Kiri

EELNÕU 10.07.2019 RAHANDUSMINISTER MÄÄRUS Rahandusministri 10. septembri 2014. a määruse nr 30 „Kassalise teenindamise eeskiri“ muutmine Määrus kehtestatakse riigieelarve seaduse § 64 lõike 4 alusel. § 1. Määruse muutmine Rahandusministri 10. septembri 2014. a määruses nr 30 „Kassalise teenindamise eeskiri“ tehakse järgmised muudatused: 1) määrust täiendatakse §-ga 3¹ järgmises sõnastuses: „§ 3¹. Isikuandmete töötlemine riigikassas (1) Riigikassa töötleb e-riigikassas asutustelt saadud ja krediidiasutustele maksete tegemiseks edastatavaid järgmisi isikuandmeid: 1) ametnike ja töötajate teenistus- ning töösuhtest tulenevad töötasu, puhkusetasu ja muude tasude maksete andmed, 2) füüsilistele isikutele makstavate toetuste ja muude maksete andmed. (2) Riigikassa töötleb e-riigikassas krediidiasutustest asutustele vahendatavate laekumistega seotud isikuandmeid. (3) Esitatud maksete ja laekumistega seotud isikuandmete töötlemisele kohaldatakse käesolevas määruses ning Euroopa Parlamendi ja nõukogu määruses (EL) 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1– 88) toodud põhimõtteid. (4) Riigikassa on käesoleva paragrahvi lõikes 1 nimetatud maksete vahendamisel volitatud töötleja ja ta on kohustatud isikuandmete töötlemisel järgima vastutava töötleja korraldusi ning käesoleva määrusega, isikuandmete kaitse seadusega ja Euroopa Parlamendi ja nõukogu määrusega (EL) 2016/679 volitatud töötlejale kehtestatud nõudeid. (5) Riigikassa ametnikul või töötajal, kes edastab käesoleva paragrahvi lõikes 1 nimetatud maksetega seotud maksekorraldusi või vahendab lõikes 2 nimetatud laekumisi, on juurdepääs nendega seotud isikuandmetele. Juurdepääsu omav ametnik või töötaja on kohustatud hoidma saladuses talle teatavaks saanud isikuandmeid tähtajatult. (6) Riigikassa rakendab kõiki Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artiklis 32 sätestatud asjakohaseid turvameetmeid. (7) Käesoleva paragrahvi lõigetes 1 ja 2 nimetatud isikuandmeid säilitatakse e-riigikassas seoses riigieelarve seaduse § 64 lõigetest 1 ja 5 tuleneva avalikes huvides oleva ülesande täitmisega ning õigusnõuete koostamise, esitamise või kaitsmise eesmärgil. Riigieelarve seaduse § 67 lõikes 1 nimetatud juriidiliste isikute edastatud isikuandmeid säilitatakse e- riigikassas kümme aastat arvates kontsernikonto sulgemisest Rahandusministeeriumi teenindavas krediidiasutuses.“; 2) paragrahvi 5 lõike 2 punkt 5 tunnistatakse kehtetuks; 3) paragrahvi 5 täiendatakse lõikega 2² järgmises sõnastuses: „(2²) Riigikassal on õigus infoturbe tagamiseks piirata juurdepääsu asutuste töötajatele antud e- riigikassa teenuste ja e-konto kasutamise õigustele.“; 4) paragrahvi 5 lõige 5 sõnastatakse järgmiselt: „(5) Riigikassa avab asutustele e-konto või sulgeb selle asutuse juhi või tema volitatud isiku, sealhulgas administraatori, e-kirja alusel.“; 5) paragrahvi 6 lõike 1 punktid 2–4, 9 ja 15 tunnistatakse kehtetuks; 6) paragrahvi 6 lõike 1 punkt 7 sõnastatakse järgmiselt: „7) vahendatavad toetused (e-konto algusega 255) – konto avatakse rakendusasutustele toetuste laekumiseks;“; 7) paragrahvi 7 täiendatakse lõikega 3¹ järgmises sõnastuses: „(3¹) Asutuste eest, kellele osutab teenust Riigi Tugiteenuste Keskus, esitab taotluse sõnumipõhise andmevahetuse kasutamiseks käesoleva määruse lisas 3 toodud vormil Riigi Tugiteenuste Keskuse juht või tema volitatud isik.“; 8) paragrahvi 7 lõige 5 tunnistatakse kehtetuks; 9) paragrahvi 15 lõike 5 punkt 3 tunnistatakse kehtetuks; 10) määruse lisad 1 ja 3 kehtestatakse uues sõnastuses (lisatud). (allkirjastatud digitaalselt) Martin Helme Rahandusminister (allkirjastatud digitaalselt) Veiko Tali Kantsler Lisa 1 Volikiri Lisa 3 Taotlus sõnumipõhise andmevahetuse kasutamiseks  Rahandusministri määruse „Rahandusministri 10. septembri 2014. a määruse nr 30 „Kassalise teenindamise eeskiri“ muutmine“ eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Määruse eelnõuga (edaspidi eelnõu) muudetakse rahandusministri 10. septembri 2014.a määrust nr 30 „Kassalise teenindamise eeskiri“ (edaspidi Kassalise teenindamise eeskiri). Peamised muudatused tulenevad Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (edaspidi ka isikuandmete kaitse üldmäärus) rakendamisest. Täiendavalt antakse riigikassale õigus infoturbe nõuetest lähtuvalt piirata juurdepääsu asutuste töötajatele antud e-riigikassa süsteemi teenuste ja e-konto kasutamise õigusele. Lisaks tehakse muudatused, millega lõpetatakse osade e- kontode kasutamine, kuna vajadus eriliikide järele puudub, samuti