogu turvanõuded ja juhib selle pidamist, andes Välisministeeriumile, Eesti Kohtuekspertiisi Instituudile ja volitatud töötlejale selleks vajalikke juhiseid; 3) tagab andmekogu pidamise õigusaktides sätestatud nõuete kohaselt; 4) otsustab õigustatud isikute juurdepääsu andmekogule ja tagab selle; 5) vastutab andmekogu andmete nõuetekohase väljastamise eest; 6) rakendab organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks; 7) vastutab koos volitatud töötlejaga isikuandmete töötlemise nõuete täitmise eest. (2) Välisministeerium ja Eesti Kohtuekspertiisi Instituut: 1) tagavad andmekogu pidamise õigusaktides sätestatud nõuete kohaselt; 2 2) otsustavad õigustatud isikute juurdepääsu andmekogule ja tagavad selle; 3) vastutavad andmekogu andmete nõuetekohase väljastamise eest; 4) rakendavad organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks; 5) vastutavad koos volitatud töötlejaga isikuandmete töötlemise nõuete täitmise eest; 6) teevad Politsei- ja Piirivalveametile ettepanekuid andmekogu arendamiseks. § 6. Volitatud töötleja ülesanded (1) Volitatud töötleja: 1) vastutab andmekogus tehtavate toimingute õiguspärasuse eest; 2) vastutab andmekogust andmete väljastamise nõuetekohasuse eest; 3) rakendab koos vastutavate töötlejatega organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks; 4) vastutab isikuandmete töötlemise nõuete täitmise eest; 5) teeb Politsei- ja Piirivalveametile ettepanekuid andmekogu arendamiseks. (2) Siseministeeriumi infotehnoloogia- ja arenduskeskus: 1) tagab andmekogu küberturvalisuse, sealhulgas andmekogu andmete käideldavuse, tervikluse ja salastatuse, õigusaktides sätestatud nõuete järgi; 2) tagab vastutavale töötlejale andmekogu andmete nõuetekohase väljastamise; 3) tagab andmekogu majutamiseks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku; 4) vastutab turbealase info pideva analüüsimise ja turvariskide väljaselgitamise eest; 5) tagab teenuse intsidentide käsitlemise; 6) tagab andmete kustutamise, hävitamise või arhiveerimise; 7) teeb Politsei- ja Piirivalveametile ettepanekuid andmekogu arendamiseks; 8) auditeerib infosüsteemi turvameetmete rakendamist ja edastab andmekogu puudutavad tulemused vastutavatele töötlejatele. 3. peatükk Andmekogusse kantavad andmed 1. jagu Isikut tõendavate dokumentide seaduse alusel andmekogusse kantavad andmed 1. jaotis Isikut tõendava dokumendi taotleja andmed § 7. Isiku tuvastamise või isikusamasuse kontrollimisega seotud andmed Isiku tuvastamise või isikusamasuse kontrollimise ja tuvastatava isiku kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. 3 § 8. Isikut tõendava dokumendi taotlejaga seotud andmed Eesti kodaniku passi, isikutunnistuse, elamisloakaardi, digitaalse isikutunnistuse, välismaalase passi, meresõidutunnistuse, meremehe teenistusraamatu, ajutise reisidokumendi ja pagulase reisidokumendi taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. 2. jaotis Andmekogusse kantavad diplomaatilise passi kasutaja andmed § 9. Diplomaatilise passi kasutaja andmed Diplomaatilise passi kasutaja kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. 2. jagu Kaitseväeteenistuse seaduse alusel andmekogusse kantavad andmed § 10. Andmed demineerimistööga seotud tegevväelase kohta, kes on daktüloskopeeritud Kaitseväes rahuajal demineerimistöödega seotud tegevväelaselt kaitseväeteenistuse seaduse § 921 alusel võetud jälgede korral kantakse andmekogusse: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 3. jagu Kodakondsuse seaduse alusel andmekogusse kantavad andmed § 11. Eesti kodakondsuse saamist või taastamist taotleva ja Eesti kodakondsuse saanud või taastanud isiku andmed Eesti kodakondsuse saamist või taastamist taotleva ja Eesti kodakondsuse saanud või taastanud isiku kohta kantakse andmekogusse foto või näokujutis. 4. jagu Kohtuekspertiisiseaduse alusel andmekogusse kantavad andmed § 12. Andmed riikliku ekspertiisiasutuse töötaja kohta, kes on daktüloskopeeritud Riiklikus ekspertiisiasutuses töötavalt isikult kohtuekspertiisiseaduse § 251 alusel võetud jälgede korral kantakse andmekogusse: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 4 § 13. Daktüloskopeeritud isiku andmed Isiku taotluse alusel temalt kohtuekspertiisiseaduse § 98 alusel võetud jälgede korral kantakse andmekogusse: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 5. jagu Konsulaarseaduse alusel andmekogusse kantavad andmed § 14. Andmekogusse kantavad andmed Eesti kodaniku passi ja isikutunnistuse väljaandmise taotluse edastamisel ja digitaalse isikutunnistuse väljastamisel Eesti kodaniku passi või isikutunnistuse taotluse edastamisel ja digitaalse isikutunnistuse väljastamisel kantakse andmekogusse taotleja sõrmejäljekujutised. § 15. Andmekogusse kantavad andmed elamisloa ja elamisloakaardi taotluse edastamisel Elamisloa ning elamisloakaardi taotluse edastamisel kantakse andmekogusse taotleja sõrmejäljekujutised. 6. jagu Kriminaalmenetluse seadustiku alusel andmekogusse kantavad andmed § 16. Daktüloskopeeritud isiku andmed Daktüloskopeeritud isiku kohta kantakse andmekogusse järgmised andmed: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. § 17. Sündmuskoha või muu objekti vaatlusel kogutud naha papillaarkurrustiku jälgede andmed Sündmuskoha või muu objekti vaatlusel kogutud naha papillaarkurrustiku jälgede kohta kantakse andmekogusse kogutud naha papillaarkurrustiku jäljed. 7. jagu Politsei ja piirivalve seaduse alusel andmekogusse kantavad andmed § 18. Daktüloskopeeritud politseiametniku andmed Politseiametnikult politsei ja piirivalve seaduse § 451 alusel võetud jälgede korral kantakse andmekogusse: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 5  8. jagu Päästeteenistuse seaduse alusel andmekogusse kantavad andmed § 19. Daktüloskopeeritud päästeametniku andmed Demineerimistöödega seotud päästeametnikult päästeteenistuse seaduse § 73 alusel võetud jälgede korral kantakse andmekogusse: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 9. jagu Vangistusseaduse aluse andmekogusse kantavad andmed § 20. Daktüloskopeeritud kinnipeetava andmed Daktüloskopeeritud isiku kohta kantakse andmekogusse järgmised andmed: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 10. jagu Välismaalasele rahvusvahelise kaitse andmise seaduse alusel andmekogusse kantavad andmed § 21. Rahvusvahelise kaitse taotleja andmed Rahvusvahelise kaitse taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. § 22. Pagulase staatuse või täiendava kaitse saanud välismaalase perekonnaliikme andmed Pagulase staatuse või täiendava kaitse saanud välismaalase perekonnaliikme kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. § 23. Ajutise kaitse alusel elamisloa taotleja andmed Ajutise kaitse alusel elamisloa taotleja kohta kantakse andmekogusse foto. 11. jagu Välismaalaste seaduse alusel andmekogusse kantavad andmed 1. jaotis Viisamenetluses andmekogusse kantavad andmed § 24. Viisataotluse andmed 6 (1) Lennujaama transiidiviisa ja lühiajalise viisa taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. (2) Pikaajalise viisa taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. § 25. Eestis ajutise viibimise aja pikendamise andmed Viibimisaja pikendamise taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. § 26. Piiripunktis erandina viisa andmise andmed Piiripunktis erandina viisa saaja kohta kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. 2. jaotis Elamislubade ja töölubade menetlustes andmekogusse kantavad andmed § 27. Tähtajalise elamisloa taotlemisel ja selle pikendamisel andmekogusse kantavad andmed (1) Tähtajalise elamisloa taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. (2) Tähtajalise elamisloa pikendamise taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. § 28. Tähtajalise elamisloa taotlemisel kriminaalmenetluses osalemiseks andmekogusse kantavad andmed Välismaalase kohta, kellele taotletakse tähtajalist elamisluba või selle pikendamist kriminaalmenetluses osalemiseks, kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. 7 § 29. Püsivalt Eestisse elama asumiseks antava tähtajalise elamisloa andmise menetlemisel välismaalase kohta andmekogusse kantavad andmed Välismaalase kohta, kelle püsivalt Eestisse elama asumiseks antava tähtajalise elamisloa andmise menetlus algatati välismaalaste seaduse § 2103 alusel, kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. § 30. Pikaajalise elaniku elamisloa ja selle taastamise taotlemisel andmekogusse kantavad andmed Pikaajalise elaniku elamisloa ja selle taastamise taotleja kohta kantakse andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. 3. jaotis Välismaalase lühiajalise Eestis töötamise registreerimise menetluses andmekogusse kantavad andmed § 31. Välismaalase andmed Välismaalase kohta, kelle lühiajalise Eestis töötamise registreerimist taotletakse, kantakse andmekogusse foto või näokujutis. 12. jagu Euroopa Liidu kodaniku seaduse alusel andmekogusse kantavad andmed § 32. Euroopa Liidu kodaniku perekonnaliikme tähtajalise elamisõiguse ja selle pikendamise taotlemisel andmekogusse kantavad andmed Euroopa Liidu kodaniku perekonnaliikme tähtajalise elamisõiguse ja selle pikendamise taotlemisel kantakse andmekogusse järgmised andmed: 1) foto; 2) sõrmejäljekujutised. § 33. Euroopa Liidu kodaniku ja tema perekonnaliikme alalise elamisõiguse registreerimisel andmekogusse kantavad andmed Euroopa Liidu kodaniku ja tema perekonnaliikme alalise elamisõiguse registreerimisel kantakse andmekogusse järgmised andmed: 1) Euroopa Liidu kodaniku puhul foto; 2) Euroopa Liidu kodaniku perekonnaliikme puhul foto ja sõrmejäljekujutised. 13. jagu Väljasõidukohustuse ja sissesõidukeelu seaduse alusel andmekogusse kantavad andmed 1. jaotis Sissesõidukeelu kohaldamise menetluses andmekogusse kantavad andmed 8 § 34. Välismaalase andmed Kui need andmed on olemas, kantakse välismaalase kohta andmekogusse järgmised andmed: 1) foto või näokujutis; 2) sõrmejäljekujutised. 2. jaotis Eestis seadusliku aluseta viibivate ja viibinud välismaalaste Eestis viibimise ja Eestist lahkumise kohustuse täitmisega seotud menetlustes andmekogusse kantavad andmed § 35. Eestis seadusliku aluseta viibiva ja viibinud välismaalase andmed Eestis seadusliku aluseta viibiva või viibinud välismaalase kohta kantakse andmekogusse: 1) otse- ja külgvaates foto; 2) sõrmejälje- ja peopesakujutis. 14. jagu Väärteomenetluse seadustiku alusel andmekogusse kantavad andmed § 36. Daktüloskopeeritud isiku andmed Daktüloskopeeritud isiku kohta kantakse andmekogusse järgmised andmed: 1) sõrme pööratud jäljed; 2) sõrme vajutusjäljed; 3) peopesa ja kirjutaja-peopesa vajutusjäljed. 4. peatükk Andmete töötlemine § 37. Andmete töötlemisel asjakohase seaduse ja põhiandmekogu põhimääruse kohaldamine Asjakohases seaduses ja selle alusel kehtestatud, käesoleva määruse § 2 lõigetes 2 ja 3 nimetatud andmekogude põhimääruses sätestatut kohaldatakse andmeandjatele ja andmete andmekogusse kandmise alusdokumentidele ning järgmistele andmete töötlemise toimingutele: 1) andmekogusse andmete esitamine ja kandmine; 2) andmete õigsuse tagamine; 3) ebaõigete andmete parandamine; 4) andmete väljastamine. § 38. Andmete säilitamine, arhiveerimine ja kustutamine (1) Käesoleva määruse §-des 7–9, 11, 14, 15 ja 21–35 nimetatud andmete säilitamisele ja arhiveerimisele kohaldatakse asjakohases seaduses ja selle alusel kehtestatud, käesoleva määruse § 2 lõikes 2 nimetatud andmekogude põhimääruses andmete säilitamise kohta sätestatut. (2) Käesoleva määruse §-des 10, 12, 13, 16–23 ja 34–36 nimetatud andmete säilitamisele ja kustutamisele kohaldatakse asjakohases seaduses ja Vabariigi Valitsuse 7. juuni 2013. aasta 9 määruses nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ andmete säilitamise kohta sätestatut. (3) Andmete tähtaegse kustutamise eest vastutab põhiandmekogu vastutav töötleja. 5. peatükk Juurdepääs andmekogu andmetele § 39. Andmekogu andmetele juurdepääs ja selle võimaldamise viisid (1) Juurdepääs andmekogu andmetele võimaldatakse põhiandmekogu või otseliidese kaudu. (2) Juurdepääs andmekogu andmetele on vastutava ning volitatud töötleja ametnikel ja töötajatel neile teenistus- ja tööülesannete täitmiseks määratud ulatuses ning järelevalveasutusel talle seadusega pandud ülesannete täitmiseks. (3) Juurdepääs andmekogule on Siseministeeriumi infotehnoloogia- ja arenduskeskuse töötajatel neile tööülesannete täitmiseks määratud ulatuses ning andmekogu arendaval või hooldaval isikul arendus- või hoolduslepingus sätestatud ulatuses ja tingimustel. (4) Kolmandale isikule võimaldatakse juurdepääs andmekogu andmetele põhiandmekogu kaudu asjakohases seaduses ja põhiandmekogu põhimääruses sätestatud korras. (5) Vastutava ja volitatud töötleja kasutaja juurdepääsu õigused antakse põhiandmekogus. (6) Juurdepääsu õiguste andmisele süüteomenetluse liideses kohaldatakse Vabariigi Valitsuse 7. juuni 2013. aasta määruse nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ § 9. (7) Põhiandmekogu vastutav töötleja vastutab selle eest, et isikule juurdepääsu õiguste andmine oleks õigustatud ja vajalik ning nende andmisel oleks arvesse võetud kasutaja tegelikke tööülesandeid. § 40. Juurdepääsuõigused isikut tõendavate dokumentide väljaandmise menetluses (1) Kui isikule ei ole eelnevalt välja antud isikut tõendavate dokumentide seaduses sätestatud dokumenti või kui korduva taotluse puhul on kahtlusi isiku samasuses, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada dokumendi taotleja isiku käesoleva määruse §-des 7 ja 8 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada dokumendi taotleja isiku käesoleva määruse §-des 9, 11, 14–17 ja 20–36 nimetatud andmete alusel. (3) Korduva dokumendi väljaandmise taotlemisel võib dokumendi väljaandja kontrollida dokumendi taotleja isikusamasust käesoleva määruse §-des 7 ja 8 nimetatud andmete alusel. 