ARVAMUS

.09.2026 nr 1-2/26-434/4

Kellele: Euroopa Liidu asjade komisjon

Kellelt: Põhiseaduskomisjon

Istungi kuupäev: 21. september 2026

Võtsid osa:

komisjoni liikmed: Ants Frosch, Ando Kiviberg, Kalle Laanet, Hanno Pevkur, Evelin

Poolamets, Pipi-Liis Siemann, Timo Suslov, Tanel Tein, Jaak Valge

komisjoni ametnikud: Erle Enneveer, Helin Leichter, Markus Veia

Puudus: Anastassia Kovalenko-Kõlvart, Lauri Läänemets ja Helir-Valdor Seeder

Kutsutud: Justiits- ja Digiministeeriumi õiguspoliitika osakonna andmekaitseõiguse talituse

juhataja Kristi Värk ja sama talituse nõunik Helen Uustalu

Teema: ELAKile arvamuse andmine: Eesti seisukohad EL-i andmekaitsemääruse (EL)

2018/1725 muutmise kohta, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel

liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist

Ülevaade arutelust

Ando Kiviberg tutvustas külalisi ning Euroopa Liidu asjade komisjonile arvamuse andmise

tausta. Eelnõu eesmärk on ühtlustada Euroopa Liidu õiguskaitse- ja kriminaalõiguse

valdkonnas tegutsevate asutuste suhtes kohaldatavat andmekaitseraamistikku. Praegu on

andmekaitsereeglid killustatud Euroopa Liidu andmekaitsemääruse (EL 2018/1275) ja

üksikute asutuste asutamisaktide vahel, mis tekitab õiguskindlusetust ning raskendab

asutustevahelist koostööd ja andmevahetust. Eelnõuga soovitakse koondada ühised

andmekaitsenormid ühte õigusakti, laiendada Euroopa Liidu andmekaitsemääruse

kohaldamist Euroopa Prokuratuurile, suurendada õiguskindlust, vähendada regulatiivset

killustatust, ühtlustada Euroopa Andmekaitseinspektori järelevalvevolitusi ning lihtsustada

asutustevahelist andmevahetust. Samuti sisaldab eelnõu muudatusettepanekuid, millega

viiakse määruse üheksanda peatüki sätted kooskõlla digivaldkonna koondettepanekutega

tehtavate muudatustega. Seejärel andis ta sõna külalistele.

Helen Uustalu tutvustas Vabariigi Valitsuse seisukohti eelnõu kohta. Euroopa Liidu

andmekaitsemäärus kohaldub üldjuhul kõikidele Euroopa Liidu institutsioonidele ja

asutustele, kuid õiguskaitseasutuste andmetöötluse reeglid on seni olnud reguleeritud nende

põhimäärustes. Eesti toetab määruse kohaldamisala laiendamist, et üldmäärus hõlmaks

edaspidi ka õiguskaitseasutusi. Samuti märkis ta, et Eesti toetab Euroopa

Andmekaitseinspektori järelevalvevolituste laiendamist. Muudatuse kohaselt saaks Euroopa

Andmekaitseinspektor teostada järelevalvet ka nende õiguskaitseasutuste üle, kelle suhtes

hakkab kohalduma uus regulatsioon. Rahvusvahelise andmeedastuse küsimuses toetab Eesti

2

õiguskaitse ja kriminaalõiguse valdkonna asutuste andmeedastuse regulatsiooni

ümberkujundamist. Muudatustega täpsustatakse andmete kolmandatesse riikidesse edastamise

tingimusi ning andmeedastuse õiguslikke aluseid. Lõpetuseks sõnas ta, et andmesubjektide

õigusi ei tohi muudatustega nõrgendada. Eelnõu on seotud digivaldkonna koondettepanekute

(digiomnibusi) raames kavandatavate muudatustega. Isikuandmete kaitse üldmäärusesse

tehakse muudatusi digiomnibusi raames. Digiomnibusis muudetakse andmemäärust,

andmeedastusmäärust ja isikuandmete kaitse üldmäärust. Mõned digiomnibusi raames

kavandatavad muudatused sisalduvad ka käesolevas määruses. Eesti seisukoht digiomnibusi

muudatuste puhul on, et isikuandmete rikkumisest teavitamise tähtaega praegusest 72 tunnilt

väljapakutud 96 tunnile ei tuleks pikendada ning rikkumisest teavitamise lävendi tõstmist

üksnes “suure ohu korral” ei toetata. Tema sõnul peaksid institutsioonidele kohaldatava

Euroopa Liidu andmekaitsemääruse (EL 2018/1725) muudatused olema kooskõlas

digiomnibusi raames isikuandmete kaitse üldmääruses tehtavate muudatustega.

