E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seadus

Riigikantselei Meie 19.08.2026 nr 8-1/5650-7 E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seadus Esitame e-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu Vabariigi Valitsuse istungile. Palume määrata eelnõu 27.08.2026 istungile. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisa: 1. eelnõu; 2. seletuskiri; 3. rakendusakti kavand; 4. kaasamistabel; 5. vastavustabel. Mait Heidelberg [email protected] Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898  E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu seletuskirja juurde Lisa 3 Eelnõu kooskõlastustabel E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu kooskõlastustabel ID Asutus Asutuse kommentaar/tagasiside JDM seisukoht 1. Sise- Eelnõu § 1 punktiga 5 muudetakse e-identimise ja e-tehingute Arvestatud, seletuskirja täiendatud. Selgitame ministeerium usaldusteenuste seaduse (edaspidi EUTS) § 3 lõiget 2, mille kohaselt täiendavalt, et pädeva asutuse roll tuleneb võib pädev asutus korraldada usaldusteenuse infrastruktuuri loomise, EIDAS2 määruses liikmesriigile määratud haldamise ja ajakohastamise vastavalt Euroopa Parlamendi ja nõukogu erinevate kohustuste täitmisest. Selgitame määruse (EL) nr 910/2014 artikli 46b lõikele 5. Eelnõu seletuskirja täiendavalt, et seaduses sätestatakse üldised punktides 6 ja 6.6 on mainitud, et Riigi Infosüsteemi Amet (edaspidi rollid. Digikukru detailsem rollijaotus on läbi RIA) teostab järelevalvet ning korraldab Euroopa digiidentiteedikukru räägitud ja kokku lepitud töörühma tasandil (nt (edaspidi digikukkur) hankemenetluse. Leiame, et antud kontekstis digiidentiteedi juhtrühmas mh 19.06.2024 ja võib termin „pädev asutus“ olla liiga lai, mistõttu palume eelnõus 16.07.2024). täpsustada või seletuskirjas avada pädeva asutuse rollide lahususe temaatika, arvestades, et RIA, kui pädeva asutuse roll on olla digikukru teenusepakkuja üle järelevalvet teostav sõltumatu asutus, kes samas korraldab digikukru hanget ja haldab selle infrastruktuuri. Ühtlasi palume välja tuua, kuidas suhestub antud regulatsiooniga PPA roll, kes korraldab usaldusteenuse hankeid isikut tõendavate dokumentide (ID- 1 dokumendid) väljaandmise kontekstis. 2. Eelnõu § 1 punktiga 6 lisatava § 3¹ kohaselt luuakse Arvestatud. Seletuskirja täiendatud digiidentiteedikukrule tuginevate isikute register, kuhu selgitusega, et kõik need, kes peavad registreeritakse Eestis asutatud isikud, kes kavatsevad tugineda digikukrut oma e-identimist nõudvates e- Euroopa digiidentiteedikukrule avalike või erateenuste osutamiseks. teenustes aktsepteerima, peavad end Seletuskirja punktis 6.3 on märgitud, et kõik digikukrule tugineda registreerima digikukrule tuginevate isikute 1  soovivad ettevõtjad peavad end registreerima kukrule tuginevate riiklikus registris See hõlmab ka avaliku isikute riiklikus registris, kuid avaliku sektori asutuste, sealhulgas sektori asutusi, sealhulgas kohaliku kohaliku omavalitsuse üksuste ja riigiasutuste registreerimise omavalitsuse üksuseid ja riigiasutusi. praktiline korraldus ei ole sama selgelt kirjeldatud. Samas tuleneb seletuskirja punktist 6.6, et avaliku sektori asutused peavad Tänane kavatsus on TARA tänased kliendid digikukrut oma e-identimist nõudvates e-teenustes aktsepteerima ning registreerida ühekordselt võimalikult lihtsalt valdavalt toimuks see TARA kaudu. Palume seletuskirjas