10 (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib dokumendi väljaandja kontrollida dokumendi taotleja isikusamasust käesoleva määruse §-des 9, 11, 14–17 ja 20–36 nimetatud andmete alusel. § 41. Juurdepääsuõigused kodakondsuse saamise ja taastamise menetlustes (1) Esmakordsel Eesti kodakondsuse taotlemisel eriliste teenete eest või korduva taotluse puhul juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada taotleja isiku käesoleva määruse §-s 11 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 14–17 ja 20–36 nimetatud andmete alusel. (3) Korduva Eesti kodakondsuse taotlemisel eriliste teenete eest võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-s 11 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 7–9, 14– 17 ja 20–36 nimetatud andmete alusel. § 42. Eesti Kohtuekspertiisi Instituudi juurdepääsuõigused (1) Eesti Kohtuekspertiisi Instituut võib isiku tuvastada ja isiku isikusamasust kontrollida käesoleva määruse §-des 13, 16, 17, 20–23 ja 34–36 nimetatud andmete alusel kohtuekspertiisiseaduses ja teistes seadustes talle pandud ülesannete täitmiseks. Andmeid võib kasutada üksnes sellel eesmärgil, mille tõttu need andmekogusse kanti. (2) Eesti Kohtuekspertiisi Instituut võib käesoleva määruse §-des 7–9, 11, 13–15 ja 21–35 nimetatud andmete alusel isiku tuvastada kriminaalmenetluse seadustiku §-s 992 sätestatud juhtudel. (3) Ekspertiisi- ja uuringuobjektile jäetud jälgede välistamise eesmärgil võib Eesti Kohtuekspertiisi Instituut töödelda käesoleva määruse §-des 10, 12, 18 ja 19 nimetatud andmeid. § 43. Juurdepääsuõigused riikliku järelevalve erimeetme kohaldamisel (1) Riikliku järelevalve erimeetme kohaldamisel, kui kontrollitava isiku identiteet ei ole teada, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada isiku käesoleva määruse §-des 7 ja 8 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada dokumendi taotleja isiku käesoleva määruse §-des 7–9, 11, 13–17 ja 20–36 nimetatud andmete alusel. 11 (3) Riikliku järelevalve erimeetme kohaldamisel võib Politsei- ja Piirivalveamet kontrollida isiku isikusamasust käesoleva määruse §-des 7 ja 8 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet isiku isikusamasust kontrollida käesoleva määruse §-des 7–9, 11, 13–17 ja 20–36 nimetatud andmete alusel. § 44. Juurdepääsuõigused välismaalasele rahvusvahelise kaitse andmise menetluses (1) Esmakordse rahvusvahelise kaitse taotluse menetluses ja korduva taotluse puhul juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada taotleja isiku käesoleva määruse §-des 21–23 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 11, 14–17 ja 24–36 nimetatud andmete alusel. (3) Korduva rahvusvahelise kaitse taotluse menetluses võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 21–23 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 7–9, 11, 14–17 ja 24–36 nimetatud andmete alusel. § 45. Juurdepääsuõigused viisamenetluses (1) Esmakordse kolmanda riigi kodaniku viisa taotluse menetluses ja korduva taotluse puhul ning viibimisaja pikendamise taotlemisel juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet või Välisministeerium tuvastada taotleja isiku käesoleva määruse §-des 24–26 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet või Välisministeerium avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 11, 14–17, 21–23 ja 27–36 nimetatud andmete alusel. (3) Kolmanda riigi kodaniku korduva viisa taotluse menetluses ja viibimisaja pikendamise taotlemisel võib Politsei- ja Piirivalveamet või Välisministeerium kontrollida taotleja isikusamasust käesoleva määruse §-des 24–26 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet või Välisministeerium kontrollida taotleja isikusamasust käesoleva määruse §-des 7–9, 11, 14–17, 21–23 ja 27–36 nimetatud andmete alusel. 12 § 46. Juurdepääsuõigused lühiajalise töötamise registreerimisel (1) Esmakordse lühiajalise töötamise registreerimise taotluse menetluses ja korduva taotluse puhul juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada taotleja isiku käesoleva määruse §-s 31 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 11, 14–17, 21–23, 27–30 ja 32–36 nimetatud andmete alusel. (3) Korduva lühiajalise töötamise registreerimise taotluse menetluses võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-s 31 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 7–9, 11, 14–17, 21–23, 27–30 ja 32–36 nimetatud andmete alusel. § 47. Juurdepääsuõigused elamisloa menetluses (1) Esmakordse elamisloa taotluse menetluses ja korduva taotluse puhul juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada taotleja isiku käesoleva määruse §-des 27–30 nimetatud andmete alusel. (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 11, 14–17, 21–26 ja 31–36 nimetatud andmete alusel. (3) Korduva elamisloa taotluse menetluses võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 27–30 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet kontrollida taotleja isikusamasust käesoleva määruse §-des 7–9, 11, 14–17, 21–26 ja 31–36 nimetatud andmete alusel. § 48. Juurdepääsuõigused Eestis seadusliku aluseta viibivate ja viibinud välismaalaste Eestis viibimise ja Eestist lahkumise kohustuse täitmisega seotud menetlustes (1) Esmakordse Eestis ebaseadusliku viibimise ja Eestist lahkumise kohustuse menetlustes ja korduva menetluse puhul juhul, kui isiku samasuses on kahtlusi, on alust kahtlustada, et isik kasutab mitme isiku identiteediandmeid, või isikusamasuse kontrollimine käesoleva paragrahvi lõigete 3 ja 4 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet tuvastada taotleja isiku käesoleva määruse §-s 35 nimetatud andmete alusel. 13 (2) Kui isiku tuvastamine käesoleva paragrahvi lõike 1 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet avaliku korra ja riigi julgeoleku tagamise eesmärgil tuvastada taotleja isiku käesoleva määruse §-des 7–9, 11, 14–17, 21–34 ja 36 nimetatud andmete alusel. (3) Korduva Eestis ebaseadusliku viibimise ja Eestist lahkumise kohustuse menetlustes võib Politsei- ja Piirivalveamet kontrollida isiku isikusamasust käesoleva määruse §-s 35 nimetatud andmete alusel. (4) Kui isikusamasuse kontrollimine käesoleva paragrahvi lõike 3 kohaselt ebaõnnestub, võib Politsei- ja Piirivalveamet kontrollida isiku isikusamasust käesoleva määruse §-des 7–9, 11, 14–17, 21–34 ja 36 nimetatud andmete alusel. 6. peatükk Järelevalve tegemine, andmekogu pidamise rahastamine ja likvideerimine § 49. Järelevalve tegemine (1) Järelevalvet andmekogu pidamise üle teostavad Riigi Infosüsteemi Amet ja Andmekaitse Inspektsioon õigusaktides sätestatud pädevuse kohaselt. (2) Teenistusliku järelevalve korras teostavad andmekogu pidamise üle järelevalvet vastutavad töötlejad. § 50. Andmete logimine (1) Andmekogu kasutamise õiguspärasust kontrollitakse tarkvaraga ja organisatsiooniliste meetmetega. Isikuandmete töötlemise toimingud logitakse isikuandmete kaitse seaduse § 36 kohaselt. (2) Logiandmeid säilitatakse kümme aastat päringu või kande tegemisest arvates. § 51. Andmekogu pidamise rahastamine Andmekogu pidamise kulu kaetakse Politsei- ja Piirivalveametile ning andmekogu majutajale riigieelarvest selleks eraldatud rahast. § 52. Andmekogu likvideerimine Andmekogu likvideeritakse seaduse alusel. 7. peatükk Rakendussätted § 53. Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 262 „Riigisaladuse ja salastatud välisteabe kaitse kord“ muutmine Vabariigi Valitsuse 20. detsembri 2007. a määruse nr 262 „Riigisaladuse ja salastatud välisteabe kaitse kord“ paragrahvi 8 lõiget 1 täiendatakse punktiga 34 järgmises sõnastuses: 14 „34) riigi infosüsteemi kuuluvas andmekogus Kaitseväe, jälitusasutuse, julgeolekuasutuse või tunnistajakaitset teostava asutuse poolt salajasele koostööle kaasatud isikuga, salajase koosseisulise julgeolekuasutuse ametniku või töötajaga, variisikuga, politseiagendiga, tunnistajakaitse kohaldamisega seotud isikuga või teeseldud juriidilise isiku, tema struktuuriüksuse, organi või äriühingu filiaaliga seotud füüsilise isikuga seotud variandmete ja konspiratsioonivõtete rakendamist käsitlev teave, välja arvatud teave, mille avalikustamine ei kahjusta Eesti Vabariigi julgeolekut. See teave salastatakse piiratud tasemel kuni 50 aastaks.“. § 54. Vabariigi Valitsuse 7. juuni 2013. aasta määruse nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ muutmine Vabariigi Valitsuse 7. juuni 2013. aasta määruses nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ tehakse järgmised muudatused: 1) paragrahvi 5 lõike 1 punktid 5–7, lõike 2 punkt 1, lõike 3 punktid 2–4 ja lõike 4 punktid 2– 4 tunnistatakse kehtetuks; 2) paragrahvi 5 lõikes 1 ja § 6 lõikes 1 asendatakse tekstiosa „1–8“ tekstiosaga „1 ja 5–8“. Kaja Kallas Peaminister Kristian Jaani Siseminister Taimar Peterkop Riigisekretär 15  Vabariigi Valitsuse määruse „Automaatse biomeetrilise isikutuvastuse süsteemi andmekogu põhimäärus“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte 15. juulil 2021. a jõustuvad isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muudatused, millega luuakse õiguslik alus asutada automaatse biomeetrilise isikutuvastuse süsteemi andmekogu (edaspidi andmekogu ABIS). Kõnesoleva määrusega kehtestatakse andmekogu ABIS põhimäärus, sätestatakse selle pidamise kord, määratletakse töötlejad, loetletakse andmekogusse ABIS kantavate andmete koosseis ning reguleeritakse juurdepääsuõigused. ABIS põhimääruse eelnõuga ei looda täiendavaid õigusi isiku tuvastamiseks ja isikusamasuse kontrollimiseks, vaid vastavad õigused olid reguleeritud juba varem seaduse tasandil. ABIS seadusega kui ka põhimäärusega luuakse üksnes võimalused õigusega ette nähtud võimaluste rakendamiseks. Praegu on Eestis kasutusel mitu andmekogu, kus eri eesmärkidel töödeldakse mitmesuguseid biomeetrilisi andmeid. Näiteks on olemas isikut tõendavate dokumentide andmekogu, viisaregister ja riiklik sõrmejälgede register. Andmekogud asuvad eri ministeeriumite haldusalas ning biomeetriliste andmete hõivamiseks ja võrdlemiseks kasutatakse eri ajal arendatud tarkvara. Praegused tehnilised lahendused on vaja välja vahetada, sest need on vananenud. Puudulik on tehniline võimekus teha näo- ja sõrmejäljekujutiste automaatset võrdlust ning võrrelda neid andmeid eri andmekogude vahel. Probleemne on ka automaatne andmete edastamine andmekogude vahel. Arvestades Eesti väiksuse ja identiteedivaldkonna eripära (tsentraliseeritud identiteedihaldus), on otstarbekas koondada oskusteave ja kõik biomeetrilised andmed ühte andmekogusse. See tagab, et kõigi biomeetriliste andmete töötlemisel kasutatakse keskselt välja töötatud tarkvara, mida on võimalik integreerida eri infosüsteemidesse. Otstarbekam ja paindlikum on hooldada ja arendada üht infosüsteemi ning seeläbi kindlustatakse valdkonna järjepidev ja asjakohane areng, mis vastab muutuvatele vajadustele. Andmekogu ABIS kasutuselevõtmine aitab märkimisväärselt suurendada isiku tuvastamise ja isikusamasuse kontrollimise turvalisust ja usaldusväärsust, vältida dokumentide võltsimist ja vale- või mitme identiteedi kasutamist ning toetada võitlust kuritegevusega. 1.2. Eelnõu ettevalmistaja Eelnõu on ette valmistanud Siseministeeriumi kodakondsus- ja rändepoliitika osakonna õigusnõunik Jarmo Lilium (tel 612 5196, [email protected]). Eelnõu ja seletuskirja juriidilist kvaliteeti on kontrollinud Siseministeeriumi õigusosakonna õigusnõunik Kertu Nurmsalu (tel 612 5084, [email protected]). Eelnõu ja seletuskirja on keeleliselt toimetanud Siseministeeriumi õigusosakonna keeletoimetaja Helin Kask (tel 612 5241, [email protected]). 1.3. Märkused 1 Määruse eelnõu on seotud isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadusega. Eelnõu ei ole seotud Euroopa Liidu õiguse rakendamisega. Eelnõu on seotud Vabariigi Valitsuse 29. juuni 2017. a ja 17. juuli 2017. a valitsuskabineti nõupidamistel heakskiidetud tegevustega. 