ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST
Justiits-ja digiministeerium Teie 21.01.2026 nr 8-1/482-1
[email protected]
Meie 04.02.2026 nr 2.3-4/26/257-3
Arvamuse avaldamine eelnõule
Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks riigi info- ja
kommunikatsioonitehnoloogiliste arendusprojektide määruse eelnõu.
Eelnõu § 6 nimetab IKT-arendusprojekti puhul järgitavad põhimõtted. Samas keskenduvad need
pigem turvalisusele ja toimepidevusele, mis on küll isikuandmete töötlemisel olulised, kuid seda
pigem küber- ja julgeolekuohtude osas. Olemas on küll viide RIHA määruses toodud põhimõtetele,
milleks on muu hulgas ka seaduslikkuse põhimõte, kuid muid isikuandmete töötlemise nõudeid ei
sisalda. Samas peaks just arendust planeerides vaatama üle ka selle, et kui töödeldakse
isikuandmeid, siis kuidas tagatakse andmekaitsenõuete järgimine, milleks on muuhulgas ka
lõimitud ja vaikimisi andmekaitse põhimõtete järgimine. Viimatinimetatu järgmise kohustus
vastutava töötleja poolt tuleneb IKÜM artiklist 25. Inspektsioon leiab, et andmekaitsepõhimõtted
peaks olema esile toodud samaväärselt küberturvalisuse küsimustega. Seetõttu teeb inspektsioon
ettepaneku täiendada §-i 6 selliselt, et arendusprojekti välja töötamisel on kohustus läbi mõelda,
millised on need asjakohased tehnilised ja korralduslikud meetmed, mis on vajalikud selleks, et
tagada andmekaitsepõhimõtete rakendamine ning nende kaitsemeetmete lõimimine töötlemisse.
Eelnõu § 10 lg 1 näeb ette andmenõukoja tegevuse, mis peaks aitama tagada isikuandmete
õiguspärast töötlust ning eelnõu § 11 lg 3 näeb ette, et kui andmenõukoda on kaasatud, siis nende
tehtud otsust tuleb ka arvestada. Samas eelnõu § 7 lg 2 p 3 kohaselt suunab IKT-juhtkogu projekte
nõukodadesse vaid vajaduse korral, mis tähendab, et iga projekt ei pruugi andmenõukotta jõudagi.
Määruse järgi toetab andmenõukoda neid projekte, mille puhul ilmnevad isikuandmete töötlemise
või andmete taaskasutamisega seotud riskid või murekohad. Samas, millele tuginedes otsustatakse,
et konkreetne projekt on seotud riskiga, jääb ebaselgeks. Inspektsiooni hinnangul võiksid kõik
projektid, kus toimub isikuandmete töötlemine, jõuda ka andmenõukoja töölauale. Sellisel juhul
saakski hinnata just seda, kas ja milliseid meetmeid rakendatakse andmekaitsepõhimõtete
tagamiseks ning kas need meetmed on piisavad või mitte. Inspektsiooni praktika on näidanud, et
omanikud ise ei ole võibolla täna veel alati sel tasemel, et neid riske hinnata. Vastasel juhul ei saa
olla kindel, et projektide puhul on tagatud isikuandmete õiguspärane töötlemine ning
andmetöötlusel põhinevate avalike teenuste usaldusväärsus ja läbipaistvus, mida määrusega
tagada lubatakse.
Kuna eelnõust ei selgu nõukodade kompetents, siis soovitame kaaluda, et andmenõukojas oleks
tagatud ka isikuandmete kaitse eksperdi olemasolu.
Lugupidamisega
(allkirjastatud digitaalselt)
Pille Lehis
peadirektor
Tatari 39 / 10134 Tallinn / 627 4135 /
[email protected] / www.aki.ee
Registrikood 70004235
Andres Kudrjavtsev
[email protected]
627 4109
2 (2)