Ando Kiviberg küsis, millised muudatused kaasnevad eelnõu vastuvõtmisega võrreldes

kehtiva regulatsiooniga.

Helen Uustalu selgitas, et eelnõu peamine muudatus on õiguskaitseasutuste toomine Euroopa

Liidu andmekaitsemääruse kohaldamisalasse. Seni on nende asutuste andmetöötluse reeglid

olnud reguleeritud asutuste põhimäärustes, kuid edaspidi kohaldatakse neile üldmäärust.

Samas jääb asutuste põhimäärustesse võimalus sätestada valdkonnaspetsiifilisi erisusi, kui see

on õiguskaitseasutuste tegevuse eripära arvestades vajalik.

Kristi Värk selgitas, et kõnealune eelnõu on osa laiemast õigusloomelisest paketist, mis

hõlmab ka Europoli ja Eurojusti põhimääruste muutmist. Nende eelnõude menetlemine

Euroopa Liidus edeneb aeglasemalt ning need jõuavad tõenäoliselt Riigikogu menetlusse

hiljem. Käesoleva eelnõuga nähakse ette, et Europolile ja Eurojustile hakkavad edaspidi

kehtima ühtsed andmekaitse põhinõuded, mis tulenevad üldmäärusest. Samas jääb nende

põhimäärustesse võimalus sätestada üksikuid asutuse tegevusest tulenevaid erisusi. Tema

sõnul reguleeritakse üldised andmekaitsenõuded määrusega, samas kui asutuste

töökorraldusest tulenevad andmekaitseküsimused jäävad nende enda põhimäärustesse.

Helen Uustalu selgitas, et teine muudatus puudutab andmekaitseametniku ülesandeid.

Muudatused on seotud õiguskaitseasutuste kaasamisega määruse kohaldamisalasse ning

hõlmavad muu hulgas rikkumiste hindamist, mõjuhinnangute koostamist ja

andmekaitseametniku ülesannete täpsustamist. Muudatused arvestavad õiguskaitseasutuste

tegevuse eripärasid. Eelnõuga laiendatakse Euroopa Andmekaitseinspektori õigust kohaldada

sunnimeetmeid ka õiguskaitseasutuste suhtes. Kui seni ei olnud võimalik õiguskaitseasutusi

ettekirjutuste täitmata jätmise eest trahvida, siis edaspidi laieneb see võimalus ka neile.

Samuti tunnistatakse kehtetuks üks säte, mille vajadus langeb ära seoses määruse

kohaldamisala laiendamisega. Täpsustatakse ka automatiseeritud otsuste tegemise

regulatsiooni. Tegemist ei ole sisulise muudatusega, vaid regulatsiooni sõnastuse

korrastamisega ehk kui eelnevalt oli see sõnastatud “see on keelatud, välja arvatud juhul kui”,

3

siis edaspidi on “see lubatud tingimustel, et”. Automatiseeritud otsuste tegemise tingimused

jäävad võrreldes kehtiva regulatsiooniga samaks.

Kristi Värk täiendas, et automatiseeritud otsuste tegemise regulatsiooni muudatus on seotud

ka digiomnibusi raames arutatavate isikuandmete kaitse üldmääruse (GDPR) muudatustega.

Eesti seisukoht on olnud, et paralleelselt menetletavad muudatused peaksid olema omavahel

kooskõlas ning liikuma ühes suunas. Euroopa Liidu Nõukogus ja Euroopa Parlamendis käivad

veel läbirääkimised digiomnibusi ettepanekute üle. Tema sõnul soovib Eesti saavutada

läbirääkimistel lahenduse, mille kohaselt käesolevas eelnõus tehtavad muudatused oleksid

kooskõlas nende muudatustega, milles jõutakse kokkuleppele isikuandmete kaitse üldmääruse

muutmisel.

