ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Liina Vahtras

Majandus- ja

Kommunikatsiooniministeerium

[email protected]

Teie 07.10.2026 nr 2-2/3461-1

Meie 22.10.2026 nr 2.3-4/26/4058-3

Arvamus eelnõule

Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks avaliku teabe seaduse

§ 4310 muutmise seaduse eelnõu. Meil on eelnõu osas järgmised tähelepanekud.

1. Eelnõu kohaselt on andmenõusoleku, volituste haldamise ja digitaalidentiteedi

registreerimise andmekogu eesmärk võimaldada muu hulgas isikul digitaalidentiteeti

registreerida, registreering lõpetada ning saada ülevaade registreeringutest ja nende

lõpetamisest. Samas nähtub seletuskirjast, et andmeid on kavas kasutada ka selleks, et

teised isikud ja asutused saaksid kontrollida digitaalidentiteedi registreeringut ning

teenuseosutajad saaksid eristada, kas toimingu tegi füüsiline isik ise või tema

digitaalidentiteet. Seletuskirja järgi võivad teenuseosutajad saadud teabe põhjal rakendada

lisakontrolle ja riskimudeleid.

Seega on andmekogu kavandatud kasutusala laiem kui eelnõus sätestatud eesmärk. Kui

andmekogu andmeid kasutatakse digitaalidentiteedi ja füüsilise isiku vahelise seose

kontrollimiseks või neile tuginedes teenuste osutamise, tehingute või riskikontrollidega

seotud otsuste tegemiseks, siis peab sellise töötlemise eesmärk ja ulatus tulenema piisavalt

selgelt seadusest. Neid ei saa jätta üksnes seletuskirja, andmekogu põhimääruse või

teenuseosutajate praktika tasandile.

Palume andmekogu eesmärki eelnõus täiendada ning sätestada, kas ja millises ulatuses on

andmekogu ülesanne võimaldada digitaalidentiteedi registreeringu kehtivuse ning

digitaalidentiteedi ja füüsilise isiku vahelise seose kontrollimist.

2. Eelnõust ja seletuskirjast ei selgu üheselt, milline on digitaalidentiteedi registreeringu

õiguslik või tõenduslik tähendus. Seletuskirjas kirjeldatakse registreeringut ühelt poolt

informatiivse kandena, kuid teiselt poolt lähtutakse sellest, et digitaalidentiteedi tehtud

toiminguid saab seostada registreeringu teinud füüsilise isikuga ning käsitada selle isiku

toimingutena.

Leiame, et ainuüksi digitaalidentiteedi ja füüsilise isiku vahelise seose registreerimine ei

tõenda, et digitaalidentiteet oli volitatud tegema konkreetset toimingut või et konkreetne

toiming vastas registreeringu teinud isiku tahtele. Eelnõu aga ei reguleeri

digitaalidentiteedi tegutsemisulatust, õigusi ega piiranguid ega digitaalidentiteedi abil

tehtud konkreetsete toimingute tõendamist.

Teeme ettepaneku määrata eelnõus selgelt digitaalidentiteedi registreeringu õiguslik ja

tõenduslik tähendus. Eelkõige tuleb täpsustada, kas registrikanne tõendab üksnes

2 (3)

digitaalidentiteedi ja füüsilise isiku vahelise seose olemasolu või kaasnevad sellega muud

õiguslikud tagajärjed. Samuti tuleks vältida sõnastust, mille kohaselt loetakse kõik

digitaalidentiteedi tehtud toimingud ilma täiendavate tingimusteta füüsilise isiku enda

toiminguteks.

3. Eelnõu punktiga 5 täiendatakse AvTS § 4310 lõiget 3 punktiga 3, mille kohaselt kuuluvad

digitaalidentiteedi registreerimise andmestikku muu hulgas ka teovõime piiramise

andmed. Eelnõust ega seletuskirjast aga ei selgu, milliseid teovõime piiramise andmeid

täpselt töödeldakse (s.t kas ainult teovõime olemasolu või puudumise fakti või ka

teovõime piiramise sisulist põhjust vms), millisest andmekogust need andmed saadakse,

kas andmeid säilitatakse andmekogus ning kui säilitatakse, siis kui sageli kontrollitakse

nende ajakohasust.

