Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Liisa-Ly Pakosta Teie 04.02.2026 nr 8-1/900-1 Justiits- ja Digiministeerium [email protected] Meie 20.02.2026 nr 2.3-4/26/470-2 Arvamus eelnõu väljatöötamiskavatsusele Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks avaliku teabe seaduse (AvTS) muutmise eelnõu väljatöötamiskavatsuse (VTK). Andmekaitse Inspektsioon toetab VTK eesmärki korrastada riigi andmekorralduse raamistikku, parandada andmekirjelduste kvaliteeti ning anda andmete teabeväravale (ATV) selge õiguslik roll. Samas peame tähtsaks, et plaanitava reformiga ei langeks isikuandmete kaitse tase ning andmekogude õiguslik ja tehniline vastavus oleks kontrollitav ka pärast RIHA kooskõlastusprotsessi kaotamist. Kavandatavad lahendused Andmekorraldusliku raamistiku korrastamiseks on VTK-s esitatud neli alternatiivi. Kõik alternatiivid näevad ette tänase RIHA kooskõlastamise kui ebaefektiivse, käsitööpõhise ja dubleeriva protsessi täieliku kaotamise, millega võib nõustuda, kuna praktikas kooskõlastusprotsess oma eesmärki kas üldse ei täida või täidab üksnes osaliselt. Samas kaob kooskõlastusprotsessi kaotamisega ka preventiivne kontroll, mis omakorda tähendab, et kaob võimalus ennetavalt tuvastada õigusvastaseid andmekoosseise ja liiasusega isikuandmete kogumist. Eriti puudutab see I alternatiivi, mis näeb lisaks kooskõlastusprotsessi kehtetuks tunnistamisele ette ka andmekogu registreerimise kohustuse kaotamise ning mõlema protsessi asendamist ATV põhise nn järelseirega, mida on VTK-s kirjeldatud kui valdkondade põhist post- hoc nõuetelevastavuse seiret. Seega saavad asutused andmekogusid arendada ilma kooskõlastusahelat läbimata ja kogu kontroll hakkab toimuma tagantjärele ehk rikkumised avastatakse alles pärast kahju toimumist. Alternatiivi puuduseks saab kindlasti pidada ka seda, et nii kooskõlastusprotsessi kui ka registreerimise kohustuse lõpetamine jätab kohalike omavalitsuste andmekogud ilma ennetavast kontrollist, mis tähendab, et nende andmekogudega seotud rikkumised ilmnevad alles järelkontrollis. Vaatamata puudustele RIHA kooskõlastus- ja toimimisprotsessis on olnud sellisel registreerimise kohustusel siiski üks suur pluss – nimelt on andmekogude loomine ja arendamine, nende kirjeldamine jms olnud algusest peale kõigile ühetaoline. RIHA kooskõlastuse kohustus tõi endaga Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235 kaasa selged nõuded, mida andmekogude vastutavad töötlejad teadsid, millest kinni peeti ja mis sundisid protsesse läbi mõtlema. Seeläbi oli tagatud andmekogude loomise teatav raamistatus ja jälgitavus. Välisdelegatsioonidega kohtumistel on avaldatud meie andmekogude registreerimise süsteemi üle imetlust ja see on kujunenud teistele andmekaitseasutustele eeskujuks kui süsteem, mis tagab ühtsed reeglid ja keskse ülevaate ning aitab hoida andmetöötluse kontrolli all. Selles on nähtud kui usaldusväärsuse, sh riigi terviku usaldusväärsuse tagajat. Seetõttu on meie hinnangul oluline andmekogude registreerimise kohustuse säilitamine. Lisaks leiame, et ennetava kontrolli puudumine võib kaasa tuua ka andmekirjelduste kvaliteedi ja ajakohasuse jätkuva varieeruvuse, aga ka põhiandmete ebaühtlase määratlemise ja andmete topelt kogumise ohu, mida samuti hakatakse likvideerima alles