Vabariigi Valimiskomisjon — Märt Põdra kaebuse lahendamine — RT III, 2024, 1

Kaebuse asjaolud ja sisu Vandeadvokaat Märt Mürk esitas kirjaliku volikirja alusel Märt Põdra (Põder) nimel 6. juunil 2024 kaebuse, milles palub tunnistada seadusevastaseks valimiste korraldaja toimingu, millega säilitatakse kaebaja 3. juunil 2024 antud elektrooniliselt antud häält (edaspidi ka e-hääl) isikustatud elektroonilise häälena elektroonilise hääletamise süsteemis pärast elektroonilise hääle vastuvõtmist elektroonilise hääletamise süsteemi poolt. Kaebaja kirjeldab kaebuses, et kaebuse aluseks on asjaolu, et Euroopa Parlamendi valimistel säilitatakse valijate e-hääli isikustatud kujul. E-valimiste serveris säilitatakse andmeid selle kohta, millise kandidaadi poolt iga e-hääle andnud valija oma hääle andis. Valimiste korraldajal on seega võimalik tuvastada e-hääle andnud valijate poliitilisi eelistusi. Puudub mõjuv põhjus, miks peaks täitevvõimul olema ligipääs valijate poliitiliste eelistuste andmetele. Selliste andmete säilitamine ei ole põhjendatud ja on vastuolus valimiste salajasuse ja delikaatsete isikuandmete töötlemise põhimõtetega. Kaebaja leiab, et e-häälte töötlemine isikustatud kujul on seetõttu ebaseaduslik. Riigikogu valimise seaduse (RKVS) § 486 lõige 6 sätestab, et pärast elektroonilise hääletamise lõppemist logid anonüümitakse. Logid anonüümitakse pärast 8. juunit 2024 kella 20.00, millest järeldub, et kaebaja häält säilitatakse anonüümimata kujul vähemalt viis päeva. Täiendavalt sätestab RKVS § 486 lõige 7, et anonüümimata logid hävitab riigi valimisteenistus RKVS § 771 lõikes 2 sätestatud tähtajal ehk mitte varem kui üks kuu alates valimispäevast, millest nähtub, et kaebaja anonüümimata e-häält säilitatakse vähemalt kuu aega. Kaebaja leiab, et isikute poliitiliste eelistuste andmete säilitamine niivõrd pika perioodi jooksul (või üldse) ei ole proportsionaalne, sest rikub isikuandmete töötlemise põhimõtteid ning loob tõsise ohu andmete lekkimiseks. Kaebaja ei pea piisavaks valimiste korraldaja tagatisi kaebaja hääle salajasuse tagamisel. Kaebaja e-hääle säilitamine nii pika perioodi jooksul ei ole seaduspärane. Isikustatud e-hääle säilitamine pärast selle vastuvõtmist kujutab endast keelatud töötlemistoimingut valimiste läbiviija poolt. Kaebaja on seisukohal, et anonüümimata e-häälte säilitamine rikub valimiste salajasuse põhimõtet. Hääletamise salajasuse tuvastamiseks ei tohi ühelgi isikul – sh ka valimiste läbiviijatel – olla võimlik tuvastada, kuidas valija hääletas. Valimiste läbiviijal on praktikas võimalik n-ö sisemine ümbrik avada ka ilma isikuandmeid eemaldamata ning tuvastada seeläbi, kuidas iga e-hääle andnud isik on hääletanud. Kaebajale ei ole teada, et valimiste läbiviija oleks sellist rikkumist kunagi toime pannud, kuid ta arvab, et faktiliselt on seda võimalik teha. Kaebaja väidab, et anonüümimata e-häälte säilitamine rikub isikuandmete kaitse nõudeid. Hääletaja e-hääles sisalduv valik on isikuandmete eriliik, mille töötlemine on keelatud. Ükski e-hääletamise etapi kirjeldus ei loo alust isikustatud e-häält e-hääletamise süsteemis talletada kauem, kui see on vajalik e-hääletamise süsteemi poolt e-hääle vastuvõtmiseks ja kontrollrakenduses valiku kuvamiseks piiratud aja jooksul. Kaebaja leiab, et isikustatud