eelnõu arvamuse avaldamiseks

Justiitsministeerium 23.11.2018 nr 1-6/1717-1 Rahandusministeerium Kaitseministeerium Majandus- ja Kommunikatsiooniministeerium Välisministeerium Eelnõu esitamine kooskõlastamiseks Austatud ministrid Siseministeerium esitab kooskõlastamiseks Vabariigi Valitsuse määruse „Vabariigi Valitsuse 23. septembri 2016. a määruse nr 106 „Riigikaitseobjekti kaitse kord“ muutmine“ eelnõu. Eelnõu ja seletuskirja leiate aadressilt: http://eelnoud.valitsus.ee/. Palume esitada eelnõu kohta arvamus eelnõude infosüsteemis (EIS) märgitud tähtajaks. Lugupidamisega (allkirjastatud digitaalselt) Andres Anvelt siseminister Arvamuse andmiseks: Kaitsepolitseiamet Politsei- ja Piirivalveamet Eero Svarval 6125056 [email protected] Pikk 61 / 15065 Tallinn / 612 5008 / [email protected] / www.siseministeerium.ee Registrikood 70000562  EELNÕU 18.11.2018 VABARIIGI VALITSUS MÄÄRUS Vabariigi Valitsuse 23. septembri 2016. a määruse nr 106 „Riigikaitseobjekti kaitse kord“ muutmine Määrus kehtestatakse riigikaitseseaduse § 87 lõike 1 alusel. § 1. Vabariigi Valitsuse 23. septembri 2016. a määruses nr 106 „Riigikaitseobjekti kaitse kord“ tehakse järgmised muudatused: 1) paragrahvi 1 täiendatakse punktiga 51 järgmises sõnastuses: „51) isikuandmete töötlemise nõuded riigikaitseobjekti kaitseabinõude kohaldamisel;“; 2) määrust täiendatakse §-ga 71 järgmises sõnastuses: „§ 71. Isikuandmete töötlemine riigikaitseobjekti kaitseabinõude kohaldamisel (1) Riigikaitseobjekti füüsilise kaitse miinimummeetmete ja muude kaitseabinõude kohaldamise eesmärgil on riigikaitseobjekti valdajal õigus töödelda riigikaitseobjekti külastava või teenindava isiku tuvastamise või isikusamasuse kontrollimise ja külastamise kohta järgmisi andmeid: 1) ees- ja perekonnanimi; 2) isikukood, selle puudumisel sünniaeg; 3) isikut tõendava dokumendi number ja kehtivusaeg; 4) isiku kasutatava sõiduki registreerimisnumber, kui isik sisenes riigikaitseobjektile sõidukiga; 5) saabumise ja lahkumise kuupäev ja kellaaeg. (2) Käesoleva paragrahvi lõikes 1 kindlaks määratud andmete säilitamise tähtaeg kinnitatakse riigikaitseobjekti turvaplaanis. Tähtaja kinnitamisel arvestatakse, et: 1) A-, B-, C- või F-kategooria objekti valdaja säilitab andmeid vähemalt 12 kuud, kuid mitte kauem kui 10 aastat nende tekkimisest arvates; 2) D- või E-kategooria objekti valdaja säilitab andmeid vähemalt 10 aastat, kuid mitte kauem kui 25 aastat nende tekkimisest arvates. (3) Säilitatud andmetele on juurdepääs ja neid võib töödelda: 1) riigikaitseobjekti valdaja või tema volitatud isik käesoleva määruse alusel riigikaitseobjekti kaitse korraldamiseks; 1  2) Politsei- ja Piirivalveamet ning Kaitsepolitseiamet käesolevas määruses ette nähtud ülesannete täitmiseks ja süütegude menetlemiseks; 3) julgeolekuasutus julgeolekuasutuste seaduses sätestatud alusel riigi julgeoleku tagamiseks; 4) riiklikku ja haldusjärelevalvet teostav asutus seaduses sätestatud alusel ja korras. (4) Andmete säilitamistähtaja möödumisel on riigikaitseobjekti valdaja kohustatud andmed kustutama ja hävitama. (5) Kui riigikaitseobjektil rakendatakse politsei valvet, kohaldatakse käesolevas paragrahvis määratud andmete töötlemise nõudeid niivõrd, kuivõrd politsei ja piirivalve seaduses või selle alusel kehtestatud