järelseire raames. Siinjuures kordame juba varasemalt arutelude käigus öeldut, et proaktiivse kontrolli asendamine tagantjärele järelevalvega ei tähenda lihtsust ja efektiivsust. Ennetamine on alati odavam, kui tagajärgedega tegelemine. Järelkontroll on (inim)ressursimahukam ja sellest tulenevalt ka kulukam protsess. Isikuandmete kaitse üldmääruse (IKÜM) artikkel 25 näeb ette vastutavale töötlejale lõimitud ja vaikimisi andmekaitse põhimõtete järgimise kohustuse. See tähendab, et mistahes andmetöötlusprotsesse luues on oluline arvestada andmekaitsepõhimõtetega võimalikult varajases staadiumis. Seegi viitab vajadusele ja kohustusele ennetada andmekaitse küsimusi. Andmekaitsepõhimõtetega vastavusse viimine hilises staadiumis või puuduste tuvastamine järelkontrolli käigus ei tähenda kulusid mitte ainult järelevalveasutusele, vaid puuduste avastamisel ka andmekogu vastutavale töötlejale (süsteemi ümbertegemine). Kui aga seaduse väljatöötaja leiab, et järelkontroll on tõhusam, kuigi kulukam, ja see aitab kiirendada andmekogu loomist ning ollakse valmis sellesse investeerima, siis on selline valik ka arusaadav. Kindlasti ei pea me mõistlikuks II alternatiivis ette nähtud kahe paralleelselt eksisteeriva süsteemi (RIHA ja ATV) pidamist ning toetame andmekirjelduste, avaandmete ja n-ö andmekogude kataloogi ühtsesse keskkonda (ATV) üleviimist, mille vahendusel oleks võimalik saada ülevaade avaliku sektori andmekogudest, nende haldajatest, seotud õigusaktidest jm andmekogu pidamisega seotud üksikasjadest. Nõustume, et see tagab kogu vajaliku teabe kättesaamise ühest kohast, muutes andmevaldkonnast huvitatud isikute ja asutuste jaoks neile vajaliku teabe leidmise hõlpsamaks. III alternatiivi osas on VTK mõjude analüüsis märgitud, et pakutav lahendus kaotab osaliselt tegevused, mida on peetud lisaväärtuseta käsitööks, kuid säilitab Riigi Infosüsteemi Ametile (RIA) olulise kontrollmehhanismi, mis võimaldab tagantjärele toimuva seire kõrval ennetada andmekogude asutamisele ja pidamisele seatud õigusalaseid ja tehnilise koosvõime alaseid rikkumisi. Sama on selgitatud ka IV alternatiivi osas – siiski ei ole registreerimine tulevikus IV alternatiivi kohaselt enam seotud sellele täna eelneva, andmekogu dokumentatsiooni kooskõlastamisega, vaid on andmekogu vastutava töötleja vaates sisuliselt automatiseeritav tegevus – viimast selle mööndusega, et sarnaselt tänasele peab ATV haldaja (RIA) andmekogu registreerimise kinnitama, mis võimaldab (jällegi, sarnaselt tänasele) kontrollida ka tehnilise realisatsiooni kooskõla andmekogu dokumentatsiooni ja selle aluseks oleva õigusaktiga. Kokkuvõtvalt toetame alternatiivi, mis säilitab andmekogu, sh kohaliku omavalitsuse andmekogu registreerimise kohustuse koos ATV haldaja kontrolliga ehk õigusega tõkestada ennetavalt nõuetele mittevastava andmekogu kasutuselevõttu. Leiame, et post-hoc nõuetelevastavuse seire üksi ei ole piisav isikuandmete kaitse taseme hoidmiseks. Siinjuures peame vajalikuks rõhutada, et kõikide pakutud variantide probleem on laiem – need eeldavad väga head andmekaitsealast teadlikkust ja andmekaitsekultuuri kõrget taset avalikus 2 (7) sektoris. Kahjuks ütleb tänane kogemus, et andmekaitseteadlikkus avaliku sektori asutuste seas on ebaühtlane. Väga paljudes avaliku sektori asutustes