e-hääle edasine säilitamine pärast selle vastuvõtmist on õigusvastane andmetöötlustoiming. Valimiste korraldajal puudub kehtivast õigusest tulenev alus andmete eriliikide töötlemiseks. Kaebaja väidab, et eriliiki isikuandmete töötlemisel tuleb järgida ettevaatuspõhimõtet. Valimiste läbiviijal ei ole valimiste läbiviimiseks vajalik säilitada kaebaja ega teiste valijate anonüümimata e-hääli. Avalikest allikatest ei nähtu, et e-hääletamise süsteemi kohta oleks valimiste läbiviija isikuandmete vastutava töötlejana koostanud Euroopa Parlamendi ja nõukogu 27. aprilli 2016. a määruse (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus, IKÜM) artikli 35 kohase andmekaitsealase mõjuhinnangu. Kaebaja peab isikuandmete töötlemist lubamatuks IKÜM art 9 lg 1 järgi ja vastuolus olevaks IKÜM art 5 lg 1 punktiga c, sest valimiste korraldajal on võimalik murda hääle salajasust kontrollrakendusele edastatud QR-koodi vahendusel. Riigi valimisteenistuse seisukoht Riigi valimisteenistus ei nõustu kaebuse väidetega. Valimiste korraldajal (riigi valimisteenistus) pole võimalik tuvastada e-hääletanute valikut, kuna hääletamissedelid on salastatud kujul ning nende avamine ilma juurdepääsuta privaatvõtmele ei ole võimalik. Privaatvõti on jaotatud Vabariigi Valimiskomisjoni ja riigi valimisteenistuse teenistujate vahel (RKVS § 483 lg 3). Riigi valimisteenistus töötleb isikustatud e-hääli ainult salastatud (krüpteeritud) kujul Riigikogu valimise seaduse alusel. RKVS § 485 lõike 5 kohaselt kinnitab hääletamist valija seadusekohase digitaalallkirjaga. RKVS § 486 lõige 3 sätestab, et enne elektrooniliste häälte lugemist eraldatakse isikuandmed elektroonilisest häälest selliselt, et ei ole võimalik tuvastada valija tahteavaldust. Kuni selle toiminguni on e-hääletamise lugemise protsessis hääled isikustatud, kuid krüpteeritud. Enne häälte avamist (dekrüpteerimist) eraldatakse krüpteeritud hääl valija allkirjastatud digitaalkonteinerist, mille tulemusena hääl on anonüümne. Loetakse anonüümitud hääli selliselt, et ei ole võimalik luua seost valija ning avatud hääle vahel (RKVS § 486 lg 10). Selle erijuhuks on RKVS §-i 4810 lõikes sätestatud elektroonilise hääle kontroll pärast hääletamist, viidatud paragrahvi lõikes 2 sätestatud ulatuses. Häälte töötlemise vajadus tuleneb RKVS §-s 4811 sätestatud elektroonilise hääle arvestamise reeglitest – mitme elektrooniliselt antud hääle puhul arvestatakse valija viimast antud häält ning kui valija on hääletanud nii elektrooniliselt kui ka hääletamissedeliga, arvestatakse valija hääletamissedelit; samuti näeb RKVS § 486 lg 11 ette elektroonilise hääletamise süsteemi andmete tervikluse kontrollimiseks ette andmeauditi, mille käigus kontrollitakse kõigi e-häälte terviklust, häältele antud registreerimisteenuse ajatempleid jne; seda protsessi korratakse valimispäevale järgneval päeval. Tegemist on vajalike toimingutega topelthääletamise välistamiseks, samuti hääletamise salajasuse ja valimiste vabaduse tagamiseks. Selleks kuluvat ajavahemikku ei saa ühelgi moel pidada ebaproportsionaalselt pikaks, arvestades ülaltoodud toimingute vajalikkust, samuti seda, et kogu protsess elektroonilise hääletamise algusest (3. juuni 2024) kuni elektroonilise hääletamise süsteemi andmete tervikluse kontrollini (sh andmeaudit; 