← Eesti

5-24-14/5

Obsah (6)§ 488§ 484§ 74§ 487§ 483§ 10

RIIGIKOHUS PÕHISEADUSLIKKUSE JÄRELEVALVE KOLLEEGIUM KOHTUOTSUS Eesti Vabariigi nimel Kohtuasja number Otsuse kuupäev Kohtukoosseis Kohtuasi Menetlusosalised Asja läbivaatamise viis 5-24-14 28. juuni 2

) § 486 lg-st 7 tuleneb, et valimiste korraldaja säilitab kaebaja anonüümimata e-häält vähemalt kuu aega alates selle andmisest. Anonüümimata e-hääle ja sellega isiku poliitilise eelistuse andmete säilitamine pärast hääle vastuvõtmist on õigusvastane. See loob ohu andmete lekkimiseks. Valimiste korraldajate kohaldatavad meetmed ei taga selle ohu ärahoidmist.

  1. Hääletaja e-hääles sisalduv valik on Euroopa Parlamendi ja nõukogu
  2. aprilli
  3. a määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM) art 9 lg 1 kohaselt isikuandmete eriliik, mille töötlemine on sama lõike kohaselt keelatud. Ükski e-hääletamise etapi kirjeldus ei anna põhjust talletada isikustatud e-häält kauem, kui see on vajalik hääle vastuvõtmiseks ja kontrollrakenduses valiku kuvamiseks piiratud aja jooksul. Valimiste korraldajal puudub õiguslik alus andmete eriliikide töötlemiseks. Lisaks on e-häälte eelkirjeldatud töötlemine vastuolus ettevaatuspõhimõttega.
  4. Kaebajale ei ole teada, et valimiste korraldaja oleks isikuandmete vastutava töötlejana koostanud e-hääletamise süsteemi kohta IKÜM art 35 kohase andmekaitse mõjuhinnangu.
  5. Riigi valimisteenistus leidis vastuses VVK-le, et valimiste korraldajal pole võimalik tuvastada e-hääletaja valikut, kuna hääletamissedelid on krüpteeritud (salastatud) ning nende avamine on võimalik üksnes elektroonilise privaatvõtmega. Privaatvõti on jagatud VVK ja riigi valimisteenistuse vahel. Valimisteenistus töötleb isikustatud e-hääli ainult ajakohasel viisil krüpteeritutena ja valija tahe ei saa valimisteenistusele ega infosüsteemide audiitoritele teatavaks ühelgi juhul. Isikustatud e-häälte töötlemise vajadus tuleneb

§-de 486 ja 4811 nõuetest. Esiteks tuleb topelthääletamise vältimiseks välja selgitada valija viimasena antud e-hääl ja see, kas ta on hääletanud ka hääletamissedeliga. Teiseks tuleb e-hääletamise süsteemi andmete tervikluse kontrollimiseks teha andmeaudit. Neile toimingutele kuluvat aega ei saa pidada ebaproportsionaalselt pikaks.

  1. E-hääletamise süsteemi arendaja leiab vastuses VVK-le, et kaebaja osutatud valimissaladuse rikkumise ohtu maandab häälte dekrüpteerimise võtme osadeks jagamine. Rikkumine eeldab enam kui poolte võtmehaldurite samaaegset õigusrikkumist. Väide, et e-hääli hoitakse isikustatud kujul, on tõene vaid osaliselt. Hääli ei hoita avakujul, vaid sellisel moel, nagu nad valijate käest on vastu võetud – digitaalselt allkirjastatud krüpteeritud konteineris. Hääle salajasust tagades peab säilima võimalus kontrollida ja auditeerida häälte ning elektroonilise valimiskasti autentsust ja terviklust kuni valimistulemuste väljakuulutamiseni. QR-koodi alusel on võimalik valija eelistusega tutvuda, kuid see eeldab valija enda tahtlikku tegevust oma hääletamissaladuse rikkumiseks. Valimiste korraldajal ilma valija tegevuseta QR-koodi saada pole võimalik. Valijarakenduse kood on läbinud põhjaliku ja sõltumatu turvaauditi. Pahatahtlikul arendajal on teoreetiline võimalus koodi kompromiteerida, seda riski oleks võimalik vältida, tagades valijarakenduse valmimise auditeeritud koodist.
  2. VVK jättis
  3. juuni
  4. a otsusega nr 5 (RT III, 15.06.2024, 1) kaebuse rahuldamata.
  5. VVK leidis, et e-häälte isikustatud kujul hoiustamine on vajalik võimaldamaks valijal oma e-häält muuta või hääletada hiljem hääletamissedeliga. Hääle muutmise võimalus tagab valimiste vabaduse ja hääletamise salajasuse, kui hääl antakse kõrvalise isiku juuresolekul.
  6. E-häälte isikustatud kujul hoidmine pärast häälte lugemist on vajalik ka võimalike e-hääletamist või e-häälte lugemist puudutavate kaebuste lahendamiseks, sest võimaldab hinnata tõendeid või korraldada häälte uue lugemise. E-hääletamise andmete kui tundlike isikuandmete hoiustamine 30 päeva vältel pärast kaebetähtaja möödumist, kui valimiskaebusi ei esitata, võib olla vastuolus 2