Helen Uustalu selgitas, et järgmise muudatusena täpsustatakse andmetega tutvumise õiguse

kuritarvitamist käsitlevat regulatsiooni. Muudatus on seotud ka digiomnibusi raames

arutatavate GDPR muudatustega. Muudatuse kohaselt oleks andmesubjektil õigus esitada

andmetega tutvumise taotlus üksnes andmekaitselisel eesmärgil. Ta tõi esile, et digiomnibusi

muudatustes Eesti ei toeta õiguse nii kitsast piiramist, kuna isikul võib olla vajadus oma

andmetega tutvuda ka muudel eesmärkidel. Eelnõuga nähakse ette ka eraldi

töötlemistoimingute registri regulatsioon õiguskaitseasutuste töödeldavate andmete jaoks.

Senise regulatsiooni kohaselt peavad asutused pidama arvestust töödeldavate isikuandmete,

nende päritolu, muutmise ja edastamise üle, kuid õiguskaitseasutuste tegevuse eripära tõttu

täpsustatakse nende suhtes kohaldatavaid nõudeid. Samuti täpsustatakse logimisnõudeid.

Logiandmete säilitamise ja kasutamise reegleid täiendatakse ning sätestatakse, et logiandmeid

ei tohi muuta. Lisaks nähakse ette võimalus anda logiandmeid pädevale järelevalveasutusele

andmekaitsealase uurimise läbiviimiseks. Muudetakse ka isikuandmete rikkumisest

teavitamise korda. Rikkumisest teavitamise tähtaega pikendatakse 72 tunnilt 96 tunnile ning

teavitamiskohustuse lävend tõstetakse olukorrale, kus rikkumine kujutab endast suurt ohtu.

Samuti muudetakse rahvusvahelise andmeedastuse regulatsiooni. Kehtestatakse üldised

tingimused andmete edastamiseks ning nähakse ette nõue, et andmeedastusel peab olema

vähemalt üks õiguslik alus, näiteks Euroopa Komisjoni vastavusotsus või andmeid vastuvõtva

riigi vastavus kindlaksmääratud andmekaitsenõuetele. Viimase muudatusega ühtlustatakse

Euroopa Andmekaitseinspektori järelevalvevolitusi, et ta saaks teostada järelevalvet ka

õiguskaitseasutuste üle.

Kristi Värk lisas, et rahvusvahelise andmeedastuse regulatsiooni muudatustega luuakse selge

õiguslik alus andmete vahetamiseks nende Schengeni ala riikidega, kes ei ole Euroopa Liidu

liikmesriigid. Selline koostöö on õiguskaitseasutuste tegevuse seisukohalt oluline ning

puudutab muu hulgas koostööd Europoli, Eurojusti ja Frontexiga. Andmevahetus nende

riikidega on lubatud tingimusel, et nad kohaldavad õiguskaitseasutuste andmekaitse

direktiivist tulenevaid andmekaitsenõudeid.

Ando Kiviberg küsis, kas eelnõuga kavandatavad muudatused loovad täiendavaid või

ladusamaid võimalusi õiguskaitseasutuste koostööks liikmesriikide vahel ning Schengeni

4

alaga liitunud Euroopa Liitu mittekuuluvate riikide õiguskaitseasutustega. Ta palus tuua

muudatuste mõju illustreerimiseks elulise näite.

Kristi Värk vastas, et eelnõu suurim praktiline mõju puudutab andmevahetust Schengeni

alaga liitunud Euroopa Liitu mittekuuluvate riikide õiguskaitseasutustega. Muudatustega

luuakse selge õiguslik alus selliseks andmevahetuseks. Määrus reguleerib eelkõige Euroopa

Liidu asutuste tegevust ega kohaldu otseselt liikmesriikide õiguskaitseasutustele. Samas

mõjutab see liikmesriikide asutuste koostööd Euroopa Liidu õiguskaitse- ja justiitsasutustega.

Eelnõuga luuakse erandjuhtudel täiendav võimalus andmete edastamiseks kolmandatesse

riikidesse. Tema sõnul võimaldatakse väga piiratud juhtudel saada andmeid kolmandate

riikide ettevõtjatelt, kui see on vajalik näiteks Europoli, Eurojusti või Euroopa Prokuratuuri

ülesannete täitmiseks. Tegemist on üksikute erandjuhtumitega, mitte tavapärase

andmevahetuse korraga.

