Arvamus KRMS muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõule (teabevahetus Euroopa Liidu liikmesriikide vahel ja Europoliga)

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Siseministeerium Teie 28.08.2024 nr 1-6/3013-1 Meie 11.09.2024 nr 2.3-4/24/2193-2 Arvamus KRMS muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõule (teabevahetus Euroopa Liidu liikmesriikide vahel ja Europoliga) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks kriminaalmenetluse seadustiku muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse (teabevahetus Euroopa Liidu liikmesriikide vahel ja Europoliga) eelnõu. AKI-l on eelnõuga seonduvalt järgmised tähelepanekud. Teabetaotluse kontrollkohustus Eelnõu § 508⁸¹ lg 1 näeb ette, et ühtne kontaktpunkt ehk PPA kontrollib teisest EL-i liikmesriigist saabunud taotluse nõuetekohasust, lubatavust ja sellele vastamise võimalikkust ning vastab taotlusele ise või edastab selle vastamiseks ühele või mitmele uurimisasutusele. Eelnõu § 508⁸⁶ lg 4 kohaselt ei kohaldu § 508⁸¹ lg-st 1 tulenev kontrollkohustus uurimisasutusele ka uurimisasutuse iseseisva teabevahetuse korras. Samas § 508⁸¹ lg 1 kohta seletuskirjas öeldust tulenevalt peab uurimisasutus teabetaotluse saamisel igakordselt kaalutlema teabetaotluse asjakohasust ja vajalikkust selleks, et vältida põhjendamatut või ebaproportsionaalselt suures koguses teabe edastamist. Ka § 508⁸² lg 1 osas on seletuskirjas märgitud, et taotluse saamisel kontrollib ühtne kontaktpunkt või uurimisasutus selle nõuetekohasust ning puuduste korral taotlusele vastamisest keeldutakse. Seega jääb eelnõu ja seletuskirja koostoimes vaadates arusaamatuks, kas teabetaotluse kontrollkohustus laieneb uurimisasutusele või mitte (sh kui siiski mitte, kuidas on mõeldud tagada teabetaotluse nõuetekohasuse, lubatavuse ja sellele vastamise võimalikkuse kontrollimine § 508⁷⁸ lg-s 5 ettenähtud uurimisasutuse iseseisva teabevahetuse puhul). AKI soovitab vaadata teabetaotluse kontrollkohustuse regulatsiooni üle ning vajadusel täiendada ja täpsustada nii eelnõu kui ka seletuskiri. Teabevahetuse proportsionaalsus Eelnõu § 508⁸² lg 1 p 6 näeb ette kohustuse keelduda teabetaotlusele vastamisest, kui teabevahetus on selle eesmärki arvestades selgelt ebaproportsionaalne. Viidatud eelnõu sõnastuses kasutatud sõna „selgelt“ võimaldab eeldada, et kui ebaproportsionaalsus ei ole piisavalt selgelt tuvastatav, võib teabevahetus ikkagi toimuda. Nimetatud sõnastus läheb aga vastuollu IKÜM art 5 lg 1 p-s b sätestatud eesmärgipärasuse põhimõttega, mille kohaselt tohib isikuandmeid koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel ning neid ei töödelda hiljem viisil, mis Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 on nende eesmärkidega vastuolus. Ehk andmetöötlus ei vasta isikuandmete kaitse nõuetele mitte ainult siis, kui see on selgelt ebaproportsionaalne, vaid ka siis, kui andmetöötluse eesmärgipärasuse (proportsionaalsuse) võib seada kahtluse alla. AKI arvates peaks sätte ühiselt mõistetavuse ja õiguspärase kohaldamise tagamiseks loobuma sõna „selgelt“ kasutusest. Töövoosüsteemis isikuandmete säilitamine IKS § 17 lg 1 kohaselt kehtestatakse töödeldavatele isikuandmetele säilitamise tähtaeg seaduse või määrusega, kusjuures peab säilitustähtaeg olema sätestatud üheselt arusaadavalt ning seletuskirja tuleb lisada põhjendused selle pikkuse kohta (arvestades minimaalsuse põhimõtet ehk tagada tuleb andmete säilitamise aja piirdumine rangelt minimaalselt vajalikuga). Isikuandmete selgelt määratletud säilitustähtaeg on läbipaistva andmetöötluse (IKÜM art 5 lg 1 p a) lahutamatu osa. AKI hinnangul ei ole töövoosüsteemis isikuandmete säilitamine reguleeritud arusaadavalt ja läbipaistvalt, sh seletuskirjas toodud põhjendused on puudulikud. PPVS § 7⁶⁴ lg 3 kohaselt säilivad töövoosüsteemis isikuandmed seni, kuni on vajalik, et ühtne kontaktpunkt saaks täita talle käesolevas peatükis pandud ülesandeid. Nimetatud sõnastus ei anna mitte mingit selgust selles osas, kui pikalt saab tegelikult töövoosüsteemis isikuandmeid säilitada. Seletuskirja kohaselt on isikuandmete säilitamise vajaduse möödumine seotud KarS §-s 81 nimetatud aegumistähtaegadega. Tulenevalt PPVS § 7⁶³ lg-s 2 sätestatud töövoosüsteemi eesmärgist (registreerida