Õigus koguda tundlikke isikuandmeid võitluseks kuritegevusega

Õigus koguda tundlikke isikuandmeid võitluseks kuritegevusega annab lühiülevaate tundlike isikuandmete kogumise õigusest pädevate ametiasutuste poolt kuritegevusega võitlemise eesmärgil, Euroopa Liidu õigusaktidest, kohtupraktikast ning regulatsioonist Eestis. 
Mis on isikuandmed?
 on mis tahes teave üheselt tuvastatud või tuvastatava elava üksikisiku kohta. Isikuandmed on ka erinevat laadi andmed, mis võivad kokku kogutult tuua kaasa konkreetse isiku üheselt tuvastamise. ja 2016/680 (õiguskaitseasutuste direktiiv) artikli 3 punkt 1 sätestab isikuandmete mõiste direktiivi tähenduses. Selle järgi on isikuandmed igasugune teave tuvastatud või tuvastatava füüsilise isiku kohta. Artikkel 3 punkt 1 loetleb isiku identifitseerimistunnused, milleks on eelkõige nimi, asukohateave, võrguidentifikaatorid (tunnused, mis sisevõrgus aitavad konkreetse isikuni viia), isikukood, füsioloogiline, geneetiline, majanduslik, vaimne, sotsiaalne või kultuuriline tunnus. Sisuliselt loetakse isikuandmeteks kõiki andmeid, mille alusel on võimalik füüsilise isiku identiteeti tuvastada. 
Isikuandmete eristamine.
Isikuandmeid liigitatakse praktikas kolmeks: tavalisteks, tundlikeks ja eriliigilisteks isikuandmeteks. Tavalised isikuandmed on andmed füüsilise isiku kohta, mille abil saab teda tuvastada, mis ei ole eriliiki või tundlikud isikuandmed, eelkõige nimi, isikukood jne. Tundlikke ja eriliiki isikuandmeid saab küll praktikas eristada, kuid direktiiv 2016/680 seda ei tee. Eriliiki isikuandmed on antud direktiivi tähenduses sisuliselt tundlikud isikuandmed põhjusel, et tundlikud isikuandmed ei ole legaaldefinitsioon. Sellest tulenevalt saab tavalistest isikuandmetest suurema kaitse all olevaid eriliiki isikuandmeid käsitleda tundlike isikuandmetena.
Direktiivi 2016/680 artikkel 10 sätestab eriliiki isikuandmed. Eriliiki on artikkel 10 järgi isikuandmed, millest ilmneb rassiline või etniline päritolu, poliitilised vaated, usulised või filosoofilised veendumused või ametiühingusse kuulumine, geneetilised andmed, füüsilise isiku kordumatuks tuvastamiseks kasutatavad biomeetrilised andmed, terviseandmed või andmed füüsilise isiku seksuaalelu ja seksuaalse sättumuse kohta. Artikkel 10 sätestab võrreldes tavaliste isikuandmetega rangemad piirangud eriliiki isikuandmete töötlemiseks. Keskmisest rangemad töötlemise piirangud on eelduslikult kehtestatud põhjusel, et artiklis 10 nimetatud eriliiki andmed sisaldavad inimese kohta eriti delikaatset teavet, mille avalikustamine võib isiku jaoks kaasa tuua soovimatuid negatiivseid tagajärgi.
Asjakohased õigusaktid Euroopa Liidus.
Isikuandmete kogumist õiguskaitseasutuste poolt reguleerib õiguskaitseasutuste direktiiv (2016/680), mille eesmärgiks on füüsiliste isikute kaitsmine seoses isikuandmete töötlemisega pädevate asutuste poolt süütegude tõkestamisel, uurimisel, avastamisel ning vastutusele võtmisel. Lisaks tunnistab direktiiv kehtetuks nõukogu raamotsuse 2008/977/JSK, mis varem käesolevat reguleeris. Oluline on eristada direktiivi 2016/679 ja 2016/680 põhjusel, et direktiiv 2016/680 reguleerib isikuandmete kaitset vaid süütegude menetlemise kontekstis kuivõrd direktiiv 2016/679 (isikuandmete kaitse üldmäärus) reguleerib isikuandmete kaitset üldisemalt. Isikuandmete kaitset üldiselt ja süütegude menetlemise kontekstis on oluline eristada, sest süütegude menetlemisel on õigus privaatsusele väiksema kaaluga.