ei ole jätkuvalt tähtsustatud andmekaitse ekspertide vajadust ja rolli, kuni sinnamaani, et nii mõneski neist ei ole tänini andmekaitsespetsialiste või on need ülesanded pandud teisejärgulisena mõne teise rolli juurde ehk siis andmekaitsealane kompetents on olemas vaid paberil. Ehkki selline kohustus kehtib juba pea kaheksa aastat, on see roll nii mõnelgi juhul alahinnatud ja -väärtustatud. See annab aga omakorda alust kahelda asutuste isikuandmete kaitse teadlikkuse küpsuses ja võimekuses tagada piisav isikuandmete kaitse tase andmekogudes. Mis ei tähenda, et vältimatult peaks säilitama eelkontrolli või seda veelgi karmistama. Oluline on hoopis mõista, kui oluline roll on ja saab olema süsteemsel ning tulemuslikul järelkontrollil, millesse investeerimisse ei tohiks suhtuda kergekäeliselt. Järelevalvest Nõuetelevastavuse seire osas on VTK-s rõhutatud, et seire puhul ei ole tegemist haldusjärelevalvega, kuna asutused, kes täna on RIHA kooskõlastajad (v.a Andmekaitse Inspektsioon) ei saa võimalike puudujääkide tuvastamisel reageerida haldusjärelevalve meetmetega, kuid võivad võimaliku rikkumise avastamisel sellest teavitada Andmekaitse Inspektsiooni, kes saab olukorrale seejärel juba oma AvTS-i 6. peatüki kohase järelevalvepädevuse raames reageerida. VTK koostajad on mõjude eelanalüüsis märkinud, et AKI kui teabe avalikustamise ning andmekogude asutamise ja pidamise eest vastutava järelevalveasutuse jaoks tähendab IV alternatiiv sarnaselt I ja III alternatiivile üleminekuvajadust tänaselt, n-ö reaktiivselt RIHA kooskõlastusprotsessilt proaktiivsemat panustamist nõudvale riskipõhisele seirele ja samuti tihedamat koostööd Justiits- ja Digiministeeriumiga, et AKI seisukohtadega oleks arvestatud juba andmekogu aluseks oleva õigusakti VV reglemendi järgses kooskõlastusmenetluses (kui tegemist on sellise õigusaktiga, mis VV reglemendi järgi kooskõlastamisele kuulub). AKI jaoks muutub ATV lisaks kõigele muule ka tööriistaks, mille abil on võimalik haldusjärelevalvet läbi viia. Järelevalverolli muutumine ja seirepõhisele nõuetelevastavuse kontrollile üleminek võib endast aga kujutada võimalikku lisakoormust, mis võib nõuda täiendavat tööjõudu. Kindlasti toovad muudatused kaasa Andmekaitse Inspektsiooni töökoormuse suurenemise nii nõuetelevastavuse seire näol, aga ka avaandmete ja andmekirjelduste avalikustamist ning kättesaadavaks tegemist puudutava järelevalve osas. VTK-s on välja toodud, et RIHA-s on tänaseks 61% andmekoosseise puudu või aegunud. Isegi kui eeldada, et uute andmekogude puhul suudetakse riske hinnata ja isikuandmete töötlus läbi mõelda, siis ebaselgeks jääb, kuidas tagatakse juba olemasolevate andmekogude korrastatus. Viimase aasta jooksul ühiskonda raputanud skandaalid andmekogudega viitavad süsteemsetele probleemidele, mida ei ole kõrvaldatud teatud juhtudel ka siis, kui neile tähelepanu on juhitud. Mis tähendab, et kui ootus on süsteemsemale ja jõulisemale järelkontrollile ka nende osas, on inspektsiooni koormuse kasv veelgi suurem. Lisaks näeb VTK ette AI lahenduste läbipaistvuse standardi järgimist ning avaliku nimekirja loomist. See aga tähendab, et Andmekaitse Inspektsioon peab hakkama hindama riskihinnanguid, mõju põhiõigustele ja dokumentatsiooni kvaliteeti, mis omakorda võtab menetluslikult palju