1

EELNÕU 22.10.2026.

MÄÄRUS

Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega

Määrus kehtestatakse Eesti Vabariigi haridusseaduse § 366 lõike 4 ja Vabariigi Valitsuse seaduse § 42 lõike 1 alusel.

§ 1. Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine

Vabariigi Valitsuse 5. augusti 2004. a määruses nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ tehakse järgmised muudatused:

1) paragrahv 3 sõnastatakse järgmiselt:

„§ 3. Registri vastutav töötleja ja tema ülesanded

(1) Registri vastutav töötleja on Haridus- ja Teadusministeerium (edaspidi vastutav töötleja).

(2) Vastutav töötleja: 1) tagab andmekogu pidamise ning vastutab andmekogu haldamise seaduslikkuse eest, andes volitatud töötlejale vajalikke juhiseid ja korraldusi; 2) vastutab andmekogu arendamise eest ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid; 3) määrab andmekogu käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks vajalikud turvameetmed ning korraldab nende rakendamise; 4) korraldab õigusaktides sätestatud ulatuses andmekogu andmetele juurdepääsu ning kasutajaõiguste andmise, muutmise ja lõpetamise; 5) korraldab andmete töötlemise kooskõlas õigusaktidega ning andmekvaliteedi tagamise; 6) sõlmib andmevahetuse kokkulepped õigusaktides sätestatud ulatuses; 7) on andmesubjekti jaoks kontaktpunkt isikuandmete töötlemisel andmekogus ning korraldab andmesubjekti õiguste teostamisega seotud taotluste ja muude isikuandmete töötlemist puudutavate pöördumiste lahendamise; 8) teeb järelevalvet volitatud töötleja ülesannete täitmise üle.“;

2) määrust täiendatakse paragrahviga 31 järgmises sõnastuses:

2

„§ 31. Registri volitatud töötleja ja tema ülesanded (1) Registri volitatud töötleja on Riigi Digikeskus (edaspidi volitatud töötleja), kui käesolevas määruses ei ole sätestatud teisiti. (2) Volitatud töötleja: 1) korraldab andmekogu majutamise ning tagab selleks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku; 2) korraldab andmekogu tarkvara arendamise, testimise ja kasutuselevõtu vastutava töötleja juhiste ning arendusprioriteetide alusel; 3) tagab andmekogu tehnilise haldamise, hooldamise ja uuendamise; 4) tagab andmekogu käideldavuse, töökindluse ja jõudluse; 5) tagab andmekogu tehniliste liidestuste toimimise ja andmevahetuse tehnilise teostamise; 6) teeb vastutava töötleja juhiste alusel andmete parandamiseks, kustutamiseks, anonüümimiseks ja väljastamiseks vajalikud tehnilised toimingud; 7) teeb vastutava töötleja juhiste alusel kasutajaõiguste andmiseks, muutmiseks ja lõpetamiseks vajalikud tehnilised toimingud; 8) rakendab andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks õigusaktides, turvanõuetes ja vastutava töötleja juhistes ette nähtud tehnilisi ja korralduslikke turvameetmeid; 9) korraldab andmekogu logimise ning logide säilitamise ja tehnilise haldamise õigusaktides sätestatud nõuete ja vastutava töötleja juhiste kohaselt; 10) korraldab andmete varundamise ja taastamise ning andmekogu töö taastamise katkestuse korral; 11) korraldab andmekogu töökatkestuste, tehniliste tõrgete kõrvaldamise, turvaintsidentide käsitlemise, tagab tehnilise kasutajatoe ning teavitab vastutavat töötlejat olulistest takistustest ja probleemidest andmekoguga seotud ülesannete täitmisel; 12) teavitab vastutavat töötlejat viivitamata isikuandmetega seotud rikkumisest ning rakendab oma pädevuse piires rikkumise mõju piiramiseks ja kõrvaldamiseks vajalikke meetmeid; 13) täidab muid andmekogu tehnilise pidamisega seotud ülesandeid, milles on vastutava töötlejaga kokku lepitud.

(3) Volitatud töötleja võib lõikes 2 nimetatud ülesannete täitmiseks kasutada teise riigiasutuse või eraõigusliku juriidilise isiku teenuseid.

(4) Vastuvõtuandmete alamregistri puhul korraldab käesoleva paragrahvi lõikes 2 nimetatud ülesannete täitmist vastutav töötleja, kes võib anda nende ülesannete täitmise täielikult või osaliselt üle teisele riigiasutusele või eraõiguslikule juriidilisele isikule. Üleantavad ülesanded ja nende täitmise ulatus määratakse kindlaks vastutava töötleja ja ülesannete täitja vahelises kokkuleppes.“;

3) paragrahvi 8 lõige 2 sõnastatakse järgmiselt:

„(2) Isikule võimaldatakse kodanikuportaali kaudu juurdepääs tema kohta registrisse kantud andmetele.“.;

4) paragrahvi 81 lõiked 1, 2 ja 3 sõnastatakse järgmiselt:

„(1) Haridust tõendavate dokumentide alamregistri andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast.

(2) Õpetajate ja akadeemiliste töötajate alamregistrisse kantud § 18 lõike 1 punktides 1–5, 8–

3

11, 20–23 ja 40 ning lõike 3 punktides 1–8, 10–111 ja 13 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast. Kõiki teisi §-s 18 nimetatud andmeid säilitatakse vähemalt 25 aastat, kuid mitte kauem kui 26 aastat alates esimese kande tegemisest.

(3) Õpilaste, üliõpilaste ning arst-residentide alamregistrisse kantud § 26 lõike 1 punktides 1– 5, 54, 6, 71, 13–15, 30, 31 ja 38–41 ning lõike 2 punktides 1–4, 8, 12, 13, 19–21, 23–24, 60 ja 65 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast. Paragrahvi 26 lõike 1 punktides 53, 11, 23, 35–36, 42 ja 46–53 ning lõike 2 punktides 7, 25, 28, 36, 37, 43–45 ja 61–64 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku kohta esimese kande tegemisest. Kõiki teisi §-s 26 nimetatud andmeid säilitatakse kuni 25 aastat alates isiku kohta esimese kande tegemisest.“;

5) paragrahvi 14 lõike 1 teises lauses, § 22 lõike 1 teises lauses ja § 30 lõike 1 teises lauses asendatakse sõnad „ID-kaardi“ sõnadega „riigi autentimisteenuse“; 6) paragrahvi 21 lõikes 2, § 29 lõikes 2 asendatakse sõnad „Registri vastutavale töötlejale“ sõnaga „Registrisse“;

7) paragrahvi 33 pealkiri sõnastatakse järgmiselt:

„§ 33. Õppeasutuste alamregistri ülesehitus“

8) paragrahvi 361 lõige 1 sõnastatakse järgmiselt:

„(1) Õppeasutused ning huvikooli, noorte- ja projektlaagri pidajad esitavad andmeid õppeasutuste alamregistrisse vastutava töötleja veebilehel asuva viida kaudu üle turvakanali ligipääsetavasse süsteemi. Andmete esitajad identifitseeritakse riigi autentimisteenuse abil. Juurdepääsuõiguse registrile vormistab registri vastutav töötleja.“;

9) paragrahvi 4211 lõige 2 sõnastatakse järgmiselt: „(2) Tehniliste võimaluste olemasolul tagatakse kohaliku omavalitsuse üksusele õppimiskohustusega isikute seiramise ülesande täitmiseks elektrooniline keskkond või X-tee teenus andmete edastamiseks.“;

10) paragrahvi 43 lõiget 3 täiendatakse pärast sõnu „vastutav töötleja“ sõnadega „vajadusel koostöös volitatud töötlejaga“;

11) paragrahv 44 tekst sõnastatakse järgmiselt:

„Registri pidamist finantseeritakse riigieelarvest.“.

§ 2. Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ muutmine

Vabariigi Valitsuse 13. augusti 2021. a määruses nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ tehakse järgmised muudatused:

1) paragrahvi 5 punkt 14 sõnastatakse järgmiselt:

„14) koordineerib infosüsteemide arendamist ja haldamist, peab andmekogusid ning tagab hariduse ja teaduse andmesidevõrgu turvalise ja kvaliteetse toimimise.“;

4

2) paragrahvi 12 lõike 1 punktid 6 ja 8 ning lõiked 7 ja 9 tunnistatakse kehtetuks;

3) paragrahvi 12 lõiget 1 täiendatakse punktiga 201 järgmises sõnastuses:

„201) tehnoloogia juhtimise osakond;“;

4) paragrahvi 12 lõige 6 sõnastatakse järgmiselt:

„(6) Haldusosakonna põhiülesanded on tagada ministeeriumi tõhus majandamine ja haldamine, asutuse toimimiseks vajalike tugiteenuste korraldamine ning ministeeriumi ja valitsemisala kriisireguleerimise ja riigikaitseliste ülesannete täitmise koordineerimine ja korraldamine.“;

5) paragrahvi 12 lõige 14 sõnastatakse järgmiselt:

„(14) Kommunikatsiooniosakonna põhiülesanded on kavandada ja korraldada ministeeriumi sise- ja väliskommunikatsiooni ning korraldada ministeeriumi teabehaldust, sealhulgas dokumendihaldus- ja arhiiviteenuse toimimist.“;

6) paragrahvi 12 lõikest 20 jäetakse välja sõnad „ning kvaliteedijuhtimise ja andmehalduse korraldamine“;

7) paragrahvi 12 täiendatakse lõikega 211 järgmises sõnastuses:

„(211) Tehnoloogia juhtimise osakonna põhiülesandeks on korraldada ministeeriumi ja tema valitsemisala info- ja kommunikatsioonitehnoloogia strateegilist juhtimist ning tellijafunktsiooni täitmist, koondades ja koordineerides valdkondade digiarenduse vajadusi, juhtides arendusportfelli ning korraldades koostööd Riigi Digikeskusega infosüsteemide ja digiteenuste arendamisel ja toimimise tagamisel.“.

§ 3. Määruse jõustumine

Määrus jõustub 1. jaanuaril 2027. a.

Kristen Michal peaminister

Kristina Kallas haridus- ja teadusminister

Keit Kasemets riigisekretär

1

Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega“

muutmise eelnõu seletuskiri

1. Sissejuhatus  1.1. Sisu kokkuvõte Määruse eelnõuga muudetakse Vabariigi Valitsuse 5. augusti 2004. a määrust nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ ning Vabariigi Valitsuse 13. augusti 2021. a määrust nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“. Määrus kehtestatakse Eesti Vabariigi haridusseaduse § 366 lõike 4 ja Vabariigi Valitsuse seaduse § 42 lõike 1 alusel. Eelnõu on seotud riigi info- ja kommunikatsioonitehnoloogia juhtimise ning teenuste konsolideerimise reformiga. Vabariigi Valitsuse heaks kiidetud üleriigilise IKT juhtimisraamistiku kohaselt eristatakse poliitikakujundamise ja strateegia tasandit, valdkondliku sisupoliitika ehk äritellija tasandit ning tehnilise elluviimise tasandit. Ministeerium määrab oma valdkonna digiteenuste eesmärgid, sisulised ja funktsionaalsed nõuded, arendusvajadused, prioriteedid ning eelarvelised valikud. Riigiülene IT-arenduskeskus korraldab kokkulepitud ulatuses arenduste tehnilise elluviimise, infosüsteemide haldamise ja tehniliste teenuste osutamise. Riigi IKT-konsolideerimise reformi käigus kujundatakse Registrite ja Infosüsteemide Keskuse (RIK) baasil uus riigiülene IT-arenduskeskus Riigi Digikeskus. Reformi tulemusena koondatakse ka Haridus- ja Teadusministeeriumi (edaspidi ka HTM) tehnilised IKT-ülesanded Riigi Digikeskusse. Käesoleva eelnõuga valmistatakse ette konsolideerimisest tingitud Eesti hariduse infosüsteemi (edaspidi ka EHIS) pidamisega muudatused. EHISe puhul tähendab see, et HTM jääb registri vastutavaks töötlejaks, registri sisuliseks omanikuks ja äritellijaks, kuid registri tehnilise arendamise, käitamise, hoolduse, taristu, tehnilise turbe, talitluspidevuse ja tehnilise kasutajatoega seotud ülesanded antakse õigusaktis sätestatud ulatuses üle registri volitatud töötlejale. Registri andmete töötlemise eesmärkide ja vahendite määramine, andmete sisulise kvaliteedi korraldamine, juurdepääsuõiguste põhimõtete määramine, andmete väljastamise õiguspärasuse üle otsustamine ning järelevalve volitatud töötleja tegevuse üle jäävad HTMile. Eelnõu teine eesmärk on tugevdada HTMi tellijafunktsiooni. Selleks nähakse HTMi põhimääruses ette tehnoloogia juhtimise osakonna moodustamine. Osakonna kaudu korraldatakse ministeeriumi ja valitsemisala IKT strateegilist juhtimist, koondatakse ja prioritiseeritakse digiarenduse vajadusi, juhitakse arendusportfelli ning valmistatakse ette koostöö Riigi Digikeskusega. Muudatus loob organisatsioonilise aluse selleks, et sisuline otsustusõigus ja valdkondlik vastutus säiliksid ministeeriumis ka tehniliste ülesannete konsolideerimise järel. Lisaks konsolideerimisega otseselt seotud muudatustele ajakohastatakse EHISe põhimääruse üksikuid sätteid. Täpsustatakse ka andmete esitajate autentimise regulatsiooni. Eelnõu muudatuste eesmärk on tagada kooskõla registri eesmärkide, õigusaktide ja uue töökorraldusega. 1.2. Eelnõu ettevalmistaja  

2

Määruse eelnõu ja seletuskirja on koostanud Haridus- ja Teadusministeeriumi õigusosakonna õigusnõunik Marili Lehtmets (tel 735 0289, e-post [email protected]). Eelnõu Eesti hariduse infosüsteemi puudutavate muudatuste ettevalmistamisse on panustanud Haridus- ja Teadusministeeriumi hariduse infosüsteemide osakonna juhataja kohusetäitja Agnes Kutsar (tel 735 0269, e-post [email protected]), digitaalsete andmeteenuste juht Margus Kärner (tel 735 0570, e-post [email protected]) ja peaekspert Marko Mölder (tel 735 0143, e-post [email protected]). Eelnõu §-s 2 sätestatud Haridus- ja Teadusministeeriumi põhimääruse muudatuste ettevalmistamisesse on panustanud personaliosakonna juhataja Henri Lempu (735 1140, [email protected]), õigusosakonna õigusnõunik Kristel Siimula-Saar (tel 7350638, e- post [email protected]). Eelnõule on juriidilise ekspertiisi teinud Haridus- ja Teadusministeeriumi õigusosakonna õigusnõunik Marili Lehtmets (tel 735 0289, e-post [email protected]). 1.3. Märkused  Eelnõuga muudetakse Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ redaktsiooni avaldamismärkega RT I, 19.03.2026, 6 ning Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ redaktsiooni avaldamismärkega RT I, 14.01.2026, 6. 2. Eelnõu sisu ja võrdlev analüüs  Määrusega muudetakse kahte Vabariigi Valitsuse määrust ning määrus koosneb kolmest paragrahvist. Paragrahvis 1 nähakse ette Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine ning §-s 2 Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ muutmine. Paragrahvis 3 kehtestatakse määruse jõustumine. Paragrahv 1 Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine.

Eelnõu § 1 punktiga 1 täpsustatakse põhimäärust vastutava töötleja ülesannete loeteluga. EHISe põhimääruse §-i 3 lisatakse lõige 2, milles sätestatakse Haridus- ja Teadusministeeriumi ülesanded andmekogu vastutava töötlejana. Kehtivas põhimääruses on nimetatud andmekogu vastutav töötleja, kuid tema ülesandeid ei ole eraldi loetletud. Ülesannete täpsustamine on vajalik seoses andmekogu tehnilise pidamise üleandmisega Riigi Digikeskusele. Haridus- ja Teadusministeeriumile jäävad andmekogu pidamise ja arendamise sisuline juhtimine ning andmete töötlemise õigusliku ja sisulise korralduse eest vastutamine. Riigi Digikeskus korraldab volitatud töötlejana andmekogu tehnilise toimimise ja arenduste tehnilise elluviimise.

Paragrahvi 3 lisatava lõike 2 punkti 1 kohaselt korraldab Haridus- ja Teadusministeerium andmekogu pidamist, sealhulgas teenuste ja andmete haldamist, ning vastutab andmekogu haldamise seaduslikkuse eest, andes volitatud töötlejale vajalikke juhiseid ja korraldusi. See tähendab, et ministeerium vastutab andmekogu pidamise tervikliku korralduse eest ning tagab, et andmekogu kasutamine ja andmete töötlemine toimuvad õigusaktides ette nähtud eesmärkidel ja ulatuses.

3

Teenuste haldamine hõlmab selle korraldamist, et andmekogu kaudu osutatavad teenused toetaksid avalike ülesannete täitmist ja oleksid kasutajatele vajalikul ajal kasutatavad. Andmete haldamine hõlmab andmete kogumise, kvaliteedi tagamise, kasutamise ja säilitamise korraldust, mida täpsustavad järgnevad alapunktid. Ministeerium tagab ka selge tööjaotuse: kes vastutab andmekogu igapäevase toimimise eest, kuidas lahendatakse kasutamist takistavad probleemid ning kuidas taastatakse andmed ja andmekogu töö pärast katkestust.

Põhimääruses sätestatud ülesannete täitmise täpsem töökorraldus lepitakse kokku vastutava ja volitatud töötleja vahel. Koostöökokkuleppes täpsustatakse näiteks, millal peab teenus olema kasutatav, millal võib teha hooldustöid, kui kiiresti tuleb probleemidele reageerida ja need lahendada ning kui kiiresti tuleb andmekogu töö pärast katkestust taastada. Samuti lepitakse kokku poolte vaheline infovahetus ning juhiste andmise ja küsimuste lahendamise kord. Kokkulepped lähtuvad põhimääruses sätestatud ülesannete jaotusest.

Paragrahvi 3 lisatava lõike 2 punkti 2 kohaselt vastutab Haridus- ja Teadusministeerium andmekogu arendamise eest ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid.

Avaliku teabe seaduse § 43⁴ lõike 1 kohaselt vastutab andmekogu arendamise eest andmekogu vastutav töötleja. Vastutus andmekogu arendamise eest tähendab eelkõige vastutust selle eest, et andmekogu arendamine lähtuks andmekogu eesmärgist, andmekogu kaudu täidetavatest avalikest ülesannetest ja valdkonna vajadustest ning toimuks kooskõlas õigusaktidega.

Vastutav töötleja määrab ja kinnitab, mida andmekogus on vaja sisuliselt arendada ja millises järjekorras, sealhulgas milliseid andmekogu funktsioone tuleb luua või muuta, milliseid kasutajate ja andmeandjate vajadusi tuleb lahendada, milliseid andmeid või andmevahetusi on ülesannete täitmiseks vaja ning millised arendusvajadused on prioriteetsed. Arendusvajaduste ja prioriteetide määramisel arvestatakse muu hulgas õigusaktidest tulenevaid nõudeid, haridusvaldkonna protsesse, kasutajate vajadusi, andmekvaliteeti, infoturvet ning andmekogu tehnilist jätkusuutlikkust.

Vastutava töötleja vastutus andmekogu arendamise eest ei tähenda, et vastutav töötleja peab arendustöid ise tehniliselt tegema või nende igapäevast tehnilist teostamist juhtima. Arendustööde tehniline kavandamine ja teostamine, sealhulgas tehnilise lahenduse väljatöötamine, tehniliste nõuete täpsustamine, programmeerimine, konfigureerimine, testimine, tehniliste vigade kõrvaldamine ja muudatuste juurutamine, võib vastavalt ülesannete jaotusele olla volitatud töötleja või muu teenuseosutaja ülesanne.

Oluline on märkida, et arendusülesannete kinnitamist vastutava töötleja poolt ei ole vaja teha tavapäraste tehniliste muudatuste või hooldustegevuse tegemiseks, mis ei muuda andmekogu funktsionaalsust ega vastutava töötleja kinnitatud sisulisi eesmärke ja prioriteete. Sellised tehnilised tegevused võivad hõlmata näiteks tarkvarakomponentide versiooniuuendusi, tehnilise võla vähendamist, jõudluse parandamist, turvaparandusi ja muid andmekogu tehnilise töökindluse säilitamiseks vajalikke muudatusi. Nende täpsem korraldus ja vastutus määratakse vastutava ja volitatud töötleja vahelises koostöökokkuleppes.

