Riigikantselei tagasiside Andmekaitse Inspektsiooni (AKI)
tähelepanekutele
Eelnõu § 130 lg 2 sõnastus ei ole piisavalt selge: Alaliselt või ajutiselt kaitstava olulise tähtsusega objekti valdaja säilitab andmeid vähemalt 12 kuud, kuid mitte kauem kui kümme aastat nende tekkimisest arvates. Sõjalise riigikaitse toimimisega seotud või Kaitseministeeriumi valitsemisalas oleva julgeolekuasutuse kasutatava objekti valdaja säilitab andmeid vähemalt kümme aastat, kuid mitte kauem kui 25 aastat nende tekkimisest arvates.
Seletuskirjas on toodud, et ühesugust isikuandmete säilitamise tähtaega, mis kohalduks kõikide kategooriate objektidele, ei ole võimalik määrata objektide kategooriate erisuste tõttu. Sarnane olukord on ka andmekogudel, et erinevaid kategooriaid säilitatakse erineva aja jooksul. Sellistel juhtudel pannakse seadusega maksimaalne tähtaeg ning täpsemad tähtajad reguleeritakse määrusega, nagu ka antud juhul reguleeritakse täpsemad tähtajad määrusega (eelnõu § 19 lg 7). Eelnõu sätte konstruktsioon raskendab arusaamist ning tekitab küsimusi, et kui üldjuhul on andmeid vaja aasta jooksul, millised on need juhtumid, millal andmeid võib säilitada kümme korda kauem. Seaduse tasandil on oluline reguleerida maksimaalset riivet, mitte ajavahemikku. AKI hinnangul on minimaalse tähtaja mainimine üleliigne ning pigem segadust tekitav.
Vastus: küsimust, kuidas reguleerida alaliselt või ajutiselt kaitstava olulise tähtsusega objekti külastajate isikuandmete säilitamise tähtaega seaduse tasandil senisest selgemalt, arutati nii Andmekaitse Inspektsiooni (AKI) kui ka Justiits- ja Digiministeeriumiga (JDM). Eelnõu § 130 lõikes 2 pakutud lahenduses lepiti ka ühiselt kokku. Kuna objektid on väga erinevad (ning erinevad võivad olla ka samasse kategooriasse kuuluvad objektid), leiti, et olulisuse põhimõtet arvestabki kõige paremini selline lahendus, mille kohaselt sätestatakse seaduses nii minimaalne kui ka maksimaalne säilitustähtaeg. Minimaalse säilitustähtaja määramise vajadust – s.o objekti valdaja kohustust säilitada andmeid vähemalt teatud aja jooksul – on põhjendatud ka eelnõu seletuskirjas:
„Ühesugust isikuandmete säilitamise tähtaega, mis kohalduks kõikide kategooriate objektidele, ei ole võimalik määrata objektide kategooriate erisuste tõttu. Sarnaselt praegu kehtiva riigikaitseobjekti kaitse korra § 71 lõikes 2 sätestatuga arvestati minimaalse ja maksimaalse säilitustähtaja määramisel mh esimese astme kuriteo aegumistähtaega (s.o kümme aastat). Julgeolekuasutuste objektide puhul arvestati andmete säilitamise ajalise piiri määramisel jätkuvalt eelkõige julgeolekuasutuste tegevuse eesmärki ja põhiülesandeid, sealhulgas objekti kaitsega vahetult seotud ülesannet korraldada riigi vastu suunatud luuretegevuse ennetamist ja tõkestamist ehk vastuluuret, millest tulenevalt võib tekkida vajadus selgitada välja aastaid tagasi aset leidnud sündmuse asjaolusid. Lisaks arvestati, et esimese astme kuritegu (nt välismaalase poolt toimepandud Eesti Vabariigi vastu suunatud vägivallata tegevus või salakuulamine) aegub kümne aasta möödudes ning kuritegu, mille eest on ette nähtud eluaegne vangistus (nt riigireetmine), ei aegu. Nende kuritegude menetlemine eeldab aga ka selleks vajaliku teabe säilitamist. Eelnõuga tehakse sisuline muudatus, mille kohaselt ei saa määrata isikuandmete säilitamise täpsemat tähtaega enam objekti valdaja enda turvaplaanis, vaid see tähtaeg sätestatakse vastava kategooria objekti kohta Vabariigi Valitsuse määruses.“ Antud juhul on ka minimaalse tähtaja määramine (andmete säilitamise kohustuse sätestamine) seadusandja poolt oluline.
