Kaitseministri määruse „Kaitseplaneerimise infosüsteemi põhimäärus” eelnõu
SELETUSKIRI
1. Sissejuhatus
Määrusega kehtestatakse kaitseplaneerimise infosüsteemi põhimäärus. Kaitseplaneerimise infosüsteem on asutatud kriisiolukorra ja riigikaitse seaduse (edaspidi KORKS) § 137 lõike 4 alusel ning jõustub 1. oktoobril 2026. Määrusega kehtestatakse täpsem infosüsteemi ülesehitus, vastutava ning volitatud töötleja ülesanded, kogutavate andmete täpsem koosseis ja säilitamise tähtajad, andmeandjad, andmevahetus, andmetele juurdepääs ning muud korralduslikud küsimused.
Kaitseplaneerimise infosüsteem (edaspidi KAPLIS) on Kaitseministeeriumi valitsemisalasse kuuluv piiratud juurdepääsuga infosüsteem, mille peamisi eesmärke on pikaajaline riigikaitse planeerimine. KAPLIS on piiratud juurdepääsuga andmekogu, et tagada ministeeriumile ja tema allasutustele ühine planeerimisalane platvorm.
KAPLIS andmestik hõlmab planeerimise ning kaitsevõime korraldamisega seotud andmeid, riigikaitse arengukava elluviimiseks vajalike ressursside arvestuse andmeid, üksuste lahingvalmiduse andmeid, ressursihalduse andmeid hangete, ostude, arvemenetluse, varade ja varude arvestuse, hooldushalduse ja personaliarvestuse kohta, samuti andmeid kaitseotstarbelise varustuse, info- ja kommunikatsioonitehnoloogia, personali- ja tegevuskulude ning taristu arendamise ja korrashoiu hankevajaduse, eelarveotsuste, hankeprojektide juhtimise ning Kaitseministeeriumi valitsemisala strateegiliste andmevarade kohta.
Määrusega ei kaasne halduskoormust ettevõtetele ega eraisikutele. Määruse rakendamine loob õigusselgust Kaitseväe varade laoarvestuse osas ning vähendab Kaitseministeeriumi valitsemisala töökoormust.
Eelnõu seos teiste õigusaktidega
KORKS § 135 lõike 3 ja § 136 lõike 3 alusel kehtestatakse vastavalt tsiviiltoetuse registri ja mobilisatsiooniregistri uued põhimäärused. Käesolev kaitseplaneerimise infosüsteemi põhimäärus on osaliselt seotud eelnimetatud põhimääruste kehtestamisega.
Eelnõu ettevalmistaja
Eelnõu ja seletuskirja on koostanud Kaitseministeeriumi riigikaitse planeerimise osakonna nõunik (
[email protected]) koostöös andmekaitsejuhiga. Eelnõule on teinud juriidilise kontrolli õigusosakonna ametnik (
[email protected]). Eelnõule tehakse keeletoimetus peale eelnõude infosüsteemis kooskõlastamist.
2. Eelnõu sisu ja võrdlev analüüs
Eelnõu koosneb üheksast peatükist ja 27 paragrahvist.
1. peatükk. Üldsätted
Eelnõu esimene peatükk koosneb neljast paragrahvist, milles sätestatakse lisaks KAPLIS ametlikule nimele ka KAPLIS vastutav ja volitatud töötleja, KAPLIS pidamise eesmärk ja andmete õiguslik tähendus ning infosüsteemi pidamise viis ja turvaklass.
Eelnõu §-ga 1 sätestatakse infosüsteemi asutamine, infosüsteemi ametlik nimetus ning lühend. KAPLIS on piiratud juurdepääsuga andmekogu, et tagada ministeeriumile ja tema allasutustele ühine planeerimisalane platvorm. KAPLIS hõlmab andmestikke, mida luuakse ja kasutatakse ainult riigikaitse planeerimiseks sõjaliste võimete puhul ja hindamaks sõjaaja struktuuri lahinguvalmidust. Nendele andmetele juurdepääs on lubatud ainult Kaitseministeeriumi valitsemisala teenistujatele ja seda vastavalt teadmisvajadusele.
Eelnõu §-s 2 sätestatakse infosüsteemi pidamise eesmärk.
Lõike 1 kohaselt on infosüsteemi pidamise eesmärk tagada riigikaitse ja riigikaitseliste võimete planeerimiseks vajalike andmete kättesaadavus ja terviklikkus. Lisaks on eesmärk võimaldada riigikaitseliste ressursside planeerimist, jaotamist ja kasutamist sündmuste ning protsesside juhtimisel, mis omakorda aitab toetada rahu- ja sõjaaja riigikaitseliste tegevuste ning valmisoleku protsesside planeerimist ja hindamist. Infosüsteemiga luuakse analüütiline ja strateegiline andmebaas riigikaitseliste otsuste ettevalmistamiseks ja ohuhinnangute analüüsiks.
Lõikes 2 kohaselt kasutatakse andmeid riigikaitse ja riigi julgeoleku tagamiseks sündmuste, protsesside ja ressursside planeerimisel, analüüsimisel ning statistilistel eesmärkidel koos teiste Kaitseministeeriumi valitsemisala andmekogudega, nt hindamaks riigikaitse arengukava võime-eesmärkide täitmist.
Eelnõu §-s 3 sätestatakse infosüsteemi andmete õiguslik staatus. Käesoleva määruse alusel kogutavatel ja töödeldavatel andmetel on informatiivne tähendus. Nende eesmärk on võimaldada Kaitseministeeriumi valitsemisalal saada ülevaade reguleeritava valdkonna olukorrast, toetada õigusaktidest tulenevate ülesannete täitmist ning tagada otsuste tegemiseks vajalik teave. Andmed ei oma iseseisvat õiguslikku tähendust ega tekita, muuda või lõpeta isikutele õigusi või kohustusi. Samuti ei ole andmed iseenesest haldusakti või muu õigusliku otsustuse tegemise ainsaks aluseks. Vajaduse korral hinnatakse andmete õigsust, ajakohasust ja asjakohasust koos muude asjakohaste asjaolude ja tõenditega. Andmete informatiivne kasutamine aitab tagada kaitseplaneerimise andmepõhisust, suurendada otsuste põhjendatust ning toetada analüüsi, planeerimis- ja järelevalvetegevust.
Eelnõu § 4 sätestab infosüsteemi pidamise viisi, kaitsetarbe, turbeviisi ning andmevahetuse korralduse. Infosüsteemi peetakse infotehnoloogilise andmekoguna ning selle andmeid töödeldakse ja säilitatakse digitaalsel kujul. Infosüsteemi ja selles töödeldavate andmete kaitsetarve on konfidentsiaalsuse, tervikluse ja käideldavuse osas väga suur. Infosüsteemi turbeviis on tuumikturve ning turvameetmete rakendamisel lähtutakse Eesti infoturbestandardist. Infosüsteemi andmete vahetamine teiste infosüsteemide ja andmekogudega toimub õigusaktides sätestatud juhtudel ja korras.
2. peatükk. Vastutav ja volitatud töötleja
Eelnõu teine peatükk koosneb neljast paragrahvist, milles sätestatakse infosüsteemi vastutav ja volitatud töötleja ning nende ülesanded.
Eelnõu § 5 kohaselt on KAPLIS-i vastutav töötleja Kaitseministeerium.
Eelnõu §-s 6 on loetletud vastutava töötleja ülesanded. KAPLIS vastutav töötleja korraldab infosüsteemi arendamise, haldamise ja toimimise ning tagab selle vastavuse õigusaktides sätestatud nõuetele. Vastutav töötleja vastutab KAPLIS-i kasutamise, andmete töötlemise ning infosüsteemi turvalisuse ja töökindluse korraldamise eest ulatuses, mis on vajalik õigusaktidest tulenevate ülesannete täitmiseks.