Paragrahvi 3 lisatava lõike 2 punktiga 3 sätestatakse vastutava töötleja ülesanne määrata andmekogu käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks vajalikud turvameetmed ning korraldada nende rakendamine. Käideldavuse tagamine hõlmab muu hulgas andmekogu järjepideva toimimise, rikete ja katkestuste käsitlemise, varundamise ning andmete ja teenuste

4

taastamise korraldamist. Tervikluse ja konfidentsiaalsuse tagamiseks määratakse vajalikud organisatsioonilised, füüsilised ja infotehnoloogilised meetmed.

Vastutava töötleja ülesanne on määrata andmekogu eesmärgist, töödeldavate andmete iseloomust ja õigusaktidest tulenevatest nõuetest lähtuv vajalik kaitsetase ning korraldada, et selle saavutamiseks vajalikud meetmed oleksid rakendatud. See tähendab, et vastutav töötleja paneb paika, kuidas tuleb andmeid kaitsta, kuidas korraldada töö andmekogu kasutamist takistava häire korral ning kuidas taastada andmed ja andmekogu töö pärast katkestust. Tehniliste turvameetmete rakendamine, andmekogu tehnilise käideldavuse tagamine, varundamine, tehniliste rikete ja intsidentide lahendamine ning andmete ja teenuste tehniline taastamine võib vastavalt ülesannete jaotusele olla volitatud töötleja ülesanne.

Vastutava ja volitatud töötleja vahelises koostöökokkuleppes täpsustatakse vajaduse korral nimetatud ülesannete täitmise korraldus ja teenustasemed, sealhulgas käideldavuse tase, intsidentidele reageerimise ja nende lahendamise tähtajad, varundamise korraldus ning andmete ja teenuste taastamise tähtajad.

Paragrahvi 3 lisatava lõike 2 punkti 4 kohaselt korraldab vastutav töötleja õigusaktides sätestatud ulatuses andmekogu andmetele juurdepääsu ning kasutajaõiguste andmise, muutmise ja lõpetamise.

Andmekogu andmetele juurdepääsu õigus, selle ulatus ja piirangud tulenevad õigusaktidest. Vastutav töötleja ei määra selle sätte alusel iseseisvalt, kellel on õigus andmetele juurde pääseda või millistele andmetele juurdepääs võimaldatakse, vaid korraldab õigusaktidest tulenevate juurdepääsuõiguste andmise. Vastutav töötleja tagab, et juurdepääs andmetele võimaldatakse üksnes õigustatud isikule, tema ülesannete täitmiseks vajalikus ja õigusaktidega lubatud ulatuses.

Kasutajaõiguste korraldamine hõlmab nende andmise, muutmise ja lõpetamise reeglite ning ülesannete jaotuse paika panemist. Õigusi võib hallata ministeerium ise või selleks õigustatud asutus oma töötajate puhul. Näiteks võib kool anda oma töötajatele nende ülesannetele vastavad kasutajaõigused ning neid muuta ja lõpetada. Seega võib kasutajaõiguste haldamine sõltuvalt kasutajarühmast olla ministeeriumi või juurdepääsu saanud asutuse ülesanne. Mõlemal juhul peavad kasutajaõigused jääma õigusaktidega lubatud juurdepääsu piiridesse.

Vastutava töötleja ülesanne on seega tagada nimetatud protsessi nõuetekohane korraldus ning ta ei pea kasutajaõigustega seotud toimingud tehniliselt tegema. Kasutajakonto loomise või sulgemise, kasutajarolli või juurdepääsuõiguse tehnilise lisamise, muutmise või eemaldamise ning muud kasutajaõiguste tehniliseks rakendamiseks vajalikud toimingud võib teha volitatud töötleja. Volitatud töötleja teeb neid toiminguid vastutava töötleja määratud ülesannete ja juhiste kohaselt ega otsusta iseseisvalt andmetele juurdepääsu õigusliku aluse või ulatuse üle.

Paragrahvi 3 lisatava lõike 2 punkti 5 kohaselt korraldab vastutav töötleja andmete töötlemise kooskõlas õigusaktidega ning andmekvaliteedi tagamise. See hõlmab andmete kogumist, kasutamist ja väljastamist, kvaliteedi kontrollimist ja ebaõigete andmete parandamist ning säilitamise, kustutamise ja anonüümimise korraldamist.

Andmete kogumisel korraldab vastutav töötleja, et andmeandjad teaksid, milliseid andmeid, millal ja kuidas tuleb esitada, ning jälgib vajalike andmete esitamist. Andmete kasutamisel ja

5

väljastamisel hindab ta, kas soovitud kasutus on õigusaktidega lubatud ja millises ulatuses võib andmeid väljastada, ning lahendab sisulised andmepäringud.

Andmete kvaliteedi tagamiseks korraldab vastutav töötleja nende õigsuse, täielikkuse ja ajakohasuse kontrollimist. Puuduste ilmnemisel selgitab ta koos andmeandjatega välja, milliseid andmeid tuleb parandada, ja korraldab paranduste tegemise. Üldjuhul parandab enda esitatud andmed andmeandja. Kui viga tuleneb infosüsteemi tehnilisest probleemist või parandust ei saa teha tavapärase andmete sisestamise ja muutmise kaudu, teeb volitatud töötleja vastutava töötleja juhiste alusel vajalikud tehnilised toimingud.

Vastutav töötleja korraldab ka säilitamistähtaegadest kinnipidamise ning andmete kustutamise või anonüümimise õigusaktides ette nähtud juhtudel. Anonüümimine tähendab andmete muutmist selliselt, et nende põhjal ei ole enam võimalik isikut tuvastada. Vastutav töötleja annab volitatud töötlejale vajalikud juhised selle kohta, milliste andmetega ja millal tuleb need toimingud teha, ning kontrollib nende täitmist.

Ülesannete korraldamine ei tähenda, et vastutav töötleja teeb kõik toimingud ise. Andmeandjad täidavad neile pandud andmete esitamise ja parandamise ülesandeid ning volitatud töötleja teeb vajalikud tehnilised toimingud. Vastutavale töötlejale jäävad andmete töötlemise sisulised ja õiguslikud otsused ning nende elluviimise korraldamine.

Paragrahvi 3 lisatava lõike 2 punkti 6 kohaselt sõlmib vastutav töötleja andmevahetuse kokkuleppeid õigusaktides sätestatud ulatuses. Andmevahetuse kokkuleppe sõlmimise eelduseks on, et andmete saamiseks või väljastamiseks on olemas õiguslik alus. Enne kokkuleppe sõlmimist kontrollib vastutav töötleja andmevahetuse õiguslikku alust ning hindab, milliseid andmeid on andmesaajal oma ülesannete täitmiseks vaja ja millises ulatuses võib neid andmeid väljastada.

Andmevahetuse kokkuleppes täpsustatakse õigusaktidest tuleneva andmevahetuse praktiline korraldus, sealhulgas vahetatavate andmete koosseis, andmete edastamise tingimused, andmevahetuse viis ning poolte ülesanded andmevahetuse korraldamisel. Vajaduse korral võib kokkuleppes täpsustada ka andmevahetuse sagedust ja muid andmevahetuse toimimiseks vajalikke tingimusi.

Volitatud töötleja ülesandeks saab korraldada vastutava töötleja juhiste kohaselt andmevahetuseks vajalik tehniline lahendus ja selle toimimine, sealhulgas vajaduse korral liideste loomine, seadistamine ja tehnilise haldamine. Volitatud töötleja ei otsusta iseseisvalt, milliseid andmeid ja kellele väljastatakse.

Paragrahvi 3 lisatava lõike 2 punkti 7 kohaselt on Haridus- ja Teadusministeerium andmesubjekti jaoks kontaktpunkt isikuandmete töötlemisel andmekogus ning korraldab andmesubjekti õiguste teostamisega seotud taotluste ja muude isikuandmete töötlemist puudutavate pöördumiste lahendamise.

Andmesubjekt on füüsiline isik, kelle isikuandmeid andmekogus töödeldakse. Sätte eesmärk on tagada, et andmesubjekti jaoks oleks üheselt selge, kelle poole pöörduda andmekogus tema isikuandmete töötlemist puudutavates küsimustes ja isikuandmete kaitse üldmäärusest tulenevate õiguste teostamiseks. Andmesubjekti kontaktpunkt on Haridus- ja Teadusministeerium kui andmekogu vastutav töötleja.

6

Seega, ministeeriumi ülesanne on korraldada andmesubjekti pöördumise sisuline lahendamine. Kui taotluse lahendamiseks on vaja ka tehnilist teavet, nt logide kontrollimist või andmetes muudatuste tegemist, kaasab ministeerium volitatud töötleja. Volitatud töötleja abistab ministeeriumi ulatuses, milles pöördumise lahendamiseks on vaja andmekoguga seotud tehnilisi toiminguid või tehnilist teavet.

Paragrahvi 3 lisatava lõike 2 punkti 8 kohaselt teeb Haridus- ja Teadusministeerium vastutava töötlejana järelevalvet volitatud töötleja ülesannete täitmise üle. Ministeerium hindab, kas volitatud töötleja täidab talle pandud ülesandeid õigusaktide, ministeeriumi juhiste ja kokkulepitud töökorralduse kohaselt. Selleks saab ministeerium volitatud töötlejalt vajalikku teavet ning annab puuduste ilmnemisel juhiseid ja korraldusi nende kõrvaldamiseks. Kontroll puudutab volitatud töötleja ülesandeid selle andmekogu pidamisel.

Eelnõukohase määruse paragrahvi 1 punktiga 2 täiendatakse määrust §-ga 3¹, millega määratakse registri volitatud töötlejaks Riigi Digikeskus ja sätestatakse tema ülesanded. Muudatus on vajalik, sest HTM IT-osakonna ülesannete konsolideerimisel hakkab registri tehnilist pidamist korraldama ministeeriumist eraldiseisev asutus. Volitatud töötleja nimetamine ja tema ülesannete piiritlemine põhimääruses tagab läbipaistva vastutusjaotuse ning selguse registri kasutajatele, andmeandjatele, andmesaajatele ja järelevalveasutustele.

Lõikes 1 sätestatakse registri üldise volitatud töötlejana Riigi Digikeskus. Sõnad „kui käesolevas määruses ei ole sätestatud teisiti“ võimaldavad vajaduse korral näha registri üksikute alamregistrite või funktsioonide puhul ette erandi üldreeglist. Selline regulatsioon tagab paindlikkuse olukorras, kus registri eri osade tehniline arendus või käitamine võib tuleneda nende eripärast olla korraldatud erinevalt.

Lõikes 2 loetletakse volitatud töötleja ülesanded.

Lõike 2 punkti 1 kohaselt korraldab volitatud töötleja andmekogu majutamise ning tagab selleks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku. Ülesanne hõlmab andmekogu toimimiseks vajaliku tehnilise keskkonna olemasolu ja valmisoleku tagamist, sealhulgas vajaliku serveri-, salvestus-, võrgu- ja muu tehnilise ressursi olemasolu ning majutuskeskkonna tehnilist sobivust andmekogu kasutamiseks.

Majutamise korraldamine hõlmab andmekogu paigutamist selle toimimiseks sobivasse tehnilisse keskkonda ning selle keskkonna toimimise korraldamist. Volitatud töötleja ülesanne on tagada, et andmekogu kasutamiseks vajalik tehniline keskkond oleks olemas, nõuetekohaselt seadistatud ja andmekogu käitamiseks tehniliselt valmis.

Lõike 2 punkti 2 kohaselt korraldab volitatud töötleja andmekogu tarkvara arendamise, testimise ja kasutuselevõtu vastutava töötleja juhiste ning arendusprioriteetide alusel.

See ülesanne hõlmab kogu tarkvaraarenduse protsessi korraldamist, sealhulgas arenduseks vajalike hangete ettevalmistamist ja korraldamist, arenduspartnerite töö koordineerimist ning lepingute täitmise juhtimist. Andmekogu tarkvara arendamise korraldamine hõlmab ka arenduseks vajalike analüüside tegemist või tellimist, sealhulgas arenduseks vajaliku sisendi kogumise ja süstematiseerimise ning nõuete dokumenteerimise korraldamist koostöös vastutava töötlejaga. Vastutav töötleja annab selleks vajalikku valdkondlikku ja õiguslikku sisendit ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid.

7

Samuti hõlmab see punkt tarkvara testimise korraldamist, tuvastatud puuduste kõrvaldamist ja tarkvara kasutuselevõttu.

Sätte eesmärk on eristada arenduse sisuline juhtimine ja tarkvaraarenduse korraldamine. Vastutav töötleja otsustab, milliseid vajadusi peab andmekogu tarkvara täitma, ning seab arendusprioriteedid ja annab arendamiseks vajalikud juhised. Volitatud töötleja korraldab nende alusel arendustööd ning valib ülesannete täitmiseks sobivad tehnilised lahendused, tehes vajaduse korral vastutavale töötlejale ettepanekuid ja täpsustades temaga arendusvajadusi.

Volitatud töötleja ülesanne ei piirdu arendustööde tehnilise teostamisega, vaid hõlmab ka arendamise, testimise ja kasutuselevõtu jaoks vajalike tegevuste korraldamist.

Lõike 2 punkti 3 kohaselt korraldab volitatud töötleja andmekogu tehnilise haldamise, hooldamise ja uuendamise. Ülesanne hõlmab andmekogu igapäevase tehnilise toimimise tagamiseks vajalike tegevuste korraldamist ning andmekogu tehnilise keskkonna ja rakendustarkvara töökorras ja ajakohasena hoidmist.

Tehniline haldamine hõlmab muu hulgas andmekogu tehniliste seadistuste ja konfiguratsioonide haldamist, tarkvarakomponentide ja nende sõltuvuste haldamist, tarkvaraversioonide kasutuselevõttu ja versioonihaldust ning vajaduse korral tehniliste muudatuste tegemist. Hooldamine hõlmab andmekogu töökindluse säilitamiseks vajalikke regulaarseid ja ennetavaid toiminguid, sealhulgas tarkvarauuenduste, turvaparanduste ja muude tehniliste paranduste rakendamist ning tehniliste vigade kõrvaldamist.

Andmekogu uuendamise korraldamine hõlmab olemasoleva tehnilise lahenduse ajakohasena hoidmiseks vajalikke muudatusi, sealhulgas tarkvarakomponentide ja versioonide uuendamist ning nende omavahelise toimimise ja ühilduvuse tagamist.

Lõike 2 punkti 4 kohaselt tagab volitatud töötleja andmekogu käideldavuse, töökindluse ja jõudluse. Sätte eesmärk on määratleda volitatud töötleja vastutus andmekogu tehnilise toimimise eest.

Käideldavuse tagamine tähendab, et andmekogu ja selle teenused on kokkulepitud tingimustel kasutatavad ning tehniliselt kättesaadavad. Töökindluse tagamine hõlmab andmekogu stabiilset toimimist, tehniliste rikete ennetamist ning selliste tehniliste lahenduste rakendamist, mis vähendavad tõrgete ja katkestuste tekkimise tõenäosust. Jõudluse tagamine tähendab, et andmekogu tehniline lahendus suudab kokkulepitud koormuse juures töötada nõuetekohaselt ning päringute, andmevahetuse ja muude tehniliste toimingute tegemine ei ole ebamõistlikult aeglane.

Käesolev punkt käsitleb üksnes andmekogu tehnilist toimimist ega reguleeri seda, kellel on õigus andmekogu andmetele juurde pääseda või millises ulatuses juurdepääs antakse. Andmetele juurdepääsu korraldamine on vastutava töötleja ülesanne. Volitatud töötleja tagab, et õiguspäraselt antud juurdepääsuõigusi on tehniliselt võimalik kasutada.

Käideldavuse, töökindluse ja jõudluse täpsemad teenustasemed, sealhulgas näiteks nõutav käideldavuse tase, reageerimis- ja taastamisajad ning muud mõõdetavad tehnilised näitajad, määratakse vajaduse korral vastutava ja volitatud töötleja koostöökokkuleppes.

8

Lõike 2 punkti 5 kohaselt tagab volitatud töötleja andmekogu tehniliste liidestuste toimimise ja andmevahetuse tehnilise teostamise. Tehniliste liidestuste toimimise tagamine hõlmab andmekogu ja teiste infosüsteemide vaheliste ühenduste seadistamist, nende töökindluse ja ühilduvuse tagamist ning tehniliste tõrgete kõrvaldamist.

Andmevahetuse tehnilise teostamise tagamine hõlmab andmete edastamiseks vajalike tehniliste lahenduste loomist, seadistamist ja haldamist ning nende toimimise jälgimist. See hõlmab ka nimetatud tegevuste korraldamist. Volitatud töötleja lähtub seejuures vastutava töötleja juhistest ja sõlmitud andmevahetuskokkulepetest ega otsusta iseseisvalt, milliseid andmeid, kellele või millisel õiguslikul alusel edastatakse.

Lõike 2 punkti 6 kohaselt teeb volitatud töötleja vastutava töötleja juhiste alusel andmete parandamiseks, kustutamiseks, anonüümimiseks ja väljastamiseks vajalikud tehnilised toimingud.

Sätte eesmärk on eristada andmetega tehtavate toimingute sisuline otsustamine ja nende tehniline teostamine. Andmete parandamise vajaduse väljaselgitamine ning otsustamine, milliseid andmeid ja millises ulatuses tuleb parandada, jääb vastutava töötleja või õigusaktis sätestatud juhul andmeandja ülesandeks. Volitatud töötleja teeb parandamiseks vajalikud tehnilised toimingud üksnes vastutava töötleja juhiste alusel.

Tehniline toiming võib olla vajalik eelkõige juhul, kui andmeandja ei saa ebaõigeid andmeid tavapärase andmete sisestamise või muutmise kaudu ise parandada või kui ebaõigsus tuleneb andmekogu tehnilisest veast. Sellisel juhul võib volitatud töötleja teha andmebaasis, rakenduses või muus tehnilises keskkonnas parandamiseks vajalikud toimingud.

Lisaks andmete parandamisele hõlmab ülesanne andmete kustutamiseks, anonüümimiseks ja väljastamiseks vajalikke tehnilisi toiminguid. Volitatud töötleja rakendab vastutava töötleja juhiste alusel andmete kustutamise ja anonüümimise tehnilisi lahendusi ning koostab andmete väljastamiseks vajalikke väljavõtteid või teeb muid andmete edastamiseks vajalikke tehnilisi toiminguid.

Säte ei anna volitatud töötlejale õigust iseseisvalt otsustada, kas andmed on ebaõiged või millise sisuga parandus tuleb teha. Samuti ei otsusta volitatud töötleja iseseisvalt, milliseid andmeid, millises ulatuses või millisel õiguslikul alusel kustutatakse või anonüümitakse ega milliseid andmeid, kellele ja millisel õiguslikul alusel väljastatakse. Säte ei muuda õigusaktidest tulenevat vastutust andmekogusse esitatud andmete õigsuse eest. Volitatud töötleja roll piirdub nimetatud toimingute tehnilise teostamisega vastutava töötleja juhiste ja talle antud ülesannete piires.

Lõike 2 punkti 7 kohaselt teeb volitatud töötleja vastutava töötleja juhiste alusel kasutajaõiguste andmiseks, muutmiseks ja lõpetamiseks vajalikud tehnilised toimingud. Ülesanne hõlmab kasutajaõiguste tehnilist haldamist, sealhulgas kasutajakontode loomist, juurdepääsuõiguste seadistamist ja muutmist ning juurdepääsu sulgemist. Volitatud töötleja lähtub vastutava töötleja kehtestatud kasutajaõiguste põhimõtetest ja antud juhistest ega otsusta iseseisvalt, kellele ja millises ulatuses juurdepääs võimaldatakse.

Lõike 2 punkti 8 kohaselt rakendab volitatud töötleja andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks õigusaktides, turvanõuetes ja vastutava töötleja juhistes ette nähtud tehnilisi ja korralduslikke turvameetmeid.