10. juuni 2024), kestab kaheksa päeva ning nende toimingute tegemine eeldab, et nii elektrooniline kui jaoskonnas hääletamine on lõppenud. Ühelgi juhul häälte töötlemise või EHS andmeauditi käigus ei saa valimisteenistusele ega infosüsteemide audiitoritele kättesaadavaks isikustatud valijate tahteavaldused. Seda tagab ajakohane hääle salastamise krüptograafiline lahendus, mis on süsteemi toimimise eelduseks. RKVS § 771 lõige 2 sätestab, et riigi valimisteenistus säilitab elektroonilisi hääli ühe kuu jooksul valimispäevast arvates või kui kõigi kaebuste kohta on tehtud lõplikud otsused. Seejärel hävitatakse sama lõike alusel nii elektroonilised hääled, kui ka süsteemis sisalduvad valijate isikuandmed. Elektroonilise hääletamise süsteemi arendaja seisukoht Kaebaja on kaebuses esile toonud kaks eraldiseisvat stsenaariumit. 1. Valimiste korraldajad on pahatahtlikud ning kasutavad häälte dekrüpteerimise võtmeid kooskõlastatult selleks mitte ettenähtud ajal. Selle ohu maandamiseks on elektroonilise hääletamise süsteemis võti osadeks jagatud ja selle taastamine eeldab rohkem kui poolte võtmehaldurite pahatahtlikku tegutsemist. Võtmeosakud on jaotatud Vabariigi Valimiskomisjoni liikmete ja riigi valimisteenistuse teenistujate vahel. 2. Valija ise avaldab valijarakenduse poolt kuvatud QR-koodi, mille alusel saab keegi teine tutvuda tema valikuga. Kui valija ise jagab QR-koodi, siis saavad kolmandad isikud tema valikuga tutvuda. Tähelepanuta on jäetud, et selleks on tarvis valija enda sihiteadlikku tegutsemist oma hääle salajasuse rikkumiseks. Kui valija QR-koodi ei jaga, siis ei saa keegi teine selles QR-koodis talletatud juhuslikkust valija krüpteeritud hääle analüüsimisel kasutada. Hääle salajasuse rikkumine QR-koodi kaudu on võimalik ainult valija enda tegevuse tulemusel. Valimiste korraldajal puudub võimalus ilma valija poolt QR-koodi avaldamata selle valija hääle salajasust murda. Pahatahtlikul riigi valimisteenistusel häid viise QR-koodi kättesaamiseks ei ole. Riigi valimisteenistus peaks selleks tegema kõvasti lisatööd – jälgima valijaid, muutma rakendusi. Tõeliselt pahatahtlikku arendajat takistab vahelejäämise hirm. Valijarakenduse kood on läbinud põhjaliku turvaauditi kolmanda osapoole poolt. Samas tuleb nentida, et tõeliselt pahatahtlikul arendajal on teoreetiline võimalus kompromiteerida koodi, sest hetkel kompileerib valijarakendust arendaja. Võimalik, et siin peaks midagi tegema, et tagada valijarakenduse valmimine auditeeritud koodist. Häälte salajasuse tagamine on vaid üks valimiste korraldajale pandud ülesannetest. Elektrooniliste häälte digitaalallkirjastatud kujul hoidmine täidab eesmärki tagada elektrooniliste häälte kogumisprotsessi terviklus ja auditeeritavus. Valimiste korraldaja tegevused pärast kogumisteenusest urni saamist eeldavad, et hääled on digitaalselt allkirjastatud. Sellisel moel saab tagada, et ükski hääl ei ole pärast valija poolt andmist muudetud, iga valija kohta võetakse arvesse üks hääl, urni ei ole lisatud hääli valijate poolt, kes valijate nimekirja ei kuulu, ja urnist ei ole hääli eemaldatud. Urni ja elektroonilisi hääli hoitakse isikustatavatena võimalike valimiskaebuste lahendamiseks kuni võimalike kaebuste lahendamise tähtajani ja valimistulemuse väljakuulutamiseni. Veel toob arendaja välja