Kas kiiresti või õigesti?

Iga küsimus andmekaitses vajab põhjalikku läbi vaidlemist lõppotsust langetavate rahvaesindajate ja ekspertide ühistöös.

KAAREL TARAND

Üldteada faktina jõustub 25. mail ka Eestis Euroopa parlamendi ja nõukogu määrus füüsiliste isikute kaitse kohta isikuandmete töötlemisel, tuntud ka kui GDPR (General Data Protection Regulation). Avalikud hinnangud sellele on meil üldjoontes positiivsed, sest üldmääruse abil püütakse võtta ühtlaselt üle kontinendi (ja sealhulgas n-ö pilves) kontrolli alla inimeste isikuandmete kogumine ja töötlemine, mis on infotehnoloogilise revolutsiooni tagajärjel käest ära läinud. Fookus on muidugi hargmaistel hiidettevõtetel, aga ohjeldama peab ka riike, kes inimestelt sunniviisiliselt andmeid nõuavad ja neid siis inimesele kahjulike tagajärgedega töödelda võivad.

Nagu otsekohalduv üldmäärus ikka, nõuab ka GDPR muudatusi siseriiklikus seadusandluses. Eestis on mindud seda teed, et kehtiva isikuandmete kaitse seaduse asemel on koostatud täiesti uus seaduseelnõu ning lisaks sellele on kavas jõustada ka isikuandmete kaitse seaduse rakendamise seadus, mille sisuks on vältimatud muutused kümnetes teistes seadustes kõigis eluvaldkondades, kus andmeid kogutakse ja riiklikke andmekogusid peetakse. Üldmäärust tutvustava euroteksti avasõnades rõhutatakse, et kõiki (riike ja eraettevõtteid), kes ei suuda 25. maiks oma reegleid üldmäärusega vastavusse viia, võivad tabada suured trahvid, mis ulatuvad 20 miljoni euroni.

Seetõttu pole ime, et Eesti riigivõim, kelle minapildis on kinnistunud kujutlus endast kui klassi parimast, kel alati kodutöö tehtud ja tunnistusel ainult viied, on endale seadnud eesmärgi kehtestada vajalikud muutused siseriiklikus õiguses Euroopa määruse jõustumise kuupäevaks. Ja siit algavadki hädad. Arvestades, et üldmäärust tehti Euroopa organites neli aastat ja selle vastuvõtmisest on kulunud veel kaks, võiks oletada, et nobedal Eesti riigiaparaadil oli aega rohkem kui küll, et uus eelnõu õigeaegselt parlamenti saata. Tööd tehti ja vaeva nähti, aga formaalselt algatas valitsus isikuandmete kaitse seaduse eelnõu alles tänavu 16. aprillil ning järgmisel päeval jõudis see ka riigikogusse. Eelnõu tekstis seisab mustvalgelt kirjas (§ 73): „Käesolev seadus jõustub 2018. aasta 25. mail.“

Isikuandmete kaitse parandamist ei pidanud nimetamisväärseks ka praeguse valitsuse tegevusprogramm. Või siis ei tulnud see koalitsioonikõneluste hoogtööpäevadel lihtsalt jutuks. Nagu teada, kõik mis pole poliitilises programmis nimetatud, on valitsusele teisejärguline ja isegi kui ametnikud näiteks justiitsministeeriumis teevad oma osa õigeaegselt ja korralikult ära, ei tähenda see, et protsessis kusagile välja jõutaks. Valitsuse eelnõude infosüsteemist on näha, et eelnõu kooskõlastusring pidi lõppema enne jõule, tegelikult aga saabusid teiste ministeeriumide märkused eelnõu teksti kohta alles jaanuari lõpuks. Töö nendega kestis veel paar kuud ja märtsi lõpul valitsuse poole teele saadetud lõppversiooni tuleks rida-realt lugeda, et saada selgeks, milliseid märkusi ja täiendusi arvesse võeti ja milliseid mitte.

