Vastus nõudekirjale

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Katre Seema

Haridus- ja Teadusministeerium

[email protected]

Teie 27.03.2024 nr Meie 06.04.2024 nr 2.3-8/24/856

Vastus nõudekirjale Anname oma esmased kommentaarid EHISe põhimääruse muutmise osas. Esmalt selgitame, et lisaks põhimäärusele vajab muutmist ka EV haridusseaduse (HaS) § 366, mille alusel on EHIS asutatud. Kui isikuandmeid töödeldakse avaliku ülesande täitmiseks või juriidilise kohustuse täitmiseks, siis tuleb isikuandmete töötlemise reguleerimisel (sh andmekogus) arvestada ka IKÜM artikli 6 lõikega 3. See tähendab, et seadus peab andma andmekogu asutamiseks ja selles andmete töötlemiseks peamise raamistiku – selge volitusnormi, kus on toodud eesmärgid, andmete koosseis ja säilitustähtajad. Sama nõuab ka põhiseadus, kuna isikuandmete töötlemine puudutab isiku põhiõigusi. Isikuandmete salvestamine andmekogus on põhiõiguste riive, mis tähendab, et põhiseaduse §-de 3 ja 11 kohaselt peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seaduseandja. Sealjuures, mida intensiivsemalt põhiõigusi riivatakse ehk mida tundlikumad on kogutavad andmed, seda täpsem peab olema selliseks riiveks alust andev regulatsioon. Seega ei piisa nende tingimuste reguleerimisest alamaktiga. Seega peavad andmekogu asutamise sätted seaduses piiritlema põhiõiguste riive ulatuse, tuues välja andmekogu eesmärgi, kogutavate andmete koosseisu, andmekogu vastutava töötleja, andmete säilitamise tähtaja ning teisese kasutamise tingimused. Põhimääruses kirjutatakse andmekoosseis jm tingimused juba täpsemalt lahti. Eelnevat arvestades vajab kindlasti ülevaatamist HaS § 366 lõige 22 osas, mis puudutab isikuandmeid. Näiteks kogutakse lõike 2 punkti 1 järgi andmekogusse andmeid õppijate, õpetajate ja õppejõudude kohta ehk säte vastab küsimusele, kelle andmeid andmekogus töödeldakse, kuid jätab vastuseta küsimuse, milliseid andmeid töödeldakse. See on lõikega 4 jäetud täielikult täitevvõimu otsustada, sealjuures ka andmete säilitamise tähtaja, jättes seaduse tasandil kehtestamata muuhulgas maksimaalse tähtaja või vahemiku. Põhimääruse osas märgime, et seal toodud andmekogu eesmärk on laiem, kui on toodud volitusnormis, mistõttu tuleks see sõnastus üle vaadata ja viia kooskõlla seaduses märgitud andmekogu eesmärgiga. Nt kui andmekogu andmeid plaanitakse analüüsida ka haridusstatistika tegemise eesmärgil, siis peaks ka see eesmärk olema andmekogu volitusnormis kirjas. Samuti tekitab küsimusi säilitustähtaeg. Säilitustähtaeg võib olla seaduse tasandil määratud mõistena „kuni 10 aastat“ või vahemikuna, aga põhimääruses ei saa kasutada selliseid umbmääraseid sõnu, kuna see tekitab küsimuse, kui kaua andmekogus mingeid andmeid siis tegelikult säilitatakse. Põhimääruses peavad olema üheselt arusaadavad tähtajad. Meie suurim mure ja küsimuse koht on see, kas õpilasega seotud andmeid on vaja isikustatud kujul ikkagi nii pikalt säilitada. 25 aastat on inimese eluiga arvestades väga pikk aeg ja meil on küsimus, kas kõik need andmed on kogu selle aja vajalikud seostamaks konkreetse isikuga.

2 (2)

Soovitame andmeliikidest lähtuvalt see osa üle vaadata ja kus võimalik, tähtaega lühendada. Praegusel juhul on võimaliku küberrünnaku puhul oht isikutele lähtudes nii suurest andmekoosseisust märkimisväärselt suur. Soovitame kaaluda võimalust teatud andmeid hoida pseudonümiseeritult, kus need oleks isikuga kokku viidavad väga väiksele osale isikutest, kellel see on reaalselt vajalik või hoida mingeid vanemaid andmeid selgelt anonümiseeritult, kui see on vajalik üksnes statistika tarbeks. Ära tuleks muuta mõiste umbisikustamine (sellist mõistet ei ole) ja valida, kas on mõeldud pseudonümiseerimist või anonümiseerimist. Samuti puudub põhimääruses logimist puudutav osa, s.o milliseid isikuandmetega tehtud toiminguid (päringute tegemine, andmete sisestamine, muutmine, kustutamine) logitakse, mida logi sisaldab ning kui kaua logisid säilitatakse. Soovitame andmekogusse kogutavate andmete koosseisu kirjeldamisel võimalusel vältida

viitamisi järgmisetele alamaktidele, sest kui need peaks muutuma, peab hiljem olema valmis

andmete, mida õigusakt enam ei sisalda, kustutamiseks. Lisaks ei ole see inimsõbralik, kui kogu

andmekoosseis ei ole põhimääruses, vaid põhimääruse lugeja suunatakse lisaks veel

alamaktidele:

§ 12 (11) Kutsehariduse omandamist tõendavate lõpudokumentide kohta kantakse haridust

tõendavate dokumentide alamregistrisse Vabariigi Valitsuse 18. septembri 2013. a määruse

nr 137… Samuti märgime põhimääruse § 43 lõike 1 osas, et vastavalt AvTS § 45 lõike 1 punktile 3 teostab andmekogude asutamisel, kasutuselevõtmisel, pidamisel, ümberkorraldamisel ja lõpetamisel järelevalvet ka Andmekaitse Inspektsioon. Soovitame edaspidisesse artellu kaasata erinevad osapooled, et otsustada ka seni tekkinud probleeme, kus koolid läbi e-keskkondade (Stuudium. E-Kool) säilitavad andmeid, mille edasi töötlemiseks neil endal ei ole selget eesmärki ja mis võiks seetõttu olla üksnes EHIS-es, mitte erasektori peetavates infosüsteemides. Niisamuti ka olümpiaaditulemuste andmed. Loodame, et meie mõtetest on abi ja aitame hea meelega kaasa mõelda juba järgnevates faasides.

Lugupidamisega

Kadri Levand

jurist

peadirektori volitusel