(10)5-24-14 minimaalsuse põhimõttega. Praegu sellist olukorda ei esine, sest Euroopa Parlamendi
  1. a valimistel esitati valimiskaebused.
  2. Isikustatud e-hääli töödeldakse IKÜM art 6 lg 1 p e järgi avalikes huvides oleva ülesande täitmiseks. E-häälte töötlemine on ette nähtud seadusega, neid ei töödelda suuremas ulatuses ega kauem, kui valimistulemuste lõplikuks väljaselgitamiseks vajalik.
  3. Vaidlusalune isikuandmete töötlemine on vajalik seadusega ette nähtud e-hääletamise korraldamiseks Euroopa Parlamendi valimistel ega ole IKÜM art 9 lg 2 p-st g tulenevalt vastuolus IKÜM art 9 lg-ga
  4. Töötlemise seadusvastasust ei saa järeldada sellest, et teistsuguste hääletamisviiside korral oleks võimalik hoiduda häälte isikustatud kujul kogumisest.
  5. Isikustatud e-häälte töötlemine vastab IKÜM art 5 lg 1 p f tingimustele, mh tagab isikuandmete asjakohase turvalisuse. Kaebaja ei ole tõendanud ühtegi rikkumist ega tõstatanud piisavat põhjendatud kahtlust, et Euroopa Parlamendi
  6. a valimistel oleks sattunud või satub ohtu kaebaja hääle salajasus. Euroopa Parlamendi valimiste e-hääletamise toimingute auditeerimisel kontrollis sõltumatu audiitor mh võtmepaari genereerimist ja prooviläbimist ega tuvastanud puudusi, mis võiksid takistada hääletamise korraldamist.
  7. Seaduses on ette nähtud ranged nõuded e-häälte hoiustamisele ja avamisele, mh ei ole e-hääletuse korraldajal võimalik e-hääli dekrüpteerida ilma VVK liikme juuresolekuta ja e-hääled dekrüpteeritakse pärast isikuandmetest eemaldamist. Valija isikuandmed ei sisaldu samas krüptogrammis e-häälega. Iga isikustatud e-häältega tehtava toimingu juures viibib infosüsteemide audiitor.
  8. E-hääle kättesaamine e-hääletamise süsteemist on piiratud 15 minutiga hääle andmisest QR-koodi kaudu. QR-koodi sattumine e-hääletamise süsteemi haldaja valdusse on takistatud sellega, et QR-koodi loomiseks vajalikud andmed ei liigu tervikuna e-häälega kogujasse, vaid liiguvad osaliselt vaid hääletaja kasutatavate seadmete vahel. Kaebuses ei ole konkreetseid väiteid, et riigi valimisteenistus või arendaja oleksid e-hääletamise süsteemi komponente pahatahtlikult muutnud.
  9. Valimiste korraldajal ei ole võimalik ära hoida, et valija ei avaldaks veebis QR-koodi pilti. Hääletamise salajasuse põhimõtte tagamine on ka valija enda ülesanne. Oht, et valijarakendus saadab QR-koodi mujale kui e-hääletamise süsteemi, on välistatud kolmanda osalise tehtud turvatestiga. Sarnaselt testitakse kontrollrakendust, mille lähtekood on avalik, ja selle õige toimimine seega avalikkuse kontrolli all.
  10. E-häälte dekrüpteerimise võtme osade sattumine kõrvaliste isikute kätte ei ole erandlikel asjaoludel välistatud, kuid e-hääli ja iga võtme osa hoiustatakse eraldi ja need pitseerib audiitor.
  11. IKÜM art 35 lg-s 1 nimetatud isikuandmete töötlemise mõjuhinnangu tegemine e-häälte töötlemise toimingutele ei ole vajalik, sest kohaldub IKÜM art 35 lg-s 10 sätestatud erand: isikuandmete töötlemine on ette nähtud seadusega ja seaduse vastuvõtmisel on mõjusid hinnatud. Sellele vaatamata hindavad valimiste korraldajad isikustatud e-häälte töötlemisega seotud riske iga kord enne valimisi.
  12. Kaebaja esitas
  13. juunil 2024 Riigikohtule kaebuse, mida täiendas
  14. juunil
  15. Vabariigi Valimiskomisjon edastas nii kaebuse kui ka selle täienduse Riigikohtule
  16. juunil
  18. Riigikohus pöördus
  19. juunil 2024 VVK poole nõudega täiendavate andmete saamiseks. Ühtlasi palus Riigikohus selgitada, mille poolest on vajadus säilitada isikustatud e-hääli pärast valimispäeva 3
(10)5-24-14 suurem võrreldes muude kaughääletamise viisidega (nt kirja teel hääletamine), mil hääled ei ole pärast valimispäeva enam isikustatud.
  1. VVK edastas Riigikohtule
  2. juunil 2024 E-ITS põhiauditi vahearuande, riskianalüüsi, riskikäsitlusplaani ja turvatestimise tulemused. Vastusena Riigikohtu esitatud küsimusele leidis VVK, et erinevalt e-häälest ei ole hääletamissedeliga hääletamisel võimalik töödelda isikuandmeid sedavõrd turvaliselt, et hääletamissedeleid võiks isikuandmetega koos säilitada. E-hääle puhul välistab valimiseelistuse ja isikuandmete lekkimise eelkõige krüptograafiliste meetodite kasutamine. Samuti on e-hääletajate arv muude kaugteel hääletajate arvust oluliselt suurem, mistõttu on ka rohkem e-hääletamisega seotud vaidlusi. Seadusandja on pidanud isikustatud e-häälte säilitamist vajalikuks vaidluste lahendamiseks ja valimispettuse väidete kontrollimiseks. KAEBAJA SEISUKOHT RIIGIKOHTUS