ressursse. Siinjuures peame vajalikuks juhtida tähelepanu ka Andmekaitse Inspektsiooni vastandlikele rollidele, mis muudatustega kaasnevad. Nimelt tekib olukord, kus Andmekaitse Inspektsioon ühelt poolt peab hakkama järelevalvemenetluse raames kontrollima avaandmete, mille hulka loetakse ka isikuandmed, avalikustamist ja kättesaadavaks tegemist ning teisalt peab lahendama järelevalvemenetluse raames andmete avalikustamisega seotud vastuväiteid. Seega lisaks töökoormuse märgatavale suurenemisele tekib vajadus inspektsiooni töö laialdasemaks ümberkorraldamiseks ja strukturaalsete muudatuste tegemiseks. Selgelt kõrgem 3 (7) ootus inspektsiooni järelevalve võimekusele eeldab nii inimeste arvu suurendamist kui ka eraldi struktuuriüksuse loomist, et tagada sõltumatus ja vältida huvide konflikti. Kui hetkel teostavad teabenõuete täitmise, teabe avalikustamise ja asutusesiseseks kasutamiseks ettenähtud teabe kaitsmise üle järelevalvet kaks ametnikku ning andmekogude pidamise üle üks ametnik, mis on tänast mahtu arvestades juba liiga vähe, siis ilmselgelt ei ole võimalik nende jõududega muudatustega kaasnevaid lisaülesandeid täita. See aga tähendab Andmekaitse Inspektsioonile vajadust luua täiendavaid töökohti, mis omakorda nõuab olemasolevate ressursside täiendamist arvestusega, et ühe töökoha kulu aastas on kokku 61 400 eurot, s.o tööjõukulu 56 400 eurot aastas (4 700 eurot kuus) ja majanduskulu 5 000 eurot aastas (sh töökoha kulud, koolitused, tervise edendamine, prillikompensatsioonid jms). Andmekaitse Inspektsiooni seisukohtadega arvestamise osas andmekogu aluseks oleva õigusakti kooskõlastusmenetluses selgitame, et juba täna on Andmekaitse Inspektsiooni kaasatud eelnõu esimesse kooskõlastusringi arvamuse andjana. Seda küll mitte alati, mis on osutunud probleemiks ja vajab plaanitava reformi käigus kindlasti lahendamist. Justiits- ja Digiministeerium (JDM) on oma eelnõude koostamise juhises 1 selgitanud, et IKÜM-i kohaselt peab liikmesriik konsulteerima järelevalveasutusega (AKI), kui koostamisel on riigi parlamendis vastu võetava õigusakti eelnõu või sellisel õigusaktil põhinev rakendusakt, mis on seotud isikuandmete töötlemisega (vt IKÜM-i artikli 36 lõige 4). Tavaliselt on selle kohustuse täitmiseks AKI kaasatud eelnõu esimese kooskõlastusringil arvamuse küsimisega. IKÜM-i artikli 52 järgi tegutseb AKI IKÜM-iga kooskõlas antud ülesannete täitmisel ja volituste kasutamisel täiesti sõltumatult. Seetõttu ei ole JDM-il võimalik kohustada AKI-t andma sisendit valitsemisala ühtse seisukoha kujundamiseks ning eelnõu koostaja peab ise eelnõu AKI-le kooskõlastamiseks edastama. Samuti näeb IKÜM artikli 58 lõige 3 punkt b ette Andmekaitse Inspektsiooni kui järelevalveasutuse õiguse esitada omal algatusel või taotluse alusel isikuandmete kaitsega seotud küsimustes arvamusi riigi parlamendile, liikmesriigi valitsusele või, kooskõlas liikmesriigi õigusega, muudele institutsioonidele ja asutustele ning samuti avalikkusele. Seega on Andmekaitse Inspektsioonil juba täna õigus oma arvamuse esitamiseks, kuid puuduvad hoovad, mis sunniks andmekogu haldajaid Andmekaitse Inspektsiooni tehtud märkuste ja soovitustega arvestama ning puudusi kõrvaldama. Oma senisele praktikale tuginedes võib öelda, et märkused, mis ei ole seotud konkreetsete