ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Sotsiaalministeerium [email protected]

Teie 14.08.2026 nr 1.2-2/71-1 Meie 31.08.2026 nr 2.3-4/26/3171-2

Arvamuse avaldamine eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks inimpäritolu

materjali seaduse eelnõu. Seoses eelnõuga on meil alljärgnevad märkused.

1. Eelnõu § 14 lg 3 sätestab, et doonorilt eemaldatud inimpäritolu materjali võib teadustöös

kasutada doonori kirjalikul nõusolekul ning isikuandmete töötlemine toimub IKS § 6 alusel. Samas

IKS § 6 räägib nõusolekuta isikuandmete töötlemisest. Segaseks jääb, kas soovitakse isikuandmete

töötlemise aluseks sätestada nõusolek või lähtuda IKS §-st 6.

2. Eelnõu § 20 lg 6 kohaselt on riikliku vereteenistuse infosüsteemi kaasvastutavad töötlejad

Sotsiaalministeerium ja Tervisekassa. Sätte põhiline puudus seisneb selles, et kaasvastutus on

seaduses üksnes deklareeritud, kuid selle õiguslikku ja faktilist sisu ei ole avatud. Eelnõust ega

seletuskirjast ei nähtu, milliseid infosüsteemis toimuva isikuandmete töötlemise eesmärke ja

olulisi vahendeid nimetatud asutused ühiselt kindlaks määravad, milliste töötlemistoimingute

suhtes kaasvastutus kehtib ega milline on kummagi asutuse tegelik otsustusõigus ja vastutus.

Pelgalt infosüsteemi arendamises, rahastamises või toimimise korraldamises osalemine ei ole

piisav alus IKÜM art 26 kohase kaasvastutuse tekkimiseks.

Samuti ei määra eelnõu § 20 lg 6 üheselt ka andmekogu vastutavat töötlejat ehk haldajat AvTS §

43⁴ tähenduses. Seetõttu jääb ebaselgeks, kas mõlemad asutused on kavandatud andmekogu

vastutavateks töötlejateks, isikuandmete kaasvastutavateks töötlejateks või täidavad samaaegselt

mõlemat rolli. Seda ebaselgust süvendab eelnõu kavand 4 ehk põhimääruse kavand, milles

nimetatakse Sotsiaalministeeriumi ja Tervisekassat esmalt kaasvastutavateks töötlejateks, kuid

käsitatakse seejärel Sotsiaalministeeriumit eraldi vastutava töötlejana. Selline regulatsioon ei

võimalda üheselt tuvastada, kes vastutab andmekogu haldamise seaduslikkuse ja arendamise eest

ning kes vastutab konkreetsete isikuandmete töötlemise toimingute õiguspärasuse eest.

Seega ei kõrvalda põhimääruse kavand seaduse puudust, vaid kordab ja süvendab seda.

Kaasvastutavate töötlejate vastutusvaldkonnad on jäetud sisuliselt määratlemata ning nende

täpsemad ülesanded ja vastutus soovitakse lahendada pooltevahelise koostöökokkuleppega.

Õigusaktist peavad siiski nähtuma vähemalt kaasvastutuse esemeline ulatus, kummagi töötleja

põhiülesanded ning vastutus andmesubjekti õiguste, teavitamiskohustuse, juurdepääsude, andmete

väljastamise, turvameetmete, andmekaitsealase mõjuhinnangu, rikkumiste lahendamise,

säilitamise ja kustutamise ning volitatud töötleja kontrollimise eest. Neid põhiküsimusi ei saa jätta

avalikkusele kättesaamatu koostöökokkuleppe lahendada.

Seetõttu leiame, et teha tuleks tegelikust tööjaotusest lähtuv rollianalüüs ning näidata iga asutuse

puhul konkreetne seadusest tulenev ülesanne ja otsustuspädevus, mille tõttu määrab asutus koos

2 (4)

teise töötlejaga kindlaks isikuandmete töötlemise eesmärgid ja olulised vahendid. Eriti tuleb

põhjendada Tervisekassa kaasvastutava töötleja staatust. Kui Tervisekassa ülesanded piirduvad

infosüsteemi rahastamise, arendamise, tehnilise toimimise või jätkusuutlikkuse tagamisega või

Sotsiaalministeeriumi abistamisega, ei ole IKÜM art 26 kohane kaasvastutus tõendatud ning

Tervisekassat ei saa üksnes nende ülesannete põhjal isikuandmete kaasvastutavaks töötlejaks

määrata.