  3. VVK on ekslikult leidnud, et isikustatud e-hääle töötlemine on olenemata IKÜM art 9 lg 1 keelust IKÜM art 6 lg 1 p e kohaselt lubatud. IKÜM art 6 on üldnorm, millega ei saa õigustada kõrvalekaldumist IKÜM art-st 9 kui erinormist.
  4. Kõrvalekaldumist IKÜM art 9 lg-st 1 ei õigusta ka sama artikli lg 2 p g, sest pole täidetud selles punktis toodud eeldused. EL-i ega Eesti õiguses ei ole sätestatud eraldiseisvat, selget ja täpset õiguslikku alust, mis lubaks isikustatud e-hääli säilitada. VVK otsuses ei ole välja toodud, millisest sättest see õiguslik alus tuleneb.
  5. Isikustatud e-häälte säilitamine ei ole proportsionaalne, sest pole tõendatud, et e-hääletamine praegusel viisil tagab põhiõigusi paremini kui e-häälte anonüümimine vahetult pärast hääle andmist või hääletamine üksnes pabersedeliga. Pole tõendatud, et ei leidu valimiste salajasust ja muid valimisõiguse põhimõtteid vähem riivavat e-hääletuse arhitektuuri.
  6. Puuduvad piisavad meetmed, mis tagaksid, et valija poliitiline eelistus ei saa avalikuks. Tagatised e-häälte kaitseks (nt privaatvõtme jagamine VVK ja riigi valimisteenistuse teenistujate vahel) on üksnes organisatsioonilise ja protseduurilise iseloomuga ega tulene e-hääletamise süsteemi arhitektuurist. Valimiste korraldajal on õiguslikele keeldudele ja menetluslikele piirangutele vaatamata põhimõtteliselt võimalik e-hääletanute valikut tuvastada. Eesmärk võtta kasutusele uusi tehnoloogilisi lahendusi ei ole nii kaalukas, et õigustaks valimiste usaldusväärsuse langemist ning järeleandmisi hääletamise vaadeldavuses ja salajasuses.
  7. Ei vasta tõele, et enne e-häälte lugemist ei ole võimalik tuvastada valija tahteavaldust. Kuna valimiste kontrollrakendus dekrüpteerib hääle QR-koodis sisalduva juhuslikkuse abil ja isikustatult, saab tahteavalduse dekrüpteerida ka muu QR-koodile ligipääsev isik, sh valimiste korraldaja.
  8. E-hääle säilitamine on vajalik topelthääletamise vältimiseks ja hääle salajasuse ning valimiste vabaduse tagamiseks üksnes lähtuvalt eeldusest, et valimisteenistusel ja audiitoril ei ole valija tahteavalduse kindlakstegemiseks alternatiivset viisi, mis ei ohusta valimiste salajasuse põhimõtet nii tugevalt nagu praegune e-hääletuse süsteem. Hääletamise salajasus, valimiste vabadus ja valimiste ühetaolisus on võimalik praegusest süsteemist paremini tagada süsteemiga, mis anonüümib valijad vahetult pärast hääle andmist.
  9. Praegune e-hääletuse süsteem ei taga mitte valimiste salajasust, vaid üksnes valimiste vabadust ja sedagi salajasust ohustava hääle muutmise kaudu. Valija, keda on ebaseaduslikult jälgitud, saab 4
(10)5-24-14 hääletamise salajasuse taastada üksnes oma valikut hiljem vabatahtlikult muutes. On ebatõenäoline, et isik soovib muuta oma eelistust üksnes seetõttu, et teda on e-hääle andmisel jälgitud.
  1. Pärast valimiskaebuste lahendamist hävitatakse üksnes need valijate isikuandmed, mis on valimisteenistuse valduses ja mille Riigi Infosüsteemide Amet (RIA) suudab hävitada. Samas ei hävitata füüsiliselt kõiki andmekandjaid, mida kasutati RIA-s või muudeks toiminguteks.
  2. Ehkki e-hääli hoitakse isikustatutena kuni valimiskaebuste lahendamiseni, on riigi valimisteenistus ja VVK seni keeldunud kaebuste lahendamiseks hääli töötlemast või tegemast korduslugemisi. E-häälte lugemiseks pole nende isikustatuna säilitamine vajalik, nii on see ka hääletamissedelite puhul.
  3. Eksitav on VVK väide, et valija isikuandmed ei sisaldu samas krüptogrammis e-häältega. Krüptogrammid on unikaalsed ja need on võimalik häälekonteineri olemasolul viia vastavusse valija isikuandmetega.
  4. Kaebajal ei ole kohustust tõendada, et valimiste salajasust on praktikas rikutud, sest tema õigusi rikub juba tema isikuandmete töötlemine ilma õigusliku aluseta. Kaebuse väited pole üksnes teoreetilised, nt häälekonteinereid on võimalik alla laadida ja kontrollida piiramatu aja jooksul pärast valimisi.
  5. Oht, et valijarakendus saadab valijarakenduse QR-koodi ka väljaspoole e-hääletamise süsteemi, ei ole välistatud, sest kliendiarvuti turvalisust pole valimiste korraldajatel võimalik tagada ning seda käsitatakse aktsepteeritud riskina.
  6. Puudub dokumenteeritud teave selle kohta, et enne valimisi oleks hinnatud isikustatud e-häälte töötlemisega seotud riske. VABARIIGI VALIMISKOMISJONI SEISUKOHT
  7. VVK vaidleb kaebusele vastu, jääb otsuses nr 5 toodud seisukohtade juurde ja palub jätta kaebus rahuldamata. Kaebaja Riigikohtule esitatud, kuid VVK-le esitamata jäetud väited ei ole asjakohased ning tuleb jätta asja juurde võtmata ja läbi vaatamata. Õiguslik alus e-hääle hoidmiseks tuleneb

