Ettepanekud ja ettekirjutused rahvastikuregistri andmetele juurdepääsu korra muutmiseks

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39, 10134 Tallinn Telefon 627 4135

Registrikood 70004235 E-post [email protected] www.aki.ee

Lp Lauri Läänemets

minister

Siseministeerium

[email protected]

Teie 23.10.2023 nr 10-10/39-6

Meie 27.11.2023 nr 2.1.-4/23/1026-2606-5

Ettepanekud ja ettekirjutused rahvastikuregistri andmetele

juurdepääsu korra muutmiseks

Andmekaitse Inspektsioon algatas 31.08.2023 Siseministeeriumi üle järelevalve eesmärgiga

selgitada välja, kas Siseministeerium rahvastikuregistri vastutava töötlejana on rahvastikuregistri

andmetele juurdepääsu õiguste andmisel lähtunud rahvastikuregistri seaduses ja isikuandmete

kaitse üldmääruses kehtestatud nõuetest. Järelevalves kogutud teabe ja sellest tehtud järelduste

alusel teeb inspektsioon Siseministeeriumile rahvastikuregistri andmetele juurdepääsu korra

muutmiseks järgmised ettepanekud ja ettekirjutused.

Siseministeeriumile täitmiseks kohustuslike ettekirjutuste aluseks on Euroopa Parlamendi ja

nõukogu määruse (EL) 2016/679 (isikuandmete kaitse üldmäärus ehk IKÜM) art 58 lg 2 punkt d,

isikuandmete kaitse seaduse § 56 lg 1 ja § 56 lg 2 punkt 8 ning Vabariigi Valitsuse seaduse § 751

lg 3.

Siseministeeriumil anda Andmekaitse Inspektsioonile tagasiside

- hiljemalt 11.12.2023 selle kohta, kas ja kuidas planeeritakse inspektsiooni tehtud

ettekirjutused täita;

- ettekirjutuste täitmise kohta koos täitmist tõendavate ja kirjeldavate dokumentidega

(väljatöötatud korrad, uuendatud taotlusvormid, suletud juurdepääsude arv jm)

ettekirjutuses nimetatud tähtaja järel viie tööpäeva jooksul.

1. Infosüsteemis tehniliste ja korralduslike meetmete rakendamine

IKÜM art 24 lg 1 näeb vastutavale töötlejale ette kohustuse rakendada asjakohaseid tehnilisi ja

korralduslikke meetmeid selleks, et tagada isikuandmete töötlemine kooskõlas isikuandmete

kaitse nõuetega. Tehniliste ja korralduslike meetmete rakendamisel tuleb mh arvesse võtta

isikuandmete töötlemise laadi, ulatust, konteksti ja eesmärke, samuti füüsiliste isikute õigusi ja

vabadusi ähvardavaid erineva tõenäosuse ja suurusega ohte. Lisaks aga tuleb arvestada IKÜM

art-s 25 kirjeldatud lõimitud ja vaikimisi andmekaitsenõuetega.

Rahvastikuregistri andmetele juurdepääsu menetlemise infosüsteem (infosüsteem) on

rahvastikuregistri seaduse1 (RRS) § 48 järgi üheks viisiks, mille kaudu võimaldatakse õigusliku

1 RT I, 06.07.2023, 72

2 (10)

aluse olemasolul taotlejale ligipääs rahvastikuregistri andmetele. Ligipääs andmetele peaks

taotlejale olema infosüsteemis olemas kuni taotleja eesmärgi saavutamiseni. Siseministeeriumi

vastuskirjadest on aga ilmnenud, et infosüsteemi tehnilise võimekuse tõttu puudub selles

funktsionaalsus, mille abil andmetele juurdepääs automaatselt eesmärgi saavutamisel (näiteks

taotleja nimetatud tähtpäeva saabumisel või mingi muu perioodi möödudes) sulguks. Kõik

infosüsteemis taotlejale väljastatud andmed tuleb pärast eesmärgi saavutamist kustutada

infosüsteemis olevate otsuste juurest käsitsi. RRS § 48 lg 4 annab valdkonna eest vastutavale

ministrile volituse kehtestada määrusega andmetele juurdepääsu andmise täpne kord. Sellist

korda kehtestatud ei ole. Samuti puuduvad täpsemad reeglid selles osas, millal väljastatud

andmeid sisaldavaid faile kustutatakse, vastavad reeglid on väljatöötamisel. Siseministeeriumil

puudub ülevaade, kui paljudele taotlejatele on infosüsteemis isikuandmetele juurdepääs hetkel

avatud.

Lisaks sellele nähtuvad andmetele juurdepääsude andmisel ja andmete väljastamisel õigustatud

huvi alusel erisused sõltuvalt sellest, kas andmetele juurdepääs luuakse alla 20 või enamate

andmesubjektide andmetele. Nii väljastatakse üksikute andmesubjektide rahvastikuregistri

andmed inspektsioonile teadaolevalt ka otse haldusaktina, jättes otsusele lisamata eraldiseisev

andmeid sisaldav fail, mida hiljem otsuse juurest kas eesmärgi täitumisel või muul põhjusel

kustutada saaks. Siseministeeriumi selgituste järgi taotleja juurdepääsu oma infosüsteemis

esitatud taotlusele ei piirata, millest tulenevalt on taotlejal üksikute andmesubjektide andmete

taotlemisel, sõltumata eesmärgi saavutamisest, olemas alati ligipääs ka talle otsuse sisuna

väljastatud andmetele.

Lõimitud andmekaitse rakendamise üks kesksemaid aspekte on aga logimine ehk

andmetöötlustoimingutest tuvastatavate jälgede tekitamine ja nende haldamine.