Evelin Poolamets küsis andmetega tutvumise õiguse kuritarvitamist käsitleva sätte kohta. Ta

viitas eelnõus sisalduvale võimalusele jätta andmesubjekti taotlus rahuldamata juhul, kui

leitakse, et isik kuritarvitab oma õigust andmetega tutvuda. Ta küsis, kes ja milliste

kriteeriumide alusel otsustab, kas tegemist on õiguse kuritarvitamisega. Ta avaldas muret, et

selline regulatsioon võib piirata isikute võimalust kontrollida nende andmeid töötlevate

õiguskaitseasutuste tegevuse seaduslikkust. Samuti võib olla inimesel mitmesuguseid

põhjendatud vajadusi oma andmetega tutvumiseks. Ta küsis, kuidas tagatakse nende õiguste

kaitse.

Kristi Värk vastas, et esmase otsuse andmetega tutvumise taotluse rahuldamise või sellest

keeldumise kohta teeb taotlust menetlev asutus. Keeldumine peab olema põhjendatud ega saa

tugineda üksnes asutuse hinnangule. Tema sõnul peab olema võimalik põhjendada, miks

peetakse taotlust õiguse kuritarvitamiseks, näiteks juhul, kui isik esitab korduvalt sama

taotluse olukorras, kus talle on vastavad andmed juba väljastatud. Kui isik ei nõustu

keeldumisega, on tal võimalik otsus vaidlustada Euroopa Andmekaitseinspektori juures. Tema

sõnul saab järelevalveasutus seejärel kontrollida, kas taotluse rahuldamata jätmiseks oli

õiguslik alus ning kas keeldumine oli põhjendatud.

Evelin Poolamets tõi näitena olukorra, kus inimene soovib teada, kas õiguskaitseasutused

koguvad või töötlevad tema kohta andmeid. Ta viitas avalikkuses käsitletud valvekaamerate

kasutamisega seotud küsimustele ning avaldas muret, et andmetega tutvumise taotluse võib

jätta rahuldamata põhjendusega, et isikul puudub vajadus vastavat teavet saada.

Kristi Värk vastas, et tema hinnangul ei saaks kirjeldatud olukorda käsitada andmesubjekti

õiguste pahatahtliku kasutamisena. Ta viitas Euroopa Kohtu hiljutisele lahendile, mille

kohaselt peab õiguse kuritarvitamine olema selgelt tõendatud ning tuginema konkreetsetele

asjaoludele. Pahatahtlikkusega võib olla tegemist näiteks juhul, kui isik loob teadlikult

kunstlikke olukordi eesmärgiga esitada korduvalt andmesubjekti taotlusi ning kasutada

võimalikke menetlusvigu andmetöötleja vastu. Tema sõnul ei saa taotluse rahuldamata

5

jätmine tugineda pelgalt asutuse hinnangule või soovile andmeid mitte väljastada. Üldreeglina

on andmesubjektil õigus saada teavet tema kohta töödeldavate andmete kohta. Sellest

põhimõttest võib kõrvale kalduda üksnes seaduses sätestatud erandite alusel, näiteks

õiguskaitseasutuste menetluste puhul juhtudel, kui teabe avaldamine võiks kahjustada

menetluse eesmärki või kui selleks on muu õiguslik alus. Samuti selgitas ta, et andmetöötleja

peab taotluse rahuldamata jätmist põhjalikult põhjendama ning näitama, millistele faktilistele

asjaoludele hinnang õiguse kuritarvitamise kohta tugineb. Euroopa Kohtu praktika kohaselt

võib seejuures arvesse võtta ka andmesubjekti varasemat käitumist, kui see on asjakohane

õiguse kuritarvitamise hindamisel.

Ando Kiviberg tegi ettepaneku teha menetlusotsus.

Otsus

Komisjon otsustas toetada Vabariigi Valitsuse esitatud seisukohti.

Komisjoni otsus oli konsensuslik (Ants Frosch, Ando Kiviberg, Kalle Laanet, Hanno Pevkur,

Evelin Poolamets, Pipi-Liis Siemann, Timo Suslov, Tanel Tein, Jaak Valge.

