Seaduseelnõu algatamine

Dokumendiregister	Riigikantselei
Viit	26-01646-1
Registreeritud	27.08.2026
Sünkroonitud	29.08.2026
Liik
Funktsioon
Sari	02 Vabariigi Valitsuse istungite ja nõupidamiste ettevalmistamine ja korraldamine/2-6 Vabariigi Valitsuse poolt Riigikogule esitatud seaduste ja otsuste eelnõud ning nendega seotud kirjavahetus
Toimik
Juurdepääsupiirang	Avalik
Adressaat	Riigikogu juhatus
Saabumis/saatmisviis	Riigikogu juhatus
Vastutaja
Originaal	Ava uues aknas
	Taotle dokumendi eemaldamist või parandamist

Failid

26-01646-1.pdf

Eelnõu.docx

Eelnõu.pdf

Seletuskiri.docx

Seletuskiri.pdf

Seletuskirja lisa (kooskõlastustabel).docx

Seletuskirja lisa (kooskõlastustabel).pdf

Eelnõu.docx

EELNÕU

Isikuandmete kaitse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus

§ 1. Isikuandmete kaitse seaduse muutmine

Isikuandmete kaitse seaduses tehakse järgmised muudatused:

1) paragrahv 6 muudetakse ja sõnastatakse järgmiselt:

„§ 6. Isikuandmete töötlemine teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu eesmärgil

(1) Isikuandmeid, sealhulgas eriliiki isikuandmeid, võib andmesubjekti nõusolekuta teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu (edaspidi uuring) eesmärgil töödelda käesoleva seaduse §-des 6 ja 61 sätestatud tingimustel. Teadusuuring käesoleva seaduse tähenduses on uuring, mis vastab Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 kohastele teadusuuringu tunnustele.

(2) Avaliku sektori uuring käesoleva seaduse tähenduses on põhiseadusliku institutsiooni, Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse, avalik-õigusliku juriidilise isiku ja tema hallatava asutuse ning halduskoostöö seaduse alusel avalikke ülesandeid täitva eraõigusliku juriidilise isiku tehtud analüüs ja uuring, mis on eesmärgipärases seoses asutusele õigusaktiga pandud ülesandega. Kui uuring eeldab isikuandmete püsivat samal eesmärgil töötlemist, peavad uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenema seadusest. Avaliku sektori uuringu metoodika peab vastama teadusuuringule omastele kvaliteedinõuetele.

(3) Uuringu eesmärgil võib isikuandmeid, sealhulgas eriliiki isikuandmeid, töödelda, kasutades kaitset pakkuvat meedet, milles on tagatud kõik järgmised tingimused:
1) isikuandmed pseudonüümitakse või kasutatakse muud samaväärset kaitset pakkuvat meedet enne isikuandmete edastamist uuringu tellijale;
2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada;
3) uuringu tulemus ega selle töötlemine ei tohi võimaldada tuvastada isikut, kelle isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldi;
4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

(4) Kui käesoleva paragrahvi lõike 3 tingimused ei ole täidetud, on isikuandmete, sealhulgas eriliiki isikuandmete töötlemine uuringuks lubatud üksnes juhul, kui on täidetud kõik järgmised tingimused:
1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada;
2) uuringu tegemiseks on ülekaalukas avalik huvi;
3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.

(5) Kui isikuandmeid töödeldakse käesoleva paragrahvi lõikes 4 sätestatud tingimustel, teavitab uuringu tellija enne isikuandmete töötlemist Andmekaitse Inspektsiooni. Teavitus peab sisaldama teavet uuringu tellija, uuringu eesmärkide, töödeldavate andmete, andmete allikate, andmesubjekti õiguste võimalike piirangute ja käesoleva paragrahvi lõikes 4 sätestatud tingimuste täitmise kohta. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel.

(6) Kui uuringus, välja arvatud avaliku sektori uuringus, töödeldakse eriliiki isikuandmeid käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimustel, kontrollib seadusega või selle alusel moodustatud asjaomase valdkonna eetikakomitee enne uuringu alustamist nende tingimuste täitmist ja uuringu eetilisust. Uuringu tellija teavitab käesoleva paragrahvi lõike 5 kohaselt Andmekaitse Inspektsiooni. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel. Rahvusarhiivis säilitatavate isikuandmete suhtes on eetikakomitee õigused Rahvusarhiivil.

(7) Kui avaliku sektori uuringus töödeldakse eriliiki isikuandmeid käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimustel ja seadusest ei tulene kohustust saada uuringule eetikakomitee hinnangut, kontrollib Andmekaitse Inspektsioon enne uuringu alustamist nende tingimuste täitmist ning vajaduse korral konsulteerib uuringu eetilisuse küsimuses teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse §-s 26 nimetatud eetikakomiteega. Kui seadusest tuleneb kohustus saada uuringule eetikakomitee hinnang, hindab eetikakomitee lisaks uuringu eetilisusele ka käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimuste täitmist. Eetikakomitee hinnang esitatakse Andmekaitse Inspektsioonile koos käesoleva paragrahvi lõikes 5 nimetatud teabega. Andmekaitse Inspektsioon avaldab käesoleva paragrahvi lõikes 5 nimetatud teabe oma veebilehel.

(8) Kui Andmekaitse Inspektsioon konsulteerib käesoleva paragrahvi lõike 7 kohaselt eetikakomiteega, tasub eetikakomiteele konsultatsiooni eest avaliku sektori uuringu tellija.

(9) Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda käesolevas paragrahvis sätestatud eesmärkidel üksnes käesoleva seaduse § 61 tingimustele vastavas andmetöötlussüsteemis.

(10) Kui uuringu tellija töötleb käesolevas paragrahvis sätestatud eesmärkidel isikuandmeid ühe andmekogu piires, mille vastutav töötleja ta on, peab ta järgima lõigete 2–4 tingimusi ega pea järgima lõikes 5–8 sätestatud nõudeid, kui seadusega ei ole sätestatud teisiti.

(11) Käesolevat paragrahvi ei kohaldata juhul, kui uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenevad seadusest.

(12) Kui isikuandmeid töödeldakse käesolevas paragrahvis sätestatud eesmärkidel, võib andmestiku vastutav töötleja ja uuringu tellija Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklites 16 ja 18 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks uuringu eesmärgi saavutamise või takistab seda oluliselt.

(13) Käesoleva paragrahvi lõiget 12 kohaldatakse tingimusel, et andmestiku vastutav töötleja ja uuringu tellija:
1) dokumenteerib kõik käesoleva paragrahvi lõike 12 alusel seatud piirangu põhjendused;
2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;
3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;
4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.“;

2) seadust täiendatakse §-ga 61 järgmises sõnastuses:

„§ 61. Uuringu eesmärgil isikuandmete töötlemine andmetöötlussüsteemis

(1) Käesoleva seaduse § 6 lõike 3 punktis 1 ning lõigetes 5, 6 ja 7 sätestatud tingimusi ei pea täitma, kui isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldakse andmetöötlussüsteemis, mille puhul on täidetud käesoleva seaduse § 6 lõike 3 punktides 2–4 ja käesolevas paragrahvis sätestatud tingimused.

(2) Andmetöötlussüsteemi pakkuja tagab:
1) asjakohaste tehniliste ja korralduslike meetmete kasutamise, mille abil minimeeritakse andmetöötlussüsteemis töödeldavate andmete loata lugemise, kopeerimise, muutmise ja kustutamise risk;
2) andmete kättesaadavaks tegemise üksnes andmetöötlussüsteemis töötlemiseks;
3) andmetöötlussüsteemi sellise teenuse osutamise, mis hõlmab andmete eeltöötlemist, et uuringu tegijal oleks juurdepääs üksnes käesoleva seaduse § 6 lõike 3 punktis 1 nimetatud kujul andmetele;
4) andmete sisestamise ja andmetöötlussüsteemis hoitavate andmete töötlemise ainult piiratud arvu tuvastatavate volitatud isikute poolt;
5) uuringu tellija juurdepääsu ainult neile andmetele, mida on lubatud töödelda käesoleva seaduse § 6 lõikes 1 nimetatud eesmärkidel;
6) töötlemistoimingute logide salvestamise;
7) andmete allalaadimise taotluste kontrollimise, et kasutajatel ei oleks võimalik andmetöötlussüsteemist alla laadida andmeid, mis võimaldavad isikut tuvastada;
8) andmete töötlemise ainult Euroopa Majanduspiirkonna territooriumil.

(3) Uuringu käigus töödeldavad andmed kustutatakse andmetöötlussüsteemist pärast uuringu valmimist ja uurimistulemuste valideerimist. Logisid säilitatakse üks aasta uuringu käigus töödeldud andmete kustutamisest arvates.

(4) Valdkonna eest vastutav minister võib määrusega kehtestada täiendavad tehnilised ja korralduslikud turvanõuded andmetöötlussüsteemile.
(5) Enne andmetöötlussüsteemi esmast kasutuselevõttu kontrollib Andmekaitse Inspektsioon käesoleva paragrahvi lõigetes 2–4 sätestatud tingimuste täitmist. Andmekaitse Inspektsioonil on õigus kaasata kontrollimisse Riigi Infosüsteemi Amet. Andmekaitse Inspektsioon avaldab loetelu kontrollitud andmetöötlussüsteemi pakkujatest oma veebilehel.

(6) Käesoleva paragrahvi lõikes 1 sätestatud andmetöötlussüsteemi pakkuja kontrollib vähemalt kord aastas andmetöötlussüsteemi nõuetele vastavust ja edastab kontrolli aruande Andmekaitse Inspektsioonile.

(7) Kui käesolevas paragrahvis sätestatud tingimused on täidetud, ei kohaldata käesoleva seaduse § 6 lõikeid 5, 6 ja 7, kui seadusega ei ole sätestatud teisiti.“.

§ 2. Kohaliku omavalitsuse korralduse seaduse muutmine

1) paragrahvi 311 pealkiri muudetakse ja sõnastatakse järgmiselt:
„§ 311. Isikuandmete töötlemine küsitluste ja kaasamise vajadusteks“;

2) paragrahvi 311 lõige 3 tunnistatakse kehtetuks;

3) paragrahvi 312 kolmas lause tunnistatakse kehtetuks;

4) paragrahvi 32 lõike 11 esimesest lausest jäetakse välja tekstiosa „ja kes ei kanna kohtu poolt kuriteos süüdi mõistetuna karistust kinnipidamiskohas“.

§ 3. Riikliku statistika seaduse muutmine

1) paragrahvi 6 lõiget 4 täiendatakse teise lausega järgmises sõnastuses:
„Statistilise registri andmete vastutav töötleja on riikliku statistika tegija.”;

2) paragrahvi 31 lõige 1 muudetakse ja sõnastatakse järgmiselt:
„(1) Riikliku statistika tegijal on õigus riikliku statistika raames töödelda isikuandmeid Euroopa Parlamendi ja nõukogu määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) ettenähtud alustel ja korras. Isikuandmeid võib riikliku statistika vajadusteks töödelda eelkõige pseudonüümitud või samaväärset andmekaitse taset võimaldaval kujul.“;

3) paragrahvi 31 lõiked 2–4 tunnistatakse kehtetuks;

4) paragrahvi 31 täiendatakse lõigetega 5–9 järgmises sõnastuses:
„(5) Depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse uuesti isikut tuvastavaks, on lubatud ainult riikliku statistika vajadusteks.

(6) Riikliku statistika vajadusteks andmete töötlemine andmesubjekti tuvastamist võimaldaval kujul on lubatud üksnes juhul, kui on täidetud järgmised tingimused:
1) pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada;
2) riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi;
3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.

(7) Riikliku statistika tegija võib Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks riikliku statistika eesmärgi saavutamise või takistab seda oluliselt.

(8) Käesoleva paragrahvi lõiget 7 kohaldatakse tingimusel, et riikliku statistika tegija:
1) dokumenteerib kõik käesoleva paragrahvi lõike 7 alusel seatud piirangu põhjendused;
2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;
3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;
4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.

(9) Riikliku statistika tegija töötleb kõiki isikuandmeid, mida kogutakse käesoleva paragrahvi lõikes 1 nimetatud õiguslikul alusel, sealhulgas eriliiki isikuandmeid. Riikliku statistika tegemiseks kogutud isikuandmeid säilitatakse, kuni see on vajalik riikliku statistika tegemiseks, statistika kvaliteedinõuete täitmiseks, metoodilise järjepidevuse tagamiseks või statistikatööd reguleerivast õigusaktist tulenevate kohustuste täitmiseks. Riikliku statistika tegemiseks kogutud andmete täpne säilitustähtaeg määratakse asjakohases õigusaktis. Säilitustähtaja lõppemisel isikuandmed kustutatakse.“;

5) paragrahvi 34 lõige 6 tunnistatakse kehtetuks.

§ 4. Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmine

Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse § 19 lõikes 6 ja § 26 lõikes 1 asendatakse arv„4“ arvuga „6“.

Lauri Hussar
Riigikogu esimees

Tallinn, 2026
Algatab Vabariigi Valitsus 14. septembril 2026. a nr 2-6/26-01646

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)
Heili Tõnisson
Valitsuse nõunik

Eelnõu.pdf

EELNÕU

Isikuandmete kaitse seaduse muutmise ja sellega seonduvalt teiste

seaduste muutmise seadus

§ 1. Isikuandmete kaitse seaduse muutmine

Isikuandmete kaitse seaduses tehakse järgmised muudatused:

1) paragrahv 6 muudetakse ja sõnastatakse järgmiselt:

„§ 6. Isikuandmete töötlemine teadus- ja ajaloouuringu, statistika ning avaliku sektori

uuringu eesmärgil

(1) Isikuandmeid, sealhulgas eriliiki isikuandmeid, võib andmesubjekti nõusolekuta teadus- ja

ajaloouuringu, statistika ning avaliku sektori uuringu (edaspidi uuring) eesmärgil töödelda

käesoleva seaduse §-des 6 ja 61 sätestatud tingimustel. Teadusuuring käesoleva seaduse

tähenduses on uuring, mis vastab Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679

kohastele teadusuuringu tunnustele.

(2) Avaliku sektori uuring käesoleva seaduse tähenduses on põhiseadusliku institutsiooni,

Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku

omavalitsuse asutuse, nende hallatava asutuse, avalik-õigusliku juriidilise isiku ja tema

hallatava asutuse ning halduskoostöö seaduse alusel avalikke ülesandeid täitva eraõigusliku

juriidilise isiku tehtud analüüs ja uuring, mis on eesmärgipärases seoses asutusele õigusaktiga

pandud ülesandega. Kui uuring eeldab isikuandmete püsivat samal eesmärgil töötlemist, peavad

uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenema seadusest. Avaliku sektori

uuringu metoodika peab vastama teadusuuringule omastele kvaliteedinõuetele.

(3) Uuringu eesmärgil võib isikuandmeid, sealhulgas eriliiki isikuandmeid, töödelda, kasutades

kaitset pakkuvat meedet, milles on tagatud kõik järgmised tingimused:

1) isikuandmed pseudonüümitakse või kasutatakse muud samaväärset kaitset pakkuvat meedet

enne isikuandmete edastamist uuringu tellijale;

2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada;

3) uuringu tulemus ega selle töötlemine ei tohi võimaldada tuvastada isikut, kelle isikuandmeid,

sealhulgas eriliiki isikuandmeid, töödeldi;

4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

(4) Kui käesoleva paragrahvi lõike 3 tingimused ei ole täidetud, on isikuandmete, sealhulgas

eriliiki isikuandmete töötlemine uuringuks lubatud üksnes juhul, kui on täidetud kõik järgmised

tingimused:

1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid

enam saavutatavad või neid oleks ebamõistlikult raske saavutada;

2) uuringu tegemiseks on ülekaalukas avalik huvi;

3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi.

(5) Kui isikuandmeid töödeldakse käesoleva paragrahvi lõikes 4 sätestatud tingimustel, teavitab

uuringu tellija enne isikuandmete töötlemist Andmekaitse Inspektsiooni. Teavitus peab

sisaldama teavet uuringu tellija, uuringu eesmärkide, töödeldavate andmete, andmete allikate,

andmesubjekti õiguste võimalike piirangute ja käesoleva paragrahvi lõikes 4 sätestatud

tingimuste täitmise kohta. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel.

(6) Kui uuringus, välja arvatud avaliku sektori uuringus, töödeldakse eriliiki isikuandmeid

käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimustel, kontrollib seadusega või selle alusel

moodustatud asjaomase valdkonna eetikakomitee enne uuringu alustamist nende tingimuste

täitmist ja uuringu eetilisust. Uuringu tellija teavitab käesoleva paragrahvi lõike 5 kohaselt

Andmekaitse Inspektsiooni. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel.

Rahvusarhiivis säilitatavate isikuandmete suhtes on eetikakomitee õigused Rahvusarhiivil.

(7) Kui avaliku sektori uuringus töödeldakse eriliiki isikuandmeid käesoleva paragrahvi lõikes

3 või 4 sätestatud tingimustel ja seadusest ei tulene kohustust saada uuringule eetikakomitee

hinnangut, kontrollib Andmekaitse Inspektsioon enne uuringu alustamist nende tingimuste

täitmist ning vajaduse korral konsulteerib uuringu eetilisuse küsimuses teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse §-s 26 nimetatud eetikakomiteega.

Kui seadusest tuleneb kohustus saada uuringule eetikakomitee hinnang, hindab eetikakomitee

lisaks uuringu eetilisusele ka käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimuste täitmist.

Eetikakomitee hinnang esitatakse Andmekaitse Inspektsioonile koos käesoleva paragrahvi

lõikes 5 nimetatud teabega. Andmekaitse Inspektsioon avaldab käesoleva paragrahvi lõikes 5

nimetatud teabe oma veebilehel.

(8) Kui Andmekaitse Inspektsioon konsulteerib käesoleva paragrahvi lõike 7 kohaselt

eetikakomiteega, tasub eetikakomiteele konsultatsiooni eest avaliku sektori uuringu tellija.

(9) Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda käesolevas paragrahvis

sätestatud eesmärkidel üksnes käesoleva seaduse § 61 tingimustele vastavas

andmetöötlussüsteemis.

(10) Kui uuringu tellija töötleb käesolevas paragrahvis sätestatud eesmärkidel isikuandmeid

ühe andmekogu piires, mille vastutav töötleja ta on, peab ta järgima lõigete 2–4 tingimusi ega

pea järgima lõikes 5–8 sätestatud nõudeid, kui seadusega ei ole sätestatud teisiti.

(11) Käesolevat paragrahvi ei kohaldata juhul, kui uuringu eesmärgid ja isikuandmete

töötlemise ulatus tulenevad seadusest.

(12) Kui isikuandmeid töödeldakse käesolevas paragrahvis sätestatud eesmärkidel, võib

andmestiku vastutav töötleja ja uuringu tellija Euroopa Parlamendi ja nõukogu määruse (EL)

2016/679 artiklites 16 ja 18 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende

õiguste teostamine tõenäoliselt muudab võimatuks uuringu eesmärgi saavutamise või takistab

seda oluliselt.

(13) Käesoleva paragrahvi lõiget 12 kohaldatakse tingimusel, et andmestiku vastutav töötleja

ja uuringu tellija:

1) dokumenteerib kõik käesoleva paragrahvi lõike 12 alusel seatud piirangu põhjendused;

2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;

3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud

sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui

see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;

4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul

eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.“;

2) seadust täiendatakse §-ga 61 järgmises sõnastuses:

„§ 61. Uuringu eesmärgil isikuandmete töötlemine andmetöötlussüsteemis

(1) Käesoleva seaduse § 6 lõike 3 punktis 1 ning lõigetes 5, 6 ja 7 sätestatud tingimusi ei pea

täitma, kui isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldakse andmetöötlussüsteemis,

mille puhul on täidetud käesoleva seaduse § 6 lõike 3 punktides 2–4 ja käesolevas paragrahvis

sätestatud tingimused.

(2) Andmetöötlussüsteemi pakkuja tagab:

1) asjakohaste tehniliste ja korralduslike meetmete kasutamise, mille abil minimeeritakse

andmetöötlussüsteemis töödeldavate andmete loata lugemise, kopeerimise, muutmise ja

kustutamise risk;

2) andmete kättesaadavaks tegemise üksnes andmetöötlussüsteemis töötlemiseks;

3) andmetöötlussüsteemi sellise teenuse osutamise, mis hõlmab andmete eeltöötlemist, et

uuringu tegijal oleks juurdepääs üksnes käesoleva seaduse § 6 lõike 3 punktis 1 nimetatud kujul

andmetele;

4) andmete sisestamise ja andmetöötlussüsteemis hoitavate andmete töötlemise ainult piiratud

arvu tuvastatavate volitatud isikute poolt;

5) uuringu tellija juurdepääsu ainult neile andmetele, mida on lubatud töödelda käesoleva

seaduse § 6 lõikes 1 nimetatud eesmärkidel;

6) töötlemistoimingute logide salvestamise;

7) andmete allalaadimise taotluste kontrollimise, et kasutajatel ei oleks võimalik

andmetöötlussüsteemist alla laadida andmeid, mis võimaldavad isikut tuvastada;

8) andmete töötlemise ainult Euroopa Majanduspiirkonna territooriumil.

(3) Uuringu käigus töödeldavad andmed kustutatakse andmetöötlussüsteemist pärast uuringu

valmimist ja uurimistulemuste valideerimist. Logisid säilitatakse üks aasta uuringu käigus

töödeldud andmete kustutamisest arvates.

(4) Valdkonna eest vastutav minister võib määrusega kehtestada täiendavad tehnilised ja

korralduslikud turvanõuded andmetöötlussüsteemile.

(5) Enne andmetöötlussüsteemi esmast kasutuselevõttu kontrollib Andmekaitse Inspektsioon

käesoleva paragrahvi lõigetes 2–4 sätestatud tingimuste täitmist. Andmekaitse Inspektsioonil

on õigus kaasata kontrollimisse Riigi Infosüsteemi Amet. Andmekaitse Inspektsioon avaldab

loetelu kontrollitud andmetöötlussüsteemi pakkujatest oma veebilehel.

(6) Käesoleva paragrahvi lõikes 1 sätestatud andmetöötlussüsteemi pakkuja kontrollib vähemalt

kord aastas andmetöötlussüsteemi nõuetele vastavust ja edastab kontrolli aruande Andmekaitse

Inspektsioonile.

(7) Kui käesolevas paragrahvis sätestatud tingimused on täidetud, ei kohaldata käesoleva

seaduse § 6 lõikeid 5, 6 ja 7, kui seadusega ei ole sätestatud teisiti.“.

§ 2. Kohaliku omavalitsuse korralduse seaduse muutmine

1) paragrahvi 311 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 311. Isikuandmete töötlemine küsitluste ja kaasamise vajadusteks“;

2) paragrahvi 311 lõige 3 tunnistatakse kehtetuks;

3) paragrahvi 312 kolmas lause tunnistatakse kehtetuks;

4) paragrahvi 32 lõike 11 esimesest lausest jäetakse välja tekstiosa „ja kes ei kanna kohtu poolt

kuriteos süüdi mõistetuna karistust kinnipidamiskohas“.

§ 3. Riikliku statistika seaduse muutmine

1) paragrahvi 6 lõiget 4 täiendatakse teise lausega järgmises sõnastuses:

„Statistilise registri andmete vastutav töötleja on riikliku statistika tegija.”;

2) paragrahvi 31 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Riikliku statistika tegijal on õigus riikliku statistika raames töödelda isikuandmeid Euroopa

Parlamendi ja nõukogu määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete

töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise

kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) ettenähtud alustel ja

korras. Isikuandmeid võib riikliku statistika vajadusteks töödelda eelkõige pseudonüümitud või

samaväärset andmekaitse taset võimaldaval kujul.“;

3) paragrahvi 31 lõiked 2–4 tunnistatakse kehtetuks;

4) paragrahvi 31 täiendatakse lõigetega 5–9 järgmises sõnastuses:

„(5) Depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse

uuesti isikut tuvastavaks, on lubatud ainult riikliku statistika vajadusteks.

(6) Riikliku statistika vajadusteks andmete töötlemine andmesubjekti tuvastamist võimaldaval

kujul on lubatud üksnes juhul, kui on täidetud järgmised tingimused:

1) pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid enam

saavutatavad või neid oleks ebamõistlikult raske saavutada;

2) riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi;

3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi.

(7) Riikliku statistika tegija võib Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679

artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste

teostamine tõenäoliselt muudab võimatuks riikliku statistika eesmärgi saavutamise või takistab

seda oluliselt.

(8) Käesoleva paragrahvi lõiget 7 kohaldatakse tingimusel, et riikliku statistika tegija:

1) dokumenteerib kõik käesoleva paragrahvi lõike 7 alusel seatud piirangu põhjendused;

2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;

3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud

sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui

see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;

4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul

eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.

(9) Riikliku statistika tegija töötleb kõiki isikuandmeid, mida kogutakse käesoleva paragrahvi

lõikes 1 nimetatud õiguslikul alusel, sealhulgas eriliiki isikuandmeid. Riikliku statistika

tegemiseks kogutud isikuandmeid säilitatakse, kuni see on vajalik riikliku statistika tegemiseks,

statistika kvaliteedinõuete täitmiseks, metoodilise järjepidevuse tagamiseks või statistikatööd

reguleerivast õigusaktist tulenevate kohustuste täitmiseks. Riikliku statistika tegemiseks

kogutud andmete täpne säilitustähtaeg määratakse asjakohases õigusaktis. Säilitustähtaja

lõppemisel isikuandmed kustutatakse.“;

5) paragrahvi 34 lõige 6 tunnistatakse kehtetuks.

§ 4. Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmine

Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse § 19 lõikes 6 ja § 26 lõikes

1 asendatakse arv„4“ arvuga „6“.

Lauri Hussar

Riigikogu esimees

Tallinn, 2026

Algatab Vabariigi Valitsus 14. septembril 2026. a nr 2-6/26-01646

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)

Heili Tõnisson

Valitsuse nõunik

Seletuskiri.docx

Isikuandmete kaitse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu seletuskiri

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõuga muudetakse isikuandmete kaitse seaduse § 6, mis käsitleb olukordi, kus isikuandmeid kasutatakse teadusuuringutes, ajaloouuringutes või riikliku statistika koostamisel. Alates 2018. aastast kehtib Euroopa Liidus isikuandmete kaitse üldmäärus (IKÜM)1, mis näeb ette, kuidas isikuandmeid tohib töödelda. Kuigi see määrus kehtib otse kõigis Euroopa Liidu riikides, on liikmesriikidel lubatud mõnes valdkonnas täpsustada, kuidas andmeid töödelda. Eestis on seda tehtud isikuandmete kaitse seadusega (IKS). IKS § 6 on just see osa seadusest, mis näeb ette, millal ja kuidas tohib isikuandmeid inimese nõusolekuta kasutada teadus- ja ajaloouuringu ning statistika vajadusteks.

Kehtiva õiguse kohaselt on isikuandmete kasutamine uuringute ja statistika tegemiseks võimalik üksnes kindlatel tingimustel, kuid praktikas on nende tingimuste tõlgendamisel ja rakendamisel tekkinud ebaselgust. Seetõttu on vaja täpsustada, kes ja millistel tingimustel võib isikuandmeid uuringute tegemiseks kasutada. Näiteks praegu tohib avalik sektor uuringuid teha ainult siis, kui need on seotud poliitika kujundamisega. See ei võimalda aga asutustel teha analüüse näiteks teenuste arendamiseks. Uuringuid ja analüüse peaks saama teha ka muudel eesmärkidel kui poliitika kujundamine.

Eelnõu eesmärk on suurendada õigusselgust, ühtlustada uuringute tegemise tingimusi eri osapoolte jaoks ning võimaldada andmetel põhinevate uuringute, analüüside ja arendustegevuse tegemist viisil, mis kaitseb andmesubjektide õigusi. Muudatusega nähakse ette selgemad reeglid ja kaitsemeetmed – eelnõuga täpsustatakse, millised tingimused peavad olema täidetud, et andmeid saaks kasutada uuringutes, tagades samas isikute põhiõiguste parema kaitse. Muudatusega luuakse võimalus kiiremaks andmetöötluseks, kasutades eelnõus sätestatud tingimustele vastavat andmetöötlussüsteemi. Muudatused puudutavad eelkõige neid, kes teevad uuringuid ja analüüse (nt riigiasutused, teadusasutused, ettevõtjad), aga ka andmekogude vastutavaid töötlejaid ning neid isikuid ja asutusi, kes plaanivad andmetöötlussüsteemi pakkuma hakata. Muudatusega viiakse riikliku statistika tegemist puudutavad sätted riikliku statistika seadusesse. Riikliku statistika tegemine on riikliku statistika tegijale seadusega pandud ülesanne ning ülesande täitmist puudutavad sätted peavad olema asutuse tegevust puudutavas eriseaduses.

Kavandatavate muudatuste tulemusel väheneb ettevõtjatel ja ülikoolidel halduskoormus rakendus- ja teadusuuringute tegemisel. Halduskoormus väheneb eelkõige juhtudel, kus uuringuid saab teha nõuetele vastavas andmetöötlussüsteemis ning seetõttu ei ole vaja läbida kõiki seniseid kooskõlastusi ja hindamisi. Senisest selgemaks ja teatud juhtudel lihtsamaks muutub isikuandmete töötlemine andmesubjekti nõusolekuta – eelkõige olukordades, kus töödelda soovitakse eriliiki isikuandmeid, mille töötlemiseks on kehtiva korra kohaselt alati vaja eetikakomitee hinnangut. Edaspidi võib andmetöötlussüsteemis isikuandmeid töödelda eetikakomitee hinnanguta, eeldusel, et on täidetud IKS §-des 6 ja 61 sätestatud tingimused, st isikuandmeid töödeldakse teadus- või ajaloouuringu või statistika eesmärgil, andmesubjekti õigusi piiratakse ainult siis, kui nende rakendamine muudaks andmetöötluse eesmärgi saavutamise võimatuks või takistaks seda oluliselt, ning andmeid töödeldakse võimaluse korral pseudonüümitud kujul või viisil, mis ei võimalda isikut otseselt tuvastada. Eeldatavasti väheneb ka eetikakomiteede halduskoormus. Muudatuste tulemusel muutuvad uuringute tegemise tingimused kõigile osapooltele selgemaks ja ühtsemaks. See lihtsustab ja kiirendab uuringute tegemist ning toetab andmepõhist poliitikakujundamist, avalike teenuste arendamist, mis võimaldavad uuringuid ja analüüse teha ka muudel eesmärkidel kui poliitika kujundamine. Samal ajal tugevdatakse järelevalvet ja andmesubjektide õiguste kaitset, täpsustades AKI teavitamise korda ning AKI ja eetikakomitee rolli.

Kokkuvõttes on muudatuse eeldatav mõju positiivne: uuringute tegemine muutub kiiremaks ja selgemaks, halduskoormus väheneb eelkõige ettevõtjatel, ülikoolidel ja eetikakomiteedel ning andmesubjektide õiguste kaitseks nähakse ette täpsemad reeglid ja kontrollimehhanismid.

1.2. Eelnõu ettevalmistaja

Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna andmekaitseõiguse talituse nõunik Kristel Niidas ([email protected], 5305 5220).

Eelnõu normitehnilise kontrolli on teinud Justiits- ja Digiministeeriumi õiguspoliitika osakonna õigusloome korralduse talituse nõunik Katariina Kärsten ([email protected]) ja eelnõu on keeleliselt toimetanud sama talituse toimetaja Mari Koik ([email protected]).

1.3. Märkused

Eelnõu kohaselt muudetakse järgmisi seadusi:
• isikuandmete kaitse seadus (IKS) avaldamismärkega RT I, 12.07.2025, 14;
• teadus- ja arendustegevuse ning innovatsiooni korralduse seadus (TAIKS) avaldamismärkega RT I, 12.07.2025, 1;
• kohaliku omavalitsuse korralduse seadus (KOKS) avaldamismärkega RT I, 10.02.2026, 12;
• riikliku statistika seadus (RStS) avaldamismärkega RT I, 11.03.2022, 2.

Eelnõu ei ole otseselt seotud teiste menetluses olevate eelnõudega ega Euroopa Liidu õiguse rakendamisega. Eelnõu on seotud Vabariigi Valitsuse tegevusprogrammis2 seatud eesmärgiga, tegevusprogrammi punktiga 402 (isikuandmete kaitse seaduse muutmine, et täpsustada teadus- ja poliitika kujundamise uuringute ning tehnoloogia arenduse eesmärgil isikuandmete töötlemise tingimus). Eelnõu vastuvõtmiseks on vajalik Riigikogu poolthäälteenamus.

2. Seaduse eesmärk

Eelnõu eesmärk on tagada õigusselgus, kes ja millistel tingimustel võivad töödelda isikuandmeid teadus- ja ajaloouuringu, statistika ning avaliku sektroti uuringu eesmärgil. On oluline, et kõigile osapooltele, kellel on vaja isikuandmeid nimetatud eesmärgil töödelda, kohalduksid võrdsed õigused ja kohustused, olgu selleks ülikool, üliõpilane, riigiasutus, kohalik omavalitsus (KOV) või ettevõtja, kes soovib teha teadusuuringut või innovatsiooni. Samuti on eelnõu eesmärk täpsustada kaitsemeetmeid, mida tuleb andmetöötlusel rakendada, et oleks tagatud andmesubjektide õiguste kaitse. Eelnõu eesmärk on ka luua lahendus, mis võimaldab kiiremaid protsesse nii klassikalises teaduses kui ka avalikus sektoris ja innovatsioonis, juhul kui andmetöötluseks kasutatakse eelnõus ette nähtud tingimustele ja nõuetele vastavat andmetöötlussüsteemi. Eelnõuga nähakse ette enne andmetöötlussüsteemi kasutuselevõttu tehtav Andmekaitse Inspektsiooni (AKI) kontroll, selgitamaks välja, kas süsteem vastab seaduses sätestatud tingimustele. Samuti nähakse teatud juhtudel ette kohustus AKI-t uuringust teavitada, et oleks ülevaade, kes milliste andmetega ja millisel eesmärgil uuringuid teeb. Samuti nähakse eelnõuga ette, et teatud juhtudel, kui uuringu eesmärki ei ole võimalik muul viisil saavutada kui nii, et töödeldakse isikustatud andmeid, peab uuringu tellija enne uuringu alustamist läbima seadusega või selle alusel moodustatud valdkondliku eetikakomitee või AKI. Varem on olnud ebaselgust, kelle poole peaks uuringu tegija pöörduma, kas eetikakomitee või AKI või mõlema. Muudatusega luuakse selgus, millal tuleb pöörduda eetikakomiteesse, millal kontrollib tingimuste täitmist AKI ja millal piisab AKI teavitamisest. Võrreldes varasemaga on täpsustatud, et eetikakomitee peab olema moodustatud seadusega või selle alusel, kuna kehtiva seaduse kohaselt võiks eetikakomitee luua põhimõtteliselt igaüks.

Eelnõuga muudetakse IKS § 6, mis näeb ette tingimused isikuandmete töötlemiseks, kui seda on vaja teha teadus- või ajaloouuringu, statistika või avaliku sektori uuringu vajadusteks. 25. maist 2018 sätestab isikuandmete kaitse õiguse otsekohalduv Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (IKÜM), mis tingis vajaduse sel hetkel kehtinud riigisisene õigus üle vaadata. Kuigi IKÜM-i puhul on tegemist Euroopa Liidu otsekohalduva õigusaktiga, on teatud küsimustes jäetud liikmesriikidele kaalutlusõigus riigisisese õigusaktiga täpsustada IKÜM-is sätestatud isikuandmete töötlemisega seotud küsimusi. IKS-iga loodi üldised raamid isikuandmete töötlemisele küsimustes, mis IKÜM-iga on jäetud liikmesriigi otsustada. Tegemist on erandiga, mis tuleneb IKÜM-i artiklist 89. IKS § 6 põhineb ka IKÜM-i artikli 6 lõike 1 punktil e, mille kohaselt on liikmesriigil võimalik õigusaktiga täpsustada avalikes huvides oleva ülesande täitmise aluseid. Teadus- ja ajaloouuringud ning statistika on avalikes huvides olevad ülesanded. IKS §-ga 6-ga luuakse õiguslik alus valiku sektori uuringu tegemiseks, nähes andmetöötluseks ette samad tingimused ja kaitsemeetmed, mis teadusuuringu puhul. Silmas tuleb pidada, et mitte kõik avaliku sektori uuringud ei kvalifitseeru teadusuuringuks IKÜM-i tähenduses, seega on ka siin vaja ette näha andmetöötlustingimused ja kaitsemeetmed. Uuringu tegemiseks võib olla ka mõni muu IKÜM artikli 6 lg 1 või 9 sätestatud õiguslik alus, aga ka sellisel juhul peavad olema täidetud IKS-is sätestatud tingimused.

IKS-i uue tervikteksti jõustumisest on möödas üle seitsme aasta ning selle aja jooksul on selgunud mitu probleemi IKS § 6 tõlgendamisel ja rakendamisel. Eelnõuga täiendatakse IKS § 6 täiendavate kaitsemeetmetega. Sätestatakse täpsemad tingimused, millele andmetöötlus peab vastama, et oleksid täidetud IKÜM-i nõuded ja andmesubjekti õigused oleksid kaitstud. Selleks, et andmeid oleks võimalik teadustöös kasutada, nähakse ette, millised kaitsemeetmed on piisavad, et võimaldada andmesubjekti nõusolekuta isikuandmete töötlemist teadusuuringutes. Kehtiv IKS kitsendab ülemäära asutuste ringi, kellel on lubatud analüüse ja uuringuid teha. Kehtiva seaduse kohaselt loetakse teadusuuringuks täidesaatva riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise eesmärgil. On leitud, et ei ole otstarbekas asutuste uuringute tegemise õigust siduda üksnes poliitika kujundamisega, asutustel on vaja analüüse ja uuringuid teha ka muul otstarbel, nt teenuste arendamiseks jne. Eelnõuga luuakse selged raamid, millised asutused võivad IKS § 6 alusel analüüse ja uuringuid teha.

Riigikantselei tellitud NJORD Advokaadibüroo analüüsis3 on käsitletud probleemi, et asutustel ei ole võimalik teha kiireid andmepõhiseid otsuseid. Muudatus ühtlustab kõikide uuringute tegemise tingimused. Uue lahendusena uuringu kiiremaks tegemiseks luuakse muudatusega võimalus andmeid töödelda eelnõus ettenähtud tingimustele vastavas andmetöötlussüsteemis. Luuakse võimalus uuringuid kiiremini teha, samas nähakse ette lisatingimused ja kaitsemeetmed.

Euroopa Liidu terviseandmeruumi määruse4 kontekstis tuleb silmas pidada, et tegemist on alternatiivse mehhanismiga terviseandmete töötlemiseks. Terviseandmeruumi määruse artikli 1 punktide 7 ja 8 kohaselt ei piira see määrus liikmesriigi õiguse erisätete kohaldamist. Määruse põhjenduspunktis 52 selgitatakse lisaks, et määruse eesmärk on luua kogu liidus ühine mehhanism juurdepääsuks elektroonilistele terviseandmetele teiseseks kasutuseks, ilma et see takistaks või asendaks olemasolevaid lepingulisi kokkuleppeid või muid mehhanisme. Samas tuleb silmas pidada, et määrus reguleerib tervishoiu ja sotsiaalvaldkonna spetsiifilisi andmeid, mistõttu on eelnõus ka tingimus, et selliseid andmeid võib töödelda üksnes § 61 tingimustele vastavas andmetöötlussüsteemis.

Muudatused mõjutavad eelkõige uuringu tellijaid. Muudatused on vajalikud, et kaasajastada ja ühtlustada uuringu tegemise andmetöötluse tingimusi ning sätestada täiendavad kaitsemeetmed, et andmesubjektide põhiõigused oleksid paremini kaitstud.

Muudatusega jäetakse seadusest välja seni riikliku statistika kohta käinud sätted. Edaspidi kohalduks § 6 üldiselt igasugusele statistikatööle. Riikliku statistika tegijale pandud ülesannete täitmiseks vajalike isikuandmete töötlemine tuleb muudatuse kohaselt ette näha valdkonda reguleerivas seaduses. Seetõttu on vaja täiendada RStS-i nende sätetega, mis IKS § 6 muutmise tulemusel kehtivast seadusest välja jääksid – sisuliselt tõstetakse kehtiva IKS-i vastavad normid RStS-i. Lisaks kaasajastatakse nimetatud seadust tulenevalt Justiits- ja Digiministeeriumi juhisest isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta eelnõudes5 (edaspidi JDM-i juhis).

Muudatuste kohta on koostatud seaduseelnõu väljatöötamise kavatsus (VTK)6. VTK kohta märkuste esitajad on kirjas seletuskirja 10. osas. VTK-s pakuti välja kaks lahendust: esiteks, et erinevatele uuringu tellijatele kehtivad erinevad tingimused; teiseks, et kõigi uuringu tellijate suhtes võiks kehtida samasugune regulatsioon. Selleks, et regulatsioon oleks selge, üheselt arusaadav ja võrdne kõigile osapooltele, on eelnõus valitud lahendus, et kõik uuringu tellijate suhtes kehtivad tingimused on ühtlustatud. VTK kajastas tol hetkel veel jõustumata regulatsiooni (mis praegu on jõustunud), mille kohaselt: kui uuringus töödeldakse isikuandmeid kujul, mis ei vasta seaduses sätestatud tingimustele, ning seda tehakse kaitsemeetmeid rakendamata, hindab n-ö tavalisi uuringuid eetikakomitee ja poliitika kujundamise uuringuid AKI. Erinevalt VTK lisas välja pakutud eelnõust allutatakse siinse eelnõu kohaselt kõik uuringud, mis tehakse eriliiki isikuandmetega, eetikakomitee hindamisele. Uuringutest, mis tehakse isiku tuvastamist võimaldavate andmetega, mis ei ole eriliiki isikuandmed, on kohustus teavitada AKI-t. Siinses eelnõus ette nähtud tööjaotust toetab ka IKÜM-i loogika, mille kohaselt on AKI-l nõustamise ja järelevalve pädevus, kuid AKI ei anna lubasid andmetöötluseks.

3. Eelnõu sisu ja võrdlev analüüs

3.1. Eelnõu sisu

Eelnõu koosneb neljast paragrahvist, millest esimene sätestab IKS-i kavandatud muudatused, teine KOKS-i muudatuse, kolmas RStS-i muudatuse ja neljas TAIKS-i muudatuse.

§ 1. Isikuandmete kaitse seadus

IKS § 6

Lõige 1 sätestab, et isikuandmeid, sealhulgas eriliiki isikuandmeid, võib andmesubjekti nõusolekuta teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu (edaspidi uuring) eesmärgil töödelda §-des 6 ja 61 sätestatud tingimustel.

Põhiseaduse (PS) § 26 teine lause sätestab eraelu käsitleva piiriklausli, mille kohaselt võib sekkuda perekonna- ja eraellu seaduses sätestatud juhtudel ja korras tervise, kõlbluse, avaliku korra või teiste inimeste õiguste ja vabaduste kaitseks, kuriteo tõkestamiseks või kurjategija tabamiseks. Paragrahvi 26 teises lauses on seega sätestatud kvalifitseeritud seadusereservatsioon, mis lubab eraelu riivata üksnes seaduse alusel ja § 26 teises lauses kindlaks määratud põhjustel. PS koosmõjus IKÜM art 6 lõike 1 punktiga e kannab mõtet, et isikuandmete töötlemine on võimalik seaduse alusel, kui see on vajalik avalikes huvides oleva ülesande või avaliku võimu teostamiseks. Teadus- ja ajaloouuringud ning statistika on avalikes huvides olevad ülesanded. Siinkohal ei muudeta juba kehtivat seadust ja sellest tulenevaid põhimõtteid, vaid tegemist on pigem sõnastusliku muudatusega. Teadusuuringu all on silmas peetud uuringut, mis loob uut, üldistatavat teadmist, ajaloouuring uurib minevikku olemasolevate allikate põhjal, statistika puhul on tegemist trendide ja seoste fikseerimise ning üldiste järelduste tegemisega.

IKS §-ga 6 on juba sätestatud õiguslik alus isikuandmete töötlemiseks teadus- ja ajaloouuringu ning statistika eesmärgil. Lõike 1 kohaselt nimetatakse teadus- ja ajaloouuringut ning statistika eesmärgil tehtavat uuringut edaspidi ühise nimetusega „uuring“. Samuti sätestatakse, et andmeid võib töödelda IKS §-des 6 ja 61 sätestatud tingimustel. Sättest on välja jäetud sõna „riiklik“, sest säte kohaldub igasuguse, mitte ainult riikliku statistika kohta. Statistiline eesmärk tähendab kõiki isikuandmete kogumise ja töötlemise toiminguid, mis on vajalikud statistikauuringuteks või statistika koostamiseks. Juhul kui riikliku statistika tegijale on riikliku statistika seadusega ette nähtud ülesanne teha statistikat (nt Statistikaametil riikliku programmi alusel tehtav statistikatöö), töötleb asutus andmeid oma eriseaduse, mitte IKS § 6 alusel. Oluline on silmas pidada säte kohaldub juhul kui uuringut ei viida läbi andmesubjekti nõusolekul. Juhul uuring viiakse läbi andmesubjekti nõusolekul peavad nõusoleku küsimisel olema välja toodud andmetöötluse eesmärgid, ulatus, andmete säilitamise tähtajad ja andmetöötlusel rakendatavad kaitsemeetmed.

IKÜM-i põhjenduse 159 kohaselt tuleks teadusuuringute eesmärgil toimuvat isikuandmete töötlemist tõlgendada nii laialt, et see hõlmab näiteks tehnoloogiaarendust ja tutvustamistegevust, alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid uuringuid, lisaks tuleks arvesse võtta EL-i toimimise lepingu artikli 179 lõikes 1 sätestatud liidu eesmärki luua Euroopa teadusruum, rahvatervise valdkonnas peaks teadusuuringute eesmärk hõlmama avalikust huvist lähtuvalt tehtud uuringuid. Seega on IKÜM-iga loodud võimalikult lai tõlgendus. Säte täpsustab, et „teadusuuringu“ termini sisustamisel IKS-i tähenduses tuleb lähtuda IKÜM-i kohastest teadusuuringu tunnustest.

Tuleb silmas pidada, et ka tehisaru arendamine on osa tehnoloogiaarendusest ning ka tehisaru andmetöötlusele kohaldub IKS § 6 juhul, kui tehisaru arendamisel soovitakse kasutada isikuandmeid. Tehisaru arendamist tuleb seega käsitleda ühe osana laiemast teadus- ja arendustegevusest, millele IKÜM annab selge õigusliku aluse – nii arendus-, treening-, valideerimis- kui ka testimisfaasis.

Loomulikult tuleb tehisaru arendada esmajärjekorras anonüümitud andmetega. Kui konkreetse tehisaru arendamiseks anonüümitud andmetest ei piisa, peab isikuandmete kasutamine vastama IKS §-s 6 sätestatud tingimustele. Tuleb alati silmas pidada, milliseid andmeid ja kellele tehisaru arendamiseks edastatakse. See tähendab, et igas tehisaru arenduse etapis tuleb hinnata, millised isikuandmed on vältimatult vajalikud, milline on nende roll mudeli treenimisel ja selle kvaliteedis ning kuidas tagatakse põhiõiguste kaitse kogu arendustsükli jooksul.

Arvestada tuleb kõikide IKÜM-is sätestatud andmetöötluse põhimõtetega, sh andmete minimaalsuse ja eesmärgipärasuse põhimõttega. Tehisaru arendamisel tuleb hinnata, milliseid isikuandmeid on tarvis konkreetse eesmärgi saavutamiseks töödelda. Andmetöötlus peab olema selline, et oleks tagatud isikute põhiõiguste kaitse.

On oluline rõhutada, et tehisaru ei ole asi iseeneses, selle arendamise eest vastutab alati asutus või isik, kes seda arendab, mh määrab andmetöötluse eesmärgid, otsustab, milliseid isikuandmeid arendamisel kasutatakse jne. Nii nagu iga uuringu tegija, on ka tehisaru arendaja uuringu tegija ja isikuandmete vastutav töötleja IKÜM-i artikli 4 punkti 7 mõttes. Kui tehisaru arendamisel osaleb mitu isikut või asutust, kes ühiselt määravad, kuidas ja millisel eesmärgil andmeid töödeldakse, siis on nad kaasvastutavad töötlejad (IKÜM art 26). Kui asutus või isik soovib tehisaru arendada, aga tal ei ole selleks tehnilist kompetentsi, võib eesmärkide täitmiseks kasutada ka volitatud töötlejat (IKÜM art 4 p 8). Sellisel juhul töötleb tehisaru arendaja andmeid ainult vastavalt arenduse tellinud asutuse juhistele ja arendaja on volitatud töötleja. Seega tuleb tehisaru arendamisel alati läbi mõelda osapoolte rollid, kohustused ja vastutus ning seal kohalduvad IKS § 6 sätted nagu iga teise uuringu puhul.

Tehisaru arendamisega seotud teadus- ja arendustegevust mõjutab ka Euroopa Liidu tehisintellekti määrus (TI määrus)7. TI määrus tugevdab tehisaru arendamise õiguspärast raamistikku, luues lisavõimaluse kasutada seaduslikult – kuid muudel eesmärkidel – kogutud isikuandmeid tehisaru arendamiseks, treenimiseks ja testimiseks regulatiivses katsekeskkonnas (TI määruses regulatiivliivakast). TI määruse artikli 3 punkti 55 kohaselt on tehisintellekti regulatiivne katsekeskkond pädeva asutuse loodud kontrollitud raamistik, mis pakub tehisintellektisüsteemide pakkujatele võimalust arendada, treenida, valideerida ja testida tehisaru regulatiivse järelevalve all. TI määruse artikli 59 kohaselt võib regulatiivses katsekeskkonnas töödelda muudel eesmärkidel seaduslikult kogutud isikuandmeid, kui tehisaru arendatakse avalikes huvides ja täidetud on muud nimetatud artiklis kirjeldatud nõuded. See loob Eestis olulise võimaluse edendada usaldusväärse ja õiguspärase tehisaru arendamist, vähendada õiguslikku ebakindlust ning võimaldada testida kõrge riskitasemega tehisarul põhinevaid süsteeme kontrollitult reaalses keskkonnas. TI määruse artikli 57 lõike 1 kohaselt peab Eesti looma tehisintellekti regulatiivse katsekeskkonna hiljemalt 2. augustiks 2027. Katsekeskkonna loomine on seega otseselt vajalik selleks, et soodustada innovatsiooni, tagada teadus- ja arendustegevuse jätkusuutlik areng ning luua ettevõtjatele ja riigiasutustele turvaline võimalus teha innovatsiooni ning tagada vastavus turunõuetele.

Samuti on IKÜM-i laia tõlgendust silmas pidades oluline, et teadusuuringuid tuleb mõista laiemalt kui üksnes teadusasutuste tehtavaid uuringuid. IKÜM ei piiritle isikute ringi, kes võiksid teadusuuringuid teha. Ka kehtiva IKS-i kohaselt on ettevõtjatel võimalik andmeid teadusuuringu tarbeks töödelda.

Lisaks on oluline silmas pidada, et andmete uuringu tarbeks väljastamise otsuse teeb lõppastmes andmekogu vastutav töötleja, kes peab tagama andmesubjektide eraelu kaitse või ka nt riigi julgeoleku. Juhul kui tegemist on juurdepääsupiiranguga andmetega, kohaldub ka siin andmete väljastamisel AvTS-i loogika.

Lõige 2 sätestab, et uuringuks peetakse ka põhiseadusliku institutsiooni, Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema hallatava asutuse tehtud analüüse ja uuringuid, sealhulgas tehnoloogiaarendusi. Samuti on uuringuks halduskoostöö seaduse alusel avalikke ülesandeid täitva eraõigusliku juriidilise isiku tehtavad uuringud. Uuringuks loetakse ka eraõigusliku juriidilise isiku analüüse ja uuringuid, mida tehakse halduskoostöö seaduse alusel avaliku ülesande täitmise raames. See eeldab, et avaliku ülesande täitmine on eraõiguslikule juriidilisele isikule pandud vastavalt halduskoostöö seaduse § 3 lõikele 1 või 2 seaduse, haldusakti või halduslepinguga ning analüüse või uuringuid tehakse selle ülesande täitmise tarbeks. Sellise analüüsi või uuringu tegemisel loetakse eraõiguslik juriidiline isik uuringu tellijaks. Kui aga eraõiguslikule juriidilisele isikule antava ülesande sisuks on konkreetse uuringu või analüüsi tegemine, on tegemist volitatud andmetöötlusega ning uuringu tellija on asutus või avalik-õiguslik juriidiline isik. Silmas tuleb pidada, et nt ülikoolide puhul on tegemist avalik-õigusliku juriidilise isikuga kuid tegevustes tuleb eristada, kas ülikool teeb teadustööd või uuringut avaliku sektori asutuse mõttes (teenuse kvaliteedi vm uuringud). Juhul kui ülikool teeb uuringut avaliku sektori asutuse mõttes, kohaldub lg 2.

Muudatusega laiendatakse uuringu tegijate ringi, kuna kehtiv seadus piirab üleliia isikute ringi, kes võiksid uuringuid teha. Samuti ei ole uuring edaspidi seotud üksnes poliitika kujundamise eesmärgiga, kuna asutustel on ka muudel, nt teenuste arendamise eesmärgil vaja uuringuid teha. Selle sätte eesmärk on anda uuringule laiem tähendus, mis hõlmab peale akadeemiliste ja teadusuuringute ka riigi ja omavalitsusüksuste ning nende allasutuste koostatud või tellitud analüüse, uuringuid ja tehnoloogiaarendusi. See tähendab, et tegevuste ring, mida loetakse IKS-i tähenduses uuringuks, on lai. Säte tagab, et riigi ja KOV-i asutuste tehtud analüüsid ja tehnoloogiaarendused alluvad samadele nõuetele ja õigusnormidele nagu klassikalised uuringud. See aitab kaasa läbipaistvusele, kvaliteedile ja ühtsele õiguslikule käsitlusele kogu avalikus sektoris. Oluline on silmas pidada, et asutuse tehtav uuring peab olema seotud temale pandud ülesandega, ülesande ja uuringu vahel peab olema eesmärgipärane seos. Silmas tuleb pidada, et põhiseaduslikule institutsioonile kohaldub IKS üksnes osas, mis ei puuduta nende põhiseaduslike ülesannete täitmist. Juhul kui põhiseaduslik institutsioon täidab oma põhiseadusliku ülesannet, tuleb uuringut tegemise õiguslik alus kehtestada tema tegevust reguleeriva seadusega.

Lisaks täpsustatakse muudatusega, et IKS § 6 alusel on lubatud teha üksnes ajaliselt ja eesmärgiliselt piiritletud uuringuid. Kui uuringu tegemine eeldab isikuandmete püsivat või regulaarset korduvat töötlemist sama eesmärgi saavutamiseks, peavad andmetöötluse eesmärk, ulatus ja muud olulised tingimused tulenema seadusest. Püsiva samal eesmärgil töötlemisena tuleb käsitada sellist isikuandmete töötlemist, mis toimub sama eesmärgi saavutamiseks kestvalt, tähtajatult ega ole olemuselt ühekordne ajaliselt piiritletud uuring. Selle alla võivad kuuluda muu hulgas iga-aastased või muul viisil korduvad seireuuringud ja teenuste kvaliteedi regulaarsed analüüsid. Seaduses tuleb eelkõige ette näha töödeldavate andmete kategooriad, töötlemise eesmärgid, andmete säilitamise tähtajad, võimalikud kaitsemeetmed.

Lisaks sätestatakse nõue, et avaliku sektori uuring peab vastama teadusuuringule omastele kvaliteedinõuetele, et tagada uuringu metoodiline usaldusväärsus ja tulemuste kvaliteet. Avaliku sektori uuringu metoodika vastavus teadusuuringule omastele kvaliteedinõuetele ei tähenda, et iga avaliku sektori analüüs peaks olema akadeemiline teadusuuring kitsas tähenduses. Nõude eesmärk on tagada, et isikuandmete töötlemisel põhinev analüüs oleks eesmärgist lähtuv, vajalik, proportsionaalne, metoodiliselt põhjendatud, kontrollitav ja piisavalt dokumenteeritud. Avaliku sektori uuringu metoodika vastavust teadusuuringule omastele kvaliteedinõuetele ei hinnata eraldi menetluses ega eraldi asutuse poolt. Nimetatud nõude täitmise eest vastutab avaliku sektori uuringu tegija. Avaliku sektori uuringu tellimisel tuleb isikuandmete töötlemisega seotud nõudeid arvestada ka hankedokumentides ja lepingutes. Sõltuvalt uuringu laadist ja riskitasemest võib pakkujalt küsida näiteks metoodika kirjeldust, isikuandmete kasutamise põhjendust, andmekaitsemeetmete kirjeldust, andmete säilitamise ja kustutamise korda ning tulemuste anonüümse avaldamise põhimõtteid. Nõudeid tuleb kohaldada riskipõhiselt, et väikese mõju ja riskiga analüüside puhul ei tekiks ebaproportsionaalset halduskoormust.

Lõige 3 sätestab täpsemad tingimused, millisel juhul on lubatud uuringu tegemine uuringu eesmärgil. Sätestatakse tingimused, mis peavad olema tagatud, et andmesubjekti õigused oleks kaitstud. Kehtivas IKS-is andmete psedonüümimise või samaväärse kaitsemeetme tingimusi kindlaks määratud ei ole, seega võiks IKS § 6 kontekstis näiteks lihtsalt inimese nime asendada numbriga ja väita, et tegemist on pseudonüümitud andmetega. Tegelikkuses on pseudonüümimisel mitu tasandit ning isikut saab tuvastada ka muude andmete põhjal kui üksnes nimi ja isikukood. Euroopa Andmekaitsenõukogu on võtnud 2025. aasta 16. jaanuaril vastu pseudonüümimist käsitlevad suunised8, mis on praegu avalikul konsultatsioonil ja võivad seetõttu küll veel muutuda, kuid milles on selgitatud, et pseudonüümimine on kaitsemeede, mida vastutavad töötlejad saavad kohaldada, et täita andmekaitseõiguse nõudeid ja eelkõige tõendada vastavust andmekaitsepõhimõtetele kooskõlas IKÜM-i artikli 5 lõikega 2. Ühine arusaam pseudonüümimisest on, et see tähendab üksikisikute identifikaatorite asendamist pseudonüümidega. Isikuandmeid ei ole võimalik omistada konkreetsele andmesubjektile ilma lisateavet kasutamata. Selleks on vaja vaadata isikuandmete kõiki osi, mitte ainult varjunimesid. Samuti on öeldud, et andmete hulgast tuleb eemaldada otsesed tunnused, et neid andmeid ei omistataks üksikisikutele. Pseudonüümimist võib kooskõlas IKÜM-i artikli 32 lõikega 1 kasutada ühena mitmest meetmest, mis aitavad tagada andmetöötlustoimingu riskile vastava turvalisuse taseme. Seega tuleb silmas pidada, et pseudonüümimine pole ainus meede piisava andmekaitse taseme tagamiseks, vaid olemas on palju privaatsuskaitse tehnoloogiaid, mida andmetöötluses on võimalik kasutada.

2023. aastal valmis Majandus- ja Kommunikatsiooniministeeriumi tellimusel privaatsuskaitse tehnoloogiate kontseptsioon9, mis kirjeldab tehnoloogiaid ja pakub nende rakendamiseks e-riigis üldised mudelid. Kontseptsioonis on esile toodud, et privaatsuskaitse tehnoloogiate arendamise eesmärkidest on kõige suuremat tähelepanu pälvinud andmete seostamatus (isikustatavuse välistamine/vähendamine), kuna see toimib andmete väärkasutamise esmase kaitseliinina ja hõlmab rakenduslikus mõttes kõige küpsemaid tehnoloogiaid. Eesti Vabariigi digiühiskonna arengukava aastani 203510 näeb ühe põhimõttena ette inimeste põhiõiguste, sh privaatsuse kaitse. Arengukavas peetakse privaatsuskaitse tehnoloogiate rakendamist oluliseks andmepõhise ühiskonna ja andmete taaskasutuse saavutamisel. IKÜM-i artikkel 25 näeb isikuandmete töötlemisel ette lõimitud ja vaikimisi andmekaitse rakendamist.

Muudatusega sätestatakse, et uuringut võib teha üksnes siis, kui on täidetud kõik neli järgmist tingimust:
1) isikuandmed pseudonüümitakse või kasutatakse muud samaväärset kaitset pakkuvat meedet enne isikuandmete edastamist uuringu tellijale;
2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada;
3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada tuvastada isikut, kelle isikuandmeid, sh eriliiki isikuandmeid, töödeldi;
4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

Vaadates koosmõjus punkte 1–3, tuleb kindlasti silmas pidada, et isikul, kes andmed pseudonüümis või kasutas muud samaväärset kaitset pakkuvat meedet, ei ole lubatud uuringu tellijale anda andmeid, mis võimaldaksid andmed depseudonüümida.

