Arvamuse avaldamine eelnõule

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST Rahandusministeerium Teie 20.11.2024 nr 1.1-10.1/5153-1 Meie 06.01.2025 nr 2.3-4/25/2979-2 Arvamuse avaldamine eelnõule (Krediiditeabe jagamise seadus) Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks krediiditeabe jagamise seaduse eelnõu (eelnõu). AKI-l on esitatud eelnõu osas järgmised tähelepanekud. 1. Andmekogu definitsioon (AvTS § 431) Eelnõu § 6 lg 1 ütleb, et krediiditeaberegister on krediidivõimelisuse hindamise eesmärgil krediidiandjale krediiditeabe kättesaadavaks tegemiseks peetav riigi andmekogu. Sama paragrahvi lg 2 täpsustab, et krediiditeaberegister ei ole riigi infosüsteemi kuuluv andmekogu. AKI peab vajalikuks selgitada, et andmekogu mõiste tuleneb AvTS-ist, mis ei tunne sellist terminit nagu riigi andmekogu. AvTS § 431 lg 1 kohaselt on andmekogu riigi, kohaliku omavalitsuse või muu avalik-õigusliku isiku või avalikke ülesandeid täitva eraõigusliku isiku infosüsteemis töödeldavate korrastatud andmete kogum, mis asutatakse ja mida kasutatakse seaduses, selle alusel antud õigusaktis või rahvusvahelises lepingus sätestatud ülesannete täitmiseks. Riigi infosüsteemi kuuluvad kõik seaduse alusel asutatud andmekogud, v. a andmekogud, mis on asutatud asutuste vaheliseks dokumentide menetlemiseks. Tulenevalt krediiditeaberegistri eesmärgist ning töödeldavate andmete iseloomust ei ole ilmselgelt see asutatud asutuste vaheliseks dokumentide menetlemiseks, seega kuulub krediiditeaberegister riigi infosüsteemi. Ainus erinevus „tavalise“ andmekogu ja sisemise töökorralduse vajaduseks asutatud andmekogu vahel puudutab andmekogu kooskõlastamise nõuet RIHA-s (vt AvTS § 43³ lg 4). AvTS § 432 lg 1 näeb ette riigi infosüsteemi kuuluvatele andmekogudele lisatingimusena andmevahetuskihiga liitumise kohustuse. Kuna krediiditeaberegister ei vahetata andmeid x-tee vahendusel, peaks sellest AvTS-i nõudest kõrvalekaldumine erisusena olema määratud seadusega. Ülaltoodust tulenevalt soovitab AKI sõnastada eelnõu § 6 lg 1 ja 2 ümber selliselt, et andmekogu õiguslik staatus oleks tulenevalt AvTS regulatsioonist korrektselt määratud, lisaks tuleb ette näha erisus, mis võimaldab AvTS § 432 lg-s 1 nimetatud andmevahetuskihiga liitumise kohustusest kõrvale kalduda. 2. Andmekogu vastutav ja volitatud töötleja (AvTS § 43⁴) Eelnõu § 6 lg 4 kohaselt on krediiditeaberegistri vastutav töötleja Rahandusministeerium ja volitatud töötleja on registripidaja. Sama paragrahvi lg 3 kohaselt on registripidaja ettevõtja, Tatari tn 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee / registrikood 70004235 kellele on § 12 alusel antud õigus registrit pidada. Seletuskirjas on selgitatud, et Rahandusministeerium delegeerib avaliku ülesande täitmise registripidajale, kes peab registri pidamise käigus isikuandmete töötlemisel lähtuma avaliku ülesande täitmisel krediiditeabe jagamise seadusega kehtestatud nõuetest. Registripidajal puudub võimalus otsustada isikuandmete töötlemise eesmärgi ja vahendite üle, seega on tegemist volitatud töötlejaga. Rahandusministeerium nii isikuandmete vastutav töötleja kui ka andmekogu vastutav töötleja ning registripidaja isikuandmete volitatud töötleja ja andmekogu volitatud töötleja. Registripidajaga sõlmitakse haldusleping. Seejuures arusaamatuks jääb, kas halduslepinguga antakse üle registri pidamine kui avalik ülesanne või sõlmitakse leping registri pidamiseks Rahandusministeeriumi nimel ning kas ja mis osas Rahandusministeerium tegelikult kontrollib registri tegevust. Küsimusi tekitab ka vastutuse regulatsioon. Eelnõu § 57 kohaselt