AKI: Arvamuse avaldamine eelnõule (välismaalaste seadus)

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Lp Maret Saanküll

[email protected]

Teie 21.05.2024 Meie 05.06.2024 nr 2.3-4/24/598-5

Arvamuse avaldamine eelnõule (välismaalaste seadus)

Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks välismaalaste

seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu muudetud

versiooni ja kooskõlastustabeli. Edastatud eelnõu ja kooskõlastustabelis esitatud selgituste osas on

AKI-l järgmisel tähelepanekud.

1. Viisaregistri vastutav töötleja

Välismaalaste seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu

(edaspidi: eelnõu) § 1 p-s 16 pakutud sõnastus „Viisaregistri isikuandmete vastutavad töötlejad

Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 füüsiliste isikute kaitse kohta

isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks

tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) tähenduses

käesolevas seaduses sätestatud pädevuse piires on Politsei- ja Piirivalveamet, Kaitsepolitseiamet

ning Välisministeerium.“ koosmõjus viisaregistri põhimääruses kavandatud muudatustega

(viisaregistri põhimääruse kavandatav § 41) on jätkuvalt ebaselge. Arusaamatuks jääb ikka see,

mida sisuliselt tähendab „andmekogusse kantud isikuandmete vastutav töötleja ja kontaktpunkt“.

Asjaolu, et põhimääruses on viidatud konkreetsete menetlustoimingutega seotud andmete

töötlemisele, ei anna siiski selgust andmetöötlemisega seotud vastutuse piiridest ja vastutuse

jagamisest andmekogu vastutavaja töötleja ehk PPA ja teiste kaasatud asutuste (Kaitsepolitseiamet,

Välisministeerium) vahel, sealjuures ei ole selge, kas kaasatud asutuste puhul on tegemist

andmekogu volitatud töötlejatega või andmekogusse andmete andjatega. Arusaamatuks jääb ka

termini „kontaktpunkt“ sisuline tähendus.

Nagu AKI on selgitanud 11.04.2024 vastuses nr 2.3-4/24/598-2, saab viisaregistri põhimääruses

reguleerida andmekogu volitatud töötlejate ja kaasvastutavate töötlejate andmetöötlemisega

seotud vastutuse piirid, mis peavad olema andmesubjektile selged. Hetkel ei ole aga asutuste rollid

andmetöötlusega seotud protsessides ja vastutuse piirid arusaadavalt ja selgelt määratletud.

AKI hinnangul peaksid Kaitsepolitseiamet ja Välisministeerium viisaregistris käiva

andmetöötluse puhul olema kas volitatud või PPA-ga kaasvastutavad töötlejad. Viisaregistri

põhimääruses peaks ära reguleerima, kes ja milles osas on kaasvastutavad töötlejad, sh kui toimub

andmekogus isikuandmete töötlemisega seotud intsident – kes keda teavitab, kuidas toimub

vastutava töötleja ülesannete täitmine, sh nt inspektsiooni intsidendist teavitamine jne.

Samuti peaks põhimääruses olema reguleeritud olukord, kus ükskõik kes kaasvastutavatest

töötlejatest saab andmesubjekti pöördumise, peab ta selle ise edastama sellele kaasvastutavale

2 (3)

töötlejale, kelle pädevusse põhimäärusest tulenevalt vastava pöördumise lahendamine kuulub.

Lubamatu on andmesubjekti n-ö jooksutamine kaasvastutavate töötlejate vahel, kui andmesubjekt

ei ole aru saanud, kelle poole tuleks tal pöörduda.

2. Andmekogude säilitustähtajad

2.1. Viisaregister

AKI jääb 11.04.2024 arvamuses nr 2.3-4/24/598-2 esitatud seiskoha juurde, et eelnõu § 1 p 18

sõnastus „Viisaregistri andmeid säilitatakse kõige kauem 60 aastat. Andmetele võib sätestada

lühema säilitustähtaja viisaregistri põhimääruses.“ ei sobi, kuna see jätab määrusandjale

kaalutlusruumi selle suhtes, kas viisaregistri põhimääruses üldse sätestatakse täiendav

regulatsioon säilitamise tähtaegade osas või mitte. Seejuures on oluline märkida, et eelnõust ega

seletuskirjast ei selgu, kas andmekogu kõikide andmete säilitamine maksimaalse tähtaja jooksul

on põhjendatud ja vajalik. Leiame, et seadusest (sh seletuskirjast) peab olema tuletatav

seadusandja kaalumine erinevat tüüpi andmete säilitustähtaegade osas ning tulenevalt sellisest

kaalumisest peab vajadusel seadusest tuleneva volitusnormina andma määrusandjale selgesõnalise

volituse täpsustada teatud andmete säilitustähtaega.

Hetkel kehtiva viisaregistri põhimääruse § 23 kohaselt säilitatakse andmeid andmekogu

infotehnoloogilises osas aktiivselt viis aastat alates:

1) viisa kehtivusaja lõppemisest;

2) pikendatud viibimisaja lõppemisest;

3) taotluse läbi vaatamata jätmise, viisa andmisest keeldumise, viisa tühistamise, viisa kehtetuks

tunnistamise, viibimisaja pikendamisest keeldumise või viibimisaja ennetähtaegse lõpetamise

otsusest või selle vaidlustamise käigus tehtud otsusest.

Kooskõlastustabelis on selgitatud, et kuna viisa maksimaalne kehtivusaeg võib olla viis aastat,

andmeid säilitatakse viisa kehtivusaja lõppemisest arvates viis aastat ja pärast seda andmekogu

arhiiviosas 50 aastat, seega on viisaregistri andmete maksimaalne säilitusaeg kokku 60 aastat.

