Arvamus isikuandmete kaitse seaduse ja teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse eelnõu osas 07.01.2026

Statistikaamet Tatari 51, 10134 Tallinn rg-kood 70000332; tel 625 9300 [email protected], www.stat.ee

Teie: 16.12.2025 nr 8-1/10086-1 Justiits- ja digiministeerium [email protected] Meie: 07.01.2026 nr 1-10/0469-1 Arvamus isikuandmete kaitse seaduse ja teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmise seaduse eelnõu osas

Justiits- ja digiministeerium on esitanud arvamuse avaldamiseks isikuandmete kaitse seaduse ja teadus-ja arendustegevuse korralduse seaduse muutmise seaduse eelnõu (edaspidi eelnõu), millega soovitakse täpsustada isikuandmete kaitse seaduse (edaspidi IKS) §-ga 6 hõlmatud olukordi, kus isikuandmeid kasutatakse teadus- ja ajaloouuringutes või riikliku statistika koostamisel. Lisaks eelkonsultatsiooni käigus esitatud selgitamist vajavatele aspektidele esitab Statistikaamet enda järgnevad seisukohad

1. Eelnõuga jäetakse § 6 lõikest 1 välja sõna „riiklik“ põhjendusega, et säte kohaldub igasuguse, mitte ainult riikliku statistika kohta. Sealjuures selgitatakse, et statistiline eesmärk tähendab kõiki isikuandmete kogumise ja töötlemise toiminguid, mis on vajalikud statistikauuringuteks või statistika koostamiseks. Eelnõus ega ka seletuskirjas ei ole defineeritud, mida tähendab statistika, sh millest tuleb lähtuda hindamaks, kas isikuandmete töötlemise korrektse õigusliku aluse nõuded on täidetud. Juhime siinkohal tähelepanu, et ka EL isikuandmete kaitse üldmääruses (edaspidi IKÜM) on põhjenduspunktis 163 viide vajadusele riiklike statistikaasutuste poolt kogutava Euroopa ja riikliku ametliku statistika koostamiseks kasutatavate isikuandmete puhul lähtuda nii vastavast EL statistika üldmäärusest (EÜ) nr 223/200 kui liikmesriigi õigusest. Kuivõrd kehtivas IKS-is on reguleeritud isikuandmete töötlemist riikliku statistika vajadusteks ka teistes § 6 lõigetes, tekib küsimus, kuidas tagatakse vastav erisus, mis täna on riikliku statistika seaduse (edaspidi RStS) § 31 lõikes 1 ja § 38 lõikes 1. Hetkel jääb ebaselgeks, mille alusel töötleb amet edaspidi isikuandmeid, kui peab täitma enda seadusest tulenevat ülesannet ehk tegema statistikat, mis RStS § 1 lõike 1 kohaselt saadakse riikliku statistika programmi või programmivälise statistikatöö raames andmete statistilise töötlemise tulemusena. Lisaks, milline saab olema teavitamiskohustus AKI ees vastavalt eelnõu lõikele 5, kuivõrd uuringu mõiste on laiem, hõlmates ka statistikat. Samuti, kas lõige 10 võiks hõlmata ka RStS-i, kui paragrahvis sätestatud nõudeid ei kohaldata olukorras, kus uuringu eesmärgid ja isikuandmete töötlemise ulatus on otseselt määratud seadusega, kuigi lõike juures on selgitatud, et tegemist on tehnilise muudatusega. Märgime, et muudatusega ei tohi isikuandmete töötlemise nõuded riikliku statistika tegemise jaoks muutuda keerulisemaks, pigem peaks eelnõu muudatuse eesmärgi valguses isikuandmete töötlemine riikliku statistika tegijate jaoks muutuma paindlikumaks ja lihtsamaks. Statistika tegemist võimaldav lahendus on see, et kehtiva IKS § 6 lõigetes 1-3 ja 6 viidatud riikliku statistika vajadusteks isikuandmete töötlemise põhimõtted jäävad kehtima, kuivõrd ka RStS § 31 lõikes 1 on selgesõnaliselt sätestatud, et riikliku statistika tegemisel kasutatakse isikuandmeid IKÜM- is ja IKS-is ettenähtud alustel ja korras, arvestades käesolevas seaduses sätestatud erisusi.