Vastutava töötleja ülesanded hõlmavad muu hulgas infosüsteemi pidamise korraldamist, andmete koosseisu ja kvaliteedi tagamise meetmete rakendamist, kasutajaõiguste haldamist, andmekaitse ja infoturbe nõuete järgimise tagamist ning infosüsteemi arendamise ja hooldamise koordineerimist. Samuti tagab vastutav töötleja andmete säilitamise, arhiveerimise ja kustutamise kooskõlas õigusaktides sätestatud nõuetega ning korraldab andmevahetuse teiste infosüsteemidega, kui see on ette nähtud seaduses või selle alusel kehtestatud õigusaktides.
Vastutav töötleja võib oma ülesannete täitmiseks kaasata volitatud töötlejaid, kuid vastutus infosüsteemi õiguspärase toimimise ning isikuandmete töötlemise seaduslikkuse eest jääb vastutavale töötlejale ulatuses, mis tuleneb õigusaktidest.
Eelnõu §-s 7 määratakse infosüsteemi volitatud töötlejad ning täpsustatakse nende rollid infosüsteemi pidamisel.
Lõikes 1 sätestatakse infosüsteemi volitatud töötlejad, milleks on Kaitseministeeriumi valitsemisala asutused: Kaitsevägi, Riigi Kaitseinvesteeringute Keskus, Välisluureamet, Kaitseressursside Amet ning Kaitseliit. Volitatud töötlejad osalevad infosüsteemi pidamises vastavalt neile antud ülesannetele ning töötlevad infosüsteemi kantavaid andmeid oma pädevuse ja tööülesannete ulatuses.
Lõikes 2 sätestatakse, et infosüsteemi tehnilise toimimisega seotud ülesandeid täidab Kaitsevägi. Kaitsevägi vastutab infosüsteemi arendamise, haldamise, majutamise, tehnilise käitamise, varundamise ning muude infosüsteemi tehnilise toimimise tagamiseks vajalike tegevuste eest. Käesolevas lõikes nimetatud ülesandeid täidab üksnes Kaitsevägi.
Eelnõu §-s 8 sätestatakse volitatud töötleja ülesanded infosüsteemi pidamisel. Volitatud töötleja ülesannete eesmärk on tagada infosüsteemi nõuetekohane ja turvaline toimimine ning infosüsteemi kantavate andmete kvaliteet, ajakohasus ja kaitse.
Paragrahvis sätestatud ülesandeid täidab volitatud töötleja vastavalt oma pädevusele ja rollile infosüsteemi pidamisel. Infosüsteemi tehnilise arendamise, majutamise ja süsteemi käigushoidmisega seotud ülesandeid täidab vastavalt eelnõu § 7 lõikele 2 üksnes Kaitsevägi.
Volitatud töötleja ülesanded hõlmavad muu hulgas infosüsteemi käideldavuse tagamist, kasutajate haldamist, andmete töötlemise tehnilist korraldamist, infosüsteemi toimimise seiret ning infoturbe- ja andmekaitsemeetmete rakendamist vastavalt vastutava töötleja juhistele ja õigusaktides sätestatud nõuetele.
Volitatud töötlejal on õigus töödelda infosüsteemi andmeid üksnes ulatuses, mis on vajalik talle pandud ülesannete täitmiseks ning vastutava töötleja antud volituse piires. Volitatud töötlejal ei ole õigust kasutada andmeid muul eesmärgil ega teha andmete töötlemise eesmärkide või vahendite üle iseseisvaid otsuseid.
Volitatud töötleja on kohustatud tagama töödeldavate andmete konfidentsiaalsuse, tervikluse ja käideldavuse ning rakendama asjakohaseid organisatsioonilisi ja tehnilisi meetmeid andmete kaitseks. Samuti on volitatud töötleja kohustatud järgima vastutava töötleja juhiseid ning teavitama viivitamata vastutavat töötlejat asjaoludest, mis võivad mõjutada infosüsteemi nõuetekohast toimimist või andmete turvalisust.
Volitatud töötleja vastutab talle õigusaktidest ning vastutava töötleja antud juhistest tulenevate kohustuste nõuetekohase täitmise eest.
3. peatükk. Infosüsteemi koosseis.
Eelnõu kolmas peatükk koosneb neljast paragrahvist, milles sätestatakse infosüsteemi koosseis ja andmestik.
Eelnõu §-s 9 loetletakse infosüsteemi andmestikud. KAPLIS koosneb kolmest põhilisest andmestikust: isikuandmete andmestikust, organisatsiooniliste andmete andmestikust ning ressursiandmete andmestikust. Selline jaotus võimaldab eristada riigikaitse planeerimisel kasutatavaid andmeid nende olemuse ja kasutusotstarbe järgi ning tagab infosüsteemi loogilise ülesehituse.
Isikuandmete andmestik sisaldab riigikaitselise personali planeerimiseks vajalikke andmeid isikute kohta. Organisatsiooniliste andmete andmestik koondab riigikaitse planeerimise, võimearenduse, valmisoleku ja juhtimisprotsesside andmeid. Ressursiandmete andmestik sisaldab riigikaitseliste võimete loomiseks ja ülalpidamiseks vajalike ressursside, sealhulgas varade, hangete, eelarve ning logistika andmeid.
Andmestike eristamine võimaldab rakendada erinevaid juurdepääsuõiguseid, andmekaitsemeetmeid ja andmehalduse põhimõtteid vastavalt töödeldavate andmete sisule ning tagab parema jälgitavuse ja analüüsivõimekuse riigikaitseliste otsuste ettevalmistamisel.
Eelnõu §-s 10 loetletakse isikuandmete andmestik. Isikuandmete andmestiku eesmärk on tagada riigikaitseliste ülesannete täitmiseks vajaliku personaliressursi planeerimine ning sõjaaja koosseisude ja ametikohtade komplekteerimise toetamine. Andmestik võimaldab hinnata, millised isikud vastavad planeeritud ülesannete täitmiseks vajalikele nõuetele ning milline on Kaitseministeeriumi valitsemisala käsutuses olev personalivõimekus.
Andmestikus töödeldakse isiku üldandmeid, hariduse ja töökogemusega seotud andmeid, teenistuskäigu andmeid ning kaitseväekohustuslase tervisenõuetele vastavuse andmeid. Eeltoodud andmed võimaldavad hinnata isiku sobivust konkreetsete riigikaitseliste ülesannete täitmiseks, sealhulgas spetsialisti-, juhtimis- või tehnilistele ametikohtadele määramisel.
Tervisenõuetele vastavuse andmeid kasutatakse üksnes ulatuses, mis on vajalik sõjaaja ametikoha või sõjaaja ülesande täitmiseks sobivuse hindamisel. Näiteks võimaldab infosüsteem hinnata, kas konkreetse kvalifikatsiooniga isik vastab samaaegselt ka talle planeeritud sõjaaja ametikoha tervisenõuetele. Õigus selliste andmete töötlemiseks tuleneb kriisiolukorra ja riigikaitse seaduse § 137 lõikest 3.
Näiteks võib andmestikku kasutada analüüsimaks, kas konkreetse võime arendamiseks on olemas piisav arv nõutava hariduse, väljaõppe, teenistuskogemuse ja tervisenõuetele vastavusega isikuid või millistes valdkondades esineb personali puudujääke.
