ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Kristina Kallas

Haridus- ja Teadusministeerium

[email protected]

Teie 23.10.2026 nr 8-1/26/5690

Meie 08.11.2026 nr 2.3-5/26/4359-2

Arvamus eelnõule

Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks Vabariigi Valitsuse

määruse „Vabariigi Valitsuse määruste muutmine seoses Haridus- ja Teadusministeeriumi

infosüsteemide konsolideerimisega“ eelnõu. Meil on eelnõu osas järgmised tähelepanekud.

1. Eelnõu § 3¹ lõike 1 järgi on registri volitatud töötleja Riigi Digikeskus, kui määruses ei ole

sätestatud teisiti. Seletuskirjas on selgitatud, et selline regulatsioon tagab paindlikkuse

olukorras, kus registri eri osade tehniline arendus või käitamine võib nende eripärast

tulenevalt olla korraldatud erinevalt. Sama paragrahvi lõike 4 kohaselt korraldab

vastuvõtuandmete alamregistri puhul lõikes 2 nimetatud ülesannete täitmist vastutav

töötleja, kes võib anda nende ülesannete täitmise täielikult või osaliselt üle teisele

riigiasutusele või eraõiguslikule juriidilisele isikule. Üleantavad ülesanded ja nende

täitmise ulatus määratakse kindlaks kokkuleppes. Seletuskirjas antus selgituste kohaselt

võib vastutav töötleja anda nende ülesannete täitmise täielikult või osaliselt üle teisele

riigiasutusele, sh Riigi Digikeskusele või mõnele eraõiguslikule juriidilisele isikule. Lisaks

on seletuskirja märgitud, et erisus on vajalik, kuna nimetatud alamregistrit teenindava

tehnilise lahenduse arendamise ja haldamise edasine korraldus ei ole veel lõplikult kindlaks

määratud.

Leiame, et eelnõu § 3¹ lõigetes 1 ja 4 kavandatud regulatsioon ei ole piisavalt täpne ega

võimalda üheselt kindlaks teha vastuvõtuandmete alamregistri volitatud töötlejat.

Ebaselgeks jääb, kas Riigi Digikeskus on ka vastuvõtuandmete alamregistri volitatud

töötleja ning millises ulatuses ta selle alamregistriga seotud ülesandeid täidab. Samuti ei

nähtu eelnõust, milliseid ülesandeid võib anda teisele riigiasutusele või eraõiguslikule

juriidilisele isikule, millised ülesanded jäävad vastutavale töötlejale ning kas ülesannete

saaja tegutseb volitatud töötlejana. Lisaks ei ole sätestatud tingimusi, mille alusel võib

alamregistri pidamisse kaasata eraõigusliku juriidilise isiku.

Juhime tähelepanu Eesti Vabariigi haridusseaduse (HaS) § 36⁶ lõikele 4, mille kohaselt

tuleb andmekogu põhimääruses sätestada muu hulgas volitatud töötleja ning vastutava,

kaasvastutava ja volitatud töötleja ülesanded. Tegemist on kohustava volitusnormiga,

millest ei saa põhimääruse koostamisel kõrvale kalduda. Seega tuleb volitatud töötleja ja

tema põhiülesanded määrata põhimääruses. Hilisema kokkuleppega võib täpsustada

ülesannete täitmise tehnilisi ja korralduslikke tingimusi, kuid kokkuleppega ei saa määrata

töötlemiskorralduse põhielemente ega kujundada põhimäärusest erinevat ülesannete

jaotust.

Seletuskirjas toodud selgitus, et vastuvõtuandmete alamregistri edasine töökorraldus ei ole

veel lõplikult otsustatud, ei põhjenda määratlemata ulatusega volituse andmist, vaid osutab,

2 (3)

et kavandatava regulatsiooni rakendamiseks vajalik töötlemismudel ei ole veel piisavalt

välja töötatud.