Vabariigi Valitsuse määruses ei ole ette nähtud teisiti. Jüri Ratas peaminister Andres Anvelt siseminister Heiki Loot riigisekretär 2  Vabariigi Valitsuse määruse „Vabariigi Valitsuse 23. septembri 2016. a määruse nr 106 „Riigikaitseobjekti kaitse kord“ muutmine“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Eelnõu eesmärk on kehtestada riigikaitseobjekti kaitseabinõude kohaldamiseks vajalikud isikuandmete töötlemise nõuded. Kuna Vabariigi Valitsuse 23. septembri 2016. a määrus nr 106 „Riigikaitseobjekti kaitse kord“ paneb riigikaitseobjekti valdajale muu hulgas kohustuse teatud juhtudel registreerida riigikaitseobjekti külastavad isikud, on vajalik praegusest täpsemini määrusega ette näha nimetatud isikute isikuandmete kogumise ja säilitamise nõuded. Nende nõuete kehtestamiseks on isikuandmete kaitse seaduse rakendamise seaduses antud Vabariigi Valitsusele ka volitusnorm, seega on määruse muudatused tehtud selle seaduse rakendamiseks. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud Siseministeeriumi sisejulgeolekupoliitika osakond ([email protected], tel 612 5056). Eelnõu ja seletuskirja on keeleliselt toimetanud Siseministeeriumi õigusosakonna keeletoimetaja Airi Kapanen ([email protected], tel 612 5241). 1.3. Märkused Eelnõuga muudetakse Vabariigi Valitsuse 23. septembri 2016. a määrust nr 106 „Riigikaitseobjekti kaitse kord“ redaktsioonis RT I, 27.09.2016, 5. Eelnõu on seotud Riigikogu menetluses oleva isikuandmete kaitse seaduse rakendamise seaduse eelnõuga (650 SE), millega antakse volitusnorm kõnesolevate muudatuste kehtestamiseks1. 2. Eelnõu sisu ja võrdlev analüüs Eelnõu § 1 punkti 1 kohaselt täiendatakse määruse reguleerimisala sätet. Muudatus on tehniline ja sellega viiakse määruse reguleerimisala säte vastavusse riigikaitseseaduse (edaspidi RiKS) § 87 lõike 2 punktiga 51. Volitusnormi kohaselt sätestatakse riigikaitseobjekti kaitse korras ka isikuandmete töötlemise nõuded riigikaitseobjekti kaitseabinõude kohaldamisel. Eelnõu § 1 punkti 2 kohaselt täiendatakse määrust §-ga 71, millega määratakse detailsemad nõuded riigikaitseobjekti külastava või seda teenindava isiku isikuandmete ja muude (külastamisega seotud) andmete töötlemiseks. Paragrahvi 71 lõikega 1 sätestatakse riigikaitseobjekti valdaja õigus töödelda isikuandmeid riigikaitseobjekti füüsilise kaitse miinimummeetmete ja muude kaitseabinõude kohaldamise eesmärgil. Kehtiva määruse kohaselt on sellekohane õigus tuletatav määruse lisades 6–13 sätestatud kohustuste kaudu. Arvestades isikuandmete töötlemise seaduslikkuse ja õigusselguse tagamise põhimõtteid, sõnastatakse isikuandmete töötlemise õigus ja töötlemise eesmärk expressis verbis määruse § 71 lõikes 1. 1 Isikuandmete kaitse seaduse rakendamise seaduse eelnõu (650 SE) § 94 p 4. Kättesaadav aadressil https://www.riigikogu.ee/tegevus/eelnoud/eelnou/96c37d10-383c-40ad-87be- a8583008b994/Isikuandmete%20kaitse%20seaduse%20rakendamise%20seadus. 