Arvamus eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Lp Andres Sutt Teie 24.11.2025 nr 1-4/25/5170 Kliimaministeerium [email protected] Meie 10.12.2025 nr 2.3-5/25/3849-2 Arvamus andmekogu põhimääruse muutmise eelnõule Täname, et saatsite Andmekaitse Inspektsioonile arvamuse avaldamiseks energeetika- ja keskkonnaministri määruse „Keskkonnaministri 29. juuni 2017. a määruse nr 20 „Keskkonnaotsuste infosüsteemi asutamine ja andmekogu pidamise põhimäärus“ muutmine“ eelnõu. Meil on seoses esitatud eelnõuga järgmised tähelepanekud. 1. Eelnõu punktidega 5–8 muudetakse põhimääruse sätteid, mis loetlevad andmekogu vastutava ja volitatud töötleja ülesanded. Kehtiva põhimääruse järgi on andmekogu vastutavaks töötlejaks Keskkonnaamet ning volitatud töötlejateks Keskkonnaagentuur ja Keskkonnaministeeriumi Infotehnoloogiakeskus (KEMIT). Esmalt peame vajalikuks selgitada, et andmekogudega seonduvat reguleerib avaliku teabe seadus (AvTS), mille § 43⁴ lõike 1 järgi on andmekogul vastutav töötleja (haldaja), kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist ning vastutab andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest. Sama paragrahvi lõige 2 annab andmekogu vastutavale töötlejale õiguse volitada edasi andmete töötlemist ja andmekogu majutamist teisele riigi- või kohaliku omavalitsuse asutusele, avalik- õiguslikule juriidilisele isikule või hanke- või halduslepingu alusel eraõiguslikule isikule vastutava töötleja poolt ettenähtud ulatuses. Põhimääruse § 3 lõikes 2 loetletud ülesannetest nähtuvalt täidab Keskkonnaamet andmekogu vastutava töötleja (haldaja) ülesandeid ning nagu ilmneb põhimääruse § 4 lõikest 3, on andmekogu majutamine volitatud edasi KEMIT- le. Olukorras, kus andmekogus töödeldakse isikuandmeid, tuleb andmekogudega seoses eristada ka isikuandmete töötlemise vastutavat töötlejat ja selle rolliga seotud kohustusi. Kui andmekogu vastutava töötleja (haldaja) ülesanded on seotud andmekogu pidamisega, siis isikuandmete kaitse üldmäärus (IKÜM) näeb isikuandmete vastutavale töötlejale ette mitmeid kohustusi just seoses isikuandmete töötlemisega. Justiits- ja Digiministeerium on oma juhises selgitanud, et kui isikuandmeid töödeldakse andmekogus, s.t andmekogu kaudu täidetakse seaduses sätestatud ülesannet, siis vastutab andmekogu haldaja ehk vastutav töötleja AvTS mõttes ka selles andmekogus toimuva isikuandmete töötluse eest. Kui andmekogu kaudu täidavad oma ülesannet mitu asutust, siis on nad koos andmekogu haldajaga kaasvastutavad töötlejad. Sellisel juhul tuleb Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee Registrikood 70004235  seaduse tasandil määrata kindlaks andmekogu kaasvastutavad töötlejad ning andmekogu põhimääruses sätestada, kellel millised kohustused on. Põhimääruse § 4 lõike 2 punktidest 1 ja 11 nähtuvalt töötleb Keskkonnaagentuur andmekogus andmeid õigusaktides sätestatud kohustuste täitmiseks ehk tegemist ei ole andmete töötlemisega Keskkonnaameti kui vastutava töötleja nimel, vaid nii Keskkonnaamet ise kui ka Keskkonnaagentuur täidavad mõlemad andmekogu kaudu neile õigusaktides sätestatud ülesandeid, töödeldes sellega seoses ka andmekogus olevaid isikuandmeid. Seega tegemist võib olla isikuandmete kaasvastutavate töötlejatega. IKÜM artikli 26 lõige 1 näeb ette, et kui kaks või enam vastutavat töötlejat määravad ühiselt (või on seda nende eest teinud ametlikult juba seadusandja) kindlaks isikuandmete töötlemise eesmärgid ja vahendid, siis on nad