olulised aspektid kaebuse kohta. Elektroonilise hääletamise protsessi tehnilised logid ja elektroonilised hääled on erinevad andmekogumid, ühe anonüümimisest ei järeldu teise anonüümimine. Siiski on õige, et urni koosseisus säilib digitaalselt allkirjastatud krüpteeritud elektrooniline hääl kuni urni hävitamiseni. Riigi valimisteenistus ei edasta valimiste infosüsteemi anonüümitud valikuid, vaid e-hääletamise tulemusfaili, kus üksikvalikud ei kajastu. Väide et e-hääli hoitakse isikustatud ehk mitteanonüümsel kujul, on vaid osaliselt tõene. Hääli ei hoita avakujul, vaid sellisel moel, nagu nad valijate käest on vastu võetud – digitaalselt allkirjastatud krüpteeritud konteineris. Vajadusel on võimalik enne valimistulemuse kinnitamist töötlemisprotseduure korrata või teha täiendavaid auditeid. On oluline mõista, et terve selle aja vältel on hääled krüpteeritud. Seega hääle salajasuse tagamisel on oluline roll elektroonilise hääletamise korralduses ja protokollis, kuid hääle salajasust tagades peab säilima võimekus kontrollida ja auditeerida häälte autentsust ja terviklust ning urni autentsust ja terviklust. Nendes tegevustes on digitaalselt allkirjastatud ja ajatemplite/registreerimiskinnitustega varustatud häältel keskne roll, mida peab saama vaidluse korral kontrollida kuni valimistulemuse väljakuulutamiseni. Vabariigi Valimiskomisjoni seisukoht ja põhjendused 1. EPVS § 67 kohaselt on kaebus selle seaduse tähenduses Vabariigi Valimiskomisjonile esitatav nõuetekohaselt vormistatud taotlus tunnistada seadusvastaseks valimiste korraldaja toiming ja sama seaduse §-s 701 sätestatud korras Riigikohtule esitatav kaebus Vabariigi Valimiskomisjoni otsuse või toimingu peale. 2. Kaebaja märgib kaebuses, et vaidlustab valimiste korraldaja toimingu, millega säilitatakse kaebaja 3. juunil 2024 antud e-häält isikustatud elektroonilise häälena elektroonilise hääletamise süsteemis pärast elektroonilise hääle vastuvõtmist selle süsteemi poolt kuni elektroonilise hääletamise lõpetamiseni 8. juunil 2024 kell 20.00. Täiendavalt sätestab RKVS § 486 lõige 7, et anonüümimata logid hävitab riigi valimisteenistus RKVS § 771 lõikes 2 sätestatud tähtajal ehk mitte varem kui üks kuu alates valimispäevast. Seega säilitab riigi valimisteenistus e-hääli isikustatud kujul vähemalt kuu aega pärast valimisi. Kaebaja taotleb enda 3. juunil 2024 antud e-hääle isikustatud kujul säilitamise seadusvastaseks tunnistamist. Kaebaja põhjendab enda 3. juunil 2024 antud e-hääle isikustatud kujul säilitamise seadusvastasust sellega, et see rikub valimiste salajasuse nõuet ja isikuandmete kaitse nõudeid. 3. Vabariigi Valimiskomisjon saab kaebusest aru selliselt, et vaidlustatav toiming on kaebaja isikuandmete ja hääletamissedeli koos salvestamine ja hoiustamine alates e-hääle andmisest kuni e-häälte hävitamiseni. Kaebaja peab enda õiguste rikkumiseks tema isikuandmete (hääletamissedel, mis on salvestatud koos kaebaja isikut tuvastada võimaldavate andmetega) töötlemist vastuolus IKÜM-i ja seadustega. See toiming on vaidlustatav Vabariigi Valimiskomisjonis. Isikuandmete töötlemine toimub valimistoimingute korraldamise raames ja need toimingud on hõlmatud EPVS §-ga 67. 