Silmas tuleb pidada, et praktikas võib statistilise töötlemise, andmete sidumise, kvaliteedikontrolli või pseudonüümimise protsessis esineda vaheetappe, kus andmete seostatavus või kaudne tuvastatavus on tehniliselt ajutiselt vältimatu. Sellest ei saa automaatselt järeldada, et § 6 lõike 3 tingimused on täitmata, kui selline vaheetapp on rangelt töötluse eesmärgiga seotud, minimaalselt vajalik, kontrollitud ning kaitstud asjakohaste tehniliste ja korralduslike meetmetega. Nõuet tuleb järgida ennekõike seda silmas pidades, et lõppväljundis ega kasutusotstarbes andmesubjekti ei tuvastataks.

Punktis 4 sätestatud tingimuse all on mõeldud konkreetset ja kohest mõju ühele andmesubjektile, mitte aga olukorda, kus andmetöötluse eesmärk on saada ülevaade nt teatud sihtgrupile kehtivatest kohustustest ja kujundada andmesubjekti kohustusi (nt poliitikameede avalik-õigusliku rahalise kohustuse, nt maksu, tasu, lõivu vms kehtestamiseks) – selline töötlemine ei ole keelatud. Ebasoodne mõju võib tekkida uuringule järgneda võivatest õigusaktide muudatustest, mis aga enne vastuvõtmist läbivad vajaliku kooskõlastuse ja heakskiitmise, uuringust endast ei teki andmesubjektile ebasoodsaid mõjusid.

Seega ei ole piisav üksnes nime asendamine pseudonüümiga, vaid kasutada tuleb ka lisameetmeid. Silmas tuleb pidada, et juhul kui esineb tuvastamise risk, kohalduvad lõiked 4–6.

Eelnõukohase seadusega ei kitsendata andmeid teadusuuringu tarbeks väljastavate isikute ringi, see võib olla erasektori valduses olev andmestik või ka riigi infosüsteemi kuuluv andmekogu või muu andmekogum.

Eelnõu järgi on uuringu tellija uuringu vastutav töötleja (asutus, ettevõte), kelle ülesannete ja eesmärkide täitmiseks uuringut tehakse. Uuringu tellija võib uuringu teha ise või kasutada uuringu tegemiseks volitatud töötlejat, ise isikuandmeid üldse töötlemata. Juhul kui uuringu tellija soovib kasutada Statistikaametit uuringu tegemisel programmivälises töös, kehtib endiselt RStS § 20 lõikes 1 sätestatud põhimõte, et tellimustöö tegemine ei tohi segada riikliku programmi koostamist ega täitmist. Uuringu vastutav töötleja võib volitada kellegi teise täitma ka nt uuringust AKI-le teatamise kohustust või taotlema eetikakomitee hindamist.

Lõige 4 annab võimaluse uuringu tegemiseks isikustatud andmetega. Teatud põhjendatud juhtudel ei ole uuringu eesmärgid saavutatavad, kui isikud ei ole tuvastatavad. Näiteks kui terviseuuringus soovitakse analüüsida haruldase haiguse levimust Eestis. Patsientide väikese arvu tõttu ei oleks võimalik täita lõikes 3 sätestatud tingimusi, kuna see muudaks võimatuks haiguse leviku mustrite tuvastamise, seega võib uuringu tegija otsustada, et vajalik on andmete töötlemine tuvastamist võimaldaval kujul.

Sellisel kujul on uuringu tegemine lubatud üksnes juhul, kui on täidetud kõik kolm järgmist tingimust:
1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada;
2) uuringu tegemiseks on ülekaalukas avalik huvi ja
3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.
Uuringu tellija peab põhjendama, et tegemist on ülekaaluka avaliku huviga, kuna uuringu tulemused aitavad parandada raviteenuste kättesaadavust ja parandada rahva tervist. Silmas peab pidama, et ülekaalukas avalik huvi on määratlemata õigusmõiste, mida peab iga juhtumi puhul eraldi hindama, võttes ühelt poolt arvesse avalikku huvi ja teiselt poolt andmesubjekti õigusi. Kõigil uuringu tellijatel on igakordne hindamiskohustus, mille kriteeriume eelnõukohase seadusega ette ei saa kirjutada. Eriliiki isikuandmete puhul kontrollib ülekaaluka avaliku huvi olemasolu eetikakomitee.

Lõige 5 sätestab uuringu tellijale kohustuse teavitada uuringust AKI-it juhul, kui n-ö tavalisi isikuandmeid töödeldakse IKS § 6 lõikes 4 sätestatud juhul. AKI-t peab teavitama uuringu eesmärkidest, töödeldavatest andmetest ja lõikes 4 sätestatud tingimuste täitmisest. Selline teavitamiskohustus on vajalik, et AKI saaks seirata, milliseid uuringuid millisel eesmärgil ja ulatuses tehakse, ning vajadusel järelevalvet teha. Samuti avaldatakse info tehtavatest uuringutest AKI veebilehel ja võimalusel ka Eesti teabeväravas, et võimaldada ka avalikkusel tutvuda, milliseid uuringuid tehakse. Sätte eesmärk on tagada läbipaistvus, kuid samas saab avalikustamist pidada ka kaitsemeetmeks.

Teavitus tuleb esitada enne isikuandmete töötlemist. Teavituse edastamisel ei ole kindlat viisi, seda võib teha nt e-kirjaga või tulevikus tehnilise lahenduse olemasolul AKI veebilehel või tulevikus loodava ühtse taotluste menetlemise keskkonna vahendusel.

Lisaks on oluline silmas pidada, et tegemist on avaliku teabega AvTS-i mõttes ning juhul kui teave sisaldab juurdepääsupiiranguga andmeid, siis AvTS § 35 lõike 1 kohaselt seda osa teabest ei tohi avalikustada. Seega peab teabe AKI-le edastamisel ära märkima, milline osa teabest on ärisaladus või muu juurdepääsupiiranguga teave.

Säte puudutab üksnes AKI teavitamise kohustust. Uuringu tellijal on endiselt IKÜM-ist (art 13) tulenev andmesubjektidele teabe andmise kohustus, mida on uuringu tellijal võimalik piirata üksnes lõigetes 12 ja 13 sätestatud tingimustel.

Lõige 6 sätestab kohustuse, et kui uuringut (v.a avaliku sektori uuring) tehakse eriliiki isikuandmetega, sh kui on täidetud lõikes 3 sätestatud tingimused (tegemist on pseudonüümitud andmetega), tuleb enne uuringu tegemist pöörduda eetikakomitee poole, kes kontrollib lõigetes 3 ja 4 sätestatud tingimuste täitmist ja annab hinnangu uuringu eetilisusele. Muudatus toetub VTK tagasisidele, milles oli ülekaalukas toetus ettepanekule, et eetikakomitee oleks loodud seadusega või selle alusel antud õigusaktiga ja tema pädevus oleks selgelt määratud. Toetati suunda, kus Eestis oleks ühtne eetikakomiteede süsteem („ühe ukse poliitika“), mis koondab kõik valdkondlikud komiteed ühe juhtiva struktuuri alla.

Seega sätestatakse muudatusega, et eetikakomiteed ei või asutada ükskõik kes, vaid asjaomase valdkonna eetikakomitee moodustatakse seadusega või selle alusel. Kõnealuse sätte eesmärk on tagada, et eriliiki isikuandmete töötlemine uuringu eesmärgil oleks läbipaistev ja eetiline ning vastaks seaduses sätestatud nõuetele. Eetikakomitee ülesanne on hinnata nii andmekaitsealaseid kui ka eetilisi riske ning vajadusel nõuda täiendavaid kaitsemeetmeid või anda soovitusi uuringu tegemiseks.

Oluline on silmas pidada, et kui uuring tehakse valdkonnas, mille eetikakomitee tegevust reguleerib muu seadus, annab hinnangu muu seaduse alusel asutatud eetikakomitee. Nt tervise infosüsteemis andmete väljastamisel tuleb lähtuda tervishoiuteenuste korraldamise seadusest ning geenivaramu puhul inimgeeniuuringute seadusest. Lisaks peavad teadlased järgima muid neile kohalduvaid õigusakte ja uuringueetika head tava ning isegi juhul, kui IKS § 6 alusel eetikakomitee kohustust ette ei ole nähtud, võib selline kohustus tuleneda muudest alustest. IKS § 6 ei reguleeri üldiselt uuringute eetilisuse hindamist.

Uuringu tegija on lisaks enne uuringu tegemist kohustatud teavitama AKI-t vastavalt lõikele 5. Teatada tuleb uuringu eesmärk, töödeldavad andmed ja rakendatavad kaitsemeetmed. AKI avaldab selle teabe oma veebilehel, tagades seeläbi läbipaistvuse ja avalikkuse teavitamise. Kui uuringu käigus töödeldavaid isikuandmeid säilitatakse Rahvusarhiivis, on eetikakomitee õigused Rahvusarhiivil. See tähendab, et Rahvusarhiiv täidab eetikakomitee ülesandeid, kontrollides tingimuste täitmist ja vajadusel andes hinnangu uuringu eetilisusele.

Lõige 7 sätestab, et kui avaliku sektori uuringut tehakse eriliiki isikuandmetega, sh kui on täidetud lõikes 3 sätestatud tingimused (tegemist on pseudonüümitud andmetega), tuleb enne uuringu tegemist pöörduda AKI poole, kes kontrollib lõigetes 3 ja 4 sätestatud tingimuste täitmist. Üldjuhul põhinevad avaliku sektori tehtavad uuringud asutuse enda ülesannete täitmiseks vajalike andmete töötlemisel, mille puhul on risk andmesubjektile enamasti väike. Kuid ette võib tulla ka olukordi, kus eri andmekogude ühendamise, andmete töötlemise ulatuse või andmete tundlikkuse tõttu esineb oht uuritavate heaolu, ohutuse või õiguste riiveks. Samuti võib esineda olukordi, kus uuringud hõlmavad lisaks andmekogudes olevate andmete töötlemisele ka uuritavate intervjueerimist või küsitlusele vastamist. Sellisel juhul võib olla vaja enne hinnata, kas inimesi kaasav uuring on tervikuna eetiliselt kavandatud ning riigi andmekogudest andmete väljastamine on põhjendatud. Seetõttu on lisatud täiendus, mille kohaselt on AKI-l vajadusel võimalik pöörduda eetika küsimuses konsultatsiooni saamiseks teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse §-s 26 nimetatud teaduseetika komitee poole. AKI-l endal uuringute ja analüüside eetilisuse hindamise pädevust ei ole.

Teaduseetika komitee annab konsultatsiooni käigus AKI-le seisukoha analüüsi või uuringu eetilisuse kohta või siis arvamuse, et antud analüüsis või uuringus eetilised riskid puuduvad. Teaduseetika komitee konsultatsioon ei hõlma täismahus taotluse hindamist, vaid võimalike riskide analüüsimist ja selles seisukoha kujundamist. Konsulteerimine võib toimuda vabas vormis (puuduvad kindlad vorminõuded, see võib toimuda näiteks ka e-kirja teel), erinevalt taotluste hindamisest, millel on kindlad vormid ja protseduurireeglid. Teaduseetika komitee kujundab oma seisukoha Andmekaitse Inspektsiooni esitatud materjalide põhjal, poliitikaanalüüsi või uuringu läbiviijalt komitee lisaandmeid ei küsi. Samuti ei esita teaduseetika komitee poliitikaanalüüsi läbiviijale iseseisvaid hinnanguid uuringu eetilisuse kohta. Teaduseetika komitee ja Andmekaitse Inspektsiooni hinnang on üheks sisendiks andmeid väljastavale andmekogu vastutatavale töötlejale andmete väljastamise või mitteväljastamise otsuse tegemiseks.

Kui seadusest tuleneb kohustus (nt on TTKS §-s 594 kohustus tervise infosüsteemist andmete saamiseks saada eetikakomitee hinnang), siis lisaks eetilisuse hindamisele hindab eetikakomitee ka lõigetes 3 ja 4 sätestatud tingimuste täitmist. Kui seadusest tuleneb kohustus saada uuringule eetikakomitee hinnang, esitab uuringu tellija saadud hinnangu Andmekaitse Inspektsioonile koos lõikes 5 nimetatud teabega.

Lõige 8 sätestab, et juhul kui teaduseetika komitee täidab lõikes 7 nimetatud ülesannet, on haridus- ja teadusministril õigus vajadusel vastava ülesande täitmine reguleerida tasulise teenusena ning määrata tasu suurused. Teaduseetika komitee võib küsida avaliku sektori uuringu kohta seisukoha esitamise eest tasu vastavalt teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse § 26 lõikele 5. Sama paragrahvi lõike 6 kohaselt lähtutakse tasu suuruse kehtestamisel hinnangu andmisega kaasnevatest kuludest. Teaduseetika komitee tasuliste teenuste loetelu ja tasude suurused sätestatakse teaduseetika komitee korraldust reguleerivas rakendusaktis. Eelnõu kohaselt kannab sellise konsultatsiooni kulu täidesaatva riigivõimu uuringu tellija juhul, kui AKI konsulteerib eetikakomiteega § 6 lõike 7 alusel.

Lõige 9 sätestab tingimuse, et tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda uuringu eesmärkidel üksnes § 61 tingimustele vastavas andmetöötlussüsteemis. Oluline on silmas pidada, et Euroopa terviseandmeruumi määrus ei kohaldu terviseandmetele igas olukorras ja valdkonnas, mistõttu ei kohaldata andmetöötlussüsteemi kasutamise tingimust igasugusele terviseandmete töötlemisele. Väljaspool tervishoiu- ja sotsiaalkaitsesektorit Euroopa terviseandmeruumi määrus ei kohaldu ning selliseid terviseandmeid on lubatud IKS § 6 tingimuste täitmise korral töödelda ka väljaspool §-s 61 sätestatud tingimustele vastavat andmetöötlussüsteemi. Tervishoiu ja sotsiaalvaldkonna andmete all peetakse silmas terviseandmeid, mida töödeldakse näiteks tervishoiuteenuste osutamisel, puude hindamisel, töövõime tuvastamisel jm.

Lõige 10 sätestab üldise normi, et kui uuringus on vaja töödelda üksnes ühe andmekogu andmeid, mille vastutavaks töötlejaks on uuringu tellija ise, peab ta järgima lõigete 2–4 ning ei pea järgima lõigete 5–8 nõudeid. Eelkõige tuleb uuringut ka ühe andmekogu piires tehes täita lõike 3 tingimused ning isiku tuvastamist võimaldavate andmetega on uuringut lubatud teha üksnes juhul, kui täidetud on lõike 4 tingimused. Kui uuringu tegija töötleb isikuandmeid ühe andmekogu piires ja on ise selle andmekogu vastutav töötleja, on tal juba olemas täielik kontroll andmekogu üle ning ta vastutab isikuandmete töötlemise nõuete täitmise eest kogu andmekogu ulatuses. Kavandatavad sätted vähendavad halduskoormust ja väldivad dubleerivaid protseduure olukorras, kus andmeid juba töödeldakse andmekogu siseste reeglite ja kontrollimehhanismide alusel. Silmas tuleb aga pidada, et nt geenivaramu puhul on inimgeeniuuringute seadusega ette nähtud erisused, mis tingimustel uuringuid geenivaramus teha võib, üheks näiteks on Eesti Geenivaramu uuringud, mille puhul tuleb ka andmekogu vastutaval töötlejal saada oma uuringutele teaduseetika komitee heakskiit.

Ühest andmekogust pärit andmete töötlemine kätkeb endas väiksemat riski kui mitmest andmekogust pärit isikuandmete kokku panemine ja analüüsimine. Säte ei kohaldu olukorrale, kus vastutav töötleja töötleb isikuandmeid, mis pärinevad mitmest andmekogust, mille kõikide vastutav töötleja ta on.

Siinkohal on oluline silmas pidada ka AvTS § 28 lõike 1 punkti 18, milles on sätestatud teabevaldaja kohustus avaldada riigi- või kohaliku omavalitsuse asutuse tellitud uuringud ja analüüsid. See tagab avaliku sektori andmetöötluse läbipaistvuse.

Lõike 11 puhul on tegemist üksnes tehnilise muudatusega, millega ei muudeta sätte sisu, vaid üksnes paragrahvi ülesehitust. Sätte eesmärk on jätkuvalt täpsustada, et paragrahvis sätestatud nõudeid ei kohaldata olukorras, kus uuringu eesmärgid ja isikuandmete töötlemise ulatus on otseselt määratud seadusega. Sellisel juhul on seadusandja andmete töötlemise alused, eesmärgid ja ulatuse juba läbi kaalunud ning reguleerinud, mistõttu ei ole vaja rakendada paragrahvis sätestatud nõudeid, piiranguid ega menetlusi. See tagab, et seadusest tulenevate uuringute puhul ei teki dubleerivat ega ebavajalikku töökoormust ning välditakse olukorda, kus seadusandja poolt juba reguleeritud andmetöötlusele kehtestatakse uusi piiranguid. Samuti aitab see tagada õigusselgust ja ühtset lähenemist olukorras, kus andmete töötlemise eesmärk ja ulatus on seadusega selgelt kindlaks määratud.

Lõiked 12 ja 13 näevad ette õiguse piirata andmesubjekti õigusi. Piirangu võib kehtestada, et tagada üldist avalikku huvi teenivad eesmärgid (IKÜM art 21 lg 1 p e alusel), milleks antud juhul on teadus- ja ajaloouuring ning statistika. Säte näeb ette, et uuringu tellija või selle andmestiku vastutav töötleja, kust andmeid uuringu tarbeks väljastatakse, võib piirata andmesubjektide õigusi, kui nende õiguste teostamine tõenäoliselt muudab võimatuks analüüsi või uuringu eesmärgi saavutamise või takistab seda oluliselt. IKÜM artikli 23 lõikes 1 sätestatud diskretsiooni rakendamine ei ole absoluutne, mistõttu on õigus kohaldada lõikes 12 toodud piiranguid üksnes lõikes 13 sätestatud tingimustel. Selline lähenemine on kooskõlas IKÜM artikli 23 lõikega 2. Võttes arvesse töötlemise eesmärki, ei ole võimalik välistada ühtegi töödeldavate isikuandmete kategooriat, kuna ei ole võimalik ette näha andmeid, mis ei võiks olla vajalikud teadus- ja ajaloouuringu ning statistika tegemisel. Piirangut on lubatud seada üksnes andmestiku vastutaval töötlejal (kelle andmestikust andmeid väljastatakse) ning uuringu tegijal. Silmas tuleb pidada, et andmestik on laiem mõiste, kuhu alla kuulub ka andmekogu. Punktiga 3 sätestatakse kohustus rakendada asjakohaseid turvameetmeid ja säilitamiskohustuse järgimise nõue. Turvameetmete rakendamisel tuleb arvesse võtta ka ligipääsude piiramist, millega muu hulgas tagatakse lõike 12 punktis 4 sätestatud nõue töötlemise ulatuse kohta.

IKS § 61

Tegemist on uue paragrahviga, mis loob ühelt poolt võimaluse teha uuring andmetöötlussüsteemis, et tagada kiirem protsess, teiselt poolt nähakse ette lisatingimused ja kaitsemeetmed, et tagada andmesubjektide õiguste parem kaitse. Oluline on silmas pidada, et säte ei välista võimalust kasutada uuringu tegemiseks teisi andmetöötlussüsteeme, seda IKS §-s 6 sätestatud tingimusi täites. IKS § 61 puhul on tegemist lisavõimalusega sättes ette nähtud tingimustel andmetöötlussüsteemis uuringute tegemiseks, välistades teatud IKS §-s 6 sätestatud kohustuste täitmise.

Probleemi tõstatas Riigikantselei juba eespool viidatud tellitud analüüsiga, milles käsitleti probleemi, et asutustel ei ole võimalik teha kiireid andmepõhiseid otsuseid. Riigikantselei tõi analüüsi tellimisel esile, et täidesaatev riigivõim ei saa andmepõhiste otsuste tegemiseks piisavalt kiiresti ligipääsu vajalikele isikuandmetele. Samuti rõhutati, et riik peab saama andmekogude andmeid targalt ning vajadusel ka kiirelt kasutada, kaitstes samal ajal andmesubjektide õigusi ja isikuandmeid. Isikuandmete töötlemine peab olema kontrollitud, läbipaistev ja vastutustundlik. Uuringus on tehtud ettepanek seaduse uueks sõnastuseks, mis aja jooksul ja VTK menetluses peetud eri osapoolte ja huvigruppide vaheliste arutelude tulemusel on saanud eelnõus toodud kuju. Muu hulgas tuleb silmas pidada, et eelnõukohane seadus ei loo andmetöötlussüsteemi ja kiiremate otsuste tegemiseks õiguslikku alust mitte üksnes riigile, vaid see kehtib võrdselt kõigile uuringu tegijatele. Muudatusega ühtlustatakse kõikide uuringute tegemise tingimused.

Lõike 1 kohaselt võib uuringu eesmärgil töödelda isikuandmeid, sh eriliiki isikuandmeid, selleks ette nähtud andmetöötlussüsteemis, mis peab vastama lisaks eelnõuga loodava § 61 tingimustele ka § 6 lõigete 2–4 tingimustele. Ka andmetöötlussüsteemis andmete töötlemisel peavad olema täidetud järgmised tingimused:
• uuringu tegemisel ei tehta lisatoiminguid, mille tagajärjel saab isiku tuvastada;
• uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada tuvastada isikut, kelle isikuandmeid, sh eriliiki isikuandmeid, töödeldi;
• töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

Sätte eesmärk on võimaldada töödelda isikuandmeid, sealhulgas eriliiki isikuandmeid, spetsiaalselt selleks ette nähtud andmetöötlussüsteemis, kui võetud on kõik seaduses sätestatud olulised kaitsemeetmed. Selline regulatsioon tagab, et andmeid töödeldakse ainult siis, kui see on põhjendatud, vajalik ning piisavalt kaitstud nii tehniliste kui ka organisatsiooniliste meetmetega. Säte võimaldab kasutada kaasaegseid andmetöötlussüsteeme, mis on loodud või luuakse just selliste uuringute tegemiseks, kuid säilitab ranged andmekaitsestandardid.

Lõige 2 sätestab nõuded, mille täitmise peab andmetöötlussüsteemi pakkuja tagama. VTK etapis olid arutluse all lahendused, mille kohaselt andmetöötlussüsteemi peaks pakkuma kas üks keskne riigiasutus või siis võiks seadusega ette näha kindlad tingimused ja võimaldada ka nt ülikoolidel või erasektori asutustel andmetöötlussüsteeme pakkuda. Kokkuvõtvalt leiti, et vaba turu huvides ei ole mõistlik kitsendada teenusepakkujate ringi. Sätte eesmärk on tagada, et isikuandmete, sealhulgas eriliiki isikuandmete töötlemine spetsiaalses andmetöötlussüsteemis oleks turvaline ning vastaks rangetele andmekaitsenõuetele. Tingimuste ettenägemisel on lähtud ka Euroopa terviseandmeruumile sätestatud nõuetega. Eelnõu kohaselt peab andmetöötlussüsteemi pakkuja tagama:
1) asjakohaste tehniliste ja korralduslike meetmete kasutamise, mille abil minimeeritakse andmetöötlussüsteemis töödeldavate andmete loata lugemise, kopeerimise, muutmise ja kustutamise risk;
2) andmete kättesaadavaks tegemise üksnes andmetöötlussüsteemis töötlemiseks;
3) andmetöötlussüsteemi sellise teenuse osutamise, mis võib hõlmata andmete eeltöötlemist, et uuringu tegijal oleks juurdepääs üksnes § 6 lõike 3 punktis 1 nimetatud kujul andmetele;
4) andmete sisestamise ja andmetöötlussüsteemis hoitavate andmete töötlemise ainult piiratud arvu tuvastatavate volitatud isikute poolt;
5) uuringu tegija juurdepääsu ainult neile andmetele, mida on lubatud töödelda § 6 lõikes 1 nimetatud eesmärkidel;
6) töötlustoimingute logide salvestamise;
7) andmete allalaadimise taotluste kontrolli, et kasutajatel ei oleks võimalik andmetöötlussüsteemist alla laadida andmeid, mis võimaldavad isikut tuvastada;
8) andmete töötlemise ainult Euroopa Majanduspiirkonna territooriumil.

Säte aitab tagada, et andmeid töödeldakse läbipaistvalt, turvaliselt ja vastavalt kehtivatele õigusaktidele, kaitstes nii andmesubjektide õigusi kui ka tagades uuringu tegija ja andmetöötlussüsteemi pakkuja vastutuse. Silmas tuleb pidada, et riski minimeerimine tähendab tegevusi, mille käigus rakendatakse teadlikult, proportsionaalselt ja dokumenteeritult korralduslikke ja tehnilisi meetmeid, mis vähendavad andmete töötlemise või infosüsteemide kasutamisega kaasnevaid riske vastuvõetavale tasemele.

Lõikega 3 sätestatakse andmete säilitamise tähtaeg, mille kohaselt kustutatakse andmetöötlussüsteemist uuringu käigus töödeldavad andmed pärast uuringu valmimist ja uurimistulemuste valideerimist. See tähendab, et andmeid ei hoita süsteemis kauem, kui see on põhjendatud uuringu tegemise ja tulemuste kontrollimise seisukohalt, lähtudes IKÜM-ist tulenevatest eesmärgipärasuse ja minimaalsuse põhimõttest.

Uurimustulemuste valideerimise all peetakse silmas kontrollimist, kas teaduslik metoodika, kogutud andmed ja tulemused on usaldusväärsed, kehtivad ning reprodutseeritavad. Valideerimine hõlmab nii andmete kvaliteedi ja korrektsuse hindamist kui ka eelretsenseerimist enne uuringu avaldamist, et tagada teadustöö vastavus rahvusvahelistele standarditele. Valideerimise perioodi ei ole üheselt ja kindla ajapiiranguga võimalik seadusega ette näha. Kohaldub üldine IKÜM-i põhimõte, et andmeid tohib säilitada nii kaua, kui see on teadusuuringu eesmärgi saavutamiseks vajalik. Hea teadustava11 kohaselt säilitab teadlane isikustatud kujul andmeid nii kaua kui vaja ja nii vähe kui võimalik.

Töötlustoimingute logisid säilitatakse üks aasta pärast uuringu käigus töödeldavate andmete kustutamist. See võimaldab vajadusel hiljem kontrollida ja auditeerida andmetöötluse vastavust nõuetele, kuid välistab logide põhjendamatu pikaajalise säilitamise. Selline lähenemine aitab tagada andmesubjektide õiguste kaitse, läbipaistvuse ning vastavuse andmekaitse põhimõtetele, piirates andmete ja logide säilitamist ainult minimaalselt vajaliku ajani. Logide säilitamisele nähakse ette pikem tähtaeg, arvestades võimalikku järelevalve tegemise vajadust.

Lõikes 4 sätestatakse, et valdkonna eest vastutaval ministril on õigus kehtestada määrusega täiendavaid tehnilisi ja korralduslikke turvanõudeid andmetöötlussüsteemis andmete töötlemisele. Selline volitusnorm on vajalik, et tagada paindlikkus ja ajakohasus turvanõuete rakendamisel, arvestades tehnoloogia kiiret arengut ning uute riskide ilmnemist andmetöötluses. Ministri määrusega saab täpsustada ja täiendada turvanõudeid vastavalt vajadusele, näiteks seoses andmete krüpteerimise, pseudonüümimise, autentimise, logimise, intsidentidele reageerimise või muude turvameetmetega, mis aitavad tagada isikuandmete kaitse kõrge taseme andmetöötluskeskkonnas.

Volitusnorm võimaldab reageerida kiiresti olukordadele, kus senised nõuded ei pruugi olla piisavad, ning kehtestada lisameetmeid, mis on vajalikud andmete turvaliseks töötlemiseks. See aitab tagada, et andmetöötlussüsteemis rakendatavad tehnilised ja korralduslikud turvanõuded vastavad nii Euroopa Liidu kui ka Eesti õigusaktide nõuetele ning rahvusvahelisele parimale tavale.

Lisaks tuleb silmas pidada, et Eesti infoturbestandardi või selle alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC 27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud Vabariigi Valitsuse määrusest nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (määruse § 3). Selle hulgas on osa, kuid mitte kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse eelnõu nõudeid, järgima. Mitte kõik küberturvalisuse seaduse tähenduses teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama määruse lisa).

Lõikes 5 sätestatakse, et enne andmetöötlussüsteemi kasutuselevõttu kontrollib AKI § 61 lõigetes 2–4 sätestatud tingimuste täitmist. Selle sätte eesmärk on tagada, et andmetöötlussüsteemis rakendatavad tehnilised ja korralduslikud turvanõuded ning muud andmetöötluse tingimused oleksid enne süsteemi kasutuselevõttu sõltumatult hinnatud ja kontrollitud. AKI kontroll aitab vältida olukordi, kus andmetöötlussüsteemi rakendamisel ei ole piisavalt arvestatud isikuandmete kaitse nõuetega või on jäänud tähelepanuta olulised riskid, mis ohustavad andmesubjektide õigusi ja vabadusi. See suurendab usaldusväärsust andmetöötluse korraldamisel ning aitab tagada, et andmeid töödeldakse läbipaistvalt ja turvaliselt. Kontrolli käigus hinnatakse muu hulgas, kas andmetöötlussüsteemis rakendatakse piisavaid meetmeid andmete pseudonüümimiseks, logimiseks, juurdepääsu piiramiseks ja muude riskide maandamiseks. Muudatusega nähakse ka ette, et AKI-l on õigus vajadusel hindamisprotsessi kaasata Riigi Infosüsteemi Ametit. Seega on AKI kontroll enne süsteemi kasutuselevõttu oluline samm, mis aitab tagada isikuandmete kaitse kõrge taseme ning vähendada võimalikke rikkumisi ja riske.

Lõikega 6 nähakse ette andmetöötlussüsteemi pakkujale kohustus vähemalt kord aastas kontrollida andmetöötlussüsteemi nõutele vastavust ning esitada aruanne Andmekaitse Inspektsioonile.

Lõikes 7 sätestatakse, et juhul kui kõik paragrahvis esitatud tingimused on täidetud, ei kohaldata § 6 lõikeid 5 ja 6, kui seaduses ei ole sätestatud teisiti. Nt tervise infosüsteemist ja geenivaramust andmete väljastamisel tuleb eetikakomitee läbimise kohustus seadusest. Sätte eesmärk on tagada, et juhul kui andmetöötlussüsteemi kasutuselevõtuks on täidetud kõik vajalikud tehnilised ja korralduslikud turvanõuded ning AKI on kontrollinud tingimuste täitmist, ei ole vaja rakendada lisapiiranguid või -menetlusi, võttes arvesse, et andmete töötlemisel on juba täidetud IKS § 6 lõike 3 tingimused. See võimaldab paindlikumat ja tõhusamat andmetöötluse korraldust, vähendades halduskoormust ning kiirendades andmetöötlussüsteemi kasutuselevõttu. Samas säilib isikuandmete kaitse kõrge tase, kuna kõik olulised tingimused on täidetud ja kontrollimehhanismid olemas. Läbipaistvuse tagamiseks avaldab AKI loetelu kontrollitud andmetöötussüsteemi pakkujatest oma veebilehel.

§ 2. Kohaliku omavalitsuse korralduse seaduse muutmine

Punktidega 1 ja 2 muudetakse KOKS § 311 pealkirja ning tunnistatakse kehtetuks sama paragrahvi lõige 3. Kuna kohaliku omavalitsuse tehtavate analüüside ja uuringute puhul kohalduvad edaspidi IKS §-d 6 ja 61, siis muudetakse KOKS § 311 pealkirja selliselt, et see ei sisalda uuringutes isikuandmete töötlemist, ja sama paragrahvi lõige 3 tunnistatakse kehtetuks.

Punktide 3 ja 4 muudatusega tunnistatakse kehtetuks õigus saada andmeid kinnipeetavate, vahistatute, arestialuste ja kriminaalhooldusaluste andmekogust (vangiregister), kuna kohaliku rahvaalgatuse ja -küsitluse puhul on vangiregistri andmete päring ülemäärane nõue. Kehtiva KOKS-i § 312 näeb kohaliku omavalitsuse üksusele ette õiguse saada seadusest tulenevate valla- ja linnaelanike kaasamis- ja osalemisõiguste kontrollimiseks vangiregistrist andmeid valla- ja linnaelaniku karistuse kandmise kohta kinnipidamiskohas. KOKS § 32 lõige 11 omakorda seob valla- ja linnaelaniku mõiste elanike osalusõiguse puhul välistusega, et isik ei kannaks kohtu poolt kuriteos süüdi mõistetuna karistust kinnipidamiskohas. Vangiregistrist andmete saamise õigus lisati KOKS-i kohaliku omavalitsuse volikogu valimise seaduse § 5 lõike 4 eeskujul, mis sätestab, et volikogu valimistel ei võta hääletamisest osa isik, kes on kohtu poolt süüdi mõistetud ja kannab karistust kinnipidamiskohas. On selgunud, et kohaliku rahvaalgatuse ja -küsitluse puhul on esitatud nõue ülemäärane. Selle nõude tulemusena tuleb esitada vangiregistrisse päring kõigi valla- ja linnaelanike kohta, kes rahvaalgatusel või -küsitlusel osalesid, ja andmejälgijasse jääb märge, et isiku kohta on tehtud päring vangiregistrisse. Praktikas võivad olla vaid üksikud juhud, kui kohalikule algatusele on oma toetushääle andnud isik, kes rahvaalgatuse või -küsitluse kohaliku omavalitsuse üksusele üleandmise hetkel, mil isiku osalusõiguse andmeid andmekogudest kontrollitakse, viibib kuriteos süüdi mõistetuna kinnipidamisasutuses. Justiitsministri 30.11.2000. a määruse nr 72 „Vangla sisekorraeeskiri“ § 521 järgi on kinnipeetavale interneti vahendusel lubatud veebilehtede hulk nagunii oluliselt piiratud, mis ei võimaldanud ka enne Riigikogus 21. jaanuaril 2026. a vastu võetud KOKS-i muudatusi kinni peetaval isikul nt rahvaalgatus.ee veebilahendust kasutada.

§ 3. Riikliku statistika seaduse muutmine

Muudatusega viiakse riikliku statistika tegemist puudutavad sätted riikliku statistika seadusesse. Riikliku statistika tegemine on riikliku statistika tegijale seadusega pandud ülesanne ning ülesande täitmist puudutavad sätted peavad olema asutuse tegevust puudutavas eriseaduses. Lisaks kaasajastatakse nimetatud seadust JDM-i juhise järgi.

RStS § 1 lõike 1 kohaselt on riiklik statistika kvantitatiivne, kvalitatiivne, kokkuvõtlik ja üldistav teave, mis iseloomustab massnähtust vaatlusaluses kogumis ning saadakse riikliku statistika programmi või programmivälise statistikatöö raames andmete statistilise töötlemise tulemusena. RStS § 8 lõike 1 järgi on riikliku statistika tegijad Statistikaamet ja Eesti Pank (Eesti Panga seaduse § 34 lõikes 1 sätestatud ulatuses).

Kehtivas RStS-is on isikuandmete kasutamine riikliku statistika tegemisel reguleeritud §-s 31. Nimetatud paragrahvi lõigetes 2–4 on sätestatud, et riikliku statistika tegija ei pea teavitama isikut tema isikuandmete kasutamisest riikliku statistika tegemiseks ning et andmesubjektil ei ole õigust nõuda nendel andmetel põhinevate andmete parandamist, kustutamist ega nende töötlemise piiramist.

Punktiga 1 täiendatakse JDM-i juhise järgi RStS § 6 lõiget 4, milles sätestatakse statistilise registri vastutavaks töötlejaks riikliku statistika tegija.

Punktidega 2–5 nähakse riikliku statistika tegijale ette õiguslik alus riikliku statistika tegemiseks. RStS § 34 lõike 1 kohaselt on riikliku statistika tegijal õigus kasutada riikliku statistika tegemisel isikuandmeid IKÜM-is ja IKS-is ettenähtud alustel ja korras, arvestades RStS-is sätestatud erisusi. Riikliku statistika vajadusteks võib isikuandmeid töödelda eeskätt pseudonüümitud või muul samaväärset andmekaitset võimaldaval kujul. Enne isikuandmete üleandmist teadus- või ajaloouuringu või riikliku statistika tarbeks tuleb isikuandmed asendada pseudonüümitud või samaväärse tasemega andmetega.

Punktiga 2 sätestatakse § 31 lõike 1 täiendamise kaudu isikuandmete töötlemise õiguslik alus riikliku statistika tegemiseks kooskõlas kehtiva IKS-i § 6 lõikes 1 sätestatuga.

Punktiga 3 tunnistatakse kehtetuks RStS § 31 lõiked 2–4, mis asendatakse eelnõu punktis 4 esitatud lõikega 7.

Punktiga 4 täiendatakse RStS § 31 lõigetega 5–9. RStS §-i 31 täiendatakse lõigetega 5 ja 6, mis sõnastatakse vastavalt kehtiva IKS-i § 6 lõigetele 2 ja 3. Lõike 5 kohaselt on depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse uuesti isikut tuvastavaks, lubatud ainult riikliku statistika vajaduseks. Lõikes 5 ei sätestata depseudonüümimise eest vastutava isiku nimelist määramist, kuna vastav kord nähakse ette asutusesiseste aktidega. Lõike 6 kohaselt on riikliku statistika vajadusteks andmete töötlemine andmesubjekti tuvastamist võimaldaval kujul lubatud üksnes juhul, kui on täidetud järgmised tingimused:
1) pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada;
2) riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi;
3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.

Lisatava lõike 7 kohaselt võib vastutav või volitatud töötleja Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks teadus- või ajaloouuringu või statistilise eesmärgi saavutamise või takistab seda oluliselt. See hõlmab ka erandit, mille kohaselt ei pea riikliku statistika tegija teavitama isikut tema isikuandmete kasutamisest riikliku statistika tegemiseks. Lisaks ei saa andmesubjekt nõuda nende andmete parandamist või kustutamist ega piirata nende töötlemist. Lõige 8 näeb ette tingimused, millisel juhul andmesubjekti õiguste piiramine on lubatud.

Lisatava lõike 9 kohaselt töötleb riikliku statistika tegija kõiki selliseid isikuandmeid, mille alus tuleneb statistilisest eesmärgist. JDM-i juhise järgi tuleb sätestada töödeldavate isikuandmete kategooriad seaduses. RStS-is ei ole mõistlik loetleda töödeldavaid isikuandmete kategooriaid ja säilitustähtaegu, kuna need sätestatakse riikliku statistika tegemise aluseks olevates õigusaktides. Riiklik statistika tugineb eri valdkondade andmetele, mille säilitustähtaeg tuleneb statistikatöö olemusest, metoodikast ning osaliselt ka Euroopa Liidu statistika tegemist reguleerivatest õigusaktidest. Seetõttu sätestatakse seaduses funktsionaalne säilitamispõhimõte ning konkreetse statistikavaldkonna andmete säilitustähtajad sätestatakse asjakohase õigusaktiga. Riikliku statistika raames töödeldakse näiteks järgmisi isikuandmeid: üldandmed isiku kohta, andmed hariduse, töökoha, sissetuleku, tervise jm kohta. Isikuandmete töötlemise puhul on oluline, et osa isikuandmete töötlemine toimub isiku nõusolekuta. Säilitustähtaja lõppemisel isikuandmed kustutatakse.

Statistilisel eesmärgil kogutud andmeid on keelatud kasutada järelevalve, maksustamise või muul mittestatistilisel eesmärgil.

Punktiga 5 tunnistatakse kehtetuks RStS § 34 lõige 4, mis sätestab, et Statistikaameti kogutud ja statistiliselt töödeldud andmete organisatsioonilise, infotehnilise ja füüsilise kaitse nõuded kehtestab Vabariigi Valitsus määrusega. Tänaseks on üldised nõuded andmete kaitsele sätestatud erinevate õigusaktide ja standarditega. Kuna Statistikaametil on kohustus järgida nii küberturvalisuse seaduse ja selle rakendusaktide, nt Eesti infoturbestandard, nõudeid, siis puudub eraldi vajadus sätestada asutusepõhiseid nõudeid. Antud muudatusel ei ole mõju asutuse tänasele tegevusele, kuna Statistikaamet järgib ka täna nimetatud õigusaktidest tulenevaid nõudeid.

RStS muudatustel ei ole mõju olemasolevale korrale ega praktikale riikliku statistika vajadusteks isikuandmete töötlemisel. Sisuliselt tõstetakse kehtivas isikuandmete kaitse seaduses juba kehtivad normid üle riikliku statistika seadusesse.

§ 4. Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmine

TAIKS-is tehakse tehniline muudatus, mis tuleneb IKS § 6 lõigete numeratsiooni muutmisest. Viide IKS § 6 lõikele 4 asendatakse viitega lõikele 6. Muudatuse eesmärk on tagada viidete vastavus IKS-i uuele sõnastusele ning vältida õiguslikku ebaselgust ja eksitavaid viiteid. Sisulisi muudatusi ega uusi kohustusi see muudatus kaasa ei too – tegemist on üksnes viidete ajakohastamisega, et tagada seaduste kooskõla ja selgus.

3.2. Põhiseaduspärasus ja andmekaitsealane mõjuhinnang

Igasugune isikuandmete töötlemine riivab PS §-s 26 sätestatud õigust eraelu puutumatusele. PS § 11 kohaselt tohib õigusi ja vabadusi piirata ainult kooskõlas põhiseadusega. See tähendab, et niisugune piirang peab olema kooskõlas ka PS § 3 esimese lausega, mille kohaselt teostatakse riigivõimu üksnes põhiseaduse ja sellega kooskõlas olevate seaduste alusel. Sättes väljendatud üldise seadusereservatsiooni põhimõtte järgi peab põhiõigusi puudutavates küsimustes kõik olulised otsused langetama seadusandja. PS § 11 teise lause kohaselt peavad õiguste ja vabaduste piirangud olema demokraatlikus ühiskonnas vajalikud. Põhiõiguse riive on proportsionaalne, kui see on eesmärgi saavutamiseks sobiv, vajalik ja mõõdukas. IKS § 6 jõustamisega on seadusandja jaatanud isikuandmete töötlemise vajalikkust teadus- ja ajaloouuringute ning riikliku statistika ja täidesaatva riigivõimu analüüside ja uuringute koostamiseks. Seadusandja on näinud ette vajaduse analüüsida isikuandmeid, et teha poliitika kujundamise eesmärgil analüüse ja uuringuid.

Muudatuse eesmärk on võimaldada teadus- ja arendustegevust ning innovatsiooni laiemalt, mitte ainult poliitika kujundamiseks, ning tagada, et kõik asutused (sh KOV-id, ülikoolid, ettevõtjad) saaksid uuringuid teha, kui on tagatud piisavad kaitsemeetmed. See on vajalik ennekõike, kuna praegune regulatsioon on liiga kitsas ega võimalda kõigil asutustel uuringuid teha. Ka IKÜM ei kitsenda isikute ringi, kes teadust ja innovatsiooni võivad teha, kuid määratud peavad olema asjakohased kaitsemeetmed. Tasakaalustava meetmena nähakse muudatusega ette oluliselt rangemad andmetöötlustingimused, mis peavad olema täidetud, et andmesubjekti nõusolekuta oleks lubatud andmeid uuringus töödelda. Sätestatavad andmetöötluse lisatingimused kehtivad kõikidele uuringu tegijatele, mitte üksnes avaliku sektori asutustele. See tähendab, et riive isikute põhiõigustele on mõõdukas ja tasakaalustatud – eesmärki ei ole võimalik saavutada vähem piiravate meetmetega ja uued kaitsemeetmed vähendavad riske andmesubjektide põhiõigustele. Muudatused on mõeldud tingimuste täpsustamiseks, mitte üldpõhimõtete muutmiseks.

Muudatusega võimaldatakse isikuandmete töötlemist spetsiaalses andmetöötlussüsteemis, kuid ainult juhul, kui on võetud kõik seaduses sätestatud olulised kaitsemeetmed. See tähendab, et andmesubjekti õiguste riive on põhjendatud ja piiratud – andmeid töödeldakse ainult siis, kui see on vajalik ja piisavalt kaitstud nii tehniliste kui ka organisatsiooniliste meetmetega. Lisaks nähakse muudatusega ette, et tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda üksnes andmetöötlussüsteemis, mis tagab andmete töötluse üksnes isikustamata kujul.

Muudatuse eesmärk on võimaldada kiiremat ja turvalisemat andmepõhiste otsuste tegemist. Praegune olukord ei võimalda piisavalt kiiresti ligipääsu vajalikele andmetele ning takistab tõhusat teadustegevust ja innovatsiooni. Uus andmetöötlussüsteem võimaldab uuringuid teha turvalises keskkonnas, vähendades samal ajal andmesubjektide õiguste riivet. Andmetöötlussüsteemi kasutamisel on ette nähtud ranged tehnilised ja korralduslikud turvanõuded (nt andmete pseudonüümimine, piiratud juurdepääs, logimine, andmete kustutamine pärast uuringu lõppu). Enne süsteemi kasutuselevõttu kontrollib AKI kõigi tingimuste täitmist. Kui kõik nõuded on täidetud, ei kohaldata lisapiiranguid (nt eetikakomitee hinnangut), v.a juhul, kui see nõue tuleb mõnest muust seadusest. See vähendab halduskoormust, kuid säilitab andmekaitse kõrge taseme.

Selline lähenemine on proportsionaalne, sest võimaldab kiiremalt uuringuid teha minimaalse vajaliku riivega andmesubjektide õigustele. Muudatusega täpsustatakse, millal ja milliste kaitsemeetmetega võib andmeid töödelda andmetöötlussüsteemis, ning luuakse selgus, millal on vajalik AKI kontroll. See tagab õigusselguse ja väldib olukorda, kus andmete töötlemise alused oleksid ebamäärased. Muudatus on proportsionaalne ja mõõdukas, sest lisatakse täiendavad tehnilised ja korralduslikud kaitsemeetmed ning sõltumatu eelkontroll, mis tagab õigusselguse ja seadusandja kontrolli põhiõigusi puudutavate otsuste üle. Muudatusega isikute põhiõiguste riive ei suurene, vaid pigem väheneb, kuna täpsustatakse kaitsemeetmeid ja andmete töötlemise tingimusi.

Muudatustega laieneb isikute ring, kes võivad teadus- ja arendustegevuse ning innovatsiooni eesmärgil töödelda isikuandmeid ilma andmesubjekti nõusolekuta. Samas täpsustatakse ja karmistatakse andmekaitsenõudeid, et tagada andmesubjektide põhiõiguste parem kaitse. Uued nõuded hõlmavad:
• täpsemaid tingimusi, millal ja kuidas võib andmeid töödelda;
• pseudonüümimise ja muude kaitsemeetmete rakendamist;
• läbipaistvuse suurendamist (nt uuringust AKI-le teatamine ja info avalikustamine AKI veebilehel);
• selgemaid reegleid eetikakomiteede rolli ja pädevuse kohta.

Need meetmed vähendavad riske andmesubjektide õigustele, tagades, et andmeid töödeldakse ainult siis, kui see on põhjendatud, vajalik ja piisavalt kaitstud. Uuringu tegija peab enne andmetöötluse alustamist teavitama AKI-t ning info uuringu kohta avalikustatakse Eesti teabeväravas, mis tagab andmetöötluse läbipaistvuse ja võimaldab teha tõhusamat järelevalvet.

Andmetöötlussüsteemi kasutamine võimaldab töödelda isikuandmeid, sh eriliiki isikuandmeid, turvalises ja kontrollitud keskkonnas. See vähendab andmesubjektide õiguste riivet, kuna:
• süsteemi kasutamisel on kohustus rakendada rangeid tehnilisi ja korralduslikke turvanõudeid (pseudonüümimine, piiratud juurdepääs, logimine, andmete kustutamine pärast uuringu lõppu);
• uuringu tegijal on juurdepääs ainult neile andmetele, mida on lubatud töödelda;
• selliste andmete allalaadimine, mis võimaldaks isikut tuvastada, on välistatud.

Riskide maandamise meetmena enne süsteemi kasutuselevõttu kontrollib AKI, vajadusel kaasates Riigi Infosüsteemi Ametit, kas kõik seaduses sätestatud tingimused ja turvanõuded on täidetud. Süsteemi kasutamisel on kohustus tagada, et kõik töötlustoimingud on logitud. Uuringu tegijal on juurdepääs ainult neile andmetele, mida on lubatud töödelda konkreetse uuringu jaoks. Kui kõik seaduses sätestatud tingimused on täidetud ja kontrollitud, ei ole vaja eetikakomitee täiendavat hinnangut ega ka AKI teavitamist, mis vähendab halduskoormust, kuid säilitab andmekaitse kõrge taseme.

Tuleb silmas pidada, et iga andmetöötlussüsteemi pakkuja peab enne süsteemi kasutuselevõttu koostama oma süsteemi kohta andmekaitsealase mõjuhinnangu, see kohustus tuleb IKÜM-i artiklist 35, mille kohaselt kui teatavat tüüpi isikuandmete töötlemise, eelkõige uut tehnoloogiat kasutava töötlemise tulemusena ning isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht, hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise toimingute mõju isikuandmete kaitsele. Andmekaitsealase mõjuhinnangu olemasolu on eelduseks AKI-poolsele kontrollile ja süsteemi kasutuselevõtule.

Protsessiskeem eelnõu rakendamiseks

• Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda § 61 tingimustele vastavas AKI kontrollitud keskkonnas.

Joonis 1. Protsessiskeem isikuandmete kasutamiseks teadus- ja ajaloouuringu ning statistika eesmärgil. Allikas: JDM.
4. Eelnõu terminoloogia

Muudatusega võetakse termin „uuring“ kasutusele laiemas tähenduses. Muudatuse järel nimetatakse teadus-, ajaloo- ja statistika eesmärgil tehtavat uuringut edaspidi ühise terminiga „uuring“. Teadusuuringu eesmärgil isikuandmete töötlemine hõlmab näiteks tehnoloogia arendamist ja tutvustamist, alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid uuringuid. Ka tehisaru arendamine on osa tehnoloogiaarendusest.

5. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõuga ei võeta üle Euroopa Liidu õigust. Eelnõu koostamisel on arvesse võetud isikuandmete kaitse üldmääruses12 ja õiguskaitseasutuste direktiivis13 sätestatut.

6. Seaduse mõjud

Seaduse rakendamise mõju avaldub eelkõige riigiasutuste ja kohaliku omavalitsuse korralduses, sotsiaalvaldkonnas ning majanduses. Mõju puudutab AKI-t, eetikakomiteesid, riigiasutusi, KOV-e, ülikoole ja ettevõtjaid ning andmesubjekte (füüsilisi isikuid, kelle isikuandmeid uuringutes töödeldakse). Peamised mõjud seisnevad uuringute korralduse muutumises, isikuandmete töötlemise tingimuste täpsustumises ning halduskoormuse vähenemises. Mõju riigi julgeolekule ja välissuhetele, regionaalarengule ning elu- ja looduskeskkonnale on hinnanguliselt väike. Muudatustega võib kaasneda andmesubjektide õiguste riive või andmekaitsenõuete ebaühtlane rakendamine, kuid nende riskide realiseerumise tõenäosus on hinnanguliselt väike.

6.1. Andmekaitse Inspektsioon – mõju töökorraldusele

Hetkel ei ole teada, kui palju tehakse aastas teadus- ja ajaloouuringuid ning statistilisi analüüse, mille tegemiseks on vaja töödelda isikuandmeid. Riigiasutused tellivad või teevad poliitikakujundamise eesmärgiga uuringuid aastas 25–30. Eeldatavasti teadusasutused teevad neid kordades rohkem, lisanduvad KOV-id ja muud juriidilised isikud. Eestis on kokku 78 kohaliku omavalitsuse üksust, kui pool neist teeb ühe uuringu aastas, tähendab see 39 teavitust.

Muudatusega ei vähene oluliselt AKI koormus, mis tal kehtiva IKS-i kohaselt on seoses enne uuringu alustamist tehtud taotluse läbivaatamise, nõustamise ja hindamisega. Eelnõuga tehtava muudatuse tõttu kasvab AKI nõustamise ja järelevalvega seotud tegevuse maht, kuna kui uuringus töödeldakse tuvastamist võimaldavaid isikuandmeid, peab uuringu tellija AKI-t teavitama uuringu eesmärkidest, töödeldavatest andmetest ja rakendatud kaitsemeetmetest ning AKI avalikustama uuringuga seotud teabe oma veebilehel. Teavitamiskohustuse tõttu suureneb AKI nõustamismaht. Samuti on AKI-l võimalik vajaduse korral teha järelevalvet juba enne uuringu alustamist või ka hilisemas etapis. Samas nähakse eelnõu kohaselt ette tingimus, et püsivate samadel eesmärkidel tehtavate avaliku sektori uuringute õiguslik alus peab tulema eriseadusest, mis annab AKI-le võimaluse korduvate uuringute hindamise taotlused jätta läbi vaatamata. Kui uuringuid tehakse andmetöötlussüsteemis, on AKI ülesandeks kontrollida enne süsteemi kasutuselevõttu, kas kõik tehnilised ja korralduslikud tingimused on täidetud, vajadusel kaasates Riigi Infosüsteemi Ametit. Eeldatavasti tekib selliseid andmetöötlussüsteeme 3–5, seega kontrollide maht ei ole suur, küll aga tuleb silmas pidada, et kontrollile kuluv ressurss on siiski arvestatav, sest kontroll hõlmab tehniliselt paljusid aspekte ja kontrollitakse seaduses sätestatud tingimuste täitmist. Juhul kui avaliku sektori uuringu tegemiseks andmetöötlussüsteemi ei kasutata ja uuringus töödeldakse eriliiki isikuandmeid, tuleb AKI-l anda hinnang uuringu seaduses sätestatud tingimustele vastavusele.

Kokkuvõttes AKI roll uuringutealases nõustamises, järelevalves ja andmetöötlussüsteemide eelkontrollis suureneb, uuringute eelkooskõlastuste mahu muutumist ei ole hetkel võimalik hinnata. Koormuse suurenemise tõttu on AKI lisakulu aastas 122 800 eurot (kahe inimese tööjõukulu aastas 112 800 eurot ja majanduskulu, sh töökoha kulud, koolitused, tervise edendamine jmt 10 000 eurot).

6.2. Eetikakomiteed – mõju töökorraldusele

Muudatuse järel hakkavad eetikakomiteed hindama uuringuid, mis tehakse eriliiki isikuandmetega IKS § 6 lõike 3 ja 4 tingimustele vastavalt, ehk siis nii isikustatud kui ka pseudonüümitud isikuandmetega. Juhul kui eriliiki isikuandmeid töödeldakse andmetöötlussüsteemis, eetikakomitee hindamise kohustust ei ole, kui seaduses ei ole sätestatud teisiti. Muudatusega eetikakomitee koormus väheneb, kuna hinnanguid ei ole vaja anda, kui eriliiki isikuandmeid töödeldakse andmetöötlussüsteemis, mis peab lisaks § 61 lõikes 2 sätestatud nõutele vastama ka IKS § 6 lõikes 3 sätestatud tingimustele. Eetikakomiteelt positiivse hinnangu saamine on kohustuslikuna sätestatud järgmistes seadustes: inimgeeniuuringute seadus (§-d 27 ja 32), nakkushaiguste ennetamise ja tõrje seadus (§ 201), narkootiliste ja psühhotroopsete ainete ning nende lähteainete seadus (§ 112), rahvatervishoiu seadus (§ 30), ravimiseadus (§-d 811ja 992), meditsiiniseadme seadus (§ 213), surma põhjuse tuvastamise seadus (§ 321), Tervisekassa seadus (§ 466), TAIKS (§ 26) ning tervishoiuteenuste korraldamise seadus (§ 594).

Muudatusega laieneb termini „uuring“ sisu – poliitika kujundamise uuringud (nt riigiasutuste ja KOV-ide analüüsid ja uuringud) kuuluvad samuti § 6 alla ning võivad vajada eetikakomitee hinnangut. Kuid oluline muudatus on, et kui uuring tehakse spetsiaalses andmetöötlussüsteemis, siis eetikakomitee hinnangut vaja ei ole. Paljusid poliitika kujundamise uuringuid, milleks seni on olnud vaja eetikakomitee ja AKI hinnangut, saab edaspidi teha ilma nendeta, kui kasutatakse piisavaid tehnilisi ja organisatsioonilisi kaitsemeetmeid vastavas andmetöötlussüsteemis. Seega eetikakomitee ei pea menetlema kõiki avaliku sektori tehtavaid uuringuid, vaid ainult neid, kus eriliiki isikuandmeid töödeldakse väljaspool andmetöötlussüsteemi ning mis AKI hinnangul vajavad eetika seisukohast hindamist, kui seaduses ei ole sätestatud teisiti. Siinkohal sobivad näiteks Eesti Geenivaramu uuringud, mille puhul tuleb andmekogu vastutaval töötlejal saada oma uuringutele teaduseetika komitee heakskiit.

6.3. Andmesubjektid – sotsiaalne mõju

Kuna muudatusega nähakse ette kindlad kaitsemeetmed isikuandmete töötlemisele, siis väheneb riive isikute põhiõigustele. Muudatusega luuakse võimalused andmete töötlemiseks andmetöötlussüsteemis ning väheneb isikustatud andmete töötlemise maht. Avades suuremale hulgale riigiasutustele uuringute tegemise võimaluse, laieneb isikuandmete töötlejate ring, kuid samas nähakse ette kaitsemeetmed isikuandmete töötlemisele, seega ei suurene oluliselt isikute põhiõiguste riive. Isikute põhiõigustele muudatused olulist lisariivet ei tekita.

Andmesubjekt võib sõltuvalt uuringust olla iga inimene. Muudatusega luuakse andmetöötluse protsess, mis riivab vähem isikute põhiõigusi, ning täiendatakse andmetöötluse kaitsemeetmeid, mis tagavad tõhusama isikuandmete kaitse. Muudatus mõjutab andmesubjekti positiivselt, kuna lisaks IKS § 6 tingimuste täitmise hindamisele antakse uuringule ka eetiline hinnang. Kuna isiku tuvastamist võimaldavate andmetega tehtud uuringute tegemise kohta avalikustatakse info Eesti teabeväravas, võimaldab see andmesubjektil saada ülevaate, milliseid uuringuid tema andmetega tehakse. Andmesubjekt saab vajadusel lisateabe saamiseks pöörduda uuringu tellija poole. Samuti säilib andmesubjektil õigus pöörduda AKI poole, kui ta leiab, et tema andmeid on töödeldud ebaseaduslikult või tema õigusi on rikutud.

6.4. Asutused, kohalikud omavalitsused ja nende hallatavad asutused – mõju töökorraldusele

Kui praegu võivad asutused isikuandmeid kasutades uuringuid teha peamiselt poliitika kujundamise eesmärgiga, siis edaspidi saavad nad seda teha ka muudel eesmärkidel, näiteks teenuste arendamiseks või avalikes huvides innovatsiooni elluviimiseks.

Asutustele avaldub positiivne mõju, sest muudatus võimaldab teha kiiremini andmetel põhinevaid otsuseid. Enamikuks uuringuteks ei ole vaja töödelda isikustatud andmeid ja uuringu tegijale on vajalikud üksnes statistilised andmed. Sellist andmetöötlust saab eelnõu kohaselt edaspidi teha andmetöötluskeskkonnas. Keskkonnas ei töödelda andmeid, mis võimaldavad isikut tuvastada, mistõttu ei ole vajalik AKI ega eetikakomitee eelhinnang, mistõttu kiireneb uuringu protsess. Nendel juhtudel, kui on vaja töödelda eriliiki isikuandmeid väljaspool andmetöötlussüsteemi, tuleb enne andmetöötlusega alustamist läbida AKI ja vajadusel ka eetikakomitee menetlus.

Asutustel, KOV-idel ja nende hallatavatel asutustel tekib rohkem võimalusi ja paindlikkust uuringute tegemisel, kuid ka suurem vastutus andmekaitsenõuete täitmise eest.

6.5. Ülikoolid, ettevõtjad – majanduslik ja töökorralduslik mõju

Muudatusega luuakse selgemad tingimused, millal ja milliste andmetega uuringuid on lubatud teha. Luuakse selgus, millal ja millise eetikakomitee poole peab uuringu tellija pöörduma. Uuringu tellijale luuakse võimalus andmeid töödelda andmetöötluskeskkonnas, väheneb uuringu tellija töökoormus ja lüheneb uuringu tegemise aeg, kuna eriliiki isikuandmete andmetöötluskeskkonnas töötlemise tarvis ei ole vaja eetikakomitee hinnangut. Isikuandmete töötlemine tähendab teadustöö tellijale paratamatult IKS-ist tulenevaid piiranguid ja halduskoormust (eetikakomitee menetlus). Kavandatavad muudatused küll muudavad kehtivat korda, kuid eeldatavasti halduskoormus teadustöö tegijatel ei suurene, vaid pigem väheneb olukorras, kus soovitakse töödelda eriliiki isikuandmeid andmetöötlussüsteemis. See on ka oluline aja kokkuhoid. Teatavat mõju halduskoormusele võib tekitada AKI teavitamise kohustus, kuid võrreldes eetikakomitee menetlusega ei ole see märkimisväärne.

