ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Justiits- ja Digiministeerium

[email protected]

Meie 12.08.2026 nr 1.2.-2/26/3137-1

Märgukiri

Andmekaitse Inspektsioon (AKI) juhib Justiits- ja Digiministeeriumi tähelepanu õiguslikule

ebaselgusele seoses täitmisregistri kaudu tehtavatele päringutele vastamisel krediidiasutuste

süsteemi tekkivate logiandmete töötlemisega ning isikuandmete kaitse üldmäärusest (EL)

2016/679 (IKÜM) tulenevate andmesubjekti õiguste tagamisega.1

IKÜM art 4 p 1 järgi on isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku

kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt vastavate

identifitseerimistunnustuse põhjal (nt nimi, isikukood, asukohateave vms) tuvastada. IKÜM art 15

annab andmesubjektile õiguse saada vastutavalt töötlejalt kinnitust selle kohta, kas teda

käsitletavaid isikuandmeid töödeldakse ning kui töödeldakse, siis tutvuda täiendava teabega

(IKÜM art 15 lg 1 punktid a–h). Samuti on andmesubjektil õigus nõuda oma isikuandmete koopiat

(IKÜM art 15 lg 3).

Krediidiasutused on õigusaktidest tulenevalt kohustatud vastama täitmisregistri kaudu riigiasutuse

esitatud järelepärimistele.2 Iga täitmisregistri vahendusel tehtud üksikpäringu eest vastutab

päringu teinud riigiasutus.3 Täitmisregistri põhimääruses on öeldud, et päringu tegija (avaliku

võimu kandja) peab andma selgitusi registri kaudu tehtud päringute kohta.4 Samuti on Justiits- ja

Digiministeeriumi isikuandmete töötlemise põhimõtetes rõhutatud, et inimesel, kellel on soov

teada saada, kas ja mis põhjustel on tema suhtes päringuid teostatud, tuleb pöörduda päringuid

teostatavate asutuste poole.5

Olukorras, kus riigiasutus teeb täitmisregistri kaudu päringu krediidiasutusele, tekivad sellise

päringu ja sellele vastamise tulemusena muuhulgas logid vastava krediidiasutuse süsteemidesse.

Logid sisaldavad teavet selle kohta, kes ja millal on andmesubjekti andmeid pärinud. AKI

hinnangul tuleb täitmisregistri vahendusel tehtud päringute tulemusena krediidiasutuse

infosüsteemides tekkivate logiandmete osas pidada vastutavaks töötlejaks krediidiasutust, kuna

krediidiasutus säilitab logisid enda kohustuste täitmise tõendamise eesmärgil, on määranud

logidele ise säilitustähtajad jms.

Euroopa Kohus on käsitlenud logifaile isikuandmetena, mille väljastamine kuulub piirangute

puudumisel IKÜM art 15 õiguse alla6 ning ka Euroopa Andmekaitsenõukogu on selgitanud, et

1 Täitmisregistri kui andmekogu eest on vastutav töötleja Justiits- ja Digiministeerium. 2 Krediidiasutuste seadus § 88 lg 5. 3 Täitmisregistri põhimäärus § 9 lg 4. 4 Täitmisregistri põhimäärus § 9 lg 7. 5 Isikuandmete töötlemine | Justiits- ja Digiministeerium 6 EKo C-579/21, punktid 69–70.

2 (3)

isikuandmeteks tuleb pidada logiandmeid, millega inimesel on õigus tutvuda7. Kuna logid tekivad

krediidiasutuse enda süsteemidesse ja kuna täitmisregistri päringutega seotud logide osas saab

pidada vastutavaks töötlejaks krediidiasutust, siis juhul kui andmesubjekt peaks esitama

krediidiasutusele isikuandmete töötlemist puudutava taotluse logiandmete saamiseks, peaks sellele

vastama samuti krediidiasutus.

Probleem seisneb aga selles, et täitmisregistris päringu teinud riigiasutusel võib seadusest tuleneda

alus piirata andmesubjekti õigust saada teavet tema isikuandmete töötlemise ehk päringu tegemise

fakti kohta (IKÜM art 23). Samas ei edasta päringu tegija krediidiasutusele täitmisregistri kaudu

konkreetset teavet teabe väljastamise piirangu kohta ning krediidiasutus ei saa ise otsustada, kas

konkreetne andmepäring on kaetud seadusest tuleneva piiranguga või mitte.