Siseministeeriumi selgituste järgi on infosüsteemis võimalik kindlaks teha, millal isik on

infosüsteemi sisse loginud, sh kui see on toimunud pärast andmefailide lisamist infosüsteemi,

kuid süsteem ei võimalda logida seda, millal on taotleja talle failina väljastatud andmed alla

laadinud. Samas aga on isiku muude tegevuste logimine oluline selleks, et tagantjärele oleks

võimalik kindlaks teha, mida ja millal ta infosüsteemis teinud on. Näiteks isegi kui isik teab, et ta

ei tohi enam talle väljastatud isikuandmeid töödelda, siis logidest peab olema võimalik

tuvastada, kas ta seda sõltumata keelust ikkagi teinud on. Infosüsteemi sisselogimine ei tähenda

automaatselt isikule väljastatud rahvastikuregistri andmete töötlemist ja seega asjaolu, kas isik ka

tegelikkuses on teadlikult peale keeldu infosüsteemis isikuandmeid töödelnud, ei ole võimalik

logide puudumise tõttu hinnata. Isikuandmete vastutav töötleja peab omalt poolt rakendama

vajalikke tehnilisi ja korralduslikke meetmeid selleks, et tagada isikuandmete kaitse nõuete

täitmine, aga ka selleks, et kõikide nõuete täitmist tõendada.

Ettekirjutused:

1.1. Luua selge ja läbimõeldud kord selle kohta, kuidas hallatakse rahvastikuregistri

andmetele juurdepääsude andmist ja juba väljastatud andmetele juurdepääsude

sulgemist. Ettekirjutuse täitmise tähtaeg: 01.03.2024.

1.2. Luua süsteem, et vastutava töötlejana oleks Siseministeeriumil pidev ülevaade, kellele,

millistele andmetele, kui kauaks on juurdepääs andmetele antud ja millal see suletakse.

01.03.2024.

1.3. Sulgeda infosüsteemis kõik rahvastikuregistri andmetele antud juurdepääsud, mille

taotlemise eesmärk on saavutatud. Ettekirjutuse täitmise tähtaeg: 01.02.2024.

1.4. Muuta alla 20 andmesubjekti rahvastikuregistri andmete väljastamise protsessi, et

vajadusel oleks infosüsteemis olevast otsusest endast võimalik isikuandmed eemaldada

eesmärgi saavutamisel või kui näiteks selgub, et andmete väljastamiseks puudus õiguslik

alus. Ettekirjutuse täitmise tähtaeg: 01.02.2024.

3 (10)

Ettepanekud:

1.5. Luua andmete juurdepääsude sulgemiseks automatiseeritud süsteem, et taotleja

nimetatud eesmärgi saavutamisel taotleja ligipääs andmetele automaatselt sulguks.

Alternatiivselt kuni automatiseeritud süsteemi loomiseni luua toimiv pisteliste

kontrollide süsteem andmetele juurdepääsude kehtivuse kontrollimiseks.

1.6. Luua toimiv logimise süsteem, et erinevatest rahvastikuregistri andmetele juurdepääsu

menetlemise infosüsteemis tehtavatest tegevustest jääksid maha logid.

Loetletud ettepanekud ja ettekirjutused peavad kohalduma ka maakonnakeskuse kohaliku

omavalitsuse poolt menetletavatele taotlustele.

2. Õigustatud huvi kui rahvastikuregistri andmetele juurdepääsu võimaldamise alus

RRS § 44 punkti 3 kohaselt on rahvastikuregistris andmetele juurdepääsuõigus füüsilisel ja

juriidilisel isikul õigustatud huvi korral. Siseministeeriumi saadetud kirjast nähtus, et õigustatud

huviga on tegemist eelkõige RRS § 46 lg-s 2 sätestatud olukordadega, kusjuures tegemist ei ole

ammendava loeteluga. Andmetele juurdepääsutaotlusi menetledes kaalub Siseministeerium

vastanduvaid huvisid – taotleja soovi saada teatud põhjustel isikuandmeid (õigustatud huvi) ning

andmesubjekti, kelle andmeid väljastataks, õigust eraelu puutumatusele. Õigustatud huvi

hindamisel juhindutakse muuhulgas inspektsiooni õigustatud huvi juhendist.

Õigustatud huvi isikuandmete töötlemise kontekstis on IKÜM-st tulenev termin, mille kohaselt

on isikuandmete töötlemine lubatav, kui isikuandmete töötleja õigustatud huvi töödelda

andmesubjekti isikuandmeid kaalub üles andmesubjekti huvid või põhiõigused ja -vabadused,

mille nimel isikuandmeid kaitstakse. Õigustatud huvi esinemisel tuleb sellest tulenevalt hinnata

(1) isikuandmete töötleja huvi, (2) andmesubjekti õiguseid ja huve ning (3) kaaluda vastanduvaid

huve.

Siseministeeriumi antud selgitustest ja RRS-i analüüsist ilmneb, et õigustatud huvi mõiste RRS-s

ei ühti selle tähendusega IKÜM-is, sest RRS-s kasutatavale õigustatud huvile on seatud seda

piiritlevad tingimused, mis ei ole aga kooskõlas IKÜM-iga. Nii on RRS § 46 lg-s 2 loetletud,

millal on eelkõige tegemist õigustatud huvi olukordadega. Arusaadavalt ei hõlma see säte kõiki

õigustatud huvi aluseks olevaid juhte, kuid samas juba kolm seaduse tasandil kirjeldatud

eelduslikku olukorda seavad tingimused, millal õigustatud huvi võiks jaatada, jättes tegelikkuses

teostamata vajaliku kaalumistesti. Näiteks kui taotleja tugineb rahvastikuregistrist andmete

taotlemisel õigustatud huvina andmete teaduslikul eesmärgil kasutamisele, siis menetleja justkui

ongi kohustatud taotlejale andmed väljastama, kui RRS § 46 lg 2 p-s 3 nimetatud eeldus –

andmeid soovitakse kasutada teaduslikul eesmärgil – on täidetud ja kui see ei riku

andmesubjektide eraelu puutumatust. Seejuures jääb aga vähemalt seadust tõlgendades

teostamata vajalik kaalumistest, mida IKÜM art 6 lg 1 punkt f eeldab, sest tulemus on

kaalumisetagi ettenähtav.