kaotatakse e-riigikassa süsteemis sisemiste maksete edastamise kellaajad, lihtsustatakse e-konto avamise või sulgemisega seotud nõudeid ja täpsustatakse sõnumipõhise andmevahetuse taotluse esitamise korda, sh taotluse vormi. Isikuandmete kaitse üldmääruse art 6 kohaselt on isikuandmete töötlemine seaduslik, kui vastutava töötleja juriidilise kohustuse täitmiseks (lõike 1 punkt c) või avalikes huvides oleva ülesande täitmiseks (lõike 1 punkt e) töötlemise korral on isikuandmete töötlemise alus kehtestatud Euroopa Liidu õigusega või vastutava töötleja suhtes kohaldatava liikmesriigi õigusega (lõige 3). Eelnõuga kehtestatakse õiguslik alus isikuandmete töötlemiseks riigikassas. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja koostasid Rahandusministeeriumi õigusosakonna nõunik Marge Kaskpeit ([email protected], tel 611 3611) ja riigikassa osakonna nõunik osakonnajuhataja ülesannetes Marge Kaljas ([email protected], tel 611 3817). Eelnõu ja seletuskirja juriidilist kvaliteeti kontrollis õigusosakonna nõunik Marge Kaskpeit ([email protected], tel 611 3611) ja keeleliselt toimetas õigusosakonna keeletoimetaja Sirje Lilover ([email protected], tel 611 3638). 1.3. Märkused Määruse eelnõu on seotud Euroopa Parlamendi ja nõukogu määruse (EL) nr 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus) (ELT L 119, 04.05.2016, lk 1–88) rakendamisega. Määruse eelnõuga muudetakse määruse RT I, 19.06.2019, 6 redaktsiooni. 2. Eelnõu sisu ja võrdlev analüüs Kassalise teenindamise eeskirja täiendamine §-ga 3¹ Eelnõuga täiendatakse Kassalise teenindamise eeskirja isikuandmete kaitse meetmetega. Isikuandmete kaitse üldmääruse kohaselt tuleb isikuandmete töötlemisel tagada, et isikuandmete töötlemine oleks seaduslik ning et isikuandmeid kogutakse täpselt ja selgelt kindlaksmääratud eesmärkidel. Samuti tuleb kindlaks määrata isikud, kellel on juurdepääs isikuandmetele ja kui kaua säilitatakse isikuandmeid puudutavaid andmeid. Asutused, kelleks on Kassalise teenindamise eeskirja kohaselt riigiasutused ja riigieelarve seaduse § 67 lõikes 1 nimetatud juriidilised isikud edastavad kas ise või Riigi Tugiteenuste Keskuse kaudu Rahandusministeeriumi riigikassa osakonnale (edaspidi riigikassa) maksekorraldused. Riigikassa teeb esitatud maksekorralduse alusel makse saajale väljamakseid krediidiasutuste kaudu. Asutused esitavad maksed e-riigikassa vahendusel. Kuna muu hulgas tehakse ka töötasude ja toetuste makseid, mis on seotud isikuandmetega, siis tuleb kehtestada riigikassale kui isikuandmete töötlejale isikuandmete töötlemise põhimõtted. Riigikassa on kassalise teenindamise käigus isikuandmete töötlemisel volitatud töötleja. Isikuandmete kaitse üldmääruse art 28 lõike 3 kohaselt tuleb õigusaktis reguleerida volitatud töötleja poolt andmete töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Isikuandmete kaitse seaduse rakendamise seaduse eelnõu (778 SE) koostamisel lähtuti põhimõttest, et see, mis puudutab avaliku sektori vastutavaid töötlejaid, reguleeritakse seaduse tasandil, mis volitatud töötlejaid määruse tasandil (778 SE seletuskirja punkt 3.2. „Seaduse muutmise põhimõtted“ punkt 2.2.). Lõige 1 Riigikassa osutab asutustele kassalise teenindamise teenust ehk teostab nende makseid ja arveldusi ning vahendab neile pankade makseteenuseid. Sättes määratakse andmekoosseisud, mida riigikassa töötleb seoses isikuandmetega. Isikuandmeid puudutavad ametnike teenistussuhtest ja töötajate töösuhtest tulenevad töötasu, puhkusetasu ja muud tasud ning füüsilistele isikutele väljamakstavad toetused, st nii siseriiklikud kui Euroopa Liidu toetused ja muud väljamaksed. Isikuandmete kaitse üldmääruse art 4 lg 2 kohaselt on isikuandmete töötlemine muu hulgas ka isikuandmete või nende kogumiga tehtav automatiseeritud või automatiseerimata toiming või toimingute kogum, nagu edastamine. Seega, kuigi riigikassa on maksete teostamisel üksnes vahendaja asutuse ja krediidiasutuse vahel, peetakse tema tegevust siiski andmete töötlemiseks. Riigikassa kasutab arvelduste teostamiseks e-riigikassa interneti rakendust, mille vahendusel riigikassa teenindamisele kuuluvatel asutustel on võimalik sooritada makseid, jälgida laekumisi, esitada ja saada teatiseid ning aruandeid. Töötasu maksete tegemiseks esitab asutus e-riigikassa kaudu massmaksekorralduse faili (Kassalise teenindamise eeskirja § 18 lg 6). Asutus moodustab failid krediidiasutuste lõikes ning riigikassa teeb esitatud maksekorralduste alusel väljamaksed krediidiasutuste kaudu. Lõige 2 Kassalise teenindamise