Kiri

Kalev Pihl Teie 04.11.2019 nr 158 SK ID Solutions AS [email protected] Meie 29.11.2019 nr 1.15-5/2019/8926 Pärnu mnt 141 11314 Tallinn Vastuskiri SK ID Solutions AS pöördumisele Austatud Kalev Pihl Esitasite Rahandusministeeriumile ning Majandus- ja Kommunikatsiooniministeeriumile 04.11.2019 pöördumise seoses krediidi- ja finantseerimisasutuste poolt kvalifitseeritud Smart-ID kui hoolsusmeetme kohaldamisega rahapesu ja terrorismi rahastamise tõkestamise seaduse alusel. Soovisite Majandus- ja Kommunikatsiooniministeeriumi seisukohta küsimuses, kas siseriiklik e- identimise süsteem on samaväärne Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e- identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (edaspidi eIDAS määrus) artikli 9 alusel komisjonile teavitatud süsteemiga. Viitasite pöördumises, et kuivõrd e-identimise süsteemile usaldusväärsuse taseme määramisel võetakse nii siseriikliku hindamisprotsessi kui eIDAS artikli 9 alusel komisjonile teavitamisel igakordselt aluseks eIDAS määruses ja rakendusaktis sätestatud metoodika, on siseriiklikult hinnatud e-identimise vahend Teie hinnangul samaväärne komisjonile teavitatud süsteemiga. Sellest tulenevalt leidsite, et teie poolt pakutav Smart-ID e-identimise teenus kui siseriiklikult kõrge usaldusväärsuse tasemega süsteem vastab sisuliselt sama usaldusväärsuse tasemega vahendile, millest on komisjoni eIDAS määruse artikli 9 alusel teavitatud ja mis on kantud Euroopa Liidu Teatajas avaldatud nimekirja. Selgitame, et e-identimise süsteemide ja nende usaldusväärsuse tasemete kandmine Euroopa Liidu Teatajas avaldatavasse nimekirja ei toimu samasuguse protsessi alusel, nagu see toimub süsteemide siseriiklikul hindamisel. Täpsemalt tuleb selleks, et e-identimise süsteem Euroopa Liidu Teatajas avaldataks, läbida riikidel määrusele vastav teavitamise protsess, esitades komisjonile teabe järgmiste asjaolude kohta: a) e-identimise süsteemi kirjeldus, kaasa arvatud selle usaldusväärsuse tase ja sellesse süsteemi kuuluvate e-identimise vahendite väljastaja(d); b) kohaldatav järelevalvekord, e-identimise vahendit väljastav osaline ning autentimismenetlust läbiviiv osaline; c) teavitatud e-identimise süsteemi eest vastutav asutus või vastutavad asutused; Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158 d) teave ainulaadsete isikutuvastusandmete registreerimist haldava üksuse või haldavate üksuste kohta; e) kirjeldus, kuidas täidetakse eIDAS määruse artikli 12 lõikes 8 osutatud rakendusaktis sätestatud nõuded; f) eIDAS määruse artikli 7 punktis f osutatud autentimise kirjeldus; g) teavitatud e-identimise süsteemi, autentimise või asjaomase ohustatud osa peatamise või tühistamise kord. Täiendavalt läbivad eIDAS artikkel 9 alusel komisjonile teavitatavad e-identimise süsteemid eIDAS artikli 12 (6) punkti c kohase liikmesriikide vahelise vastastikuse hindamise protsessi. Samuti vastutab teavitav liikmesriik eIDAS määruse artikli 11(1) alusel füüsilisele või juriidilisele isikule tahtlikult või ettevaatamatusest tekitatud kahju eest, mis tuleneb artikli 7 punktides d ja f sätestatud kohustuste täitmata jätmisest piiriüleses tehingus. SK ID Solutions AS poolt pakutavale Smart-ID teenusele omistati kõrge usaldusväärsuse tase Riigi Infosüsteemi Ameti poolt läbi viidud hankemenetluse (203612) käigus, võttes arvesse sellel konkreetsel ajahetkel Teie poolt esitatud andmeid. Samas puudub siseriiklikult hinnatud eraõiguslike e-identimise süsteemide puhul täna jätkusuutlik järelevalvekord ning vastastikuse hindamise protsess. Ühtlasi on erinevalt eraõiguslike süsteemide siseriikliku hindamise protsessist Euroopa Liidu Teatajas avaldatavas nimekirjas leiduvate e-identimise süsteemide puhul selgelt määratletud vastutus ja menetlusprotsess teavitatud usaldusväärsuse taseme säilitamiseks. Kuna siseriiklikult hinnatud eraõiguslike süsteemide puhul need asjaolud samal tasemel reguleeritud ei ole, leiame, et siseriikliku hindamise alusel omistatud usaldusväärsuse taset ei saa pidada võrdväärseks eIDAS määruse artikli 9 alusel teavitatud ja Euroopa Liidu Teatajas avaldatud e-identimise süsteemile omistatud usaldusväärsuse hinnanguga. Oleme Rahandusministeeriumile soovitanud RahaPTS § 31 lõike 6 alusel kehtestatavas määruses hoiduda tootepõhisest reguleerimisest. Soovime lisada, et Majandus- ja Kommunikatsiooniministeerium, Riigi Infosüsteemi Amet, Siseministeerium ning Politsei- ja Piirivalveamet on tänaseks alustanud elektroonilist identiteeti ja usaldusteenuseid puudutava õigusruumi korrastamisega. Selle käigus on otsustatud, et kõigi eraõiguslike e-identimise süsteemide hindamiseks tuleb luua jätkusuutlik regulatsioon. Samuti kavatseme peagi Euroopa Liidu tasemel käivituva eIDAS määruse läbivaatamise raames esitada ettepaneku e-identimise süsteeme puudutava järelevalve ühtlustamiseks. Elektroonilist isikutuvastamist ja usaldusteenuseid puudutava õigusruumi korrastamise järgselt on võimalik Teie poolt esitatud küsimuse taasavamine. Küll aga toetame juba täna Rahandusministeeriumi plaani RahaPTS § 31 muutmiseks selliselt, et e-identimise süsteem ei peaks juhul, kui sellele on siseriiklikult „kõrge“ usaldusväärsuse tase omistatud, tingimata olema kantud Euroopa Liidu Teatajas avaldatud nimekirja. Lugupidamisega (allkirjastatud digitaalselt) 2 (3) Siim Sikkut side ja riigi infosüsteemide asekantsler Sten Tikerpe 6397645 [email protected] 3 (3)