Tere, Kristi

Kohtusime sel kolmapäeval koos sideettevõtetega Justiits- ja Digiministeeriumi esindajatega, et arutada veel kord ITL-i ettepanekuid sideandmete regulatsiooni muutvale eelnõule, mis on Riigikogu menetluses (1007SE).

Üks ITL-i jaoks kriitilise tähtsusega ettepanekutest puudutab sideettevõtetele mõeldud andmekaitse argumentidega pandavaid kohustusi sideandmete töötlemisel (eelnõu § 3 punktiga 7 lisatav ESS § 111² lg 3 ning eelnõu § 3 punktiga 10 lisatav ESS § 111⁵ lg 3 p 2).

Proovisime kirjalikult avada, miks see ettevõtetele problemaatiline on. Jagan seda selgitust. Ehk aitab see meil koostöös kuidagi edasi liikuda selle väga olulise eelnõuga.

ITL ei ole nõus eelnõus 1007 SE kavandatud andmete töötlemise piirangute regulatsiooniga. Meie hinnangul ei arvesta eelnõu vastavad sätted tehnoloogilise reaalsusega ehk sellega, kuidas sideandmed võrgus tegelikult tekivad ja kuidas neid on võimalik hiljem päringutele vastamiseks kasutada. Lisaks on eelnõu erinevad sätted ses osas  vastuolulised.

Eelnõu ESS § 111² lõike 1 punktides on ette nähtud, et sideettevõtja peab säilitama lõppkasutaja tuvastamiseks vajalikud andmed ja nendevahelised seosed. Samas sätestab sama paragrahvi lõige 3, et sideettevõtjal ei ole õigust kasutaja tuvastamist võimaldavaid andmeid seostada, ning § 111⁵ lg 3 p 2 kohustab sideettevõtjat tagama andmete seostamise vältimiseks nende eraldamise. Lisaks jääb ebaselgeks üldine põhimõte, mille kohaselt võivad andmed asuda samas süsteemis, kuid peavad samal ajal olema eraldatud. Sellisted nõuded on vastuolulised ja nende sätete koosmõjust ei ole üheselt arusaadav, millised seosed peavad säilima, milliseid seoseid ei tohi luua ning mida tähendab „eraldamine“ tehniliselt olukorras, milles andmed tekivad teenuse osutamise tulemusena üldjuhul terviklikult.

Soovime selgitada, miks selline regulatsioon ei ole sidevõrgu tegelikku toimimist ja tehnoloogilisi eripäraseid arvestades mõistlikult rakendatav. Sideettevõtjad ei loo riigi säilitamiskohustuse täitmiseks algusest peale eraldiseisvat andmestikku ega tee enne andmete väljastamist ametiasutuse eest eraldi analüüsi või profileerimist. Sideandmed tekivad sidevõrgus konkreetsete sidesündmuste käigus ja selle tulemusena ning neid salvestatakse süsteemides koos selle sündmuse juurde kuuluvate tehniliste tunnuste ja seostega. Ühe sidesündmuse kohta tekkivas andmestikus võivad näiteks olla telefoninumber, IMSI, IMEI, aeg, kasutatud tugijaam või kärg ning muud sündmust kirjeldavad atribuudid. Need ei ole iseseisvad ja omavahel juhuslikult kokku viidud andmeelemendid, vaid sama sidesündmuse tehnilised tunnused.

Sidevõrkudes on sideandmete loomise ja kasutamise võimekus arendatud eesmärgiga täita kaht põhiülesannet: esiteks et tagada sidevõrgu ja sideteenuste tehniline toimimine sh rikete analüüs ja teiseks et arveldada klienti. See tähendab et andmete seostatus peab olema tasemel, mis neid põhiülesandeid võimaldab täita. Näitena kui hakata kliendi kõneeristust lahutama mingiteks tükkideks ja neid eraldi andmekogudes hoidma ja eraldi väljastama pole enam kliendil mõistlikult arusaadav mille eest ta tasub ja kui kliendil on kuskil asukohas probleeme leviga ei saa klienditeenindaja enam pilti kokku kas probleem oli telefonis, SIM-kaardis või hoopis talle helistaja teenuses. Kui inimesel on  helistamisega mure ei rahulda teda vastus, et kõigepealt tuleb eri süsteemidest andmed kokku tõsta, võrreldavaks muuta ja analüüsida ning vastus tuleb kuu aja pärast – inimene tahab et tema probleem saaks vastuse ja lahenduse kohe ja klienditeenindajalt kes temaga suhtleb. 

