Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Erkki Keldo Teie 30.03.2026 nr 2-2/1145-1 Majandus- ja Kommunikatsiooniministeerium Meie 14.04.2026 nr 2.3-5/26/1359-2 [email protected] Arvamus eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks majandus- ja infotehnoloogiaministri 22. detsembri 2023. a määruse nr 69 „Töötukassa andmekogu põhimäärus“ muumise eelnõu. Arvestades, et käsil on andmekogu põhimääruse muutmine, mis annab võimaluse muuta ka kehtivat põhimäärust selgemaks ja konkreetsemaks, siis esitame tähelepanekud nii eelnõu kui ka kehtiva põhimääruse osas. 1. Eelnõu § 1 punktiga 9 täiendatakse põhimääruse § 31 lõike 1 punkti 11 tekstiosaga, mille kohaselt on töötukassa andmekogusse kogutavateks andmeteks ka andmed ambulatoorsete visiitide, haiglas viibimiste, ravi, ravimite ja meditsiiniseadmete kohta. Samas jääb siiski ebaselgeks, milliseid andmeid andmekogusse kantakse. Sama puudutab ka punktiga 10 tehtavaid muudatusi, kus samuti jääb kogutavate andmete koosseis ebaselgeks. Näiteks ei ole selge, milliseid andmeid kogutakse abivajava raske või sügava puudega pereliikme või puudega isiku hooldamise kohta või milliseis andmeid erihoolekandeasutuses ööpäevaringsel erihooldusteenusel viibimise kohta. AvTS § 435 lõike 1 kohaselt tuleb andmekogu põhimääruses muu hulgas sätestada andmekogusse kogutavate andmete koosseis. Andmekaitse Inspektsioon on andmekogude juhendi1 punktis 3.3 selgitanud, et andmekogusse kogutavate andmete täielik loetelu ei pea olema seaduses, vaid seadusega võib täpse andmete koosseisu kehtestamise delegeerida täitevvõimule. Põhimäärus aga peab sisaldama ammendavat loetelu antud andmekogusse kogutavatest andmetest. Seejuures peab loetelust ka selguma, kelle kohta (st andmesubjektide kategooriad) neid andmeid kogutakse. Kui andmete koosseis on väga mahukas, võib loetelu esitada põhimääruse lisana. Samuti on Justiits- ja Digiministeerium oma juhises2 (JDM juhis) selgitanud, et andmekogu põhimääruses tuleb sätestada andmekogusse kantavate andmete täpne/ammendav loetelu (vajaduse korral saab esitada lisana) – nt isiku üldandmed või „isiku kohta käivad andmed“ ei ole piisavalt ammendavad, kuna pole võimalik aru saada, mis on täpne andmekoosseis. Seega palume andmekogusse kogutavate andmete koosseis sätestada põhimääruses selliselt, et oleks võimalik aru saada, milliseid konkreetseid andmeid andmekogusse kogutakse. Lisaks oleme oma varasemalt antud arvamuses3 juhtinud tähelepanu sellele, et töötukassa andmekogu põhimäärusest ei selgu, millised põhimääruse §-s 40 loetletud andmekogudest saadud andmed on põhimääruse 3. peatükis loetletud töötukassa andmekogu andmeteks. 1 Andmekogude juhend 2 Juhis isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta eelnõudes 3 Andmekaitse Inspektsiooni avalik dokumendiregister Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  Näiteks näeb põhimääruse § 40 lõige 9 ette Töötukassa õiguse saada tervise infosüsteemist andmeid ambulatoorsete visiitide, haiglas viibimise, ravi, ravimite ja meditsiiniseadmete kohta, kuid selgusetuks jääb, millised konkreetsed andmed tervise infosüsteemist töötukassa andmekogusse kantakse. AvTS § 435 lõike 1 järgi tuleb andmekogu põhimääruses sätestada andmeandjad. Andmekogude juhendis on andmekogu pidamise olulise küsimusena, mida tuleb põhimääruses reguleerida, loetletud ka andmete allikad ehk millistest andmekogudest või kelle käest (millistelt andmeandjatelt) andmeid