hüvitab registripidaja registripidamisel oma kohutuste rikkumisega tekitatud kahju. Selgusetu on, kas see säte hõlmab ka IKÜM-i alast vastutust. IKÜM-i art 82 lg 1 kohaselt vastutab isikuandmete töötlemise põhimõtete rikkumise eest andmekogu vastutav töötleja. Kõnealuse töötlemisega seotud vastutav töötleja vastutab kahju eest, mis on tekkinud sellise töötlemise tulemusel, millega rikutakse käesolevat määrust. Volitatud töötleja vastutab töötlemise käigus tekitatud kahju eest ainult siis, kui ta ei ole täitnud käesoleva määruse nõudeid, mis on suunatud konkreetselt volitatud töötlejatele, või kui ta pole järginud vastutava töötleja seaduslikke juhiseid või on tegutsenud nende vastaselt (IKÜM art 82 lg 2). AvTS § 43⁵ lg 1 näeb ette, et andmekogu põhimääruses sätestatakse andmekogu pidamise kord, sealhulgas andmekogu vastutav töötleja (haldaja) ja vajaduse korral volitatud töötleja, andmekogusse kogutavate andmete koosseis, andmeandjad ja vajaduse korral muud andmekogu pidamisega seotud korralduslikud küsimused. Kuna krediiditeaberegistrile ei ole planeeritud põhimääruse loomist, peaksid kõik andmekogu tegevust reguleerivad peamised komponendid kajastuma seaduses. Seega eelnõus peaks vastutava töötleja rolli (ülesanded) ja vastutuse selgemini välja tooma ning nägema ette piisavad turvameetmed andmete võimaliku ebaseadusliku kasutamise vastu. Eelnõuga küll sätestatakse registripidajale kohustus hoiduda muust äritegevusest (eelnõu § 25 lõige 2), kuid AKI hinnangul ei ole see piisav võimalike ohtude ärahoidmiseks. 3. Turvameetmed Arvestades registris töödeldavate andmete laadi ja seda, et registripidajaks on eraettevõtte, on väga oluline tagada töötlemise piisav turvalisus. Eelnõu ei käsitle üldse andmevahetuse turvalisuse ja infoturbe küsimusi, kasutatavate infotehnoloogiasüsteemide turvalisust ning kontrollimist puudutavate teemade regulatsioon on jäetud sisemistele protseduurireeglitele (eelnõu § 33 lg 4 p 7). Rakendusaktiga küll määratakse teatud turvameetmed, kuid kuna tegemist on praktiliselt terve riigi elanikkonna isikuandmete töötlemisega, ei ole AKI hinnangul mõistlik jätta isikuandmete töötlemise turvalisust puudutav regulatsioon seaduses käsitlemata. AKI hinnangul peaks ka eelnõus registri toimimise osas täpsemalt ette nägema, et registris sisalduva teabe töötlemiseks kasutatav tehnoloogia peab vastama teatud kõrgendatud turvalisuse nõetele (mitte ainult KüTS-is tulenevad nõuded), mis võimaldaks andmesubjektide õiguste tõhusat kaitset. Seadusega võiks määrata turvameetmete üldised tingimused ja eesmärgid, täpsemad turvameetmed ja nende rakendamise reegeid saaks määruses ja protseduurireeglites täpsustada. 4. Registri andmete avaldamine Eelnõu § 10 reguleerib juurdepääsuõigust registris olevatele andmetele. Paragrahvi pealkiri räägib aga andmete avaldamisest. Andmete avaldamine tähendab andmete avalikuks tegemist. Registri andmed ei ole aga avalikud andmed, vaid nende puhul tegemist on juurdepääsupiiranguga teabega, 2 (5) mida väljastatakse eelnõu §-s 10 toodud isikuteke ja seda konkreetsetel eesmärkidel. Eelnõus ei ole sätestatud, kas andmesubjektile ja teistele eelnõu §-s 10 toodud isikutele andmete väljastamise üle (õigusliku aluse olemasolu kontrollimine jms) otsustab vastutav töötleja ehk Rahandusministeerium või ta volitab kontrollkohustuse volitatud töötlejale (registripidajale). Lisaks märgime, et eelnõu § 10 lg 1 p 2 käsitleb ainult tarbija õigust saada andmed, tegelikult andmeid tuleb väljastada ka teistele isikuetele, kelle andmed registris töödeldakse (nt käendajale). Eelnõust ei selgu, kas registripidajal endal on juurdepääs isikuandmetele. AKI hinnangul saab nimetatud küsimuse lahendada erinevalt sõltuvalt tehnilisest lahendusest. Siiski juhul, kui registripidajale võimaldatakse juurdepääs registri andmetele, peab see olema seaduses sõnaselgelt reguleeritud. 