Lisaks sellele ongi õigustatud huvi kontekstis RRS § 51 lg-s 3 öeldud, et andmetele juurdepääs

on lubatud ainult juhul, kui see ei riku eraelu puutumatust ega tekita ohtu riigi julgeolekule.

Tegemist on samuti õigustatud huvi kaalumistesti kitsendava tingimusega, kus andmesubjektide

huvi ja õigusena kaalutakse üksnes eraelu puutumatust, jättes arvestamata muud andmesubjekti

huvid, põhiõigused ja -vabadused. IKÜM põhjenduspunkti 4 kohaselt tunnustatakse

isikuandmete töötlemisel kõiki põhiõigusi ja nii Euroopa Liidu aluslepingutest kui ka

põhiõiguste hartast tulenevaid põhimõtteid, eelkõige õigust era- ja perekonnaelu, kodu ja

edastatavate sõnumite saladuse austamisele, isikuandmete kaitset, mõtte-, südametunnistuse- ja

usuvabadust, sõna- ja teabevabadust, ettevõtlusvabadust, õigust tõhusale õiguskaitsevahendile ja

õiglasele kohtulikule arutamisele ning kultuurilisele, usulisele ja keelelisele mitmekesisusele.

RRS § 51 lg 3 alusel õigustatud huvi hinnates jääksid seega mitmed olulised põhiõigused

andmesubjektide huvide kaalumist teostades arvestamata ja see pole IKÜM-iga kooskõlas.

4 (10)

IKÜM-i põhjenduspunktis 10 selgitatakse, et füüsiliste isikute õiguste ja vabaduste kaitse

isikuandmete töötlemisel peab olema kõigis liikmesriikides samal tasemel selleks, et tagada

füüsiliste isikute järjekindel ja kõrgetasemeline kaitse ning kõrvaldada takistused isikuandmete

liikumisel liidus. See küll ei takista liikmesriikidel teatud juhtudel oma täiendavaid õigusnorme

kehtestamast, kuid seda vaid valdkondades, mis vajavad spetsiifilisemaid sätteid. Eelkõige

peetakse selle all silmas konkreetsete töötlemisjuhtude asjaolude määratlemist, mille alusel

isikuandmete töötlemine seaduslik oleks. IKÜM art 6 lg 1 punkt f ei peaks aga olema säte, mida

siseriiklikult kuidagi kitsendataks või millele seataks täiendavaid tingimusi.

Euroopa Kohus on leidnud, et mis tahes siseriiklikud õigusnormid, mis kehtestavad täiendavaid

nõudeid õigustatud huvi kriteeriumitele, on vastuolus õigustatud huvi olemusega. Kohus selgitas,

et liikmesriikidel ei ole keelatud kehtestada suuniseid kaalutlusruumi teostamiseks tingimuste

kohta, mille puhul isikuandmete töötlemine on seaduslik, kuid sellised normid, mis näevad ette

vastanduvate õiguste ja huvide kaalumise lõpliku tulemuse, ei ole enam suuniste ega

kaalutlusõiguse teostamise täpsustused.2

Eelnevast tuleneb, et RRS-s kasutatav õigustatud huvi regulatsioon ja sisu ei lange üheselt kokku

IKÜM art 6 lg 1 punktis f nimetatud õigustatud huvi tähendusega, kuivõrd RRS-i sätted seavad

õigustatud huvile kitsendavaid tingimusi. See aga tekitab segadust ja ei taga piisaval tasemel

kaitset andmesubjektidele.

Ettepanekud:

2.1. Lähtuda rahvastikuregistri andmetele juurdepääsude haldamisel õigustatud huvi

sisustamisel eelkõige IKÜM art 6 lg 1 punktist f, hinnates igakordselt, kas isikuandmete

töötleja õigustatud huvi töödelda andmesubjekti isikuandmeid kaalub üles

andmesubjekti huvid või põhiõigused ja -vabadused, mille nimel isikuandmeid

kaitstakse.

2.2. Viia RRS-s õigustatud huvi sätted (esmajoones § 46 lg 2 ja § 51 lg 3) kooskõlla IKÜM

art 6 lg 1 punktiga f, eemaldades RRS-st õigustatud huvi kitsendavad tingimused.