2. Eelnõu eesmärk Määruse eesmärk on kehtestada andmekogu ABIS põhimäärus. Andmekogu ABIS asutatakse 13 seaduses sätestatud volitusnormi alusel. Andmekogu ABIS koondab ühtsesse andmekogusse erinevate riiklike menetluste käigus hõivatavad ning praegu eri andmekogudesse kantud biomeetrilised andmed. Andmekogu ABIS võimaldab kasutada eri infosüsteemides ühtset tarkvara ning võrrelda automaatselt biomeetrilisi andmeid üks ühele ja üks mitmele. Kui koondada biomeetrilised andmed ühte riiklikusse andmekogusse, võimaldab see riigil tagada nende töötlemisele tsentraalne ja ühetaoline lähenemine. Andmekogusse ABIS koondatavaid biomeetrilisi isikuandmeid kogutakse ja töödeldakse eri seaduste alusel juba praegu, ent nende andmete töötlemise taristu on hajutatud ning ei võimalda selliseid andmeid võrdselt ja ühetaoliselt hallata, sealhulgas tagada andmete turvalisus. Peale selle on praegused isiku tuvastamise ja isikusamasuse kontrollimise infotehnoloogilised lahendused vananenud ja neid on vaja uuendada. Andmekogusse ABIS hakatakse kandma eri seaduste alusel hõivatud biomeetrilisi andmeid. Selle andmekogu arendamise esimeses etapis kantakse andmekogusse kõik need fotod ja näokujutised ning sõrmejäljekujutised, mida praegu talletatakse eri andmekogudes. Andmekogus ABIS säilitatavaid andmeid saab eristada menetluste kaupa. See tagab biomeetriliste andmete eesmärgipärase töötlemine ning lähtub menetlusest ja sellest tulenevatest õiguslikest alustest. Andmekogus ABIS kasutatakse selliseid infotehnoloogilisi lahendusi, et iga konkreetse menetluse käigus hõivatud biomeetrilised andmed jäävad teiste menetluste käigus hõivatud biomeetrilistest andmetest eraldatuks. Andmekogu ABIS on võimalik kasutada kas andmekogu ABIS liidese või sellega liidestatud teise andmekogu kaudu. Andmekoguga ABIS liidestatakse olemasolevad eri menetluste tegemiseks mõeldud andmekogud. Andmekogusse ABIS kantakse biomeetrilised andmed järgmistest andmekogudest:  riiklik sõrmejälgede register;  isikut tõendavate dokumentide andmekogu;  Eestis seadusliku aluseta viibivate ja viibinud välismaalaste andmekogu;  sissesõidukeeldude riiklik register;  välismaalase lühiajalise Eestis töötamise registreerimise andmekogu;  riiklik rahvusvahelise kaitse andmise register;  elamislubade ja töölubade register;  viisaregister;  Eesti kodakondsuse saanud, taastanud või kaotanud isikute andmekogu;  konsulaarametniku ametitoimingute ja diplomaatiliste passide andmekogu. Andmekogus ABIS lähtutakse biomeetriliste andmete töötlemisel minimaalsuse põhimõttest – andmeid töödeldakse nii vähe kui võimalik ja nii palju, kui on vajalik menetluse elluviimise eesmärgi saavutamiseks. 2 Andmekogu ABIS hakkab pakkuma järgmisi teenuseid:  biomeetria salvestamine;  biomeetria kuvamine;  biomeetria üks ühele võrdlus;  biomeetria üks mitmele võrdlus. Andmekogu ABIS kasutuselevõtmisel hoitakse biomeetrilisi andmeid tsentraalselt (keskne andmehaldus) ning selles hoitavatele andmetele tagatakse juurdepääs olemasolevate andmekogude kaudu, lähtudes konkreetse menetluse vajadustest. Eri andmekogude juurdepääs andmekogu ABIS andmetele tagatakse X-tee päringute vahendusel. Nende andmekogude kaudu on andmekogu ABIS kasutajatel võimalik biomeetriat salvestada, kuvada ja võrrelda biomeetrilisi andmeid üks ühele ja üks mitmele. Seega jäävad ka olemasolevad andmekogud biomeetrilisi andmeid töötlema, kuid neid andmeid seal ei säilitata ega tehta ka biomeetriliste andmete võrdlust. Andmekogu ABIS ei muuda asutuste töökorraldust ning olemasolevate infosüsteemide kasutajad jäävad ka edaspidi kasutama nendele harjumuspärast töökeskkonda. Erandiks on riiklik sõrmejälgede register (edaspidi RSR), mida andmekoguga ABIS ei liidestata. Andmekogul ABIS on süüteomenetluse liides, mis on Eesti Kohtuekspertiisi Instituudi (edaspidi EKEI) töövahend ja see hakkab asendama EKEI kasutuses olevat sõrmejälgede otsimise süsteemi Automated Fingerprint Identification System (edaspidi AFIS). Seetõttu võib ka väita, et andmekogu ABIS on üksnes tehniline lahendus biomeetriliste andmete hoidmiseks ja võrdlemiseks. Biomeetria üks ühele võrdlus on andmekogumite võrdlemise protsess väidetava isikusamasuse kindlakstegemiseks. Üks ühele võrdluse puhul kasutatakse võrdlemisel biomeetrilisi ja biograafilisi andmeid ning võrdluse tulemuseks saadakse infosüsteemist vastus „jah“ või „ei“, st kas biomeetria kuulub võrdluse objektiks olevale isikule, ning vajaduse korral ka isikuandmed. Biomeetria üks mitmele võrdlus on isiku tuvastamise protsess andmebaasis tehtava otsingu kaudu, mille käigus võrreldakse andmeid mitmete andmekogumitega. Üks mitmele võrdluse puhul on võrdlemisel aluseks biomeetrilised andmed ning vastuseks saadakse isikuandmed. Isikut tõendavate dokumentide seaduse (edaspidi ITDS) § 155 sätestab andmekogusse ABIS kantavate andmete töötlemise põhimõtted. ITDS-i regulatsioon näeb ette, mis on isiku tuvastamine ja isikusamasuse kontrollimine ning millist tüüpi päringuid nende käigus andmekogusse ABIS teha saab. Samuti on nimetatud, millistel juhtudel võib andmekogusse ABIS kantud andmeid töödelda isiku tuvastamiseks ja isikusamasuse kontrollimiseks. Teistes seadustes, mille alusel andmekogu ABIS asutatakse, on sätestatud viitenorm, et andmekogusse ABIS kantud andmete töötlemisele kohaldatakse ITDS-is sätestatut. Andmete töötlemise põhimõtted nii isiku tuvastamisel kui ka isikusamasuse kontrollimisel andmekogus ABIS on eri seadustes samad. Isiku tõsikindla tuvastamise ja isikusamasuse kontrollimise suutlikkus on avaliku korra ja riigi julgeoleku huvides. Kuid seda on võimalik realiseerida üksnes juhul, kui kord juba hõivatud biomeetriliste andmete kasutamine mõnes teises avalikus menetluses (andmete edasine töötlemine) on selgelt piiritletud, kuid lubatud. Eri seadustes, mille alusel andmekogu ABIS asutatakse, on loodud alused töödelda isikuandmeid muul eesmärgil kui see, milleks isikuandmeid esialgu koguti. Samuti on seadustes sätestatud iseseisev õiguslik alus andmeid edaspidi töödelda. See annab võimaluse töödelda ühes avalik-õiguslikus menetluses hõivatud biomeetrilisi andmeid isiku tuvastamiseks või isikusamasuse kontrollimiseks ka mõnes teises avalik-õiguslikus menetluses. Andmete ristkasutuse õigusliku ja tehnilise võimekuse loomisega 3 tagatakse isiku tõsikindel tuvastamine ja isikusamasuse kontrollimine avaliku korra ja riigi julgeoleku huvides. Seadustes, mille alusel andmekogu ABIS asutatakse, on sätestatud õiguslikud alused kogutud andmeid ristkasutada, kuid seadustes ei ole ette nähtud, milliste andmekogu ABIS andmete alusel mingis konkreetses menetluses isikuandmeid võrreldakse. Kõnesoleva määrusega täpsustatakse seadust ja sätestatakse konkreetsed juurdepääsuõigused andmekogu ABIS andmetele eri menetlustes ning andmekogu ABIS äriloogika tagab nende juurdepääsuõiguste õiguspärase kasutamise. Andmete töötlemisel isiku tuvastamiseks ja isikusamasuse kontrollimiseks andmekogus ABIS lähtutakse põhimõttest, et isiku õigustesse sekkumist alustatakse kõige vähem riivaval viisil ja riive suureneb, kui vähem riivavad viisid ei anna tulemust või ei anna ühest tulemust. Määrus lähtub seadustes sätestatud põhimõttest, et isiku tuvastamisel ja isikusamasuse kontrollimisel võib töödelda teiste seaduste alusel kogutud ja andmekogusse ABIS kantud andmeid üksnes juhul, kui isikut ei ole võimalik tuvastada või tema isikusamasust kontrollida menetlust reguleeriva seaduse alusel andmekogusse ABIS kantud andmete alusel. Näiteks tuleb ITDS-is sätestatud isikut tõendavate dokumentide väljaandmise menetluses isik tuvastada esmalt ITDS-i alusel andmekogusse ABIS kantud andmete alusel. Kui nende andmete alusel ei ole võimalik isikut tuvastada, võib isikut tõendavate dokumentide väljaandmise menetluses töödelda andmekogusse ABIS kantud andmeid avaliku korra ja riigi julgeoleku tagamise eesmärgil ka kodakondsuse seaduse, konsulaarseaduse, kriminaalmenetluse seadustiku, vangistusseaduse, välismaalasele rahvusvahelise kaitse andmise seaduse, välismaalaste seaduse, väljasõidukohustuse ja sissesõidukeelu seaduse ja väärteomenetluse seadustiku alusel. 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb 54 paragrahvist, mis jagunevad seitsmesse peatükki: 1. Üldsätted (§-d 1–3); 2. Andmekogu vastutav ja volitatud töötleja (§-d 4–6); 3. Andmekogusse kantavad andmed (§-d 7–36); 4. Andmete töötlemine (§-d 37 ja 38); 5. Andmekogu andmetele juurdepääs ja andmekogust andmete väljastamine (§-d 39–48); 6. Järelevalve tegemine, andmekogu pidamise rahastamine ja likvideerimine (§ 49–52); 7. Rakendussätted (§ 53 ja 54). 1. peatükk. Üldsätted Eelnõu §-ga 1 asutatakse andmekogu ABIS ja sätestatakse selle nimetus. Andmekogu ametlik lühend on ABIS. Andmekogu ABIS asutatakse ITDS-i § 154 lõikes 4, kaitseväeteenistuse seaduse § 111 lõikes 4, kodakondsuse seaduse § 24 lõikes 5, kohtuekspertiisiseaduse (edaspidi KES) § 911 lõikes 4, konsulaarseaduse § 121 lõikes 5, kriminaalmenetluse seadustiku § 1092 lõikes 3, politsei ja piirivalveseaduse § 257 lõikes 3, päästeteenistuse seaduse § 61 lõikes 3, vangistusseaduse § 55 lõikes 3, välismaalasele rahvusvahelise kaitse andmise seaduse § 137 lõikes 5, välismaalaste seaduse § 2794 lõikes 5, väljasõidukohustuse ja sissesõidukeelu seaduse § 3315 lõikes 5 ja väärteomenetluse seadustiku § 316 lõikes 3 nimetatud eesmärkide täitmiseks. Kuna andmekogu eesmärgid on sätestatud nimetatud seadustes, ei ole määruses seda eraldi nimetatud. Eelnõu §-s 2 on sätestatud andmekogu ABIS pidamine ja ülesehitus. 4 Andmekogu ABIS peetakse elektroonilise andmekoguna, millel ei ole alamregistreid. Eelnõu § 2 lõike 2 kohaselt on andmekogu X-tee kaudu liidestatud teiste andmekogudega. Andmekoguga ABIS liidestatud teised andmekogud on sätestatud sama paragrahvi lõikes 3. Nendeks andmekogudeks on: 1) Eestis seadusliku aluseta viibivate ja viibinud välismaalaste andmekogu; 2) Eesti kodakondsuse saanud, taastanud või kaotanud isikute andmekogu; 3) elamislubade ja töölubade register; 4) isikut tõendavate dokumentide andmekogu; 5) konsulaarametniku ametitoimingute ja diplomaatiliste passide andmekogu; 6) riiklik rahvusvahelise kaitse andmise register; 7) sissesõidukeeldude riiklik register; 8) viisaregister; 9) välismaalase lühiajalise Eestis töötamise registreerimise andmekogu. Süüteomenetluse liides on andmekogu ABIS otseliides. See on EKEI töövahend, mis hakkab asendama EKEI praegu kasutatavat AFIS-t. Seetõttu on erisugune olukord ka RSR-iga, milles sisalduvad biomeetrilised andmed kantakse küll üle andmekogusse ABIS, kuid RSR-i andmekoguga ABIS-t ei liidestata, sest RSR-i osaks oleva AFIS-i funktsioone hakkab asendama andmekogu ABIS. Süüteomenetluse liides on üksnes EKEI töövahend ning seal töödeldakse neid biomeetrilisi andmeid, mida praegu töödeldakse RSR-is. Eelnõu § 2 lõikes 3 nimetatakse andmekoguga ABIS liidestatud andmekogusid põhiandmekogudeks. Nimetatud andmekogud on ühtlasi ka andmekogudeks, kust siirdatakse andmed andmekogusse ABIS. Nende andmekogude vahendusel edastatakse andmed andmekogusse ABIS ning põhiandmekogude kaudu on võimalik teha biomeetriliste andmete alusel põhiandmekogudele vajalikke päringuid menetlustoimingute läbiviimiseks (näiteks isikusamasuse kontrollimisel üks ühele võrdlus, isiku tuvastamisel üks mitmele võrdlus või lihtsalt andmete vaatamine). Eelnõu § 2 lõige 4 sätestab, et süüteomenetluse liidese kaudu ühendatud RSR-ile kohaldatakse põhiandmekogude kohta sätestatut, kui määruses ei ole sätestatud teisiti. RSR-i andmekoguga ABIS ei liidestata, seetõttu sätestatakse määruse § 2 lõikes 4, et RSR-ile kohaldatakse põhiandmekogude kohta sätestatut, kui määruses ei ole sätestatud teisiti. See on vajalik, et vältida seal sisalduvate õigusnormide dubleerimist. Eelnõu § 2 lõike 5 kohaselt vahetab andmekogu ABIS X-tee kaudu või muul turvalist elektroonilist andmevahetust võimaldaval viisil andmeid põhiandmekogudega. Andmekogu ABIS kasutuselevõtmisel hoitakse biomeetrilisi andmeid tsentraalselt ning põhiandmekogude juurdepääs andmekogu ABIS andmetele tagatakse X-tee päringute vahendusel. Eelnõu näeb ette ka võimaluse vahetada andmeid põhiandmekogudega muul turvalist elektroonilist andmevahetust võimaldaval viisil. Avaliku teabe seaduse (edaspidi AvTS) § 439 lõige 5 näeb ette, et andmevahetus riigi infosüsteemi kuuluvate andmekogudega ja riigi infosüsteemi kuuluvate andmekogude vahel toimub riigi infosüsteemi andmevahetuskihi kaudu. AvTS on üldseadus ning andmekogu kohta kehtivad üldseadustest tulenevad üldnormid niivõrd, kuivõrd andmekogu enda kohta käiv seadus ei kehtesta erinorme. See annab võimaluse kehtestada eriseadustega teistsugused teabele juurdepääsu korda, viise ja tingimusi reguleerivad sätted. Kõnesoleval juhul on vaja lahendada andmevahetus mõne muu turvalise kanali kaudu 5 ning sätestada KES-i erisus AvTS-i üldregulatsioonist. KES-i § 97 lõige 31 sätestab, et RSR vahetab andmekoguga ABIS andmeid X-tee kaudu või muul turvalist elektroonilist andmevahetust võimaldaval viisil. Andmekogus ABIS sisalduvaid biomeetrilisi andmeid vahetatakse põhiandmekogudega üksnes X-tee kaudu. Muu turvaline elektrooniline andmevahetus on vajalik andmekogu ABIS süüteomenetluse liidese jaoks, et viia kokku andmekogus ABIS olevad biomeetrilised andmed RSR-i kantavate muude isikuandmetega. Selleks on vaja süüteomenetluse liidesel teha päring RSR-i, et saada sealt muud isikule kuuluvad andmed, mis on seotud biomeetriliste andmetega andmekogus ABIS. Erandi sätestamine on vajalik, sest andmekogu ABIS süüteomenetluse liidest ning RSR-i ei ole tehniliselt võimalik X-tee kaudu ühendada. Eelnõu §-ga 3 määratakse kindlaks andmekogu ABIS andmete kaitset puudutav. Andmekogu andmete puhul kaitstakse nende: 