Kohustus tagada isikuandmete kaitse ja seaduslik töötlemine tuleneb (ELPH).
Euroopa Kohtu otsus (C-205/21).
Asjaolud.
 võimud alustasid kahe suhtes kriminaalmenetluse seoses maksuvõlgade kindlaksmääramise ja tasumisega seotud pettuse tõttu. Üks süüdistatavatest oli V.S., kellel paluti pärast süüdistuse esitamist teha koostööd politseis registreerimiseks. V.S. tegi teatavaks, et ta ei nõustu oma daktüloskoopiliste (sõrme- ja peopesajäljed) ja fotograafiliste andmete kogumisega nende registreerimiseks ega proovi võtmisega tema DNA-profiili koostamiseks. Politsei jättis andmed kogumata ja pöördus päringuga eelotsusetaotluse esitanud kohtu poole, et nimetatud isikut sunniviisiliselt kohustada vastavaid andmeid andma. Kohus peatas kriminaalmenetluse ning pöördus eelotsustustaotlusega poole.
Eelotsustustaotlus.
Eelotsustustaotlusega esitas Bulgaaria riigisisene kohus Euroopa Kohtule neli küsimust. 
Esimese küsimusega soovis Bulgaaria riigisisene kohus sisuliselt teada, kas direktiivi (2016/680) artikkel 10 on õiguspäraselt siseriiklikusse õigusesse üle võetud, kui riigisisene õigusnorm viitab isikuandmete kaitse üldmääruse artiklile 9, kuid mille sisu vastab õiguskaitseasutuste direktiivi artiklile 10.
Jaatava vastuse korral esimesele küsimusele soovis Bulgaaria kohus teada, kas geneetiliste ja biomeetriliste andmete kogumist nende registreerimiseks politseis võib pidada direktiivi 2016/680 artikli 10 punkti a tähenduses lubatuks liikmesriigi õigusega harta artikli 52 lõike 1 tähenduses, kui andmete töötlemise õiguslikuks aluseks olevad riigisisesed seadused sisaldavad seoses selle töötlemise lubatavusega ette vastuolulisi norme. Vastuolus on omavahel Bulgaaria riigisisese kohtu hinnangul ZMVR-i (siseministeeriumi seadus) artikkel 25 bis, mis ei näi isikuandmete kaitse üldmääruse artiklile 9 viidates lubavat biomeetriliste ja geneetiliste andmete kogumist ja ZMVR-i artikkel 68, mis seda kahtlemata lubab.
Kolmandaks taotles Bulgaaria kohus vastust küsimusele, kas Bulgaaria riigisisene õigusnorm ZMVR-i artikkel 68 lg 4 on kooskõlas direktiivi 2016/680 artikli 6 punktiga a koostoimes artikliga 48. ZMVR-i artikkel 68 lg 4 kohaselt, kui isik, kellele on esitatud kahtlustus kuriteo toimepanemises, keeldub isikuandmete registreerimisel tegemast vabatahtlikku koostööd, on kohtul kohustus määrata isikuandmete sunniviisiline kogumine. Probleemiks selle küsimuse juures on eelotsustustaotluse esitanud kohtu hinnangul see, et ZMVR-i artiklist 68 ei tulene kohtule pädevust hinnata, kas esineb tõsine alus arvata, et isik on pannud toime kuriteo, mille toimepanemises on talle kahtlustus esitatud.
Neljandaks ning viimaseks soovis kohus teada, "kas direktiivi 2016/680 artikliga 10, artikli 4 lõike 1 punktidega a ja c ning artikli 8 lõigetega 1 ja 2 on kooskõlas ZMVR-i artikli 68 lõiked 1–3, milles on üldise reeglina ette nähtud fotode [tegemine], daktüloskopeerimine ja DNA-profiili koostamiseks proovi võtmine kõikide isikute puhul, kellele on esitatud kahtlustus sellise tahtliku kuriteo toimepanemises, mille suhtes alustab prokurör kriminaalmenetlust omal algatusel?"