§ 488lg-st 5 ja Euroopa Parlamendi valimise seaduse (EPVS) § 771 lg-st 2.

Osa QR-koodis sisalduvaid andmeid on jagatud kasutaja arvutis paikneva valijarakenduse ja elektroonilise valimiskasti vahel, mistõttu valimiste korraldaja ei saa endale talletada terviklikku QR-koodi teavet. Hääle avamiseks on vaja terviklikku QR-koodi. Hääle sisu kuvamiseks genereeritakse unikaalne QR-kood, mida on võimalik kasutada ainult selle hääle sisu kuvamiseks. KOLLEEGIUMI SEISUKOHT

  1. Kolleegium käsitleb esmalt kaebuse lubatavust (I) ja seejärel lahendab kaebuse selle lubatavas osas (II). I
  2. Kaebaja esitas Riigikohtule adresseeritud kaebuse VVK-le
  3. juunil
  4. Järgmisel päeval, s.o päev pärast kaebetähtaja lõppu, esitas kaebaja Riigikohtule edastamiseks VVK-le kaebuse 5

(10)5-24-14 täiendatud teksti. Kaebaja põhjendas sellist teguviisi vajadusega tagada kaebuse loetavus. VVK edastas Riigikohtule mõlemad kaebuse tekstid.
  1. Kolleegium on seisukohal, et kaebuse läbivaatamisel tuleb lähtuda VVK-le enne kaebetähtaja lõppu, s.o
  2. juunil 2024 edastatud kaebuse tekstist. See tekst on loetav ja jälgitav.
  3. juunil esitatud tekst sisaldab uusi väiteid ja sellest on välja jäetud osa
  4. juunil esitatud kaebuse väiteid. Kaebaja on seega esitanud esialgsest oluliselt erineva mahu (kaebuse esialgne pikkus 10 lk, täiendatud kaebuse pikkus 14 lk) ja erineva sisuga kaebuse.
  5. VVK ega Riigikohus ei ole kaebajalt kaebuse puuduste kõrvaldamist taotlenud ning kaebajal ei ole võimalik pärast kaebetähtaja möödumist ise kaebust muuta. Kuna valimiste korraldaja toimingu vaidlustamise menetlus on lühikeste tähtaegadega, on kaebaja hooleks jälgida, et kaebus oleks tähtaegne ja vastaks nõuetele (RKPJKo-d 5-19-13/2, p 13; 5-23-22/3, p 14). II
  6. Kaebaja leiab kokkuvõtlikult, et valimiste korraldajal puudub IKÜM-i nõuetele vastav õiguslik alus tema poolt
  7. a Euroopa Parlamendi valimistel antud e-hääle säilitamiseks e-hääletamise süsteemis. Teiseks leiab kaebaja, et e-hääle isikustatud kujul säilitamine e-hääletamise süsteemis pärast hääle andmist on põhjendamatu ning tekitab säilitamise tähtaja pikkust ja piisavate kaitsemeetmete puudumist arvestades ebamõistlikult suure riski kaebaja valimiseelistuse avalikuks saamiseks.
  8. Kolleegium nõustub kaebajaga, et tuvastatud või tuvastatava isiku andmed valimistel, sh andmed Euroopa Parlamendi valimistel osalemise ja hääletamissedeli sisu kohta, on isikuandmete eriliik IKÜM art 9 lg 1 tähenduses ning isikuandmete töötlemine valimiste korraldamise käigus ei ole IKÜM-i kohaldamisalast välistatud (vt Euroopa Kohtu otsus C-306/21 – Koalitsia "Demokratichna Bulgaria - Obedinenie", p 42).
  9. IKÜM nõuab isikuandmete töötlemiseks õigusliku aluse olemasolu. Eriliiki isikuandmete töötlemine peab olema eelkõige kooskõlas IKÜM art-st 9 tulenevate eriliiki isikuandmete töötlemise õiguslike alustega, samuti IKÜM art-test 5 ja 6 tulenevatele isikuandmete töötlemise põhimõtete ja seaduslikkuse nõuetega (vt ka Euroopa Kohtu otsus C-667/21 – Krankenversicherung Nordrhein, p-d 72–76).
  10. Kolleegiumi hinnangul on käesoleval juhul eriliigiliste isikuandmete, millest ilmnevad poliitilised vaated, töötlemise õiguslikeks alusteks IKÜM art 9 lg 2 p g koostoimes art 6 lg 1 p-ga e. IKÜM art 9 lg 2 p g kohaselt on eriliigiliste isikuandmete töötlemine lubatud kui see on vajalik olulise avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. IKÜM art 6 lg 1 p e kohaselt õigustab isikuandmete töötlemist mh vajadus täita avalikes huvides olevat ülesannet või teostada avalikku võimu. Sama artikli lõige 3 lisab, et lõike 1 p-s e nimetatud õiguslik alus tuleb kehtestada liidu või liikmesriigi õigusega. Teisisõnu, nii art 9 kui ka art 6 viidatud sätted eeldavad Eesti õiguses asjakohase õigusliku aluse olemasolu.
  11. IKÜM-i põhjenduspunkti 41 kohaselt peab õiguslik alus isikuandmete töötlemiseks olema selge ja täpne ning selle kohaldamine peaks olema eeldatav isikute jaoks, kelle suhtes seda kohaldatakse vastavalt Euroopa Liidu Kohtu ja Euroopa Inimõiguste Kohtu praktikale. 6
(10)5-24-14
  1. Euroopa Kohus on mh isiku põhiõigustesse eraelu puutumatusele ja isikuandmete kaitsele sekkuva õigusakti selgust puudutavalt järjepidevalt leidnud, et õigusakt peab määrama kindlaks, kui ulatuslikult tohib asjaomase õiguse teostamist piirata. See ei välista, et piirangut sisaldav regulatsioon võib olla sõnastatud piisavalt lahtiselt, et seda saaks kohandada erinevate juhtumite ja muutuvate asjaoludega. (Vt Euroopa Kohtu otsus C-37/20 – Luxembourg Business Registers, p 47; C-61/22 – Landeshauptstadt Wiesbaden, p 77.)
  2. Eesti õiguskorras tähendab õigusselgus seda, et seadused ja muud õigusaktid peavad olema piisavalt selged ja arusaadavad, et isikul oleks mõistlik võimalus riigi tegevust ette näha ja kohandada oma tegevust sellele vastavalt. Mis tahes selgusetus ei too kaasa siiski seaduse põhiseadusvastasust. Õigusselgusetu olukorraga on tegemist üksnes juhul, kui normide tõlgendamisel tekkinud küsimusi ei ole võimalik mõistlikult kõrvaldada ka normide eesmärki ja kujunemislugu, teisi õigusakte, õiguse üldpõhimõtteid jms arvesse võttes ning selline selgusetus takistab seadusest tulenevate kohustuste kindlakstegemist ja täitmist. (Nt RKPJKo 5-19-38/15, p 68.)
  3. VVK ei osutanud vaidlustatud otsuses ühelegi konkreetsele Eesti riigisisese õiguse normile, mis annab aluse isikustatud e-hääle säilitamiseks e-hääletamise süsteemis. Kaaskirjas kaebusele on VVK märkinud, et õiguslik alus e-hääle hoidmiseks tuleneb

