ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Jürgen Ligi

Rahandusministeerium

[email protected]

Teie 27.07.2026 nr 1.1-10.1/3128-1

Meie 18.08.2026 nr 2.3-5/26/2926-2

Arvamus eelnõule

Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks Vabariigi Valitsuse 31.

juuli 2014. a määruse nr 121 „Struktuuritoetuse registri pidamise põhimäärus“ muutmise eelnõu.

Meil on eelnõu osas järgmised tähelepanekud.

1. Eelnõu § 1 punkti 4 järgi nimetatakse senine struktuuritoetuse register ümber toetuste

registriks. Seletuskirjas on põhjendatud, et registris hoitakse lisaks struktuuritoetuste

andmetele ka mitmete teiste toetuste andmeid ning 2021–2027 perioodil ei kasutata enam

struktuuritoetuse mõistet, mistõttu on registri nimetus vananenud ja ei vasta enam sisule.

Samas ei ava seletuskiri piisavalt senise struktuuritoetuse registri, ÜSS2021_20271 § 21

tähenduses toetuse haldamise registri ja eelnõuga kavandatava toetuste registri

omavahelist seost.

Oleme oma varasemas arvamuses2 juhtinud juba tähelepanu sellele, et toetuste haldamise

registri, toetuste haldamise keskkonna ja struktuuritoetuste registri vahekord jäi

ebaselgeks ning seletuskiri seda piisavalt ei avanud. Ka antud eelnõus on nimetust küll

muudetud, kuid nime muutmine ei asenda andmekogu õigusliku järjepidevuse ja ulatuse

selgitamist.

Soovitame seletuskirjas selgelt märkida, kas struktuuritoetuse register, toetuse haldamise

register ja toetuste register tähistavad kõik sama andmekogu. Samuti palume selgitada,

milliseid toetusi ja rahastusallikaid register hõlmab ning kas tegemist on sama andmekogu

ümbernimetamise ja regulatsiooni ajakohastamisega või andmekogu ulatuse sisulise

laiendamisega.

2. Eelnõu preambulis viidatakse mitmele volitusnormile: perioodi 2007–2013

struktuuritoetuse seaduse § 4 lõikele 3, perioodi 2014–2020 struktuuritoetuse seaduse §

37 lõikele 4, perioodi 2021–2027 seaduse § 21 lõikele 5, mis eelnõu § 1 punkti 2 kohaselt

asendatakse § 21 lõikega 2, ning välissuhtlemisseaduse § 8 lõikele 6.

Juhime tähelepanu sellele, et kõik need volitusnormid ei ole sama sisuga. ÜSS2021_2027

§ 21 lõige 2 on kõige detailsem ning nõuab, et põhimääruses sätestatakse muu hulgas

andmeandjad ja nendelt saadavad andmed, täpsem andmekoosseis, vastutava ja volitatud

töötleja ülesanded, andmetele juurdepääsu ja andmete väljastamise kord ning andmete

1 Perioodi 2021–2027 Euroopa Liidu ühtekuuluvus- ja siseturvalisuspoliitika fondide rakendamise seadus 2 04.02.2026 nr 2.3-4/26/258-2

2 (4)

säilitamise täpsemad tähtajad. Perioodi 2014–2020 struktuuritoetuse seadus viitab

struktuuritoetuse registrile ning seob selle määruse (EL) nr 1303/2013 artikli 125 lõike 2

punktides d ja e nimetatud ülesannetega. Välissuhtlemisseaduse § 8 lõige 6 võimaldab

asutada Euroopa Liidu toetuse või välisabi vahendamisega seotud andmekogu ja

kehtestada selle põhimääruse, milles sätestatakse muu hulgas isikuandmete liigid,

juurdepääsu ja väljastamise kord ning säilitamise tähtajad. Seletuskirjas on lühidalt

selgitatud vaid, et ÜSS2021_2027 § 21 volitusnormi asukoht muutus paragrahvi sees.

Leiame, et seletuskirjas antud selgituse puhul on tegemist üksnes vormilise selgitusega,

mis ei näita aga, kuidas eri volitusnormid katavad eelnõuga reguleeritava andmetöötluse.

Palume seletuskirjas iga toetuse perioodi ja rahastusallika puhul välja tuua, millise seaduse

ja millise volitusnormi alusel andmeid registris töödeldakse, milline volitusnorm katab

andmekoosseisu, andmeandjad, andmesaajad, juurdepääsud, väljastamise, säilitamise,

logimise ning registri kasutajate ja projektiosaliste kontaktisikute andmete töötlemise.