Eelnõu § 132 – isikuandmete säilitamine: põhimääruse volitusnorm on sätestatud lg-ga 4, kus puudub volitus sätestada täpsemad säilitamise tähtagad. Lg 6 aga täpsustab, et andmete säilitamise täpsem tähtaeg sätestatakse tsiviiltoetuse registri põhimääruses. Lg 6 näol ei ole tegemist volitusnormiga, volitusnorm peab olema ammendavalt sõnastatud lg-s 4.
Vastus: nõustume, parema selguse tagamiseks tuleb lugeda praegune eelnõu § 132 lõike 4 punkt 7 punktiks 8 ja sõnastada § 132 lõike 4 punkt 7 järgmiselt: „7) andmete säilitamise täpsem tähtaeg;“. Sellega seonduvalt jätta eelnõust välja eelnõu § 132 lõike 6 viimane lause.
Eelnõu § 132 lg 5 loetleb tsiviiltoetuse registris töödeldavad isikuandmed, kusjuures nende isikuandmete töötlemise vajadust ei ole seletuskirjas kuidagi selgitatud. Arvestades, et tegemist on isikuandmete üsna laia koosseisuga, peaks nende töötlemise vajadus olema selgelt määratletud, seega oleks vaja täiendada seletuskirja vastavate põhjendustega andkoosseisu osas. Oleme sellele vajadusele tähelepanu ka varem juhtinud, hetkel on täiendatud ainult mobilisatsiooniregistris töödeldavate andmete põhjendus (eelnõu § 133), tsiviiltoetuse registri osas võiks sama töö ära teha.
Vastus: tsiviiltoetuse registris (TTR) töödeldavad isikuandmed on vajalikud kriisiolukorras tegevuste operatiivseks koordineerimiseks ning selleks, et näiteks asja sundkasutusse võtmisel rakendataks meedet õige isiku suhtes. Isikuandmete töötlemise põhjendused on täpsemalt järgmised:
• Vastuvõtva riigi toetust korraldava valitsusasutuse esindaja üldandmed ja ametikoht
TTR on vastuvõtva riigi toetuse ehk HNS-registri õigusjärglane, mitte uus register. Kontaktisiku andmete töötlemine on vajalik vastuvõtva riigi toetuse osutamise koordineerimiseks vastavalt HNS-i juhtkomitee töökorraldusele. Juhtkomiteesse kuuluvad eri ministeeriumide esindajad sõltuvalt sellest, millises valdkonnas toetust osutatakse.
• Asja sundkasutusse võtva ja sundvõõrandava ametiisiku üldandmed, töökoha või ametikoha nimetus, tööpiirkond ja ülesanded
Riigi sõjaliseks kaitseks on vajalik võtta erinevat vara ja objekte sundkasutusse üle Eesti. Ametiisiku kontakt- ja tööpiirkonna andmete töötlemine on vajalik selleks, et tagada sundkasutusse võtmise ja sundvõõrandamise toimingute operatiivne korraldus, lähtudes tööpiirkonna lähimuse põhimõttest. Ametiisikute selge kaardistus aitab ennetada ja välistada riigi vastu suunatud vaenulikku tegevust.
• Kriisiülesande saaja üldandmed
Näiteks võib juriidilisele isikule anda ühekordse kriisiülesande, näiteks kaevetööde teostamiseks riigi sõjalise kaitse toetamisel. Sellisel juhul on töödeldavateks isikuandmeteks ettevõtte juhatuse liikme kontaktandmed ning kaevetöid teostava isiku nimi, telefoninumber ja e-posti aadress. Need andmed on vajalikud operatiivseks infovahetuseks ja ülesande täitmise koordineerimiseks.
• Vara või objekti omaniku, valdaja, vastutava kasutaja, hoonestaja ja kontaktisiku üldandmed
Näiteks võib kriisiülesannete täitmise või riigikaitse eesmärgil olla vajalik võtta sundkasutusse mõni sõiduk või hoone. Selleks on vaja töödelda vara omaniku isikuandmeid – näiteks nime, isikukoodi ja kontaktandmeid –, et vormistada sundkasutusse võtmise haldusakt ning seadusest tulenevalt kohustada isikut vara ettenähtud kohta toimetama.
• Riigi tegevusvaru hoidja üldandmed
Nende andmete töötlemine on vajalik operatiivse tegutsemise tagamiseks kriisiolukorras.
• Registritoimingu teinud isiku üldandmed
Nende andmete töötlemine tuleneb kehtivatest õigusaktidest ning on vajalik registri toimimise läbipaistvuse ja kontrollitavuse tagamiseks.
