Arvamuse avaldamine

Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502

Teie: 14.12.2025 nr JDM/25-1397/-1K

Justiits- ja Digiministeerium

Suur-Ameerika 1, 15006 Tallinn Meie: 06.01.2026 nr 5-7/25/111-4

[email protected]

Avaliku teabe seaduse muutmise seaduse väljatöötamiskavatsuse kooskõlastamine Justiits- ja Digiministeerium esitas Kaitseministeeriumile kooskõlastamiseks avaliku teabe seaduse muutmise seaduse (AvTS) väljatöötamiskavatsuse (VTK). Kaitseministeerium peab VTK-s käsitletud probleemi oluliseks. Riigi andmetöötluse läbipaistvuse parendamine tugevdab õigusriiki ja kodanike usaldust riigi tegevuse suhtes, kuid andmetöötluse läbipaistvuse tagamiseks valitud vahend ei tohiks ohustada riigi julgeoleku tagamist. Sellest tulenevalt tuleks eelnõu koostamisel täiendada VTK-s toodud õiguslikku analüüsi andmesubjekti teabeõiguse, teabeõiguse piiramise ja nende piirangute rakendamist koosmõjus andmejälgija kasutusse võtmisega. Kaitseministeerium toetab meie märkustega arvestamisel VTK-s väljatoodud põhimõtete rakendamist. 1. Lühidalt:

1.1. Kuna üldist erandit andmejälgija liidestumise kohustusest ei ole VTK-s kavandatud, peab

Kaitseministeerium vajalikuks välja tuua Kaitseväe korralduse seadusele (KKS) tuginedes andmejälgija liidestamisel erisuste rakendamise vajaduse Kaitseväe suhtes. Sellest tulenevalt teeb Kaitseministeerium ettepaneku üldseaduse tasandil luua õiguslik alus andmesubjektide teabeõiguse piiramiseks.

1.2. Kaitseministeerium teeb ettepaneku lisada AvTS § 4310 lõikesse 2 punkt 4, mis annab riigiasutusele (eri)seadusest tulenevalt õiguse andmejälgija kasutamisest loobuda.

1.3. Kaitsevägi ei pea vajalikuks muuta andmejälgija senist põhimõtet, mille kohaselt isik näeb enda kohta tehtud päringuid. Samas on riiklike andmekogude arvu kasv ning avaandmete massiline kasutamine suurendanud julgeolekuriske, mistõttu tuleb hinnata piiranguteta juurdepääsu ulatust avaandmetele.

1.4. Täpsemalt vajab seletuskirjas selgitamist „ainult organisatsiooni sisemise töökorralduse vajadusteks“ ja „asutustevaheliseks dokumentide menetlemiseks peetavad andmekogude“ mõisted, mis jäävad eelnõu kohaselt liidestumise kohustuse alt välja.

1.5. Arvestades, et andmejälgija on VTK kohaselt IKÜM ja IKS järgseid õigusi edendav tööriist, kuid IKÜM ja IKS kohalduvad julgeolekasutuse tegevusele ainult piiratud ulatuses, peaksid julgeolekuasutuse päringud riiklikesse andmekogudesse olema juba eos andmejälgija teenusest välja arvatud. JAS § 211 lõike 3 vastuvõtmisel ei saanud seadusandja arvestada, et riigi andmekogude vastutavatele töötlejatele seatakse kohustus esitada andmetöötlust puudutavat teavet proaktiivselt.

2. Pikemalt

Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502

2.1. Seadusest tuleneva erandi rakendamine Kaitseväele (andmesubjektide teabeõiguse

piiramine)