(allkirjastatud digitaalselt)

Ando Kiviberg

esimees

Koostaja: Helin Leichter

631 6443, [email protected]

ARVAMUS

.09.2026 nr 1-2/26-434/4

Kellele: Euroopa Liidu asjade komisjon

Kellelt: Põhiseaduskomisjon

Istungi kuupäev: 21. september 2026

Võtsid osa:

komisjoni liikmed: Ants Frosch, Ando Kiviberg, Kalle Laanet, Hanno Pevkur, Evelin

Poolamets, Pipi-Liis Siemann, Timo Suslov, Tanel Tein, Jaak Valge

komisjoni ametnikud: Erle Enneveer, Helin Leichter, Markus Veia

Puudus: Anastassia Kovalenko-Kõlvart, Lauri Läänemets ja Helir-Valdor Seeder

Kutsutud: Justiits- ja Digiministeeriumi õiguspoliitika osakonna andmekaitseõiguse talituse

juhataja Kristi Värk ja sama talituse nõunik Helen Uustalu

Teema: ELAKile arvamuse andmine: Eesti seisukohad EL-i andmekaitsemääruse (EL)

2018/1725 muutmise kohta, mis käsitleb füüsiliste isikute kaitset isikuandmete töötlemisel

liidu institutsioonides, organites ja asutustes ning isikuandmete vaba liikumist

Ülevaade arutelust

Ando Kiviberg tutvustas külalisi ning Euroopa Liidu asjade komisjonile arvamuse andmise

tausta. Eelnõu eesmärk on ühtlustada Euroopa Liidu õiguskaitse- ja kriminaalõiguse

valdkonnas tegutsevate asutuste suhtes kohaldatavat andmekaitseraamistikku. Praegu on

andmekaitsereeglid killustatud Euroopa Liidu andmekaitsemääruse (EL 2018/1275) ja

üksikute asutuste asutamisaktide vahel, mis tekitab õiguskindlusetust ning raskendab

asutustevahelist koostööd ja andmevahetust. Eelnõuga soovitakse koondada ühised

andmekaitsenormid ühte õigusakti, laiendada Euroopa Liidu andmekaitsemääruse

kohaldamist Euroopa Prokuratuurile, suurendada õiguskindlust, vähendada regulatiivset

killustatust, ühtlustada Euroopa Andmekaitseinspektori järelevalvevolitusi ning lihtsustada

asutustevahelist andmevahetust. Samuti sisaldab eelnõu muudatusettepanekuid, millega

viiakse määruse üheksanda peatüki sätted kooskõlla digivaldkonna koondettepanekutega

tehtavate muudatustega. Seejärel andis ta sõna külalistele.

Helen Uustalu tutvustas Vabariigi Valitsuse seisukohti eelnõu kohta. Euroopa Liidu

andmekaitsemäärus kohaldub üldjuhul kõikidele Euroopa Liidu institutsioonidele ja

asutustele, kuid õiguskaitseasutuste andmetöötluse reeglid on seni olnud reguleeritud nende

põhimäärustes. Eesti toetab määruse kohaldamisala laiendamist, et üldmäärus hõlmaks

edaspidi ka õiguskaitseasutusi. Samuti märkis ta, et Eesti toetab Euroopa

Andmekaitseinspektori järelevalvevolituste laiendamist. Muudatuse kohaselt saaks Euroopa

Andmekaitseinspektor teostada järelevalvet ka nende õiguskaitseasutuste üle, kelle suhtes

hakkab kohalduma uus regulatsioon. Rahvusvahelise andmeedastuse küsimuses toetab Eesti

2

õiguskaitse ja kriminaalõiguse valdkonna asutuste andmeedastuse regulatsiooni

ümberkujundamist. Muudatustega täpsustatakse andmete kolmandatesse riikidesse edastamise

tingimusi ning andmeedastuse õiguslikke aluseid. Lõpetuseks sõnas ta, et andmesubjektide

õigusi ei tohi muudatustega nõrgendada. Eelnõu on seotud digivaldkonna koondettepanekute

(digiomnibusi) raames kavandatavate muudatustega. Isikuandmete kaitse üldmäärusesse

tehakse muudatusi digiomnibusi raames. Digiomnibusis muudetakse andmemäärust,

andmeedastusmäärust ja isikuandmete kaitse üldmäärust. Mõned digiomnibusi raames

kavandatavad muudatused sisalduvad ka käesolevas määruses. Eesti seisukoht digiomnibusi

muudatuste puhul on, et isikuandmete rikkumisest teavitamise tähtaega praegusest 72 tunnilt

väljapakutud 96 tunnile ei tuleks pikendada ning rikkumisest teavitamise lävendi tõstmist

üksnes “suure ohu korral” ei toetata. Tema sõnul peaksid institutsioonidele kohaldatava

Euroopa Liidu andmekaitsemääruse (EL 2018/1725) muudatused olema kooskõlas

digiomnibusi raames isikuandmete kaitse üldmääruses tehtavate muudatustega.