täpsustada, RP registrisse, et avaliku sektori asutustel kas ja millisel juhul peab avaliku sektori asutus, kohaliku omavalitsuse üksus või Regionaal- ja Põllumajandusministeeriumi oleks sellega seotud võimalikult väike valitsemisala asutus end iseseisvalt registreerima kukrule tugineva halduskoormus. isikuna või kas TARA kui keskse autentimisteenuse kasutamisel toimub registreerimine keskse vahendaja kaudu. Samuti palume selgitada, kuidas kajastatakse registris vahendaja kasutamist ja vahendussuhet olukorras, kus avaliku sektori teenuse osutaja kasutab autentimiseks riigi keskset autentimisteenust. Selline täpsustus on vajalik, et avaliku sektori asutustel ja kohaliku omavalitsuse üksustel oleks õigel ajal selge, millised registreerimis-, teavitamis- ja andmete ajakohastamise kohustused neile digikukru kasutuselevõtuga kaasnevad. 3. Eelnõu § 1 punktiga 7 täiendatakse seadust §-ga 41, milles Selgitame, et erinevus usaldusteenuse osutaja kehtestatakse turvaintsidentide teavitamise regulatsioon. Selle lõike 1 ja kvalifitseeritud usaldusteenuse osutaja vahel kohaselt teavitab digikukru pakkuja või usaldusteenuse osutaja tuleneb eIDASest ja ei vaja seetõttu EUTSis pädevat asutust viivitamata turvaintsidendist, mis oluliselt mõjutab dubleerimist. Kuna usaldusteenuse või võib mõjutada usaldusteenuse, digikukru või selle kaudu kvalifitseerituse staatust eelnõu ei täpsusta, on osutatava teenuse turvalisust, töökindlust või usaldusväärsust. EUTS- intsidentidest teavitamise kohustus nii is on kasutusel terminid „usaldusteenuse osutaja“ ja „kvalifitseeritud kvalifitseeritud, kui ka kvalifitseerimata usaldusteenuse osutaja“, mille erisust ei ole välja toodud. Palume usaldusteenuse osutajatel. Täpsustame, et kontrollida, kas digikukru puhul peaks kasutama mõistet digikukru pakkuja ei ole usaldusteenuse „kvalifitseeritud usaldusteenuse osutaja“. pakkuja eIDAS tähenduses. 4. EUTS § 5 lõige 3 kohaselt dokumenteerib kvalifitseeritud Arvestatud, tegevuslogide säilitamise tähtaeg usaldusteenuse osutaja usaldusteenuse osutamisel tehtud toimingud EUTS § 5 lõikes 3 muudetud 12 aastale. ning säilitab sellekohast tegevuslogi kümme aastat kirje loomisest 2  arvates. PPA soovib juhtida tähelepanu, et 2026. aasta kevadel läbi viidud eIDAS auditi raames andis audiitor hinnangu, et eIDAS määruse ja rahvusvahelise ETSI standardi[1] kohaselt peavad logid ja tõendid sertifikaatide kasutustingimustega nõustumise kinnituse kohta olema kättesaadavad kuni 12 aastat. Kvalifitseeritud sertifikaadi maksimaalne kehtivusaeg on kuni 5 aastat ja ETSI standardi kohaselt tuleb sertifikaatidega seotud sündmusi logida vähemalt 7 aastat pärast sertifikaadi kehtivuse lõppu. Tsiviilseadustiku üldosa seaduse (TsÜS § 146 lg 4) kohaselt on tahtliku rikkumise korral nõuete aegumistähtaeg kümme aastat. Kuna vaidlused võivad tekkida vahetult enne ja selle tähtaja piiril ning neile lisandub menetlusaeg, tagab 12 aastane logide puhver selle, et vajalikud tõendid ja logid (sertifikaatide kehtivusajad, sertifikaatide kasutustingimuste logid) on kohtuvaidluste tarbeks kättesaadavad. [1] ETSI EN 319 411-1 (OVR-6.4.6-01 ja REG-6.3.4-17) 5. Eelnõu § 1 punktidega 8–13 muudetakse EUTS paragrahvi 5, milles Selgitame, et olukorras kus EL tasandil on reguleeritakse nõuded kvalifitseeritud usaldusteenuse osutajale, digikukru ökosüsteem alles arenemas, ei usaldusteenuse osutamisele, digikukru pakkujale ja digikukru peetud