1 Paragrahvis 71 kehtestatud andmete töötlemise nõuded kohalduvad nendele asutustele ja juriidilistele isikutele, kes on Vabariigi Valitsuse 6. aprilli 2017. a korralduses nr 96 „Alaliste riigikaitseobjektide määramine“ loetletud riigikaitseobjektide valdajad ning üksnes juhul, kui vastava kategooria (A–F) riigikaitseobjekti kinnitatud turvaplaani kohaselt on objekti füüsilise kaitse meetmena kohustuslik registreerida objekti teenindavate või seda külastavate isikute ja nende sõidukite riigikaitseobjektile sisenemine ja sealt väljumine. RiKS-i § 83 lõike 1 mõistes võib riigikaitseobjektiks olla maa-ala, ehitis või seade. Seega tuleb määruse tähenduses „riigikaitseobjekti külastamise või selle teenindamise“ all mõista: a) riigikaitseobjektile (maa-alale, ehitisse, hoonesse, ruumi) sisenemist ja seal viibimist; b) füüsilise juurdepääsu võimaldamist sellisele riigikaitseobjektile, milleks on konkreetne seade. Nt võib maa-alal, ehitises või ka ruumis, mis pole otstarbekuse kaalutlusel tervikuna riigikaitseobjektiks määratud, selline (riigikaitseobjektiks määratud) seade paikneda. Eelnõus määratud isikuandmete töötlemise nõudeid kohaldatakse ainult nende andmesubjektide isikuandmete töötlemisele, kelle viibimine riigikaitseobjektil ei ole seotud riigikaitseobjekti igapäevatööga ja/või objekti valdaja põhiülesande täitmisega. Teisisõnu, määruse § 71 kohaldamisalasse ei kuulu andmesubjektidena riigikaitseobjekti töötajad ja/või ametnikud, kelle töökoht asub riigikaitseobjektil. Töö- või teenistusülesannete täitmise tõttu riigikaitseobjektile saabumist ja lahkumist ning sellega seotud andmetöötlust kõnesoleva sättega ei reguleerita. Kui riigikaitseobjektil rakendatakse ka töötajate ja/või ametnike tööle saabumise ja töölt lahkumise registreerimist, kuulub sellekohane isikuandmete töötlemine teenistus- ja töölepinguliste suhete valdkonda ning sellele kohaldub andmekaitse üldregulatsioon (isikuandmete kaitse üldmäärus, töölepinguseadus, sisemised töökorraldusaktid). Riigikaitseobjekti teenindavate isikutena võib määruse tähenduses mõista kõiki selliseid teenusepakkujaid, kes tagavad lepingu alusel ka teatava regulaarsusega riigikaitseobjekti igapäevase toimimise (nt heakorrateenused, toitlustus jms), kuid ei ole riigikaitseobjekti valdajaga otseses töö- või teenistussuhtes töölepinguseaduse ja/või avaliku teenistuse seaduse mõistes. Nii objekti teenindavate kui ka külastavate isikute (andmesubjektide) kindlaksmääramine sõltub sellest, milline on riigikaitseobjekti turvaplaanis määratud hoone osa, ala, ruum vms, millele juurdepääs tuleb registreerida. Näiteks võib riigikaitseobjektiks olla määratud kogu ehitis või maa-ala, mille koosseisu kuulub ka avalik ruum või selline ala, millele on kas objekti funktsioonist, valdaja ülesannetest või muul sellisel põhjusel ligipääs igaühel (nt avalikud ootesaalid). Kui riigikaitseobjekti turvaplaanis ei ole määratud teisiti, ei kohaldata kõnesolevas paragrahvis sätestatud külaliste registreerimise nõuet riigikaitseobjekti avalikul alal viibivatele isikutele. Sätte kohaldamisalasse kuuluvate andmesubjektide ring selgub seega suuresti konkreetse objekti riskianalüüsist ja sellel põhinevast objekti turvaplaanist. Paragrahvi 71 lõike 1 punktides 1–5 määratakse isikuandmed, mis külastuse registreerimisel kogutakse ja kindlaksmääratud tähtajani säilitatakse. Isiku ees- ja perekonnanimi, isikukood (selle puudumisel sünniaeg), isikut tõendava dokumendi number ja kehtivusaeg on vajalikud, et tuvastada riigikaitseobjekti külastav isik ja kontrollida isikusamasust. Kuna riigikaitseobjekti võib külastada ka alaealine isik, tuleb arvestada, et isikut tõendavate dokumentide seaduse (edaspidi ITDS) § 5 lõike 2 kohaselt ei pea isikutunnistust olema alla 15-aastasel Eesti kodanikul. Riigikaitseobjekti valdaja võib külastaja isikusamasust kontrollida ka muu ITDS-i § 4 lõikes 1 sätestatud dokumendi alusel. 