Kohtuasja number Määruse kuupäev Kohtukoosseis Kohtuasi
Menetlusosalised
Vaidlustatud kohtulahend Menetluse alus Riigikohtus Asja läbivaatamine
3-22-1148 21. märts 2025 Eesistuja Ivo Pilving, liikmed Heiki Loot ja Nele Siitam X kaebus Rahapesu Andmebüroo otsuste ja käskkirja tühistamiseks ning Rahapesu Andmebüroo kohustamiseks talle andmete väljastamist uuesti otsustama Kaebaja X, esindaja vandeadvokaat Siret Saks Vastustaja Rahapesu Andmebüroo, esindaja Karin Kook Kaasatud haldusorgan Andmekaitse Inspektsioon, esindaja Andres Kudrjavtsev Tallinna Ringkonnakohtu 10. aprilli 2024. a otsus Rahapesu Andmebüroo kassatsioonkaebus Kirjalik menetlus
RESOLUTSIOON
1.Taotleda Euroopa Kohtult eelotsust järgmistes küsimustes. 1) Kas Euroopa Parlamendi ja nõukogu 27. aprilli 2016. a määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM) art 2 lg 2 punkti d ja Euroopa Parlamendi ja nõukogu 27. aprilli 2016. a direktiivi (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (õiguskaitseasutuste direktiiv), art 2 lg-t 1 koostoimes selle art-ga 1 tuleb tõlgendada nii, et isikuandmete võimalik töötlemine rahapesu andmebüroo poolt võib olla isikuandmete töötlemiseks pädeva asutuse poolt süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil, isegi kui rahapesu andmebüroo ei ole uurimisasutus kriminaalmenetluse seadustiku mõttes? 2) Kas IKÜM art 23 lg 2 punkti h ja õiguskaitseasutuste direktiivi art 15 lg-t 3 tuleb tõlgendada nii, et andmesubjektile võib haldus- või kohtumenetluses jätta avaldamata ka õigusakti, mille alusel keelduti talle võimaldamast tutvuda enda isikuandmetega, et vältida tema isikuandmete töötlemise fakti kinnitamist või ümberlükkamist, kui selle toimumine või toimumata jäämine pole andmesubjektile teada, ning kas sellisel juhul võib andmesubjektile jätta avaldamata ka
3-22-1148 teabe selle kohta, kas tal on võimalik kasutada õiguskaitseasutuste direktiivi art 17 lg-s 1 sätestatud abinõu? 3) Kas õiguskaitseasutuste direktiivi art-t 15 või IKÜM art-t 23 tuleb tõlgendada nii, et nendega on kooskõlas niisugune riigisisene õigusnorm, mis annab rahapesu andmebüroo juhile õiguse piirata andmesubjekti õigusi ning mille puhul andmesubjekti õiguste piiramise eesmärk, tingimused ning ajaline ja ruumiline ulatus avalduvad koostoimes teiste, sealhulgas madalamalseisvate õigusnormidega? 4) Kas õiguskaitseasutuste direktiivi art-t 15 või IKÜM art-t 23 tuleb tõlgendada nii, et nendega on kooskõlas niisugune riigisisene õigusnorm, mis piirab õiguskaitseasutuste direktiivi art-s 14 või IKÜM art-s 15 sätestatud õiguse teostamise täielikult kuni andmete hävitamiseni, võimaldamata andmesubjektil nendega kunagi tutvuda?
2.Peatada asja menetlus kuni Euroopa Kohtu lahendi jõustumiseni eeltoodud küsimustes.
3.Asendada avaldatavas kohtumääruses kaebaja nimi tähemärgiga.
ASJAOLUD JA MENETLUSE KÄIK
1.X palus 16. detsembril 2019 Rahapesu Andmebürool (RAB) teada anda, kas tema kohta on esitatud Eesti või välisriigi krediidiasutustele või välisriigi ametiasutustele teavet, milles on viidatud rahapesu kahtlusele. RAB vastas 20. detsembril 2019, et tulenevalt rahapesu ja terrorismi rahastamise tõkestamise seaduse (RahaPTS) §-st 60 ja avaliku teabe seaduse (AvTS) § 23 lg 1 p-st 1 ei saa RAB väljastada oma ülesannete täitmisel kogutud andmeid ega teavet selliste andmete olemasolu või võimaliku andmevahetuse kohta. 27. detsembril 2019 palus X RAB-il teatada, kas tema suhtes on esitatud Eesti või välisriigi krediidiasutustele või välisriigi ametiasutustele ettekirjutusi või järelepärimisi, milles on viidatud rahapesu kahtlusele. RAB vastas 6. jaanuaril 2020, et tulenevalt RahaPTS § 1 lg-st 3 ja § 60 lg-st 1 ning AvTS § 23 lg 1 p-st 1 ei saa RAB selliseid andmeid väljastada. X palus 14. jaanuari 2020. a pöördumises RAB-il täpsustada, millisel AvTS §-s 35 sätestatud alusel on tema 16. detsembri 2019. a ja 27. detsembri 2019. a pöördumistes taotletud teabele kehtestatud juurdepääsupiirang. RAB selgitas 20. jaanuari 2020. a vastuses, et juurdepääsupiirang tuleneb RahaPTS § 60 lg-st 1. Kuna ei esine RahaPTS § 60 lg-tes 2–7 sätestatud teabe avaldamise erandite aluseid, ei saa RAB teabe olemasolu kinnitada või seda edastada. Kui RAB-il peaks olema taotletud teavet, kehtib sellele teabele AvTS § 35 lg 1 p 19 alusel RahaPTS § 60 lg-s 1 sätestatud juurdepääsupiirang.
2.X (kaebaja) esitas halduskohtule kaebuse RAB-i kohustamiseks tema teabenõudeid uuesti läbi vaatama (haldusasi nr 3-20-332). Haldus- ja ringkonnakohus jätsid tema kaebuse rahuldamata, kuid Riigikohus tegi 24. märtsil 2022 otsuse nr 3-20-332/39, millega tühistas haldus- ja ringkonnakohtu otsused, rahuldas kaebuse ning kohustas RAB-i kaebajale andmete väljastamist uuesti otsustama. Riigikohtu põhjendused olid kokkuvõtlikult järgmised.
2.1.Üldjuhul reguleerib andmesubjekti õigust tutvuda andmetega Euroopa Parlamendi ja nõukogu
27.aprilli 2016. a määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM) art 15 ja selle õiguse piiramisel kohaldatakse IKÜM art-t 23. IKÜM-i ei kohaldata, kui isikuandmeid töötlevad pädevad asutused süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil (IKÜM art 2 lg 2 p d). 2(15)
3-22-1148 Sellisel juhul tuleb kohaldada isikuandmete kaitse seaduse (IKS) § 24, millega on üle võetud Euroopa Parlamendi ja nõukogu 27. aprilli 2016. a direktiivi (EL) 2016/680, mis käsitleb füüsiliste isikute kaitset seoses pädevates asutustes isikuandmete töötlemisega süütegude tõkestamise, uurimise, avastamise ja nende eest vastutusele võtmise või kriminaalkaristuste täitmisele pööramise eesmärgil ning selliste andmete vaba liikumist ning millega tunnistatakse kehtetuks nõukogu raamotsus 2008/977/JSK (õiguskaitseasutuste direktiiv), art-d 14 ja 15.
2.2.Euroopa Parlamendi ja nõukogu 20. mai 2015. a direktiivi (EL) 2015/849, mis käsitleb finantssüsteemi rahapesu või terrorismi rahastamise eesmärgil kasutamise tõkestamist ning millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) nr 648/2012 ja tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu direktiiv 2005/60/EÜ ja komisjoni direktiiv 2006/70/EÜ, art 41 järgi kohaldatakse direktiivi raames toimuvale isikuandmete töötlemisele IKÜM-i. Direktiivi 2015/849 art 43 järgi tuleb selle direktiivi alusel toimuvat isikuandmete töötlemist rahapesu ja terrorismi rahastamise tõkestamise eesmärgil käsitada avaliku huvi küsimusena IKÜM-i mõistes. Lisaks ei nähtu asja toimikust, et praegusel juhul puudutaks vaidlus süüteomenetluses kogutud teavet. Järelikult tuleb praegusel juhul lähtuda IKÜM-is sätestatud andmesubjekti õigustest ja nende piiramise alustest.
2.3.RahaPTS § 60 lg 1 esimesest lausest tuleneb üldine RAB-i ametnike teenistusalane juurdepääsuõigus RAB-i andmekogus sisalduvale teabele. Lisaks näevad RahaPTS § 60 lg-d 3–7 ja 9, § 62, § 63 ja § 69 lg 2 ette spetsiifilised juurdepääsuõigused teiste asutuste teenistujatele või muudele RAB-iga koostööd tegevatele isikutele. Need sätted ei piira andmesubjekti õigust tutvuda andmetega.
