Arvamuse avaldamine isikuandmete kaitse seaduse muutmise seaduse väljatöötamiskavatsusele

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / info@aki.ee / www.aki.ee

Registrikood 70004235

Lp Liisa-Ly Pakosta Justiitsministeerium info@justdigi.ee

Teie 10.04.2025 nr 8-3/3312-1 Meie 16.05.2025 nr 2.3-4/25/1129-2

Arvamuse avaldamine isikuandmete kaitse seaduse muutmise seaduse

väljatöötamiskavatsusele

Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks isikuandmete

kaitse seaduse muutmise seaduse väljatöötamiskavatsuse (VTK). Inspektsioonil on VTK-ga

seonduvalt järgmised tähelepanekud.

1. KOV-ide regulatsioon isikuandmete töötlemisel analüüside ja uuringute teostamise

eesmärgil

AKI nõustub sellega, et KOV-idel peab olema vastav õiguslik alus uuringute ja analüüside

läbiviimise eesmärgil isikuandmete töötlemiseks. Seejuures ei toeta AKI VTK lisas 1 pakutud

lahendust, mille kohaselt võrdsustatakse KOV-ide läbiviidavad uuringud nö tavaliste

teadusuuringutega. AKI hinnangul peab KOV-idele olema ettenähtud vähemalt samaväärne

kontroll, kui teistele poliitikakujundajatele ehk lähtuma peab vähemalt samadest nõuetest, mis on

määratud täidesaatva riigivõimu asutuste puhul.

VTK lisa 2 näeb ette KOV-idele eraldi õigusliku aluse loomise. KOV-idele erialuse variandi

valimisel tuleks ühtlustada KOV-idele ettenähtud regulatsiooni valitsusasutuste taotluste

tingimuste hindamisega ehk siis need võiksid olla samad.

Nimelt teistes paragrahvides räägitakse ülekaalukast avalikust huvist, KOV-i erialuses lihtsalt

avalikust huvist. VTK-s pakutud sätte sõnastus ei sisalda ka andmesubjekti õiguste piirangute

regulatsiooni (uuringute puhul ilmselgelt ei ole andmesubjektil võimalik kõiki oma õiguseid

kasutada). Valitsusasutuste puhul on selgelt välja toodud, et kui nad teevad uuringuid ühe enda

andmekogu piires, siis ei ole vaja AKI kooskõlastust. KOV-idel endal on ka andmekogusid. Ehk

oleks mõistlik eelnõus välja tuua, kas KOV-idel on samuti lubatud enda andmekogust

isikuandmeid kasutada või peavad nad ka sellisel juhul taotlema hinnangut.

Poliitika kujundamise mõiste vajaks täpsustamist. Praktikas on see tekitanud väga mitmeid

küsimusi sh näiteks selles, kes võib olla poliitika kujundaja – kas üksnes ministeerium või ka

valitsusasutus või ka nt KOV. Lisaks on praktikas juhitud tähelepanu, et poliitika kujundamise

uuringuid viivad teatud juhtudel läbi hoopis sihtasutused või mittetulundusühingud (sh riigi

osalusega) või muus õiguslikus vormis toimetavad erinevad keskused. Seetõttu palub AKI

2 (5)

vähemalt seletuskirjas selles selgus tuua.

Eriliiki isikuandmete puhul on oluline regulatsioonis pöörata tähelepanu ka võimalikule

vajadusele eetikakomitee hinnangu järele. Lisaks eeltoodule tuleb AKI hinnangul kitsendada

KOV-ide uuringu eesmärke, mis peaksid olema piiratud konkreetse KOV-i kohaliku elu

küsimustega.

KOV-ide erisätte kohaselt annab AKI KOV-idele hinnangu, aga valitsusasutuste puhul kontrollib

tingimuste täitmist, mille kohta on VTK-s öeldud, et tegemist on toiminguga. Selgusetu on seega,

kas hinnang on samuti toiming või siiski otsus. Selles osas vajab sõnastus (sh terminoloogia)

samuti täpsustamist ja ühtlustamist.