2 Samamoodi külastajate registreerimisega tuleneb nõue registreerida riigikaitseobjektile sisenevad sõidukid samuti konkreetse objekti turvaplaanist. Kui see on füüsilise kaitse meetmena objekti turvaplaani kohaselt vajalik, peab riigikaitseobjekti valdaja registreerima lisaks külalisele ka tema kasutatava sõiduki registreerimisnumbri. Külastuse kohta säilitatakse riigikaitseobjektile saabumise ja sealt lahkumise aeg (kuupäev ja kellaaeg). Paragrahvi 71 lõike 1 punktides 1–5 ette nähtud andmete loetelu on ammendav, seega ei või riigikaitseobjekti valdaja siinse määruse alusel ja selle täitmiseks muid isikuandmeid riigikaitseobjekti külastajatelt koguda. Seda sätet aga ei kohaldata riigikaitseobjektil jälgimisseadmestiku (videovalve) kasutamise ega sellega seonduva andmetöötluse tulemuse (salvestiste) säilitamise kohta. Määruse alusel kasutatakse objektil jälgimisseadmestikku, et tuvastada füüsiline rünnak või selle oht ning kaitsta objektil viibivaid isikuid ja vara. Salvestisi säilitatakse isikustamata kujul määruse lisades 6–9 ette nähtud nõuete kohaselt ning üksnes juhul, kui jälgimisseadmete kasutamine on ka füüsilise kaitse miinimummeetmena objekti turvaplaanis kinnitatud. Paragrahvi 71 lõike 2 kohaselt määratakse objekti kategooriale vastav isikuandmete säilitamise tähtaeg. Ühesugust isikuandmete säilitamise tähtaega, mis kohalduks kõikide kategooriate objektidele, ei ole võimalik määrata kategooriate erisuste tõttu. Samuti arvestati eelnõu koostamisel, et ka ühe ja sama kategooria riigikaitseobjektide eripärade tõttu ei ole otstarbekas ja proportsionaalne määrata ühte isikuandmete säilitamise tähtaega kõikidele sama kategooria objektidele. Eelnõu koostajad on seisukohal, et nii andmesubjekti põhiõiguste kui ka riigikaitseobjekti valdaja kohustuste vaates on vajalik määrata andmete säilitamistähtaeg konkreetse riigikaitseobjekti turvaplaanis, kuid arvestusega, et õigusaktiga on ette nähtud ajaline piir, millest vähem ega kauem konkreetse kategooria objekti külastaja isikuandmeid säilitada ei ole lubatud. Eelnõu koostamisse kaasati ka riigikaitseobjekti valdajad, kellelt paluti arvamust eelnõuga kavandatavatele muudatustele. Kaasamisel esitatud märkusi arvestades leiti kokkuvõtvalt, et A-, B-, C- või F-kategooria objektidel tuleb andmete säilitamise ajaline piir määrata ühesugune ja samamoodi D- või E-kategooria objektidele. Peale konkreetsete objektide eripära arvestati ajapiiri määramisel vajadusega ennetada ja tõkestada eelkõige inimese elu, tervise või vara vastu suunatud ning riigivastaste süütegude toimepanemist. Minimaalse ja maksimaalse säilitustähtaja määramisel võeti mh arvesse esimese astme kuriteo aegumistähtaega (s.o kümme aastat). D- ja E-kategooria objektide puhul arvestati andmete säilitamise ajalise piiri määramisel eelkõige julgeolekuasutuste tegevuse eesmärki ja põhiülesandeid, sealhulgas riigikaitseobjekti kaitsega vahetult seotud ülesannet korraldada riigi vastu suunatud luuretegevuse ennetamist