Just nende olemasolevate seoste kaudu on hiljem võimalik päringule vastata. Üksikul andmeelemendil on sageli vähe või üldse mitte praktilist väärtust. Selleks, et tuvastada, kes kasutas konkreetsel ajahetkel telefoninumbrit, kelle ühendusega oli seotud IP-aadress või millise ühendusega oli seotud konkreetne seade, peab olema säilinud võimalus siduda vastav identifikaator teiste sidesündmuse andmetega. Samamoodi, kui asutus küsib seaduses ette nähtud korras ja vajaduse korral kohtu loal näiteks konkreetse telefoninumbri või IMEI kõneeristust või paiknemist tugijaama piirkonnas, saab sideettevõtja päringule vastata üksnes siis, kui vastavad andmed ja nende vahel sidesündmuse tekkimisel tekkinud seosed on säilinud.

Eelnõu praegust sõnastust võib aga mõista nii, et sideettevõtja peaks võrgus loomulikult koos tekkinud andmed pärast nende tekkimist atribuudi tasemel omavahel eraldama või nendevahelised seosed katkestama, et vältida andmete seostatavust. See tähendaks praktikas täiendavat andmetöötlust: tuleks luua eraldi andmekogumid, vaated, säilitusreeglid või muu tehniline töötluskiht, mille abil algselt ühe sündmuse osana tekkinud andmed üksteisest lahutatakse või nende kasutamist tehniliselt piiratakse. See ei ole pelgalt olemasolevate andmete passiivne säilitamine, vaid uus töötlemistoiming ja arendusvajadus.

Samas ei lõpe probleem eraldamisega. Kui ametiasutus esitab hiljem õiguspärase päringu, millele vastamiseks on vaja just neid seoseid, tuleks sideettevõtjal eraldatud andmed uuesti kokku viia või muul viisil taastada nendevaheline seos. Ehk lihtsustatult: eelnõu võib nõuda, et sideettevõtja võtaks võrgus ühe sündmuse osana tekkinud andmed, eraldaks need seostamise vältimiseks ning looks päringule vastamise hetkel vajalikud seosed uuesti. Selline vahepealne eraldamine ja hilisem taas-seostamine suurendab töötlemistoimingute hulka ja tehnilist keerukust ning võib iseenesest tekitada täiendava privaatsusriski. Samas ei ole selge, millist sisulist täiendavat kaitset see inimesele annab võrreldes sellega, kui olemasolevad seosed säilivad, kuid juurdepääs nendele ja nende kasutamine on rangelt eesmärgipõhiselt piiratud.

Oluline on ka see, et sideettevõtjal ei ole riigi jaoks säilitatavate andmete puhul iseseisvat vajadust neid täiendavalt seostada, analüüsida ega profileerida. Sideettevõtja säilitab andmed koos nende tekkimisel olemas olnud tehniliste seostega ning väljastab õiguspärase päringu alusel üksnes päringule vastamiseks vajalikud andmed. Seetõttu tuleks eristada ühelt poolt andmete ja nende loomulike tehniliste seoste säilimist sideettevõtja juures ning teiselt poolt täiendavat andmete kombineerimist ja ristkasutamist pärast seda, kui ametiasutus on andmed saanud.

Meie hinnangul on just viimane olukord põhiõiguste kaitse seisukohalt keskne. Asutusel, kes sideandmeid pärib ja menetluses kasutab, võib olla võimalik eri allikatest ja eri päringutega saadud andmeid omavahel kombineerida ning nende põhjal teha inimese suhtlusvõrgustiku, liikumise ja eraelu kohta ulatuslikke järeldusi. Seetõttu on igati põhjendatud, et andmeid pärivatele asutustele kehtivad selged eesmärgipiirangud, ristkasutamise ja seostamise piirangud ning kontrollimehhanismid.