6.6. Riikliku statistika tegijad

RStS-i muudatustel ei ole mõju olemasolevale korrale ega praktikale, mis kehtib riikliku statistika vajadusteks isikuandmete töötlemisel.

6.7 Mõjude koondkokkuvõte
Halduskoormus ettevõtetele
Eelnõu rakendamise tulemusel halduskoormus ettevõtetele üldjuhul väheneb. Vähenemine tuleneb eelkõige võimalusest teha uuringuid ja analüüse nõuetele vastavas andmetöötlussüsteemis, mille kasutamisel ei ole vaja läbida kõiki seniseid kooskõlastus- ja hindamismenetlusi (nt eetikakomitee menetlust). Teatav täiendav halduskoormus võib kaasneda AKI teavitamise kohustusega, kuid see on võrreldes varasema menetlusega vähem ajamahukas.

Halduskoormus inimestele (andmesubjektidele)
Eelnõu ei too kaasa inimestele uusi kohustusi ning halduskoormus kodanikele tervikuna ei suurene. Andmesubjektide vaates muutub andmetöötlus läbipaistvamaks (nt uuringute avalikustamine Eesti teabeväravas), mis võib vähendada vajadust pöörduda selgituste saamiseks asutuste poole.

Töökoormus avalikule sektorile
Avaliku sektori töökoormus oluliselt ei suurene. AKI koormus uuringutealases nõustamises, järelevalves ja andmetöötlussüsteemide eelkontrollis suureneb, uuringute eelkooskõlastuste mahu muutumist ei ole hetkel võimalik hinnata. Eetikakomiteede töökoormus väheneb, kuna andmetöötlussüsteemis tehtavate uuringute puhul ei ole üldjuhul eetikakomitee hinnangut vaja. Riigiasutuste ja KOV-ide jaoks lihtsustub uuringute tegemine.

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud

Teenistujate töökoormuse kasv seoses AKI veebilehel uuringute ja andmetöötlussüsteemide kohta teabe avaldamisega sõltub uuringute arvust. Seaduse rakendamine ei too riigile ega kohalikele omavalitsustele kaasa olulisi täiendavaid kulusid. Mõningane töökoormus võib kaasneda AKI-le nõustamisega, järelevalvega ning uuringute ja andmetöötlussüsteemide kohta teabe avaldamisega AKI veebilehel. Koormuse suurenemise tõttu on AKI lisakulu aastas 122 800 eurot (kahe inimese tööjõukulu aastas 112 800 eurot ja majanduskulu, sh töökoha kulud, koolitused, tervise edendamine jmt 10 000 eurot). Seaduse rakendamisega ei kaasne otseseid lisatulusid.

8. Rakendusaktid

Eelnõu § 61 lõige 4 näeb ette volitusnormi, mille kohaselt on valdkonna eest vastutaval ministril õigus kehtestada määrusega täiendavaid tehnilisi ja korralduslikke turvanõudeid andmetöötlussüsteemis andmete töötlemisele. Selline volitusnorm on vajalik, et tagada paindlikkus ja ajakohasus turvanõuete rakendamisel, arvestades tehnoloogia kiiret arengut ning uute riskide ilmnemist andmetöötluses. Tegemist on lubava volitusnormiga, mis võimaldab reageerida kiiresti olukordadele, kus senised seaduses sätestatud nõuded ei pruugi olla piisavad, ning kehtestada lisameetmeid, mis on vajalikud andmete turvaliseks töötlemiseks.

9. Seaduse jõustumine

Seadus jõustub üldises korras, kuna eelnõu seadusena jõustumine ei too kaasa vajadust praktiliste muudatuste järele. See loob võimaluse uut moodi andmetöötluseks. Kuna tegemist ei ole kohustusega, siis ei ole eelnõu adressaatidel seaduse jõustumisel vaja oma tegevust suures mahus ümber korraldada.

10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

VTK koostamisele eelnesid arutelud riigi andmete juhtrühma õiguse töörühma kohtumistel, kuhu olid kaasatud Riigikantselei, AKI, Õiguskantsleri Kantselei, Statistikaamet, ülikoolid ja Eesti Andmekaitse Liit. Samuti toimusid kohtumised Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ja IT-ettevõtjatega. Avalikus konsultatsioonis kaasati veel Eesti Juristide Liit, Eesti Advokatuur, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Teaduste Akadeemia, Eesti rektorite nõukogu, Rahvusarhiiv, Eesti Linnade ja Valdade Liit, Riigikohus, Tallinna Ringkonnakohus, Tartu Ringkonnakohus, Tallinna Halduskohus, Tartu Halduskohus, Tartu Ülikool, Tallinna Tehnikaülikool, Tallinna Ülikool, Eesti Maaülikool, Eesti Kunstiakadeemia, Eesti Muusika- ja Teatriakadeemia, Eesti Lennuakadeemia, Kaitseväe Akadeemia, Sisekaitseakadeemia, Tallinna Tehnikakõrgkool, Tallinna Tervishoiu Kõrgkool, Kõrgem Kunstikool Pallas, rakenduskõrgkoolide rektorite nõukogu, SA Eesti Teadusagentuur, Eesti Isikuloo Keskus, Eesti Mälu Instituut, Inimõiguste Instituut, E-riigi Akadeemia, Eesti Koostöö Kogu, Eesti Kaubandus-Tööstuskoda, Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon ning Eesti Tööandjate Keskliit. VTK esitati teadmiseks Riigikogule, kelle soovil tutvustati VTK-d põhiseaduskomisjonis.

VTK kohta esitasid tagasiside Eesti Linnade ja Valdade Liit, mõttekoda Praxis, Tallinna Tehnikaülikool, Tartu Ülikool, Eesti Meediaettevõtete Liit, Eesti Rahvusraamatukogu, Eesti rakendusuuringute keskus Centar, Eesti Tööandjate Keskliit, Eesti Kunstiakadeemia, Eesti Andmekaitse Liit, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Advokatuur, Eesti Maaülikool, SA Eesti Teadusagentuur ja Rahvusarhiiv. Eelnõu on koostatud arutelude käigus saadud infot ja VTK tagasisidet arvestades.

Eelnõu esitati kooskõlastamiseks eelnõude infosüsteemi (EIS) kaudu 25-1413/01 kõikidele osapooltele, kes olid kaasatud VTK etapis.
Eelnõu kohta esitasid arvamuse Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon, Eesti Kaubandus- ja Tööstuskoda, SA Eesti Teadusagentuur, Tallinna Ülikool, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Linnade ja Valdade Liit, Riigikogu Kantselei ja Tartu Ülikool. Eelnõu kohta esitatud arvamused koos selgitustega on toodud seletuskirja lisas.

Algatab Vabariigi Valitsus 14. septembril 2026. a

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)
Heili Tõnisson
Valitsuse nõunik

Seletuskiri.pdf

Isikuandmete kaitse seaduse muutmise ja sellega seonduvalt teiste

seaduste muutmise seaduse eelnõu seletuskiri

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõuga muudetakse isikuandmete kaitse seaduse § 6, mis käsitleb olukordi, kus isikuandmeid

kasutatakse teadusuuringutes, ajaloouuringutes või riikliku statistika koostamisel. Alates 2018.

aastast kehtib Euroopa Liidus isikuandmete kaitse üldmäärus (IKÜM)1, mis näeb ette, kuidas

isikuandmeid tohib töödelda. Kuigi see määrus kehtib otse kõigis Euroopa Liidu riikides, on

liikmesriikidel lubatud mõnes valdkonnas täpsustada, kuidas andmeid töödelda. Eestis on seda

tehtud isikuandmete kaitse seadusega (IKS). IKS § 6 on just see osa seadusest, mis näeb ette,

millal ja kuidas tohib isikuandmeid inimese nõusolekuta kasutada teadus- ja ajaloouuringu ning

statistika vajadusteks.

Kehtiva õiguse kohaselt on isikuandmete kasutamine uuringute ja statistika tegemiseks

võimalik üksnes kindlatel tingimustel, kuid praktikas on nende tingimuste tõlgendamisel ja

rakendamisel tekkinud ebaselgust. Seetõttu on vaja täpsustada, kes ja millistel tingimustel võib

isikuandmeid uuringute tegemiseks kasutada. Näiteks praegu tohib avalik sektor uuringuid teha

ainult siis, kui need on seotud poliitika kujundamisega. See ei võimalda aga asutustel teha

analüüse näiteks teenuste arendamiseks. Uuringuid ja analüüse peaks saama teha ka muudel

eesmärkidel kui poliitika kujundamine.

Eelnõu eesmärk on suurendada õigusselgust, ühtlustada uuringute tegemise tingimusi eri

osapoolte jaoks ning võimaldada andmetel põhinevate uuringute, analüüside ja

arendustegevuse tegemist viisil, mis kaitseb andmesubjektide õigusi. Muudatusega nähakse ette

selgemad reeglid ja kaitsemeetmed – eelnõuga täpsustatakse, millised tingimused peavad olema

täidetud, et andmeid saaks kasutada uuringutes, tagades samas isikute põhiõiguste parema

kaitse. Muudatusega luuakse võimalus kiiremaks andmetöötluseks, kasutades eelnõus

sätestatud tingimustele vastavat andmetöötlussüsteemi. Muudatused puudutavad eelkõige neid,

kes teevad uuringuid ja analüüse (nt riigiasutused, teadusasutused, ettevõtjad), aga ka

andmekogude vastutavaid töötlejaid ning neid isikuid ja asutusi, kes plaanivad

andmetöötlussüsteemi pakkuma hakata. Muudatusega viiakse riikliku statistika tegemist

puudutavad sätted riikliku statistika seadusesse. Riikliku statistika tegemine on riikliku

statistika tegijale seadusega pandud ülesanne ning ülesande täitmist puudutavad sätted peavad

olema asutuse tegevust puudutavas eriseaduses.

Kavandatavate muudatuste tulemusel väheneb ettevõtjatel ja ülikoolidel halduskoormus

rakendus- ja teadusuuringute tegemisel. Halduskoormus väheneb eelkõige juhtudel, kus

uuringuid saab teha nõuetele vastavas andmetöötlussüsteemis ning seetõttu ei ole vaja läbida

kõiki seniseid kooskõlastusi ja hindamisi. Senisest selgemaks ja teatud juhtudel lihtsamaks

muutub isikuandmete töötlemine andmesubjekti nõusolekuta – eelkõige olukordades, kus

töödelda soovitakse eriliiki isikuandmeid, mille töötlemiseks on kehtiva korra kohaselt alati

vaja eetikakomitee hinnangut. Edaspidi võib andmetöötlussüsteemis isikuandmeid töödelda

eetikakomitee hinnanguta, eeldusel, et on täidetud IKS §-des 6 ja 61 sätestatud tingimused, st

1 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel

ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta.

isikuandmeid töödeldakse teadus- või ajaloouuringu või statistika eesmärgil, andmesubjekti

õigusi piiratakse ainult siis, kui nende rakendamine muudaks andmetöötluse eesmärgi

saavutamise võimatuks või takistaks seda oluliselt, ning andmeid töödeldakse võimaluse korral

pseudonüümitud kujul või viisil, mis ei võimalda isikut otseselt tuvastada. Eeldatavasti väheneb

ka eetikakomiteede halduskoormus.Muudatuste tulemusel muutuvad uuringute tegemise

tingimused kõigile osapooltele selgemaks ja ühtsemaks. See lihtsustab ja kiirendab uuringute

tegemist ning toetab andmepõhist poliitikakujundamist, avalike teenuste arendamist, mis

võimaldavad uuringuid ja analüüse teha ka muudel eesmärkidel kui poliitika kujundamine.

Samalajal tugevdatakse järelevalvet ja andmesubjektide õiguste kaitset, täpsustades AKI

teavitamise korda ning AKI ja eetikakomitee rolli.

Kokkuvõttes on muudatuse eeldatav mõju positiivne: uuringute tegemine muutub kiiremaks ja

selgemaks, halduskoormus väheneb eelkõige ettevõtjatel, ülikoolidel ja eetikakomiteedel ning

andmesubjektide õiguste kaitseks nähakse ette täpsemad reeglid ja kontrollimehhanismid.

1.2. Eelnõu ettevalmistaja

Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi õiguspoliitika osakonna

andmekaitseõiguse talituse nõunik Kristel Niidas ([email protected], 5305 5220).

Eelnõu normitehnilise kontrolli on teinud Justiits- ja Digiministeeriumi õiguspoliitika osakonna

õigusloome korralduse talituse nõunik Katariina Kärsten ([email protected]) ja

eelnõu on keeleliselt toimetanud sama talituse toimetaja Mari Koik ([email protected]).

1.3. Märkused

Eelnõu kohaselt muudetakse järgmisi seadusi:

• isikuandmete kaitse seadus (IKS) avaldamismärkega RT I, 12.07.2025, 14;

• teadus- ja arendustegevuse ning innovatsiooni korralduse seadus (TAIKS)

avaldamismärkega RT I, 12.07.2025, 1;

• kohaliku omavalitsuse korralduse seadus (KOKS) avaldamismärkega RT I,

10.02.2026, 12;

• riikliku statistika seadus (RStS) avaldamismärkega RT I, 11.03.2022, 2.

Eelnõu ei ole otseselt seotud teiste menetluses olevate eelnõudega ega Euroopa Liidu õiguse

rakendamisega. Eelnõu on seotud Vabariigi Valitsuse tegevusprogrammis2 seatud eesmärgiga,

tegevusprogrammi punktiga 402 (isikuandmete kaitse seaduse muutmine, et täpsustada teadus-

ja poliitika kujundamise uuringute ning tehnoloogia arenduse eesmärgil isikuandmete

töötlemise tingimus). Eelnõu vastuvõtmiseks on vajalik Riigikogu poolthäälteenamus.

2. Seaduse eesmärk

Eelnõu eesmärk on tagada õigusselgus, kes ja millistel tingimustel võivad töödelda

isikuandmeid teadus- ja ajaloouuringu, statistika ning avaliku sektroti uuringu eesmärgil. On

oluline, et kõigile osapooltele, kellel on vaja isikuandmeid nimetatud eesmärgil töödelda,

kohalduksid võrdsed õigused ja kohustused, olgu selleks ülikool, üliõpilane, riigiasutus, kohalik

2 Vabariigi Valitsuse 19. juunil 2025 kinnitatud tegevusprogramm. https://valitsus.ee/valitsuse-eesmargid-ja-

tegevused/valitsemise-alused/tegevusprogramm-0

omavalitsus (KOV) või ettevõtja, kes soovib teha teadusuuringut või innovatsiooni. Samuti on

eelnõu eesmärk täpsustada kaitsemeetmeid, mida tuleb andmetöötlusel rakendada, et oleks

tagatud andmesubjektide õiguste kaitse. Eelnõu eesmärk on ka luua lahendus, mis võimaldab

kiiremaid protsesse nii klassikalises teaduses kui ka avalikus sektoris ja innovatsioonis, juhul

kui andmetöötluseks kasutatakse eelnõus ette nähtud tingimustele ja nõuetele vastavat

andmetöötlussüsteemi. Eelnõuga nähakse ette enne andmetöötlussüsteemi kasutuselevõttu

tehtav Andmekaitse Inspektsiooni (AKI) kontroll, selgitamaks välja, kas süsteem vastab

seaduses sätestatud tingimustele. Samuti nähakse teatud juhtudel ette kohustus AKI-t uuringust

teavitada, et oleks ülevaade, kes milliste andmetega ja millisel eesmärgil uuringuid teeb. Samuti

nähakse eelnõuga ette, et teatud juhtudel, kui uuringu eesmärki ei ole võimalik muul viisil

saavutada kui nii, et töödeldakse isikustatud andmeid, peab uuringu tellija enne uuringu

alustamist läbima seadusega või selle alusel moodustatud valdkondliku eetikakomitee või AKI.

Varem on olnud ebaselgust, kelle poole peaks uuringu tegija pöörduma, kas eetikakomitee või

AKI või mõlema. Muudatusega luuakse selgus, millal tuleb pöörduda eetikakomiteesse, millal

kontrollib tingimuste täitmist AKI ja millal piisab AKI teavitamisest. Võrreldes varasemaga on

täpsustatud, et eetikakomitee peab olema moodustatud seadusega või selle alusel, kuna kehtiva

seaduse kohaselt võiks eetikakomitee luua põhimõtteliselt igaüks.

Eelnõuga muudetakse IKS § 6, mis näeb ette tingimused isikuandmete töötlemiseks, kui seda

on vaja teha teadus- või ajaloouuringu, statistika või avaliku sektori uuringu vajadusteks. 25.

maist 2018 sätestab isikuandmete kaitse õiguse otsekohalduv Euroopa Parlamendi ja nõukogu

määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste

andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (IKÜM), mis

tingis vajaduse sel hetkel kehtinud riigisisene õigus üle vaadata. Kuigi IKÜM-i puhul on

tegemist Euroopa Liidu otsekohalduva õigusaktiga, on teatud küsimustes jäetud

liikmesriikidele kaalutlusõigus riigisisese õigusaktiga täpsustada IKÜM-is sätestatud

isikuandmete töötlemisega seotud küsimusi. IKS-iga loodi üldised raamid isikuandmete

töötlemisele küsimustes, mis IKÜM-iga on jäetud liikmesriigi otsustada. Tegemist on erandiga,

mis tuleneb IKÜM-i artiklist 89. IKS § 6 põhineb ka IKÜM-i artikli 6 lõike 1 punktil e, mille

kohaselt on liikmesriigil võimalik õigusaktiga täpsustada avalikes huvides oleva ülesande

täitmise aluseid. Teadus- ja ajaloouuringud ning statistika on avalikes huvides olevad

ülesanded. IKS §-ga 6-ga luuakse õiguslik alus valiku sektori uuringu tegemiseks, nähes

andmetöötluseks ette samad tingimused ja kaitsemeetmed, mis teadusuuringu puhul. Silmas

tuleb pidada, et mitte kõik avaliku sektori uuringud ei kvalifitseeru teadusuuringuks IKÜM-i

tähenduses, seega on ka siin vaja ette näha andmetöötlustingimused ja kaitsemeetmed. Uuringu

tegemiseks võib olla ka mõni muu IKÜM artikli 6 lg 1 või 9 sätestatud õiguslik alus, aga ka

sellisel juhul peavad olema täidetud IKS-is sätestatud tingimused.

IKS-i uue tervikteksti jõustumisest on möödas üle seitsme aasta ning selle aja jooksul on

selgunud mitu probleemi IKS § 6 tõlgendamisel ja rakendamisel. Eelnõuga täiendatakse IKS §

6 täiendavate kaitsemeetmetega. Sätestatakse täpsemad tingimused, millele andmetöötlus peab

vastama, et oleksid täidetud IKÜM-i nõuded ja andmesubjekti õigused oleksid kaitstud. Selleks,

et andmeid oleks võimalik teadustöös kasutada, nähakse ette, millised kaitsemeetmed on

piisavad, et võimaldada andmesubjekti nõusolekuta isikuandmete töötlemist teadusuuringutes.

Kehtiv IKS kitsendab ülemäära asutuste ringi, kellel on lubatud analüüse ja uuringuid teha.

Kehtiva seaduse kohaselt loetakse teadusuuringuks täidesaatva riigivõimu analüüsid ja

uuringud, mis tehakse poliitika kujundamise eesmärgil. On leitud, et ei ole otstarbekas asutuste

uuringute tegemise õigust siduda üksnes poliitika kujundamisega, asutustel on vaja analüüse ja

uuringuid teha ka muul otstarbel, nt teenuste arendamiseks jne. Eelnõuga luuakse selged

raamid, millised asutused võivad IKS § 6 alusel analüüse ja uuringuid teha.

Riigikantselei tellitud NJORD Advokaadibüroo analüüsis3 on käsitletud probleemi, et asutustel

ei ole võimalik teha kiireid andmepõhiseid otsuseid. Muudatus ühtlustab kõikide uuringute

tegemise tingimused. Uue lahendusena uuringu kiiremaks tegemiseks luuakse muudatusega

võimalus andmeid töödelda eelnõus ettenähtud tingimustele vastavas andmetöötlussüsteemis.

Luuakse võimalus uuringuid kiiremini teha, samas nähakse ette lisatingimused ja

kaitsemeetmed.

Euroopa Liidu terviseandmeruumi määruse4 kontekstis tuleb silmas pidada, et tegemist on

alternatiivse mehhanismiga terviseandmete töötlemiseks. Terviseandmeruumi määruse artikli

1 punktide 7 ja 8 kohaselt ei piira see määrus liikmesriigi õiguse erisätete kohaldamist. Määruse

põhjenduspunktis 52 selgitatakse lisaks, et määruse eesmärk on luua kogu liidus ühine

mehhanism juurdepääsuks elektroonilistele terviseandmetele teiseseks kasutuseks, ilma et see

takistaks või asendaks olemasolevaid lepingulisi kokkuleppeid või muid mehhanisme. Samas

tuleb silmas pidada, et määrus reguleerib tervishoiu ja sotsiaalvaldkonna spetsiifilisi andmeid,

mistõttu on eelnõus ka tingimus, et selliseid andmeid võib töödelda üksnes § 61 tingimustele

vastavas andmetöötlussüsteemis.

Muudatused mõjutavad eelkõige uuringu tellijaid. Muudatused on vajalikud, et kaasajastada ja

ühtlustada uuringu tegemise andmetöötluse tingimusi ning sätestada täiendavad

kaitsemeetmed, et andmesubjektide põhiõigused oleksid paremini kaitstud.

Muudatusega jäetakse seadusest välja seni riikliku statistika kohta käinud sätted. Edaspidi

kohalduks § 6 üldiselt igasugusele statistikatööle. Riikliku statistika tegijale pandud ülesannete

täitmiseks vajalike isikuandmete töötlemine tuleb muudatuse kohaselt ette näha valdkonda

reguleerivas seaduses. Seetõttu on vaja täiendada RStS-i nende sätetega, mis IKS § 6 muutmise

tulemusel kehtivast seadusest välja jääksid – sisuliselt tõstetakse kehtiva IKS-i vastavad normid

RStS-i. Lisaks kaasajastatakse nimetatud seadust tulenevalt Justiits- ja Digiministeeriumi

juhisest isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta

eelnõudes5 (edaspidi JDM-i juhis).

Muudatuste kohta on koostatud seaduseelnõu väljatöötamise kavatsus (VTK)6. VTK kohta

märkuste esitajad on kirjas seletuskirja 10. osas. VTK-s pakuti välja kaks lahendust: esiteks, et

erinevatele uuringu tellijatele kehtivad erinevad tingimused; teiseks, et kõigi uuringu tellijate

suhtes võiks kehtida samasugune regulatsioon. Selleks, et regulatsioon oleks selge, üheselt

arusaadav ja võrdne kõigile osapooltele, on eelnõus valitud lahendus, et kõik uuringu tellijate

suhtes kehtivad tingimused on ühtlustatud. VTK kajastas tol hetkel veel jõustumata

regulatsiooni (mis praegu on jõustunud), mille kohaselt: kui uuringus töödeldakse isikuandmeid

kujul, mis ei vasta seaduses sätestatud tingimustele, ning seda tehakse kaitsemeetmeid

rakendamata, hindab n-ö tavalisi uuringuid eetikakomitee ja poliitika kujundamise uuringuid

3 L. Jürgen. Riigi andmekogu andmete ristkasutuse võimalused IKS vaates. Õigusanalüüs. Riigikantselei 2024.

https://riigikantselei.ee/sites/default/files/documents/2024-

10/240607%20IKS%20%C2%A7%206%20lg%205%20anal%C3%BC%C3%BCs%20ja%20normatiivteksdi%2

0ettepanek.pdf 4 Euroopa Parlamendi ja nõukogu määrus (EL) 2025/327, mis käsitleb Euroopa terviseandmeruumi ning millega

muudetakse direktiivi 2011/24/EL ja määrust (EL) 2024/2847 (EMPs kohaldatav tekst) 5 Juhis isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta eelnõudes. Justiits- ja

Digiministeerium 2025. https://www.justdigi.ee/sites/default/files/documents/2025-

10/Juhis%20eeln%C3%B5ude%20koostamiseks.pdf 6 Isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsus. Justiits- ja Digiministeerium 2025.

https://adr.rik.ee/jm/dokument/16949286

AKI. Erinevalt VTK lisas välja pakutud eelnõust allutatakse siinse eelnõu kohaselt kõik

uuringud, mis tehakse eriliiki isikuandmetega, eetikakomitee hindamisele. Uuringutest, mis

tehakse isiku tuvastamist võimaldavate andmetega, mis ei ole eriliiki isikuandmed, on kohustus

teavitada AKI-t. Siinses eelnõus ette nähtud tööjaotust toetab ka IKÜM-i loogika, mille kohaselt

on AKI-l nõustamise ja järelevalve pädevus, kuid AKI ei anna lubasid andmetöötluseks.

3. Eelnõu sisu ja võrdlev analüüs

3.1. Eelnõu sisu

Eelnõu koosneb neljast paragrahvist, millest esimene sätestab IKS-i kavandatud muudatused,

teine KOKS-i muudatuse, kolmas RStS-i muudatuse ja neljas TAIKS-i muudatuse.

§ 1. Isikuandmete kaitse seadus

IKS § 6

Lõige 1 sätestab, et isikuandmeid, sealhulgas eriliiki isikuandmeid, võib andmesubjekti

nõusolekuta teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu (edaspidi uuring)

eesmärgil töödelda §-des 6 ja 61 sätestatud tingimustel.

Põhiseaduse (PS) § 26 teine lause sätestab eraelu käsitleva piiriklausli, mille kohaselt võib

sekkuda perekonna- ja eraellu seaduses sätestatud juhtudel ja korras tervise, kõlbluse, avaliku

korra või teiste inimeste õiguste ja vabaduste kaitseks, kuriteo tõkestamiseks või kurjategija

tabamiseks. Paragrahvi 26 teises lauses on seega sätestatud kvalifitseeritud

seadusereservatsioon, mis lubab eraelu riivata üksnes seaduse alusel ja § 26 teises lauses

kindlaks määratud põhjustel. PS koosmõjus IKÜM art 6 lõike 1 punktiga e kannab mõtet, et

isikuandmete töötlemine on võimalik seaduse alusel, kui see on vajalik avalikes huvides oleva

ülesande või avaliku võimu teostamiseks. Teadus- ja ajaloouuringud ning statistika on avalikes

huvides olevad ülesanded. Siinkohal ei muudeta juba kehtivat seadust ja sellest tulenevaid

põhimõtteid, vaid tegemist on pigem sõnastusliku muudatusega. Teadusuuringu all on silmas

peetud uuringut, mis loob uut, üldistatavat teadmist, ajaloouuring uurib minevikku

olemasolevate allikate põhjal, statistika puhul on tegemist trendide ja seoste fikseerimise ning

üldiste järelduste tegemisega.

IKS §-ga 6 on juba sätestatud õiguslik alus isikuandmete töötlemiseks teadus- ja ajaloouuringu

ning statistika eesmärgil. Lõike 1 kohaselt nimetatakse teadus- ja ajaloouuringut ning statistika

eesmärgil tehtavat uuringut edaspidi ühise nimetusega „uuring“. Samuti sätestatakse, et

andmeid võib töödelda IKS §-des 6 ja 61 sätestatud tingimustel. Sättest on välja jäetud sõna

„riiklik“, sest säte kohaldub igasuguse, mitte ainult riikliku statistika kohta. Statistiline eesmärk

tähendab kõiki isikuandmete kogumise ja töötlemise toiminguid, mis on vajalikud

statistikauuringuteks või statistika koostamiseks. Juhul kui riikliku statistika tegijale on riikliku

statistika seadusega ette nähtud ülesanne teha statistikat (nt Statistikaametil riikliku programmi

alusel tehtav statistikatöö), töötleb asutus andmeid oma eriseaduse, mitte IKS § 6 alusel. Oluline

on silmas pidada säte kohaldub juhul kui uuringut ei viida läbi andmesubjekti nõusolekul. Juhul

uuring viiakse läbi andmesubjekti nõusolekul peavad nõusoleku küsimisel olema välja toodud

andmetöötluse eesmärgid, ulatus, andmete säilitamise tähtajad ja andmetöötlusel rakendatavad

kaitsemeetmed.

IKÜM-i põhjenduse 159 kohaselt tuleks teadusuuringute eesmärgil toimuvat isikuandmete

töötlemist tõlgendada nii laialt, et see hõlmab näiteks tehnoloogiaarendust ja

tutvustamistegevust, alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid

uuringuid, lisaks tuleks arvesse võtta EL-i toimimise lepingu artikli 179 lõikes 1 sätestatud liidu

eesmärki luua Euroopa teadusruum, rahvatervise valdkonnas peaks teadusuuringute eesmärk

hõlmama avalikust huvist lähtuvalt tehtud uuringuid. Seega on IKÜM-iga loodud võimalikult

lai tõlgendus. Säte täpsustab, et „teadusuuringu“ termini sisustamisel IKS-i tähenduses tuleb

lähtuda IKÜM-i kohastest teadusuuringu tunnustest.

Tuleb silmas pidada, et ka tehisaru arendamine on osa tehnoloogiaarendusest ning ka tehisaru

andmetöötlusele kohaldub IKS § 6 juhul, kui tehisaru arendamisel soovitakse kasutada

isikuandmeid. Tehisaru arendamist tuleb seega käsitleda ühe osana laiemast teadus- ja

arendustegevusest, millele IKÜM annab selge õigusliku aluse – nii arendus-, treening-,

valideerimis- kui ka testimisfaasis.

Loomulikult tuleb tehisaru arendada esmajärjekorras anonüümitud andmetega. Kui konkreetse

tehisaru arendamiseks anonüümitud andmetest ei piisa, peab isikuandmete kasutamine vastama

IKS §-s 6 sätestatud tingimustele. Tuleb alati silmas pidada, milliseid andmeid ja kellele

tehisaru arendamiseks edastatakse. See tähendab, et igas tehisaru arenduse etapis tuleb hinnata,

millised isikuandmed on vältimatult vajalikud, milline on nende roll mudeli treenimisel ja selle

kvaliteedis ning kuidas tagatakse põhiõiguste kaitse kogu arendustsükli jooksul.

Arvestada tuleb kõikide IKÜM-is sätestatud andmetöötluse põhimõtetega, sh andmete

minimaalsuse ja eesmärgipärasuse põhimõttega. Tehisaru arendamisel tuleb hinnata, milliseid

isikuandmeid on tarvis konkreetse eesmärgi saavutamiseks töödelda. Andmetöötlus peab olema

selline, et oleks tagatud isikute põhiõiguste kaitse.

On oluline rõhutada, et tehisaru ei ole asi iseeneses, selle arendamise eest vastutab alati asutus

või isik, kes seda arendab, mh määrab andmetöötluse eesmärgid, otsustab, milliseid

isikuandmeid arendamisel kasutatakse jne. Nii nagu iga uuringu tegija, on ka tehisaru arendaja

uuringu tegija ja isikuandmete vastutav töötleja IKÜM-i artikli 4 punkti 7 mõttes. Kui tehisaru

arendamisel osaleb mitu isikut või asutust, kes ühiselt määravad, kuidas ja millisel eesmärgil

andmeid töödeldakse, siis on nad kaasvastutavad töötlejad (IKÜM art 26). Kui asutus või isik

soovib tehisaru arendada, aga tal ei ole selleks tehnilist kompetentsi, võib eesmärkide täitmiseks

kasutada ka volitatud töötlejat (IKÜM art 4 p 8). Sellisel juhul töötleb tehisaru arendaja

andmeid ainult vastavalt arenduse tellinud asutuse juhistele ja arendaja on volitatud töötleja.

Seega tuleb tehisaru arendamisel alati läbi mõelda osapoolte rollid, kohustused ja vastutus ning

seal kohalduvad IKS § 6 sätted nagu iga teise uuringu puhul.

Tehisaru arendamisega seotud teadus- ja arendustegevust mõjutab ka Euroopa Liidu

tehisintellekti määrus (TI määrus)7. TI määrus tugevdab tehisaru arendamise õiguspärast

raamistikku, luues lisavõimaluse kasutada seaduslikult – kuid muudel eesmärkidel – kogutud

isikuandmeid tehisaru arendamiseks, treenimiseks ja testimiseks regulatiivses katsekeskkonnas

(TI määruses regulatiivliivakast). TI määruse artikli 3 punkti 55 kohaselt on tehisintellekti

regulatiivne katsekeskkond pädeva asutuse loodud kontrollitud raamistik, mis pakub

tehisintellektisüsteemide pakkujatele võimalust arendada, treenida, valideerida ja testida

7 Euroopa Parlamendi ja nõukogu määrus (EL) 2024/1689, 13. juuni 2024, millega nähakse ette tehisintellekti

käsitlevad ühtlustatud õigusnormid ning muudetakse määruseid (EÜ) nr 300/2008, (EL) nr 167/2013, (EL) nr

168/2013, (EL) 2018/858, (EL) 2018/1139 ja (EL) 2019/2144 ning direktiive 2014/90/EL, (EL) 2016/797 ja

(EL) 2020/1828 (tehisintellekti käsitlev määrus) (EMPs kohaldatav tekst)

tehisaru regulatiivse järelevalve all. TI määruse artikli 59 kohaselt võib regulatiivses

katsekeskkonnas töödelda muudel eesmärkidel seaduslikult kogutud isikuandmeid, kui tehisaru

arendatakse avalikes huvides ja täidetud on muud nimetatud artiklis kirjeldatud nõuded. See

loob Eestis olulise võimaluse edendada usaldusväärse ja õiguspärase tehisaru arendamist,

vähendada õiguslikku ebakindlust ning võimaldada testida kõrge riskitasemega tehisarul

põhinevaid süsteeme kontrollitult reaalses keskkonnas. TI määruse artikli 57 lõike 1 kohaselt

peab Eesti looma tehisintellekti regulatiivse katsekeskkonna hiljemalt 2. augustiks 2027.

Katsekeskkonna loomine on seega otseselt vajalik selleks, et soodustada innovatsiooni, tagada

teadus- ja arendustegevuse jätkusuutlik areng ning luua ettevõtjatele ja riigiasutustele turvaline

võimalus teha innovatsiooni ning tagada vastavus turunõuetele.

Samuti on IKÜM-i laia tõlgendust silmas pidades oluline, et teadusuuringuid tuleb mõista

laiemalt kui üksnes teadusasutuste tehtavaid uuringuid. IKÜM ei piiritle isikute ringi, kes

võiksid teadusuuringuid teha. Ka kehtiva IKS-i kohaselt on ettevõtjatel võimalik andmeid

teadusuuringu tarbeks töödelda.

Lisaks on oluline silmas pidada, et andmete uuringu tarbeks väljastamise otsuse teeb

lõppastmes andmekogu vastutav töötleja, kes peab tagama andmesubjektide eraelu kaitse või

ka nt riigi julgeoleku. Juhul kui tegemist on juurdepääsupiiranguga andmetega, kohaldub ka

siin andmete väljastamisel AvTS-i loogika.

Lõige 2 sätestab, et uuringuks peetakse ka põhiseadusliku institutsiooni, Vabariigi Valitsuse

seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende

hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema hallatava asutuse tehtud

analüüse ja uuringuid, sealhulgas tehnoloogiaarendusi. Samuti on uuringuks halduskoostöö

seaduse alusel avalikke ülesandeid täitva eraõigusliku juriidilise isiku tehtavad uuringud.

Uuringuks loetakse ka eraõigusliku juriidilise isiku analüüse ja uuringuid, mida tehakse

halduskoostöö seaduse alusel avaliku ülesande täitmise raames. See eeldab, et avaliku ülesande

täitmine on eraõiguslikule juriidilisele isikule pandud vastavalt halduskoostöö seaduse § 3

lõikele 1 või 2 seaduse, haldusakti või halduslepinguga ning analüüse või uuringuid tehakse

selle ülesande täitmise tarbeks. Sellise analüüsi või uuringu tegemisel loetakse eraõiguslik

juriidiline isik uuringu tellijaks. Kui aga eraõiguslikule juriidilisele isikule antava ülesande

sisuks on konkreetse uuringu või analüüsi tegemine, on tegemist volitatud andmetöötlusega

ning uuringu tellija on asutus või avalik-õiguslik juriidiline isik. Silmas tuleb pidada, et nt

ülikoolide puhul on tegemist avalik-õigusliku juriidilise isikuga kuid tegevustes tuleb eristada,

kas ülikool teeb teadustööd või uuringut avaliku sektori asutuse mõttes (teenuse kvaliteedi vm

uuringud). Juhul kui ülikool teeb uuringut avaliku sektori asutuse mõttes, kohaldub lg 2.

Muudatusega laiendatakse uuringu tegijate ringi, kuna kehtiv seadus piirab üleliia isikute ringi,

kes võiksid uuringuid teha. Samuti ei ole uuring edaspidi seotud üksnes poliitika kujundamise

eesmärgiga, kuna asutustel on ka muudel, nt teenuste arendamise eesmärgil vaja uuringuid teha.

Selle sätte eesmärk on anda uuringule laiem tähendus, mis hõlmab peale akadeemiliste ja

teadusuuringute ka riigi ja omavalitsusüksuste ning nende allasutuste koostatud või tellitud

analüüse, uuringuid ja tehnoloogiaarendusi. See tähendab, et tegevuste ring, mida loetakse IKS-

i tähenduses uuringuks, on lai. Säte tagab, et riigi ja KOV-i asutuste tehtud analüüsid ja

tehnoloogiaarendused alluvad samadele nõuetele ja õigusnormidele nagu klassikalised

uuringud. See aitab kaasa läbipaistvusele, kvaliteedile ja ühtsele õiguslikule käsitlusele kogu

avalikus sektoris. Oluline on silmas pidada, et asutuse tehtav uuring peab olema seotud temale

pandud ülesandega, ülesande ja uuringu vahel peab olema eesmärgipärane seos. Silmas tuleb

pidada, et põhiseaduslikule institutsioonile kohaldub IKS üksnes osas, mis ei puuduta nende

põhiseaduslike ülesannete täitmist. Juhul kui põhiseaduslik institutsioon täidab oma

põhiseadusliku ülesannet, tuleb uuringut tegemise õiguslik alus kehtestada tema tegevust

reguleeriva seadusega.

Lisaks täpsustatakse muudatusega, et IKS § 6 alusel on lubatud teha üksnes ajaliselt ja

eesmärgiliselt piiritletud uuringuid. Kui uuringu tegemine eeldab isikuandmete püsivat või

regulaarset korduvat töötlemist sama eesmärgi saavutamiseks, peavad andmetöötluse eesmärk,

ulatus ja muud olulised tingimused tulenema seadusest. Püsiva samal eesmärgil töötlemisena

tuleb käsitada sellist isikuandmete töötlemist, mis toimub sama eesmärgi saavutamiseks

kestvalt, tähtajatult ega ole olemuselt ühekordne ajaliselt piiritletud uuring. Selle alla võivad

kuuluda muu hulgas iga-aastased või muul viisil korduvad seireuuringud ja teenuste kvaliteedi

regulaarsed analüüsid. Seaduses tuleb eelkõige ette näha töödeldavate andmete kategooriad,

töötlemise eesmärgid, andmete säilitamise tähtajad, võimalikud kaitsemeetmed.

Lisaks sätestatakse nõue, et avaliku sektori uuring peab vastama teadusuuringule omastele

kvaliteedinõuetele, et tagada uuringu metoodiline usaldusväärsus ja tulemuste kvaliteet.

Avaliku sektori uuringu metoodika vastavus teadusuuringule omastele kvaliteedinõuetele ei

tähenda, et iga avaliku sektori analüüs peaks olema akadeemiline teadusuuring kitsas

tähenduses. Nõude eesmärk on tagada, et isikuandmete töötlemisel põhinev analüüs oleks

eesmärgist lähtuv, vajalik, proportsionaalne, metoodiliselt põhjendatud, kontrollitav ja piisavalt

dokumenteeritud. Avaliku sektori uuringu metoodika vastavust teadusuuringule omastele

kvaliteedinõuetele ei hinnata eraldi menetluses ega eraldi asutuse poolt. Nimetatud nõude

täitmise eest vastutab avaliku sektori uuringu tegija. Avaliku sektori uuringu tellimisel tuleb

isikuandmete töötlemisega seotud nõudeid arvestada ka hankedokumentides ja lepingutes.

Sõltuvalt uuringu laadist ja riskitasemest võib pakkujalt küsida näiteks metoodika kirjeldust,

isikuandmete kasutamise põhjendust, andmekaitsemeetmete kirjeldust, andmete säilitamise ja

kustutamise korda ning tulemuste anonüümse avaldamise põhimõtteid. Nõudeid tuleb

kohaldada riskipõhiselt, et väikese mõju ja riskiga analüüside puhul ei tekiks

ebaproportsionaalset halduskoormust.

Lõige 3 sätestab täpsemad tingimused, millisel juhul on lubatud uuringu tegemine uuringu

eesmärgil. Sätestatakse tingimused, mis peavad olema tagatud, et andmesubjekti õigused oleks

kaitstud. Kehtivas IKS-is andmete psedonüümimise või samaväärse kaitsemeetme tingimusi

kindlaks määratud ei ole, seega võiks IKS § 6 kontekstis näiteks lihtsalt inimese nime asendada

numbriga ja väita, et tegemist on pseudonüümitud andmetega. Tegelikkuses on

pseudonüümimisel mitu tasandit ning isikut saab tuvastada ka muude andmete põhjal kui

üksnes nimi ja isikukood. Euroopa Andmekaitsenõukogu on võtnud 2025. aasta 16. jaanuaril

vastu pseudonüümimist käsitlevad suunised8, mis on praegu avalikul konsultatsioonil ja võivad

seetõttu küll veel muutuda, kuid milles on selgitatud, et pseudonüümimine on kaitsemeede,

mida vastutavad töötlejad saavad kohaldada, et täita andmekaitseõiguse nõudeid ja eelkõige

tõendada vastavust andmekaitsepõhimõtetele kooskõlas IKÜM-i artikli 5 lõikega 2. Ühine

arusaam pseudonüümimisest on, et see tähendab üksikisikute identifikaatorite asendamist

pseudonüümidega. Isikuandmeid ei ole võimalik omistada konkreetsele andmesubjektile ilma

lisateavet kasutamata. Selleks on vaja vaadata isikuandmete kõiki osi, mitte ainult

varjunimesid. Samuti on öeldud, et andmete hulgast tuleb eemaldada otsesed tunnused, et neid

andmeid ei omistataks üksikisikutele. Pseudonüümimist võib kooskõlas IKÜM-i artikli 32

lõikega 1 kasutada ühena mitmest meetmest, mis aitavad tagada andmetöötlustoimingu riskile

vastava turvalisuse taseme. Seega tuleb silmas pidada, et pseudonüümimine pole ainus meede

8 Guidelines 01/2025 on Pseudonymisation. European Data Protection Board.

piisava andmekaitse taseme tagamiseks, vaid olemas on palju privaatsuskaitse tehnoloogiaid,

mida andmetöötluses on võimalik kasutada.

2023. aastal valmis Majandus- ja Kommunikatsiooniministeeriumi tellimusel privaatsuskaitse

tehnoloogiate kontseptsioon9, mis kirjeldab tehnoloogiaid ja pakub nende rakendamiseks e-

riigis üldised mudelid. Kontseptsioonis on esile toodud, et privaatsuskaitse tehnoloogiate

arendamise eesmärkidest on kõige suuremat tähelepanu pälvinud andmete seostamatus

(isikustatavuse välistamine/vähendamine), kuna see toimib andmete väärkasutamise esmase

kaitseliinina ja hõlmab rakenduslikus mõttes kõige küpsemaid tehnoloogiaid. Eesti Vabariigi

digiühiskonna arengukava aastani 203510 näeb ühe põhimõttena ette inimeste põhiõiguste, sh

privaatsuse kaitse. Arengukavas peetakse privaatsuskaitse tehnoloogiate rakendamist oluliseks

andmepõhise ühiskonna ja andmete taaskasutuse saavutamisel. IKÜM-i artikkel 25 näeb

isikuandmete töötlemisel ette lõimitud ja vaikimisi andmekaitse rakendamist.

Muudatusega sätestatakse, et uuringut võib teha üksnes siis, kui on täidetud kõik neli järgmist

tingimust:

1) isikuandmed pseudonüümitakse või kasutatakse muud samaväärset kaitset pakkuvat

meedet enne isikuandmete edastamist uuringu tellijale;

2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada;

3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada tuvastada isikut,

kelle isikuandmeid, sh eriliiki isikuandmeid, töödeldi;

4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku

mõju.

Vaadates koosmõjus punkte 1–3, tuleb kindlasti silmas pidada, et isikul, kes andmed

pseudonüümis või kasutas muud samaväärset kaitset pakkuvat meedet, ei ole lubatud uuringu

tellijale anda andmeid, mis võimaldaksid andmed depseudonüümida.

Silmas tuleb pidada, et praktikas võib statistilise töötlemise, andmete sidumise,

kvaliteedikontrolli või pseudonüümimise protsessis esineda vaheetappe, kus andmete

seostatavus või kaudne tuvastatavus on tehniliselt ajutiselt vältimatu. Sellest ei saa automaatselt

järeldada, et § 6 lõike 3 tingimused on täitmata, kui selline vaheetapp on rangelt töötluse

eesmärgiga seotud, minimaalselt vajalik, kontrollitud ning kaitstud asjakohaste tehniliste ja

korralduslike meetmetega. Nõuet tuleb järgida ennekõike seda silmas pidades, et lõppväljundis

ega kasutusotstarbes andmesubjekti ei tuvastataks.

Punktis 4 sätestatud tingimuse all on mõeldud konkreetset ja kohest mõju ühele

andmesubjektile, mitte aga olukorda, kus andmetöötluse eesmärk on saada ülevaade nt teatud

sihtgrupile kehtivatest kohustustest ja kujundada andmesubjekti kohustusi (nt poliitikameede

avalik-õigusliku rahalise kohustuse, nt maksu, tasu, lõivu vms kehtestamiseks) – selline

töötlemine ei ole keelatud. Ebasoodne mõju võib tekkida uuringule järgneda võivatest

õigusaktide muudatustest, mis aga enne vastuvõtmist läbivad vajaliku kooskõlastuse ja

heakskiitmise, uuringust endast ei teki andmesubjektile ebasoodsaid mõjusid.

9 Cybernetica. Privaatsuskaitse tehnoloogiate kontseptsioon. Aruanne. Majandus- ja

Kommunikatsiooniministeerium 2023. https://www.justdigi.ee/sites/default/files/documents/2024-

12/Privaatsuskaitse%20tehnoloogiate%20kontseptsioon.pdf 10 Digiühiskonna arengukava 2035. Justiits- ja Digiministeerium. https://www.justdigi.ee/digi-side-ja-

kuber/digiuhiskonna-arengukava-2035

Seega ei ole piisav üksnes nime asendamine pseudonüümiga, vaid kasutada tuleb ka

lisameetmeid. Silmas tuleb pidada, et juhul kui esineb tuvastamise risk, kohalduvad lõiked 4–

Eelnõukohase seadusega ei kitsendata andmeid teadusuuringu tarbeks väljastavate isikute ringi,

see võib olla erasektori valduses olev andmestik või ka riigi infosüsteemi kuuluv andmekogu

või muu andmekogum.

Eelnõu järgi on uuringu tellijauuringu vastutav töötleja (asutus, ettevõte), kelle ülesannete ja

eesmärkide täitmiseks uuringut tehakse. Uuringu tellija võib uuringu teha ise või kasutada

uuringu tegemiseks volitatud töötlejat, ise isikuandmeid üldse töötlemata. Juhul kui uuringu

tellija soovib kasutada Statistikaametit uuringu tegemisel programmivälises töös, kehtib

endiselt RStS § 20 lõikes 1 sätestatud põhimõte, et tellimustöö tegemine ei tohi segada riikliku

programmi koostamist ega täitmist. Uuringu vastutav töötleja võib volitada kellegi teise täitma

ka nt uuringust AKI-le teatamise kohustust või taotlema eetikakomitee hindamist.

Lõige 4 annab võimaluse uuringu tegemiseks isikustatud andmetega. Teatud põhjendatud

juhtudel ei ole uuringu eesmärgid saavutatavad, kui isikud ei ole tuvastatavad. Näiteks kui

terviseuuringus soovitakse analüüsida haruldase haiguse levimust Eestis. Patsientide väikese

arvu tõttu ei oleks võimalik täita lõikes 3 sätestatud tingimusi, kuna see muudaks võimatuks

haiguse leviku mustrite tuvastamise, seega võib uuringu tegija otsustada, et vajalik on andmete

töötlemine tuvastamist võimaldaval kujul.

Sellisel kujul on uuringu tegemine lubatud üksnes juhul, kui on täidetud kõik kolm järgmist

tingimust:

1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse

eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada;

2) uuringu tegemiseks on ülekaalukas avalik huvi ja

3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi.

Uuringu tellija peab põhjendama, et tegemist on ülekaaluka avaliku huviga, kuna uuringu

tulemused aitavad parandada raviteenuste kättesaadavust ja parandada rahva tervist. Silmas

peab pidama, et ülekaalukas avalik huvi on määratlemata õigusmõiste, mida peab iga juhtumi

puhul eraldi hindama, võttes ühelt poolt arvesse avalikku huvi ja teiselt poolt andmesubjekti

õigusi. Kõigil uuringu tellijatel on igakordne hindamiskohustus, mille kriteeriume

eelnõukohase seadusega ette ei saa kirjutada. Eriliiki isikuandmete puhul kontrollib ülekaaluka

avaliku huvi olemasolu eetikakomitee.

Lõige 5 sätestab uuringu tellijale kohustuse teavitada uuringust AKI-it juhul, kui n-ö tavalisi

isikuandmeid töödeldakse IKS § 6 lõikes 4 sätestatud juhul. AKI-t peab teavitama uuringu

eesmärkidest, töödeldavatest andmetest ja lõikes 4 sätestatud tingimuste täitmisest. Selline

teavitamiskohustus on vajalik, et AKI saaks seirata, milliseid uuringuid millisel eesmärgil ja

ulatuses tehakse, ning vajadusel järelevalvet teha. Samuti avaldatakse info tehtavatest

uuringutest AKI veebilehel ja võimalusel ka Eesti teabeväravas, et võimaldada ka avalikkusel

tutvuda, milliseid uuringuid tehakse. Sätte eesmärk on tagada läbipaistvus, kuid samas saab

avalikustamist pidada ka kaitsemeetmeks.

Teavitus tuleb esitada enne isikuandmete töötlemist. Teavituse edastamisel ei ole kindlat viisi,

seda võib teha nt e-kirjaga või tulevikus tehnilise lahenduse olemasolul AKI veebilehel või

tulevikus loodava ühtse taotluste menetlemise keskkonna vahendusel.

Lisaks on oluline silmas pidada, et tegemist on avaliku teabega AvTS-i mõttes ning juhul kui

teave sisaldab juurdepääsupiiranguga andmeid, siis AvTS § 35 lõike 1 kohaselt seda osa teabest

ei tohi avalikustada. Seega peab teabe AKI-le edastamisel ära märkima, milline osa teabest on

ärisaladus või muu juurdepääsupiiranguga teave.

Säte puudutab üksnes AKI teavitamise kohustust. Uuringu tellijal on endiselt IKÜM-ist (art 13)

tulenev andmesubjektidele teabe andmise kohustus, mida on uuringu tellijal võimalik piirata

üksnes lõigetes 12 ja 13 sätestatud tingimustel.

Lõige 6 sätestab kohustuse, et kui uuringut (v.a avaliku sektori uuring) tehakse eriliiki

isikuandmetega, sh kui on täidetud lõikes 3 sätestatud tingimused (tegemist on pseudonüümitud

andmetega), tuleb enne uuringu tegemist pöörduda eetikakomitee poole, kes kontrollib lõigetes

3 ja 4 sätestatud tingimuste täitmist ja annab hinnangu uuringu eetilisusele. Muudatus toetub

VTK tagasisidele, milles oli ülekaalukas toetus ettepanekule, et eetikakomitee oleks loodud

seadusega või selle alusel antud õigusaktiga ja tema pädevus oleks selgelt määratud. Toetati

suunda, kus Eestis oleks ühtne eetikakomiteede süsteem („ühe ukse poliitika“), mis koondab

kõik valdkondlikud komiteed ühe juhtiva struktuuri alla.

Seega sätestatakse muudatusega, et eetikakomiteed ei või asutada ükskõik kes, vaid asjaomase

valdkonna eetikakomitee moodustatakse seadusega või selle alusel. Kõnealuse sätte eesmärk

on tagada, et eriliiki isikuandmete töötlemine uuringu eesmärgil oleks läbipaistev ja eetiline

ning vastaks seaduses sätestatud nõuetele. Eetikakomitee ülesanne on hinnata nii

andmekaitsealaseid kui ka eetilisi riske ning vajadusel nõuda täiendavaid kaitsemeetmeid või

anda soovitusi uuringu tegemiseks.

Oluline on silmas pidada, et kui uuring tehakse valdkonnas, mille eetikakomitee tegevust

reguleerib muu seadus, annab hinnangu muu seaduse alusel asutatud eetikakomitee. Nt tervise

infosüsteemis andmete väljastamisel tuleb lähtuda tervishoiuteenuste korraldamise seadusest

ning geenivaramu puhul inimgeeniuuringute seadusest. Lisaks peavad teadlased järgima muid

neile kohalduvaid õigusakte ja uuringueetika head tava ning isegi juhul, kui IKS § 6 alusel

eetikakomitee kohustust ette ei ole nähtud, võib selline kohustus tuleneda muudest alustest. IKS

§ 6 ei reguleeri üldiselt uuringute eetilisuse hindamist.

Uuringu tegija on lisaks enne uuringu tegemist kohustatud teavitama AKI-t vastavalt lõikele 5.

Teatada tuleb uuringu eesmärk, töödeldavad andmed ja rakendatavad kaitsemeetmed. AKI

avaldab selle teabe oma veebilehel, tagades seeläbi läbipaistvuse ja avalikkuse teavitamise. Kui

uuringu käigus töödeldavaid isikuandmeid säilitatakse Rahvusarhiivis, on eetikakomitee

õigused Rahvusarhiivil. See tähendab, et Rahvusarhiiv täidab eetikakomitee ülesandeid,

kontrollides tingimuste täitmist ja vajadusel andes hinnangu uuringu eetilisusele.

Lõige 7 sätestab, et kui avaliku sektori uuringut tehakse eriliiki isikuandmetega, sh kui on

täidetud lõikes 3 sätestatud tingimused (tegemist on pseudonüümitud andmetega), tuleb enne

uuringu tegemist pöörduda AKI poole, kes kontrollib lõigetes 3 ja 4 sätestatud tingimuste

täitmist. Üldjuhul põhinevad avaliku sektori tehtavad uuringud asutuse enda ülesannete

täitmiseks vajalike andmete töötlemisel, mille puhul on risk andmesubjektile enamasti väike.

Kuid ette võib tulla ka olukordi, kus eri andmekogude ühendamise, andmete töötlemise ulatuse

või andmete tundlikkuse tõttu esineb oht uuritavate heaolu, ohutuse või õiguste riiveks. Samuti

võib esineda olukordi, kus uuringud hõlmavad lisaks andmekogudes olevate andmete

töötlemisele ka uuritavate intervjueerimist või küsitlusele vastamist. Sellisel juhul võib olla vaja

enne hinnata, kas inimesi kaasav uuring on tervikuna eetiliselt kavandatud ning riigi

andmekogudest andmete väljastamine on põhjendatud. Seetõttu on lisatud täiendus, mille

kohaselt on AKI-l vajadusel võimalik pöörduda eetika küsimuses konsultatsiooni saamiseks

teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse §-s 26 nimetatud

teaduseetika komitee poole. AKI-l endal uuringute ja analüüside eetilisuse hindamise pädevust

ei ole.

Teaduseetika komitee annab konsultatsiooni käigus AKI-le seisukoha analüüsi või uuringu

eetilisuse kohta või siis arvamuse, et antud analüüsis või uuringus eetilised riskid puuduvad.

Teaduseetika komitee konsultatsioon ei hõlma täismahus taotluse hindamist, vaid võimalike

riskide analüüsimist ja selles seisukoha kujundamist. Konsulteerimine võib toimuda vabas

vormis (puuduvad kindlad vorminõuded, see võib toimuda näiteks ka e-kirja teel), erinevalt

taotluste hindamisest, millel on kindlad vormid ja protseduurireeglid. Teaduseetika komitee

kujundab oma seisukoha Andmekaitse Inspektsiooni esitatud materjalide põhjal,

poliitikaanalüüsi või uuringu läbiviijalt komitee lisaandmeid ei küsi. Samuti ei esita

teaduseetika komitee poliitikaanalüüsi läbiviijale iseseisvaid hinnanguid uuringu eetilisuse

kohta. Teaduseetika komitee ja Andmekaitse Inspektsiooni hinnang on üheks sisendiks

andmeid väljastavale andmekogu vastutatavale töötlejale andmete väljastamise või

mitteväljastamise otsuse tegemiseks.

Kui seadusest tuleneb kohustus (nt on TTKS §-s 594 kohustus tervise infosüsteemist andmete

saamiseks saada eetikakomitee hinnang), siis lisaks eetilisuse hindamisele hindab

eetikakomitee ka lõigetes 3 ja 4 sätestatud tingimuste täitmist. Kui seadusest tuleneb kohustus

saada uuringule eetikakomitee hinnang, esitab uuringu tellija saadud hinnangu Andmekaitse

Inspektsioonile koos lõikes 5 nimetatud teabega.

Lõige 8 sätestab, et juhul kui teaduseetika komitee täidab lõikes 7 nimetatud ülesannet, on

haridus- ja teadusministril õigus vajadusel vastava ülesande täitmine reguleerida tasulise

teenusena ning määrata tasu suurused. Teaduseetika komitee võib küsida avaliku sektori

uuringu kohta seisukoha esitamise eest tasu vastavalt teadus- ja arendustegevuse ning

innovatsiooni korralduse seaduse § 26 lõikele 5. Sama paragrahvi lõike 6 kohaselt lähtutakse

tasu suuruse kehtestamisel hinnangu andmisega kaasnevatest kuludest. Teaduseetika komitee

tasuliste teenuste loetelu ja tasude suurused sätestatakse teaduseetika komitee korraldust

reguleerivas rakendusaktis. Eelnõu kohaselt kannab sellise konsultatsiooni kulu täidesaatva

riigivõimu uuringu tellija juhul, kui AKI konsulteerib eetikakomiteega § 6 lõike 7 alusel.

Lõige 9 sätestab tingimuse, et tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib

töödelda uuringu eesmärkidel üksnes § 61 tingimustele vastavas andmetöötlussüsteemis.

Oluline on silmas pidada, et Euroopa terviseandmeruumi määrus ei kohaldu terviseandmetele

igas olukorras ja valdkonnas, mistõttu ei kohaldata andmetöötlussüsteemi kasutamise tingimust

igasugusele terviseandmete töötlemisele. Väljaspool tervishoiu- ja sotsiaalkaitsesektorit

Euroopa terviseandmeruumi määrus ei kohalduning selliseid terviseandmeid on lubatud IKS §

6 tingimuste täitmise korral töödelda ka väljaspool §-s 61 sätestatud tingimustele vastavat

andmetöötlussüsteemi. Tervishoiu ja sotsiaalvaldkonna andmete all peetakse silmas

terviseandmeid, mida töödeldakse näiteks tervishoiuteenuste osutamisel, puude hindamisel,

töövõime tuvastamisel jm.

Lõige 10 sätestab üldise normi, et kui uuringus on vaja töödelda üksnes ühe andmekogu

andmeid, mille vastutavaks töötlejaks on uuringu tellija ise, peab ta järgima lõigete 2–4 ning ei

pea järgima lõigete 5–8 nõudeid. Eelkõige tuleb uuringut ka ühe andmekogu piires tehes täita

lõike 3 tingimused ning isiku tuvastamist võimaldavate andmetega on uuringut lubatud teha

üksnes juhul, kui täidetud on lõike 4 tingimused. Kui uuringu tegija töötleb isikuandmeid ühe

andmekogu piires ja on ise selle andmekogu vastutav töötleja, on tal juba olemas täielik kontroll

andmekogu üle ning ta vastutab isikuandmete töötlemise nõuete täitmise eest kogu andmekogu

ulatuses. Kavandatavad sätted vähendavad halduskoormust ja väldivad dubleerivaid

protseduure olukorras, kus andmeid juba töödeldakse andmekogu siseste reeglite ja

kontrollimehhanismide alusel. Silmas tuleb aga pidada, et nt geenivaramu puhul on

inimgeeniuuringute seadusega ette nähtud erisused, mis tingimustel uuringuid geenivaramus

teha võib, üheks näiteks on Eesti Geenivaramu uuringud, mille puhul tuleb ka andmekogu

vastutaval töötlejal saada oma uuringutele teaduseetika komitee heakskiit.