3. Õigustatud huvile tuginemine

IKÜM art 6 lg 1 punkti f tähenduses saab õigustatud huvile tugineda see isik, kes soovib seda

alust isikuandmete töötlemiseks kasutada ehk rahvastikuregistri puhul isik, kes soovib saada

rahvastikuregistri isikuandmetele juurdepääsu. Korrektseks ei saa pidada olukorda, kus

Siseministeerium hindab taotleja õigustatud huvi olemasolu, jättes eelnevalt taotlejalt küsimata,

milles taotleja õigustatud huvi üldse seisneb. Selleks, et menetleja saaks õigustatud huvi

olemasolu hinnata, peab taotleja sellele tuginema ja oma huvi olemasolu põhjendama. Samas aga

ei ole infosüsteemi taotlusvormil antud küsimust sisaldavat välja ja taotlejal ei ole oma huvi

võimalik kuskil eraldiseisvalt välja tuua ega põhjendada. Kuigi taotlusvormis küsitakse taotlejalt

taotletavate andmete kasutamise eesmärki ja viisi, siis ei kata see täielikult õigustatud huvi

põhjendatust ära. Andmete kasutamise eesmärk selgitab seda, milline on taotleja huvi andmeid

saada, kuid jätab täielikult katmata selgituse, millised on andmesubjekti huvid ja õigused ning

kuidas taotleja huvi need üles kaalub. Inspektsioonile saadetud vastuskirjas oli selgitatud, et

menetleja küsib vajadusel taotlejalt seda, kuidas andmete töötlemine kaalub üles andmesubjekti

õigused, kuid see pole jätkusuutlik lahendus, kuivõrd sõltub paljuski sellest, kas menetleja tuleb

selle peale, et taotlejalt lisainfot küsida või mitte.

2 EK liidetud kohtuasjad C-468/10 ja C-469/10, mis käsitlesid küll enne IKÜM-it kehtinud direktiivi 95/46/EÜ art 7

punkti f tõlgendamist, kuid antud sättes oli õigustatud huvi defineerinud IKÜM-iga samaväärselt. Lisaks käsitletakse

IKÜM art 94 kohaselt viiteid kehtetuks tunnistatud direktiivile 95/46/EÜ viidetena IKÜM-ile.

5 (10)

Sellest tulenevalt leiab inspektsioon, et kui taotleja tugineb õigustatud huvile, siis peab selle huvi

olemasolu põhjendama taotleja ise. Andmetele juurdepääsuõiguse andmist menetlev isik ei saa

ise mõelda juurde asjaolusid, mida taotluses kirjas pole.

Ettekirjutus:

3.1. Lisada rahvastikuregistri andmetele juurdepääsu menetlemise infosüsteemis õigustatud

huvi taotlusvormile väli, kus taotleja peab selgitama oma õigustatud huvi olemasolu,

selle põhjendatust, andmesubjektide õiguseid ja huve ning seda, kuidas taotleja

õigustatud huvi kaalub üles andmesubjekti(de) huvi(d). Ettekirjutuse täitmise tähtaeg:

01.03.2024.

4. Avaliku ülesande täitmine rahvastikuregistri andmete juurdepääsu alusena

Rahvastikuregistri andmetele juurdepääsu õigus on ka riigi- ja kohaliku omavalitsuse asutusel

ning juriidilisel või füüsilisel isikul avaliku ülesande täitmiseks (RRS § 44 punkt 2). Tegemist on

Siseministeeriumi kirjeldusel alusega, mille korral on avalik ülesanne antud õigusaktiga

täitmiseks vastavale asutusele või isikule, kusjuures kui avalik ülesanne antakse üle mõnele

eraõiguslikule isikule täitmiseks, siis on sellele omad nõuded, näiteks võib avaliku ülesande

täitmine olla üle antud halduslepinguga.

Inspektsioon peab problemaatiliseks olukorda, kus andmetele juurdepääsu taotlemise

menetlemisel kasutatakse segamini avaliku ülesande täitmise ja õigustatud huvi aluseid.

Siseministeeriumi vastuskirjast ilmnes, et kui kolmas isik taotleb rahvastikuregistri andmetele

juurdepääsu avaliku ülesande täitjale teenuse osutamise lepingu alusel, siis ei looda andmetele

juurdepääsu mitte avaliku ülesande täitmise, vaid taotleja õigustatud huvi alusel. Näiteks on

Siseministeeriumi hinnangul õigustatud huviga tegemist olukorras, kus andmetele ligipääsu

taotlejaks on uuringut läbiviiv eraõiguslik juriidiline isik, kes teeb seda teenuse osutamise

lepingu alusel ülikooli kui avalik-õigusliku asutuse heaks.

Isikuandmete töötlemise kontekstis tuleb silmas pidada, et kui vastutav töötleja kasutab enda

nimel isikuandmete töötlemiseks volitatud töötlejat, siis toimub isikuandmete töötlemine

vastutava töötleja nimel ja tema seatud eesmärkidel (IKÜM art 28). See tähendab seda, et kui

vastutav töötleja soovib isikuandmeid töödelda avalikes huvides oleva ülesande täitmiseks

(IKÜM art 6 lg 1 punkt e ja RRS § 44 punkt 2), siis volitatud töötleja ei saa sellest õiguslikust

alusest kõrvale kalduda. Volitatud töötleja peab IKÜM art 28 lg 3 punkti a järgi juhinduma

vastutava töötleja dokumenteeritud juhistest, sh ka töötlemisele kohalduvast õiguslikust alusest.

Kui volitatud töötleja kalduks kõrvale vastutava töötleja juhistest ja määraks ise, millisel

õiguslikul alusel ja mis eesmärgil ta isikuandmeid kavatseb töödelda, muutub volitatud töötleja

IKÜM art 28 lg 10 alusel ise vastutavaks töötlejaks. Sellist kõrvalekallet, kus volitatud töötlejale

kohaldub isikuandmete töötlemiseks muu kui vastutatava töötleja poolt ette antud õiguslik alus ja

eesmärk, ei saa ette näha ka siseriikliku õigusega.