Resolutsioon.
Euroopa Kohus andis taotluses esitatud küsimustele järgnevad vastused.
Esimesele ja teisele küsimusele otsustas Euroopa Kohus käsitleda kui ühte küsimust põhjusel, et eelotsusetaotlusest ilmnes, et “eelotsusetaotluse esitanud kohtu kahtlused puudutavad üksnes seda, kas põhikohtuasjas kõne all olevad riigisisesed õigusnormid järgivad ELPH artikli 52 lõikes 1 sätestatud nõuet, mille kohaselt hartaga tunnustatud õiguste ja vabaduste teostamist tohib piirata ainult seadusega.” Kohus selgitas, et sellest tulenevalt tuleb esimest ja teist küsimust analüüsida ainult harta artikli 52 seisukohast.
Vastuseks esimesele ja teisele küsimusele ütles Euroopa Kohus, et “direktiivi 2016/680 artikli 10 punkti a – tõlgendatuna lähtuvalt harta artiklist 52 – tuleb tõlgendada nii, et biomeetriliste ja geneetiliste andmete töötlemine politsei poolt uurimistegevuse tarbeks kuritegevuse vastu võitlemise ja avaliku korra tagamise eesmärgil on direktiivi artikli 10 punkti a tähenduses liikmesriigi õigusega lubatud, kui selle liikmesriigi õigus sisaldab andmete töötlemise jaoks loa andmiseks piisavalt selget ja täpset õiguslikku alust. Asjaolu, et niisugust õiguslikku alust sisaldav riigisisene õigusakt viitab muu hulgas isikuandmete kaitse üldmäärusele, mitte direktiivile 2016/680, ei sea iseenesest kahtluse alla sellise loa olemasolu, tingimusel, et kõikide kohaldatavate riigisiseste õigusnormide tõlgendusest nähtub piisavalt selgelt, täpselt ja üheselt mõistetavalt, et kõnealune biomeetriliste ja geneetiliste andmete töötlemine kuulub direktiivi, mitte määruse kohaldamisalasse.”
Kolmandale küsimusele vastas Euroopa Kohus, et direktiivi 2016/680 artikli 6 punkti a ning Euroopa Liidu põhiõiguste harta artiklite 47 ja 48-ga ei ole vastuolus riigisisesed õigusnormid, milles on ette nähtud, et pädeval kriminaalasju lahendaval kohtul kohustus anda luba nende andmete sunniviisiliseks kogumiseks, ilma et tal oleks pädevust hinnata, kas esineb tõsine alus arvata, et andmesubjekt on pannud toime kuriteo, mille toimepanemises on talle kahtlustus esitatud. Seda tingimusel, et „riigisisene õigus tagab hiljem tõhusa võimaluse isikul esitada kohtuliku kontrolli taotlus kahtlustuse esitamise tingimuste üle.“
Neljanda küsimuse osas oli Euroopa Kohus seisukohal, et direktiivi 2016/680 artikliga 10 koostoimes direktiivi artikli 4 lõike 1 punktidega a–c ning artikli 8 lõigetega 1 ja 2 on vastuolus sellised riigisisesed õigusnormid, milles on ette nähtud biomeetriliste ja geneetiliste andmete süstemaatiline kogumine nende registreerimise eesmärgil iga isiku puhul, kellele on esitatud kahtlustus kuriteo toimepanemises, ilma et pädevale asutusele oleks ette nähtud kohustus kontrollida kas andmete kogumine on sobiv ja vajalik meede.
Kohtujuristi ettepanek.
Euroopa Kohtu asjas C-205/21 esitas kohtujuristi ettepaneku Giovanni Pitruzzella. Kuigi Bulgaaria kohus taotles vastuseid neljale küsimusele, siis keskendus kohtujuristi ettepanek nendest kahele viimasele. 