Juhul kui krediidiasutus saab andmesubjektilt isikuandmete (logiandmete) töötlemise kohta

taotluse, peaks krediidiasutus andmesubjektile logiandmed välja andma. Samas võib

täitmisregistri kaudu päringu teinud riigiasutuse tegevuse avaldamine kahjustada seadusest

tuleneva ülesande täitmist, kui selline teave on riigiasutuse poolt määratud piiranguga. Seega võib

tekkida olukord, kus krediidiasutuse valduses on logide näol teave, mille osas krediidiasutus on

küll vastutav töötleja (logid tekivad muuhulgas krediidiasutuse süsteemi), kuid tal puudub pädevus

hinnata, kas tema valduses olev teave on päringu teinud asutuse poolt piiranguga või mitte.

Seetõttu tekib küsimus, kuidas tagada ühelt poolt andmesubjekti õigus tutvuda tema kohta

säilitatud logiandmetega ning teiselt poolt riigiasutusele seadusega antud võimalus piirata selle

teabe avaldamist.

Euroopa Andmekaitsenõukogu on sedastanud, et andmesubjektide õigusi puudutavaid piiranguid

tuleb tõlgendada kitsalt ja kohaldada ainult eraldi ette nähtud asjaoludel ning üksnes siis, kui on

täidetud teatavad tingimused. Isegi erandolukordades ei saa isikuandmete kaitset piirata täielikult.

Üldreeglina peab IKÜM art 23 kohaseid piiranguid sätestav seadusandlik meede sisaldama kõiki

IKÜM art 23 lõikes 2 kirjeldatud nõudeid. Kui sellest aga kõrvale kaldutakse, peab seadusandja

seda põhjendama. Selleks, et piirangud vastaksid IKÜM nõuetele, peavad need eelnevalt olema

läbinud vajalikkuse ja proportsionaalsuse kontrolli, kusjuures see kontroll on vaja teostada enne

seadusandja poolt piirangu sätestamist.8 Piirangute puudumisel tuleb andmesubjektile teave ja

koopia tema isikuandmetest väljastada.

Praegusel juhul puuduvad AKI-le teadaolevalt seaduses sätted, mis annaksid krediidiasutusele

iseseisvalt õiguse jätta andmesubjektile esitamata nende sisemistesse süsteemidesse tekkivate

logide koopia, kui andmesubjekt esitab IKÜM artikkel 15 taotluse. Samuti ei ole seadusandja

jaganud krediidiandjatele soovitusi või juhiseid, mismoodi sellekohastele andmesubjektide

päringutele vastata või kuidas üleüldse toimida. Kuigi päringuid teostavad riigiasutused vastutavad

päringu tegemise õiguspärasuse eest ning peavad andmesubjektide sellekohastele päringutele

vastama, ei saa krediidiasutus ilma selgete alusteta keelduda andmesubjektile väljastamast

krediidiasutuse enda süsteemidesse tekkivaid logisid, mille osas on vastutavad töötlejad

krediidiasutused ise.

Selgus selles küsimuses on vajalik, et tagada kõigi osapoolte jaoks õiglane ja ühtne praktika ning

vältida olukorda, kus krediidiasutused peavad andmesubjektide IKÜM art 15 taotlustele

vastamisel otsustama andmesubjekti õiguste piiramise üle ilma selge õigusliku aluseta päringu

teinud riigiasutuste huvides. Samuti aitab selgus tagada, et andmesubjektide õigusi piiratakse

üksnes seaduses ettenähtud juhtudel ja ulatuses ning et andmesubjektidel on võimalik oma õigusi

tõhusalt ja ettenähtaval viisil teostada.

7 Euroopa Andmekaitsenõukogu suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega.

Versioon 2.1 Vastu võetud 28. märtsil 2023, punktid 97 ja 140. 8 Euroopa Andmekaitsenõukogu suunised 10/2020 isikuandmete kaitse üldmääruse artiklis 23 sätestatud piirangute

kohta. Versioon 2.1. Vastu võetud 13.10.2021.

3 (3)

AKI ootab ministeeriumilt vastust märgukirjale, sealhulgas tagasisidet tõstatatud küsimustele ning

võimalikke lahendusettepanekuid.