2.4.RahaPTS § 60 lg 1 teise lause järgi võib RAB-i juht kehtestada teabele juurdepääsupiirangu. See võimaldab piirata ka andmesubjekti õigusi. Sätte kohaldamine andmesubjekti õiguste piiramiseks peab olema vajalik ja proportsionaalne, arvestades IKÜM art-st 15 andmesubjektile võrreldes teiste isikutega tulenevaid õigusi. RahaPTS § 60 lg 1 teine lause ei piira andmesubjekti õigusi vahetult seaduse alusel, vaid annab selleks RAB-i juhile kaalutlusõiguse. Praegusel juhul ei ole RAB-i juht teinud otsustust andmesubjektile juurdepääsupiirangute kehtestamise kohta, vaid tuginenud ekslikule tõlgendusele, nagu andmete väljastamisest saaks keelduda vahetult seaduse alusel. Juhul kui esinevad põhjused andmesubjekti õiguste piiramiseks, saab RAB-i juht piirangute üle otsustada enne kaebaja taotluste üle uuesti otsustamist. Seejuures tuleb silmas pidada, et andmesubjekti õiguste piiramine peab olema kooskõlas IKÜM art-ga 23, mis seab nõuded seadusandlikule meetmele, millega andmesubjekti õigusi piiratakse.
3.Kaebaja esitas 22. novembril 2021 RAB-ile teabenõude, milles palus teatada, kas RAB on aastatel 2012–2015 avanud tema suhtes kontrollitoimiku ning kas RAB on vastava kontrollitoimiku alusel esitanud päringuid Ameerika Ühendriikidesse. RAB keeldus 29. novembril 2021 teabenõude täitmisest, mispeale esitas kaebaja vaide Andmekaitse Inspektsioonile (AKI). AKI rahuldas vaide ja kohustas RAB-i teabenõuet uuesti läbi vaatama. 17. veebruaril 2022 keeldus RAB uuesti teabenõude täitmisest, mispeale esitas kaebaja uue vaide AKI-le. AKI tegi 18. aprillil 2022 vaideotsuse ja ettekirjutus-hoiatuse, milles kohustas teabevaldajat küsitud teavet väljastama. AKI põhjendas otsust asjaoluga, et RahaPTS § 60 lg 1 alusel pole andmesubjekti õigusi piiratud ning otse IKÜM art 23 alusel pole võimalik andmesubjekti õigusi piirata, kui seda pole teinud liikmesriigi seadusandja.
4.RAB-i juht tegi 22. aprillil 2022 otsuse, millega kehtestas RahaPTS § 60 lg 1 teise lause alusel ja viitega IKÜM art 23 lg 1 p-le e X-le juurdepääsupiirangu selle kohta, kas ja millist teavet temast RAB-il on. RAB selgitas otsuses, et on kohustatud hoidma oma andmekogus oleva teabe konfidentsiaalsena, et seeläbi tagada ettevõtluskeskkonna usaldusväärsust ning kaitsta Eesti rahandussüsteemi ja majandusruumi tervikuna. RahaPTS § 60 lg 1 eesmärk on piirata kõikide seaduses nimetamata isikute või asutuste juurdepääsuõigust RAB-i andmekogus sisalduvale teabele, 3(15)
3-22-1148 et tõkestada rahapesu ja terrorismi rahastamist. Nende ohtlike kuritegevuse liikide vastu võitlemisel on oluline, et kõik RAB-ile edastatud ja RAB-i kogutud andmed on salajased. Kogu rahapesu ja terrorismi tõkestamise süsteem on üles ehitatud teavitaja kaitse põhimõttele (RahaPTS § 521) ja konfidentsiaalsele teabevahetusele nii riigisiseselt kui ka välisriikidega. Kui RAB piiranguid ei seaks, ei vastaks Eesti süsteem FATF-i (Financial Action Task Force, Rahapesuvastane Töökond) standarditele ega Euroopa Liidu nõuetele. Seetõttu peab RAB-i juht juurdepääsu piirama.
5.RAB-i juht andis 13. mail 2022 käskkirja, millega kehtestas juurdepääsupiirangu RAB-i andmekogusse kantud andmetele, sealhulgas tagasiulatuvalt, ning tunnistas rahandusministri
16.detsembri 2020. a määruse nr 56 „Rahapesu Andmebüroo andmekogu põhimäärus“ (RAB-i andmekogu põhimäärus) §-des 8–17 loetletud andmed üksnes asutusesiseseks kasutamiseks mõeldud teabeks.
6.RAB-i juht tegi 19. mail 2022 otsuse, millega keeldus AvTS § 23 lg 1 p 1 alusel uuesti
22.novembril 2021 esitatud teabenõude täitmisest. Otsuses viidati 22. aprilli 2022. a otsuse ja 13. mai 2022. a käskkirjaga seatud juurdepääsupiirangutele.
7.Kaebaja esitas Tallinna Halduskohtule kaebused (liidetud käesolevasse haldusasja) RAB-i
22.aprilli 2022. a otsuse, 13. mai 2022. a käskkirja ning 19. mai 2022. a otsuse tühistamiseks ja RAB-i kohustamiseks väljastama tema teabenõuetes küsitud andmed. Kaebaja selgitas, et tema kontod Ameerika Ühendriikide pankades suleti 2015. ja 2016. aastal. Kaebajale kuulub Ameerika Ühendriikides kinnisvara ning ta on alates 1990. aastast seal sageli viibinud. Seetõttu on Ameerika Ühendriikide pangakonto talle vajalik. Kuna pangakontod suleti põhjendusi esitamata, on tal põhjendatud huvi teada saada, miks pangad talle teenuse osutamise lõpetasid. Andmesubjekti õigus tutvuda oma isikuandmetega on isikuandmete kaitse regulatsiooni üks alustalasid. Piirangud isikuandmetele juurdepääsule saavad tuleneda IKÜM art-ga 23 kooskõlas olevast õigusaktist, kuid RahaPTS § 60 lg 1 ei ole sellega kooskõlas. RAB-i juhi käskkiri ei ole seadusandlik meede IKÜM art 23 tähenduses.
8.Tallinna Halduskohus rahuldas 19. detsembri 2022. a otsusega kaebuse. Halduskohus tunnistas RahaPTS § 60 lg 1 IKÜM art-ga 23 vastuolus olevaks ja jättis selle kohaldamata. Kohus tühistas RAB-i otsused ja käskkirja ning kohustas teda kaebaja teabenõuete alusel andmete väljastamist uuesti otsustama. IKÜM art 15 annab andmesubjektile õiguse saada vastutavalt töötlejalt kinnitus, kas tema isikuandmeid töödeldakse, ning sellisel juhul tutvuda isikuandmetega. Samasugune õigus on andmesubjektile tagatud Euroopa Liidu põhiõiguste harta (ELPH) art 8 lg-s 2. IKÜM art 23 võimaldab seadusandliku meetmega piirata IKÜM art-s 15 nimetatud andmesubjekti õigust teatud avalike huvide puhul. Üks selline avalik huvi on liidu või liikmesriigi oluline majanduslik või finantshuvi (IKÜM art 23 p 1 e). Sellisel juhul tuleb seadusandliku meetme rakendamiseks ette näha vastav regulatsioon, mis peab täpsustama järgmist: kes, kuidas ja milliseid andmesubjekti andmeid mis aja jooksul võib töödelda selliselt, et andmesubjekti sellest ei teavitata. Euroopa Kohtu hinnangul peab andmesubjektil olema võimalus teha kindlaks asjaolud ja tingimused, mille esinemisel on õigus piirata tema õigust tutvuda enda andmetega (otsus asjas C-175/20, p 56). RahaPTS § 60 lg 1 jõustus enne IKÜM-i kohaldamise algust ning eelnõu seletuskirjast nähtuvalt ei arvestatud eelnõu koostamisel IKÜM-iga. Seadusandja ei ole sätestanud RAB-i tegevusi, mille käigus töödeldakse isikuandmeid, mis põhjustel on isikuandmete töötlemisest teadasaamine välistatud ning kui kaua piirang kehtib. Selle asemel on seadusandja andnud RahaPTS § 60 lg 1 teise lausega RAB-i juhile pädevuse otsustada andmesubjekti õiguste piiramise üle. RahaPTS § 60 lg 1 on vastuolus IKÜM art-ga 23. Välismõju oli ka RAB-i juhi 13. mai 2022. a käskkirjal, sest selle alusel piirati kaebaja õigusi. Kuna käskkiri piirab tähtajatult andmesubjekti õigust teada saada, milliseid andmeid on tema kohtu kogutud, ei ole see proportsionaalne. 4(15)
3-22-1148
9.RAB esitas halduskohtu otsuse peale apellatsioonkaebuse, mille Tallinna Ringkonnakohus jättis
10.aprilli 2024. a otsusega rahuldamata. Ringkonnakohtu põhjendused on kokkuvõtlikult järgmised.