Sama andmekoosseis võib sideettevõtjal olla olemas ka tema enda õiguspärastel ärilistel eesmärkidel. Sellisel juhul toimub andmete seostamine, analüüs ja muu töötlemine vastava õigusliku aluse ning andmekaitsenõuete kohaselt. Seetõttu peab eelnõust olema ka üheselt arusaadav, et riikliku säilitamiskohustuse täitmiseks ette nähtud piirangud ei takista sideettevõtjal samu või seotud andmeid enda õiguspärastel eesmärkidel töödelda.

Leiame, et seletuskirja viide La Quadrature du Net lahendile ei põhjenda praegust regulatsiooni piisavalt. Nimetatud lahend käsitleb sideandmete töötlemise tagatisi eelkõige andmeid pärivate asutuste puhul. Sideandmete kasutus- ja seostamispiirangud juurdepääsu etapis (mh p-d 101, 113–114, 122, 141–143 ja 152) on olulises osas suunatud just asutusele, kes andmeid taotleb ja hiljem töötleb. On igati mõistlik, et asutus, kes andmeid pärib, peab neid kasutama konkreetse menetluse ja eesmärgi piires ega tohi neid põhjendamatult teiste menetluste või muude eesmärkide jaoks ristkasutada.

Me ei vaidle vastu põhimõttele, et kasutaja tuvastamist võimaldavaid andmeid tuleb kaitsta selliselt, et nende põhjendamatu kombineerimine teiste liiklus- ja asukohaandmetega ei võimaldaks koostada inimese eraelust detailset profiili. Küsimus on selles, kas Euroopa Kohtu praktikast tuleneb sideettevõtjale just eelnõus kavandatud ulatusega andmete tehnilise eraldamise ja mitteseostamise kohustus. C-470/21-st tulenevat seostamise piirangut ei saa meie hinnangul automaatselt võrdsustada nõudega kujundada sideettevõtja andmesüsteemid ümber selliselt, et võrgus ühe sidesündmuse osana tekkinud andmed tuleb üksteisest tehniliselt või füüsiliselt eraldada ja hiljem päringule vastamiseks uuesti seostada. Kui sama kaitsetase on saavutatav eesmärgipiirangu, juurdepääsukontrollide, logimise jm tehniliste või organisatsiooniliste meetmetega, tuleb põhjendada, miks täiendav eraldamisnõue on vajalik ja proportsionaalne. Sideettevõtjatele kehtivad juba üldised GDPR-ist tulenevad andmetöötlusnõuded ning Euroopa Liidu sidekoodeksist tulenevad andmekaitsealased nõuded. Jääb täiesti arusaamatuks miks on vaja Eesti Vabariigis minna Euroopa Liidu õigusaktidega antud raamistikust veelgi kaugemale ning kehtestada Eesti sideettevõtjatele uusi, tehniliselt keerukaid ja kulukaid andmekaitsealaseid kohustusi. Arusaadavalt on Euroopa Kohtu lahendid olulised, aga see ei tähenda et iga kohtulahendi või pelgalt kohtujuristi arvamuse peale tuleks muuta Eestis elektroonilise side seadust.

Samuti ei saa pooleliolevas kohtuasjas C-661/24 esitatud kohtujuristi arvamust käsitada siduva Euroopa Kohtu praktikana.  Kohtulahendid (nii Euroopa Kohtu kui Eesti Riigikohtu) käsitlevad konkreetseid kaasuseid ning otsused on tehtud teatud kontekstis konkreetseid tehiolusid arvestades.  Seetõttu ei saa üksikuid sõnastusi kohtulahenditest tehnilist konteksti arvestamata otse seadusesse üle kanda ja seda ilmestab praegu käsil oleva tehniliselt keerukas valdkond ja sideandmete eriregulatsioon hästi. Regulatsioon peab arvestama nii taotletava põhiõiguste kaitse eesmärgi kui ka sellega, kuidas sideandmed võrgus tegelikult tekivad, säilivad ja päringutele vastamisel kasutatavad on.