teenuse raames vahendab riigikassa krediidiasutustest edastatud laekumised asutustele. Asutuste raha laekub Rahandusministeeriumi arvelduskontole ja laekumise andmed, sh makse algataja andmed, edastatakse korrektse viitenumbri alusel automaatselt asutuse e-kontole e-riigikassas. Laekumiste edastamisel on samuti tegemist isikuandmete töötlemisega, kui makse algatajaks on füüsiline isik. Lõige 3 Riigikassa ei kogu, korrasta, muuda ega kasuta iseseisvalt isikuandmetega seotud andmeid. Riigikassa töötleb isikuandmeid üksnes seoses andmete edastamisega. Kuna igasugune isikuandmete kogumiga tehtav toiming, sh edastamine on isikuandmete töötlemine, tuleb kindlaks määrata sellele tegevusele kohalduvad reeglid. Riigikassale kohalduvad Kassalise teenindamise eeskirjas ja isikuandmete kaitse üldmääruses toodud põhimõtteid. Isikuandmete kaitse üldmääruse art 5 kohaselt tagatakse isikuandmete töötlemisel töötlemise seaduslikkus ja läbipaistvus, seatakse isikuandmete hoidmisele ja säilitamisele kindlaks määratud tingimused. Antud põhimõtted kehtestatakse Kassalise teenindamise eeskirjaga. Lõige 4 Riigikassa teenindab peale riigiasutuste ka riigieelarve seaduse § 67 lõikes 1 nimetatud juriidilisi isikuid. Riigieelarve seadusega on riigikassale antud õigus seaduse või lepingu alusel hoida ja paigutada avalik-õiguslike juriidiliste isikute, riigi poolt asutatud või riigi osalusega eraõiguslike juriidiliste isikute ja riigi haldusülesandeid täitvate eraõiguslike juriidiliste isikute raha, teostada nende makseid ja arveldusi ning vahendada neile makseteenuseid. E-riigikassa kaudu füüsilistele isikutele tehtavate maksete osas on sellised juriidilise isikut vastutavad töötlejad ja riigikassa on volitatud töötleja. Isikuandmete kaitse üldmääruse art 28 kohaselt peab volitatud töötleja vastutava töötleja nimel andmete töötlemisel rakendama asjakohaseid tehnilisi ja korralduslikke meetmeid sellisel viisil, et töötlemine vastab isikuandmete kaitse üldmääruse nõuetele ja et oleks tagatud andmesubjekti õiguste kaitse. Nimetatud artikli lõike 3 kohaselt peab õigusaktis olema reguleeritud töötlemise sisu ja kestus, töötlemise laad ja eesmärk, isikuandmete liik ja andmesubjektide kategooriad, vastutava töötleja kohustused ja õigused. Kui üldiselt on võimalik sellised kokkulepped teha ka volitatud ja vastutava töötleja omavahelise lepinguga, siis riigikassa ja riigiasutuste kui avalikes huvides ülesande täitjate puhul peavad need küsimused olema reguleeritud Euroopa Liidu või liikmesriigi õigusega (isikuandmete kaitse üldmääruse art 6 lg 3). Seega juhindutakse isikuandmete kaitse üldmäärusest ja sätestatakse vastavad nõuded Kassalise teenindamise eeskirjas. Andmete töötlemine toimub vastutava töötleja korraldusel. Lõige 5 Isikuandmete kaitse üldmääruse art 5 lg 1 punkti f (volitatud töötleja puhul art 28 lg 3 punkt b) kohaselt töödeldakse isikuandmeid viisil, mis tagab isikuandmete asjakohase turvalisuse, sh tuleb järgida konfidentsiaalsusnõuet. Käesolevaga ongi reguleeritud andmetele juurdepääs ning isikuandmetega kokku puutuva ametniku või töötaja konfidentsiaalsuskohustus. Lõige 6 Isikuandmete kaitse üldmääruse art 32 on reguleeritud isikuandmete töötlemise turvalisuse meetmed, millega tuleb ka riigikassal arvestada isikuandmete töötlemisel. Siia kuuluvad näiteks võime tagada isikuandmeid töötlevate süsteemide ja teenuste kestev konfidentsiaalsus, terviklikkus, kättesaadavus ja vastupidavus (art 32 lõige 1 punkt b), võime taastada õigeaegselt isikuandmete kättesaadavus ja juurdepääs andmetele füüsilise või tehnilise vahejuhtumi korral (art 32 lõige 1 punkt c) jne. Vajaliku turvalisuse taseme hindamisel tuleb eelkõige võtta arvesse isikuandmete töötlemisest tulenevaid ohte, eelkõige edastatavate, salvestatavate või muul viisil töödeldavate isikuandmete juhuslikku või ebaseaduslikku hävitamist, kaotsiminekut, muutmist ja loata avalikustamist või neile juurdepääsu (art 32 lõige 2). Lõige 7 Isikuandmete kaitse üldmääruse art 28 lg 3 p g kohaselt tuleb pärast andmetöötlusteenuste osutamise lõppu kustutada või vastutavale töötlejale tagastada kõik isikuandmed ja kustutada olemasolevad koopiad, välja arvatud juhul, kui EL või riigi õiguse kohaselt nõutakse andmete säilitamist. Antud lõikega lähtutakse andmete säilitamisel minimaalse säilitamise kohustuse printsiibist ja kohustatakse riigikassat säilitama andmeid kümme aastat arvates kontsernikonto sulgemisest Rahandusministeeriumi teenindavas krediidiasutuses. Riigikassa täidab riigieelarve seaduse § 64 lõikest 1 