Juhul kui teovõime piiramise andmete töötlemise eesmärk on üksnes kontrollida, kas

isikul on õigus digitaalidentiteeti registreerida, tuleks hinnata, kas eesmärgi saavutamiseks

piisab automaatsest kontrollist ja selle tulemusest. Teovõime piirangu üksikasjalike

andmete kandmine uude andmestikku ei pruugi sellisel juhul olla vajalik ega kooskõlas

võimalikult väheste andmete kogumise põhimõttega. Tegelikult piisaks, kui

registreerimise hetkel teovõime olemasolu kontrollitakse ning kui registreering on

lubatud, siis võib juba eeldada, et teovõime olemasolu kontrollimise tingimus on täidetud.

Palume määrata seaduses või selle alusel antavas rakendusaktis töödeldavate teovõime

piiramise andmete täpne koosseis, päritolu, ajakohastamise kord ja säilitamise vajadus.

Juhul kui eesmärgi saavutamiseks ei ole vaja täiendavaid andmeid, tuleks eelistada

lahendust, mille puhul töödeldakse üksnes teavet selle kohta, kas teovõime piirang välistab

digitaalidentiteedi registreerimise.

4. Seletuskirja kohaselt peab teistel isikutel ja asutustel olema võimalik digitaalidentiteedi

registreeringuga tutvuda. Samas ei ole selgitatud, kes ja millistel tingimustel võib andmeid

vaadata, milliseid andmeid päringu vastus sisaldab ega ka seda, kas päringu tegemiseks

tuleb kasutaja autentida. Samuti ei selgu, kas päringud logitakse ning kas registreeringu

teinud isikul on võimalik näha, kes ja millal on tema andmeid vaadanud.

Märgime, et andmetele juurdepääsu ulatus mõjutab otseselt isikuandmete töötlemisega

kaasneva riive intensiivsust. Avatud või piisavalt piiritlemata päringuvõimalus võib

võimaldada automatiseeritud masspäringuid ning digitaalidentiteetide ja füüsiliste isikute

vaheliste seoste koondamist. Seetõttu ei saa juurdepääsu põhitingimuste määramist jätta

üksnes andmekogu tehnilise lahenduse või rakenduspraktika kujundada. Sealjuures tuleb

andmete väljastamisel lähtuda minimaalsuse põhimõttest. Kui päringu eesmärk on üksnes

kontrollida registreeringu kehtivust, peab päringu vastus üldjuhul piirduma selleks

vajaliku teabega.

Teeme ettepaneku sätestada kas seaduses või rakendusaktis andmetele juurdepääsu saajate

ring, juurdepääsu eesmärk ja väljastatavate andmete ulatus. Samuti määrata, kas

juurdepääs eeldab autentimist ning millised piirangud rakenduvad automatiseeritud ja

masspäringutele. Lisaks tuleks rakendusaktis täpsustada päringute logimise, logiandmete

säilitamise ja nendele juurdepääsu kord. Samuti tuleks hinnata, kas AvTS § 43¹⁰ lõikes 6

sätestatud volitusnormi tuleb täiendada selliselt, et see võimaldaks rakendusaktis sätestada

juurdepääsu korda ja täpsustada logitavate toimingute ja logiandmete koosseisu, logimise

korda, logiandmete säilitamise tähtaega ning neile juurdepääsu tingimusi.

5. Eelnõu punktiga 6 muudetakse AvTS § 43¹⁰ lõiget 6 ja sõnastatakse selliselt, et

digitaalidentiteedi registreerimise andmestiku andmeid säilitatakse kümme aastat

registreeringu lõpetamisest arvates. Seletuskirjas võrreldakse seda isikut tõendavate

dokumentide andmete säilitamise tähtajaga ning selgitatakse, miks ei ole vajalik 75-

3 (3)

aastane säilitustähtaeg. Samas ei ole aga sisuliselt põhjendatud, miks on digitaalidentiteedi

registreeringu andmete säilitamiseks vajalik just kümneaastane tähtaeg. Juhime

tähelepanu sellele, et isikut tõendavate dokumentide andmekogu säilitustähtajaga

võrdlemine ei põhjenda iseenesest digitaalidentiteedi registreeringu andmete

kümneaastast säilitamist, kuna isikut tõendavate dokumentide andmekogul on eraldiseisev

eesmärk ja õiguslik raamistik.