4. EPVS § 68 kohaselt saab kaebuse esitada huvitatud isik, kes leiab, et tema õigusi on vaidlustatava toiminguga rikutud. Kuna igaühel on õigus nõuda tema isikuandmete töötlemist õiguspäraselt, on kaebajal kaebeõigus. Andmed valimistel osalemise ja hääletamissedeli sisu kohta on isikuandmed IKÜM tähenduses (vt Euroopa Kohtu 20.10.2022 otsus asjas nr C-306/21) ning hääletamise salajasust kaitseb hääletamise salajasuse nõue (PS § 60 lg 2; EPVS § 2 lg 2). 5. EPVS § 591 lõige 1 sätestab, et riigi valimisteenistus teeb elektroonilise hääletamise tulemused kindlaks valimispäeval pärast kella 20.00. EPVS § 591 lg 11 järgi, pärast elektroonilise hääletamise lõppemist ja enne elektrooniliselt antud häälte lugemist kontrollib riigi valimisteenistus infosüsteemide audiitori juuresolekul elektroonilise hääletamise süsteemis salvestatud elektrooniliste häälte kogumi terviklust, süsteemis salvestatud häälte vastavust registreeritud häältele, häälte digitaalallkirjade terviklust ning elektrooniliselt hääletanud valija kuuluvust valijate nimekirja. EPVS § 591 lõike 3 punkti 2 kohaselt eraldab riigi valimisteenistus enne elektrooniliste häälte lugemist elektroonilised hääled valijate isikuandmetest. EPVS § 771 lõike 2 punkti 1 kohaselt säilitab riigi valimisteenistus elektroonilisi hääli ühe kuu jooksul valimispäevast arvates. Pärast nimetatud tähtaja möödumist, kuid mitte enne, kui EPVS §-s 67 sätestatud esitatud kaebuste kohta on tehtud lõplikud otsused, hävitab riigi valimisteenistus avalikult elektroonilised hääled, elektroonilise hääletamise süsteemis sisalduvad valijate isikuandmed ning elektrooniliste häälte avamise võtme. Neist sätetest nähtub, et elektrooniliselt antud hääli säilitatakse koos valija isikuandmetega kuni elektrooniliste häälte lugemiseni ning edasi kuni nende hävitamiseni pärast seaduses sätestatud tähtaja möödumist. 6. Elektrooniliste häälte isikustatud kujul hoiustamine on vajalik selleks, et võimaldada arvesse võtta vaid valija viimast e-häält või hääletamissedeliga hääletamisel viimane e-hääl enne häälte lugemist eemaldada (EPVS § 591 lg 3 p 11, RKVS § 4811 lõiked 1 ja 2). EPVS § 591 lõike 3 kohaselt tühistab riigi valimisteenistus valimispäeval enne elektrooniliste häälte lugemist need elektroonilised hääled, mida on hääletamissedeliga hääletamisel muudetud. Kui valija on elektrooniliselt hääletanud mitu korda, jätab valimisteenistus alles valija viimasena antud elektroonilise hääle ja jätab arvestamata varem antud elektroonilise hääle. Kui e-hääli talletada vaid isikustamata kujul ja eraldada valija isikuandmed e-häälest kohe hääletamise ajal või järel, mitte häälte lugemiseni, ei oleks tagatud valijale võimalus oma elektroonilist häält muuta või hääletada hiljem hääletamissedeliga. Selline lahendus ei võimaldaks aga tagada valimiste vabadust ega hääletamise salajasust, kui hääl antakse kõrvalise isiku juuresolekul, sh tema surve all. Ka kaebaja viidatud Euroopa Nõukogu soovitused CM/Rec (2017)5 e-hääletuse standardite kohta näevad punktis 25 ette, et elektrooniline hääletamine peab tagama valija poolt enne lõpliku hääle andmist tehtud varasemate salvestatud ja kustutatud valikute salajasuse. 