Riigiasutuse andmejälgija rakendamise kohustuslikkus on üks meede tagamaks avaliku sektori andmetöötluse läbipaistvus. Samas on seadusandja selgelt väljendanud, et riigi julgeoleku kaitse on selline väärtus, mille kaitse vajadus on seaduses kirjeldatud ning teabe üldiseks kasutamiseks andmisel peab olema riigi julgeolek tagatud (AvTS § 35 lg 1 p 31). Kavandatav regulatsioon näeb ette üldise andmejälgija liidestumise kohustuse kõigile avaliku ülesande täitmiseks kasutatavatele andmekogudele, kuid sätestatud kohustus ei ole oma olemuslikult absoluutne, jättes isikuandmete andmekogu vastutavale töötlejale teatud erisuste rakendamise võimaluse. VTK toob välja, et andmejälgija kasutamiskohustus ei tähenda, et andmesubjektile kuvataks valimatult mistahes avalike ülesannete täitmiseks kasutatavate andmekogude vahelisi päringulogisid, vaid liidestumiskohustuse alt jäävad välja: a. organisatsiooni sisemise töökorralduse vajadusteks peetavad andmekogud; b. asutustevaheliseks dokumentide menetlemiseks peetavad andmekogud (AvTS § 433 lg 4) ning c. andmekogud, mille puhul saab rakendada isikuandmete kaitse üldmääruses (IKÜM) artiklis 23 toodud erandit. See tähendab, et vastutaval ja volitatud isikuandmete töötlejal (Kaitsevägi võib isikuandmete töötlejana olla nii vastutava kui volitatud töötleja roll) on õigus piirata andmesubjekti õigusi, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada mh riigi julgeolek ja riigikaitse (IKÜM art 23 p 1 a) ja b)). Kui mõnes eriseaduses sisaldub alus andmesubjekti teabeõiguse piiramiseks, ei kuvata samal alusel andmesubjektile ka andmejälgijas vastavat andmetöötlust puudutavaid logikirjeid juhul, kui see kahjustaks mõne spetsiifilise avaliku ülesande täitmist, st kui sätte eesmärk on asutuse varjatuks jäämine. Täpsemalt on siinjuures tegemist riigi julgeoleku tagamise ja riigikaitse ülesanne täitmist puudutava teabega, mis ei kuulu õigusakti alusel avalikustamisele. Riigi erinevad asutused töötlevad teavet teise riigiasutuse (Kaitseväe) jaoks ja teise riigiasutuse kohta, (mh andmeid teenistujate kohta). Samas töödeldakse teavet, mis on või võib olla oma olemuselt Kaitseväe riigikaitseline teave või puudutab teave otseselt või kaudselt riigikaitsega seotud küsimusi. Muutunud julgeolekuolukorra tõttu nõuab uue olukorraga kohandumine Eesti riigilt enam riigikaitset puudutavate tegevuste koordineerimist ning seda ka teabejulgeoleku tagamise valdkonnas. Kaitseväe julgeoleku vaatest näeme vajadust, et teabe avalikustamise ja kaitse põhimõtete jõustamisel on vajalik riigi ülene suunis. Samuti juhime tähelepanu, et oluline on laiem KaM haldusala põhine rakenduskava ja ressursivajaduse ning õigusaktide muutmise vajaduse info kajastamine AvTS VTK tagasisides. Teabe kogumine ja töötlemine Kaitseväe julgeolekuala kaitseks ning ohtude ennetamiseks on vajalik, et Kaitsevägi oleks võimeline Kaitseväe julgeolekut otseselt mõjutavate intsidentide korral ise ohtu õigel ajal tuvastama ja sellele reageerima. Selleks on KKS-ga antud Kaitseväele õigus, mille kohaselt võib Kaitseväe julgeolekualale vahetut ohtu kujutavate isikute puhul Kaitsevägi kontrollida isiku isikuandmeid ning teha seda (mh andmesubjekti enda eest) varjatult, kasutada variandmeid ja konspiratsioonivõtteid ning isikut varjatult jälgida. Kaitseväe poolt rakendatav IKÜM artiklile 23 tuginev piirangu meede on proportsionaalne, kuna andmesubjekti õigus vastava teabega tutvuda on andmejälgija olemasolust sõltumata. Isik saab teabenõude korras nõuda välja isikut puudutavat teavet, kui see kahjusta riigijulgeolekut ning pöörduda oma õiguste kaitseks kohtu, õiguskantsleri, Andmekaitse Inspektsiooni või töövaidluskomisjoni poole, et kontrollida, kas andmesubjekti põhiõiguste ja -vabaduste tagamise põhimõtet ning hea halduse tava on järgitud (KKS § 446 lg 2 p 5). Kaitseministeerium soovib AvTS VTK raames ära markeerida Kaitseväe korralduse seaduses toodud kaitseväeluure ning Kaitseväe julgeolekuala kaitseks isikuandmete töötlemise erisätetega seotud andmetöötluse, mille kohaselt on Kaitseväel õigus teostada päringuid varjatult (KKS § 415 lg 1 p 4; KKS § 4110 lg 3; KKS § 541).

Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502

2.2. AvTS sätete täiendamine ja parandamine

Seletuskirja kohaselt ei anna AvTS VTK praegune sõnastus riigiasutustel võimalust eriseadusele tuginedes andmejälgijast loobuda, millest tulenevalt teeme ettepaneku lisada AvTS § 4310 lõikesse 2 (Andmejälgijaga liidestumine on kohustuslik kõigi infosüsteemide andmevahetuskihiga liidestatud andmekogude pidamisel, välja arvatud andmekogudele:…) punkti 4 järgnevas sõnastuses: 4) mille liidestamine andmejälgijaga on seadusega vastuolus või mille liidestamine võib seada ohtu (IKÜM art 23(1)a)-j) riigi julgeoleku tagamise või riigikaitse ülesande täitmise. Tulenevalt täiendava sätte lisandumisest on vajalik muuta ka kaasuvaid paragrahve: a. Muuta AvTS 4310 lõike 5 sõnastust ning lugeda õigeks: (5) Andmekogu andmejälgijaga liidestamata jätmisel teavitab andmekogu vastutav töötleja Riigi Infosüsteemi Ametit põhjendamatu viivituseta vastavast otsusest ja andmekogu suhtes kohalduvast, käesoleva paragrahvi lõike 2 punktides 1–4 sätestatud liidestumiskohustuse erandist koos põhjendustega. b. Muuta AvTS § 681 lõike 2 sõnastust ning lugeda õigeks: (2) Andmekogu vastutav töötleja teavitab Riigi Infosüsteemi Ametit käesoleva seaduse § 4310 lõike 2 punktides 1–4 nimetatud erandi kohaldumisest ja andmekogu andmejälgijaga liidestamata jätmisest koos põhjendustega käesoleva paragrahvi lõikes 1 nimetatud tähtaja jooksul. Loodava volitusnormi alusel kehtestatav andmejälgija määrus peab sisaldama andmejälgija kasutusele võtmise, kasutamise, haldamise ja majandusliku põhjendatuse hindamise täpsemad tingimused ja korra. Rakendusakti tasandil on vaja täpsustada nõudeid algselt andmesubjekti eest varjatud logikirjete avaldamiseks pärast vastava teabeõiguse piirangu aluse ära langemist. Lisatav säte (lõige 4) annab üldseaduse tasandil volitusnormi eriseadustes täpsemalt reguleerida andmejälgija kohustuslikkusest loobumise tingimusi.