2. Eelnõuga laiendatakse isikuandmete töötlemise õigusliku aluse, sh isikuandmete töötlejate ringi ning sätestatakse täiendavad tingimused isikuandmete töötlemise lubatavusele. Siinkohal on oluline tuua välja, et RStS § 1 lõike 1 kohaselt on riiklikuks statistikaks nii see teave, mis saadakse riikliku statistika programmi alusel tehtavate tööde tulemusena kui ka programmivälise statistikatöö raames. Tänase IKS-i tõlgenduse kohaselt on nii Justiits- ja Digiministeeriumi (edaspidi JDM) kui Andmekaitse Inspektsiooni (edaspidi AKI) poolt

Statistikaametit käsitletud programmivälise statistikatöö puhul volitatud töötlejana, mistõttu programmivälise statistikatöö tellijal ehk vastutaval töötlejal peab olema vajalike isikuandmete töötlemise õiguslik alus. Palume selgitada täpsemalt, kuidas toimuks uue regulatsiooni alusel programmiväliste statistikatööde tegemisel isikuandmete töötlemine lähtudes JDMi ja ja AKI tõlgendusest. Näiteks, kas Statistikaamet saab kasutada selleks juba riikliku statistika tegemiseks kogutud andmeid või peab vastavalt § 6 nõuetele küsima andmeid andmekogudest teistkordselt, sh vastavalt § 6 lõike 3 punktile 1 pseudonüümitult. Samuti, kui programmiväline statistikatöö vajab täiendavaid andmeid andmekogudest, siis kas nende andmete puhul peab lähtuma § 6 lõike 3 punkti 1 nõuetest ja need andmed tuleb eelnevalt pseudonüümida. Selgituseks märgime, et vastavalt riikliku statistika seaduse §-le 30 toimub andmete pseudonüümimine Statistikaametis. Statistika tegemist võimaldav lahendus on see, et programmivälise statistikatöö tarbeks laekuvad andmed Statistikaametisse isikustatult ning pseudonüümimine toimub riikliku statistikaga sarnaselt Statistikaametis.

3. Eelnõuga laiendatakse § 6 lõikes 2 eelkõige avaliku sektori isikute ringi, kes võivad teha lõikes 1 nimetatud uuringuid. Kuivõrd eelnõu seletuskirjas selgitatakse, et IKÜM-i põhjenduse 159 kohaselt tuleks teadusuuringute eesmärgil toimuvat isikuandmete töötlemist tõlgendada nii laialt, et see hõlmab näiteks tehnoloogiaarendust ja tutvustamistegevust, alusuuringuid, rakendusuuringuid ja erasektori vahenditest rahastatavaid uuringuid ning et teadusuuringuid tuleb mõista laiemalt kui üksnes teadusasutuste tehtavaid uuringuid ja et IKÜM ei piiritle isikute ringi, kes võiksid teadusuuringuid teha, loeme sellest välja, et Statistikaameti poolt varasemalt praktikast tulenevalt viidatud vajadus laiendada õigustatud subjektide ringi hõlmab uue eelnõuga ka erasektoris tegutsevaid asutusi ja organisatsioone. Seda kinnitaks ka mõjude osas välja toodud asjaolu, et kõikidele uuringu tegijatele hakkavad kehtima võrdsed õigused ja kohustused, olenemata sellest, kas tegemist on riigiasutuse, KOV-i, ülikooli või ettevõtjaga. Märgime, et õiguslikud alused isikuandmete töötlemiseks (nii õigustatud isikute ring, kasutusjuhud kui ka tingimused) peavad olema võimalikult selgelt eelnõus endas või siis eelnõu seletuskirjas välja toodud (vajadusel näidetena vmt). See tagab hilisema seaduse rakendamise sujuvuse ning võimalike ebakõlade vältimise, mistõttu palume lisada vajalikud täiendused.