kaasvastutavad töötlejad. Kaasvastutavate töötlejate puhul tuleb kindlaks määrata nende vastutusvaldkonnad IKÜM-st tulenevate kohustuste täitmisel. Vastutuse määramisel tuleb eelkõige arvesse võtta andmesubjektide õiguste kasutamist ja teabe andmise kohustusi. Lisaks peaks vastutuse jaotus hõlmama muid vastutava töötleja kohustusi, näiteks seoses üldiste andmekaitsepõhimõtete, õigusliku aluse, turvameetmete, andmetega seotud rikkumisest teatamise kohustuse, andmekaitse mõjuhinnangute, volitatud töötlejate kasutamise, kolmandatee riikide andmete edastamise ning andmesubjektide ja järelevalveasutusega suhtlemise. Lähtuvalt eeltoodust soovitame üle vaadata andmekogu vastutava ja volitatud töötleja ülesanded ning kaasvastutuse korral loetleda põhimääruses kaasvastutavate töötlejate ülesanded IKÜM-st tulenevate kohustuste täitmisel. Ühtlasi soovitame kaasvastutuse puhul edaspidi keskkonnaseadustiku üldosa seaduse muutmisel muuta seadust selliselt, et §-st 401 nähtuks andmekogu kaasvastutavad töötlejad. 2. Eelnõu punktiga 13 sõnastatakse põhimääruse § 7 tervikuna uuesti. Sealjuures täpsustatakse § 7 lõiget 9, mille järgi kantakse andmekogusse isiku üldandmed, milleks on isikut tuvastada võimaldavad andmed (isikukood, ees- ja perekonnanimi) ning kontaktandmed (e-posti aadress, telefon, aadress). Seletuskirjas on selgitatud, et tegemist on kõikide andmekogusse kantavate isikute kohta kogutavate andmetega. Samas nähtub, et andmekogu keskkonnakaitselubade andmestikku kantakse ka kiirgustegevusloa taotluste ja menetlusega seotud andmed. Eelnõu punktiga 14 täiendatakse põhimäärust §-ga 71, mis annab täpsema loetelu andmekogu andmetest. Nimetatud paragrahvi lõike 1 punkt 9 viitab kiirgusseaduse § 691 lõike 3 ja § 751 lõike 2 alusel kehtestatud määrustele, mis mõlemad näevad ette ka kiirgustöötajate andmete esitamise. Mõlema määruse lisades on esitatavate andmetena loetletud kiirgustöötaja ees- ja perekonnanimi, sugu, isikukood (või sünniaeg), ametikoht, kiirgustööle asumise aasta, kiirgustöötaja kategooria, tervishoiutöötaja puhul registrikood, koolituse läbimise kuupäev. Samuti näevad mõlemad määrused ette ka kiirgusohutuse spetsialisti kohta andmete kogumise. Samas ei nähtu põhimäärusest otseselt, et eelloetletud andmeid andmekogusse kogutakse. Nõustume eelnõu punkti 14 osas seletuskirjas toodud põhjendusega, et keskkonnaotsuste andmekogu puhul ei ole otstarbekas erinevates õigusaktides loetletud andmete loetelusid uuesti andmekogu põhimääruses korrata, kuid selline lähenemine ei sobi andmekogusse kogutavate isikuandmete osas. IKÜM-st tulenev isikuandmete töötlemise üks aluspõhimõte on just läbipaistvuse põhimõte, mis eeldab, et isikuandmete töötlemisega seotud teave ja sõnumid on inimese jaoks lihtsalt kättesaadavad, arusaadavad ning selgelt ja lihtsalt sõnastatud. Ilmselt ei saa läbipaistvuse põhimõttega kooskõlas olevaks pidada olukorda, kus inimene peab selleks, et aru saada, kas ja milliseid andmeid tema kohta andmekogusse kogutakse, tutvuma erinevate õigusaktidega ja nende lisadega. 2 (3) Andmekogude kontekstis on inspektsiooni eesmärk alati püüelda selle poole, et andmekogu reguleerivaid sätteid lugedes oleks lihtsalt, kiirelt ja üheselt võimalik aru saada, milliseid andmeid kogutakse, miks ja kuhu neid kogutakse ning kellega jagatakse. Just andmekogu põhimääruse eesmärk ongi luua siin selgust ja läbipaistvust. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Terje Enula [email protected] 627 4144 3 (3)