muudatustega, aga viitavad näiteks üldistele puudustele andmekogu regulatsioonis (liigselt lai volitusnorm, säilitustähtaegade küsimus vms), jäetakse pigem kõrvale märkusega, et hetkel on eesmärk muudatused ellu viia ja põhjalikuma korrastamise juurde tullakse tagasi kunagi hiljem. Inspektsioonil puudub ülevaade, kui paljudel juhtudel ka tegelikult hiljem selle juurde tagasi tullakse, kuid pigem on kahtlus, et seda juhtub väga harva. Seetõttu ei saa tänast arvamuse andmist pidada preventiivse kontrolli osaks, kui Andmekaitse Inspektsioonil puudub võimalus takistada nõuetele mittevastava andmekogu kasutusele võtmist. Ilmselt ei aita seda tühimikku täita ka tihedam koostöö JDM-iga. RIA kaasamine VTK-st nähtuvalt omab RIA tähtsust nii ATV pidamisel kui ka andmekogude registreerimisel. Arvestades mõlema asutuse rolli seoses andmekogudega, siis peame vajalikuks RIA kaasamist Andmekaitse Inspektsiooni poolt järelevalvemenetluste läbiviimisel, aga ka vastupidi – RIA järelevalvemenetlustes võimalust Andmekaitse Inspektsiooni kaasamiseks. Ilmselt on sellist koostööd võimalik reguleerida koostööleppega, mis tähendab kohustust sõlmida ka isikuandmete töötlemise kokkulepe, kuna üldjuhul eeldab järelevalvemenetlus ka isikuandmete 1 Juhis isikuandmete ja avaliku teabe töötlemise ning andmekogude reguleerimise kohta eelnõudes 4 (7) töötlemist. Andmekaitse Inspektsiooni arvates on mõistlik juba seadusega reguleerida võimalus kaasata järelevalvemenetluse raames vajadusel teine asutus ning reguleerida nendevaheline andmetöötlus. Sellisel juhul ei peaks kaks riigiasutust sõlmima omavahelisi koostöökokkuleppeid ja vastutava-volitatud töötleja lepinguid. Küll aga peab vastav regulatsioon vastama IKÜM artiklis 28 märgitud tingimustele. Avaandmetega seotud probleemid VTK 3. peatükis nähakse ette järelevalvepädevust ja -meetmeid puudutavad muudatused, millega täiendatakse AvTS §-e 45 ja 51. Muudatuse eesmärk on anda Andmekaitse Inspektsioonile sõnaselge õigus teostada haldusjärelevalvet selle üle, kas teabevaldaja on oma avaandmete ja andmekirjelduste avalikustamist puudutavad kohustused täitnud. Samuti anda Andmekaitse Inspektsioonile õigus ettekirjutuse abil juhtida teabevaldaja tähelepanu asjaolule, et viimane on jätnud avaandmed või andmekirjeldused avalikustamata või nõutud vormingus kättesaadavaks tegemata. Muu hulgas on VTK-s selgitatud, et e-teenuseid, andmekogusid ja nende pidamist puudutavate nõuete kõrval ei saa aga unustada, et igasugune avaliku võimu ülesandeid täites dokumenteeritud teave kujutab endast ka „avalikku teavet“. Avalik teave, millele ei ole seatud juurdepääsupiiranguid, kvalifitseerub omakorda AvTS § 31 lg 1 tähenduses „avaandmeteks“. Lisaks on viidatud AvTS § 31 lõikele 4 ning § 29 lõigetele 5 ja 6, mis nõuavad, et avaandmed peavad olema avalikkusele kättesaadavaks tehtud Eesti teabevärava kaudu ning seda masinloetaval kujul, avatud vormingus ja koos neid puudutavate andmekirjeldustega. Seega kuuluvad masinloetaval kujul avaandmetena avalikkusele kättesaadavaks tegemisele ATV kaudu ka isikuandmed, kui nende andmete üldiseks kasutamiseks andmine ei kahjusta oluliselt isiku eraelu puutumatust. Selleks näeb AvTS ette, et enne teabe üldiseks kasutamiseks andmist peab teabevaldaja esmalt hindama teabe üldisele kasutamisele