Igav jutt? Aga vältimatu. Kuigi riigikogule saadetud tutvustustekstis on saadikute valvsust uinutav väide, et „isikuandmete kaitse üldpõhimõtted ei muutu“, on tegu ikkagi kodanike põhiõigusi puudutava seadusega ja küsimusega, kus võib ette tulla põhimõttelisi ilmavaatelisi lahknevusi. Seega peaks parlamendi igale liikmele andma piisavalt aega mahuka materjali läbitöötamiseks ning komisjonides valdkonna ekspertide ärakuulamiseks. Valitsuse poolt aga, nagu viidatud, on parlamendile jäetud aega kõigest kolm nädalat!

Kui valitsuse survel tehtaks riigikogus läbi kiirmenetlus, siis see ainult süvendaks kummitempli kuvandit ja teisalt oleks puudu olulisim filter, mille abil eelnõusse praegu jäänud puudujääke või vastuolusid välja sõeluda ja ära siluda. Kui see on tegemata, juhtub, nagu juba palju kordi on juhtunud igasuguste maksu- ja kobarseadustega. Nimelt ilmneb seaduse rakendamisel olulist ebamäärasust, mitmeti tõlgendatavust jmt. Olukorras, kus seaduse sõna pole küllalt selge, kalduvad ametnikud ikka pigem keelava ja ettevaatliku tõlgenduse poole, põhjustades sellega tarbetut lisavaeva andmete potentsiaalsete ühiskonna hüvanguks kasutajatele, olgu need siis teadlased, statistikud, õiguskaitsjad või ajakirjanikud.

Isikuandmete kaitse seaduse rakendamist kõigis elusfäärides on peetud nii keerukaks, et see vajab eriseadust. Selle on justiitsministeerium ka ette valmistanud, aga kooskõlastusringile saatnud alles märtsi lõpul. Kavas on muuta kokku 107 seadust ja seadustikku. 23. aprilli seisuga ei olnud pooled ministeeriumidest oma seisukohti veel avaldanud. Arvestades, milliseid märkusi on vastajad seni teinud, ei jõua eelnõu valitsusse ega riigikokku tõenäoliselt enne sügist. Kui kujutleksin end riigikogu liikme positsioonile, tunduks mulle ilmvõimatu menetleda isikuandmete kaitse seadust, teadmata, mil moel ja milliste nüanssidega on plaanis seadust teise seaduse juhtnööride järgi rakendada. Mis saaks olla loomulikum, kui seaduse ja selle rakendamise ühismenetlus?

Juba praegu (aga eriti sügisesel istungjärgul) vaevab riigikogu liikmeid see häda, et lähenevad valimised ei soosi põhitöösse süvenemist. Mis tähendab, et laual olevatesse eelnõudesse suhtutakse pealiskaudselt või siis ei jõuta nendega üldse kusagile. Kui ei jõuta, langeb eelnõu koos riigikogu volituste lõppemisega menetlusest välja ja kogu protsessi peab otsast peale alustama ning seda võib-olla hoopis uute inimestega, kel teemast vähimatki aimu pole.

Et ülesande keerukust ilmestada, toon vaid paar näidet vaimse pärandi valdkonnast. Rakendusseaduse kommentaaris toob kultuuriministeerium välja rahvusringhäälingut puudutava. Eelnõu tekstist paistab välja, et justiitsministeeriumis ei ole olnud piisavalt spetsiifilisi teadmisi ringhäälingu tööst, sest eelnõu tekstis pannakse ühte patta saated ja salvestised. Iga tele- ja raadiotöötaja aga teab, et salvestatakse hoopis rohkem materjali kui lõpuks saadetesse mahub ning see, mis välja jääb, pole sugugi rämps ja praak, vaid võib sisaldada suurt kultuuriloolist väärtust.