Eelnõu §-s 11 sätestatakse organisatsiooniliste andmete andmestik. Organisatsiooniliste andmete andmestik sisaldab riigikaitse planeerimiseks ja juhtimiseks vajalikke andmeid organisatsioonide, võimete, protsesside ning tegevuste kohta. Andmestiku eesmärk on võimaldada tervikvaate loomist riigikaitseliste võimete arendamisest, valmisolekust ning nende saavutamiseks vajalikest tegevustest ja otsustest.
Andmestik hõlmab muu hulgas andmeid rahu- ja sõjaaja võimete, võimearenduse, võimeprojektide, riigikaitse arengukava eesmärkide, otsustuspakettide, arengukavade meetmete ning nende elluviimise seire kohta. Samuti sisaldab andmestik andmeid üksuste lahingvalmiduse, protsesside, struktuuride, vastutajate, kooskõlastuste ja mõjuanalüüside kohta.
Andmestik võimaldab seostada strateegilisi eesmärke nende saavutamiseks vajalike tegevuste, projektide ja ressurssidega. Näiteks saab infosüsteemis hinnata, milline mõju on konkreetse hanke, taristuobjekti või personaliressursi muudatusel riigikaitse arengukavas kavandatud võime saavutamisele. Samuti võimaldab infosüsteem jälgida võimeprojektide edenemist ning hinnata nende vastavust planeeritud tähtaegadele ja eesmärkidele.
Organisatsioonilised andmed moodustavad siduva kihi isikuandmete ja ressursiandmete vahel, võimaldades analüüsida, kuidas personal, ressursid ja tegevused panustavad riigikaitseliste eesmärkide saavutamisse.
Eelnõu §-s 12 sätestatakse ressursiandmete andmestik. Ressursiandmete andmestiku eesmärk on võimaldada riigikaitseliste võimete loomiseks, arendamiseks ja ülalpidamiseks vajalike materiaalsete, finantsiliste ja logistiliste ressursside terviklikku planeerimist ning jälgimist. Andmestik koondab ressursihalduse, hankeplaneerimise, finantsjuhtimise ja taristuplaneerimisega seotud andmed ühtsesse keskkonda.
Andmestikus töödeldakse muu hulgas varade, varude, hooldushalduse, hangete, eelarve ja finantsarvestuse andmeid. Varade andmestik sisaldab näiteks andmeid relvastuse, sõidukite, inventari, seadmete ja taristuobjektide kohta. Varude arvestus hõlmab andmeid ladude, laoseisude, varude liikumise ja inventuuride kohta. Hooldushalduse andmed sisaldavad hooldusobjektide, töökäskude, hooldusplaanide ja ressursside kasutamise andmeid.
Hankevajaduse planeerimise andmed hõlmavad kaitseotstarbelise varustuse, IKT teenuste ja lahenduste, taristu arendamise ning korrashoiuga seotud planeeritavaid hankeid, nende maksumusi, ajakavasid, rahastamisallikaid ja mõju riigikaitseliste eesmärkide saavutamisele. Lisaks sisaldab andmestik hankeprojektide juhtimise andmeid, sealhulgas menetluste, lepingute, tarnijate ja täitmisega seotud infot.
Finantsandmed hõlmavad eelarve-, raamatupidamis- ja kuluarvestuse andmeid ning võimaldavad analüüsida riigikaitseliste tegevuste rahastamist ja ressursside kasutamist. Näiteks saab infosüsteemis võrrelda riigikaitse arengukavas planeeritud võime eesmärkide saavutamiseks vajalikke ressursse tegelike hangete, eelarvevahendite ja olemasolevate varadega. See võimaldab hinnata kavandatud tegevuste teostatavust ning toetada juhtimisotsuste tegemist nii strateegilisel kui operatiivsel tasandil.
4. peatükk. Andmete töötlemine
Eelnõu neljas peatükk koosneb neljast paragrahvist, milles sätestatakse andmete andjad ja saajad, andmete infosüsteemi kandmine ja selle viis ning andmete õigsuse tagamine ja ebaõigete andmete parandamine.
Eelnõu §-is 13 sätestatakse andmekogud, millest infosüsteem saab oma ülesannete täitmiseks vajalikke andmeid. Sätte eesmärk on kasutada juba olemasolevaid andmeid, vältida andmete korduvat kogumist ning tagada infosüsteemis kasutatavate andmete ajakohasus ja kvaliteet.
Riigi personali- ja palgaarvestuse andmekogust saadakse finants- ja personaliandmeid, sealhulgas ametikohtade andmeid. Kaitseväekohustuslaste registrist saadakse andmed kaitseväekohustuslase ja kaitseväekohustust võtta sooviva isiku kaitseväeteenistuse ja kaitseväeteenistuse käigu kohta, nt teave isiku rahuaja ja sõjaaja ametikohale nimetamise ning sõjaväelise väljaõppe, ning teave isikute tervisenõuetele vastavuse kohta. Kaitseväe meditsiini infosüsteemist saadakse terviseseisundi hindamise otsuseid. Riigihangete registrist saadakse hangete ja sõlmitud lepingute andmeid. Mobilisatsiooniregistrist saadakse andmeid mobilisatsiooniressursside kohta. Tsiviiltoetuste registrist saadakse riigikaitse planeerimiseks vajalikke ressursside andmeid. Andmevahetus toimub turvaliste andmevahetuskanalite kaudu.
Eelnõu §-is 14 sätestatakse andmekogud ja infosüsteemid, kuhu infosüsteem edastab oma ülesannete täitmise käigus töödeldavaid andmeid. Andmete väljastamine on vajalik seotud andmekogude ja infosüsteemide andmete ajakohasena hoidmiseks ning riigikaitseliste, personali-, finants- ja logistikaalaste ülesannete täitmise toetamiseks.
Riigi personali- ja palgaarvestuse andmekogusse edastatakse ostuarvete andmeid. Mobilisatsiooniregistrisse edastatakse andmeid sõjaaja ametikohtade kohta. Tsiviiltoetuste registrisse edastatakse riigikaitse arengukavast tulenevaid ja riigikaitse planeerimiseks vajalikke tellimusi. Põhja-Atlandi Lepingu Organisatsiooni logistika infosüsteemile Logistics Functional Area Services edastatakse varade ja personali andmeid. Andmevahetus toimub turvaliste andmevahetuskanalite kaudu.
Eelnõu § 15 eesmärk on reguleerida infosüsteemi andmete kandmise viise, määrata andmete sisestamiseks õigustatud isikud ning kehtestada andmete infosüsteemi kandmise tähtaeg. Regulatsioon tagab andmete õigeaegse, turvalise ja ühtsete põhimõtete alusel toimuva kandmise infosüsteemi ning toetab andmete kvaliteeti ja ajakohasust.
Lõikes 1 sätestatakse andmete infosüsteemi kandmise viisid. Eelistatud viis on andmete automaatne ülekandmine teiste riiklike andmekogudega infosüsteemide vahelise andmevahetuskihi kaudu, mis vähendab andmete dubleerimist, käsitsi sisestamisest tulenevaid vigu ning halduskoormust. Juhul kui automaatne andmevahetus ei ole võimalik või asjakohane, võib andmeid kanda infosüsteemi käsitsi selleks loodud veebiliidese kaudu andmeandja volitatud kasutaja. Samuti võimaldatakse andmete kandmine masinloetava andmefaili importimise teel, kui see on andmete mahu või tehnilise korralduse tõttu otstarbekas ning seda teeb selleks õigustatud kasutaja. Säte tagab paindlikud tehnilised lahendused, arvestades erinevate andmeandjate võimekust ja infosüsteemide tehnilisi võimalusi.