1) käideldavust, tagades andmete kasutatavuse ja õigeaegse kättesaadavuse selleks volitatud isikutele; 2) tervikluse, välistades andmete tahtmatu või tahtliku muutmise; 3) konfidentsiaalsuse, tagades andmete kättesaadavuse vaid volitatud isikutele. Andmekogu ABIS andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks rakendatakse vastavaid organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid. Arvestades Vabariigi Valitsuse 20. detsembri 2007. a määruses nr 252 (edaspidi määrus nr 252) „Infosüsteemide turvameetmete süsteem“ sätestatut, on andmekogu turbeaste kõrge ehk H. Turvaklass on määratud andmete käideldavuse alusel K2, terviklikkuse alusel T3 ja konfidentsiaalsuse alusel S2. Määruse nr 252 § 2 sätestab, et turvameetmete süsteemi rakendamine seisneb selles, et määratakse infoturbe eesmärkidele vastavad turvaklassid ja valitakse nendele vastavad turvameetmed infosüsteemide kolmeastmelise etalonturbe süsteemi (edaspidi ISKE) rakendamisjuhendi kohaselt, samuti tuleb nende rakendamist auditeerida. ISKE rakendamisjuhendi1 punkt 2.4 näeb ette, et „kui andmete turvaklassid on määratud, määratakse muude infovarade turvaklassid, alustades kõige kõrgemate turvaklassidega andmeid käitlevatest infosüsteemidest. Järgmisena vaadatakse kõiki süsteemiga seotud infovarasid (sh. toetavad ja autonoomsed varad) ja hinnatakse nende tähtsust kõrgeima turvaklassiga andmekogude seisukohalt, alljärgnevas tabelis oleval skaalal. Vara roll Kriteerium Tähtis Ilma nimetatud varata ei saa andmekogu toimida ja see vara on otseselt vajalik andmekogu toimimiseks ja/või muude vahenditega saab andmekogu toimida suhteliselt lühikest aega. Vähetähtis Andmekogu saab toimida ja/või töid/teenuseid/funktsioone saab ka täita muul viisil. Kui vara osutub kõrge turvaklassiga andmekogu jaoks tähtsaks, tuleb talle määrata samasugune turvaklass, muul juhul võib klass olla ühe taseme võrra madalam. Turvaosaklassi võib alandada ainult juhul, kui see ei ohusta kogu süsteemi turvalisust ega ole seatud turvalisuse klassiga vastuolus. Infovarade turvaklassid määrab asutuse infotehnoloogia eest vastutav spetsialist 1 Riigi Infosüsteemi Amet. ISKE juhendid ja materjalid. https://www.ria.ee/et/kuberturvalisus/iske/juhendid-ja- materjalid.html (19.04.2021). 6 koos infoturbespetsialistiga.“ Andmekoguga ABIS liidestatakse näiteks Eesti kodakondsuse saanud, taastanud või kaotanud isikute andmekogu, elamislubade ja töölubade register ja sissesõidukeeldude riiklik register, mille ISKE klass on K3T3S2, see tähendab, et see on kõrgem, kui andmekogu ABIS turvaklass K2T3S2. PPA on koostanud andmekogu ABIS ISKE turvaanalüüsi ning on selle põhjal leidnud, et andmekogu vara on eespool nimetatud skaalal kõrge turvaklassiga andmekogu jaoks vähetähtis ning seega võib andmekogu ABIS turvaklass olla ühe taseme võrra madalam. Andmete käideldavust arvestades on andmekogu ABIS turvaklass K2, see eeldab andmekogu 99%-list töökindlust. K2 turvaklassiga andmekogu lubatud suurim summaarne seisak nädalas on kuni kaks tundi ja reaktsiooniaja kasv tippkoormusel 1–10 minutit. Andmekogu andmete terviklust silmas pidades on turvaosaklass T3. Selle puhul peab andmekogu infoallikas, selle muutmise ja hävitamise faktil olema tõestusväärtus. Andmekogus on vajalik info õigsuse, täielikkuse ja ajakohasuse kontroll reaalajas. Andmete konfidentsiaalsuse osaeesmärki arvestades on andmekogu ABIS turvaosaklass S2, mille kohaselt on andmekogus olev teave salajane. Teavet on lubatud kasutada ainult kindlatel kasutajarühmadel ja teabele juurdepääs on lubatud juurdepääsu taotleva isiku õigustatud huvi korral. 2. peatükk. Andmekogu vastutav ja volitatud töötleja Eelnõu §-s 4 sätestatakse andmekogu ABIS vastutavad ja volitatud töötlejad. Andmekogu ABIS asutatakse 13 seaduse alusel ja igas seaduses on sätestatud andmekogu ABIS vastutav töötleja. Praegu töödeldakse erinevate riiklike menetluste käigus kogutud biomeetrilisi andmeid eri andmekogudes, need asuvad eri ministeeriumite haldusalas ning andmekogudel on erinevad vastutavad ja volitatud töötlejad. Andmekogu ABIS loomisel ei ole muudetud asutuste seniseid pädevusi ning asutused jätkavad täpselt samade, neile seadusega pandud ülesannete täitmist nagu praegu. Kuna andmekogusse ABIS koondatakse eri seaduste alusel ja menetluste käigus kogutavad andmed ning neid töötlevad eri asutused oma pädevuse kohaselt, on optimaalne lahendus määrata mitu vastutavat töötlejat. Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/6709 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88)2 artikli 4 lõige 7 sätestab, et vastutav töötleja on füüsiline või juriidiline isik, avaliku sektori asutus, amet või muu organ, kes üksi või koos teistega määrab kindlaks isikuandmete töötlemise eesmärgid ja vahendid; kui sellise töötlemise eesmärgid ja vahendid on kindlaks määratud liidu või liikmesriigi õigusega, võib vastutava töötleja või tema määramise konkreetsed kriteeriumid sätestada liidu või liikmesriigi õiguses. Andmekogul ABIS on mitu vastutavat töötlejat, kes koguvad isikuandmeid, määravad kindlaks isikuandmete töötlemise eesmärgid ja vahendid. AvTS-i § 434 lõige 1 sätestab, et andmekogu vastutav töötleja (haldaja) on riigi- või kohaliku omavalitsuse asutus, muu avalik-õiguslik juriidiline isik või avalikke ülesandeid täitev eraõiguslik isik, kes korraldab andmekogu kasutusele võtmist ning teenuste ja andmete haldamist. Andmekogu vastutav töötleja vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Andmekogu ABIS vastutav töötleja on eelnõu § 4 lõike 1 järgi 2 Isikuandmete kaitse üldmäärus. https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A32016R0679 (19.04.2021). 7 PPA. Eelnõu § 4 lõike 2 kohaselt on VÄM-i vastutus piiritletud põhimääruse §-de 9, 14 ja 15 sätestatu alusel andmekogusse kantavate andmete puhul. See tähendab, et VÄM on vastutav töötleja diplomaatilise passi kasutaja, Eesti kodaniku passi ja isikutunnistuse väljaandmise taotluse edastamisel ja digitaalse isikutunnistuse väljastamisel ning elamisloa ja elamisloakaardi taotluse edastamisel võetud biomeetriliste andmete puhul. Praegu töödeldakse neid andmeid konsulaarametniku ametitoimingute ja diplomaatiliste passide andmekogus (edaspidi CONSUL), mille vastutav töötleja on VÄM. Eelnõu § 4 lõike 3 kohaselt on EKEI vastutus piiritletud põhimääruse §-des 10, 12, 13, 16–20 ja 36 nimetatud andmete puhul. See tähendab, et EKEI on vastutav töötleja kaitseväeteenistuse seaduse (edaspidi KVTS), KES-is, kriminaalmenetluse seadustiku (edaspidi KrMS), politsei ja piirivalve seaduse (edaspidi PPVS), päästeteenistuse seaduse (edaspidi PäästeTS), vangistusseaduse (edaspidi VangS) ja väärteomenetluse seadustiku (edaspidi VTMS) alusel andmekogusse kantavate andmete puhul. Praegu töödeldakse nimetatud seaduste alusel kogutud biometrilisi andmeid RSR-is, kus andmete töötlejaks on EKEI. Edaspidi täidab RSR-i ülesandeid biomeetriliste andmete töötlemisel andmekogu ABIS. Kuna eelnõuga ei muudeta asutuste seniseid pädevusi, vastutab EKEI ka edaspidi nende andmete töötlemise eest andmekogus ABIS, mida praegu töödeldakse RSR-is. Eelnõu § 4 lõige 4 määrab kindlaks andmekogu ABIS volitatud töötlejad. Andmekogu volitatud töötlejad on Kaitsepolitseiamet, Välisluureamet ja Kaitsevägi. Neil on vaja andmekogule ligipääsu, et täita neile pandud ülesandeid riigi julgeoleku tagamiseks. Eelnõu § 4 lõike 5 kohaselt on andmekogu ABIS arendamisel ja majutamisel volitatud töötlejaks Siseministeeriumi infotehnoloogia- ja arenduskeskus (edaspidi SMIT). Eelnõu § 5 sätestab andmekogu ABIS vastutava töötleja ülesanded. Eelnõu § 5 lõigetes 1 ja 2 käsitletakse vastutava töötleja ülesandeid, mis seonduvad andmekogu ABIS pidamisega. Eelnõu § 4 lõike 1 kohaselt on andmekogu ABIS vastutav töötleja PPA. Samuti on selle üldine haldamine PPA ülesanne, kes korraldab ka andmekogu pidamiseks vajalike projekteerimis- ja arendustööde tegemise, määrab andmekogu turvanõuded ja juhib selle pidamist ning annab VÄM-ile, EKEI-le ja volitatud töötlejale vajalikke juhiseid. Eelnõu § 4 lõigetes 2 ja 3 on piiritletud, milliste andmete puhul on vastutavad töötlejad VÄM ja EKEI. Lähtuvalt põhimääruses sätestatud vastutuse jagunemisest tagavad nii PPA kui ka EKEI ja VÄM vastutavate töötlejatena andmekogu pidamise õigusaktides sätestatud nõuete kohaselt, otsustavad ja tagavad õigustatud isikutele juurdepääsu andmekogule, vastutavad andmekogu andmete nõuetekohase väljastamise eest, rakendavad organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks ning vastutavad koos volitatud töötlejaga isikuandmete töötlemise nõuete täitmise eest. Lisaks teevad VÄM ja EKEI PPA-le ettepanekuid andmekogu arendamiseks. Eelnõu § 6 näeb ette volitatud töötleja ülesanded. Eelnõu § 6 lõigetes 1 ja 2 käsitletakse volitatud töötleja ülesandeid, mis seonduvad andmekogu ABIS pidamisega. Volitatud töötleja vastutab andmekogus tehtavate toimingute õiguspärasuse ning andmekogust andmete väljastamise nõuetekohasuse eest. Volitatud töötleja on kohustatud rakendama andmete turvalisuse tagamiseks andmekogu turvanõuetele vastavaid meetmeid. Samuti vastutab volitatud töötleja isikuandmete töötlemise nõuete täitmise eest. Volitatud 8 töötleja teeb järelevalvet oma asutuses juurdepääsuõigust omavate teenistujate andmekogu kasutamise üle. Andmekogu andmete töötlemise õiguspärasuse eeldus on, et on antud juurdepääsuõigus ja seda kasutavad üksnes teenistujad, kellele see on vajalik teenistuskohustuste täitmiseks. Kõik volitatud töötlejad vastutavad oma kasutajate usaldusväärsuse ja andmekogu õiguspärase kasutamise eest. Samuti teeb volitatud töötleja PPA-le ettepanekuid andmekogu arendamiseks. Eelnõu § 6 lõige 2 sätestab SMIT-i ülesanded. SMIT tagab andmekogu küberturvalisuse (käideldavuse, terviklikkuse ja konfidentsiaalsuse) õigusaktides sätestatud nõuete järgi, tagab vastutavale töötlejale andmekogu andmete nõuetekohase väljastamise, tagab andmekogu majutamiseks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku, teenuse intsidentide käsitlemise, andmete kustutamise, hävitamise või arhiveerimise, vastutab turbealase info pideva analüüsimise ja turvariskide väljaselgitamise eest ning teeb andmekogu vastutavale töötlejale ettepanekuid andmekogu arendamiseks. SMIT-i ülesanne on viia läbi infosüsteemi turvameetmete rakendamise audit ja edastada auditi andmekogu puudutavad tulemused vastutavatele töötlejatele. 3. peatükk. Andmekogusse kantavad andmed Eelnõu §-des 7–36 sätestatakse andmekogu ABIS andmete koosseis. Andmekogu ABIS hakkab olema keskne riiklik andmekogu, kuhu hakatakse kandma ning edaspidi säilitama praegu eri andmekogudes ning eri riiklike menetluste käigus kogutavaid biomeetrilisi isikuandmeid – fotosid, näo- ja sõrmejäljekujutisi. Andmekogusse ABIS kantakse biomeetrilised andmed eelnõu § 2 selgituste juures nimetatud andmekogudest ja registritest. Eelnõu §-des 7–36 sätestatud andmekoosseisusid on samad, nagu on sätestatud eespool nimetatud andmekogude ja registrite põhimäärustes. 4. peatükk. Andmete töötlemine Eelnõu § 37 näeb ette, et andmete töötlemisele andmekogus ABIS kohaldatakse määruse § 2 lõigetes 2 ja 3 nimetatud andmekogude põhimääruses sätestatut. Nendes põhimäärustes sätestatut kohaldatakse andmeandjatele ja andmete andmekogusse kandmise alusdokumentidele ning järgmistele andmete töötlemise toimingutele: 1) andmekogusse andmete esitamine ja kandmine; 2) andmete õigsuse tagamine; 3) ebaõigete andmete parandamine; 4) andmete väljastamine. Andmekogusse ABIS siirdatakse biomeetrilised andmed põhiandmekogudest ning edaspidi säilitatakse biomeetrilisi andmeid üksnes andmekogus ABIS. Samuti hakatakse sinna kandma eri seaduste alusel hõivatud biomeetrilisi andmeid, mida praegu töödeldakse eri andmekogudes. Praegu kohalduvad nende andmete töötlemisele erinevad põhimõtted ja regulatsioonid, mis jäävad teatud ulatuses ka andmekogu ABIS puhul kehtima. Siiski ei säilitata seal selliseid isiku biograafilisi andmeid nagu nimi, sünniaeg, isikukood, kodakondsus jms. Need andmed on ka edaspidi põhiandmekogus, nt isikut tõendavate dokumentide andmekogus, viisaregistris või RSR-is. Andmekogusse ABIS kantud biomeetrilised andmed on biomeetrilise kande tunnuse kaudu seotud konkreetse isiku biograafiliste andmetega põhiandmekogus, see võimaldab biomeetrilised andmed kogu andmete töötlemise elukaare jooksul isikustada. Andmekogu 9 ABIS kasutatakse ja selle andmeid manipuleeritakse (näiteks sisestatakse, vaadatakse, edastatakse, kustutakse) põhiandmekogude kaudu. Erandiks on süüteomenetluse liides, mis on andmekogu ABIS otseliides, selle puhul tuleb kohaldada RSR-i regulatsiooni. Seetõttu nähakse määruses ette, et andmete töötlemisele andmekogus ABIS kohaldatakse teatud ulatuses põhiandmekogude sätteid. Andmekogu ABIS võib vaadelda kui põhiandmekogudele loodavat biomeetriliste andmete töötlemise funktsionaalsust, mis võimaldab teha põhiandmekogudele vajalikke biomeetria päringuid menetlustoimingute läbiviimiseks. Näiteks töödeldakse praegu isikut tõendavate dokumentide väljaandmise menetluses taotleja andmeid isikut tõendavate dokumentide andmekogus (edaspidi ITDAK). Siseministri 18. detsembri 2015. a