7. EPVS § 771 lõike 2 punkti 1 kohaselt säilitab riigi valimisteenistus elektroonilisi hääli ühe kuu jooksul valimispäevast arvates. Pärast nimetatud tähtaja möödumist, kuid mitte enne, kui sama seaduse §-s 67 sätestatud esitatud kaebuste kohta on tehtud lõplikud otsused, hävitab riigi valimisteenistus avalikult elektroonilised hääled, elektroonilise hääletamise süsteemis sisalduvad valijate isikuandmed ning elektrooniliste häälte avamise võtme. Häälte lugemisest hilisem e-häälte isikustatud kujul talletamine on vajalik võimalike kaebuste lahendamiseks. Kui mõnes kaebuses väidetakse, et elektroonilise hääletamise või e-häälte lugemise korda on rikutud, ei võimaldaks isikustatud e-häälte hävitamine selliste vaidluste lahendamisel tugineda tõenditele ega korraldada ka uut häälte lugemist. Elektroonilisi hääli ei säilitata isikustatud kujul kauem, kui on vajalik valimiskaebuste lahendamiseks. Vabariigi Valimiskomisjon möönab, et selliste tundlike isikuandmete töötlemine (hoiustamine) 30 päeva vältel pärast kaebetähtaja möödumist, kui valimiskaebusi ei esitata, võib olla vastuolus minimaalsuse põhimõttega, kuid praegusel juhul sellise olukorraga tegemist ei ole. Valimiskaebused ei ole lahendatud ka Vabariigi Valimiskomisjoni otsuse tegemise ajaks. 8. Isikustatud e-häälte töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks ja vastab seetõttu IKÜM art 6 lg 1 punktile e. Isikuandmete töötlemine on praegusel juhul ette nähtud seadusega, neid ei töödelda suuremas ulatuses ega kauem, kui valimistulemuste lõplikuks väljaselgitamiseks on vajalik. Seega ei ole praegusel juhul vastuolu IKÜM art 5 lg 1 punktidega a, b ja c ega e. 9. Poliitilisi vaateid kajastavad isikuandmed vajavad erilist kaitset. IKÜM art 9 lg 1 ei keela siiski elektroonilisi hääli koos isikuandmetega talletada. See säte kajastab üldpõhimõtet, millest on lubatud erandid. IKÜM art 9 lg 2 punkt g näeb ette, et lõiget 1 ei kohaldata, kui töötlemine on vajalik olulise avaliku huviga seotud põhjustel liidu või liikmesriigi õiguse alusel ning on proportsionaalne saavutatava eesmärgiga, austab isikuandmete kaitse õiguse olemust ja tagatud on sobivad ja konkreetsed meetmed andmesubjekti põhiõiguste ja huvide kaitseks. Valimiseelistust sisaldavate isikuandmete töötlemine on vajalik seadusega ette nähtud elektroonilise hääletamise läbiviimiseks Euroopa Parlamendi valimistel. Toimingu seadusevastasust ei saa järeldada ainult sellest, et teistsuguste hääletamisviiside korral oleks võimalik hoiduda olukorrast, kus hääli kogutakse isikustatud kujul. 10. IKÜM art 5 lg 1 punkt f nõuab, et isikuandmeid töödeldakse viisil, mis tagab isikuandmete asjakohase turvalisuse, sealhulgas kaitseb loata või ebaseadusliku töötlemise eest ning juhusliku kaotamise, hävimise või kahjustumise eest, kasutades asjakohaseid tehnilisi või korralduslikke meetmeid. Vabariigi Valimiskomisjon on seisukohal, et isikustatud e-häälte töötlemine vastab neile tingimustele. Kaebajal ei ole subjektiivset õigust nõuda ühegi kindla abinõu kasutamist tema isikuandmete töötlemisel. Kaebaja ei ole tõendanud ühtegi rikkumist ega tõstatanud piisavat põhjendatud kahtlust, et 2024. a Euroopa Parlamendi valimisel oleks sattunud või satub kaebaja hääle salajasus ohtu. Euroopa Parlamendi elektroonilise hääletuse toimingute auditi vahearuande1 kohaselt auditeerisid audiitorid võtmepaari genereerimist ja prooviläbimist ega tuvastanud puuduseid, mis võiksid takistada elektroonilise hääletamise läbiviimist. 