Ühest andmekogust pärit andmete töötlemine kätkeb endas väiksemat riski kui mitmest

andmekogust pärit isikuandmete kokku panemine ja analüüsimine. Säte ei kohaldu olukorrale,

kus vastutav töötleja töötleb isikuandmeid, mis pärinevad mitmest andmekogust, mille kõikide

vastutav töötleja ta on.

Siinkohal on oluline silmas pidada ka AvTS § 28 lõike 1 punkti 18, milles on sätestatud

teabevaldaja kohustus avaldada riigi- või kohaliku omavalitsuse asutuse tellitud uuringud ja

analüüsid. See tagab avaliku sektori andmetöötluse läbipaistvuse.

Lõike 11 puhul on tegemist üksnes tehnilise muudatusega, millega ei muudeta sätte sisu, vaid

üksnes paragrahvi ülesehitust. Sätte eesmärk on jätkuvalt täpsustada, et paragrahvis sätestatud

nõudeid ei kohaldata olukorras, kus uuringu eesmärgid ja isikuandmete töötlemise ulatus on

otseselt määratud seadusega. Sellisel juhul on seadusandja andmete töötlemise alused,

eesmärgid ja ulatuse juba läbi kaalunud ning reguleerinud, mistõttu ei ole vaja rakendada

paragrahvis sätestatud nõudeid, piiranguid ega menetlusi. See tagab, et seadusest tulenevate

uuringute puhul ei teki dubleerivat ega ebavajalikku töökoormust ning välditakse olukorda, kus

seadusandja poolt juba reguleeritud andmetöötlusele kehtestatakse uusi piiranguid. Samuti

aitab see tagada õigusselgust ja ühtset lähenemist olukorras, kus andmete töötlemise eesmärk

ja ulatus on seadusega selgelt kindlaks määratud.

Lõiked 12 ja 13 näevad ette õiguse piirata andmesubjekti õigusi. Piirangu võib kehtestada, et

tagada üldist avalikku huvi teenivad eesmärgid (IKÜM art 21 lg 1 p e alusel), milleks antud

juhul on teadus- ja ajaloouuring ning statistika. Säte näeb ette, et uuringu tellija või selle

andmestiku vastutav töötleja, kust andmeid uuringu tarbeks väljastatakse, võib piirata

andmesubjektide õigusi, kui nende õiguste teostamine tõenäoliselt muudab võimatuks analüüsi

või uuringu eesmärgi saavutamise või takistab seda oluliselt. IKÜM artikli 23 lõikes 1

sätestatud diskretsiooni rakendamine ei ole absoluutne, mistõttu on õigus kohaldada lõikes 12

toodud piiranguid üksnes lõikes 13 sätestatud tingimustel. Selline lähenemine on kooskõlas

IKÜM artikli 23 lõikega 2. Võttes arvesse töötlemise eesmärki, ei ole võimalik välistada ühtegi

töödeldavate isikuandmete kategooriat, kuna ei ole võimalik ette näha andmeid, mis ei võiks

olla vajalikud teadus- ja ajaloouuringu ning statistika tegemisel. Piirangut on lubatud seada

üksnes andmestiku vastutaval töötlejal (kelle andmestikust andmeid väljastatakse) ning uuringu

tegijal. Silmas tuleb pidada, et andmestik on laiem mõiste, kuhu alla kuulub ka andmekogu.

Punktiga 3 sätestatakse kohustus rakendada asjakohaseid turvameetmeid ja säilitamiskohustuse

järgimise nõue. Turvameetmete rakendamisel tuleb arvesse võtta ka ligipääsude piiramist,

millega muu hulgas tagatakse lõike 12 punktis 4 sätestatud nõue töötlemise ulatuse kohta.

IKS § 61

Tegemist on uue paragrahviga, mis loob ühelt poolt võimaluse teha uuring

andmetöötlussüsteemis, et tagada kiirem protsess, teiselt poolt nähakse ette lisatingimused ja

kaitsemeetmed, et tagada andmesubjektide õiguste parem kaitse. Oluline on silmas pidada, et

säte ei välista võimalust kasutada uuringu tegemiseks teisi andmetöötlussüsteeme, seda IKS §-

s 6 sätestatud tingimusi täites. IKS § 61 puhul on tegemist lisavõimalusega sättes ette nähtud

tingimustel andmetöötlussüsteemis uuringute tegemiseks, välistades teatud IKS §-s 6 sätestatud

kohustuste täitmise.

Probleemi tõstatas Riigikantselei juba eespool viidatud tellitud analüüsiga, milles käsitleti

probleemi, et asutustel ei ole võimalik teha kiireid andmepõhiseid otsuseid. Riigikantselei tõi

analüüsi tellimisel esile, et täidesaatev riigivõim ei saa andmepõhiste otsuste tegemiseks

piisavalt kiiresti ligipääsu vajalikele isikuandmetele. Samuti rõhutati, et riik peab saama

andmekogude andmeid targalt ning vajadusel ka kiirelt kasutada, kaitstes samal ajal

andmesubjektide õigusi ja isikuandmeid. Isikuandmete töötlemine peab olema kontrollitud,

läbipaistev ja vastutustundlik. Uuringus on tehtud ettepanek seaduse uueks sõnastuseks, mis aja

jooksul ja VTK menetluses peetud eri osapoolte ja huvigruppide vaheliste arutelude tulemusel

on saanud eelnõus toodud kuju. Muu hulgas tuleb silmas pidada, et eelnõukohane seadus ei loo

andmetöötlussüsteemi ja kiiremate otsuste tegemiseks õiguslikku alust mitte üksnes riigile, vaid

see kehtib võrdselt kõigile uuringu tegijatele. Muudatusega ühtlustatakse kõikide uuringute

tegemise tingimused.

Lõike 1 kohaselt võib uuringu eesmärgil töödelda isikuandmeid, sh eriliiki isikuandmeid,

selleks ette nähtud andmetöötlussüsteemis, mis peab vastama lisaks eelnõuga loodava § 61

tingimustele ka § 6 lõigete 2–4 tingimustele. Ka andmetöötlussüsteemis andmete töötlemisel

peavad olema täidetud järgmised tingimused:

• uuringu tegemisel ei tehta lisatoiminguid, mille tagajärjel saab isiku tuvastada;

• uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada tuvastada isikut,

kelle isikuandmeid, sh eriliiki isikuandmeid, töödeldi;

• töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku

mõju.

Sätte eesmärk on võimaldada töödelda isikuandmeid, sealhulgas eriliiki isikuandmeid,

spetsiaalselt selleks ette nähtud andmetöötlussüsteemis, kui võetud on kõik seaduses sätestatud

olulised kaitsemeetmed. Selline regulatsioon tagab, et andmeid töödeldakse ainult siis, kui see

on põhjendatud, vajalik ning piisavalt kaitstud nii tehniliste kui ka organisatsiooniliste

meetmetega. Säte võimaldab kasutada kaasaegseid andmetöötlussüsteeme, mis on loodud või

luuakse just selliste uuringute tegemiseks, kuid säilitab ranged andmekaitsestandardid.

Lõige 2 sätestab nõuded, mille täitmise peab andmetöötlussüsteemi pakkuja tagama. VTK

etapis olid arutluse all lahendused, mille kohaselt andmetöötlussüsteemi peaks pakkuma kas

üks keskne riigiasutus või siis võiks seadusega ette näha kindlad tingimused ja võimaldada ka

nt ülikoolidel või erasektori asutustel andmetöötlussüsteeme pakkuda. Kokkuvõtvalt leiti, et

vaba turu huvides ei ole mõistlik kitsendada teenusepakkujate ringi. Sätte eesmärk on tagada,

et isikuandmete, sealhulgas eriliiki isikuandmete töötlemine spetsiaalses andmetöötlus-

süsteemis oleks turvaline ning vastaks rangetele andmekaitsenõuetele. Tingimuste

ettenägemisel on lähtud ka Euroopa terviseandmeruumile sätestatud nõuetega. Eelnõu kohaselt

peab andmetöötlussüsteemi pakkuja tagama:

1) asjakohaste tehniliste ja korralduslike meetmete kasutamise, mille abil minimeeritakse

andmetöötlussüsteemis töödeldavate andmete loata lugemise, kopeerimise, muutmise ja

kustutamise risk;

2) andmete kättesaadavaks tegemise üksnes andmetöötlussüsteemis töötlemiseks;

3) andmetöötlussüsteemi sellise teenuse osutamise, mis võib hõlmata andmete

eeltöötlemist, et uuringu tegijal oleks juurdepääs üksnes § 6 lõike 3 punktis 1 nimetatud

kujul andmetele;

4) andmete sisestamise ja andmetöötlussüsteemis hoitavate andmete töötlemise ainult

piiratud arvu tuvastatavate volitatud isikute poolt;

5) uuringu tegija juurdepääsu ainult neile andmetele, mida on lubatud töödelda § 6 lõikes

1 nimetatud eesmärkidel;

6) töötlustoimingute logide salvestamise;

7) andmete allalaadimise taotluste kontrolli, et kasutajatel ei oleks võimalik

andmetöötlussüsteemist alla laadida andmeid, mis võimaldavad isikut tuvastada;

8) andmete töötlemise ainult Euroopa Majanduspiirkonna territooriumil.

Säte aitab tagada, et andmeid töödeldakse läbipaistvalt, turvaliselt ja vastavalt kehtivatele

õigusaktidele, kaitstes nii andmesubjektide õigusi kui ka tagades uuringu tegija ja

andmetöötlussüsteemi pakkuja vastutuse. Silmas tuleb pidada, et riski minimeerimine tähendab

tegevusi, mille käigus rakendatakse teadlikult, proportsionaalselt ja dokumenteeritult

korralduslikke ja tehnilisi meetmeid, mis vähendavad andmete töötlemise või infosüsteemide

kasutamisega kaasnevaid riske vastuvõetavale tasemele.

Lõikega 3 sätestatakse andmete säilitamise tähtaeg, mille kohaselt kustutatakse

andmetöötlussüsteemist uuringu käigus töödeldavad andmed pärast uuringu valmimist ja

uurimistulemuste valideerimist. See tähendab, et andmeid ei hoita süsteemis kauem, kui see on

põhjendatud uuringu tegemise ja tulemuste kontrollimise seisukohalt, lähtudes IKÜM-ist

tulenevatest eesmärgipärasuse ja minimaalsuse põhimõttest.

Uurimustulemuste valideerimise all peetakse silmas kontrollimist, kas teaduslik metoodika,

kogutud andmed ja tulemused on usaldusväärsed, kehtivad ning reprodutseeritavad.

Valideerimine hõlmab nii andmete kvaliteedi ja korrektsuse hindamist kui ka eelretsenseerimist

enne uuringu avaldamist, et tagada teadustöö vastavus rahvusvahelistele standarditele.

Valideerimise perioodi ei ole üheselt ja kindla ajapiiranguga võimalik seadusega ette näha.

Kohaldub üldine IKÜM-i põhimõte, et andmeid tohib säilitada nii kaua, kui see on

teadusuuringu eesmärgi saavutamiseks vajalik. Hea teadustava11 kohaselt säilitab teadlane

isikustatud kujul andmeid nii kaua kui vaja ja nii vähe kui võimalik.

Töötlustoimingute logisid säilitatakse üks aasta pärast uuringu käigus töödeldavate andmete

kustutamist. See võimaldab vajadusel hiljem kontrollida ja auditeerida andmetöötluse vastavust

nõuetele, kuid välistab logide põhjendamatu pikaajalise säilitamise. Selline lähenemine aitab

tagada andmesubjektide õiguste kaitse, läbipaistvuse ning vastavuse andmekaitse põhimõtetele,

piirates andmete ja logide säilitamist ainult minimaalselt vajaliku ajani. Logide säilitamisele

nähakse ette pikem tähtaeg, arvestades võimalikku järelevalve tegemise vajadust.

Lõikes 4 sätestatakse, et valdkonna eest vastutaval ministril on õigus kehtestada määrusega

täiendavaid tehnilisi ja korralduslikke turvanõudeid andmetöötlussüsteemis andmete

töötlemisele. Selline volitusnorm on vajalik, et tagada paindlikkus ja ajakohasus turvanõuete

11 Hea teadustava 2017. https://ut.ee/sites/default/files/inline-files/hea_teadustava_est_0.pdf

rakendamisel, arvestades tehnoloogia kiiret arengut ning uute riskide ilmnemist

andmetöötluses. Ministri määrusega saab täpsustada ja täiendada turvanõudeid vastavalt

vajadusele, näiteks seoses andmete krüpteerimise, pseudonüümimise, autentimise, logimise,

intsidentidele reageerimise või muude turvameetmetega, mis aitavad tagada isikuandmete

kaitse kõrge taseme andmetöötluskeskkonnas.

Volitusnorm võimaldab reageerida kiiresti olukordadele, kus senised nõuded ei pruugi olla

piisavad, ning kehtestada lisameetmeid, mis on vajalikud andmete turvaliseks töötlemiseks. See

aitab tagada, et andmetöötlussüsteemis rakendatavad tehnilised ja korralduslikud turvanõuded

vastavad nii Euroopa Liidu kui ka Eesti õigusaktide nõuetele ning rahvusvahelisele parimale

tavale.

Lisaks tuleb silmas pidada, et Eesti infoturbestandardi või selle alternatiiviks oleva standardi

(rahvusvaheline standard ISO/IEC 27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude

rakendamise kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses

teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud Vabariigi Valitsuse

määrusest nr 121 „Võrgu- ja infosüsteemide küberturvalisuse nõuded“ (määruse § 3). Selle

hulgas on osa, kuid mitte kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh

siinse eelnõu nõudeid, järgima. Mitte kõik küberturvalisuse seaduse tähenduses teenuseosutajad

ei pea rakendama Eesti infoturbestandardit või selle alternatiivset standardit, kuid miinimum

on, et nad kõik täidavad ära esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja

sama määruse lisa).

Lõikes 5 sätestatakse, et enne andmetöötlussüsteemi kasutuselevõttu kontrollib AKI § 61

lõigetes 2–4 sätestatud tingimuste täitmist. Selle sätte eesmärk on tagada, et

andmetöötlussüsteemis rakendatavad tehnilised ja korralduslikud turvanõuded ning muud

andmetöötluse tingimused oleksid enne süsteemi kasutuselevõttu sõltumatult hinnatud ja

kontrollitud. AKI kontroll aitab vältida olukordi, kus andmetöötlussüsteemi rakendamisel ei ole

piisavalt arvestatud isikuandmete kaitse nõuetega või on jäänud tähelepanuta olulised riskid,

mis ohustavad andmesubjektide õigusi ja vabadusi. See suurendab usaldusväärsust

andmetöötluse korraldamisel ning aitab tagada, et andmeid töödeldakse läbipaistvalt ja

turvaliselt. Kontrolli käigus hinnatakse muu hulgas, kas andmetöötlussüsteemis rakendatakse

piisavaid meetmeid andmete pseudonüümimiseks, logimiseks, juurdepääsu piiramiseks ja

muude riskide maandamiseks. Muudatusega nähakse ka ette, et AKI-l on õigus vajadusel

hindamisprotsessi kaasata Riigi Infosüsteemi Ametit. Seega on AKI kontroll enne süsteemi

kasutuselevõttu oluline samm, mis aitab tagada isikuandmete kaitse kõrge taseme ning

vähendada võimalikke rikkumisi ja riske.

Lõikega 6 nähakse ette andmetöötlussüsteemi pakkujale kohustus vähemalt kord aastas

kontrollida andmetöötlussüsteemi nõutele vastavust ning esitada aruanne Andmekaitse

Inspektsioonile.

Lõikes 7 sätestatakse, et juhul kui kõik paragrahvis esitatud tingimused on täidetud, ei

kohaldata § 6 lõikeid 5 ja 6, kui seaduses ei ole sätestatud teisiti. Nt tervise infosüsteemist ja

geenivaramust andmete väljastamisel tuleb eetikakomitee läbimise kohustus seadusest. Sätte

eesmärk on tagada, et juhul kui andmetöötlussüsteemi kasutuselevõtuks on täidetud kõik

vajalikud tehnilised ja korralduslikud turvanõuded ning AKI on kontrollinud tingimuste

täitmist, ei ole vaja rakendada lisapiiranguid või -menetlusi, võttes arvesse, et andmete

töötlemisel on juba täidetud IKS § 6 lõike 3 tingimused. See võimaldab paindlikumat ja

tõhusamat andmetöötluse korraldust, vähendades halduskoormust ning kiirendades

andmetöötlussüsteemi kasutuselevõttu. Samas säilib isikuandmete kaitse kõrge tase, kuna kõik

olulised tingimused on täidetud ja kontrollimehhanismid olemas. Läbipaistvuse tagamiseks

avaldab AKI loetelu kontrollitud andmetöötussüsteemi pakkujatest oma veebilehel.

§ 2. Kohaliku omavalitsuse korralduse seaduse muutmine

Punktidega 1 ja 2 muudetakse KOKS § 311 pealkirja ning tunnistatakse kehtetuks sama

paragrahvi lõige 3. Kuna kohaliku omavalitsuse tehtavate analüüside ja uuringute puhul

kohalduvad edaspidi IKS §-d 6 ja 61, siis muudetakse KOKS § 311 pealkirja selliselt, et see ei

sisalda uuringutes isikuandmete töötlemist, ja sama paragrahvi lõige 3 tunnistatakse kehtetuks.

Punktide 3 ja 4 muudatusega tunnistatakse kehtetuks õigus saada andmeid kinnipeetavate,

vahistatute, arestialuste ja kriminaalhooldusaluste andmekogust (vangiregister), kuna kohaliku

rahvaalgatuse ja -küsitluse puhul on vangiregistri andmete päring ülemäärane nõue. Kehtiva

KOKS-i § 312 näeb kohaliku omavalitsuse üksusele ette õiguse saada seadusest tulenevate

valla- ja linnaelanike kaasamis- ja osalemisõiguste kontrollimiseks vangiregistrist andmeid

valla- ja linnaelaniku karistuse kandmise kohta kinnipidamiskohas. KOKS § 32 lõige 11

omakorda seob valla- ja linnaelaniku mõiste elanike osalusõiguse puhul välistusega, et isik ei

kannaks kohtu poolt kuriteos süüdi mõistetuna karistust kinnipidamiskohas. Vangiregistrist

andmete saamise õigus lisati KOKS-i kohaliku omavalitsuse volikogu valimise seaduse § 5

lõike 4 eeskujul, mis sätestab, et volikogu valimistel ei võta hääletamisest osa isik, kes on kohtu

poolt süüdi mõistetud ja kannab karistust kinnipidamiskohas. On selgunud, et kohaliku

rahvaalgatuse ja -küsitluse puhul on esitatud nõue ülemäärane. Selle nõude tulemusena tuleb

esitada vangiregistrisse päring kõigi valla- ja linnaelanike kohta, kes rahvaalgatusel või -

küsitlusel osalesid, ja andmejälgijasse jääb märge, et isiku kohta on tehtud päring

vangiregistrisse. Praktikas võivad olla vaid üksikud juhud, kui kohalikule algatusele on oma

toetushääle andnud isik, kes rahvaalgatuse või -küsitluse kohaliku omavalitsuse üksusele

üleandmise hetkel, mil isiku osalusõiguse andmeid andmekogudest kontrollitakse, viibib

kuriteos süüdi mõistetuna kinnipidamisasutuses. Justiitsministri 30.11.2000. a määruse nr 72

„Vangla sisekorraeeskiri“ § 521 järgi on kinnipeetavale interneti vahendusel lubatud

veebilehtede hulk nagunii oluliselt piiratud, mis ei võimaldanud ka enne Riigikogus 21.

jaanuaril 2026. a vastu võetud KOKS-i muudatusi kinni peetaval isikul nt rahvaalgatus.ee

veebilahendust kasutada.

§ 3. Riikliku statistika seaduse muutmine

Muudatusega viiakse riikliku statistika tegemist puudutavad sätted riikliku statistika

seadusesse. Riikliku statistika tegemine on riikliku statistika tegijale seadusega pandud

ülesanne ning ülesande täitmist puudutavad sätted peavad olema asutuse tegevust puudutavas

eriseaduses. Lisaks kaasajastatakse nimetatud seadust JDM-i juhise järgi.

RStS § 1 lõike 1 kohaselt on riiklik statistika kvantitatiivne, kvalitatiivne, kokkuvõtlik ja

üldistav teave, mis iseloomustab massnähtust vaatlusaluses kogumis ning saadakse riikliku

statistika programmi või programmivälise statistikatöö raames andmete statistilise töötlemise

tulemusena. RStS § 8 lõike 1 järgi on riikliku statistika tegijad Statistikaamet ja Eesti Pank

(Eesti Panga seaduse § 34 lõikes 1 sätestatud ulatuses).

Kehtivas RStS-is on isikuandmete kasutamine riikliku statistika tegemisel reguleeritud §-s 31.

Nimetatud paragrahvi lõigetes 2–4 on sätestatud, et riikliku statistika tegija ei pea teavitama

isikut tema isikuandmete kasutamisest riikliku statistika tegemiseks ning et andmesubjektil ei

ole õigust nõuda nendel andmetel põhinevate andmete parandamist, kustutamist ega nende

töötlemise piiramist.

Punktiga 1 täiendatakse JDM-i juhise järgi RStS § 6 lõiget 4, milles sätestatakse statistilise

registri vastutavaks töötlejaks riikliku statistika tegija.

Punktidega 2–5 nähakse riikliku statistika tegijale ette õiguslik alus riikliku statistika

tegemiseks. RStS § 34 lõike 1 kohaselt on riikliku statistika tegijal õigus kasutada riikliku

statistika tegemisel isikuandmeid IKÜM-is ja IKS-is ettenähtud alustel ja korras, arvestades

RStS-is sätestatud erisusi. Riikliku statistika vajadusteks võib isikuandmeid töödelda eeskätt

pseudonüümitud või muul samaväärset andmekaitset võimaldaval kujul. Enne isikuandmete

üleandmist teadus- või ajaloouuringu või riikliku statistika tarbeks tuleb isikuandmed asendada

pseudonüümitud või samaväärse tasemega andmetega.

Punktiga 2 sätestatakse § 31 lõike 1 täiendamise kaudu isikuandmete töötlemise õiguslik alus

riikliku statistika tegemiseks kooskõlas kehtiva IKS-i § 6 lõikes 1 sätestatuga.

Punktiga 3 tunnistatakse kehtetuks RStS § 31 lõiked 2–4, mis asendatakse eelnõu punktis 4

esitatud lõikega 7.

Punktiga 4 täiendatakse RStS § 31 lõigetega 5–9. RStS §-i 31 täiendatakse lõigetega 5 ja 6,

mis sõnastatakse vastavalt kehtiva IKS-i § 6 lõigetele 2 ja 3. Lõike 5 kohaselt on

depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse uuesti

isikut tuvastavaks, lubatud ainult riikliku statistika vajaduseks. Lõikes 5 ei sätestata

depseudonüümimise eest vastutava isiku nimelist määramist, kuna vastav kord nähakse ette

asutusesiseste aktidega. Lõike 6 kohaselt on riikliku statistika vajadusteks andmete töötlemine

andmesubjekti tuvastamist võimaldaval kujul lubatud üksnes juhul, kui on täidetud järgmised

tingimused:

1) pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid

enam saavutatavad või neid oleks ebamõistlikult raske saavutada;

2) riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi;

3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega

kahjustata muul viisil ülemäära andmesubjekti õigusi.

Lisatava lõike 7 kohaselt võib vastutav või volitatud töötleja Euroopa Parlamendi ja nõukogu

määruse (EL) nr 2016/679 artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata

niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks teadus- või

ajaloouuringu või statistilise eesmärgi saavutamise või takistab seda oluliselt. See hõlmab ka

erandit, mille kohaselt ei pea riikliku statistika tegija teavitama isikut tema isikuandmete

kasutamisest riikliku statistika tegemiseks. Lisaks ei saa andmesubjekt nõuda nende andmete

parandamist või kustutamist ega piirata nende töötlemist. Lõige 8 näeb ette tingimused, millisel

juhul andmesubjekti õiguste piiramine on lubatud.

Lisatava lõike 9 kohaselt töötleb riikliku statistika tegija kõiki selliseid isikuandmeid, mille alus

tuleneb statistilisest eesmärgist. JDM-i juhise järgi tuleb sätestada töödeldavate isikuandmete

kategooriad seaduses. RStS-is ei ole mõistlik loetleda töödeldavaid isikuandmete kategooriaid

ja säilitustähtaegu, kuna need sätestatakse riikliku statistika tegemise aluseks olevates

õigusaktides. Riiklik statistika tugineb eri valdkondade andmetele, mille säilitustähtaeg tuleneb

statistikatöö olemusest, metoodikast ning osaliselt ka Euroopa Liidu statistika tegemist

reguleerivatest õigusaktidest. Seetõttu sätestatakse seaduses funktsionaalne säilitamispõhimõte

ning konkreetse statistikavaldkonna andmete säilitustähtajad sätestatakse asjakohase

õigusaktiga. Riikliku statistika raames töödeldakse näiteks järgmisi isikuandmeid: üldandmed

isiku kohta, andmed hariduse, töökoha, sissetuleku, tervise jm kohta. Isikuandmete töötlemise

puhul on oluline, et osa isikuandmete töötlemine toimub isiku nõusolekuta. Säilitustähtaja

lõppemisel isikuandmed kustutatakse.

Statistilisel eesmärgil kogutud andmeid on keelatud kasutada järelevalve, maksustamise või

muul mittestatistilisel eesmärgil.

Punktiga 5 tunnistatakse kehtetuks RStS § 34 lõige 4, mis sätestab, et Statistikaameti kogutud

ja statistiliselt töödeldud andmete organisatsioonilise, infotehnilise ja füüsilise kaitse nõuded

kehtestab Vabariigi Valitsus määrusega. Tänaseks on üldised nõuded andmete kaitsele

sätestatud erinevate õigusaktide ja standarditega. Kuna Statistikaametil on kohustus järgida nii

küberturvalisuse seaduse ja selle rakendusaktide, nt Eesti infoturbestandard, nõudeid, siis

puudub eraldi vajadus sätestada asutusepõhiseid nõudeid. Antud muudatusel ei ole mõju

asutuse tänasele tegevusele, kuna Statistikaamet järgib ka täna nimetatud õigusaktidest

tulenevaid nõudeid.

RStS muudatustel ei ole mõju olemasolevale korrale ega praktikale riikliku statistika

vajadusteks isikuandmete töötlemisel. Sisuliselt tõstetakse kehtivas isikuandmete kaitse

seaduses juba kehtivad normid üle riikliku statistika seadusesse.

§ 4. Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmine

TAIKS-is tehakse tehniline muudatus, mis tuleneb IKS § 6 lõigete numeratsiooni muutmisest.

Viide IKS § 6 lõikele 4 asendatakse viitega lõikele 6. Muudatuse eesmärk on tagada viidete

vastavus IKS-i uuele sõnastusele ning vältida õiguslikku ebaselgust ja eksitavaid viiteid.

Sisulisi muudatusi ega uusi kohustusi see muudatus kaasa ei too – tegemist on üksnes viidete

ajakohastamisega, et tagada seaduste kooskõla ja selgus.

3.2. Põhiseaduspärasus ja andmekaitsealane mõjuhinnang

Igasugune isikuandmete töötlemine riivab PS §-s 26 sätestatud õigust eraelu puutumatusele. PS

§ 11 kohaselt tohib õigusi ja vabadusi piirata ainult kooskõlas põhiseadusega. See tähendab, et

niisugune piirang peab olema kooskõlas ka PS § 3 esimese lausega, mille kohaselt teostatakse

riigivõimu üksnes põhiseaduse ja sellega kooskõlas olevate seaduste alusel. Sättes väljendatud

üldise seadusereservatsiooni põhimõtte järgi peab põhiõigusi puudutavates küsimustes kõik

olulised otsused langetama seadusandja. PS § 11 teise lause kohaselt peavad õiguste ja

vabaduste piirangud olema demokraatlikus ühiskonnas vajalikud. Põhiõiguse riive on

proportsionaalne, kui see on eesmärgi saavutamiseks sobiv, vajalik ja mõõdukas. IKS § 6

jõustamisega on seadusandja jaatanud isikuandmete töötlemise vajalikkust teadus- ja

ajaloouuringute ning riikliku statistika ja täidesaatva riigivõimu analüüside ja uuringute

koostamiseks. Seadusandja on näinud ette vajaduse analüüsida isikuandmeid, et teha poliitika

kujundamise eesmärgil analüüse ja uuringuid.

Muudatuse eesmärk on võimaldada teadus- ja arendustegevust ning innovatsiooni laiemalt,

mitte ainult poliitika kujundamiseks, ning tagada, et kõik asutused (sh KOV-id, ülikoolid,

ettevõtjad) saaksid uuringuid teha, kui on tagatud piisavad kaitsemeetmed. See on vajalik

ennekõike, kuna praegune regulatsioon on liiga kitsas ega võimalda kõigil asutustel uuringuid

teha. Ka IKÜM ei kitsenda isikute ringi, kes teadust ja innovatsiooni võivad teha, kuid määratud

peavad olema asjakohased kaitsemeetmed. Tasakaalustava meetmena nähakse muudatusega

ette oluliselt rangemad andmetöötlustingimused, mis peavad olema täidetud, et andmesubjekti

nõusolekuta oleks lubatud andmeid uuringus töödelda. Sätestatavad andmetöötluse

lisatingimused kehtivad kõikidele uuringu tegijatele, mitte üksnes avaliku sektori asutustele.

See tähendab, et riive isikute põhiõigustele on mõõdukas ja tasakaalustatud – eesmärki ei ole

võimalik saavutada vähem piiravate meetmetega ja uued kaitsemeetmed vähendavad riske

andmesubjektide põhiõigustele. Muudatused on mõeldud tingimuste täpsustamiseks, mitte

üldpõhimõtete muutmiseks.

Muudatusega võimaldatakse isikuandmete töötlemist spetsiaalses andmetöötlussüsteemis, kuid

ainult juhul, kui on võetud kõik seaduses sätestatud olulised kaitsemeetmed. See tähendab, et

andmesubjekti õiguste riive on põhjendatud ja piiratud – andmeid töödeldakse ainult siis, kui

see on vajalik ja piisavalt kaitstud nii tehniliste kui ka organisatsiooniliste meetmetega. Lisaks

nähakse muudatusega ette, et tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib

töödelda üksnes andmetöötlussüsteemis, mis tagab andmete töötluse üksnes isikustamata kujul.

Muudatuse eesmärk on võimaldada kiiremat ja turvalisemat andmepõhiste otsuste tegemist.

Praegune olukord ei võimalda piisavalt kiiresti ligipääsu vajalikele andmetele ning takistab

tõhusat teadustegevust ja innovatsiooni. Uus andmetöötlussüsteem võimaldab uuringuid teha

turvalises keskkonnas, vähendades samal ajal andmesubjektide õiguste riivet.

Andmetöötlussüsteemi kasutamisel on ette nähtud ranged tehnilised ja korralduslikud

turvanõuded (nt andmete pseudonüümimine, piiratud juurdepääs, logimine, andmete

kustutamine pärast uuringu lõppu). Enne süsteemi kasutuselevõttu kontrollib AKI kõigi

tingimuste täitmist. Kui kõik nõuded on täidetud, ei kohaldata lisapiiranguid (nt eetikakomitee

hinnangut), v.a juhul, kui see nõue tuleb mõnest muust seadusest. See vähendab

halduskoormust, kuid säilitab andmekaitse kõrge taseme.

Selline lähenemine on proportsionaalne, sest võimaldab kiiremalt uuringuid teha minimaalse

vajaliku riivega andmesubjektide õigustele. Muudatusega täpsustatakse, millal ja milliste

kaitsemeetmetega võib andmeid töödelda andmetöötlussüsteemis, ning luuakse selgus, millal

on vajalik AKI kontroll. See tagab õigusselguse ja väldib olukorda, kus andmete töötlemise

alused oleksid ebamäärased. Muudatus on proportsionaalne ja mõõdukas, sest lisatakse

täiendavad tehnilised ja korralduslikud kaitsemeetmed ning sõltumatu eelkontroll, mis tagab

õigusselguse ja seadusandja kontrolli põhiõigusi puudutavate otsuste üle. Muudatusega isikute

põhiõiguste riive ei suurene, vaid pigem väheneb, kuna täpsustatakse kaitsemeetmeid ja

andmete töötlemise tingimusi.

Muudatustega laieneb isikute ring, kes võivad teadus- ja arendustegevuse ning innovatsiooni

eesmärgil töödelda isikuandmeid ilma andmesubjekti nõusolekuta. Samas täpsustatakse ja

karmistatakse andmekaitsenõudeid, et tagada andmesubjektide põhiõiguste parem kaitse. Uued

nõuded hõlmavad:

• täpsemaid tingimusi, millal ja kuidas võib andmeid töödelda;

• pseudonüümimise ja muude kaitsemeetmete rakendamist;

• läbipaistvuse suurendamist (nt uuringust AKI-le teatamine ja info avalikustamine AKI

veebilehel);

• selgemaid reegleid eetikakomiteede rolli ja pädevuse kohta.

Need meetmed vähendavad riske andmesubjektide õigustele, tagades, et andmeid töödeldakse

ainult siis, kui see on põhjendatud, vajalik ja piisavalt kaitstud. Uuringu tegija peab enne

andmetöötluse alustamist teavitama AKI-t ning info uuringu kohta avalikustatakse Eesti

teabeväravas, mis tagab andmetöötluse läbipaistvuse ja võimaldab teha tõhusamat järelevalvet.

Andmetöötlussüsteemi kasutamine võimaldab töödelda isikuandmeid, sh eriliiki isikuandmeid,

turvalises ja kontrollitud keskkonnas. See vähendab andmesubjektide õiguste riivet, kuna:

• süsteemi kasutamisel on kohustus rakendada rangeid tehnilisi ja korralduslikke

turvanõudeid (pseudonüümimine, piiratud juurdepääs, logimine, andmete kustutamine

pärast uuringu lõppu);

• uuringu tegijal on juurdepääs ainult neile andmetele, mida on lubatud töödelda;

• selliste andmete allalaadimine, mis võimaldaks isikut tuvastada, on välistatud.

Riskide maandamise meetmena enne süsteemi kasutuselevõttu kontrollib AKI, vajadusel

kaasates Riigi Infosüsteemi Ametit, kas kõik seaduses sätestatud tingimused ja turvanõuded on

täidetud. Süsteemi kasutamisel on kohustus tagada, et kõik töötlustoimingud on logitud.

Uuringu tegijal on juurdepääs ainult neile andmetele, mida on lubatud töödelda konkreetse

uuringu jaoks. Kui kõik seaduses sätestatud tingimused on täidetud ja kontrollitud, ei ole vaja

eetikakomitee täiendavat hinnangut ega ka AKI teavitamist, mis vähendab halduskoormust,

kuid säilitab andmekaitse kõrge taseme.

Tuleb silmas pidada, et iga andmetöötlussüsteemi pakkuja peab enne süsteemi kasutuselevõttu

koostama oma süsteemi kohta andmekaitsealase mõjuhinnangu, see kohustus tuleb IKÜM-i

artiklist 35, mille kohaselt kui teatavat tüüpi isikuandmete töötlemise, eelkõige uut tehnoloogiat

kasutava töötlemise tulemusena ning isikuandmete töötlemise laadi, ulatust, konteksti ja

eesmärke arvesse võttes tekib tõenäoliselt füüsiliste isikute õigustele ja vabadustele suur oht,

hindab vastutav töötleja enne isikuandmete töötlemist kavandatavate isikuandmete töötlemise

toimingute mõju isikuandmete kaitsele. Andmekaitsealase mõjuhinnangu olemasolu on

eelduseks AKI-poolsele kontrollile ja süsteemi kasutuselevõtule.

Protsessiskeem eelnõu rakendamiseks

➢ Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda § 61 tingimustele

vastavas AKI kontrollitud keskkonnas.

Joonis 1. Protsessiskeem isikuandmete kasutamiseks teadus- ja ajaloouuringu ning statistika

eesmärgil. Allikas: JDM.

4. Eelnõu terminoloogia

Muudatusega võetakse termin „uuring“ kasutusele laiemas tähenduses. Muudatuse järel

nimetatakse teadus-, ajaloo- ja statistika eesmärgil tehtavat uuringut edaspidi ühise terminiga

„uuring“. Teadusuuringu eesmärgil isikuandmete töötlemine hõlmab näiteks tehnoloogia

arendamist ja tutvustamist, alusuuringuid, rakendusuuringuid ja erasektori vahenditest

rahastatavaid uuringuid. Ka tehisaru arendamine on osa tehnoloogiaarendusest.

5. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõuga ei võeta üle Euroopa Liidu õigust. Eelnõu koostamisel on arvesse võetud

isikuandmete kaitse üldmääruses12 ja õiguskaitseasutuste direktiivis13 sätestatut.

6. Seaduse mõjud

Seaduse rakendamise mõju avaldub eelkõige riigiasutuste ja kohaliku omavalitsuse

korralduses, sotsiaalvaldkonnas ning majanduses. Mõju puudutab AKI-t, eetikakomiteesid,

riigiasutusi, KOV-e, ülikoole ja ettevõtjaid ning andmesubjekte (füüsilisi isikuid, kelle

isikuandmeid uuringutes töödeldakse). Peamised mõjud seisnevad uuringute korralduse

muutumises, isikuandmete töötlemise tingimuste täpsustumises ning halduskoormuse

vähenemises. Mõju riigi julgeolekule ja välissuhetele, regionaalarengule ning elu- ja

looduskeskkonnale on hinnanguliselt väike. Muudatustega võib kaasneda andmesubjektide

õiguste riive või andmekaitsenõuete ebaühtlane rakendamine, kuid nende riskide realiseerumise

tõenäosus on hinnanguliselt väike.

6.1. Andmekaitse Inspektsioon – mõju töökorraldusele

Hetkel ei ole teada, kui palju tehakse aastas teadus- ja ajaloouuringuid ning statistilisi analüüse,

mille tegemiseks on vaja töödelda isikuandmeid. Riigiasutused tellivad või teevad

poliitikakujundamise eesmärgiga uuringuid aastas 25–30. Eeldatavasti teadusasutused teevad

neid kordades rohkem, lisanduvad KOV-id ja muud juriidilised isikud. Eestis on kokku 78

kohaliku omavalitsuse üksust, kui pool neist teeb ühe uuringu aastas, tähendab see 39 teavitust.

Muudatusega ei vähene oluliselt AKI koormus, mis tal kehtiva IKS-i kohaselt on seoses enne

uuringu alustamist tehtud taotluse läbivaatamise, nõustamise ja hindamisega. Eelnõuga tehtava

muudatuse tõttu kasvab AKI nõustamise ja järelevalvega seotud tegevuse maht, kuna kui

uuringus töödeldakse tuvastamist võimaldavaid isikuandmeid, peab uuringu tellija AKI-t

teavitama uuringu eesmärkidest, töödeldavatest andmetest ja rakendatud kaitsemeetmetest ning

AKI avalikustama uuringuga seotud teabe oma veebilehel. Teavitamiskohustuse tõttu suureneb

AKI nõustamismaht. Samuti on AKI-l võimalik vajaduse korral teha järelevalvet juba enne

uuringu alustamist või ka hilisemas etapis. Samas nähakse eelnõu kohaselt ette tingimus, et

püsivate samadel eesmärkidel tehtavate avaliku sektori uuringute õiguslik alus peab tulema

eriseadusest, mis annab AKI-le võimaluse korduvate uuringute hindamise taotlused jätta läbi

12 Euroopa Parlamendi ja nõukogu määrus (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel

ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse

üldmäärus) 13 Euroopa Parlamendi ja nõukogu direktiiv (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses

pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest

vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist

ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK

vaatamata. Kui uuringuid tehakse andmetöötlussüsteemis, on AKI ülesandeks kontrollida enne

süsteemi kasutuselevõttu, kas kõik tehnilised ja korralduslikud tingimused on täidetud,

vajadusel kaasates Riigi Infosüsteemi Ametit. Eeldatavasti tekib selliseid

andmetöötlussüsteeme 3–5, seega kontrollide maht ei ole suur, küll aga tuleb silmas pidada, et

kontrollile kuluv ressurss on siiski arvestatav, sest kontroll hõlmab tehniliselt paljusid aspekte

ja kontrollitakse seaduses sätestatud tingimuste täitmist. Juhul kui avaliku sektori uuringu

tegemiseks andmetöötlussüsteemi ei kasutata ja uuringus töödeldakse eriliiki isikuandmeid,

tuleb AKI-l anda hinnang uuringu seaduses sätestatud tingimustele vastavusele.

Kokkuvõttes AKI roll uuringutealases nõustamises, järelevalves ja andmetöötlussüsteemide

eelkontrollis suureneb, uuringute eelkooskõlastuste mahu muutumist ei ole hetkel võimalik

hinnata. Koormuse suurenemise tõttu on AKI lisakulu aastas 122 800 eurot (kahe inimese

tööjõukulu aastas 112 800 eurot ja majanduskulu, sh töökoha kulud, koolitused, tervise

edendamine jmt 10 000 eurot).

6.2. Eetikakomiteed – mõju töökorraldusele

Muudatuse järel hakkavad eetikakomiteed hindama uuringuid, mis tehakse eriliiki

isikuandmetega IKS § 6 lõike 3 ja 4 tingimustele vastavalt, ehk siis nii isikustatud kui ka

pseudonüümitud isikuandmetega. Juhul kui eriliiki isikuandmeid töödeldakse

andmetöötlussüsteemis, eetikakomitee hindamise kohustust ei ole, kui seaduses ei ole

sätestatud teisiti. Muudatusega eetikakomitee koormus väheneb, kuna hinnanguid ei ole vaja

anda, kui eriliiki isikuandmeid töödeldakse andmetöötlussüsteemis, mis peab lisaks § 61 lõikes

2 sätestatud nõutele vastama ka IKS § 6 lõikes 3 sätestatud tingimustele. Eetikakomiteelt

positiivse hinnangu saamine on kohustuslikuna sätestatud järgmistes seadustes:

inimgeeniuuringute seadus (§-d 27 ja 32), nakkushaiguste ennetamise ja tõrje seadus (§ 201),

narkootiliste ja psühhotroopsete ainete ning nende lähteainete seadus (§ 112), rahvatervishoiu

seadus (§ 30), ravimiseadus (§-d 811ja 992), meditsiiniseadme seadus (§ 213), surma põhjuse

tuvastamise seadus (§ 321), Tervisekassa seadus (§ 466), TAIKS (§ 26) ning tervishoiuteenuste

korraldamise seadus (§ 594).

Muudatusega laieneb termini „uuring“ sisu – poliitika kujundamise uuringud (nt riigiasutuste

ja KOV-ide analüüsid ja uuringud) kuuluvad samuti § 6 alla ning võivad vajada eetikakomitee

hinnangut. Kuid oluline muudatus on, et kui uuring tehakse spetsiaalses

andmetöötlussüsteemis, siis eetikakomitee hinnangut vaja ei ole. Paljusid poliitika kujundamise

uuringuid, milleks seni on olnud vaja eetikakomitee ja AKI hinnangut, saab edaspidi teha ilma

nendeta, kui kasutatakse piisavaid tehnilisi ja organisatsioonilisi kaitsemeetmeid vastavas

andmetöötlussüsteemis. Seega eetikakomitee ei pea menetlema kõiki avaliku sektori tehtavaid

uuringuid, vaid ainult neid, kus eriliiki isikuandmeid töödeldakse väljaspool

andmetöötlussüsteemi ning mis AKI hinnangul vajavad eetika seisukohast hindamist, kui

seaduses ei ole sätestatud teisiti. Siinkohal sobivad näiteks Eesti Geenivaramu uuringud, mille

puhul tuleb andmekogu vastutaval töötlejal saada oma uuringutele teaduseetika komitee

heakskiit.

6.3. Andmesubjektid – sotsiaalne mõju

Kuna muudatusega nähakse ette kindlad kaitsemeetmed isikuandmete töötlemisele, siis

väheneb riive isikute põhiõigustele. Muudatusega luuakse võimalused andmete töötlemiseks

andmetöötlussüsteemis ning väheneb isikustatud andmete töötlemise maht. Avades suuremale

hulgale riigiasutustele uuringute tegemise võimaluse, laieneb isikuandmete töötlejate ring, kuid

samas nähakse ette kaitsemeetmed isikuandmete töötlemisele, seega ei suurene oluliselt isikute

põhiõiguste riive. Isikute põhiõigustele muudatused olulist lisariivet ei tekita.

Andmesubjekt võib sõltuvalt uuringust olla iga inimene. Muudatusega luuakse andmetöötluse

protsess, mis riivab vähem isikute põhiõigusi, ning täiendatakse andmetöötluse

kaitsemeetmeid, mis tagavad tõhusama isikuandmete kaitse. Muudatus mõjutab andmesubjekti

positiivselt, kuna lisaks IKS § 6 tingimuste täitmise hindamisele antakse uuringule ka eetiline

hinnang. Kuna isiku tuvastamist võimaldavate andmetega tehtud uuringute tegemise kohta

avalikustatakse info Eesti teabeväravas, võimaldab see andmesubjektil saada ülevaate, milliseid

uuringuid tema andmetega tehakse. Andmesubjekt saab vajadusel lisateabe saamiseks

pöörduda uuringu tellija poole. Samuti säilib andmesubjektil õigus pöörduda AKI poole, kui ta

leiab, et tema andmeid on töödeldud ebaseaduslikult või tema õigusi on rikutud.

6.4. Asutused, kohalikud omavalitsused ja nende hallatavad asutused – mõju

töökorraldusele

Kui praegu võivad asutused isikuandmeid kasutades uuringuid teha peamiselt poliitika

kujundamise eesmärgiga, siis edaspidi saavad nad seda teha ka muudel eesmärkidel, näiteks

teenuste arendamiseks või avalikes huvides innovatsiooni elluviimiseks.

Asutustele avaldub positiivne mõju, sest muudatus võimaldab teha kiiremini andmetel

põhinevaid otsuseid. Enamikuks uuringuteks ei ole vaja töödelda isikustatud andmeid ja

uuringu tegijale on vajalikud üksnes statistilised andmed. Sellist andmetöötlust saab eelnõu

kohaselt edaspidi teha andmetöötluskeskkonnas. Keskkonnas ei töödelda andmeid, mis

võimaldavad isikut tuvastada, mistõttu ei ole vajalik AKI ega eetikakomitee eelhinnang,

mistõttu kiireneb uuringu protsess. Nendel juhtudel, kui on vaja töödelda eriliiki isikuandmeid

väljaspool andmetöötlussüsteemi, tuleb enne andmetöötlusega alustamist läbida AKI ja

vajadusel ka eetikakomitee menetlus.

Asutustel, KOV-idel ja nende hallatavatel asutustel tekib rohkem võimalusi ja paindlikkust

uuringute tegemisel, kuid ka suurem vastutus andmekaitsenõuete täitmise eest.

6.5. Ülikoolid, ettevõtjad – majanduslik ja töökorralduslik mõju

Muudatusega luuakse selgemad tingimused, millal ja milliste andmetega uuringuid on lubatud

teha. Luuakse selgus, millal ja millise eetikakomitee poole peab uuringu tellija pöörduma.

Uuringu tellijale luuakse võimalus andmeid töödelda andmetöötluskeskkonnas, väheneb

uuringu tellija töökoormus ja lüheneb uuringu tegemise aeg, kuna eriliiki isikuandmete

andmetöötluskeskkonnas töötlemise tarvis ei ole vaja eetikakomitee hinnangut. Isikuandmete

töötlemine tähendab teadustöö tellijale paratamatult IKS-ist tulenevaid piiranguid ja

halduskoormust (eetikakomitee menetlus). Kavandatavad muudatused küll muudavad kehtivat

korda, kuid eeldatavasti halduskoormus teadustöö tegijatel ei suurene, vaid pigem väheneb

olukorras, kus soovitakse töödelda eriliiki isikuandmeid andmetöötlussüsteemis. See on ka

oluline aja kokkuhoid. Teatavat mõju halduskoormusele võib tekitada AKI teavitamise

kohustus, kuid võrreldes eetikakomitee menetlusega ei ole see märkimisväärne.

6.6. Riikliku statistika tegijad

RStS-i muudatustel ei ole mõju olemasolevale korrale ega praktikale, mis kehtib riikliku

statistika vajadusteks isikuandmete töötlemisel.

6.7 Mõjude koondkokkuvõte

Halduskoormus ettevõtetele

Eelnõu rakendamise tulemusel halduskoormus ettevõtetele üldjuhul väheneb. Vähenemine

tuleneb eelkõige võimalusest teha uuringuid ja analüüse nõuetele vastavas

andmetöötlussüsteemis, mille kasutamisel ei ole vaja läbida kõiki seniseid kooskõlastus- ja

hindamismenetlusi (nt eetikakomitee menetlust). Teatav täiendav halduskoormus võib

kaasneda AKI teavitamise kohustusega, kuid see on võrreldes varasema menetlusega vähem

ajamahukas.

Halduskoormus inimestele (andmesubjektidele)

Eelnõu ei too kaasa inimestele uusi kohustusi ning halduskoormus kodanikele tervikuna ei

suurene. Andmesubjektide vaates muutub andmetöötlus läbipaistvamaks (nt uuringute

avalikustamine Eesti teabeväravas), mis võib vähendada vajadust pöörduda selgituste

saamiseks asutuste poole.

Töökoormus avalikule sektorile

Avaliku sektori töökoormus oluliselt ei suurene. AKI koormus uuringutealases nõustamises,

järelevalves ja andmetöötlussüsteemide eelkontrollis suureneb, uuringute eelkooskõlastuste

mahu muutumist ei ole hetkel võimalik hinnata. Eetikakomiteede töökoormus väheneb, kuna

andmetöötlussüsteemis tehtavate uuringute puhul ei ole üldjuhul eetikakomitee hinnangut vaja.

Riigiasutuste ja KOV-ide jaoks lihtsustub uuringute tegemine.

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad

kulud ja tulud

Teenistujate töökoormuse kasv seoses AKI veebilehel uuringute ja andmetöötlussüsteemide

kohta teabe avaldamisega sõltub uuringute arvust. Seaduse rakendamine ei too riigile ega

kohalikele omavalitsustele kaasa olulisi täiendavaid kulusid. Mõningane töökoormus võib

kaasneda AKI-le nõustamisega, järelevalvega ning uuringute ja andmetöötlussüsteemide kohta

teabe avaldamisega AKI veebilehel. Koormuse suurenemise tõttu on AKI lisakulu aastas

122 800 eurot (kahe inimese tööjõukulu aastas 112 800 eurot ja majanduskulu, sh töökoha

kulud, koolitused, tervise edendamine jmt 10 000 eurot). Seaduse rakendamisega ei kaasne

otseseid lisatulusid.

8. Rakendusaktid

Eelnõu § 61 lõige 4 näeb ette volitusnormi, mille kohaselt on valdkonna eest vastutaval ministril

õigus kehtestada määrusega täiendavaid tehnilisi ja korralduslikke turvanõudeid

andmetöötlussüsteemis andmete töötlemisele. Selline volitusnorm on vajalik, et tagada

paindlikkus ja ajakohasus turvanõuete rakendamisel, arvestades tehnoloogia kiiret arengut ning

uute riskide ilmnemist andmetöötluses. Tegemist on lubava volitusnormiga, mis võimaldab

reageerida kiiresti olukordadele, kus senised seaduses sätestatud nõuded ei pruugi olla piisavad,

ning kehtestada lisameetmeid, mis on vajalikud andmete turvaliseks töötlemiseks.

9. Seaduse jõustumine

Seadus jõustub üldises korras, kuna eelnõu seadusena jõustumine ei too kaasa vajadust

praktiliste muudatuste järele. See loob võimaluse uut moodi andmetöötluseks. Kuna tegemist

ei ole kohustusega, siis ei ole eelnõu adressaatidel seaduse jõustumisel vaja oma tegevust suures

mahus ümber korraldada.

10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

VTK koostamisele eelnesid arutelud riigi andmete juhtrühma õiguse töörühma kohtumistel,

kuhu olid kaasatud Riigikantselei, AKI, Õiguskantsleri Kantselei, Statistikaamet, ülikoolid ja

Eesti Andmekaitse Liit. Samuti toimusid kohtumised Eesti Infotehnoloogia ja

Telekommunikatsiooni Liidu ja IT-ettevõtjatega. Avalikus konsultatsioonis kaasati veel Eesti

Juristide Liit, Eesti Advokatuur, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti

Teaduste Akadeemia, Eesti rektorite nõukogu, Rahvusarhiiv, Eesti Linnade ja Valdade Liit,

Riigikohus, Tallinna Ringkonnakohus, Tartu Ringkonnakohus, Tallinna Halduskohus, Tartu

Halduskohus, Tartu Ülikool, Tallinna Tehnikaülikool, Tallinna Ülikool, Eesti Maaülikool,

Eesti Kunstiakadeemia, Eesti Muusika- ja Teatriakadeemia, Eesti Lennuakadeemia, Kaitseväe

Akadeemia, Sisekaitseakadeemia, Tallinna Tehnikakõrgkool, Tallinna Tervishoiu Kõrgkool,

Kõrgem Kunstikool Pallas, rakenduskõrgkoolide rektorite nõukogu, SA Eesti Teadusagentuur,

Eesti Isikuloo Keskus, Eesti Mälu Instituut, Inimõiguste Instituut, E-riigi Akadeemia, Eesti

Koostöö Kogu, Eesti Kaubandus-Tööstuskoda, Eesti Väike- ja Keskmiste Ettevõtjate

Assotsiatsioon ning Eesti Tööandjate Keskliit. VTK esitati teadmiseks Riigikogule, kelle soovil

tutvustati VTK-d põhiseaduskomisjonis.

VTK kohta esitasid tagasiside Eesti Linnade ja Valdade Liit, mõttekoda Praxis, Tallinna

Tehnikaülikool, Tartu Ülikool, Eesti Meediaettevõtete Liit, Eesti Rahvusraamatukogu, Eesti

rakendusuuringute keskus Centar, Eesti Tööandjate Keskliit, Eesti Kunstiakadeemia, Eesti

Andmekaitse Liit, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit, Eesti Advokatuur, Eesti

Maaülikool, SA Eesti Teadusagentuur ja Rahvusarhiiv. Eelnõu on koostatud arutelude käigus

saadud infot ja VTK tagasisidet arvestades.

Eelnõu esitati kooskõlastamiseks eelnõude infosüsteemi (EIS) kaudu 25-1413/01 kõikidele

osapooltele, kes olid kaasatud VTK etapis.

Eelnõu kohta esitasid arvamuse Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon, Eesti

Kaubandus- ja Tööstuskoda, SA Eesti Teadusagentuur, Tallinna Ülikool, Eesti Infotehnoloogia

ja Telekommunikatsiooni Liit, Eesti Linnade ja Valdade Liit, Riigikogu Kantselei ja Tartu

Ülikool. Eelnõu kohta esitatud arvamused koos selgitustega on toodud seletuskirja lisas.

Algatab Vabariigi Valitsus 14. septembril 2026. a

Vabariigi Valitsuse nimel

(allkirjastatud digitaalselt)

Heili Tõnisson

Valitsuse nõunik

Seletuskirja lisa (kooskõlastustabel).docx

Kooskõlastustabel
1. Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon
Justiits- ja Digiministeeriumi märge
1 Eelnõu kohaselt võib isikuandmeid, sealhulgas eriliiki isikuandmeid, andmesubjekti nõusolekuta teadus-, ajaloouuringu- või statistikatöö (edaspidi uuring) eesmärgil töödelda eelkõige, kasutades pseudonüümimist või muud samaväärset kaitset pakkuvat meedet. Pseudonüümimisega või muu samaväärse meetmega on eelnõu järgi tegemist, kui on täidetud kõik järgmised tingimused: 1) enne isikuandmete üleandmist uuringu tegijale need pseudonüümitakse või kasutatakse muid asjakohaseid kaitsemeetmeid päringu saanud andmekogus; 2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada; 3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada tuvastada isikut, kelle isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldi; 4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju. Siin ei ole tegemist pseudonüümimise või muu samaväärse meetme tingimustega, vaid pseudonüümitud või samaväärse meetmega kaitstud isikandmete töötlemise tingimustega. Loetelu neljanda punkti näol on tegemist ka sama paragrahvi lõikes 6 toodud tingimuse mittevajaliku kordusega.

Eelnõu ja seletuskirja muudetud. Selgitame, et IKS kohaselt lubatakse uuringus isikuandmeid töödelda kui on täidetud lg 3 tingimused. Lg 4 kohaselt kui on sättest toodud tingimused täidetud, siis on lubatud andmeid töödelda isiku tuvastamist võimaldaval kujul. Kordus on vajalik, sest tingimus peab olema täidetud nii lg 3 kui ka lõige 4 alusel toimuva andmetöötluse puhul.
2 Eelnõus sätestatakse, et isikuandmete kaitse seaduse tähenduses loetakse seaduses sätestatud uuringuks ka Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema hallatava asutuse tehtud analüüsid ja uuringud, sealhulgas tehnoloogiaarendused. Probleem seisneb selles, et isikuandmete kaitse üldmäärus reguleerib ainult avalikes huvides toimuvat andmetöötlust arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil. Kehtiva seaduse tähenduses loetakse teadusuuringuks ka täidesaatva riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise eesmärgil. See tegevus toimub kindlasti avalikes huvides. Aga kõik muud avaliku sektori institutsioonide analüüsid ja uuringud ei pruugi olla teostatud avalikes huvides. Ka teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse järgi on teadus- ja arendustegevuse osalised selle seaduse mõttes ainult teadlased, teadus- ja arendusasutused, ülikoolid, rakenduskõrgkoolid ning teised osalised, kes kavandavad, viivad läbi, korraldavad, rahastavad, toetavad või hindavad teadus- ja arendustegevust või avaldavad teadus- ja arendustegevuse tulemusi. Oluline on see, et isikuandmete kaitse üldmääruse kohaselt isikuandmete vastav töötlemine lubatud ainult avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. Sellise tingimusega tuleks eelnõus täiendada ka avaliku sektori institutsioonide, kes ei ole teadus- ega arendusasutused, analüüse ja uuringuid, et vältida vastuolu üldmäärusega.

Selgitame, et tulenevalt IKÜM-i eesti keelses ebaõnnestunud tõlkest tuleb arvesse võtta IKÜM-i originaal keelt, mille kohaselt peab üksnes arhiveerimine toimuma avalikes huvides. IKÜM art 89 Safeguards and derogations relating to processing for archiving purposes in the public interest, scientific or historical research purposes or statistical purposes.
Statistikat ja teadusuuringuid on lubatud teha ka juhul kui avaliku huvi ei ole.

3 Andmesubjektil on isikuandmete kaitse üldmääruse järgi õigus, et tema kohta ei võetaks otsust, mis põhineb üksnes automatiseeritud töötlusel, sealhulgas profiilianalüüsil, mis toob kaasa teda puudutavaid õiguslikke tagajärgi või avaldab talle märkimisväärset mõju. Erandina on selline tegevus lubatud vastutava töötleja poolt kohaldatava liidu või liikmesriigi õigusega, milles on sätestatud ka asjakohased meetmed andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks. Kui me lähtume eeldusest, et avalike ülesannete automatiseerimine ja selleks tehnoloogia või tehisintellekti arendamine toimub avalikus huvis, siis on ka vajalik eelnevalt kehtestada väljaspool andmekaitse valdkonda üldine regulatsioon, milles sätestatakse andmesubjekti kaitsemeetmed või nõuded tema kaitseks kohaldatavatele meetmetele, kui andmesubjekti suhtes hakatakse tegema otsuseid ainult automatiseeritud töötluse alusel.

Selgitame, et säte ei reguleeri avaliku ülesande käigus tehnoloogia kasutamist vaid olukorda kui soovitakse tehnoloogia välja arendada. Juhul kui avalik sektori hakkab välja arendatud tehnoloogiat kasutama oma avalike ülesannete täitmisel peab tal selleks olema seaduses omaette õiguslik alus.
4 Eelnõusse võetakse üle ka kehtiva seaduse tekst, kus on sätestatud, et kui paragrahvi 6 lõike 3 tingimused ei ole täidetud, on isikuandmete, sealhulgas eriliiki isikuandmete töötlemine uuringuks lubatud üksnes juhul, kui on täidetud kõik järgmised tingimused: 1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada; 2) uuringu tegija hinnangul on selleks ülekaalukas avalik huvi; 3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi. Üks probleem on seotud siin sellega, et ülekaaluka avaliku huvi määratlemine ei tohi sõltuda ainult uuringu tegija hinnangust. Teine probleem seisneb selles, et on määratlemata, mida tähendab andmesubjekti õiguste ülemäärane kahjustamine. Ülemäärase õiguste kahjustamise keelu asemel võiks sätestada, et peavad olema tagatud muud sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks.