2. Eetikakomitee ja AKI kaasamine

AKI arvates on mõistlik VTK-s pakutud variant, et kõik teadusuuringud, sh asutuste analüüsid ja

uuringud allutatakse TAIKS-i alusel loodava eetikakomitee pädevusse, kes hindab nii uuringu

eetilisust kui ka andmekaitse aspekte. See tagab ühtsete põhimõtete rakendamise ja võimaldab

valdkonda reguleerida paindlikult. Ühtne uks tagab selguse nii andmesubjektile kui teadusuuringu

tegijale. Selle eelduseks on aga see, et eetikakomiteel peaks olema selgesõnaline kohustus hinnata

ka andmekaitset puudutavaid aspekte, milleks peab eetikakomitees olema ka vastav pädevus.

Kui eetikakomitee kohustus jääb kõikidele täidesaatva võimu ja KOV-ide poolt läbiviidavatele

uuringutele, siis AKI roll võiks piirduda teavitamiskohustusega, mh arvestades ka seda, et AKI on

eelkõige siiski järelevalveasutus, kelle esmane kohustus on järelevalve isikuandmete töötlemise

vastutava töötleja ehk uuringu korraldaja üle.

AKI hinnangul võiks sellisel juhul lisada uuringu tegijal lisakohustused: AKS-iga

konsulteerimine, mõjuhinnangu tegemise kohustus koos sellega, et on dokumenteeritud ka

põhjendus, miks just selline andmekoosseis on eesmärgi täitmiseks vajalik, mõjuhinnangu

avaldamine veebilehel vms. Ühtlasi, kui seadusesse jääb sisse sedavõrd lai avaliku huvi eesmärk

(vt täpsemalt arvamuse p 5), siis iga uuringu puhul peaks uuringu uuringut ette valmistades siiski

nägema ette, milleks täpselt sellist andmetöötlust on vaja. Teisisõnu, juba siis kui tegeletakse

uuringu eelanalüüsiga, mõeldaks läbi ja hinnataks enne uuringu alustamist IKÜM artiklis 5

nimetatud eeldusi (eelkõige eesmärgipärasus ja minimaalsus) ja ollakse valmis hiljem seda ka

tõendama.

Konsulteerimiskohustusega seoses on AKI arvamusel, et sõltumata sellest, kas seaduses on see

ette nähtud, on andmetöötlejal alati võimalus IKÜM-ist lähtuvalt AKI-ga konsulteerida, kui

mõjuhinnangu tulemusel jäävad üles liiga suured riskid.

3. Uuringud, milles kasutatakse erinevaid õiguslikke aluseid andmete töötlemiseks

AKI hinnangul peaks regulatsiooni täiendama uuringu läbiviija kohustusega kirjeldada kogu

uuringut (ka neid etappe, mis ei tugine IKS §-le 6 kui õiguslikule alusele), et oleks võimalik

andmetöötlusele tervikuna õige hinnang anda, arvestades erinevatel õiguslikel alustel kogutud

andmeid ja töötlemise protsesse kogumis. AKI praktikas on olnud olukordi, kus tuli välja, et

kooskõlastatud uuringu raames tehakse midagi veel (lisaks sellele, mida AKI-le esitatud

taotlusesse kirjutatakse), millega AKI ei osanud arvestada uuringule hinnangu andmisel puuduliku

3 (5)

teave tõttu.

4. Erinevate andmekogude andmete ühildamine

AKI eelistaks, kui andmed paneks kokku üks kindlaks määratud asutus, eelkõige nn poliitika

kujundamise uuringute puhul. Samas kaaluda tuleb ka seda aspekti, et võib olla on veel mõni teine

asutus või organisatsioon, kes suudab samuti vastavat keskkonda pakkuda. Seetõttu ei ole ehk

mõistlik nimetada seaduses konkreetset asutust.

Ühe asutuse kasutamise korral on vastutavateks töötlejateks uuringu läbiviiv riigiasutus ja

andmekogu haldav riigiasutus, ning asutus, mis paneb andmed kokku, on volitatud töötleja. IKÜM

artikkel 28 näeb ette, et selline andmetöötlus on võimalik ainult töötlejate omavahel siduva lepingu

või liidu või liikmesriigi õiguse kohase siduva õigusakti alusel, mis on volitatud töötleja suhtes

siduv ning milles sätestatakse töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete

liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Kuna isikuandmeid

puudutav osa sellest informatsioonist sisaldub eetikakomiteele esitatud avalduses ja see on läbinud

hindamisprotsessi ning andmetöötlus peab toimuma selle alusel, oleks AKI arvates mõistlik

seadusega ära reguleerida vastutava ja volitatud töötleja vastavad suhted, et kaks riigiasutust ei

peaks sõlmima omavahel vastutava-volitatud töötleja lepingut. Viidatud regulatsioon peab

vastama IKÜM artiklis 28 märgitud tingimustele.

