Arvamuse avaldamine eelnõule (krediiditeabe jagamise seadus)

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235

Rahandusministeerium Teie 28.02.2025 nr 1.1-10.1/1071-1 Meie 13.03.2025 nr 2.3-4/25/2979-4

Arvamuse avaldamine eelnõule (krediiditeabe jagamise seadus)

Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks krediiditeabe

jagamise seaduse eelnõu. Meil on esitatud eelnõu osas järgmised tähelepanekud.

Eelnõu § 7 lg 1 p 2 kohaselt krediiditeaberegistrisse kantakse krediiditeabe andja üldandmed –

nimetus, registrikood või isikukood ja krediiditeabe andja asukohariigi kahetäheline maakood.

Krediiditeabe andjaks võib olla ka füüsiline isik, mistõttu on isikukoodi kandmine põhjendatud.

Säte ei sisalda aga füüsilisest isikust krediiditeabeandja ees- ja perekonnanime. Kui seadusandja

sooviks on kanda registrisse ka füüsilisest isikust krediiditeabe andja ees- ja perekonnanimi, siis

tasub sätte sõnastuse täiendada vastava isikuandmete liigiga. Igal juhul täiendamist vajab ka selle

sätte kohta käiv seletus seletuskirjas, mille praegune sõnastus räägib ainult juriidilise isiku

andmetest (vt seletuskirja lk 32).

Eelnõu § 7 lg 5 loetleb küsimusi, mida peab reguleerima põhimääruses. AKI on seisukohal, et

lisaks toodud loetelule põhimääruses peaks reguleerima vastutava töötleja ja volitatud töötleja

ülesannete (vastutuse) jaotus vähemalt osas, mis puudutab andmesubjektide teavitamist ja nende

pöördumiste lahendamist. Peab olema arusaadav, kes vastutab andmesubjektide teavitamise eest,

kelle poole tuleb andmesubjektil pöörduda oma IKÜM-st tulenevate õiguste realiseerimiseks ning

kes ja kuidas nendele pöördumistele vastab.

Eelnõu § 8 lg 2 sõnastus ei ole piisavalt selge. Arusaamatuks jääb, millised konkreetsed andmed

peab krediiditeabe andja esitama krediidilepingu lõppemisel või nõude omandamisel kolmanda

isiku poolt, st mida peetakse silmas „nimetatud teabe“ all. Seletuskirjast ka täpsemat vastust ei

leidu, kuna jätkuvalt on selgusetu, millised andmed on antud juhul asjakohased. Registrisse saab

kanda ainult eelnõu § 7 lg-s 1 nimetatud andmed (tegemist on ammendava loeteluga). Toodud

nimekirjast sobiksid loogika järgi ainult § 7 lg 1 p-s 14 nimetatud andmed ehk

tarbijakrediidilepingust tuleneva nõude kolmanda isiku poolt omandamise fakt ning eelnõu § 7 lg

1 p-s 5 nimetatud lepingu lõppemise tähtpäev. Õigusselguse huvides peaks vähemalt seletuskirjas

täpsustama, millised konkreetsed andmed peab esitama, et tagada ajakohaste andmete olemasolu

registris.

Eelnõu § 10 lg 1 p 2 sätestab, et registripidajal on kohustus võimaldada juurdepääs

krediiditeaberegistris sisalduvatele andmetele tarbijale ja käendajale enda kohta ehk tegemist on

sisuliselt andmesubjekti õigusega saada vastutavalt töötlejalt teavet enda isikuandmete töötlemise

kohta, mis tuleneb isikuandmete kaitse üldmääruse (IKÜM) art-st 15. AKI pöörab tähelepanu, et

krediiditeaberegistris võivad sisalduda ka teiste füüsiliste isikute andmed (eelnõu § 7 lg 1 p 2 -

krediiditeabe andja üldandmed), kellel on samuti õigus tutvuda enda kohta registris sisalduvate

2 (3)

andmetega. Praegune säte sõnastus piirab põhjendamatult nende isikute otse IKÜM-ist tuleneva

õiguse. AKI soovitab sõnastada eelnõu § 10 lg 1 p 2 ümber selliselt, et see hõlmaks kõikide

andmesubjektide õigusi, nt asendada punkti 2 sõnastuse „tarbija ja käendaja enda

kohta“ sõnastusega „inimese enda kohta“.

Eelnõu § 10 lg 7 sätestab, et tarbijal ja käendajal on juurdepääs oma andmetele kuni käesoleva

seaduse §-s 11 sätestatud tähtaja möödumiseni. AKI arvates on tegemist sisutühja ja eksitava

sättega, mis vastuolus IKÜM-iga, kuna andmesubjekti õigust saada enda isikuandmete töötlemise

kohta teavet ei saa seostada andmete säilitustähtajaga, vaid andmed tuleb väljastada igal juhul siis,

kui neid töödeldakse (nt tehnilise vea tõttu võivad andmed jääda õigel ajal kustutamata).

Andmesubjektil on alati õigus esitada IKÜM art-st 15 tuleneva taotluse ning vastutava töötleja

kohustuseks on sellele vastata (sh ka siis, kui andmeid ei töödelda). AKI soovitab see säte täielikult

ära jätta.

Eelnõu § 11 lg 1 reguleerib krediiditeaberegistrisse kantud andmete ja logide säilitamise tähtaegu.