Eelneva näite puhul, kus eraõiguslik juriidiline isik viib avalik-õigusliku ülikooliga sõlmitud

teenuse osutamise lepingu alusel läbi uuringu, on isikuandmete töötlemise kontekstis tegemist

tõenäoliselt vastutava-volitatud töötleja suhtega. Teaduse edendamine, mille hulka kuulub ka

teadusuuringute läbiviimine, on teadusasutuse (vastutava töötleja) avalikes huvides olevaks

ülesandeks ja nii peaks eelkõige ka antud tegevuse jaoks andmete taotlemise aluseks olema

avaliku ülesande täitmine, sõltumata sellest, et uuringu läbiviimisel kasutatakse volitatud

töötlejat. Volitatud töötleja ei saa vastutava töötleja juhistest kõrvale kalduda ega asuda

isikuandmeid töötlema oma õigustatud huvi alusel.

Täiendavalt tuleb arvesse võtta seda, et isikuandmete töötlemise alusena ei saa kohaldada

õigustatud huvi, kui isikuandmeid töötleb avaliku sektori asutus oma ülesannete täitmisel (IKÜM

art 6 lg 1) ja seda ka juhul, kui avalik sektor kasutab isikuandmete töötlemiseks volitatud

6 (10)

töötlejat. IKÜMi põhjenduspunktis 47 on täpsustatud, et avaliku sektori asutuste jaoks peab

isikuandmete töötlemise õigusliku aluse kehtestama seadusandja õigusaktiga.

Eelnevast tulenevalt on isikuandmete töötlemisel (sh rahvastikuregistri andmetele juurdepääsu

võimaldamisel) oluline eristada, kas isikuandmeid töödeldakse avaliku ülesande täitmiseks või

õigustatud huvi alusel. Lubatav ei ole nende aluste üheaegne kasutamine või vastutava-volitatud

suhte puhul vastutatava töötleja antud juhistest kõrvale kaldumine. Nii olekski kõige selgem

lahendus see, kui rahvastikuregistri andmetele juurdepääsu taotleb ja saab uuringute läbiviimise

kontekstis eelkõige töö tellijana ja vastutava töötlejana avaliku ülesande täitja ise, kellele

konkreetne ülesanne seadusest tulenevalt ettenähtud on. Selliselt jäävad ära segadust tekitavad

olukorrad, kus andmeid on vaja justkui avaliku ülesande täitmiseks, kuid tegelikkuses hakatakse

hindama hoopis taotleja õigustatud huvi esinemist.

Kui aga siiski lubada rahvastikuregistri andmetele juurdepääsu taotlemist kolmandale isikule

volitatud töötlejana avaliku ülesande täitja nimel, siis tuleks selles protsessis juurde tekitada

täiendavad kontrollimehhanismid, et veenduda, kas avaliku ülesande täitja on volitatud töötlejale

selleks kirjalikud juhised andnud. Näiteks võib luua meetmed, kus avaliku ülesande täitja peab

samuti infosüsteemis andma kinnituse taotluse õigsusest või peab vastutava ja volitatud töötleja

kokkulepe lisaks taotluses esitatud lepingule leiduma ka avaliku ülesande täitja avalikust

dokumendiregistrist või muust avalikust veebikeskkonnast (riigihangete registrist).

Inspektsioon märgib veel, et kui rahvastikuregistri andmetele soovib juurdepääsu avaliku

ülesande täitja, siis peaks ka sellisel juhul taotleja põhjendama taotluses oma konkreetset

avalikku ülesannet, sh seda, millisest konkreetsest seadusesättest tuleb avaliku ülesande täitjale

isikuandmete saamise õiguslik alus ja millisel eesmärgil, mis ülesande täitmiseks

rahvastikuregistrist isikuandmeid taotletakse.

Ettekirjutused:

4.1. Luua kord, mille kohaselt peab rahvastikuregistrist andmetele juurdepääsu taotlema

eelkõige isikuandmete vastutava töötlejana avaliku ülesande täitja. Kui lubada siiski

andmetele juurdepääsu taotlemist ka volitatud töötlejale avaliku ülesande täitjaga

sõlmitud teenuse osutamise lepingu alusel, siis võtta seejuures kasutusele täiendavad

meetmed, et veenduda vastutava töötleja antud juhistes, näiteks avaliku ülesande täitjalt

infosüsteemis kinnituse küsimine või lisaks kokkulepetele/lepingule volitatud töötlejaga

sõlmitud konkreetse dokumendiviite olemasolu nõudmine avalikus dokumendiregistris.

Ettekirjutuse täitmise tähtaeg: 01.03.2024.

4.2. Lähtuda rahvastikuregistri andmetele juurdepääsude võimaldamisel vastutava ja

volitatud töötleja suhte puhul vastutavale töötlejale kohalduvast õiguslikust alusest.

Ettekirjutuse täitmise tähtaeg: 01.02.2024.

4.3. Lisada rahvastikuregistri andmetele juurdepääsu menetlemise infosüsteemis avaliku

ülesande täitmise taotlusvormile väli, kus taotleja peab välja tooma õigusaktist tuleneva

konkreetse avaliku ülesande, mille täitmiseks ta isikuandmeid soovib saada.

Ettekirjutuse täitmise tähtaeg: 01.03.2024.

5. Andmetele juurdepääsu hindamisel uuringuga seotud teabe küsimine

Uuringu eesmärgil rahvastikuregistri andmetele juurdepääsu taotlejalt ei küsita infosüsteemi

taotlusvormis uuringuga seotud teavet. Teisalt on uuringute läbiviimisele seatud täiendavad

eeldused, mille täidetust tuleb kontrollida.

Esmajoones on uuringu eesmärgi puhul oluline veenduda, millisel õiguslikul alusel kavatsetakse

uuringut läbi viia. Eristada tuleb seega rahvastikuregistri andmetele juurdepääsu andmise ja

uuringu läbiviimise õiguslike aluste olemasolu. Asjaolu, et taotlejal on õiguslik alus

rahvastikuregistri andmetele juurdepääsu saamiseks, ei tähenda automaatselt, et õiguslik alus on

7 (10)

olemas ka uuringu läbiviimiseks. Kui uuringus isikuandmete töötlemiseks puudub õiguslik alus,

siis langeb ära ka rahvastikuregistrist andmete saamise vajadus.