saadakse. Seeläbi määratakse tegelikult kindlaks, millised on selle konkreetse andmekogu unikaalsed põhiandmed. Nimelt keelab AvTS § 433 lõige 2 asutada ühtede ja samade andmete kogumiseks eraldi andmekogusid. Samuti on JDM juhises märgitud, et andmekogu põhimääruses tuleb sätestada andmete allikad ehk andmeandjad koos nende antavate andmetega. Leiame jätkuvalt, et põhimääruse § 40 vajab muutmist selliselt, et põhimäärust lugedes oleks võimalik aru saada, millised andmekogud on töötukassa andmekogule andmete andjateks ja milliste põhimääruse 3. peatükis loetletud andmete osas. Vastasel juhul on keeruline mõista, millised andmed on töötukassa andmekogu põhiandmed, millised andmevahetusest saadud andmed ning millised on päringuga saadud andmed, mida andmekogusse ei salvestata. 2. Samuti juhime veel kord tähelepanu sellele, et töötukassa andmekogu põhimääruse § 6 loetleb andmekogusse kantavad füüsilise isiku üldandmed, milleks muu hulgas on ka pangakonto number ja välisriigi panga korral panga nimi ja tunnuskood. Sealjuures näeb sama paragrahvi lõige 3 ette, et kui Töötukassa poolt makstav toetus või hüvitis kantakse teise isiku pangakontole, siis kantakse andmekogusse konto omaniku nimi ja pangakonto number. Kuigi töötuskindlustuse seaduse (TKindlS) §-d 10 ja 143 näevad ette taotluse esitamisel pangakonto märkimist, siis TKindlS § 35 lõike 4 punktid 1 ja 2, mis annavad loetelu isiku üldandmetest ja muudest temaga seotud andmetest, pangakonto andmete kogumist andmekogusse isikuga seotud andmetena ette ei näe. IKÜM4 artikli 5 lõike 1 punkti a kohaselt tuleb isikuandmete töötlemisel tagada, et töötlemine on muu hulgas seaduslik ja andmesubjektile läbipaistev. Igasuguseks isikuandmete töötlemiseks peab IKÜM artikli 6 lõikest 1 tulenevalt esinema õiguslik alus. Antud juhul saab isikuandmete töötlemise õiguslikuks aluseks olla IKÜM artikli 6 lõike 1 punkt e ehk isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks või vastutava töötleja avaliku võimu teostamiseks. IKÜM artikli 6 lõike 1 punktide c ja e alusele tuginemine eeldab aga lisaks, et isikuandmete töötlemise alus on kehtestatud täiendavalt ka liidu või liikmesriigi õigusega (IKÜM artikkel 6 lõige 3). Teisisõnu tähendab see seda, et IKÜM artikli 6 lõike 1 punktid c ja e ei ole ilma täiendava EL-i või siseriikliku sätteta iseseisevad õiguslikud alused isikuandmete töötlemiseks. Kui IKÜM-s osutatakse õiguslikule alusele või seadusandlikule meetmele, ei pea selleks tingimata olema parlamendi poolt vastu võetud seadusandlik akt, kuid selline õiguslik alus või seadusandlik meede peaks siiski olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse.5 Samas austatakse IKÜM- s kõiki põhiõigusi ning peetakse kinni aluslepingutes sätestatud ja EL põhiõiguste hartas (harta) tunnustatud põhimõtetest, mille hulka kuulub muu hulgas ka isikuandmete kaitse.6 Vastavalt harta artikli 52 lõike 1 esimesele lausele tohib hartaga tunnustatud õiguste ja vabaduste (sh artikliga 7 tagatud õiguse eraelu puutumatusele ja harta artikliga 8 tagatud õiguse isikuandmete kaitsele) teostamist piirata ainult seadusega, mis konkreetsemalt 4 Euroopa parlamendi ja nõukogu Määrus (EL) 2016/679, 27. aprill 2016, füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta 5 IKÜM põhjenduspunkt 41 6 IKÜM-i põhjenduspunkt 4 2 (3)  tähendab, et õiguslik alus, mis võimaldab neid õigusi riivata, peab tulenema seadusest. Ka meie põhiseaduse § 26 järgi on eraelu