3. Eelnõu § 1 punktiga 7 täiendatakse andmekogu põhimääruse § 2 lõigetega 21 ja 22, milles

sätestatakse volitatud töötlejate ülesanded. Leiame, et selline täiendus on küll vajalik, kuid

kavandatud regulatsioon ei ava piisavalt tegelikku tööjaotust. Eelnõu ja seletuskiri

käsitlevad küll vastutavat töötlejat ja volitatud töötlejaid, kuid seletuskirjast ei nähtu,

millises rollis tegutsevad ministeeriumid, Riigikantselei, rakendusüksused ja muud toetuse

andjad siis, kui nad sisestavad, kontrollivad, parandavad, kasutavad või väljastavad

registriandmeid. Kui asutus ei tegutse registris üksnes vastutava töötleja juhiste alusel,

vaid menetleb oma õigusaktist tuleneva pädevuse piires toetuse taotlusi, hindab taotleja

või taotluse nõuetele vastavust, määrab konkreetse meetme puhul nõutavad andmed, tuleb

seletuskirjas hinnata, kas ta on selles andmetöötluse osas volitatud töötleja, iseseisev

vastutav töötleja või kaasvastutav töötleja IKÜM artikli 26 tähenduses. Seda rollianalüüsi

seletuskirjast praegu ei nähtu.

Seega palume seletuskirjas lisaks andmekogu vastutava ja volitatud töötleja rollidele

analüüsida ka isikuandmete töötlemisel kaasvastutuse võimalikku esinemist. Praegu ei ole

põhjendatud, miks määruses nimetatud asutused on üksnes volitatud töötlejad ega võiks

mõnes andmetöötluse osas olla isikuandmete kaasvastutavad töötlejad. Kui

kaasvastutavaid töötlejaid ei ole, tuleb põhjendada, miks kõiki registri pidamises osalevaid

asutusi saab käsitada üksnes volitatud töötlejatena.

Kui analüüsi tulemusel aga selgub, et mõni asutus määrab oma ülesannete täitmisel

iseseisvalt või koos vastutava töötlejaga (RTK) isikuandmete töötlemise eesmärgid või

olulised vahendid, tuleb põhimääruses määratleda kaasvastutus ning vastutuse jaotus

andmesubjekti õiguste teostamise osas. Soovitame tutvuda ka Justiits- ja

Digiministeeriumi juhisega3 (JDM juhis).

4. Eelnõu § 1 punktiga 12 antakse põhimääruse §-le 4 uus sõnastus, millega korrastatakse

andmekogu andmete loetelu. Kavandatava § 4 muudatuses viidatakse lõike 1 punktis 5

ÜSS2021_2027 § 2 punktile 7 ning nimetatakse registrisse kantavate andmetena riigi

pikaajalises arengustrateegias kinnitatud strateegilisi sihte, aluspõhimõtteid ja näitajaid.

Samas ÜSS2021_2027 § 2 punkt 7 määratleb küll strateegilised sihid ja aluspõhimõtted,

kuid säte ei sisalda mõistet „näitajad“ ega ka näitajate registrisse kandmise alust.

Palume täpsustada eelnõu § 4 lõike 1 punkti 5 sõnastust või seletuskirjas selgitada, millise

õigusliku aluse alusel kantakse registrisse lisaks strateegilistele sihtidele ja

aluspõhimõtetele ka näitajad. Kui näitajad tulenevad muust õigusaktist, meetmete

nimekirjast, rakenduskavast või registri pidamise vajadusest, tuleb vastav alus ja

andmekoosseis seletuskirjas selgelt välja tuua.

3 Andmekaitseõiguse ja avaliku teabe juhised eelnõu koostajale

3 (4)

Lisaks juhime tähelepanu uuendatud §-s 4 toodud andmekooseisule. Nimelt on sättes

andmeid küll rühmitatud, kuid andkogusse kogutavate andmete loetelu on endiselt

esitatud üldiste kategooriatena. Näiteks nimetatakse eelnõus toetuse taotluse ning projekti

andmeid, kontrollidega seotud andmeid, auditite ning tuvastatud asjaolude andmeid ja

Euroopa Komisjonile esitatava kuluaruande andmeid, kuid avamata on jäänud, millised

konkreetsed andmed nende kategooriate alla kuuluvad.

Andmekaitse Inspektsioon on andmekogude juhendis4 selgitanud, et andmekogu

põhimäärus peab sisaldama ammendavat loetelu antud andmekogusse kogutavatest

andmetest. Seejuures peab loetelust ka selguma, kelle kohta (st andmesubjektide

kategooriad) neid andmeid kogutakse. Kui andmete koosseis on väga mahukas, võib

loetelu esitada põhimääruse lisana. Põhimäärusesse ei tuleks panna tehnilisi andmeid,

mida on vaja infosüsteemi toimimiseks. Näiteks andmevälja või kande liigi süsteemi-

sisene tunnus või andmete muutmise aeg.