määruse nr 78 „Isikut tõendavate dokumentide andmekogu pidamise põhimäärus“ (edaspidi määrus nr 78) § 8 lõike 1 kohaselt kantakse isikut tõendava dokumendi taotleja kohta andmekogusse näiteks eesnimi (eesnimed), perekonnanimi (perekonnanimed), isikukood, sünniaeg, sünnikoht, sugu, kodakondsus, foto või näokujutis, sõrmejäljekujutised, andmed isikult sõrmejälgede võtmise võimatuse kohta jne. Edaspidi kantakse foto või näokujutis ja sõrmejäljekujutised (eelnõu §-d 7 ja 8) andmekogusse ABIS. Seega kantakse andmekogu ABIS kasutuselevõtmisel ühe menetluse käigus kogutud andmed kahte andmekogusse: biomeetrilised andmed andmekogusse ABIS ning biograafilised andmed põhiandmekogusse. Nende andmete töötlemisel põhiandmekogus ja andmekogus ABIS lähtub samadest põhimõtetest. Mõlemas andmekogus on samad andmeandjad ja andmete andmekogusse kandmise alusdokumendid. Samade reeglite järgi toimub ka andmete kandmine andmekogusse, nende õigsuse tagamine ja ebaõigete andmete parandamine ning andmete väljastamine. Andmekoguga ABIS liidestatakse üheksa andmekogu ja registrit, iga andmekogu ja registri andmete töötlemise põhimõtted rakenduvad ka andmete töötlemisele andmekogus ABIS. Dubleerimise vältimiseks ei ole eelnõus korratud eri seadustes ja põhiandmekogude põhimäärustes sätestatud regulatsioone. Eelnõu § 38 reguleerib andmete säilitamise, arhiveerimise ja kustutamise tähtaegasid. Andmekogus ABIS töödeldavate andmete säilitamise, arhiveerimise ja kustutamise tähtaegasid ei ole kehtivatega võrreldes muudetud. Eelnõu § 38 lõikes 1 sätestatakse, et määruse §-des 7– 9, 11, 14, 15 ja 21–35 nimetatud andmete säilitamisele ja arhiveerimisele kohaldatakse asjakohases seaduses ja selle alusel kehtestatud, käesoleva määruse § 2 lõikes 2 nimetatud andmekogude põhimääruses andmete säilitamise kohta sätestatut. Lõike 2 kohaselt kohaldatakse määruse §-des 10, 12, 13, 16–23 ja 34–36 nimetatud andmete säilitamisele ja kustutamisele asjakohases seaduses ja Vabariigi Valitsuse 7. juuni 2013. aasta määruses nr 90 „Riikliku sõrmejälgede registri asutamine ja registri pidamise põhimäärus“ andmete säilitamise kohta sätestatut. Riiklike menetluste käigus kogutud ja eri andmekogudesse kantud andmete säilitamise tähtajad on olenevalt andmekogust erinevad. Isikuandmete säilitamistähtaja kindlaksmääramisel tuleb lähtuda sellest, kui kaua on neid vaja selle eesmärgi täitmiseks, milleks need koguti. Need eesmärgid on andmekogusse ABIS kantavate andmete puhul erinevad ning eelnõuga neid ei muudeta. Andmekogus ABIS säilitatavad biomeetrilised andmed peab olema võimalik kokku viia põhiandmekogus säilitatavate biograafiliste andmetega kogu nende töötlemise elukaare jooksul, see on vajalik nende kogumise eesmärgi täitmiseks. Nii lõikes 1 kui ka lõikes 2 on viidatud määruse §-des 21–23 ja 34 ning 35 nimetatud andmetele. Tegemist on välismaalasele rahvusvahelise kaitse andmise seaduse (edaspidi VRKS) ja väljasõidukohustuse ja sissesõidukeelu seaduse (edaspidi VSS) alusel andmekogusse kantavate andmetega. Nimetatud seaduste alusel kogutud andmed kantakse praegu kahte erinevasse andmekogusse, näiteks VRKS-i alusel kogutud sõrmejäljekujutised kantakse Eestis seadusliku aluseta viibivate ja viibinud välismaalaste andmekogusse ja riiklikusse sõrmejälgede 10 registrisse. Nendes andmekogudes on andmetel erinevad säilitamise tähtajad ning neid tähtaegasid andmekogus ABIS ei muudeta. Andmete kandmisel andmekogusse ABIS jäävad nende seaduste alusel kogutud biomeetrilised andmed seotuks kahes põhiandmekogus olevate biograafiliste andmetega ning neile kohalduvad erinevad säilitamise tähtajad. Eelnõu lõige 3 sätestab, et andmete tähtaegse kustutamise eest vastutab põhiandmekogu vastutav töötleja. Andmekogus ABIS säilitatavate andmete säilitamise tähtaega jälgib põhiandmekogu ning säilitustähtaja möödumisel saab andmekogu ABIS andmete kustutamise käsu põhiandmekogult. Eelnõu § 39 reguleerib juurdepääsu andmekogu ABIS andmetele. Lõige 1 sätestab, et juurdepääs andmekogu andmetele võimaldatakse põhiandmekogu või otseliidese kaudu. Need selgitused on esitatud eelnõu § 2 selgituste juures. Andmekogu ABIS on piiratud juurdepääsuga ja andmekogusse kantud andmed on ette nähtud asutusesiseseks kasutamiseks. Andmekogusse ABIS kantud andmete puhul ei ole tegemist avaandmetega. Samuti on sinna kantud andmed juurdepääsupiiranguga AvTS-i ja teiste isikuandme kaitset reguleerivate õigusaktide kohaselt. Biomeetrilised andmed on juurdepääsupiiranguga teave AvTS-i § 35 lõike 1 punkti 11 tähenduses. Selle põhimõtte tõttu saavad andmekogusse ABIS kantud andmeid töödelda üksnes need isikud ja asutused, kellel on õigus pääseda juurde asutusesiseseks kasutamiseks ette nähtud teabele. AvTS-is on reguleeritud asutusesiseseks kasutamiseks mõeldud teabele juurdepääs §-s 38 ning isikuandmeid sisaldavale teabele juurdepääs §-s 39. Neid põhimõtteid kohaldatakse ka andmekogust ABIS teabe väljastamisele või andmetele muul viisil juurdepääsu võimaldamisele. Näiteks tuleneb AvTS-i § 38 lõikest 3 universaalne põhimõte, mille kohaselt on asutusesiseseks kasutamiseks mõeldud teabeks tunnistatud teabele juurdepääsu õigus riigi ja kohaliku omavalitsuse ametnikul või töötajal oma ametiülesannete täitmiseks. Seda teavet ei tohi edastada kolmandatele isikutele ilma juurdepääsupiirangu kehtestanud asutuse loata. Samuti paneb sama paragrahvi lõige 31 teavet küsivale riigi ja kohaliku omavalitsuse ametnikule või töötajale kohustuse teatada teabevaldajale teabele seaduses sätestatud juurdepääsu alus ja eesmärk, kui avalike ülesannete täitmiseks taotletakse juurdepääsu asutusesiseseks kasutamiseks mõeldud teabeks tunnistatud teabele. Seda kohustust peab täitma nii teabe küsija kui ka andmekogust ABIS teavet väljastav isik. Viimane peab veenduma, et seaduses nõutud andmed on taotluses esitatud ja kui küsija on jätnud need esitamata, siis paluma taotlusest see puudus kõrvaldada. Isikuandmeid sisaldava teabe väljastamisel tuleb järgida kõiki asjakohaseid õigusakte ja menetlusnorme (näiteks haldusmenetluse seadust, AvTS-i, isikuandmete kaitse seadust (edaspidi IKS) ja muid isikuandmete töötlemist reguleerivad õigusakte). Vastutava ja volitatud töötleja ametnikud ja töötajad kasutavad andmekogu ABIS oma teenistus- ja tööülesannete täitmiseks. Muul eesmärgil on andmekogu ABIS kasutamine keelatud. Lõike 4 kohaselt võimaldatakse kolmandale isikule juurdepääs andmekogu andmetele põhiandmekogu kaudu põhiandmekogu põhimääruses sätestatud korras. Kolmandad isikud ei saa andmekogule ABIS otsejuurdepääsu, vaid see võimaldatakse andmekoguga ABIS liidestatud teise andmekogu kaudu. Kolmandatel isikutel, kellel on seadusega või seaduse alusel antud õigusaktidega ettenähtud ülesannete täitmiseks vaja andmekogu ABIS andmeid, on õigus saada andmeid põhiandmekogu kaudu. 11 Näiteks sätestab rahapesu ja terrorismi rahastamise tõkestamise seaduse § 31 lõige 5, et krediidiasutusel ja finantseerimisasutusel on õigus kasutada isikusamasuse tuvastamiseks ning andmete kontrollimiseks ITDAK-i kantud isiku tuvastamise andmeid. ITDAK-i põhimääruse § 7 kohaselt on isiku tuvastamise andmed ka foto või näokujutis (punkt 7) ja sõrmejäljekujutised (punkt 8). Nimetatud andmed kantakse edaspidi andmekogusse ABIS, mis liidestatakse ITDAK-iga. Ka pärast andmekogu ABIS kasutuselevõtmist teevad krediidiasutused ja finantseerimisasutused isikusamasuse kontrollimise päringuid ITDAK-i, mis teeb automaatselt päringu andmekogusse ABIS, ning ITDAK saadab saadud vastuse päringu tegijale. Andmekogu ABIS kasutuselevõtmise esimeses etapis ei ole võimalik kolmandatel isikutel biomeetria võrdlust teha. Kõikidele kolmandatele isikutele võimaldatakse juurdepääs andmekogule ABIS samadel põhimõtetel ja alus selleks peab olema sätestatud seaduses. Eelnõu kohaselt võimaldatakse juurdepääs andmekogu ABIS andmetele asjakohases seaduses ja põhiandmekogu põhimääruses sätestatud korras. Seega tuleb juurdepääsu andmine kolmandale isikule otsustada põhiandmekogu regulatsiooni kohaselt. Näiteks reguleerib ITDAK-i põhimääruses kolmandatele isikutele juurdepääsu andmist § 16 lõige 5, mis sätestab, et andmekogu vastutav töötleja otsustab kolmandatele isikutele infosüsteemide andmevahetuskihi kaudu andmetele juurdepääsu andmise selleks seadusest tuleneva aluse olemasolul ning kooskõlas AvTS-i ja IKS-iga. Vajaduse korral sõlmitakse andmesaajaga leping, kus sätestatakse nende andmete koosseis, millele juurdepääs võimaldatakse, ning andmetele juurdepääsu andmise õiguslik alus, eesmärk, tingimused, kord ja viis. Lõige 5 sätestab, et vastutava ja volitatud töötleja kasutaja juurdepääsu õigused antakse põhiandmekogus. See tähendab, et vastutava ja volitatud töötleja ametnike ja töötajate kasutajaõigused andmekogule ABIS antakse põhiandmekogudes ning nende andmisel lähtutakse põhiandmekogus kasutajaõiguste andmise korrast. Lõike 6 kohaselt kohaldatakse juurdepääsuõiguste andmisele süüteomenetluse liideses Vabariigi Valitsuse 7. juuni 2013. a määruse nr 90 „Riikliku sõrmejälgede registri asutamise ja registri pidamise põhimäärus“ § 9. RSR-i põhimääruses reguleerib registriandmetele juurdepääsu õigusi § 9 ning selle kohaselt antakse juurdepääsuõigused ka andmekogus ABIS olevatele andmetele. RSR-is ja andmekogus ABIS sisalduvatele andmetele juurdepääsuõiguste andmisele kehtivad samad põhimõtted. Lõige 7 sätestab põhiandmekogu vastutava töötleja vastutuse. Põhiandmekogu vastutav töötleja vastutab selle eest, et põhiandmekogust andmekogusse ABIS tehtud päringu teeks selleks õigusi omav isik. Eelnõu §-des 40, 41 ja 44–48 on reguleeritud asutuste juurdepääsu ulatus andmekogu ABIS andmetele isiku tuvastamisel ja isikusamasuse kontrollimisel isikut tõendavate dokumentide väljaandmise menetluses, konsulaarteenuse osutamisel, kodakondsuse saamise ja taastamise menetlustes, välismaalasele rahvusvahelise kaitse andmise menetluses, viisamenetluses, lühiajalise töötamise registreerimisel, elamisloa menetluses ja Eestis seadusliku aluseta viibivate ja viibinud välismaalaste Eestis viibimise ja Eestist lahkumise kohustuse täitmisega seotud menetlustes. Kuna andmete töötlemise põhimõtted isiku tuvastamisel ja isikusamasuse kontrollimisel on nimetatud seadustes samad, siis käsitletakse neid koos. Isikuandmete kaitse üldmääruses sisalduv seaduslikkuse nõue tähendab, et isikuandmete töötlemiseks peab alati olema õiguslik alus. Biomeetrilised andmed on isikuandmete kaitse 12 üldmääruse mõttes isikuandmete eriliigiks. Nende töötlemise võimalikud õiguslikud alused on nimetatud isikuandmete kaitse üldmääruse artikli 9 lõikes 2. Õiguslik alus biomeetriliste andmete kogumiseks andmekogusse ABIS on artikli 9 lõike 2 punkt g – töötlemine on vajalik olulise avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. Nii Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK2 (ELT L 119, 04.05.2016, lk 89–131)3 (edaspidi õiguskaitseasutuste direktiiv) kui ka isikuandmete kaitse üldmäärus reguleerivad olukordi, kus isikuandmeid soovitakse töödelda muul eesmärgil kui see, milleks andmeid esialgu koguti. Isikuandmete kaitse üldmääruse kohaldamisalasse jäävatele olukordadele tuleb kohaldada üldmääruse artikli 6 lõiget 4. Õiguskaitseasutuste poolt andmete töötlemine algsest erineval eesmärgil on sätestatud direktiivi artikli 4 lõikes 2 ning artiklis 9. Kui õiguskaitseasutuste direktiivi kohaldamisalasse jäävate isikuandmete edasine töötlemine toimub eesmärgil, mis ei ole seotud õiguskaitseasutuste tegevusega, peab töötlemine olema selgelt lubatud Eesti või Euroopa Liidu (edaspidi ka EL) õigusega ning sellise töötlemise suhtes tuleb kohaldada isikuandmete kaitse üldmäärust. Õiguslik alus andmekogusse ABIS kantud andmete ristkasutamiseks on sätestatud seadustes, mille alusel andmekogu ABIS asutatakse. ITDS-i § 154 lõigetes 2 ja 3, KodS-i § 24 lõigetes 2 ja 3, KonS-i § 121 lõigetes 2 ja 3, VRKS-i 137 lõigetes 2 ja 3, VMS-i § 2794 lõigetes 2 ja 3 ja VSS-i § 3315 lõigetes 2 ja 3 on loodud õiguslikud alused andmete edasiseks töötlemiseks. Seda tohib teha juhul, kui see on vajalik avaliku korra ja julgeoleku tagamiseks ning hõlmab loodava andmekogu üldist eesmärki. Eriti oluline on andmete ristkasutamine isiku tuvastamiseks, sest selle käigus tehakse kindlaks isiku identiteet. Isiku tuvastamisel peab pädev asutus veenduma erinevate andmete ja põhjalike päringute tulemusel, et isik on see, kes ta väidab end olevat. Avaliku võimu asutustel on seadusest tulenev kohustus isik tuvastada ning õigus ja kohustus teha toiminguid üksnes õige isiku suhtes. Just seetõttu peavad avaliku võimu teostajad olema veendunud, et isik on just see, kellena ta esineb. Tõsikindel isiku tuvastamine ja isikusamasuse kontrollimine võimaldab vältida näiteks identiteedivargusi või pettusi ning ennetada ja tuvastada kuritegusid, kus pettuse teel soovitakse luua endale uut identiteeti. Võimalus isik tuvastada ja tema isikusamasust kontrollida biomeetriliste andmete alusel tagab näiteks identiteedi tuvastamise piiriületusel ja kõrvaldab riskid, et isikud reisivad riikide vahel erinevate passidega. Kui isikuandmeid töödeldakse eesmärgil, mis pole kooskõlas andmete kogumise algse eesmärgiga, peab selliseks edasiseks töötlemiseks olema iseseisev õiguslik alus. Isikuandmete kaitse üldmääruse kohaselt on oluline, et kui liikmesriik annab ristkasutuseks õigusliku aluse, peaks see õiguslik alus kindlaks määrama isikuandmete töötlemise eesmärgi, vastama avaliku huvi eesmärgile (isikuandmete kaitse üldmääruse artikli 23 lg 1) ja olema proportsionaalne taotletava õiguspärase eesmärgiga. Andmete töötlemine isiku tuvastamiseks ja isikusamasuse kontrollimiseks andmekogus ABIS lähtub põhimõttest, et isiku õigustesse sekkumist alustatakse kõige vähem riivaval viisil ja riive 3 Õiguskaitseasutuste direktiiv. https://eur-lex.europa.eu/legal- content/ET/TXT/HTML/?uri=CELEX:02016L0680-20160504 (19.04.2021). 