veel võimalikuks nende küsimuste pakkumisele. Eelnõu seletuskirja kohaselt on digikukkur täiendav sätestamist õigusaktides sellises detailsuses. riiklik isikutuvastusvahend ID-kaardi ja teiste kehtivate eID Ka tulevikus kirjeldatakse enamus nendest vahendite kõrval. Riiklike isikut tõendavate dokumentide ja eID küsimustes hanketingimustes ja/või teenuse vahendite puhul on nende väljaandmise (sh taotlemine, väljastamine) poliitikas. Samas nõustume põhimõtteliselt ja kehtetuks tunnistamise põhimõtted ning kehtivusaeg õigusaktides selguse olulisusega ning ei välista tulevikus ka reguleeritud. Digikukrule ei ole eelnõuga vastavat regulatsiooni ette õigusmuudatuste vajalikkust. nähtud ja inimestele ning digikurku pakkujale võib jääda selgusetuks, millised tingimused peavad olema digikukru puhul täidetud. Vastav regulatsioon, sh digikukru kehtivusaeg ei ole sätestatud ka eIDAS määruses. Digikukru pakkuja peaks teadma, kui kaua ta vastutab oma teenuse eest ja samuti on kasutajal oluline teada, mis tingimustel talle 3  kukkur antakse. Samuti võiks olla õiguslikult reguleeritud, kas lapsevanem või eestkostja saab digikukru taotleda lapse või eestkostetava eest, kas digikukru saamisele kehtib vanusepiirang, mis on digikukru andmisest keeldumise alused, millal tunnistatakse digikukkur kehtetuks jne. Vastav regulatsioon tagaks õigusselguse, läbipaistvuse ja ka digikukru pakkumise järjepidevuse, mistõttu teeme ettepaneku kehtestada see siseriiklikus õiguses. 6. EUTS § 5 lõige 5 kohaselt tuvastab kvalifitseeritud usaldusteenuse Selgitame, et tänase arusaama kohaselt ei osutaja enne kvalifitseeritud sertifikaadi väljastamist isikusamasuse hakka PPA ise QEAA-ks. Küll aga hakkab Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 artikli 24 Siseministeeriumi valitsemisala autentseks lõike (1a) alusel. Sama lõike punkti (d) puhul, kontrollib seda isikut allika pakkujaks mõnede registrite osas (nt tõendavate dokumentide seaduse (edaspidi ITDS) § 2 lõikes 2 rahvastikuregister, ITDAK). Nõuded QEAA- nimetatud dokumendi, välisriigis väljastatud kehtiva reisidokumendi dele on eIDASes ja rakendusaktides sätestatud või isikut tõendavate dokumentide seaduse § 4 lõikes 1 sätestatud ning on otsekohalduvad (ehk nende alusel saab tingimustele vastava muu dokumendi alusel ning kontrollib esitatud ka järelevalvet teostada). Klientidega teabe usaldusväärsust. Teeme ettepaneku parema arusaadavuse lepinguid sõlmides saab nendes katkestustega huvides määratleda, kas isikut tõendava dokumendi väljaandjal seotud kohustusi kirja panna. Riigi seisukohalt (PPA-l) on digikukru raames õiguslik kohustus väljastada ei saa meie hinnangul sellisele teenusele kvalifitseeritud elektroonilisi atribuutide kinnitusi (QEAA), mis on sätestada toimepidevuse nõudeid, kui tegu kinnitatud ametliku elektroonilise pitseriga. Lisaks oleks oluline pole elutähtsa teenusega. selgelt defineerida väljaandja vastutuse ulatus seoses võimalike süsteemitõrgetega, sealhulgas ekslike isikuandmete edastamise, kehtivuse ja kehtetuks tunnistamise staatuse teenuste ajutise või püsiva kättesaamise osas ning osapooli mõjutavate tehniliste katkestuste korral. Volituse ja vastutuspiiride selgesõnaline määratlemine tagab õiguskindluse, selgitades paremini ka riigi vastutust andmete õigsuse ja teenuse kättesaadavuse eest ning maandab võimalikest tehnilistest tõrgetest või andmeedastushäiretest tulenevaid riske. 