11. Valija valik krüpteeritakse ja edastatakse digiallkirjastatud kujul valijarakendusest e-häälte kogujasse (RKVS § 484 lg 1 p 1) ja häälte dekrüpteerimine toimub alles pärast isikuandmete eemaldamist selleks loodud häälte avamise võtmega; seejuures on seaduses ette nähtud ranged nõuded elektrooniliselt antud häälte hoiustamisele ja avamisele (vt RKVS §-d 482–484 ja 486–488; EPVS § 591 lg-d 11–3, 4, 7, 8 ja 9). Häälte dekrüpteerimine ei ole võimalik elektroonilise hääletamise korraldaja poolt ilma Vabariigi Valimiskomisjoni kui sõltumatu, erinevate institutsioonide esindajatest koosneva komisjoni mitme liikme juuresolekuta. Elektrooniliselt antud hääled dekrüpteeritakse pärast isikuandmetest eemaldamist. Elektroonilise hääletamise süsteemi ja kontrollrakenduse usaldusväärsuse tagamiseks on ette nähtud, et nende lähtekood avalikustatakse enne valimisi. Toimingute seadusele vastavust tagab asjaolu, et iga isikustatud e-häältega tehtava toimingu juures viibib infosüsteemide audiitor. Häälte avamise võtmeosakud (RKVS § 483 lg 3) säilitatakse kiipkaartidel, mis pitseeritakse iga kasutamise järel turvakleebisega. Enne kasutust kontrollib audiitor turvakleebiste terviklikkust (E-hääletamise käsiraamatu2 lk 7). RKVS § 486 lõikes 5 nimetatud toimingud logitakse. 12. Elektroonilise hääletamise protseduurid näevad ette, et elektrooniliste häälte dekrüpteerimine toimub pärast isikuandmete eemaldamist. Valija isikuandmed ei sisaldu samas krüptogrammis e-häälega. Kaebaja vaidlusaluse, 3. juunil 2024 antud e-hääle kättesaamine elektroonilise hääletamise süsteemist on piiratud 15 minutiga hääle andmisest QR-koodi kaudu, mille sattumine elektroonilise hääletamise süsteemi haldaja valdusse on takistatud sellega, et QR-koodi loomiseks vajalikud andmed ei liigu tervikuna koos e-häälega kogujasse, vaid osaliselt vaid hääletaja kasutatavate seadmete vahel. Kaebaja ei ole kaebuses nimetanud konkreetseid näiteid, et riigi valimisteenistus või arendaja oleksid elektroonilise hääletamise süsteemi komponente pahatahtlikult muutnud, vaid on esitanud üksnes teoreetilisi väiteid. 13. Kaebaja märgib õigesti, et OSCE demokraatlike institutsioonide ja inimõiguste büroo (ODIHR) 30. augusti 2023. a lõppraportis leiti, et hääle salajasus ei ole tagatud, kui valija avaldab QR-koodi pildi veebis; sellist valija tegevust ei ole siiski võimalik ära hoida valimiste korraldajal. Kogumisteenus võimaldab valijal oma häält kontrollida 15 minuti jooksul kuni kolm korda ja seda isegi juhul, kui valija kasutab kontrollimiseks mitte ametlikku kontrollrakendust. Vastav muudatus viidi kontrollrakendusse sisse valimiste infosüsteemide ja nendega seotud protsesside turvalisuse tervikliku auditeerimise ja hindamise tähelepaneku nr 14 alusel3. Hääletamise salajasuse põhimõtte tagamine on ka valija ülesanne ning valijal, kes ei saa elektrooniliselt hääletada vajaliku salajasusega, tuleb sellises olukorras hääletamist vältida ja hoolitseda ise sobivate tingimuste olemasolu eest. 14. Oht, et nimetatud QR-kood saadetakse valijarakenduse poolt ka mujale kui elektroonilise hääletamise süsteemi, on välistatud turvatestimise läbiviimisega kolmanda osapoole poolt. Sarnaselt testitakse kontrollrakendust, mille lähtekood on lisaks avalik ja selle õige toimimine seega avalikkuse kontrolli all. 15. Täielikult ei ole välistatud elektrooniliste häälte avamise võtmeosakute sattumine kaebuses kirjeldatud erandlike asjaolude (ähvardus, vargus, füüsilised mõjutused vms) tõttu kõrvaliste isikute kätte, kuid e-hääli ja iga võtmeosakut hoiustatakse eraldi ja need pitseeritakse audiitori poolt. 