Selgitame. Ülekaalukas avalik huvi on määratlemata õigusmõiste, mida peab iga juhtumi puhul eraldi hindama võttes ühelt poolt arvesse avaliku huvi ja teiselt poolt andmesubjekti õigusi. See on ettevõtjate ja kõigi uuringu tegijate igakordse hindamise kohustus, mille kriteeriumeid selle eelnõuga ka ette ei kirjutata. Sarnane loogika on ka õigustatud huvi hinnanguga, kus iga juhtumi korral tuleb teha eraldi kaalumine. Näitliku loetelu tuua paraku ei saa, sest see võib jätta eksliku mulje, justkui tegevuid, mis ei ole loetelus ei peagi hindama. Ka riigikohus on oma 13.juuni 2005 lahendis nr 3-4-1-5-05 märkinud, et määratlemata õigusmõiste on õigustehniline vahend, mille puhul seadusandja loobub detailsete ettekirjutuste andmisest seadustes enestes, delegeerides normi täpsustamise seaduse rakendajale (p 16).

5 Eelnõu paragrahvi 61 kohaselt võib seaduse §-s 6 sätestatud eesmärgil isikuandmeid, sealhulgas eriliiki isikuandmeid, töödelda ka selleks ettenähtud andmetöötlussüsteemis, kui on täidetud seaduse § 6 lõike 3 punktides 2–4 ja paragrahvis 61 sätestatud tingimused. Olemuslikuks probleemiks on siin see, et andmete töötlemine toimub alati mõnes andmetöötlussüsteemis. Ei ole arusaadav, mille poolest erineb eelnõus reguleeritud andmetöötlussüsteem teistest andmetöötlussüsteemidest ja miks ainult sellele andmetöötlussüsteemile kehtestatakse eelnõus eraldi nõuded. Kas see on mõeldud näiteks muudel eesmärkidel kogutud isikuandmete töötlemiseks? Ka andmekogu ise on avaliku teabe seaduse kohaselt defineeritud kui riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Riigi infosüsteemi kuuluvad näiteks andmekogud, mis on infosüsteemi andmevahetuskihiga liitunud ja riigi infosüsteemi haldussüsteemis registreeritud, ning andmekogude pidamist kindlustavad süsteemid.

Selgitame, et eelnõuga ei ole silmas peetud mitte ühtegi konkreetset andmetöötlussüsteemi vaid on sätestatud nõuded andmesüsteemile, mida võib kasutamiseks igaüks pakkuda, kui vastavad tingimused on täidetud. Andmetöötlussüsteeme võib kasutada mitmetel eesmärkidel. Antud juhul on loodud lahendus, kus süsteemis teadusuuringu tarbeks andmete töötlemisel kontrollitud süsteemist kehtivad nö leebemad reeglid, sest süsteem ise tagab piisavad kaitsemeetmed, mis eelnõuga ette nähtud. Siin ei ole silmas peetud andmekogusid, vaid andmetöötlussüsteeme, milles uuringuid soovitakse läbi viia.
6 Samuti ei ole arusaadav, kas eelnõus reguleeritud andmetöötlussüsteemi võiks käsitleda ka tehisintellekti regulatiivliivakastina. EL määruse 2024/1689 kohaselt võib muudel eesmärkidel seaduslikult kogutud isikuandmeid tehisintellekti regulatiivliivakastis töödelda üksnes teatavate tehisintellektisüsteemide arendamiseks, treenimiseks ja testimiseks liivakastis, kui on täidetud kõik määruses loetletud tingimused. Osaliselt need kattuvad eelnõus reguleeritud andmetöötlussüsteemi tingimustega. Omaette küsimus on, et kas väljaspool regulatiivliivakasti on määruse kohaselt üldse lubatud muudel eesmärkidel kogutud isikuandmeid kasutada määruse kohaldamisalasse jäävate tehisintellektisüsteemide arendamiseks, treenimiseks ja testimiseks. Näiteks ei kohaldata määrust 2024/1689 tehisintellektisüsteemide või tehisintellektimudelitega seotud teadus-, testimis- või arendustegevuse suhtes enne nende turule laskmist või kasutusele võtmist.

Andmetöötlussüsteemid ei ole selle eelnõu kontekstis regulatiivliivakastina. Võimalik, et kui need vastavad ka viidatud määruse tingimustele, võib neid ka sellisel eesmärgi kasutada.
2. Eesti Kaubandus- ja Tööstuskoda
Justiits- ja Digiministeeriumi märge
1 Eetikakomitee menetluse kaotamine
Eelnõu § 1 punkti 1 (IKS § 6 lg 5) kohaselt ei pea uuringu tegija taotlema enne andmete töötlemist eetikakomitee hinnangut, vaid on kohustatud teavitama Andmekaitse Inspektsiooni vastavast uuringust, uuringu eesmärkidest, töödeldavatest andmetest ja IKS § 6 lg 3 sätestatud tingimuste täitmisest.

Kaubanduskoda toetab muudatust, et vähendatakse uuringu tegijate halduskoormust viisil, et uuringu tegijad ei pea läbima eetikakomitee menetlust, kui soovitakse töödelda eriliiki isikuandmeid ja kasutatakse pseudonüümimist või muud samaväärset kaitset pakkuvat meedet. Uuringu tegijate jaoks on oluline, et ei eksisteeriks kohustust läbida paralleelselt mitut eraldi menetlust. Sellest tulenevalt tähendab muudatus uuringu tegijate jaoks menetlusaegade lühenemist, kulude vähenemist ja prognoositavuse suurenemist, mis on olulise tähtsusega kiiresti arenevates valdkondades tegutsevatele uuringu tegijatele, sh tehisaru ja innovatsiooniprojektide puhul.
Kaubanduskoja ettepanek:
Toetame eelnõu § 1 punkti 1, millega muudetakse IKS § 6 lõiget 5.

Teadmiseks võetud.
2 Uuringu tegemise eesmärgi laiendamine
Eelnõu § 1 punkti 1 (IKS § 6 lg 2) kohaselt laiendatakse uuringu tegemise eesmärki poliitika kujundamiselt teenuste arendamiseni. Uuringule antakse laiem tähendus, mis hõlmab akadeemilistele ja teadusuuringutele lisaks riigi ja omavalitsusüksuste ning nende allasutuste koostatud või tellitud analüüse, uuringuid ja tehnoloogiaarendusi.

Toetame eelnõuga läbiviidavat muudatust, millega laiendatakse uuringu tegemise eesmärki poliitika kujundamiselt ka muude eesmärkideni, näiteks teenuste arendamiseni või avalikes huvides innovatsiooni elluviimiseni. Uuringu tegemise eesmärgi laiendamine loob senisest paremad võimalused kasutada andmepõhiseid lahendusi uute toodete ja teenuste väljatöötamiseks.
Kaubanduskoja ettepanek:
Toetame eelnõu § 1 punkti 1, millega muudetakse IKS § 6 lõiget 2.

Teadmiseks võetud.
3 Andmetöötlussüsteemi pakkujate ringi laiendamine
Eelnõu § 1 punkti 2 (IKS § 61 lg 2) kohaselt on ettevõtjatel õigus hakata pakkuma andmetöötlussüsteeme.

Kaubanduskoda toetab muudatust, et eelnõuga ei kitsendatud andmetöötlussüsteemide teenusepakkujate ringi selliselt, et süsteemi võib hakata pakkuma ainult üks keskne riigiasutus, vaid et seda võimaldatakse ka ettevõtjatel omal vabal valikul pakkuda.
Kaubanduskoja ettepanek:
Toetame eelnõu § 1 punkti 2, millega lisatakse isikuandmete kaitse seadusesse § 61 lõige 2.

Arvestatud.
4 Teabe avalikustamine Eesti teabeväravas
Eelnõu § 1 punkt 1 (IKS § 6 lg 5) kohaselt on uuringu tegija kohustatud teavitama Andmekaitse Inspektsiooni uuringu eesmärgist, töödeldavatest andmetest ja rakendatavatest kaitsemeetmetest, mille Andmekaitse Inspektsioon avaldab Eesti teabeväravas.
Seletuskirja (lk 7) kohaselt tagatakse Eesti teabeväravas uuringu kohta teabe avalikustamisega läbipaistvus. Ühelt poolt Kaubanduskoda toetab läbipaistvust, mis tuleneks uuringute kohta teabe avaldamistest Eesti teabeväravas. Samas peame oluliseks, et muudatus ei tooks kaasa olulisi ärisaladuse avalikustamise ja konkurentsipositsiooni halvendamise riske. Eelnõu seletuskirja kohaselt võimaldaks teabe avaldamine huvigruppidel ja avalikkusel saada ülevaate, milliseid isikuandmeid ja mis eesmärgil töödeldakse. Seeläbi saaksid teised ettevõtjad informatsiooni ettevõtja arendusplaanide ja strateegiliste suundade kohta. Seetõttu leiame, et teabe avalikustamisel teabeväravas peab kehtima selge erand ärisaladust ja tundlikke innovatsiooniprojekte kaitsvatel juhtudel ning avalikustamisele kuuluva teabe maht peab piirduma minimaalselt vajaliku teabega.
Kaubanduskoja ettepanek:
Täpsustada eelnõu § 1 punktis 1 (IKS § 6 lg 5) teabeväravas avalikustatava teabe ulatus ja määratleda selgelt, et avalikustamine ei kahjustaks ettevõtjate ärisaladust ega konkurentsivõimet.

Arvestatud ja seletuskirja täiendatud.
Selgitame. Antud juhul on tegemist avaliku teabega AvTS-i mõttes ning juhul kui teave sisaldab juurdepääsupiiranguga andmeid, siis AvTS § 35 lg 1 kohaselt seda osa teabest ei tohi avalikustada. Seega peab antud juhul ette võtja teabe AKI-le edastamisel ära märkima, milline osa teabest on ärisaladus.
5 „Ülekaaluka avaliku huvi“ määratlemine
Eelnõu § 1 punkti 1 (IKS § 6 lg 6 p 2) kohaselt lubatakse erandina isikuandmete töötlemist ilma pseudonüümimiseta või samaväärset kaitset pakkuva meetme rakendamiseta vaid juhul, kui samaaegselt on täidetud kolm lõikes 6 toodud tingimust, sealhulgas ülekaaluka avaliku huvi olemasolu.

Kaubanduskoda leiab, et IKS § 6 lõige 6 punkt 2, mis toob välja „ülekaaluka avaliku huvi“, on hetkel ebamäärane. Näiteks eelnõu ei täpsusta, millistes olukordades ja milliste tunnuste alusel tingimuse täitmist hinnata. Seletuskiri (lk 7) toob ainsa näitena välja olukorra, kus terviseuuringus soovitakse analüüsida haruldase haiguse levimust Eestis, kuid pseudonüümitud andmete analüüsimine ei võimaldaks haiguse leviku mustri tuvastamist, mistõttu otsustab uuringu tegija andmeid töödelda tuvastamist võimaldaval kujul. Sellisel juhul on tal kohustus IKS § 6 lõike 6 punkti 2 alusel põhjendada, et eriliiki isikuandmete töötlemisel uuringuks on tegemist ülekaaluka avaliku huviga. Sellest näitest hoolimata ei ole „ülekaaluka avaliku huvi“ piisaval määral lahti kirjutatud, et ettevõtjad saaksid enesekindlalt sellele tugineda. Ettevõtjatel on vajadus hinnata õiguslikke riske ette, eriti investeeringute tegemisel uuringute läbiviimisse ja innovatsiooni. Tüüpolukordade seletuskirjas esiletoomine, kus ülekaalukas avalik huvi võiks suure tõenäosusega eksisteerida, võimaldaks ettevõtjatel prognoosida, kas andmete töötlemine uuringu läbiviimiseks oleks seadusega lubatud.
Kaubanduskoja ettepanek:
Täpsustada seletuskirjas eelnõu § 1 punkti 1 (IKS § 6 lg 6 p 2) ülekaaluka avaliku huvi kriteeriumi sisu ning välja tuua vähemalt näitlik loetelu olukordadest, kui see eeldus võib olla suure tõenäosusega täidetud.

Seletuskirja täiendatud. Ülekaalukas avalik huvi on määratlemata õigusmõiste, mida peab iga juhtumi puhul eraldi hindama võttes ühelt poolt arvesse avaliku huvi ja teiselt poolt andmesubjekti õigusi. See on ettevõtjate ja kõigi uuringu tegijate igakordse hindamise kohustus, mille kriteeriumeid selle eelnõuga ka ette ei kirjutata. Sarnane loogika on ka õigustatud huvi hinnanguga, kus iga juhtumi korral tuleb teha eraldi kaalumine. Näitliku loetelu tuua paraku ei saa, sest see võib jätta eksliku mulje, justkui tegevuid, mis ei ole loetelus ei peagi hindama. Ka riigikohus on oma 13.juuni 2005 lahendis nr 3-4-1-5-05 märkinud, et määratlemata õigusmõiste on õigustehniline vahend, mille puhul seadusandja loobub detailsete ettekirjutuste andmisest seadustes enestes, delegeerides normi täpsustamise seaduse rakendajale (p 16).
6 Andmete töötlemine andmetöötlussüsteemis Euroopa Majanduspiirkonna territooriumil
Eelnõu § 1 punkti 2 (IKS § 61 lg 2 p 8) kohaselt peab andmetöötlussüsteemi pakkuja tagama andmete töötlemise Euroopa Majanduspiirkonna territooriumil.

Peame oluliseks märkida, et selline nõue ei tulene otseselt Euroopa Parlamendi ja nõukogu määrusest (EL) nr 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus (edaspidi IKÜM)). Pigem kujutab see endast riigisisest täiendavat piirangut ja puudutab otseselt ettevõtjaid, kes asuvad ise Eestis, kuid kes soovivad kasutada väljaspool Euroopa Majanduspiirkonna territooriumit asuvaid rahvusvahelisi pilveteenuseid andmete töötlemiseks. Kuigi IKÜM ei kasuta ega defineeri mõistet „andmekaitsesüsteem“, millele IKS-is luuakse eraldi regulatsioon, on IKÜM siiski Euroopa Liidu ülene andmetöötlust reguleeriv otsekohalduv õigusakt. IKÜM artikkel 3 lõige 1 sätestab, et määrust kohaldatakse liidus asuva vastutava töötleja või volitatud töötleja tegevuskoha tegevuse kontekstis toimuva isikuandmete töötlemise suhtes sõltumata sellest, kas töödeldakse liidus või väljaspool liitu. Seega ei piira IKÜM andmete töötlemist ei väljaspool Euroopa Liitu ega ka Euroopa Majanduspiirkonna territooriumit, kui andmete töötleja ise asub Euroopa Liidus.
Kaubanduskoja ettepanek:
Palume vähemalt seletuskirjas selgitada eelnõu § 1 punkti 2 (IKS § 61 lg 2 p 8) tingimust, miks on eelnõusse lisatud nõue, et andmetöötlussüsteemi pakkuja peab tagama andmete töötlemise Euroopa Majanduspiirkonna Territooriumil.

Selgitame, et riigisisese õigusega võib liikmesriik ette näha kaitsemeetmeid teadusuuringu tegemiseks ning üheks kaitsemeetmeks on piirang, et andmeid ei tohi töödelda väljaspool Euroopa Majanduspiirkonna territooriumil. Nõue on sätestatud sõltuvalt asjaolust, et süsteemis töödeldakse suures mahus isikuandmeid, mis peavad vastama kõrgele andmekaitse tasemele, mis väljaspool piirkonda alati ei pruugi tagatud olla.
3. SA Eesti Teadusagentuur
Justiits- ja Digiministeeriumi märge
1 IKS § 6 reguleerimisala „nõusolekuta“ uuringud on liiga lai
IKS plaanitava § 6 lõike 1 kohaselt antakse §-s 6 alus isikuandmete andmesubjekti nõusolekuta töötlemiseks teadus-, ajaloouuringu või statistikatöö eesmärgil. IKÜM artikli 6 lõikes 1 on loetletud viis isikuandmete töötlemise seaduslikku alust, mis ei põhine andmesubjekti nõusolekul ning mis seetõttu kõik võiksid langeda IKS § 6 reguleerimisalasse. Meie hinnangul on see liiga lai.

IKÜM artikli 6 lõike 2 kohaselt võivad liikmesriigid kehtestada konkreetsemad regulatsioone kohandamaks IKÜM sätteid seoses isikuandmete töötlemisega artikli 6 lõike 1 punkti c (kui see on vastutava töötleja juriidiline kohustus) või punkti e (töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks) alusel. Liikmesriigid võivad määrata üksikasjalikumalt kindlaks töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade jaoks, nagu see on sätestatud IX peatükis. Mainitud peatükki kuulub ka artikkel 89, mis lubab liikmesriigil ette näha erandeid teatud andmesubjekti õigustest, kui andmete töötlemine toimub avalikes huvides arhiveerimise, teadus- ja ajaloouuringu või statistilisel eesmärgil.

Teine IKÜM säte, mis jätab liikmesriigile võimaluse täiendavaid isikuandmete töötlemise tingimusi sätestada, puudutab eriliiki isikuandmete töötlemist. Nii on artikli 9 lõike 2 punktis j on sätestatud erand eriliikide töötlemise keelule: „töötlemine on vajalik avalikes huvides toimuva arhiveerimise, teadus- või ajaloouuringute või statistilisel eesmärgil vastavalt artikli 89 lõikele 1, tuginedes liidu või liikmesriigi õigusele, ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ning tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks“. Sama artikli lõike 4 kohaselt võivad liikmesriigid kehtestada täiendavaid tingimusi.

Meie hinnangul võiks IKS lähtuda nendest sätetest, eelnõuga uuringus isikuandmete töötlemisele seatud piirangud ja tingimused on eelkõige vajalikud selleks, et tasakaalustada IKÜMis teadusuuringutele ettenähtud erandeid, mitte selleks, et seada täiendavaid tingimusi õiguspäraselt läbiviidud uuringutele. Nii ei peaks IKS näiteks kehtestama lisatingimusi õigustatud huvi alusel läbiviidavatele uuringutele ja analüüsidele, kui need järgivad kõiki IKÜM tingimusi.

Kuna seletuskirjast võib välja lugeda, et IKS § 6 regulatsioon on mõeldud täiendama IKÜMi artikli 6, lõike 1 punkti e (isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks) erandit, teeme õigusselguse huvides ettepaneku selle ka eelnõus konkreetselt sõnastada. Näiteks:
„(1) Isikuandmeid võib teadus- või ajaloouuringu või statistika eesmärgil töödelda Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artikli 6 lõikes 1 punktis e nimetatud alusel, kui järgitakse kõiki käesolevas paragrahvis sätestatud tingimusi.“

Lisaks võiks seadusega täpsustada eelkõige neid aspekte, mida IKÜM ei reguleeri või milles on jäänud võimalus liikmesriikidel täiendavaid tingimusi sätestada. Üheks selliseks on IKÜM art 9 lg 2 p j sätestatud erand eriliikide töötlemise keelule.

Kokkuvõtteks: lahendus oleks IKS-is täpsustada nõudeid ja tingimusi, mis kaasnevad avalikes huvides ülesandena määratlevatele teadusuuringutele, jättes reguleerimisalast välja muud õiguslikud alused (eelkõige õigustatud huvi) ja kitsendaks uuringute ringi, kellele uues kohustused kohalduksid.

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. Selgitame. IKS § 6 on õiguslikuks aluseks isikuandmete töötlemisel, kui seda on vaja teha teadus- või ajaloouuringu või statistika vajadusteks. Tegemist on erandiga, mis tuleneb IKÜM-i artiklist 89. IKS § 6 põhineb ka IKÜM-i artikli 6 lõike 1 punktil e, mille kohaselt on liikmesriigil võimalik õigusaktiga täpsustada avalikes huvides oleva ülesande täitmise aluseid. IKS § 6-ga ei sätestata piirangud õigustatud huvi alusel toimuvale andmetöötlusele.

2 IKS § 6 lõigetes 1 ja 2 käsitletud „uuringu“ mõiste on liiga lai
Seletuskirja kohaselt on termin „uuring“ laia tähendusega ning see hõlmab teadus- ja ajaloouuringuid ning statistikat. Samuti on seletuskirjas väidetud, et „kehtiv IKS kitsendab ülemäära asutuste ringi, kellel on lubatud analüüse ja uuringuid teha“. Oluline on siinkohal välja tuua, et IKS eesmärk ei ole defineerida teadusuuringut (teadus- ja arendustegevuse defineerib TAIKS) ega anda üldist luba uuringute tegemiseks. IKS peaks eelkõige täpsustama vaid neid erandeid ja tingimusi, mis üldmäärus teadus- ja ajaloouuringute ning statistika osas selgelt ette näeb.

IKS § 6 lõikega 2 võrdsustatakse teadusuuringutega hulk avaliku sektori analüüse ja uuringuid ning laiendatakse neile ka üldmääruses teadusuuringutele tehtavad erandid. Mitte iga analüüs, mida riigiasutus isikuandmete põhjal teeb, ei ole ega peagi olema käsitletav kui teadusuuring. Paratamatult tähendab see ka seda, et mitte iga analüüs ei saa toetuda üldmääruses teadusuuringutele ette nähtud eranditele. Näiteks üldmääruse art 9 lg 1 sätestab eriliiki isikuandmete keelu, millest erandid on loetletud sama artikli lõikes 2. Üheks erandiks on teadusuuringud (art 9 lg 2 p j), kui see tagab piisava kaitse andmesubjekti õigustele ning järgib liikmesriigi õigust. Kui „uuringu“ mõistet liigselt laiendada, loob see suurele hulgale tegevustele võimaluse eriliikide töötlemise keelust mööda minna. Ei ole selge, kas ja kuivõrd see läheb kokku üldmääruse mõttega luua erand teadusuuringutele kui olulise avaliku huviga tegevusele.

Sarnaselt on üldmäärus ette näinud võimaluse piirata andmesubjekti õigusi, kui see takistab teadusuuringute eesmärkide saavutamist (vt EN § 6 lg 11). Ka siin on sama probleem – kui uuringu mõistet liigselt laiendada, laieneb ühtlasi selliste isikuandmete töötlemise toimingute hulk, kus andmesubjekti õigusi piiratakse.

Ettepanek on täiendavalt hinnata erinevate õiguslike mõistete kooskõla, kuna uuringu mõiste laienemisega kaasneb suurem privaatsuse riive. Samuti aitaks see vältida võimalikke probleeme seaduse rakendamisel. Eelkõige tuleks täiendavalt hinnata, kas ja kuivõrd ühtivad TAIKS teadus- ja arendustegevuse ning IKS uuringu mõiste. Ka teadus- ja arendustegevuse mõiste ei piira asutuste ega isikute ringi, kes saavad alus- ja rakendusuuringuid ning eksperimentaalarendust läbi viia. Küll seab see kõrgema lävendi tegevuse sisule ja tulemustele – rutiinsed analüüsid ei mahu nt teadus- ja arendustegevuse mõiste alla. Kitsam tõlgendus on kooskõlas üldmääruse eesmärgiga ja tagab suurema kaitse andmesubjektide privaatsusele.

Asjaolu, et konkreetne uuring (nt turu-uuring) või analüüs (nt teenuse kasutatavuse ülevaade) ei liigitu teadusuuringuks, ei tähenda, et need uuringud ei ole lubatud. Sel juhul ei saa lihtsalt toetuda üldmääruses teadusuuringutele ette nähtud eranditele. Neid tegevusi saab endiselt läbi viia toetudes üldmääruse üldnõuetele – kui selleks on sobiv õiguslik alus ning järgitakse teisi üldmääruse nõudeid. Kui avalikule asutusele on näiteks õigusaktiga antud ülesanne pakkuda avalikku teenust, siis peaksid ka selle avaliku teenusega seotud analüüsid olema kaetud sama ülesandega ning eraldi õiguslikku alust selliste analüüside jaoks ei ole vaja.

Arvestatud osaliselt, sõnastust muudetud. Selgitame, et IKS ei defineeri teadusuuringu mõistet. IKÜM-i põhjenduse 159 kohaselt tuleks teadusuuringute eesmärgil toimuvat isikuandmete töötlemist tõlgendada nii laialt, et see hõlmab näiteks tehnoloogiaarendust ja tutvustamistegevust, alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid uuringuid, lisaks tuleks arvesse võtta EL-i toimimise lepingu artikli 179 lõikes 1 sätestatud liidu eesmärki luua Euroopa teadusruum, rahvatervise valdkonnas peaks teadusuuringute eesmärk hõlmama avalikust huvist lähtuvalt tehtud uuringuid. Juhime tähelepanu, et IKÜM on otsekohalduv EL-i määrus, mida siseriikliku õigusega kitsendada ei saa. Veel enam on TAIKS §-is 9 ka sätestatud ministeeriumi ja Riigikantselei ülesanded teadus-ja arendustegevuse ning innovatsiooni valdkonnas, seega on juba TAIKS-iga öeldud, et ka riiklikult tegeletakse teadus- ja arendustegevuse ja innovatsiooniga ning selline TAIKS kohaldub ka riigipoolse teadustegevuse korral.

Eelnõu ei laienda teadusuuringu mõistet avaliku sektori uuringule vaid näeb avaliku sektori uuringu tegemiseks ette samad tingimused, mis teadusuuringule.

Lisaks selgitame, et juhul kui avaliku sektorile on juba seadusega pandud ülesandeks uuringuid läbi viia, andmetöötluse eesmärgid ja andmete kategooriad seaduse tasandil toodud on juba seaduses toodud õigusliku alusega andmetöötluseks.
3 Teadusuuringud ja statistika võiksid olla eraldi paragrahvidena reguleeritud
Sarnaselt avalikes huvides arhiveerimisele (IKS § 7), võiks ka statistika eesmärgil isikuandmete töötlemine olla reguleeritud eraldi paragrahvina. Kuna statistika tulemuseks on alati koondandmed, mis ei ole käsitletavad isikuandmetena (IKÜM sp 162), on statistika koostamisega seotud riskid teadusuuringutega võrreldes väiksemad.

Mitmed eelnõus ettenähtud nõuded või kohustused ei tundu mõistlikud statistilisel eesmärgil toimuva töötlemise suhtes, seda enam, et Statistikaameti tööd reguleerib eraldi seadus ja seega eelnõu tingimused neid ei puuduta (EN IKS § 6 lg 10). Seega reguleeriks eelnõu kõikide teiste isikute ja asutuste tegevust kogutavate või olemasolevate andmete põhjal statistika koostamisel. Ettevõtted ja muud asutused teevad regulaarselt statistilisi ülevaateid oma tegevusest, töödeldes selleks klientide või teenuste kasutajate andmeid, et seeläbi teha paremaid otsuseid asutuse tegevuse osas. Kuigi staatilisel eesmärgil isikuandmete töötlemine võib põhineda ka nõusolekul, on tõenäoline, et statistiliste ülevaadete koostamine ei põhine nõusolekul, vaid mõnel muul alusel, nt õigustatud huvil või „eesmärgi kooskõla“ hindamisel. Probleemi illustreerimiseks lisasime ka näite (vt II osa). Ei ole arusaadav, miks asutused peaksid AKI-t teavitama statistika koostamisest vaid seetõttu, et isikuandmete statistilisel eesmärgil töötlemine ei põhine nõusolekul.

Mõnevõrra erinev on olukorda statistikauuringutega (statistical surveys), kus kogutaksegi uusi andmeid statistika koostamise eesmärgil, kuid need toimuvad kas: 1) nõusoleku alusel (nt uuringufirmad, kes respondente küsitlevad); 2) seaduse alusel riikliku statistika raames. Mõlemad juhud jäävad niikuinii IKS § 6 reguleerimisalast väljapoole.

Kolmanda probleemina ei ole mõistlik statistika eesmärgil toimuvale isikuandmete töötlemisele ette näha eetikakomitee kooskõlastuse kohustust, kuna statistika koostamine ei sobitu teadusuuringute hindamiseks mõeldud raamistikku.

Ettepanek toetaks ühtlasi meie teist ettepanekut, mille kohaselt „uuringu“ mõiste on liiga lai.

Mittearvestatud. Selgitame, et määrav ei ole siinjuures üksnes uuringu või statistika tulem vaid selle tulemusel töödeldakse isikuandmeid, mistõttu ka tingimused andmetöötlusele peavad olema samad.
4 Teavitamiskohustus on liiga lai ja ei täida oma eesmärki
Plaanitud kujul tuleb AKI-t teavitada igal juhul, kui töödeldakse andmesubjekti nõusolekuta isikuandmeid teadusuuringu eesmärgil, sõltumata sellest kas need on tavalised või eriliiki isikuandmed, pseudonüümitud (IKS § 6 lg 5) või isikustatud (IKS § 6 lg 6–7) või kasutatakse andmetöötlussüsteemi (IKS §61 lg 7). Samuti kohaldub kohustus IKS § 6 lõigete 1 ja 2 kohaselt lisaks teadusasutustes tehtavale teadustööle, ka statistikatööle, KOV analüüsidele ning erasektori uuringutele – see suurendab teavituste hulka ja tekitab täiendava koormuse kõigile uuringute tegijatele. Mida laiemalt määratleda „uuringu“ mõiste, seda suuremaks läheb nende uurimistegevuste hulk, millest AKI-t teavitama peaks. Kui aastas tehakse 200 teavituse ringis, tuleks välja mõelda ka see, kuidas nende uuringute teavet arusaadavalt avaldada, et inimesed vajaliku info üles leiaks. Vastasel korral tekib sama efekt liiga pikkade andmekaitse tingimuste avaldamisega – inimesed loobuvad selle lugemisest ja läbipaistvus sellega ei parane.
Ka ei ole üheselt selge, mida AKI selle teabega peale hakkaks ning millist probleemi selline teavitus aitaks lahendada. Kui eeldus on, et AKI tuvastab vastavust seadusega, siis ei ole tegemist pelgalt teavitusega, vaid AKI peaks ka uuringu asjaoludesse süvenema – see oleks pigem uut tüüpi menetlus, mitte pelgalt teavitus. Teavitamise vajadus on küsitav ka seetõttu, et teavituse sisu (§ 6 lg 5) on niivõrd üldine, et selle põhjal ei ole võimalik kõikide § 6 lg 3 ja 6 nõuete täidetust kontrollida. Lisaks on seletuskirja peatükis 7 nimetatud, et ainus täiendav tööjõukulu AKI-le on seoses „AKI veebilehel uuringute kohta teabe avaldamisega“ – sellest võiks eeldada, et AKI esitatud teabe põhjal uuringuid ei kontrolli. Kui veebilehel uuringute nimekirja avaldamine on ainus eesmärk, siis leidub teavitamisele ka paremaid alternatiive, mis sarnaselt läbipaistvust aitavad tagada.

Ettepanek on selliselt sätestatud teavitamise kohustusest loobuda, sest 1) korrektselt pseudonüümitud andmete töötlemisel on eelduslikult taastuvastamise risk maandatud ja täiendav kontroll ei ole põhjendatud – pealegi on IKS § 6 lg 3 tingimused tehnilist laadi, mille kontrollimine eeldaks täpsemaid selgitusi pseudonüümimise meetodi osas, mida oskab selgitada andmekogu pidaja (ehk andmete väljastaja), mitte uuringu tegija; 2) eetikakomitee poolt hinnatud uuringu osas hindab eetikakomitee juba niikuinii IKS § 6 lg 6 tingimusi ning teeb väljastatud kooskõlastuse avalikuks (kõik kooskõlastatud uuringud avaldatakse veebilehel) – ei ole selge, miks peaks veel täiendavalt sellest AKI-t teavitama, kes sarnaselt avaldaks veebilehel uuringu andmed. See viimane ülesanne oleks dubleeriv.

Kui riigi eesmärk on isikuandmete taaskasutust soodustada, siis oleks igati mõistlik vältida ebamõistlikult koormavaid kohustusi, mis vastupidiselt pärsivad andmete taaskasutust.

Alternatiivne lahendus teavitamisele: teavitamiskohustuse eesmärk peaks olema selgem ja suunatud kõige kriitilisemate probleemide lahendamiseks: 1) parem järelevalve riigi valduses olevate eriliiki ja tundlike andmete kasutamise osas; 2) suurem läbipaistvus andmesubjektile tema andmete uuringutes kasutamise osas. Eeldus on, et 2. eesmärk toetab ühtlasi 1. eesmärki, kuna andmesubjektid saavad teada anda uuringutest, mis tekitavad küsimusi.
Selliselt võiks minimaalsem teavitamiskohustus olla järgnev:

kohustus piirduks vaid riiklikest andmekogudest uuringute eesmärgil andmete väljastamisega (selle asemel, et käsitleda kõiki teadusuuringus nõusolekuta isikuandmete töötlemise olukordi);
2) teavitamise adressaat peaks olema eelkõige (või täiendavalt ka) andmesubjekt, kelle isikuandmeid töödeldakse – selleks saaks kasutada andmejälgija funktsiooni, mille laiendamine on ilmselt niigi plaanis;
3) teavituse peaks saatma andmekogu pidaja (vastutav töötleja), kellel on vajalik teave isikuandmete pseudonüümimise ja turvalise töötlemise osas – uuringu tegijal ei saa tagada, et andmed on korrektselt pseudonüümitud (IKS § 6 lg 3) ega seda, et andmetöötlussüsteem vastab IKS EN §61 seatud tingimustele;
4) teavitamine võiks olla võimalikult suurel määral automatiseeritav ning integreeritud andmejälgija või andmetöötlustoimingute (sh andmepäringute) logimisega – see oleks jällegi võimalik vaid andmekogu pidaja poolelt, mitte uuringu läbiviija poolelt.

Kokkuvõtteks: teavitamiskohustuse ulatust aitaks piirata ka see, kui lähtuvalt ettepanektust 1 ja 2 kitsendada IKS § 6 reguleerimisala.

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. AKI teavitamise kohustu on üksnes juhul kui töödeldakse isiku tuvastamist võimaldavaid andmeid. AKI saab pisteliselt vajadusel teha järelevalvet seirates tehtavate uuringute eesmärke ja kasutatavate andmete kategooriad. Teabe esitamise ja avaldamise vormi osas nõustume, et see peab toimuma lihtsalt ja arusaadavalt, aga on tehniline küsimus, mida võibolla vajalik läbi juhise lahendada. Tegemist ei ole eelnõud puudutava küsimus.
5 Eelnõu ei arvesta teadusuuringutega, kus ei kasutata andmekogude andmeid
Eelnõus on läbivalt kirjeldatud olukordi, kus uuringu jaoks saadakse andmeid andmekogust (EN IKS § 6 lg 3, 4, 9, 11, samuti kogu § 61). Samas töödeldakse teadusuuringus nõusolekuta isikuandmeid ka juhul, kui andmed ei pärine andmekogust. Oleme II osas kirjeldanud mitmeid uuringute tüüpe, kus toimub „nõusolekuta“ andmetöötlus, kuid kus ei küsita andmeid andmekogudest – kuna „uuringu“ mõiste on väga lai, tähendab see paratamatult, et uued kohustused tabavad ka neid uuringuid.

Probleemi aitaks lahendada see, kui IKS § 6 reguleerimisala kitsendada vastavalt 1. ettepanekule.

Mittearvestatud. Uued nõuded peavad olema kasutusel igasugusel andmetöötlusel, mis toimub teadusuuringu eesmärgil. Andmesubjektide õigused peavad olema kaitstud igasuguse andmetöötluse puhul. Kui ettevõte töötleb andmeid nt õigustatud huvi alusel siis on siinkohal tegemist hoopis omaette IKÜM-is sätestatud õigusliku alusega, millele kehtivad omad nõuded, nt õigustatud huvi hinnangu koostamine jne.
6 Ei ole selge, kes on „uuringu tegija“
Üldmäärus kasutab mõisteid volitatud töötleja ja vastutav töötleja. Kui uuring tellitakse teiselt asutuselt, on uuringu läbiviimisega seotud mitu asutust – kes sel juhul on uuringu tegija? Kuna kohustused kaasnevad uuringu tegijale, peaks seadus selle mõiste täpsemalt määratlema. Oluline on see eelkõige olukordades, kus uuring tellitakse ettevõttelt või teadusasutuselt või kui uuringu viib läbi konsortsium, kus kõik asutused võivad olla kaas-vastutavad.
Kas üliõpilastöödes, kus töödeldakse avalikustatud isikuandmeid ilma nõusolekuta (nt meedia ja sotsiaalmeedia sisu), tuleneb teavitamise kohustus üliõpilasele või ülikoolile?

Arvestatud, seletuskirja täiendatud. Uuringu tellija vastutab teavitamise eest. Juhul kui uuringut teeb üliõpilane oma õpptegevuse käigus on temal, kui uuringu vastutaval töötlejal, teavitamise kohustus.
7 Pseudonüümsuse tingimused ei ole selged
Kuigi seletuskirja kohaselt on eesmärgiks luua selgus, millisel juhul on tegemist pseudonüümimisega, ei loo EN IKS § 6 lg 3 tingimused kuigi palju selgust. Praegusel juhul on lõikes kirjas, et „Pseudonüümimine … on meede, mille puhul… enne isikuandmete üleandmist uuringu tegijale need pseudonüümitakse“. Selliselt on pseudonüümimine defineeritud/määratletud iseenda kaudu – see ei ole kuigivõrd abiks praktikas, kus tuleb otsustada konkreetse andmekogumi põhiselt, milliste tunnuste alusel peale otseste identifikaatorite võiksid andmesubjektid olla tuvastatavad. Lisaks määratlevad pseudonüümimist veel lisatingimused (lõike 3 punktid 2-3), mis suurendab segadust veelgi.

Arusaadav on seletuskirjas välja toodud probleem, et praktikas on pseudonüümimine tekitanud segadust, kuid lahendus sellele oleks andmekogu pidajate juhendamine või koolitamine.

Pseudonüümimise osas võiks arvesse võtta ka hiljutist Euroopa Kohtu otsust CJEU - C-413/23 P - EDPS v SRB1 (vt punktid 82–86), mis käsitleb pseudonüümitud isikuandmete vastuvõtja kohustusi – kohtu hinnangul tuleb hinnata, kas vastuvõtja jaoks on saadud andmed võimaldavad andmesubjekti tuvastada või mitte. Kohus rõhutab ühtviisi seda, et pseudonüümitud isikuandmed ei pruugi alati olla vastuvõtja vaatest isikuandmed (punkt 86), kui ka seda, et andmed, mis iseenesest ei ole isikuandmed, võivad muutuda isikuandmeteks (punkt 84). Selline isikuandmete õigusliku staatuse muutumine võib tekitada probleeme ka plaanitava IKS 6 osas, kuna mõnel juhul võib IKS § 6 lg 3 tingimuste kohaselt pseudonüümitud andmeid pidada nende vastuvõtja ehk uuringu tegija vaatest mitte-isikuandmeteks. Sel juhul on küsitav ka see, millest ja miks peab uuringu tegija AKI-t teavitama, kui tema töödeldavad andmed ei ole isikuandmed.

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. Lisaks selgitame, et eelnõuga nähakse ette tingimused, millal kaitsemeetmed on piisavad, et isikuandmeid saab uuringu läbiviimiseks töödelda, sõltumata sellest, millisel kujul uuringu tulem on.

Eelnõu ja seletuskirja muudetud. AKI-t peab teavitama juhul kui uuringus töödeldakse isiku tuvastamist võimaldavaid andmeid.
8 Kaaluda võiks eelnõu § 6 lg 9 erandi laiendamist kõigile vastutavatele ja volitatud töötlejatele
Lisaks andmekogude pidajatele leidub isikuandmeid töötlevaid asutusi, kellel ei ole andmekogu avaliku teabe seaduse tähenduses, kuid kes ometi kasutavad olemasolevaid andmeid uuringute eesmärgil (nt statistika tegemiseks) – sellisel juhul on vastutaval töötlejal ikkagi kohustus järgida kõiki EN IKS § 6 nõudeid, sõltumata sellest, et vastutav töötleja juba niigi kontrollib andmeid ja peab tagama nende turvalise ning õiguspärase töötlemise. Selline erinev kohtlemine andmekogu pidajate ning muude vastutavate töötlejate vahel ei ole eelnõus põhjendatud, kuna mõlemal juhul on andmekaitse alased riskid samaväärsed.

Kui teavitamiskohustus jääb eelnõusse alles, tuleks kaaluda erandi loomist olukorras, kus teadusuuringu läbiviija töötleb iseenda töödeldavaid isikuandmeid, mille suhtes ta on vastutav töötleja.

Teine pool vastutava töötlejaga seotud probleemist puudutab olukorda, kus vastutava töötleja andmekogusse kuuluvaid isikuandmeid kasutab uuringu tegemiseks, analüüsiks või statistiliseks kokkuvõtteks volitatud töötleja. Näiteks on Eesti Teadusagentuur riigi infosüsteemi kuuluva andmekogu Eesti Teadusinfosüsteem volitatud töötleja. Samal ajal on Eesti Teadusagentuuril TAIKS §10 lõike 2 punkti 6 kohaselt ülesanne koguda, säilitada ja analüüsida teavet teadus- ja arendustegevuse kohta ning teha see kättesaadavaks. Kas IKS § 6 lg 9 erandile saab tugineda ka volitatud töötleja oma seaduses kehtestatud ülesannet täites?

Mittearvestatud. Säte on vajalik avaliku sektori andmekogude vaatest, kellel täna seaduses ei ole andmekogu eesmärgina ette nähtud ka oma andmekogu piires statistika ja analüüside tegemist. See ei piira kuidagi erasektori tegevust tema ettevõtte andmetega.

Eelnõu ja seletuskirja muudetud. Teavitamiskohustus on üksnes juhul kui töödeldakse isikustatud andmeid

Selgitame. Volitatud töötleja õiguslikuks aluseks saab olla üksnes see, mis on vastutaval töötlejal, volitatud töötleja tegutseb vastutava töötleja nimel ja tema õiguste piires. Kui Eesti Teadusagentuuril on seadusega ka omaette ülesanded pandud, mida ta täidab läbi sama andmekogu, siis peab ta olema nende ülesannete osas andmekogu kaasvastutav töötleja.
9 Ühe andmekogu piires isikuandmete töötlemine uuringu eesmärgil peaks olema siiski läbipaistev
Eelnõu IKS § 6 lg 9 annab andmekogu vastutavale töötlejale õiguse ühe andmekogu piires isikuandmeid uuringute eesmärgil töödelda ilma § 6 nõudeid järgimata – see teeb küll vastutavale töötlejale elu lihtsamaks ja vähendab halduskoormus, kuid samas väheneb läbipaistvus ühe andmekogu piires toimuva töötlemise osas. Vastupidiselt nt praegu Riigikogus menetluses olevas inimgeeniuuringute seaduses nähakse samasugused kohustused ette kõigile uurijatele – ka geenivaramu enda uuringud peavad saama eetikakomitee kooskõlastuse.

Kuna nii mitmeski riiklikus andmekogud on väga tundlikud andmed, tuleks siiski hinnata, kuidas toimub järelevalve selliste uuringute üle, mida andmekogu vastutav töötleja ühe andmekogu piires teostab. Oluline on arvestada ka seda, et üksnes turvalisuse tagamine ei lahenda uuringutega seotud eetilisi ega põhiõiguslikke küsimusi – kuna andmesubjekti kontroll andmekogus olevate andmete üle on väga piiratud, püsib risk, et andmekogu vastutav töötleja soovib isikuandmeid kasutada selleks, et arendada välja uudseid meetodeid, mis ei ole ühiskonnas läbi arutada või tekitavad eetilisi küsimusi (nt ennustav politseitöö).

Kuna igasugune isikuandmete töötlemine kujutab endast isiku privaatsuse riivet, põhineb selline lai erand andmekogu vastutavatele töötlejatele suurel ühiskondlikul usaldusel. Kaaluda võiks täiendavaid läbipaistvust tagavaid lahendusi sellistele töötlustoimingutele – üks võimalus oleks ka andmejälgija funktsionaalsuse laiendamine sellistele uuringutele (mis on vist niigi plaanis).

Selgitame, et andmekogudes toimuva andmetöötluse üle teostab järelevalvet Andmekaitse Inspektsioon. Lisaks kohaldub endiselt ka AvTS § 28 lg 1 p 18, milles on sätestatud teabevaldaja kohustust avaldada riigi- või kohaliku omavalitsuse asutuse tellitud uuringud ja analüüsid. See tagab avaliku sektori andmetöötluse läbipaistvuse.

Teadmiseks võetud. Võimalusel saab ehk ka tulevikus andmejälgijat rakendada, aga juhime tähelepanu, et andmejälgija saab kohustuslikuks üksnes juhul kui andmeid edastatakse riigi infosüsteemi kuuluvast andmekogust x-tee vahendusel. x-tee vahendusel. Juhul kui andmeid x-tee vahendusel ei edastata, ei ole ka tehniliselt andmejälgijat võimalik kasutada.
10 Eetikakomiteega seonduv halduskoormus võib kasvada
Eetikakomitee isikuandmete kaitsega seotud halduskoormus võib suureneda, kuna plaanitava muudatusega hõlmatakse ka mitte-eriliiki isikuandmed eetikakomitee kooskõlastuse kohustusega. Samas väheneb eetikakomitee koormus nende uuringute võrra, kus on andmed eelnevalt pseudonüümitud või kus uuringu viib läbi andmekogu vastutav töötleja ühe andmekogu piires (IKS § 6 lg 9).

Eetikakomitee kooskõlastus võiks sarnaselt kehtivale korrale jääda vaid nendele uuringutele, kui töödeldakse eriliiki isikuandmeid. Tavaliste isikuandmete osas on see kohustus selgelt ülemäärane, eriti kui arvestada, et eetikakomiteel on niikuinii õigus otsustada, et sisuline hindamine ei ole sellise uuringu puhul vajalik. Ka selliste hinnangute väljastamine on täiendav halduskoormus eetikakomiteele.

Probleemi aitaks lahendada ka see, kui vastavalt ettepanekutele 1–3 eelnõu § 6 reguleerimisala kitsendada.

Arvestatud, eelnõu ja seletuskirja muudetud.
11 Seos andmekogude regulatsiooniga ei ole selge
Eelnõu põhjal on keeruline mõista, kuidas hakkavad omavahel toimima IKS § 6 ja andmekogude regulatsioon, kuna mitmel andmekogul (nt rahvastikuregister, terviseinfosüsteem) on täiendavalt reguleeritud see, kuidas andmete väljastamine toimub. Seega on võimalik, et kogu uuring vajab eetikakomitee kooskõlastust, isegi kui isikuandmeid töödeldakse andmetöötlussüsteemis, kuna muuseas kasutatakse ka terviseinfosüsteemi andmeid (TTKS § 594). Sellised erijuhte võib veelgi olla, mistõttu on keeruline hinnata, kas ja kuivõrd uuringute tegemine lihtsamaks muutub. Selge ei ole ka see, kas eetikakomitee peaks sellisel juhul hindama „isikuandmete väljastamise vajalikkust ja põhjendatust“ vaid seaduses nimetatud andmekogu piires (antud näites tervise infosüsteem) või kogu uuringu piires.

Selgitame. Esmalt tuleb lähtuda andmekogu enda regulatsioonist andmete väljastamise ja andmete juurdepääsu võimaldamisel. IKS § 6 on nö lisalahendus kui andmekogu regulatsioon vajaliku andmeväljastust ei võimalda.
12 Seos nõusolekuteenusega ei ole selge
Nõusolekuteenuse abil on võimalik teha päringuid andmekogudesse selliselt, et isikuandmete töötlemise aluseks on nõusolek. Kui nõusolekuteenust saaksid kasutada ka uuringud, siis sellistele uuringutele IKS § 6 nõuded ei rakenduks, isegi kui tegemist on isikustatud kujul eriliiki isikuandmete töötlemisega. See-eest kui oleks ühtsed nõuded andmekogudest isikuandmete uuringuteks väljastamisele, rakenduksid need ühtviisi kõigile uuringutele sõltumata õiguslikust alusest.

Kas ja kuivõrd on eelnõu väljatöötamisel arvestatud võimalusega, et uuringute tegemiseks saaks tulevikus nõusolekuteenust kasutada?

Selgitame, nõusolekuteenuse kasutamine ei ole selle eelnõu skoobis kuna reguleerib andmetöötlust isiku nõusolekuta. Kui uuringu tegija soovib uuringut läbi viia andmesubjekti nõusolekul võib ta tehnilise võimekuse korral nõusolekuid koguda ka nõusolekuteenust kasutades.
13 Puuduvad sätted eriliiki isikuandmete osas
Lisaks panime tähele, et edaspidi ei oleks IKS §-s 6 sätteid, mis kohalduks eriliiki isikuandmete töötlemisele. Selle asemel on riskid määratletud isikustatud kuju põhiselt, kuna sellisel juhul peab uuring saama ka eetikakomitee kooskõlastuse. Ühelt poolt on selline muudatus arusaadav, kuna mõnel juhul võivad n-ö tavalised isikuandmed olla väga tundlikud (nt sotsiaalteenuste, kuritegevuse jms andmed). Teisalt tundub selline muudatus kummaline, kuna edaspidi piisab eriliiki isikuandmete uuringus töötlemiseks sellest, et need enne uuringu läbiviijale edastamist pseudonüümitakse – kas see ei vähenda liigselt eriliikidele kohaldatavat kaitset, eriti arvestades, et eelnõus on uuringu mõistet laiendatud ka ettevõtete arendustegevusele? Arvestades, et inimesed ei loovuta oma eriliiki isikuandmeid andmekogudesse vabatahtlikult, kujutaks selline töötlemine endast väga olulist inimeste privaatsusõiguse riivet, mis peaks olema piiratud vaid avalikkuse huvi seisukohast vajalike ja põhjendatud uuringutega.

Selgitame, isikuandmete töötlemise kaitse taset ei ole selle eelnõuga alandatud vaid pigem võimaldatakse nende töötlemine hõlpsamalt kui on tagatud andmetöötlusele eelnõuga ettenähtud kõrgendatud kaitsemeetmed.
14 Andmetöötlussüsteemis töödeldavate andmete pseudonüümsus
Eelnõust ega seletuskirjast ei tule täpselt välja, kas andmetöötlussüsteemis saab andeid töödelda ainult pseudonüümitud kujul või on IKS § 61 lõike 2 punktis 3 ette nähtud pseudonüümimise teenus vaid üks võimalus andetöötlussüsteemi kasutamiseks.

Selgitame, et säte mõte on, et enne andmetöötlussüsteemi ei edastamist ei pea andmete edastaja andmeid pseudonüümina, selle tagab § 61 lg 2 p 3 kohaselt andmetöötlussüsteemi pakkuja.

4. Tallinna Ülikool
Justiits- ja Digiministeeriumi märge
Isikuandmete kaitse seaduse (edaspidi IKS) § 6 (eelnõu § 1 p 1)

1 Lõikes 2 on sätestatud, et uuringuks peetakse ka Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema hallatava asutuse tehtud analüüse ja uuringuid, sealhulgas tehnoloogiaarendusi. Juhime tähelepanu, et avalik-õiguslik ülikool on avalik-õiguslik juriidiline isik. Avalik-õigusliku ülikooli õiguslik seisund, eesmärk ja ülesanded, tegevuse alused ning juhtorganid sätestatakse ülikooli kohta käivas seaduses ja avalik-õiguslikel ülikoolidel ei ole ülikoolide seaduste kohaselt hallatavaid asutusi .

Eelnõu seletuskirjast ega sätte sõnastusest ei selgu, kas võib esineda analüüse ja uuringuid, mis ei mahu käesoleva käsitluse “analüüside ja uuringute, sh tehnoloogiaarenduste” raamidesse. Ühe näitena võib tuua nüüdisaegsed personaliandmekogud, milles säilitatavate andmete koosseis võimaldab analüüsi. Teise näitena on ülikoolidel kohustus osaleda akrediteerimisprotsessis, mille üheks sisendiks on ülikooli töötajate rahuloluküsitlused. Seletuskirjast ei tulene selgelt välja milliseid uuringuid ja analüüse käesoleva seaduse muudatusega silmas peetakse. Ülikoolides viiakse läbi töötaja ja teadlaste seas rahulolu uuringuid, mis aitavad kaasa ülikoolide akrediteerimisele. Kas sellisel juhul võiksid rahuoluolu uuringud kuuluda samuti eelmainitud "analüüside ja uuringute" alla?

Selgitame. Olukorras kus uuringu ja analüüsi tegemiseks on eriseaduses loodud õiguslik alus, toodud töödeldava isikuandmete kategooriad ja uuringu eesmärk, siis see ongi uuringu tegija õiguslik alus andmetöötluseks, mitte IKS § 6.

Selgitame, et juhul kui andmetöötlus toimub ühe andmekogu piires (personaliandmekogud), siis selleks on loodud eraldi õiguslik alus IKS § 6 lg 9.

Ülikooli töötajate rahuoluküsitlused toimuvad eelduslikult töötata nõusolekul ning see ei ole IKS § 6 kohaldamisalas vaid omaette õiguslik alus andmetöötluseks.

2 Lõike 3 punktis 3 võib osutuda rakendamisel ülemäära piiravaks arvestades lõike 2 praegust sõnastust. Seetõttu vajab täpsustamist, milliseid lisatoiminguid on silmas peetud, mida ei tohi uuringu läbiviimisel teha, kuna nende tulemusel võib isik olla tuvastatav. Näiteks, kas sellisel juhul tähendab see seda, et kui uuring viiakse läbi pseudonümiseeritud andmetega teatud tüüpi isikute ja andmete osas, ning seejuures viiakse täiendavalt läbi ka sama rühma/gruppi kuuluvate inimestega teise meetodiga uuring ning võib esineda risk, et pseudonüümitud andmete taga olev isik võib osutada samaks, kes tegelikult osaleb ka intervjuudes. Kas sellisel juhul ei tohiks näiteks intervjuusid läbi viia?

Lõigete 2 ja 3 koosmõjus rakendamisel võib tekkida olukord, kus tehnoloogiaarendusi ei ole võimalik kasutada. Palume kaaluda sätete koosmõjus rakendumise riske ja selgitada võimalikke mõjusid.

Selgitame, et kui viiakse läbi ka intervjuusid, siis ei põhine uuring enam üksnes andmetel ning intervjuude läbiviimine toimub eelduslikult nõusoleku alusel. Juhul kui samade inimestega viiakse läbi ka intervjuusid, kelle andmeid eelnevalt töödeldakse siis kokkuvõttes ei ole tegemist pseudonüümitud andmetega uuringu tegemisega ja kohaldub IKS § 6 lg 4.
3 Lõige 4 järgi võib valdkonna eest vastutav minister määrusega kehtestada andmetöötlussüsteemis andmete töötlemisele täiendavad tehnilised ja korralduslikud turvanõuded. Siinkohal tuleks täpsustada, millele täiendavad turvanõuded vastama peaksid (nt riiklikule või rahvusvahelisele infoturbestandardile).

Arvestatud.
4 Lõige 5 sätestab, et kui isikuandmeid töödeldakse sama paragrahvi lõikes 3 sätestatud tingimustel, teavitab uuringu tegija enne isikuandmete töötlemist uuringust, uuringu eesmärkidest, töödeldavatest andmetest ja käesoleva paragrahvi lõikes 3 sätestatud tingimuste täitmisest Andmekaitse Inspektsiooni (edaspidi AKI). Sättest ei selgu aga, millised on täpsemad protseduurireeglid uuringu läbiviija seisukohast AKI teavitamiseks (nt teavitamise tähtaeg, millises vormis nõutud andmed esitatakse jne). Selles osas tuleks seletuskirja täiendada. Ühtlasi tekib küsimus, kas AKI-l tekib ka täiendavaid kohustusi või õigusi ning milline on sel juhul AKI menetlus.

Arvestatud osaliselt, seletuskirja täiendatud. Eelnõus ja seletuskirjas on toodud, et teavitus tuleb teha enne andmate töötlemist, samuti on toodud, milline teave tuleb AKI-le edastada. Eelnõu ei näe ette teavituse edastamise viisi, kas teavitusi tehakse e-postiga, saab selleks olema veebivorm AKI kodulehel või tulevikus loodava ühtse taotluste menetlemise keskkonnas, ei ole hetkel selge. AKI-le on ka täna IKS-i alusel järelevalvepädevus, AKI-l tekib täiendav võimalus teatud uuringute osas järelevalvet vajadusel teha. Lisaks on eelnõu muudetud selliselt, et AKI teavitus tuleb teha juhul kui andmeid töödeldakse lg 4 alusel.
5 Lõige 6 punktis 1 on kasutusele võetud mõiste “ebamõistlikult raske”, kuid selle sisu jääb ebaselgeks ning ka seletuskiri seda ei ava. Olukorras kus uurija peab täiendavalt tasuma andmete täiendava töötlemise eest ning see muudab uuringu rahastamist ja võib mõjutada uuringu edasist käiku finantsilisest aspektist, siis vajab täpsustamist, kas sellist olukorda võib käsitada kui „ebamõistlikult rasket“.

Punkti 2 osas toome välja, et kõikides uuringutes ei pruugi olla võimalik ülekaalukat avalikku huvi sellisel määral põhjendada. Võib tekkida olukord, kus avalik huvi küll esineb, kuid ei ole selgelt ülekaalukas. Seetõttu teeme ettepanek täpsustada seletuskirjas, milliste kriteeriumide alusel hinnatakse ülekaaluka avaliku huvi olemasolu.

Selgitame, et tegemist on kehtiva regulatsiooni mõistetega.

6 Lõike 7 kolmanda lause kohaselt on Rahvusarhiivis säilitatavate isikuandmete puhul eetikakomitee õigused Rahvusarhiivil. Paraku jääb ebaselgeks, kas Rahvusarhiivil on juba olemas eetikakomitee või nähakse selle sätte alusel ette eetikakomitee moodustamine. Vajab täpsustamist, millisel kujul ja alustel eetikakomitee õigusi Rahvusarhiivis teostatakse.

Selgitame, et Rahvusarhiivil ei ole eetikakomiteed, vaid tema täidab eetikakomitee rolli arhiveerimise puhul. Siin kehtivat regulatsiooni ka ei muudeta. Rahvusarhiivil on õigus ja kohustus kontrollida, kas esinevad tingimused, mis võimaldavad Rahvusarhiivis säilitatavaid eriliiki isikuandmeid töödelda teadus- või ajaloouuringu koostamise eesmärgil andmesubjekti tuvastamist võimaldaval kujul andmesubjekti enda nõusolekuta.

7 Lõikest 8 ega eelnõu seletuskirjast ei selgu, milliste kriteeriumide alusel hinnatakse uuringu andmekaitsealaseid ja eetiliste riskide „väiksust“. Täpsustamist vajab, kas väike risk peab esinema nii andmekaitsealases kui ka eetilises aspektis või piisab sellest, kui risk on väike vaid ühes neist. Samuti ei ole seletuskirjas analüüsitud ega kirjeldatud „väikese“ riski sisulisi kriteeriume, mistõttu võib sätte kohaldamine jääda liialt subjektiivseks.

Säte eelnõust välja jäetud.
IKS § 61 (eelnõu § 1 p 2)
8 Lõike 3 esimeses lauses kasutatakse mõistet “uurimistulemuste valideerimine”, kuid selle tähendus ja ajaraamistik jäävad ebaselgeks. Kuigi seletuskirjas on valideerimist kirjeldatud kui teaduslikku protsessi, on see praktikas varieeruv ning võib ajaliselt venida. Samuti võib olla ebaselge, millisel hetkel saab lugeda valideerimise lõppenuks. Selline ebamäärasus võib raskendada andmete kustutamise kohustuse üheselt mõistetavat täitmist ning vajab täpsustamist.

Sama lõike teises lauses on ette nähtud, et logid kustutatakse üks aasta pärast uuringu käigus töödeldavate andmete kustutamist, kuid seletuskirjast ei selgu selgelt antud tähtaja põhjendus. Puudub selgitus, miks on valitud just üheaastane tähtaeg ning kas selle määramisel on arvesse võetud võimalikke nõuete esitamise tähtaegu.

Selgitame. Valideerimise perioodi ei ole üheselt ja kindla ajapiiranguga seadusega ette näha. Kohaldub üldine IKÜM põhimõte, tohib säilitada nii kaua, kui see on teadusuuringu eesmärgi saavutamiseks vajalik. Hea teadustava1 kohasel säilitab teadlane isikustatud kujul andmeid säilitab nii kaua kui vaja ja nii vähe kui võimalik.