9.1.Üldjuhul on isikul IKÜM art 15 alusel õigus tutvuda enda isikuandmetega, mida töödeldakse. Seda õigust saab IKÜM art 23 järgi piirata seadusandliku meetmega, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada art 23 lg 1 alapunktides sätestatud eesmärke. IKÜM art 23 lg 2 loetleb, milliseid sätteid peab lg-s 1 nimetatud seadusandlik meede vähemalt sisaldama. Euroopa Kohus on asjas C-175/20 – Valsts ieņēmumu dienests tehtud otsuse p-des 52–57 selgitanud, et IKÜM-i põhjendusest 41 tuleneb, et selles määruses sisalduv viide „seadusandlikule meetmele“ ei tähenda tingimata, et nõutav on seadusandliku akti vastuvõtmine parlamendis. Samas tuleneb ELPH art 52 lg-st 1, et hartaga tunnustatud õiguste ja vabaduste (sh art-ga 7 tagatud õigus eraelu puutumatusele ja art-ga 8 tagatud õigus isikuandmete kaitsele) teostamist võib piirata ainult seadusega. Õiguslik alus, mis võimaldab neid õigusi riivata, peab määrama, kui ulatuslikult seda tohib teha. Järelikult peavad kõik IKÜM art 23 alusel võetud meetmed olema selged ja täpsed ning nende kohaldamine peab olema õigussubjektidele ettenähtav. Sellest tulenevalt järeldas Euroopa Kohus konkreetses vaidluses, et liikmesriigi maksuhaldur ei või teha erandeid IKÜM art-s 5 sätestatust, kui liidu või liikmesriigi õiguses puudub selge ja täpne õiguslik alus, mille kohaldamine on õigussubjektidele ettenähtav ning milles on ette nähtud asjaolud ja tingimused, mille korral võib art-s 5 ette nähtud kohustuste ja õiguste ulatust piirata.
9.2.Neid seisukohti täiendas Euroopa Kohus liidetud kohtuasjades C-37/20 ja C-601/20 - Luxembourg Business Registers. Euroopa Kohus selgitas, et kui põhiõigust tohib piirata ainult seadusega, tähendab see, et õigusakt, mis võimaldab nendesse õigustesse sekkuda, peab ise määrama kindlaks, kui ulatuslikult tohib asjaomase õiguse teostamist piirata. Samas võib see olla sõnastatud piisavalt lahtiselt, et seda saaks kohandada erinevate juhtumite ja muutuvate asjaoludega. Rahapesu tõkestamise direktiivide alusel teabe kogumine, hoidmine ja kättesaadavaks tegemine peab täielikult vastama IKÜM-ist tulenevatele nõuetele. Proportsionaalsuse nõude järgimiseks peavad ka riivet sisaldavas õigusaktis olema sätestatud selged ja täpsed reeglid, mis reguleerivad õigusaktiga ette nähtud meetmete ulatust ja kohaldamist. Nendega peavad olema kehtestatud miinimumnõuded, millest tulenevalt on andmesubjektidel piisavad tagatised, mis võimaldavad tõhusalt kaitsta nende isikuandmeid kuritarvitamise ohu eest.
9.3.Halduskohus on jõudnud õigele järeldusele, et RahaPTS § 60 lg 1 teine lause, mis sätestab üksnes, et RAB-i juht võib kehtestada teabele juurdepääsupiirangu, tunnistades teabe asutusesiseseks kasutamiseks mõeldud teabeks, ei ole kooskõlas IKÜM art-ga 23. Norm ei ole selge ega täpne ega andmesubjektidele ettenähtav, jättes eelkõige lahtiseks küsimuse, millisel ajavahemikul on andmesubjekti eest andmete varjamine lubatud ja põhjendatud.
9.4.Kuna RahaPTS-is puudub asjakohane normistik ja IKÜM on otsekohalduv, tuli andmetele juurdepääsupiirangu üle otsustamisel teha IKÜM art 23 lg-tele 1 ja 2 vastav analüüs RAB-i juhil.
22.aprilli 2022. a otsus ei vasta IKÜM art 23 standardile. RAB on otsust tehes lähtunud eeldusest, et kogu RAB-i valduses olev teave peab olema täielikult salajane ja seda kunagi kellelegi väljastada ei saa. Seega on kaalutlusõigust teostatud näilikult. RAB-i viited direktiividele ja rahvusvahelistele soovitustele ning standarditele on üldsõnalised ja konkreetse juhtumiga seostamata. Kaebaja järelepärimised puudutavad aega enne 2016. aastat ja praeguses asjas vaidlustatud RAB-i otsuste tegemise ajaks oli möödunud sellest kuus aastat. On arusaamatu, kuidas saaks rahapesu ja terrorismi rahastamise tõkestamine, rahvusvaheline koostöö jms oluline avalik huvi rikutud, kui teabenõue
5(15)
3-22-1148 täidetaks kas või osaliselt ja umbisikuliselt. Absoluutne ja igavene teabe andmisest keeldumine ei saa olla proportsionaalne ega IKÜM art-ga 23 kooskõlas.
9.5.Absoluutne keeld väljendub ka RAB-i 13. mai 2022. a käskkirjas, millega kehtestati tagasiulatuvalt juurdepääsupiirang RAB-i andmekogusse kantud andmetele, tunnistades need eranditult asutusesiseseks kasutamiseks mõeldud teabeks. Kuigi see on RAB-i siseakt, riivab see RAB-i 19. mai 2022. a otsuse kaudu kaebaja subjektiivseid õigusi. Selline absoluutne piirang on ebaproportsionaalne. RAB-i juhi käskkiri ei ole kohane seadusandlik meede IKÜM art 23 lg 1 tähenduses.
MENETLUSOSALISTE PÕHJENDUSED
10.RAB esitas Riigikohtule kassatsioonkaebuse, milles palub nii ringkonna- kui ka halduskohtu otsuse tühistada ja teha asjas uus otsus, millega jätta kaebus rahuldamata. Kassaatori seisukohad kassatsioonimenetluses on kokkuvõtlikult järgmised.
10.1.RAB-il pole õigust seaduses nimetamata isikutele või asutustele teavet väljastada. See keeld hõlmab ka andmesubjekti, kellele teabe andmise kohta on RahaPTS-is antud otsustamise õigus RAB-i juhile. Ringkonnakohtu otsuse jõustumine võib tähendada, et välisriikide rahapesu andmebürood lõpetavad RAB-iga koostöö või piirab rahapesu andmebüroode katusorganisatsioon Egmont Group RAB-i õigusi. Sellisel juhul ei suuda RAB täita enda seadusest tulenevaid ülesandeid. Kui andmesubjektidele ei ole teada RAB-i võimalikud kontrollitoimingud, ei tohiks need neile ka teatavaks saada, sest saades aru, millal ja millist infot RAB-il isiku kohta on, on sisuliselt võimatu RahaPTS-i eesmärke täita. Niisiis ei ole võimalik täpsemalt põhjendada andmesubjektile teabe andmisest keeldumist, sest sellisel juhul peab RAB kinnitama teabe olemasolu või selle puudumist RAB-i andmekogus. Selle alusel võiks teha järeldusi, millise tehingu kohta on RAB-i teavitatud. Rahapesu ja terrorismi rahastamise tõkestamise süsteem on üles ehitatud FATF-i soovitustele, mille täitmine on kõigile maailma riikidele kohustuslik. FATF-i soovituse 29 p D kohaselt peavad RAB-i andmed olema turvaliselt kaitstud ning konfidentsiaalsed.