Ando Kiviberg küsis, millised muudatused kaasnevad eelnõu vastuvõtmisega võrreldes

kehtiva regulatsiooniga.

Helen Uustalu selgitas, et eelnõu peamine muudatus on õiguskaitseasutuste toomine Euroopa

Liidu andmekaitsemääruse kohaldamisalasse. Seni on nende asutuste andmetöötluse reeglid

olnud reguleeritud asutuste põhimäärustes, kuid edaspidi kohaldatakse neile üldmäärust.

Samas jääb asutuste põhimäärustesse võimalus sätestada valdkonnaspetsiifilisi erisusi, kui see

on õiguskaitseasutuste tegevuse eripära arvestades vajalik.

Kristi Värk selgitas, et kõnealune eelnõu on osa laiemast õigusloomelisest paketist, mis

hõlmab ka Europoli ja Eurojusti põhimääruste muutmist. Nende eelnõude menetlemine

Euroopa Liidus edeneb aeglasemalt ning need jõuavad tõenäoliselt Riigikogu menetlusse

hiljem. Käesoleva eelnõuga nähakse ette, et Europolile ja Eurojustile hakkavad edaspidi

kehtima ühtsed andmekaitse põhinõuded, mis tulenevad üldmäärusest. Samas jääb nende

põhimäärustesse võimalus sätestada üksikuid asutuse tegevusest tulenevaid erisusi. Tema

sõnul reguleeritakse üldised andmekaitsenõuded määrusega, samas kui asutuste

töökorraldusest tulenevad andmekaitseküsimused jäävad nende enda põhimäärustesse.

Helen Uustalu selgitas, et teine muudatus puudutab andmekaitseametniku ülesandeid.

Muudatused on seotud õiguskaitseasutuste kaasamisega määruse kohaldamisalasse ning

hõlmavad muu hulgas rikkumiste hindamist, mõjuhinnangute koostamist ja

andmekaitseametniku ülesannete täpsustamist. Muudatused arvestavad õiguskaitseasutuste

tegevuse eripärasid. Eelnõuga laiendatakse Euroopa Andmekaitseinspektori õigust kohaldada

sunnimeetmeid ka õiguskaitseasutuste suhtes. Kui seni ei olnud võimalik õiguskaitseasutusi

ettekirjutuste täitmata jätmise eest trahvida, siis edaspidi laieneb see võimalus ka neile.

Samuti tunnistatakse kehtetuks üks säte, mille vajadus langeb ära seoses määruse

kohaldamisala laiendamisega. Täpsustatakse ka automatiseeritud otsuste tegemise

regulatsiooni. Tegemist ei ole sisulise muudatusega, vaid regulatsiooni sõnastuse

korrastamisega ehk kui eelnevalt oli see sõnastatud “see on keelatud, välja arvatud juhul kui”,

3

siis edaspidi on “see lubatud tingimustel, et”. Automatiseeritud otsuste tegemise tingimused

jäävad võrreldes kehtiva regulatsiooniga samaks.

Kristi Värk täiendas, et automatiseeritud otsuste tegemise regulatsiooni muudatus on seotud

ka digiomnibusi raames arutatavate isikuandmete kaitse üldmääruse (GDPR) muudatustega.

Eesti seisukoht on olnud, et paralleelselt menetletavad muudatused peaksid olema omavahel

kooskõlas ning liikuma ühes suunas. Euroopa Liidu Nõukogus ja Euroopa Parlamendis käivad

veel läbirääkimised digiomnibusi ettepanekute üle. Tema sõnul soovib Eesti saavutada

läbirääkimistel lahenduse, mille kohaselt käesolevas eelnõus tehtavad muudatused oleksid

kooskõlas nende muudatustega, milles jõutakse kokkuleppele isikuandmete kaitse üldmääruse

muutmisel.