AKI on hinnanud, et üks aasta on piisav tähtaeg võimalik järelevalvemenetluse tarvis.
9 Lõikes 4 teeme ettepaneku asendada lauseosa "... minister võib määrusega kehtestada..." osaga "...minister kehtestab...". Eelnõus pakutud sõnastus jätab turvanõuete kehtestamise kaalutlusõiguseks, mis ei tohiks aga nii olla. Samuti ei selgu seletuskirjast, kas vastava määruse ettevalmistamine on kavandatud, millise ajakavaga see toimub ning millal täiendavad turvanõuded jõustuvad.

Mittearvestatud. Selgitame, hetkel leiame, et vajalikud tingimused on seaduse tasandil ette nähtud, kui see peaks ajas muutuma, siis on jäetud paindlikus tingimuste täpsustamiseks.
10 Lõikes 7 on seadusesse sisse toodud mõiste “avategija”, mis vajab aga mõistena määratlemist.

Eelnõu sellist mõistet ei kasuta.
11 Ühtlasi vajab täpsustamist, kas andmetöötlussüsteem peab vastama ka kindlatele infoturbestandarditele, nagu Eesti infoturbestandard (E-ITS) või rahvusvahelised standardid (nt ISO/IEC). Seletuskirjast võiksid selguda täpsemad nõuded andmetöötlussüsteemile. Samuti jääb ebaselgeks, millisele regulatsioonile eelnõus viidatakse.

Arvestatud, seletuskirja täiendatud. Selgitame, et Eesti infoturbestandardi või selle alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC 27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud Vabariigi Valitsuse määrusest nr 121 “Võrgu- ja infosüsteemide küberturvalisuse nõuded” - vt määruse § 3. Selle hulgas on osad, kuid mitte kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse eelnõu nõudeid järgima. Mitte kõik küberturvalisuse seaduse tähenduses olevad teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama määruse lisa).

Tähelepanekud lastega seotud isikuandmete kaitse küsimuse osas
12 Eelnõu § 6 lõige 2 sõnastus laiendab uuringu mõistet selliselt, et see hõlmab ka asutuste siseseid analüüse, teenuste ja infosüsteemide arendusi ning tehnoloogiaarendusi. Selline sõnastus muudab uuringu sisuliselt üldiseks aluseks avaliku sektori andmete laialdaseks sekundaarseks kasutamiseks, sealhulgas laste ja perede eriliiki isikuandmete puhul.

Siinkohal on vajalik regulatsiooni täiendav piiritlemine, et välistada tundlike isikuandmete, sh laste, sotsiaal- ja tervisevaldkonna andmete kasutamine teenuse-, infosüsteemi- ja tehnoloogiaarendustes uuringu nime all ilma täiendava sisulise ja eetilise hindamiseta. Kuigi § 6 lõige 7 näeb ette eetikakomitee kohustusliku kaasamise juhtudel, mil töödeldakse tuvastatavaid andmeid § 6 lõike 6 alusel, jäävad eelnõu kohaselt eetikakomitee hinnanguta kõik juhtumid, kus laste, sotsiaal-, tervise- ja vaimse tervise valdkonna eriliiki andmeid töödeldakse pseudonüümimisele tuginedes § 6 lõike 3 alusel. Selline lahendus ei taga piisavat eetilist ega sisulist kontrolli laste ja perede andmete süsteemsel sekundaarse kasutuselevõtul teenuse- ja tehnoloogiaarendustes.

Osaliselt arvestatud, eelnõu muudetud, selgitame. Eelnõu kohaselt kui töödeldakse eriliiki isikuandmeid (sh laste andmeid) tuleb läbida eetikakomitee hindamine. Toodud näidete pinnalt liigituksid alaealisi puudutavad andmed eriliiki andmete alla ning tuleb ka läbida eetikakomitee. Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda üksnes § 61 tingimustele vastavas andmetöötlussüsteemis.
13 Eelnõu ei sisalda erisätteid, mis arvestaksid lapse kui erilise kaitsevajadusega isiku staatust isikuandmete töötlemisel uuringu eesmärgil. ÜRO lapse õiguste konventsiooni artikli 3, Euroopa Liidu põhiõiguste harta artikli 24 lõike 2 ning isikuandmete kaitse üldmääruse põhjenduse 38 (sätestab laste isikuandmete kõrgendatud kaitse põhimõtte) ja artikli 89 kohaselt on lapsel isikuandmete töötlemisel õigus kõrgendatud kaitsele ning täiendavatele kaitsemeetmetele. Laste isikuandmete, eeskätt eriliiki isikuandmete töötlemine eeldab täiendavaid ja selgelt sätestatud kaitsemeetmeid, arvestades laste suurenenud haavatavust ning andmetöötluse võimalikku pikaajalist mõju lapse õigustele ja arengule.

Ettepanek on täiendada IKS § 6 eraldi lõikega, mis sätestab, et alla 18-aastaste isikute isikuandmete töötlemisel uuringu eesmärgil tuleb lähtuda lapse parimate huvide põhimõttest ning rakendada täiendavaid kaitsemeetmeid. Laste eriliiki isikuandmete töötlemine oleks lubatud üksnes eelneva asjaomase valdkonna eetikakomitee positiivse hinnangu olemasolul.

Osaliselt arvestatud, eelnõu muudetud, selgitame. Eelnõu kohaselt kui töödeldakse eriliiki isikuandmeid (sh laste andmeid) tuleb läbida eetikakomitee hindamine. Toodud näidete pinnalt liigituksid alaealisi puudutavad andmed eriliiki andmete alla ning tuleb ka läbida eetikakomitee. Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda üksnes § 61 tingimustele vastavas andmetöötlussüsteemis.
14 Eelnõuga kavandatav andmetöötlussüsteem loob laiaulatusliku infrastruktuuri isikuandmete töötlemiseks uuringu eesmärgil. Arvestades süsteemi potentsiaali võimaldada suuremahulist ja automatiseeritud andmetöötlust, on vajalik täpsustada, et laste, sotsiaal- ja tervisevaldkonna eriliiki isikuandmete kasutamine selles süsteemis oleks piiratud ning lubatud üksnes selgelt piiritletud teaduslikel eesmärkidel ja eelneva asjaomase valdkonna eetikakomitee positiivse hinnangu olemasolul.

Mittearvestatud. Andmetöötlussüsteemile nähakse seadusega ette tingimused, millele see peab vastama, sh ei ole seal andmed isikustatud kuju.
Muud olulised tähelepanekud
15 Eelnõu seletuskirjas on märgitud: “...eetikakomitee peab olema moodustatud seadusega või selle alusel, kuna kehtiva seaduse kohaselt võiks eetikakomitee luua põhimõtteliselt igaüks.“. Samuti on seletuskirja põhjendustes viidatud VTK tagasisidele, milles toetati ettepanekut, mille kohaselt “...eetikakomitee oleks loodud seadusega või selle alusel antud õigusaktiga ja tema pädevus oleks selgelt määratud. Toetati suunda, kus Eestis oleks ühtne eetikakomiteede süsteem („ühe ukse poliitika“), mis koondab kõik valdkondlikud komiteed ühe juhtiva struktuuri alla.”.

Käesoleval ajal tegutseb TLÜ-s eetikakomitee, mis menetleb igakuiselt keskmiselt 12 uuringut. TLÜ eetikakomiteele esitatakse uuringuid mitte üksnes eetilise ja andmekaitsealaselise hinnangu saamiseks, vaid ka seetõttu, et eetikakomitee kooskõlastust vajatakse juhul kui uurija soovib uuringu põhjal kirjutada teaduslikku artikli ning avaldada selle rahvusvahelises teadusväljaandes. TLÜ eetikakomiteele seni ja ka edaspidi esitatavad uuringutele võib kohalduda antud seadusemuudatus, mille kohaselt peab uurija pöörduma seaduse alusel loodavasse eetikakomiteesse. TLÜ eetikakomitee ei ole loodud seaduse alusel, vaid moodustatud rektori korraldusega vastavalt eetikakomitee statuudi p-le 2.2 (statuut on kehtestatud TLÜ põhikirja § 12 p 10 ja § 14 lg 1 alusel).

Kahetsusväärselt ei ole seletuskirjas analüüsitud olemasolevate eetikakomiteede edasine saatus. Samuti ei ole selgitatud, kas on plaanis luua volitusnorm, mis lubab edaspidi ülikoolide ja teiste asutuste juures ka käesoleval ajal tegutsevaid eetikakomiteid seaduse alusel luua ning millisel alusel ja põhimõtetel tegutsevad edaspidi olemasolevad eetikakomiteed.
Palume seletuskirjas vastavat teemat täiendavalt analüüsida ning selgitada, milline on olemasolevate eetikakomiteede edasine õiguslik staatus.

Selgitame, et eetikakomiteede reguleerimine seaduse tasandil ei ole JDM-i pädevuses, ega selle eelnõu skoobis.
16 Seletuskirjas on öeldud, et AKI avaldab info tehtavatest uuringutest Eesti teabeväravas. Seletuskirjas ei ole selgitatud, millist infot ja millises mahus avaldatakse ega ka seda, millal antud info avalikuks tehakse. Seletuskirjas pole samuti selgelt väljendatud, kas vastav avaldamine võib mõjutada uuringute konfidentsiaalsust ja intellektuaalomandi kaitset või sellega kaasnevaid riske.

Selgitame. Teave, mis tuleb esitada AKI-le on sama teave, mille AKI eelnõu kohaselt oma veebilehel ka avaldav, sh saab teavet kuvada tehnilise lahenduse olemasolul Eesti teabeväravas. Juurdepääsupiiranguga teabe osas on seletuskirja täiendatud.
17 Arvestades, et käesoleva eelnõu seletuskirjas tuuakse esile, et juhul kui uuringu tegija andmeid isikustatud kujul ei vaja ning teadusuuringu tegijale luuakse võimalus andmeid töödelda andmetöötluskeskkonnas, väheneb uuringu tegija töökoormus ja lüheneb uuringu tegemise aeg. Isikuandmete töötlemine andmesubjekti nõusolekuta tähendab teadustöö tegijale paratamatult IKS-ist tulenevaid piiranguid ja halduskoormust (eetikakomitee
menetlus). Märgime, et eelmise aasta lõpus otsustati põhikooli- ja gümnaasiumiseaduse ning kutseõppeasutuse seaduse muutmise seadusega (direktorite atesteerimine, õpetajate karjäärimudel ning isikuandmete töötlemine tehisintellekti rakenduse kasutamisel) anda seaduslik alus õpilaste isikuandmete töötlemiseks tehisintellekti rakenduse kasutamisel põhikooli- ja gümnaasiumiseadusega kõigile koolidele.

Palume võimalusel käesoleva eelnõu ettevalmistamisel Teie ekspertarvamust selles, millisele alusele isikuandmete töötlemise nõudeid silmas pidades peaksid tuginema ülikoolid üliõpilaste isikuandmete töötlemiseks tehisintellekti rakenduste kasutamisel ülikoolides. Viidatud eelnõu menetlemisel põhjendati reguleerimise vajadust järgmiselt - “...luua õiguslik alus õppetegevuses tehisintellekti rakenduste kasutamiseks põhikooli- ja gümnaasiumiseaduses, kuna sellele osundas Andmekaitse Inspektsioon. Tehisintellektil põhinevate tehnoloogiate järjest laienev kasutuselevõtt, sh ka koolide poolt õppetegevuses on toonud kaasa vajaduse õpilaste isikuandmete kaitse täiendavaks tagamiseks ning sellest tulenevalt õigusaktide muutmiseks.”

Selgitame, et koolidele loodi õiguslik alus tehisintellekti rakendustes isikuandmete kasutamiseks, mitte arendamiseks, mida käesolev eelnõu käsitleb.
5. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit
Justiits- ja Digiministeeriumi märge
1 Oleme eelnõu analüüsinud ning toetame kehtiva isikuandmete kaitse seaduse § 6 muutmist eesmärgiga tagada õigusselgus, kes ja millistel tingimustel võivad andmesubjekti nõusolekuta töödelda isikuandmeid teadus- ja ajaloouuringu ning statistika eesmärgil.

ITL-i hinnangul on eelnõu mitmes küsimuses ebaselge ning ei ole täielikult kooskõlas EL-i isikuandmete kaitse üldmäärusega. Mõistame, et õigusselguse huvides on püütud eelnõu teksti lisada rohkem selgitusi, kuid leiame, et sellest rohkest õigusnormi tekstist ei pruugi päriselus olla abi tagamaks, et tulevased uuringud toimuksid turvaliselt ja eetiliselt. Eelnõu peab andma selge vastuse küsimusele, millal on uuring turvaline. Teadusuuringud vajavad selgeid aluseid ning andmekaitse reeglitega arvestamist. Ka muud riiklikud ja kohaliku omavalitsuse uuringud peavad toimuma selgete piiride raames.

Seetõttu leiame, et protsessi võiks veel läbi mõelda ja küsimusi analüüsida ning oleme valmis selleteemalistel aruteludel ka osalema.

Kokkuvõtteks leiame, et eelnõuga kavandatavad muudatused on vajalikud, et kaasajastada ja ühtlustada uuringu tegemise andmetöötluse tingimusi ning sätestada täiendavad kaitsemeetmed, et andmesubjektide põhiõigused oleksid paremini kaitstud. Samas soovitame eelnõus selgemalt määratleda, kes on puudutatud isikud, täpsustada andmetöötlussüsteemi mõistet ja selle pakkujate ringi ning analüüsida veel kooskõla EL-i õigusaktidega.

Teadmiseks võetud. Selgitame, et eelnõuga ei nähta ette andmetöötlussüsteemi mõistet vaid tingimused, millele andmetöötlussüsteem peab vastama kui sellest IKS § 6 andmeid uuringu eesmärgil töödeldakse.
2 Subjekti määratlus ja adressaatide ring
Eelnõust ja selle seletuskirjast ei tule selgelt välja, kes on subjekt ehk keda puudutab eelnõu §-ga 1 muudetav isikuandmete kaitse seaduse (IKS) §-is 6 sisaldav võimalus töödelda isikuandmeid teadus- ja ajaloouuringu ning statistika eesmärgil. Eelnõust on raske aru saada, et see on mõeldud ka ettevõtetele.

Teeme ettepaneku eelnõu seletuskirjas selgemalt välja tuua, et muudatus puudutab lisaks riigiasutustele ja teadusasutustele ka ettevõtjaid, kes soovivad teha teadusuuringuid või innovatsiooni avalikes huvides. See pole hetkel üheselt arusaadav, kuna eelnõu tegeleb suuremas osas avaliku sektori käes olevate ja avaliku sektori poolt kasutatavate isikuandmetega ning samal ajal kehtib siiski ka eraettevõtetele.

Arvestatud, seletuskirja täiendatud.
3 Esmase ja teisese andmetöötluse eristamine
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lõikes 1 ei eristata esmast ja teisest töötlust. Teisese töötlemise puhul võib pseudonüümimise nõue (siseriiklik õigus) teatud juhtudel olla madalama kaitsetasemega kui "mittetuvastava töötlemise" nõue, mis on teisese töötlemise puhul otsekohalduv kohustuslik kaitsestandard (EL-i isikuandmete kaitse üldmäärus ehk IKÜM art 89 lg 1 viimane lause, mis viitab sisuliselt IKÜM artiklile 11). See tähendab, et:
1) esmase andmetöötluse korral võib valida kaitsemeetmed vastavalt riskitasemele, mis kaasneb töötluse mõjuga andmesubjektide õigustele ja vabadustele, mh võib kasutada pseudonüümimist vastavalt IKÜM art 89 lg 1 eelviimasele lausele;
2) teisese andmetöötluse korral peab kohaldama eelkõige IKÜM art 89 lg 1 viimases lauses viidatud kaitsemeetmeid, s.t "mittetuvastavat töötlemist" vastavalt IKÜM artiklile 11.

Seega siseriikliku õigusega on põhimõtteliselt võimalik täpsustada ainult sellise andmetöötluse tingimusi, kus pseudonüümine pole piisav kaitsemeede ning IKÜM artikli 11 järgne "mittetuvastav" töötlemine pole võimalik.

Seetõttu teeme ettepaneku segaduste ja vääriti tõlgendamise vältimiseks selgelt sätestada, kas:
A. IKS § 6 lg 1 on õiguslik alus nii esmaseks kui ka teiseseks isikuandmete töötluseks teadus-, ajaloouuringu, statistikatöö või muude avalikes huvides toimuvate analüüside ja uuringute (edaspidi "uuring") eesmärgil vastavalt IKÜM art 6 lg 1 punktile e (task carried out in the public interest, exercise of official authority vested in the controller).

VÕI

B. IKS § 6 kehtestab avalikes huvides toimuvate analüüside ja uuringute üldtingimused ja määratleb, millises andmetöötlussüsteemis töötlemist loetakse "mittetuvastavaks töötlemiseks" IKÜM art 11 järgi. Vastavad õiguslikud alused tuleb kehtestada eriseadustes (riiklik statistika, teadustegevuse korralduse alused, arhiivindus, ametkondlik statistika, hädaolukord, geeniuuringud jms) või toetuda andmesubjekti nõusolekule.

Märgime, et ettepaneku järgi pole vajadust täpsustada, et töötlemine võib toimuda ilma "andmesubjekti nõusolekuta". See fraas tuleks eelnõust kustutada, kui eelnõuga nähakse ette iseseisev seadusest tulenev õiguslik alus isikuandmete töötlemiseks. Kehtivas IKS § 6 lõikes 1 tekitab "andmesubjekti nõusolekuta" segadust ja mitmetimõistetavust eelkõige terviseandmete töötlemisel, kus "isiku nõusolek" võib olla käsitletav ka nõusolekuna sekkumiseks inimese kehalisse puutumatusse (inimgeeniuuringute vm meditsiiniliste uuringute puhul). Viimast tüüpi nõusolek võib olla nõutav sõltumata sellest, kas isikuandmeid töödeldakse andmesubjekti nõusoleku alusel või mitte.

Mittearvestatud. Selgitame, et IKÜM ei erista esmast ja teisest andmetöötlust. Andmetöötlus toimub teatud eesmärgil ja õiguslikul alusel. Selgitame, esmase andmetöötlusega on tegemist juhul kui andmed kogutakse ühel eesmärgil, nt mõne avaliku ülesande täitmise eesmärgil, juhul kui andmeid on vaja kasutada teise asutuse eesmärkidel on tema selleks omaette õiguslik alus ning andmetöötlus toimub selle asutuse esmasel eesmärgil, temale seadusega pandud ülesande täitmiseks. Nüüd kui ühel eesmärgil kogutud andmeid hakatakse kasutama uuringu vajadusteks siis saab uuringu tegija vaatest tema esmaseks andmetöötluseks uuringu tegemine IKS õ 6 tuleneval õiguslikul alusel. Ei IKÜM ega ka IKS ei erista esmast ja teisest andmetöötlust.

Eelnõu ja seletuskirja muudetud, nõusolekuta fraas eelnõust välja jäetud.
4 Psedonümiseerimise defineerimine
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 3 kohta märgime, et siseriikliku õigusega ei saa minna sisustama ega muutma otsekohalduvas ELi määruses defineeritud õigusmõistet "pseudonüümimine" (IKÜM art 4 lg 1 punkt 5).
Ka ei saa minna sisustama ega muutma otsekohalduva ELi määruses mõisteid "(isiku) tuvastamine" (identification) ega "tuvatatud/tuvastatav" (identified/identifiable).

Teeme ettepaneku loobuda terminite "pseudonüümine" ja "muu samaväärset kaitset pakkuv meede" kasutamisest ning selle asemel viidata ainult § 6 lõike 3 kriteeriumitele: a) kaitsemeetmete rakendamise kohustus enne andmete üleandmist uuringu tegijale, b) isiku tuvastamise ja andmete isikustamise vältimise kohustus uuringu tegemisel, c) isiku tuvastamise ja andmete isikustamise vältimise kohustus uuringu väljundis. Eraldi tuua välja, et isegi kaitsemeetmetega andmetöötlus ei tohi muuta andmesubjekti kohustuste mahtu ega teda ülemäära kahjustada.

Arvestatud osaliselt, eelnõu muudetud. Selgitame, et pseudomüümimise puhul on tegemist on mõistetega, mida kasutavad nii IKÜM kui ka kehtiv IKS. Eelnõuga ei sisustata neid mõisteid vaid nähakse ette, milliseid tingimusi täites on lubatud IKS-i alusel andmed uuringus töödelda.
5 Andmete edastamine Statistikaametile
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 4 eeldab, et andmete edastamine Statistikaametile on tingimata vajalik selleks, et Statistikaamet saaks andmeid pseudonüümida või muid kaitsemeetmeid rakendada. Kui Statistikaamet kasutab selleks privaatsuskaitsetehnoloogiaid, siis ei ole andmete edastamine rangelt võttes vajalik, s.t Statistikaamet ise ei pea andmeid tingimata nägema või neist aru saama, et aidata andmeid kaitsta. See norm võimaldab Statistikaametit kaasata andmetöötluse otsustusprotsessi ja töödelda andmeid traditsiooniliste kaitsemeetmetega, mille riskitase on kõrgem kui privaatsuskaitsetehnoloogiatel. Tekib küsimus, miks peaks seadusega Statistikaametile rakendama kergendatud meetmeid, kui nad pakuvad üksnes andmetöötlusteenust ega töötle andmeid oma vajadusteks (riiklik statistika, teadlaste keskkond jms).

ITL-i ettepanek on kohaldada Statistikaameti poolt töötlemisel samu nõudeid nagu muude andmetöötlussüsteemide pakkujate puhul (vt eelnõu § 2 - IKS § 6').

Säte eelnõust välja jäetud.
6 Tuvastamist võimaldavate andmete eemaldamine
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 1 punkt 1 eeldab, et mittetuvastava töötlemise jaoks on vaja mingi osa andmeid eemaldada. Privaatsuskaitsetehnoloogiatega pole see vajalik - andmeid töödeldakse osapooltele mittenähtaval (mittetuvastaval) kujul, samas andmed ise jäävad algsele kujule.

Teeme ettepaneku lihtsustada seda normi selliselt, et tuvastaval kujul (nt toorandmed või lihtpseudonüümitud andmed, kus vastutaval töötlejal on juurdepääs pseudonüümimisvõtmele) andmete töötlemine on lubatud ainult eriseadustes määratletud juhtudel, aga mittetuvastaval kujul töötlemine on lubatud IKS §-s 6 sätestatud tingimustel (töötlemine AKI poolt kontrollitud andmetöötluskeskkonnas, kus kasutatakse nii asjakohaseid tehnilisi kui ka organisatoorseid kaitsemeetmeid).

Mittearvestatud. Selgitame, et IKS § 6 alusel peab olema lubatud andmeid töödelda ka isikustatud kujul, sest kõiki uuringuid ei ole võimalik läbi viia pseudonüümitud kujul ning eriseadustega neid etteulatuvalt sätestada.
7 Ülekaalukas avalik huvi
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 1 punkt 2 on meie hinnangul liiga avatud tõlgendustele ja sõltub uuringu tegija suvast.

Seetõttu teeme järgmised ettepanekud:
täpsustada "uuringu tegija" mõistet - kas see on uuringu tellija või uuringu vahetu teostaja?
täpsustada ülekaalukat avalikku huvi vähemalt riigi kui uuringu tegija puhul eriseadustes (riiklik statistika, hädaolukorrad, ametkondlik statistika poliitikauuringuteks, geeniuuringud jms) ja IKS-is viidata nendele eriseadustele.

Selgitame, et poliitikauuringud vajavad selget seaduslikku alust (IKÜM art 6 lg 1 punkt e) ja igakordset põhiõiguste riivete proportsionaalsuse hindamist sõltumata uuringu riskitasemest (poliitikauuringud eeldavad suure hulga ühiskonna liikmete kohta info kogumist ja töötlemist, et teha ühiskonna jaoks vajalikke otsuseid). Ei piisa, et andmetöötlus põhineb avaliku võimu teostaja üldisel seadusest tulenevate ülesannete täitmise kohustusel.

Alternatiivse ettepanekuna pakume IKS § 6 lg 1 punkti 2 kustutamist.

Arvestatud osaliselt. Eelnõu ja seletuskirja täiendatud. Avaliku huvi osas vt p 2.4. Selgitame, et, et asutuse tehtav uuring peab olema seotud temale pandud ülesandega, ülesande ja uuringu vahel peab olema eesmärgipärane seos.

8 Andmesubjekti õiguste piiramine uuringu tegija poolt
Eelnõu § 1 punktiga 1 muudetava IKS § 6 lõikega 11 riik sisuliselt delegeerib oma seadusloome õiguse edasi uuringu tegijale. See seadusloome volitus tuleneb IKÜM artikkel 89 lõikest 2, mis lubab liikmeriikidel oma õigusega teha erisusi IKÜM artiklites 15, 16, 18 ja 21 loetletud andmesubjekti õigustest. IKS § 6 lg 11 aga delegeerib vastava erisuste tegemise otsustusõiguse seaduse asemel otse uuringu tegijale ning jätab selle tema valikuvabaduseks. Seejuures on jäetud tähelepanuta, et teisesel töötlemisel tuleb rakendada IKÜM artikli 89 lg 1 viimase lause kohaselt mittetuvastavat töötlemist - sellisel juhul IKÜM artiklid 15-20 ei kohaldugi.

Teeme ettepaneku viia eelnõu tekst kooskõlla IKÜMi loogikaga, mille kohaselt on mittetuvastava töötlemise korral lubatud rohkem erandeid andmesubjekti õigustest, sõltumata andmetöötluse õiguslikust alusest (võib olla ka nõusolek) ja sõltumata sellest, kas tegu on esmase või teisese töötlemisega. Sisuliselt IKS § 6 lg 3 eelnõus nagunii dubleerib IKÜMi mittetuvastava töötlemise nõudeid (IKÜM artikkel 11).

Eelnõu ja seletuskirja muudetud.
9 Andmetöötlussüsteemi mõiste ja pakkujad
Seoses andmetöötlussüsteemiga (eelnõu § 2) vajab selgitamist, mis see täpsemalt on. Kas see on kitsas tegevus või saab andmeid töödelda igas IT-süsteemis? Mõiste "andmetöötlussüsteem" on määratlemata. Jääb segaseks, kas andmetöötlussüsteemi tuleb kasutada ainult mittetuvastava töötlemise tagamiseks või sobib see ka tuvastava töötlemise korral.

Kas see on sama, mis "andmeruum" EL-i andmemääruse (Data Act Regulation No 2023/2854) artikli 33 tähenduses või "turvaline andmetöötluskeskkond" EL-i andmehaldusmääruse (Data Governance Act No 2022/868) artikkel art 2 lg 1 punkti 20 tähenduses? Kui jah, siis tuleks lisada viide.

Teeme ettepaneku sätestada eelnõus definitsioon siseriikliku õiguse jaoks, arvestades ELi õigusest tulenevaid nõuded turvalistele andmetöötluskeskkondadele, andmeruumidele jne.

Samuti vajab selgitamist, kes võib andmetöötlussüsteemi teenust pakkuda. Eelnõu seletuskiri küll selgitab, et turg on jäetud lahtiseks, kuid see võiks selgemini välja tulla. Palume eelnõus täpsustada, et andmetöötlussüsteemi pakkujate ring ei ole piiratud üksnes riigiasutustega (Statistikaametiga), vaid võimalus on ka ülikoolidel ja ettevõtetel.

Mittearvestatud. Selgitame, et kui eelnõu ei piira andmetöötlussüsteemi pakkujate ringi, siis seda seaduse tasandil välja ei tooda. Tegemist ei ole sama andmeruumiga, mis EL-i andmeruumimääruses. Eelnõuga ei looda definitsiooni andmetöötlussüsteemile vaid sätestatakse tingimused, millele andmetöötlussüsteem peab vastama juhul kui selles soovitakse andmeid IKS § 6 eesmärgil töödelda.
10 Tingimuste kontrollimine Andmekaitse Inspektsiooni poolt
Eelnõu § 1 punktiga 2 IKS-i lisatav § 61lg 5 sätestab, et Andmekaitse Inspektsiooni (AKI) kohustuse kontrollida andmetöötlussüsteemi kasutuselevõtul seaduses sätestatud tingimuste täitmist. Andmetöötlussüsteemi nõuete täitmise kontrollimine tähendab sisuliselt tarkvara/riistvara auditi tegemist. Kuidas see praktikas korraldatakse? Kas AKI küsib lihtsalt pabereid või kinnitusi nõuete täitmise kohta, ilma et mõni audiitor või sertifitseerija peaks neid eelnevalt allkirjastama? ITL-i ettepanek on lisada auditi nõue.

Arvestatud osaliselt, eelnõu ja seletuskirja täiendatud. Selgitame, et kontroll sarnaneb auditiga ning seda tehakse järelevalvemenetlusele ettenähtud IKS-i ja HMS regulatsiooniga. Eelkontroll eeldab kohapealset kontrolli. Eelnõuga nähakse ette andmetöötlussüsteemi pakkujale kohustuse vähemalt kord aastas kontrollida andmetöötlussüsteemi nõutele vastavust ning aruande esitamise Andmekaitse Inspektsioonile.
11 Andmetöötlussüsteemis andmete töötlemise eetilisus
Eelnõu § 1 punktiga 2 IKS-i lisatav § 61 lg 6 sätestab, et kui uuringu eesmärgil töödeldakse andmeid andmetöötlussüsteemis täites kõik IKS § 61 sätestatud tingimused, siis ei ole vajalik asjaomase valdkonna eetikakomitee poolt kontrollida enne uuringu alustamist uuringu eetilisust. Juhime tähelepanu, et ka väga rangete kaitsemeetmetega töötlemine võib olla ebaeetiline.
Peamine eelis andmetöötlussüsteemi kasutamisel seisneb selles, et see võimaldab tugevamaid kaitsemeetmeid ja seetõttu võib kvalifitseeruda kui "mittetuvastav töötlemine", mis võimaldab välistada IKÜM artiklites 15-20 nimetatud andmesubjekti õiguste kohaldumise.

Teeme ettepaneku IKS § 61 lõige 6 kustutada. Oleme seisukohal, et eetikakomiteede kontroll on vajalik ka andmetöötlussüsteemi kasutamisel. Kuna uuringute tulemuste puhul eetilisust ei hinnata, on vaja seda teha enne uuringut ehk enne andmetöötluse algust.

Mittearvestatud. Andmetöötlussüsteemis ei ole võimalik uuringu tegijal isikuid tuvastada, mistõttu ei ole ka olulist riivet isikute põhiõigustele.
6. Eesti Linnade ja Valdade Liit
Justiits- ja Digiministeeriumi märge
1 Isiku põhiõiguste kaitse andmete töötlemisel.
Eelnõus on IKS §-ga 6 seoses viidatud, et paraneb isikute põhiõiguste kaitse andmete töötlemisel. Selgitamist vajab, milles seisneb eelnõu kohaselt isikute põhiõiguste parem kaitse. Eelnõu kohaselt puudub isikutel sisuliselt põhiseaduse §-s 19 sätestatud enesemääramisõigus: kui isik on oma andmed riigile või avalikule sektorile, näiteks teenuse saamiseks, juba edastanud, ei ole tal võimalik keelduda nende andmete kasutamisest teistsugustel eesmärkidel, ei isikustatud ega isikustamata kujul. See kehtib sõltumata andmete liigist, hõlmates nii tavalisi kui ka eriliigilisi isikuandmeid. Praegu kehtivad eetikanõuded näevad ette, et uuringutes ja sarnastes tegevustes osalemine on vabatahtlik. Eelnõus selline vabatahtlikkuse põhimõte aga puudub.

Selgitame. Eelnõuga täpsustatakse tingimustega, millele andmetöötlus peab vastama. Eelnõu puudutab uurinuid, mis tehakse isikut puudutavatel andmetel kuid ei puuduta uuringuid, millesse isikud aktiivselt kaasatud on. Sellistes uuringutes osalemine on isikutele endiselt vabatahtlik.
2 Hallatava asutuse mõiste.
IKS § 6 lõike 2 kohaselt võib ka kohaliku omavalitsuse asutus ja nende hallatav asutus teha isiku nõusolekuta uuringuid ja analüüse täites IKS § 6 lõikes 1 sätestatud nõuded. Täpsustamist vajab, kas hallatavate asutuste all peetakse silmas ka haridusasutusi, näiteks gümnaasiume? Sellisel juhul tõusetub küsimus, kas nn uurimistööde raames oleks võimalik koguda andmeid kaasõpilaste usuliste veendumuste või poliitiliste eelistuste kohta eeldusel, et seaduses sätestatud nõuded on täidetud. Samas võib gümnaasiumiõpilase ja isegi kooli jaoks kogu seaduses ette nähtud menetluse ja nõuete täitmine osutuda keerukaks.

Selgitame, juhul kui koolil ei ole seaduse antud õigust uuringuteläbi viimiseks, kus on ära toodud töödeldavate isikuandmete kategooriad ning eesmärgid, siis tuleb uuringu läbiviimiseks täita IKS õ 6 tingimused.

Juhul kui uuringut viib läbi kooliõpilane siis tuleb hinnata, millisel õigusliku alusel ta seda teeb, üheks võimalikuks variandiks on ka nõusolekualuse uuringute tegemine.

3 Andmekaitse Inspektsiooni roll.
IKS § 6 lõike 5 kohaselt teavitab uuringu tegija enne isikuandmete töötlemist uuringust, selle eesmärkidest ning töödeldavatest andmetest Andmekaitse Inspektsiooni. Võrreldes kehtiva õigusega on eelnõus Andmekaitse Inspektsiooni rolli muudetud selliselt, et see piirdub peamiselt seire ja eelkontrollidega ega hõlma võimalust andmetöötlust ennetavalt keelata.
Kuigi selline lähenemine vähendab nn loamenetluste kaotamise kaudu bürokraatiat, võib see praktikas kaasa tuua olukordi, kus võimalik kahju andmesubjektile on tekkinud juba enne järelevalvemeetmete rakendamist ning rikkumistele reageeritakse alles kaebuse või muu rikkumisteabe saamisel järelevalvemenetluse käigus.
Seetõttu tuleks eelnõus kaaluda Andmekaitse Inspektsioonile võimaluse andmist peatada uuringu läbiviimine koheselt teate saamisel, seniks, kuni isikute kaitseks on rakendatud piisavad meetmed.

Mittearvestatud. AKI-l on juba täna järelevalvepädevus ning meetmete rakendamise õigus ( IKS § 56) sh õigus nõuda isikuandmete töötlemise piiramist ja lõpetamist.
4 Andmekogude põhimäärused.
IKS § 6 lõike 9 kohaselt ei pea vastutav töötleja järgima sama paragrahvi lõike 3 punktides 1–3 ning lõigetes 5 ja 7 sätestatud nõudeid juhul, kui uuringu tegija töötleb käesolevas paragrahvis sätestatud eesmärkidel isikuandmeid ühe andmekogu piires, mille vastutavaks töötlejaks ta ise on.
Kui andmeid töödeldakse andmekogus, mille vastutav töötleja on uuringu läbiviija, tekib küsimus, kas uuringute ja analüüside tegemine peaks olema reguleeritud ka andmekogu põhimääruses.
Samuti ei ole piisavalt selge, kuidas tagatakse andmesubjektide jaoks läbipaistvus seoses andmete töötlemisega uuringute eesmärgil. Vähemalt eelnõu seletuskirjas võiks olla viidatud, et andmekogude põhimäärustes tuleks ette näha andmete kasutamine uuringuteks ja analüüsideks. Kehtiv eelnõu piirdub üksnes üldiste nõuete sätestamisega, mille sisustamine jääb igal konkreetsel juhul uuringu läbiviija ülesandeks, ega taga seeläbi piisavat läbipaistvust, sh arusaama sellest, et andmeid kasutatakse ka teistel eesmärkidel, kui see andmesubjekti jaoks eeldatav on.

Arvestatud osaliselt, eelnõu ja seletuskirja täiendatud.
5 Andmetöötlussüsteem.
IKS §-s 61 sätestatakse nõuded andmetöötlussüsteemile, kuid eelnõust ei selgu, millistele konkreetsetele tingimustele see süsteem vastama peab. Samuti jääb ebaselgeks, millisele regulatsioonile eelnõus viidatakse. Tekib küsimus, kas tegemist on andmekoguga AvTS tähenduses ning kas sellel süsteemil peab olema põhimäärus. Kui mitte, siis ei ole selge, kuidas tagatakse andmesubjektide jaoks läbipaistvus ning muud isikuandmete kaitse üldmääruses (IKÜM) sätestatud õigused.

Selgitame. Tegemist ei ole andmekoguga AvTS-i mõttes. Andmekogu AvTS-i mõttes on riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Süsteemi tingimused on toodud § 61 lõigetes 1 ja 2.
6 Logide säilitamine.
IKS § 61 lõike 3 kohaselt kustutatakse uuringu käigus töödeldavad andmed andmetöötlussüsteemist pärast uuringu valmimist ja uurimistulemuste valideerimist. Logid kustutatakse üks aasta pärast uuringu käigus töödeldavate andmete kustutamist.
Kui logisid säilitatakse üksnes ühe aasta jooksul, kuid väärteo aegumistähtaeg on viis aastat, tekib küsimus, kuidas saavad uuringute läbiviijad tõendada andmetöötluse õiguspärasust olukorras, kus kaebus esitatakse näiteks kolm aastat pärast andmetöötluse toimumist.

AKI pädeva järelevalveasutusena hindas logide säilitamise vajadust ühele aastale.
7 Andmetöötlussüsteemi infoturbe standardid.
IKS § 61 lõikes 4 on sätestatud, et valdkonna eest vastutav minister võib määrusega kehtestada andmetöötlussüsteemis andmete töötlemisele täiendavad tehnilised ja korralduslikud turvanõuded. Avaliku sektori puhul võiks eelnõus olla selgesõnaline viide EITS-i kohustuslikule rakendamisele sellise süsteemi turbe tagamisel. Erasektori puhul võiks olla ette nähtud vähemalt vastava ISO sertifikaadi nõue.

Arvestatud osaliselt. Selgitame, et Eesti infoturbestandardi või selle alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC 27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud Vabariigi Valitsuse määrusest nr 121 “Võrgu- ja infosüsteemide küberturvalisuse nõuded” - vt määruse § 3. Selle hulgas on osad, kuid mitte kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse eelnõu nõudeid järgima. Mitte kõik küberturvalisuse seaduse tähenduses olevad teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama määruse lisa).
8 Tehisaru kasutamine uuringute läbiviimisel.
Seletuskirjas on märgitud: „Tehisaru arendamist tuleb seega käsitleda ühe osana laiemast teadus- ja arendustegevusest, millele IKÜM annab selge õigusliku aluse – nii arendus-, treening-, valideerimis- kui ka testimisfaasis.“ See seisukoht võiks olla selgemalt kajastatud ka seaduse tekstis, kuna eelnõu praeguses sõnastuses jääb vastav regulatsioon võrdlemisi ebamääraseks. Samuti oleks abiks vähemalt allmärkusena viide IKÜM-is sätestatud „selgele õiguslikule alusele“. Lisaks tuleks tehisaru eripärasid arvestades selgemalt määratleda piirid tehisaru kasutamisel isikuandmete analüüsimisel.

Selgitame. IKS § 6 ja 61 sätestavad tingimused tehisaru arendamiseks, kasutamine peab toimuma muul õiguslikul alusel.
9 Jätku-uuringud.
Eelnõus puudub nn jätku-uuringute käsitlus. Ei ole selge, kas uuring, mille käigus võrreldakse sama valimi andmeid pikema ajavahemiku jooksul (nt 25 aastat ning igal aastal toimub 3-5 konkreetset osauuringut), on eelnõu mõistes käsitatav ühe uuringuna ning kas sellisel juhul võib kogu valim säilida andmetöötlussüsteemis aastaid.
Näiteks paneeluuringute puhul võib andmete kogumine ja analüüs kesta kümneid aastaid, mistõttu vajab selliste uuringute käsitlus eelnõus täpsemat selgitamist.

Selgitame. Juhul kui tegemist on isikustatud andmetega jätkuuringuga tuleb vastav info ka eetikakomitee hinnangu saamiseks välja tuua, sh kuidas on plaanitud andmeid säilitada ning edaspidi töödelda. Eetikakomitee saab vastavale uuringule ka hinnangu anda. Sh kas piisab nö ühekordsest hinnangu küsimisest või tuleb siiski iga etapi kohta uus hinnang saada.
10 Andmete koosseisu määratlemine.
Seni on nii Justiits- ja Digiministeerium kui ka Andmekaitse Inspektsioon PS § 26 kohaldamisel rõhutanud vajadust isikuandmete koosseisu selge määratlemise järele seaduse tasandil. Eelnõus selline määratlus puudub. Samas on arusaadav, et kõigi tulevikus võimalike andmetöötluste konkreetseid isikuandmete koosseise ei ole alati võimalik ette näha. Sellest hoolimata oleks oluline, et sarnastes olukordades kohaldataks õigusloomes ühtseid põhimõtteid ning andmete koosseisu määratlemise lähenemine oleks läbivalt ühesugune.

Selgitame. Uuringute puhul ei ole võimalik piiritleda, milliseid andmeid töödelda võib, seetõttu on lubatud üldiselt isikuandmete, sh eriliiki isikuandmete töötlemine.
11 Kohaliku omavalitsuse korralduse seadus.
Riigikogus on teisel lugemisel Kohaliku omavalitsuse korralduse seaduse ja sellega seonduvate seaduste muutmise seaduse eelnõu (688 SE). Nimetatud seaduse § 31 lõige 3 tuleks IKS § 6 muudatuste jõustumisel kehtetuks tunnistada. Vastasel juhul jääb kohalike omavalitsuste võrdse kohtlemise põhimõte sisuliselt deklaratiivseks, kuna vastavad piirangud tulenevad jätkuvalt KOKSist. Lisaks on KOKS-i menetluse käigus korduvalt rõhutatud, et tegemist on nn vahepealse lahendusega kuni IKSi jõustumiseni. KOKS § 31 lõige 3 on sõnastatud järgmiselt:
„Valla või linna ametiasutusel ja ametiasutuse hallataval asutusel on õigus teha poliitika kujundamiseks analüüse ja uuringuid. Kui analüüsi või uuringu tegemiseks on vaja saada teise vastutava või volitatud töötleja andmekogudest isikuandmeid, sealhulgas pseudonüümitud andmeid, hindab Andmekaitse Inspektsioon enne andmekogu vastutavale töötlejale taotluse esitamist avaliku huvi olemasolu, andmete töötlemise eesmärki, andmekoosseisu minimaalsust ja andmete säilitamise vajadust. Andmekogust isikuandmete väljastamise otsustab andmekogu vastutav töötleja, võttes arvesse Andmekaitse Inspektsiooni hinnangut.“

Arvestatud, eelnõu ja seletuskirja muudetud. KOV hakkab uuringudi tegema IKS § 6 ja 61 alusel.
12 Tehisintellekti määrus.
Seletuskirjas viidatakse jõustuvale tehisintellekti määrusele, kuid käesolevaks ajaks on nimetatud määrus juba jõustunud.

Seletuskirja muudetud.
7. Riigikogu Kantselei
Justiits- ja Digiministeeriumi märge
Seletuskirja kohaselt laiendatakse IKS § 6 lõikes 2 uuringu tegijate ringi, nii et kõik tegevused, mille käigus kogutakse, analüüsitakse ja tõlgendatakse andmeid avalike ülesannete täitmiseks, loetakse seaduse tähenduses uuringuks. Juhin tähelepanu, et sätte kavandatav sõnastus („Käesoleva seaduse tähenduses loetakse käesoleva paragrahvi lõikes 1 sätestatud uuringuks ka Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema hallatava asutuse tehtud analüüsid ja uuringud, sealhulgas tehnoloogiaarendused“,) ei hõlma põhiseaduslikke institutsioone ja neid teenindavaid riigi ametiasutusi, sealhulgas Riigikogu Kantseleid ja selle struktuuri kuuluvat Arenguseire Keskust.
Palun sättes toodud loetelu selles osas täiendada.

Arvestatud, eelnõu ja seletuskirja täiendatud. Selgitame, et põhiseaduslikule institutsioonile kohaldub IKS üksnes osas, mis ei puuduta nende põhiseaduslike ülesannete täitmist. Juhul kui põhiseaduslik institutsioon täidab oma põhiseadusliku ülesannet, tuleb uuringut tegemise õiguslik alus kehtestada tema tegevust reguleeriva seadusega.

8. Tartu Ülikool
Justiits- ja Digiministeeriumi märge
1 IKS § 6 lg 1 sätestatud määratlus „teadus-, ajaloouuringu- või statistikatöö“ ei ole üheselt selge, kuna ei ole arusaadav, millised sõnad omavahel ühilduvad. Teen ettepaneku kasutada sõnastust „teadus- ja ajaloouuringu tegemise ja riikliku statistika kogumise (edaspidi uuring) eesmärgil“. Lisaks palun seletuskirjas lahti seletada, millist ja kelle poolt tehtavat ajaloouuringut peetakse silmas juhul, kui ajaloouuring ei kvalifitseeru teadusuuringuna.

Arvestatud, eelnõu muudetud ja seletuskirja muudetud.
2 IKS § 6 lg 3 ei ole selge, millistel juhtudel on isiku tuvastamise vältimiseks vajalik kaitsemeetmena pseudonüümimine ja millisel juhul anonüümimine.
Tartu Ülikool teeb ettepaneku sõnastada IKS § 6 lg 3 punktid 2 ja 3 alljärgnevalt:
„2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku otseselt tuvastada;
3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada otseselt ega kaudselt tuvastada isikut, kelle isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldi;“

Sõnastuse eesmärk on tagada, et IKS § 6 lg 3 p 2 kohaselt oleks pseudonüümitud uuringuandmete töötlemisel keelatud nende depseudonüümimine. IKS § 6 lg 3 p 3 kohaselt tuleks aga uuringuandmete avalikustamisel (näiteks publitseerimisel) tagada vastavate andmete anonüümsus. Kui uuringu vastutav töötleja soovib uuringu tulemusena avalikustada pseudonüümitud või isikustatud kujul isikuandmeid, vajab see Tartu Ülikooli hinnangul andmesubjekti nõusolekut ja selline avalikustamine ei ole IKS § 6 kohaldamisalas.

Mittearvestatud. Mõistet ei muudeta. Uuringus ei tohi isikud lg 3 kohaselt olla ka kaudselt tuvastatav.

Selgitame. Lg 3 alusel tehtavates uuringutes ei tohi isikud olla tuvastatavad, sh uuringu tulemuses. IKS § 6 ei ole õiguslikuks aluseks isikuandmete avalikustamiseks, seda eelnõu ei käsitle. Isikuandmete avalikustamine peab toimuma muul õiguslikul alusel.
3 IKS § 6 lg 4 soovitakse luua olukord, kus Statistikaametile luuakse seadusega eristaatus. Tartu Ülikooli hinnangul ei ole põhjendatud seaduse tasandil välja tuua ainult Statistikaameti kui ühe vastutava töötleja andmetöötluskeskkonda kui IKS § 6 lg 3 p 1 sätestatud nõuetele vastavat. Tartu Ülikool teeb ettepaneku, et vastavad keskkonnad kehtestatakse seaduse alusel antava rakendusaktiga, et mitte piirata uuringute tegemist tulevalt Statistikaameti protsesside ja süsteemide eripäradest.

Säte eelnõust välja jäetud.
4 IKS § 6 lg 7 osas kordab Tartu Ülikool nii teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse (edaspidi: TAIKS) eelnõu kui ka isikuandmete kaitse seaduse muutmise seaduse eelnõu väljatöötamiskavatsuse kooskõlastamisel esitatud ettepanekut. Oluline on tagada, et TAIKSi alusel antav eetikakomitee tegevust reguleeriv ministri määrus kehtestaks eetikakomiteele täpsemad ülesanded isikuandmete kaitse aspektide hindamisel. Selline lahendus võimaldaks teadlastel ette näha, milliseid aspekte nad peavad taotluses lahti kirjutama. Samuti oleks selgem, milliseid isikuandmete kaitse aspekte on eetikakomi-tee hinnanud ja kooskõlastanud. Uuringute praktikas on tulnud ette olukordi, kus ka eelneva eetikakomitee kooskõlastuse olemasolul algab andmete väljastamisel andmekogu vastutava töötlejaga isikuandmete kaitse aspektide arutelu uus ring, mis tarbetult kulutab nii teadlaste kui ametnike tööaega. Veelgi enam, uuringu detailide muutumisel (nt uurimismeeskonna uurijate lisandumisel) menetlevad hetkel seda muudatust nii eetikakomitee kui seejärel ka kõik andmekogude vastutavad töötlejad. Tänaseks on Haridus- ja Teadus-minister TAIKSi § 26 lg 7 alusel teaduseetikakomitee juba moodustanud ja selle hinnangute andmise korra kehtestanud. Isikuandmete kaitse seadusesse muudatuste tegemisel tuleks ette näha ka vastavate muudatuste tegemine viidatud Haridus- ja Teadusministri määruses.

Selgitame, et eetikakomiteede tegevust käesoleva eelnõuga ei reguleerita. Võimalike probleemide lahendusi soovitame arutada HTM-iga.
5 Tartu Ülikool ei kooskõlasta IKS § 6 lg 8, kuna ilma taotlust sisuliselt hindamata ei saa eetikakomitee teha otsust, et riskid on väikesed, ning isikuandmete töötluse riski hindamisel võtaks eetikakomitee sisuliselt uuringu vastutava töötleja rolli. Juhin ka tähelepanu, et IKS § 6 lg 6 ette nähtud eetikakomitee kooskõlastus täiendav kaitsemeede juhuks, kui uuringu vastutav töötleja töötleb uuritavate isikuandmeid otsest tuvastamist võimaldaval kujul ja ei rakenda IKS § 6 lg 3 toodud pseudonüümist või muid võrdväärseid kaitsemeetmeid. Seetõttu on arusaamatu, kuidas saaksid IKS § 6 lg 6 juhtudel andmekaitsealased riskid olla väikesed. Tartu Ülikooli hinnangul saab uuringu andmetöötluse riske hinnata ainult vastutav töötleja ja eetikakomitee saaks madala riskiga uuringuid hinnata nt lihtsustatud menetluse korras. Lisaks juhin tähelepanu, et isikuandmete kaitse seadusega reguleeritakse üksnes andmekaitsealaste riskide hindamist, mitte eetikaalaste riskide hindamist (mida reguleeritakse TAIKSiga), seetõttu ei saa kindlasti IKS § 6 lg 8 sätestada, et juhul, kui eetikakomitee hindab, et eetikaga seotud riskid on väikesed, võib ta jätta taotluse sisuliselt hindamata. Siiski juhin igaks juhuks tähelepanu ka sellele, et formulatsioon „eetilised riskid“ ei ole ka keeleliselt korrektne, sest kirjeldab riski omadust (eetilised vs ebaeetilised riskid). Korrektne oleks öelda nt „andmekaitse- ja eetikaalased riskid“ või „andmekaitse ja eetikaga seotud riskid“.

Arvestatud, säte eelnõust välja jäetud.
6 Tartu Ülikool teeb ettepaneku lisada IKS § 61 lg 2 p 1 täienduse, et sättes toodud tehnilised ja korralduslikud meetmed on piisavad, kui andmetöötlussüsteem järgib küberturvalisuse seaduses toodud nõuded ja on sertifitseeritud Eesti infoturbestandardi või sellega võrdsustatud infoturbestandardi alusel.

Arvestatud osaliselt. Selgitame, et Eesti infoturbestandardi või selle alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC 27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud Vabariigi Valitsuse määrusest nr 121 “Võrgu- ja infosüsteemide küberturvalisuse nõuded” - vt määruse § 3. Selle hulgas on osad, kuid mitte kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse eelnõu nõudeid järgima. Mitte kõik küberturvalisuse seaduse tähenduses olevad teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama määruse lisa).
7 Tartu Ülikool teeb ettepaneku täiendada IKS § 61 lg 5 ning näha ette, et Andmekaitse Inspektsiooni poolt kontrollitud ja heaks kiidetud andmetöötlussüsteemid avalikustatakse Andmekaitse Inspektsiooni veebilehel. See on vajalik, et tagada teadlastele ülevaade ja kindlus andmetöötlussüsteemide kasutamisel. Andmetöötlussüsteemide valik on juba teadustöö planeerimise etapis kriitilise tähtsusega, sh et hinnata ja eelarvestada (nt granditaotluse esitamisel) eri andmetöötlussüsteemide kasutamise kulusid.

Arvestatud, eelnõu ja seletuskirja täiendatud.
8 Seletuskirja punkti 1.1 on selgitatud, et edaspidi võib ka eriliiki isikuandmeid töödelda eelnõus toodud kaitsemeetmete olemasolul ilma eetikakomitee kooskõlastuseta, mis peaks lihtsustama nii uurijate kui ka eetikakomiteede tööd. Tartu Ülikool juhib tähelepanu ja palub seletuskirjas täiendavalt selgitada, et lisaks isikuandmete kaitse regulatsioonile võib eetikakomitee kontrollikohustus tuleneda ka teadustegevust puudutavatest õigusaktidest, teadusuuringu rahastaja ja/või publitseerija nõuetest jne ning need olukorrad ei allu isikuandmete kaitse seaduse regulatsioonile.

Arvestatud, seletuskirja täiendatud.
9 Tartu Ülikool palub täiendada seletuskirja IKS § 6 lõike 11 osas ja selgitada, et kui andmesubjekti õigusi plaanitakse konkreetse uuringu raames piirata, tuleb uuringu dokumentatsioonis – eelkõige andmekaitsealases mõjuhinnangus – analüüsida andmesubjekti õiguste piiramisega kaasnevaid ohte ja vastavaid maandusmeetmeid.

Arvestatud, eelnõu ja seletuskirja täiendatud.
10 Tartu Ülikool palub täiendada seletuskirja IKS § 61 lg 3 puudutavat, täpsustades andmete valideerimise perioodi. Juhin tähelepanu, et lisaks enne publitseerimist toimuvale andmete kvaliteedi kontrollile võib osutuda vajalikuks kontrollida uuringu tulemusi ka pärast publitseerimist, lähtudes publitseerija kehtestatud reeglitest, näiteks väliste uurijate vastuväidete korral.

Arvestatud, seletuskirja täiendatud.
9. Eesti Pank
Justiits- ja Digiministeeriumi märge
1 „Riikliku statistika“ asendamine „statistikaga“ vajab selget eristust ja viidet riikliku statistika seadusele (RStS-ile).
Eelnõu eesmärk on laiendada IKS § 6 kohaldamist „igasugusele statistikale“ ning jätta § 6 lõikest 1 välja sõna „riiklik“. See tekitab õigusliku ebaselguse, kuna eelnõus ja seletuskirjas ei ole defineeritud, mida „statistika“ IKS § 6 kontekstis täpselt tähendab ning millise standardi järgi hinnata, kas andmetöötluse õiguslik alus ja tingimused on täidetud. Samuti jääb praktikas selgusetuks, kuidas tagatakse IKS § 6 ja RStS erisuste koostoime (sh millal ja mis ulatuses tekivad täiendavad menetluslikud kohustused riikliku statistika töödele).

Eesti Pank toetab Statistikaameti eelnõu vastuskirjas toodud ettepanekut, et eelnõu tulemusel ei tohi riikliku statistika tegemine muutuda ebaselgemaks ega ebaproportsionaalselt koormavamaks.

Sellest tulenevalt palume sätestada IKS § 6-s selgesõnaliselt, et riikliku statistika (RStS tähenduses) tegemisel tuleb jätkuvalt lähtuda RStS erisustest ning riikliku statistika raamistiku loogikast (sh konfidentsiaalsuse ja väljundikontrolli reeglid); ning statistika mõiste avardamine ei tooks automaatselt kaasa riikliku statistika tegijatele täiendavaid menetluslikke kohustusi, kui tegemist on RStS alusel tehtava riikliku statistikaga. Selleks tuleks kas säilitada „riikliku statistika“ mõiste IKS § 6 tekstis või luua eraldi norm, mis viitab RStS erisuste kohaldamisele riikliku statistika puhul.

Eelnõu ja seletuskirja täiendatud. Riikliku statistika puhul on tegemist Statistikaametile pandud seadusest tuleneva ülesandega, mille alused sätestatakse eriseadusega, RStS-i tuuakse õiguslik alus andmetöötluseks.
2 IKS § 6 lg 3 p 2–3 nõuded tuvastatavuse kohta tuleb viia kooskõlla riikliku statistika tööprotsessiga.

Eelnõu § 6 lg 3 p 2 sätestab lisatoimingu keelu, mis tooks kaasa isiku tuvastamise, ning p 3 seab tuvastamise vältimise nõude uuringu tulemusele. Riikliku statistika tööprotsessis võivad andmed teatud etappides olla kaudselt tuvastatavad, kuid lõppväljundis välditakse otsest ja kaudset tuvastatavust väljundikontrolli kaudu.

Sellest tulenevalt teeme ettepaneku täpsustada eelnõu sõnastust nii, et „lisatoimingu keeld“ ja tuvastatavuse vältimise nõuded oleksid suunatud eeskätt levitamisele ja tulemusele; ning säte ei looks olukorda, kus riikliku statistika seaduspärane töötlemine (sh andmete seostamine, kvaliteedikontroll, tuletatud tunnuste arvutamine) muutub õiguslikult küsitavaks juba töötluse vaheetappides.

Eelnõu ja seletuskirja täiendatud. Riikliku statistika puhul on tegemist Statistikaametile pandud seadusest tuleneva ülesandega, mille alused sätestatakse eriseadusega, RStS-i tuuakse õiguslik alus andmetöötluseks.
3 Pseudonüümimise nõue „enne üleandmist“ ei tohi muuta võimatuks riikliku statistika jaoks vajalike andmete kogumist otse andmesubjektilt.

Eelnõu § 6 lg 3 p 1 eeldab, et enne isikuandmete üleandmist uuringu tegijale pseudonüümitakse andmed (või rakendatakse samaväärseid kaitsemeetmeid) „päringu saanud andmekogus“. Riikliku statistika tegemine hõlmab mh olukordi, kus andmeid kogutakse otse füüsilistelt isikutelt (nt leibkonnauuringutes) ning pseudonüümimine toimub mõistlikult pärast kogumist töötlusprotsessis, järgides turvameetmeid ja konfidentsiaalsuse reegleid.

Sellest tulenevalt teeme ettepaneku täpsustada § 6 lg 3 p 1 rakendust (seletuskirjas ja vajadusel normis) selliselt, et nõue ei välistaks riikliku statistika raames isikuandmete kogumist otse andmesubjektilt isikustatud kujul ning pseudonüümimist seejärel töötlusprotsessis, eeldusel et järgitakse RStS konfidentsiaalsuse ja turvalisuse nõudeid.

Eesti Pank on valmis täpsustama oma ettepanekuid ja osalema vajadusel töökoosolekul, et tagada eelnõu kooskõla riikliku statistika toimimise, konfidentsiaalsuse ja andmekaitse põhimõtetega.

Eelnõu ja seletuskirja täiendatud. Riikliku statistika puhul on tegemist Statistikaametile pandud seadusest tuleneva ülesandega, mille alused sätestatakse eriseadusega, RStS-i tuuakse õiguslik alus andmetöötluseks.

Seletuskirja lisa (kooskõlastustabel).pdf

Isikuandmete kaitse seaduse muutmise ja sellega

seonduvate teiste seaduste muutmise seadus

eelnõu seletuskirja juurde

Lisa

Kooskõlastustabel

1. Eesti Väike- ja Keskmiste Ettevõtjate Assotsiatsioon Justiits- ja Digiministeeriumi märge

1 Eelnõu kohaselt võib isikuandmeid, sealhulgas eriliiki isikuandmeid,

andmesubjekti nõusolekuta teadus-, ajaloouuringu- või statistikatöö

(edaspidi uuring) eesmärgil töödelda eelkõige, kasutades

pseudonüümimist või muud samaväärset kaitset pakkuvat meedet.

Pseudonüümimisega või muu samaväärse meetmega on eelnõu järgi

tegemist, kui on täidetud kõik järgmised tingimused: 1) enne

isikuandmete üleandmist uuringu tegijale need pseudonüümitakse või

kasutatakse muid asjakohaseid kaitsemeetmeid päringu saanud

andmekogus; 2) uuringu tegemisel ei või teha lisatoiminguid, mille

tagajärjel saab isiku tuvastada; 3) uuringu tulemus, sealhulgas tulemuse

töötlemine, ei tohi võimaldada tuvastada isikut, kelle isikuandmeid,

sealhulgas eriliiki isikuandmeid, töödeldi; 4) töödeldavate isikuandmete

põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul

viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

Siin ei ole tegemist pseudonüümimise või muu samaväärse meetme

tingimustega, vaid pseudonüümitud või samaväärse meetmega kaitstud

isikandmete töötlemise tingimustega. Loetelu neljanda punkti näol on

tegemist ka sama paragrahvi lõikes 6 toodud tingimuse mittevajaliku

kordusega.