Lugupidamisega

(allkirjastatud digitaalselt)

Maarja Kirss

valdkonnajuht

peadirektori ülesannetes

Koostas:

Annika Kaljula

Andmekaitse Inspektsiooni jurist

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Justiits- ja Digiministeerium

[email protected]

Meie 12.08.2026 nr 1.2.-2/26/3137-1

Märgukiri

Andmekaitse Inspektsioon (AKI) juhib Justiits- ja Digiministeeriumi tähelepanu õiguslikule

ebaselgusele seoses täitmisregistri kaudu tehtavatele päringutele vastamisel krediidiasutuste

süsteemi tekkivate logiandmete töötlemisega ning isikuandmete kaitse üldmäärusest (EL)

2016/679 (IKÜM) tulenevate andmesubjekti õiguste tagamisega.1

IKÜM art 4 p 1 järgi on isikuandmeteks igasugune teave tuvastatud või tuvastatava füüsilise isiku

kohta. Tuvastatav füüsiline isik on isik, keda saab otseselt või kaudselt vastavate

identifitseerimistunnustuse põhjal (nt nimi, isikukood, asukohateave vms) tuvastada. IKÜM art 15

annab andmesubjektile õiguse saada vastutavalt töötlejalt kinnitust selle kohta, kas teda

käsitletavaid isikuandmeid töödeldakse ning kui töödeldakse, siis tutvuda täiendava teabega

(IKÜM art 15 lg 1 punktid a–h). Samuti on andmesubjektil õigus nõuda oma isikuandmete koopiat

(IKÜM art 15 lg 3).

Krediidiasutused on õigusaktidest tulenevalt kohustatud vastama täitmisregistri kaudu riigiasutuse

esitatud järelepärimistele.2 Iga täitmisregistri vahendusel tehtud üksikpäringu eest vastutab

päringu teinud riigiasutus.3 Täitmisregistri põhimääruses on öeldud, et päringu tegija (avaliku

võimu kandja) peab andma selgitusi registri kaudu tehtud päringute kohta.4 Samuti on Justiits- ja

Digiministeeriumi isikuandmete töötlemise põhimõtetes rõhutatud, et inimesel, kellel on soov

teada saada, kas ja mis põhjustel on tema suhtes päringuid teostatud, tuleb pöörduda päringuid

teostatavate asutuste poole.5

Olukorras, kus riigiasutus teeb täitmisregistri kaudu päringu krediidiasutusele, tekivad sellise

päringu ja sellele vastamise tulemusena muuhulgas logid vastava krediidiasutuse süsteemidesse.

Logid sisaldavad teavet selle kohta, kes ja millal on andmesubjekti andmeid pärinud. AKI

hinnangul tuleb täitmisregistri vahendusel tehtud päringute tulemusena krediidiasutuse

infosüsteemides tekkivate logiandmete osas pidada vastutavaks töötlejaks krediidiasutust, kuna

krediidiasutus säilitab logisid enda kohustuste täitmise tõendamise eesmärgil, on määranud

logidele ise säilitustähtajad jms.

Euroopa Kohus on käsitlenud logifaile isikuandmetena, mille väljastamine kuulub piirangute

puudumisel IKÜM art 15 õiguse alla6 ning ka Euroopa Andmekaitsenõukogu on selgitanud, et

1 Täitmisregistri kui andmekogu eest on vastutav töötleja Justiits- ja Digiministeerium. 2 Krediidiasutuste seadus § 88 lg 5. 3 Täitmisregistri põhimäärus § 9 lg 4. 4 Täitmisregistri põhimäärus § 9 lg 7. 5 Isikuandmete töötlemine | Justiits- ja Digiministeerium 6 EKo C-579/21, punktid 69–70.

2 (3)

isikuandmeteks tuleb pidada logiandmeid, millega inimesel on õigus tutvuda7. Kuna logid tekivad

krediidiasutuse enda süsteemidesse ja kuna täitmisregistri päringutega seotud logide osas saab

pidada vastutavaks töötlejaks krediidiasutust, siis juhul kui andmesubjekt peaks esitama

krediidiasutusele isikuandmete töötlemist puudutava taotluse logiandmete saamiseks, peaks sellele

vastama samuti krediidiasutus.

Probleem seisneb aga selles, et täitmisregistris päringu teinud riigiasutusel võib seadusest tuleneda

alus piirata andmesubjekti õigust saada teavet tema isikuandmete töötlemise ehk päringu tegemise

fakti kohta (IKÜM art 23). Samas ei edasta päringu tegija krediidiasutusele täitmisregistri kaudu

konkreetset teavet teabe väljastamise piirangu kohta ning krediidiasutus ei saa ise otsustada, kas

konkreetne andmepäring on kaetud seadusest tuleneva piiranguga või mitte.

