ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Justiits- ja Digiministeerium [email protected]

Teie 30.07.2026 nr 8-1/5650-1 Meie 05.08.2026 nr 2.3-4/26/2971-2

Arvamuse avaldamine eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks e-identimise ja e-

tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse

eelnõu. Seoses eelnõuga on meil alljärgnevad märkused.

Andmekaitse Inspektsiooni roll ja pädevus

Eelnõu § 1 p-ga 40 täiendatakse EUTS §-i 22 lg-ga 2 järgmises sõnastuses: „Euroopa Parlamendi

ja nõukogu määruse (EL) nr 910/2014 artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5 punkti a

alapunktis x sätestatud pädeva riikliku andmekaitseasutuse ülesandeid täidab Andmekaitse

Inspektsioon. Andmekaitse Inspektsioon teeb järelevalvet määruse artikli 46a lõike 4 punktis f

sätestatud ülesannete täitmise üle.“

Sätte esimene lause on sisult asjakohane st digiidentiteedikukrud võimaldavad kasutajal andmete

saamiseks saadetud väidetavalt ebaseadusliku või kahtlase taotluse korral hõlpsasti teatada

tuginevast isikust pädevale riiklikule andmekaitseasutusele. Sisuliselt on tegemist

teavituskanaliga, mille kaudu AKI saab teavet võimalikest andmekaitsealastest rikkumisest. Teate

saamisel menetleb AKI seda tavapäraselt lähtudes IKÜM-i raamidest. Samas sätte esimene lause

sisuliselt dubleerib juba kavandatava EUTS § 2 lg-s 3 sätestatut – mõlemad viitavad samadele

eIDAS määruse (edaspidi määrus) sätetele ja annavad AKI-le sama rolli, mistõttu ei ole seda

vajalik uuesti korrata.

Probleemne on kavandatava EUTS § 22 lg 2 teine lause, mille kohaselt AKI teostaks järelevalvet

määruse art 46a lg 4 p-s f sätestatud ülesannete täitmise üle. Säte üritab AKI-le anda ülesannet,

mis eelnõu endaga on juba antud ainult RIA-le nii nagu seda määruses mõeldud ongi.

Määruse art 46 a lg 4 p f sätestab, et lõike 1 kohaselt määratud järelevalveasutusel on ülesandeks

mh peatada või tühistada tuginevate isikute registreerimine ja kaasamine art 5b lg-s 7 osutatud

mehhanismi Euroopa digiidentiteedikukru ebaseadusliku või petturliku kasutamise korral.

Esmalt, määruse art 46a lg 1 kohaselt määratud järelevalveasutuseks ehk pädevaks asutuseks on

ainult RIA (vt kavandatav EUTS § 2 lg 1)1 ehk kõiki määruse art 46a nimetatud järelevalveasutuse

ülesandeid saab täita ainult RIA. Seega ei ole AKI järelevalveasutus määruse art 46a tähenduses

ega saa kuidagi teostada järelevalvet määruse art 46a ükskõik millise lõike või punkti osas.

Eelnõu seletuskirja lisas 2 toodud vastavustabelis on teisel real AKI roll rakendava riigisisese

sättena õigesti märgitud EUTS § 2 lg 3, kuid asjakohatult on märgitud lisaks juurde EUTS § 22 lg 1 Vt ka seletuskirja lisa 2 vastavustabelit.

2 (4)

2. Seda kinnitavad ka samal real olevad EL-i õigusakti sätted, mis räägivad AKI rollist, mitte

järelevalvepädevuse määramisest nagu ekslikult sama rea kommentaaris on märgitud.

AKI täidab pädeva riikliku andmekaitseasutuse rolli, mitte määruse üle järelevalvet teostava

järelevalveasutuse rolli (vt kavandatav EUTS § 2 lg 3). Eelnõus on pädeva asutuse ja pädeva

andmekaitseasutuse rollid seoses pädeva asutuse ühe ülesandega kokku liidetud ja segamini aetud.

AKI teostab järelevalvet andmekaitsealaste normide üle IKÜM raamistikus ja määruse üle teostab

järelevalvet siiski ainult RIA (sh on ta EUTS-is nimetatud ka ainsana kohtuväliseks menetlejaks).

Küll aga peab olema määruse kohaselt tagatud, et AKI-le oleks võimalik esitada hõlpsasti teateid

võimalike andmekaitsealaste rikkumiste kohta, mis on seotud digiidentiteedikukru ebaseadusliku

või petturliku kasutamise kahtlusega. RIA kui pädeva asutuse üheks ülesandeks on mh teha

koostööd AKI-ga ning teavitada AKI-t võimalikest isikuandmetega seotud rikkumistest (määruse

art 46a lg 4 p g).