Eelnõu ja seletuskirja muudetud. Selgitame, et IKS kohaselt lubatakse

uuringus isikuandmeid töödelda kui on täidetud lg 3 tingimused. Lg 4

kohaselt kui on sättest toodud tingimused täidetud, siis on lubatud andmeid

töödelda isiku tuvastamist võimaldaval kujul. Kordus on vajalik, sest

tingimus peab olema täidetud nii lg 3 kui ka lõige 4 alusel toimuva

andmetöötluse puhul.

2 Eelnõus sätestatakse, et isikuandmete kaitse seaduse tähenduses

loetakse seaduses sätestatud uuringuks ka Vabariigi Valitsuse seaduse

§-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse

asutuse, nende hallatava asutuse ning avalik-õigusliku juriidilise isiku ja

tema hallatava asutuse tehtud analüüsid ja uuringud, sealhulgas

tehnoloogiaarendused. Probleem seisneb selles, et isikuandmete kaitse

üldmäärus reguleerib ainult avalikes huvides toimuvat andmetöötlust

arhiveerimise, teadus- ja ajaloouuringute või statistilisel eesmärgil.

Selgitame, et tulenevalt IKÜM-i eesti keelses ebaõnnestunud tõlkest tuleb

arvesse võtta IKÜM-i originaal keelt, mille kohaselt peab üksnes

arhiveerimine toimuma avalikes huvides. IKÜM art 89 Safeguards and

derogations relating to processing for archiving purposes in the public

interest, scientific or historical research purposes or statistical purposes.

Statistikat ja teadusuuringuid on lubatud teha ka juhul kui avaliku huvi ei

ole.

Kehtiva seaduse tähenduses loetakse teadusuuringuks ka täidesaatva

riigivõimu analüüsid ja uuringud, mis tehakse poliitika kujundamise

eesmärgil. See tegevus toimub kindlasti avalikes huvides. Aga kõik

muud avaliku sektori institutsioonide analüüsid ja uuringud ei pruugi

olla teostatud avalikes huvides. Ka teadus- ja arendustegevuse ning

innovatsiooni korralduse seaduse järgi on teadus- ja arendustegevuse

osalised selle seaduse mõttes ainult teadlased, teadus- ja

arendusasutused, ülikoolid, rakenduskõrgkoolid ning teised osalised,

kes kavandavad, viivad läbi, korraldavad, rahastavad, toetavad või

hindavad teadus- ja arendustegevust või avaldavad teadus- ja

arendustegevuse tulemusi. Oluline on see, et isikuandmete kaitse

üldmääruse kohaselt isikuandmete vastav töötlemine lubatud ainult

avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku

võimu teostamiseks. Sellise tingimusega tuleks eelnõus täiendada ka

avaliku sektori institutsioonide, kes ei ole teadus- ega arendusasutused,

analüüse ja uuringuid, et vältida vastuolu üldmäärusega.

3 Andmesubjektil on isikuandmete kaitse üldmääruse järgi õigus, et

tema kohta ei võetaks otsust, mis põhineb üksnes automatiseeritud

töötlusel, sealhulgas profiilianalüüsil, mis toob kaasa teda puudutavaid

õiguslikke tagajärgi või avaldab talle märkimisväärset mõju. Erandina

on selline tegevus lubatud vastutava töötleja poolt kohaldatava liidu või

liikmesriigi õigusega, milles on sätestatud ka asjakohased meetmed

andmesubjekti õiguste ja vabaduste ning õigustatud huvide kaitsmiseks.

Kui me lähtume eeldusest, et avalike ülesannete automatiseerimine ja

selleks tehnoloogia või tehisintellekti arendamine toimub avalikus

huvis, siis on ka vajalik eelnevalt kehtestada väljaspool andmekaitse

valdkonda üldine regulatsioon, milles sätestatakse andmesubjekti

kaitsemeetmed või nõuded tema kaitseks kohaldatavatele meetmetele,

kui andmesubjekti suhtes hakatakse tegema otsuseid ainult

automatiseeritud töötluse alusel.

Selgitame, et säte ei reguleeri avaliku ülesande käigus tehnoloogia

kasutamist vaid olukorda kui soovitakse tehnoloogia välja arendada. Juhul

kui avalik sektori hakkab välja arendatud tehnoloogiat kasutama oma avalike

ülesannete täitmisel peab tal selleks olema seaduses omaette õiguslik alus.

4 Eelnõusse võetakse üle ka kehtiva seaduse tekst, kus on sätestatud, et

kui paragrahvi 6 lõike 3 tingimused ei ole täidetud, on isikuandmete,

sealhulgas eriliiki isikuandmete töötlemine uuringuks lubatud üksnes

juhul, kui on täidetud kõik järgmised tingimused: 1) pärast tuvastamist

võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid

enam saavutatavad või neid oleks ebamõistlikult raske saavutada; 2)

uuringu tegija hinnangul on selleks ülekaalukas avalik huvi; 3)

töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste

mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi. Üks

probleem on seotud siin sellega, et ülekaaluka avaliku huvi

määratlemine ei tohi sõltuda ainult uuringu tegija hinnangust. Teine

probleem seisneb selles, et on määratlemata, mida tähendab

andmesubjekti õiguste ülemäärane kahjustamine. Ülemäärase õiguste

kahjustamise keelu asemel võiks sätestada, et peavad olema tagatud

muud sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja

huvide kaitseks.

Selgitame. Ülekaalukas avalik huvi on määratlemata õigusmõiste, mida peab

iga juhtumi puhul eraldi hindama võttes ühelt poolt arvesse avaliku huvi ja

teiselt poolt andmesubjekti õigusi. See on ettevõtjate ja kõigi uuringu tegijate

igakordse hindamise kohustus, mille kriteeriumeid selle eelnõuga ka ette ei

kirjutata. Sarnane loogika on ka õigustatud huvi hinnanguga, kus iga juhtumi

korral tuleb teha eraldi kaalumine. Näitliku loetelu tuua paraku ei saa, sest

see võib jätta eksliku mulje, justkui tegevuid, mis ei ole loetelus ei peagi

hindama. Ka riigikohus on oma 13.juuni 2005 lahendis nr 3-4-1-5-05

märkinud, et määratlemata õigusmõiste on õigustehniline vahend, mille

puhul seadusandja loobub detailsete ettekirjutuste andmisest seadustes

enestes, delegeerides normi täpsustamise seaduse rakendajale (p 16).

5 Eelnõu paragrahvi 61 kohaselt võib seaduse §-s 6 sätestatud eesmärgil

isikuandmeid, sealhulgas eriliiki isikuandmeid, töödelda ka selleks

ettenähtud andmetöötlussüsteemis, kui on täidetud seaduse § 6 lõike 3

punktides 2–4 ja paragrahvis 61 sätestatud tingimused. Olemuslikuks

probleemiks on siin see, et andmete töötlemine toimub alati mõnes

andmetöötlussüsteemis. Ei ole arusaadav, mille poolest erineb eelnõus

reguleeritud andmetöötlussüsteem teistest andmetöötlussüsteemidest ja

miks ainult sellele andmetöötlussüsteemile kehtestatakse eelnõus eraldi

nõuded. Kas see on mõeldud näiteks muudel eesmärkidel kogutud

isikuandmete töötlemiseks? Ka andmekogu ise on avaliku teabe

seaduse kohaselt defineeritud kui riigi, kohaliku omavalitsuse või muu

avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku

infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse

ja mida kasutatakse seaduses, selle alusel antud õigusaktis või

rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Riigi

Selgitame, et eelnõuga ei ole silmas peetud mitte ühtegi konkreetset

andmetöötlussüsteemi vaid on sätestatud nõuded andmesüsteemile, mida

võib kasutamiseks igaüks pakkuda, kui vastavad tingimused on täidetud.

Andmetöötlussüsteeme võib kasutada mitmetel eesmärkidel. Antud juhul on

loodud lahendus, kus süsteemis teadusuuringu tarbeks andmete töötlemisel

kontrollitud süsteemist kehtivad nö leebemad reeglid, sest süsteem ise tagab

piisavad kaitsemeetmed, mis eelnõuga ette nähtud. Siin ei ole silmas peetud

andmekogusid, vaid andmetöötlussüsteeme, milles uuringuid soovitakse läbi

viia.

infosüsteemi kuuluvad näiteks andmekogud, mis on infosüsteemi

andmevahetuskihiga liitunud ja riigi infosüsteemi haldussüsteemis

registreeritud, ning andmekogude pidamist kindlustavad süsteemid.

6 Samuti ei ole arusaadav, kas eelnõus reguleeritud

andmetöötlussüsteemi võiks käsitleda ka tehisintellekti

regulatiivliivakastina. EL määruse 2024/1689 kohaselt võib muudel

eesmärkidel seaduslikult kogutud isikuandmeid tehisintellekti

regulatiivliivakastis töödelda üksnes teatavate tehisintellektisüsteemide

arendamiseks, treenimiseks ja testimiseks liivakastis, kui on täidetud

kõik määruses loetletud tingimused. Osaliselt need kattuvad eelnõus

reguleeritud andmetöötlussüsteemi tingimustega. Omaette küsimus on,

et kas väljaspool regulatiivliivakasti on määruse kohaselt üldse lubatud

muudel eesmärkidel kogutud isikuandmeid kasutada määruse

kohaldamisalasse jäävate tehisintellektisüsteemide arendamiseks,

treenimiseks ja testimiseks. Näiteks ei kohaldata määrust 2024/1689

tehisintellektisüsteemide või tehisintellektimudelitega seotud teadus-,

testimis- või arendustegevuse suhtes enne nende turule laskmist või

kasutusele võtmist.

Andmetöötlussüsteemid ei ole selle eelnõu kontekstis regulatiivliivakastina.

Võimalik, et kui need vastavad ka viidatud määruse tingimustele, võib neid

ka sellisel eesmärgi kasutada.

2. Eesti Kaubandus- ja Tööstuskoda Justiits- ja Digiministeeriumi märge

1 Eetikakomitee menetluse kaotamine

Eelnõu § 1 punkti 1 (IKS § 6 lg 5) kohaselt ei pea uuringu tegija taotlema

enne andmete töötlemist eetikakomitee hinnangut, vaid on kohustatud

teavitama Andmekaitse Inspektsiooni vastavast uuringust, uuringu

eesmärkidest, töödeldavatest andmetest ja IKS § 6 lg 3 sätestatud

tingimuste täitmisest.

Kaubanduskoda toetab muudatust, et vähendatakse uuringu tegijate

halduskoormust viisil, et uuringu tegijad ei pea läbima eetikakomitee

menetlust, kui soovitakse töödelda eriliiki isikuandmeid ja kasutatakse

pseudonüümimist või muud samaväärset kaitset pakkuvat meedet.

Teadmiseks võetud.

Uuringu tegijate jaoks on oluline, et ei eksisteeriks kohustust läbida

paralleelselt mitut eraldi menetlust. Sellest tulenevalt tähendab

muudatus uuringu tegijate jaoks menetlusaegade lühenemist, kulude

vähenemist ja prognoositavuse suurenemist, mis on olulise tähtsusega

kiiresti arenevates valdkondades tegutsevatele uuringu tegijatele, sh

tehisaru ja innovatsiooniprojektide puhul.

Kaubanduskoja ettepanek:

Toetame eelnõu § 1 punkti 1, millega muudetakse IKS § 6 lõiget 5.

2 Uuringu tegemise eesmärgi laiendamine

Eelnõu § 1 punkti 1 (IKS § 6 lg 2) kohaselt laiendatakse uuringu

tegemise eesmärki poliitika kujundamiselt teenuste arendamiseni.

Uuringule antakse laiem tähendus, mis hõlmab akadeemilistele ja

teadusuuringutele lisaks riigi ja omavalitsusüksuste ning nende

allasutuste koostatud või tellitud analüüse, uuringuid ja

tehnoloogiaarendusi.

Toetame eelnõuga läbiviidavat muudatust, millega laiendatakse uuringu

tegemise eesmärki poliitika kujundamiselt ka muude eesmärkideni,

näiteks teenuste arendamiseni või avalikes huvides innovatsiooni

elluviimiseni. Uuringu tegemise eesmärgi laiendamine loob senisest

paremad võimalused kasutada andmepõhiseid lahendusi uute toodete ja

teenuste väljatöötamiseks.

Kaubanduskoja ettepanek:

Toetame eelnõu § 1 punkti 1, millega muudetakse IKS § 6 lõiget 2.

Teadmiseks võetud.

3 Andmetöötlussüsteemi pakkujate ringi laiendamine

Eelnõu § 1 punkti 2 (IKS § 61 lg 2) kohaselt on ettevõtjatel õigus hakata

pakkuma andmetöötlussüsteeme.

Kaubanduskoda toetab muudatust, et eelnõuga ei kitsendatud

andmetöötlussüsteemide teenusepakkujate ringi selliselt, et süsteemi

Arvestatud.

võib hakata pakkuma ainult üks keskne riigiasutus, vaid et seda

võimaldatakse ka ettevõtjatel omal vabal valikul pakkuda.

Kaubanduskoja ettepanek:

Toetame eelnõu § 1 punkti 2, millega lisatakse isikuandmete kaitse

seadusesse § 61 lõige 2.

4 Teabe avalikustamine Eesti teabeväravas

Eelnõu § 1 punkt 1 (IKS § 6 lg 5) kohaselt on uuringu tegija kohustatud

teavitama Andmekaitse Inspektsiooni uuringu eesmärgist,

töödeldavatest andmetest ja rakendatavatest kaitsemeetmetest, mille

Andmekaitse Inspektsioon avaldab Eesti teabeväravas.

Seletuskirja (lk 7) kohaselt tagatakse Eesti teabeväravas uuringu kohta

teabe avalikustamisega läbipaistvus. Ühelt poolt Kaubanduskoda toetab

läbipaistvust, mis tuleneks uuringute kohta teabe avaldamistest Eesti

teabeväravas. Samas peame oluliseks, et muudatus ei tooks kaasa olulisi

ärisaladuse avalikustamise ja konkurentsipositsiooni halvendamise

riske. Eelnõu seletuskirja kohaselt võimaldaks teabe avaldamine

huvigruppidel ja avalikkusel saada ülevaate, milliseid isikuandmeid ja

mis eesmärgil töödeldakse. Seeläbi saaksid teised ettevõtjad

informatsiooni ettevõtja arendusplaanide ja strateegiliste suundade

kohta. Seetõttu leiame, et teabe avalikustamisel teabeväravas peab

kehtima selge erand ärisaladust ja tundlikke innovatsiooniprojekte

kaitsvatel juhtudel ning avalikustamisele kuuluva teabe maht peab

piirduma minimaalselt vajaliku teabega.

Kaubanduskoja ettepanek:

Täpsustada eelnõu § 1 punktis 1 (IKS § 6 lg 5) teabeväravas

avalikustatava teabe ulatus ja määratleda selgelt, et avalikustamine

ei kahjustaks ettevõtjate ärisaladust ega konkurentsivõimet.

Arvestatud ja seletuskirja täiendatud.

Selgitame. Antud juhul on tegemist avaliku teabega AvTS-i mõttes ning

juhul kui teave sisaldab juurdepääsupiiranguga andmeid, siis AvTS § 35 lg

1 kohaselt seda osa teabest ei tohi avalikustada. Seega peab antud juhul ette

võtja teabe AKI-le edastamisel ära märkima, milline osa teabest on

ärisaladus.

5 „Ülekaaluka avaliku huvi“ määratlemine

Eelnõu § 1 punkti 1 (IKS § 6 lg 6 p 2) kohaselt lubatakse erandina

isikuandmete töötlemist ilma pseudonüümimiseta või samaväärset

Seletuskirja täiendatud. Ülekaalukas avalik huvi on määratlemata

õigusmõiste, mida peab iga juhtumi puhul eraldi hindama võttes ühelt poolt

arvesse avaliku huvi ja teiselt poolt andmesubjekti õigusi. See on ettevõtjate

kaitset pakkuva meetme rakendamiseta vaid juhul, kui samaaegselt on

täidetud kolm lõikes 6 toodud tingimust, sealhulgas ülekaaluka avaliku

huvi olemasolu.

Kaubanduskoda leiab, et IKS § 6 lõige 6 punkt 2, mis toob välja

„ülekaaluka avaliku huvi“, on hetkel ebamäärane. Näiteks eelnõu ei

täpsusta, millistes olukordades ja milliste tunnuste alusel tingimuse

täitmist hinnata. Seletuskiri (lk 7) toob ainsa näitena välja olukorra, kus

terviseuuringus soovitakse analüüsida haruldase haiguse levimust

Eestis, kuid pseudonüümitud andmete analüüsimine ei võimaldaks

haiguse leviku mustri tuvastamist, mistõttu otsustab uuringu tegija

andmeid töödelda tuvastamist võimaldaval kujul. Sellisel juhul on tal

kohustus IKS § 6 lõike 6 punkti 2 alusel põhjendada, et eriliiki

isikuandmete töötlemisel uuringuks on tegemist ülekaaluka avaliku

huviga. Sellest näitest hoolimata ei ole „ülekaaluka avaliku huvi“

piisaval määral lahti kirjutatud, et ettevõtjad saaksid enesekindlalt

sellele tugineda. Ettevõtjatel on vajadus hinnata õiguslikke riske ette,

eriti investeeringute tegemisel uuringute läbiviimisse ja innovatsiooni.

Tüüpolukordade seletuskirjas esiletoomine, kus ülekaalukas avalik huvi

võiks suure tõenäosusega eksisteerida, võimaldaks ettevõtjatel

prognoosida, kas andmete töötlemine uuringu läbiviimiseks oleks

seadusega lubatud.

Kaubanduskoja ettepanek:

Täpsustada seletuskirjas eelnõu § 1 punkti 1 (IKS § 6 lg 6 p 2)

ülekaaluka avaliku huvi kriteeriumi sisu ning välja tuua vähemalt

näitlik loetelu olukordadest, kui see eeldus võib olla suure

tõenäosusega täidetud.

ja kõigi uuringu tegijate igakordse hindamise kohustus, mille kriteeriumeid

selle eelnõuga ka ette ei kirjutata. Sarnane loogika on ka õigustatud huvi

hinnanguga, kus iga juhtumi korral tuleb teha eraldi kaalumine. Näitliku

loetelu tuua paraku ei saa, sest see võib jätta eksliku mulje, justkui tegevuid,

mis ei ole loetelus ei peagi hindama. Ka riigikohus on oma 13.juuni 2005

lahendis nr 3-4-1-5-05 märkinud, et määratlemata õigusmõiste on

õigustehniline vahend, mille puhul seadusandja loobub detailsete

ettekirjutuste andmisest seadustes enestes, delegeerides normi täpsustamise

seaduse rakendajale (p 16).

6 Andmete töötlemine andmetöötlussüsteemis Euroopa

Majanduspiirkonna territooriumil

Selgitame, et riigisisese õigusega võib liikmesriik ette näha kaitsemeetmeid

teadusuuringu tegemiseks ning üheks kaitsemeetmeks on piirang, et andmeid

ei tohi töödelda väljaspool Euroopa Majanduspiirkonna territooriumil. Nõue

on sätestatud sõltuvalt asjaolust, et süsteemis töödeldakse suures mahus

Eelnõu § 1 punkti 2 (IKS § 61 lg 2 p 8) kohaselt peab

andmetöötlussüsteemi pakkuja tagama andmete töötlemise Euroopa

Majanduspiirkonna territooriumil.

Peame oluliseks märkida, et selline nõue ei tulene otseselt Euroopa

Parlamendi ja nõukogu määrusest (EL) nr 2016/679 füüsiliste isikute

kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise

ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete

kaitse üldmäärus (edaspidi IKÜM)). Pigem kujutab see endast riigisisest

täiendavat piirangut ja puudutab otseselt ettevõtjaid, kes asuvad ise

Eestis, kuid kes soovivad kasutada väljaspool Euroopa

Majanduspiirkonna territooriumit asuvaid rahvusvahelisi pilveteenuseid

andmete töötlemiseks. Kuigi IKÜM ei kasuta ega defineeri mõistet

„andmekaitsesüsteem“, millele IKS-is luuakse eraldi regulatsioon, on

IKÜM siiski Euroopa Liidu ülene andmetöötlust reguleeriv

otsekohalduv õigusakt. IKÜM artikkel 3 lõige 1 sätestab, et määrust

kohaldatakse liidus asuva vastutava töötleja või volitatud töötleja

tegevuskoha tegevuse kontekstis toimuva isikuandmete töötlemise

suhtes sõltumata sellest, kas töödeldakse liidus või väljaspool liitu.

Seega ei piira IKÜM andmete töötlemist ei väljaspool Euroopa Liitu ega

ka Euroopa Majanduspiirkonna territooriumit, kui andmete töötleja ise

asub Euroopa Liidus.

Kaubanduskoja ettepanek:

Palume vähemalt seletuskirjas selgitada eelnõu § 1 punkti 2 (IKS §

61 lg 2 p 8) tingimust, miks on eelnõusse lisatud nõue, et

andmetöötlussüsteemi pakkuja peab tagama andmete töötlemise

Euroopa Majanduspiirkonna Territooriumil.

isikuandmeid, mis peavad vastama kõrgele andmekaitse tasemele, mis

väljaspool piirkonda alati ei pruugi tagatud olla.

3. SA Eesti Teadusagentuur Justiits- ja Digiministeeriumi märge

1 IKS § 6 reguleerimisala „nõusolekuta“ uuringud on liiga lai

IKS plaanitava § 6 lõike 1 kohaselt antakse §-s 6 alus isikuandmete

andmesubjekti nõusolekuta töötlemiseks teadus-, ajaloouuringu või

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. Selgitame. IKS § 6 on

õiguslikuks aluseks isikuandmete töötlemisel, kui seda on vaja teha teadus-

statistikatöö eesmärgil. IKÜM artikli 6 lõikes 1 on loetletud viis

isikuandmete töötlemise seaduslikku alust, mis ei põhine andmesubjekti

nõusolekul ning mis seetõttu kõik võiksid langeda IKS § 6

reguleerimisalasse. Meie hinnangul on see liiga lai.

IKÜM artikli 6 lõike 2 kohaselt võivad liikmesriigid kehtestada

konkreetsemad regulatsioone kohandamaks IKÜM sätteid seoses

isikuandmete töötlemisega artikli 6 lõike 1 punkti c (kui see on vastutava

töötleja juriidiline kohustus) või punkti e (töötlemine on vajalik avalikes

huvides oleva ülesande täitmiseks või avaliku võimu teostamiseks)

alusel. Liikmesriigid võivad määrata üksikasjalikumalt kindlaks

töötlemise konkreetsed nõuded ja teised meetmed, et tagada seaduslik ja

õiglane töötlemine, sealhulgas teiste andmetöötluse eriolukordade

jaoks, nagu see on sätestatud IX peatükis. Mainitud peatükki kuulub ka

artikkel 89, mis lubab liikmesriigil ette näha erandeid teatud

andmesubjekti õigustest, kui andmete töötlemine toimub avalikes

huvides arhiveerimise, teadus- ja ajaloouuringu või statistilisel

eesmärgil.

Teine IKÜM säte, mis jätab liikmesriigile võimaluse täiendavaid

isikuandmete töötlemise tingimusi sätestada, puudutab eriliiki

isikuandmete töötlemist. Nii on artikli 9 lõike 2 punktis j on sätestatud

erand eriliikide töötlemise keelule: „töötlemine on vajalik avalikes

huvides toimuva arhiveerimise, teadus- või ajaloouuringute või

statistilisel eesmärgil vastavalt artikli 89 lõikele 1, tuginedes liidu või

liikmesriigi õigusele, ning on proportsionaalne saavutatava eesmärgiga,

austab isikuandmete kaitse õiguse olemust ning tagatud on sobivad ja

konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks“.

Sama artikli lõike 4 kohaselt võivad liikmesriigid kehtestada täiendavaid

tingimusi.

või ajaloouuringu või statistika vajadusteks. Tegemist on erandiga, mis

tuleneb IKÜM-i artiklist 89. IKS § 6 põhineb ka IKÜM-i artikli 6 lõike 1

punktil e, mille kohaselt on liikmesriigil võimalik õigusaktiga täpsustada

avalikes huvides oleva ülesande täitmise aluseid. IKS § 6-ga ei sätestata

piirangud õigustatud huvi alusel toimuvale andmetöötlusele.

Meie hinnangul võiks IKS lähtuda nendest sätetest, eelnõuga uuringus

isikuandmete töötlemisele seatud piirangud ja tingimused on eelkõige

vajalikud selleks, et tasakaalustada IKÜMis teadusuuringutele

ettenähtud erandeid, mitte selleks, et seada täiendavaid tingimusi

õiguspäraselt läbiviidud uuringutele. Nii ei peaks IKS näiteks

kehtestama lisatingimusi õigustatud huvi alusel läbiviidavatele

uuringutele ja analüüsidele, kui need järgivad kõiki IKÜM tingimusi.

Kuna seletuskirjast võib välja lugeda, et IKS § 6 regulatsioon on

mõeldud täiendama IKÜMi artikli 6, lõike 1 punkti e (isikuandmete

töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või

vastutava töötleja avaliku võimu teostamiseks) erandit, teeme

õigusselguse huvides ettepaneku selle ka eelnõus konkreetselt

sõnastada. Näiteks:

„(1) Isikuandmeid võib teadus- või ajaloouuringu või statistika

eesmärgil töödelda Euroopa Parlamendi ja nõukogu määruse (EL)

2016/679 artikli 6 lõikes 1 punktis e nimetatud alusel, kui järgitakse

kõiki käesolevas paragrahvis sätestatud tingimusi.“

Lisaks võiks seadusega täpsustada eelkõige neid aspekte, mida IKÜM

ei reguleeri või milles on jäänud võimalus liikmesriikidel täiendavaid

tingimusi sätestada. Üheks selliseks on IKÜM art 9 lg 2 p j sätestatud

erand eriliikide töötlemise keelule.

Kokkuvõtteks: lahendus oleks IKS-is täpsustada nõudeid ja tingimusi,

mis kaasnevad avalikes huvides ülesandena määratlevatele

teadusuuringutele, jättes reguleerimisalast välja muud õiguslikud alused

(eelkõige õigustatud huvi) ja kitsendaks uuringute ringi, kellele uues

kohustused kohalduksid.

2 IKS § 6 lõigetes 1 ja 2 käsitletud „uuringu“ mõiste on liiga lai

Seletuskirja kohaselt on termin „uuring“ laia tähendusega ning see

hõlmab teadus- ja ajaloouuringuid ning statistikat. Samuti on

seletuskirjas väidetud, et „kehtiv IKS kitsendab ülemäära asutuste ringi,

kellel on lubatud analüüse ja uuringuid teha“. Oluline on siinkohal välja

tuua, et IKS eesmärk ei ole defineerida teadusuuringut (teadus- ja

arendustegevuse defineerib TAIKS) ega anda üldist luba uuringute

tegemiseks. IKS peaks eelkõige täpsustama vaid neid erandeid ja

tingimusi, mis üldmäärus teadus- ja ajaloouuringute ning statistika osas

selgelt ette näeb.

IKS § 6 lõikega 2 võrdsustatakse teadusuuringutega hulk avaliku sektori

analüüse ja uuringuid ning laiendatakse neile ka üldmääruses

teadusuuringutele tehtavad erandid. Mitte iga analüüs, mida riigiasutus

isikuandmete põhjal teeb, ei ole ega peagi olema käsitletav kui

teadusuuring. Paratamatult tähendab see ka seda, et mitte iga analüüs ei

saa toetuda üldmääruses teadusuuringutele ette nähtud eranditele.

Näiteks üldmääruse art 9 lg 1 sätestab eriliiki isikuandmete keelu,

millest erandid on loetletud sama artikli lõikes 2. Üheks erandiks on

teadusuuringud (art 9 lg 2 p j), kui see tagab piisava kaitse

andmesubjekti õigustele ning järgib liikmesriigi õigust. Kui „uuringu“

mõistet liigselt laiendada, loob see suurele hulgale tegevustele

võimaluse eriliikide töötlemise keelust mööda minna. Ei ole selge, kas

ja kuivõrd see läheb kokku üldmääruse mõttega luua erand

teadusuuringutele kui olulise avaliku huviga tegevusele.

Sarnaselt on üldmäärus ette näinud võimaluse piirata andmesubjekti

õigusi, kui see takistab teadusuuringute eesmärkide saavutamist (vt EN

§ 6 lg 11). Ka siin on sama probleem – kui uuringu mõistet liigselt

laiendada, laieneb ühtlasi selliste isikuandmete töötlemise toimingute

hulk, kus andmesubjekti õigusi piiratakse.

Arvestatud osaliselt, sõnastust muudetud. Selgitame, et IKS ei defineeri

teadusuuringu mõistet. IKÜM-i põhjenduse 159 kohaselt tuleks

teadusuuringute eesmärgil toimuvat isikuandmete töötlemist tõlgendada nii

laialt, et see hõlmab näiteks tehnoloogiaarendust ja tutvustamistegevust,

alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid

uuringuid, lisaks tuleks arvesse võtta EL-i toimimise lepingu artikli 179

lõikes 1 sätestatud liidu eesmärki luua Euroopa teadusruum, rahvatervise

valdkonnas peaks teadusuuringute eesmärk hõlmama avalikust huvist

lähtuvalt tehtud uuringuid. Juhime tähelepanu, et IKÜM on otsekohalduv

EL-i määrus, mida siseriikliku õigusega kitsendada ei saa. Veel enam on

TAIKS §-is 9 ka sätestatud ministeeriumi ja Riigikantselei ülesanded teadus-

ja arendustegevuse ning innovatsiooni valdkonnas, seega on juba TAIKS-iga

öeldud, et ka riiklikult tegeletakse teadus- ja arendustegevuse ja

innovatsiooniga ning selline TAIKS kohaldub ka riigipoolse teadustegevuse

korral.

Eelnõu ei laienda teadusuuringu mõistet avaliku sektori uuringule vaid näeb

avaliku sektori uuringu tegemiseks ette samad tingimused, mis

teadusuuringule.

Lisaks selgitame, et juhul kui avaliku sektorile on juba seadusega pandud

ülesandeks uuringuid läbi viia, andmetöötluse eesmärgid ja andmete

kategooriad seaduse tasandil toodud on juba seaduses toodud õigusliku

alusega andmetöötluseks.

Ettepanek on täiendavalt hinnata erinevate õiguslike mõistete kooskõla,

kuna uuringu mõiste laienemisega kaasneb suurem privaatsuse riive.

Samuti aitaks see vältida võimalikke probleeme seaduse rakendamisel.

Eelkõige tuleks täiendavalt hinnata, kas ja kuivõrd ühtivad TAIKS

teadus- ja arendustegevuse ning IKS uuringu mõiste. Ka teadus- ja

arendustegevuse mõiste ei piira asutuste ega isikute ringi, kes saavad

alus- ja rakendusuuringuid ning eksperimentaalarendust läbi viia. Küll

seab see kõrgema lävendi tegevuse sisule ja tulemustele – rutiinsed

analüüsid ei mahu nt teadus- ja arendustegevuse mõiste alla. Kitsam

tõlgendus on kooskõlas üldmääruse eesmärgiga ja tagab suurema kaitse

andmesubjektide privaatsusele.

Asjaolu, et konkreetne uuring (nt turu-uuring) või analüüs (nt teenuse

kasutatavuse ülevaade) ei liigitu teadusuuringuks, ei tähenda, et need

uuringud ei ole lubatud. Sel juhul ei saa lihtsalt toetuda üldmääruses

teadusuuringutele ette nähtud eranditele. Neid tegevusi saab endiselt

läbi viia toetudes üldmääruse üldnõuetele – kui selleks on sobiv õiguslik

alus ning järgitakse teisi üldmääruse nõudeid. Kui avalikule asutusele

on näiteks õigusaktiga antud ülesanne pakkuda avalikku teenust, siis

peaksid ka selle avaliku teenusega seotud analüüsid olema kaetud sama

ülesandega ning eraldi õiguslikku alust selliste analüüside jaoks ei ole

vaja.

3 Teadusuuringud ja statistika võiksid olla eraldi paragrahvidena

reguleeritud

Sarnaselt avalikes huvides arhiveerimisele (IKS § 7), võiks ka statistika

eesmärgil isikuandmete töötlemine olla reguleeritud eraldi

paragrahvina. Kuna statistika tulemuseks on alati koondandmed, mis ei

ole käsitletavad isikuandmetena (IKÜM sp 162), on statistika

koostamisega seotud riskid teadusuuringutega võrreldes väiksemad.

Mitmed eelnõus ettenähtud nõuded või kohustused ei tundu mõistlikud

statistilisel eesmärgil toimuva töötlemise suhtes, seda enam, et

Mittearvestatud. Selgitame, et määrav ei ole siinjuures üksnes uuringu või

statistika tulem vaid selle tulemusel töödeldakse isikuandmeid, mistõttu ka

tingimused andmetöötlusele peavad olema samad.

Statistikaameti tööd reguleerib eraldi seadus ja seega eelnõu tingimused

neid ei puuduta (EN IKS § 6 lg 10). Seega reguleeriks eelnõu kõikide

teiste isikute ja asutuste tegevust kogutavate või olemasolevate andmete

põhjal statistika koostamisel. Ettevõtted ja muud asutused teevad

regulaarselt statistilisi ülevaateid oma tegevusest, töödeldes selleks

klientide või teenuste kasutajate andmeid, et seeläbi teha paremaid

otsuseid asutuse tegevuse osas. Kuigi staatilisel eesmärgil isikuandmete

töötlemine võib põhineda ka nõusolekul, on tõenäoline, et statistiliste

ülevaadete koostamine ei põhine nõusolekul, vaid mõnel muul alusel, nt

õigustatud huvil või „eesmärgi kooskõla“ hindamisel. Probleemi

illustreerimiseks lisasime ka näite (vt II osa). Ei ole arusaadav, miks

asutused peaksid AKI-t teavitama statistika koostamisest vaid seetõttu,

et isikuandmete statistilisel eesmärgil töötlemine ei põhine nõusolekul.

Mõnevõrra erinev on olukorda statistikauuringutega (statistical

surveys), kus kogutaksegi uusi andmeid statistika koostamise eesmärgil,

kuid need toimuvad kas: 1) nõusoleku alusel (nt uuringufirmad, kes

respondente küsitlevad); 2) seaduse alusel riikliku statistika raames.

Mõlemad juhud jäävad niikuinii IKS § 6 reguleerimisalast väljapoole.

Kolmanda probleemina ei ole mõistlik statistika eesmärgil toimuvale

isikuandmete töötlemisele ette näha eetikakomitee kooskõlastuse

kohustust, kuna statistika koostamine ei sobitu teadusuuringute

hindamiseks mõeldud raamistikku.

Ettepanek toetaks ühtlasi meie teist ettepanekut, mille kohaselt

„uuringu“ mõiste on liiga lai.

4 Teavitamiskohustus on liiga lai ja ei täida oma eesmärki

Plaanitud kujul tuleb AKI-t teavitada igal juhul, kui töödeldakse

andmesubjekti nõusolekuta isikuandmeid teadusuuringu eesmärgil,

sõltumata sellest kas need on tavalised või eriliiki isikuandmed,

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. AKI teavitamise

kohustu on üksnes juhul kui töödeldakse isiku tuvastamist võimaldavaid

andmeid. AKI saab pisteliselt vajadusel teha järelevalvet seirates tehtavate

pseudonüümitud (IKS § 6 lg 5) või isikustatud (IKS § 6 lg 6–7) või

kasutatakse andmetöötlussüsteemi (IKS §61 lg 7). Samuti kohaldub

kohustus IKS § 6 lõigete 1 ja 2 kohaselt lisaks teadusasutustes tehtavale

teadustööle, ka statistikatööle, KOV analüüsidele ning erasektori

uuringutele – see suurendab teavituste hulka ja tekitab täiendava

koormuse kõigile uuringute tegijatele. Mida laiemalt määratleda

„uuringu“ mõiste, seda suuremaks läheb nende uurimistegevuste hulk,

millest AKI-t teavitama peaks. Kui aastas tehakse 200 teavituse ringis,

tuleks välja mõelda ka see, kuidas nende uuringute teavet arusaadavalt

avaldada, et inimesed vajaliku info üles leiaks. Vastasel korral tekib

sama efekt liiga pikkade andmekaitse tingimuste avaldamisega –

inimesed loobuvad selle lugemisest ja läbipaistvus sellega ei parane.

Ka ei ole üheselt selge, mida AKI selle teabega peale hakkaks ning

millist probleemi selline teavitus aitaks lahendada. Kui eeldus on, et

AKI tuvastab vastavust seadusega, siis ei ole tegemist pelgalt

teavitusega, vaid AKI peaks ka uuringu asjaoludesse süvenema – see

oleks pigem uut tüüpi menetlus, mitte pelgalt teavitus. Teavitamise

vajadus on küsitav ka seetõttu, et teavituse sisu (§ 6 lg 5) on niivõrd

üldine, et selle põhjal ei ole võimalik kõikide § 6 lg 3 ja 6 nõuete

täidetust kontrollida. Lisaks on seletuskirja peatükis 7 nimetatud, et

ainus täiendav tööjõukulu AKI-le on seoses „AKI veebilehel uuringute

kohta teabe avaldamisega“ – sellest võiks eeldada, et AKI esitatud teabe

põhjal uuringuid ei kontrolli. Kui veebilehel uuringute nimekirja

avaldamine on ainus eesmärk, siis leidub teavitamisele ka paremaid

alternatiive, mis sarnaselt läbipaistvust aitavad tagada.

Ettepanek on selliselt sätestatud teavitamise kohustusest loobuda, sest

1) korrektselt pseudonüümitud andmete töötlemisel on eelduslikult

taastuvastamise risk maandatud ja täiendav kontroll ei ole põhjendatud

– pealegi on IKS § 6 lg 3 tingimused tehnilist laadi, mille kontrollimine

eeldaks täpsemaid selgitusi pseudonüümimise meetodi osas, mida oskab

selgitada andmekogu pidaja (ehk andmete väljastaja), mitte uuringu

uuringute eesmärke ja kasutatavate andmete kategooriad. Teabe esitamise ja

avaldamise vormi osas nõustume, et see peab toimuma lihtsalt ja

arusaadavalt, aga on tehniline küsimus, mida võibolla vajalik läbi juhise

lahendada. Tegemist ei ole eelnõud puudutava küsimus.

tegija; 2) eetikakomitee poolt hinnatud uuringu osas hindab

eetikakomitee juba niikuinii IKS § 6 lg 6 tingimusi ning teeb väljastatud

kooskõlastuse avalikuks (kõik kooskõlastatud uuringud avaldatakse

veebilehel) – ei ole selge, miks peaks veel täiendavalt sellest AKI-t

teavitama, kes sarnaselt avaldaks veebilehel uuringu andmed. See

viimane ülesanne oleks dubleeriv.

Kui riigi eesmärk on isikuandmete taaskasutust soodustada, siis oleks

igati mõistlik vältida ebamõistlikult koormavaid kohustusi, mis

vastupidiselt pärsivad andmete taaskasutust.

Alternatiivne lahendus teavitamisele: teavitamiskohustuse eesmärk

peaks olema selgem ja suunatud kõige kriitilisemate probleemide

lahendamiseks: 1) parem järelevalve riigi valduses olevate eriliiki ja

tundlike andmete kasutamise osas; 2) suurem läbipaistvus

andmesubjektile tema andmete uuringutes kasutamise osas. Eeldus on,

et 2. eesmärk toetab ühtlasi 1. eesmärki, kuna andmesubjektid saavad

teada anda uuringutest, mis tekitavad küsimusi.

Selliselt võiks minimaalsem teavitamiskohustus olla järgnev:

kohustus piirduks vaid riiklikest andmekogudest uuringute eesmärgil

andmete väljastamisega (selle asemel, et käsitleda kõiki teadusuuringus

nõusolekuta isikuandmete töötlemise olukordi);

2) teavitamise adressaat peaks olema eelkõige (või täiendavalt ka)

andmesubjekt, kelle isikuandmeid töödeldakse – selleks saaks kasutada

andmejälgija funktsiooni, mille laiendamine on ilmselt niigi plaanis;

3) teavituse peaks saatma andmekogu pidaja (vastutav töötleja), kellel

on vajalik teave isikuandmete pseudonüümimise ja turvalise töötlemise

osas – uuringu tegijal ei saa tagada, et andmed on korrektselt

pseudonüümitud (IKS § 6 lg 3) ega seda, et andmetöötlussüsteem vastab

IKS EN §61 seatud tingimustele;

4) teavitamine võiks olla võimalikult suurel määral automatiseeritav

ning integreeritud andmejälgija või andmetöötlustoimingute (sh

andmepäringute) logimisega – see oleks jällegi võimalik vaid

andmekogu pidaja poolelt, mitte uuringu läbiviija poolelt.

Kokkuvõtteks: teavitamiskohustuse ulatust aitaks piirata ka see, kui

lähtuvalt ettepanektust 1 ja 2 kitsendada IKS § 6 reguleerimisala.

5 Eelnõu ei arvesta teadusuuringutega, kus ei kasutata

andmekogude andmeid

Eelnõus on läbivalt kirjeldatud olukordi, kus uuringu jaoks saadakse

andmeid andmekogust (EN IKS § 6 lg 3, 4, 9, 11, samuti kogu § 61).

Samas töödeldakse teadusuuringus nõusolekuta isikuandmeid ka juhul,

kui andmed ei pärine andmekogust. Oleme II osas kirjeldanud mitmeid

uuringute tüüpe, kus toimub „nõusolekuta“ andmetöötlus, kuid kus ei

küsita andmeid andmekogudest – kuna „uuringu“ mõiste on väga lai,

tähendab see paratamatult, et uued kohustused tabavad ka neid

uuringuid.

Probleemi aitaks lahendada see, kui IKS § 6 reguleerimisala kitsendada

vastavalt 1. ettepanekule.

Mittearvestatud. Uued nõuded peavad olema kasutusel igasugusel

andmetöötlusel, mis toimub teadusuuringu eesmärgil. Andmesubjektide

õigused peavad olema kaitstud igasuguse andmetöötluse puhul. Kui ettevõte

töötleb andmeid nt õigustatud huvi alusel siis on siinkohal tegemist hoopis

omaette IKÜM-is sätestatud õigusliku alusega, millele kehtivad omad

nõuded, nt õigustatud huvi hinnangu koostamine jne.

6 Ei ole selge, kes on „uuringu tegija“

Üldmäärus kasutab mõisteid volitatud töötleja ja vastutav töötleja. Kui

uuring tellitakse teiselt asutuselt, on uuringu läbiviimisega seotud mitu

asutust – kes sel juhul on uuringu tegija? Kuna kohustused kaasnevad

uuringu tegijale, peaks seadus selle mõiste täpsemalt määratlema.

Oluline on see eelkõige olukordades, kus uuring tellitakse ettevõttelt või

teadusasutuselt või kui uuringu viib läbi konsortsium, kus kõik asutused

võivad olla kaas-vastutavad.

Kas üliõpilastöödes, kus töödeldakse avalikustatud isikuandmeid ilma

nõusolekuta (nt meedia ja sotsiaalmeedia sisu), tuleneb teavitamise

kohustus üliõpilasele või ülikoolile?

Arvestatud, seletuskirja täiendatud. Uuringu tellija vastutab teavitamise eest.

Juhul kui uuringut teeb üliõpilane oma õpptegevuse käigus on temal, kui

uuringu vastutaval töötlejal, teavitamise kohustus.

7 Pseudonüümsuse tingimused ei ole selged

Kuigi seletuskirja kohaselt on eesmärgiks luua selgus, millisel juhul on

tegemist pseudonüümimisega, ei loo EN IKS § 6 lg 3 tingimused kuigi

palju selgust. Praegusel juhul on lõikes kirjas, et „Pseudonüümimine …

on meede, mille puhul… enne isikuandmete üleandmist uuringu tegijale

need pseudonüümitakse“. Selliselt on pseudonüümimine

defineeritud/määratletud iseenda kaudu – see ei ole kuigivõrd abiks

praktikas, kus tuleb otsustada konkreetse andmekogumi põhiselt,

milliste tunnuste alusel peale otseste identifikaatorite võiksid

andmesubjektid olla tuvastatavad. Lisaks määratlevad

pseudonüümimist veel lisatingimused (lõike 3 punktid 2-3), mis

suurendab segadust veelgi.

Arusaadav on seletuskirjas välja toodud probleem, et praktikas on

pseudonüümimine tekitanud segadust, kuid lahendus sellele oleks

andmekogu pidajate juhendamine või koolitamine.

Pseudonüümimise osas võiks arvesse võtta ka hiljutist Euroopa Kohtu

otsust CJEU - C-413/23 P - EDPS v SRB1 (vt punktid 82–86), mis

käsitleb pseudonüümitud isikuandmete vastuvõtja kohustusi – kohtu

hinnangul tuleb hinnata, kas vastuvõtja jaoks on saadud andmed

võimaldavad andmesubjekti tuvastada või mitte. Kohus rõhutab ühtviisi

seda, et pseudonüümitud isikuandmed ei pruugi alati olla vastuvõtja

vaatest isikuandmed (punkt 86), kui ka seda, et andmed, mis iseenesest

ei ole isikuandmed, võivad muutuda isikuandmeteks (punkt 84). Selline

isikuandmete õigusliku staatuse muutumine võib tekitada probleeme ka

plaanitava IKS 6 osas, kuna mõnel juhul võib IKS § 6 lg 3 tingimuste

kohaselt pseudonüümitud andmeid pidada nende vastuvõtja ehk uuringu

tegija vaatest mitte-isikuandmeteks. Sel juhul on küsitav ka see, millest

ja miks peab uuringu tegija AKI-t teavitama, kui tema töödeldavad

andmed ei ole isikuandmed.

Arvestatud osaliselt, eelnõu ja seletuskirja muudetud. Lisaks selgitame, et

eelnõuga nähakse ette tingimused, millal kaitsemeetmed on piisavad, et

isikuandmeid saab uuringu läbiviimiseks töödelda, sõltumata sellest, millisel

kujul uuringu tulem on.

Eelnõu ja seletuskirja muudetud. AKI-t peab teavitama juhul kui uuringus

töödeldakse isiku tuvastamist võimaldavaid andmeid.

8 Kaaluda võiks eelnõu § 6 lg 9 erandi laiendamist kõigile

vastutavatele ja volitatud töötlejatele

Lisaks andmekogude pidajatele leidub isikuandmeid töötlevaid asutusi,

kellel ei ole andmekogu avaliku teabe seaduse tähenduses, kuid kes

ometi kasutavad olemasolevaid andmeid uuringute eesmärgil (nt

statistika tegemiseks) – sellisel juhul on vastutaval töötlejal ikkagi

kohustus järgida kõiki EN IKS § 6 nõudeid, sõltumata sellest, et vastutav

töötleja juba niigi kontrollib andmeid ja peab tagama nende turvalise

ning õiguspärase töötlemise. Selline erinev kohtlemine andmekogu

pidajate ning muude vastutavate töötlejate vahel ei ole eelnõus

põhjendatud, kuna mõlemal juhul on andmekaitse alased riskid

samaväärsed.

Kui teavitamiskohustus jääb eelnõusse alles, tuleks kaaluda erandi

loomist olukorras, kus teadusuuringu läbiviija töötleb iseenda

töödeldavaid isikuandmeid, mille suhtes ta on vastutav töötleja.

Teine pool vastutava töötlejaga seotud probleemist puudutab olukorda,

kus vastutava töötleja andmekogusse kuuluvaid isikuandmeid kasutab

uuringu tegemiseks, analüüsiks või statistiliseks kokkuvõtteks volitatud

töötleja. Näiteks on Eesti Teadusagentuur riigi infosüsteemi kuuluva

andmekogu Eesti Teadusinfosüsteem volitatud töötleja. Samal ajal on

Eesti Teadusagentuuril TAIKS §10 lõike 2 punkti 6 kohaselt ülesanne

koguda, säilitada ja analüüsida teavet teadus- ja arendustegevuse kohta

ning teha see kättesaadavaks. Kas IKS § 6 lg 9 erandile saab tugineda

ka volitatud töötleja oma seaduses kehtestatud ülesannet täites?

Mittearvestatud. Säte on vajalik avaliku sektori andmekogude vaatest, kellel

täna seaduses ei ole andmekogu eesmärgina ette nähtud ka oma andmekogu

piires statistika ja analüüside tegemist. See ei piira kuidagi erasektori

tegevust tema ettevõtte andmetega.

Eelnõu ja seletuskirja muudetud. Teavitamiskohustus on üksnes juhul kui

töödeldakse isikustatud andmeid

Selgitame. Volitatud töötleja õiguslikuks aluseks saab olla üksnes see, mis

on vastutaval töötlejal, volitatud töötleja tegutseb vastutava töötleja nimel ja

tema õiguste piires. Kui Eesti Teadusagentuuril on seadusega ka omaette

ülesanded pandud, mida ta täidab läbi sama andmekogu, siis peab ta olema

nende ülesannete osas andmekogu kaasvastutav töötleja.

9 Ühe andmekogu piires isikuandmete töötlemine uuringu

eesmärgil peaks olema siiski läbipaistev

Eelnõu IKS § 6 lg 9 annab andmekogu vastutavale töötlejale õiguse ühe

andmekogu piires isikuandmeid uuringute eesmärgil töödelda ilma § 6

nõudeid järgimata – see teeb küll vastutavale töötlejale elu lihtsamaks ja

Selgitame, et andmekogudes toimuva andmetöötluse üle teostab järelevalvet

Andmekaitse Inspektsioon. Lisaks kohaldub endiselt ka AvTS § 28 lg 1 p

18, milles on sätestatud teabevaldaja kohustust avaldada riigi- või kohaliku

vähendab halduskoormus, kuid samas väheneb läbipaistvus ühe

andmekogu piires toimuva töötlemise osas. Vastupidiselt nt praegu

Riigikogus menetluses olevas inimgeeniuuringute seaduses nähakse

samasugused kohustused ette kõigile uurijatele – ka geenivaramu enda

uuringud peavad saama eetikakomitee kooskõlastuse.

Kuna nii mitmeski riiklikus andmekogud on väga tundlikud andmed,

tuleks siiski hinnata, kuidas toimub järelevalve selliste uuringute üle,

mida andmekogu vastutav töötleja ühe andmekogu piires teostab.

Oluline on arvestada ka seda, et üksnes turvalisuse tagamine ei lahenda

uuringutega seotud eetilisi ega põhiõiguslikke küsimusi – kuna

andmesubjekti kontroll andmekogus olevate andmete üle on väga

piiratud, püsib risk, et andmekogu vastutav töötleja soovib isikuandmeid

kasutada selleks, et arendada välja uudseid meetodeid, mis ei ole

ühiskonnas läbi arutada või tekitavad eetilisi küsimusi (nt ennustav

politseitöö).

Kuna igasugune isikuandmete töötlemine kujutab endast isiku

privaatsuse riivet, põhineb selline lai erand andmekogu vastutavatele

töötlejatele suurel ühiskondlikul usaldusel. Kaaluda võiks täiendavaid

läbipaistvust tagavaid lahendusi sellistele töötlustoimingutele – üks

võimalus oleks ka andmejälgija funktsionaalsuse laiendamine sellistele

uuringutele (mis on vist niigi plaanis).

omavalitsuse asutuse tellitud uuringud ja analüüsid. See tagab avaliku sektori

andmetöötluse läbipaistvuse.

Teadmiseks võetud. Võimalusel saab ehk ka tulevikus andmejälgijat

rakendada, aga juhime tähelepanu, et andmejälgija saab kohustuslikuks

üksnes juhul kui andmeid edastatakse riigi infosüsteemi kuuluvast

andmekogust x-tee vahendusel. x-tee vahendusel. Juhul kui andmeid x-tee

vahendusel ei edastata, ei ole ka tehniliselt andmejälgijat võimalik kasutada.

10 Eetikakomiteega seonduv halduskoormus võib kasvada

Eetikakomitee isikuandmete kaitsega seotud halduskoormus võib

suureneda, kuna plaanitava muudatusega hõlmatakse ka mitte-eriliiki

isikuandmed eetikakomitee kooskõlastuse kohustusega. Samas väheneb

eetikakomitee koormus nende uuringute võrra, kus on andmed eelnevalt

pseudonüümitud või kus uuringu viib läbi andmekogu vastutav töötleja

ühe andmekogu piires (IKS § 6 lg 9).

Arvestatud, eelnõu ja seletuskirja muudetud.

Eetikakomitee kooskõlastus võiks sarnaselt kehtivale korrale jääda vaid

nendele uuringutele, kui töödeldakse eriliiki isikuandmeid. Tavaliste

isikuandmete osas on see kohustus selgelt ülemäärane, eriti kui

arvestada, et eetikakomiteel on niikuinii õigus otsustada, et sisuline

hindamine ei ole sellise uuringu puhul vajalik. Ka selliste hinnangute

väljastamine on täiendav halduskoormus eetikakomiteele.

Probleemi aitaks lahendada ka see, kui vastavalt ettepanekutele 1–3

eelnõu § 6 reguleerimisala kitsendada.

11 Seos andmekogude regulatsiooniga ei ole selge

Eelnõu põhjal on keeruline mõista, kuidas hakkavad omavahel toimima

IKS § 6 ja andmekogude regulatsioon, kuna mitmel andmekogul (nt

rahvastikuregister, terviseinfosüsteem) on täiendavalt reguleeritud see,

kuidas andmete väljastamine toimub. Seega on võimalik, et kogu uuring

vajab eetikakomitee kooskõlastust, isegi kui isikuandmeid töödeldakse

andmetöötlussüsteemis, kuna muuseas kasutatakse ka

terviseinfosüsteemi andmeid (TTKS § 594). Sellised erijuhte võib veelgi

olla, mistõttu on keeruline hinnata, kas ja kuivõrd uuringute tegemine

lihtsamaks muutub. Selge ei ole ka see, kas eetikakomitee peaks sellisel

juhul hindama „isikuandmete väljastamise vajalikkust ja põhjendatust“

vaid seaduses nimetatud andmekogu piires (antud näites tervise

infosüsteem) või kogu uuringu piires.

Selgitame. Esmalt tuleb lähtuda andmekogu enda regulatsioonist andmete

väljastamise ja andmete juurdepääsu võimaldamisel. IKS § 6 on nö

lisalahendus kui andmekogu regulatsioon vajaliku andmeväljastust ei

võimalda.

12 Seos nõusolekuteenusega ei ole selge

Nõusolekuteenuse abil on võimalik teha päringuid andmekogudesse

selliselt, et isikuandmete töötlemise aluseks on nõusolek. Kui

nõusolekuteenust saaksid kasutada ka uuringud, siis sellistele

uuringutele IKS § 6 nõuded ei rakenduks, isegi kui tegemist on

isikustatud kujul eriliiki isikuandmete töötlemisega. See-eest kui oleks

ühtsed nõuded andmekogudest isikuandmete uuringuteks

Selgitame, nõusolekuteenuse kasutamine ei ole selle eelnõu skoobis kuna

reguleerib andmetöötlust isiku nõusolekuta. Kui uuringu tegija soovib

uuringut läbi viia andmesubjekti nõusolekul võib ta tehnilise võimekuse

korral nõusolekuid koguda ka nõusolekuteenust kasutades.

väljastamisele, rakenduksid need ühtviisi kõigile uuringutele sõltumata

õiguslikust alusest.

Kas ja kuivõrd on eelnõu väljatöötamisel arvestatud võimalusega, et

uuringute tegemiseks saaks tulevikus nõusolekuteenust kasutada?

13 Puuduvad sätted eriliiki isikuandmete osas

Lisaks panime tähele, et edaspidi ei oleks IKS §-s 6 sätteid, mis

kohalduks eriliiki isikuandmete töötlemisele. Selle asemel on riskid

määratletud isikustatud kuju põhiselt, kuna sellisel juhul peab uuring

saama ka eetikakomitee kooskõlastuse. Ühelt poolt on selline muudatus

arusaadav, kuna mõnel juhul võivad n-ö tavalised isikuandmed olla väga

tundlikud (nt sotsiaalteenuste, kuritegevuse jms andmed). Teisalt tundub

selline muudatus kummaline, kuna edaspidi piisab eriliiki isikuandmete

uuringus töötlemiseks sellest, et need enne uuringu läbiviijale

edastamist pseudonüümitakse – kas see ei vähenda liigselt eriliikidele

kohaldatavat kaitset, eriti arvestades, et eelnõus on uuringu mõistet

laiendatud ka ettevõtete arendustegevusele? Arvestades, et inimesed ei

loovuta oma eriliiki isikuandmeid andmekogudesse vabatahtlikult,

kujutaks selline töötlemine endast väga olulist inimeste privaatsusõiguse

riivet, mis peaks olema piiratud vaid avalikkuse huvi seisukohast

vajalike ja põhjendatud uuringutega.

Selgitame, isikuandmete töötlemise kaitse taset ei ole selle eelnõuga

alandatud vaid pigem võimaldatakse nende töötlemine hõlpsamalt kui on

tagatud andmetöötlusele eelnõuga ettenähtud kõrgendatud kaitsemeetmed.

14 Andmetöötlussüsteemis töödeldavate andmete pseudonüümsus

Eelnõust ega seletuskirjast ei tule täpselt välja, kas

andmetöötlussüsteemis saab andeid töödelda ainult pseudonüümitud

kujul või on IKS § 61 lõike 2 punktis 3 ette nähtud pseudonüümimise

teenus vaid üks võimalus andetöötlussüsteemi kasutamiseks.

Selgitame, et säte mõte on, et enne andmetöötlussüsteemi ei edastamist ei

pea andmete edastaja andmeid pseudonüümina, selle tagab § 61 lg 2 p 3

kohaselt andmetöötlussüsteemi pakkuja.

4. Tallinna Ülikool Justiits- ja Digiministeeriumi märge

Isikuandmete kaitse seaduse (edaspidi IKS) § 6 (eelnõu § 1 p 1)

1 Lõikes 2 on sätestatud, et uuringuks peetakse ka Vabariigi Valitsuse

seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku

omavalitsuse asutuse, nende hallatava asutuse ning avalik-õigusliku

juriidilise isiku ja tema hallatava asutuse tehtud analüüse ja uuringuid,

sealhulgas tehnoloogiaarendusi. Juhime tähelepanu, et avalik-õiguslik

ülikool on avalik-õiguslik juriidiline isik. Avalik-õigusliku ülikooli

õiguslik seisund, eesmärk ja ülesanded, tegevuse alused ning

juhtorganid sätestatakse ülikooli kohta käivas seaduses ja avalik-

õiguslikel ülikoolidel ei ole ülikoolide seaduste kohaselt hallatavaid

asutusi .

Eelnõu seletuskirjast ega sätte sõnastusest ei selgu, kas võib esineda

analüüse ja uuringuid, mis ei mahu käesoleva käsitluse “analüüside ja

uuringute, sh tehnoloogiaarenduste” raamidesse. Ühe näitena võib tuua

nüüdisaegsed personaliandmekogud, milles säilitatavate andmete

koosseis võimaldab analüüsi. Teise näitena on ülikoolidel kohustus

osaleda akrediteerimisprotsessis, mille üheks sisendiks on ülikooli

töötajate rahuloluküsitlused. Seletuskirjast ei tulene selgelt välja

milliseid uuringuid ja analüüse käesoleva seaduse muudatusega silmas

peetakse. Ülikoolides viiakse läbi töötaja ja teadlaste seas rahulolu

uuringuid, mis aitavad kaasa ülikoolide akrediteerimisele. Kas sellisel

juhul võiksid rahuoluolu uuringud kuuluda samuti eelmainitud

"analüüside ja uuringute" alla?

Selgitame. Olukorras kus uuringu ja analüüsi tegemiseks on eriseaduses

loodud õiguslik alus, toodud töödeldava isikuandmete kategooriad ja

uuringu eesmärk, siis see ongi uuringu tegija õiguslik alus andmetöötluseks,

mitte IKS § 6.

Selgitame, et juhul kui andmetöötlus toimub ühe andmekogu piires

(personaliandmekogud), siis selleks on loodud eraldi õiguslik alus IKS § 6

lg 9.

Ülikooli töötajate rahuoluküsitlused toimuvad eelduslikult töötata

nõusolekul ning see ei ole IKS § 6 kohaldamisalas vaid omaette õiguslik alus

andmetöötluseks.

2 Lõike 3 punktis 3 võib osutuda rakendamisel ülemäära piiravaks

arvestades lõike 2 praegust sõnastust. Seetõttu vajab täpsustamist,

milliseid lisatoiminguid on silmas peetud, mida ei tohi uuringu

läbiviimisel teha, kuna nende tulemusel võib isik olla tuvastatav.