Seoses kolmanda eelotsustuse küsimusega leidis kohtujurist, et eelmainitud riigisisesed õigusnormid, mis lasevad küll isikul keelduda biomeetriliste andmete andmisest ja sellist käsku vaidlustada kohtus, kuid mis ei anna kohtule vastavat õigust hinnata, kas isiku vastu esitatud süüdistusel on piisav alus, on kooskõlas EL direktiivi 2016/680 ning EL põhiõiguste hartaga. Esiteks toob Pitruzzella välja, et direktiiv 2016/680 sätestab õiguskaitsevahendid isikutele, kelle andmeid töödeldakse, mille hulgas on õigus kasutada tõhusat õiguskaitsevahendit. Euroopa Kohus on aga ise meelde tuletanud, et sellise õiguse näol ei ole tegemist absoluutse õigusega, ehk seda tuleb arvesse võtta lähtuvalt selle funktsioonist ühiskonnas. Seega leiab Pitruzzella, et see on igati põhjendatud, et süüteos kahtlustatavale on selle õiguskaitsevahendi piiramine mõistlik. Teiseks analüüsis kohtujurist sama küsimuse all seda, kas see, et kohtutel puudub õigus analüüsida vastava süüdistuse faktilisi asjaolusid, rikub harta artiklis 48 sätestatud süütuse presumptsiooni. Pitruzzella leidis aga, et kohtu ülesanne ei ole antud olukorras süüdistuse alust kontrollida, vaid lihtsalt veenduda süüdistuse olemasolus. Süüdistuse esitamine ja selle kohtu poolt kinnitamine aga mingit pidi ei viita süüdistatava konkreetsele süüle.
Neljandale küsimusele esitas kohtujurist ettepaneku jätta lõplik kaalutlusõigus eelotsustustaotluse esitanud kohtule. Küll aga nentis Pitruzzella, et selline süstemaatiline delikaatsete andmete kogumine peab olema rangelt vajalik ning seega on eelotsustust küsinud kohtul vaja hoolikalt analüüsida seda lubava sätte eesmärgipärasust ja otstarvet.
Muu asjakohane lahend (C-817/19).
Belgia Inimõiguste Liiga ("Ligue des droits humains") pöördus konstitutsioonikohtu poole taotlusega tühistada osaliselt või täielikult seadus, millega kohustati reisiettevõtteid jagama oma reisijate andmeid andmebaasi, mida haldab Belgia siseministeerium. Selle seaduse kolmeks eesmärgiks olid kuritegude ennetamine, avastamine, uurimine ning nende eest sanktsioneerimine, teiseks luure- ja julgeolekuülesanded ning kolmandaks välispiirikontrolli tõhustamine ja võitlus ebaseadusliku sisserände vastu.
Belgia konstitutsioonikohus esitas Euroopa Kohtule eelotsustustaotluse raames 10 küsimust, millest teine keskendus sellele, kas selline ulatuslik andmete jagamine võib anda reisijate kohta delikaatseid andmeid. Delikaatsete andmete jagamine peab aga olema “rangelt vajalik”, seega kui Euroopa Kohus leiaks, et tegemist oleks delikaatsete andmete ning antud juhul selline süstemaatiline andmete kogumine vajalik ei oleks, siis kuuluks eelmainitud seadus tühistamisele.
Euroopa kohus leidis, et antud eelotsustustaotluses delikaatsete andmetega tegemist ei ole. Kohus küll nentis, et see on võimalik, et selline reisiandmete jagamine võib teatud juhtudel väga täpselt paljastada inimese eraelu kohta. Kuna Euroopa Liidu direktiiv 2016/681 aga niigi keelab delikaatsete andmete käsitlemist reisifirmade poolt ning kuna antud juhul on tegemist väga spetsiifiliste andmetega (broneeringuinfo), siis Euroopa Kohus leidis antud kohtuasjas, et seoses delikaatsete andmete jagamisega rikkumist ei esine.
Regulatsioon Eestis.
Seadusandlus.