Teisalt ei saa AKI pädevuse puudumise tõttu ka peatada või tühistada tuginevate isikute

registreerimist ja kaasamist, sest selline pädevus on pädeva asutusena samuti ainult RIA-l (vt

kavandatav EUTS § 2 lg 1 ja 31 lg 7). Lisaks ei ole AKI-l pädevust tuvastada määruse art 46a lg

4 p-s f nimetatud „ebaseaduslikku või petturlikku kasutamist“, mis on juba oma olemuselt laiem

mõiste kui isikuandmetega seotud rikkumine ja hõlmab endas ka muid rikkumisi (nt volitamata

kasutus vms), mis ei kujuta endast IKÜM-i rikkumist.

Eelnõu seletuskirja p-s 7.2 kajastatud AKI aastane lisavajadus on kooskõlas AKI tegeliku, IKÜM

raamistikuga seotud koormuse kasvuga, mis tuleneb kasutajate (andmesubjektide) esitatud

digikukruga seotud teadete menetlemisest kahtlaste või ebaseaduslike andmepäringute kohta,

mida AKI hindab oma tavapärase pädevuse piires. Lisavajaduse suhteliselt tagasihoidlik suuruski

viitab, et AKI-le ei ole määruse mõttes kavandatud iseseisvat määruse üle järelevalvet teostava

asutuse rolli koos sellega kaasneva lisavajadusega. Juhul kui seadusandja sooviks siiski määrata

Eestis määruse art 46a tähenduses mitu järelevalveasutust (nt osaliselt mõne ülesande osas RIA-

ga kõrvuti ka AKI), tuleks see selgelt eelnõus välja tuua ning kehtestada selleks vajalikud normid.

Sellisel juhul oleks AKI tegelik lisavajadus praegu kavandatust oluliselt suurem. Lisaks tuleb

arvestada, et määruse art 46a lg-s 3 kirjeldatud järelevalveasutuse rollid moodustavad ühtse,

omavahel seotud terviku, millest art 46a lg-s 4 nimetatud üksikuid ülesandeid ei saa sisuliselt lahus

käsitleda. Näiteks selle sama kõnesoleva määruse art 46a lg 4 p-s f toodud ülesande täitmine eeldab

paratamatult ligipääsu ja arusaamist laiemast kontekstist – pakkuja tegevusloa tingimustest,

vastavushindamise tulemustest, tehnilisest infrastruktuurist jms – mida haldab RIA. Juhul kui AKI

määrataks järelevalveasutuseks kitsalt määruse art 46a p-i f ulatuses, peaks AKI selle ülesande

täitmiseks sisuliselt dubleerima osa RIA-l olemasolevast järelevalvevõimekusest, mis ei ole

otstarbekas ega ka kooskõlas RIA ja AKI rollidega. RIA-le seatud ülesannete osas saab AKI

vajadusel anda andmekaitsealast sisendit (vt nt määruse art 20 lg 3b).

Seega ei ole AKI määruse ega EUTS-i täitmise üle järelevalve teostajaks ega peaks seetõttu olema

ka EUTS §-s 22 nimetatud järelevalveasutus. AKI töökoormus suureneb digikukru ja sellega

seotud töötlemistoimingute andmekaitsealase järelevalve võrra, kuid seda siiski vastavalt IKÜM-

i ja IKS-i raamistikule. Kokkuvõttes tuleb kavandatav EUTS § 22 lg 2 eelnõust tervikuna välja

jätta ning seetõttu pole vajalik sellega seotult ka eelnõu § 1 p-s 39 nimetatud muudatus.

Teabevahetus ja aruandlus

Eelnõu § 1 p-ga 43 täiendatakse EUTS § 234 lg 1 järgmiselt: „Valdkonna eest vastutaval

ministeeriumil, pädeval asutusel ja Andmekaitse Inspektsioonil on õigus nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014

sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.“

Sisuliselt kordub sama põhimõtteline probleem. Määruse art 48a pandud ülesanded on

kavandatava EUTS § 2 lg 1 kohaselt RIA ainupädevuses. Seletuskirja lisas 2 olevas vastavustabelis

3 (4)

on määruse art 48a kajastatud kahel korral. EUTS § 234 peaks olema üksnes menetluslik teabe

nõudmise mehhanism asutuse jaoks, kellele on pandud sisuline ülesanne täita määruse art-t 48a

(RIA). Kuna AKI ei täida määruse art-ga 48a pandud ülesandeid, siis ei ole vajalik ega saa ka AKI-

le anda õigust nõuda teenuse osutajalt nimetatud ülesande täitmiseks vajalikku teavet. AKI roll

statistika kogumisel saab olla vaid vajadusel enda menetluste osas sisendi andmises RIA-le.