Palume eelnõu § 3¹ lõiked 1 ja 4 omavahel kooskõlla viia ning sätestada põhimääruses, kas

ja millises ulatuses on Riigi Digikeskus vastuvõtuandmete alamregistri volitatud töötleja.

Juhul kui alamregistri ülesandeid täidab Riigi Digikeskuse asemel või kõrval mõni teine

isik, tuleb põhimääruses nimetada ka see töötleja ning määrata tema põhiülesanded ja

vastutuse piirid. Kui eelnõu menetlemise käigus ei ole neid küsimusi võimalik lahendada,

siis tuleb kavandatud § 3¹ lõige 4 eelnõust välja jätta või näha ette selle jõustumine pärast

töötlemiskorralduse lõplikku kindlaksmääramist.

2. Eelnõu § 3¹ lõike 3 kohaselt võib volitatud töötleja kasutada oma ülesannete täitmiseks

teise riigiasutuse või eraõigusliku juriidilise isiku teenuseid. Seletuskirja kohaselt on

tegemist IKÜM artikli 28 lõikes 2 nimetatud üldise kirjaliku loaga teise volitatud töötleja

kaasamiseks.

Eelnõu sõnastus ja seletuskirjas kirjeldatud eesmärk ei ole aga siiski omavahel täielikult

kooskõlas. Ebaselgeks jääb see, kas sättega antakse Riigi Digikeskusele õigus kaasata

isikuandmete töötlemiseks teine volitatud töötleja või kasutada teenuseosutajat, kes

isikuandmeid ei töötle. Teise isiku teenuste kasutamine ei tähenda alati teise volitatud

töötleja kaasamist. Teenuseosutaja on teine volitatud töötleja üksnes juhul, kui ta töötleb

isikuandmeid Riigi Digikeskuse nimel ja viimasele antud ülesannete täitmiseks. Samas

jääb eelnõu § 3¹ lõikes 3 ebaselgeks see, et sättega soovitakse anda Riigi Digikeskusele

üldine luba just teiste volitatud töötlejate kaasamiseks.

Palume õigusselguse huvides kaaluda sätte sõnastuse täpsustamist selliselt, et normist

nähtuks üheselt Riigi Digikeskuse õigus kaasata talle pandud ülesannete täitmiseks teisi

volitatud töötlejaid. Teise volitatud töötleja kaasamise täpsemad tingimused, sh vastutava

töötleja teavitamise ja vastuväidete esitamise kord, aga määratakse Haridus- ja

Teadusministeeriumi ning Riigi Digikeskuse vahelises IKÜM artikli 28 lõike 3 kohases

siduvas kokkuleppes.

3. Eelnõu § 1 punktiga 4 kavandatakse põhimääruse § 8¹ lõigete 1–3 uut sõnastust, mille

kohaselt säilitatakse osa andmeid vähemalt kümme aastat, kuid mitte kauem kui 11 aastat

pärast isiku surma ning osa andmeid vähemalt 25 aastat, kuid mitte kauem kui 26 aastat

alates esimese kande tegemisest. Eelnõuga kavandatakse nende sätete sõnastuse muutmist,

kuid säilitustähtaegade sisuline regulatsioon jäetakse samaks.

Samas ei ole selline regulatsioon seadusega kooskõlas. HaS § 36⁶ lõikes 2⁵ on eelnimetatud

andmete säilitustähtajad sätestatud seaduse tasandil. Muu hulgas nähakse seaduses ette

kvalifikatsiooniandmete säilitamine kümme aastat pärast isiku surma ning õpilaste ja

töötajate andmete säilitamine kuni 25 aastat seaduses nimetatud sündmusest arvates. Seega

võimaldavad põhimääruses sätestatud 11- ja 26-aastased tähtajad andmeid säilitada kauem,

kui seadus ette näeb. Samuti vajab kontrollimist see, kas põhimääruses sätestatud tähtaja

alguspunktid vastavad seadusele.