Lõikega 2 sätestatakse kasutajaõiguste andmise kord. Andmete infosüsteemi kandmiseks õigustatud ametiisikud määrab andmeandja, kes vastutab selle eest, et andmete sisestamise või importimise õigus antakse üksnes tööülesannete täitmiseks vajalikus ulatuses. Kasutajaõiguste loomiseks esitab andmeandja vastutavale töötlejale põhjendatud taotluse. Selline kord tagab kasutajaõiguste kontrollitavuse, vastutuse selguse ning vastab minimaalse vajalikkuse põhimõttele infosüsteemi kasutajaõiguste haldamisel.
Lõikega 3 kehtestatakse andmete infosüsteemi kandmise tähtaeg. Andmed tuleb kanda infosüsteemi viivitamata pärast andmete kandmise aluseks oleva asjaolu ilmnemist, kuid hiljemalt viie tööpäeva jooksul sündmuse toimumisest, otsuse tegemisest või teabe laekumisest. Tähtaja kehtestamise eesmärk on tagada infosüsteemis olevate andmete ajakohasus ja usaldusväärsus ning võimaldada infosüsteemi andmete õigeaegset kasutamist seadusest tulenevate ülesannete täitmisel. Samas annab viiepäevane tähtaeg andmeandjale mõistliku aja andmete kontrollimiseks ja infosüsteemi kandmiseks olukordades, kus andmete viivitamatu sisestamine ei ole objektiivselt võimalik.
Eelnõu §-ga 16 sätestatakse andmete õigsuse tagamise ja ebaõigete andmete parandamise regulatsioon. Sätte eesmärk on tagada infosüsteemi kantavate andmete õigsus, ajakohasus ja usaldusväärsus ning sätestada selged vastutus- ja menetlusreeglid ebaõigete andmete parandamiseks. Regulatsioon toetab andmete kvaliteedi tagamist ning andmesubjekti õiguste tõhusat kaitset kooskõlas isikuandmete kaitse üldmääruse (EL) 2016/679 põhimõtetega.
Lõikega 1 sätestatakse andmeandja vastutus tema poolt infosüsteemi sisestatud või edastatud andmete korrektsuse ja õigsuse eest andmete sisestamise või edastamise hetkel. Vastutus hõlmab üksnes neid andmeid, mille andmeandja infosüsteemi kannab või mille kandmise ta algatab. Sätte eesmärk on tagada, et infosüsteemi jõuavad võimalikult õiged ja kontrollitud andmed ning et andmete õigsuse eest vastutav isik on üheselt määratletud.
Lõikega 2 nähakse ette nii andmeandja kui ka töötleja kohustus reageerida infosüsteemis avastatud ebaõigetele andmetele. Ebaõigete andmete avastamisel tuleb viivitamata võtta meetmed nende parandamiseks või juhul, kui isikul puudub selleks pädevus või tehniline võimalus, teavitada viivitamata vastutavat töötlejat. Sätte eesmärk on tagada, et andmete ebaõigsused kõrvaldatakse võimalikult kiiresti ning välditakse ebaõigete andmete edasist kasutamist.
Lõikega 3 sätestatakse andmesubjekti õigus nõuda enda kohta käivate ebaõigete isikuandmete parandamist vastutavalt töötlejalt. Tegemist on andmesubjekti õigusega, mis tuleneb isikuandmete kaitse üldmääruse artiklist 16, mille kohaselt on andmesubjektil õigus nõuda ebaõigete isikuandmete parandamist ning vajaduse korral mittetäielike isikuandmete täiendamist. Säte täpsustab selle õiguse teostamise korda infosüsteemi kontekstis.
Lõikes 4 reguleeritakse andmesubjekti esitatud parandamistaotluse menetlemist. Kui taotlus on põhjendatud, parandab vastutav töötleja isikuandmed viivitamata. Kui taotlus ei ole põhjendatud, keeldub vastutav töötleja andmete parandamisest ning esitab andmesubjektile kirjaliku põhjenduse ühe kuu jooksul taotluse saamisest arvates. Ühekuuline tähtaeg vastab isikuandmete kaitse üldmääruse artikli 12 lõikes 3 sätestatud üldisele tähtajale andmesubjekti taotlusele vastamiseks. Regulatsioon tagab ühelt poolt andmesubjekti õiguste tõhusa kaitse ning teiselt poolt vastutava töötleja kohustuse põhjendada andmete parandamisest keeldumist läbipaistvalt ja kontrollitavalt.
5. peatükk. Juurdepääsuõigused ja logimine
Eelnõu viies peatükk koosneb kolmest paragrahvist.
Eelnõu §-s 17 sätestatakse infosüsteemile ja selles sisalduvatele andmetele juurdepääsu andmise põhimõtted, juurdepääsuõiguse taotlemise kord ning juurdepääsuõiguse lõpetamise alused. Regulatsiooni eesmärk on tagada, et infosüsteemile võimaldatakse juurdepääs üksnes neile isikutele, kellel on see vajalik teenistus- või tööülesannete täitmiseks, ning et infosüsteemis töödeldavate andmete konfidentsiaalsus ja turvalisus on tagatud.
Lõikega 1 sätestatakse infosüsteemile juurdepääsu andmise üldpõhimõtted. Juurdepääs infosüsteemile ja selles sisalduvatele andmetele antakse üksnes teenistus- või tööülesannete täitmiseks ning teadmisvajaduse põhimõttest lähtudes. See tähendab, et kasutajal võimaldatakse juurdepääs üksnes nendele andmetele ja funktsioonidele, mis on vajalikud tema tööülesannete täitmiseks. Säte rakendab minimaalse juurdepääsu põhimõtet ning aitab vähendada põhjendamatu andmetöötluse ja andmete väärkasutuse riski.
Lõikes 2 nähakse ette juurdepääsuõiguse taotlemise kord. Juurdepääsuõiguse saamiseks esitab asutus vastutavale töötlejale põhjendatud taotluse, milles märgitakse kasutaja ning taotletava juurdepääsu ulatus. Selline kord võimaldab hinnata, kas taotletav juurdepääs on kasutaja tööülesannete täitmiseks vajalik ja asjakohane ning tagab juurdepääsuõiguste andmise menetluse kontrollitavuse.
Lõikega 3 sätestatakse tähtaeg juurdepääsuõiguse taotluse lahendamiseks. Vastutav töötleja otsustab juurdepääsuõiguse andmise või sellest keeldumise viie tööpäeva jooksul taotluse saamisest arvates. Tähtaja eesmärk on tagada juurdepääsuõiguste õigeaegne menetlemine ning infosüsteemi kasutamiseks vajalike õiguste kiire võimaldamine isikutele, kelle tööülesannete täitmine seda eeldab.
Lõikega 4 reguleeritakse juurdepääsuõiguste lõpetamist. Kui teenistus- või töösuhe lõpeb või langeb ära vajadus infosüsteemile juurdepääsuks, on asutus kohustatud sellest vastutavat töötlejat viivitamata teavitama, kuid hiljemalt kolme tööpäeva jooksul. Vastutav töötleja sulgeb kasutajakonto kahe tööpäeva jooksul teate saamisest. Sätte eesmärk on tagada, et infosüsteemile ei säiliks põhjendamatuid juurdepääsuõigusi ning vähendada andmete loata töötlemise ja infoturbeintsidentide riski. Juurdepääsuõiguste õigeaegne lõpetamine on oluline osa infosüsteemi turvameetmetest ning toetab isikuandmete kaitse ja infoturbe nõuete täitmist.