10.2.RahaPTS § 60 lg 1 esimese ja teise lause kohaselt on juurdepääs RAB-i andmekogus sisalduvale teabele ja selle töötlemise õigus ainult RAB-i ametnikul ja töötajal; RAB-i juht võib kehtestada teabele juurdepääsupiirangu, tunnistades teabe asutusesiseseks kasutamiseks mõeldud teabeks. RahaPTS § 60 lg-tes 2–53 on sätestatud erisused, mis asjaoludel ja kellele võib RAB oma andmekogus sisalduvat teavet avaldada. Ühelegi teisele isikule või asutusele RAB andmeid väljastada ei tohi. Ringkonnakohus on jätnud arvestamata FATF-i soovitustes toodu ja selle kohustuslikkuse RAB-ile. FATF-i soovituse 29 tõlgendava märkuse kohaselt on rahapesu andmebürool keskne roll riigi rahapesu ja terrorismi rahastamise tõkestamise operatiivvõrgustikus, abistades teiste asjakohaste asutuste tööd. FATF-i soovituses viidatakse operatiivvõrgustikele ja pädevatele asutustele ehk FATF-i soovituse eelduseks ei ole ühelgi juhul see, et andmed läheksid andmesubjektile, kelle kohta informatsiooni kogutakse või vahetatakse. Sama soovituse tõlgendava märkuse kohaselt edastatakse analüüsi tulemus pädevatele asutustele ja riik peab ette nägema võimaluse otsustada, millises osas annab rahapesu andmebüroo informatsiooni uurimisasutusele. FATF-i standardite kohaselt loetakse rahapesu andmebüroodes olevat finantsluureteavet sedavõrd salajaseks informatsiooniks, et ka selle andmine uurimisasutusele sõltub rahapesu andmebüroo diskretsioonist. Üheski rahapesu andmebüroosid käsitlevas õigusaktis ei ole ette nähtud võimalust, et rahapesu andmebüroo edastaks informatsiooni andmesubjektile. Lisaks on Egmonti alamtöögrupi ECOFEL dokumendis rahapesu andmebüroo tegevusalase sõltumatuse ja autonoomia kohta (p-d 16, 26, 29, 45 ja 63) rõhutatud, et kogu vahetatav teave rahapesu andmebüroode vahel peab olema konfidentsiaalne ning kohaldatav
6(15)
3-22-1148 õigusraamistik peaks andma konfidentsiaalsuse kaitse kogu teabele, mille rahapesu andmebüroo saab või ise loob.
10.3.Lisaks maailmas standardina tunnustatud FATF-i soovitustele on Euroopa Liidus rahapesu ja terrorismi rahastamise tõkestamise reguleerimiseks antud direktiivid, mis neid täpsustavad. Direktiivis 2015/849 ning seda täpsustavas direktiivis 2018/843 on sätestatud Euroopa Liidu liikmesriikidele kehtivad nõuded, mis on Eesti õigusesse RahaPTS-iga üle võetud. Direktiivi 2015/849 art 32 p-st 3 ja põhjendusest 20 ning direktiivi 2018/843 põhjendusest 46 nähtub üheselt, et andmesubjektile andmetele juurdepääsu õigust on rahapesu ja terrorismi rahastamise tõkestamise süsteemi toimimiseks vältimatult vaja piirata.
10.4.RAB on 22. aprilli 2022. a otsust tehes kaalunud kaebaja küsitud teabe väljastamist sisuliselt ning lähtunud rahvusvahelise koostöö raames kokku lepitud protseduurireeglitest, et välisriigi rahapesu andmebüroode vahel vahetatav info peab olema varjatud ka andmesubjekti eest. RAB kaalus andmesubjekti õigust saada enda kohta teavet ning tagajärge, mis võib Eesti jaoks saabuda, kui RAB annab kaebajale tema kohta teavet. Kui RAB peaks rikkuma andmete saladuses hoidmise nõuet, võib välisriigi rahapesu andmebüroo esitada kaebuse, millega algab vastavusprotsess (Egmont Groupi vastavuse juhendi H 2 alus 1). Lubamatu teabe avaldamine võib tähendada riigi nn halli nimekirja sattumist. Hall nimekiri tähendab, et riiki nimetatakse avalikult territooriumina, mille rahapesu ja terrorismi rahastamise tõkestamise nõuded ei vasta rahvusvahelistele standarditele. Halli nimekirja sattumise tulemusena võivad väheneda välisinvesteeringud, kallineda raha hind kapitaliturgudel, olla piiratud ligipääs korrespondentsuhetele jne. See oleks Eesti majandusele ja finantsjulgeolekule laostava toimega. RAB on kohustatud tagama riigi finantsjulgeoleku.
10.5.RahaPTS § 60 lg 1 sõnastamisel on seadusandja arvestanud vajadusega piirata andmesubjekti õigusi ja pidanud seda aluseks andmesubjektile teabe väljastamisest keeldumisel. Eelnõu seletuskirjas toodud selgitusi (eelkõige sõnaselget viidet RAB-i töödeldavate andmete salajasusele) arvesse võttes ei saa andmesubjektile jääda arusaamatuks vajadus töödelda andmeid ka andmesubjekti eest varjatult. RAB on lähtunud 22. aprilli 2022. a otsuse tegemisel seega seadusandja tahtest. RAB-i andmekogu põhimääruse § 2 lg-tes 1 ja 2 on sätestatud, et andmekogus töödeldakse RAB-i ülesannetest tulenevate toimingute ja menetlustega seotud andmeid. RahaPTS § 54 lg 1 p 1 kohaselt RAB võtab vastu, kogub, nõuab välja, registreerib, töötleb, analüüsib ja edastab informatsiooni, mis seostub rahapesu ja terrorismi rahastamise tõkestamisega. RAB-i andmekogus saab olla üksnes informatsioon, mis on seotud rahapesu või terrorismi rahastamise kahtlusega.
10.6.Rahapesu ja terrorismi tõkestamise vastu on avalik huvi, seega ei ole kahtluse all IKÜM art 23 alusel andmesubjekti õiguste piiramise vajalikkus ja põhjendatus. Järelikult on RahaPTS § 60 lg 1 IKÜM art-ga 23 kooskõlas ja ringkonnakohus on jõudnud ebaõigetele järeldustele.
10.7.RAB-i andmekogust andmete väljastamise keeld ei ole absoluutne, vaid andmete väljastamise võimalikkust hinnatakse iga pöördumise asjaoludest lähtudes. Kui andmeid väljastada ei ole võimalik, tuleneb salastatuse ajaline piir RAB-i andmekogu põhimäärusest. Andmete salastatus on seotud andmete säilitamise tähtajaga. Põhimääruse § 26 lg-s 1 on sätestatud, et andmekogu andmeid ja andmekogusse kantud dokumente säilitatakse andmekogus 15 aastat pärast teate või toimiku sulgemist.
10.8.Kohtud on jätnud tähelepanuta, kuidas RAB-ilt saadav info aitaks kaebajat tema eesmärgi saavutamisel ehk Ameerika Ühendriikide pankades konto avamisel. Need pangad ei ole kohustatud isikud RahaPTS-i mõttes. RAB ei saa Ameerika Ühendriikide pankadele ettekirjutusi teha. Kogu suhtlus välisriikide krediidiasutustega käib vastava riigi rahapesu andmebüroo kaudu. 7(15)
3-22-1148
10.9.Valdkonna spetsiifikat arvestades tuleb osal juhtudel RAB-i tegevuse puhul kohaldada ka õiguskaitseasutuste direktiivi ja IKS-i, kuivõrd rahapesu tõkestamine on teatud juhtudel tõlgendatav kuritegude tõkestamisena. Seda kinnitab ka Euroopa Parlamendi ja Nõukogu 31. mai 2024. a direktiivi (EL) 2024/1640 (mis käsitleb mehhanisme, mille liikmesriigid peavad kehtestama, et tõkestada finantssüsteemi kasutamist rahapesu ja terrorismi rahastamise eesmärgil, millega muudetakse direktiivi (EL) 2019/1937 ning muudetakse direktiivi (EL) 2015/849 ja tunnistatakse see kehtetuks) põhjenduses 122 toodu.
10.10.RahaPTS § 60 lg-s 1 sätestatu arvestab Euroopa Kohtu otsuses asjas C-175/20 – Valsts ieņēmumu dienests ja otsuses liidetud kohtuasjades C-37/20 – Luxembourg Business Registers ja C-601/20 – Sovim ja Euroopa Inimõiguste Kohtu otsuses asjas Sanoma Uitgevers B.V. vs. Madalmaad, nr 38224/03, toodud seisukohtadega. Euroopa Kohus on otsuses asjas C-307/22 – FT sedastanud, et IKÜM art 23 kohaldamisalasse võivad kuuluda riigisisesed õigusnormid, mis on vastu võetud enne selle määruse jõustumist. RahaPTS-is sätestatud andmete kasutamise piirangud on kehtinud sarnases sõnastuses alates 1998. a-l vastu võetud rahapesu tõkestamise seadusest. Direktiivi 2015/849 põhjenduse 42 kohaselt peavad võitlust rahapesu ja terrorismi rahastamise vastu oluliseks avalikuks huviks kõik liikmesriigid. Põhjenduses 46 tuuakse välja, et andmesubjekti juurdepääs kahtlase tehinguga seotud teabele pärsiks tõsiselt rahapesu ja terrorismi rahastamise vastase võitluse tulemuslikkust. Seepärast võib olla põhjendatud kohaldada kõnealuse õiguse suhtes erandeid ja piiranguid.