Lisaks peame vajalikuks juhtida tähelepanu ka volitusnormi ulatusele. Nimelt määrab HaS

§ 36⁶ lõige 4 küsimused, mida võib andmekogu põhimääruses reguleerida, kuid säte ei anna

volitust muuta ega pikendada seaduses sätestatud säilitustähtaegu või määrata neile

seadusest erinevat alguspunkti. Põhimäärusega võib küll reguleerida seaduses sätestatud

säilitamiskohustuse rakendamiseks vajalikke korralduslikke ja tehnilisi küsimusi, kuid

selline regulatsioon peab jääma seadusega määratud tähtaja piiresse. Maksimaalset

säilitusaega ei saa pikendada ka põhjusel, et andmeid kustutatakse perioodiliselt.

3 (3)

Justiits- ja Digiministeeriumi juhises on selgitatud, et isikuandmete maksimaalne

säilitustähtaeg peab olema sätestatud seaduses ning seda võib määrusega täpsustada üksnes

seaduses ette nähtud raami piires. Juhise kohaselt tuleb isikuandmed säilitustähtaja

lõppemisel kustutada või anonüümida. Juhul kui andmeid kustutatakse perioodiliselt

kogumis, võib õigusaktis määrata kustutamiseks täiendava ajavahemiku, kuid säilitamise

ja kustutamise periood kokku ei tohi ületada seaduses sätestatud maksimaalset

säilitustähtaega. Seega ei saa ka antud juhul eelnõus ette nähtud täiendavat üheaastast

perioodi põhjendada andmete perioodilise kustutamise tehnilise korraldusega.

Leiame, et piisav ei ole seletuskirjas märgitu, et eelnõuga säilitustähtaegu ei muudeta.

Eelnõu menetlemisel muudetakse § 8¹ lõigete 1–3 sõnastust ning eelnõu koostaja peaks

seejuures kontrollima ka muudetavate sätete vastavust seadusele ja volitusnormile.

Teadaoleva vastuolu säilitamist ei põhjenda asjaolu, et sama regulatsioon sisaldub juba

kehtivas põhimääruses.

Palume viia põhimääruse § 8¹ lõigetes 1–3 sätestatud säilitustähtajad ja nende alguspunktid

HaS § 36⁶ lõikega 2⁵ kooskõlla. Olukorras, kus andmete kustutamine toimub perioodiliselt,

tuleb esmalt muuta seadust või korraldada kustutamine viisil, mis ei too kaasa seaduses

sätestatud maksimaalse säilitustähtaja ületamist.

4. Ühtlasi palume täiendavalt seletuskirjas selgitada anonüümist puudutavat osa. Eelnõu

kohaselt anonüümitakse andmed pärast säilitustähtaja möödumist. Samas ei selgu eelnõust

ega seletuskirjast, mida anonüümimise all käesoleval juhul täpsemalt mõistetakse, millisel

eesmärgil anonüümitud andmeid edasi kasutatakse ega see, kuidas tagatakse, et andmeid

ei ole võimalik muude andmete, täiendava teabe või teiste andmekogude abil uuesti isikuga

seostada.

Siinjuures peame vajalikuks rõhutada, et anonüümimiseks saab pidada üksnes sellist

töötlemist, mille tulemusel ei ole andmed enam seotud tuvastatud või tuvastatava füüsilise

isikuga. Juhul kui isiku tuvastamine on siiski täiendava teabe või muude andmete abil

võimalik, on tegemist pseudonüümimisega ning tegemist on jätkuvalt isikuandmetega.

Anonüümimist ei saa seetõttu kasutada seaduses sätestatud säilitustähtaja ületamiseks.

Palume seletuskirjas selgitada anonüümimise eesmärki ja kavandatud tulemust ning seda,

milliste põhimõtete alusel välistatakse isiku uuesti tuvastamine. Põhimäärus ei pea

sisaldama tehnilise anonüümimismeetodi üksikasjalikku kirjeldust, kuid vastutav töötleja

peab suutma hinnata ja tõendada, et säilitustähtaja möödumisel ei säilitata enam

isikuandmeid.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Terje Enula

[email protected]

627 4144