Eelnõu § 134 lg 3 osas samuti tahaks näha seletuskirjas täpsem põhjendus iga isikuandmete liigi (eriti tervisenõuetele vastavuse andmete) osas. Lg 5 sätestab isikandmete säilitamist, seletuskirjas puudub põhjendus tähtaegade osas, st miks nii kaua andmeid on vaja. Seletuskirjas on öeldud, et kaitseplaneerimise infosüsteem on piiratud juurdepääsuga andmekogu, seaduses aga ei ole juurdepääsupiirangutest midagi öeldud, sh arusaamatuks jääb, kas see tähendab ka andmesubjekti õiguste piiramist. Juurdepääsupiirang ei tule ju automaatselt ning peab olema seadusega sätestatud.
Vastus: antud eelnõu osa koostas Kaitseministeerium koostöös JDM-ga ning see läbis ka ametliku kooskõlastusringi tähtajaga 21.02.2025 (vt riigikaitseseaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu, kättesaadav: https://eelnoud.valitsus.ee/main/mount/docList/a5e05687-1e39-4be3-80cc-d9607ac456a0).
Andmetele juurdepääsu ja nende väljastamise täpsem kord sätestatakse eelnõu § 134 lõike 4 punkti 7 alusel kaitseplaneerimise infosüsteemi põhimääruses. Seletuskirjas ei ole silmas peetud andmesubjekti õiguste piiranguid. Põhimääruses sätestatakse andmekogule juurdepääsu ja andmete väljastamise kord, sealhulgas määratakse kindlaks tingimused, mille alusel võimaldatakse juurdepääs andmekogule. Andmete töötlemiseks peab juurdepääsu taotleval asutusel olema seadusest tulenev õiguslik alus ning juurdepääsupiirangute alused lähtuvad avaliku teabe seadusest (AvTS).
Kaitseplaneerimise infosüsteemis töödeldakse järgmisi isikuandmeid:
1) isiku nimi, isikukood, sugu, kontaktandmed – need on vajalikud riigi kaitseplaneerimise ja kaitsevõime tagamiseks, et planeerida vajalik inimressurss ning määrata konkreetne ülesanne, mis on seotud näiteks kaitseväeteenistuskohustuse täitmise või muu riigikaitse seisukohalt olulise ülesandega.
2) isiku hariduse ja töökogemuse andmed – need andmed on vajalikud selleks, et ülesande andmine oleks eesmärgipärane ega koormaks isikut liigselt, arvestades tema varasemaid teadmisi ja töökogemust. Samuti on need andmed vajalikud selleks, et hinnata, kas isik vajab täiendavat väljaõpet.
3) isiku kaitseväekohustuslase tervisenõuetele vastavuse andmed – need on vajalikud selleks, et ülesannete planeerimise käigus tuvastada võimalikud terviseriskid ja neid ennetada. Kui isik ei vasta tervisenõuetele, ei saa ta täita kaitseväeteenistuskohustust konkreetse ülesande raames täita. Kui isikule anti siiski käsk täita ülesanne vaatamata tema tervisenõuetele mittevastavusele, on võimalik see hiljem dokumenteerida, teha vajalikud järeldused ja esitada vajaduse korral kahjunõue.
Selgitus andmete säilitamise tähtaegade osas:
• Pärast kaitseväekohustuse lõppemist säilitatakse isikut tuvastavad andmed – nimi, isikukood ja kaitseväeteenistuse käiku puudutavad andmed – 50 aasta jooksul. Seda tehakse selleks, et tagada rahvusvahelise sõjapidamise tava kohaselt kaitseväeteenistuskohustuse, sealhulgas mobiliseeritud isikute teenistuskäigu dokumenteerimine ja säilitamine. Need andmed võimaldavad vajaduse korral hiljem tõendada isiku seotust Kaitseväega.
• Pärast isiku surma säilitatakse need andmed juhtudeks, kui isik on hukkunud kaitseväeteenistuskohustuse täitmisel. Sellisel juhul on andmete säilitamine vajalik rahvusvahelise sõjapidamise tava kohaselt dokumenteerimise eesmärgil ning selleks, et lähedastel oleks võimalik tulevikus esitada kahjunõudeid. Kõik sõjapidamisega seotud andmed nende isikute kohta, kes on teeninud üksustes, on riigi sõjalise kaitse analüüsimise seisukohalt äärmiselt olulised. Sõjapidamise analüüse tehakse pikas perspektiivis.