§ 488lg-st 5 ja EPVS § 771 lg-st 2.

50.

§ 488

lg 5 kohaselt tuleb e-hääletamise süsteemi koguja komponenti säilitada kuni e-häälte hävitamiseni. EPVS § 771 lg 2 esimese lause kohaselt säilitab riigi valimisteenistus e-hääli ühe kuu jooksul valimispäevast arvates. Sama lõike teise lause kohaselt hävitatakse pärast nimetatud tähtaja möödumist, kuid mitte enne sama seaduse §-s 67 sätestatud kaebuste kohta lõplike otsuste tegemist mh e-hääled, e-hääletamise süsteemis sisalduvad valijate isikuandmed ning e-häälte avamise võti. 51.

§ 484

lg 1 p-de 1 ja 3 kohaselt koosneb e-hääletamise süsteem mh hääletaja komponendist ja koguja komponendist. Hääletaja komponent võimaldab valijal teha valijarakenduse abil valiku, selle krüpteerida, digitaalselt allkirjastada ning saata elektrooniline hääl koguja komponendile. Koguja komponent võtab e-hääli vastu. Seega moodustab ja kogub e-hääletamise süsteem valija poliitilist eelistust sisaldavaid e-hääli, mis jäävad hääle krüpteerimisele vaatamata valija isikuga põhimõtteliselt seostatavaks. Kolleegiumi hinnangul saab EPVS § 771 lg-st 2 ja

§ 488

lg-st 5 üheselt järeldada, et seadusandja on andnud riigi valimisteenistusele koos koguja komponendi ja e-häälte säilitamise volitusega ka volituse säilitada ehk töödelda ka valija e-hääles sisalduvaid isikuandmeid. Tegemist on piisavalt selge ja täpse õigusliku aluse ehk volitusega eriliigiliste isikuandmete säilitamiseks.