ja tõkestamist ehk vastuluuret, millest tulenevalt võib tekkida vajadus selgitada välja aastaid tagasi aset leidnud sündmuse asjaolusid. Lisaks arvestati, et esimese astme kuritegu (nt välismaalase poolt toimepandud Eesti Vabariigi vastu suunatud vägivallata tegevus või salakuulamine) aegub kümne aasta möödudes ning kuritegu, mille eest on ette nähtud eluaegne vangistus (nt riigireetmine), ei aegu. Nende kuritegude menetlemine eeldab aga ka selleks vajaliku teabe säilitamist. Riigikaitseobjekti valdaja peab seega isikuandmete säilitamistähtaja hindamisel ja selle kinnitamisel turvaplaanis eelnõu kohaselt arvestama, et: 1) A-, B-, C- või F-kategooria objekti valdaja peab andmeid säilitama vähemalt 12 kuud, kuid ei või säilitada kauem kui 10 aastat nende tekkimisest arvates; 2) D- või E-kategooria objekti valdaja peab andmeid säilitama vähemalt 10 aastat, kuid ei või säilitada kauem kui 25 aastat nende tekkimisest arvates. 3 Paragrahvi 71 lõike 3 kohaselt määratakse nende asutuste ja isikute loetelu, kellel on õigus selleks, et täita oma seadusest tulenevaid ülesandeid, tutvuda säilitatud isikuandmetega ja neid töödelda siinses paragrahvis nimetatud eesmärgil. Säilitatud andmetele on juurdepääs ja neid võib töödelda riigikaitseobjekti valdaja või tema volitatud isik käesoleva määruse alusel riigikaitseobjekti kaitse korraldamiseks. Näiteks võib riigikaitseobjekti valvet, sh külaliste registreerimist objektil korraldada lepingu alusel ka turvaettevõtja. Politsei- ja Piirivalveametil ning Kaitsepolitseiametil on andmetele juurdepääsuõigus käesolevas määruses ette nähtud ülesannete täitmiseks ja süütegude menetlemiseks. Andmetele juurdepääsu vajadus võib nimetatud asutustel tekkida nt riigikaitseobjekti ohutaseme tõstmisel ja lisaturvameetmete rakendamisel, samuti riigikaitseobjektil toimepandud või selle vastu suunatud süüteo menetlemisel. Julgeolekuasutuste tegevuse eesmärki ja põhiülesandeid, sealhulgas ülesannet korraldada riigi vastu suunatud luuretegevuse ennetamist ja tõkestamist ehk vastuluuret, sätestatakse määrusega juurdepääsuõigus ka julgeolekuasutustele. Juurdepääsuõigus andmetele on riigikaitseobjekti kaitse korraldamise nõuete täitmise üle riiklikku ja haldusjärelevalvet teostavatel asutustel. RiKS-i § 88 lõike 2 kohaselt teostavad nõuete täitmise üle riiklikku ja haldusjärelevalvet vastavalt Kaitsepolitseiamet ja Kaitsevägi. Isikuandmete töötlemise nõuete täitmise üle teostab järelevalvet Andmekaitse Inspektsioon. Paragrahvi 71 lõike 4 kohaselt on andmete säilitamistähtaja möödumisel riigikaitseobjekti valdaja kohustatud andmed kustutama ja hävitama. See tähendab, et tähtaja möödumisel ei tehta isikuandmetega muid toiminguid, nagu arhiveerimine, pseudonüümimine vms, ning andmed kustutatakse ja hävitatakse jäädavalt. Paragrahvi 71 lõike 5 kohaselt sätestatakse eelnõuga samamoodi määruse § 20 lõikega 3 ja § 22 lõikega 4, et politseivalve rakendamisel (PPA poolt sissepääsurežiimi tagamine objektil) kohaldatakse selle objekti külastajate registreerimisele ja nende andmete töötlemisele politsei ja piirivalve seaduse ning selle alusel kehtestatud õigusaktides sätestatud politsei valve eriregulatsiooni. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu vastab Euroopa Liidu õigusele. Eelnõu välja töötamine on tingitud 25. mail 2018 rakendunud Euroopa Parlamendi ja nõukogu määrusest (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise kohta ning direktiivi 95/46/EÜ kehtetuks tunnistamisest (ELT L 119, 04.05.2016, lk 1–88). 4. Määruse mõjud Paragrahvis 71 kehtestatud andmete töötlemise nõuded kohalduvad ainult nendele asutustele ja juriidilistele isikutele, kes on Vabariigi Valitsuse 6. aprilli 2017. a korralduses nr 96 „Alaliste riigikaitseobjektide määramine“ loetletud riigikaitseobjektide valdajad ning üksnes juhul, kui vastava kategooria (A–F) riigikaitseobjekti kinnitatud turvaplaani kohaselt on objekti füüsilise kaitse meetmena kohustuslik registreerida objekti teenindavate või seda külastavate isikute ja nende sõidukite riigikaitseobjektile sisenemine ja sealt väljumine. Kõnesolev füüsilise kaitse miinimummeede nimetatud riigikaitseobjektidel tuli rakendada 18 kuu jooksul alates Vabariigi Valitsuse eelnimetatud korralduse jõustumisest juhul, kui see on määruse lisade 6–9 ja kinnitatud turvaplaani kohaselt konkreetsel riigikaitseobjektil ette nähtud. Kuna määrusega sätestatakse praegusest täpsem regulatsioon andmete töötlemiseks, 4 avalduvad määruse mõjud riigikaitseobjekti valdajale turvaplaanis kinnitatava andmete tähtajalise säilitamise, kustutamise ja hävitamisega. Muudatustega kaasnev mõju on positiivne, kuna sellega tagatakse selgemalt kõnesoleva kaitseabinõu rakendamine lähtudes konkreetse objekti eripäradest, samuti sätte kohaldamisalasse kuuluva andmesubjekti isikuandmete töötlemise nõuete järgimine. Muudatustel puudub sotsiaalne ja majanduslik mõju ning mõju keskkonnale, regionaalarengule, ning välissuhtlusele, samuti ei kaasne määrusega praegusest erinevat mõju riigi julgeolekule. 5. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Alalised riigikaitseobjektid määrati Vabariigi Valitsuse 6. aprilli 2017. a korraldusega nr 96 (RT III, 07.04.2017, 2). Riigikaitseobjekti valdajatel on määruse § 27 lõikega 1 pandud kohustus viia objekt vastavusse selle kategooriale (A–F) kehtestatud miinimumnõuetega 18 kuu jooksul objekti alaliseks riigikaitseobjektiks määramisest arvates. Eelnõu rakendamisega kaasnevad kulud on objektipõhised ning sõltuvad sealhulgas sellest, kuidas on juba praguseks riigikaitseobjektidel lahendatud (mh tehniliselt) külaliste registreerimise kohustus (andmete kogumine, säilitamine, kustutamine). Riigikaitseobjekti valdajal võib lisakulusid kaasneda eelkõige seoses tehnoloogiliste lahenduste loomisega, et andmeid säilitada ja need õigel ajal kustutada. Riigieelarvest selleks lisaraha ette nähtud ei ole ja kulude katmiseks tuleb raha leida sisemiste ümberkorralduste arvelt. 6. Määruse jõustumine Määrus jõustub üldises korras. 7. Eelnõu kooskõlastamine, huvirühmade kaasamin ja avalik konsultatisoon Eelnõu esitatakse eelnõude infosüsteemi (EIS) kaudu kooskõlastamiseks Kaitseministeeriumile, Majandus- ja Kommunikatsiooniministeeriumile, Rahandus- ministeeriumile ja Justiitsministeeriumile. Eelnõu ettevalmistamise käigus palus Siseministeerium arvamust ka Vabariigi Valitsuse 6. aprilli 2017. a korralduses nr 96 „Alaliste riigikaitseobjektide määramine“ nimetatud riigikaitseobjektide valdajatelt, kellelt palutakse arvamust ka kooskõlastamisele esitatud eelnõu kohta. 5