Helen Uustalu selgitas, et järgmise muudatusena täpsustatakse andmetega tutvumise õiguse

kuritarvitamist käsitlevat regulatsiooni. Muudatus on seotud ka digiomnibusi raames

arutatavate GDPR muudatustega. Muudatuse kohaselt oleks andmesubjektil õigus esitada

andmetega tutvumise taotlus üksnes andmekaitselisel eesmärgil. Ta tõi esile, et digiomnibusi

muudatustes Eesti ei toeta õiguse nii kitsast piiramist, kuna isikul võib olla vajadus oma

andmetega tutvuda ka muudel eesmärkidel. Eelnõuga nähakse ette ka eraldi

töötlemistoimingute registri regulatsioon õiguskaitseasutuste töödeldavate andmete jaoks.

Senise regulatsiooni kohaselt peavad asutused pidama arvestust töödeldavate isikuandmete,

nende päritolu, muutmise ja edastamise üle, kuid õiguskaitseasutuste tegevuse eripära tõttu

täpsustatakse nende suhtes kohaldatavaid nõudeid. Samuti täpsustatakse logimisnõudeid.

Logiandmete säilitamise ja kasutamise reegleid täiendatakse ning sätestatakse, et logiandmeid

ei tohi muuta. Lisaks nähakse ette võimalus anda logiandmeid pädevale järelevalveasutusele

andmekaitsealase uurimise läbiviimiseks. Muudetakse ka isikuandmete rikkumisest

teavitamise korda. Rikkumisest teavitamise tähtaega pikendatakse 72 tunnilt 96 tunnile ning

teavitamiskohustuse lävend tõstetakse olukorrale, kus rikkumine kujutab endast suurt ohtu.

Samuti muudetakse rahvusvahelise andmeedastuse regulatsiooni. Kehtestatakse üldised

tingimused andmete edastamiseks ning nähakse ette nõue, et andmeedastusel peab olema

vähemalt üks õiguslik alus, näiteks Euroopa Komisjoni vastavusotsus või andmeid vastuvõtva

riigi vastavus kindlaksmääratud andmekaitsenõuetele. Viimase muudatusega ühtlustatakse

Euroopa Andmekaitseinspektori järelevalvevolitusi, et ta saaks teostada järelevalvet ka

õiguskaitseasutuste üle.

Kristi Värk lisas, et rahvusvahelise andmeedastuse regulatsiooni muudatustega luuakse selge

õiguslik alus andmete vahetamiseks nende Schengeni ala riikidega, kes ei ole Euroopa Liidu

liikmesriigid. Selline koostöö on õiguskaitseasutuste tegevuse seisukohalt oluline ning

puudutab muu hulgas koostööd Europoli, Eurojusti ja Frontexiga. Andmevahetus nende

riikidega on lubatud tingimusel, et nad kohaldavad õiguskaitseasutuste andmekaitse

direktiivist tulenevaid andmekaitsenõudeid.

Ando Kiviberg küsis, kas eelnõuga kavandatavad muudatused loovad täiendavaid või

ladusamaid võimalusi õiguskaitseasutuste koostööks liikmesriikide vahel ning Schengeni

4

alaga liitunud Euroopa Liitu mittekuuluvate riikide õiguskaitseasutustega. Ta palus tuua

muudatuste mõju illustreerimiseks elulise näite.

Kristi Värk vastas, et eelnõu suurim praktiline mõju puudutab andmevahetust Schengeni

alaga liitunud Euroopa Liitu mittekuuluvate riikide õiguskaitseasutustega. Muudatustega

luuakse selge õiguslik alus selliseks andmevahetuseks. Määrus reguleerib eelkõige Euroopa

Liidu asutuste tegevust ega kohaldu otseselt liikmesriikide õiguskaitseasutustele. Samas

mõjutab see liikmesriikide asutuste koostööd Euroopa Liidu õiguskaitse- ja justiitsasutustega.

Eelnõuga luuakse erandjuhtudel täiendav võimalus andmete edastamiseks kolmandatesse

riikidesse. Tema sõnul võimaldatakse väga piiratud juhtudel saada andmeid kolmandate

riikide ettevõtjatelt, kui see on vajalik näiteks Europoli, Eurojusti või Euroopa Prokuratuuri

ülesannete täitmiseks. Tegemist on üksikute erandjuhtumitega, mitte tavapärase

andmevahetuse korraga.

