Arvamuse avaldamine eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Rahandusministeerium Teie 28.02.2025 nr 1.1-10.1/1071-1 Meie 13.03.2025 nr 2.3-4/25/2979-4 Arvamuse avaldamine eelnõule (krediiditeabe jagamise seadus) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks krediiditeabe jagamise seaduse eelnõu. Meil on esitatud eelnõu osas järgmised tähelepanekud. Eelnõu § 7 lg 1 p 2 kohaselt krediiditeaberegistrisse kantakse krediiditeabe andja üldandmed – nimetus, registrikood või isikukood ja krediiditeabe andja asukohariigi kahetäheline maakood. Krediiditeabe andjaks võib olla ka füüsiline isik, mistõttu on isikukoodi kandmine põhjendatud. Säte ei sisalda aga füüsilisest isikust krediiditeabeandja ees- ja perekonnanime. Kui seadusandja sooviks on kanda registrisse ka füüsilisest isikust krediiditeabe andja ees- ja perekonnanimi, siis tasub sätte sõnastuse täiendada vastava isikuandmete liigiga. Igal juhul täiendamist vajab ka selle sätte kohta käiv seletus seletuskirjas, mille praegune sõnastus räägib ainult juriidilise isiku andmetest (vt seletuskirja lk 32). Eelnõu § 7 lg 5 loetleb küsimusi, mida peab reguleerima põhimääruses. AKI on seisukohal, et lisaks toodud loetelule põhimääruses peaks reguleerima vastutava töötleja ja volitatud töötleja ülesannete (vastutuse) jaotus vähemalt osas, mis puudutab andmesubjektide teavitamist ja nende pöördumiste lahendamist. Peab olema arusaadav, kes vastutab andmesubjektide teavitamise eest, kelle poole tuleb andmesubjektil pöörduda oma IKÜM-st tulenevate õiguste realiseerimiseks ning kes ja kuidas nendele pöördumistele vastab. Eelnõu § 8 lg 2 sõnastus ei ole piisavalt selge. Arusaamatuks jääb, millised konkreetsed andmed peab krediiditeabe andja esitama krediidilepingu lõppemisel või nõude omandamisel kolmanda isiku poolt, st mida peetakse silmas „nimetatud teabe“ all. Seletuskirjast ka täpsemat vastust ei leidu, kuna jätkuvalt on selgusetu, millised andmed on antud juhul asjakohased. Registrisse saab kanda ainult eelnõu § 7 lg-s 1 nimetatud andmed (tegemist on ammendava loeteluga). Toodud nimekirjast sobiksid loogika järgi ainult § 7 lg 1 p-s 14 nimetatud andmed ehk tarbijakrediidilepingust tuleneva nõude kolmanda isiku poolt omandamise fakt ning eelnõu § 7 lg 1 p-s 5 nimetatud lepingu lõppemise tähtpäev. Õigusselguse huvides peaks vähemalt seletuskirjas täpsustama, millised konkreetsed andmed peab esitama, et tagada ajakohaste andmete olemasolu registris. Eelnõu § 10 lg 1 p 2 sätestab, et registripidajal on kohustus võimaldada juurdepääs krediiditeaberegistris sisalduvatele andmetele tarbijale ja käendajale enda kohta ehk tegemist on sisuliselt andmesubjekti õigusega saada vastutavalt töötlejalt teavet enda isikuandmete töötlemise kohta, mis tuleneb isikuandmete kaitse üldmääruse (IKÜM) art-st 15. AKI pöörab tähelepanu, et krediiditeaberegistris võivad sisalduda ka teiste füüsiliste isikute andmed (eelnõu § 7 lg 1 p 2 - krediiditeabe andja üldandmed), kellel on samuti õigus tutvuda enda kohta registris sisalduvate Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 andmetega. Praegune säte sõnastus piirab põhjendamatult