Viisaregistri põhimääruse § 17 lg 2 kohaselt kantakse andmed andmekogu kaardile viivitamata

pärast andmete saamist ehk nt viisataotluse esitamisel. Sellest tulenevalt on selge, et viisataotluse

läbivaatamise perioodi jooksul andmete andmekogus säilitamine ei mahu maksimaalse andmete

säilitamise tähtaja sisse (andmeid säilitatakse viisa kehtivusaja jooksul viis aastat + pärast viisa

kehtivusaja lõppemist veel viis aastat + arhiivis 50 aastat, üle jääb viisataotluse menetlemine).

Seega võib praktikas tekkida olukord, et isikuandmete säilitamise maksimaalne tähtaeg saabub

varem, kui möödub arhiiviosas andmete hoidmise 50-aastane tähtaeg.

Ühtlasi ei ole jätkuvalt viisaregistri põhimääruses sätestatud, mis saab siis, kui andmete säilitamise

tähtaeg möödub, nt kas andmed kustutakse.

2.2. Välismaalase lühiajalise Eestis töötamise registreerimise andmekogu

Käesoleva arvamuse p-s 2.1 toodud soovitus andmete säilitustähtaja osas kehtib ka välismaalase

lühiajalise Eestis töötamise registreerimise andmekogu andmete säilitamise reguleerimise puhul,

mille kohta on eelnõus samasuguse konstruktsiooniga norm (vt eelnõu § 1 p 37).

2.3. Elamislubade ja töölubade register

Eelnõu § 1 p 67 kohaselt elamislubade ja töölubade registri (ETR) andmeid säilitatakse alaliselt.

Eelnõu seletuskirjas ja kooskõlastustabelis on viidatud sellele, et elamislubade ja töölubade

taotlusdokumendid on Rahvusarhiivi 02.10.2012 hindamisotsuse nr 105 kohaselt alatise

säilitustähtajaga. Tutvudes viidatud hindamisotsusega ning konsulteerides Rahvusarhiiviga on

AKI jõudnud järeldusele, et elamislubade ja töölubade taotlusdokumentidel arhiiviväärtust ei ole

ning nende alatist säilitamist ei saa selle eesmärgiga põhjendada.

3 (3)

Rahvusarhiivi 02.10.2012 hindamisotsuse nr 105 III jaotises on toodud vaid need

dokumendisarjad, mis on saanud arhiiviväärtuse. Välismaalaste isikut tõendavate dokumentide

andmisega seotud kõik dokumendisarjad hindamisotsuses puuduvad, mis tähendab, et need on

hinnatud mittearhiiviväärtuslikuks. Lisaks ei ole elamis- ja töölubade register saanud

arhiiviväärtust Rahvusarhiivi 31.10.2017 hindamisotsusega nr 51 „Riigi infosüsteemi

haldussüsteemis registreeritud andmekogude hulgast arhiiviväärtusega osa

väljaselgitamine.“ Hindamisotsusega saab tutvuda ja arhiiviväärtusega andmekogude nimekirja

vaadata https://www.ra.ee/arhiivihaldus/hindamisotsused/.

Logide säilitamine ei ole ETR-is reguleeritud. Kuna logid sisaldavad isikuandmeid, peab ka nende

säilitamine olema reguleeritud.

Ülaltoodut arvesse võttes palub AKI ETR-i säilitustähtajad hoolikalt üle vaadata tulenevalt

eelkõige andmete säilitamise vajadusest ja eesmärgist ning teha vastavad muudatused eelnõus ja

seletuskirjas. Mida suurem on riive isiku privaatsusele, seda põhjalikumalt tuleb selgitada sellise

andmetöötluse vajalikkust. Tähtajatu andmete säilitamine on suur riive isiku privaatsusele ja

seetõttu ka väga erandlik, mistõttu tuleb selliseid säilitustähtaegu ka erilise hoolikusega

põhjendada.

3. Migratsioonijärelevalve andmekogu põhimäärus

Eelnõu rakendusaktide kohaselt muudetakse Siseministri 22. märtsi 2023. aasta määruse nr 6

„Migratsioonijärelevalve andmekogu põhimäärus“, mille paragrahvi 6 lõiget 1 täiendatakse

punktiga 11 järgmises sõnastuses: „11) foto või näokujutis.“. Migratsioonijärelevalve andmekogu

asutamine, sh andmekogusse kantavate andmete koosseis on reguleeritud VMS §-ga 297¹. Eelnõuga ei plaanita nimetatud paragrahvi ehk kogutavate andmete koosseisu muutmist. AKI

leiab, et migratsioonijärelevalve andmekogu andmete koosseisu muutmine põhimääruse tasemel

ei ole võimalik. Tegemist on isiku biomeetriliste andmetega ehk andmekogusse uue isikuandmete

liigi lisamisega, mille töötlemine peab olema selgesti reguleeritud seaduse tasandil, sh seletuskirjas

tuleb selgitada, mis eesmärgiga nimetatud andmed kogutakse.

Etteruttavalt AKI selgitab, et kui foto või näokujutis on vajalik isiku tuvastamiseks, siis nende

andmete andmekogus 15 aasta jooksul säilitamine ei ole põhjendatud ning need tuleb kustutada

viivitamata pärast isiku tuvastamise või isikusamasuse kontrollimise võrdlusuuringu tegemist.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

peadirektori volitusel

Irina Meldjuk

[email protected]

+372 6274108