Oleme juba varasemalt oma 03.03.2026 esitatud arvamuses (Andmekaitse Inspektsiooni avalik

dokumendiregister) juhtinud tähelepanu sellele, et vereteenistuse infosüsteemi regulatsioonis tuleb

lahus hoida andmekogu vastutav töötleja ehk haldaja AvTS § 43⁴ tähenduses, isikuandmete

vastutav töötleja või kaasvastutavad töötlejad IKÜM art 4 p 7 ja art 26 tähenduses, andmekogu

volitatud töötleja AvTS § 43⁴ lg-te 2 ja 3 tähenduses ning isikuandmete volitatud töötleja IKÜM

art 28 tähenduses.

Praegusel juhul ei ole eelnõu § 20 lg 6 ega selle alusel kavandatud põhimääruse vastutust

käsitlevad sätted selged, mis tähendab, et AKI varasemas arvamuses tõstatatud põhiprobleemiga

ei ole sisuliselt arvestatud. Asutuste formaalne nimetamine kaasvastutavateks töötlejateks ei

asenda kaasvastutuse õigusliku aluse, ulatuse ja tegeliku vastutuse määramist. Seetõttu palume

seaduses üheselt määrata andmekogu vastutav töötleja ehk haldaja ning kaasvastutavad töötlejad

üksnes juhul, kui nende kaasvastutus vastab tegelikule tööjaotusele ja IKÜM art 26 tunnustele.

3. Eelnõu § 20 lg 5 p 2 annab verekeskusele, verekabinetile ja referentlaborile juurdepääsu

infosüsteemi andmetele seadusest ja teistest õigusaktidest tulenevate kohustuste täitmiseks. Samal

ajal näeb § 21 ette, et vere ja verekomponentide kogumine, töötlemine, kvaliteedikontroll,

ladustamine, vabastamine ja väljastamine on verekeskuse ülesanne. Infosüsteemi kogutavad

andmed, sh doonori terviseküsimustik, meditsiinilise läbivaatuse andmed, verevõtuandmed,

retsipiendi vereülekannete ajalugu ja reaktsioonid, on otseselt seotud verekeskuste ning

tervishoiuteenuse osutajate sisuliste ülesannetega.

Eelnõus ja põhimääruse kavandis ei ole aga analüüsitud verekeskuste tegelikku rolli infosüsteemis

toimuval isikuandmete töötlemisel. Verekeskused täidavad seadusest tulenevaid sisulisi

ülesandeid, millest tulenevalt ei saa verekeskusi käsitada üksnes andmeandjate või infosüsteemi

juurdepääsuõigusega kasutajatena, ilma et oleks hinnatud, kas nad määravad oma ülesannete

täitmisel iseseisvalt või koos teiste töötlejatega kindlaks isikuandmete töötlemise eesmärgid ja

olulised vahendid.

Leiame, et eelnõust peab selgelt nähtuma, kas verekeskused on nende enda seadusest tulenevate

ülesannete täitmisel iseseisvad vastutavad töötlejad, teatavate töötlemistoimingute puhul

kaasvastutavad töötlejad või tegutsevad eranditult teise vastutava töötleja dokumenteeritud juhiste

alusel volitatud töötlejatena. Töötleja roll tuleb määrata tegelike ülesannete ja otsustuspädevuse,

mitte üksnes infosüsteemi korraldusliku kirjelduse või kasutajastaatuse järgi. Kui verekeskus

otsustab oma avaliku või tervishoiuteenuse osutamise ülesande raames, miks ja kuidas doonori

terviseandmeid töödeldakse, ei vasta tema käsitamine pelgalt andmeandjana tegelikule

tööjaotusele.

Oma varasemas arvamuses juhtisime sellele küsimusele tähelepanu, kuid eelnõus ega põhimääruse

kavandis ei ole verekeskuste rolli jätkuvalt sisuliselt hinnatud. Seetõttu jääb ebaselgeks, kes

vastutab verekeskuse tehtava töötlemise õiguspärasuse, andmete õigsuse, minimaalsuse,

andmesubjekti õiguste ning juurdepääsude eest.

