ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Liisa-Ly Pakosta

Justiits- ja Digiministeerium

[email protected]

Teie 22.10.2026 nr 8-1/7704-1

Meie 08.11.2026 nr 2.3-5/26/4331-2

Arvamus eelnõule

Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks ettevõtlus- ja

infotehnoloogiaministri 12. veebruari 2022. a määruse nr 13 „Numbri broneerimise andmekogu

põhimäärus“ muutmise eelnõu. Meil on eelnõu osas järgmised tähelepanekud.

1. Eelnõu punktiga 6 tunnistatakse kehtetuks põhimääruse § 4 lõike 1 punkt 1. Seletuskirjas

on muudatust põhjendatud sellega, et vastutav töötleja ei sisesta enam kasutajate andmeid

numbri broneerimise andmekogusse (NBA).

Seletuskirjast nähtuvalt hallatakse numbriloa omaniku volitatud kasutajate ligipääsuõigusi

edaspidi pääsuhalduses. Seletuskirjast aga ei selgu, kas selle all peetakse silmas AvTS §-s

43¹⁰ nimetatud andmenõusoleku ja volituste haldamise andmekogu koosseisu kuuluvat

volituste haldamise süsteemi või muud kasutusõiguste haldamise lahendust.

Juhul kui kavandatud on kasutada AvTS §-s 43¹⁰ nimetatud süsteemi ehk andmenõusoleku

ja volituste haldamise andmekogu andmeid, siis tuleb see põhimääruses ja seletuskirjas

selliselt ka märkida. Seletuskirjas tuleb kirjeldada NBA ja volituste haldamise süsteemi

vahelist andmevahetust, sh edastatavate andmete koosseisu, andmevahetuse eesmärki ning

seda, kas ja milliseid volituse või selle kontrollimisega seotud andmeid NBA-s

säilitatakse. Samuti tuleb selgitada, kuidas tuvastatakse volituse ulatus ning kuidas

kajastuvad volituse muutmine ja lõppemine NBA kasutusõigustes.

Ühtlasi palume parandada seletuskirja väide, et uues NBA-s ei ole numbriloa omaniku

andmeid. Eelnõuga ei tunnistata kehtetuks põhimääruse § 6 lõike 2 punkti 1, mille kohaselt

kantakse andmekogusse numbriloa omaniku nimi ja isiku- või registrikood. Seletuskirja

konteksti arvestades on tõenäoliselt mõeldud, et NBA-s ei säilitata enam numbriloa

omaniku volitatud kasutaja nime, isikukoodi ega kontaktandmeid.

Andmeandjatega seoses soovitame tutvuda Justiits- ja Digiministeeriumi koostatud

Andmekaitseõiguse ja avaliku teabe juhised eelnõu koostajale (JDM juhend).

2. Eelnõu § 1 punktiga 8 asendatakse põhimääruse § 4 lõikes 3 sõna „autoriseerimata“ sõnaga

„autoriseeritud“. Seletuskirja kohaselt on muudatuse eesmärk tuvastada päringu tegija

isik, logida tema päringud ning võimaldada väärkasutuse korral kasutaja tegevust

kontrollida ja tema juurdepääsu piirata.

Leiame, et kavandatud sõnastus ei ole täpne. Seletuskirjas kirjeldatakse eeskätt autentimist

ehk kasutaja isikusamasuse tuvastamist. Seevastu tähendab autoriseerimine kasutajale ka

konkreetsete õiguste andmist. Eelnõust aga ei selgu, kas tavakasutajal tekib päringu

2 (3)

tegemise õigus üksnes pärast autentimist või peab vastutav töötleja andma talle enne ka

eraldi juurdepääsuõiguse. Samuti ei ole sellisel juhul reguleeritud, kes, millistel alustel ja

kui kauaks juurdepääsuõiguse annab ning millistel tingimustel võib selle peatada või

lõpetada.

Samas, kui päringu tegemiseks piisab üksnes kasutaja isikusamasuse tuvastamisest, tuleks

põhimääruses kasutada pigem sellist mõistet nagu autenditud tavakasutaja. Üksnes mõiste

„autoriseeritud tavakasutaja“ kasutamine ei määra kasutaja õigusi ega juurdepääsu

tingimusi piisavalt täpselt.

3. Eelnõu § 1 punktiga 13 tunnistatakse kehtetuks põhimääruse § 8 lõike 3 teine lause, mille

kohaselt toimub andmevahetus riigi infosüsteemi andmevahetuskihi kaudu. Seletuskirjas

põhjendatakse muudatust sellega, et NBA ei kasuta andmevahetuseks x-teed. Varem oli X-

tee kasutamine ette nähtud numbrite broneerimiseks ja vabastamise toimingute jaoks, kuid

sellest loobuti vähese kasutusvajaduse tõttu. Samas märgitakse seletuskirjas, et kasutajate

ligipääsuõigusi hallatakse edaspidi pääsuhalduses (eesti.ee). Samuti näeb põhimääruse §

8 lõge 3 ette, et andmed kantakse NBA-sse tarbijakaitse ja tehnilise järelevalve

infosüsteemi vahendusel.

Andmekaitse Inspektsioon toetab lause sättest väljajätmist, kuna see kordab AvTS § 439

lõikest 5 juba tulenevat nõuet, mille kohaselt toimub andmevahetus riigi infosüsteemi

kuuluvate andmekogudega ja nende vahel riigi infosüsteemi andmevahetuskihi kaudu,

mistõttu puudub sättel iseseisev regulatiivne sisu. Samas seletuskirjas muudatuse

põhjendamiseks esitatud selgitused on aga omavahel vastuolus ning vajavad täpsustamist.