9

Sätte eesmärk on määratleda volitatud töötleja ülesanne rakendada andmekogu turvalisuse tagamiseks vajalikke meetmeid talle antud tehniliste ülesannete piires. Käideldavuse tagamise meetmed peavad toetama andmekogu ja selle andmete õigeaegset ning nõuetekohast kasutatavust, tervikluse tagamise meetmed peavad vältima andmete lubamatut või juhuslikku muutmist ja kahjustamist ning konfidentsiaalsuse tagamise meetmed välistama andmetele juurdepääsu selleks õigustamata isikutel.

Volitatud töötleja rakendab nii tehnilisi kui ka korralduslikke turvameetmeid. Tehnilised meetmed võivad hõlmata muu hulgas juurdepääsukontrolli, autentimist, süsteemi turvaseadistusi, turvauuendusi, seiret ja muid tehnilisi kaitsemeetmeid. Korralduslikud meetmed hõlmavad volitatud töötleja vastutusalasse jäävaid töökorralduslikke meetmeid, millega tagatakse turvanõuete järgimine tehniliste ülesannete täitmisel.

Säte ei anna volitatud töötlejale õigust iseseisvalt määrata andmekogu turvanõudeid või muuta vastutava töötleja määratud turvataset. Volitatud töötleja rakendab õigusaktidest, kehtivatest turvanõuetest ja vastutava töötleja juhistest tulenevaid meetmeid ning korraldab nende tehnilise teostamise oma ülesannete piires.

Käesolev punkt käsitleb turvameetmete rakendamist üldiselt. Andmete varundamine ja andmekogu töö taastamine ning logimine ja logide haldamine on volitatud töötleja eraldiseisvad ülesanded ning neid käsitletakse järgmistes punktides.

Lõike 2 punkti 9 kohaselt korraldab volitatud töötleja andmekogu logimise ning logide säilitamise ja tehnilise haldamise õigusaktides sätestatud nõuete ja vastutava töötleja juhiste kohaselt.

Logimise eesmärk on tagada andmekogus tehtud toimingute jälgitavus ning võimaldada vajaduse korral kontrollida, kes, millal ja milliseid toiminguid andmekogus tegi. Volitatud töötleja ülesanne on tagada logimise tehniline toimimine, sealhulgas logikirjete tekkimine, kogumine, säilitamine ja tehniline haldamine.

Volitatud töötleja ei määra iseseisvalt, milliseid toiminguid tuleb logida või kui kaua logisid säilitada. Logitavate toimingute koosseis, logiandmete säilitamise tähtajad ning muud logimisele kohalduvad nõuded tulenevad õigusaktidest või määratakse nende alusel vastutava töötleja juhistega.

Logide tehniline haldamine hõlmab muu hulgas logide säilimise, tervikluse ja kättesaadavuse tagamist, logimise toimimise jälgimist ning logimise tehniliste tõrgete kõrvaldamist. Vajaduse korral teeb volitatud töötleja vastutava töötleja juhiste alusel logidest väljavõtteid või annab muud logiandmetega seotud tehnilist teavet.

Säte eristab vastutava töötleja sisulise ja õigusliku vastutuse logimise nõuete määramisel ning volitatud töötleja ülesande nende nõuete tehnilisel rakendamisel.

Lõike 2 punkti 10 kohaselt korraldab volitatud töötleja andmete varundamise ja taastamise ning andmekogu töö taastamise katkestuse korral.

Ülesanne hõlmab varunduslahenduste rakendamist ja haldamist, varukoopiate tegemist ja säilitamist ning nende kasutatavuse ja taastamisvõimaluste kontrollimist. Samuti hõlmab see

10

taastamiseks vajalike tegevuste kavandamist ja katsetamist, et andmeid ja andmekogu tööd oleks võimalik vajaduse korral taastada.

Sättes eristatakse andmete taastamist ja andmekogu töö taastamist. Andmete taastamine tähendab andmete taastamist varukoopiatest näiteks nende kaotsimineku või kahjustumise korral. Andmekogu töö taastamine hõlmab tarkvara, tehnilise taristu ja muude toimimiseks vajalike komponentide töö taastamist katkestuse järel. Andmekogu töö taastamine võib olla vajalik ka juhul, kui andmed ei ole kadunud ega kahjustunud.2

Volitatud töötleja korraldab nimetatud tegevused vastutava töötleja kehtestatud talitluspidevuse ja taastamise põhimõtete alusel. Ülesanne hõlmab nii vajalike tehniliste toimingute tegemist kui ka taastamisse kaasatud teenuseosutajate tegevuse koordineerimist.

Lõike 2 punkti 11 kohaselt korraldab volitatud töötleja andmekogu töökatkestuste ja tehniliste tõrgete kõrvaldamise ning turvaintsidentide käsitlemise ja tagab tehnilise kasutajatoe.

Töökatkestuste ja tehniliste tõrgete kõrvaldamine hõlmab andmekogu tavapärast toimimist häirivate tehniliste probleemide tuvastamist, nende põhjuste väljaselgitamist, mõju piiramist ning andmekogu tavapärase töö taastamiseks vajalike tehniliste toimingute tegemist. Turvaintsidentide käsitlemine hõlmab intsidendi tuvastamist, mõju piiramist, tehniliste põhjuste väljaselgitamist, vajalike parandusmeetmete rakendamist ning muude volitatud töötleja pädevusse kuuluvate toimingute tegemist.

Tehniline kasutajatugi hõlmab kasutajate abistamist andmekogu tehnilise kasutamisega seotud küsimustes ja probleemides, sealhulgas autentimise, kasutajakonto tehnilise toimimise, süsteemi kasutamist takistavate tehniliste vigade ja muude tehniliste tõrgete korral. Tehniline kasutajatugi ei hõlma andmekogu sisulise kasutamise, andmete tähenduse, juurdepääsuõiguse olemasolu ega muude vastutava töötleja pädevusse kuuluvate küsimuste lahendamist.

Volitatud töötleja teavitab vastutavat töötlejat olulistest takistustest ja probleemidest, mis mõjutavad või võivad mõjutada andmekogu toimimist või talle pandud ülesannete nõuetekohast täitmist. Need võivad olla näiteks olulised tehnilised rikked, taristu puudused, tarkvara vananemisest tulenevad riskid või arendustööde viivitused. Teavitamine võimaldab vastutaval töötlejal hinnata probleemi mõju ning otsustada vajalike tegevuste, prioriteetide või täiendavate ressursside üle. Teavitamiskohustus hõlmab ka probleeme, mis ei ole isikuandmetega seotud rikkumised.

Käesolev punkt käsitleb konkreetsete töökatkestuste, tehniliste tõrgete ja turvaintsidentide operatiivset lahendamist, tehnilist kasutajatuge ning olulistest takistustest ja probleemidest teavitamist. Andmete varundamise ja taastamise ning andmekogu töö taastamise üldine korraldus on sätestatud punktis 10. Isikuandmetega seotud rikkumisest viivitamata teavitamise kohustust ja sellega seotud meetmeid käsitletakse punktis 12.

Lõike 2 punkti 12 kohaselt teavitab volitatud töötleja vastutavat töötlejat viivitamata isikuandmetega seotud rikkumisest ning rakendab oma pädevuse piires rikkumise mõju piiramiseks ja kõrvaldamiseks vajalikke meetmeid.

Teavitamiskohustus lähtub isikuandmete kaitse üldmääruse artikli 33 lõikest 2. Isikuandmetega seotud rikkumine võib seisneda näiteks isikuandmete kaotsiminekus, lubamatus muutmises või avalikustamises või neile loata juurdepääsus. Teavitada tuleb pärast rikkumisest teada saamist,

11

ootamata kõigi asjaolude lõplikku väljaselgitamist. Esialgset teavet täiendatakse asjaolude selgumisel.

Volitatud töötleja annab vastutavale töötlejale teada rikkumise laadist, teadaolevast ulatusest ja võimalikest tagajärgedest ning rakendatud meetmetest. Oma pädevuse piires piirab ta rikkumise mõju ja kõrvaldab selle tehnilisi põhjuseid, näiteks sulgeb lubamatu juurdepääsu või parandab turvaseadistusi.

Vastutav töötleja hindab rikkumise mõju andmesubjektidele ning korraldab vajaduse korral järelevalveasutuse ja andmesubjektide teavitamise. Punkt 11 käsitleb tehniliste tõrgete ja turvaintsidentide operatiivset lahendamist, punkt 12 aga isikuandmetega seotud rikkumisest teavitamist ja sellega seotud meetmeid. Kõik tehnilised tõrked ja turvaintsidendid ei ole isikuandmetega seotud rikkumised.

Lõike 2 punkti 13 kohaselt täidab volitatud töötleja muid andmekogu tehnilise pidamisega seotud ülesandeid, milles on vastutava töötlejaga kokku lepitud. Sätte eesmärk on võimaldada kokku leppida täiendavaid tehnilisi ülesandeid, mida eelnevates punktides ei ole eraldi nimetatud, kuid mis on vajalikud andmekogu pidamiseks. Selline ülesanne võib olla näiteks vastutava töötleja abistamine andmesubjekti õiguste teostamisega seotud taotluste lahendamisel, andes vajalikku tehnilist teavet ja tehes vastutava töötleja juhiste alusel tehnilisi toiminguid.

Üldsäte piirdub andmekogu tehnilise pidamisega seotud ülesannetega ega muuda vastutava ja volitatud töötleja vahelist ülesannete ja vastutuse jaotust. Täiendavate ülesannete kokkuleppimine ei anna volitatud töötlejale õigust teha vastutava töötleja pädevusse kuuluvaid sisulisi otsuseid.

Lõikega 3 nähakse ette, et Riigi Digikeskus võib nimetatud ülesannete täitmiseks kasutada teise riigiasutuse või eraõigusliku juriidilise isiku teenuseid. Kui teenuseosutaja töötleb teenuse osutamisel Riigi Digikeskuse nimel isikuandmeid, on kõnealune põhimääruse säte käsitatav vastutava töötleja üldise kirjaliku loana teise volitatud töötleja kaasamiseks IKÜM artikli 28 tähenduses.

Riigi Digikeskus peab teenuseosutajaga sõlmitavas lepingus sätestama teenuseosutaja kohustuse järgida andmekaitse-, infoturbe-, konfidentsiaalsus- ja toimepidevusnõudeid ning täita vastutava töötleja juhiseid. Teenuseosutaja kaasamine ei muuda Riigi Digikeskuse vastutust Haridus- ja Teadusministeeriumi ees.

Vastutava ja volitatud töötleja koostöökokkuleppes nähakse ette Riigi Digikeskuse kohustus teavitada vastutavat töötlejat enne teise volitatud töötleja kaasamist või asendamist ning anda talle võimalus esitada kavandatava muudatuse kohta vastuväiteid. Lõikega 4 nähakse ette vastuvõtuandmete alamregistri suhtes erisus volitatud töötleja ülesannete jaotuses. Erinevalt teistest Eesti hariduse infosüsteemi alamregistritest jääb vastuvõtuandmete alamregistri puhul lõikes 2 nimetatud ülesannete täitmise korraldamine vastutavale töötlejale. Vastutav töötleja võib anda nende ülesannete täitmise täielikult või osaliselt üle teisele riigiasutusele, sealhulgas Riigi Digikeskusele, või mõnele eraõiguslikule juriidilisele isikule.

12

HTMi soov on, et Riigi Digikeskus hakkab korraldama vastuvõtuandmete alamregistri majutamist ning tagama selleks vajaliku infotehnoloogilise keskkonna tehnilise valmisoleku. Samuti majutamisega seotud ulatuses turvalisuse, töökatkestuste ja tehniliste tõrgete kõrvaldamise ning infotehnoloogilise keskkonna töö taastamisega seotud ülesandeid. Üleantavad ülesanded ja nende täitmise ulatus määratakse aga kindlaks vastutava töötleja ja ülesannete täitja vahelises kokkuleppes.

Erisus on vajalik, kuna vastuvõtuandmete alamregistrit teenindava tehnilise lahenduse arendamise ja haldamise edasine korraldus ei ole veel lõplikult kindlaks määratud. Erisus võimaldab alamregistri majutamise üle anda Riigi Digikeskusele, jättes samal ajal vastutavale töötlejale võimaluse otsustada eraldi tarkvara arendamise ja tehnilise haldamise edasine korraldus.

Kokkuvõtteks eelnõu § 1 punktidega 1 ja 2 kehtestatavad vastutava ja volitatud töötleja ülesannete loetelud moodustavad terviku. Vastutav töötleja määrab registri pidamise sisulised eesmärgid, õiguslikud tingimused, funktsionaalsed nõuded ja arendusprioriteedid ning vastutab andmete töötlemise õiguspärasuse eest. Volitatud töötleja korraldab nende otsuste tehnilise elluviimise ning tagab registri tehnilise toimimise, turvalisuse ja toimepidevuse. Ülesannete täpsem töökorraldus, teenustasemed, infovahetus, aruandlus ja eskalatsioonikord määratakse asutuste vahelises koostööleppes.

Paragrahv 1 punktiga 3 ajakohastada sõnastust ja muudetakse selgemaksEHISe põhimääruse § 8 lõige 2. Senise viite asemel kodanikuportaalile ja X-teele sätestatakse, et isikule võimaldatakse kodanikuportaali kaudu juurdepääs tema kohta registrisse kantud andmetele. Muudatus ei mõjuta isiku õigust tutvuda enda andmetega, vaid täpsustab andmetele juurdepääsu võimaldamise viisi ning viib sätte kooskõlla kasutatavate tehniliste lahendustega. Paragrahv 1 punktiga 4 Paragrahvi 8¹ lõigete 1–3 sõnastust muudetakse nii, et andmete säilitamise kohustus sätestatakse umbisikuliselt ega seostata seda konkreetselt registri vastutava töötlejaga. Muudatus on vajalik seoses registri vastutava ja volitatud töötleja ülesannete täpsustamisega põhimääruse üldsätetes. Vastutav töötleja vastutab jätkuvalt andmete säilitamise eesmärkide, õigusliku aluse, säilitustähtaegade järgimise ja säilitamise korraldamise eest. Andmete tehnilise säilitamise, sealhulgas selleks vajalike tehniliste lahenduste, taristu, varundamise ja käideldavuse tagab volitatud töötleja talle põhimääruse ja vastutava töötleja juhistega pandud ülesannete ulatuses. Umbisikuline sõnastus väldib olukorda, kus registri eri sätetes tuleb iga säilitamisega seotud sisuline või tehniline toiming eraldi vastutavale või volitatud töötlejale omistada. Ülesannete tegelik jaotus tuleneb põhimääruse §-dest 3 ja 3¹: säilitamise õiguspärasuse ja sisulise korralduse eest vastutab vastutav töötleja ning tehnilise teostuse eest volitatud töötleja. Muudatus ei muuda andmete säilitustähtaegu, andmete säilitamise eesmärke ega registrisse kantavate andmete koosseisu. Paragrahv 1 punktiga 5 asendatakse paragrahvi 14 lõike 1, § 22 lõike 1 ja § 30 lõike 1 teises lauses viide ID-kaardile viitega riigi autentimisteenusele. Kehtiv sõnastus on liiga kitsas ega arvesta, et turvaliseks autentimiseks kasutatakse lisaks ID-kaardile ka teisi riigi autentimisteenuses toetatud vahendeid. Muudatus on tehnoloogianeutraalne, võimaldab kasutada ajakohaseid turvalisi autentimisvahendeid ega muuda andmete esitajate ringi ega nende õigusi.

13

Paragrahv 1 punktiga 6 muudetakse § 21 lõiget 2 ja § 29 lõiget 2 selliselt, et asendatakse sõnad „registri vastutavale töötlejale“ sõnaga „registrisse“. Muudatusega sätestatakse andmete esitamise kohustus registri, mitte konkreetse töötleja suhtes. Andmete esitaja jaoks on määrav, et andmed kantakse registrisse nõuetekohasel viisil; registri vastutava ja volitatud töötleja omavaheline tööjaotus ei muuda andmete esitaja kohustuse sisu.  Vastutav töötleja vastutab jätkuvalt andmete kogumise, andmekoosseisu, andmekvaliteedi nõuete ja andmete esitamise korralduse sisulise kujundamise eest. Volitatud töötleja tagab andmete registrisse esitamiseks vajaliku tehnilise keskkonna ja selle toimimise vastutava töötleja kehtestatud nõuete kohaselt. Muudatus ei muuda andmete esitajate ringi, esitatavate andmete koosseisu ega andmete esitamise tähtaegu.  Paragrahv 1 punktiga 7 lisatakse põhimääruse paragrahvile 33 pealkiri, mis sõnastatakse järgmiselt „Õppeasutuste alamregistri ülesehitus“. Muudatus parandab vormistusliku ebatäpsuse ja ühtlustab pealkirja määruse ülejäänud alamregistrite ülesehitust käsitlevate sätetega. Sisulist muudatust ei tehta.  Paragrahv 1 punktiga 8 sõnastatakse § 36¹ lõige 1 ümber, et ajakohastada õppeasutuste alamregistrisse andmete esitamise ja andmete esitajate tuvastamise korda. Kehtiv viide andmete esitamisele digitaalallkirjastatud failiga ei vasta enam kasutatavale tehnilisele lahendusele. Samuti asendatakse kitsalt ID-kaardile viitav sõnastus viitega riigi autentimisteenusele, kuna turvaliseks autentimiseks saab kasutada erinevaid riigi autentimisteenuse toetatud autentimisvahendeid. Muudatus tagab tehnoloogianeutraalsuse ja võimaldab kasutada ajakohaseid turvalisi andmete esitamise ning autentimise lahendusi. Seejuures säilib nõue, et andmete esitaja peab olema usaldusväärselt tuvastatud ning juurdepääs registrile peab põhinema vastutava töötleja määratud juurdepääsuõigustel. Muudatus ei mõjuta andmete esitajate ringi, nende õigusi ega kohustusi ega registrisse esitatavate andmete koosseisu. Paragrahv 1 punktiga 9 sõnastatakse § 42¹¹ lõige 2 umbisikuliselt ning sättest jäetakse välja viide vastutavale töötlejale, kes kohaliku omavalitsuse üksusele elektroonilise keskkonna või X-tee teenuse tagab. Muudatus on vajalik, sest registri vastutava ja volitatud töötleja rollid ning ülesanded sätestatakse põhimääruse üldsätetes. Vastutav töötleja vastutab kohaliku omavalitsuse üksusele andmetele juurdepääsu võimaldamise õigusliku aluse, eesmärgi, ulatuse ja tingimuste määramise eest. Elektroonilise keskkonna või X-tee teenuse tehnilise loomise, käitamise ja toimimise tagab volitatud töötleja vastutava töötleja nõuete ja juhiste alusel. Seetõttu ei ole põhjendatud omistada juurdepääsu tehnilist tagamist üksnes vastutavale töötlejale.  Muudatus ei laienda kohaliku omavalitsuse üksuse juurdepääsuõigust ega muuda andmete kasutamise eesmärki. Andmeid võib kasutada üksnes õppimiskohustusega isikute seiramise ülesande täitmiseks seaduses ja selle alusel antud õigusaktis sätestatud ulatuses. Paragrahv 1 punktiga 10 täiendatakse §-i 43 lõiget 3 selliselt, et registri pidamises ilmnenud puudused kõrvaldab vastutav töötleja edaspidi vajaduse korral koostöös volitatud töötlejaga. Kehtiv regulatsioon ei arvesta selgelt olukorda, kus puudus puudutab registri tehnilist käitamist, turvet, taristut või muud volitatud töötleja täidetavat ülesannet. Muudatus ei vähenda vastutava töötleja vastutust järelevalve ettekirjutuse täitmise eest, vaid loob õigusliku selguse, et tehnilise puuduse kõrvaldamisse kaasatakse selle eest vastutav teenuseosutaja. 

14

Paragrahv 1 punktiga 11 sõnastatakse § 44 ümber ja sätestatakse, et registri pidamist finantseeritakse riigieelarvest. Registri pidamisega seotud vahendid on pärast Haridus- ja Teadusministeeriumi IT konsolideerimist kavandatud erinevate asutuste eelarvetes ning nende täpne jaotus kujuneb riigieelarve planeerimise ja asutuste vaheliste kokkulepete käigus. Seetõttu ei ole põhjendatud nimetata põhimääruses asutust ega töötlejat, kellele vahendid eraldatakse. Muudatus ei mõjuta registri pidamise rahastamise kohustust ega vastutava töötleja õigust määrata registri sisulised arendusvajadused ja arendusprioriteedid.

