Arvamuse avaldamine kriminaalmenetluse seadustiku muudatuste väljatöötamiskavatsusele (digitõendid)

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Liisa-Ly Pakosta Teie 29.05.2026 nr 8-3/4289-1 Justiits- ja Digiministeerium [email protected] Meie 17.06.2026 nr 2.3-4/26/2269-2 Arvamuse avaldamine kriminaalmenetluse seadustiku muudatuste väljatöötamiskavatsusele (digitõendid) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks kriminaalmenetluse seadustiku muudatuste väljatöötamiskavatsuse (digitõendid). Meil on esitatud väljatöötamiskavatsuse (VTK) osas järgmised tähelepanekud. Toetame VTK üldist eesmärki luua e-postkastides ja nutiseadmetes sisalduvate andmete kogumiseks selgem õiguslik raamistik. E-postkast ja nutiseade sisaldavad sageli inimese aastatepikkust eraelu, tööalast suhtlust, terviseandmeid, finantsinfot, fotosid, asukohaandmeid, kolmandate isikute andmeid ning ka võimaliku ametisaladuse või õigusabi saladusega kaitstud infot. Seetõttu võib selliste andmete kogumine olla väga intensiivne eraelu ja isikuandmete kaitse riive. Eelkõige AKI peab oluliseks rõhutada, et eelnõu koostamisel ei tohiks lähtuda enam üksnes varasemast Riigikohtu praktikast, millele VTK viitab (3-1-1-93-15), vaid VTK-d tuleb edasi arendada arvestades Riigikohtu värskemat seisukohta. Nimelt 8.06.2026 Riigikohtu lahendi asjas nr 1-22-7314 on kohus leidnud, et teenusepakkuja kaudu e-postkasti sisule juurdepääs on sekkumine kommunikatsiooniprotsessi ning eeldab kohtu luba. Ühtlasi on kohus pidanud lubamatuks kogu postkasti väljanõudmist ilma ulatust põhjendatult piiramata. Peame oluliseks märkida, et kavandatav regulatsioon peaks lähtuma põhimõttest, et digitaalse sisu kogumine ei tohi olla üldine, piiramatu ega ennetavalt „igaks juhuks“ toimuv andmete kogumine. Iga selline toiming peab olema konkreetse menetluse eesmärgiga seotud, põhjendatud ja võimalikult kitsalt piiritletud. See tähendab, et e-postkasti või nutiseadme andmetele juurdepääsu taotlemisel peaks olema selgelt seatud objektiivsed piirangud ehk milliseid andmeid (andmete liik), millise ajavahemiku kohta, millisel eesmärgil ja millise kuriteokahtluse tõendamiseks vajatakse. Kogu e-postkasti või kogu seadme läbivaatamine peaks olema lubatav üksnes erandlikel juhtudel ja väga põhjaliku põhjenduse alusel. Meie hinnangul tuleks eelistada VTK-s kirjeldatud teist varianti ehk eraldi regulatsiooni loomist. Pelgalt läbiotsimise mõiste laiendamine ei pruugi piisavalt arvestada elektroonsete andmete eripära. Füüsilise ruumi läbiotsimisel on riive tavaliselt ruumiliselt ja ajaliselt paremini piiritletav. Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 Seejuures digitaalse seadme või e-postkasti puhul võib ühe toiminguga saada ligipääsu tohutule hulgale andmetele, mis suure tõenäosusega puudutavad väga erinevaid eluvaldkondi ja inimesi, kes ei ole menetlusega tegelikult kuidagi seotud. Seetõttu vajab elektroonsete tõendite kogumine täpsemaid reegleid kui tavapärane läbiotsimine. Samuti tuleks seaduses eristada andmete tehnilist kopeerimist, andmete sisulist läbivaatamist ja andmete menetlustoimikusse võtmist, kuna tegemist on erineva riiveastmega tegevustega. Kui tehniline koopia tehakse andmete säilimise tagamiseks, ei tähenda see automaatselt, et menetlejal peaks olema õigus kogu koopia sisuga tutvuda. Sisuline läbivaatamine peaks toimuma üksnes kohtu loas määratud piirides. Menetlusega mitteseotud andmeid ei tohiks toimikusse lisada ega teistele menetlusosalistele