5. AKI-lt arvamuse küsimine Eelnõu § 12 lg 3 kohaselt võib minister registripidaja määramisel küsida arvamust Andmekaitse Inspektsioonilt. Säte sõnastus ega seletuskiri ei võimalda aga aru saada, milliste asjaolude osas peaks AKI arvamust avaldama, sh ei selgu, kas AKI arvamusel on ka siduv tähendus ning millist rolli see arvamus mängib registripidaja valimise menetluses. 6. Finantsinspektsioonile (FI) esitatavad andmed Eelnõu § 19 lg 1 p-de 3 ja 6 kohaselt tuleb FI-le esitada usaldusväärsust, kogemusi, kompetentsust ja laitmatut mainet kinnitavad dokumendid. Eelnõu § 19 lg 1 p 12 kohaselt tuleb esitada füüsilisest isikust omandaja varanduslikku seisu tõendavad dokumendid kolme viimase aasta kohta. Arusaamatuks jääb, millised konkreetsed dokumendid esitama peab. Eelnõu 19 lg 4 annab Finantsinspektsioonile õiguse nõuda andmeid suuremas mahus, kui on sätestatud käesoleva paragrahvi lõike 1 punktides 3 ja 6. Viidatud säte ei taga läbipaistvust, arusaamatuks jääb, milliseid andmeid siis FI ikkagi võib nõuda. Seletuskirjas on täpsustatud, et see, millised dokumendid isik menetluses esitab sõltub temast, sest Finantsinspektsioon ei pruugi teada, mis teave võib oluline olla hinnangu andmise jaoks. Lisaks seadusele on Finantsinspektsioon ja Euroopa Liidu vastavate institutsioonide antud vastavad juhendid, mille pinnalt saab isik otsustada, millised asjakohased materjalid ta esitab ja kui läbipaistev ta järelevalveasutusega on. AKI hinnangul peab töödeldavate isikuandmete koosseis (vähemalt liigiti) olema kindlaks määratud seaduses. Andmesubjektile peab olema ettenähtav töödeldavate isikuandmete iseloom ja ulatus ning selge peab olema konkreetsete andmete töötlemise eesmärk (andmete kogumine nö igaks juhuks ei ole kooskõlas IKÜM art-s 5 sätestatud minimaalsuse põhimõttega). Eelnõu § 19 lg 1 p 18 kohaselt peab esitama välisriigi kodaniku puhul tema päritoluriigi karistusregistri väljavõte või pädeva kohtu- või haldusorgani väljastatud samaväärne dokument, mille väljastamisest ei ole möödunud rohkem kui kolm kuud. Eesti kodanike puhul aga ei ole seaduses sätestatud, et FI-l on õigus kontrollida nimetatud andmeid karistusregistrist. Seletuskirjas on aga toodud, et Eesti kodanike karistatust saab Finantsinspektsioon kontrollida karistusregistrist. Karistusregistri seaduse § 16 keelab otsesõnu nõuda karistusregistri väljavõtet. Kontrolliks vajalike andmete karistusregistrist saamise õigus ei tekki FI-l automaatselt, vaid seda võimaldav alus peab olema sätestatud seaduses (sh peaks täpsustama, kuidas on tagatud FI juurdepääs andmekogusse). AKI palub kaaluda võimaluse sätestada eelnõus konkreetsemalt, milliseid andmeid ja millistest andmekogudest ja muudest allikatest on FI-l õigus selleks töödelda. 3 (5) Eelnõus on jäänud täiesti reguleerimata FI kontrolli käigus kogutud isikuandmete säilitamine. AKI hinnangul peab ka nende andmete säilitustähtaeg olema sätestatud üheselt arusaadavalt seaduses ning seletuskirjas peab olema lisatud põhjendused selle pikkuse kohta. 7. Järelevalve registripidajaga sõlmitud lepingu täitmise üle Eelnõuga on reguleeritud järelevalve seaduses registripidajale kehtestatud nõuete täitmise üle. Reguleerimata on aga jäänud küsimus registripidajaga sõlmitud lepingu täitmise üle järelevalve teostamise kohta. Eelnõu peab sisaldama regulatsiooni selle kohta, kes teostab järelevalvet seaduses ja lepingus sätestatud nõuete täitmise üle, sealhulgas registri pidamise ja andmete töötlemise üle. Eelnõu küll annab valdkonna eest vastutavale ministrile õiguse registripidamiseks sõlmitud leping ennetähtaegselt lõpetada mõjuval põhjusel, milleks on eelkõige registripidaja kohustuste oluline rikkumine või tema maksejõulisuse oluline vähenemine, kuid seda aga ei ole AKI arvates võimalik käsitleda järelevalve pädevuse määramisena andmekogu pidamise üle. Juhul kui lepingu täitmise ja andmekogu pidamise üle teostab järelevalvet Rahandusministeerium, tuleb see eelnõus selgelt välja tuua. Reguleerimata on jäänud ka registri ja registris olevate andmete saatus juhul, kui registripidamiseks sõlmitud leping ennetähtaegselt lõpetatakse, sh kes tagab sellisel juhul registri toimimise. Eeldada võiks, et Rahandusministeerium vastutava töötlejana peaks sellisel juhul võtma enda peale registri pidamise üle. Tegemist on aga küsimusega, mis peab AKI hinnangul olema selgelt reguleeritud seaduse tasandil, et tagatud oleks andmete töötlemise läbipaistvus ja andmesubjektide turvatunne. Eelnõuga võiks ette näha ka üldisemad reeglid registri pidamise üleandmise kohta, seda siis mitte ainult lepingu erakorralisel lõpetamisel, vaid ka korralisel lõppemisel juhul, kui registripidaja peaks vahetuma. 8. Andmesubjekti õiguste piiramine Eelnõu § 44 lg 2 kohaselt võib isikule teabe andmisest keelduda, kui see kahjustab või võib kahjustada kolmanda isiku õigustatud huve või andmetega tutvumine takistab järelevalve eesmärkide saavutamist või ohustab tõe väljaselgitamist kriminaalmenetluses. Kuivõrd loodava sätte mõte on piirata andmesubjekti õigust saada juurdepääsu enda andmetele IKÜM art 23 tähenduses, siis AKI hinnangul on hetkel piirangut kehtestav säte liiga üldine. Isiku õigus tutvuda enda kohta kogutud andmetega tuleneb IKÜM art-st 15. Seda õigust saab IKÜM art 23 kohaselt piirata seadusandliku meetmega, kui selline piirang austab põhiõiguste ja - vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada IKÜM art 23 lõike 1 alapunktides sätestatud eesmärke. IKÜM art 23 lg 2 täpsustab, milliseid sätteid peab viidatud seadusandlik meede sisaldama. Euroopa Kohus on IKÜM art 23 lg-s 1 sätestatud mõiste „seadusandlik meede“ kohta öelnud, võttes arvesse IKÜM-is, aluslepingutes ja hartas sätestatut, et õigusaktid, mis sisaldavad sellist riivet lubavat meedet, peavad sätestama selged ja täpsed reeglid, mis reguleerivad kõnealuse meetme ulatust ja kohaldamist ning kehtestavad miinimumnõuded, millest tulenevalt on isikutel, kelle isikuandmetega on tegu, piisavad tagatised, mis võimaldavad neid andmeid kuritarvitamise ohu eest tõhusalt kaitsta. Järelikult peavad kõik IKÜM art 23 alusel võetud meetmed olema selged ja täpsed, nagu liidu seadusandja on seda ka määruse põhjenduses 41 rõhutanud, ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Eelkõige peab viimastel olema võimalik kindlaks teha asjaolud ja tingimused, mille esinemisel võib neile selle määrusega antud õiguste ulatust piirata1. 1 Euroopa Kohtu 24.02.2022 otsuse nr C-175/20 p-d 52‒57 4 (5) Eelnõus ega seletuskirjas ei ole selgitusatud, milliste õiguste kaitseks piirang sätestatakse ning kui kaua see kestab (piirang ei tohi olla igavene – seadusega tuleb sätestada, et kui õiguste piiramise aluseks olev asjaolu langeb ära, siis tuleb isikule tema õigused tagada). Seega tuleks AKI hinnangul kaaluda võimalust andmesubjekti õigusi piirava sätte sõnastuse täpsustamist. Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Irina Meldjuk [email protected] +372 6274108 5 (5)