13 suureneb, kui vähem riivavad viisid ei anna tulemust või ei anna ühest tulemust. Eelnõu näeb ette, et isiku tuvastamisel ja isikusamasuse kontrollimisel võib töödelda teiste seaduste alusel kogutud ja andmekogusse ABIS kantud andmeid üksnes juhul, kui isikut ei ole võimalik tuvastada või tema isikusamasust kontrollida menetlust reguleeriva seaduse alusel andmekogusse ABIS kantud andmete põhjal. Andmekogus ABIS andmete töötlemise alus ja eesmärk on sätestatud eri seadustes. Neis on sätestatud õiguslik alus ristkasutada teiste seaduste alusel kogutud andmeid ning ette on nähtud tingimused, millisel juhul võib teiste seaduste alusel kogutud isikuandmeid töödelda isiku tuvastamiseks ja isikusamasuse kontrollimiseks. Määrusega täpsustatakse seaduses sätestatut ning nähakse ette juurdepääsuõigused konkreetsetes menetlustes. Isikut tõendavate dokumentide väljaandmise menetluses (ITDS-i § 154 lõiked 2 ja 3), kodakondsuse saamise ja taastamise menetlustes (KodS-i § 24 lõiked 2 ja 3), konsulaarteenuse osutamisel (KonS-i § 121 lõiked 2 ja 3), välismaalasele rahvusvahelise kaitse andmise menetluses (VRKS-i 137 lõiked 2 ja 3), viisamenetluses (VMS-i § 2794 lõiked 2 ja 3), lühiajalise töötamise registreerimisel (VMS-i § 2794 lõiked 2 ja 3) , elamisloa menetluses (VMS-i § 2794 lõiked 2 ja 3) ning Eestis seadusliku aluseta viibivate ja viibinud välismaalaste Eestis viibimise ja Eestist lahkumise kohustuse täitmisega seotud menetlustes (VSS-i § 3315 lõiked 2 ja 3) on sätestatud alused andmete töötlemiseks eesmärgil, mis erineb nende algsest kogumise eesmärgist. Seadustes on sätestatud andmete ristkasutamise lubatavusele lisatingimused – menetluses võib teiste seaduste alusel andmekogusse ABIS kantud andmeid töödelda isiku tuvastamiseks ja isikusamasuse kontrollimiseks avaliku korra ja riigi julgeoleku tagamise eesmärgil üksnes juhul, kui isikut ei ole võimalik tuvastada või tema isikusamasust kontrollida seaduse alusel andmekogusse ABIS kantud andmete põhjal. Eelnõu § 40 reguleerib juurdepääsuõigusi isikut tõendavate dokumentide väljaandmise menetluses. Näiteks antakse ITDS-i alusel välja e-residendi digitaalset isikutunnistust. E-residendi digitaalse isikutunnistuse väljaandmist taotlev isik tuleb tuvastada või kontrollida tema isikusamasust. ITDS-i § 206 lõige 2 sätestab, et e-residendi digitaalse isikutunnistuse väljaandmisest keeldutakse, kui: 1) isik ohustab avalikku korda või riigi julgeolekut; 2) e-residendi digitaalset isikutunnistust taotletakse majandustegevuseks ning esineb majandustegevuse keelamise alus; 3) isik ei ole tõsikindlalt tuvastatud või tema isikusamasuses on põhjust kahelda. Eelnõu kohaselt ei tohi e-residendi isiku tuvastamiseks või isikusamasuse kontrollimiseks kasutada esmalt teiste seaduste alusel andmekogusse ABIS kantud andmeid. Kõigepealt võib teha päringu ITDS-i alusel andmekogusse ABIS kantud biomeetriliste andmete alusel. Isiku tuvastamist isikut tõendava dokumendi väljaandmisel reguleerib eelnõu § 40 lõige 1, mille kohaselt võib tuvastada dokumendi taotleja isiku määruse §-des 7 ja 8 nimetatud andmete alusel. Määruse §-des 7 ja 8 on nimetatud ITDS-i alusel andmekogusse ABIS kantud andmed. Seega tohib isiku tuvastamisel esmalt töödelda üksnes ITDS-i alusel andmekogusse ABIS kantud andmeid. Kui isiku tuvastamine nende andmete alusel ebaõnnestub, võib eelnõu § 40 lõike 2 kohaselt töödelda dokumendi taotleja isiku tuvastamiseks ka teiste seaduste alusel andmekogusse ABIS kantud andmeid. Isiku tuvastamise puhul on andmekogus ABIS võrdlemisel aluseks isiku biomeetrilised andmed, mida võrreldakse mitme andmekogumiga (üks mitmele võrdlus). See tähendab, et võrdlemisel on sisendiks andmekogusse ABIS kantud isiku biomeetrilised andmed, mida võrreldakse teiste andmekogus säilitavate biomeetriliste andmetega ning vastusena saadakse mingi hulk kandidaatjälgi, mida võrrelda. Eelnõu § 40 lõige 3 reguleerib isikusamasuse kontrollimist korduva dokumendi väljaandmise taotlemisel. Isikusamasuse kontrollimise käigus võrreldakse isiku biomeetrilisi andmeid 14 andmekogusse ABIS varem tema kohta kantud andmetega (üks ühele võrdlus). Isikusamasuse kontrollimise käigus veendutakse, et tegemist on selle isikuga, nagu isik väidab. See tähendab, et isikult võetud biomeetrilisi andmeid võrreldakse temalt varem võetud ning andmekogusse ABIS kantud biomeetriliste andmetega. E-residendi isikusamasust võib esmalt kontrollida üksnes ITDS-i alusel andmekogusse ABIS kantud andmete alusel. Kui isikusamasuse kontrollimine nende andmete alusel ebaõnnestub, võib töödelda ka teiste seaduste alusel andmekogusse ABIS kantud andmeid. Sellisel juhul on teiste seaduste alusel kogutud andmete töötlemine isiku tuvastamiseks ja isikusamasuse kontrollimiseks põhjendatud, veendumaks, et isik on see, kes ta väidab end olevat. Näiteks võib isik olla varem kasutanud teist nime ja taotlenud viisat või kasutanud võltsitud dokumente. Andmete ristkasutamise õigusliku ja tehnilise võimekuse loomisega tagatakse avalik kord ja riigi julgeolek, see hõlmab loodava andmekogu üldise eesmärgi. Samadest isiku tuvastamise ja isikusamasuse kontrollimise põhimõtetest lähtutakse ka teistes eespool nimetatud menetlustes. Eelnõu § 42 näeb ette EKEI juurdepääsuõigused. Lõige 1 sätestab, et EKEI võib isiku tuvastada ja isikusamasust kontrollida määruse §-des 13, 16, 17, 20–23 ja 34–36 nimetatud andmete alusel KES-is ja teistes seadustes talle pandud ülesannete täitmiseks. Andmeid võib kasutada üksnes samal eesmärgil, mis oli nende registrisse kandmisel. Praegu töödeldakse lõikes 1 nimetatud biomeetrilisi andmeid RSR-is, kus andmete töötlejaks on EKEI. KES-i § 1 lõike 1 kohaselt sätestatakse KES-is eksperdi õiguste ja kohustuste tekke alused kriminaalmenetluses, tsiviil- ja halduskohtumenetluses ning väärteomenetluses. KES-i § 94 lõige 1 sätestab, et riikliku sõrmejälgede registri pidamise eesmärk on seaduse alusel kogutud ja registrisse kantud isikute daktüloskopeerimisel saadud andmete ja sündmuskohalt kogutud naha papillaarkurrustiku jälgede töötlemine ekspertiiside ja uuringute tegemise eesmärgil. Andmekogu ABIS kasutuselevõtmine ei muuda EKEI tööülesandeid, EKEI jätkab ka edaspidi täpselt samade talle seadusega pandud ülesannete täitmist, kuid ekspertiise tehakse uues infosüsteemis. Lõikes 1 nimetatud andmeid võib kasutada üksnes sellel eesmärgil, milleks andmeid esmalt koguti. Lõige 2 sätestab, et EKEI võib määruse §-des 7–9, 11, 13–15, 21–35 nimetatud andmete alusel isiku tuvastada KrMS-i §-s 992 sätestatud juhtudel. Kehtiva KrMS-i 992 lõige 1 sätestab, et kriminaalmenetluses määratud kohtuekspertiisi tagamiseks on lubatud kasutada muul eesmärgil kogutud daktüloskopeerimisel saadud andmeid, kui tõendite kogumine muu menetlustoiminguga ei ole võimalik või on oluliselt raskendatud või kui see võib kahjustada kriminaalmenetluse huve. Seda aga ainult juhul, kui kriminaalmenetluses on vajadus koguda teavet sellise esimese astme kuriteo või tahtliku teise astme kuriteo kohta, mille eest on ette nähtud karistusena vähemalt kuni kolm aastat vangistust. Sellist toimingut võib teha ainult prokuratuuri kirjalikul loal, mis sisaldab ka põhjendusi andmete kasutamise vajalikkuse kohta. KrMS-i täiendamisel4 §-ga 992 selgitati seletuskirjas, et mitmed õigusaktid näevad ette võimaluse võtta isikutelt sõrmejälgi mõnel muul eesmärgil, mis ei ole süüteomenetlusega seotud. Selline regulatsioon on näiteks ette nähtud kehtivas politsei ja piirivalve seaduses, aga ka tulevikus jõustuvas korrakaitseseaduses (nendes õigusaktides nähakse ette sõrmejälgede kogumine isikusamasuse tuvastamise eesmärgil). Eelnimetatud 2012. aasta muudatusega loodi võimalus kasutada süüteomenetluses muudel kui süütegude avastamise eesmärkidel kogutud andmeid kriminaalmenetluses. Juba 2012. aastal tehtud muudatuse seletuskirjas on sedastatud, 4 Kohtuekspertiisiseaduse ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu seletuskiri, lk 14–15. https://www.riigikogu.ee/tegevus/eelnoud/eelnou/a1404746-e1ec-4720-87a8-0f1550237bea (25.06.2021). 15 et kuna isikuandmete kasutamine muul eesmärgil kui algne kogumise eesmärk kujutab endast tugevat isiku põhiõiguste riivet, on vajalik lisatagatiste sätestamine. Sellisteks lisatagatisteks on siinkohal KrMS-i § 992 lõigetes 2 ja 3 sätestatud piirangud andmete kasutamiseks - sellist toimingut võib teha ainult prokuratuuri kirjalikul loal, mis sisaldab ka põhjendusi andmete kasutamise vajalikkuse kohta. Lõikes 3 sätestatakse ekspertiisi- ja uuringuobjektile jäetud jälgede töötlemine välistamise eesmärgil. EKEI võib töödelda välistamise eesmärgil määruse §-des 10, 12, 18 ja 19 nimetatud andmeid. Nendeks andmeteks on KVTS-i, KES-i, PPVS-i ja PäästeTS-i alusel andmekogusse kantud andmed. Lõhkematerjalidega seotud süütegude menetlemisel on oluline välistada lõhkematerjali seaduslikud käitlejad. Nimetatud seaduste alusel andmekogusse ABIS kantud andmeid võib töödelda üksnes välistamise eesmärgil. Eelnõu § 43 näeb ette juurdepääsuõigused riikliku järelevalve erimeetme kohaldamisel. Eelnõuga ei anta politseile täiendavaid õigusi isikusamasuse tuvastamiseks, vastavad alused on reguleeritud seaduse tasandil KorS-s. Kehtivas KorS-s reguleerivad isikusamasuse tuvastamist riikliku järelevalve erimeetme kohaldamisel §-d 32 ja 33. Seejuures on jätkuvalt KorS § 33 kohaselt erilise tuvastusmeetme rakendamine võimalik vaid juhul, kui see on vältimatult vajalik ohu tõrjumiseks. Eelnõu § 43 lõiked 1 ja 2 reguleerivad, milliseid päringuid on KorS-i alusel õigus andmekogusse ABIS teha. Lõiked 1 ja 2 reguleerivad isiku tuvastamist riikliku järelevalve erimeetme kohaldamisel. Isikusamasuse tuvastamist riikliku järelevalve erimeetme kohaldamisel reguleerivad KorS-i §-d 32 ja 33. KorS-i § 32 lõige 1 sätestab, et politsei või seaduses sätestatud juhul muu korrakaitseorgan võib isiku teadmisel kehtiva isikut tõendava dokumendi alusel tuvastada isikusamasuse, st teha kindlaks isiku nime ja isikukoodi või selle puudumisel sünniaja, tutvuda dokumendiga, võrrelda fotot ja teisi dokumendile kantud biomeetrilisi andmeid isikuga ning kontrollida dokumendi ehtsust, või kui see ei ole võimalik, siis tuvastada isikusamasuse muul õiguspärasel viisil, kui see on vajalik ohu ennetamiseks, väljaselgitamiseks, tõrjumiseks või korrarikkumise kõrvaldamiseks. Sama paragrahvi lõike 2 kohaselt on politseil või seaduses sätestatud juhul muul korrakaitseorganil isikusamasuse tuvastamiseks õigus peatada isik ja nõuda temalt sama paragrahvi lõikes 1 nimetatud dokumendi esitamist, saada isikusamasuse tuvastamist võimaldavaid ütlusi, sealhulgas andmeid isiku elukoha kohta, ning saada sama paragrahvi lõikes 1 nimetatud võrdluseks biomeetrilisi andmeid. KorS-i § 32 lõike 4 kohaselt võib korrakaitseorgan dokumendile kantud või isiku antud andmete õigsust kontrollida rahvastikuregistrist või muust Euroopa Liidu õigusakti või seaduse alusel loodud andmekogust. Eelnõu kohaselt võib PPA riikliku järelevalve erimeetme kohaldamisel esmalt isiku tuvastada määruse §-des 7 ja 8 (ITDS-i alusel andmekogusse kantud andmed) nimetatud andmete alusel. KorS-i § 32 lõike 1 kohaselt võib korrakaitseorgan isikusamasuse tuvastada kehtiva isikut tõendava dokumendi alusel. Kuna isikut tõendavaid dokumente antakse välja ITDS-i alusel, on põhjendatud teha isiku tuvastamisel biomeetriliste andmete alusel päring esmalt ITDS-i alusel andmekogusse ABIS kantud andmete alusel. Kui isiku tuvastamine nimetatud andmete alusel ei ole võimalik, võib PPA isiku tuvastada ka teiste seaduste alusel andmekogusse ABIS kantud andmete alusel. KorS § 33 lõike 1 kohaselt võib politsei või seaduses sätestatud juhul muu korrakaitseorgan võib tuvastada isikusamasuse erilise tuvastusmeetmega, kui see on vältimatult vajalik ohu tõrjumiseks, kui isikusamasuse tuvastamine käesoleva seaduse § 32 alusel ei ole võimalik või 16 kui see on ebaproportsionaalselt raske. Kuna eriliste tuvastusmeetmete kasutamine on isiku põhiõigusi rohkem riivav, on sätestatud kehtivas KorS-s selleks väga kitsad alused. Seda võib kasutada siis, kui tavapärase isikusamasuse tuvastamise käigus ei ole suudetud isikut tuvastada või kui see oleks ebaproportsionaalselt raske. Seega on ka ABIS-sse päringute tegemine lubatud üksnes nendel tingimustel, mis KorS ette näeb. Eriliste tuvastusmeetmete kasutamise teine eesmärk on tulevaste süüteomenetluste tagamine. Selle kohaselt kogutakse eriliste tuvastusmeetmetega andmeid isikult, keda kahtlustatakse kuriteo või varavastase väärteo toimepanemises, ning kui teo liigi või toimepanemise viisi põhjal on alust arvata, et isik võib ka tulevikus panna toime samaliigilise kuriteo või väärteo. Sel viisil kogutud andmed säilitatakse ning neid on võimalik tulevikus kasutada uute toimepandud kuri- või väärtegude avastamiseks. Eriliste tuvastusvahendite loetelu on antud kõnealuse paragrahvi lõikes 2. Tegemist on ammendava loeteluga ning muude andmete kogumine ning nende alusel isikusamasuse tuvastamine ei ole selle paragrahvi alusel lubatud.5 Lõige 3 reguleerib isikusamasuse kontrollimist riikliku järelevalve erimeetme kohaldamisel. Selle päringute tegemise tingimused on samad, nagu eespool lõigete 1 ja 2 puhul isiku tuvastamisel. 