puutumatus põhiseaduslik õigus ja seda võib piirata ainult seadusega. Seejuures tuleb arvestada, et kui tegevus riivab isikute põhiõigusi, saab seda teha üksnes põhiseadusega kooskõlas oleva seaduse alusel (PS § 3 lõige 1 ja § 11). Olulisuse põhimõtte kohaselt on seadusandja kohustatud sätestama kõik põhiõiguste seisukohalt olulised küsimused. Sealjuures, mida intensiivsem on põhiõiguste riive, seda üksikasjalikum peab olema täitevvõimu tegutsemise aluseks olev volitusnorm ning seda täpsemad ka menetlusnormid. Seega otsustab seadusandja, millist liiki isikuandmeid on lubatud andmekogus töödelda ning see loetelu peab olema piisavalt täpne, et välistada ebaselgus ja piirata täitevvõimu kaalutlusõigust. Lisaks on JDM oma juhises selgitanud, et üldiselt tuleb seaduses sätestada isikuandmete kategooriad (nt üldandmed, haridusandmed jne) ning andmekogu põhimääruses antakse juba konkreetne loetelu, milliseid andmeid andmekogusse kogutakse. Sealjuures on juhises selgitatud, et isiku üldandmete puhul on tegemist kinnise loeteluga, kuhu kuuluvad nimi, isikukood, sugu, kodakondsus, kontakt (sh aadress) ja emakeel. TKindlS § 35 lõike 4 punkt 1 loetleb aga üldandmetena ka isiku teovõime ja surmaaja, mis ei lähe kokku JDM antud juhisega. Soovitame edaspidi TKindlS muutmisel eemaldada üldandmete loetelust teovõime ja surmaeg, lisades need muude andmete loetellu, ning ühtlasi täiendada isiku kohta kogutavate muude andmete loetelu pangakonto andmetega. 3. Ühtlasi juhime tähelepanu põhimääruse § 3 lõike 5 punktile 2, mille kohaselt koosneb andmeladu lisaks põhimääruse 3. peatükis loetletud andmetest ka sellistest andmetest, mis on saadud statistika ja analüüside tegemiseks kolmandatelt isikutelt. Põhimäärusest ei nähtu, keda on kolmandate isikute puhul silmas peetud ning milliseid andmeid nad andmekogusse edastavad. Nagu eelnevalt selgitatud, siis andmekogus töödeldavate andmete täpne ammendav koosseis peab olema esitatud põhimääruses ning töödeldavate isikuandmete kategooriad seaduse tasandil. Juhul kui eelnimetatud andmed hõlmavad aga selliseid andmeid, mis põhimääruses ega seaduses ei kajastu, siis tuleb regulatsiooni muuta. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 3 (3) Saatja: [email protected] Saaja: "info - MKM" <[email protected]> Teema: Arvamus eelnõule Kuupäev: 2026-04-14 14:28 Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Tere! Teile on saadetud Andmekaitse Inspektsiooni dokumendihaldussüsteemi Delta kaudu dokument. Palume sellele meiliaadressile mitte vastata. Tegemist on süsteemisisese aadressiga. Vastuskiri saatke aadressile [email protected] <mailto:[email protected]> . Pealkiri: Arvamus eelnõule (töötukassa andmekogu) Registreerimise kuupäev: 14.04.2026 Registreerimise number: 2.3-5/26/1359-2 Tundliku sisuga elektroonilised pöördumised on võimalik inspektsioonile edastada krüpteeritult kasutades ID- kaarti ja ID-tarkvara <https://installer.id.ee/?lang=est> . Kuidas dokumente krüpteerida, vaata siit <https://www.aki.ee/meist/vota-uhendust/saada-kiri> . Andmekaitse Inspektsioon Tatari 39, 10134 Tallinn Telefon: 627 4135 E-mail: [email protected] <mailto:[email protected]> <http://www.aki.ee> www.aki.ee ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Leia meid <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> LinkedInist või kuula <https://open.spotify.com/show/3zUmUfZZchralr4845AUFJ?si=a94a8df1e9264c92&nd=1&dlsi=d71b67c3014b4ca6> Andmehäälingust