Näiteks, kas sellisel juhul tähendab see seda, et kui uuring viiakse läbi

pseudonümiseeritud andmetega teatud tüüpi isikute ja andmete osas,

ning seejuures viiakse täiendavalt läbi ka sama rühma/gruppi kuuluvate

inimestega teise meetodiga uuring ning võib esineda risk, et

Selgitame, et kui viiakse läbi ka intervjuusid, siis ei põhine uuring enam

üksnes andmetel ning intervjuude läbiviimine toimub eelduslikult nõusoleku

alusel. Juhul kui samade inimestega viiakse läbi ka intervjuusid, kelle

andmeid eelnevalt töödeldakse siis kokkuvõttes ei ole tegemist

pseudonüümitud andmetega uuringu tegemisega ja kohaldub IKS § 6 lg 4.

pseudonüümitud andmete taga olev isik võib osutada samaks, kes

tegelikult osaleb ka intervjuudes. Kas sellisel juhul ei tohiks näiteks

intervjuusid läbi viia?

Lõigete 2 ja 3 koosmõjus rakendamisel võib tekkida olukord, kus

tehnoloogiaarendusi ei ole võimalik kasutada. Palume kaaluda sätete

koosmõjus rakendumise riske ja selgitada võimalikke mõjusid.

3 Lõige 4 järgi võib valdkonna eest vastutav minister määrusega

kehtestada andmetöötlussüsteemis andmete töötlemisele täiendavad

tehnilised ja korralduslikud turvanõuded. Siinkohal tuleks täpsustada,

millele täiendavad turvanõuded vastama peaksid (nt riiklikule või

rahvusvahelisele infoturbestandardile).

Arvestatud.

4 Lõige 5 sätestab, et kui isikuandmeid töödeldakse sama paragrahvi

lõikes 3 sätestatud tingimustel, teavitab uuringu tegija enne

isikuandmete töötlemist uuringust, uuringu eesmärkidest,

töödeldavatest andmetest ja käesoleva paragrahvi lõikes 3 sätestatud

tingimuste täitmisest Andmekaitse Inspektsiooni (edaspidi AKI). Sättest

ei selgu aga, millised on täpsemad protseduurireeglid uuringu läbiviija

seisukohast AKI teavitamiseks (nt teavitamise tähtaeg, millises vormis

nõutud andmed esitatakse jne). Selles osas tuleks seletuskirja täiendada.

Ühtlasi tekib küsimus, kas AKI-l tekib ka täiendavaid kohustusi või

õigusi ning milline on sel juhul AKI menetlus.

Arvestatud osaliselt, seletuskirja täiendatud. Eelnõus ja seletuskirjas on

toodud, et teavitus tuleb teha enne andmate töötlemist, samuti on toodud,

milline teave tuleb AKI-le edastada. Eelnõu ei näe ette teavituse edastamise

viisi, kas teavitusi tehakse e-postiga, saab selleks olema veebivorm AKI

kodulehel või tulevikus loodava ühtse taotluste menetlemise keskkonnas, ei

ole hetkel selge. AKI-le on ka täna IKS-i alusel järelevalvepädevus, AKI-l

tekib täiendav võimalus teatud uuringute osas järelevalvet vajadusel teha.

Lisaks on eelnõu muudetud selliselt, et AKI teavitus tuleb teha juhul kui

andmeid töödeldakse lg 4 alusel.

5 Lõige 6 punktis 1 on kasutusele võetud mõiste “ebamõistlikult raske”,

kuid selle sisu jääb ebaselgeks ning ka seletuskiri seda ei ava. Olukorras

kus uurija peab täiendavalt tasuma andmete täiendava töötlemise eest

ning see muudab uuringu rahastamist ja võib mõjutada uuringu edasist

käiku finantsilisest aspektist, siis vajab täpsustamist, kas sellist olukorda

võib käsitada kui „ebamõistlikult rasket“.

Selgitame, et tegemist on kehtiva regulatsiooni mõistetega.

Punkti 2 osas toome välja, et kõikides uuringutes ei pruugi olla võimalik

ülekaalukat avalikku huvi sellisel määral põhjendada. Võib tekkida

olukord, kus avalik huvi küll esineb, kuid ei ole selgelt ülekaalukas.

Seetõttu teeme ettepanek täpsustada seletuskirjas, milliste kriteeriumide

alusel hinnatakse ülekaaluka avaliku huvi olemasolu.

6 Lõike 7 kolmanda lause kohaselt on Rahvusarhiivis säilitatavate

isikuandmete puhul eetikakomitee õigused Rahvusarhiivil. Paraku jääb

ebaselgeks, kas Rahvusarhiivil on juba olemas eetikakomitee või

nähakse selle sätte alusel ette eetikakomitee moodustamine. Vajab

täpsustamist, millisel kujul ja alustel eetikakomitee õigusi

Rahvusarhiivis teostatakse.

Selgitame, et Rahvusarhiivil ei ole eetikakomiteed, vaid tema täidab

eetikakomitee rolli arhiveerimise puhul. Siin kehtivat regulatsiooni ka ei

muudeta. Rahvusarhiivil on õigus ja kohustus kontrollida, kas esinevad

tingimused, mis võimaldavad Rahvusarhiivis säilitatavaid eriliiki

isikuandmeid töödelda teadus- või ajaloouuringu koostamise eesmärgil

andmesubjekti tuvastamist võimaldaval kujul andmesubjekti enda

nõusolekuta.

7 Lõikest 8 ega eelnõu seletuskirjast ei selgu, milliste kriteeriumide

alusel hinnatakse uuringu andmekaitsealaseid ja eetiliste riskide

„väiksust“. Täpsustamist vajab, kas väike risk peab esinema nii

andmekaitsealases kui ka eetilises aspektis või piisab sellest, kui risk on

väike vaid ühes neist. Samuti ei ole seletuskirjas analüüsitud ega

kirjeldatud „väikese“ riski sisulisi kriteeriume, mistõttu võib sätte

kohaldamine jääda liialt subjektiivseks.

Säte eelnõust välja jäetud.

IKS § 61 (eelnõu § 1 p 2)

8 Lõike 3 esimeses lauses kasutatakse mõistet “uurimistulemuste

valideerimine”, kuid selle tähendus ja ajaraamistik jäävad ebaselgeks.

Kuigi seletuskirjas on valideerimist kirjeldatud kui teaduslikku

protsessi, on see praktikas varieeruv ning võib ajaliselt venida. Samuti

võib olla ebaselge, millisel hetkel saab lugeda valideerimise lõppenuks.

Selline ebamäärasus võib raskendada andmete kustutamise kohustuse

üheselt mõistetavat täitmist ning vajab täpsustamist.

Selgitame. Valideerimise perioodi ei ole üheselt ja kindla ajapiiranguga

seadusega ette näha. Kohaldub üldine IKÜM põhimõte, tohib säilitada nii

kaua, kui see on teadusuuringu eesmärgi saavutamiseks vajalik. Hea

teadustava1 kohasel säilitab teadlane isikustatud kujul andmeid säilitab nii

kaua kui vaja ja nii vähe kui võimalik.

1 hea_teadustava_est_0.pdf

Sama lõike teises lauses on ette nähtud, et logid kustutatakse üks aasta

pärast uuringu käigus töödeldavate andmete kustutamist, kuid

seletuskirjast ei selgu selgelt antud tähtaja põhjendus. Puudub selgitus,

miks on valitud just üheaastane tähtaeg ning kas selle määramisel on

arvesse võetud võimalikke nõuete esitamise tähtaegu.

AKI on hinnanud, et üks aasta on piisav tähtaeg võimalik

järelevalvemenetluse tarvis.

9 Lõikes 4 teeme ettepaneku asendada lauseosa "... minister võib

määrusega kehtestada..." osaga "...minister kehtestab...". Eelnõus

pakutud sõnastus jätab turvanõuete kehtestamise kaalutlusõiguseks, mis

ei tohiks aga nii olla. Samuti ei selgu seletuskirjast, kas vastava määruse

ettevalmistamine on kavandatud, millise ajakavaga see toimub ning

millal täiendavad turvanõuded jõustuvad.

Mittearvestatud. Selgitame, hetkel leiame, et vajalikud tingimused on

seaduse tasandil ette nähtud, kui see peaks ajas muutuma, siis on jäetud

paindlikus tingimuste täpsustamiseks.

10 Lõikes 7 on seadusesse sisse toodud mõiste “avategija”, mis vajab

aga mõistena määratlemist.

Eelnõu sellist mõistet ei kasuta.

11 Ühtlasi vajab täpsustamist, kas andmetöötlussüsteem peab vastama

ka kindlatele infoturbestandarditele, nagu Eesti infoturbestandard (E-

ITS) või rahvusvahelised standardid (nt ISO/IEC). Seletuskirjast võiksid

selguda täpsemad nõuded andmetöötlussüsteemile. Samuti jääb

ebaselgeks, millisele regulatsioonile eelnõus viidatakse.

Arvestatud, seletuskirja täiendatud. Selgitame, et Eesti infoturbestandardi

või selle alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC

27001 või Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise

kohustus tuleneb teatud organisatsioonidel (küberturvalisuse seaduse

tähenduses teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel

antud Vabariigi Valitsuse määrusest nr 121 “Võrgu- ja infosüsteemide

küberturvalisuse nõuded” - vt määruse § 3. Selle hulgas on osad, kuid mitte

kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse

eelnõu nõudeid järgima. Mitte kõik küberturvalisuse seaduse tähenduses

olevad teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle

alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära esmaste

turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama määruse lisa).

Tähelepanekud lastega seotud isikuandmete kaitse küsimuse osas

12 Eelnõu § 6 lõige 2 sõnastus laiendab uuringu mõistet selliselt, et see

hõlmab ka asutuste siseseid analüüse, teenuste ja infosüsteemide

arendusi ning tehnoloogiaarendusi. Selline sõnastus muudab uuringu

sisuliselt üldiseks aluseks avaliku sektori andmete laialdaseks

sekundaarseks kasutamiseks, sealhulgas laste ja perede eriliiki

isikuandmete puhul.

Siinkohal on vajalik regulatsiooni täiendav piiritlemine, et välistada

tundlike isikuandmete, sh laste, sotsiaal- ja tervisevaldkonna andmete

kasutamine teenuse-, infosüsteemi- ja tehnoloogiaarendustes uuringu

nime all ilma täiendava sisulise ja eetilise hindamiseta. Kuigi § 6 lõige

7 näeb ette eetikakomitee kohustusliku kaasamise juhtudel, mil

töödeldakse tuvastatavaid andmeid § 6 lõike 6 alusel, jäävad eelnõu

kohaselt eetikakomitee hinnanguta kõik juhtumid, kus laste, sotsiaal-,

tervise- ja vaimse tervise valdkonna eriliiki andmeid töödeldakse

pseudonüümimisele tuginedes § 6 lõike 3 alusel. Selline lahendus ei taga

piisavat eetilist ega sisulist kontrolli laste ja perede andmete süsteemsel

sekundaarse kasutuselevõtul teenuse- ja tehnoloogiaarendustes.

Osaliselt arvestatud, eelnõu muudetud, selgitame. Eelnõu kohaselt kui

töödeldakse eriliiki isikuandmeid (sh laste andmeid) tuleb läbida

eetikakomitee hindamine. Toodud näidete pinnalt liigituksid alaealisi

puudutavad andmed eriliiki andmete alla ning tuleb ka läbida eetikakomitee.

Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda üksnes

§ 61 tingimustele vastavas andmetöötlussüsteemis.

13 Eelnõu ei sisalda erisätteid, mis arvestaksid lapse kui erilise

kaitsevajadusega isiku staatust isikuandmete töötlemisel uuringu

eesmärgil. ÜRO lapse õiguste konventsiooni artikli 3, Euroopa Liidu

põhiõiguste harta artikli 24 lõike 2 ning isikuandmete kaitse üldmääruse

põhjenduse 38 (sätestab laste isikuandmete kõrgendatud kaitse

põhimõtte) ja artikli 89 kohaselt on lapsel isikuandmete töötlemisel

õigus kõrgendatud kaitsele ning täiendavatele kaitsemeetmetele. Laste

isikuandmete, eeskätt eriliiki isikuandmete töötlemine eeldab

täiendavaid ja selgelt sätestatud kaitsemeetmeid, arvestades laste

suurenenud haavatavust ning andmetöötluse võimalikku pikaajalist

mõju lapse õigustele ja arengule.

Osaliselt arvestatud, eelnõu muudetud, selgitame. Eelnõu kohaselt kui

töödeldakse eriliiki isikuandmeid (sh laste andmeid) tuleb läbida

eetikakomitee hindamine. Toodud näidete pinnalt liigituksid alaealisi

puudutavad andmed eriliiki andmete alla ning tuleb ka läbida

eetikakomitee. Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib

töödelda üksnes § 61 tingimustele vastavas andmetöötlussüsteemis.

Ettepanek on täiendada IKS § 6 eraldi lõikega, mis sätestab, et alla 18-

aastaste isikute isikuandmete töötlemisel uuringu eesmärgil tuleb

lähtuda lapse parimate huvide põhimõttest ning rakendada täiendavaid

kaitsemeetmeid. Laste eriliiki isikuandmete töötlemine oleks lubatud

üksnes eelneva asjaomase valdkonna eetikakomitee positiivse hinnangu

olemasolul.

14 Eelnõuga kavandatav andmetöötlussüsteem loob laiaulatusliku

infrastruktuuri isikuandmete töötlemiseks uuringu eesmärgil.

Arvestades süsteemi potentsiaali võimaldada suuremahulist ja

automatiseeritud andmetöötlust, on vajalik täpsustada, et laste, sotsiaal-

ja tervisevaldkonna eriliiki isikuandmete kasutamine selles süsteemis

oleks piiratud ning lubatud üksnes selgelt piiritletud teaduslikel

eesmärkidel ja eelneva asjaomase valdkonna eetikakomitee positiivse

hinnangu olemasolul.

Mittearvestatud. Andmetöötlussüsteemile nähakse seadusega ette

tingimused, millele see peab vastama, sh ei ole seal andmed isikustatud

kuju.

Muud olulised tähelepanekud

15 Eelnõu seletuskirjas on märgitud: “...eetikakomitee peab olema

moodustatud seadusega või selle alusel, kuna kehtiva seaduse kohaselt

võiks eetikakomitee luua põhimõtteliselt igaüks.“. Samuti on seletuskirja

põhjendustes viidatud VTK tagasisidele, milles toetati ettepanekut,

mille kohaselt “...eetikakomitee oleks loodud seadusega või selle alusel

antud õigusaktiga ja tema pädevus oleks selgelt määratud. Toetati

suunda, kus Eestis oleks ühtne eetikakomiteede süsteem („ühe ukse

poliitika“), mis koondab kõik valdkondlikud komiteed ühe juhtiva

struktuuri alla.”.

Käesoleval ajal tegutseb TLÜ-s eetikakomitee, mis menetleb igakuiselt

keskmiselt 12 uuringut. TLÜ eetikakomiteele esitatakse uuringuid mitte

üksnes eetilise ja andmekaitsealaselise hinnangu saamiseks, vaid ka

seetõttu, et eetikakomitee kooskõlastust vajatakse juhul kui uurija

soovib uuringu põhjal kirjutada teaduslikku artikli ning avaldada selle

Selgitame, et eetikakomiteede reguleerimine seaduse tasandil ei ole JDM-i

pädevuses, ega selle eelnõu skoobis.

rahvusvahelises teadusväljaandes. TLÜ eetikakomiteele seni ja ka

edaspidi esitatavad uuringutele võib kohalduda antud seadusemuudatus,

mille kohaselt peab uurija pöörduma seaduse alusel loodavasse

eetikakomiteesse. TLÜ eetikakomitee ei ole loodud seaduse alusel, vaid

moodustatud rektori korraldusega vastavalt eetikakomitee statuudi p-le

2.2 (statuut on kehtestatud TLÜ põhikirja § 12 p 10 ja § 14 lg 1 alusel).

Kahetsusväärselt ei ole seletuskirjas analüüsitud olemasolevate

eetikakomiteede edasine saatus. Samuti ei ole selgitatud, kas on plaanis

luua volitusnorm, mis lubab edaspidi ülikoolide ja teiste asutuste juures

ka käesoleval ajal tegutsevaid eetikakomiteid seaduse alusel luua ning

millisel alusel ja põhimõtetel tegutsevad edaspidi olemasolevad

eetikakomiteed.

Palume seletuskirjas vastavat teemat täiendavalt analüüsida ning

selgitada, milline on olemasolevate eetikakomiteede edasine õiguslik

staatus.

16 Seletuskirjas on öeldud, et AKI avaldab info tehtavatest uuringutest

Eesti teabeväravas. Seletuskirjas ei ole selgitatud, millist infot ja millises

mahus avaldatakse ega ka seda, millal antud info avalikuks tehakse.

Seletuskirjas pole samuti selgelt väljendatud, kas vastav avaldamine

võib mõjutada uuringute konfidentsiaalsust ja intellektuaalomandi

kaitset või sellega kaasnevaid riske.

Selgitame. Teave, mis tuleb esitada AKI-le on sama teave, mille AKI eelnõu

kohaselt oma veebilehel ka avaldav, sh saab teavet kuvada tehnilise

lahenduse olemasolul Eesti teabeväravas. Juurdepääsupiiranguga teabe osas

on seletuskirja täiendatud.

17 Arvestades, et käesoleva eelnõu seletuskirjas tuuakse esile, et juhul

kui uuringu tegija andmeid isikustatud kujul ei vaja ning teadusuuringu

tegijale luuakse võimalus andmeid töödelda andmetöötluskeskkonnas,

väheneb uuringu tegija töökoormus ja lüheneb uuringu tegemise aeg.

Isikuandmete töötlemine andmesubjekti nõusolekuta tähendab

teadustöö tegijale paratamatult IKS-ist tulenevaid piiranguid ja

halduskoormust (eetikakomitee

Selgitame, et koolidele loodi õiguslik alus tehisintellekti rakendustes

isikuandmete kasutamiseks, mitte arendamiseks, mida käesolev eelnõu

käsitleb.

menetlus). Märgime, et eelmise aasta lõpus otsustati põhikooli- ja

gümnaasiumiseaduse ning kutseõppeasutuse seaduse muutmise

seadusega (direktorite atesteerimine, õpetajate karjäärimudel ning

isikuandmete töötlemine tehisintellekti rakenduse kasutamisel) anda

seaduslik alus õpilaste isikuandmete töötlemiseks tehisintellekti

rakenduse kasutamisel põhikooli- ja gümnaasiumiseadusega kõigile

koolidele.

Palume võimalusel käesoleva eelnõu ettevalmistamisel Teie

ekspertarvamust selles, millisele alusele isikuandmete töötlemise

nõudeid silmas pidades peaksid tuginema ülikoolid üliõpilaste

isikuandmete töötlemiseks tehisintellekti rakenduste kasutamisel

ülikoolides. Viidatud eelnõu menetlemisel põhjendati reguleerimise

vajadust järgmiselt - “...luua õiguslik alus õppetegevuses tehisintellekti

rakenduste kasutamiseks põhikooli- ja gümnaasiumiseaduses, kuna

sellele osundas Andmekaitse Inspektsioon. Tehisintellektil põhinevate

tehnoloogiate järjest laienev kasutuselevõtt, sh ka koolide poolt

õppetegevuses on toonud kaasa vajaduse õpilaste isikuandmete kaitse

täiendavaks tagamiseks ning sellest tulenevalt õigusaktide

muutmiseks.”

5. Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Justiits- ja Digiministeeriumi märge

1 Oleme eelnõu analüüsinud ning toetame kehtiva isikuandmete kaitse

seaduse § 6 muutmist eesmärgiga tagada õigusselgus, kes ja millistel

tingimustel võivad andmesubjekti nõusolekuta töödelda isikuandmeid

teadus- ja ajaloouuringu ning statistika eesmärgil.

ITL-i hinnangul on eelnõu mitmes küsimuses ebaselge ning ei ole

täielikult kooskõlas EL-i isikuandmete kaitse üldmäärusega. Mõistame,

et õigusselguse huvides on püütud eelnõu teksti lisada rohkem selgitusi,

kuid leiame, et sellest rohkest õigusnormi tekstist ei pruugi päriselus olla

abi tagamaks, et tulevased uuringud toimuksid turvaliselt ja eetiliselt.

Teadmiseks võetud. Selgitame, et eelnõuga ei nähta ette

andmetöötlussüsteemi mõistet vaid tingimused, millele

andmetöötlussüsteem peab vastama kui sellest IKS § 6 andmeid uuringu

eesmärgil töödeldakse.

Eelnõu peab andma selge vastuse küsimusele, millal on uuring turvaline.

Teadusuuringud vajavad selgeid aluseid ning andmekaitse reeglitega

arvestamist. Ka muud riiklikud ja kohaliku omavalitsuse uuringud

peavad toimuma selgete piiride raames.

Seetõttu leiame, et protsessi võiks veel läbi mõelda ja küsimusi

analüüsida ning oleme valmis selleteemalistel aruteludel ka osalema.

Kokkuvõtteksleiame, et eelnõuga kavandatavad muudatused on

vajalikud, et kaasajastada ja ühtlustada uuringu tegemise andmetöötluse

tingimusi ning sätestada täiendavad kaitsemeetmed, et andmesubjektide

põhiõigused oleksid paremini kaitstud. Samas soovitame eelnõus

selgemalt määratleda, kes on puudutatud isikud, täpsustada

andmetöötlussüsteemi mõistet ja selle pakkujate ringi ning analüüsida

veel kooskõla EL-i õigusaktidega.

2 Subjekti määratlus ja adressaatide ring

Eelnõust ja selle seletuskirjast ei tule selgelt välja, kes on subjekt ehk

keda puudutab eelnõu §-ga 1 muudetav isikuandmete kaitse seaduse

(IKS) §-is 6 sisaldav võimalus töödelda isikuandmeid teadus- ja

ajaloouuringu ning statistika eesmärgil. Eelnõust on raske aru saada, et

see on mõeldud ka ettevõtetele.

Teeme ettepaneku eelnõu seletuskirjas selgemalt välja tuua, et muudatus

puudutab lisaks riigiasutustele ja teadusasutustele ka ettevõtjaid, kes

soovivad teha teadusuuringuid või innovatsiooni avalikes huvides. See

pole hetkel üheselt arusaadav, kuna eelnõu tegeleb suuremas osas

avaliku sektori käes olevate ja avaliku sektori poolt kasutatavate

isikuandmetega ning samal ajal kehtib siiski ka eraettevõtetele.

Arvestatud, seletuskirja täiendatud.

3 Esmase ja teisese andmetöötluse eristamine

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lõikes 1 ei eristata esmast ja

teisest töötlust. Teisese töötlemise puhul võib pseudonüümimise nõue

(siseriiklik õigus) teatud juhtudel olla madalama kaitsetasemega kui

"mittetuvastava töötlemise" nõue, mis on teisese töötlemise puhul

otsekohalduv kohustuslik kaitsestandard (EL-i isikuandmete kaitse

üldmäärus ehk IKÜM art 89 lg 1 viimane lause, mis viitab sisuliselt

IKÜM artiklile 11). See tähendab, et:

1) esmase andmetöötluse korral võib valida kaitsemeetmed vastavalt

riskitasemele, mis kaasneb töötluse mõjuga andmesubjektide õigustele

ja vabadustele, mh võib kasutada pseudonüümimist vastavalt IKÜM art

89 lg 1 eelviimasele lausele;

2) teisese andmetöötluse korral peab kohaldama eelkõige IKÜM art 89

lg 1 viimases lauses viidatud kaitsemeetmeid, s.t "mittetuvastavat

töötlemist" vastavalt IKÜM artiklile 11.

Seega siseriikliku õigusega on põhimõtteliselt võimalik täpsustada

ainult sellise andmetöötluse tingimusi, kus pseudonüümine pole piisav

kaitsemeede ning IKÜM artikli 11 järgne "mittetuvastav" töötlemine

pole võimalik.

Seetõttu teeme ettepaneku segaduste ja vääriti tõlgendamise vältimiseks

selgelt sätestada, kas:

A. IKS § 6 lg 1 on õiguslik alus nii esmaseks kui ka teiseseks

isikuandmete töötluseks teadus-, ajaloouuringu, statistikatöö või muude

avalikes huvides toimuvate analüüside ja uuringute (edaspidi "uuring")

eesmärgil vastavalt IKÜM art 6 lg 1 punktile e (task carried out in the

public interest, exercise of official authority vested in the controller).

VÕI

B. IKS § 6 kehtestab avalikes huvides toimuvate analüüside ja uuringute

üldtingimused ja määratleb, millises andmetöötlussüsteemis töötlemist

Mittearvestatud. Selgitame, et IKÜM ei erista esmast ja teisest

andmetöötlust. Andmetöötlus toimub teatud eesmärgil ja õiguslikul alusel.

Selgitame, esmase andmetöötlusega on tegemist juhul kui andmed kogutakse

ühel eesmärgil, nt mõne avaliku ülesande täitmise eesmärgil, juhul kui

andmeid on vaja kasutada teise asutuse eesmärkidel on tema selleks omaette

õiguslik alus ning andmetöötlus toimub selle asutuse esmasel eesmärgil,

temale seadusega pandud ülesande täitmiseks. Nüüd kui ühel eesmärgil

kogutud andmeid hakatakse kasutama uuringu vajadusteks siis saab uuringu

tegija vaatest tema esmaseks andmetöötluseks uuringu tegemine IKS õ 6

tuleneval õiguslikul alusel. Ei IKÜM ega ka IKS ei erista esmast ja teisest

andmetöötlust.

Eelnõu ja seletuskirja muudetud, nõusolekuta fraas eelnõust välja jäetud.

loetakse "mittetuvastavaks töötlemiseks" IKÜM art 11 järgi. Vastavad

õiguslikud alused tuleb kehtestada eriseadustes (riiklik statistika,

teadustegevuse korralduse alused, arhiivindus, ametkondlik statistika,

hädaolukord, geeniuuringud jms) või toetuda andmesubjekti

nõusolekule.

Märgime, et ettepaneku järgi pole vajadust täpsustada, et töötlemine

võib toimuda ilma "andmesubjekti nõusolekuta". See fraas tuleks

eelnõust kustutada, kui eelnõuga nähakse ette iseseisev seadusest

tulenev õiguslik alus isikuandmete töötlemiseks. Kehtivas IKS § 6

lõikes 1 tekitab "andmesubjekti nõusolekuta" segadust ja

mitmetimõistetavust eelkõige terviseandmete töötlemisel, kus "isiku

nõusolek" võib olla käsitletav ka nõusolekuna sekkumiseks inimese

kehalisse puutumatusse (inimgeeniuuringute vm meditsiiniliste

uuringute puhul). Viimast tüüpi nõusolek võib olla nõutav sõltumata

sellest, kas isikuandmeid töödeldakse andmesubjekti nõusoleku alusel

või mitte.

4 Psedonümiseerimise defineerimine

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 3 kohta märgime, et

siseriikliku õigusega ei saa minna sisustama ega muutma

otsekohalduvas ELi määruses defineeritud õigusmõistet

"pseudonüümimine" (IKÜM art 4 lg 1 punkt 5).

Ka ei saa minna sisustama ega muutma otsekohalduva ELi määruses

mõisteid "(isiku) tuvastamine" (identification) ega

"tuvatatud/tuvastatav" (identified/identifiable).

Teeme ettepaneku loobuda terminite "pseudonüümine" ja "muu

samaväärset kaitset pakkuv meede" kasutamisest ning selle asemel

viidata ainult § 6 lõike 3 kriteeriumitele:a) kaitsemeetmete rakendamise

kohustus enne andmete üleandmist uuringu tegijale, b) isiku tuvastamise

ja andmete isikustamise vältimise kohustus uuringu tegemisel, c) isiku

Arvestatud osaliselt, eelnõu muudetud. Selgitame, et pseudomüümimise

puhul on tegemist on mõistetega, mida kasutavad nii IKÜM kui ka kehtiv

IKS. Eelnõuga ei sisustata neid mõisteid vaid nähakse ette, milliseid

tingimusi täites on lubatud IKS-i alusel andmed uuringus töödelda.

tuvastamise ja andmete isikustamise vältimise kohustus uuringu

väljundis. Eraldi tuua välja, et isegi kaitsemeetmetega andmetöötlus ei

tohi muuta andmesubjekti kohustuste mahtu ega teda ülemäära

kahjustada.

5 Andmete edastamine Statistikaametile

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 4 eeldab, et andmete

edastamine Statistikaametile on tingimata vajalik selleks, et

Statistikaamet saaks andmeid pseudonüümida või muid kaitsemeetmeid

rakendada. Kui Statistikaamet kasutab selleks

privaatsuskaitsetehnoloogiaid, siis ei ole andmete edastamine rangelt

võttes vajalik, s.t Statistikaamet ise ei pea andmeid tingimata nägema

või neist aru saama, et aidata andmeid kaitsta. See norm võimaldab

Statistikaametit kaasata andmetöötluse otsustusprotsessi ja töödelda

andmeid traditsiooniliste kaitsemeetmetega, mille riskitase on kõrgem

kui privaatsuskaitsetehnoloogiatel. Tekib küsimus, miks peaks

seadusega Statistikaametile rakendama kergendatud meetmeid, kui nad

pakuvad üksnes andmetöötlusteenust ega töötle andmeid oma

vajadusteks (riiklik statistika, teadlaste keskkond jms).

ITL-i ettepanek on kohaldada Statistikaameti poolt töötlemisel samu

nõudeid nagu muude andmetöötlussüsteemide pakkujate puhul(vt

eelnõu § 2 - IKS § 6').

Säte eelnõust välja jäetud.

6 Tuvastamist võimaldavate andmete eemaldamine

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 1 punkt 1 eeldab, et

mittetuvastava töötlemise jaoks on vaja mingi osa andmeid eemaldada.

Privaatsuskaitsetehnoloogiatega pole see vajalik - andmeid töödeldakse

osapooltele mittenähtaval (mittetuvastaval) kujul, samas andmed ise

jäävad algsele kujule.

Mittearvestatud. Selgitame, et IKS § 6 alusel peab olema lubatud andmeid

töödelda ka isikustatud kujul, sest kõiki uuringuid ei ole võimalik läbi viia

pseudonüümitud kujul ning eriseadustega neid etteulatuvalt sätestada.

Teeme ettepaneku lihtsustada seda normiselliselt, et tuvastaval kujul (nt

toorandmed või lihtpseudonüümitud andmed, kus vastutaval töötlejal on

juurdepääs pseudonüümimisvõtmele) andmete töötlemine on lubatud

ainult eriseadustes määratletud juhtudel, aga mittetuvastaval kujul

töötlemine on lubatud IKS §-s 6 sätestatud tingimustel (töötlemine AKI

poolt kontrollitud andmetöötluskeskkonnas, kus kasutatakse nii

asjakohaseid tehnilisi kui ka organisatoorseid kaitsemeetmeid).

7 Ülekaalukas avalik huvi

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lg 1 punkt 2 on meie

hinnangul liiga avatud tõlgendustele ja sõltub uuringu tegija suvast.

Seetõttu teeme järgmised ettepanekud:

täpsustada "uuringu tegija" mõistet - kas see on uuringu tellija või

uuringu vahetu teostaja?

täpsustada ülekaalukat avalikku huvi vähemalt riigi kui uuringu tegija

puhul eriseadustes (riiklik statistika, hädaolukorrad, ametkondlik

statistika poliitikauuringuteks, geeniuuringud jms) ja IKS-is viidata

nendele eriseadustele.

Selgitame, et poliitikauuringud vajavad selget seaduslikku alust (IKÜM

art 6 lg 1 punkt e) ja igakordset põhiõiguste riivete proportsionaalsuse

hindamist sõltumata uuringu riskitasemest (poliitikauuringud eeldavad

suure hulga ühiskonna liikmete kohta info kogumist ja töötlemist, et teha

ühiskonna jaoks vajalikke otsuseid). Ei piisa, et andmetöötlus põhineb

avaliku võimu teostaja üldisel seadusest tulenevate ülesannete täitmise

kohustusel.

Alternatiivse ettepanekuna pakume IKS § 6 lg 1 punkti 2 kustutamist.

Arvestatud osaliselt. Eelnõu ja seletuskirja täiendatud. Avaliku huvi osas vt

p 2.4. Selgitame, et, et asutuse tehtav uuring peab olema seotud temale

pandud ülesandega, ülesande ja uuringu vahel peab olema eesmärgipärane

seos.

8 Andmesubjekti õiguste piiramine uuringu tegija poolt

Eelnõu § 1 punktiga 1 muudetava IKS § 6 lõikega 11 riik sisuliselt

delegeerib oma seadusloome õiguse edasi uuringu tegijale. See

seadusloome volitus tuleneb IKÜM artikkel 89 lõikest 2, mis lubab

liikmeriikidel oma õigusega teha erisusi IKÜM artiklites 15, 16, 18 ja

21 loetletud andmesubjekti õigustest. IKS § 6 lg 11 aga delegeerib

vastava erisuste tegemise otsustusõiguse seaduse asemel otse uuringu

tegijale ning jätab selle tema valikuvabaduseks. Seejuures on jäetud

tähelepanuta, et teisesel töötlemisel tuleb rakendada IKÜM artikli 89 lg

1 viimase lause kohaselt mittetuvastavat töötlemist - sellisel juhul

IKÜM artiklid 15-20 ei kohaldugi.

Teeme ettepaneku viia eelnõu tekst kooskõlla IKÜMi loogikaga, mille

kohaselt on mittetuvastava töötlemise korral lubatud rohkem erandeid

andmesubjekti õigustest, sõltumata andmetöötluse õiguslikust alusest

(võib olla ka nõusolek) ja sõltumata sellest, kas tegu on esmase või

teisese töötlemisega. Sisuliselt IKS § 6 lg 3 eelnõus nagunii dubleerib

IKÜMi mittetuvastava töötlemise nõudeid (IKÜM artikkel 11).

Eelnõu ja seletuskirja muudetud.

9 Andmetöötlussüsteemi mõiste ja pakkujad

Seoses andmetöötlussüsteemiga (eelnõu § 2) vajab selgitamist, mis see

täpsemalt on. Kas see on kitsas tegevus või saab andmeid töödelda igas

IT-süsteemis? Mõiste "andmetöötlussüsteem" on määratlemata. Jääb

segaseks, kas andmetöötlussüsteemi tuleb kasutada ainult

mittetuvastava töötlemise tagamiseks või sobib see ka tuvastava

töötlemise korral.

Kas see on sama, mis "andmeruum" EL-i andmemääruse (Data Act

Regulation No 2023/2854) artikli 33 tähenduses või "turvaline

andmetöötluskeskkond" EL-i andmehaldusmääruse (Data Governance

Act No 2022/868) artikkel art 2 lg 1 punkti 20 tähenduses? Kui jah, siis

tuleks lisada viide.

Mittearvestatud. Selgitame, et kui eelnõu ei piira andmetöötlussüsteemi

pakkujate ringi, siis seda seaduse tasandil välja ei tooda. Tegemist ei ole

sama andmeruumiga, mis EL-i andmeruumimääruses. Eelnõuga ei looda

definitsiooni andmetöötlussüsteemile vaid sätestatakse tingimused, millele

andmetöötlussüsteem peab vastama juhul kui selles soovitakse andmeid IKS

§ 6 eesmärgil töödelda.

Teeme ettepaneku sätestada eelnõus definitsioon siseriikliku õiguse

jaoks, arvestades ELi õigusest tulenevaid nõuded turvalistele

andmetöötluskeskkondadele, andmeruumidele jne.

Samuti vajab selgitamist, kes võib andmetöötlussüsteemi teenust

pakkuda. Eelnõu seletuskiri küll selgitab, et turg on jäetud lahtiseks,

kuid see võiks selgemini välja tulla. Palume eelnõus täpsustada, et

andmetöötlussüsteemi pakkujate ring ei ole piiratud üksnes

riigiasutustega (Statistikaametiga), vaid võimalus on ka ülikoolidel ja

ettevõtetel.

10 Tingimuste kontrollimine Andmekaitse Inspektsiooni poolt

Eelnõu § 1 punktiga 2 IKS-i lisatav § 61lg 5 sätestab, et Andmekaitse

Inspektsiooni (AKI) kohustuse kontrollida andmetöötlussüsteemi

kasutuselevõtul seaduses sätestatud tingimuste täitmist.

Andmetöötlussüsteemi nõuete täitmise kontrollimine tähendab sisuliselt

tarkvara/riistvara auditi tegemist. Kuidas see praktikas korraldatakse?

Kas AKI küsib lihtsalt pabereid või kinnitusi nõuete täitmise kohta, ilma

et mõni audiitor või sertifitseerija peaks neid eelnevalt allkirjastama?

ITL-i ettepanek on lisada auditi nõue.

Arvestatud osaliselt, eelnõu ja seletuskirja täiendatud. Selgitame, et kontroll

sarnaneb auditiga ning seda tehakse järelevalvemenetlusele ettenähtud IKS-

i ja HMS regulatsiooniga. Eelkontroll eeldab kohapealset kontrolli. Eelnõuga

nähakse ette andmetöötlussüsteemi pakkujale kohustuse vähemalt kord

aastas kontrollida andmetöötlussüsteemi nõutele vastavust ning aruande

esitamise Andmekaitse Inspektsioonile.

11 Andmetöötlussüsteemis andmete töötlemise eetilisus

Eelnõu § 1 punktiga 2 IKS-i lisatav § 61 lg 6 sätestab, et kui uuringu

eesmärgil töödeldakse andmeid andmetöötlussüsteemis täites kõik IKS

§ 61 sätestatud tingimused, siis ei ole vajalik asjaomase valdkonna

eetikakomitee poolt kontrollida enne uuringu alustamist uuringu

eetilisust. Juhime tähelepanu, et ka väga rangete kaitsemeetmetega

töötlemine võib olla ebaeetiline.

Peamine eelis andmetöötlussüsteemi kasutamisel seisneb selles, et see

võimaldab tugevamaid kaitsemeetmeid ja seetõttu võib kvalifitseeruda

Mittearvestatud. Andmetöötlussüsteemis ei ole võimalik uuringu tegijal

isikuid tuvastada, mistõttu ei ole ka olulist riivet isikute põhiõigustele.

kui "mittetuvastav töötlemine", mis võimaldab välistada IKÜM

artiklites 15-20 nimetatud andmesubjekti õiguste kohaldumise.

Teeme ettepaneku IKS § 61 lõige 6 kustutada. Oleme seisukohal, et

eetikakomiteede kontroll on vajalik ka andmetöötlussüsteemi

kasutamisel. Kuna uuringute tulemuste puhul eetilisust ei hinnata, on

vaja seda teha enne uuringut ehk enne andmetöötluse algust.

6. Eesti Linnade ja Valdade Liit Justiits- ja Digiministeeriumi märge

1 Isiku põhiõiguste kaitse andmete töötlemisel.

Eelnõus on IKS §-ga 6 seoses viidatud, et paraneb isikute põhiõiguste

kaitse andmete töötlemisel. Selgitamist vajab, milles seisneb eelnõu

kohaselt isikute põhiõiguste parem kaitse. Eelnõu kohaselt puudub

isikutel sisuliselt põhiseaduse §-s 19 sätestatud enesemääramisõigus:

kui isik on oma andmed riigile või avalikule sektorile, näiteks teenuse

saamiseks, juba edastanud, ei ole tal võimalik keelduda nende andmete

kasutamisest teistsugustel eesmärkidel, ei isikustatud ega isikustamata

kujul. See kehtib sõltumata andmete liigist, hõlmates nii tavalisi kui ka

eriliigilisi isikuandmeid. Praegu kehtivad eetikanõuded näevad ette, et

uuringutes ja sarnastes tegevustes osalemine on vabatahtlik. Eelnõus

selline vabatahtlikkuse põhimõte aga puudub.

Selgitame. Eelnõuga täpsustatakse tingimustega, millele andmetöötlus peab

vastama. Eelnõu puudutab uurinuid, mis tehakse isikut puudutavatel

andmetel kuid ei puuduta uuringuid, millesse isikud aktiivselt kaasatud on.

Sellistes uuringutes osalemine on isikutele endiselt vabatahtlik.

2 Hallatava asutuse mõiste.

IKS § 6 lõike 2 kohaselt võib ka kohaliku omavalitsuse asutus ja nende

hallatav asutus teha isiku nõusolekuta uuringuid ja analüüse täites IKS

§ 6 lõikes 1 sätestatud nõuded. Täpsustamist vajab, kas hallatavate

asutuste all peetakse silmas ka haridusasutusi, näiteks gümnaasiume?

Sellisel juhul tõusetub küsimus, kas nn uurimistööde raames oleks

võimalik koguda andmeid kaasõpilaste usuliste veendumuste või

poliitiliste eelistuste kohta eeldusel, et seaduses sätestatud nõuded on

täidetud. Samas võib gümnaasiumiõpilase ja isegi kooli jaoks kogu

seaduses ette nähtud menetluse ja nõuete täitmine osutuda keerukaks.

Selgitame, juhul kui koolil ei ole seaduse antud õigust uuringuteläbi

viimiseks, kus on ära toodud töödeldavate isikuandmete kategooriad ning

eesmärgid, siis tuleb uuringu läbiviimiseks täita IKS õ 6 tingimused.

Juhul kui uuringut viib läbi kooliõpilane siis tuleb hinnata, millisel õigusliku

alusel ta seda teeb, üheks võimalikuks variandiks on ka nõusolekualuse

uuringute tegemine.

3 Andmekaitse Inspektsiooni roll.

IKS § 6 lõike 5 kohaselt teavitab uuringu tegija enne isikuandmete

töötlemist uuringust, selle eesmärkidest ning töödeldavatest andmetest

Andmekaitse Inspektsiooni. Võrreldes kehtiva õigusega on eelnõus

Andmekaitse Inspektsiooni rolli muudetud selliselt, et see piirdub

peamiselt seire ja eelkontrollidega ega hõlma võimalust andmetöötlust

ennetavalt keelata.

Kuigi selline lähenemine vähendab nn loamenetluste kaotamise kaudu

bürokraatiat, võib see praktikas kaasa tuua olukordi, kus võimalik kahju

andmesubjektile on tekkinud juba enne järelevalvemeetmete

rakendamist ning rikkumistele reageeritakse alles kaebuse või muu

rikkumisteabe saamisel järelevalvemenetluse käigus.

Seetõttu tuleks eelnõus kaaluda Andmekaitse Inspektsioonile võimaluse

andmist peatada uuringu läbiviimine koheselt teate saamisel, seniks,

kuni isikute kaitseks on rakendatud piisavad meetmed.

Mittearvestatud. AKI-l on juba täna järelevalvepädevus ning meetmete

rakendamise õigus ( IKS § 56) sh õigus nõuda isikuandmete töötlemise

piiramist ja lõpetamist.

4 Andmekogude põhimäärused.

IKS § 6 lõike 9 kohaselt ei pea vastutav töötleja järgima sama paragrahvi

lõike 3 punktides 1–3 ning lõigetes 5 ja 7 sätestatud nõudeid juhul, kui

uuringu tegija töötleb käesolevas paragrahvis sätestatud eesmärkidel

isikuandmeid ühe andmekogu piires, mille vastutavaks töötlejaks ta ise

on.

Kui andmeid töödeldakse andmekogus, mille vastutav töötleja on

uuringu läbiviija, tekib küsimus, kas uuringute ja analüüside tegemine

peaks olema reguleeritud ka andmekogu põhimääruses.

Samuti ei ole piisavalt selge, kuidas tagatakse andmesubjektide jaoks

läbipaistvus seoses andmete töötlemisega uuringute eesmärgil.

Vähemalt eelnõu seletuskirjas võiks olla viidatud, et andmekogude

põhimäärustes tuleks ette näha andmete kasutamine uuringuteks ja

analüüsideks. Kehtiv eelnõu piirdub üksnes üldiste nõuete

sätestamisega, mille sisustamine jääb igal konkreetsel juhul uuringu

Arvestatud osaliselt, eelnõu ja seletuskirja täiendatud.

läbiviija ülesandeks, ega taga seeläbi piisavat läbipaistvust, sh arusaama

sellest, et andmeid kasutatakse ka teistel eesmärkidel, kui see

andmesubjekti jaoks eeldatav on.

5 Andmetöötlussüsteem.

IKS §-s 61 sätestatakse nõuded andmetöötlussüsteemile, kuid eelnõust

ei selgu, millistele konkreetsetele tingimustele see süsteem vastama

peab. Samuti jääb ebaselgeks, millisele regulatsioonile eelnõus

viidatakse. Tekib küsimus, kas tegemist on andmekoguga AvTS

tähenduses ning kas sellel süsteemil peab olema põhimäärus. Kui mitte,

siis ei ole selge, kuidas tagatakse andmesubjektide jaoks läbipaistvus

ning muud isikuandmete kaitse üldmääruses (IKÜM) sätestatud

õigused.

Selgitame. Tegemist ei ole andmekoguga AvTS-i mõttes. Andmekogu

AvTS-i mõttes on riigi, kohaliku omavalitsuse või muu avalik-õigusliku

isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis

töödeldavate korrastatud andmete kogum, mis asutatakse ja mida

kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises

lepingus sätestatud ülesannete täitmiseks. Süsteemi tingimused on toodud §

61 lõigetes 1 ja 2.

6 Logide säilitamine.

IKS § 61 lõike 3 kohaselt kustutatakse uuringu käigus töödeldavad

andmed andmetöötlussüsteemist pärast uuringu valmimist ja

uurimistulemuste valideerimist. Logid kustutatakse üks aasta pärast

uuringu käigus töödeldavate andmete kustutamist.

Kui logisid säilitatakse üksnes ühe aasta jooksul, kuid väärteo

aegumistähtaeg on viis aastat, tekib küsimus, kuidas saavad uuringute

läbiviijad tõendada andmetöötluse õiguspärasust olukorras, kus kaebus

esitatakse näiteks kolm aastat pärast andmetöötluse toimumist.

AKI pädeva järelevalveasutusena hindas logide säilitamise vajadust ühele

aastale.

7 Andmetöötlussüsteemi infoturbe standardid.

IKS § 61 lõikes 4 on sätestatud, et valdkonna eest vastutav minister võib

määrusega kehtestada andmetöötlussüsteemis andmete töötlemisele

täiendavad tehnilised ja korralduslikud turvanõuded. Avaliku sektori

puhul võiks eelnõus olla selgesõnaline viide EITS-i kohustuslikule

rakendamisele sellise süsteemi turbe tagamisel. Erasektori puhul võiks

olla ette nähtud vähemalt vastava ISO sertifikaadi nõue.

Arvestatud osaliselt. Selgitame, et Eesti infoturbestandardi või selle

alternatiiviks oleva standardi (rahvusvaheline standard ISO/IEC 27001 või

Eesti standard EVS-EN ISO/IEC 27001) nõude rakendamise kohustus

tuleneb teatud organisatsioonidel (küberturvalisuse seaduse tähenduses

teenuseosutajatel) küberturvalisuse seaduse § 7 lõike 5 alusel antud

Vabariigi Valitsuse määrusest nr 121 “Võrgu- ja infosüsteemide

küberturvalisuse nõuded” - vt määruse § 3. Selle hulgas on osad, kuid mitte

kõik teenuseosutajad, kes peavad isikuandmete kaitse seadust, sh siinse

eelnõu nõudeid järgima. Mitte kõik küberturvalisuse seaduse tähenduses

olevad teenuseosutajad ei pea rakendama Eesti infoturbestandardit või selle

alternatiivset standardit, kuid miinimum on, et nad kõik täidavad ära

esmaste turvameetmete nõuded (vt eelviidatud määruse § 51 ja sama

määruse lisa).

8 Tehisaru kasutamine uuringute läbiviimisel.

Seletuskirjas on märgitud: „Tehisaru arendamist tuleb seega käsitleda

ühe osana laiemast teadus- ja arendustegevusest, millele IKÜM annab

selge õigusliku aluse – nii arendus-, treening-, valideerimis- kui ka

testimisfaasis.“ See seisukoht võiks olla selgemalt kajastatud ka seaduse

tekstis, kuna eelnõu praeguses sõnastuses jääb vastav regulatsioon

võrdlemisi ebamääraseks. Samuti oleks abiks vähemalt allmärkusena

viide IKÜM-is sätestatud „selgele õiguslikule alusele“. Lisaks tuleks

tehisaru eripärasid arvestades selgemalt määratleda piirid tehisaru

kasutamisel isikuandmete analüüsimisel.

Selgitame. IKS § 6 ja 61 sätestavad tingimused tehisaru arendamiseks,

kasutamine peab toimuma muul õiguslikul alusel.

9 Jätku-uuringud.

Eelnõus puudub nn jätku-uuringute käsitlus. Ei ole selge, kas uuring,

mille käigus võrreldakse sama valimi andmeid pikema ajavahemiku

jooksul (nt 25 aastat ning igal aastal toimub 3-5 konkreetset

osauuringut), on eelnõu mõistes käsitatav ühe uuringuna ning kas

sellisel juhul võib kogu valim säilida andmetöötlussüsteemis aastaid.

Näiteks paneeluuringute puhul võib andmete kogumine ja analüüs kesta

kümneid aastaid, mistõttu vajab selliste uuringute käsitlus eelnõus

täpsemat selgitamist.

Selgitame. Juhul kui tegemist on isikustatud andmetega jätkuuringuga tuleb

vastav info ka eetikakomitee hinnangu saamiseks välja tuua, sh kuidas on

plaanitud andmeid säilitada ning edaspidi töödelda. Eetikakomitee saab

vastavale uuringule ka hinnangu anda. Sh kas piisab nö ühekordsest

hinnangu küsimisest või tuleb siiski iga etapi kohta uus hinnang saada.

10 Andmete koosseisu määratlemine.

Seni on nii Justiits- ja Digiministeerium kui ka Andmekaitse

Inspektsioon PS § 26 kohaldamisel rõhutanud vajadust isikuandmete

koosseisu selge määratlemise järele seaduse tasandil. Eelnõus selline

määratlus puudub. Samas on arusaadav, et kõigi tulevikus võimalike

Selgitame. Uuringute puhul ei ole võimalik piiritleda, milliseid andmeid

töödelda võib, seetõttu on lubatud üldiselt isikuandmete, sh eriliiki

isikuandmete töötlemine.

andmetöötluste konkreetseid isikuandmete koosseise ei ole alati

võimalik ette näha. Sellest hoolimata oleks oluline, et sarnastes

olukordades kohaldataks õigusloomes ühtseid põhimõtteid ning

andmete koosseisu määratlemise lähenemine oleks läbivalt ühesugune.

11 Kohaliku omavalitsuse korralduse seadus.

Riigikogus on teisel lugemisel Kohaliku omavalitsuse korralduse

seaduse ja sellega seonduvate seaduste muutmise seaduse eelnõu (688

SE). Nimetatud seaduse § 31 lõige 3 tuleks IKS § 6 muudatuste

jõustumisel kehtetuks tunnistada. Vastasel juhul jääb kohalike

omavalitsuste võrdse kohtlemise põhimõte sisuliselt deklaratiivseks,

kuna vastavad piirangud tulenevad jätkuvalt KOKSist. Lisaks on

KOKS-i menetluse käigus korduvalt rõhutatud, et tegemist on nn

vahepealse lahendusega kuni IKSi jõustumiseni. KOKS § 31 lõige 3 on

sõnastatud järgmiselt:

„Valla või linna ametiasutusel ja ametiasutuse hallataval asutusel on

õigus teha poliitika kujundamiseks analüüse ja uuringuid. Kui analüüsi

või uuringu tegemiseks on vaja saada teise vastutava või volitatud

töötleja andmekogudest isikuandmeid, sealhulgas pseudonüümitud

andmeid, hindab Andmekaitse Inspektsioon enne andmekogu

vastutavale töötlejale taotluse esitamist avaliku huvi olemasolu,

andmete töötlemise eesmärki, andmekoosseisu minimaalsust ja andmete

säilitamise vajadust. Andmekogust isikuandmete väljastamise otsustab

andmekogu vastutav töötleja, võttes arvesse Andmekaitse Inspektsiooni

hinnangut.“

Arvestatud, eelnõu ja seletuskirja muudetud. KOV hakkab uuringudi

tegema IKS § 6 ja 61 alusel.

12 Tehisintellekti määrus.

Seletuskirjas viidatakse jõustuvale tehisintellekti määrusele, kuid

käesolevaks ajaks on nimetatud määrus juba jõustunud.

Seletuskirja muudetud.

7. Riigikogu Kantselei Justiits- ja Digiministeeriumi märge

Seletuskirja kohaselt laiendatakse IKS § 6 lõikes 2 uuringu tegijate ringi,

nii et kõik tegevused, mille käigus kogutakse, analüüsitakse ja

tõlgendatakse andmeid avalike ülesannete täitmiseks, loetakse seaduse

tähenduses uuringuks. Juhin tähelepanu, et sätte kavandatav sõnastus

(„Käesoleva seaduse tähenduses loetakse käesoleva paragrahvi lõikes

1 sätestatud uuringuks ka Vabariigi Valitsuse seaduse §-s 38 sätestatud

täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende

hallatava asutuse ning avalik-õigusliku juriidilise isiku ja tema

hallatava asutuse tehtud analüüsid ja uuringud, sealhulgas

tehnoloogiaarendused“,) ei hõlma põhiseaduslikke institutsioone ja

neid teenindavaid riigi ametiasutusi, sealhulgas Riigikogu Kantseleid ja

selle struktuuri kuuluvat Arenguseire Keskust.

Palun sättes toodud loetelu selles osas täiendada.

Arvestatud, eelnõu ja seletuskirja täiendatud. Selgitame, et põhiseaduslikule

institutsioonile kohaldub IKS üksnes osas, mis ei puuduta nende

põhiseaduslike ülesannete täitmist. Juhul kui põhiseaduslik institutsioon

täidab oma põhiseadusliku ülesannet, tuleb uuringut tegemise õiguslik alus

kehtestada tema tegevust reguleeriva seadusega.

8. Tartu Ülikool Justiits- ja Digiministeeriumi märge

1 IKS § 6 lg 1 sätestatud määratlus „teadus-, ajaloouuringu- või

statistikatöö“ ei ole üheselt selge, kuna ei ole arusaadav, millised sõnad

omavahel ühilduvad. Teen ettepaneku kasutada sõnastust „teadus- ja

ajaloouuringu tegemise ja riikliku statistika kogumise (edaspidi uuring)

eesmärgil“. Lisaks palun seletuskirjas lahti seletada, millist ja kelle poolt

tehtavat ajaloouuringut peetakse silmas juhul, kui ajaloouuring ei

kvalifitseeru teadusuuringuna.

Arvestatud, eelnõu muudetud ja seletuskirja muudetud.

2 IKS § 6 lg 3 ei ole selge, millistel juhtudel on isiku tuvastamise

vältimiseks vajalik kaitsemeetmena pseudonüümimine ja millisel juhul

anonüümimine.

Tartu Ülikool teeb ettepaneku sõnastada IKS § 6 lg 3 punktid 2 ja 3

alljärgnevalt:

„2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab

isiku otseselt tuvastada;

Mittearvestatud. Mõistet ei muudeta. Uuringus ei tohi isikud lg 3 kohaselt

olla ka kaudselt tuvastatav.

3) uuringu tulemus, sealhulgas tulemuse töötlemine, ei tohi võimaldada

otseselt ega kaudselt tuvastada isikut, kelle isikuandmeid, sealhulgas

eriliiki isikuandmeid, töödeldi;“

Sõnastuse eesmärk on tagada, et IKS § 6 lg 3 p 2 kohaselt oleks

pseudonüümitud uuringuandmete töötlemisel keelatud nende

depseudonüümimine. IKS § 6 lg 3 p 3 kohaselt tuleks aga

uuringuandmete avalikustamisel (näiteks publitseerimisel) tagada

vastavate andmete anonüümsus. Kui uuringu vastutav töötleja soovib

uuringu tulemusena avalikustada pseudonüümitud või isikustatud kujul

isikuandmeid, vajab see Tartu Ülikooli hinnangul andmesubjekti

nõusolekut ja selline avalikustamine ei ole IKS § 6 kohaldamisalas.

Selgitame. Lg 3 alusel tehtavates uuringutes ei tohi isikud olla tuvastatavad,

sh uuringu tulemuses. IKS § 6 ei ole õiguslikuks aluseks isikuandmete

avalikustamiseks, seda eelnõu ei käsitle. Isikuandmete avalikustamine peab

toimuma muul õiguslikul alusel.

3 IKS § 6 lg 4 soovitakse luua olukord, kus Statistikaametile luuakse

seadusega eristaatus. Tartu Ülikooli hinnangul ei ole põhjendatud

seaduse tasandil välja tuua ainult Statistikaameti kui ühe vastutava

töötleja andmetöötluskeskkonda kui IKS § 6 lg 3 p 1 sätestatud nõuetele

vastavat. Tartu Ülikool teeb ettepaneku, et vastavad keskkonnad

kehtestatakse seaduse alusel antava rakendusaktiga, et mitte piirata

uuringute tegemist tulevalt Statistikaameti protsesside ja süsteemide

eripäradest.

Säte eelnõust välja jäetud.

4 IKS § 6 lg 7 osas kordab Tartu Ülikool nii teadus- ja arendustegevuse

ning innovatsiooni korralduse seaduse (edaspidi: TAIKS) eelnõu kui ka

isikuandmete kaitse seaduse muutmise seaduse eelnõu

väljatöötamiskavatsuse kooskõlastamisel esitatud ettepanekut. Oluline

on tagada, et TAIKSi alusel antav eetikakomitee tegevust reguleeriv

ministri määrus kehtestaks eetikakomiteele täpsemad ülesanded

isikuandmete kaitse aspektide hindamisel. Selline lahendus võimaldaks

teadlastel ette näha, milliseid aspekte nad peavad taotluses lahti

kirjutama. Samuti oleks selgem, milliseid isikuandmete kaitse aspekte

on eetikakomi-tee hinnanud ja kooskõlastanud. Uuringute praktikas on

Selgitame, et eetikakomiteede tegevust käesoleva eelnõuga ei reguleerita.

Võimalike probleemide lahendusi soovitame arutada HTM-iga.

tulnud ette olukordi, kus ka eelneva eetikakomitee kooskõlastuse

olemasolul algab andmete väljastamisel andmekogu vastutava

töötlejaga isikuandmete kaitse aspektide arutelu uus ring, mis tarbetult

kulutab nii teadlaste kui ametnike tööaega. Veelgi enam, uuringu

detailide muutumisel (nt uurimismeeskonna uurijate lisandumisel)

menetlevad hetkel seda muudatust nii eetikakomitee kui seejärel ka kõik

andmekogude vastutavad töötlejad. Tänaseks on Haridus- ja Teadus-

minister TAIKSi § 26 lg 7 alusel teaduseetikakomitee juba moodustanud

ja selle hinnangute andmise korra kehtestanud. Isikuandmete kaitse

seadusesse muudatuste tegemisel tuleks ette näha ka vastavate

muudatuste tegemine viidatud Haridus- ja Teadusministri määruses.

5 Tartu Ülikool ei kooskõlasta IKS § 6 lg 8, kuna ilma taotlust sisuliselt

hindamata ei saa eetikakomitee teha otsust, et riskid on väikesed, ning

isikuandmete töötluse riski hindamisel võtaks eetikakomitee sisuliselt

uuringu vastutava töötleja rolli. Juhin ka tähelepanu, et IKS § 6 lg 6 ette

nähtud eetikakomitee kooskõlastus täiendav kaitsemeede juhuks, kui

uuringu vastutav töötleja töötleb uuritavate isikuandmeid otsest

tuvastamist võimaldaval kujul ja ei rakenda IKS § 6 lg 3 toodud

pseudonüümist või muid võrdväärseid kaitsemeetmeid. Seetõttu on

arusaamatu, kuidas saaksid IKS § 6 lg 6 juhtudel andmekaitsealased

riskid olla väikesed. Tartu Ülikooli hinnangul saab uuringu

andmetöötluse riske hinnata ainult vastutav töötleja ja eetikakomitee

saaks madala riskiga uuringuid hinnata nt lihtsustatud menetluse korras.

Lisaks juhin tähelepanu, et isikuandmete kaitse seadusega reguleeritakse

üksnes andmekaitsealaste riskide hindamist, mitte eetikaalaste riskide

hindamist (mida reguleeritakse TAIKSiga), seetõttu ei saa kindlasti IKS

§ 6 lg 8 sätestada, et juhul, kui eetikakomitee hindab, et eetikaga seotud

riskid on väikesed, võib ta jätta taotluse sisuliselt hindamata. Siiski juhin

igaks juhuks tähelepanu ka sellele, et formulatsioon „eetilised riskid“ ei

ole ka keeleliselt korrektne, sest kirjeldab riski omadust (eetilised vs

Arvestatud, säte eelnõust välja jäetud.

ebaeetilised riskid). Korrektne oleks öelda nt „andmekaitse- ja

eetikaalased riskid“ või „andmekaitse ja eetikaga seotud riskid“.

6 Tartu Ülikool teeb ettepaneku lisada IKS § 61 lg 2 p 1 täienduse, et

sättes toodud tehnilised ja korralduslikud meetmed on piisavad, kui

andmetöötlussüsteem järgib küberturvalisuse seaduses toodud nõuded

ja on sertifitseeritud Eesti infoturbestandardi või sellega võrdsustatud

infoturbestandardi alusel.