Isikuandmete töötlemise üldiseid reegleid reguleerib Eestis isikuandmete kaitse seadus (IKS). Seadus jõustus 15. jaanuaril 2019 ning sellega võeti üle Euroopa Parlamendi ja nõukogu direktiiv 2016/680. Seadusandluse ühtlustamiseks direktiiviga 2016/680 võeti vastu isikuandmete kaitse seaduse rakendamise seadus, millega tehti muudatusi veel 126 seaduses ning üks seadus tunnistati kehtetuks.
Täpsemalt isikuandmete töötlemist õiguskaitseasutuse poolt süüteo tõkestamisel, avastamisel ja menetlemisel ning karistuse täideviimisel reguleerib eelmainitud seaduse 4. peatükk. IKS § 12 lg 3 on sätestatud, et õiguskaitseasutustele ei kohaldata määrust (EL) 2016/679, seega on 4. peatükis olevad sätted direktiivi 2016/680 kohaldamisalas. Õiguskaitseasutus on IKS § 13 lg 2 tähenduses asutus või selle struktuuriüksus, mida seadus on volitanud süütegu tõkestama, avastama ja menetlema või karistust täide viima. Isikuandmete töötlemise seadusliku aluse õiguskaitseasutustele annab IKS § 15 ning andmete töötlemise põhimõtted on sätestatud IKS §-s 14. Eriliiki isikuandmete töötlemine on erilise kaitse all, erisused on sätestatud IKS §-s 20.
Kriminaalmenetluses isikuandmete töötlemiseks annab aluse kriminaalmenetluse seadustiku (KrMS) § 152, mille lg 1 annab üldvolituse isikuandmete töötlemiseks, hõlmatud on ka eri liiki isikuandmed. Säte on laialt sõnastatud, et ükski toiming ei jääks tegemata töötlemise õigusliku aluse puudumise tõttu. kogumine on reguleeritud KrMS §-dega 991 ja 992. Nii Isikuandmete kaitse seaduses kui Kriminaalmenetluse seadustikus terminit "tundlikud isikuandmed" kasutatud ei ole.
Kohtupraktika.
Eesti kohtud ei ole oma lahendites kohtuasjadele C-205/21 ega C-817/19 tuginenud. Samuti ei ole Eesti kohtupraktikas pärast direktiivi 2016/680 ülevõtmist muid lahendeid tundlike isikuandmete kogumise kohta kuritegevusega võitlemiseks.
Riigikohtu määrus 1-22-1608/101.
 on kolleegiumi seisukohas käsitlenud õiguskaitseasutuse poolset isikuandmete töötlemist pärast direktiivi 2016/680 ülevõtmist vaid ühe korra, 27. oktoobril 2023 tehtud määruses nr 1-22-1608/101.
Vaidlusaluses kohtuasjas mõistis süüdistatava Artur Boiko süüdi karistusseadustiku (KarS) § 217 lg 2 p 3 ning KarS § 120 lg 1 alusel. Kohus määras, et asitõenditeks olnud tagastatakse. Käesolevas kohtulahendis olid andmekandjateks arvutid ja kõvaketas. esitas taotluse kohtuotsuse täpsustamiseks, kus sooviti andmekandjate tagastamist ilma andmeteta, sest nendel olid kuriteo tulemusena andmekogust saadud võõrad isikuandmed. Harju Maakohus rahuldas taotluse, kuid tühistas maakohtu määruse. Riigikohtu kriminaalkolleegium jättis ringkonnakohtu määruse muutmata põhjendusega, et kohus ei saa süüdimõistmise korral kokkuleppest irduda.
Kriminaalkolleegium selgitas muuhulgas öelduna seda, et PPA oli selles õigussuhtes IKS § 13 lg 2 alusel õiguskaitseasutus, seega kohaldub PPA-le isikuandmete kaitse seadus KrMS § 152 lg 2 alusel. Kohus viitas ka IKS §-s 14 loetletud andmete töötlemise põhimõtetele ning andis PPA-le suunise andmekandjatelt isikuandmete kustutamiseks IKS § 34 p 2 alusel.