nende isikute otse IKÜM-ist tuleneva õiguse. AKI soovitab sõnastada eelnõu § 10 lg 1 p 2 ümber selliselt, et see hõlmaks kõikide andmesubjektide õigusi, nt asendada punkti 2 sõnastuse „tarbija ja käendaja enda kohta“ sõnastusega „inimese enda kohta“. Eelnõu § 10 lg 7 sätestab, et tarbijal ja käendajal on juurdepääs oma andmetele kuni käesoleva seaduse §-s 11 sätestatud tähtaja möödumiseni. AKI arvates on tegemist sisutühja ja eksitava sättega, mis vastuolus IKÜM-iga, kuna andmesubjekti õigust saada enda isikuandmete töötlemise kohta teavet ei saa seostada andmete säilitustähtajaga, vaid andmed tuleb väljastada igal juhul siis, kui neid töödeldakse (nt tehnilise vea tõttu võivad andmed jääda õigel ajal kustutamata). Andmesubjektil on alati õigus esitada IKÜM art-st 15 tuleneva taotluse ning vastutava töötleja kohustuseks on sellele vastata (sh ka siis, kui andmeid ei töödelda). AKI soovitab see säte täielikult ära jätta. Eelnõu § 11 lg 1 reguleerib krediiditeaberegistrisse kantud andmete ja logide säilitamise tähtaegu. AKI pöörab tähelepanu sellele, et käendus võib lõppeda varem, kui krediidileping, mistõttu on küsitav, kuivõrd põhjendatud on säilitada käenduse kohta andmed kuni krediidilepingu lõppemiseni. Kui seadusandja peab seda põhjendatuks, peab see põhjendus nähtuma seletuskirjas. Eelnõu § 19 lg 1 p 3 kohaselt tuleb esitada füüsilisest isikust omandaja elulookirjeldus, mis sisaldab omandaja nime, elukohta, senist haridus-, töö- ja teenistuskäiku ning isikukoodi või selle puudumise korral sünniaega ja -kohta, samuti isiku usaldusväärsust, kogemusi, kompetentsust ja laitmatut mainet kinnitavad dokumendid. Jääb arusaamatuks, millised dokumendid tuleb esitada usaldusväärsust, kogemusi, kompetentsust ja laitmatu maine kinnitamiseks. Seletuskiri ei anna selgust juurde, kuna seletuskirjas ei ole üldse nende dokumentide esitamise kohustust mainitud (seletuskirja kohaselt tuleb esitada andmed füüsilisest isikust omandaja kohta, sh elulookirjeldus, mis sisaldab omandaja nime, elukohta, senist haridus-, töö- ja teenistuskäiku ning isikukoodi või selle puudumise korral sünniaega ja -kohta). Seletuskirja võiks täiendada sarnaselt eelnõu § 19 lg 1 p 6 juures oleva selgitusega, tuues välja võimalike dokumentide näidisnimekirja ja selgitades maine hindamise kriteeriume (või viidata sellele, et sama selgitus kehtib ka p 3 kohta). Eelnõu § 19 lg 1 p 8 kohustab esitama omandaja ettevõtlustegevuse kirjeldus ning omandamisega seotud isikute majanduslike ja mittemajanduslike huvide kirjeldus. Selgusetu on, mis läheb käesoleva seaduse kontekstis tähtsust omavate mittemajanduslike huvide alla. Palume seletuskirja vastava täpsustusega täiendada. Eelnõu § 28 lg 3 p-s 1 tuuakse välja loetelu asjaoludest, mille esinemisel ei ole tegemist inimesega laitmatu mainega. Arvestades, et isikuandmete töötlemise nõuete rikkumine pannakse tihtipeale toime läbi juriidilise isiku tegevuse, oleks AKI hinnangul mõistlik laiendada sättes toodud nimekirja selliselt, et inimese maine hindamisel oleks võimalik võtta arvesse ka tema tegevuse juriidilise isiku juhtorgani kaudu ehk arvestada mh AKI järelevalvemenetluses