  1. Riigikohus on korduvalt märkinud, et õigusliku aluse olemasolust üksi siiski ei piisa, et töötlemistoiming oleks õiguspärane. Toiming peab olema ka kooskõlas õigusliku alusega, mis isikuandmete töötlemise kontekstis tähendab eeskätt õiguslikus aluses eneses sisalduvate nõuete ja andmekaitse põhimõtete järgimist, kuid võib hõlmata ka laiemalt õigusnormide analüüsimist, mis võivad ühel või teisel moel piirata töödeldavate isikuandmete või töötlemistoimingu liiki vms. (Vt nt RKHKo 3-22-2022/37, p 23.)
  2. Nagu eespool toodud peab IKÜM art 9 lg 2 p g kohaselt lisaks sellele, et liikmesriigi õiguses on õiguslik alus, töötlemine olema ka proportsionaalne saavutatava eesmärgiga, austama isikuandmete kaitse õiguse olemust ja tagatud peavad olema sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. IKÜM art 5 lg 1 p e tuleneva isikuandmete töötlemise piirangu põhimõtte kohaselt tagatakse, et isikuandmeid säilitatakse andmesubjektide tuvastamist võimaldaval kujul ainult seni, kuni see on vajalik selle eesmärgi täitmiseks, milleks isikuandmeid töödeldakse (vt ka art 6 lg 3 teine lõik). 7

(10)5-24-14
  1. Kaebaja hinnangul ei vasta isikustatud e-häälte säilitamine eelmises lõigus nimetatud IKÜM-i nõuetele. E-hääle isikustatud kujul säilitamine pärast selle andmist ei ole kaebaja hinnangul vajalik ja hääle säilitamine e-hääletamise süsteemis tekitab säilitamise pikkust (vähemalt üks kuu) ja piisavate kaitsemeetmete puudumist arvestades ebamõistliku riski hääletamise salajasuse põhimõtte(valimissaladuse) rikkumiseks.
  2. VVK on otsuses välja toonud, et e-häälte isikustud kujul hoidmine on vajalik võimaldamaks valijal oma e-häält muuta või hääletada hiljem hääletamissedeliga. E-häälte isikustatud kujul hoidmine pärast häälte lugemist on VVK arvates vajalik ka võimalike e-hääletamist või e-häälte lugemist puudutavate kaebuste lahendamiseks, sest võimaldab hinnata tõendeid või korraldada häälte uue lugemise. Kolleegiumi hinnangul on mõlemad nimetatud eesmärgid hõlmatud vajadusega täita avalikes huvides olevat ülesannet IKÜM art 6 lg 2 p e ja art 9 lg 2 p g mõttes: korraldada Euroopa Parlamendi valimisi ning teha kindlaks valimistulemused.
  3. E-hääle hilisema muutmise või hääletamissedeliga hääletamise võimalus tagavad, et valijal on võimalik hääletada vabana ebaseaduslikest mõjutustest (RKPJKo 3-4-1-13-05, p 30). Kui valija antud hääl anonüümitaks kohe pärast hääletamist, nagu peab õigeks kaebaja, siis ei oleks valijale samadel valimistel korduva hääletamise võimaluse andmine võimalik, sest tema poolt varem antud häält ei saaks hiljem antud häälest eristada. Samuti on elektroonilise valimiskasti tervikluse kontrollimiseks vajalik võrrelda koguja komponendis salvestatud e-hääli registreerimisteenuse registreeringutega (

§ 488lg 4).

Need eesmärgid annavad aluse e-häälte isikustatud vormis säilitamiseks kuni hääletamistulemuste kindlakstegemiseni.

  1. Riigikohus on varem Riigikogu valimiste kontekstis märkinud, et e-häälte säilitamine saab valimiskaebemenetluses olla vajalik eelkõige hääletamise ja hääletamistulemuste kindlakstegemise peale esitatud kaebustega seotud asjaolude väljaselgitamiseks (RKPJKo 5-23-33/2, p 28). Seejuures tuleb silmas pidada, et kuna teabe põhjendamatult kaua säilitamine võib tuua kaasa täiendavaid ohte, sh ohtu valimissaladusele, tuleb ka hävitamist edasilükkavat „kaebust“ tõlgendada kitsendavalt (samas, p-d 26 ja 29 jj). Ka Euroopa Parlamendi valimistel kannab isikustatud e-häälte säilitamine pärast hääletamistulemuste kindlakstegemist eelkõige valimiskaebuste lahendamise eesmärki. Nt võib kaebuse lahendamiseks olla vajalik selle väljaselgitamine, kas konkreetse valija antud e-hääl on hääletamistulemuste kindlakstegemisel arvesse läinud, kas arvesse ei ole läinud selliste isikute e-hääli, kes hääletasid hääletamissedeliga vmt. Üksnes anonüümitud e-häälte ülelugemine ei pruugi olla kõigi kaebuste lahendamiseks piisav.
  2. Erinevalt Riigikogu valimistest (

§ 74

lg-d 1 ja 3) ei takista pooleliolevad kaebemenetlused EPVS-i kohaselt Euroopa Parlamendi liikmete registreerimist (EPVS § 72 lg 1) ja valimistulemuste väljakuulutamist (EPVS § 72 lg 3). Valimistulemused tehakse Euroopa Parlamendi valimistel EPVS § 72 lg 1 kohaselt kindlaks hiljemalt