tulenevat avalikku ülesannet, mille kohaselt ta teeb asutuste makseid ja arveldusi ning vahendab neile makseteenuseid. Kuna riigikassa suunab füüsilise isiku otsese tahteavalduse alusel Rahandusministeeriumi pangakontole teostatud ülekanded, sh riigile tasutavad sularahas sissemaksed asutuste e-kontodele ning vahendab asutuste makseid krediidiasutustes Rahandusministeeriumi nimele avatud kontsernikontode koosseisu kuuluvate arveldus- ja maksekontode kaudu (st kõikide vahendatud makseta algataja krediidiasutuses on Rahandusministeerium), siis peab riigikassa tagama makseteenuste toimimise ja järjepidevuse, sh makseinfo säilitamise e-riigikassas asutuste tarbeks, Kassalise teenindamise eeskirja § 37 lõikes 2 toodud kohustuste täitmiseks või pangapoolsete pöördumiste teenindamiseks. Samuti on riigikassal vaja säilitada andmeid õigusnõuetega seotud päringute täitmiseks, sh tagada ka reorganiseeritud või likvideeritud asutuste e-kontodelt makseinfo kättesaadavus. Juurdepääsu e-kontodele, millelt on tehtud makseid või millele on laekunud summad, vajavad õiguskaitseorganid ja Riigikontroll nende õigusaktidest tulenevate ülesannete täitmiseks. Sellekohane on ka toimiv praktika, kus andmeid esitatakse kliendi enda soovil, politsei taotlusel vms. Viimane sarnane taotlus on aasta 1999 kohta. Seega ei ole mõeldav, et riigikassa kustutaks isikuandmed kohe pärast maksete panka vahendamist või pangast laekumiste vahendamist. Lisaks ei oleks võrreldavad enam raamatupidamisandmed, mida tuleb raamatupidamise seaduse § 12 lõikest 1 lähtudes säilitada vähemalt seitse aastat. Arvestades ülaltoodut ei kuulu riigikassas ülekannete ega laekumistega seotud isikuandmete puhul kohaldamisele isikuandmete kaitse üldmääruse art 17 lõiked 1 ja 2 ning kohaldamisele kuulub art 28 lg 3 p g, mille kohaselt on liikmesriigil võimalus nõuda andmete säilitamist. Ka isikuandmete kaitse üldmääruse art 17 lg 3 annab võimaluse jätta art 17 lg-d 1 ja 2 kohaldamata, kui isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks (punkt b) või õigusnõuete koostamiseks, esitamiseks või kaitsmiseks (punkt e). Kui Rahandusministeeriumil lõpeb leping krediidiasutusega, siis riigieelarve seaduse § 67 lõikes 1 nimetatud juriidilistele isikutele vahendatud ja nende poolt edastatud isikuandmete kustutamisel e-riigikassas lähtutakse krediidiasutuste poolt kehtestatud kliendiandmete töötlemise reeglitest. Tavapärane kliendiandmete kustutamine krediidiasutustes toimub kümme aastat pärast kliendisuhte lõppemist. Selline tähtaeg on seotud võimalike nõuete esitamise aegumistähtajaga, mis on TsÜS § 149 kohaselt seadusest tulenevate nõuete puhul kümme aastat selle nõude sissenõutavaks muutmisest. Riik osaleb lisaks avalik-õiguslikele suhetele rohkelt ka eraõiguslikes suhetes ühe lepingupoolena (võlaõiguslikud lepingud – õppelaenulepingute käendus, kasutuslepingud, teenuste osutamise lepingud jne). „Eraõiguse ja avaliku õiguse vahelise piiri tõmbamise tähtsus tuleneb järgnevast: riik ei tegutse mitte ainult ülimuslikult, vaid võtab ka eraisikuna – kui fiskus – osa üleüldisest õigus- ja majanduskäibest“ (vt H. Köhler „Tsiviilseadustik. Üldosa. Tallinn, 1998, lk 5). Riigi asutatud või osalusega juriidilistel isikutel on enamik ülekannetest seotud eraõiguslike tehingutega. Seega kuna riigikassa ei vahenda üksnes avalik-õiguslikke makseid, vaid ka eraõiguslikest suhetest tulenevaid, on oluline arvestada ka eraõiguslikest suhetest tuleneda võivate nõuetega (sealjuures järgida hagi aegumise tähtaega). Kassalise teenindamise eeskirja § 5 lõike 2 punkti 5 kehtetuks tunnistamine Eelnõuga tunnistatakse kehtetuks säte, mille kohaselt asutuste e-riigikassa teenuste administraatori pädevuses on riigiasutuste, kellel on erandina oma arvelduskontod krediidi- või finantseerimisasutustes, arvelduskontosid puudutava informatsiooni sisestamine ja muutmine e-riigikassas. Asutuste pangakontode informatsiooni sisestamine e-riigikassas ei ole asjakohane, sest riigikassa saab ülevaate pangakontodest lähtuvalt Kassalise teenindamise eeskirja § 4 lõikest 3. Kassalise teenindamise eeskirja § 5 täiendamine lõikega 2² Infoturbe peamiseks eesmärgiks on asutuse infotehnoloogia kasutamisega seotud riskide maandamine. Järelevalvete ning pikaajaliselt kasutamata e-riigikassa kasutajakontod on oluliseks riskiallikaks infoleketeks ja andmete väärkasutuseks. Tagamaks e-riigikassa süsteemis olevate andmete turvalisuse ja soovimatu levitamise, antakse riigikassale õigus turvakaalutlustel, nt kasutajal puudub kasutajategevuse logide