Täiendavalt on uuringu läbiviimise eelduseks eetikakomitee või Andmekaitse Inspektsiooni

kooskõlastuse olemasolu, kui teadusuuringus töödeldakse eriliiki isikuandmeid (isikuandmete

kaitse seaduse § 6 lg 4). Samamoodi peab uuringu läbiviijal olema Andmekaitse Inspektsiooni

kooskõlastus poliitika kujundamise eesmärgil tehtava uuringu puhul (isikuandmete kaitse

seaduse § 6 lg 5). Siseministeeriumi vastuse kohaselt eetikakomitee loa olemasolu taotlejalt

küsitakse, kui rahvastikuregistrist küsitakse juurdepääsu eriliiki andmetele, kuid sarnaselt võiks

seda küsida ka juhul, kui eriliiki andmeid kavatsetakse töödelda uuringus endas (eeldab

kavandatava uuringu plaani või sisuga tutvumist). Kui uuringu läbiviimiseks puudub

eetikakomitee või inspektsiooni kooskõlastus, siis on jäetud järgimata seadusega esitatud nõuded

ja taotleja ei peaks rahvastikuregistri andmetele juurdepääsu saama.

Siseministeeriumi selgitustest on ilmnenud, et taotlejalt täiendava info küsimise kohustus lasub

taotluse menetlejal. Uuringu õigusliku aluse olemasolu või vajalike kooskõlastuste olemasolu

küsimine ei peaks aga jääma menetleja igakordseks omaalgatuslikuks ülesandeks, vaid selleks, et

tagada iga taotlusega ühetaolise ja tervikliku info esitamine, peaks sellist teavet küsima taotlejalt

juba taotluse täitmise etapis vastavate taotlusvormil sisalduvate väljade abil. Kogu vajaliku teabe

korraga saamine lihtsustab ka taotluse menetleja tööd ja võimaldab keskenduda korraga

kõikidele taotluse aluseks olevatele asjaoludele.

Ettekirjutus:

5.1. Täiendada rahvastikuregistri andmetele juurdepääsu menetlemise infosüsteemis

taotlusvorme järgnevaga:

5.1.1. lisada uuringu eesmärki ja õiguslikku alust küsivad väljad,

5.1.2. lisada väljad selle kohta, kas olemas on uuringus eriliiki isikuandmete töötlemisel

eetikakomitee ja/või Andmekaitse Inspektsiooni kooskõlastus ning

poliitikakujundamise eesmärgil tehtava uuringu puhul Andmekaitse Inspektsiooni

kooskõlastus;

5.1.3. küsida eelnevas punktis nimetatud kooskõlastuste lisamist failina.

Ettekirjutuse täitmise tähtaeg: 01.03.2024.

6. Rahvastikuregistri andmetele juurdepääsupiirangu kehtestamine

Kui andmeid soovitakse rahvastikuregistrist saada uuringute või reklaami eesmärgil, näeb RRS §

57 lg 1 ette oma isikuandmetele ja nendega seotud andmetele juurdepääsupiirangu seadmise

võimaluse. Siseministeeriumi selgitustest nähtus, et kui isik on kehtestanud neile andmetele

juurdepääsupiirangu, siis õigustatud huvi alusel ei väljastata andmesubjekti elu- ja viibimiskoha

andmeid uuringuteks ja reklaamiks. Piirang ei kehti, kui andmeid soovitakse saada avaliku

ülesande täitmiseks (RRS § 57 lg 3). Välja oli aga toodud ka see, et uuringute puhul ei ole lisa-

aadressi ja kontaktandmete väljastamine uuringute eesmärgil lubatud, välja arvatud juhul, kui

õigustatud huvi aluseks on teenuse osutamine avaliku ülesande täitjale (RRS § 51 lg 5 p 4, RRS

§ 58 lg 3 p 2).

Inspektsiooni hinnangul on juurdepääsupiirangu sõnavalik RRS kontekstis ebaõnnestunud,

kuivõrd tegemist on avaliku teabe seaduse keskse terminiga – andmed, mis pole seaduse alusel

mõeldud olema avalikud, on mõeldud asutusesiseseks kasutamiseks ja sellistele andmetele tuleb

kehtestada juurdepääsupiirang. RRS ja isikuandmete kaitse vaatest tuleks juurdepääsupiirangut

pidada pigem andmesubjektile antavaks täiendavaks kaitsemeetmeks. Nii võiks selle sobilikum

nimetus olla näiteks andmete väljastamise keeld.

IKÜM art 5 lg 1 punkt a näeb ette, et isikuandmete töötlemine peab olema andmesubjektile

läbipaistev. Läbipaistvuse põhimõte eeldab, et isikuandmete töötlemisega seotud teave ja

8 (10)

sõnumid on lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud (IKÜM

põhjenduspunkt 39). Avaliku ülesande täitmise ja õigustatud huvi piiritlemise ja sellest tulenev

läbipaistvuse küsimus tõstatub ka juurdepääsupiirangute puhul.