Juhul kui krediidiasutus saab andmesubjektilt isikuandmete (logiandmete) töötlemise kohta

taotluse, peaks krediidiasutus andmesubjektile logiandmed välja andma. Samas võib

täitmisregistri kaudu päringu teinud riigiasutuse tegevuse avaldamine kahjustada seadusest

tuleneva ülesande täitmist, kui selline teave on riigiasutuse poolt määratud piiranguga. Seega võib

tekkida olukord, kus krediidiasutuse valduses on logide näol teave, mille osas krediidiasutus on

küll vastutav töötleja (logid tekivad muuhulgas krediidiasutuse süsteemi), kuid tal puudub pädevus

hinnata, kas tema valduses olev teave on päringu teinud asutuse poolt piiranguga või mitte.

Seetõttu tekib küsimus, kuidas tagada ühelt poolt andmesubjekti õigus tutvuda tema kohta

säilitatud logiandmetega ning teiselt poolt riigiasutusele seadusega antud võimalus piirata selle

teabe avaldamist.

Euroopa Andmekaitsenõukogu on sedastanud, et andmesubjektide õigusi puudutavaid piiranguid

tuleb tõlgendada kitsalt ja kohaldada ainult eraldi ette nähtud asjaoludel ning üksnes siis, kui on

täidetud teatavad tingimused. Isegi erandolukordades ei saa isikuandmete kaitset piirata täielikult.

Üldreeglina peab IKÜM art 23 kohaseid piiranguid sätestav seadusandlik meede sisaldama kõiki

IKÜM art 23 lõikes 2 kirjeldatud nõudeid. Kui sellest aga kõrvale kaldutakse, peab seadusandja

seda põhjendama. Selleks, et piirangud vastaksid IKÜM nõuetele, peavad need eelnevalt olema

läbinud vajalikkuse ja proportsionaalsuse kontrolli, kusjuures see kontroll on vaja teostada enne

seadusandja poolt piirangu sätestamist.8 Piirangute puudumisel tuleb andmesubjektile teave ja

koopia tema isikuandmetest väljastada.

Praegusel juhul puuduvad AKI-le teadaolevalt seaduses sätted, mis annaksid krediidiasutusele

iseseisvalt õiguse jätta andmesubjektile esitamata nende sisemistesse süsteemidesse tekkivate

logide koopia, kui andmesubjekt esitab IKÜM artikkel 15 taotluse. Samuti ei ole seadusandja

jaganud krediidiandjatele soovitusi või juhiseid, mismoodi sellekohastele andmesubjektide

päringutele vastata või kuidas üleüldse toimida. Kuigi päringuid teostavad riigiasutused vastutavad

päringu tegemise õiguspärasuse eest ning peavad andmesubjektide sellekohastele päringutele

vastama, ei saa krediidiasutus ilma selgete alusteta keelduda andmesubjektile väljastamast

krediidiasutuse enda süsteemidesse tekkivaid logisid, mille osas on vastutavad töötlejad

krediidiasutused ise.

Selgus selles küsimuses on vajalik, et tagada kõigi osapoolte jaoks õiglane ja ühtne praktika ning

vältida olukorda, kus krediidiasutused peavad andmesubjektide IKÜM art 15 taotlustele

vastamisel otsustama andmesubjekti õiguste piiramise üle ilma selge õigusliku aluseta päringu

teinud riigiasutuste huvides. Samuti aitab selgus tagada, et andmesubjektide õigusi piiratakse

üksnes seaduses ettenähtud juhtudel ja ulatuses ning et andmesubjektidel on võimalik oma õigusi

tõhusalt ja ettenähtaval viisil teostada.

7 Euroopa Andmekaitsenõukogu suunised 01/2022 andmesubjekti õiguste kohta – õigus tutvuda andmetega.

Versioon 2.1 Vastu võetud 28. märtsil 2023, punktid 97 ja 140. 8 Euroopa Andmekaitsenõukogu suunised 10/2020 isikuandmete kaitse üldmääruse artiklis 23 sätestatud piirangute

kohta. Versioon 2.1. Vastu võetud 13.10.2021.

3 (3)

AKI ootab ministeeriumilt vastust märgukirjale, sealhulgas tagasisidet tõstatatud küsimustele ning

võimalikke lahendusettepanekuid.

Lugupidamisega

(allkirjastatud digitaalselt)

Maarja Kirss

valdkonnajuht

peadirektori ülesannetes

Koostas:

Annika Kaljula

Andmekaitse Inspektsiooni jurist