7. EUTS §-i 5 lisatakse lõige 11, mille kohaselt kannab digikukru Arvestatud, seletuskirja täiendatud. pakkuja digikukrusse lisaks rakendusmääruses (EL) 2024/2977 Digikukru skoobis on ainult Eesti isikukoodi nõutud kohustuslikele isikutuvastusandmetele ka digikukru kasutaja omavad residendid, sh e-residendite toetamist 4  isikukoodi. Palume eelnõus täpsustada, kas digikukrusse kantakse hetkel ei ole planeeritud. Eestis planeeritakse Eesti isikukood või võib see olla ka mõne muu riigi isikukood. kukrut pakkuda Eesti kodanikele ja Seletuskirjas on viidatud Eesti isikukoodile. Kuna isikukood ei ole residentidele, kuid mitte e-residentidele. kohustuslik andmeväli ja teiste riikide digikukrud ei pruugi isikukoodi sisaldada, siis kuidas sellise digikukruga Eesti teenustes isikuid tuvastatakse. Ka eelnõu seletuskirjas on öeldud, et kodanikud saavad võimaluse kasutada üleeuroopalist digiidentiteeti, mis isikukoodi abil sobitub Eesti e-teenustega. Palume isikukoodidega seonduvat seletuskirjas põhjalikumalt selgitada. Eelnõu seletuskirjas (vt eelpool toodud viidet) mainitakse läbivalt kodanikke. Palume täpsustada, kas kodanike all mõeldakse Eesti kodanikke või laiemalt eraisikuid. 8. EUTS §-i 5 lisatakse lõige 12, mis sätestab digikukru pakkuja õiguse Selgitame, et andmetöötluseks on kavandatud, teha isikutuvastusandmete digikukrusse kandmiseks ja nende et digikukru pakkuja sõlmib lepingu ajakohasuse tagamiseks päringuid isikut tõendavate dokumentide andmeandjaga, kellega lepitakse kokku täpsed andmekogusse (edaspidi ITDAK) ja rahvastikuregistrisse. reeglid. Andmetöötlus toimub analoogiana ID- Seletuskirjast ei selgu, milline isikuandmete töötlemise regulatsioon kaardi ning mobiil-ID-ga, kus erasektori päringuga saadud isikuandmete osas pakkujale kohaldub, kas teenusepakkuja töötleb isikuandmeid riigi pakkujal on kohustus päringuga saadud andmed koheselt peale tellimusel teenuse pakkumiseks. isikustamist kustutada või säilitatakse neid andmeid pakkuja poolt mingi perioodi jooksul. Palume hinnata, kas pakkuja poolset 1. ITDAK-st on planeeritud küsida teatud isikuandmete säilitamist tuleks reguleerida õigusaktis või piisab juhtudel isiku pilti. Õiguslik alus pildi lepingus seatud kohustusest. Samuti palume selgitada isikuandmete töötlemiseks on andmetöötlusleping digikukru ajakohasuse tagamise protsessi digikukru kasutamise vältel. Näiteks, pakkuja ja andmeandja vahel ning EL millise ajaraami jooksul peab nime muutumise korral digikukru komisjoni rakendusmääruse (EL) 2026/1731 kasutaja isikuandmete ajakohasus tagatud olema, kelle kohustus see tabel 1 kooskõlas IKÜM Art 6 lg 1 p b-ga. on ning kas selle täitmata jätmisel tunnistatakse digikukkur kehtetuks? Isikuandmete töötlemise põhimõtetest tulenevalt leiame, 2. Rahvastikuregistrist on planeeritud küsida et eelnõus või vähemalt seletuskirjas peaks olema välja toodud, teisi EL rakendusmääruse 2026/1731 tabel 1-s milliseid isikuandmeid digikukru andmiseks töödeldakse ja riiklikest loetletud isikuandmeid. Õiguslik alus on andmekogudest küsitakse ning milline on nende andmete kasutamise andmetöötlusleping ning RRS § 46 lg 2 p 2 õiguslik alus. Palume välja tuua nii siseriiklikud kui ka Euroopa Liidu kooskõlas IKÜM Art 6 lg 1 punktidega b ja c. 5  õigusaktidest tulenevad alused ja täpne andmekoosseis. Seletuskirja kohaselt tuleneb rahvastikuregistrisse päringu tegemise vajadus digikukru kohustuslikust andmeväljast, milleks on