10.11.IKÜM art 23 piirangute kohaldamisel on oluliseks eelduseks, et piirangute seadmine täidaks avalikku huvi. Võitlus rahapesu ja terrorismi rahastamise tõkestamiseks on olulise avaliku huviga küsimus, mille puhul on andmesubjekti õiguste piiramine põhiõigusi ja -vabadusi austav ning demokraatlikus ühiskonnas vajalik ja proportsionaalne meede. Euroopa Kohtu praktikat arvestades võib piirangut sisaldav regulatsioon olla sõnastatud piisavalt lahtiselt, mida saaks kohandada erinevate juhtumite asjaoludega. Praegusel juhul ongi põhjendatud laiaulatuslik piirang, mis võimaldab RAB-i juhil iga konkreetse olukorra asjaolusid arvesse võttes RahaPTS § 60 lg 1 alusel andmesubjekti õiguste piirangute ulatuse üle otsustada.
10.12.Juhindudes Riigikohtu suunistest otsuses 3-20-332/39, tegi RAB RahaPTS § 60 lg 1 alusel andmesubjekti õigusi piirava üksikotsuse, mis arvestab IKÜM art 23 lg-s 2 sätestatud tingimusi. Seadusandlik meede andmesubjekti õiguste piiramiseks on RahaPTS § 60 lg 1 alusel tehtud RAB-i juhi kaalutlusotsus.
10.13.RAB toetab Euroopa Kohtult eelotsuse taotlemist, kui Riigikohus seda vajalikuks peab ning leiab, et selgust vajaks küsimus andmesubjekti õiguste piiramise ulatuse kohta juhtudel, kus küsitav teave puudutab RAB-i infovahetust välisriikidega rahapesu ja terrorismi rahastamise tõkestamiseks. Eelotsuse küsimus võiksid olla järgmine: „Kas IKÜM art 23 piirangutega kooskõlas olevaks saab lugeda andmesubjekti õiguste täies mahus piiramist, kui küsitav teave puudutab rahvusvahelist infovahetust rahapesu ja terrorismi rahastamise tõkestamiseks rahapesu andmebüroode vahel, mille osas kohalduvad Euroopa Parlamendi ja nõukogu 20. mai2015. a direktiivis 2015/849 sätestatud nõuded?“
11.Kaebaja seisukohad kassatsioonimenetluses on kokkuvõtlikult järgmised.
11.1.Asi on võrsunud haldusasjast nr 3-20-332, milles Riigikohus tegi 24. märtsil 2022 otsuse. Riigikohus on seal lahendanud küsimuse, millal kohaldub IKÜM ja millal õiguskaitseasutuste direktiiv. Praegune menetlus toimub sama moodi nagu menetlus haldusasjas nr 3-20-332, kaebajal ja 8(15)
3-22-1148 tema esindajatel on piiratud juurdepääs vastustaja kohtule esitatavatele dokumentidele ja menetlustoimingu protokollile (vt 28. juuni 2022. a kohtumääruse p-d 7–9). Sellises menetluses on kohtul kõrgendatud uurimis- ja põhjendamiskohustus, sest menetlusosaliselt on ära võetud võimalus esitada tõendite kohta oma seisukohti. Euroopa Kohtu praktika ei ole muutunud võrreldes asja nr 3-20-332 läbivaatamise ajaga.
11.2.Et kontrollida, milline regulatsioon andmete kogumisele kohaldub, tuleb luua selgus selles, milliseid andmeid ja millise menetluse käigus on andmesubjekti kohta kogutud. Juhiseid selle kohta on andnud Euroopa Kohus otsuses asjas C-439/19 – Latvijas Republikas Saeima (p 69). Kui on selge, milliseid andmeid on kogutud, saab vaadata, milline on asjakohane regulatsioon, mis kohaldub andmete väljaandmisele. Sõltumata sellest, kas andmed kuuluvad õiguskaitseasutuste direktiivi või IKÜM-i kaitsealasse, ei võimalda kumbki õigusakt juurdepääsuõiguse absoluutset piirangut, nagu see on RahaPTS § 60 lg-s 1 sätestatud. Riigikohus järeldas asjas nr 3-20-332, et andmeid ei kogutud süüteomenetluses. Kaebajale ei ole tõendite sisu teada ja Riigikohus on juba korra otsustanud, et kogutud tõendite suhtes kohaldub IKÜM ehk tegemist ei ole süüteomenetluses kogutud andmetega. Oma seisukoha muutmiseks peavad Riigikohtul olema äärmiselt kaalukad argumendid.
11.3.ELPH art 8 lg-s 1 ja Euroopa Liidu toimimise lepingu art 16 lg-s 1 on sätestatud, et igaühel on õigus oma isikuandmete kaitsele. Direktiivi 2015/849 põhjenduses 46 on toodud andmekaitse põhimõtted. Seal on viidatud direktiivi 95/46/EÜ art-le 13. Direktiiv 95/46/EÜ on sisuliselt IKÜM-i eelkäija. Direktiivis 2015/849 ei saagi olla viidet õiguskaitseasutuste direktiivile, sest see on vastu võetud hiljem. Direktiivi 95/46/EÜ art 13 nägi ette piirangu proportsionaalsuse nõude. Niisiis oli liikmesriigil juba varem kohustus töötada välja andmesubjekti juurdepääsu piirav õigusnormistik, millest tulenev piirang peab olema proportsionaalne.
11.4.Andmekaitsereeglid, mis tulenevad õiguskaitseasutuste direktiivist ja IKS-ist, kohalduvad RAB-ile ainult siis, kui ta teeb andmetöötlust, mis seostub rahapesu ohtu käsitleva direktiiviga 2015/849. Õiguskaitseasutuste direktiivi art 15 lg-s 1 on sätestatud, millal võivad liikmesriigid füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades võtta seadusandlikke meetmeid, millega nähakse ette andmesubjekti isikuandmetega tutvumise õiguse täielik või osaline piiramine. Selle sättega pole kooskõlas isikuandmetega tutvumise õiguse piiramine igavesti. RahaPTS § 60 lg-t 1 tuleb tõlgendada koostoimes IKS-i ja õiguskaitseasutuste direktiiviga, mis ei võimalda sellist tõlgendust, nagu RAB esitab.
11.5.IKÜM-is pole sätestatud andmesubjekti õiguste piiramisel madalamat põhjendamiskohustust võrreldes õiguskaitseasutuste direktiiviga. Vastupidi, IKÜM art 15 näeb ette veelgi laiema andmesubjekti õiguse tutvuda andmetega. Euroopa Kohus on asjas C-175/20 (p-d 51–56) täpsustanud IKÜM art 23 alusel piirangute kehtestamisele kohalduvaid nõudeid. ELPH art-s 8 sätestatud õigust ei luba harta art 52 lg 1 piirata üksikaktiga. RahaPTS § 60 lg 1 ei vasta IKÜM art-s 23 sätestatud tingimustele.
11.6.Euroopa Kohtult eelotsuse taotlemine peab puudutama Euroopa Liidu õiguse tõlgendamist või kehtivust, mitte riigisiseste õigusnormide tõlgendamist ega põhikohtuasja raames tõstatatud faktiküsimusi. Riigikohus asjas nr 3-20-332 ja ka Euroopa Kohus on käsitlenud kõiki asjas olulisi küsimusi.
12.Andmekaitse Inspektsioon selgitas, et ringkonnakohus on õigesti märkinud, et absoluutne ja igavene teabe andmisest keeldumine ei ole proportsionaalne ega IKÜM art-ga 23 kooskõlas. Ringkonnakohtu otsus on põhjendatud ja asjas pole vaja Euroopa Kohtult eelotsust taotleda.
9(15)
3-22-1148
KOLLEEGIUMI SEISUKOHT
13.Praeguse asja lahendamine eeldab Euroopa Kohtult eelotsuse taotlemist Euroopa Liidu isikuandmete kaitset reguleerivate õigusaktide tõlgendamise kohta. Kuni eelotsusetaotluse lahendamiseni tuleb asjas menetlus peatada (halduskohtumenetluse seadustiku (HKMS) § 95 lg 4). Kolleegium peatub esmalt IKÜM-i kohaldamisala piiritlemisel (I) ning seejärel asjakohasest Euroopa Liidu õigusaktist tulenevate õiguste piiramisel (II). Avaldatavas kohtumääruses tuleb kaebaja nimi asendada tähemärgiga (HKMS § 178 lg 3 ja § 175 lg 3). I
14.Kaebaja eesmärk on teada saada, kas RAB on tema kohta esitanud krediidi- või ametiasutustele teavet, milles on viidatud rahapesu kahtlusele. IKÜM art 2 lg 2 p d kohaselt ei kohaldata IKÜM-i, kui isikuandmeid töötlevad pädevad asutused süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil. Sellisel juhul tuleb kohaldada IKS-i
4.peatükki, mis võtab Eesti õigusesse üle õiguskaitseasutuste direktiivi (vt nimetatud direktiivi art 1 lg 1 ja art 2 lg 1). Niisiis on oluline leida, milline isikuandmete kaitset reguleeriv õigusakt kohaldub, kui RAB koguks ja edastaks kaebaja küsitud teavet (st töötleks kaebaja isikuandmeid).