Eelnõu §-ga 18 kehtestatakse infosüsteemi kasutajaõiguste ja kasutajarollide määramise üldpõhimõtted ning nähakse ette, et kasutajaõiguste haldamise üksikasjalik kord reguleeritakse infosüsteemi kasutuskorras. Regulatsioon aitab tagada, et infosüsteemile antakse juurdepääs üksnes ulatuses, mis on vajalik kasutaja teenistus- või tööülesannete täitmiseks, ning toetab infosüsteemi turvalist ja õiguspärast kasutamist.
Lõikega 1 sätestatakse põhimõte, mille kohaselt määratakse infosüsteemi kasutajale juurdepääsuõigused ja kasutajarollid tema teenistus- või töökohustustest lähtudes ning teadmisvajaduse põhimõtte alusel. See tähendab, et kasutajale antakse juurdepääs üksnes nendele andmetele, funktsioonidele ja töötlustoimingutele, mis on vajalikud tema ülesannete täitmiseks. Kasutajarollide rakendamine võimaldab diferentseerida kasutajate õigusi vastavalt nende pädevusele ja ülesannetele ning vähendab põhjendamatu juurdepääsu ja andmete väärkasutuse riski. Säte lähtub minimaalse vajalikkuse põhimõttest ning toetab isikuandmete kaitse ja infoturbe nõuete järgimist.
Lõikega 2 nähakse ette, et kasutajate rollide täpsem jaotus, kasutajaõiguste andmise, muutmise ja sulgemise kord ning tehnilised juurdepääsupiirangud sätestatakse infosüsteemi kasutuskorras. Selline regulatsioon võimaldab kasutajaõiguste haldamise üksikasju vajaduse korral operatiivselt ajakohastada, ilma et selleks oleks vaja muuta määrust. Kasutuskorras sätestatakse muu hulgas kasutajarollide kirjeldused, vastavad õiguste ulatused, õiguste andmise ja muutmise menetlus ning tehnilised meetmed, millega tagatakse kasutajate autentimine, autoriseerimine ja juurdepääsu piiramine. See tagab infosüsteemi kasutajaõiguste ühtse, läbipaistva ja kontrollitava haldamise ning toetab infosüsteemi turvalist toimimist.
Eelnõu §-i 19 eesmärk on reguleerida infosüsteemis tehtavate toimingute logimist ning logiandmete säilitamist. Logimine on oluline meede infosüsteemi turvalisuse tagamisel, andmete töötlemise õiguspärasuse kontrollimisel ning võimalike rikkumiste, väärkasutuste või infoturbeintsidentide tuvastamisel. Samuti toetab logimine vastutuse kindlakstegemist ning võimaldab vajaduse korral kontrollida infosüsteemi kasutamise õiguspärasust.
Lõikega 1 sätestatakse kohustus logida automaatselt kõik infosüsteemis tehtavad olulised toimingud. Logimisele kuuluvad päringud, andmete kandmine, muutmine, vaatamine ja kustutamine. Automaatne logimine välistab kasutaja võimaluse mõjutada logikirjete tekkimist ning tagab logiandmete usaldusväärsuse ja tervikluse. Logimise eesmärk ei ole kasutajate tegevuse pidev jälgimine, vaid infosüsteemi kasutamise kontrollimise ja auditeerimise tagamine.
Lõikes 2 määratletakse logikirje minimaalne koosseis. Logikirje peab sisaldama toimingu teinud kasutaja ees- ja perekonnanime, toimingu tegemise täpset kuupäeva ja kellaaega ning toimingu liiki ja sisu. Nimetatud andmed võimaldavad üheselt tuvastada toimingu teinud kasutaja, toimingu täpse aja ning sisu. Minimaalsete logiandmete kindlaksmääramine tagab ühtse logimispraktika ning võimaldab vajaduse korral tõhusalt läbi viia järelevalvet, siseauditeid ja rikkumiste menetlemist.
Lõikega 3 sätestatakse logiandmete säilitamise tähtaeg. Logiandmeid säilitatakse logi andmebaasis kolm aastat päringu või kande tegemisest arvates, mille järel logikirjed kustutatakse. Kolme aastane säilitamistähtaeg on vajalik, et võimaldada kontrollida infosüsteemi kasutamise õiguspärasust ka pikema aja jooksul ning tagada tõendite olemasolu võimalike vaidluste, järelevalvemenetluste või õigusrikkumiste menetlemisel. Säilitamistähtaja möödumisel logikirjete kustutamine tagab, et logiandmeid ei säilitata kauem, kui see on nende töötlemise eesmärgi saavutamiseks vajalik, ning toetab isikuandmete kaitse üldmäärusest tuleneva säilitamise piiramise põhimõtte järgimist.
6. peatükk. Andmete säilitamine ja arhiveerimine
Eelnõu kuues peatükk koosneb kahest paragrahvist.
Eelnõu §-ga 20 kehtestatakse infosüsteemi kantud isikuandmete säilitamise tähtajad pärast isiku kaitseväekohustuse lõppemist või surma. Säilitamistähtajad lähtuvad kriisiolukorra ja riigikaitse seaduse § 137 lõikest 5 ning tagavad, et isikuandmeid säilitatakse üksnes nii kaua, kui see on vajalik seadusest tulenevate ülesannete täitmiseks, ajaloolise teabe säilitamiseks, õiguste kaitseks ning võimalike vaidluste lahendamiseks.
Lõikega 1 nähakse ette, et pärast isiku kaitseväekohustuse lõppemist või surma säilitatakse infosüsteemi kantud isikuandmeid diferentseeritult sõltuvalt nende liigist.
Punkti 1 kohaselt säilitatakse isikut tuvastavaid andmeid ning andmeid isiku kaitseväeteenistuse käigu kohta kuni 50 aastat. Pikem säilitamistähtaeg on põhjendatud vajadusega tagada andmete kasutatavus riigikaitseliste ülesannete täitmisel, võimaldada vajaduse korral kontrollida isiku kaitseväeteenistusega seotud asjaolusid ning säilitada riigikaitseliselt oluline ajalooline teave. Samuti võimaldab see lahendada võimalikke hilisemaid õiguslikke küsimusi, mis võivad olla seotud isiku teenistuskäiguga.
Punktiga 2, tagatakse et kõik muud infosüsteemi kantud isikuandmed säilitatakse kuni kümme aastat. Tegemist on andmetega, mille säilitamine pikema aja jooksul ei ole pärast kaitseväekohustuse lõppemist või isiku surma enam vajalik. Kümneaastane säilitamistähtaeg võimaldab täita seadusest tulenevaid haldusülesandeid, lahendada võimalikke vaidlusi ning teostada järelevalvet, järgides samal ajal isikuandmete kaitse üldmäärusest tulenevat säilitamise piiramise põhimõtet.
Sättega tagatakse, et infosüsteemis töödeldavate isikuandmete säilitamine on selgelt reguleeritud, proportsionaalne ning kooskõlas nii kriisiolukorra ja riigikaitse seadusega kui ka isikuandmete kaitse üldmääruse nõuetega. Säilitamistähtaegade möödumisel kuuluvad andmed kustutamisele või muul viisil töötlemise lõpetamisele kooskõlas infosüsteemi andmete säilitamise ja arhiveerimise korraga.
Lõikega 2 sätestatakse alaliselt säilitatavad andmed, milleks on riigikaitseliste võimete ja taristu planeerimisandmeid, millel on ajalooline või strateegiline väärtus. Näiteks varustustabelites materjalide planeerimisnimetus või võimete arenduseks kulunud ressursside jaotus.