IKÜM põhjenduspunkti 47 kohaselt tuleb õigustatud huvi olemasolu hoolikalt hinnata,

sealhulgas seda, kas andmesubjekt võib andmete kogumise ajal ja kontekstis mõistlikkuse piires

eeldada, et isikuandmeid võidakse sellel otstarbel töödelda. Kui inimene on seadnud oma

isikuandmetele juurdepääsupiirangu, siis sellest olenemata võib mõistlikult eeldada, et riik

avaliku ülesande täitmisel võib rahvastikuregistris olevaid andmeid oma ülesande täitmiseks

kasutada. Ettenähtav võiks olla ka see, kui avaliku ülesande täitja kasutab näiteks seadusest

tuleneva uuringute läbiviimise ülesande täitmiseks volitatud töötlejat ja selle jaoks luuakse

rahvastikuregistri andmetele juurdepääs volitatud töötlejale avaliku ülesande täitjaga sõlmitud

teenuse osutamise (ja vastutatud-volitatud töötleja) lepingu alusel. Inspektsioon ei pea aga

aktsepteeritavaks ega ettenähtavaks olukorda, kus andmesubjektide kontaktandmetele

juurdepääsu soovib avaliku ülesande täitja teenuse osutamise lepingu alusel, kuid samas

hakatakse sel puhul hindama teenuse osutaja õigustatud huvi (RRS § 58 lg 3 p 2). Avaliku

ülesande täitmist ja õigustatud huvi isikuandmete töötlemise ja juurdepääsupiirangute kehtivuse

hindamisel ei tohi üheaegselt kasutada (vt ka 4. punkti).

Segadust tekitav ja läbipaistmatu on rahvastikuregistris (rahvastikuregister.ee) andmetele

juurdepääsu piiramise lehel inimesele kuvatav järgnev selgitus: „Juurdepääsupiiranguga on

isikul võimalus piirata rahvastikuregistrisse kantud elu- ja viibimiskoha aadresside väljastamist

eraettevõtetele reklaami saatmiseks või uuringutes osalemiseks. /…/ Piirangut saab seada

isikutele ja väljastamise eesmärkidele (reklaam ja/või uuring) ning tähtajatult või määrates

lõpukuupäeva. /…/“. Selgituses ei viidata kuidagi sellele, et sõltumata juurdepääsupiirangu

seadmisest väljastatakse inimese andmed õigustatud huvi alusel avaliku ülesande täitjale teenuse

osutamise lepingu alusel ehk mh ka eraõiguslikule juriidilisele isikule. See on läbipaistmatu ja

eksitav, kuivõrd juurdepääsupiirangut seades tekib inimesel kaldkirjas olevat kirja lugedes

vastupidine arusaam.

Sellest tulenevalt tuleks üheselt, võttes mh arvesse eespool kirjeldatud õigustatud huvi ja avaliku

ülesande täitmise piiritlemise nüansse, tagada juurdepääsupiirangute läbipaistvus ja selgus.

Juurdepääsupiirangu seadmise võimalus RRS § 57 lg 1 kehtivas tähenduses ei ole läbipaistev,

pole selge, mis see tegelikult on ja mille kaitseks see mõeldud on. Lubatavad ei saa olla sellised

võimalused, kus mingid ligipääsud eraõiguslikele isikutele õigustatud huvi alusel siiski jäävad,

sõltumata sellest, et inimene on oma kontaktandmetele uuringute eesmärgil juurdepääsu

piiranud. Kui andmesubjektile on antud kontroll oma andmete kasutamise üle, siis ei tohi see olla

näilik. RRS-s olev juurdepääsupiirangu regulatsioon ja sellest lähtuvad selgitused

rahvastikuregistri lehel tuleb viia vastavusse IKÜM-iga.

Ettekirjutus:

6.1. Kuni RRS-i regulatsioonis ei ole tehtud muudatusi, lisada e-rahvastikuregistri

iseteenindusportaalis (rahvastikuregister.ee) juurdepääsupiirangute haldamise lehele

läbipaistvad ja arusaadavad selgitused juurdepääsupiirangute kehtivuse kohta, sh tuua

välja selgitused, millal juurdepääsupiirang ei kehti. Ettekirjutuse täitmise tähtaeg:

01.02.2024.

Ettepanek:

6.2. Muuta RRS-s juurdepääsupiirangute regulatsiooni, et tagatud oleks läbipaistvus ja et

oleks üheselt eristatav rahvastikuregistri andmete juurdepääsude piiramisel piirangute

kehtivus avaliku ülesande täitjale (sh teenuse osutamise lepingu alusel) ja õigustatud

huvi alusel andmetele juurdepääsu soovijatele.

9 (10)

7. Isikuandmete töötlemise läbipaistvus rahvastikuregistri andmetele juurdepääsude

andmisel

Eelmise punktiga seondub laiem läbipaistvuse küsimus rahvastikuregistrist andmetele

juurdepääsu andmisel. IKÜM art 12 lg 1 kohaselt peab vastutav töötleja võtma asjakohaseid

meetmeid, et esitada andmesubjektile tema isikuandmete töötlemisega seotud asjakohane teave

kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis. Käesoleval juhul ei ole

aga andmesubjektil kuidagi teada ega ettenähtav, et tema andmeid rahvastikuregistrist kellelegi

uuringute eesmärgil väljastatakse, kuivõrd sellest ei jää kuskile maha märget. Sellega on

raskendatud andmesubjekti isikuandmete töötlemisega seotud õiguste – andmesubjekti õigus

tutvuda andmetega (IKÜM art 15), andmete parandamise õiguse (IKÜM art 16), isikuandmete

töötlemise piiramise (IKÜM art 18) ja vastuväite esitamise õiguse (IKÜM art 21) –

realiseerimine.

Vajalik on luua andmesubjektidele võimalused oma isikuandmete töötlemisega seotud õiguste

realiseerimiseks. Selle eelduseks on teadmine, et andmesubjekti isikuandmeid on töödeldud. Nii

on avalikule sektorile isikuandmete töötlemisega seotud teabe edastamiseks loodud eelkõige

võimalus kasutada andmejälgijat. Kuigi Siseministeeriumi selgitustest nähtus, et viimase kuue

kuu isikuandmete töötlemise infot saab isik näha andmejälgija teenuses, siis vähemalt

inspektsioonile teadaolevalt uuringute kontekstis väljastatud andmete puhul sellist jälge

andmejälgijasse ei jää.