aruandes märge rohkem kui kuus kuud, piirata asutuste töötajate e-riigikassa teenuste ja e-konto kasutamise õigusi. Kassalise teenindamise eeskirja § 5 lõike 5 muutmine Kehtiva sõnastuse kohaselt avab riigikassa asutusele e-konto ja sulgeb selle asutuse juhi, administraatori või nende volitatud isiku digitaalselt allkirjastatud kirjaliku teatise alusel. Muudatuse kohaselt avatakse või sulgetakse asutusele konto asutuse juhi või tema volitatud isiku (administraator on samuti volitatud isik) e-kirja alusel. Muudatusega leevendatakse ka teatise vormi – see ei pea enam olema digitaalselt allkirjastatud teatis, vaid piisab e-kirjast. Kassalise teenindamise eeskirja § 6 lõike 1 punktide 2–4, 9 ja 15 kehtetuks tunnistamine Paragrahvi 6 lõike 1 punktides 2, 3, 4, 9 ja 15 on välja toodud e-riigikassa kontod tulu varadelt (e-kontod algusega 220), tulu riigivara müügist (e-kontod algusega 230), üüri- ja renditulu, tulu õiguste, muude toodete ja teenuste müügist (e-konto algusega 240), toetused riigilt ja riigiasutustelt (e-konto algusega 258) ja sildfinantseerimise konto (e-konto algusega 900). Eelnõuga tunnistatakse nimetatud kontod kehtetuks, kuna asutustel eraldi e-konto liikide 220, 230, 240, 258, 900 omamine ei ole asjakohane. Vajadusel saab arvestust laekunud vahendite osas pidada e-konto liigil 280 „Muud tulud“. Kassalise teenindamise eeskirja § 6 lõike 1 punkti 7 muutmine Eelnõuga muudetakse „vahendatavate toetuste“ (e-konto algusega 255) definitsiooni. Kehtiva määruse kohaselt avatakse selline konto rakendusasutustele, rakendusüksustele ja programmioperaatoritele vahendamiseks mõeldud toetuste laekumiseks. Muudatuse kohaselt avatakse selline konto üksnes rakendusasutustele. Kassalise teenindamise eeskirja § 7 täiendamine lõikega 3¹ Sõnumipõhise andmevahetuse aktiveerimise taotluse asutuse eest, kellele osutab teenust Riigi Tugiteenuste Keskus, esitab Riigi Tugiteenuste Keskus. E-riigikassasse on võimalik saata makseid ja saada teateid e-kontodel toimunud muutuste kohta sõnumipõhist andmevahetust kasutades. Sõnumipõhise andmevahetusega saavad asutused ja riigikassa vahetada infot infosüsteemide kaudu. Kassalise teenindamise eeskirja § 7 lõike 3 kohaselt tuleb asutuse juhil või tema volitatud isikul sõnumipõhise andmevahetuse kasutamiseks esitada riigikassale taotlus. Samas asutused, kellele osutab teenuseid Riigi Tugiteenuste Keskus, ei tegele ise maksetega, mistõttu vajab reguleerimist olukord, et asutuse asemel saaks võimaluse riigikassaga andmeid vahetada Riigi Tugiteenuste Keskus. Riigi Tugiteenuste Keskus (SAP raamatupidamisprogrammist) algatab makseid e-riigikassa teiste asutuste kontodelt, seega asutus ise ei saada teavet riigikassale, vaid seda teeb tema nimel Riigi Tugiteenuste Keskus, kellel on SAP ning on loonud võimaluse suhelda X-tee kaudu e- riigikassaga. Kassalise teenindamise eeskirja § 7 lõike 5 kehtetuks tunnistamine Säte tunnistatakse kehtetuks, kuna struktuuritoetuse riiklikust registrist edastatakse edaspidi maksed e-riigikassasse Riigi Tugiteenuste Keskuse kaudu. Kassalise teenindamise eeskirja § 15 lõike 5 punkti 3 kehtetuks tunnistamine Asutuse edastatud e-riigikassa sisene maksekorraldus teostatakse süsteemis maksel näidatud väärtuspäeval ning maksekorralduse edastamisel ajalist piirangut enam ei rakendata. Kassalise teenindamise eeskirja lisa 1 „Volikiri“ muutmine Eelnõuga uuendatakse lisa 1 ning kehtestatakse uus volikirja vorm. Kassalise teenindamise eeskirja lisa 3 „Taotlus“ muutmine Eelnõuga uuendatakse lisa 3 sõnumipõhise andmevahetuse kasutamise taotlemise vormi, kus kaasajastatakse andmevahetuse käivitamise tingimusi ja tehnilisi nõudeid. Kehtestatakse uus taotluse vorm. 3. Eelnõu vastavus Euroopa Liidu õigusele Eelnõuga viiakse Kassalise teenindamise eeskiri kooskõlla Euroopa Parlamendi ja nõukogu määrusega (EL) nr 2016/679 füüsiliste isikute kaitse kohta isikuandmete töötlemisel ja selliste andmete vaba liikumise ning direktiivi 95/46/EÜ kehtetuks tunnistamise kohta (isikuandmete kaitse üldmäärus). 