Samuti on JDM juhendis selgitatud, et andmekogu põhimääruses tuleb sätestada

andmekogusse kantavate andmete täpne/ammendav loetelu (vajadusel saab esitada

lisana) – nt isiku üldandmed või „isiku kohta käivad andmed“ ei ole piisavalt

ammendavad, kuna pole võimalik aru saada, mis on täpne andmekoosseis.

Siinjuures näeme probleemina § 4 lõiget 7, mille kohaselt määratakse § 4 lõigetes 1–4

nimetatud andmete sisestamiseks ette nähtud andmeväljad, nende täitmise nõuded ja

kohustuslikkus kindlaks vastutava töötleja koostatud juhendis. Leiame, et see ei ole

kooskõlas ÜSS2021_2027 § 21 lõikega 2, mille järgi peab täpsem andmekoosseis olema

sätestatud põhimääruses.

Palume põhimääruses sätestada registrisse kantavate andmete piisavalt täpne ja

kontrollitav loetelu. Vastutava töötleja juhend võib täpsustada tehnilist vormi või

infosüsteemi kasutuskorraldust, kuid sellega ei saa määrata isikuandmete töötlemise

sisulist ulatust.

5. Palusime oma varasemas arvamuses täpsustada, millised isikuandmed anonüümitakse

ning kuidas tagatakse, et pärast anonüümimist ei ole võimalik isikuid tuvastada. Antud

eelnõus on vastutava töötleja ülesandena nimetatud andmete säilitamise, kustutamise ja

anonüümimise tagamine vastavalt õigusaktidele, kuid põhimäärus ega seletuskiri ei ava

jätkuvalt anonüümimise ulatust, meetodit ega seost konkreetsete andmekoosseisudega.

Selgitame, et anonüümimine ei tähenda üksnes otseste tunnuste eemaldamist. Andmed on

anonüümsed vaid juhul, kui isikut ei ole võimalik mõistlikult tõenäoliste vahenditega

tuvastada, sh teiste andmetega kombineerides. Seda on eriti oluline hinnata registris, kus

töödeldakse toetuse taotlejate, projektiosaliste ja tegevustes osalejate andmeid ning teatud

juhtudel ka eriliiki isikuandmeid.

Palume täiendada seletuskirja selgitusega, milliste andmekoosseisude suhtes

anonüümimist kohaldatakse, millal anonüümimine toimub, kuidas hinnatakse

anonüümimise pöördumatust ning kas ja milliseid andmeid säilitatakse pärast

anonüümimist statistilisel eesmärgil.

6. Andmekaitse Inspektsioon on isikuandmete töötleja üldjuhendis5 seoses logidega

selgitanud järgmist: selleks, et ära hoida isikuandmete väärkasutamist ning tagada, et

tagantjärele oleks võimalik kindlaks teha, kes, millal ja miks infosüsteemis andmeid

4 Andmekogude juhend 5 Isikuandmete töötleja üldjuhend

4 (4)

vaadanud või kasutanud on, peabki elektroonilise andmetöötluse puhul pidama logikirjeid

isikuandmete töötlemise kohta.

Andmekogude juhendis on samuti selgitatud: et andmekogu vastutaval töötlejal oleks

võimalik andmete väljastamise seaduslikkus tagada, peab ta kindlustama, et päringud

logitakse. Andmekogu vastutav töötleja peab läbi mõtlema, millisel viisil päringute

põhjendatuse kontrollimist korraldada (kas käsitsi või rakendatakse ka mingeid

automaatkontrolle, mis annavad teatud kriteeriumide esinemisel häireteate).

Antud juhul hõlmab uuendatud § 4 lõige 6 süsteemilogisid andmete sisestamise, muutmise

ja kustutamise ning toimingu tegija, aja ja sisu kohta ning § 15⁵ hõlmab kande tegemist,

sh salvestamist, muutmist ja kustutamist, kuid kumbki eelnimetatud säte ei hõlma

sõnaselgelt andmetega tutvumist, päringuid ega andmete väljastamist. Seetõttu leiame, et

eelnõus jääb logimist puudutav regulatsioon kontrollitavuse ja andmesubjekti teavitamise

seisukohalt poolikuks.

Palume täiendada eelnõus logimise regulatsiooni nii, et lisaks sisestamisele,

salvestamisele, muutmisele ja kustutamisele logitakse ka vaatamine, päringud ja andmete

väljastamine. Logikirjes aga peaks kajastuma toimingu tegija, aeg, toimingu liik ning

võimalusel toimingu alus või eesmärk. Seletuskirjas tuleks aga kirjeldada logide

kontrollimise üldist korraldust.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Terje Enula

[email protected]

627 4144