Palume seletuskirja täiendada kümneaastase säilitustähtaja sisulise põhjendusega ning

siduda säilitamine konkreetsete õiguslike ja praktiliste vajadustega. Juhul kui eri

andmeelementide säilitamise vajadus erineb, tuleb kaaluda erinevate säilitustähtaegade

kehtestamist. Säilitustähtaja põhjendamisel tuleks määrata, milliste nõuete, vaidluste või

tõendamisvajaduste lahendamiseks andmeid pärast registreeringu lõpetamist vajatakse.

Lisaks tuleb selgitada, kuidas võimaldab üksnes varasema registreeringu säilitamine

tõendada hiljem konkreetse toimingu tegemist või toimingu omistamist kindlale isikule,

kui digitaalidentiteedi abil tehtud konkreetsete toimingute andmeid selles andmekogus ei

säilitata.

6. Eelnõu seletuskirjas märgitakse, et andmekogu täiendamine võib mõningal määral

suurendada Andmekaitse Inspektsiooni töökoormust, kuid samas leitakse, et inimeste

teadlikkus enda andmete jagamise eest vastutamisest aitab töökoormuse kasvu ennetada.

Seletuskirjast ei selgu, millisel hinnangul või analüüsil selline järeldus põhineb.

Märgime, et võimalik järelevalvekoormus ei sõltu üksnes inimeste teadlikkusest, vaid seda

võivad mõjutada ka registrikannete vaidlustamine, digitaalidentiteedi toimingute ekslik

omistamine, andmetele juurdepääsu õiguspärasus, teenuseosutajate tehtavad päringud,

isikuandmetega seotud rikkumised ning vastutavate töötlejate, volitatud töötlejate ja

teenuseosutajate vahelise vastutuse jaotus.

IKS § 56 lõike 1 ja IKÜM artikli 57 lõike 1 kohaselt kuuluvad Andmekaitse Inspektsiooni

ülesannete hulka isikuandmete töötlemise nõuete täitmise üle järelevalve teostamine,

andmesubjektide kaebuste käsitlemine ning üldsuse ja töötlejate teadlikkuse

suurendamine. Seetõttu peab mõjuanalüüs hõlmama kavandatava lahendusega kaasneda

võivaid kaebusi, nõustamisvajadust ja järelevalvemenetlusi, mitte piirduma süsteemi

kasutajate teadlikkuse käsitlemisega.

Seega tuleks mõjuanalüüsi täiendada ning kirjeldada realistlikult, milliseid järelevalve- ja

nõustamisvajadusi võib kavandatav süsteem kaasa tuua. Väide, et inimeste vastutus enda

andmete jagamise eest aitab inspektsiooni töökoormuse kasvu ennetada, vajab sisulist

põhjendamist või siis tuleks seletuskirjast üldse välja jätta.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Terje Enula

[email protected]

627 4144

Saatja: <[email protected]>

Saadetud: 22.10.2026 12:28

Adressaat: info - MKM <[email protected]>

Teema: Arvamus eelnõule

Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga.Tundmatu saatja

korral palume linke ja faile mitte avada.

Tere! Teile on saadetud Andmekaitse Inspektsiooni dokumendihaldussüsteemi

Delta kaudu dokument. Palume sellele meiliaadressile mitte vastata.

Tegemist on süsteemisisese aadressiga. Vastuskiri saatke aadressile

.Pealkiri: Arvamus eelnõule Registreerimise kuupäev: 22.10.2026

Registreerimise number: 2.3-4/26/4058-3

Tundliku sisuga elektroonilised pöördumised on võimalik inspektsioonile

edastada krüpteeritult kasutades ID- kaarti ja . Kuidas dokumente

krüpteerida, vaata .

Andmekaitse Inspektsioon

Tatari 39, 10134 TallinnTelefon: 627 4135E-mail:

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Leia meid või kuula