AKI pöörab tähelepanu sellele, et käendus võib lõppeda varem, kui krediidileping, mistõttu on

küsitav, kuivõrd põhjendatud on säilitada käenduse kohta andmed kuni krediidilepingu

lõppemiseni. Kui seadusandja peab seda põhjendatuks, peab see põhjendus nähtuma seletuskirjas.

Eelnõu § 19 lg 1 p 3 kohaselt tuleb esitada füüsilisest isikust omandaja elulookirjeldus, mis

sisaldab omandaja nime, elukohta, senist haridus-, töö- ja teenistuskäiku ning isikukoodi või selle

puudumise korral sünniaega ja -kohta, samuti isiku usaldusväärsust, kogemusi, kompetentsust ja

laitmatut mainet kinnitavad dokumendid. Jääb arusaamatuks, millised dokumendid tuleb esitada

usaldusväärsust, kogemusi, kompetentsust ja laitmatu maine kinnitamiseks. Seletuskiri ei anna

selgust juurde, kuna seletuskirjas ei ole üldse nende dokumentide esitamise kohustust mainitud

(seletuskirja kohaselt tuleb esitada andmed füüsilisest isikust omandaja kohta, sh elulookirjeldus,

mis sisaldab omandaja nime, elukohta, senist haridus-, töö- ja teenistuskäiku ning isikukoodi või

selle puudumise korral sünniaega ja -kohta). Seletuskirja võiks täiendada sarnaselt eelnõu § 19 lg

1 p 6 juures oleva selgitusega, tuues välja võimalike dokumentide näidisnimekirja ja selgitades

maine hindamise kriteeriume (või viidata sellele, et sama selgitus kehtib ka p 3 kohta).

Eelnõu § 19 lg 1 p 8 kohustab esitama omandaja ettevõtlustegevuse kirjeldus ning omandamisega

seotud isikute majanduslike ja mittemajanduslike huvide kirjeldus. Selgusetu on, mis läheb

käesoleva seaduse kontekstis tähtsust omavate mittemajanduslike huvide alla. Palume seletuskirja

vastava täpsustusega täiendada.

Eelnõu § 28 lg 3 p-s 1 tuuakse välja loetelu asjaoludest, mille esinemisel ei ole tegemist inimesega

laitmatu mainega. Arvestades, et isikuandmete töötlemise nõuete rikkumine pannakse tihtipeale

toime läbi juriidilise isiku tegevuse, oleks AKI hinnangul mõistlik laiendada sättes toodud

nimekirja selliselt, et inimese maine hindamisel oleks võimalik võtta arvesse ka tema tegevuse

juriidilise isiku juhtorgani kaudu ehk arvestada mh AKI järelevalvemenetluses võetud meetmetega

juriidilise isiku suhtes (eeldusel, et rikkumise toimepanemisel oli kontrollitav inimene vastavas

positsioonis).

Eelnõu § 28 lg 4 näeb ette, et registripidaja juhiks valitaval isikul peab olema vajalikus mahus

aega oma tööülesannete täitmiseks sellel ametikohal. Seletuskirjas on rõhutatud, et see on eriti

oluline juhul kui registripidaja juht tegutseb mitmete erinevate äriühingute juhtimises. Arvestades,

et inimeste töövõimekus on erinev ja sõltub paljudest subjektiivsetest teguritest, jääb selgusetuks,

kuidas planeeritakse tuvastada, et isikul on piisavalt aega, sh milliseid isikuandmeid hakatakse

sellel eesmärgil töötlema (nt kas asjaolu, et kandidaat on viie alaealise lapse ema, võib olla

mõjuvaks teguriks ajamahu piisavuse hindamisel).

Eelnõu § 32 kohustab registripidajat määrama andmekaitsespetsialisti. AKI hinnangul võiks

andmekaitsespetsialisti puhul näha ette minimaalsed nõuded (sh laitmatu maine, huvide konflikt

jms) sarnaselt, nagu eelnõu § 34 lg 3 näeb ette siseaudiitori osa.

3 (3)

Eelnõu § 44 lg 2 näeb ette andmesubjekti õiguste piiramise (menetlusosaliseks võib HMS § 11

lõike 1 tähenduses olla ka füüsiline isik). Juhime tähelepanu, et andmesubjekti õigusi piiravad

sätted peavad olema kooskõlas IKÜM art-ga 23, milles on toodud, millisel eesmärgil on lubatud

andmesubjektide õigusi piirata1. Eeltoodust tulenevalt tuleb eelnõu § 44 lg 2 sõnastuse viia IKÜM-

iga kooskõlla, arvestades, et andmesubjektide õiguste piiramine ei saa olla tähtajatu. Kui õiguste

piiramise aluseks olev asjaolu langeb ära, siis tuleb isikule tema õigused tagada. AKI lisaks

märgib, et ka kriminaalmenetluses ning järelevalvemenetluses on menetlusosalisele tagatud teatud

etapil alati õigus toimikuga (sh enda isikuandmetega) tutvuda.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Irina Meldjuk

[email protected]

+372 6274108

1 Vt AKI põhjalikum selgitus andmesubjektide õiguste piiramise regulatsioonist AKI 06.01.2025 arvamuses eelnõuele nr 2.3-4/25/2979-2