Menetluse lõpetamise teade isikuandmete kaitse asjas

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Tarmo Miilits

kantsler

Lp Enel Pungas

osakonnajuhataja

Siseministeerium

[email protected]

Teie 05.04.2024 nr 10-10/39-24 Meie 02.05.2024 nr 2.1.-4/23/1026-2606-11

Menetluse lõpetamise teade isikuandmete kaitse asjas

Andmekaitse Inspektsioon algatas 31.08.2023 järelevalvemenetluse, et selgitada välja, kas

Siseministeerium rahvastikuregistri vastutava töötlejana on rahvastikuregistri andmetele

juurdepääsu õiguste andmisel lähtunud rahvastikuregistri seaduses ja isikuandmete kaitse

üldmääruses (IKÜM) kehtestatud nõuetest. Järelevalves kogutud teabe ja sellest tehtud järelduste

alusel tegi inspektsioon 27.11.2023 Siseministeeriumile rahvastikuregistri andmetele

juurdepääsu korra muutmiseks mitmed ettepanekud ja ettekirjutused. Ettekirjutuste täitmise

kohta on Siseministeerium andnud inspektsioonile tagasiside 08.02.2024, 01.03.2024 ja

05.04.2024 saadetud kirjadega.

Ettekirjutuse punkti 4.2 järgi pidi Siseministeerium lähtuma rahvastikuregistri andmetele

juurdepääsude võimaldamisel vastutava ja volitatud töötleja suhte puhul edaspidi vastutavale

töötlejale kohalduvast õiguslikust alusest.

11.12.2023 märkis Siseministeerium, et ettekirjutuse punkti 4.2 täitmine võib tähendada ühtlasi

rahvastikuregistri seaduse muutmist, kuivõrd rahvastikuregistri seaduse järgi oleks volitatud

töötlejal alus õigustatud huvi alusel andmetele juurdepääsuks. Sellisel juhul tähtajaks seadust

muuta ei jõua. Siseministeerium lubas kaaluda võimalusi, kuidas leida lahendus ettekirjutuse

täitmise tähtajaks selliselt, et ei tekiks vastuolu rahvastikuregistri seadusega.

08.02.2024 vastas Siseministeerium, et kaalub ettekirjutuse punkti 4.2 täitmiseks andmete

juurdepääsu tagamisel, kuidas oleks võimalik lähtuda vastutavale töötlejale kohalduvatest

õiguslikest alustest, arvestades samas rahvastikuregistri seaduses toodud rahvastikuregistri

andmetele juurdepääsu aluseid ning avaliku ülesande määratlust. Siseministeerium märkis ka

oma 11.12.2023 vastuses ettekirjutusele ja märgib ka nüüd, et see võib tähendada

rahvastikuregistri seaduse muutmist, kuivõrd rahvastikuregistri seaduse alusel on volitatud

töötlejal alus sellisel juhul õigustatud huvi alusel andmetele juurdepääsuks. Siseministeerium

analüüsib täiendavalt rahvastikuregistri seaduse vastavust isikuandmete kaitse üldmäärusele ning

teeb vajadusel muudatused. Vältimaks segadust tekitavaid olukordi, kus andmeid on vaja justkui

avaliku ülesande täitmiseks, kuid tegelikkuses hakatakse hindama hoopis taotleja õigustatud huvi

esinemist, soovitab Siseministeerium vastutaval töötlejal ise taotlus esitada.

Inspektsioon märgib, et antud vastuse põhjal ei saa ettekirjutuse punkti 4.2 lõpuni täidetuks

lugeda, kuivõrd Siseministeerium tõi oma vastuskirjades välja, et kui volitatud töötleja esitab

2 (2)

isikuandmetele juurdepääsu taotluse, siis on rahvastikuregistri seaduse alusel volitatud töötlejal

alus andmetele juurdepääsuks õigustatud huvi alusel. Kuigi Siseministeerium soovitab vastutava-

volitatud töötleja suhte puhul vastutaval töötlejal endal rahvastikuregistri andmetele

juurdepääsuks taotluse esitada, siis inspektsiooni hinnangul ei saa selle vastuse põhjal lõpuni

välistada, et Siseministeerium asub siiski volitatud töötleja taotluse korral hindama tema

õigustatud huvi, kuigi tegelikkuses võib isikuandmete töötlemise alusena kohalduda õigusliku

alusena muu alus.

