Avaliku teabe seaduse muutmise eelnõu kooskõlastuskiri

Majandus- ja Kommunikatsiooniministeerium Teie 21.06.2024 nr 2-2/1724-1, [email protected] MKM/24-0677/-1K/ Meie 12.08.2024 nr 1.2-3/1610-2 Vastuskiri avaliku teabe seaduse ja keeleseaduse muutmise seaduse eelnõule Kooskõlastame avaliku teabe seaduse ja keeleseaduse muutmise seaduse eelnõu märkustega arvestamisel, paludes eelnõu ja seletuskirja muutmist ja täiendamist. Meie märkused on seotud avaliku teabe seadusesse (AvTS) kavandatud muudatustega, eelkõige nõusolekuteenusega. Samasisulise eelnõu kooskõlastasime märkustega 2022. a.1 Siis viitasime, et toetame kavandatud nõusolekuteenuse ideed, kuid rõhutasime, et teenuse tervikprotsessi selgus on seejuures väga oluline. Viitasime oma vastuskirjas mitmele küsitavustele, millest osa ei ole saanud selgeid lahendusi tänaseni. Kordame siinkohal üle, et käesoleval juhul ei ole eesmärgiks takistada nõusolekuteenuse käivitamist valdkondades, kus selle järele on selge vajadus ja selleks on olemas ka piisavad ressursid (nii tööjõud kui arenduskulu). Samas peavad seadusest lähtuma selged alused, mis võimaldavad teatud valdkondades nõusolekuteenuse pakkumisest loobuda. Murekohti on osapooled arutanud korduvalt. Ka käesoleva eelnõu küsitavusi on osapooled eraldi arutanud, kuid lõplikku selgust ei saavutatud siingi. Seetõttu esitame oma märkused alljärgnevalt ja palume neist eelnõu ning seletuskirja ülevaatamisel lähtuda.  Oleme varasemalt välja toonud, et eelnõus ei sisaldu sätteid, mis võimaldaks andmeandjal üheselt keelduda nõusolekuteenuse pakkumisest (st ühtlasi õigust mitte liidestuda andmeedastuse nõusoleku andmekoguga). Samas ei ole õigusnormide pinnalt selge, millistel alustel ja kaalutlustel on teabevaldajal õigus nõusolekuteenuse kasutusest loobuda. Seletuskirjas on toodud järgnev: „Nõusolekusüsteemi kasutamine on inimesele vabatahtlik. Seetõttu ei ole teada, kui paljud andmesubjektid nõusolekusüsteemi võimalusi kasutama hakkavad.“ „Nõusolekusüsteemi kaudu nõusoleku andmine algab ettevõtja algatusel andmete väljastamise taotlemisest, mille käigus tuleb põhjendada ka andmete kasutamise eesmärke. Sellele järgneb andmeedastus nõusoleku süsteemiga liituda sooviva andmekogu haldaja korraldatav otsustusprotsess, mille käigus hinnatakse ettevõtja tausta ja andmevajadust. Kui andmete väljastamise kohta on otsus positiivne, siis toimub vajadusel koostöös andmekogu tehnilise haldajaga andmeteenuse arendus ja avamine. Seejärel on võimalik teha liidestus, küsida andmesubjektilt nõusolekuid ja 1 Eelnõude infosüsteem. Toimik: 21-1386 - Avaliku teabe seaduse, keskkonnaseire seaduse ja ruumiandmete seaduse muutmise seadus. Suur-Ameerika 1 / 10122 Tallinn / 626 9301 / [email protected] / www.sm.ee / registrikood 70001952  2 teha andmepäringuid. Nõusolekuteenusega liidestunud vastutav töötleja vastutab oma andmekogust andmete väljastamise eest.