6. peatükk. Järelevalve tegemine, andmekogu pidamise rahastamine ja likvideerimine Eelnõu § 49 näeb ette järelevalve tegemise andmekogu ABIS üle. Lõike 1 kohaselt on muust õigusaktist tulenev järelevalvepädevus Riigi Infosüsteemi Ametil ja Andmekaitse Inspektsioonil. Isikuandmete töötlemise seaduslikkuse üle järelevalve tegemise õigus on Andmekaitse Inspektsioonil. Andmekogu haldamise üle teeb järelevalvet Riigi Infosüsteemi Amet. Regulatsioon ei pane ühelegi asutusele uusi kohustusi. Lõikes 2 on sätestatud vastutavate töötlejate teostatav järelevalve. Järelevalvet teevad vastutavad töötlejad kindlaks määratud pädevuse kohaselt (lähtuvalt eelnõu §-s 4 sätestatud andmete töötlemise pädevusest). Eelnõu §-s 50 on sätestatud andmete logimine. Andmekogu logis on andmed andmekogusse tehtud kannete ja päringute kohta. Andmete logimine on sätestatud IKS-i §-s 36. Nimetatud paragrahv reguleerib logimist isikuandmete töötlemisel õiguskaitseasutuse poolt süüteo tõkestamisel, avastamisel ja menetlemisel ning karistuse täideviimisel. Eelnõus on kõikide isikuandmete töötlemise toimingute logimine ühtlustatud, st kohaldub IKS-i § 36. Andmekogu kasutamise õiguspärasust kontrollitakse tarkvaraliselt ja organisatsiooniliste meetmetega. IKS-i §-s 36 loetletud isikuandmete töötlemise toimingud on vajalikud andmekogu ABIS andmete töötlemise ajaloo säilitamiseks selleks, et tuvastada andmete töötleja. Andmekogu ABIS andmete kasutamine peab olema jälgitav ja kontrollitav ning seda iga juurdepääsu omava teenistuja ja töötaja tegevuse puhul. Logimisnõue kehtib kõikide andmekogu osade ja andmekooseisude kohta. Vastutav töötleja peab saama tuvastada, kes on andmeid vaadanud ja kandeid teinud ning millal. Seejuures võidakse selleks, et tagada 5 Korrakaitseseaduse eelnõu seletuskiri, lk 57. https://www.riigikogu.ee/tegevus/eelnoud/eelnou/8a9c2286- 06fc-65d2-957b-bd9e11a940c4/Korrakaitseseadus (25.06.2021). 17 andmekogu toimimine, säilitada ka muid infotehnoloogilisi andmeid, mis on vajalikud infoturbe või muude probleemide lahendamiseks. Lõikes 2 reguleeritakse logide säilitamise tähtajad. Logid peab säilitama teatud aja jooksul, et oleks võimalik kontrollida andmekogu ABIS kasutamise õiguspärasust. Logiandmeid säilitatakse kümme aastat päringu või kande tegemisest arvates. Logiandmete nii pikk säilitamine on vajalik, et järgida sisekontrollimeetmeid andmekogu üle järelevalve tegemisel. Eelnõu § 51 kohaselt kaetakse andmekogu pidamisega kaasnevad kulud vastutavale töötlejale ja andmekogu majutajale selleks riigieelarvest eraldatud vahenditest. Eelnõu §-s 52 sätestatakse, et andmekogu likvideeritakse seaduse alusel. Kuna andmekogu asutamist ettenägev volitusnorm asub seaduses, siis otsustab andmekogu olemasolu üle samuti sisuliselt seadusandja. 7. peatükk. Rakendussätted Eelnõu §-ga 53 täiendatakse riigisaladuse ja salastatud välisteabe kaitse korra § 8 lõiget 1 punktiga 34, mille kohaselt on riigisaladuseks riigi infosüsteemi kuuluvas andmekogus Kaitseväe, jälitusasutuse, julgeolekuasutuse või tunnistajakaitset teostava asutuse poolt salajasele koostööle kaasatud isikuga, salajase koosseisulise julgeolekuasutuse ametniku või töötajaga, variisikuga, politseiagendiga, tunnistajakaitse kohaldamisega seotud isikuga või teeseldud juriidilise isiku, tema struktuuriüksuse, organi või äriühingu filiaaliga seotud füüsilise isikuga seotud variandmete ja konspiratsioonivõtete rakendamist käsitlev teave, välja arvatud teave, mille avalikustamine ei kahjusta Eesti Vabariigi julgeolekut. See teave salastatakse piiratud tasemel kuni 50 aastaks. Kaitsevägi, jälitusasutus, julgeolekuasutus ning tunnistajakaitset teostav asutus võivad oma ülesannete täitmisel kasutada või kaitsta isikuid nii, et nende seos konkreetse asutusega ei ole kolmandatele isikutele teada. Neil on õigus kasutada selleks variandmeid ja rakendada muid konspiratsioonivõtteid. Iga valdkonna eriseaduses on neid isikuid käsitletud erinevas sõnastuses, kuid kõigil juhtudel on üldine eesmärk tagada tegevuse varjatus ehk konspiratsioon. Variandmete abil varjatakse tegevuse eesmärki ja sellega seotud asutusi, toimingute tegijate või kaitstavate isikute tegelikku identiteeti või kasutatavate vahendite päritolu. See omakorda aitab see tagada asjassepuutuvate isikute elu, tervise, au, hea nime või vara kaitse. Samuti on see vältimatult vajalik teatud varjatud iseloomuga toimingute õnnestumiseks ning võimaldab vältida ohtu riigi julgeolekule, riigikaitsele või avalikule korrale. Variandmete kasutamine on muuhulgas võimalik andmekogude abil. Selleks kasutatav tehniline lahendus vajab kaitset piiratud tasemel riigisaladusena. Eelnõu §-ga 54 muudetakse RSR-i põhimäärust. RSR-i põhimääruses tunnistatakse kehtetuks sätted, mille kohaselt kantakse registrisse sõrme pööratud jäljed, sõrme vajutusjäljed ning peopesa ja kirjutaja-peopesa vajutusjäljed. Need andmed kantakse edaspidi RSR-i asemel andmekogusse ABIS. 4. Eelnõu terminoloogia Eelnõuga ei võeta kasutusele uusi termineid. 5. Eelnõu vastavus Euroopa Liidu õigusele 18 Eelnõu ei ole seotud Euroopa Liidu õiguse ülevõtmisega, kuid eelnõu koostamisel on arvestatud järgmisi Euroopa Liidu õigusakte ja dokumente: 1) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (ELT L 119, 04.05.2016, lk 1–88); 2) Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, 27. aprill 2016, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (ELT L 119, 04.05.2016, lk 89–131); 3) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/794, 11. mai 2016, mis käsitleb Euroopa Liidu Õiguskaitsekoostöö Ametit (Europol) ning millega asendatakse ja tunnistatakse kehtetuks nõukogu otsused 2009/371/JSK, 2009/934/JSK, 2009/935/JSK, 2009/936/JSK ja 2009/968/JSK (ELT L 135, 24.05.2016, lk 53–114); 4) nõukogu otsus 2008/615/JSK, 23. juuni 2008, piiriülese koostöö tõhustamise kohta, eelkõige seoses terrorismi- ja piiriülese kuritegevuse vastase võitlusega (ELT L 210, 06.08.2008, lk 1); 5) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 767/2008, 9. juuli 2008, mis käsitleb viisainfosüsteemi (VIS) ja liikmesriikidevahelist teabevahetust lühiajaliste viisade kohta (ELT L 218, 13.08.2008, lk 60–81); 6) nõukogu otsus 2007/533/JSK, 12. juuni 2007, mis käsitleb teise põlvkonna Schengeni infosüsteemi (SIS II) loomist, toimimist ja kasutamist (ELT L 205, 07.08.2007, lk 63–84); 7) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 444/2009, 28. mai 2009, millega muudetakse nõukogu määrust (EÜ) nr 2252/2004 liikmesriikide väljastatud passide ja reisidokumentide turvaelementide ja biomeetria standardite kohta (ELT L 142, 06.06.2009, lk 1–4); 8) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 1030/2002, 13. juuni 2002, millega kehtestatakse ühtne elamisloavorm kolmandate riikide kodanike jaoks (EÜT L 157, 15.06.2002, lk 1–7); 9) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 380/2008, 18. aprill 2008, millega muudetakse määrust (EÜ) nr 1030/2002, millega kehtestatakse ühtne elamisloavorm kolmandate riikide kodanike jaoks (ELT L 115, 29.04.2008, lk 1–7); 10) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 810/2009, 13. juuli 2009, millega kehtestatakse ühenduse viisaeeskiri (ELT L 243, 15.09.2009, lk 1–58); 11) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 767/2008, 9. juuli 2008, mis käsitleb viisainfosüsteemi (VIS) ja liikmesriikidevahelist teabevahetust lühiajaliste viisade kohta (ELT L 218, 13.08.2008, lk 60–81); 12) nõukogu otsus 2008/633/JSK, 23. juuni 2008, mis käsitleb liikmesriikide määratud ametiasutuste ja Europoli juurdepääsu viisainfosüsteemile (VIS) terroriaktide ja muude raskete kuritegude vältimise, avastamise ja uurimise eesmärkidel (ELT L 218, 13.08.2008, lk 129– 136); 13) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 390/2009, 23. aprill 2009, millega muudetakse viisasid käsitlevaid ühiseid konsulaarjuhiseid diplomaatilistele ja konsulaaresindustele seoses biomeetria kasutuselevõtmisega ning viisataotluste vastuvõtmise ja menetlemise korraldamise sätete lisamisega (ELT L 131, 28.05.2009, lk 1–10); 14) Euroopa Parlamendi ja nõukogu määrus (EL) 2016/399, 9. märts 2016, mis käsitleb isikute üle piiri liikumist reguleerivaid liidu eeskirju (ELT L 77, 23.03.2016, lk 1–52); 15) Euroopa Parlamendi ja nõukogu määrus (EL) 2017/458, 15. märts 2017, millega muudetakse määrust (EL) 2016/399 seoses asjaomastes andmebaasides tehtava kontrolli tugevdamisega välispiiridel (ELT L 29, 03.02.2017, lk 61–62); 19 16) Euroopa Parlamendi ja nõukogu määrus (EÜ) nr 1987/2006, 20. detsember 2006, mis käsitleb teise põlvkonna Schengeni infosüsteemi (SIS II) loomist, toimimist ja kasutamist (ELT L 381, 28.12.2006, lk 4–23); 17) Euroopa Parlamendi ja nõukogu määrus (EL) 2017/2226, 30. november 2017, millega luuakse riiki sisenemise ja riigist lahkumise süsteem liikmesriikide välispiire ületavate kolmandate riikide kodanike riiki sisenemise ja riigist lahkumise andmete ja sisenemiskeeluandmete registreerimiseks ning määratakse kindlaks riiki sisenemise ja riigist lahkumise süsteemile õiguskaitse eesmärgil juurdepääsu andmise tingimused ning millega muudetakse Schengeni lepingu rakendamise konventsiooni ning määruseid (EÜ) nr 767/2008 ja (EL) nr 1077/2011 (ELT L 327, 09.12.2017, lk 20–82); 18) Euroopa Parlamendi ja nõukogu määrus (EL) nr 604/2013, 26. juuni 2013, millega kehtestatakse kriteeriumid ja mehhanismid selle liikmesriigi määramiseks, kes vastutab mõnes liikmesriigis kolmanda riigi kodaniku või kodakondsuseta isiku esitatud rahvusvahelise kaitse taotluse läbivaatamise eest (ELT L 180, 29.06.2013, lk 31–59); 19) Austria Vabariigi, Belgia Kuningriigi, Hispaania Kuningriigi, Luksemburgi Suurhertsogiriigi, Madalmaade Kuningriigi, Prantsuse Vabariigi ja Saksamaa Liitvabariigi vahelise eelkõige terrorismi-, piiriülese kuritegevuse ja ebaseadusliku rände vastases võitluses piiriülese koostöö tõhustamise leping (Prümi leping); 20) nõukogu otsus 2008/616/JSK, 23. juuni 2008, millega rakendatakse otsust 2008/615/JSK piiriülese koostöö tõhustamise kohta, eelkõige seoses terrorismi- ja piiriülese kuritegevuse vastase võitlusega (ELT L 210, 06.08.2008, lk 12); 21) Euroopa Parlamendi ja nõukogu direktiiv 2008/115/EÜ, 16. detsember 2008, ühiste nõuete ja korra kohta liikmesriikides ebaseaduslikult viibivate kolmandate riikide kodanike tagasisaatmisel (ELT L 348, 24.12.2008, lk 98–107). EL-is reguleerib isikuandmete kaitse õigust isikuandmete kaitse üldmäärus ning füüsiliste isikute kaitset isikuandmete töötlemisel õiguskaitseasutuste poolt süütegude tõkestamisel, avastamisel ja menetlemisel ning karistuste täideviimisel reguleerib õiguskaitseasutuste direktiiv. Andmekogusse ABIS koondatakse praegu eri seaduste alusel ja eri andmekogudesse kantavad biomeetrilised andmed. EL-i õigusest ei tulene keeldu töödelda erinevate menetluste käigus hõivatud biomeetrilisi andmeid ühes andmekogus. Samas tuleb andmete töötlemisel ühes andmekogus järgida üldisi EL-i õiguse printsiipe isikuandmete töötlemisele, ennekõike eesmärgi piirang, seaduslikkus, andmete minimaalsus, töötlemise läbipaistvus, säilitamise piirang ja kaitsemeetmete rakendamine. Andmekogus ABIS töödeldavate andmete töötlemise alus ja eesmärk on sätestatud eri seadustes. Eelnõus on arvestatud isikuandmete töötlemisele kehtivate põhimõtetega. EL-i õigusest tuleneb kohustus töödelda biomeetrilisi andmeid menetlustes, mis on EL-i pädevuses. Nendeks avalik-õiguslikeks menetlusteks on dokumendimenetlus, viisamenetlus, rahvusvahelise kaitse menetlus ja illegaalimenetlus. EL-i õigus ei keela nimetatud menetlustest kogutud andmete mis tahes muud kasutamist või salvestamist riigisisese õiguse alusel, kuid ei anna selleks ka õiguslikku alust. Riigi enda kogutud andmeid võib muul eesmärgil töödelda, kui selleks on olemas muul (riigisisesel) õigusaktil põhinev õiguslik alus. Isikuandmete kaitse üldmäärusest tulenevaid nõudeid on käsitletud eelnõu §-de 40, 41 ja 44–48 selgituste juures. Andmekogusse ABIS kantavate andmete töötlemise alus ja eesmärk on sätestatud eri seadustes, mille alusel andmekogu ABIS asutatakse. Eri seadustes on sätestatud ka õiguslikud alused andmete ristkasutamiseks ning täpselt kindlaks määratud andmete töötlemise eesmärk. Isikuandmete kaitse üldmääruse artikli 6 lõike 1 punkt e sätestab, et isikuandmete töötlemine on seaduslik, kui isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. Isikuandmete