15.Kolleegium leidis eelmisel korral samadest asjaoludest võrsunud vaidlust lahendades (RKHKo 3-20-332/39, p 9), et asjas kohaldub IKÜM. Seda põhjusel, et rahapesu ja terrorismi rahastamise tõkestamist puudutava direktiivi 2015/849 kehtiva redaktsiooni art 41 järgi kohaldatakse direktiivi raames toimuvale isikuandmete töötlemisele IKÜM-i ja määrust 2018/1725 (reguleerib isikuandmete töötlemist liidu institutsioonides) ning direktiivi 2015/849 art 43 järgi tuleb selle direktiivi alusel toimuvat isikuandmete töötlemist rahapesu ja terrorismi rahastamise tõkestamise eesmärgil käsitada avaliku huvi küsimusena IKÜM-i mõistes. Lisaks märkis kolleegium, et asja toimikust ei nähtu, et praegusel juhul puudutaks vaidlus süüteomenetluses kogutud teavet ning Euroopa Kohus on pidanud seda oluliseks kriteeriumiks IKÜM-i kohaldamisala jaatamisel (otsus asjas C-175/20 – Valsts ieņēmumu dienests, p-d 45–46). Arvestades muu hulgas vahepeal lisandunud Euroopa Kohtu praktikat, võib olla vajalik seda seisukohta täpsustada. Kolleegium selgitab seda alljärgnevalt.
16.Euroopa Liidu õiguses reguleerib liikmesriikide rahapesu andmebüroode tegevust eeskätt direktiiv 2015/849. Direktiivi eesmärk on tõkestada liidu finantssüsteemi kasutamist rahapesu ja terrorismi rahastamise eesmärgil ning liikmesriigid tagavad direktiivi kohaselt, et rahapesu ja terrorismi rahastamine on keelatud (art 1 lg-d 1 ja 2). Direktiivi kohaldamisala on esmajoones sätestatud art 2 lg-s 1 loetletud kohustatud isikute kaudu. Art 2 lg 1 kohaselt on kohustatud isikud krediidi- ja finantseerimisasutused ning mitmed muud kutsetegevuses osalevad isikud. Direktiivi art 4 lg 1 lubab direktiivi kohaldamisala laiendada osal juhtudel ka muudele kutsealadele ja ettevõtjate kategooriatele. Lisaks reguleerib direktiiv juriidiliste isikute tegelike kasusaajate andmete kogumist (art 30) ning direktiivi art 32 nõuab liikmesriikidelt rahapesu andmebüroo loomist ning näeb ette selle sõltumatuse ja põhifunktsioonid, sh õiguse teha autonoomselt otsuseid konkreetse teabe analüüsimise, taotlemise ja levitamise kohta. Nimetatud säte on väga üldine. Direktiiv ei reguleeri otsesõnu liikmesriigi rahapesu andmebüroo teabevahetust kolmanda riigi isikute või asutustega. Direktiivi art 57a lg 5 kohaselt võivad liikmesriigid anda oma riiklikele krediidiasutuste ja finantseerimisasutuste üle järelevalvet teostavatele pädevatele asutustele loa sõlmida koostööd ja konfidentsiaalse teabe vahetamist käsitlevaid koostöölepinguid kolmandate riikide pädevate asutustega, kes on kõnealuste riiklike pädevate asutuste partnerasutused.
10(15)
3-22-1148
17.Kaebaja ei ole direktiivi mõttes kohustatud isik, samuti ei ole seda Ameerika Ühendriikides asuvad pangad ning kaebaja küsimus ei puuduta kohustatud isikute tegevust. Eelkirjeldatud direktiivi kohaldamisala arvesse võttes ei ole lõpuni selge, kas direktiivis isikuandmete töötlemist reguleeriva art 41 lg-s 1 sätestatu (mille kohaselt tuleb direktiivi raames toimuvale isikuandmete töötlemisele kohaldada IKÜM-i) laieneb ka RAB-i tegevusele.
18.Direktiivi 2018/843, millega muudeti direktiivi 2015/849, põhjenduses 38 on selgitatud, et direktiivi raames toimuvale isikuandmete töötlemisele kohaldatakse IKÜM-i. Teisalt on direktiivi põhjenduses 40 märgitud, et see direktiiv ei piira pädevate asutuste poolt õiguskaitseasutuste direktiivi kohaselt töödeldavate isikuandmete kaitset. Nimetatud direktiiviga lisati direktiivi 2015/849 ka eelviidatud art 57a. Eeltoodust saab järeldada, et direktiivid 2015/849 ja 2018/843 ei välista RAB-i tegevusele õiguskaitseasutuste direktiivi kohaldamist (vt ka uue direktiivi 2024/1640 põhjendus 122).
19.Iseenesest ei viita kaebaja küsitud hüpoteetiline teabe edastamine Ameerika Ühendriikide asutustele või isikutele tingimata süütegude tõkestamisele, uurimisele, avastamisele, nende eest vastutusele võtmisele või muude avalikku julgeolekut ähvardavate ohtude eest kaitsmisele ja nende ennetamisele õiguskaitseasutuste direktiivi art 1 lg 1 tähenduses. Seos kriminaalkaristuse täitmisele pööramisega näib olevat sellisel juhul täiesti välistatud. Teisalt ei saa mööda vaadata sellest, et rahapesu on üldjuhul süütegu pea kõigis õiguskordades, mistõttu juhul, kui RAB peaks selle kohta teavet edastama, võib tegemist olla süütegude tõkestamisele, uurimisele, avastamisele või nende eest vastutusele võtmisele suunatud tegevusega. Samuti on rahapesu Euroopa Liidu toimimise lepingu art 83 lg-s 1 loetletud kuritegude hulgas, mille puhul on Euroopa Liidu seadusandjal pädevus kehtestada miinimumeeskirjad kuritegude ja karistuste määratlemiseks. Neid kuritegusid on Euroopa Kohus seostanud avaliku julgeoleku mõistega (vt nt C-193/16 – E, p 20). Niisiis võib rahapesualane teabevahetus olla seotud ka avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamisega õiguskaitseasutuste direktiivi art 1 lg 1 tähenduses.
20.RAB ei ole kriminaalmenetluse seadustiku § 31 lg-s 1 sätestatud uurimisasutus ning kriminaalmenetluse läbiviimine ei kuulu tema RahaPTS §-s 54 sätestatud ülesannete hulka. See ei pruugi IKÜM-i ja õiguskaitseasutuste direktiivi kohaldamisala piiritlemisel olla siiski määrav. Nimelt leidis Euroopa Kohus 30. aprillil 2024 asjas C-470/21 – La Quadrature du Net jt tehtud otsuse p-s 158, et Prantsusmaa internetis teoste edastamise ja õiguste kaitse ülemamet, millel on õigus saata kohustuse rikkumise korral soovitus, milles mh hoiatatakse kriminaalmenetluse eest, kuid millel endal vastav otsustuspädevus puudub, tuleb kvalifitseerida asutuseks, kes tegeleb süütegude tõkestamise ja avastamisega ning kuulub seega õiguskaitseasutuste direktiivi art 1 järgi selle direktiivi kohaldamisalasse. Nimetatud seisukohast võiks ühest küljest järeldada, et RAB-i tegevus on õiguskaitseasutuste direktiivi kohaldamisalas. Teisalt tuleb praegusel juhul arvestada ka direktiivi 2015/849 art 41 lg-s 1 toodud viitega IKÜM-ile, mille laienemine RAB-i tegevusele pole kolleegiumile selge (vt käesoleva määruse p 17). Seetõttu ei ole praegusel juhul üheselt arusaadav, kuidas tõlgendada IKÜM art 2 lg 2 p d ning õiguskaitseasutuste direktiivi art 2 lg-t 1 koostoimes selle art 1 lg-ga 1. Sellest sõltub, millist Euroopa Liidu andmekaitsealast õigusakti tuleb asjas kohaldada.
21.Eeltoodust tulenevalt taotleb kolleegium Euroopa Kohtult eelotsust järgmises küsimuses. Kas IKÜM art 2 lg 2 p d ja õiguskaitseasutuste direktiivi art 2 lg-t 1 koostoimes selle art-ga 1 tuleb tõlgendada nii, et isikuandmete võimalik töötlemine rahapesu andmebüroo poolt võib olla isikuandmete töötlemiseks pädeva asutuse poolt süütegude tõkestamise, uurimise, avastamise või nende eest vastutusele võtmise ja kriminaalkaristuste täitmisele pööramise, sealhulgas avalikku julgeolekut ähvardavate ohtude eest kaitsmise ja nende ennetamise eesmärgil, isegi kui rahapesu andmebüroo ei ole uurimisasutus kriminaalmenetluse seadustiku mõttes?