Eelnõu §-s 21 sätestatakse KAPLIS-is töödeldavate andmete käitlemine pärast nende säilitustähtaja möödumist. Sätte eesmärk on tagada, et andmete säilitamine toimub kooskõlas isikuandmete kaitse ja arhiivindust reguleerivate õigusaktidega. Regulatsioon lähtub põhimõttest, et andmeid ei säilitata kauem, kui see on vajalik nende töötlemise eesmärgi saavutamiseks, välja arvatud juhul, kui seadusest tuleneb kohustus säilitada need arhiiviväärtusega teabena.
Lõikega 1 sätestatakse, et andmed, mille säilitustähtaeg on möödunud, kustutatakse infosüsteemist. Andmete kustutamise eesmärk on tagada isikuandmete kaitse üldmääruse artikli 5 lõike 1 punktis e sätestatud säilitamise piiramise põhimõtte järgimine, mille kohaselt võib isikuandmeid säilitada üksnes seni, kuni see on vajalik nende töötlemise eesmärkide saavutamiseks.
Erandina ei kustutata andmeid, mis on arhiiviseaduse alusel tunnistatud arhiiviväärtuslikuks. Sellised andmed antakse üle Rahvusarhiivile kooskõlas arhiiviseaduses sätestatud korraga. Arhiiviväärtuslike andmete üleandmise eesmärk on tagada avaliku võimu tegevust kajastava teabe pikaajaline säilimine ning selle kasutatavus ajaloolistel, teaduslikel, kultuurilistel ja õiguslikel eesmärkidel. Sättega tagatakse kooskõla isikuandmete kaitse üldmääruse ning arhiiviseaduse nõuetega ning välditakse nii põhjendamatut andmete säilitamist kui ka arhiiviväärtusega teabe hävimist.
Lõikega 2 reguleeritakse kasutusest eemaldatud andmete säilitamist andmekogu arhiivis ning nendele juurdepääsu tingimusi. Regulatsioon tagab, et andmed, mida enam igapäevases andmetöötluses ei kasutata, säilitatakse kuni seaduses või määruses ette nähtud säilitustähtaja saabumiseni, tagades samal ajal nende turvalisuse ja piiratud kasutamise. Lõikega 2 sätestatakse, et kasutusest eemaldatud andmed säilitatakse andmekogu arhiivis kuni §-s 20 sätestatud säilitustähtaja möödumiseni, mille järel need kustutatakse.
Kasutusest eemaldamine tähendab, et andmed ei ole enam aktiivses kasutuses ega ole tavapäraste tööprotsesside käigus kättesaadavad, kuid nende säilitamine on jätkuvalt vajalik õigusaktidest tulenevate kohustuste täitmiseks, võimalike vaidluste lahendamiseks, järelevalve teostamiseks või muudel õiguspärastel eesmärkidel. Säilitustähtaja möödumisel andmed kustutatakse, välja arvatud juhul, kui nende suhtes kohaldub arhiiviseadusest tulenev üleandmiskohustus Rahvusarhiivile.
7. peatükk. Turvameetmed ja isikuandmete kaitse
Eelnõu seitsmes peatükk koosneb kahest paragrahvist.
Eelnõu § 22 sätestab KAPLIS üldised turvanõuded. Üldine kohustus tagada infosüsteemi turvalise pidamise, mille kohaselt rakendatakse infosüsteemi kaitseks asjakohaseid organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid. Eesmärk on tagada infosüsteemi ja selles töödeldavate andmete konfidentsiaalsus, terviklus ja käideldavus ning vähendada andmete hävimise, muutmise, loata avalikustamise või muu õigusvastase töötlemise riski.
Lõikega 1 sätestatakse, et infosüsteemi pidamisel rakendatakse kohustuslikke organisatsioonilisi, füüsilisi ja infotehnoloogilisi turvameetmeid vastavalt kehtivale riigi infosüsteemide turvameetmete süsteemile. Organisatsioonilised turvameetmed hõlmavad muu hulgas kasutajaõiguste haldamist, turvapoliitikate kehtestamist, töötajate teadlikkuse tagamist ning tegevuste kontrollitavust. Füüsilised turvameetmed on suunatud infosüsteemi toimimiseks kasutatava taristu ja seadmete kaitsele volitamata juurdepääsu, kahjustamise või hävimise eest. Infotehnoloogilised turvameetmed hõlmavad näiteks kasutajate autentimist, juurdepääsu kontrolli, andmete logimist, krüpteerimist, varundamist ning muid tehnilisi lahendusi, mis tagavad infosüsteemi turvalise toimimise.
Viide kehtivale riigi infosüsteemide turvameetmete süsteemile tagab, et infosüsteemi turvameetmed vastavad riigis ühtselt kehtestatud infoturbe nõuetele ning neid ajakohastatakse koos vastava regulatsiooni muutumisega. Selline lahendus väldib vajadust sätestada tehnilisi turvanõudeid määruses üksikasjalikult ning võimaldab rakendada ajakohaseid infoturbe standardeid ja meetmeid. Säte toetab ühtlasi isikuandmete kaitse üldmäärusest tulenevat kohustust rakendada asjakohaseid tehnilisi ja korralduslikke meetmeid, et tagada isikuandmete töötlemise turvalisus.
Lõikega 2 sätestatakse, et eriliigiliste isikuandmete ja riigikaitselise salastatud teabe töötlemisel tuleb tagada vastavus riigisaladuse ja salastatud välisteabe seaduse ning isikuandmete kaitse üldmääruse nõuetele. Eriliigiliste isikuandmete töötlemisel tuleb järgida eelkõige isikuandmete kaitse üldmääruses sätestatud seaduslikkuse, eesmärgipärasuse, minimaalsuse, õigsuse, säilitamise piiramise ning turvalisuse põhimõtteid ning rakendada andmete olemusest tulenevale riskile vastavaid tehnilisi ja korralduslikke turvameetmeid.
Riigikaitselise salastatud teabe töötlemisel tuleb lisaks järgida riigisaladuse ja salastatud välisteabe seadusest tulenevaid nõudeid, sealhulgas salastatuse tasemele vastavaid juurdepääsu-, käitlemis-, edastamis- ja kaitsemeetmeid. See tähendab muu hulgas, et sellisele teabele võimaldatakse juurdepääs üksnes vastava julgeolekukontrolli läbinud ja selleks volitatud isikutele ning teavet töödeldakse üksnes nõuetele vastavas keskkonnas. Eesmärk on tagada, et infosüsteemis töödeldavate tundlike andmete kaitse vastab nii riigikaitseliste kui ka isikuandmete kaitse nõuetele, vähendades seeläbi andmete loata avalikustamise, väärkasutuse või muu õigusvastase töötlemise riski. Regulatsioon aitab tagada infosüsteemi usaldusväärsuse ning toetab avaliku võimu ülesannete õiguspärast ja turvalist täitmist.
Eelnõu §-ga 23 kehtestada infosüsteemi kasutajate autentimise nõuded ning tagamaks infosüsteemile juurdepääsu võimalikkus üksnes usaldusväärselt tuvastatud kasutajatele. Arvestades infosüsteemis töödeldavate andmete, sealhulgas isikuandmete ja riigikaitselise teabe tundlikkust, on vajalik rakendada tugevamaid autentimisviise, mis vähendavad loata juurdepääsu ja kasutajakonto väärkasutuse riski.
Sätte kohaselt toimub kasutajate autentimine infosüsteemi sisenemisel üksnes asutuse keskse kataloogiteenuse kaudu, mille abil on võimalik usaldusväärselt tuvastada kasutaja isikusamasus ning tagada, et infosüsteemile juurdepääsu saab üksnes õigustatud isik selleks ettenähtud võrgus ja seadmes.