2.3. Isiklikul otstarbel andmejälgijas tehtavad päringud

Isikule tema enda kohta tehtud päringute kuvamise osas ei näe Kaitseministeerium vajadust muuta kehtivat andmejälgija põhimõtet, mille kohaselt andmekogu andmejälgija kuvab edasi isikule tema enda kohta tehtud päringuid (logikirjeid). Tänase praktika muutmisel tuleb hinnata ka olukordi, kus isikule tema enda kohta tehtud päringute kuvamisel võib olla tõendusväärtus. Kuigi alljärgnev probleemitõstatus ei ole otseselt seotud käesoleva AvTS VTK-ga, soovib Kaitseministeerium selle siiski käesolevas tagasisides ära markeerida. Viimase kümne aastaga on riiklike andmekogude arv kasvanud ligikaudu 500-lt 1400-le, mis tähendab ründepinna märkimisväärset suurenemist ehk riigiasutuste vaatest on võimalike sihtmärkide ning rünnatava pinna maht suurenenud kolm korda. Kaitseministeeriumi ülesannete hulka kuuluvad riigisaladuse ning salastatud välisteabe kaitse korraldamine, kaitseväeluure, Välisluureameti töö korraldamine ning Eesti ja Põhja Atlandi Lepingu Organisatsiooni julgeoleku ja kaitsepoliitika analüüsimine ja planeerimine. Julgeolekukaalutlustel (oht ametnike julgeolekule ning seeläbi oht Eesti riigi julgeolekule) on Kaitseministeeriumil, Kaitseväel ja teistel riigi julgeoleku eest vastutavatel asutustel õigus kehtestada juurdepääsupiirang (AvTS § 35 lg 1 p 31) ametnike andmetele. Arvestatava uue julgeolekuohuna saab ära markeerida ka avaandmete masspäringute, andmete nn kraapimise ning alla laadimise eraisikute (dokumendiregistrid.karlerss.com/), erinevate tsiviilasutuste (https://worksup.com/app/#/event/A2KONVERENTS/agenda/plan), sh välisriikides asuvate organisatsioonide (ka välisriikides asuvate meedimajade poolt). Riigiasutuste loodud avalikele registritele (Äriregister, Kinnistusraamat) on juurdepääs igaühel, sh välisriigi kodanikul, kuna juurdepääs avalikule teabele ei ole seaduse tasandil kodanikuõigusena piiratud (PS § 44, AvTS § 4). Arvestades rahvusvahelist julgeolekukeskkonda ning infotehnoloogia kiiret arengut, sh tehisintellekti arengut ja kasutamise hüppelist kasvu, võib detailsete andmete kättesaadavus olla otseseks ohuks riigi julgeolekule. Detailsed avaandmed, mis on täna kõigile nii riigi siseselt kui välisriigis kättesaadavad, võimaldavad ja

Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502

lihtsustavad olulisel määral riigi vastu suunatud destabiliseerivate tegevuste toimepanemist ja/või laiemalt sõjalise ründetegevuse planeerimist. Riigil peab olema suurem hoolsuskohustus oma kodanike andmete hoidmisel. Senine praktika - isiku nime ja isikukoodi põhine otsing on põhjustanud probleeme julgeolekuorganite ametnikele, kohtuametnikele ja eraisikutele (näiteks Kinnistusaamatu kaasus: https://www.aki.ee/uudised/kinnistusraamatust- massparingute-tegemise-seaduslikkus). Andmekaitse Inspektsioon jõudis toona järeldusele, et eraisiku poolt automatiseeritud lahendust kasutades ekinnistusraamatust isikukoodide alusel massilist päringute tegemist ei saa lugeda isiklikul või kodusel eesmärgil toimuvaks andmetöötluseks. Seetõttu peab sellise andmetöötluse puhul järgima IKÜM-st ja vajaduse korral muudest eriseadustest tulenevaid isikuandmete kaitse nõudeid. Selliseks andmetöötluseks peab olema õiguslik alus (IKÜM art 6) ja järgima peab ka isikuandmete töötlemise põhimõtteid (IKÜM art 5). Kaitseministeerium on korduvalt puutunud kokku avaandmete masspäringute ja andmete kraapimise tagajärjel loodud eravalduses oleva andmebaasi (dokumendiregistrid.karlerss.com/) teemaga, kus eraisik on võtnud avaliku teabe töötleja rolli, kuid andmetöötlusele ei kohaldu AvTS sätted, sh kohustus kaitsta juurdepääsupiiranguga teavet avalikuks tuleku eest. Muuhulgas sisaldab eraisiku andmebaas infot riigiteenistujate ja nende kontaktandmete kohta, juurdepääsupiiranguga teavet, aga ka teavet, mis on loodud asutuse sisekasutuseks Eesti näitel leidnud tõendamist, et ka avalikult kättesaadavat infot edastatakse vaenuliku riigi luureteenistusele. Lähtuvalt eelnevast, tuleb riigi julgeoleku tagamise sh riigikaitse korraldamise vaates, riigiüleselt hinnata millistele (ava)andmetele autentimata ja kasutamispiiranguta juurdepääs antakse.