piirangute kehtestamise vajadust ning seejärel hindama, kas piiranguta isikuandmete üldiseks kasutamiseks andmine võib kahjustada isiku eraelu puutumatust ja kui kahjustab, siis anda see üldiseks kasutamiseks viisil, mis ei kahjusta oluliselt isiku eraelu puutumatust. Samas on Andmekaitse Inspektsioonile avaandmete seires antud tagasisides juhitud tähelepanu sellele, et teabevaldajal on isikuandmete puhul keeruline eraelu riive mõju hinnata, kuna puudub kogumis ülevaade sellest, millist teavet on inimese kohta võimalik muudest allikatest saada. Siinjuures tuleb tagasiside andjaga nõustuda. Kuna avaandmete puhul on üheks nõudeks, et need peavad olema ka masinloetavad, siis annab see võimaluse erinevaid infokilde kokku segades saada inimese kohta kogumis sellist teavet, mis lõpuks võib riivata oluliselt tema eraelu puutumatust, kuid mida teabevaldaja ei oska algselt ette nähagi. Seega võib öelda, et isikuandmete piiranguta üldiseks kasutamiseks andmine on alati seotud eraelu puutumatuse riivega ning arvestades mosaiigiefekti võib piiranguta avaldamine lõpptulemuseks viia eraelu puutumatuse olulise riiveni. Avaandmetega seonduvast oleme kirjutanud ka oma 19.12.2025 antud arvamuses Euroopa Komisjoni avaldatud digiomnibusi lihtsustamispaketile.2 Arvamuse punktis 18, mis puudutab avaandmetega seotud muudatusi, oleme märkinud, et hetkel on avaandmete direktiivi erinevalt ülevõtmine toonud kaasa piiranguta andmete taaskasutamise piiride erinevad tõlgendused. Seetõttu on tervitatav avaandmete direktiivi ja andmehalduse määrus ühildamine, sh lähenemine, et isikuandmeid ei tohi anda avaandmetena taaskasutamiseks ilma kaitsemeetmeid rakendamata. Ühtlasi oleme leidnud, et avaandmete avaldamisel ja taaskasutamisel on oluline leida tasakaal avatud juurdepääsu ja isikuandmete kaitse vahel, seda eelkõige juhul, kui avaandmed võivad sisaldada isikuandmeid. 2 Andmekaitse Inspektsiooni avalik dokumendiregister 5 (7) Seega peavad piiranguta andmete üldiseks kasutamiseks andmist puudutavad muudatused selgelt välja tooma, kuidas avaandmed ja isikuandmed omavahel suhestuvad, sh kehtestama teabe taaskasutamiseks andmisele konkreetsed nõuded (sh millal peaks seaduse alusel avalikustatava ja isikuandmeid sisaldava teabe üldiseks kasutamiseks andmist piirama täiendavate meetmetega ning millistega) ning andma teabevaldajale selged juhised üldisele kasutamisele piirangute kehtestamise vajaduse hindamiseks3. Alternatiiv sellele on, et isikuandmed ei ole avaandmeteks. Tehisaru algoritmi läbipaistvust puudutavad muudatused VTK-s on probleemina esile tõstetud, et avalikus sektoris puudub ajakohane ülevaade rakendatud tehisaru kasutusjuhtudest. Seetõttu on tervitatavad muudatused, mis suurendavad avalikus sektoris tehisintellekti kasutamisel läbipaistvust. Selleks kavandatakse kehtestada avalikule sektorile tehisaru algoritmi läbipaistvusega seotud dokumenteerimise ja avalikustamise kohustus. VTK-s pakutud muudatustest nähtuvalt on sihtrühm küll muu hulgas järelevalveasutused, kuid ei nähtu lahendusi, kas ja mil viisil võiks järelevalveasutustele järelevalve selgemaks ja tõhusamaks muutuda. Selles osas ei ole lahendusi välja pakutud ning seda ei aita mõista ka kavandatav AvTS § 331 sätte sõnastus. Seetõttu palume kaaluda kavandatava sätte muutmist