Evelin Poolamets küsis andmetega tutvumise õiguse kuritarvitamist käsitleva sätte kohta. Ta

viitas eelnõus sisalduvale võimalusele jätta andmesubjekti taotlus rahuldamata juhul, kui

leitakse, et isik kuritarvitab oma õigust andmetega tutvuda. Ta küsis, kes ja milliste

kriteeriumide alusel otsustab, kas tegemist on õiguse kuritarvitamisega. Ta avaldas muret, et

selline regulatsioon võib piirata isikute võimalust kontrollida nende andmeid töötlevate

õiguskaitseasutuste tegevuse seaduslikkust. Samuti võib olla inimesel mitmesuguseid

põhjendatud vajadusi oma andmetega tutvumiseks. Ta küsis, kuidas tagatakse nende õiguste

kaitse.

Kristi Värk vastas, et esmase otsuse andmetega tutvumise taotluse rahuldamise või sellest

keeldumise kohta teeb taotlust menetlev asutus. Keeldumine peab olema põhjendatud ega saa

tugineda üksnes asutuse hinnangule. Tema sõnul peab olema võimalik põhjendada, miks

peetakse taotlust õiguse kuritarvitamiseks, näiteks juhul, kui isik esitab korduvalt sama

taotluse olukorras, kus talle on vastavad andmed juba väljastatud. Kui isik ei nõustu

keeldumisega, on tal võimalik otsus vaidlustada Euroopa Andmekaitseinspektori juures. Tema

sõnul saab järelevalveasutus seejärel kontrollida, kas taotluse rahuldamata jätmiseks oli

õiguslik alus ning kas keeldumine oli põhjendatud.

Evelin Poolamets tõi näitena olukorra, kus inimene soovib teada, kas õiguskaitseasutused

koguvad või töötlevad tema kohta andmeid. Ta viitas avalikkuses käsitletud valvekaamerate

kasutamisega seotud küsimustele ning avaldas muret, et andmetega tutvumise taotluse võib

jätta rahuldamata põhjendusega, et isikul puudub vajadus vastavat teavet saada.

Kristi Värk vastas, et tema hinnangul ei saaks kirjeldatud olukorda käsitada andmesubjekti

õiguste pahatahtliku kasutamisena. Ta viitas Euroopa Kohtu hiljutisele lahendile, mille

kohaselt peab õiguse kuritarvitamine olema selgelt tõendatud ning tuginema konkreetsetele

asjaoludele. Pahatahtlikkusega võib olla tegemist näiteks juhul, kui isik loob teadlikult

kunstlikke olukordi eesmärgiga esitada korduvalt andmesubjekti taotlusi ning kasutada

võimalikke menetlusvigu andmetöötleja vastu. Tema sõnul ei saa taotluse rahuldamata

5

jätmine tugineda pelgalt asutuse hinnangule või soovile andmeid mitte väljastada. Üldreeglina

on andmesubjektil õigus saada teavet tema kohta töödeldavate andmete kohta. Sellest

põhimõttest võib kõrvale kalduda üksnes seaduses sätestatud erandite alusel, näiteks

õiguskaitseasutuste menetluste puhul juhtudel, kui teabe avaldamine võiks kahjustada

menetluse eesmärki või kui selleks on muu õiguslik alus. Samuti selgitas ta, et andmetöötleja

peab taotluse rahuldamata jätmist põhjalikult põhjendama ning näitama, millistele faktilistele

asjaoludele hinnang õiguse kuritarvitamise kohta tugineb. Euroopa Kohtu praktika kohaselt

võib seejuures arvesse võtta ka andmesubjekti varasemat käitumist, kui see on asjakohane

õiguse kuritarvitamise hindamisel.

Ando Kiviberg tegi ettepaneku teha menetlusotsus.

Otsus

Komisjon otsustas toetada Vabariigi Valitsuse esitatud seisukohti.

Komisjoni otsus oli konsensuslik (Ants Frosch, Ando Kiviberg, Kalle Laanet, Hanno Pevkur,

Evelin Poolamets, Pipi-Liis Siemann, Timo Suslov, Tanel Tein, Jaak Valge.

(allkirjastatud digitaalselt)

Ando Kiviberg

esimees

Koostaja: Helin Leichter

631 6443, [email protected]