Pöördumine

Märten Ross Rahandusministeerium Suur-Ameerika 1 10122 Tallinn Meie: 04.11.2019 nr 158 [email protected] Koopia: Siim Sikkut, Majandus- ja Kommunikatsiooniministeerium, [email protected] Margus Noormaa, Riigi Infosüsteemi Amet, [email protected] Pöördumine seoses krediidi- ja finantseerimisasutuste poolt kvalifitseeritud Smart-ID kui hoolsusmeetme kohaldamisega Rahapesu ja terrorismi rahastamise tõkestamise seaduse alusel Rahapesu ja terrorismi rahastamise tõkestamise seadus (edaspidi RahaPTS) sätestab alused hoolsusmeetmete kohaldamiseks muuhulgas ärisuhte loomisel ja tehingu juhuti tegemisel. RahaPTS § 31 lõiked 1 ja 2 sätestavad, millistel juhtudel peab krediidi- ja finantseerimisasutus hoolsusmeetmena rakendama isikusamasuse tuvastamist ja andmete kontrollimist infotehnoloogiliste vahendite abil. RahaPTS § 31 lõige 3 ja § 14 lõike 8 ja § 31 lõike 6 alusel kehtestatud määruse “Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord” (edaspidi määrus) § 2 lõige 2 sätestavad, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatakse muuhulgas kõrge usaldusväärsuse tasemega e-identimise süsteemi, mis on kantud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (edaspidi eIDAS määrus) artikli 9 alusel Euroopa Liidu Teatajas avaldatud nimekirja. Täpsemalt öeldes sätestavad RahaPTS § 31 lõige 3 ning määruse § 2 lõige 2 muuhulgas, milliseid e-identimise vahendeid (edaspidi ka vahend) peab krediidi- ja finantseerimisasutus hoolsusmeetmena kohaldama isikusamasuse tuvastamiseks isikuga samas kohas viibimata ja näevad selleks ette vahendid, mis on võrdsustavad hoolsusmeetmete kohaldamisega samas kohas viibides ehk mis tagavad füüsilise kohalolekuga samaväärse usaldusväärsuse. Eelnevast tulenevalt võib järeldada, et seesuguse e-identimise vahendi alla liigitub mistahes vahend, mis tagab füüsilise kohalolekuga samaväärse usaldusväärsuse ning millele on määratud kõrge usaldusväärsuse tase, kuid mis ei ole tingimata eIDAS määruse artikli 9 alusel kantud Euroopa Liidu Teatajas avaldatud nimekirja. eIDAS määruse artikkel 8 lõige 1 sätestab, et e-identimise süsteemis (edaspidi ka süsteem), millest on teavitatud artikli 9 lõike 1 kohaselt, määratakse süsteemi raames väljastatud e-identimise vahenditele madal, märkimisväärne ja/või kõrge usaldusväärsuse tase. Artikkel 8 lõige 1 sätestab järelduvalt, et juhul kui liikmesriik otsustab Euroopa Komisjoni (edaspidi komisjon) e-identimise süsteemist SK ID Solutions AS • Pärnu mnt 141, 11314 Tallinn 610 1880 • [email protected] • sk.ee registrikood 10747013 teavitada, peab liikmesriik teavitamisele eelnevalt määrama antud süsteemi raames väljastatava vahendi usaldusväärsuse taseme ehk hindama, kas vahend vastab madala, märkimisväärse ja/või kõrge usaldusväärsusega tasemele. Seega ei ole eIDAS määruse kohaselt liikmesriik vaikimisi kohustatud e-identimise süsteemist komisjoni teavitama, vaid peab seda tegema juhul, kui soovib e-identimise vahendi tunnustamist teiste liikmesriikide poolt. Juhul, kui liikmesriik ei pea vajalikuks komisjoni süsteemist teavitada, võib liikmesriik määrata vahendile madala, märkimisväärse ja/või kõrge usaldusväärsuse taseme üksnes siseriiklikult, jättes süsteemist komisjoni teavitamata. Vastaval juhul ei kanna komisjon e-identimise süsteemi ka Euroopa Liidu Teatajas avaldatud nimekirja. E-identimise vahendi usaldusväärsuse tasemete määramisel on liikmesriik vastavalt eIDAS määruse artikkel 8 lõikele 3 kohustatud aluseks võtma komisjoni rakendusmääruse (EL) 2015/1502, 8. september 2015, millega kehtestatakse e-identimise vahendite usaldusväärsuse tasemete minimaalsed tehnilised kirjeldused ja menetlused vastavalt Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul) artikli 8 lõikele 3 (edaspidi rakendusakt). eIDAS määruse artikkel 9 lõige 1 sätestab teabe, mida peab liikmesriik e-identimise süsteemi kohta komisjonile edastama ning artikkel 