Palume verekeskuste tegelik roll töötlemistoimingute kaupa kindlaks määrata ning kajastada see

selgelt seaduses ja põhimääruses. Praegusel kujul ei taga regulatsioon töötlejate rollide

läbipaistvust ega vastutuse üheselt tuvastatavust.

3 (4)

4. Põhimääruse kavandi §-s 3 on Tervise ja Heaolu Infosüsteemide Keskusele kui volitatud

töötlejale pandud vastutus andmetöötlustoimingute õiguspärasuse ja isikuandmete töötlemise

nõuete täitmise eest. Leiame, et säte ei vasta IKÜM ega AvTS kohasele rollijaotusele. AvTS § 43⁴

järgi vastutab andmekogu vastutav töötleja ehk haldaja andmekogu haldamise seaduslikkuse ja

arendamise eest ning IKÜM art 24 ja art 28 järgi jääb vastutavale töötlejale üldvastutus

isikuandmete töötlemise õiguspärasuse eest. Neid kohustusi ei saa põhimäärusega volitatud

töötlejale üle anda.

Volitatud töötleja võib täita üksnes selgelt piiritletud tehnilisi ja korralduslikke ülesandeid

vastutava töötleja juhtimisel, kontrolli all ning dokumenteeritud juhiste kohaselt. Praegune

sõnastus võimaldab aga vastutaval töötlejal talle seadusega pandud vastutust näiliselt volitatud

töötlejale üle kanda, mis hägustab AvTS ja IKÜM rollide erinevust ega taga, et andmekogu

haldamise ning isikuandmete töötlemise õiguspärasuse eest vastutav isik oleks õigusaktist üheselt

tuvastatav.

Palume põhimääruse kavandi § 3 ümber sõnastada nii, et andmekogu haldamise seaduslikkuse ja

arendamise eest vastutamine peab jääma AvTS § 43⁴ kohasele andmekogu vastutavale töötlejale

ehk haldajale ning isikuandmete töötlemise õiguspärasuse ja IKÜM nõuete täitmise üldvastutus

IKÜM kohasele vastutavale või kaasvastutavatele töötlejatele.

5. Põhimääruse kavandi § 1 lg 1 järgi on infosüsteemi pidamise eesmärk tagada inimpäritolu

materjali kvaliteetne käitlemine ja inimkasutuse kliiniliste tulemuste jälgimine. Samas eelnõu § 20

lg 1 sätestab aga kuus eesmärki, milleks on vere kvaliteetne käitlemine, vere käitlemise ja

inimkasutuse jälgitavus ja valvsus, vere inimkasutuse kliiniliste tulemuste hindamine, vere

käitlemise järelevalve, tervisestatistika ja tervishoiupoliitika jaoks vajalike andmete töötlemine

ning veretarnete võimalike kriiside lahendamine.

Leiame, et määrus ei tohiks kujundada seaduses sätestatud eesmärke ümber ega jätta neist osa

välja. Lisaks kasutab määrus väljendit „inimpäritolu materjali kvaliteetne käitlemine“, kuigi

infosüsteem on § 20 järgi vereteenistuse infosüsteem ja selle andmestikud puudutavad verd.

Selline laiendus võib jätta mulje, et infosüsteemis töödeldakse ka muude inimpäritolu materjalide

andmeid.

Palume sõnastada säte selliselt, et ei jääks muljet nagu oleks põhimääruses toodud eesmärk laiem

kui volitusnormis toodud andmekogu eesmärk või siis jätta üldse välja andmekogu eesmärgi

dubleerimine põhimääruses.

6. Lisaks juhime tähelepanu põhimääruse kavandi volitusnormile. Nimelt on põhimääruses

märgitud, et määrus kehtestatakse inimpäritolu materjali seaduse § 20 lg 1 alusel. See ei ole aga

korrektne. Eelnõu § 20 lg 1 sätestab infosüsteemi eesmärgid. Põhimääruse kehtestamise

volitusnorm sisaldub § 20 lg-s 2. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehispeadirektor

4 (4)

Andres Kudrjavtsev

[email protected]

627 4109

Terje Enula

[email protected]

627 4144