Veel inspektsiooni arvamuse saanud eelnõudest

Turismiseaduse eelnõu

Turismiseaduse muutmist andmekaitse osas selgitati seletuskirjas järgnevalt: eelnõuga nähakse ette majutusteenuse kasutajate elektrooniline registreerimine ja nende andmete töötlemine. Sellega soovitakse muuta Schengeni konventsioonist tulenevate külastaja registreerimise nõuete täitmine majutusettevõtte külastajale ja majutusettevõtjale kiiremaks ja lihtsamaks ning tagada külastajate isikuandmete tänasest parem kaitse, sealjuures tagades, et Eesti on jätkuvalt ohutu ja turvaline koht nii kohalikele elanikele kui külastajatele. Majutusteenuse kasutajate andmed on samuti vajalikud, et teha riiklikku statistikat ning analüüsida turismiarendust ja -turundust.Schengeni konventsiooni artikli 45 lõige 1 punkt b ütleb, et konventsiooni osalised kohustuvad võtma vajalikke meetmeid, tagamaks et: täidetud registreerimislehti säilitatakse pädevate asutuste jaoks või edastatakse neile, kui need asutused peavad seda vajalikuks ohu ärahoidmiseks, kriminaalmenetluse otstarbel või kadunuks jäänud või õnnetuse ohvriks langenud isikute saatuse kindlakstegemiseks, kui siseriiklikus õiguses ei sätestata teisiti. 
Inspektsioon juhtis seaduselooja tähelepanu sellele, et konventsiooni sõnastusest ei ole üheselt aru saada, kas andmeid edastatakse automaatselt ehk push-meetodil või võib neid edastada ka üksnes siis, kui õiguskaitseasutus küsib teavet päringu korras ehk pull-meetodil. Seletuskiri ütles, et paljud Euroopa Liidu riigid on valinud push-meetodi, kuid puudus analüüs, miks Eesti on valinud sama tee ning kas sama eesmärk oleks võimalik saavutada ka pull-meetodil. Seepärast leidis inspektsioon, et eelistada tuleks pull-meetodil andmete edastust kuivõrd on vale eeldada, et enamus majutusasutusi külastavad inimesed sellistele kriteeriumitele üldse kunagi võiks vastata, et oleks põhjendatud nende andmete edastamine automaatselt õiguskaitseorganitele. Push-meetodil andmete edastamine riivab kindlasti enam isikute privaatsust. 

Eelnõuga plaanitakse minna üle majutusasutustes majutusteenuse kasutajate elektroonilisele registreerimisele ning selle lihtsustamiseks soovitakse hakata andmeid hõivama otse ID-kaardilt või passilt selle masinloetavalt koodilt. Inspektsioon viitas oma arvamuses sellele, et isikut tõendavate dokumentide masinloetav kood hõlmab endas märksa rohkem andmeid, kui on vajalik majutusteenuse osutajal koguda. Seda enam, et mida aeg edasi, seda enam võib see koodandmeid sisaldama hakata sh ka näiteks biomeetrilisi andmeid. Seega tuleks süsteem üles ehitada selliselt, et masinloetavalt koodilt hõlmataks üksnes selline andmekoosseis, mida majutusteenuse osutaja koguma peab. Rõhutada tuli ka seda, et mistahes elektroonne lahendus, mis edastab andmeid riiklikule andmekogule, peab seda tegema X-tee vahendusel.
Turismiseaduse muudatustega seonduvalt oli kavas muuta ka politsei- ja piirivalveseadust (PPVS). PPVS-i luuakse õiguslik alus majutusteenuse kasutaja andmekogu loomiseks, mis omakorda on lennureisijate broneeringuinfo andmekogu alamandmekogu, kuhu kantakse turismiseaduse § 24 lõikes 1 nimetatud majutusteenuse kasutaja andmed. Seaduse muudatuse tulemusel satub  majutusteenuse kasutaja andmekogusse kantud isiku andmetega automaatselt ristkontrolli nende andmekogude ja jälgimisnimekirjade vastu, mis on olulised andmete töötlemise eesmärgi saavutamiseks. Ainult selle külastaja andmed, mis saavad ristkontrolli tulemusel tabamuse, kontrollitakse käsitsi üle, et menetlusasutus saaks otsustada vajaliku meetme kohaldamise. Kuivõrd eeltoodud selgitus oli üksnes seletuskirjas, siis selline teave peaks sisalduma seaduses endas.


Tähelepanu sai säilitamistähtaegade teema. Nimelt, kuigi oli öeldud, et majutusteenuse kasutaja andmed pseudonüümitakse kuue kuu möödumisel andmekogusse kandmisest, ei selgunud, kas ja kuidas säilitakse isikute andmed, kelle andmete ristkontrolli tulemusel ei saadud tabamust. 
Inspektsiooni soovitus oli, et selliste isikute andmed tuleks viia koheselt pseudonüümitud kujule.

Eelnõu nägi ette, et teatud juhtudel võidakse pseudonüümitud andmed taasisikustada, ent ei selgunud, kuidas seda tehakse. Nii soovitas inspektsioon reguleerida täpselt, millistel tingimustel on see lubatud. Samuti juhtis inspektsioon tähelepanu, et ehkki kui isikuandmed pseudonüümitakse, siis kuna reisidokumendi liik ja number jääb nähtavaks, on näiteks PPA-l tulenevalt nende käes olevast teabest võimalik isik tuvastada, mistõttu ei pruugi olla siiski tegemist pseudonüümitud andmetega.
Märkusi oli ka ligipääsude küsimuses – ligipääsuõigus oli antud PPA-le ja riigi julgeolekuasutustele. Kuna julgeolekuasutuste mõiste on lai ja tuleneb julgeolekuasutuste seadusest, võimaldatakse ligipääs andmetele ka näiteks Välisluureametile. Kuna Välisluureameti juurdepääsuvajadust ei olnud seletuskirjas selgitatud, jäi vajadus arusaamatuks. Nii soovitas inspektsioon siiski nimetada ligipääsuõigustega asutused nimeliselt ja seletuskirjas ka ligipääsuvajadust põhjendada. Samuti tuli viidata vajadusele täiendada andmekaitsealast mõjuhinnangut nii selles kui ka pseudonüümitud andmetöötluse osas.

Krediiditeabe seaduse väljatöötamiskavatsus 


Krediiditeabe seaduse väljatöötamise eesmärk on õilis ja kindlasti ka vajalik. Väljatöötamiskavatsuse sissejuhatuses1 on krediiditeabe vajadust kirjeldatud järgmiselt: krediiditeabe seaduse eelnõu väljatöötamiskavatsuse (VTK) peamine eesmärk on tagada vastutustundliku laenamise põhimõtete tõhusam järgimine, adresseerides kahte peamist teemat:

a) krediiditeabe seaduse kehtestamine ehk füüsiliste isikute finantskohustuste andmete vahendamise teenusega tegelevatele ettevõtjatele kehtestatakse tegevusnõuded ja järelevalve; b) krediidipakkujatele kehtestatakse kohustus hakata omavahel jagama füüsilistest isikutest laenutaotlejate finantskohustuste andmeid.
Võimalike tehniliste vahenditena, mille läbi teavet vahetama hakata, nimetab VTK registripõhist andmevahetusplatvormi ning nende kahe hübriidi.

Andmevahetuse korraldamise osas nähakse samuti ette kolm alternatiivi – riiklik süsteem, kus registri pidamist ja haldamis korraldavad riigiasutused (1), riiklik süsteem, kus registripidamine on tellitud riigihankega erasektorist (2) ning riiklikult kehtestatud tingimustele vastav, kuid erasektori poolt korraldatud süsteem, kus turuosalised ise loovad organisatsioonilise ja tehnilise võimekuse andmevahetuse korraldamiseks (3). Eelnõu eelistab selgelt kolmandat lahendust.

Inspektsioon väljendas seisukohta, et iga uue andmetöötluse jaoks ei ole vaja luua uut andmekogu või registrit. Eelistada tuleb andmevahetusplatvormi lahendust, mitte aga andmete koondumist ühte registrisse või andmekogusse.

Eesti avalikus sektoris juurutatakse turvalisuse kaalutlusel juba aastaid andmekogude hajusarhitektuuri lahendust. Kui toimub päringupõhine andmete vahetus, siis on andmete väljastajal ka parem võimalus hinnata, kas päringu tegemine on õigustatud.VTK näeb ette, et krediidipakkujatele tuleb teha nii andmete edastamine kui ka päringu tegemine kohustuslikuks. Kusjuures vähemalt praeguses staadiumis ei ole selge, kas selline kohustus tekiks mistahes krediidi taotlemise korral või kas näiteks loodavasse süsteemi kantaks teave ka juba olemasolevate kohustuste kohta. Ehk, et kas uue süsteemi loomisel saab olema edasiulatuv mõju või tagasiulatuv. Eeldatavasti viimane, mis aga omakorda tähendab, et kogutakse andmed ka kõigi nende isikute ja nende kohustuste kohta, kes võibolla enam kunagi ühtegi finantskohustust juurde võtta ei soovi. Siin on suur oht andmete nö igaks juhuks kogumiseks ning andmebaasi tekkimiseks vaatamata esialgsetele õilsatele eesmärkidele olemaks üksnes krediidipakkujate käsutuses. On tõsine hirm, et sellise andmebaasi vastu tekib väga suur huvi ka muudel isikutel ligipääsu saamiseks. 

Inspektsiooni praktikast võib näitena võtta maksehäireregistri asutamise, mis algselt loodi vastutustundliku laenamise kohustuse täitmise eesmärgil ning ka eraõiguslike ettevõtete (pankade) endi poolt. Aja jooksul aga maksehäireregister iseseisvus ning väljastab maksehäireandmeid kõigile, kes väidavad endil olevat õigustatud huvi võlaandmete järele. Kui luuakse nn positiivne krediidiregister, on selgelt näha, et andmekogust on võimalik õigustatud huvi korral saada andmeid teistel huvilistel. Niisiis, isegi, kui luua register või andmekogu üksnes krediidiandjatele ja muudele seaduses sätestatud isikutele, on sisuliselt võimatu välistada sealt andmete andmine õigustatud huvi esinemisel. Õigustatud huvi olemasolu peab hindama vastutav töötleja, ent oma praktikast võime öelda, et Eestis naljalt keegi sellega hakkama ei saa.  Nii peabki seadusandja endale ning elanikkonnale selgelt teadvustama, et uue, laenukohustusi sisaldava keskse andmekogu loomisel saavad neid andmeid kasutama hakata ka kõikvõimalikud muud isikud ning praegu ettenägematutel eesmärkidel.

Kõigi olemasolevate laenude kesksesse registrisse „igaks juhuks“ kokku kogumine oleks selgelt ka eesmärgipäratu. Vajadus andmeid töödelda tekib ju alles uue laenu võtmise soovi hetkel. Paljud inimesed, kel juba on eluasemelaen, ei pruugi kas üldse või paljude aastate jooksul kordagi rohkem laenu soovida. Selliste inimeste laenuandmete igaks juhuks registrisse kogumine ning seal aastaid või aastakümneid hoidmine. (ning tegelikult ka, nagu eespool öeldud, hoopis muudel eesmärkidel väljastamine) ei haaku kuidagi eesmärgiga, milleks registrit luua tahetakse. 

Ettepanekuna VTK-s on toodud välja, et kaaluda tuleks, kas võiks teha krediidiandjatele kohustuslikuks litsentseeritud krediidibürood v.a juhul, kui krediidipakkuja ise hindab enda meetmed piisavaks. Siin tekkis esmalt küsimus, et miks siis üldse peaks krediidiandja kasutama krediidibürood, sest võimalik, et krediidiandja hindab omi meetmeid piisavateks. Samas aga peaks ta ise krediidibüroole ikkagi andmeid esitama. Ent olulisemana paistab siin oht, et krediidibürood küll koguvad andmeid (sest nende esitamine on ju krediidiandjale loodava seaduse kohaselt kohustuslik), kuid neid ei kasutatagi. Siit võibki tekkida krediidibüroodel majanduslik huvi neid andmeid muudel eesmärkidel kasutada anda. VTK-s mainitud ja krediiditeabe seadusega koos kavandatav muudatus võlaõigusseaduses viitabki pigem sellele, et kavandatav krediiditeabe seadus lähtub eeldusest, et tekivad nii (tsentraalsed) registrid kui ka andmevahetusplatvormid, mida tuleks kasutada vastutustundliku laenamise põhimõtte täitmiseks. Seega on inspektsiooni poolt peljatav stsenaarium pigem tõenäoline. Tegemist oli küll alles seaduse väljatöötamiskavatsusega, kuid inspektsioon loodab, et antud tagasiside on seaduse väljatöötajad mõtlema pannud olulistele andmekaitselistele aspektidele, kuid mõistagi hoiab inspektsioon arengutel ka ise teravalt silma peal. 


1 väljatöötamiskavatsus ja vastust sellele on registreeritud kirja numbriga 1.2.-4/20/3366