Paragrahviga 2 muudetakse Vabariigi Valitsuse 13. augusti 2021. a määrust nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“.

Paragrahv 2 punktiga 1 täiendatakse määruse § 5 punkti 14, sätestades ministeeriumi põhiülesandena hariduse ja teaduse andmesidevõrgu turvalise ja kvaliteetse toimimise tagamise. Ülesanne kuulus seni infotehnoloogiataristu osakonna vastutusvaldkonda. Seoses IT- funktsioonide konsolideerimise ja infotehnoloogiataristu osakonna tegevuse lõpetamisega on vajalik täpsustada ülesande paiknemist ministeeriumi põhimääruses. Hariduse ja teaduse andmesidevõrgu korraldamist käesolevas konsolideerimise etapis üle ei anta ning selle turvalise ja kvaliteetse toimimise tagamine jääb jätkuvalt ministeeriumi ülesandeks. Kuna nimetatud ülesanne ei ole ühegi osakonna jaoks põhiülesanne, ei seostata seda ministeeriumi põhimääruses konkreetse osakonna põhiülesannetega, vaid sätestatakse ministeeriumi põhiülesandena § 5 punktis 14. Ülesande täitmise eest vastutav osakond ja osakondade vaheline ülesannete jaotus määratakse osakondade põhimäärustes.

Paragrahv 2 punktiga 2 tunnistatakse kehtetuks Haridus- ja Teadusministeeriumi põhimääruse § 12 lõike 1 punktid 6 ja 8 ning lõiked 7 ja 9. Muudatus on seotud ministeeriumi struktuuri ümberkorraldamise ja senise IT-ülesannete jaotuse muutmisega. Haridus- ja Teadusministeeriumi IT-osakonna tehnilised ülesanded konsolideeritakse Riigi Digikeskusse ning ministeeriumisse jääv IKT juhtimise ja tellijafunktsioon koondatakse uude tehnoloogia juhtimise osakonda.

Paragrahv 2 punktiga 3 täiendatakse § 12 lõikes 1 toodud ministeeriumi osakondade loetelu tehnoloogia juhtimise osakonnaga. Osakonna loomine on vajalik, et tagada ministeeriumis pärast tehnilise IT-võimekuse konsolideerimist piisav ja üheselt määratud valdkondlik tellijavõimekus. Tehnilise teostuse üleandmine ei vähenda ministeeriumi vastutust oma avalike teenuste, andmekogude, poliitikaeesmärkide, arendusvajaduste ega eelarveliste valikute eest.

Paragrahv 2 punktiga 4 muudetakse § 12 lõikes 6 sätestatud haldusosakonna põhiülesannete kirjeldust. Senisest sõnastusest jäetakse välja viited asjaajamise, dokumendihalduse ja arhiivitöö korraldamisele, kuna nende ülesannete täitmine koondatakse kommunikatsiooniosakonda. Mõistest „asjaajamine“ loobutakse, kuivõrd see ei ole enam teabehalduse valdkonnas tavapäraselt kasutatav termin. Lisaks sätestatakse haldusosakonna põhiülesandena ministeeriumi ja valitsemisala kriisireguleerimise ning riigikaitseliste ülesannete täitmise koordineerimine ja korraldamine.

Paragrahv 2 punktiga 5 muudetakse § 12 lõiget 14. Muudatuse eesmärk on täpsustada ja laiendada kommunikatsiooniosakonna põhiülesandeid. Lisaks ministeeriumi kommunikatsioonitegevuste kavandamisele ja korraldamisele antakse kommunikatsiooniosakonnale ministeeriumi teabehalduse korraldamise ja koordineerimise

15

ülesanne, sealhulgas dokumendihaldus- ja arhiiviteenuse toimimise tagamine. Muudatuse eesmärk on koondada kommunikatsiooni-, teabe- ja dokumendihalduse valdkonnad ühe struktuuriüksuse vastutusalasse ning tagada nende valdkondade terviklik juhtimine ja arendamine.

Paragrahv 2 punktiga 6 võetakse strateegia- ja finantsosakonna  põhiülesannetest välja kvaliteedijuhtimise ja andmehalduse korraldamise funktsioon. Muudatus on seotud ministeeriumi struktuuri ja ülesannete jaotuse täpsustamisega. Andmehalduse korraldamise ülesanne on pärast ministeeriumi viimast struktuurimuudatust põhimääruses omistatud rohkem kui ühele struktuuriüksusele. Muudatusega kõrvaldatakse formaalne ülesannete kattuvus ning tagatakse selgus, et andmehalduse korraldamine on analüüsiosakonna põhiülesanne. Kvaliteedijuhtimise ülesanne viiakse senise osakonna vastutusalast välja ning korraldatakse edaspidi vahetult kantsleri juhtimisel. Kvaliteedijuhtimine on ministeeriumiülene juhtimisfunktsioon, mis hõlmab organisatsiooni töökorralduse, protsesside ja juhtimissüsteemi terviklikku arendamist. Seetõttu ei ole põhjendatud selle seostamine üksnes ühe osakonna põhiülesannetega. Kvaliteedijuhtimise vahetu allutamine kantslerile toetab funktsiooni horisontaalset rakendamist kogu ministeeriumis ning võimaldab käsitada kvaliteedijuhtimist organisatsiooni üldise juhtimise ja arendamise osana. Muudatusega ei lõpetata andmehalduse ega kvaliteedijuhtimise ülesannete täitmist. Muudetakse nende ülesannete organisatsioonilist paiknemist ja vastutuse jaotust. Ülesannete täpsem sisu, vastutajad ja töökorraldus määratakse ministeeriumi sisemistes töökorralduslikes dokumentides. Paragrahv 2 punktiga 7 täiendatakse HTM põhimääruse §-i 12 lõikega 21¹, milles määratakse tehnoloogia juhtimise osakonna põhiülesanne. Osakond korraldab ministeeriumi ja tema valitsemisala IKT strateegilist juhtimist ning tellijafunktsiooni täitmist, koondab ja koordineerib valdkondade digiarenduse vajadusi, juhib arendusportfelli ning korraldab koostööd Riigi Digikeskusega infosüsteemide ja digiteenuste arendamisel ning toimimise tagamisel.  Osakonna ülesanne on siduda poliitikavaldkondade eesmärgid konkreetsete arendusvajaduste, prioriteetide, eelarve ja teenuseosutaja tööga. Osakond ei asenda valdkondlike teenuseomanike, andmekogude vastutavate töötlejate ega sisuekspertide vastutust. Samuti ei võta osakond üle Riigi Digikeskuse tehnilise teostuse vastutust. Osakond loob juhtimiskihi, mille kaudu kujundatakse terviklik tellimus, välditakse dubleerivaid arendusi, juhitakse sõltuvusi ja riske ning kontrollitakse, et tehnilised lahendused vastaksid õiguslikele, sisulistele ja funktsionaalsetele nõuetele.  Paragrahvis 3 sätestatakse käesoleva määruse jõustumise aeg. Määrus jõustub 2027. aasta 1. jaanuaril. Jõustumisaeg on seotud Haridus- ja Teadusministeeriumi IT-ülesannete Riigi Digikeskusse konsolideerimise ja ministeeriumi uue IKT juhtimiskorralduse rakendamisega. Üheaegne jõustumine tagab, et tehniliste ülesannete üleandmisel on EHISe vastutava ja volitatud töötleja rollid ning ministeeriumisse jääv tellijafunktsioon õiguslikult määratletud.  3. Eelnõu vastavus Euroopa Liidu õigusele 

16

Eelnõuga ei võeta üle Euroopa Liidu õigust ega rakendata Euroopa Liidu õigusakti, kuid isikuandmete töötlemisel kohaldatakse jätkuvalt määrust (EL) 2016/679. 4. Määruse mõjud  4.1. Mõju riigiasutuste korraldusele ja avalike teenuste osutamisele  Eelnõul on otsene korralduslik mõju Haridus- ja Teadusministeeriumile ning Riigi Digikeskusele. EHISe tehnilise pidamise ülesanded paigutatakse Riigi Digikeskusse ning ministeeriumis täpsustatakse vastutava töötleja, äritellija ja IKT strateegilise juhtimise ülesandeid. Mõju on eelkõige asutuste vahelise tööjaotuse muutus. Haridusvaldkonna poliitika, EHISe andmetöötluse eesmärkide, funktsionaalsete nõuete ning arendusprioriteetide üle otsustamine jääb ministeeriumile.  Positiivne mõju seisneb rollide ja vastutuse selginemises. Üheselt määratud tellija- ja teenuseosutaja roll vähendab olukordi, kus sisuline otsustamine, tehniline teostus ja järelevalve on samas üksuses või ebapiisavalt eristatud. Tehniliste kompetentside koondamine loob eeldused ühtlasemaks töökorralduseks, tehnilise kvaliteedi ja infoturbe juhtimiseks ning arendus- ja haldusvõimekuse paindlikumaks kasutamiseks. Mõju tegelik ulatus sõltub koostöökokkuleppest, teenustasemete määramisest ja üleandmise kvaliteedist.  4.2. Mõju andmekaitsele, infoturbele ja registri toimepidevusele  Eelnõu ei laienda EHISe andmete töötlemise eesmärke ega andmete koosseisu. Andmekaitseline mõju on eeldatavalt positiivne, sest vastutava ja volitatud töötleja ülesanded sätestatakse senisest selgemalt. Haridus- ja Teadusministeeriumile jääb kontroll andmete töötlemise eesmärkide, juurdepääsutingimuste ja õiguspärasuse üle. Riigi Digikeskus vastutab talle antud tehniliste ja korralduslike meetmete rakendamise eest.  Infoturbe ja toimepidevuse seisukohalt loob muudatus selgema vastutuse registri tehnilise käideldavuse, töökindluse, varundamise, taastumisvõime, logide ja intsidentide käsitlemise eest. Võimalik üleminekurisk seisneb teadmiste, õiguste, lepingute, tehnilise seadistuse või vastutuste ebatäielikus üleandmises. Riski maandamiseks tuleb enne jõustumist üle anda vajalik dokumentatsioon, riigivara ja õigused, määrata kontaktid ja eskalatsioonikord, kokku leppida teenustasemed ning kontrollida toimepidevuse ja taastamise korraldust.  4.3. Mõju EHISe kasutajatele, andmeandjatele ja andmesaajatele  Registri kasutajate, õppeasutuste, kohaliku omavalitsuse üksuste ja teiste andmeandjate põhiõigused ja kohustused ei muutu. Andmete esitamise kanalid ja kasutajaliidesed võivad tehnilise arenduse käigus muutuda, kuid eelnõu ise ei kehtesta uusi andmeesituskohustusi. Autentimise sõnastuse ajakohastamine võimaldab kasutada riigi autentimisteenuse toetatud turvalisi vahendeid ning on kasutajatele paindlikum kui üksnes ID-kaardile viitav regulatsioon.   4.4. Majanduslik, sotsiaalne, regionaalne ja keskkonnamõju  Eelnõuga ei muudeta toetuste, teenuste ega hariduse korralduse materiaalõiguslikke tingimusi ning seetõttu puudub oluline otsene sotsiaalne või regionaalne mõju. Kaudne positiivne mõju

17

võib avalduda haridusvaldkonna digiteenuste töökindluse, turvalisuse ja arendamise kvaliteedi paranemise kaudu. Eelnõul ei ole eeldatavalt olulist otsest mõju ettevõtlusele ega looduskeskkonnale. 4.5. Riskid ja nende maandamine  Juhtimis- ja vastutusmudeli risk: sisulise ja tehnilise vastutuse piir võib praktikas jääda ebaselgeks. Riski maandatakse põhimääruse, koostöökokkuleppe, vastutusmaatriksi, teenustasemete ja eskalatsioonikorra abil.  Teenuse järjepidevuse risk: üleminekul võib kaduda asutusespetsiifiline teadmine või tekkida katkestus. Riski maandatakse etapiviisilise üleandmise, dokumenteerimise, võtmeisikute kaasamise, üleandmisaktide ja toimepidevuse testimisega.  Andmekaitse- ja infoturberisk: juurdepääsude või administraatoriõiguste ümberkorraldamine võib suurendada väärkasutuse või eksimuse riski. Riski maandatakse ülesandepõhiste minimaalsete õiguste, logimise, regulaarse kontrolli ja selge rikkumisteavituse korraga.  Finantsrisk: ülesannete ja kulude ebatäpne jaotus võib põhjustada dubleerimist või rahastamata kohustusi. Riski maandatakse teenuste, lepingute, personali, vara ja eelarve detailse kaardistamise ning kulude jaotuse kokkuleppimisega.  5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud  Määruse rakendamiseks tuleb enne EHISe tehnilise pidamise ülesannete üleandmist tagada, et Riigi Digikeskusel on registri katkematuks, turvaliseks ja nõuetekohaseks tehniliseks käitamiseks vajalik teave, õigused, vahendid ja juurdepääsud. Selleks tuleb Haridus- ja Teadusministeeriumil koostöös Riigi Digikeskusega:

• kaardistada registri pidamisega seotud ülesanded, tööprotsessid, vastutajad, sõltuvused ja teenused ning leppida kokku nende üleandmise ulatus ja ajakava;

• kaardistada ja anda üle registri pidamiseks vajalik dokumentatsioon, lepingud, litsentsid, lähtekood ning muud tarkvara kasutamise, muutmise ja arendamisega seotud õigused;

• anda üle või tagada registri tehniliseks käitamiseks vajalikud domeenid, sertifikaadid, krüptovõtmed, administraatoriõigused, tehnilised seadistused, teenusekontod ning muud juurdepääsud;

• otsustada registri pidamiseks kasutatava riigivara valitsemise, valduse ja kasutamise korraldus ning vormistada vajalikud vara üleandmised või kasutuskokkulepped;

• teha kindlaks registri pidamisega seotud lepingute edasine korraldus, sealhulgas vajadus lepingute üleandmiseks, muutmiseks või uute lepingute sõlmimiseks;

• vaadata üle registri kasutajaõigused, administraatoriõigused ja teenusekontod, rakendada vähimate õiguste põhimõtet ning tagada õiguste andmise, muutmise ja lõpetamise kontrollitavus;

• kontrollida logimise ja logide säilitamise korraldust ning tagada, et registris tehtud toimingud ja juurdepääsud oleksid õigusaktides sätestatud ulatuses tuvastatavad ja kontrollitavad;

• kontrollida registri varundamise, taastamise, talitluspidevuse ja infoturbe korraldust ning viia vajaduse korral läbi taastamise, talitluspidevuse ja turvameetmete toimivuse testid;

18

• määrata kindlaks tehniliste intsidentide käsitlemise, rikkumistest teavitamise, tehnilise kasutajatoe ja probleemide lahendamise töökorraldus, sealhulgas kontaktisikud ja eskalatsioonikord;

• sõlmida või ajakohastada Haridus- ja Teadusministeeriumi ning Riigi Digikeskuse koostöökokkulepe, milles määratakse kindlaks teenuste ulatus, teenustasemed, arendus- ja muudatuste juhtimise kord, poolte infovahetus, aruandlus ning vastutuse jaotus;

• kehtestada ministeeriumis tehnoloogia juhtimise osakonna struktuur, tööjaotus ja tööprotsessid ning määrata teenuse- ja tooteomanike, andmekogu vastutava töötleja ülesandeid täitvate isikute ja Riigi Digikeskuse koostöömudel;

• tagada registri arendusvajaduste koondamise, hindamise, prioriseerimise ja rahastamise töökorraldus ning registri arendusportfelli juhtimine;

• tagada, et registri sisulise kasutajatoe, andmekvaliteedi, andmete väljastamise, juurdepääsuõiguste ning andmesubjektide pöördumiste lahendamise ülesannete täitmine jätkuks ministeeriumis;

• teavitada registri kasutajaid, andmeandjaid, andmesaajaid, lepingupartnereid ja teisi asjaomaseid isikuid kontaktandmete, kasutajatoe või töökorralduse muutumisest ulatuses, milles muudatus neid puudutab;

• dokumenteerida ülesannete ja vahendite üleandmine ning kontrollida enne uue töökorralduse rakendamist, et üleandmiseks kokku lepitud tegevused on tehtud ja registri toimepidevus on tagatud.

Nimetatud tegevuste eesmärk on vähendada üleminekuperioodil registri töökatkestuse, infoturbeintsidendi, teadmiste kaotsimineku, ülesannete dubleerimise või vastutuslünga tekkimise riski. Ülesannete tehniline üleandmine ei muuda Haridus- ja Teadusministeeriumi vastutust registri pidamise eesmärkide, andmete töötlemise õiguspärasuse, andmekvaliteedi, juurdepääsutingimuste ega arendusprioriteetide määramise eest. Eelnõu rakendamise finantsmõju tuleb eristada IKT reformi üldisest rahalisest mõjust. Käesolev määrus ei loo iseseisvalt uusi andmekogusid, teenuseid ega andmekoosseise. Eelnõu rakendamisega seotud kulud tulenevad peamiselt ülesannete, personali, teenuste, lepingute ja vara ümberkorraldamisest ning uue tellijafunktsiooni käivitamisest. Nende kulude täpne suurus sõltub üleantavate teenuste ja ressursside lõplikust jaotusest ning lepitakse kokku konsolideerimise ettevalmistamise ja eelarve üleandmise käigus. Registri pidamise püsikulud kaetakse riigieelarvest. Riigi IKT reformi rahastusmudeli kohaselt tuleb eristada Riigi Digikeskuse baasteeninduse kulud, valdkondlikud investeeringud ning vajaduse korral mahupõhised või eriteenuste kulud. Valdkondlike arenduste sisu ja prioriteedid jäävad Haridus- ja Teadusministeeriumi otsustada ning nende jaoks vajalik investeeringute eelarve planeeritakse riigieelarve protsessis. Määruse rakendamisest ei teki otseseid tulusid. Pikemas vaates võib tehniliste kompetentside ja tugitegevuste koondamine vähendada dubleerimist, parandada ressursikasutust ja muuta teenuste kulud läbipaistvamaks. Sellist võimalikku säästu ei saa käsitada üksnes käesoleva määruse mõjuna, sest selle realiseerumine sõltub IKT reformi terviklikust rakendamisest, teenuste tegelikust konsolideerimisest ning eelarve- ja juhtimiskokkulepetest. 6. Määruse jõustumine  Määrus jõustub 1. jaanuaril 2027. a.

19

7. Eelnõu kooskõlastamine  Määruse eelnõu esitatakse kooskõlastamiseks Justiits- ja Digiministeeriumile. Eelnõu esitatakse arvamuse avaldamiseks Registrite ja Infosüsteemi Keskusele ja Andmekaitse Inspektsioonile.

Kristina Kallas minister

Munga 18/ 50088 Tartu/ 735 0222/ [email protected]/ www.hm.ee/ Registrikood 70000740

Kooskõlastamiseks: Justiits- ja Digiministeerium

Arvamuse avaldamiseks: Registrite ja Infosüsteemide Keskus Andmekaitse Inspektsioon

23.10.2026 nr 8-1/26/5690

Vabariigi Valitsuse määruse eelnõu esitamine kooskõlastamiseks ja arvamuse avaldamiseks

Esitame Teile kooskõlastamiseks ja arvamuse avaldamiseks Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega“ eelnõu. Eelnõu ja seletuskirjaga on võimalik tutvuda eelnõude infosüsteemis (EIS) aadressil http://eelnoud.valitsus.ee. Palume Teie kooskõlastust või arvamust kümne tööpäeva jooksul.

Lugupidamisega

(allkirjastatud digitaalselt) Kristina Kallas minister

Lisa: 1. Eelnõu 2. Seletuskiri

Marili Lehtmets 735 0289 [email protected]

1

EELNÕU 22.10.2026.

MÄÄRUS

Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega

Määrus kehtestatakse Eesti Vabariigi haridusseaduse § 366 lõike 4 ja Vabariigi Valitsuse seaduse § 42 lõike 1 alusel.