  1. päeval pärast valimispäeva ning loetakse väljakuulutatuks Euroopa Parlamendi liikmete registreerimise või hääletamistulemuste kehtetuks tunnistamise otsuse Riigi Teatajas avaldamisele järgneval päeval. Arvestades aga veel enne valimistulemuste väljakuulutamist esitatud kaebuste lahendamise vajadust, ei ole EPVS § 771 lg-s 2 sätestatud ühe kuu pikkune tähtaeg andmete säilitamiseks kolleegiumi hinnangul põhiseadusest ja Euroopa Liidu õigusest tulenevaid nõudeid arvestades ebaproportsionaalselt pikk.
  2. Kuna VVK-l on kahtluse tekkimise korral kohustus kontrollida kindlaks tehtud hääletamistulemuste õigsust ka omal algatusel ja tal on õigus EPVS § 8 lg 2 p-st 3 tulenevalt tunnistada e-hääletamise tulemused hääletamist oluliselt mõjutada võinud või mõjutanud seaduserikkumise tuvastamise korral kehtetuks, siis on e-häälte isikustaval kujul säilitamine pärast hääletamistulemuste kindlakstegemist vajalik selgi põhjusel. 8

(10)5-24-14
  1. Kaebaja ei väida, et tema või muu valija valimissaladust oleks
  2. a Euroopa Parlamendi valimistel rikutud või kavatsetaks rikkuda, kuid ta viitab sellise rikkumise võimalusele e-hääletamise süsteemi ebapiisava turvalisuse tõttu. Kaebaja leiab, et mõeldav oleks praegusest erinevatel põhimõtetel rajaneva e-hääletamise süsteemi loomine, kus hääl anonüümitakse vahetult pärast hääletamist ja valijate põhiõigused oleks sel juhul paremini tagatud.
  3. Kolleegiumi hinnangul ei saa üksnes teoreetilisest võimalusest, et kaebaja isikuandmete töötlemisel realiseerub turvarisk ja isikuandmed saavad kõrvalisele isikule teatavaks, veel järeldada, et süsteem on seadusvastane ja rikub kaebaja õigusi. Samuti ei muuda olemasolevat e-hääletamise süsteemi seadusvastaseks see, et teoreetiliselt on võimalik teistsuguse ülesehitusega (arhitektuuriga) süsteemi loomine, kus kaebaja nimetatud risk on praegusest enam maandatud.
  4. Nagu iga kasutusel oleva tehnilise süsteemi puhul, nii pole võimalik täielikult välistada ka e-hääletamise süsteemi kuritarvitamist. Sh ei ole võimalik täielikult välistada, et kaebaja valimissaladust rikub valimiste korraldaja. Kuid kaebuse lahendamiseks on oluline hinnata sellise rikkumise tõenäosust seadusega ette nähtud turvameetmete kontekstis. Kaebaja ei ole VVK-le ega Riigikohtule esitanud ja kolleegiumile ei ole ka muudest allikatest teada andmeid, mis tõendaksid ebamõistlikult suurt riski e-hääletamise süsteemist mh kaebaja valimissaladuse avalikuks saamiseks. Mh ei kinnita sellise riski olemasolu kaebaja poolt VVK-le kaebuse lisana esitatud
  5. aasta Riigikogu valimiste e-hääletuse auditeerimise lõpparuanne. Selle aruande üldjäreldus on, et audiitorid ei tuvastanud olulisi kõrvalekaldeid kehtivatest nõuetest (lk 2). KPMG Baltics OÜ 2021–2022 läbi viidud auditi „Valimiste infosüsteemide ja nendega seotud protsesside turvalisuse terviklik auditeerimine ja hindamine Majandus- ja Kommunikatsiooniministeeriumile” koondarvamuse kohaselt ei tuvastanud audiitorid kriitilise tähtsusega puuduseid või turvanõrkuseid valimiste infosüsteemides ega tööprotsessides (lk 5). Ka
  6. a. Euroopa Parlamendi e-hääletamise toimingute auditi vahearuande järeldusena ei ole audiitorid tuvastanud puudusi, mis võiksid takistada e-hääletamise läbiviimist (lk 3). 63.

§ 487

lg 2 p-de 1, 2 ja 4 kohaselt tehakse valimiste turvalisuse tagamiseks igakordselt enne e-hääletamise alustamist e-hääletamise süsteemile riskianalüüs, rakendatud turvameetmete audit ja oluliste riskide vähendamise riskikäsitlusplaan. Need nõuded laienevad EPVS § 472 kohaselt ka Euroopa Parlamendi valimistele.

  1. Kolleegium tutvus Riigikohtu nõudel edastatud dokumentidega (vt eespool p-d 22–23), mis käsitlevad e-hääletuse turvalisuse tagamist ja riskide hindamist
  2. a Euroopa Parlamendi valimistel. Ka neist ei ole võimalik järeldada kaebaja väidetud ebamõistlikult suurt riski tema valimissaladuse rikkumisele. Nimetatud dokumendid on VVK poolt tunnistatud avaliku teabe seaduse (AvTS) § 35 lg 1 p 9 alusel piiratud juurdepääsuga teabeks. Kuna kaebaja seetõttu nende andmetega tutvuda ei saa, tegi kolleegium seda tema eest.
  3. Kaebaja väited ei tõenda, et olemasoleva e-hääletamise süsteemi piisavat turvalisust ei ole võimalik tagada organisatsioonilisi ja protseduurilisi vahendeid kasutades. Nii on