9 lõike 3 kohaselt kannab komisjon teavitatud e-identimise süsteemi Euroopa Liidu Teatajas avaldatud nimekirja. eIDAS määrus ning rakendusakt ei erista, kas liikmesriik määrab e-identimise vahendi usaldusväärsuse taseme üksnes siseriiklikult või sellest teavitatakse e-identimise süsteemi raames ka komisjoni, millele järgneb süsteemi kandmine Euroopa Liidu Teatajas avaldatud nimekirja. Mõlematel juhtudel määrab liikmesriik vahendi usaldusväärsuse taseme ja teeb seda igakordselt eIDAS määruses ja rakendusaktis sätestatud metoodikat järgides. Seejuures ei mõjuta e-identimise süsteemi Euroopa Liidu Teatajas avaldatud nimekirja kandmine või kandmata jätmine antud süsteemi raames väljastatavale vahendile määratud usaldusväärsuse taset. Alates 2017. aastast kasutavad RahaPTS-i mõistes krediidi- ja finantseerimisasutused SK ID Solutions AS-i (edaspidi SK) poolt arendatud e-identimise vahendit kvalifitseeritud Smart-ID (edaspidi Smart-ID). Lähtudes eIDAS määruses ja rakendusaktis sätestatud metoodikast, on käesolevaks hetkeks Eesti riigi poolt Smart-ID-le määratud kõrge usaldusväärsuse tase. Smart-ID-le usaldusväärsuse taseme määramine leidis aset E-identimise ja e-tehingute usaldusteenuste seaduse § 2 lõikes 3 nimetatud järelevalveasutuse ehk Riigi Infosüsteemi Ameti (edaspidi RIA) poolt Smart-ID teenuse hankimisele suunatud riigihankes nr 203612. Sealjuures ei ole Eesti riik eIDAS määruse artikkel 9 lõike 1 kohaselt teavitanud komisjoni e-identimise süsteemist, mille raames väljastatakse Smart-ID-d ja sellest tulenevalt ei ole Smart-ID ka kantud Euroopa Liidu Teatajas avaldatud nimekirja. Teisiti öeldes on Smart-ID tunnistatud kõrge usaldusväärsuse tasemega vahendiks üksnes Eestis. SK-le teadaolevalt ei plaani Eesti riik teavitada komisjoni e-identimise süsteemist, mille raames väljastatakse Smart-ID-d kui kõrge usaldusväärsuse tasemega vahendit. Mitteteavitamine ei mõjuta Smart-ID-le omistatud kõrget usaldusväärsuse taset, vaid on pigem seotud kohustustega, mis Eesti riigile eIDAS määruse kohaselt teavitamise korral tekiksid. Kuivõrd Eesti riik ei ole komisjoni teavitanud süsteemist, mille raames väljastatakse Smart-ID-d ja Smart-ID ei ole kantud Euroopa Liidu teatajas avaldatud nimekirja, ei ole krediidi- ja finantseerimisasutustel RahaPTS § 31 lõike 3 ja määruse § 2 lõike 2 alusel lubatud kasutada Smart-ID-d SK ID Solutions AS • Pärnu mnt 141, 11314 Tallinn 610 1880 • [email protected] • sk.ee registrikood 10747013 hoolsusmeetmena isikusamasuse tuvastamiseks isikuga samas kohas viibimata. SK on aga seisukohal, et kuivõrd e-identimise vahendile usaldusväärsuse taseme määramisel nii siseriiklikult kui komisjonile teavitades (ja sellest tulenevalt ka Euroopa Liidu Teatajas avaldatud nimekirja kandmisel) võetakse igakordselt aluseks eIDAS määruses ja rakendusaktis sätestatud metoodika, on siseriiklikult hinnatud e-identimise vahend samaväärne komisjonile teavitatud vahendiga. Seetõttu leiame, et Smart-ID kui kõrge usaldusväärsuse tasemega vahend vastab sisuliselt sama usaldusväärsuse tasemega vahendile, millest on komisjoni süsteemi raames teavitatud ja mis on kantud Euroopa Liidu Teatajas avaldatud nimekirja. Leiame, et krediidi- ja finantseerimisasutustele peaks olema võimaldatud Smart-ID kasutamine hoolsusmeetmena isikusamasuse tuvastamiseks ja palume Rahandusministeeriumi ning Majandus- ja Kommunikatsiooniministeeriumi seisukohta, kas siseriiklik e-identimise süsteem on samaväärne komisjonile teavitatud süsteemiga. Lugupidamisega /allkirjastatud elektrooniliselt/ Kalev Pihl juhatuse liige Kristel Rünnimeri 610 1880; [email protected] SK ID Solutions AS • Pärnu mnt 141, 11314 Tallinn 610 1880 • [email protected] • sk.ee registrikood 10747013 Saatja: Keit Pillak <[email protected]> Saadetud: 06.11.2019 12:08 Adressaat: RAM Info <[email protected]> Teema: Pöördumine Manused: 158_SK_Poordumine_Rahandusministeerium.asice