sünnikoht. Samas Selgitame täiendavalt, et kukru kasutamine on ei ole välja toodud muid kohustuslikke andmeid, millest tulenevalt isikule vabatahtlik ning andmetöötlus toimub tekib samuti andmevahetusvajadus riiklike andmekogudega. Samuti igakordselt tema algatusel. Lisaks kohustab palume lisada põhjenduse, mis eesmärgil on vaja teha päringuid EIDAS2 määrus kukrupakkujat võimaldama ITDAK-isse ja lisada seletuskirja mõjude peatükki ka ITDAK-ile kasutajal valida, milliseid andmevälju ta kaasnev mõju. ITDAK-i päringute mahu kasv omab olulist mõju soovib jagada e-teenusega. ITDAK-i toimepidavusele tekitades täiendava koormuse. ITDAK-i töökindluse tagamine on riigi vaatest äärmiselt oluline, kuna ITDAK- Päringute mahud mõlemasse andmekogusse i peamine eesmärk on avaliku korra ja riigi julgeoleku tagamine on veel selgumisel. Lisaks selgitame, et isikute tuvastamisel ja isikusamasuse kontrollimisel ning isikut andmepäringud nii ITDAk-isse kui RR-i on tõendavate dokumentide väljaandmise teenuse tagamine. Selle mõeldud ühekordsena PIDi väljastamisel ning tagamiseks võib ITDAK-i vastutav töötleja ITDAK-i põhimääruse § salvestuvad digikukrusse isiku enda seadmes. 152 lõige 6 kohaselt piirata kolmandatele isikutele andmetele Pildi edasisel kasutamisel võetakse pilt juurdepääsu mahus, mis ei takista vastutavale töötlejale pandud seadmest ning sellega ei kaasne koormust ülesannete täitmist. ITDAK-ile. Lisaks teadvustame ITDAK-i põhimääruse § 152 lõiget 6. 9. Eelnõu § 1 punktiga 16 täiendatakse EUTS paragrahvi 6 lõikega 5, Selgitame, et üldine põhimõte on sama mis mis sätestab, et digikukru pakkumise luba kehtib kuni viis aastat. usaldusteenuse osutajate puhul. Loa lõppemise Palume selgitada kuidas mõjutab loa kehtivusaja lõppemine selle ajaks peab olema uus kehtiv luba ja seejärel kehtivusajal välja antud digikukrute kasutamist. kehtivad väljastatud kukrud edasi. Kui mingil põhjusel uut luba ei väljastata, tunnistatakse kõik väljastatud kukrud kehtetuks. 10. Eelnõu § 1 punktiga 36 täiendatakse EUTS § 19 lõiget 2 punktiga 4, Arvestatud, eelnõu § 1 punkti 36 (lisaks mille kohaselt tunnistab usaldusteenuse osutaja sertifikaadi kehtetuks, samadele sätetele viitavat punkti 38 muudetud kui seda taotleb isikut tõendavate dokumentide väljaandja ITDS § 2 selliselt, et viidatakse ITDS § 2 lõike 2 lõikes 2 nimetatud dokumendile kantud sertifikaatide osas ja samas punktidele 1 – 12. seaduses sätestatud alustel. Viidatud ITDS-i sättes on loetletud ka isikut tõendavad dokumendid, millele kõnesolev EUTS-i regulatsioon ei peaks kohalduma (reisidokumendid). Palume sätet täpsustada, et see viitaks üksnes ID-1 formaadis dokumentidele, millele EUTS 6  kohaldub. Nendeks on ITDS § 2 lõige 2 punktides 1-12 nimetatud dokumendid. Palume eelnõu sellest tähelepanekust tulenevalt läbivalt üle vaadata. 11. Eelnõu § 1 punktiga 38 muudetakse paragrahvi 19 lõiget 5, millega Arvestatud. Seletuskirja täiendatud, et lisatakse usaldusteenuse osutajale kohustus teavitada enne ITDS § 2 mõeldud on isikusertifikaate, mitte juur- ega lõikes 2 nimetatud dokumendile kantud sertifikaadi kehtetuks vahesertifikaate. Eesmärk on tagada, et tunnistamist sellest isikut tõendava dokumendi väljaandjat. Palume dokumendi väljaandja saaks teha omapoolsed seletuskirjas täpsustada, milliseid dokumendile kantud sertifikaate sammud sertifikaatide kehtetuks tunnistamise (vahe- ja juursertifikaate või isikusertifikaate) antud sättes