teabevahetust ja koguda statistikat) ning § 7⁶⁴ lg-s 1 väljatoodud andmete koosseisust on küsitav, et nimetatud (isiku)andmeid saaks seostada karistusõigusliku aegumistähtajaga. Töövoosüsteemis ei töödelda andmeid süüteo kohta, seega ei ole arusaadav ka seadusandja soov siduda teabevahetusega (mis ei pruugi isegi olla seotud konkreetse ja selgelt määratletava süüteo koosseisuga) seotud isikuandmete säilitamise vajaduse KarS §-s 81 ettenähtud süütegude aegumistähtaegadega. Arvestades lisaks teabevahetuse eesmärki edastada teavet, mis on õige, täielik ja ajakohane (ei ole aegunud), jääb arusaamatuks, milleks säilitada nt raske kuriteo võimaliku tunnistaja kontaktandmetega seotud teabetaotluse andmeid töövoosüsteemis igavesti (KarS-i § 81 lõikes 2 sätestatud aegumise erireegli kohaselt agressioonikuritegu, genotsiidikuritegu, inimsusevastast kuritegu, sõjakuritegu ja kuritegu, mille eest on ette nähtud eluaegne vangistus, puudutava teabe puhul säilitatakse isikuandmeid alaliselt, kuna vastavad kuriteod ei aegu), kui sellise teabevahetusega seotud kontaktandmed võivad iga hetk muutuda. Ülaltoodust tulenevalt soovitab AKI kehtestada seadusega konkreetne säilitustähtaeg lähtuvalt nimelt töövoosüsteemi eesmärkidel isikuandmete kasutamise vajadusest ning täiendada seletuskiri vastavate põhjenduste ja selgitustega. Töövoosüsteemi juurdepääsupiirang Märgime, et üldiselt saab asutusesiseseks kasutamiseks mõeldud teabele kehtestada juurdepääsupiirang viieks aastaks, mille võib asutuse juht pikendada kuni viie aasta võrra, kui juurdepääsupiirangu kehtestamise põhjus püsib (AvTS § 40 lg 1). Asutusesiseseks kasutamiseks tunnistatud isikuandmeid sisaldavale teabele kehtib juurdepääsupiirang selle saamisest või dokumenteerimisest alates 75 aastat või isiku surmast alates 30 aastat, või kui surma ei ole võimalik tuvastada, siis 110 aastat, alates isiku sünnist. Eriseadusega võib nimetatud korrast kõrvale kalduda ning vajadusel kehtestada pikemat juurdepääsupiirangut (kehtestada erikord). PPVS § 7⁶⁴ lg 6 sätestatud juurdepääsupiirangu regulatsioonist ega seletuskirjast ei selgu, kas tegemist on erikorraga ning kui jah, siis kui pikalt kehtib juurdepääsupiirang töövoosüsteemi 2 (3) andmetele. Lähtuvalt töövoosüsteemi eesmärgist võib AKI eeldada, et mõeldud on ikkagi töövoosüsteemile tervikuna juurdepääsu piiramisega ehk seadusandja soov on kehtestada eriseadusega juurdepääsupiirangu erikord. Ühtlasi jääb arusaamatuks, kas ja kuidas on tagatud andmesubjekti õigus saada enda kohta käivat teavet tulenevalt IKÜM art-ga 15 ettenähtud õigusest. Kui seadusandja eesmärgiks on piirata ka andmesubjekti õigust saada teavet enda isikuandmete töötlemise kohta, peaks see olema eelnõus selgelt kajastatud. IKÜM art 23 võimaldab siseriikliku õiguse seadusandliku meetmega piirata isikute IKÜM artiklitest 12-22 ja artiklis 34, samuti artiklis 5 sätestatud kohustuste ja õiguste ulatust, kui selline piirang austab põhiõiguste ja -vabaduste olemust, on demokraatlikus ühiskonnas vajalik ja proportsionaalne. Põhjenduspunkt 73 lisab, et selline piirang peab olema kooskõlas harta ja Euroopa inimõiguste ja põhivabaduste kaitsekonventsioonis sätestatud nõuetele. Teisisõnu tähendab see, et sellised piirangud ei saa olla absoluutsed, ajaliselt piiramatud ning tagatud peavad olema kaitsemeetmed. Euroopa Kohus on öelnud, et õigusaktid, mis sisaldavad sellist riivet lubavat meedet, peavad sätestama selged ja täpsed reeglid, mis reguleerivad kõnealuse meetme ulatust ja kohaldamist ning kehtestavad miinimumnõuded, millest tulenevalt on isikutel, kelle isikuandmetega on tegu, piisavad tagatised, mis võimaldavad neid andmeid kuritarvitamise ohu eest tõhusalt kaitsta (vt selle kohta 2. märtsi 2021. aasta kohtuotsus Prokuratuur (tingimused elektroonilise side andmetele juurdepääsuks), C-746/18, EU:C:2021:152, punkt 48 ja seal viidatud kohtupraktika). Seega peavad IKÜM artikli 23 alusel võetud meetmed olema selged ja täpsed ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata.1 Eeltoodust tulenevalt vajab AKI hinnangul juurdepääsu piirangut puudutav regulatsioon täpsustamist nii eelnõu kui ka seletuskirja tasandil. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] +372 6274108 1 Euroopa Kohtu otsus asjas C-175/20 3 (3)