2.4. Organisatsiooni sisemise töökorralduse vajadusteks ning asutustevaheliseks dokumentide menetlemiseks peetavad andmekogud

AvTS VTK loetleb punktis 6 erandid andmejälgija liidestamiskohustusest. Eranditena tuuakse välja muuhulgas ainult organisatsiooni sisemise töökorralduse vajadusteks ning asutustevaheliseks dokumentide menetlemiseks peetavad andmekogud, kuid seda ainult juhul, kui vastavad andmekogud ei ole liidestunud x-teega. Asutuste kasutuses võib olla nö sisemise töökorralduse tagamiseks andmekogusid (nt dokumendihaldussüsteem), mis kasutavad x-tee andmeliiklust, kuid on loodud sisemise töökorralduse tagamiseks. Palume seletuskirjas täpsemalt kirjeldada, millised andmekogud liigituvad erandi alla. Samuti palume kaaluda selles valguses täiendava punkti (punkt 5) lisamist AvTS § 4310, mis loob üldseaduses erandi tegemise võimaluse.

2.5. Andmesubjekti õiguste piiramine andmekogu vastutava töötleja poolt Andmejälgija päringulogide avalikustamata jätmisel nähakse julgeolekuasutuste päringutele kaks võimalust:

1) lähtuda samadest alustest, mille puhul näeb julgeolekuasutuste seadus (JAS) ette andmete avalikustamise piirangu, seejuures piirangu rakendamise otsustab andmekogu vastutav töötleja, mitte julgeolekuasutus; 2) riigisaladust või salastatud välisteavet töötlevatele andmekogudele ei ole kavandatud andmejälgija kasutustkohustust seada.

Arvestada tuleb, et Euroopa Kohus on mitmes kohtuotsuses sedastanud, et kuigi oluliste julgeolekuhuvide määratlemine ja asjakohaste meetmete kehtestamine kuulub liikmesriikide pädevusse, ei saa üksnes asjaolu, et liikmesriigi meede on võetud riigi julgeoleku kaitsmise eesmärgil, tingida seda, et liidu õigus ei ole kohaldatav. Seetõttu nähti IKÜM artikli 23 lõike 1 punkti a sisustamiseks ette JAS §-s 211 teabe kogumise ja andmesubjektide õiguste piirangute regulatsioon, kuid seda põhjendati eeskätt seoses julgeolekuasutuse tegevusega sellistes valdkondades, mis võivad kuuluda liidu õiguse kohaldamisalasse nagu teenistusalased küsimused või muu seadusega pandud ülesanne teostada riiklikku järelevalvet. Andmejälgija rakendumisel ei ole analoogia korras JAS § 211 lõike 3 kohaldamine riigi julgeoleku tagamiseks piisav järgmistel põhjustel:

- julgeolekuasutuse päringule vastuse andnud andmekogu vastutav töötleja ei saa otsustada, kas andmesubjekti õiguste piiramata jätmine võib kahjustada julgeolekuasutuse ülesannete täitmist; - proaktiivselt julgeolekuasutuste päringute avaldamine annab teavet julgeolekuasutuste tegevuse meetoditest ja taktikast ning kahjustab seeläbi Eesti julgeolekuhuve; - andmesubjekti õiguste piiramise igakordne otsustamine tooks julgeolekuasutusele kaasa täiendava

Sakala 1 / 15094 Tallinn / 717 0022 / [email protected] / www.kaitseministeerium.ee Registrikood 70004502

töökoormuse, mis ei ole praeguses julgeolekuolukorras vältimatult vajalik. Kokkuvõtvalt Kaitseministeerium ei toeta lahendust, mille kohaselt andmejälgija rakendumisel tuleks andmesubjekti õiguste piiramine otsustada andmekogu vastutava töötleja poolt JAS § 211 lõikes 3 sätestatud alusel ning täiendavalt peab Kaitseväele olema võimaldatud õigusaktides lubatud erisused. Lugupidamisega (allkirjastatud digitaalselt) Hanno Pevkur minister