korral (nt on dokument varastatud ja sellest käsitletakse, mis on selle teavitamise eesmärk. Kas väljaandja antakse teada usaldusteenuse osutajale ja ka teavitamise all on mõeldud CRL teenust, kus info on kättesaadav või füüsiline dokument tuleb kehtetuks ligipääsu usaldusteenuse osutaja sertifikaatide andmetele? tunnistada). Teavitamine võib toimuda ka Isikusertifikaatide kehtetuks tunnistamisest teavitab usaldusteenuse tehniliste lahenduste kaudu. Tähtaja all on osutaja dokumendi kasutajat, mitte selle väljaandjat. Termin „eelnev mõeldud mõistlikku aega, täpse tähtaja teavitamine“ või „enne kehtetuks tunnistamist teavitamine“ ei loo sätestamist ei peetud eelnõu koostamisel osapooltele õigusselgust, mis tähtaja jooksul enne kehtetuks vajalikuks. tunnistamist tuleb teavitus saata, kas vahetult enne või tuleb jätta sinna vahele ajaline lõtk ning kas dokumendi väljaandjal võib tekkida selles osas vaidlustusõigus või võiks teavitamine toimuda ka kehtetuks tunnistamisel/selle järgselt (viivitamata)? 12. EUTS § 20 lõige 5 sätestab, et usaldusteenuse osutaja teavitab Selgitame, et antud küsimust eelnõu ei käsitle. sertifikaadi kehtetuks tunnistamisest viivitamata sertifikaadi omajat. Praktikas pöördub pärija surmatunnistuse ja Käesoleva seaduse § 19 lõike 4 punktis 4 nimetatud juhul teavitab pärimistõendiga usaldusteenuse osutaja poole usaldusteenuse osutaja sertifikaadi kehtetuks tunnistamisest pärijat ning palub usaldusteenuse konto kehtetuks või surnuks tunnistamist taotlenud huvitatud isikut. Palume selgitada, tunnistada. kuidas usaldusteenuse osutaja teab, kes on pärija või huvitatud isik. 13. Eelnõu terminoloogia EUTS-is kasutatakse läbivalt terminit Selgitame, et nõustume põhimõtteliselt "sertifikaadi omaja", samas kui usaldusteenuse dokumentatsioonis mõistete ühtsuse kasulikkusega ning eelistame (ID-1 dokumentide vaates) on kasutusel termin "sertifikaadi omanik". lahendust, kus usaldusteenuse dokumentatsioon viiakse kooskõlla seaduse Mõisted on küll samatähenduslikud, kuid õigusselguse huvides võiks mõistetega. valdkondliku terminoloogia kasutamine olla ühetaoline ning võiks 7  otsustada, millist terminit eelistada tehes vastavad muudatused kas eelnõuga või usaldusteenuse dokumentatsioonis. 14. Eelnõu §-iga 3 muudetakse karistusseadustiku § 350, mille kohaselt Selgitame, et eelnõu koostamisel on lähtutud sätestatakse edaspidi tähtsa isikliku dokumendina ka e-identimise ja EIDAS2 määruse ametlikust eestikeelsest e-tehingute usaldusteenuste seaduse § 211 hindamise positiivselt tõlkest. läbinud e-identimise süsteemi e-identimise vahend ja digikukkur. ITDS-i muutmise EN (905 SE) kooskõlastamisel andis JDM soovituse kasutada terminit e identimisvahend, selgitades et kui kasutada tegusõna identima, saab loomulikumalt moodustada sõnaühendi või liitsõna: elektrooniliselt ehk e-identima > elektroonilise ehk e identimise vahend > e-identimisvahend. Soovitame selguse huvides ka siin kasutada sama terminit. 