Digiidentiteedikukrule tuginevate isikute register

Eelnõu § 1 p-ga 6 täiendatakse seadust §-ga 31, mille lg 3 loetleb andmekogusse kantavate andmete

kategooriad, nähes muu hulgas ette, et andmekogusse kantakse ka muud registri pidamise eesmärgi

täitmiseks vajalikud isikuandmeid mittesisaldavad andmed.

Kuigi lisatud on piirang, et need andmed ei sisalda isikuandmeid, jääb andmekategooria ise siiski

ebaselgeks. Leiame, et tegemist on liiga avatud volitusega. JDM juhise järgi on probleemne

olukord, kus töödeldavate andmete kategooriad üldse puuduvad või on liiga laiad ja üldised. Ka

andmekogude juhendis on selgitatud, et seadusega võib täpse andmete koosseisu kehtestamise

delegeerida täitevvõimule, kuid täitevvõim ei saa väljuda seaduse ja volitusnormi raamidest.

Antud juhul isikuandmete välistamine küll vähendab riski, kuid ei kõrvalda siiski õigusselguse

probleemi.

Soovitame asendada p-i 3 sõnastus konkreetse andmeliikide loeteluga või siis täpsustada vähemalt,

millist liiki isikuandmeid mittesisaldavaid andmeid võib registrisse kanda. Kui silmas on näiteks

peetud tehnilisi metaandmeid, registreeringu menetlusandmeid või avalikustamise vormingut

puudutavaid andmeid vms, siis võiks normis sellele ka viidata.

Rakendusakti kavand

Kuigi tuginevate isikute registri põhimäärus tuleb eelduslikult täiendavalt arvamuse avaldamiseks

peale selle lõpliku sõnastuse kujundamist, toob AKI välja järgmised tähelepanekud, mida

põhimääruse koostamisel tuleks arvesse võtta.

Põhimääruse kavandis on vastutava töötleja ülesanded kirjeldatud liiga kitsalt (põhimääruse § 2 lg

2). Vastutav töötleja ei ole üksnes n-ö tehniline majutaja, vaid AvTS-st tulenevalt on vastutavaks

töötlejaks see, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist,

vastutades andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest ehk täidab nende

kohustustega seotud ülesandeid. Seega tuleks põhimääruses selgelt sätestada RIA kui vastutava

töötleja ülesanded.

Põhimääruse § 4 lg 2 on olemuselt sisutu. AvTS järgi on andmekogu infosüsteemis töödeldavate

korrastatud andmete kogum, infosüsteem on defineeritud KüTS-s ning selle järgi infosüsteem

kujutabki endast digitaalset andmete töötlust. Sama sätte lg-s 4 tuleks lisada üksnes need juhud,

kus andmekogu andmetel on õiguslik tähendus ja mitte märkida, et andmetel on üksnes

informatiivne tähendus.

Põhimääruse § 6 osas märgime, et põhimääruses tuleb loetleda nii andmeandjad kui ka nende poolt

esitatavad andmed ehk millistest andmekogudest või kelle käest milliseid andmeid saadakse. Läbi

selle määratakse kindlaks, millised on selle konkreetse andmekogu unikaalsed põhiandmed.

Põhimääruse § 8 lg 1 (registriandmete õigsus) osas märgime, et andmete teise andmekogusse

edastamisel vastutab andmete edastaja edastatavate andmete õigsuse eest. Andmekogu terviku

vaatest vastutab andmete õigsuse eest andmekogu vastutav töötleja, kelle andmekogusse andmed

edastati. Selgitame, et IKÜM art 5 lg 2 kohaselt tagab vastutav töötleja sama artikli lõikes 1

sätestatud isikuandmete töötlemise põhimõtete järgimise. IKÜM art 5 lg 1 p-i d ja IKS § 14 p-i 4

kohaselt tagab vastutav töötleja ka andmete õigsuse ja asjakohasuse. Eelnevalt arvesse võttes

vastutab andmekogu vastutav töötleja tervikuna andmekogu andmete õigsuse eest. Seega peaks

4 (4)

põhimäärusest nähtuma RIA kui andmekogu vastutava töötleja osa registriandmete õigsuse

tagamisel. Praegune sõnastus jätab mulje nagu RIA-l andmekogu vastutava töötlejana siin üldse

mingit vastutust ei ole.

Põhimääruse § 10 (registriandmete arhiveerimine) osas märgime, et juhul kui andmekogus

soovitakse eristada arhiivseid andmeid, siis peab põhimäärusest ka selguma, mida arhiiv sisuliselt

tähendab (ehk millal ja millised andmed liiguvad arhiivi, kes nendele andmetele ja millistel

tingimustel ligi pääsevad jne) ning miks seda üldse vaja on. Lugupidamisega (allkirjastatud digitaalselt) Urmo Parmvaldkonnajuht peadirektori ülesannetes Andres Kudrjavtsev

[email protected]

627 4109

Terje Enula

[email protected]

627 4144