4. Eelnõu mõjud 4.1. Kassalise teenindamise eeskirja kooskõlla viimine Euroopa andmekaitse üldmäärusega Riigikassa töötleb isikuandmeid läbi e-riigikassa krediidiasutustest laekumiste vahendamisel ja asutuste makseid sooritades. Eelnõuga reguleeritakse e-riigikassa kaudu isikuandmete töötlemise õiguslikke aluseid. Eelnõuga täpsustatakse:  isikuandmete töötlemise eesmärki, milleks on maksete teostamine ja laekumiste vahendamine. Üldmääruse art 5 lõike 1 punkti b kohaselt tohib isikuandmeid koguda täpselt ja selgelt kindlaksmääratud ning õiguspärastel eesmärkidel;  töödeldavate isikuandmete koosseisu, milleks on ametnike ja töötajate teenistus- ning töösuhetest tulenevad töötasu, puhkusetasu ja muude tasude maksete andmed ning füüsilistele isikutele makstavate toetuste ja muude maksete andmed;  määruse tasandil volitatud töötleja tegevust e-riigikassas;  andmete säilitamise tähtaega, lähtudes sellest, kui kaua on andmete säilitamine vajalik seadusest tulenevate ülesannete täitmiseks. Mõju riigiasutuste korraldusele Sihtrühm I Riigikassa – volitatud töötleja. Sihtrühm II Asutused (riigiasutused ja eraõiguslikud juriidilised isikud, kelle kassalist teenindamist riigikassa riigieelarve seadusest tulenevalt korraldab) – vastutavad töötlejad. Sihtrühm I Mõju avaldumine ja hinnang mõju olulisusele Enamik isikuandmete töötlemist puudutavatest muudatustest on õiguslikku laadi (isikuandmete töötlemise eesmärgi, andmete koosseisu ja volitatud töötleja sätestamine jm), millega ei kaasne vajadust töökorralduslikeks ega tehnoloogilisteks muudatusteks. Erandiks on andmete säilitustähtaegu puudutavad muudatused – säilitustähtaja kehtestamine, mis nõuab andmete kustutamise funktsiooni lisamist. Volitatud töötleja peab koostöös oma IT-asutusega tagama, et säilitustähtaja möödumisel isikuandmed infosüsteemist kustutatakse. Infosüsteemide arendustööd, et viia andmetöötlus kooskõlla eelnõust tulenevate muudatustega toob kaasa kulud Rahandusministeeriumi valitsemisala eelarvele. Andmete kustutamise funktsionaalsus tuleb e-riigikassas arendada hiljemalt aastaks 2027 ning kulusummat ei ole võimalik hetkeseisuga prognoosida. Mõju ulatus on väike, see puudutab kassalisest teenindamisest vaid ühte osa – isikuandmete töötlemist. Sihtrühma suurus – sihtrühm on riigikassa osakonna töötajad, keda on 12, kuid isikuandmete kaitsega puutuvad kokku nendest kaheksa. Rahandusministeeriumis töötas seisuga 31.12.2018.a 415 inimest – seega on sihtrühm, arvestades Rahandusministeeriumis töötavaid isikuid, väike. Mõju avaldumise sagedus – tegemist ühekordse või harva mõjuga. Ebasoovitav risk kaasneb isikute andmekaitse üldmääruse ja isikuandmete kaitse seaduse rakendamisega – e-riigikassa infosüsteemi arendamine võtab aega. Sihtrühm II Mõju avaldumine ja hinnang mõju olulisusele Sihtrühma kuuluvad asutused kui vastutavad töötlejad. Volitatud töötlejat (riigikassa) puudutava isikuandmete andmekaitse regulatsiooni olemasolu annab kindluse vastutavale töötlejale ja suurendab volitatud töötleja usaldusväärsust. Tagatud on, et isikuandmete töötlemine toimub seaduslikult ja läbipaistvalt. Mõju ulatus on väike. See puudutab kassalisest teenindamisest ainult ühte osa – isikuandmete töötlemist. Sihtrühma suurus – riigikassa kassalisele teenindamisele kuuluvad kõik riigiasutused ning lisaks riigieelarve seaduse § 67 lõikes 1 nimetatud juriidilised isikud, kelleks on avalik- õiguslikud juriidilised isikud, riigi asutatud või riigi osalusega eraõiguslikud juriidilised isikud ja riigi haldusülesandeid täitvad eraõiguslikud juriidilised isikud. Seisuga 31.12.2018.a oli kassalisel teenindamisel 215 asutust (sh riigi poolt asutatud sihtasutused). Sama seisuga oli äriregistris kokku 233 297 asutust, sihtasutuste registris (v.a riigi asutatud) 752 asutust ning kohaliku omavalitsuste asutusi 2122. Seega on sihtrühm võrreldes registris registreeritud muude asutustega väike. Mõju avaldamise sagedus Tegemist on ühekordse või harva mõjuga. Ebasoovitav risk kaasneb isikute andmekaitse üldmääruse ja isikuandmete kaitse seaduse rakendamisega – e-riigikassa infosüsteemide arendamine võtab aega. 4.2. E-konto avamise või sulgemise avaldus e-kirja alusel. Muudatus lihtsustab asutuse tööprotsessi. 4.3. E-riigikassa kontode tulu varadelt (e-kontod algusega 220), tulu riigivara müügist (e- kontod algusega 230), üüri- ja renditulu, tulu õiguste, muude toodete ja teenuste müügist (e-konto algusega 240), toetused riigilt ja riigiasutustelt (e-konto algusega 258) ja sildfinantseerimise konto (e-konto algusega 900) kehtetuks tunnistamine. Muudatuse tõttu väheneb ametnike ja riigiasutustes töötavate töötajate töökoormus, kuna tulusid ei pea liigendama erinevate e-kontode alla, vaid vajadusel saab arvestust laekunud vahendite osas pidada e-konto liigil 280 „Muud tulud“. 