Arvamuse avaldamine eelnõule (AvTS ja RSyS)

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Liisa-Ly Pakosta Justiits- ja Digiministeerium [email protected]

Teie 29.05.2026 nr 8-1/4287-1 Meie 11.06.2026 nr 2.3-4/26/2267-2

Arvamuse avaldamine eelnõule (AvTS ja RStS)

Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks avaliku teabe

seaduse (AvTS) ja riikliku statistika seaduse muutmise seaduse (RStS) eelnõu. Meil on esitatud

eelnõu osas järgmised tähelepanekud.

Juhime tähelepanu, et isikuandmete kaitse üldmääruse (IKÜM) tähenduses ei saa juriidiline isik

anda nõusolekut isikuandmete töötlemiseks. Eelnõu kontekstis on pigem tegemist juriidilise isiku

korralduse või volitusega temaga seotud andmete edastamiseks, mis ei asenda ega loo õiguslikku

alust nende füüsiliste isikute andmete töötlemiseks, kelle andmed võivad väljastatava

andmekomplekti hulka kuuluda. Seetõttu võib mõiste „nõusolek“ kasutamine olla eksitav ning

tekitada praktikas vale arusaama, nagu oleks juriidilise isiku nõusolek piisav alus ka isikuandmete

edastamiseks.

Eelnõu seletuskirjas on märgitud, et kui edastatav andmekomplekt sisaldab füüsiliste isikute

isikuandmeid, peab ettevõtjal olema nende edastamiseks iseseisev õiguslik alus. Samuti on

seletuskirjas selgitatud, et Statistikaamet peab veenduma, et väljastab õigele isikule õiged andmed,

kuid ei vastuta selle eest, kui kolmas isik töötleb saadud andmeid muudel eesmärkidel kui need,

milleks andmed talle edastati.

AKI peab vajalikuks juhtida tähelepanu, et lisaks õigusliku aluse olemasolule peab ettevõtja

tagama ka isikuandmete töötlemise läbipaistvuse. See tähendab muu hulgas kohustust teavitada

andmesubjekte sellest, et nende andmeid võidakse ettevõtja algatusel andmeväljastusteenuse

kaudu töödelda ja kolmandale isikule edastada. Kuigi teavitamiskohustus tuleneb otse IKÜM-ist,

oleks AKI hinnangul asjakohane seda ka seletuskirjas selgelt rõhutada. See on oluline eelkõige

põhjusel, et andmesubjektil ei pruugi olla tegelikku ülevaadet ega kontrolli selle üle, milliseid tema

kohta käivaid andmeid ettevõtja Statistikaametilt või teiste riigi andmekogude kaudu vahendatult

kasutada laseb. Kui andmete edastamise algatab ettevõtja ning andmesubjekt ise selles protsessis

ei osale, peab ettevõtja erilist tähelepanu pöörama sellele, et füüsilisele isikule oleks arusaadav,

milliseid tema andmeid, mis eesmärgil, kellele ja millisel õiguslikul alusel edastatakse.

Seetõttu soovitab AKI täiendada seletuskirja selgitusega, et ettevõtja vastutus ei piirdu üksnes

isikuandmete töötlemise õigusliku aluse olemasoluga, vaid hõlmab ka andmesubjektide

nõuetekohast teavitamist ja muude IKÜM-ist tulenevate kohustuste täitmist. Seletuskirja

täpsustamine aitab vältida ekslikku arusaama, et andmeväljastusteenuse kasutamisel on ettevõtja

kohustused täidetud üksnes õigusliku aluse olemasolu kinnitamisega.

Täiendavalt vajab selgitamist väljastatavate andmete ulatus. Seletuskirjas on märgitud, et

töödeldavate isikuandmete maht jääb minimaalseks, kuid samal ajal viidatakse kasutusjuhtudele,

2 (2)

mis võivad puudutada töötajate arvu, struktuuri, palgaandmeid või muid ettevõtte tegevusega

seotud andmeid. Sellised andmed võivad olla seotud konkreetsete füüsiliste isikutega ning

sõltuvalt andmestikust olla ka tundlikud. Seetõttu ei ole AKI hinnangul piisav üldine viide sellele,

et andmekaitse põhimõtteid järgitakse. Eelnõus või vähemalt seletuskirjas tuleks selgemalt

kirjeldada, kuidas tagatakse minimaalsus kolmandale isikule isikuandmete edastamisel. Ühtlasi märgime, et eelnõu seletuskirja sisulises osas puudub eraldi seletus AvTS § 43¹º lg 1 kohta. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehispeadirektor Irina Meldjuk

[email protected]

627 4108