Arvestades riigi laiemat eesmärki juhtida riiki andmepõhiste otsuste kaudu, siis on selge, et

suuremas pildis tähendab see riigi käes olevate andmete kombineerimist, et nende pinnalt saaks

otsuseid teha. See tähendaks ka igakordselt andmetöötluslepingute sõlmimist erinevate

riigiasutuste vahel, mis ei ole otstarbekas ja ei aita kaasa bürokraatia vähendamise eesmärgile.

5. Üldiselt sätete sõnastusest

VTK lisas 1 § 6 lõige 3 näeb ette tingimused, millal on lubatud kasutada isikuandmed isikustatud

kujul. Punkti 1 kohaselt on selline uuring lubatud juhul, kui pärast tuvastamist võimaldavate

andmete eemaldamist ei ole andmetöötluse eesmärgid enam saavutatavad või neid oleks

ebamõistlikult raske saavutada. Seletuskirjas tahaks näha lisaselgitust sellele, mida loetakse

ebamõistlikult raskeks. Näiteks, kas uuringu maksumuse suurenemine on põhjuseks, et lubada

isikustatud kujul andmete kasutamine? Punkti 2 sõnastus (teadus- või ajaloouuringu või riikliku

statistika tegija hinnangul on selleks ülekaalukas avalik huvi) vajab täpsustamist, kuna uurija enda

hinnang on alati subjektiivne, see iseenesest ei saa olla tingimuseks, vaid avalik huvi peab

objektiivselt olema ülekaalukas ehk hinnangu peab andma ikkagi uuringut lubav asutus.

VTK lisas 1 § 6 lõike 4 sõnastus ei ole selge. Arusaamatuks jääb, mida tähendab „isiku tuvastamist

võimaldav“, st kas siin mõeldakse ka pseudonüümitud andmeid. Ehk siis sellise sõnastuse juures

tekib vaidluskoht – kas eetikakomiteesse tuleb minna ainult juhul, kui tehakse uuringut isikustatud

andmetega või ikka ka pseudonüümitud andmetega. Peame rõhutama, et kui andmekoosseis on

siiski selline, et inimese kasvõi kaudne tuvastamine on võimalik, siis peaksid need uuringud

eetikakomiteest läbi käima.

Täpsustamist vajab ka sama sätte osa, mis räägib asjaomasest eetikakomiteest, täiendades

sõnastust täpsustusega „seadusega või seaduse alusel loodud“ asjaomane valdkonna

eetikakomitee. Muidu jääb kehtima sama olukord, mis hetkel on kehtiva seaduse sõnastusega, et

4 (5)

ükskõik kes võib luua eetikakomitee.

VTK lisas 3 § 6¹ lõigete 2, 3 ja 7 sõnastus, mis puudutab eesmärke, on problemaatiline. Esimeses

lõikes on räägitud ainult avalikust huvist. Kas see tähendab, et eesmärki sisustatakse ainult läbi

avaliku huvi? See tundub liiga lai eesmärk olema. Kui selline sõnastus jääb, siis reaalsuses tekib

võimalik vaidluskoht – kui konkreetne eesmärk siis on. Hetkesõnastus annab alust sisustada

uuringu eesmärki vaid läbi selle, et esineb avalik huvi. Avalikku huvi mõistet ei ole aga kuskil lahti

selgitatud, seda hinnatakse igakordselt. AKI nõustub, et laiem eesmärk võib olla vajalik ja

põhjendatud (VTK-s on mainitud, et ei ole otstarbekas asutuste uuringute tegemise õigust siduda

üksnes poliitika kujundamisega, asutustel on vajalik analüüse ja uuringuid teha ka muul otstarbel,

nt teenuste arendamiseks jne), kuid AKI arvates aga peaks siiski eesmärgi määratlemisel olema

lisaks avalikule huvile veel mingi tingimus või kriteerium. Näiteks teadusuuringute puhul on

kriteeriumiks ka see, et sellest peab tekkima uus väärtus, tulemus annab sisendit asutuse töö

muutmiseks, tõhustamiseks, õigusraamistiku muutmisega vms.