§ 1. Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine

Vabariigi Valitsuse 5. augusti 2004. a määruses nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ tehakse järgmised muudatused:

1) paragrahv 3 sõnastatakse järgmiselt:

„§ 3. Registri vastutav töötleja ja tema ülesanded

(1) Registri vastutav töötleja on Haridus- ja Teadusministeerium (edaspidi vastutav töötleja).

(2) Vastutav töötleja: 1) tagab andmekogu pidamise ning vastutab andmekogu haldamise seaduslikkuse eest, andes volitatud töötlejale vajalikke juhiseid ja korraldusi; 2) vastutab andmekogu arendamise eest ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid; 3) määrab andmekogu käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks vajalikud turvameetmed ning korraldab nende rakendamise; 4) korraldab õigusaktides sätestatud ulatuses andmekogu andmetele juurdepääsu ning kasutajaõiguste andmise, muutmise ja lõpetamise; 5) korraldab andmete töötlemise kooskõlas õigusaktidega ning andmekvaliteedi tagamise; 6) sõlmib andmevahetuse kokkulepped õigusaktides sätestatud ulatuses; 7) on andmesubjekti jaoks kontaktpunkt isikuandmete töötlemisel andmekogus ning korraldab andmesubjekti õiguste teostamisega seotud taotluste ja muude isikuandmete töötlemist puudutavate pöördumiste lahendamise; 8) teeb järelevalvet volitatud töötleja ülesannete täitmise üle.“;

2) määrust täiendatakse paragrahviga 31 järgmises sõnastuses:

2

„§ 31. Registri volitatud töötleja ja tema ülesanded (1) Registri volitatud töötleja on Riigi Digikeskus (edaspidi volitatud töötleja), kui käesolevas määruses ei ole sätestatud teisiti. (2) Volitatud töötleja: 1) korraldab andmekogu majutamise ning tagab selleks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku; 2) korraldab andmekogu tarkvara arendamise, testimise ja kasutuselevõtu vastutava töötleja juhiste ning arendusprioriteetide alusel; 3) tagab andmekogu tehnilise haldamise, hooldamise ja uuendamise; 4) tagab andmekogu käideldavuse, töökindluse ja jõudluse; 5) tagab andmekogu tehniliste liidestuste toimimise ja andmevahetuse tehnilise teostamise; 6) teeb vastutava töötleja juhiste alusel andmete parandamiseks, kustutamiseks, anonüümimiseks ja väljastamiseks vajalikud tehnilised toimingud; 7) teeb vastutava töötleja juhiste alusel kasutajaõiguste andmiseks, muutmiseks ja lõpetamiseks vajalikud tehnilised toimingud; 8) rakendab andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks õigusaktides, turvanõuetes ja vastutava töötleja juhistes ette nähtud tehnilisi ja korralduslikke turvameetmeid; 9) korraldab andmekogu logimise ning logide säilitamise ja tehnilise haldamise õigusaktides sätestatud nõuete ja vastutava töötleja juhiste kohaselt; 10) korraldab andmete varundamise ja taastamise ning andmekogu töö taastamise katkestuse korral; 11) korraldab andmekogu töökatkestuste, tehniliste tõrgete kõrvaldamise, turvaintsidentide käsitlemise, tagab tehnilise kasutajatoe ning teavitab vastutavat töötlejat olulistest takistustest ja probleemidest andmekoguga seotud ülesannete täitmisel; 12) teavitab vastutavat töötlejat viivitamata isikuandmetega seotud rikkumisest ning rakendab oma pädevuse piires rikkumise mõju piiramiseks ja kõrvaldamiseks vajalikke meetmeid; 13) täidab muid andmekogu tehnilise pidamisega seotud ülesandeid, milles on vastutava töötlejaga kokku lepitud.

(3) Volitatud töötleja võib lõikes 2 nimetatud ülesannete täitmiseks kasutada teise riigiasutuse või eraõigusliku juriidilise isiku teenuseid.

(4) Vastuvõtuandmete alamregistri puhul korraldab käesoleva paragrahvi lõikes 2 nimetatud ülesannete täitmist vastutav töötleja, kes võib anda nende ülesannete täitmise täielikult või osaliselt üle teisele riigiasutusele või eraõiguslikule juriidilisele isikule. Üleantavad ülesanded ja nende täitmise ulatus määratakse kindlaks vastutava töötleja ja ülesannete täitja vahelises kokkuleppes.“;

3) paragrahvi 8 lõige 2 sõnastatakse järgmiselt:

„(2) Isikule võimaldatakse kodanikuportaali kaudu juurdepääs tema kohta registrisse kantud andmetele.“.;

4) paragrahvi 81 lõiked 1, 2 ja 3 sõnastatakse järgmiselt:

„(1) Haridust tõendavate dokumentide alamregistri andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast.

(2) Õpetajate ja akadeemiliste töötajate alamregistrisse kantud § 18 lõike 1 punktides 1–5, 8–

3

11, 20–23 ja 40 ning lõike 3 punktides 1–8, 10–111 ja 13 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast. Kõiki teisi §-s 18 nimetatud andmeid säilitatakse vähemalt 25 aastat, kuid mitte kauem kui 26 aastat alates esimese kande tegemisest.

(3) Õpilaste, üliõpilaste ning arst-residentide alamregistrisse kantud § 26 lõike 1 punktides 1– 5, 54, 6, 71, 13–15, 30, 31 ja 38–41 ning lõike 2 punktides 1–4, 8, 12, 13, 19–21, 23–24, 60 ja 65 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku surmast. Paragrahvi 26 lõike 1 punktides 53, 11, 23, 35–36, 42 ja 46–53 ning lõike 2 punktides 7, 25, 28, 36, 37, 43–45 ja 61–64 nimetatud andmeid säilitatakse vähemalt 10 aastat, kuid mitte kauem kui 11 aastat alates isiku kohta esimese kande tegemisest. Kõiki teisi §-s 26 nimetatud andmeid säilitatakse kuni 25 aastat alates isiku kohta esimese kande tegemisest.“;

5) paragrahvi 14 lõike 1 teises lauses, § 22 lõike 1 teises lauses ja § 30 lõike 1 teises lauses asendatakse sõnad „ID-kaardi“ sõnadega „riigi autentimisteenuse“; 6) paragrahvi 21 lõikes 2, § 29 lõikes 2 asendatakse sõnad „Registri vastutavale töötlejale“ sõnaga „Registrisse“;

7) paragrahvi 33 pealkiri sõnastatakse järgmiselt:

„§ 33. Õppeasutuste alamregistri ülesehitus“

8) paragrahvi 361 lõige 1 sõnastatakse järgmiselt:

„(1) Õppeasutused ning huvikooli, noorte- ja projektlaagri pidajad esitavad andmeid õppeasutuste alamregistrisse vastutava töötleja veebilehel asuva viida kaudu üle turvakanali ligipääsetavasse süsteemi. Andmete esitajad identifitseeritakse riigi autentimisteenuse abil. Juurdepääsuõiguse registrile vormistab registri vastutav töötleja.“;

9) paragrahvi 4211 lõige 2 sõnastatakse järgmiselt: „(2) Tehniliste võimaluste olemasolul tagatakse kohaliku omavalitsuse üksusele õppimiskohustusega isikute seiramise ülesande täitmiseks elektrooniline keskkond või X-tee teenus andmete edastamiseks.“;

10) paragrahvi 43 lõiget 3 täiendatakse pärast sõnu „vastutav töötleja“ sõnadega „vajadusel koostöös volitatud töötlejaga“;

11) paragrahv 44 tekst sõnastatakse järgmiselt:

„Registri pidamist finantseeritakse riigieelarvest.“.

§ 2. Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ muutmine

Vabariigi Valitsuse 13. augusti 2021. a määruses nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ tehakse järgmised muudatused:

1) paragrahvi 5 punkt 14 sõnastatakse järgmiselt:

„14) koordineerib infosüsteemide arendamist ja haldamist, peab andmekogusid ning tagab hariduse ja teaduse andmesidevõrgu turvalise ja kvaliteetse toimimise.“;

4

2) paragrahvi 12 lõike 1 punktid 6 ja 8 ning lõiked 7 ja 9 tunnistatakse kehtetuks;

3) paragrahvi 12 lõiget 1 täiendatakse punktiga 201 järgmises sõnastuses:

„201) tehnoloogia juhtimise osakond;“;

4) paragrahvi 12 lõige 6 sõnastatakse järgmiselt:

„(6) Haldusosakonna põhiülesanded on tagada ministeeriumi tõhus majandamine ja haldamine, asutuse toimimiseks vajalike tugiteenuste korraldamine ning ministeeriumi ja valitsemisala kriisireguleerimise ja riigikaitseliste ülesannete täitmise koordineerimine ja korraldamine.“;

5) paragrahvi 12 lõige 14 sõnastatakse järgmiselt:

„(14) Kommunikatsiooniosakonna põhiülesanded on kavandada ja korraldada ministeeriumi sise- ja väliskommunikatsiooni ning korraldada ministeeriumi teabehaldust, sealhulgas dokumendihaldus- ja arhiiviteenuse toimimist.“;

6) paragrahvi 12 lõikest 20 jäetakse välja sõnad „ning kvaliteedijuhtimise ja andmehalduse korraldamine“;

7) paragrahvi 12 täiendatakse lõikega 211 järgmises sõnastuses:

„(211) Tehnoloogia juhtimise osakonna põhiülesandeks on korraldada ministeeriumi ja tema valitsemisala info- ja kommunikatsioonitehnoloogia strateegilist juhtimist ning tellijafunktsiooni täitmist, koondades ja koordineerides valdkondade digiarenduse vajadusi, juhtides arendusportfelli ning korraldades koostööd Riigi Digikeskusega infosüsteemide ja digiteenuste arendamisel ja toimimise tagamisel.“.

§ 3. Määruse jõustumine

Määrus jõustub 1. jaanuaril 2027. a.

Kristen Michal peaminister

Kristina Kallas haridus- ja teadusminister

Keit Kasemets riigisekretär

1

Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega“

muutmise eelnõu seletuskiri

1. Sissejuhatus  1.1. Sisu kokkuvõte Määruse eelnõuga muudetakse Vabariigi Valitsuse 5. augusti 2004. a määrust nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ ning Vabariigi Valitsuse 13. augusti 2021. a määrust nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“. Määrus kehtestatakse Eesti Vabariigi haridusseaduse § 366 lõike 4 ja Vabariigi Valitsuse seaduse § 42 lõike 1 alusel. Eelnõu on seotud riigi info- ja kommunikatsioonitehnoloogia juhtimise ning teenuste konsolideerimise reformiga. Vabariigi Valitsuse heaks kiidetud üleriigilise IKT juhtimisraamistiku kohaselt eristatakse poliitikakujundamise ja strateegia tasandit, valdkondliku sisupoliitika ehk äritellija tasandit ning tehnilise elluviimise tasandit. Ministeerium määrab oma valdkonna digiteenuste eesmärgid, sisulised ja funktsionaalsed nõuded, arendusvajadused, prioriteedid ning eelarvelised valikud. Riigiülene IT-arenduskeskus korraldab kokkulepitud ulatuses arenduste tehnilise elluviimise, infosüsteemide haldamise ja tehniliste teenuste osutamise. Riigi IKT-konsolideerimise reformi käigus kujundatakse Registrite ja Infosüsteemide Keskuse (RIK) baasil uus riigiülene IT-arenduskeskus Riigi Digikeskus. Reformi tulemusena koondatakse ka Haridus- ja Teadusministeeriumi (edaspidi ka HTM) tehnilised IKT-ülesanded Riigi Digikeskusse. Käesoleva eelnõuga valmistatakse ette konsolideerimisest tingitud Eesti hariduse infosüsteemi (edaspidi ka EHIS) pidamisega muudatused. EHISe puhul tähendab see, et HTM jääb registri vastutavaks töötlejaks, registri sisuliseks omanikuks ja äritellijaks, kuid registri tehnilise arendamise, käitamise, hoolduse, taristu, tehnilise turbe, talitluspidevuse ja tehnilise kasutajatoega seotud ülesanded antakse õigusaktis sätestatud ulatuses üle registri volitatud töötlejale. Registri andmete töötlemise eesmärkide ja vahendite määramine, andmete sisulise kvaliteedi korraldamine, juurdepääsuõiguste põhimõtete määramine, andmete väljastamise õiguspärasuse üle otsustamine ning järelevalve volitatud töötleja tegevuse üle jäävad HTMile. Eelnõu teine eesmärk on tugevdada HTMi tellijafunktsiooni. Selleks nähakse HTMi põhimääruses ette tehnoloogia juhtimise osakonna moodustamine. Osakonna kaudu korraldatakse ministeeriumi ja valitsemisala IKT strateegilist juhtimist, koondatakse ja prioritiseeritakse digiarenduse vajadusi, juhitakse arendusportfelli ning valmistatakse ette koostöö Riigi Digikeskusega. Muudatus loob organisatsioonilise aluse selleks, et sisuline otsustusõigus ja valdkondlik vastutus säiliksid ministeeriumis ka tehniliste ülesannete konsolideerimise järel. Lisaks konsolideerimisega otseselt seotud muudatustele ajakohastatakse EHISe põhimääruse üksikuid sätteid. Täpsustatakse ka andmete esitajate autentimise regulatsiooni. Eelnõu muudatuste eesmärk on tagada kooskõla registri eesmärkide, õigusaktide ja uue töökorraldusega. 1.2. Eelnõu ettevalmistaja  

2

Määruse eelnõu ja seletuskirja on koostanud Haridus- ja Teadusministeeriumi õigusosakonna õigusnõunik Marili Lehtmets (tel 735 0289, e-post [email protected]). Eelnõu Eesti hariduse infosüsteemi puudutavate muudatuste ettevalmistamisse on panustanud Haridus- ja Teadusministeeriumi hariduse infosüsteemide osakonna juhataja kohusetäitja Agnes Kutsar (tel 735 0269, e-post [email protected]), digitaalsete andmeteenuste juht Margus Kärner (tel 735 0570, e-post [email protected]) ja peaekspert Marko Mölder (tel 735 0143, e-post [email protected]). Eelnõu §-s 2 sätestatud Haridus- ja Teadusministeeriumi põhimääruse muudatuste ettevalmistamisesse on panustanud personaliosakonna juhataja Henri Lempu (735 1140, [email protected]), õigusosakonna õigusnõunik Kristel Siimula-Saar (tel 7350638, e- post [email protected]). Eelnõule on juriidilise ekspertiisi teinud Haridus- ja Teadusministeeriumi õigusosakonna õigusnõunik Marili Lehtmets (tel 735 0289, e-post [email protected]). 1.3. Märkused  Eelnõuga muudetakse Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ redaktsiooni avaldamismärkega RT I, 19.03.2026, 6 ning Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ redaktsiooni avaldamismärkega RT I, 14.01.2026, 6. 2. Eelnõu sisu ja võrdlev analüüs  Määrusega muudetakse kahte Vabariigi Valitsuse määrust ning määrus koosneb kolmest paragrahvist. Paragrahvis 1 nähakse ette Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine ning §-s 2 Vabariigi Valitsuse 13. augusti 2021. a määruse nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“ muutmine. Paragrahvis 3 kehtestatakse määruse jõustumine. Paragrahv 1 Vabariigi Valitsuse 5. augusti 2004. a määruse nr 265 „Eesti hariduse infosüsteemi asutamine ning põhimäärus“ muutmine.

Eelnõu § 1 punktiga 1 täpsustatakse põhimäärust vastutava töötleja ülesannete loeteluga. EHISe põhimääruse §-i 3 lisatakse lõige 2, milles sätestatakse Haridus- ja Teadusministeeriumi ülesanded andmekogu vastutava töötlejana. Kehtivas põhimääruses on nimetatud andmekogu vastutav töötleja, kuid tema ülesandeid ei ole eraldi loetletud. Ülesannete täpsustamine on vajalik seoses andmekogu tehnilise pidamise üleandmisega Riigi Digikeskusele. Haridus- ja Teadusministeeriumile jäävad andmekogu pidamise ja arendamise sisuline juhtimine ning andmete töötlemise õigusliku ja sisulise korralduse eest vastutamine. Riigi Digikeskus korraldab volitatud töötlejana andmekogu tehnilise toimimise ja arenduste tehnilise elluviimise.

Paragrahvi 3 lisatava lõike 2 punkti 1 kohaselt korraldab Haridus- ja Teadusministeerium andmekogu pidamist, sealhulgas teenuste ja andmete haldamist, ning vastutab andmekogu haldamise seaduslikkuse eest, andes volitatud töötlejale vajalikke juhiseid ja korraldusi. See tähendab, et ministeerium vastutab andmekogu pidamise tervikliku korralduse eest ning tagab, et andmekogu kasutamine ja andmete töötlemine toimuvad õigusaktides ette nähtud eesmärkidel ja ulatuses.

3

Teenuste haldamine hõlmab selle korraldamist, et andmekogu kaudu osutatavad teenused toetaksid avalike ülesannete täitmist ja oleksid kasutajatele vajalikul ajal kasutatavad. Andmete haldamine hõlmab andmete kogumise, kvaliteedi tagamise, kasutamise ja säilitamise korraldust, mida täpsustavad järgnevad alapunktid. Ministeerium tagab ka selge tööjaotuse: kes vastutab andmekogu igapäevase toimimise eest, kuidas lahendatakse kasutamist takistavad probleemid ning kuidas taastatakse andmed ja andmekogu töö pärast katkestust.

Põhimääruses sätestatud ülesannete täitmise täpsem töökorraldus lepitakse kokku vastutava ja volitatud töötleja vahel. Koostöökokkuleppes täpsustatakse näiteks, millal peab teenus olema kasutatav, millal võib teha hooldustöid, kui kiiresti tuleb probleemidele reageerida ja need lahendada ning kui kiiresti tuleb andmekogu töö pärast katkestust taastada. Samuti lepitakse kokku poolte vaheline infovahetus ning juhiste andmise ja küsimuste lahendamise kord. Kokkulepped lähtuvad põhimääruses sätestatud ülesannete jaotusest.

Paragrahvi 3 lisatava lõike 2 punkti 2 kohaselt vastutab Haridus- ja Teadusministeerium andmekogu arendamise eest ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid.

Avaliku teabe seaduse § 43⁴ lõike 1 kohaselt vastutab andmekogu arendamise eest andmekogu vastutav töötleja. Vastutus andmekogu arendamise eest tähendab eelkõige vastutust selle eest, et andmekogu arendamine lähtuks andmekogu eesmärgist, andmekogu kaudu täidetavatest avalikest ülesannetest ja valdkonna vajadustest ning toimuks kooskõlas õigusaktidega.

Vastutav töötleja määrab ja kinnitab, mida andmekogus on vaja sisuliselt arendada ja millises järjekorras, sealhulgas milliseid andmekogu funktsioone tuleb luua või muuta, milliseid kasutajate ja andmeandjate vajadusi tuleb lahendada, milliseid andmeid või andmevahetusi on ülesannete täitmiseks vaja ning millised arendusvajadused on prioriteetsed. Arendusvajaduste ja prioriteetide määramisel arvestatakse muu hulgas õigusaktidest tulenevaid nõudeid, haridusvaldkonna protsesse, kasutajate vajadusi, andmekvaliteeti, infoturvet ning andmekogu tehnilist jätkusuutlikkust.

Vastutava töötleja vastutus andmekogu arendamise eest ei tähenda, et vastutav töötleja peab arendustöid ise tehniliselt tegema või nende igapäevast tehnilist teostamist juhtima. Arendustööde tehniline kavandamine ja teostamine, sealhulgas tehnilise lahenduse väljatöötamine, tehniliste nõuete täpsustamine, programmeerimine, konfigureerimine, testimine, tehniliste vigade kõrvaldamine ja muudatuste juurutamine, võib vastavalt ülesannete jaotusele olla volitatud töötleja või muu teenuseosutaja ülesanne.

Oluline on märkida, et arendusülesannete kinnitamist vastutava töötleja poolt ei ole vaja teha tavapäraste tehniliste muudatuste või hooldustegevuse tegemiseks, mis ei muuda andmekogu funktsionaalsust ega vastutava töötleja kinnitatud sisulisi eesmärke ja prioriteete. Sellised tehnilised tegevused võivad hõlmata näiteks tarkvarakomponentide versiooniuuendusi, tehnilise võla vähendamist, jõudluse parandamist, turvaparandusi ja muid andmekogu tehnilise töökindluse säilitamiseks vajalikke muudatusi. Nende täpsem korraldus ja vastutus määratakse vastutava ja volitatud töötleja vahelises koostöökokkuleppes.