4. Eelnõu § 1 punktiga 8 nähakse ette, et põhimääruse § 4 lõikes 3 nimetatud tavakasutaja

peab olema senise autoriseerimata kasutaja asemel autoriseeritud kasutaja. Seletuskirjas

toodu kohaselt tähendab see, et kasutaja isikusamasus tuvastatakse ja tema päringud

seostatakse konkreetse kasutajaga. Eelnõu § 1 punktiga 15 tunnistatakse aga samal ajal

kehtetuks § 10 lõike 3 esimene ja teine lause, mille kohaselt ei piirata juurdepääsu numbri

kuuluvuse ja numbri teisaldamise hetkeseisu kajastavatele andmetele ning juurdepääs

neile andmetele tagatakse veebiliidese kaudu ööpäevaringselt.

Seletuskirjas põhjendatakse mõlema lause kehtetuks tunnistamist dubleerimisega, kuid §

4 lõige 3 ei sätesta, et juurdepääs toimub veebiliidese kaudu ja ööpäevaringselt. Seega ei

dubleeri vähemalt § 10 lõike 3 teine lause § 4 lõiget 3, vaid selle lause kehtetuks

tunnistamisel kaob põhimäärusest nõue tagada teenuse veebipõhine ööpäevaringne

kättesaadavus. Seletuskirjast aga ei selgu, kas see on kavandatud sisuline muudatus või

jääb teenus endistel tingimustel kättesaadavaks.

Samuti tuleks täpsustada § 10 lõike 3 esimese lause kehtetuks tunnistamise mõju.

Põhimääruse § 4 lõige 3 määrab üksnes tavakasutaja lubatud päringud, kuid ei sätesta, et

juurdepääsu nendele andmetele ei piirata. Eelnõu kohaselt hakatakse kasutajat tuvastama

ning seletuskirjas nähakse ette võimalus tema juurdepääsu piirata või peatada. Seetõttu ei

saa § 10 lõike 3 esimest lauset pidada üksnes § 4 lõiget 3 kordavaks sätteks.

Palume § 10 lõike 3 esimese ja teise lause kehtetuks tunnistamist eraldi põhjendada ning

selgitada, kas teenus jääb pärast kasutaja autentimist veebiliidese kaudu ööpäevaringselt

kättesaadavaks. Samuti tuleb määrata, kas ja millistel õiguslikel alustel võib tavakasutaja

päringute tegemist piirata või tema juurdepääsu peatada. Juhul kui teenuse veebipõhine

ööpäevaringne kättesaadavus säilib, ei ole vastava sätte väljajätmine seletuskirjas esitatud

põhjendusega piisavalt põhjendatud.

5. Lisaks juhime tähelepanu kehtiva põhimääruse §-le 11, mille lõige 1 reguleerib

andmekogusse kantud andmete alusdokumentide ning lõige 2 logiandmete säilitamist.

3 (3)

Samas ei ole põhimääruses määratud §-s 6 nimetatud andmekogu andmete

säilitustähtaegu. Samuti ei ole säilitustähtaega määratud § 9 lõike 3 alusel mitteaktiivseks

muudetud ja arhiveeritud andmetele ega toiminguajaloos säilitatavale teabele. Seega ei ole

võimalik kohaldada ka § 11 lõikes 3 sätestatud andmete hävitamise kohustust, kuna

puudub tähtaeg, mille möödumisel tuleb andmed hävitada.

Palume säilitamise regulatsioon tervikuna üle vaadata ning määrata andmekogu andmete

säilitustähtajad, nende arvutamise algus ning selgitada seletuskirjas andmete

säilitustähtaja lõppemisel tehtav toiming. Seejuures tuleb eristada andmekogu

põhiandmeid, alusdokumente, toiminguajalugu ja eri eesmärkidel peetavaid logisid.

Ühtlasi palume täpsustada § 9 lõikes 3 kasutatud arhiveerimise tähendust. Juhul kui selle

all mõeldakse andmete NBA-siseselt mitteaktiivseks muutmist, ei tohi sõnastus jätta

muljet, et andmeid säilitatakse tähtajatult või et neile on antud arhiiviseaduse tähenduses

arhiiviväärtus.

6. Elektroonilise side seaduse (ESS) § 28¹ lõige 2 sätestab, et numbri broneerimise

andmekogu asutab ja selle põhimääruse kehtestab valdkonna eest vastutav minister. Kuigi

sama paragrahvi teistes lõigetes on määratud andmekogu eesmärk, vastutav töötleja,

andmete üldised kategooriad ja juurdepääsupiirangu üldpõhimõte, ei nähtu seadusest siiski

see, milliseid andmekogu pidamise ja andmetöötluse küsimusi võib või tuleb

põhimääruses reguleerida. Seega puuduvad volitusnormis põhimääruse

reguleerimiseseme sisulised raamid.

JDM juhendis on samuti muu hulgas selgitatud, et andmekogude puhul tuleb seaduses

sätestada volitusnorm põhimääruse kehtestamiseks ning selle raamid (nt pidamise kord,

andmeandjad, andmevahetus teiste andmekogudega, vastutava/volitatud töötleja

ülesanded, juurdepääs ja väljastamise kord, muud korralduslikud küsimused).

Soovitame edaspidi ESS muutmisel vaadata üle ka volitusnorm ning sõnastada selliselt, et

see oleks kooskõlas JDM juhistega.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Terje Enula

[email protected]

627 4144