15. Rakendusaktid Hädaolukorra seaduse (edaspidi HOS) § 36 lõige 1 Selgitame, et nõustume põhimõttega, kuid punkti 8 kohaselt on elektrooniline isikutuvastamine ja digitaalne antud küsimus pole selle eelnõu käsitlusalas. allkirjastamine elutähtis teenus. HOS-i alusel kehtestatud määruse[1] kohaselt on elutähtsaks teenuseks elektrooniline isikutuvastamine ja digitaalne allkirjastamine isikut tõendavate dokumentide seaduse alusel välja antud dokumentidega elektroonilises keskkonnas isiku tõendamiseks, isikusamasuse kontrollimiseks ja digitaalallkirja andmiseks vajalike sertifikaatide kehtivusinfo kättesaadavuse tagamine isikut tõendavate dokumentide seaduse § 94 lõikes 31 nimetatud sertifitseerimisteenuse osutaja poolt. Leiame, et elutähtsa teenuse regulatsioon peaks laienema ka digikukrule, kuna tegemist on uue paralleelse riikliku eID vahendiga, mille kasutusele võtmine ja elutähtsa teenusena defineerimine aitab tõsta kriisideks valmisolekut ja e-riigi kerksust. [1] Elutähtsa teenuse kirjeldus ja toimepidevuse nõuded elektroonilise isikutuvastamise ja digitaalse allkirjastamise tagamisel-Riigi Teataja 8 16. Regionaal- ja Palume täiendavalt hinnata ja vajaduse korral täpsustada eelnõu § 1 Osaliselt arvestatud. Eelnõus andmetöötlust Põllumajand punktiga 6 lisatava e identimise ja e-tehingute usaldusteenuste reguleerivasse §-i 31 lisatud uus lõige (5), mis usministeeriu seaduse § 3¹ lõikes 1 sätestatud avalikustamise ulatust. Komisjoni täpsustab registrisse kantava teabe m rakendusmääruse (EL) 2025/848 artikli 3 lõike 4 kohaselt tuleb avalikustamise ulatust. Teabepiirangut registreeringut omavate kukrule tuginevate isikute kohta teha vaikimisi eeldusena ei võimalda ette näha internetis avalikult kättesaadavaks nimetatud määruse I lisas loetletud AvTS § 3 lõikes 2 viidatud avalikkuse teave inim- ja masinloetaval kujul. Eelnõu § 3¹ lõike 1 sõnastus, mille põhimõte, mille järgi võib avalikule teabele kohaselt tehakse avalikult kättesaadavaks „nende kohta esitatud juurdepääsu piirata vaid seaduses sätestatud teave”, on tõlgendatav laiemalt kui rakendusmääruses nõutud korras. Sama põhimõte on sõnastatud ka avalikustamise ulatus ning hõlmata ka andmeid, mille avalikustamine eelnõus. Registri osas on tõenäolisemad näited ei tulene Euroopa Liidu õigusest või millele võib kohalduda selliseks teabepiiranguks teabe määramine juurdepääsupiirang, sealhulgas isikuandmed, ärisaladus või ärisaladuse kaitse (AvTS § 35 lg 1 p 17) turvalisusega seotud teave. Ka seletuskirja kohaselt tuleb näiteks tugineva isiku klientide registrisse põhimääruses eristada avalikustatav teave rakendusmääruse I lisa kandmisel ning eraelu kaitse (AvTS § 35 lg 1 kohaselt juurdepääsupiiranguga andmetest, kuid selline eristus ei p 12), näiteks (EL) 2025/848 artikli 3 lõike 4 nähtu eelnõu tekstist. Seetõttu palume kaaluda sätte täpsustamist alla mittekuuluvad isikuandmed. selliselt, et avalikult tehakse kättesaadavaks rakendusmääruse (EL) 2025/848 I lisas nimetatud teave ning muu teave üksnes juhul ja ulatuses, milles selle avalikustamiseks on selge õiguslik alus ja puudub juurdepääsupiirang. 17. Palume täpsustada ka eelnõu § 1 punktiga 6 lisatava e-identimise ja e- Arvestatud. Rakendusakti kavandisse lisatud tehingute usaldusteenuste seaduse § 3¹ lõiget 2, mille kohaselt Riigi eraldi paragrahv, “Andmete esitamise kord”. Infosüsteemi Amet kehtestab ja avalikustab oma veebilehel Selgitame, et andmete esitamine toimub registrisse teabe esitamiseks korra. Seletuskirja punktis 8 on märgitud, et registri põhimääruses sätestatakse muu hulgas andmete sarnaselt MTRi sisestatavate esitamise ja registreeringu menetlemise kord ning et majandustegevusteadetega, ehk andmete registreerimistaotluste esitamise tehniline kord tehakse esitamisel nende vastuvõtmisest ei keelduta. kättesaadavaks tuginevate isikute registri kaudu põhimääruses Küll võiks olla