“ Selgus, kas riigi infosüsteemi kuuluvad andmekogud peavad nõusolekuteenuse andmekoguga liidestuma või mitte, on äärmiselt oluline. See puudutab nii haldusorgani ressursikulu kui kaudselt isikute õigusi mugavusteenuste kättesaadavusele. Nende vahel tuleb leida sobiv tasakaal – mugavusteenusega ei tohiks ohtu sattuda andmekogu pidamisega seotud peamised eesmärgid, milleks andmeid algselt koguti (nt arendada ja teenindada andmekogu põhikasutajaid kui tervishoiuteenuse osutajaid vs teenindada eraettevõtjaid erinevate andmete otseedastuseks). Esmalt täiendatakse seadust riigi infosüsteemi kindlustavate süsteemidega (andmeedastuse nõusoleku süsteem ja keskne volituste haldamise süsteem). Nii kehtiv AvTS kui ka eelnõus kavandatud täpsustus viitab, et andmeedastuse nõusoleku süsteem kui kindlustav süsteem on riigi ja kohaliku omavalitsuse andmekogude pidamisel kohustuslik. Seetõttu tekib juba selle pinnalt küsimus, et kui nn nõusolekuteenuse andmekogu ei ole kohustuslik, siis miks on kohustuslik selle kindlustava süsteemi kasutamine? Eelnõu väljatöötajad selgitasid, et andmekoguga ei pea liidestuma, sellele leiab teatud viiteid ka seletuskirjast, kuid seda ei toeta kavandatud normid seaduses. Kui kindlustava infosüsteemi osas isegi parandus eelnõus teha (vrld AvTS § 439 lg 3 teine lause), siis riigi infosüsteemi kuuluva andmekogu puhul eeldatakse loodud andmekogude kasutamist (vt AvTS § 431 lg 3 ja § 433 lg 2, § 436 lg 2). Käesoleval juhul luuakse uus riigi infosüsteemi kuuluv andmekogu, mida andmekogude regulatsiooni kohaselt tuleb kasutada, kui selline põhiandmetega andmekogu on loodud. Lähtudes AvTS § 433 lg-st 5 tuleb igal nõusolekuteenuse andmekogu kasutajal tuua andmekogu põhimääruses ka andmeandjad, milleks on sellisel juhul nõusolekuteenuse andmekogu. Arenduse planeerimine on tulenevalt piiratud arendusressursist ning vastutusvaldkonna prioriteetidest pikem protsess. Olukorras, kus liidestustaotlusega soovitav andmevahetusteenus ei ole andmekogu pidaja vaatest prioriteetne (vajadus selleks ei ole märkimisväärne vms), peaks olema võimalik liidestumisest keelduda või loobuda üldse selle kasutusest (nt teatud valdkonnas või teatud andmete osas, kus liidestus ei täida avalikku huvi ega toeta terviseandmete osas inimese tervist vms). Seetõttu jääb jätkuvalt üles küsimus, milliste normide alusel toimub otsustuse kaalutlus ja teabevaldaja saab tugineda keeldumisele (vt teiste seaduste näiteid)?2 Seletuskirja kohaselt käivitab kogu vajaduse ettevõte, kes andmeid sooviks, samas võiks soovidest justkui kogu aeg keelduda. Seega ei ole õiguste kasutus selge ka ettevõtete vaatest, isegi kui sellist õigust jaatada. Puudub selgus, kuna üldse teenust on võimalik saada. Siit tekib omakorda küsimus, kui mitmele juhule või millisele valdkonnale riiklik andmekogu ja kindlustav süsteem üldse luuakse.  Oluline on rõhutada, et nõusolekuteenus ei ole päris samastatav ei teabenõude (AvTS § 23 lg 2 p 4)3 ega isiku õigusega saada oma andmetest koopia (IKÜM art 12 ja 15). 4 Mõlemad viidatud õigused põhinevad eelkõige ühekordsel väljastusel, millest nõusolekuteenus oluliselt erineb. Viimasega luuakse enamasti püsiv teenus, mis on mõeldud vähemalt teatud perioodil teenusena toimima. See toob kaasa nii konkreetse 2 Vt nt kohtuekspertiisi seaduse välistusi tasulistel teenustel (neid saab teha siis, kui haldusülesanded on täidetud, eelistama peaks alati haldusülesande täitmist; sellest võib alati keelduda jne). 