Paragrahvi 3 lisatava lõike 2 punktiga 3 sätestatakse vastutava töötleja ülesanne määrata andmekogu käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks vajalikud turvameetmed ning korraldada nende rakendamine. Käideldavuse tagamine hõlmab muu hulgas andmekogu järjepideva toimimise, rikete ja katkestuste käsitlemise, varundamise ning andmete ja teenuste

4

taastamise korraldamist. Tervikluse ja konfidentsiaalsuse tagamiseks määratakse vajalikud organisatsioonilised, füüsilised ja infotehnoloogilised meetmed.

Vastutava töötleja ülesanne on määrata andmekogu eesmärgist, töödeldavate andmete iseloomust ja õigusaktidest tulenevatest nõuetest lähtuv vajalik kaitsetase ning korraldada, et selle saavutamiseks vajalikud meetmed oleksid rakendatud. See tähendab, et vastutav töötleja paneb paika, kuidas tuleb andmeid kaitsta, kuidas korraldada töö andmekogu kasutamist takistava häire korral ning kuidas taastada andmed ja andmekogu töö pärast katkestust. Tehniliste turvameetmete rakendamine, andmekogu tehnilise käideldavuse tagamine, varundamine, tehniliste rikete ja intsidentide lahendamine ning andmete ja teenuste tehniline taastamine võib vastavalt ülesannete jaotusele olla volitatud töötleja ülesanne.

Vastutava ja volitatud töötleja vahelises koostöökokkuleppes täpsustatakse vajaduse korral nimetatud ülesannete täitmise korraldus ja teenustasemed, sealhulgas käideldavuse tase, intsidentidele reageerimise ja nende lahendamise tähtajad, varundamise korraldus ning andmete ja teenuste taastamise tähtajad.

Paragrahvi 3 lisatava lõike 2 punkti 4 kohaselt korraldab vastutav töötleja õigusaktides sätestatud ulatuses andmekogu andmetele juurdepääsu ning kasutajaõiguste andmise, muutmise ja lõpetamise.

Andmekogu andmetele juurdepääsu õigus, selle ulatus ja piirangud tulenevad õigusaktidest. Vastutav töötleja ei määra selle sätte alusel iseseisvalt, kellel on õigus andmetele juurde pääseda või millistele andmetele juurdepääs võimaldatakse, vaid korraldab õigusaktidest tulenevate juurdepääsuõiguste andmise. Vastutav töötleja tagab, et juurdepääs andmetele võimaldatakse üksnes õigustatud isikule, tema ülesannete täitmiseks vajalikus ja õigusaktidega lubatud ulatuses.

Kasutajaõiguste korraldamine hõlmab nende andmise, muutmise ja lõpetamise reeglite ning ülesannete jaotuse paika panemist. Õigusi võib hallata ministeerium ise või selleks õigustatud asutus oma töötajate puhul. Näiteks võib kool anda oma töötajatele nende ülesannetele vastavad kasutajaõigused ning neid muuta ja lõpetada. Seega võib kasutajaõiguste haldamine sõltuvalt kasutajarühmast olla ministeeriumi või juurdepääsu saanud asutuse ülesanne. Mõlemal juhul peavad kasutajaõigused jääma õigusaktidega lubatud juurdepääsu piiridesse.

Vastutava töötleja ülesanne on seega tagada nimetatud protsessi nõuetekohane korraldus ning ta ei pea kasutajaõigustega seotud toimingud tehniliselt tegema. Kasutajakonto loomise või sulgemise, kasutajarolli või juurdepääsuõiguse tehnilise lisamise, muutmise või eemaldamise ning muud kasutajaõiguste tehniliseks rakendamiseks vajalikud toimingud võib teha volitatud töötleja. Volitatud töötleja teeb neid toiminguid vastutava töötleja määratud ülesannete ja juhiste kohaselt ega otsusta iseseisvalt andmetele juurdepääsu õigusliku aluse või ulatuse üle.

Paragrahvi 3 lisatava lõike 2 punkti 5 kohaselt korraldab vastutav töötleja andmete töötlemise kooskõlas õigusaktidega ning andmekvaliteedi tagamise. See hõlmab andmete kogumist, kasutamist ja väljastamist, kvaliteedi kontrollimist ja ebaõigete andmete parandamist ning säilitamise, kustutamise ja anonüümimise korraldamist.

Andmete kogumisel korraldab vastutav töötleja, et andmeandjad teaksid, milliseid andmeid, millal ja kuidas tuleb esitada, ning jälgib vajalike andmete esitamist. Andmete kasutamisel ja

5

väljastamisel hindab ta, kas soovitud kasutus on õigusaktidega lubatud ja millises ulatuses võib andmeid väljastada, ning lahendab sisulised andmepäringud.

Andmete kvaliteedi tagamiseks korraldab vastutav töötleja nende õigsuse, täielikkuse ja ajakohasuse kontrollimist. Puuduste ilmnemisel selgitab ta koos andmeandjatega välja, milliseid andmeid tuleb parandada, ja korraldab paranduste tegemise. Üldjuhul parandab enda esitatud andmed andmeandja. Kui viga tuleneb infosüsteemi tehnilisest probleemist või parandust ei saa teha tavapärase andmete sisestamise ja muutmise kaudu, teeb volitatud töötleja vastutava töötleja juhiste alusel vajalikud tehnilised toimingud.

Vastutav töötleja korraldab ka säilitamistähtaegadest kinnipidamise ning andmete kustutamise või anonüümimise õigusaktides ette nähtud juhtudel. Anonüümimine tähendab andmete muutmist selliselt, et nende põhjal ei ole enam võimalik isikut tuvastada. Vastutav töötleja annab volitatud töötlejale vajalikud juhised selle kohta, milliste andmetega ja millal tuleb need toimingud teha, ning kontrollib nende täitmist.

Ülesannete korraldamine ei tähenda, et vastutav töötleja teeb kõik toimingud ise. Andmeandjad täidavad neile pandud andmete esitamise ja parandamise ülesandeid ning volitatud töötleja teeb vajalikud tehnilised toimingud. Vastutavale töötlejale jäävad andmete töötlemise sisulised ja õiguslikud otsused ning nende elluviimise korraldamine.

Paragrahvi 3 lisatava lõike 2 punkti 6 kohaselt sõlmib vastutav töötleja andmevahetuse kokkuleppeid õigusaktides sätestatud ulatuses. Andmevahetuse kokkuleppe sõlmimise eelduseks on, et andmete saamiseks või väljastamiseks on olemas õiguslik alus. Enne kokkuleppe sõlmimist kontrollib vastutav töötleja andmevahetuse õiguslikku alust ning hindab, milliseid andmeid on andmesaajal oma ülesannete täitmiseks vaja ja millises ulatuses võib neid andmeid väljastada.

Andmevahetuse kokkuleppes täpsustatakse õigusaktidest tuleneva andmevahetuse praktiline korraldus, sealhulgas vahetatavate andmete koosseis, andmete edastamise tingimused, andmevahetuse viis ning poolte ülesanded andmevahetuse korraldamisel. Vajaduse korral võib kokkuleppes täpsustada ka andmevahetuse sagedust ja muid andmevahetuse toimimiseks vajalikke tingimusi.

Volitatud töötleja ülesandeks saab korraldada vastutava töötleja juhiste kohaselt andmevahetuseks vajalik tehniline lahendus ja selle toimimine, sealhulgas vajaduse korral liideste loomine, seadistamine ja tehnilise haldamine. Volitatud töötleja ei otsusta iseseisvalt, milliseid andmeid ja kellele väljastatakse.

Paragrahvi 3 lisatava lõike 2 punkti 7 kohaselt on Haridus- ja Teadusministeerium andmesubjekti jaoks kontaktpunkt isikuandmete töötlemisel andmekogus ning korraldab andmesubjekti õiguste teostamisega seotud taotluste ja muude isikuandmete töötlemist puudutavate pöördumiste lahendamise.

Andmesubjekt on füüsiline isik, kelle isikuandmeid andmekogus töödeldakse. Sätte eesmärk on tagada, et andmesubjekti jaoks oleks üheselt selge, kelle poole pöörduda andmekogus tema isikuandmete töötlemist puudutavates küsimustes ja isikuandmete kaitse üldmäärusest tulenevate õiguste teostamiseks. Andmesubjekti kontaktpunkt on Haridus- ja Teadusministeerium kui andmekogu vastutav töötleja.

6

Seega, ministeeriumi ülesanne on korraldada andmesubjekti pöördumise sisuline lahendamine. Kui taotluse lahendamiseks on vaja ka tehnilist teavet, nt logide kontrollimist või andmetes muudatuste tegemist, kaasab ministeerium volitatud töötleja. Volitatud töötleja abistab ministeeriumi ulatuses, milles pöördumise lahendamiseks on vaja andmekoguga seotud tehnilisi toiminguid või tehnilist teavet.

Paragrahvi 3 lisatava lõike 2 punkti 8 kohaselt teeb Haridus- ja Teadusministeerium vastutava töötlejana järelevalvet volitatud töötleja ülesannete täitmise üle. Ministeerium hindab, kas volitatud töötleja täidab talle pandud ülesandeid õigusaktide, ministeeriumi juhiste ja kokkulepitud töökorralduse kohaselt. Selleks saab ministeerium volitatud töötlejalt vajalikku teavet ning annab puuduste ilmnemisel juhiseid ja korraldusi nende kõrvaldamiseks. Kontroll puudutab volitatud töötleja ülesandeid selle andmekogu pidamisel.

Eelnõukohase määruse paragrahvi 1 punktiga 2 täiendatakse määrust §-ga 3¹, millega määratakse registri volitatud töötlejaks Riigi Digikeskus ja sätestatakse tema ülesanded. Muudatus on vajalik, sest HTM IT-osakonna ülesannete konsolideerimisel hakkab registri tehnilist pidamist korraldama ministeeriumist eraldiseisev asutus. Volitatud töötleja nimetamine ja tema ülesannete piiritlemine põhimääruses tagab läbipaistva vastutusjaotuse ning selguse registri kasutajatele, andmeandjatele, andmesaajatele ja järelevalveasutustele.

Lõikes 1 sätestatakse registri üldise volitatud töötlejana Riigi Digikeskus. Sõnad „kui käesolevas määruses ei ole sätestatud teisiti“ võimaldavad vajaduse korral näha registri üksikute alamregistrite või funktsioonide puhul ette erandi üldreeglist. Selline regulatsioon tagab paindlikkuse olukorras, kus registri eri osade tehniline arendus või käitamine võib tuleneda nende eripärast olla korraldatud erinevalt.

Lõikes 2 loetletakse volitatud töötleja ülesanded.

Lõike 2 punkti 1 kohaselt korraldab volitatud töötleja andmekogu majutamise ning tagab selleks vajaliku infotehnoloogilise keskkonna ja selle tehnilise valmisoleku. Ülesanne hõlmab andmekogu toimimiseks vajaliku tehnilise keskkonna olemasolu ja valmisoleku tagamist, sealhulgas vajaliku serveri-, salvestus-, võrgu- ja muu tehnilise ressursi olemasolu ning majutuskeskkonna tehnilist sobivust andmekogu kasutamiseks.

Majutamise korraldamine hõlmab andmekogu paigutamist selle toimimiseks sobivasse tehnilisse keskkonda ning selle keskkonna toimimise korraldamist. Volitatud töötleja ülesanne on tagada, et andmekogu kasutamiseks vajalik tehniline keskkond oleks olemas, nõuetekohaselt seadistatud ja andmekogu käitamiseks tehniliselt valmis.

Lõike 2 punkti 2 kohaselt korraldab volitatud töötleja andmekogu tarkvara arendamise, testimise ja kasutuselevõtu vastutava töötleja juhiste ning arendusprioriteetide alusel.

See ülesanne hõlmab kogu tarkvaraarenduse protsessi korraldamist, sealhulgas arenduseks vajalike hangete ettevalmistamist ja korraldamist, arenduspartnerite töö koordineerimist ning lepingute täitmise juhtimist. Andmekogu tarkvara arendamise korraldamine hõlmab ka arenduseks vajalike analüüside tegemist või tellimist, sealhulgas arenduseks vajaliku sisendi kogumise ja süstematiseerimise ning nõuete dokumenteerimise korraldamist koostöös vastutava töötlejaga. Vastutav töötleja annab selleks vajalikku valdkondlikku ja õiguslikku sisendit ning kinnitab arendamise sisulised eesmärgid, arendusvajadused ja nende prioriteedid.

7

Samuti hõlmab see punkt tarkvara testimise korraldamist, tuvastatud puuduste kõrvaldamist ja tarkvara kasutuselevõttu.

Sätte eesmärk on eristada arenduse sisuline juhtimine ja tarkvaraarenduse korraldamine. Vastutav töötleja otsustab, milliseid vajadusi peab andmekogu tarkvara täitma, ning seab arendusprioriteedid ja annab arendamiseks vajalikud juhised. Volitatud töötleja korraldab nende alusel arendustööd ning valib ülesannete täitmiseks sobivad tehnilised lahendused, tehes vajaduse korral vastutavale töötlejale ettepanekuid ja täpsustades temaga arendusvajadusi.

Volitatud töötleja ülesanne ei piirdu arendustööde tehnilise teostamisega, vaid hõlmab ka arendamise, testimise ja kasutuselevõtu jaoks vajalike tegevuste korraldamist.

Lõike 2 punkti 3 kohaselt korraldab volitatud töötleja andmekogu tehnilise haldamise, hooldamise ja uuendamise. Ülesanne hõlmab andmekogu igapäevase tehnilise toimimise tagamiseks vajalike tegevuste korraldamist ning andmekogu tehnilise keskkonna ja rakendustarkvara töökorras ja ajakohasena hoidmist.

Tehniline haldamine hõlmab muu hulgas andmekogu tehniliste seadistuste ja konfiguratsioonide haldamist, tarkvarakomponentide ja nende sõltuvuste haldamist, tarkvaraversioonide kasutuselevõttu ja versioonihaldust ning vajaduse korral tehniliste muudatuste tegemist. Hooldamine hõlmab andmekogu töökindluse säilitamiseks vajalikke regulaarseid ja ennetavaid toiminguid, sealhulgas tarkvarauuenduste, turvaparanduste ja muude tehniliste paranduste rakendamist ning tehniliste vigade kõrvaldamist.

Andmekogu uuendamise korraldamine hõlmab olemasoleva tehnilise lahenduse ajakohasena hoidmiseks vajalikke muudatusi, sealhulgas tarkvarakomponentide ja versioonide uuendamist ning nende omavahelise toimimise ja ühilduvuse tagamist.

Lõike 2 punkti 4 kohaselt tagab volitatud töötleja andmekogu käideldavuse, töökindluse ja jõudluse. Sätte eesmärk on määratleda volitatud töötleja vastutus andmekogu tehnilise toimimise eest.

Käideldavuse tagamine tähendab, et andmekogu ja selle teenused on kokkulepitud tingimustel kasutatavad ning tehniliselt kättesaadavad. Töökindluse tagamine hõlmab andmekogu stabiilset toimimist, tehniliste rikete ennetamist ning selliste tehniliste lahenduste rakendamist, mis vähendavad tõrgete ja katkestuste tekkimise tõenäosust. Jõudluse tagamine tähendab, et andmekogu tehniline lahendus suudab kokkulepitud koormuse juures töötada nõuetekohaselt ning päringute, andmevahetuse ja muude tehniliste toimingute tegemine ei ole ebamõistlikult aeglane.

Käesolev punkt käsitleb üksnes andmekogu tehnilist toimimist ega reguleeri seda, kellel on õigus andmekogu andmetele juurde pääseda või millises ulatuses juurdepääs antakse. Andmetele juurdepääsu korraldamine on vastutava töötleja ülesanne. Volitatud töötleja tagab, et õiguspäraselt antud juurdepääsuõigusi on tehniliselt võimalik kasutada.

Käideldavuse, töökindluse ja jõudluse täpsemad teenustasemed, sealhulgas näiteks nõutav käideldavuse tase, reageerimis- ja taastamisajad ning muud mõõdetavad tehnilised näitajad, määratakse vajaduse korral vastutava ja volitatud töötleja koostöökokkuleppes.

8

Lõike 2 punkti 5 kohaselt tagab volitatud töötleja andmekogu tehniliste liidestuste toimimise ja andmevahetuse tehnilise teostamise. Tehniliste liidestuste toimimise tagamine hõlmab andmekogu ja teiste infosüsteemide vaheliste ühenduste seadistamist, nende töökindluse ja ühilduvuse tagamist ning tehniliste tõrgete kõrvaldamist.

Andmevahetuse tehnilise teostamise tagamine hõlmab andmete edastamiseks vajalike tehniliste lahenduste loomist, seadistamist ja haldamist ning nende toimimise jälgimist. See hõlmab ka nimetatud tegevuste korraldamist. Volitatud töötleja lähtub seejuures vastutava töötleja juhistest ja sõlmitud andmevahetuskokkulepetest ega otsusta iseseisvalt, milliseid andmeid, kellele või millisel õiguslikul alusel edastatakse.

Lõike 2 punkti 6 kohaselt teeb volitatud töötleja vastutava töötleja juhiste alusel andmete parandamiseks, kustutamiseks, anonüümimiseks ja väljastamiseks vajalikud tehnilised toimingud.

Sätte eesmärk on eristada andmetega tehtavate toimingute sisuline otsustamine ja nende tehniline teostamine. Andmete parandamise vajaduse väljaselgitamine ning otsustamine, milliseid andmeid ja millises ulatuses tuleb parandada, jääb vastutava töötleja või õigusaktis sätestatud juhul andmeandja ülesandeks. Volitatud töötleja teeb parandamiseks vajalikud tehnilised toimingud üksnes vastutava töötleja juhiste alusel.

Tehniline toiming võib olla vajalik eelkõige juhul, kui andmeandja ei saa ebaõigeid andmeid tavapärase andmete sisestamise või muutmise kaudu ise parandada või kui ebaõigsus tuleneb andmekogu tehnilisest veast. Sellisel juhul võib volitatud töötleja teha andmebaasis, rakenduses või muus tehnilises keskkonnas parandamiseks vajalikud toimingud.

Lisaks andmete parandamisele hõlmab ülesanne andmete kustutamiseks, anonüümimiseks ja väljastamiseks vajalikke tehnilisi toiminguid. Volitatud töötleja rakendab vastutava töötleja juhiste alusel andmete kustutamise ja anonüümimise tehnilisi lahendusi ning koostab andmete väljastamiseks vajalikke väljavõtteid või teeb muid andmete edastamiseks vajalikke tehnilisi toiminguid.

Säte ei anna volitatud töötlejale õigust iseseisvalt otsustada, kas andmed on ebaõiged või millise sisuga parandus tuleb teha. Samuti ei otsusta volitatud töötleja iseseisvalt, milliseid andmeid, millises ulatuses või millisel õiguslikul alusel kustutatakse või anonüümitakse ega milliseid andmeid, kellele ja millisel õiguslikul alusel väljastatakse. Säte ei muuda õigusaktidest tulenevat vastutust andmekogusse esitatud andmete õigsuse eest. Volitatud töötleja roll piirdub nimetatud toimingute tehnilise teostamisega vastutava töötleja juhiste ja talle antud ülesannete piires.

Lõike 2 punkti 7 kohaselt teeb volitatud töötleja vastutava töötleja juhiste alusel kasutajaõiguste andmiseks, muutmiseks ja lõpetamiseks vajalikud tehnilised toimingud. Ülesanne hõlmab kasutajaõiguste tehnilist haldamist, sealhulgas kasutajakontode loomist, juurdepääsuõiguste seadistamist ja muutmist ning juurdepääsu sulgemist. Volitatud töötleja lähtub vastutava töötleja kehtestatud kasutajaõiguste põhimõtetest ja antud juhistest ega otsusta iseseisvalt, kellele ja millises ulatuses juurdepääs võimaldatakse.