5. Eelnõu rakendamisega seotud riigi tegevused, eeldatavad kulud ja tulud Eelnõuga suletakse e-riigikassa süsteemis mõned e-konto liigid ning infoturbe raames teostatakse perioodilisi e-riigikassa kasutajakontode kontrolli. Isikuandmete kaitse üldmääruses kehtestatud andmete kustutamise nõude rakendamise tõttu kaasnevad infosüsteemide arenduskulud Rahandusministeeriumile. Andmete kustutamise funktsionaalsus tuleb e-riigikassas arendada hiljemalt aastaks 2027 ning kulusummat ei ole võimalik hetkeseisuga prognoosida. 6. Määruse jõustumine Määrus jõustub üldises korras. 7. Määruse kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu esitatakse eelnõude infosüsteemi EIS kaudu kooskõlastamiseks ministeeriumidele, Riigikantseleile, Riigikontrollile, põhiseaduslikele institutsioonidele, Riigi Tugiteenuste Keskusele ja riigi poolt asutatud sihtasutustele.  Justiitsministeerium Meie 07.08.2019 nr 1.1-10/5037-1 [email protected] Eelnõu esitamine kooskõlastamiseks Austatud minister Esitame eelnõude infosüsteemi EIS (http://eelnõud.valitsus.ee/) kaudu kooskõlastamiseks ja arvamuse avaldamiseks rahandusministri 10. septembri 2014. a määruse nr 30 „Kassalise teenindamise eeskiri“ muutmine eelnõu. Lugupidamisega (allkirjastatud digitaalselt) Martin Helme rahandusminister Lisad: 1. Eelnõu 2. Seletuskiri 3. Määruse eelnõu lisa 1 4. Määruse eelnõu lisa 3 Marge Kaskpeit 611 3611 [email protected] Marge Kaljas 611 3817 [email protected] Suur-Ameerika 1 / 10122 Tallinn / 611 3558 / [email protected] / www.rahandusministeerium.ee registrikood 70000272 Lisaadressaadid: Majandus- ja Kommunikatsiooniministeerium Haridus- ja Teadusministeerium Kultuuriministeerium Maaeluministeerium Välisministeerium Keskkonnaministeerium Sotsiaalministeerium Kaitseministeerium Siseministeerium Riigikantselei Riigikontroll Vabariigi Presidendi kantselei Õiguskantsleri Kantselei Riigikohus E-riigikassas arveldavad sihtasutused Riigi Tugiteenuste Keskus 2  Rahandusministri 10.09.2014. a määrus nr 30 „Kassalise teenindamise eeskiri” Lisa 1 (muudetud sõnastuses) Asutus Reg. Nr Kuupäev Volikiri (asutuste nimed) E-riigikassa teenuseid on volitatud administreerima järgmine isik: Ees- ja perekonnanimi Isikukood Ametinimetus Telefon E-posti aadress Kinnitan esitatud andmete õigsust: Asutuse juht /Nimi, allkiri/ Rahandusministeeriumi märkmed: /Nimi/ /Allkiri/ /Kuupäev/  Rahandusministri 10.09.2014 määrus nr 30 „Kassalise teenindamise eeskiri” Lisa 3 (muudetud sõnastuses) Asutus Reg. nr Kuupäev Taotlus Taotlen sõnumipõhise andmevahetuse kasutamise õigust järgnevatele teenustele: Asutuse e-riigikassa kontod: Kõik Kontopõhine Maksekorralduste saatmine Teatiste saamine kontol toimunud muutustest (kõik kanded) Teatiste saamine kontol toimunud muutustest (ainult kreeditkanded) Teatiste saamine kontol toimunud muutustest (ainult deebetkanded) ISO formaat Riigikassa formaat Digitaalse allkirjastamissertifikaadi “Common Name” atribuudi väärtus X-tee alamsüsteemi täisnimi (kujul EE/liikme klass/registrikood/alamsüsteem) Nõustun sõnumipõhise andmevahetuse kasutamise tingimustega ning kinnitan esitatud andmete õigsust Asutuse juht /Nimi, allkiri/ Rahandusministeeriumi märkmed: /Nimi/ /Allkiri/ /Kuupäev/  SÕNUMIPÕHISE ANDMEVAHETUSE KASUTAMISE TINGIMUSED 1. Üldsätted 1.1. Sõnumipõhine andmevahetus (edaspidi andmevahetus) on asutuse ja riigikassa infosüsteemide vaheline info vahetamine, mille alusel riigikassa infosüsteem teavitab asutuste infosüsteeme riigikassas olevatel asutuse kontodel toimunud muutuste kohta ja võimaldab asutuste infosüsteemidel edastada makseid riigikassa infosüsteemi. 1.2. Andmevahetus võimaldab asutusel käsutada asutuse e-kontodel olevat raha asutuse arvutisse paigaldatud spetsiaalse tarkvara vahendusel, saata riigikassasse makseid ning saada riigikassast teateid e-kontodel toimunud muutuste kohta (edaspidi maksete saatmine ja teadete saamine koos teenused) alljärgnevate tingimuste kohaselt. 2. Tehnilised nõuded ja andmevahetuse käivitamine 2.1. Tehnilised nõuded andmevahetuse kasutamiseks vajalikele sidevahenditele: X-tee turvaserver (nõuded vastavalt X-tee turvaserveri paigaldusjuhendile); rakendusserver, mille parameetrid sõltuvad rakenduse realisatsioonist (soovitavalt 64-bitine Inteli, AMD või ühilduv mitmetuumaline protsessor; 4GB RAM või rohkem; 100Mbps võrgukaart või kiirem). 2.2. Asutus peab andmevahetuse kasutamiseks looma oma infosüsteemi X-tee teenuse(d) ja/või rakenduse, mille vahendusel on asutusel võimalik saada ühendust riigikassa X-tee teenustega. 2.3. Asutuse poolt loodud teenused peavad ühilduma etteantud tehnilise kirjeldusega (WSDL). 2.4. Enne toodangukeskkonnas andmevahetuse käivitamist peavad teenused olema riigikassa infosüsteemiga edukalt testitud. 