selliselt, et järelevalveasutusel on õigus enne tehisintellekti kasutusele võtmist kavandatava AvTS § 331 lõikes 2 nimetatud dokumentidele ligi pääseda. Küsimus ei ole niivõrd volituse või pädevuse aluse loomises, kuna selle annab tehisintellekti käsitlev määrus4 järelevalveasutustele otse, vaid viisis, kuidas võiksid dokumendid järelevalveasutusele kättesaadavad olla, et tagada järelevalveasutustele selline mõju, nagu on VTK-s kirjeldatud. Samuti juhime tähelepanu IKÜM-ist tulenevatele läbipaistvusnõuetele. Juhul kui avaliku sektori tehisintellekti rakendust kasutatakse automatiseeritud otsuste tegemiseks, siis tuleb andmesubjektile esitada teave IKÜM artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sh profiilianalüüsi tegemise kohta. Lisaks tuleb, vähemalt nendel juhtudel, esitada sisuline teave ka kasutatava loogika kohta ning selle kohta, millised on sellise töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks. Seega tuleks meie hinnangul kaaluda kavandatavasse AvTS §-i 331 ka IKÜM-ist tuleneva teabe dokumenteerimise ja esitamise kohustuse lisamist (IKÜM artikkel 13 lõige 2 punkt f, artikkel 14 lõige 2 punkt g, artikkel 15 lõige 1 punkt h), et seeläbi suurendada ka isikuandmete töötlemise läbipaistvust automatiseeritud otsuste tegemisel. Lisaks viidatakse VTK-s, et oma olemuselt võivad sätted sobida hästi ka haldusmenetluse seaduse eelnõusse, mis käsitleb automaatotsuseid. Samuti on meile teadaolevalt loomisel tehisintellekti käsitleva määruse rakendamise seadus. Juhime tähelepanu sellele, et kui erinevad tehisintellekti juurutamist ja kasutamist puudutavad nõuded on killustatuna erinevates seadustes, siis see ei pruugi luua asjaosalistes selgust ja võib raskendada kõikide täitmiseks kohustuslike nõuete hoomamist. Seda eelkõige tehisintellekti rakendajate vaatest. Tehisintellekti käsitleva määruse artikli 71 kohaselt peavad suure riskiga tehisintellektisüsteemide juurutajad (avaliku sektori asutused, ametid või organid) enne määruse lisas loetletud suure riskiga tehisintellektisüsteemi kasutamist end registreerima ELi andmebaasis ning valima seal süsteemi, mida nad kavatsevad kasutusele võtta5. Selleks on neil kohustus edastada EL andmebaasile teatavad andmed. VTK kohaselt peaksid avaliku sektori tehisarul põhinevate lahenduste pakkujad ja juurutajad samuti koostama enne süsteemi kavandamist, turule laskmist või kasutuselevõtmist algoritmi läbipaistvuse standardi ning esitama JDM-ile. VTK-st ei nähtu, kas ja kuidas 3 Selgete juhiste puudumisele on viidanud Tallinna Strateegiakeskus 30.06.2023 saadetud kirjas (Andmekaitse Inspektsiooni avalik dokumendiregister) 4 Tehisintellekti käsitlev määrus (2024/1689) 5 Vt ka tehisintellekti käsitleva määruse põhjenduspunkti 131, artikli 26 lõiget 8 ning artikli 49 lõikeid 3 ja 4 6 (7) kavandatakse kahte andmete esitamise kohustust ühildada. Seega võivad AvTS-i kavandatavad tehisintellekti algoritmi läbipaistvuskohustuse muudatused tuua teatud avaliku sektori asutustele kaasa topelt andmete esitamise kohustuse, mis aga suurendab halduskoormust. Seejuures on tehisintellekti määrusest tulenevad nõuded otsekohalduvad ja avaliku sektori asutustele järgimiseks kohustuslikud. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 Agnes Järvela [email protected] 627 4145 7 (7)