avaldada. Praktikas on väga tõenäoline, et e-postkastist või nutiseadmest leitakse ka andmeid, mis ei ole uuritava süüteoga seotud. Selliste andmete kaitseks peaks olema ette nähtud mehhanism, kuidas need tuvastatakse, eraldatakse ja jäetakse menetlusest kõrvale, eriti juhul, kui andmete hulgas võib olla advokaadi ja kliendi suhtlust, arsti ja patsiendi infot, ajakirjandusliku allikakaitse alla kuuluvat teavet või muud seadusega eriliselt kaitstud suhtlust. Eraldi tähelepanu vajab teenusepakkujate ja serveripidajate roll. Praegu on VTK-s õigesti välja toodud, et serveripidajal ei pruugi olla selget arusaama, millal ja millistel tingimustel ta peab e- postkasti sisu väljastama ning kas tal on võimalik liiga laiale või ebamäärasele nõudele vastu vaielda. Seadus peaks andma teenusepakkujale selge aluse kontrollida, kas nõue põhineb kohtu loal, kas see on piisavalt täpne ning millises ulatuses andmeid tuleb väljastada. Lisaks peab eelnõu loomisel kaaluma, kas andmete väljastajale ehk teenusepakkujale ja serveripidajale peab ka andmesubjekti õiguste piirang kohalduma. Kui andmesubjekt teeb IKÜM art 15 alusel taotluse, peab andmetöötleja sellele vastama, kui seadusega ei ole ette nähtud selget andmesubjekti õiguste piiramist IKÜM art 23 järgi. Seadusandja peab seega kaaluma, kas ja kuidas serveripidaja või teenusepakkuja peab selle taotlusega edasi toimetama, sh kust peab tulema just andmete väljastajale kehtiv alus andmesubjekti õigusi piirata. Oluline on reguleerida ka isiku teavitamine ja hilisem õiguskaitse. Isikut, kelle e-postkasti või nutiseadme andmeid koguti, tuleks üldreeglina teavitada niipea, kui see ei kahjusta menetlust. Isikul peab olema reaalne võimalus vaidlustada toimingu õiguspärasus ja ulatus ning nõuda menetlusega mitteseotud andmete kustutamist või toimikust eemaldamist. VTK-s küsitakse võimalike erandolukordade kohta, kus nutiseadmes olevaid andmeid võiks läbi vaadata ilma kohtu või prokuratuuri eelneva loata. AKI hinnangul peaksid sellised erandid olema väga kitsad. Kõne alla võiksid tulla üksnes olukorrad, kus esineb vahetu oht inimese elule või tervisele, reaalne oht oluliste tõendite koheseks hävimiseks või vajadus tõkestada käimasolevat rasket kuritegu. Ka sellisel juhul peab toiming piirduma vältimatult vajalikuga, olema kohe dokumenteeritud ja alluma kiirele järelkontrollile. Kuna VTK hõlmab süüteomenetlust laiemalt, seega võib see puudutada ka väärteomenetlust. E- postkasti või nutiseadme sisu kogumine on sedavõrd intensiivne riive, et väärteomenetluses peaks selliste meetmete lubatavus olema eriti piiratud, nt analoogselt kriminaalmenetluse seadustiku, väärteomenetluse seadustiku, elektroonilise side seaduse ja teiste seaduste muutmise seaduse eelnõuga, mille kohaselt võib väärteomenetluses sideandmete päringu teha vaid selliste väärtegude puhul, mille eest võib füüsilisele isikule mõista rahatrahvi vähemalt 300 trahviühikut või juriidilisele isikule rahatrahvi vähemalt 200 000 eurot või protsendi tema eelmise majandusaasta kogukäibest. Lisaks e-postkastidele ja nutiseadmetele tuleks eelnõu koostamisel läbi mõelda ka teised sarnased digitaalse suhtluse ja andmete hoidmise keskkonnad. Praktikas võivad samad probleemid tekkida nt pilveteenuste, sõnumirakenduste, sotsiaalmeedia privaatsõnumite vms puhul. Kui seadus 2 (3) reguleerib ainult e-postkaste ja füüsilisi nutiseadmeid, ei pruugi see kerkinud probleemi tervikuna lahendada. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] 627 4108 3 (3)