4. Eelnõu § 6 lõikes 3 tuuakse välja kumulatiivsed neli tingimust, millal isikuandmete töötlemine on lubatud ilma andmesubjekti nõusolekuta, kui kasutatakse meetmena pseudonüümimist või muud samaväärset kaitset tagavat meedet. Punktis 1 nimetatud tingimuse puhul palume täpsustada, kas siin on mõeldud avaliku teabe seaduse tähenduses riigi infosüsteemi kuuluvat andmekogu. Sama mõistet kasutatakse ka järgnevates lõigetes, kus on vajalik aru saada, kes on sel juhul vastutav töötleja (nt lõige 9). Punktis 2 sätestatud lisatoimingu keeld, mis tekitaks võimaluse isik tuvastada, ei pruugi olla sõnastuslikult täielikult kooskõlas Statistikaameti praktikaga. Vastavalt RStS § 34 lõikele 1 on andmed, mis võimaldavad statistilise üksuse otsest või kaudset tuvastamist ja seeläbi üksikandmete avalikustamist, konfidentsiaalsed andmed ning §-is 34 on sätestatud erinevad reeglid otsese ja kaudse tuvastatavuse tagamiseks. Seetõttu teadlaste turvalises keskkonnas pärast andmetöötlust ja enne uuringu edastamist selle autorile, teostatakse vastav väljundikontroll, et vältida otsest või kaudset tuvastamist. Sama kehtib ka punkt 3 osas, kus tuvastamist tuleks vältida just tulemuse osas, sest ka töötlemise käigus võib veel esineda kaudset tuvastamist. Nimetatud sätte sõnastus vajab seetõttu muutmist.

5. Eelnõu § 6 lõikega 4 tuuakse Statistikaameti vaatest sisse uus teenus, kuivõrd Statistikaametile antakse õigus isikustatud andmeid töödelda viisil, et ühe või mitme andmekogu vastutavad töötlejad edastavad isikustatud andmed Statistikaametile andmete pseudonüümimiseks või muu samaväärset kaitset pakkuva meetme kasutamiseks ja uuringu tegijale edastamiseks. Seletuskirjas viidatakse sellele kui alternatiivsele lahendusele juhuks, kui näiteks on vaja eri andmekogude andmed isikustatud kujul ühendada, aga puudub võimalus eri andmekogudes andmed nt sarnase metoodika järgi pseudonüümida. Seletuskirjas on selle lõike juures selgitatud, et Statistikaametile antakse õigus isikustatud andmeid töödelda selleks, et muuta need uuringu tegijale sisuliselt anonüümseteks andmeteks. Siin on oluline vältida mistahes väärarusaamu mõistete kasutamisel ehk et kui eelnõu tekstis kasutatakse mõistet „pseudonüümimine“, siis seda ei saa võrdsustada andmete anonüümseks muutmisega, sest pseudonüümimise tulemusel ei muutu andmed anonüümseteks. Anonüümsed andmed on täielikult isikust eraldatud nii, et inimest ei ole enam võimalik tuvastada, ei otse ega kaudsete meetoditega. Lisaks, kui näiteks § 61 lõikes 4 on ette nähtud võimalus, et valdkonna eest vastutaval ministril on õigus kehtestada määrusega täiendavaid tehnilisi ja korralduslikke turvanõudeid

andmetöötlussüsteemis andmete töötlemisele, siis kuidas tagatakse Statistikaametis pärast andmete pseudonüümimist ja tellijale edastamist, et vastuvõtjal on olemas turvaline ja seadusele vastav keskkond. See tähendab, millised on ameti volitused selle teenuse pakkumisel seaduse alusel näiteks kontrolli teostamisel või on vastutus täielikult tellijal. Juhime ka tähelepanu, et Statistikaameti poole pole seni ükski klient sellise eraldi pseudonüümimise vajadusega pöördunud. Selline tegevus oleks ameti jaoks täiendav ressursikulu ja täiesti uus teenusetüüp, mille puhul tuleb arvestada uue protsessi ülesehitamist, et andmete vastu võtmine, hoidmine, pseudonüümimine ja edasi saatmine toimuks turvanõudeid jälgides ülejäänud statistikatootmisest eraldisesivana. See nõuab uusi tehnilisi lahendusi, aga ka uut pseudonüümimismetoodikat. Kuna uue teenuse vajadus ja potentsiaalsed kasutajad on teadmata, siis võiks kaaluda selle teenuse välja jätmist. Seni ja ka tulevikus on võimalik riikliku statistika programmivälise tööna mitme andmekogu ühtse metoodika alusel pseudonüümitud andmete ühendamine Statistikaameti abil ning Statistikaameti pakutavas turvalises keskkonnas, milles tagatakse ka väljundi kontroll, välistamaks kaudse tuvastamise võimalus.