8. peatükk. Järelevalve, rahastamine ja likvideerimine
Eelnõu kaheksas peatükk koosneb kolmest paragrahvist.
Eelnõu §-ga 24 sätestatakse ja määratletakse KAPLIS pidamise seaduslikkuse üle teostatava järelevalve pädevus, järelevalve teostaja õigused ning vastutava töötleja kohustused järelevalvemenetluse tulemusel tuvastatud puuduste kõrvaldamisel. Regulatsiooni eesmärk on tagada infosüsteemi õiguspärane toimimine, andmete kaitse ning infosüsteemi turvalisuse ja nõuetekohase haldamise üle tõhus kontroll.
Eelnõu § 25 kohaselt rahastatakse infosüsteemi pidamist, litsentse, hooldust, majutust ning arendustöid riigieelarvest vastutavale töötlejale selleks otstarbeks eraldatud vahenditest. Infosüsteemi toimimiseks vajalikud kulud hõlmavad nii igapäevast haldamist ja tehnilise taristu ülalpidamist kui ka infosüsteemi arendamist ning ajakohastamist.
Eelnõu §-s 26 reguleeritakse infosüsteemi likvideerimise otsustamise pädevust ning määratakse kindlaks andmete edasine käitlemine infosüsteemi tegevuse lõpetamisel. Regulatsiooni eesmärk on tagada, et infosüsteemi likvideerimine toimub kontrollitult ning infosüsteemis sisalduvate andmete suhtes järgitakse õigusaktidest tulenevaid nõudeid.
Lõige 1 sätestab, et KAPLIS likvideerimise otsustab kaitseminister. Otsustusõiguse andmine kaitseministrile tagab, et infosüsteemi tegevuse lõpetamine toimub pädeva asutuse otsusel ning arvestades infosüsteemi rolli riigikaitseliste ülesannete täitmisel.
Lõikes 2 täpsustatakse, mille alusel infosüsteemi lõpetamisel andmed üle antakse või hävitatakse ning et selle korraldamine on vastutava töötleja ülesanne.
Infosüsteemi likvideerimisel tuleb otsustada infosüsteemis sisalduvate andmete edasine käitlemine. Sõltuvalt andmete iseloomust ja õigusaktidest tulenevatest nõuetest võib andmed üle anda teise andmekogusse või riiklikku arhiivi või need hävitada. Andmete üleandmise või hävitamise otsustamisel tuleb lähtuda arhiiviseadusest ning muudest asjakohastest õigusaktidest, sealhulgas andmete säilitustähtaegade ja arhiveerimise nõuetest.
Eesmärk on vältida olukorda, kus infosüsteemi likvideerimise järel jäävad andmed määratlemata seisundisse või neid säilitatakse põhjendamatult. Samuti tagatakse arhiiviväärtusliku teabe säilimine ning isikuandmete kaitse põhimõtete järgimine andmete edasise käitlemise käigus.
9. peatükk. Rakendussätted
Eelnõu § 27 sätestab määruse jõustumise aja, milleks on 1. oktoober 2026.a, mil jõustub käesoleva määruse kehtestamise aluseks olev kriisiolukorra ja riigikaitse seaduse volitusnorm.
4. Eelnõu terminoloogia
Eelnõus ei kasutata uusi termineid.
5. Eelnõu vastavus Euroopa Liidu õigusele
Eelnõu ei ole seotud Euroopa Liidu õiguse ega selle rakendamisega.
6. Määruse mõju
6.1. Mõju riigi julgeolekule ja riigikaitsele
Infosüsteemi eesmärk on toetada riigikaitse planeerimist ja kaitsevõime korraldamist ning tagada selleks vajalike andmete terviklik, ajakohane ja turvaline töötlemine. Infosüsteemi koondatakse muu hulgas riigikaitse planeerimise ja kaitsevõime korraldamise andmed, riigikaitse arengukava elluviimiseks vajalike ressursside arvestuse andmed, üksuste lahingvalmiduse andmed ning ressursihalduse andmed.
Samuti töödeldakse infosüsteemis andmeid hangete, ostude, arvemenetluse, varade ja varude arvestuse, hooldushalduse ja personaliarvestuse kohta ning andmeid kaitseotstarbelise varustuse, info- ja kommunikatsioonitehnoloogia, personali- ja tegevuskulude ning taristu arendamise ja korrashoiu hankevajaduse, eelarveotsuste, hankeprojektide juhtimise ja Kaitseministeeriumi valitsemisala strateegiliste andmevarade kohta.
Andmete koondamise tulemusena paraneb võimalus saada riigikaitse planeerimiseks ja juhtimiseks ühtne ülevaade olemasolevatest ja kavandatavatest võimetest, ressurssidest, vajadustest ja otsustest. Väheneb andmete dubleerimine ning vajadus pidada sama või kattuvat teavet mitmes infosüsteemis. Seega on mõju riigikaitse planeerimisele ja kaitsevõime tagamiseks väga suur ja positiivne.
Ühtse infosüsteemi kasutamine võimaldab parandada andmete ajakohasust ja kvaliteeti ning toetab andmetel põhinevate riigikaitseliste otsuste tegemist. Samuti võimaldab see paremini seostada strateegilise tasandi planeerimisandmeid nende elluviimiseks vajalike ressursside, hangete, eelarveotsuste ja muude tegevustega.
Mõju ulatus on suur. Muudatus mõjutab Kaitseministeeriumi valitsemisala riigikaitse planeerimise, juhtimise, ressursihalduse, hanke- ja eelarveprotsesse ning infosüsteemide kasutamist. Tegemist ei ole üksnes tehnilise infosüsteemi muudatusega, vaid andmete töötlemise ja kasutamise korralduse muutmisega.
Samas ei muudeta muudatusega iseenesest riigikaitse ülesandeid ega laiendata riigi pädevust. Muudatuse põhisisu on olemasolevate ülesannete täitmiseks vajalike andmete töötlemise koondamine ja ühtlustamine.
Mõju avaldub pidevalt, sest infosüsteemi kasutatakse riigikaitse planeerimise, ressursside juhtimise, hangete, eelarvestamise ja muude sellega seotud protsesside igapäevases korraldamises.
Mõjutatud sihtrühm on keskmine, hõlmates eelkõige Kaitseministeeriumi, Kaitseväe ja teiste Kaitseministeeriumi valitsemisala asutuste töötajaid ja teenistujaid, kelle tööülesanded eeldavad infosüsteemi andmete kasutamist või sisestamist. Kaudne mõju ulatub laiemalt riigikaitse planeerimises ja rahastamises osalevate riigiasutusteni.
Ebasoovitavate mõjude risk on keskmine kuni suur. Peamine risk tuleneb sellest, et erinevate valdkondade andmete koondamisel suureneb ühelt poolt andmete väärkasutuse või volitamata juurdepääsu võimalik mõju ning teiselt poolt infosüsteemi häire või küberintsidendi võimalik mõju riigikaitse planeerimisele ja juhtimisele. Riskide maandamiseks rakendatakse tugevat juurdepääsukontrolli, rollipõhist kasutajaõiguste süsteemi, toimingute logimist, andmete varundamist, infoturbe meetmeid ning infosüsteemi toimepidevuse ja taastamise korraldust.
Mõju on oluline. Muudatusel on riigikaitse seisukohast eelkõige positiivne mõju, kuna suureneb andmete terviklikkus ja paraneb riigikaitse ressursside planeerimise kvaliteet. Samal ajal suureneb keskse andmekogumi tõttu infosüsteemi turvalisuse ja toimepidevuse tähtsus.