11(15)
3-22-1148
22.Selle küsimuse juures tuleb lisaks silmas pidada, et kaebaja ei tea, kas tema isikuandmeid on üldse töödeldud. Eeltoodud analüüsist ilmneb, et juba pelgalt kaebaja õiguste piiramisel kohaldatavast õigusaktist on osal juhtudel võimalik teha järeldus tema isikuandmete töötlemise kohta. Sellest tuleneb, et juhul, kui esineb alus varjata kaebaja eest tema isikuandmete töötlemise fakti, ei peaks olema võimalik avaldada ka tema õiguste piiramise õiguslikku alust. Samas on isiku õigus üldjuhul teada teda koormavate otsuste faktilisi ja õiguslikke põhjendusi õiguskorras üldtuntud. RahaPTS § 60 lg 1 teine lause annab RAB-i juhile andmesubjekti õiguste piiramiseks kaalutlusõiguse (vt RKHKo 3-20-332/39, p 12). Haldusmenetluse seaduse (HMS) § 56 lg 2 kohaselt tuleb haldusakti põhjenduses märkida haldusakti andmise faktiline ja õiguslik alus. Kaalutlusõiguse alusel antud haldusakti põhjendustes tuleb märkida ka kaalutlused, millest haldusorgan lähtus (HMS § 56 lg 3). Niisamuti peab kohus haldustegevuse peale esitatud kaebust lahendades esitama nii faktilised kui ka õiguslikud põhjendused (HKMS § 165 lg 1). Neid põhimõtteid tuntakse ka Euroopa Liidu õiguses. ELPH art 41 lg 2 p c kohustab liidu enda asutusi oma otsuseid põhjendama. ELPH art 47 lg 2 näeb ette õiguse õiglasele ja avalikule kohtulikule arutamisele. Kohtuotsuse põhjenduste varjamine riivab seda põhiõigust.
23.Samas võimaldavad asjakohased Euroopa Liidu õigusaktid eelnimetatud õigusi piirata. IKÜM art 23 lg 2 p h järgi peab sama art lg-s 1 osutatud seadusandlik meede sisaldama andmesubjektide õigust olla piirangust teavitatud, välja arvatud juhul, kui see võib mõjutada piirangu eesmärki. Piirangust teavitamine hõlmab üldjuhul selle piirangu õiguslikust alusest teavitamist, mistõttu võib järeldada, et IKÜM art 23 lg 2 p h alusel on võimalik jätta avaldamata ka piirangu õiguslik alus. Õiguskaitseasutuste direktiivi põhjenduses 45 on rõhutatud, et andmesubjekti tuleks põhimõtteliselt teavitada kirjalikult isikuandmetega tutvumisest keeldumisest või selle piiramisest ning see teade peaks sisaldama otsuse faktilisi ja õiguslikke põhjusi. Direktiivi art 15 lg 3 kohustab isikuandmetega tutvumise õiguse piiramisel või tutvumisest keeldumisel teavitama selle põhjustest, v.a juhul, kui see kahjustaks mõnda sama art lg 1 kohast eesmärki. Sellisel juhul tuleks aga praeguses asjas omakorda varjata ka õigusliku aluse avaldamata jätmise õiguslikku alust.
24.Õiguskaitseasutuste direktiivi art 17 lg 1 kohaselt võtavad sama direktiivi art 15 lg-s 3 osutatud juhul liikmesriigid vastu meetmeid, millega nähakse ette, et andmesubjekti õigusi võib teostada ka pädeva järelevalveasutuse kaudu (vt ka art 15 lg 4). Sel juhul teavitab vastutav töötleja andmesubjekti võimalusest teostada oma õigusi järelevalveasutuse kaudu ning järelevalveasutus teavitab andmesubjekti vähemalt sellest, et kõik vajalikud kontrollid või läbivaatus järelevalveasutuse poolt on aset leidnud (art 17 lg-d 2 ja 3). IKÜM sarnast sätet ei sisalda. Niisiis võiks ka sellise abinõu kasutamise või selle kohaldamatuse kinnitamise korral kaebajale teatavaks saada, kas tema isikuandmeid on töödeldud ja milliseid ülesandeid täites on seda tehtud. Kolleegiumi jaoks ei ole selge, kuidas tõlgendada sellises olukorras IKÜM art 23 lg 2 p h ja õiguskaitseasutuste direktiivi art 15 lg-t 3 nende koostoimes nii, et asjas kohaldatava õiguse kaudu ei avaldataks kaebajale tema isikuandmete töötlemise fakti, kui esineb õiguslik alus sellest keeldumiseks. Kolleegium märgib, et sellises olukorras võib olla mõeldav lahendus märkida keeldumise alustena nii asjakohased IKÜM-i kui ka IKS-i (õiguskaitseasutuste direktiivile tuginevad) sätted.
25.Eeltoodud põhjustel taotleb kolleegium Euroopa Kohtult eelotsust järgmises küsimuses. Kas IKÜM art 23 lg 2 p h ja õiguskaitseasutuste direktiivi art 15 lg-t 3 tuleb tõlgendada nii, et andmesubjektile võib haldus- või kohtumenetluses jätta avaldamata ka õigusakti, mille alusel keelduti talle võimaldamast tutvuda enda isikuandmetega, et vältida tema isikuandmete töötlemise fakti kinnitamist või ümberlükkamist, kui selle toimumine või toimumata jäämine pole andmesubjektile teada, ning kas sellisel juhul võib andmesubjektile jätta avaldamata ka teabe selle kohta, kas tal on võimalik kasutada õiguskaitseasutuste direktiivi art 17 lg-s 1 sätestatud abinõu?
12(15)
3-22-1148 II
26.IKÜM art 15 lg 1 kohaselt on andmesubjektil õigus saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse. Sellisel juhul on andmesubjektil õigus tutvuda isikuandmetega. Lisaks on IKÜM art 15 lg-s 1 toodud loetelu teabest, millega on sellisel juhul andmesubjektil õigus tutvuda. Nende hulgas on nt vastuvõtjad või vastuvõtjate kategooriad, kellele on isikuandmed avalikustatud või avalikustatakse, eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid ning olemasolev teave isikuandmete allikate kohta (IKÜM art 15 lg 1 p-d c ja g). Neid õigusi saab piirata IKÜM art 23 lg 1 kohaselt liidu või liikmesriigi õiguses seadusandliku meetmega, kui selline piirang austab põhiõiguste ja -vabaduste olemust ning on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada üht IKÜM art 23 lg-s 1 loetletud õigushüve. IKÜM art 23 lg-s 2 on sätestatud tingimused, millele niisugune seadusandlik meede peab vastama.
27.Ka õiguskaitseasutuste direktiivi art 14 näeb andmesubjektile ette õiguse saada vastutavalt töötlejalt kinnitus selle kohta, kas teda käsitlevaid isikuandmeid töödeldakse või mitte, ja nende töötlemise korral tutvuda isikuandmetega ning nimetatud sättes loetletud teabega. Art 14 p-de c ja g kohaselt on selliseks teabeks nt vastuvõtjad või vastuvõtjate kategooriad, kellele isikuandmeid on avalikustatud, eelkõige kolmandates riikides olevad vastuvõtjad või rahvusvahelised organisatsioonid ning töödeldavate isikuandmete ja nende päritolu käsitleva olemasoleva teabe edastamine. Direktiivi art 15 lg 1 kohaselt võivad liikmesriigid asjaomase füüsilise isiku põhiõigusi ja õigustatud huve nõuetekohaselt arvestades võtta seadusandlikke meetmeid, millega nähakse ette andmesubjekti isikuandmetega tutvumise õiguse täielik või osaline piiramine sellises ulatuses ja seni, kuni selline piiramine on demokraatlikus ühiskonnas vajalik ja proportsionaalne meede, et tagada üht nimetatud sättes loetletud õigushüve.
28.Niisiis sõltumata sellest, kas asjas tuleb kohaldada IKÜM-i või õiguskaitseasutuste direktiivi, on andmesubjekti õiguste piiramine lubatud seadusandliku meetmega. Nii IKÜM-i põhjenduses 41 kui ka õiguskaitseasutuste direktiivi põhjenduses 33 on selgitatud, et kui nimetatud õigusaktis osutatakse õiguslikule alusele või seadusandlikule meetmele, ei pea selleks tingimata olema parlamendi vastu võetud seadusandlik akt, ilma et see piiraks asjaomase liikmesriigi põhiseaduslikust korrast tulenevate nõuete kohaldamist. Samas on täpsustatud, et selline õiguslik alus või seadusandlik meede peaks siiski olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse vastavalt Euroopa Liidu Kohtu ja Euroopa Inimõiguste Kohtu praktikale.