Uuring peab olema seotud asutuse valitsemisala või ülesannetega. Samas AKI hinnangul tekib

sellise hoomamatu eesmärgi puhul oht, et uuringu varjus hakatakse tegema asutuse ülesannete

täitmiseks kogu aeg massandmetöötlust (nt elanikkonna profileerimist) ilma selleks muud

õiguslikku alust loomata. Kui ikkagi mõnel asutusel on vaja teha mõnda analüüsi vms iga-aastaselt

või mingi perioodi tagant ehk tegemist on selgelt asutuse avaliku ülesandega, siis tuleks see eraldi

seadusega reguleerida. IKS § 6 alusel ei tohiks massandmetöötlus toimuda tavapärase ametliku

ülesande täitmiseks.

VTK lisas 3 § 6¹ lõike 3 osas tekkis AKI-l küsimus, kas selle regulatsiooni alla lähevad nt ka

olukorrad, kus teadlased/täidesaatva riigivõimu asutused kasutavad mõnda andmemudelit, mis on

Statistikaametis olemas?

Meie vaatest võiks riik enda andmetöötluse puhul kasutada riigi andmetöötluskeskkondi (nt

Statistikaameti teadlaste keskkond, kuna praktikas on Statistikaametil juba suurel määral andmed

olemas ning sellisel juhul ei liigu andmed erinevate andmetöötlejate vahel ning risk, et andmete

liikumise teekonnal nendega midagi juhtub, on väike). Palume seletuskirjas seda küsimust laiemalt

puudutada.

VTK lisas 3 § 6¹ lõige 4 reguleerib isikuandmete kustutamist. AKI arvates on see regulatsioon

puudulik. Isikuandmete säilitamise ajaline raam peab olema konkreetsemalt paika pandud ning

selgelt kohustav. Uurimistulemuste valideerimine on väga erinev. On olukordi, kui valideerimist

üldse ei toimu, kuna see ei ole teatud uuringute puhul kohustuslik. Seega selgusetuks jääb, kas ja

millal siis andmed kustutakse. Lisaks sellele jääb ebamääraseks, millal see „pärast“ saabub, nt kas

aasta pärast valideerimist, viivitamatult või millal?

VTK lisas 3 § 6¹ lõige 7 kitsendab IKÜM artiklis 14 sätestatud avaldatavat teavet, milleks AKI

põhjust ei näe. Läbipaistvuse põhimõtte tagamiseks peaks see lõige sisaldama rohkem avaldatavat

teavet lähtuvalt IKÜM artiklist 14.

VTK lisas 3 § 6¹ lõige 10 reguleerib andmesubjekti õiguste piiramist. Kuivõrd loodava sätte mõte

on piirata andmesubjekti õigust saada juurdepääsu enda andmetele IKÜM artikli 23 tähenduses,

siis AKI hinnangul on hetkel piirangut kehtestav säte liiga üldine.

5 (5)

Isiku õigus tutvuda enda kohta kogutud andmetega tuleneb IKÜM artiklist 151. Seda õigust saab

IKÜM artikli 23 kohaselt piirata seadusandliku meetmega, kui selline piirang austab põhiõiguste

ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et

tagada IKÜM artikli 23 lõike 1 alapunktides sätestatud eesmärke. IKÜM artikli 23 lõige 2

täpsustab, milliseid sätteid peab viidatud seadusandlik meede sisaldama.

IKÜM artikli 23 alusel võetud meetmed peavad olema selged ja täpsed, nagu liidu seadusandja on

seda ka määruse põhjenduses 41 rõhutanud, ning nende kohaldamine peab olema

õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja

tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata. Sättes ei ole

selgelt reguleeritud, kes (vastutav või volitatud töötleja) ja kuidas otsustab, et andmesubjekti õigusi

tuleb piirata, kaua see piirang kestab (piirang ei tohi olla igavene – seadusega tuleb sätestada, et

kui õiguste piiramise aluseks olev asjaolu langeb ära, siis tuleb isikule tema õigused tagada). Seega

tuleks AKI hinnangul kaaluda võimalust andmesubjekti õigusi piirava sätte sõnastuse

täpsustamist.

Lugupidamisega

(allkirjastatud digitaalselt)

Pille Lehis

peadirektor

Irina Meldjuk

Irina.Meldjuk@aki.ee

627 4108

1 Siinkohal peaks analüüsima ka massandmetöötluse (seda poliitikauuringud reeglina tähendavad) logimise otstarbekuse küsimust.