3 Teabevaldaja võib teabenõude täitmisest keelduda kui teabenõuet ei saa täita ühekordse teabe väljastamisega. 4 Isikuandmete kaitse üldmäärus. Vastutav töötleja esitab töödeldavate isikuandmete koopia. Kui andmesubjekt taotleb lisakoopiaid, võib vastutav töötleja küsida mõistlikku tasu halduskulude katmiseks (art 15 lg 3). Artiklite 13 ja 14 kohase teabe esitamine ning artiklite 15–22 ja 34 kohane teavitamine ja meetmete võtmine on tasuta. Kui andmesubjekti taotlused on selgelt põhjendamatud või ülemäärased, eelkõige oma korduva iseloomu tõttu, võib vastutav töötleja kas küsida mõistlikku tasu või keelduda taotletud meetmete võtmisest (art 12 lg 5).  3 teenuse arenduse kui ka selle püsiva halduskulu. Seetõttu ei ole päris õige väide, et eelnõu muudatused ei ole kulu- ega ajamahukad. Kui nõusolekuteenuse kui riigi infosüsteemi kuuluva andmekogu andmeid tuleb asuda rakendama, sõltub tegelik ressursikulu huvist konkreetse valdkonna andmete vastu. Kuivõrd liidestustega seotud arendused ja kulud tuleb seletuskirja ja rakendusakti kavandi kohaselt katta andmekogu pidajal oma eelarvest (tööjõud ja muud ressursid) ja liitujaid võib olla palju (nt korraga mitu start-up-i), võib kaasnev kulu osutuda märkimisväärseks kui huvi andmete vastu on suur ning soovid üksteisest erinevad. Sotsiaalministeeriumi valitsemisala andmekogusid haldab Tervise ja Heaolu Infosüsteemide Keskus (TEHIK), kelle hinnangul on kulu tekkekohti mitmeid. TEHIK-u hinnangul tuleb iga nõusolekuteenuse liidestuja korral arendada uus X-tee teenus, arvestades konkreetseid andmevajadusi, ehk mida üks või teine liidestuja nõusoleku alusel soovib. Näitena võib tuua TEHIK-u arendatud X-tee teenuse, kus selle loomisel tuli teha kaks eraldi päringut ja erinevate andmekomplektidega – nt kõik inimese immuniseerimised ja kõik inimese Sars-COV-2 analüüside tulemused. Sellise töö maht oli 888 töötundi ja töö kogumaksumus oli 48 102,96 eurot. Iga uue kolmanda osapoole puhul, kes tahab teisi andmekoosseise, tähendab see TEHIK-ule täiendavaid arendusi. Kolmanda sektori mugavusteenused ei pruugi olla asutuse vaatest prioriteetsed ning eelkõige ei tohiks ohtu sattuda haldusülesannete täitmine. Seetõttu on oluline välja tuua, et selliste kuludega ei ole käesoleval juhul arvestatud, mistõttu on keeldumise aluste selgus seda olulisem.  Ühtlasi palume seletuskirjas selgitada liidestumistaotluse menetlusprotsessi kuni arenduseni ja sellele kohalduvaid tähtaegu (nt taotluse menetlus, arendus ja õigusaktide muutmine andmekogude põhimääruses). Selgitused on selles osas pealiskaudsed.  Sõltuvalt sellest, kuidas kohustusi mõista, võib vajada seaduse rakendamine üleminekuaega (nt kui see eeldab erisuste tegemist eriseadustes).  