6.2. Mõju isikuandmete kaitsele ja eraelu puutumatusele
Infosüsteemis töödeldakse muu hulgas personaliarvestuse ning riigikaitse planeerimise ja korraldamisega seotud isikuandmeid. Andmete koondamine võib võimaldada eri andmekogumitest pärinevate andmete omavahelist seostamist ning seeläbi suurendada üksikisiku kohta infosüsteemis moodustuva teabe hulka.
Muudatuse eesmärk ei ole isikuandmete töötlemise ulatuse põhjendamatu laiendamine, vaid riigikaitse ülesannete täitmiseks vajalike andmete töötlemise korraldamine ühtses infosüsteemis. Andmete koondamisega suureneb siiski risk, et ühe kasutaja või ühe turvaintsidendi kaudu võidakse saada juurdepääs suuremale hulgale andmetele kui seniste eraldiseisvate süsteemide puhul. Seetõttu tuleb andmetele juurdepääs siduda kasutaja konkreetsete tööülesannete ja teabevajadusega.
Muudatus võib muuta andmete töötlemise tehnilist ja korralduslikku viisi, kuid ei anna iseenesest alust töödelda isikuandmeid uutel eesmärkidel. Iga isikuandmete kategooria töötlemisel peab säilima selleks kohane õiguslik alus ning töötlemine peab olema seotud infosüsteemi eesmärgiga.
Mõju avaldub pidevalt, kuna personali- ja muud isikuandmed on infosüsteemis pidevalt töödeldavad. Mõjutatud sihtrühm on keskmine kuni suur, hõlmates infosüsteemis töödeldavate isikuandmetega seotud isikuid, eelkõige Kaitseministeeriumi valitsemisala töötajaid ja teenistujaid.
Ebasoovitavate mõjude risk on vähene, kuna andmete koondamine ei suurenda isikuandmete volitamata kasutamise, avalikuks tuleku või väärkasutuse mõju. Riski maandamiseks rakendatakse vajalikke andmekaitse põhimõtteid, minimaalse vajaliku juurdepääsu põhimõtet, kasutajaõiguste regulaarset ülevaatamist ning andmetöötlustoimingute logimist ja kontrolli.
Isikuandmete kaitse seisukohast hinnatakse andmete omavahelise seostamise võimalust, juurdepääsukorraldust, säilitustähtaegu ja andmete kasutamist erinevatel eesmärkidel.
6.3. Mõju riigisaladuse ja salastatud välisteabe kaitsele
Infosüsteemis töödeldavad andmed on osaliselt oma sisust tulenevalt riigisaladus. Näiteks andmed, mis käsitlevad kaitsevõimet, üksuste lahingvalmidust, riigikaitse planeerimist, kaitseotstarbelist varustust, strateegilisi andmevarasid või muid andmeid, mille avalikuks tulek võib kahjustada riigi julgeolekut.
Andmete koondamine ühte infosüsteemi suurendab vajadust tagada, et erineva salastatuse ja juurdepääsutasemega andmed oleksid nõuetekohaselt eristatud ning juurdepääs neile oleks antud üksnes selleks õigustatud isikutele.
Andmete paiknemine ühes infosüsteemis ei tähenda iseenesest, et kõik infosüsteemi andmed on riigisaladus. Andmete salastatus määratakse nende sisu ja kohaldatava õigusliku aluse järgi. Riigikaitselise teabe kaitse nõuete rikkumise tagajärjed on olulised ning mõjutada riigi julgeolekut, kaitsevõimet või rahvusvahelisi suhteid.
Mõju avaldub pidevalt infosüsteemi kasutamise ja haldamise käigus. Otsene sihtrühm on väike kuni keskmine, hõlmates eelkõige isikuid, kelle tööülesanded eeldavad juurdepääsu riigikaitselisele või salastatud teabele.
Ebasoovitavate mõjude risk on suur. Peamised riskid on volitamata juurdepääs, andmete lekkimine, andmete väärkasutamine ning infosüsteemi turvameetmete puudulikkus. Riskide maandamiseks tagatakse asjakohane turvataseme määramine, juurdepääsukontroll, kasutajate autentimine, logimine, turvaintsidentide avastamine ja käsitlemine ning infosüsteemi toimepidevus.
6.4. Mõju riigiasutuste töökorraldusele ja halduskoormusele
Pikemas perspektiivis on andmed ühtselt juhitud, mis vähendab haldus- ja töökoormust, kuna väheneb andmete dubleeriv sisestamine, käsitsi koondamine ja eri infosüsteemidest andmete koondamise vajadus, seega on mõju ulatus keskmine.
Sihtrühm hõlmab Kaitseministeeriumi valitsemisala asutuste infosüsteemide kasutajaid ja andmehalduses osalevaid isikuid.
Ebasoovitavate mõjude risk on vähene, mis tuleneb süsteemi suurusest ja mõnevõrra selle infosüsteemi keerulisemast haldamisest. Riski maandamiseks tõhustatakse andmete kvaliteedikontrolli ning kasutajate koolitamist.
6.5. Mõju riigi rahalistele vahenditele
Infosüsteemi arendamise kulutused on tänaseks juba tehtud jooksvatest vahenditest, mis on riigieelarvest eraldatud infosüsteemi arendamise eesmärgil. Kuna infosüsteemi kaudu hallatakse muu hulgas hanke-, eelarve-, varade ja ressursside andmeid, parandab ühtne andmekvaliteet ka riigikaitseliste investeeringute ja kulude planeerimise kvaliteeti.
Mõju ulatus on keskmine. Otsene mõju avaldub Kaitseministeeriumi valitsemisala eelarvele. Kaudne mõju võib avalduda riigieelarve planeerimise ja riigikaitseliste investeeringute juhtimise kvaliteedis.
Ebasoovitavate mõjude risk on vähene, sest määruse kehtestamise tulemusena ei lisandu midagi juurde, pigem loob see õigusselgust. Riski maandamiseks jätkatakse infosüsteemi arendamist etapiviisiliselt.
6.6. Mõju ettevõtjatele ja erasektorile
Eelnõuga ei kehtestata ettevõtjatele iseseisvaid kohustusi. Infosüsteemi eesmärk on eelkõige korraldada riigi enda riigikaitse planeerimise ja juhtimisega seotud andmete töötlemist. Mõju ettevõtjatele on seetõttu minimaalne.
Kokkuvõte
Määruse peamine mõju seisneb riigikaitse planeerimise, ressursside haldamise ning kaitsevõime arendamise toetamisel tervikliku ja turvalise infosüsteemi kaudu. Määrus suurendab riigikaitseliste andmete kvaliteeti, parandab planeerimisprotsesside tõhusust, tugevdab andme- ja küberturvet ning loob selged õiguslikud alused infosüsteemi pidamiseks ja kasutamiseks.
7. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud
Määrusega kehtestatakse infosüsteemi põhimäärus, mis ei too kaasa täiendavaid kulusid ega tulusid. Infosüsteemi põhiarendused on tänaseks juba tehtud. Infosüsteemi haldamisega seotud kulud ja täiendavad arendused kaetakse Kaitseministeeriumi eelarvest.
8. Määruse jõustumine
Määrus jõustub 1. oktoobril 2026, kuna sellel kuupäeval jõustub KORKS, mille § 138 lõike 3 alusel käesolev määrus kehtestatakse.
9. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon
Eelnõu esitatakse kooskõlastamiseks Justiits- ja Digiministeeriumile, Rahandusministeeriumile ja Riigikantseleile ning arvamuse avaldamiseks Kaitseväele, Kaitseressursside Ametile, Riigi Kaitseinvesteeringute Keskusele, Välisluureametile ja Kaitseliidule.