29.Õigus isikuandmete kaitsele on ELPH art-s 8 sätestatud põhiõigus. ELPH art 52 lg 1 kohaselt tohib hartaga tunnustatud õiguste ja vabaduste teostamist piirata ainult seadusega. Euroopa Kohus on asjas C-175/20 – Valsts ieņēmumu dienests tehtud otsuse p-s 54 selgitanud, et sellest tulenevalt peab õiguslik alus, mis võimaldab ELPH-iga tagatud õigusi ja vabadusi riivata, ise määrama selle, kui ulatuslikult tohib asjaomast õigust piirata. Nimetatud otsuse p-s 58 asus Euroopa Kohus seisukohale, et liikmesriigi maksuhaldur ei või teha erandeid IKÜM art 5 lg-s 1 sätestatust, kui talle ei ole sellist õigust antud seadusandliku meetmega IKÜM art 23 lg 1 tähenduses. Sellest saab järeldada, et seadusandlik meede IKÜM art 23 või õiguskaitseasutuste direktiivi art 15 tähenduses ei tähenda haldusorgani üksikakti sõltumata sellest, kas niisugune üksikakt sisaldab kõiki nõutavaid tingimusi. Järelikult on praegusel juhul RahaPTS § 60 lg 1 seadusandlik meede, mille kooskõla IKÜM art 23 lg-ga 2 või õiguskaitseasutuste direktiivi art-ga 15 tuleb kontrollida vastavalt sellele, kas asjas tuleb kohaldada IKÜM-i või IKS-i.
30.RahaPTS § 60 lg 1 teises lauses on antud RAB-i juhile õigus kehtestada teabele juurdepääsupiirang, tunnistades teabe asutusesiseseks kasutamiseks mõeldud teabeks. Kolleegium 13(15)
3-22-1148 järeldas otsuse nr 3-20-332/39 p-s 11, et seadusandja on RahaPTS § 60 lg 1 teist lauset kehtestades pidanud silmas juurdepääsupiirangut, mis võimaldab piirata ka andmesubjekti õigusi. Samas ei sisalda nimetatud säte otsesõnu tingimusi, mille esinemisel RAB-i juht vastava otsuse teha võib, ega juurdepääsupiirangu ajalist või esemelist ulatust. Sellisel juhul saab andmesubjekti õiguste piiramine kesta kuni RAB-i andmekogu põhimääruse §-s 26 sätestatud säilitamistähtaegade lõpuni (üldjuhul 15 aastat), kusjuures pärast selle möödumist ei ole andmesubjektil võimalik teda puudutavate andmetega tutvuda sellepärast, et andmed on kustutatud. Niisamuti on juurdepääsupiirang esemeliselt piiratud kõigi RAB-il olemasolevate andmetega. Euroopa Kohus on leidnud, et õiguskaitseasutuste direktiiviga ei ole üldjuhul kooskõlas kriminaalkorras lõplikult süüdi mõistetud isiku biomeetriliste ja geneetiliste andmete säilitamise tähtaja piiritlemine üksnes tema surmaga (C-118/22 – Direktor na Glavna direktsia "Natsionalna politsia" pri MVR - Sofia, p-d 67–69). Sellisel juhul riivatakse ELPH art-tes 7 ja 8 sätestatud põhiõigusi isikuandmete säilitamisega direktiivi art 4 lg 1 p-de c ja e, art 5 ja art 10 alusel. Kolleegiumi jaoks ei ole üheselt selge, kas järeldus on samasugune, kui nimetatud põhiõigusi riivatakse isikuandmetega tutvumisest keeldumisega direktiivi art 15 alusel.
31.Lisaks sisaldab RAB-i andmekogu põhimäärus andmekogusse kantavate isikuandmete liikide loetelu (§-d 8–17), seal on nimetatud vastutav töötleja (§ 6 lg 1) ning selles on andmete turvaklassi kaudu määratud isikuandmete kaitsemeetmed (§ 5 lg 2). Need on IKÜM art 23 lg 2 p-des b, d ja e nõutud seadusandliku meetme elemendid. Eesti õiguses andmekogude pidamist reguleerivad üldnormid (eeskätt AvTS § 435 lg 1) näevadki ette niisuguste küsimuste reguleerimise andmekogu põhimääruses.
32.RahaPTS § 60 lg 1 teise lause alusel kehtestatava juurdepääsupiirangu eesmärgi leidmine on võimalik üksnes sätte tõlgendamisel koostoimes teiste sama seaduse sätete ning rahapesu ja terrorismi rahastamise tõkestamist puudutavate õigusaktidega. Niisiis on vaieldav, kas niisugune säte on kooskõlas selguse ja täpsuse nõudega (IKÜM-i põhjendus 41 ja õiguskaitseasutuste direktiivi põhjendus 33). Kui asjas tuleb kohaldada IKÜM-i, on küsitav, kas niisugune säte vastab IKÜM art 23 lg-s 2 sätestatud tingimustele. Kui asjas tuleb kohaldada õiguskaitseasutuste direktiivi, on samuti vaja selgitada, kas niisugune säte vastab seadusandlikule meetmele ettenähtud nõuetele, võttes mh arvesse, et õiguskaitseasutuste direktiivi põhjenduses 33 on märgitud muu hulgas, et direktiivi kohaldamisalasse kuuluvat isikuandmete töötlemist reguleerivas liikmesriigi õiguses tuleks kindlaks määrata vähemalt isikuandmete töötlemise üldeesmärgid, töödeldavad isikuandmed ja töötlemise konkreetsed eesmärgid.
33.Kolleegium on seisukohal, et arvestades RahaPTS § 1 lg-s 1 sätestatud eesmärki (ettevõtluskeskkonna usaldusväärsuse ning Eesti rahandussüsteemi ja majandusruumi kaitse), on iseenesest RahaPTS § 60 lg 1 teise lause üldine eesmärk tõlgendamise teel hõlpsasti leitav ning see võib olla piisav asjaomaste andmekaitsealaste õigusaktide eesmärkide täitmiseks. Kõigi isikuandmete töötlemist reguleerivate õigusnormide koormamine eraldi sätestatud töötlemise eesmärgiga võib kokkuvõttes hoopis raskendada nende õigusnormide lugemist ja mõistmist. Samuti pole see kooskõlas Eesti õigustraditsioonis valitseva arusaamaga normitehnikast. Sellegipoolest ei ole tegemist olukorraga, mil kolleegium saaks täie kindlusega asuda seisukohale, et puudub alus IKÜM art 23 lg 2 p a kohta – mis nõuab isikuandmete töötlemise või selle kategooriate eesmärkide sätestamist liikmesriigi seadusandlikus meetmes – eelotsuse taotlemiseks (vt asjakohaste kriteeriumite kohta Euroopa Kohtu otsus asjas C-561/19 – Consorzio Italian Management e Catania Multiservizi ja Catania Multiservizi, p 33 jj).
34.Kolleegium märgib lisaks, et IKÜM ja õiguskaitseasutuste direktiiv kasutab osas artiklitest riigisisese õiguse alusel kehtestavatest piirangutest kõneldes (sh IKÜM art 23 ja õiguskaitseasutuste direktiivi art 15) terminit „seadusandlik meede“ (ingl legislative measure, pr mesure législative, sks 14(15)
3-22-1148 Gesetzgebungsmaßnahme), osas artiklitest aga terminit „õiguslik alus“ (ingl legal basis, pr base juridique, sks Rechtsgrundlage). Kolleegiumile pole üheselt (ja mh võttes arvesse IKÜM-i põhjendust 41 ja õiguskaitseasutuste direktiivi põhjendust 33) äratuntav, kas need terminid tähistavad sama mõistet või nõuavad need liikmesriigi õiguselt erinevaid omadusi.
35.Eeltoodud põhjustel taotleb kolleegium Euroopa Kohtult eelotsust kahes järgmises küsimuses. Kas õiguskaitseasutuste direktiivi art-t 15 või IKÜM art-t 23 tuleb tõlgendada nii, et nendega on kooskõlas niisugune riigisisene õigusnorm, mis annab rahapesu andmebüroo juhile õiguse piirata andmesubjekti õigusi ning mille puhul andmesubjekti õiguste piiramise eesmärk, tingimused ning ajaline ja ruumiline ulatus avalduvad koostoimes teiste, sealhulgas madalamalseisvate õigusnormidega? Kas õiguskaitseasutuste direktiivi art-t 15 või IKÜM art-t 23 tuleb tõlgendada nii, et nendega on kooskõlas niisugune riigisisene õigusnorm, mis piirab õiguskaitseasutuste direktiivi art-s 14 või IKÜM art-s 15 sätestatud õiguse teostamise täielikult kuni andmete hävitamiseni, võimaldamata andmesubjektil nendega kunagi tutvuda? (allkirjastatud digitaalselt)
15(15)
Allikas: Riigi Teataja avaandmed. Füüsiliste isikute nimed on kohtu poolt anonüümitud. Andmed on informatiivsed.