Inspektsioon selgitab veel kord, et kui vastutav töötleja kasutab enda nimel isikuandmete

töötlemiseks volitatud töötlejat, siis toimub isikuandmete töötlemine vastutava töötleja nimel ja

tema seatud eesmärkidel (IKÜM art 28). See tähendab seda, et kui vastutav töötleja soovib

isikuandmeid töödelda avalikes huvides oleva ülesande täitmiseks (IKÜM art 6 lg 1 punkt e ja

RRS § 44 punkt 2), siis volitatud töötleja ei saa sellest õiguslikust alusest kõrvale kalduda.

Volitatud töötleja peab IKÜM art 28 lg 3 punkti a järgi juhinduma vastutava töötleja

dokumenteeritud juhistest, sh ka töötlemisele kohalduvast õiguslikust alusest. Kui volitatud

töötleja kalduks kõrvale vastutava töötleja juhistest ja määraks ise, millisel õiguslikul alusel ja

mis eesmärgil ta isikuandmeid kavatseb töödelda, muutub volitatud töötleja IKÜM art 28 lg 10

alusel ise vastutavaks töötlejaks. Sellist kõrvalekallet, kus volitatud töötlejale kohaldub

isikuandmete töötlemiseks muu kui vastutatava töötleja poolt ette antud õiguslik alus ja eesmärk,

ei saa ette näha ka siseriikliku õigusega. Seega on isikuandmete töötlemisel (sh rahvastikuregistri

andmetele juurdepääsu võimaldamisel) oluline eristada, kas isikuandmeid töödeldakse avaliku

ülesande täitmiseks või õigustatud huvi alusel. Lubatav ei ole nende aluste üheaegne kasutamine

või vastutava-volitatud suhte puhul vastutatava töötleja antud juhistest, sh õiguslikust alusest

kõrvale kaldumine.

Kui Siseministeerium analüüsib rahvastikuregistri seaduse muutmise vajadust seoses

rahvastikuregistri andmetele juurdepääsuga, siis toob inspektsioon täiendavalt esile selle, et

kehtiv rahvastikuregistri seaduse § 44 ei kata ära kõiki isikuandmete töötlemise aluseid, mida

IKÜM ette näeb. Nii näiteks on avalikes huvides olevast ülesande täitmisest ja õigustatud huvist

täiesti eraldiseisev alus isikuandmete töötlemiseks (seega ka näiteks rahvastikuregistrist andmete

väljastamiseks) juriidilise kohustuse täitmine (IKÜM art 6 lg 1 punkt c). Seega võib

rahvastikuregistri isikuandmetele juurdepääsu andmine näiteks mõnele eraõiguslikust juriidilisest

isikust andmetöötlejale olla seaduslik, kui tal on andmeid vaja oma seadusjärgse kohustuse

täitmiseks. RRS § 44 sellist alust isikuandmetele juurdepääsuks aga ette ei näe ja kohane ei saa

sel juhul olla ka taotleja õigustatud huvi hindamine.

Kokkuvõttes võtab inspektsioon ettekirjutuste täitmise puhul arvesse seda, et ettekirjutuse punkt

4.2 eeldab Siseministeeriumilt täiendava analüüsi teostamist ja võimalik, et ka rahvastikuregistri

seaduse muutmist. Võimalusel suunab ja soovitab Siseministeerium vastutava-volitatud töötleja

suhte puhul rahvastikuregistri andmetele juurdepääsu taotlema vastutaval töötlejal endal. Kõik

muud ettekirjutuse punktid on Siseministeerium täitnud.

Eeltoodust tulenevalt lõpetab inspektsioon käesoleva järelevalvemenetluse.

Inspektsioon võib edaspidi teostada täiendava kontrolli, veendumaks, kas ja mida on

Siseministeerium isikuandmete kaitse nõuete paremaks täitmiseks seoses ettekirjutuse punktiga

4.2 ette võtnud.

Lugupidamisega

(allkirjastatud digitaalselt)

Agnes Järvela

jurist

peadirektori volitusel