võetud meetmetega juriidilise isiku suhtes (eeldusel, et rikkumise toimepanemisel oli kontrollitav inimene vastavas positsioonis). Eelnõu § 28 lg 4 näeb ette, et registripidaja juhiks valitaval isikul peab olema vajalikus mahus aega oma tööülesannete täitmiseks sellel ametikohal. Seletuskirjas on rõhutatud, et see on eriti oluline juhul kui registripidaja juht tegutseb mitmete erinevate äriühingute juhtimises. Arvestades, et inimeste töövõimekus on erinev ja sõltub paljudest subjektiivsetest teguritest, jääb selgusetuks, kuidas planeeritakse tuvastada, et isikul on piisavalt aega, sh milliseid isikuandmeid hakatakse sellel eesmärgil töötlema (nt kas asjaolu, et kandidaat on viie alaealise lapse ema, võib olla mõjuvaks teguriks ajamahu piisavuse hindamisel). Eelnõu § 32 kohustab registripidajat määrama andmekaitsespetsialisti. AKI hinnangul võiks andmekaitsespetsialisti puhul näha ette minimaalsed nõuded (sh laitmatu maine, huvide konflikt jms) sarnaselt, nagu eelnõu § 34 lg 3 näeb ette siseaudiitori osa. 2 (3) Eelnõu § 44 lg 2 näeb ette andmesubjekti õiguste piiramise (menetlusosaliseks võib HMS § 11 lõike 1 tähenduses olla ka füüsiline isik). Juhime tähelepanu, et andmesubjekti õigusi piiravad sätted peavad olema kooskõlas IKÜM art-ga 23, milles on toodud, millisel eesmärgil on lubatud andmesubjektide õigusi piirata1. Eeltoodust tulenevalt tuleb eelnõu § 44 lg 2 sõnastuse viia IKÜM- iga kooskõlla, arvestades, et andmesubjektide õiguste piiramine ei saa olla tähtajatu. Kui õiguste piiramise aluseks olev asjaolu langeb ära, siis tuleb isikule tema õigused tagada. AKI lisaks märgib, et ka kriminaalmenetluses ning järelevalvemenetluses on menetlusosalisele tagatud teatud etapil alati õigus toimikuga (sh enda isikuandmetega) tutvuda. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] +372 6274108 1 Vt AKI põhjalikum selgitus andmesubjektide õiguste piiramise regulatsioonist AKI 06.01.2025 arvamuses eelnõuele nr 2.3-4/25/2979-2 3 (3) Saatja: [email protected] Saaja: "RAM Info" Teema: Arvamuse avaldamine eelnõule (krediiditeabe jagamise seadus) Kuupäev: 2025-03-14 08:37 Tähelepanu! Tegemist on välisvõrgust saabunud kirjaga. Tundmatu saatja korral palume linke ja faile mitte avada. Tere! Teile on saadetud Andmekaitse Inspektsiooni dokumendihaldussüsteemi Delta kaudu dokument. Pealkiri: Arvamuse avaldamine eelnõule (krediiditeabe jagamise seadus) Registreerimise kuupäev: 13.03.2025 Registreerimise number: 2.3-4/25/2979-4 Tundliku sisuga elektroonilised pöördumised on võimalik inspektsioonile edastada krüpteeritult kasutades ID- kaarti ja ID-tarkvara <https://installer.id.ee/?lang=est> . Kuidas dokumente krüpteerida, vaata siit <https://www.aki.ee/meist/vota-uhendust/saada-kiri> . Andmekaitse Inspektsioon Tatari 39, 10134 Tallinn Telefon: 627 4135 E-mail: [email protected] <http://www.aki.ee> www.aki.ee ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Leia meid <https://www.linkedin.com/company/estonian-data-protection-inspectorate/> LinkedInist või kuula <https://open.spotify.com/show/3zUmUfZZchralr4845AUFJ?si=a94a8df1e9264c92&nd=1&dlsi=d71b67c3014b4ca6> Andmehäälingust