2.5. Andmevahetuse kasutamiseks taotleb asutus riigikassalt selleks õiguse. Selleks: 2.5.1. Asutus esitab taotluse, milles määrab ära teenused e-kontode ja tehingu liikide lõikes. 2.5.1. Asutus märgib taotluses asutuse digitaalse allkirjastamissertifikaadi „Common Name“ atribuudi sisu ning X-tee alamsüsteemi täieliku nime (RIHA lühinimi ei ole piisav). 2.6. Riigikassa sisestab asutuse poolt taotluses märgitud turvaelemendid X-tee turvaserverisse ja oma infosüsteemi ning aktiveerib need. 3. Töökindluse tagamine 3.1. Andmevahetuse funktsioneerimiseks kohustuvad riigikassa ja asutus tagama nende kontrolli all olevate infosüsteemide töökindluse ja turvalisuse. 4. Identifitseerimine ja turvanõuded 4.1. Asutuse identifitseerimine riigikassa serveriga ühenduse loomisel toimub X-tee keskkonna vahendusel ja asutuse digitaalse allkirjastamissertifikaadi „Common Name“ atribuudi alusel. 4.2. Asutuse maksekorraldused edastatakse DigiDoc ümbrikus ja allkirjastatakse asutuse digitaalsete sertifikaatide alusel (edaspidi „Common Name“ atribuut ja asutuse allkirjastamissertifikaat koos turvaelemendid). 4.3. Asutus peab tagama, et andmevahetust teostavad ainult asutuse volitatud isikud. Asutuse volitatud esindajad peavad hoidma turvaelemente kolmandatele isikutele ligipääsmatus kohas ning ei tohi jäädvustada turvaelemente kolmandatele isikutele äratuntavalt ühelgi esemel. 4.4. Kui turvaelemendid on kaotatud või varastatud või saanud või võivad olla saanud teatavaks isikule, kes pole nende kasutamiseks õigustatud, on asutus kohustatud sellest viivitamatult teavitama riigikassat. Digitaalallkirja sertifikaadi puhul on asutus kohustatud eeltoodust teatama vastavale sertifitseerimisteenuse osutajale. 4.5. Riigikassa, saanud asutuselt punkti 4.4 kohase teate, blokeerib asutuse andmevahetuse kasutamise õiguse kuni turvaelementide asendamiseni või kuni asutus on andnud riigikassale aktsepteeritava korralduse andmevahetuse kasutamise õiguse taasavamiseks. 4.6. Riigikassal on õigus blokeerida asutuse andmevahetuse kasutamise õigus, kui riigikassale on teatavaks saanud asjaolu, millest lähtudes võib järeldada, et andmevahetuse kasutamise turvaelemendid on väljunud asutuse valdusest ning kasutatakse selleks õigustamata isiku poolt või tegemist on asutusepoolse pettusega. 5. Toimingute tegemine 5.1. Riigikassa poolt asutusele edastatud teated on asutusele kättesaadavad vähemalt 24 tunni jooksul, arvates teate edastamisest riigikassa serverilt. Infosüsteemi vigade korral toimub kordussaatmine sama perioodi jooksul. Vajadusel käivitab riigikassa administraator teadete kordusedastamise manuaalselt. Riigikassa edastab teated kokkulepitud formaadis. 5.2. Riigikassa täidab ainult need asutuse poolt andmevahetuse kaudu edastatud maksekorraldused, mis on DigiDoc formaadis ja allkirjastatud Riigikassa infosüsteemis toetatud sertifitseerimisasutuse poolt asutusele väljastatud asutuse sertifikaadiga. 5.3. Riigikassa täidab asutuse maksekorraldused riigikassas kehtiva korra ja tähtaegade kohaselt. 5.4. Riigikassa jäädvustab andmevahetuse kaudu toimunud sideseansid ja kasutab neid vajadusel toimingute tõendamiseks. 5.5. Riigikassa pärib saabunud DigiDoc formaadis toimingutele OSCP (Online Certificate Status Protocol) kehtivuskinnituse. Asutuse kehtetu allkirjastamise sertifikaadi korral toiminguid ei teostata. 5.6. Asutusel on õigus andmevahetuse kaudu tehtud õigustamatu toimingu, riigikassa poolt täitmata jäänud või puudulikult täidetud korralduse kohta esitada pretensioon 5 tööpäeva jooksul riigikassale vastava korralduse andmisest arvates. EISi teade Eelnõude infosüsteemis (EIS) on algatatud kooskõlastamine. Eelnõu toimik: RAM/19-0793 - Rahandusministri määruse „Rahandusministri 10. septembri 2014. a määruse nr 30 „Kassalise teenindamise eeskiri“ muutmine Kohustuslikud kooskõlastajad: Majandus- ja Kommunikatsiooniministeerium; Riigikantselei; Kaitseministeerium; Maaeluministeerium; Sotsiaalministeerium; Haridus- ja Teadusministeerium; Justiitsministeerium; Kultuuriministeerium; Siseministeerium; Keskkonnaministeerium; Välisministeerium Kooskõlastajad: Arvamuse andjad: Vabariigi Presidendi Kantselei; Riigikontroll; Riigikohus; Riigikogu Kantselei; Õiguskantsleri Kantselei Kooskõlastamise tähtaeg: 22.08.2019 23:59 Link eelnõu toimiku vaatele: https://eelnoud.valitsus.ee/main/mount/docList/1ee16635-afc9-46ae-8e98-badc9d0f2c09 Link kooskõlastamise etapile: https://eelnoud.valitsus.ee/main/mount/docList/1ee16635-afc9-46ae-8e98-badc9d0f2c09?activity=1 Eelnõude infosüsteem (EIS) http://eelnoud.valitsus.ee/main