Lõike 2 punkti 8 kohaselt rakendab volitatud töötleja andmekogu andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks õigusaktides, turvanõuetes ja vastutava töötleja juhistes ette nähtud tehnilisi ja korralduslikke turvameetmeid.

9

Sätte eesmärk on määratleda volitatud töötleja ülesanne rakendada andmekogu turvalisuse tagamiseks vajalikke meetmeid talle antud tehniliste ülesannete piires. Käideldavuse tagamise meetmed peavad toetama andmekogu ja selle andmete õigeaegset ning nõuetekohast kasutatavust, tervikluse tagamise meetmed peavad vältima andmete lubamatut või juhuslikku muutmist ja kahjustamist ning konfidentsiaalsuse tagamise meetmed välistama andmetele juurdepääsu selleks õigustamata isikutel.

Volitatud töötleja rakendab nii tehnilisi kui ka korralduslikke turvameetmeid. Tehnilised meetmed võivad hõlmata muu hulgas juurdepääsukontrolli, autentimist, süsteemi turvaseadistusi, turvauuendusi, seiret ja muid tehnilisi kaitsemeetmeid. Korralduslikud meetmed hõlmavad volitatud töötleja vastutusalasse jäävaid töökorralduslikke meetmeid, millega tagatakse turvanõuete järgimine tehniliste ülesannete täitmisel.

Säte ei anna volitatud töötlejale õigust iseseisvalt määrata andmekogu turvanõudeid või muuta vastutava töötleja määratud turvataset. Volitatud töötleja rakendab õigusaktidest, kehtivatest turvanõuetest ja vastutava töötleja juhistest tulenevaid meetmeid ning korraldab nende tehnilise teostamise oma ülesannete piires.

Käesolev punkt käsitleb turvameetmete rakendamist üldiselt. Andmete varundamine ja andmekogu töö taastamine ning logimine ja logide haldamine on volitatud töötleja eraldiseisvad ülesanded ning neid käsitletakse järgmistes punktides.

Lõike 2 punkti 9 kohaselt korraldab volitatud töötleja andmekogu logimise ning logide säilitamise ja tehnilise haldamise õigusaktides sätestatud nõuete ja vastutava töötleja juhiste kohaselt.

Logimise eesmärk on tagada andmekogus tehtud toimingute jälgitavus ning võimaldada vajaduse korral kontrollida, kes, millal ja milliseid toiminguid andmekogus tegi. Volitatud töötleja ülesanne on tagada logimise tehniline toimimine, sealhulgas logikirjete tekkimine, kogumine, säilitamine ja tehniline haldamine.

Volitatud töötleja ei määra iseseisvalt, milliseid toiminguid tuleb logida või kui kaua logisid säilitada. Logitavate toimingute koosseis, logiandmete säilitamise tähtajad ning muud logimisele kohalduvad nõuded tulenevad õigusaktidest või määratakse nende alusel vastutava töötleja juhistega.

Logide tehniline haldamine hõlmab muu hulgas logide säilimise, tervikluse ja kättesaadavuse tagamist, logimise toimimise jälgimist ning logimise tehniliste tõrgete kõrvaldamist. Vajaduse korral teeb volitatud töötleja vastutava töötleja juhiste alusel logidest väljavõtteid või annab muud logiandmetega seotud tehnilist teavet.

Säte eristab vastutava töötleja sisulise ja õigusliku vastutuse logimise nõuete määramisel ning volitatud töötleja ülesande nende nõuete tehnilisel rakendamisel.

Lõike 2 punkti 10 kohaselt korraldab volitatud töötleja andmete varundamise ja taastamise ning andmekogu töö taastamise katkestuse korral.

Ülesanne hõlmab varunduslahenduste rakendamist ja haldamist, varukoopiate tegemist ja säilitamist ning nende kasutatavuse ja taastamisvõimaluste kontrollimist. Samuti hõlmab see

10

taastamiseks vajalike tegevuste kavandamist ja katsetamist, et andmeid ja andmekogu tööd oleks võimalik vajaduse korral taastada.

Sättes eristatakse andmete taastamist ja andmekogu töö taastamist. Andmete taastamine tähendab andmete taastamist varukoopiatest näiteks nende kaotsimineku või kahjustumise korral. Andmekogu töö taastamine hõlmab tarkvara, tehnilise taristu ja muude toimimiseks vajalike komponentide töö taastamist katkestuse järel. Andmekogu töö taastamine võib olla vajalik ka juhul, kui andmed ei ole kadunud ega kahjustunud.2

Volitatud töötleja korraldab nimetatud tegevused vastutava töötleja kehtestatud talitluspidevuse ja taastamise põhimõtete alusel. Ülesanne hõlmab nii vajalike tehniliste toimingute tegemist kui ka taastamisse kaasatud teenuseosutajate tegevuse koordineerimist.

Lõike 2 punkti 11 kohaselt korraldab volitatud töötleja andmekogu töökatkestuste ja tehniliste tõrgete kõrvaldamise ning turvaintsidentide käsitlemise ja tagab tehnilise kasutajatoe.

Töökatkestuste ja tehniliste tõrgete kõrvaldamine hõlmab andmekogu tavapärast toimimist häirivate tehniliste probleemide tuvastamist, nende põhjuste väljaselgitamist, mõju piiramist ning andmekogu tavapärase töö taastamiseks vajalike tehniliste toimingute tegemist. Turvaintsidentide käsitlemine hõlmab intsidendi tuvastamist, mõju piiramist, tehniliste põhjuste väljaselgitamist, vajalike parandusmeetmete rakendamist ning muude volitatud töötleja pädevusse kuuluvate toimingute tegemist.

Tehniline kasutajatugi hõlmab kasutajate abistamist andmekogu tehnilise kasutamisega seotud küsimustes ja probleemides, sealhulgas autentimise, kasutajakonto tehnilise toimimise, süsteemi kasutamist takistavate tehniliste vigade ja muude tehniliste tõrgete korral. Tehniline kasutajatugi ei hõlma andmekogu sisulise kasutamise, andmete tähenduse, juurdepääsuõiguse olemasolu ega muude vastutava töötleja pädevusse kuuluvate küsimuste lahendamist.

Volitatud töötleja teavitab vastutavat töötlejat olulistest takistustest ja probleemidest, mis mõjutavad või võivad mõjutada andmekogu toimimist või talle pandud ülesannete nõuetekohast täitmist. Need võivad olla näiteks olulised tehnilised rikked, taristu puudused, tarkvara vananemisest tulenevad riskid või arendustööde viivitused. Teavitamine võimaldab vastutaval töötlejal hinnata probleemi mõju ning otsustada vajalike tegevuste, prioriteetide või täiendavate ressursside üle. Teavitamiskohustus hõlmab ka probleeme, mis ei ole isikuandmetega seotud rikkumised.

Käesolev punkt käsitleb konkreetsete töökatkestuste, tehniliste tõrgete ja turvaintsidentide operatiivset lahendamist, tehnilist kasutajatuge ning olulistest takistustest ja probleemidest teavitamist. Andmete varundamise ja taastamise ning andmekogu töö taastamise üldine korraldus on sätestatud punktis 10. Isikuandmetega seotud rikkumisest viivitamata teavitamise kohustust ja sellega seotud meetmeid käsitletakse punktis 12.

Lõike 2 punkti 12 kohaselt teavitab volitatud töötleja vastutavat töötlejat viivitamata isikuandmetega seotud rikkumisest ning rakendab oma pädevuse piires rikkumise mõju piiramiseks ja kõrvaldamiseks vajalikke meetmeid.

Teavitamiskohustus lähtub isikuandmete kaitse üldmääruse artikli 33 lõikest 2. Isikuandmetega seotud rikkumine võib seisneda näiteks isikuandmete kaotsiminekus, lubamatus muutmises või avalikustamises või neile loata juurdepääsus. Teavitada tuleb pärast rikkumisest teada saamist,

11

ootamata kõigi asjaolude lõplikku väljaselgitamist. Esialgset teavet täiendatakse asjaolude selgumisel.

Volitatud töötleja annab vastutavale töötlejale teada rikkumise laadist, teadaolevast ulatusest ja võimalikest tagajärgedest ning rakendatud meetmetest. Oma pädevuse piires piirab ta rikkumise mõju ja kõrvaldab selle tehnilisi põhjuseid, näiteks sulgeb lubamatu juurdepääsu või parandab turvaseadistusi.

Vastutav töötleja hindab rikkumise mõju andmesubjektidele ning korraldab vajaduse korral järelevalveasutuse ja andmesubjektide teavitamise. Punkt 11 käsitleb tehniliste tõrgete ja turvaintsidentide operatiivset lahendamist, punkt 12 aga isikuandmetega seotud rikkumisest teavitamist ja sellega seotud meetmeid. Kõik tehnilised tõrked ja turvaintsidendid ei ole isikuandmetega seotud rikkumised.

Lõike 2 punkti 13 kohaselt täidab volitatud töötleja muid andmekogu tehnilise pidamisega seotud ülesandeid, milles on vastutava töötlejaga kokku lepitud. Sätte eesmärk on võimaldada kokku leppida täiendavaid tehnilisi ülesandeid, mida eelnevates punktides ei ole eraldi nimetatud, kuid mis on vajalikud andmekogu pidamiseks. Selline ülesanne võib olla näiteks vastutava töötleja abistamine andmesubjekti õiguste teostamisega seotud taotluste lahendamisel, andes vajalikku tehnilist teavet ja tehes vastutava töötleja juhiste alusel tehnilisi toiminguid.

Üldsäte piirdub andmekogu tehnilise pidamisega seotud ülesannetega ega muuda vastutava ja volitatud töötleja vahelist ülesannete ja vastutuse jaotust. Täiendavate ülesannete kokkuleppimine ei anna volitatud töötlejale õigust teha vastutava töötleja pädevusse kuuluvaid sisulisi otsuseid.

Lõikega 3 nähakse ette, et Riigi Digikeskus võib nimetatud ülesannete täitmiseks kasutada teise riigiasutuse või eraõigusliku juriidilise isiku teenuseid. Kui teenuseosutaja töötleb teenuse osutamisel Riigi Digikeskuse nimel isikuandmeid, on kõnealune põhimääruse säte käsitatav vastutava töötleja üldise kirjaliku loana teise volitatud töötleja kaasamiseks IKÜM artikli 28 tähenduses.

Riigi Digikeskus peab teenuseosutajaga sõlmitavas lepingus sätestama teenuseosutaja kohustuse järgida andmekaitse-, infoturbe-, konfidentsiaalsus- ja toimepidevusnõudeid ning täita vastutava töötleja juhiseid. Teenuseosutaja kaasamine ei muuda Riigi Digikeskuse vastutust Haridus- ja Teadusministeeriumi ees.

Vastutava ja volitatud töötleja koostöökokkuleppes nähakse ette Riigi Digikeskuse kohustus teavitada vastutavat töötlejat enne teise volitatud töötleja kaasamist või asendamist ning anda talle võimalus esitada kavandatava muudatuse kohta vastuväiteid. Lõikega 4 nähakse ette vastuvõtuandmete alamregistri suhtes erisus volitatud töötleja ülesannete jaotuses. Erinevalt teistest Eesti hariduse infosüsteemi alamregistritest jääb vastuvõtuandmete alamregistri puhul lõikes 2 nimetatud ülesannete täitmise korraldamine vastutavale töötlejale. Vastutav töötleja võib anda nende ülesannete täitmise täielikult või osaliselt üle teisele riigiasutusele, sealhulgas Riigi Digikeskusele, või mõnele eraõiguslikule juriidilisele isikule.

12

HTMi soov on, et Riigi Digikeskus hakkab korraldama vastuvõtuandmete alamregistri majutamist ning tagama selleks vajaliku infotehnoloogilise keskkonna tehnilise valmisoleku. Samuti majutamisega seotud ulatuses turvalisuse, töökatkestuste ja tehniliste tõrgete kõrvaldamise ning infotehnoloogilise keskkonna töö taastamisega seotud ülesandeid. Üleantavad ülesanded ja nende täitmise ulatus määratakse aga kindlaks vastutava töötleja ja ülesannete täitja vahelises kokkuleppes.

Erisus on vajalik, kuna vastuvõtuandmete alamregistrit teenindava tehnilise lahenduse arendamise ja haldamise edasine korraldus ei ole veel lõplikult kindlaks määratud. Erisus võimaldab alamregistri majutamise üle anda Riigi Digikeskusele, jättes samal ajal vastutavale töötlejale võimaluse otsustada eraldi tarkvara arendamise ja tehnilise haldamise edasine korraldus.

Kokkuvõtteks eelnõu § 1 punktidega 1 ja 2 kehtestatavad vastutava ja volitatud töötleja ülesannete loetelud moodustavad terviku. Vastutav töötleja määrab registri pidamise sisulised eesmärgid, õiguslikud tingimused, funktsionaalsed nõuded ja arendusprioriteedid ning vastutab andmete töötlemise õiguspärasuse eest. Volitatud töötleja korraldab nende otsuste tehnilise elluviimise ning tagab registri tehnilise toimimise, turvalisuse ja toimepidevuse. Ülesannete täpsem töökorraldus, teenustasemed, infovahetus, aruandlus ja eskalatsioonikord määratakse asutuste vahelises koostööleppes.

Paragrahv 1 punktiga 3 ajakohastada sõnastust ja muudetakse selgemaksEHISe põhimääruse § 8 lõige 2. Senise viite asemel kodanikuportaalile ja X-teele sätestatakse, et isikule võimaldatakse kodanikuportaali kaudu juurdepääs tema kohta registrisse kantud andmetele. Muudatus ei mõjuta isiku õigust tutvuda enda andmetega, vaid täpsustab andmetele juurdepääsu võimaldamise viisi ning viib sätte kooskõlla kasutatavate tehniliste lahendustega. Paragrahv 1 punktiga 4 Paragrahvi 8¹ lõigete 1–3 sõnastust muudetakse nii, et andmete säilitamise kohustus sätestatakse umbisikuliselt ega seostata seda konkreetselt registri vastutava töötlejaga. Muudatus on vajalik seoses registri vastutava ja volitatud töötleja ülesannete täpsustamisega põhimääruse üldsätetes. Vastutav töötleja vastutab jätkuvalt andmete säilitamise eesmärkide, õigusliku aluse, säilitustähtaegade järgimise ja säilitamise korraldamise eest. Andmete tehnilise säilitamise, sealhulgas selleks vajalike tehniliste lahenduste, taristu, varundamise ja käideldavuse tagab volitatud töötleja talle põhimääruse ja vastutava töötleja juhistega pandud ülesannete ulatuses. Umbisikuline sõnastus väldib olukorda, kus registri eri sätetes tuleb iga säilitamisega seotud sisuline või tehniline toiming eraldi vastutavale või volitatud töötlejale omistada. Ülesannete tegelik jaotus tuleneb põhimääruse §-dest 3 ja 3¹: säilitamise õiguspärasuse ja sisulise korralduse eest vastutab vastutav töötleja ning tehnilise teostuse eest volitatud töötleja. Muudatus ei muuda andmete säilitustähtaegu, andmete säilitamise eesmärke ega registrisse kantavate andmete koosseisu. Paragrahv 1 punktiga 5 asendatakse paragrahvi 14 lõike 1, § 22 lõike 1 ja § 30 lõike 1 teises lauses viide ID-kaardile viitega riigi autentimisteenusele. Kehtiv sõnastus on liiga kitsas ega arvesta, et turvaliseks autentimiseks kasutatakse lisaks ID-kaardile ka teisi riigi autentimisteenuses toetatud vahendeid. Muudatus on tehnoloogianeutraalne, võimaldab kasutada ajakohaseid turvalisi autentimisvahendeid ega muuda andmete esitajate ringi ega nende õigusi.

13

Paragrahv 1 punktiga 6 muudetakse § 21 lõiget 2 ja § 29 lõiget 2 selliselt, et asendatakse sõnad „registri vastutavale töötlejale“ sõnaga „registrisse“. Muudatusega sätestatakse andmete esitamise kohustus registri, mitte konkreetse töötleja suhtes. Andmete esitaja jaoks on määrav, et andmed kantakse registrisse nõuetekohasel viisil; registri vastutava ja volitatud töötleja omavaheline tööjaotus ei muuda andmete esitaja kohustuse sisu.  Vastutav töötleja vastutab jätkuvalt andmete kogumise, andmekoosseisu, andmekvaliteedi nõuete ja andmete esitamise korralduse sisulise kujundamise eest. Volitatud töötleja tagab andmete registrisse esitamiseks vajaliku tehnilise keskkonna ja selle toimimise vastutava töötleja kehtestatud nõuete kohaselt. Muudatus ei muuda andmete esitajate ringi, esitatavate andmete koosseisu ega andmete esitamise tähtaegu.  Paragrahv 1 punktiga 7 lisatakse põhimääruse paragrahvile 33 pealkiri, mis sõnastatakse järgmiselt „Õppeasutuste alamregistri ülesehitus“. Muudatus parandab vormistusliku ebatäpsuse ja ühtlustab pealkirja määruse ülejäänud alamregistrite ülesehitust käsitlevate sätetega. Sisulist muudatust ei tehta.  Paragrahv 1 punktiga 8 sõnastatakse § 36¹ lõige 1 ümber, et ajakohastada õppeasutuste alamregistrisse andmete esitamise ja andmete esitajate tuvastamise korda. Kehtiv viide andmete esitamisele digitaalallkirjastatud failiga ei vasta enam kasutatavale tehnilisele lahendusele. Samuti asendatakse kitsalt ID-kaardile viitav sõnastus viitega riigi autentimisteenusele, kuna turvaliseks autentimiseks saab kasutada erinevaid riigi autentimisteenuse toetatud autentimisvahendeid. Muudatus tagab tehnoloogianeutraalsuse ja võimaldab kasutada ajakohaseid turvalisi andmete esitamise ning autentimise lahendusi. Seejuures säilib nõue, et andmete esitaja peab olema usaldusväärselt tuvastatud ning juurdepääs registrile peab põhinema vastutava töötleja määratud juurdepääsuõigustel. Muudatus ei mõjuta andmete esitajate ringi, nende õigusi ega kohustusi ega registrisse esitatavate andmete koosseisu. Paragrahv 1 punktiga 9 sõnastatakse § 42¹¹ lõige 2 umbisikuliselt ning sättest jäetakse välja viide vastutavale töötlejale, kes kohaliku omavalitsuse üksusele elektroonilise keskkonna või X-tee teenuse tagab. Muudatus on vajalik, sest registri vastutava ja volitatud töötleja rollid ning ülesanded sätestatakse põhimääruse üldsätetes. Vastutav töötleja vastutab kohaliku omavalitsuse üksusele andmetele juurdepääsu võimaldamise õigusliku aluse, eesmärgi, ulatuse ja tingimuste määramise eest. Elektroonilise keskkonna või X-tee teenuse tehnilise loomise, käitamise ja toimimise tagab volitatud töötleja vastutava töötleja nõuete ja juhiste alusel. Seetõttu ei ole põhjendatud omistada juurdepääsu tehnilist tagamist üksnes vastutavale töötlejale.  Muudatus ei laienda kohaliku omavalitsuse üksuse juurdepääsuõigust ega muuda andmete kasutamise eesmärki. Andmeid võib kasutada üksnes õppimiskohustusega isikute seiramise ülesande täitmiseks seaduses ja selle alusel antud õigusaktis sätestatud ulatuses. Paragrahv 1 punktiga 10 täiendatakse §-i 43 lõiget 3 selliselt, et registri pidamises ilmnenud puudused kõrvaldab vastutav töötleja edaspidi vajaduse korral koostöös volitatud töötlejaga. Kehtiv regulatsioon ei arvesta selgelt olukorda, kus puudus puudutab registri tehnilist käitamist, turvet, taristut või muud volitatud töötleja täidetavat ülesannet. Muudatus ei vähenda vastutava töötleja vastutust järelevalve ettekirjutuse täitmise eest, vaid loob õigusliku selguse, et tehnilise puuduse kõrvaldamisse kaasatakse selle eest vastutav teenuseosutaja. 