Eelnõus on selge sõnaga öeldud: „Muude saadete salvestiste puhul ei tohi säilitamise tähtaeg ületada kümmet aastat ning pärast säilitamiseks määratud tähtaega salvestised kustutatakse.“ Ringhääling ja kultuuriministeerium protesteerivad selle vastu, pakkudes sõnastuseks: „Saadete ja muude salvestiste säilitamisel arvestatakse salvestise kultuurilist ja ajaloolist olulisust, avalikkuse huvi, salvestise sisu aktuaalsust ning salvestiste kasutamise vajadust uute saadete ja muu meediasisu tootmisel.“ Seadusega pandud hävitamiskohustus on jäik ja kahjulik ning sunnib kutsumusega arhivaari paratamatult seadust rikkuma. Mitu töötundi võiks keskmisel riigikogu liikmel kuluda, et küsimuse nüanssidest aru saada ja õige otsus teha, kui valikud ette pannakse? Ja selliseid valikuid on pakutud eelnõu raames kümneid, kui mitte sadu. Üldisemalt öeldes (ka teiste ministeeriumide parandused on samasuunalised) soovivad asju vahetult ja paremini tundvad subjektid, et otsustamine toimuks seal, kus on kõige suurem pädevus ehk seadus ei käsiks ega keelaks, vaid delegeeriks otsustamise asjatundjatele, kes saaksid ise mõistlikke eeskirju kehtestada ning paindlikud olla.

On omamoodi paradoks, et riik tahab aina rohkem tsentraalselt meie elu juhtida ja lähtub ka isikuandmete kaitses eeldusest, et kompetents asub ainult keskel, ning näiteks arhiive, muuseume või mistahes valdkonna andmekogude pidajaid ei saa lugeda piisavalt usaldusväärseteks terve mõistuse kasutajateks, et neile seaduse piires võimalikult palju iseseisvat otsustus­õigust anda. Samas tuuakse Eesti elanike üleilmse eripärana e-riigi kontekstis välja, et eestlased usaldavad oma andmeid meelsasti riigi (või ka eraettevõtete) kätte ja on valmis selleks, et neid andmeid igakülgselt ka töödeldakse. Samuti on usaldus riigi oluliste institutsioonide vastu suur.

Või teine näide, mis oluliselt mõjutab arhiivinduse toimimist. Euroopa üldmäärus ei reguleeri surmajärgset elu ja on iga riigi otsustada, kuidas kohelda isikuandmeid pärast isiku surma. Praeguse seisuga pakub isikuandmete kaitse seaduse eelnõu, et ilma nõusolekuta andmetöötlus saab võimalikuks 30 aastat pärast isiku surma, alaealise puhul on piiriks 60 aastat. Vaieldavad tähtajad mõlemad. Lisavürtsi annab asjale lahkunu pärija(te) määramine andmetöötluse nõusoleku andjaks-võtjaks. Rahvahariduslikel põhjustel maksimaalse avalikustamise pooldajana leian, et mistahes surmajärgsed piirangud on mõttetud, sest surnu ei saa enam kellelegi kahju teha. Näiteks tänavu surema juhtuva NKVD/KGB kaastöölise laps saaks tema andmete uurimist ja avalikustamist takistada veel 30 aastat ja kas pikenevast teadmatusest sünnib ühiskondlikku kasu või kahju?

Loo moraal on see, et iga üksikküsimus andmekaitses vajab põhjalikku kaalumist ja läbi vaidlemist mitte ainult ametnike ja ekspertide poolt, vaid lõppotsust langetavate rahvaesindajate ja ekspertide ühistöös. Kui riigikogu liikmed sellest endale aru ei anna, tegutsevad kiirkorras ja pimedast peast ega tee igas punktis maailmavaatelist ja põhjendatud valikut, on see vastuhakk põhiseaduslike ülesannete täitmisele ning demokraatliku riigikorralduse õõnestamine, mitte tugevdamine.