kaitse üldmääruse 20 põhjenduspunktis 50 on välja toodud, et kui töötlemine põhineb EL-i või liikmesriigi õigusel, mis on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, millega kaitsta eelkõige üldist avalikku huvi pakkuvaid olulisi eesmärke, peaks vastutaval töötlejal olema lubatud isikuandmeid edasi töödelda, olenemata eesmärkidele vastavusest. Eelnõus on selgelt välja toodud, millistes menetlustes võib isiku tuvastamiseks ja isikusamasuse kontrollimiseks töödelda teiste seaduste alusel andmekogusse ABIS kantud andmeid. Õiguslik alus andmete ristkasutamiseks on sätestatud eri seadustes. Isikut tõendavate dokumentide väljaandmise menetluses (ITDS-i § 154 lõiked 2 ja 3), kodakondsuse saamise ja taastamise menetlustes (KodS-i § 24 lõiked 2 ja 3), konsulaarteenuse osutamisel (KonS-i § 121 lõiked 2 ja 3), välismaalasele rahvusvahelise kaitse andmise menetluses (VRKS-i 137 lõiked 2 ja 3), viisamenetluses (VMS-i § 2794 lõiked 2 ja 3), lühiajalise töötamise registreerimisel (VMS-i § 2794 lõiked 2 ja 3), elamisloa menetluses (VMS-i § 2794 lõiked 2 ja 3), Eestis seadusliku aluseta viibivate ja viibinud välismaalaste Eestis viibimise ja Eestist lahkumise kohustuse täitmisega seotud menetlustes (VSS-i § 3315 lõiked 2 ja 3) ja süüteomenetluses (KrMS-i § 992) on sätestatud õiguslikud alused andmete edasiseks töötlemiseks, mis on vajalikud avaliku korra ja julgeoleku tagamiseks. Andmekogusse ABIS kantud andmeid võib ristkasutada ainult isiku tuvastamiseks ja isikusamasuse kontrollimiseks avaliku korra ja riigi julgeoleku tagamise eesmärgil ning seda juhul, kui isikut ei ole võimalik tuvastada või tema isikusamasust kontrollida menetlust reguleeriva seaduse alusel andmekogusse ABIS kantud andmete alusel. Andmete ristkasutuse õigusliku ja tehnilise võimekuse loomisega tagatakse avalikku korda ja riigi julgeolekut isiku tõsikindla tuvastamise ja isikusamasuse kontrollimise kaudu, mis hõlmab loodava andmekogu üldise eesmärgi. 6. Määruse mõjud Andmekogusse ABIS koondatakse eri riiklike menetluste käigus kogutavad biomeetrilised andmed. Arvestades asjaoluga, et tegemist on eriliigiliste isikuandmetega, siis on põhjalikult läbi kaalutud ja kaardistatud võimalikud riskid ning ohutegurid, mis andmekogu ABIS loomisega kaasnevad, samuti on kaalutud sobivaid maandamismeetmeid. Koostatud on süsteemi ABIS privaatsustoime kaalutlemise aruanne ning andmete turvaanalüüsi kirjeldus, mis käsitlevad põhjalikult esineda võivaid riske, nende tagajärgi ning maandamismeetmeid. Võimalikud riskid on: • andmeleke (konfidentsiaalsuse kadu); • teenuste häiritus (käideldavuse kadu); • andmete volitamata muutmine, sh kustutamine (tervikluse kadu); • väärkasutus, juurdepääsu kuritarvitamine; • loogika rike, sh sellest tekkinud valepositiivsed ja -negatiivsed vasted. Oluline on, et andmekogus ABIS ei säilitata isiku biomeetriaga seonduvaid biograafilisi andmeid, seetõttu ei ole andmelekke korral andmed konkreetsete isikutega seostatavad. Samuti on tehniliste meetmetega garanteeritud lekke kohene tuvastamine, see ei jää märkamatuks ning võimaldab kohe käivitada vajalikud tegevused kahju minimaliseerimiseks. Sellise riski realiseerumise vältimiseks on arendustööde käigus võimalikud turvanõrkused läbimõeldud ning süsteem vastavalt arendatud. Samuti on läbi viidud vastavad turvatestid ning rakendatakse infoturbe ISO standardeid. Andmekogule on määratud ISKE kohaselt turvaklass, milleks on K2T3S2. Sellega on tagatud süsteemile vajalik käideldavuse tase ning nõuded, kus on rangelt fikseeritud, mis tingimustel ja 21 kui pikk võib olla summaarne tööseisak selleks, et viia läbi vajalikke hooldus- või uuendustöid. Samuti on süsteemile tagatud ümberlülitamise võimekus back-up site juhuks, kui süsteemi toimimises peaks tekkima ootamatu tõrge. Andmete väärkasutuse ja volitamata muutmise riski on maandatud sellega, et andmekogule ABIS antakse juurdepääs ainult liidestatud andmekogude kaudu ja vaid selleks volitatud ametnikele. Andmekogu ABIS andmetele ei ole otsejuurdepääsu kolmandatele isikutele ning kõik toimingud logitakse, nii on võimalik tuvastada kes, mida ja millal tegi. Süsteemi võrdlusmootori loogikarikke võimalus on äärmiselt väike. Kasutatavat masinalgoritmi ja selle korrektset toimist on kontrollinud valdkonnas rahvusvaheliste NIST-i (National Institute of Standards and Technology) läbiviidavate testide vastu ning testi läbiviimise nõue oli ka andmekogu ABIS kesksüsteemi riigihankel osalemise üks tingimus. Kaasnev mõju riigiasutuste korraldusele, riigi julgeolekule ja välissuhetele Mõju riigiasutuste korraldusele, riigi julgeolekule ja välissuhetele on analüüsitud isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse seletuskirjas6. Kaasnev mõju isikutele, kelle biomeetrilisi andmeid andmekogus ABIS töödeldakse Sihtrühm. Muudatus puudutab isikuid, kelle biomeetrilisi andmeid andmekogus ABIS töödeldakse. Mõju olulisus Ulatus. Mõju ulatus on väike, sest isikute biomeetrilisi andmeid töödeldakse eri andmekogudes ka praegu, muudatusega muutub vaid infosüsteem, kus andmeid töödeldakse. Määrus ei too kaasa uute biomeetriliste andmete kogumist. Isikuandmete kaitse on Eesti Vabariigi põhiseaduses sätestatud igaühe õigusena perekonna- ja eraelu puutumatusele. Riigiasutused, kohalikud omavalitsused ja nende ametiisikud ei tohi kellegi perekonna- ega eraellu sekkuda muidu, kui seaduses sätestatud juhtudel ja korras tervise, kõlbluse, avaliku korra või teiste inimeste õiguste ja vabaduste kaitseks, kuriteo tõkestamiseks või kurjategija tabamiseks (põhiseaduse § 26). Õiguslik alus andmekogusse ABIS kantavate andmete kogumiseks on sätestatud seaduses. Eri seadustes on täpselt ja selgelt nimetatud andmete andmekogus ABIS töötlemise eesmärk, ulatus ja viis. Samuti on selgelt kirjeldatud, millal võib teha biomeetriliste andmete üks ühele ja üks mitmele võrdlust. Andmekogusse ABIS kantud andmeid võib töödelda isiku tuvastamiseks ja isikusamasuse kontrollimiseks seaduses sätestatud juhtudel. Avaliku võimu asutustel on õigus ja kohustus teha toiminguid üksnes õige isiku suhtes ning seetõttu peavad avaliku võimu teostajad olema veendunud, et isik on just see, kellena ta esineb. Isikuandmete töötlemise eesmärgi sõnastamine aitab isikul mõista, millise avalikes huvides oleva ülesande täitmiseks tema andmeid töödeldakse ning hinnata andmete kogumise eesmärgipärasust. ABIS andmekogus olevate andmete töötlemisel järgitakse kõiki andmekaitse põhimõtteid ning tagatakse andmete õiguspärane ja läbipaistev kasutamine. ABIS andmekogule saavad juurdepääsu ainult õiguslikku alust omavad ja konkreetselt selleks volitatud ametnikud oma 6 https://www.riigikogu.ee/tegevus/eelnoud/eelnou/8bf5e47e-e45f-43c2-8189- 6bb875bf51fc/Isikut%20t%C3%B5endavate%20dokumentide%20seaduse%20muutmise%20ja%20sellega%20se onduvalt%20teiste%20seaduste%20muutmise%20seadus 22 seadusest tulenevate tööülesannete täitmiseks ning nad tohivad ABIS andmeid töödelda vaid menetluse läbiviimise eesmärgi saavutamiseks. Andmekogus ABIS ei talletada andmeid isikustatud kujul, kuna sinna kantakse üksnes isiku biomeetrilised andmed ning isiku biograafilisi andmeid, nagu nimi, sünniaeg, isikukood, kodakondsus jms, säilitatakse ka edaspidi vastavas menetlusregistris, nt passi taotlemisel antud andmeid säilitatakse isikut tõendavate dokumentide andmekogus ja viisa taotlemisel antud andmeid viisaregistris. Andmekogus ABIS on tagatud andmete kaitse ka tehniliste ja protseduuriliste meetmetega. Andmekogu ABIS ja sellega liidestuvad andmekogud vahetavad biomeetrilisi andmeid omavahel vaid krüpteeritult ning X-tee andmevahetuskihi kaudu. Andmekogus ABIS säilitavate andmete omanik on inimene ise ning lähtuvalt isikuandmete kaitse seadusest on igal inimesel õigus teada, kes on tema andmeid vaadanud. Eri seadustes on sätestatud õiguslikud alused andmekogusse ABIS kantud andmete töötlemiseks eesmärkidel, mis erinevad andmete kogumise algsest eesmärgist. See tähendab, et isikult ühes menetluses kogutud andmeid võib töödelda ka mõnes muus menetluses. Seega suureneb andmekogu ABIS kasutuselevõtmisel teatud määral isiku andmete töötlemise maht. Andmete ristkasutamine toimub eelkõige isiku tuvastamisel ehk esmakordse taotluse esitamisel, sel juhul võib teha andmekogusse ABIS üks mitmele päringu, mille käigus võrreldakse isiku andmeid teiste isikute andmetega. Üks mitmele päringu puhul saadakse andmekogust ABIS vastusena mingi hulga kandidaatjälgi, mida võrreldakse sisestatud biomeetriliste andmetega. See, kui tihti konkreetse isiku andmed vastusena saadakse, st et tema biomeetrilised andmed sarnanevad teise isiku biomeetriliste andmetega, ei ole prognoositav. Isikusamasuse kontrollimisel ehk üks ühele päringu korral võrreldakse isikult võetud biomeetrilisi andmeid temalt varem võetud ning andmekogusse ABIS kantud biomeetriliste andmetega. Üks ühele päringu korral ei võrrelda isiku andmeid teiste isikute andmetega. Samas ei too isikuandmete töötlemine andmekogus ABIS isikutele kaasa otseseid tagajärgi, sest isiku tuvastamise ja isikusamasuse kontrollimine on konkreetses menetlus tehtav menetlustoiming ning isiku õigused ja kohustused selles menetluses on sätestatud seaduses. Sihtrühma suurus. Muudatus puudutab kõiki isikuid, kelle biomeetrilisi andmeid asutused seadusest tulenevate ülesannete täitmiseks töötlevad. Täpset sihtrühma suurust, keda kavandatav muudatus puudutab, ei ole võimalik välja tuua, sest kõikide menetluste arv ja biomeetria kasutamine isiku tuvastamisel ei ole täpselt prognoositav. Olukorrad, kus isikute biomeetrilisi andmeid töödeldakse, on sätestatud seaduses. Sihtrühma saab kirjeldada riigi tehtavate menetluste ja nende arvu vahendusel. Tabelis on esitatud taotluste koguarv (esmakordsed ja korduvad taotlused) menetluste kaupa 2019. a. Eelnõu näeb ette andmete ristkasutamise eelkõige isiku tuvastamisel ehk esmakordse taotluse esitamisel, korduva taotluse puhul võrreldakse isiku identiteediandmeid andmekogusse varem tema kohta kantud identiteediandmetega. Kõige suurem taotluste arv on isikut tõendavate dokumentide taotlused, sisaldades nii korduvaid dokumendi taotlusi ja alla 12-aastaste isikute taotlusi, keda isikut tõendava dokumendi väljaandmise menetluses ei daktüloskopeerita. Tabel 2. Sihtrühm menetluste ja nende arvu järgi Menetluse liik Menetlusega seotud Taotluste/menetluste asutus arv Eestis seadusliku aluseta PPA 1 372 viibivate ja viibinud välismaalaste Eestis viibimise 23  ja Eestist lahkumise kohustuse täitmisega seotud menetlused Kodakondsuse taotlused PPA 1 034 Elamislubade taotlused PPA 14 518 Isikut tõendava dokumendi PPA või Välisministeerium 412 611 taotlused Diplomaatilise passi taotlused Välisministeerium 469 Rahvusvahelise kaitse taotlused PPA 284 Sissesõidukeelud PPA 708 Viisamenetlus PPA või Välisministeerium PPA 14 747 VÄM 158 851 Välismaalase lühiajalise Eestis PPA 29 613 töötamise registreerimine Allikas: PPA 2019. a statistika Sagedus. Muudatusega kaasneva mõju avaldumise sagedus on väike, sest isikute kokkupuude muudatustega on ebaregulaarne. Muudatus ei too isikutele kaasa lisakohustusi ega muudatusi biomeetriliste andmete kogumisel. Sihtrühma jaoks on eelkõige tegemist kaudse mõjuga, st muudatused ei mõjuta sihtrühma käitumist ega tingi kohanemisvajadust. Ebasoovitavate mõjude risk. Ebasoovitavate mõjude kaasnemise risk on väike, sest eelnõu jõustumisega ei kaasne isikutele negatiivseid mõjusid. Isikuandmete kaitse üldmääruse artikli 35 lõike 3 punkt b näeb ette andmekaitsealase mõjuhinnangu tegemise kohustuse, kui töödeldakse ulatuslikult artikli 9 lõikes 1 osutatud andmete eriliike või artiklis 10 osutatud süüteoasjades süüdimõistvate kohtuotsuste ja süütegudega seotud andmeid. Biomeetriliste andmete töötlemise kohta andmekogus ABIS on koostatud andmekaitsealane mõjuhinnang. Mõjuhinnangu koostamise käigus on hinnatud isikuandmete kaitse üldmääruse artikli 35 lõikes 7 nimetatud asjaolusid. Andmekaitselases mõjuhinnangus on välja toodud riskid isikuandmete töötlemisel ning kasutusele võetavad maandamismeetmed. 7. Määruse rakendamisega kaasnevad kulud Vabariigi Valitsus kiitis 29. juunil 2017. a heaks ABIS andmekogu loomise ning 15. septembril 2017. a eraldas aastateks 2018–2025 andmekogu arendamiseks ja ülalpidamiseks kokku raha 14 832 000 eurot. Lisaks sellele toetatakse andmekogu arendamist struktuurifondi vahenditest, mille planeeritav kogumaht on 1 737 448 eurot, sellest 1 010 748 eurot on rahastamisotsusega eraldatud ja 726 700 euro puhul on menetlus pooleli. 8. Määruse jõustumine Määrus jõustub üldises korras. Määruse rakendamine ei nõua kohanemisaega ning andmekogu arendused on tehtud. 9. Määruse kooskõlastamine Eelnõu esitatakse eelnõude infosüsteemi EIS kaudu kooskõlastamiseks Justiitsministeeriumile, Kaitseministeeriumile, Välisministeeriumile, Majandus- ja Kommunikatsiooniministeeriumile ning Rahandusministeeriumile ning arvamuse avaldamiseks Politsei- ja Piirivalveametile, 24 Siseministeeriumi infotehnoloogia- ja arenduskeskusele, Kaitsepolitseiametile, Kaitseväele, Välisluureametile, Eesti Kohtuekspertiisi Instituudile ja Andmekaitse Inspektsioonile. 25