14

Paragrahv 1 punktiga 11 sõnastatakse § 44 ümber ja sätestatakse, et registri pidamist finantseeritakse riigieelarvest. Registri pidamisega seotud vahendid on pärast Haridus- ja Teadusministeeriumi IT konsolideerimist kavandatud erinevate asutuste eelarvetes ning nende täpne jaotus kujuneb riigieelarve planeerimise ja asutuste vaheliste kokkulepete käigus. Seetõttu ei ole põhjendatud nimetata põhimääruses asutust ega töötlejat, kellele vahendid eraldatakse. Muudatus ei mõjuta registri pidamise rahastamise kohustust ega vastutava töötleja õigust määrata registri sisulised arendusvajadused ja arendusprioriteedid.

Paragrahviga 2 muudetakse Vabariigi Valitsuse 13. augusti 2021. a määrust nr 80 „Haridus- ja Teadusministeeriumi põhimäärus“.

Paragrahv 2 punktiga 1 täiendatakse määruse § 5 punkti 14, sätestades ministeeriumi põhiülesandena hariduse ja teaduse andmesidevõrgu turvalise ja kvaliteetse toimimise tagamise. Ülesanne kuulus seni infotehnoloogiataristu osakonna vastutusvaldkonda. Seoses IT- funktsioonide konsolideerimise ja infotehnoloogiataristu osakonna tegevuse lõpetamisega on vajalik täpsustada ülesande paiknemist ministeeriumi põhimääruses. Hariduse ja teaduse andmesidevõrgu korraldamist käesolevas konsolideerimise etapis üle ei anta ning selle turvalise ja kvaliteetse toimimise tagamine jääb jätkuvalt ministeeriumi ülesandeks. Kuna nimetatud ülesanne ei ole ühegi osakonna jaoks põhiülesanne, ei seostata seda ministeeriumi põhimääruses konkreetse osakonna põhiülesannetega, vaid sätestatakse ministeeriumi põhiülesandena § 5 punktis 14. Ülesande täitmise eest vastutav osakond ja osakondade vaheline ülesannete jaotus määratakse osakondade põhimäärustes.

Paragrahv 2 punktiga 2 tunnistatakse kehtetuks Haridus- ja Teadusministeeriumi põhimääruse § 12 lõike 1 punktid 6 ja 8 ning lõiked 7 ja 9. Muudatus on seotud ministeeriumi struktuuri ümberkorraldamise ja senise IT-ülesannete jaotuse muutmisega. Haridus- ja Teadusministeeriumi IT-osakonna tehnilised ülesanded konsolideeritakse Riigi Digikeskusse ning ministeeriumisse jääv IKT juhtimise ja tellijafunktsioon koondatakse uude tehnoloogia juhtimise osakonda.

Paragrahv 2 punktiga 3 täiendatakse § 12 lõikes 1 toodud ministeeriumi osakondade loetelu tehnoloogia juhtimise osakonnaga. Osakonna loomine on vajalik, et tagada ministeeriumis pärast tehnilise IT-võimekuse konsolideerimist piisav ja üheselt määratud valdkondlik tellijavõimekus. Tehnilise teostuse üleandmine ei vähenda ministeeriumi vastutust oma avalike teenuste, andmekogude, poliitikaeesmärkide, arendusvajaduste ega eelarveliste valikute eest.

Paragrahv 2 punktiga 4 muudetakse § 12 lõikes 6 sätestatud haldusosakonna põhiülesannete kirjeldust. Senisest sõnastusest jäetakse välja viited asjaajamise, dokumendihalduse ja arhiivitöö korraldamisele, kuna nende ülesannete täitmine koondatakse kommunikatsiooniosakonda. Mõistest „asjaajamine“ loobutakse, kuivõrd see ei ole enam teabehalduse valdkonnas tavapäraselt kasutatav termin. Lisaks sätestatakse haldusosakonna põhiülesandena ministeeriumi ja valitsemisala kriisireguleerimise ning riigikaitseliste ülesannete täitmise koordineerimine ja korraldamine.

Paragrahv 2 punktiga 5 muudetakse § 12 lõiget 14. Muudatuse eesmärk on täpsustada ja laiendada kommunikatsiooniosakonna põhiülesandeid. Lisaks ministeeriumi kommunikatsioonitegevuste kavandamisele ja korraldamisele antakse kommunikatsiooniosakonnale ministeeriumi teabehalduse korraldamise ja koordineerimise

15

ülesanne, sealhulgas dokumendihaldus- ja arhiiviteenuse toimimise tagamine. Muudatuse eesmärk on koondada kommunikatsiooni-, teabe- ja dokumendihalduse valdkonnad ühe struktuuriüksuse vastutusalasse ning tagada nende valdkondade terviklik juhtimine ja arendamine.

Paragrahv 2 punktiga 6 võetakse strateegia- ja finantsosakonna  põhiülesannetest välja kvaliteedijuhtimise ja andmehalduse korraldamise funktsioon. Muudatus on seotud ministeeriumi struktuuri ja ülesannete jaotuse täpsustamisega. Andmehalduse korraldamise ülesanne on pärast ministeeriumi viimast struktuurimuudatust põhimääruses omistatud rohkem kui ühele struktuuriüksusele. Muudatusega kõrvaldatakse formaalne ülesannete kattuvus ning tagatakse selgus, et andmehalduse korraldamine on analüüsiosakonna põhiülesanne. Kvaliteedijuhtimise ülesanne viiakse senise osakonna vastutusalast välja ning korraldatakse edaspidi vahetult kantsleri juhtimisel. Kvaliteedijuhtimine on ministeeriumiülene juhtimisfunktsioon, mis hõlmab organisatsiooni töökorralduse, protsesside ja juhtimissüsteemi terviklikku arendamist. Seetõttu ei ole põhjendatud selle seostamine üksnes ühe osakonna põhiülesannetega. Kvaliteedijuhtimise vahetu allutamine kantslerile toetab funktsiooni horisontaalset rakendamist kogu ministeeriumis ning võimaldab käsitada kvaliteedijuhtimist organisatsiooni üldise juhtimise ja arendamise osana. Muudatusega ei lõpetata andmehalduse ega kvaliteedijuhtimise ülesannete täitmist. Muudetakse nende ülesannete organisatsioonilist paiknemist ja vastutuse jaotust. Ülesannete täpsem sisu, vastutajad ja töökorraldus määratakse ministeeriumi sisemistes töökorralduslikes dokumentides. Paragrahv 2 punktiga 7 täiendatakse HTM põhimääruse §-i 12 lõikega 21¹, milles määratakse tehnoloogia juhtimise osakonna põhiülesanne. Osakond korraldab ministeeriumi ja tema valitsemisala IKT strateegilist juhtimist ning tellijafunktsiooni täitmist, koondab ja koordineerib valdkondade digiarenduse vajadusi, juhib arendusportfelli ning korraldab koostööd Riigi Digikeskusega infosüsteemide ja digiteenuste arendamisel ning toimimise tagamisel.  Osakonna ülesanne on siduda poliitikavaldkondade eesmärgid konkreetsete arendusvajaduste, prioriteetide, eelarve ja teenuseosutaja tööga. Osakond ei asenda valdkondlike teenuseomanike, andmekogude vastutavate töötlejate ega sisuekspertide vastutust. Samuti ei võta osakond üle Riigi Digikeskuse tehnilise teostuse vastutust. Osakond loob juhtimiskihi, mille kaudu kujundatakse terviklik tellimus, välditakse dubleerivaid arendusi, juhitakse sõltuvusi ja riske ning kontrollitakse, et tehnilised lahendused vastaksid õiguslikele, sisulistele ja funktsionaalsetele nõuetele.  Paragrahvis 3 sätestatakse käesoleva määruse jõustumise aeg. Määrus jõustub 2027. aasta 1. jaanuaril. Jõustumisaeg on seotud Haridus- ja Teadusministeeriumi IT-ülesannete Riigi Digikeskusse konsolideerimise ja ministeeriumi uue IKT juhtimiskorralduse rakendamisega. Üheaegne jõustumine tagab, et tehniliste ülesannete üleandmisel on EHISe vastutava ja volitatud töötleja rollid ning ministeeriumisse jääv tellijafunktsioon õiguslikult määratletud.  3. Eelnõu vastavus Euroopa Liidu õigusele 

16

Eelnõuga ei võeta üle Euroopa Liidu õigust ega rakendata Euroopa Liidu õigusakti, kuid isikuandmete töötlemisel kohaldatakse jätkuvalt määrust (EL) 2016/679. 4. Määruse mõjud  4.1. Mõju riigiasutuste korraldusele ja avalike teenuste osutamisele  Eelnõul on otsene korralduslik mõju Haridus- ja Teadusministeeriumile ning Riigi Digikeskusele. EHISe tehnilise pidamise ülesanded paigutatakse Riigi Digikeskusse ning ministeeriumis täpsustatakse vastutava töötleja, äritellija ja IKT strateegilise juhtimise ülesandeid. Mõju on eelkõige asutuste vahelise tööjaotuse muutus. Haridusvaldkonna poliitika, EHISe andmetöötluse eesmärkide, funktsionaalsete nõuete ning arendusprioriteetide üle otsustamine jääb ministeeriumile.  Positiivne mõju seisneb rollide ja vastutuse selginemises. Üheselt määratud tellija- ja teenuseosutaja roll vähendab olukordi, kus sisuline otsustamine, tehniline teostus ja järelevalve on samas üksuses või ebapiisavalt eristatud. Tehniliste kompetentside koondamine loob eeldused ühtlasemaks töökorralduseks, tehnilise kvaliteedi ja infoturbe juhtimiseks ning arendus- ja haldusvõimekuse paindlikumaks kasutamiseks. Mõju tegelik ulatus sõltub koostöökokkuleppest, teenustasemete määramisest ja üleandmise kvaliteedist.  4.2. Mõju andmekaitsele, infoturbele ja registri toimepidevusele  Eelnõu ei laienda EHISe andmete töötlemise eesmärke ega andmete koosseisu. Andmekaitseline mõju on eeldatavalt positiivne, sest vastutava ja volitatud töötleja ülesanded sätestatakse senisest selgemalt. Haridus- ja Teadusministeeriumile jääb kontroll andmete töötlemise eesmärkide, juurdepääsutingimuste ja õiguspärasuse üle. Riigi Digikeskus vastutab talle antud tehniliste ja korralduslike meetmete rakendamise eest.  Infoturbe ja toimepidevuse seisukohalt loob muudatus selgema vastutuse registri tehnilise käideldavuse, töökindluse, varundamise, taastumisvõime, logide ja intsidentide käsitlemise eest. Võimalik üleminekurisk seisneb teadmiste, õiguste, lepingute, tehnilise seadistuse või vastutuste ebatäielikus üleandmises. Riski maandamiseks tuleb enne jõustumist üle anda vajalik dokumentatsioon, riigivara ja õigused, määrata kontaktid ja eskalatsioonikord, kokku leppida teenustasemed ning kontrollida toimepidevuse ja taastamise korraldust.  4.3. Mõju EHISe kasutajatele, andmeandjatele ja andmesaajatele  Registri kasutajate, õppeasutuste, kohaliku omavalitsuse üksuste ja teiste andmeandjate põhiõigused ja kohustused ei muutu. Andmete esitamise kanalid ja kasutajaliidesed võivad tehnilise arenduse käigus muutuda, kuid eelnõu ise ei kehtesta uusi andmeesituskohustusi. Autentimise sõnastuse ajakohastamine võimaldab kasutada riigi autentimisteenuse toetatud turvalisi vahendeid ning on kasutajatele paindlikum kui üksnes ID-kaardile viitav regulatsioon.   4.4. Majanduslik, sotsiaalne, regionaalne ja keskkonnamõju  Eelnõuga ei muudeta toetuste, teenuste ega hariduse korralduse materiaalõiguslikke tingimusi ning seetõttu puudub oluline otsene sotsiaalne või regionaalne mõju. Kaudne positiivne mõju

17

võib avalduda haridusvaldkonna digiteenuste töökindluse, turvalisuse ja arendamise kvaliteedi paranemise kaudu. Eelnõul ei ole eeldatavalt olulist otsest mõju ettevõtlusele ega looduskeskkonnale. 4.5. Riskid ja nende maandamine  Juhtimis- ja vastutusmudeli risk: sisulise ja tehnilise vastutuse piir võib praktikas jääda ebaselgeks. Riski maandatakse põhimääruse, koostöökokkuleppe, vastutusmaatriksi, teenustasemete ja eskalatsioonikorra abil.  Teenuse järjepidevuse risk: üleminekul võib kaduda asutusespetsiifiline teadmine või tekkida katkestus. Riski maandatakse etapiviisilise üleandmise, dokumenteerimise, võtmeisikute kaasamise, üleandmisaktide ja toimepidevuse testimisega.  Andmekaitse- ja infoturberisk: juurdepääsude või administraatoriõiguste ümberkorraldamine võib suurendada väärkasutuse või eksimuse riski. Riski maandatakse ülesandepõhiste minimaalsete õiguste, logimise, regulaarse kontrolli ja selge rikkumisteavituse korraga.  Finantsrisk: ülesannete ja kulude ebatäpne jaotus võib põhjustada dubleerimist või rahastamata kohustusi. Riski maandatakse teenuste, lepingute, personali, vara ja eelarve detailse kaardistamise ning kulude jaotuse kokkuleppimisega.  5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud  Määruse rakendamiseks tuleb enne EHISe tehnilise pidamise ülesannete üleandmist tagada, et Riigi Digikeskusel on registri katkematuks, turvaliseks ja nõuetekohaseks tehniliseks käitamiseks vajalik teave, õigused, vahendid ja juurdepääsud. Selleks tuleb Haridus- ja Teadusministeeriumil koostöös Riigi Digikeskusega:

• kaardistada registri pidamisega seotud ülesanded, tööprotsessid, vastutajad, sõltuvused ja teenused ning leppida kokku nende üleandmise ulatus ja ajakava;

• kaardistada ja anda üle registri pidamiseks vajalik dokumentatsioon, lepingud, litsentsid, lähtekood ning muud tarkvara kasutamise, muutmise ja arendamisega seotud õigused;

• anda üle või tagada registri tehniliseks käitamiseks vajalikud domeenid, sertifikaadid, krüptovõtmed, administraatoriõigused, tehnilised seadistused, teenusekontod ning muud juurdepääsud;

• otsustada registri pidamiseks kasutatava riigivara valitsemise, valduse ja kasutamise korraldus ning vormistada vajalikud vara üleandmised või kasutuskokkulepped;

• teha kindlaks registri pidamisega seotud lepingute edasine korraldus, sealhulgas vajadus lepingute üleandmiseks, muutmiseks või uute lepingute sõlmimiseks;

• vaadata üle registri kasutajaõigused, administraatoriõigused ja teenusekontod, rakendada vähimate õiguste põhimõtet ning tagada õiguste andmise, muutmise ja lõpetamise kontrollitavus;

• kontrollida logimise ja logide säilitamise korraldust ning tagada, et registris tehtud toimingud ja juurdepääsud oleksid õigusaktides sätestatud ulatuses tuvastatavad ja kontrollitavad;

• kontrollida registri varundamise, taastamise, talitluspidevuse ja infoturbe korraldust ning viia vajaduse korral läbi taastamise, talitluspidevuse ja turvameetmete toimivuse testid;

18

• määrata kindlaks tehniliste intsidentide käsitlemise, rikkumistest teavitamise, tehnilise kasutajatoe ja probleemide lahendamise töökorraldus, sealhulgas kontaktisikud ja eskalatsioonikord;

• sõlmida või ajakohastada Haridus- ja Teadusministeeriumi ning Riigi Digikeskuse koostöökokkulepe, milles määratakse kindlaks teenuste ulatus, teenustasemed, arendus- ja muudatuste juhtimise kord, poolte infovahetus, aruandlus ning vastutuse jaotus;

• kehtestada ministeeriumis tehnoloogia juhtimise osakonna struktuur, tööjaotus ja tööprotsessid ning määrata teenuse- ja tooteomanike, andmekogu vastutava töötleja ülesandeid täitvate isikute ja Riigi Digikeskuse koostöömudel;

• tagada registri arendusvajaduste koondamise, hindamise, prioriseerimise ja rahastamise töökorraldus ning registri arendusportfelli juhtimine;

• tagada, et registri sisulise kasutajatoe, andmekvaliteedi, andmete väljastamise, juurdepääsuõiguste ning andmesubjektide pöördumiste lahendamise ülesannete täitmine jätkuks ministeeriumis;

• teavitada registri kasutajaid, andmeandjaid, andmesaajaid, lepingupartnereid ja teisi asjaomaseid isikuid kontaktandmete, kasutajatoe või töökorralduse muutumisest ulatuses, milles muudatus neid puudutab;

• dokumenteerida ülesannete ja vahendite üleandmine ning kontrollida enne uue töökorralduse rakendamist, et üleandmiseks kokku lepitud tegevused on tehtud ja registri toimepidevus on tagatud.

Nimetatud tegevuste eesmärk on vähendada üleminekuperioodil registri töökatkestuse, infoturbeintsidendi, teadmiste kaotsimineku, ülesannete dubleerimise või vastutuslünga tekkimise riski. Ülesannete tehniline üleandmine ei muuda Haridus- ja Teadusministeeriumi vastutust registri pidamise eesmärkide, andmete töötlemise õiguspärasuse, andmekvaliteedi, juurdepääsutingimuste ega arendusprioriteetide määramise eest. Eelnõu rakendamise finantsmõju tuleb eristada IKT reformi üldisest rahalisest mõjust. Käesolev määrus ei loo iseseisvalt uusi andmekogusid, teenuseid ega andmekoosseise. Eelnõu rakendamisega seotud kulud tulenevad peamiselt ülesannete, personali, teenuste, lepingute ja vara ümberkorraldamisest ning uue tellijafunktsiooni käivitamisest. Nende kulude täpne suurus sõltub üleantavate teenuste ja ressursside lõplikust jaotusest ning lepitakse kokku konsolideerimise ettevalmistamise ja eelarve üleandmise käigus. Registri pidamise püsikulud kaetakse riigieelarvest. Riigi IKT reformi rahastusmudeli kohaselt tuleb eristada Riigi Digikeskuse baasteeninduse kulud, valdkondlikud investeeringud ning vajaduse korral mahupõhised või eriteenuste kulud. Valdkondlike arenduste sisu ja prioriteedid jäävad Haridus- ja Teadusministeeriumi otsustada ning nende jaoks vajalik investeeringute eelarve planeeritakse riigieelarve protsessis. Määruse rakendamisest ei teki otseseid tulusid. Pikemas vaates võib tehniliste kompetentside ja tugitegevuste koondamine vähendada dubleerimist, parandada ressursikasutust ja muuta teenuste kulud läbipaistvamaks. Sellist võimalikku säästu ei saa käsitada üksnes käesoleva määruse mõjuna, sest selle realiseerumine sõltub IKT reformi terviklikust rakendamisest, teenuste tegelikust konsolideerimisest ning eelarve- ja juhtimiskokkulepetest. 6. Määruse jõustumine  Määrus jõustub 1. jaanuaril 2027. a.

19

7. Eelnõu kooskõlastamine  Määruse eelnõu esitatakse kooskõlastamiseks Justiits- ja Digiministeeriumile. Eelnõu esitatakse arvamuse avaldamiseks Registrite ja Infosüsteemi Keskusele ja Andmekaitse Inspektsioonile.

Kristina Kallas minister

Munga 18/ 50088 Tartu/ 735 0222/ [email protected]/ www.hm.ee/ Registrikood 70000740

Kooskõlastamiseks: Justiits- ja Digiministeerium

Arvamuse avaldamiseks: Registrite ja Infosüsteemide Keskus Andmekaitse Inspektsioon

23.10.2026 nr 8-1/26/5690

Vabariigi Valitsuse määruse eelnõu esitamine kooskõlastamiseks ja arvamuse avaldamiseks

Esitame Teile kooskõlastamiseks ja arvamuse avaldamiseks Vabariigi Valitsuse määruse „Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi infosüsteemide konsolideerimisega“ eelnõu. Eelnõu ja seletuskirjaga on võimalik tutvuda eelnõude infosüsteemis (EIS) aadressil http://eelnoud.valitsus.ee. Palume Teie kooskõlastust või arvamust kümne tööpäeva jooksul.

Lugupidamisega

(allkirjastatud digitaalselt) Kristina Kallas minister

Lisa: 1. Eelnõu 2. Seletuskiri

Marili Lehtmets 735 0289 [email protected]