Ettepanek:

7.1. Võtta uuringute kontekstis kasutusele andmejälgija teenus rahvastikuregistri andmetele

juurdepääsude haldamisel, et andmesubjektidel oleks selle kaudu võimalik tutvuda,

kellele, millal, miks on andmetele juurdepääs antud.

8. Andmetele juurdepääsu andmise otsuste avalikustamine

RRS § 50 lg 1 kohaselt otsustatakse rahvastikuregistri andmetele juurdepääsu võimaldamine

haldusaktiga. RRS § 7 järgi ei pea haldusorgan registreerima asutuse dokumendiregistris RRS-s

ettenähtud haldusmenetluse käigus saadud või loodud dokumenti, mis on registreeritud

rahvastikuregistris. Seletuskirja kohaselt on antud sätte eesmärk vältida topelt dokumendihaldust

– kui menetlusdokument on registreeritud juba rahvastikuregistri menetlustarkvara vahendusel,

ei ole asutuse dokumendihaldussüsteemis vaja vastavat dokumenti enam registreerida.3

Inspektsioonil ei õnnestunud infosüsteemist ega Siseministeeriumi dokumendiregistrist leida

haldusakte, millega otsustatakse rahvastikuregistri andmetele juurdepääsu võimaldamine või

selle lõpetamine. Infosüsteemis otsingu teostamine eeldab sisse logimist isikut autentival viisil.

Isegi kui infosüsteemi sisse logida, siis rahvastikuregistri andmetele juurdepääsu andmise või

lõpetamise hiljutisi haldusakte ei ole võimalik leida, kuivõrd otsingu tulemusena kuvatakse

üksikuid haldusakte peamiselt aastast 2021. Juhul kui haldusaktid peaksid siiski infosüsteemis

leitavad olema, siis inimese autentimise nõudmine ja otsingutulemuste kuvamine viisil, kus ei

ole võimalik filtreerida ega leida kõige värskemaid haldusakte, teeb vastava teabega tutvumise

keeruliseks.

RRS § 7 mõttest ilmneb, et topelt dokumendihaldust pidama ei pea, kuid selle sätte mõte ei

peaks olema see, et ühtegi haldusakti seoses rahvastikuregistri tegevusega ei avalikustata.

Haldusaktid peaksid avaliku teabe seaduse tähenduses olema avalik teave, mis on saadud või

loodud seaduses või selle alusel antud õigusaktides sätestatud avalikke ülesandeid täites.

Avalikule teabele võib küll juurdepääsu seaduses sätestatud korras piirata, samuti on mõistetav

3 Rahvastikuregistri seadus 382 SE seletuskiri, lk 9, leitav

https://www.riigikogu.ee/tegevus/eelnoud/eelnou/d3beed6e-7b7b-4e39-af91-1e2ad5ecd73c/rahvastikuregistri-

seadus.

10 (10)

topelt dokumendihalduse süsteemi vältimise soov, kuid see ei peaks tähendama, et selliste

haldusaktide olemasolu üldse ei avalikustada. Avalik teave on mõeldud teenima ühiskonna huve

ja selleks peab inimestel olema võimalik tutvuda asutuse tegevusega mh ka dokumendiregistri

vahendusel. Nii ei ole asjakohane infosüsteemis otsingu tegemisel inimese autentimise

nõudmine. Haldusaktide avalikustamine, otsingu teostamine ja selle tulemuste kuvamine peab

muutuma selliseks, et võimalik oleks läbipaistval ja mõistlikul viisil saada aimu avaliku asutuse

tegevusest.

Ettepanek:

8.1. Tagada lihtne ja läbipaistev viis rahvastikuregistri andmetele juurdepääsude andmise ja

sulgemisega seotud haldusaktide leidmiseks ja tutvumiseks. Eemaldada

rahvastikuregistri andmetele juurdepääsu menetlemise infosüsteemist otsingu teostamise

eeldusena sisselogimise nõudmine ja teha kõik rahvastikuregistri andmetele

juurdepääsuga seotud haldusaktid lihtsasti leitavaks. Alternatiivselt avalikustada

haldusaktid asutuse dokumendiregistris.

Kokkuvõte

Andmekaitse Inspektsioon on järelevalve tulemusel teinud Siseministeeriumile rahvastikuregistri

andmetele juurdepääsu korra muutmiseks soovituslikud ettepanekud ja täimiseks kohustuslikud

ettekirjutused.

Siseministeeriumil anda Andmekaitse Inspektsioonile tagasiside

- hiljemalt 11.12.2023 selle kohta, kas ja kuidas planeeritakse inspektsiooni tehtud

ettekirjutused täita;

- ettekirjutuste täitmise kohta koos täitmist tõendavate ja kirjeldavate dokumentidega

(väljatöötatud korrad, uuendatud taotlusvormid, suletud juurdepääsude arv jm)

ettekirjutuses nimetatud tähtaja järel viie tööpäeva jooksul.

Haldusmenetluse seaduse § 40 lõike 1 kohaselt on Teil õigus esitada Andmekaitse

Inspektsioonile asja kohta ka oma arvamus ja vastuväited.

Kui riigiasutusest isikuandmete töötleja ei täida Andmekaitse Inspektsiooni ettekirjutusi,

pöördub inspektsioon isikuandmete kaitse seaduse § 59 lg 3 alusel protestiga halduskohtusse.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor