Закон о внесении изменений в Закон о защите персональных данных и связанные с ним другие законы 1006 SE

EELNÕU

Isikuandmete kaitse seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus

§ 1. Isikuandmete kaitse seaduse muutmine

Isikuandmete kaitse seaduses tehakse järgmised muudatused:

1) paragrahv 6 muudetakse ja sõnastatakse järgmiselt:

„§ 6. Isikuandmete töötlemine teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu eesmärgil

(1) Isikuandmeid, sealhulgas eriliiki isikuandmeid, võib andmesubjekti nõusolekuta teadus- ja ajaloouuringu, statistika ning avaliku sektori uuringu (edaspidi uuring) eesmärgil töödelda käesoleva seaduse §-des 6 ja 61 sätestatud tingimustel. Teadusuuring käesoleva seaduse tähenduses on uuring, mis vastab Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 kohastele teadusuuringu tunnustele.

(2) Avaliku sektori uuring käesoleva seaduse tähenduses on põhiseadusliku institutsiooni, Vabariigi Valitsuse seaduse §-s 38 sätestatud täidesaatva riigivõimu asutuse, kohaliku omavalitsuse asutuse, nende hallatava asutuse, avalik-õigusliku juriidilise isiku ja tema hallatava asutuse ning halduskoostöö seaduse alusel avalikke ülesandeid täitva eraõigusliku juriidilise isiku tehtud analüüs ja uuring, mis on eesmärgipärases seoses asutusele õigusaktiga pandud ülesandega. Kui uuring eeldab isikuandmete püsivat samal eesmärgil töötlemist, peavad uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenema seadusest. Avaliku sektori uuringu metoodika peab vastama teadusuuringule omastele kvaliteedinõuetele.

(3) Uuringu eesmärgil võib isikuandmeid, sealhulgas eriliiki isikuandmeid, töödelda, kasutades kaitset pakkuvat meedet, milles on tagatud kõik järgmised tingimused:

1) isikuandmed pseudonüümitakse või kasutatakse muud samaväärset kaitset pakkuvat meedet enne isikuandmete edastamist uuringu tellijale;

2) uuringu tegemisel ei või teha lisatoiminguid, mille tagajärjel saab isiku tuvastada;

3) uuringu tulemus ega selle töötlemine ei tohi võimaldada tuvastada isikut, kelle isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldi;

4) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi ega avaldata talle kahjulikku mõju.

(4) Kui käesoleva paragrahvi lõike 3 tingimused ei ole täidetud, on isikuandmete, sealhulgas eriliiki isikuandmete töötlemine uuringuks lubatud üksnes juhul, kui on täidetud kõik järgmised tingimused: 1) pärast tuvastamist võimaldavate andmete eemaldamist ei oleks andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada; 2) uuringu tegemiseks on ülekaalukas avalik huvi; 3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.

(5) Kui isikuandmeid töödeldakse käesoleva paragrahvi lõikes 4 sätestatud tingimustel, teavitab uuringu tellija enne isikuandmete töötlemist Andmekaitse Inspektsiooni. Teavitus peab sisaldama teavet uuringu tellija, uuringu eesmärkide, töödeldavate andmete, andmete allikate, andmesubjekti õiguste võimalike piirangute ja käesoleva paragrahvi lõikes 4 sätestatud tingimuste täitmise kohta. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel.

(6) Kui uuringus, välja arvatud avaliku sektori uuringus, töödeldakse eriliiki isikuandmeid käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimustel, kontrollib seadusega või selle alusel moodustatud asjaomase valdkonna eetikakomitee enne uuringu alustamist nende tingimuste täitmist ja uuringu eetilisust. Uuringu tellija teavitab käesoleva paragrahvi lõike 5 kohaselt Andmekaitse Inspektsiooni. Andmekaitse Inspektsioon avaldab selle teabe oma veebilehel. Rahvusarhiivis säilitatavate isikuandmete suhtes on eetikakomitee õigused Rahvusarhiivil.

(7) Kui avaliku sektori uuringus töödeldakse eriliiki isikuandmeid käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimustel ja seadusest ei tulene kohustust saada uuringule eetikakomitee hinnangut, kontrollib Andmekaitse Inspektsioon enne uuringu alustamist nende tingimuste täitmist ning vajaduse korral konsulteerib uuringu eetilisuse küsimuses teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse §-s 26 nimetatud eetikakomiteega. Kui seadusest tuleneb kohustus saada uuringule eetikakomitee hinnang, hindab eetikakomitee lisaks uuringu eetilisusele ka käesoleva paragrahvi lõikes 3 või 4 sätestatud tingimuste täitmist. Eetikakomitee hinnang esitatakse Andmekaitse Inspektsioonile koos käesoleva paragrahvi lõikes 5 nimetatud teabega. Andmekaitse Inspektsioon avaldab käesoleva paragrahvi lõikes 5 nimetatud teabe oma veebilehel.

(8) Kui Andmekaitse Inspektsioon konsulteerib käesoleva paragrahvi lõike 7 kohaselt eetikakomiteega, tasub eetikakomiteele konsultatsiooni eest avaliku sektori uuringu tellija.

(9) Tervishoiu ja sotsiaalkaitse valdkonna terviseandmeid võib töödelda käesolevas paragrahvis sätestatud eesmärkidel üksnes käesoleva seaduse § 61 tingimustele vastavas andmetöötlussüsteemis.

(10) Kui uuringu tellija töötleb käesolevas paragrahvis sätestatud eesmärkidel isikuandmeid ühe andmekogu piires, mille vastutav töötleja ta on, peab ta järgima lõigete 2–4 tingimusi ega pea järgima lõikes 5–8 sätestatud nõudeid, kui seadusega ei ole sätestatud teisiti.

(11) Käesolevat paragrahvi ei kohaldata juhul, kui uuringu eesmärgid ja isikuandmete töötlemise ulatus tulenevad seadusest.

(12) Kui isikuandmeid töödeldakse käesolevas paragrahvis sätestatud eesmärkidel, võib andmestiku vastutav töötleja ja uuringu tellija Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklites 16 ja 18 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks uuringu eesmärgi saavutamise või takistab seda oluliselt.

(13) Käesoleva paragrahvi lõiget 12 kohaldatakse tingimusel, et andmestiku vastutav töötleja ja uuringu tellija:

1) dokumenteerib kõik käesoleva paragrahvi lõike 12 alusel seatud piirangu põhjendused;

2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;

3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;

4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.“;

2) seadust täiendatakse §-ga 61 järgmises sõnastuses:

„§ 61. Uuringu eesmärgil isikuandmete töötlemine andmetöötlussüsteemis

(1) Käesoleva seaduse § 6 lõike 3 punktis 1 ning lõigetes 5, 6 ja 7 sätestatud tingimusi ei pea täitma, kui isikuandmeid, sealhulgas eriliiki isikuandmeid, töödeldakse andmetöötlussüsteemis, mille puhul on täidetud käesoleva seaduse § 6 lõike 3 punktides 2–4 ja käesolevas paragrahvis sätestatud tingimused.

(2) Andmetöötlussüsteemi pakkuja tagab:

1) asjakohaste tehniliste ja korralduslike meetmete kasutamise, mille abil minimeeritakse andmetöötlussüsteemis töödeldavate andmete loata lugemise, kopeerimise, muutmise ja kustutamise risk;

2) andmete kättesaadavaks tegemise üksnes andmetöötlussüsteemis töötlemiseks;

3) andmetöötlussüsteemi sellise teenuse osutamise, mis hõlmab andmete eeltöötlemist, et uuringu tegijal oleks juurdepääs üksnes käesoleva seaduse § 6 lõike 3 punktis 1 nimetatud kujul andmetele;

4) andmete sisestamise ja andmetöötlussüsteemis hoitavate andmete töötlemise ainult piiratud arvu tuvastatavate volitatud isikute poolt;

5) uuringu tellija juurdepääsu ainult neile andmetele, mida on lubatud töödelda käesoleva seaduse § 6 lõikes 1 nimetatud eesmärkidel;

6) töötlemistoimingute logide salvestamise;

7) andmete allalaadimise taotluste kontrollimise, et kasutajatel ei oleks võimalik andmetöötlussüsteemist alla laadida andmeid, mis võimaldavad isikut tuvastada;

8) andmete töötlemise ainult Euroopa Majanduspiirkonna territooriumil.

(3) Uuringu käigus töödeldavad andmed kustutatakse andmetöötlussüsteemist pärast uuringu valmimist ja uurimistulemuste valideerimist. Logisid säilitatakse üks aasta uuringu käigus töödeldud andmete kustutamisest arvates.

(4) Valdkonna eest vastutav minister võib määrusega kehtestada täiendavad tehnilised ja korralduslikud turvanõuded andmetöötlussüsteemile. (5) Enne andmetöötlussüsteemi esmast kasutuselevõttu kontrollib Andmekaitse Inspektsioon käesoleva paragrahvi lõigetes 2–4 sätestatud tingimuste täitmist. Andmekaitse Inspektsioonil on õigus kaasata kontrollimisse Riigi Infosüsteemi Amet. Andmekaitse Inspektsioon avaldab loetelu kontrollitud andmetöötlussüsteemi pakkujatest oma veebilehel.

(6) Käesoleva paragrahvi lõikes 1 sätestatud andmetöötlussüsteemi pakkuja kontrollib vähemalt kord aastas andmetöötlussüsteemi nõuetele vastavust ja edastab kontrolli aruande Andmekaitse Inspektsioonile.

(7) Kui käesolevas paragrahvis sätestatud tingimused on täidetud, ei kohaldata käesoleva seaduse § 6 lõikeid 5, 6 ja 7, kui seadusega ei ole sätestatud teisiti.“.

§ 2. Kohaliku omavalitsuse korralduse seaduse muutmine

1) paragrahvi 311 pealkiri muudetakse ja sõnastatakse järgmiselt: „§ 311. Isikuandmete töötlemine küsitluste ja kaasamise vajadusteks“;

2) paragrahvi 311 lõige 3 tunnistatakse kehtetuks;

3) paragrahvi 312 kolmas lause tunnistatakse kehtetuks;

4) paragrahvi 32 lõike 11 esimesest lausest jäetakse välja tekstiosa „ja kes ei kanna kohtu poolt kuriteos süüdi mõistetuna karistust kinnipidamiskohas“.

§ 3. Riikliku statistika seaduse muutmine

1) paragrahvi 6 lõiget 4 täiendatakse teise lausega järgmises sõnastuses: „Statistilise registri andmete vastutav töötleja on riikliku statistika tegija.”;

2) paragrahvi 31 lõige 1 muudetakse ja sõnastatakse järgmiselt: „(1) Riikliku statistika tegijal on õigus riikliku statistika raames töödelda isikuandmeid Euroopa Parlamendi ja nõukogu määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) ettenähtud alustel ja korras. Isikuandmeid võib riikliku statistika vajadusteks töödelda eelkõige pseudonüümitud või samaväärset andmekaitse taset võimaldaval kujul.“;

3) paragrahvi 31 lõiked 2–4 tunnistatakse kehtetuks;

4) paragrahvi 31 täiendatakse lõigetega 5–9 järgmises sõnastuses: „(5) Depseudonüümimine või muu viis, millega isikut mittetuvastavad andmed muudetakse uuesti isikut tuvastavaks, on lubatud ainult riikliku statistika vajadusteks.

(6) Riikliku statistika vajadusteks andmete töötlemine andmesubjekti tuvastamist võimaldaval kujul on lubatud üksnes juhul, kui on täidetud järgmised tingimused: 1) pärast tuvastamist võimaldavate andmete eemaldamist ei ole andmetöötluse eesmärgid enam saavutatavad või neid oleks ebamõistlikult raske saavutada; 2) riikliku statistika tegija hinnangul on selleks ülekaalukas avalik huvi; 3) töödeldavate isikuandmete põhjal ei muudeta andmesubjekti kohustuste mahtu ega kahjustata muul viisil ülemäära andmesubjekti õigusi.

(7) Riikliku statistika tegija võib Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklites 15, 16, 18 ja 21 sätestatud andmesubjekti õigusi piirata niivõrd, kuivõrd nende õiguste teostamine tõenäoliselt muudab võimatuks riikliku statistika eesmärgi saavutamise või takistab seda oluliselt.

(8) Käesoleva paragrahvi lõiget 7 kohaldatakse tingimusel, et riikliku statistika tegija:

1) dokumenteerib kõik käesoleva paragrahvi lõike 7 alusel seatud piirangu põhjendused;

2) rakendab asjakohaseid meetmeid andmesubjekti õiguste ja vabaduste kaitsmiseks;

3) rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud sobivaid ja asjakohaseid turvameetmeid ning ei säilita andmeid isikustatud kujul kauem, kui see on vajalik käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks;

4) rakendab sobivaid ja asjakohaseid meetmeid, millega tagatakse, et andmeid ei töödelda muul eesmärgil kui käesoleva paragrahvi lõikes 1 sätestatud eesmärgi täitmiseks.

(9) Riikliku statistika tegija töötleb kõiki isikuandmeid, mida kogutakse käesoleva paragrahvi lõikes 1 nimetatud õiguslikul alusel, sealhulgas eriliiki isikuandmeid. Riikliku statistika tegemiseks kogutud isikuandmeid säilitatakse, kuni see on vajalik riikliku statistika tegemiseks, statistika kvaliteedinõuete täitmiseks, metoodilise järjepidevuse tagamiseks või statistikatööd reguleerivast õigusaktist tulenevate kohustuste täitmiseks. Riikliku statistika tegemiseks kogutud andmete täpne säilitustähtaeg määratakse asjakohases õigusaktis. Säilitustähtaja lõppemisel isikuandmed kustutatakse.“;

5) paragrahvi 34 lõige 6 tunnistatakse kehtetuks.

§ 4. Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse muutmine

Teadus- ja arendustegevuse ning innovatsiooni korralduse seaduse § 19 lõikes 6 ja § 26 lõikes 1 asendatakse arv„4“ arvuga „6“.

Lauri Hussar Riigikogu esimees

Tallinn, 2026 Algatab Vabariigi Valitsus 14. septembril 2026. a nr 2-6/26-01646

Vabariigi Valitsuse nimel (allkirjastatud digitaalselt) Heili Tõnisson Valitsuse nõunik