§ 483

lg-s 3 ette nähtud e-häälte avamise võtmele ligipääsu vahendite jagamine VVK liikmete ja riigi valimisteenistuse vahel. Arvestades VVK koosseisule seatud kõrgendatud nõudeid, sh liikmete sõltumatust (vt

§ 10

lg 2) koostoimes võimalusega kasutada häälte avamise võtit üksnes ühiselt (EPVS § 591 lg-d 2 ja 4), on kolleegiumi hinnangul küllaldaselt tagatud, et e-hääletamisel valimissaladust VVK poolt ei rikuta. 66. Ebamõistlikult suurt riski valimissaladuse rikkumisele ei saa järeldada ka kaebaja osutatud võimalusest, et kolmas isik võib kasutada elektroonilise hääle kontrollimisel loodud QR-koodi kaebaja valimissaladuse rikkumiseks. VVK on vaidlusaluses otsuses ja kaebuse kaaskirjas selgitanud, 9

(10)5-24-14 et valimiste korraldaja ei saa endale terviklikku QR-koodi teavet, mistõttu ei ole tal võimalik QR-koodi kasutades valimissaladust rikkuda. Kuigi ei ole täielikult välistatud, et QR-kood sattub (nt valija enda tahtliku tegevuse tõttu) kolmanda isiku kätte, eeldab valimissaladuse rikkumine hääle e-valimiste infosüsteemist allalaadimist, mis on võimalik ainult 15 minuti jooksul pärast hääle andmist. Ka juhul, kui isiku valimiseelistus saab siiski sel viisil kolmandale isikule teatavaks, ei järeldu sellest korduva e-hääletamise ja hääletamissedeliga hääletamise võimalust arvestades, et tegemist on valija poolt viimasena antud häälega, mis läheb hääletamistulemuste kindlakstegemisel arvesse. Kaebaja möönab samuti, et valimissaladuse teatavaksaamise eelduseks on nii unikaalse QR-koodi kui ka häälekonteineri olemasolu. Isegi kui mõista kaebust nii, et kaebaja on praktiliselt näitlikustanud häälekonteineri allalaadimise võimalust pärast 15 minuti möödumist e-hääle andmisest, s.o mitte üksnes juba allalaaditud häälekonteineri korduvat avamist hiljem, on see väide tõendamata. Kokkuvõtvalt kaaluvad kontrollrakenduse eesmärk – kindlustada valijale võimalus kontrollida antud e-hääle jõudmist e-hääletamise süsteemi – ning selle kasutamise tingimused (sh ajaline piirang, uuesti hääletamise võimalus) üles valimissaladuse pahatahtliku rikkumise teoreetilise riski.
  1. Kolleegium nõustub kaebajaga, et valija(te) poliitilise eelistuse saladuseks jäämine on oluline, kuid valimiste salajasuse kõrval peab seadusandja tagama ka muude valimisõiguse põhiseadusest tulenevate põhimõtete nagu valimiste vabaduse ja üldisuse järgimise. Samuti on vaja tagada hääletamistulemuste õige kindlakstegemine ning selle kohtuliku kontrollimise võimalus. Kohustus järgida Euroopa Parlamendi valimistel salajasuse ja valijate isikuandmete kaitsmise kõrval ka muid eelloetletud põhimõtteid tuleneb ka Euroopa Liidu õigusest (vt nt Euroopa Liidu lepingu art 14 lg 3; Euroopa Liidu põhiõiguste harta art 39 lg 2). Euroopa Liidu õigus ja põhiseadus ei nõua seadusandjalt Euroopa Parlamendi valimistel sellise hääletamissüsteemi loomist, kus oleks täiel määral realiseeritud üksnes valimiste salajasuse põhimõte, vaid mõistliku tasakaalu loomist valimiste salajasuse ja muude valimisõiguse põhimõtete vahel.
  2. Eelnevat arvestades ja tuginedes põhiseaduslikkuse järelevalve kohtumenetluse seaduse § 46 lõike 1 punktile 2, jätab kolleegium M. Põdra kaebuse rahuldamata.
  3. VVK on taotlenud kaebajale juurdepääsu piiramist VVK
  4. juuni
  5. a kirjaga Riigikohtule edastatud e-hääletamise turvalisuse tagamist käsitlevatele dokumentidele. VVK põhjendab oma taotlust valimistel kasutatavate infosüsteemide turvalisuse tagamise vajadusega, sest kirjale lisatud dokumentides kirjeldatud turvariskide ja nende kõrvaldamiseks või vähendamiseks kasutatavate abinõude teatavaks saamine kaebajale või kolmandale isikule loob ohu e-hääletamise süsteemi kahjustamiseks. Kolleegium leiab, et VVK taotlus on põhjendatud ja piirab analoogia korras halduskohtumenetluse seadustiku § 88 lg-le 2 ja § 79 lg 1 p-le 1 tuginedes kaebaja juurdepääsu neile dokumentidele (vrd RKPJKm 5-17-29/7, p-d 7–11). (allkirjastatud digitaalselt) 10
(10)

🔗 Ametlikule allikale

Tehisintellekti selgitus ametliku seadusteksti põhjal. Orienteeruv, ei asenda õigusnõustamist.