6. Eelnõu § 6 Lõike 5 kohaselt ei pea olukorras, kus uuringus töödeldakse andmeid nii, et on

täidetud lõikes 3 sätestatud tingimused, enne taotlema eetikakomitee hinnangut, vaid uuringu tegija teavitab AKI-t vastavast uuringust, uuringu eesmärkidest, töödeldavatest andmetest ja § 6 lõikes 3 sätestatud tingimuste täitmisest. Kuna erinevalt kehtivast seadusest ei kasutata eelnõus mõisteid vastutav ja volitatud töötleja, v.a andmekogu vastutav töötleja, jääb antud lõike puhul ebaselgeks, kellena käsitletakse uuringu tegijat ning kes ja kuidas teavitab AKI-t, kuna uuringu tellija ja teostaja võivad olla erinevad isikud. Palume samuti täpsustada, kas samad tingimused andmetele ligipääsuks kehtivad ka eriliiki isikuandmete puhul ehk vajalik on üksnes AKI teavitamine sõltumata uuringu eesmärgist ja teostajast, s.t ka erasektori uuringu puhul. Sellisel juhul kohalduks vastav kord justkui nii neile juhtumitele, kui Statistikaamet täidab ise ülesannet ja töötleb andmeid, kui ka neile, kus uuringu tegija soovib ise turvalises töötluskeskkonnas pseudonüümitud andmeid analüüsida. Siin sooviksime ka täpsemat riskide hindamist.

7. Eelnõuga tuuakse sisse uus § 61, mis sätestab tingimused, kui isikuandmeid uuringu teostamisel töödeldakse vastavas andmetöötlussüsteemis. Eelnõu seletuskirjas on mõjude punkti all viidatud, et eelduslikult tekib selliseid andmetöötlussüsteeme 3–5. Palume siiski täpsemalt selgitada, millest lähtudes on nõuded taolisele andmetöötlussüsteemile kehtestatud, kes võiks olla sellise andmetöötlussüsteemi teenuse pakkujad (sh kas on teada, kellel on praegu juba eelnõus sätestatud nõuetele vastavad andmetöötlussüsteemid olemas või kes on neid süsteeme arendamas), kes ja kuidas saavad selliseid süsteem kasutada ning kas tegemist oleks tasulise teenusega. Lisaks märgime, et lõikes 5 tuuakse sisse enne süsteemi kasutuselevõttu või selles tehtud arenduse kasutuselevõttu AKI kontroll, mille käigus hinnatakse muu hulgas, kas andmetöötlussüsteemis rakendatakse piisavaid meetmeid andmete pseudonüümimiseks, logimiseks, juurdepääsu piiramiseks ja muude riskide maandamiseks. Palume siinkohal täpsustada, kuidas on silmas peetud arenduste hindamist ehk kas peetakse silmas üksnes uute moodulite lisamist või iga üksikut tehnilist parendust. Samuti, millist kompetentsi see uus funktsioon AKI-lt eeldab ja millises osas on RIA abiks arvestades, et seletuskirjas on viidatud, et AKI koormus väheneb seetõttu, et ta ei tee enam uuringute eelkooskõlastusi, kuid suureneb järelevalve ja eelkontrollide tõttu.

Kokkuvõtvalt, palume neid märkusi eelnõu edasisel menetlusel arvesse võtta ning vajadusel oleme valmis täiendavalt jagama selgitusi ja tegema koostööd lahenduste leidmisel. Lugupidamisega (allkirjastatud digitaalselt)

Urmet Lee Peadirektor

Koostajad: Liina Osila 5690 7559, [email protected] Marre Karu 5885 7223, [email protected] Ilona Reiljan 5331 1740, [email protected] Margus Matt 5346 8394, [email protected] Thea Palm 5196 1547, [email protected]