Kindlasti tuleks eelnõu täiendada nõusolekute ja tahteavalduste säilitamise erisustega, et võimaldada regulatsiooni paindlikkus. Kui personaalmeditsiini teenuse raames liidestuksid teenusega nii geenivaramu kui tervise infosüsteem, siis erineksid tahteavaldusele kehtestatud nõuded eelnõus kavandatust (nt opt-in vs opt-out). Personaalmeditsiini kavandatu näitel tuleks isiku tahteavaldus geeniandmete ülekandmiseks geenivaramust tervise infosüsteemi säilitada kooskõlas andmekogu enda kehtestatud reeglitega ehk säilitamine sõltuks viimasest tahteavaldusest, millega andmeedastus lõpetatakse (eelnõu kohaselt säilitakse andmed kolm aastat tahteavalduse tegemisest). Milline võiks olla sobiv eriregulatsioon, sõltub andmete tundlikkusest ja liidestuvast andmekogust. Seetõttu võiks jääda eelnõu sõnastus paindlikum, et võimaldada vajadusel erinevate andmekogude liidestumine. Eelnõu võiks täiendada nt järgmiselt (täiendus allajoonitult): „Nõusoleku andmekogus töödeldavaid andmeid ja logisid säilitatakse kolm aastat pärast tahteavalduse tegemist või nõusoleku kehtivuse lõppemist, kui riigi infosüsteemi kuuluva andmekogu tingimused ja säilitamise tähtaeg ei ole sätestatud seaduses või selle alusel antud õigusaktis teisiti.“  Eelnõust ja seletuskirjas ei selgu, millistele nõuetele peab vastama andmesaaja (nt kui võtta aluseks teabevahetus andmekogude vahel, kus nt tervise infosüsteemis andmeid saav infosüsteem peab vastama küberturvalisuse kõrgematele nõuetele kuivõrd andmeandja annab andmesaajale üle eriliiki isikuandmeid). Arvestades terviseandmete  4 vastu toimepandud küberründeid, võib see olla asjakohane lisakriteerium. Seletuskirjas puudub ka info, kas loodavatel uutel teenustel on võimekus toetada nt sündmusteenuseid.  Seoses volituste infosüsteemiga toome eraldi välja, et TEHIK haldab ja arendab Tööinspektsiooni tööelu infosüsteemi, mille peamised kasutajad ongi just ettevõtted. TEHIK on rakendanud rollidest lähtuvat volituste süsteemi. Sarnaselt nõusolekuteenusega tekib siingi küsimus, kas eelnõus planeeritud keskne volituste haldamise andmekogu on kohustuslik või mitte. Kuigi sellega seotud volituste haldamise kindlustav süsteem ei ole kohustuslik (selgelt normist nähtuv), võiks eelnõu selgelt viidata ka selle andmekogu liidestumise vabatahtlikkusele (tegemist on riigi infosüsteemi kuuluva andmekoguga). Kui loodav andmekogu tähendab liidestumist ja keskse loogika muutmist, tähendaks see TEHIK-u rakendatud teenustele kindlasti suurt rahalist kulu (nt tänase tööelu infosüsteemi õiguste halduse sünkroonimine muu infosüsteemiga läheb maksma kuni 300 000 eurot). Tegemist ei ole pelgalt liidestusega vaid selle testimise-, analüüsi- ja arenduskuluga, mis võib olla lõppastmes üsna märkimisväärne. Seetõttu tuleks selgelt sätestada, kas andmekoguga liidestumine on kohustuslik või mitte. Arvestades kogu eelnevat, ei ole meil võimalik kooskõlastada eelnõu sellisel kujul, kus teenuste toimivus ning osapoolte kohustused on ebaselged. Kordame veelkord oma esialgset mõtet kaardistada pakutavad andmeedastusteenused nõusolekuteenuste andmekogu põhimääruses või muus kohas (eesti.ee-s või kodulehel, kus iga andmekogu pidaja annab selleks sisendi). Oluline, et selline kohustus kehtestatakse. Nii tagatakse ka andmete kättesaadavuse läbipaistvus ettevõtetele ning on selge, et ootused ei saa olla sellest laiemad. Lugupidamisega (allkirjastatud digitaalselt) Riina Sikkut terviseminister (allkirjastatud digitaalselt) Signe Riisalo sotsiaalkaitseminister Nele Nisu [email protected]