16. Vaidluse lahendamisel ei oma tähtsust kaebaja väited seoses RKVS § 486 lg 9 järgimisega. See säte on suunatud valija takistamisele saada tõendeid selle kohta, milline tema antud hääl läks arvesse. Kaebaja ei vaidlusta toimingut, millega riigi valimisteenistus talle sellise tõendi esitas, ega väida ka, et mõni kõrvaline isik sai teada, kas ja milline kaebaja elektrooniline hääl läks arvesse. Elektroonilise hääletamise süsteem ei anna valijale teavet selle kohta, mitu korda valija elektrooniliselt hääletas või kas ta hääletas ka valimisjaoskonnas. 17. IKÜM art 35 lg 3 nõuab lõikes 1 nimetatud mõjuhinnangu tegemist artikli 9 lõikes 1 nimetatud isikuandmete ulatusliku töötlemise korral. IKÜM art 35 lg 10 järgi ei ole viidatud lõige kohaldatav, kuna isikuandmete töötlemine on ette nähtud seadusega ja seaduse vastuvõtmise raames on üldiselt mõjusid hinnatud. Siiski toimub isikuandmete kaitse aspektist isikustatud e-häälte töötlemisega seotud riskide hindamine iga kord enne valimisi. Selleks rakendatakse infoturbe meetmeid, koostatakse riskianalüüs, viiakse läbi turvatestimine ja vaadatakse iga kord üle audiitori soovitusi. Riskianalüüsi koostamise ja turvatestimise läbiviimisega on täidetud ka audiitorite 2022. a soovitused, millele kaebaja on kaebuse punktis 38 viidanud. 18. Kaebaja poolt viidatud RKVS § 486 lõiked 6 ja 7 ei ole asjakohased, kuna reguleerivad logide anonüümimist ja anonüümimata logide töötlemist. Kaebaja ei ole vaidlustanud anonüümimata logide töötlemist. Vabariigi Valimiskomisjon märgib, et logides ei sisaldu ka valija valimiseelistus, vaid üksnes andmed hääletamisest osavõtmise, sh hääle andmise aja kohta. Samaväärseid andmeid kajastatakse kõigi valijate kohta valijate nimekirjas (EPVS § 20 lg 5), mida säilitatakse püsivalt (EPVS § 771 lg 3). Arvestades ülaltoodut ja tulenevalt EPVS § 70 lõike 3 punktist 1, Vabariigi Valimiskomisjon otsustab: jätta Märt Põdra kaebus rahuldamata. Vastavalt EPVS §-le 701 võib huvitatud isik, kes leiab, et Vabariigi Valimiskomisjoni otsusega rikutakse tema õigusi, esitada otsuse peale kaebuse põhiseaduslikkuse järelevalve kohtumenetluse seaduses ettenähtud korras Riigikohtule. Kaebus esitatakse Riigikohtule kolme päeva jooksul Vabariigi Valimiskomisjoni otsuse teatavakstegemisest arvates Vabariigi Valimiskomisjoni kaudu. ___________________ 1 Kättesaadav: https://www.valimised.ee/et/e-haaletamine/vaatlemine-auditeerimine-ja-testimine; otselink: https://www.valimised.ee/sites/default/files/2024-05/Vahearuanne%20EP2024%20e-valimiste%20audit.pdf 2 Kättesaadav: https://www.valimised.ee/et/e-haaletamine/dokumendid; otselink: https://www.valimised.ee/sites/default/files/2024-05/RVT%20Korraldus%20nr%2010%20lisa%20%28IVXV%20e-h%C3%A4%C3%A4letamise%20k%C3%A4siraamat%2008%29-1.pdf 3 Kättesaadav: https://www.mkm.ee/uudised/audit-e-valimised-turvalised; otselink https://www.mkm.ee/sites/default/files/documents/2022-06/E-valimiste%20infos%C3%BCsteemi%20ja%20protsesside%20turvalisuse%20auditi%20raport.pdf, lk-d 26 ja 27.