kirjas, mis aja jooksul RIA sätestatud korras. Eelnõu tekstist selline piirang siiski ei nähtu. Kui RIA veebilehel avaldatav kord reguleerib üksnes tehnilisi küsimusi, andmed üle vaatab ja vajadusel annab tähtaja nagu andmete esitamise vorming, kasutatavad kanalid, vormid või andmete parandamiseks/täiendamiseks. masinliidese tehniline kirjeldus, palume see seaduse tekstis selgelt Registreerimise tähtaega ega menetlemise 9  selliselt piiritleda. Kui aga kord puudutab isikute õigusi või tähtaega ei ole. Registreeringu tühistamise ja kohustusi, sealhulgas andmete esitamise tähtaegu, peatamise alus on EUTSi eelnõus juba registreerimistaotluse menetlemist, puuduste kõrvaldamist, olemas, seega seda määruses ei pea eraldi registreeringu tegemist, sellest keeldumist, muutmist, peatamist, tühistamist või registreeringu kehtivust, peab vastav regulatsioon sätestama. olema sätestatud seaduses või seaduse alusel antavas ministri määrusega kehtestatavas registri põhimääruses. Haldusorgani veebilehel avaldatava korraga ei saa kehtestada isikutele õigusi ja kohustusi mõjutavaid üldnorme 18. Täpsustamist vajab eelnõu § 3¹ lõigete 5 ja 6 sõnastus ning seletuskiri Arvestatud. Eelnõud ja seletuskirja täiendatud põhjenduste osas, milles käsitletakse registriandmete säilitamist. selliselt, et töödeldav teave eristatakse neljaks Komisjoni rakendusmääruse (EL) 2025/848 artikli 10 kohaselt grupiks: säilitavad registripidajad kümne aasta vältel teavet, mille kukrule tuginevad isikud on esitanud ja mis on registreeritud vastavalt 1) EL) rakendusmääruse (EL) 2025/848 määruse I lisale kukrule tugineva isiku registreerimiseks ning kukrule artiklis 10 nimetatud andmed tugineva isiku pääsusertifikaatide ja registreerimissertifikaatide (isikuandmed ja muud andmed) - väljastamiseks, sealhulgas selle teabe hilisemaid muudatusi. Eelnõu § säilitatakse 10 aastat vastavalt 3¹ lõige 6 näeb seevastu ette, et kümme aastat pärast registrikande rakendusmäärusele. kehtetuks muutmist säilitatakse kõik „registrisse kantud või registriga 2) Muud isikuandmeid mittesisaldavad seotud andmed”. Selline sõnastus on rakendusmääruse artikliga 10 andmed - säilitatakse 10 aastat ühtseks võrreldes oluliselt laiem, kuna võib hõlmata ka menetlusandmeid, toimimiseks muude kogutavate kontaktisikute isikuandmeid, logisid, tehnilisi andmeid ja muud andmetega. Seaduseelnõus ei käsitleta, teavet, mille kümneaastane säilitamine ei tulene nimetatud kuna puudub põhiõiguste riive. rakendusmäärusest. Samuti ei ole eelnõus üheselt selge 3) Isikuandmeid sisaldavad logiandmed - säilitamistähtaja alguspunkt ega selle seos rakendusmääruse artiklis säilitatakse 10 aastat. Selle eesmärk on 10 nimetatud teabega. võimalike intsidentide lahendamine (nt andmete väärkasutus, mis selgub aastaid hiljem). Intsidentide lahendamisel on vajalik alles hoida ka kõiki nende andmetega seotud tehnilisi andmeid (nt logid, kontaktisikute nimed ja muud menetlusandmed), kuna 10  ka need andmed võivad intsidentide lahendamisel osutuda vajalikuks. Selgitame, et füüsiliste isikute kontaktandmed kustutakse kohe peale tugineva isiku poolt nende muutmist. 4) muud isikuandmed kustutatakse viivitamatult pärast tugineva isiku poolt nende muutmist. 19. Eeltoodust tulenevalt palume kaaluda, kas eelnõus tuleks eristada Arvestatud, vt eelmist vastust. rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud teave muudest registri pidamisega seotud andmetest ning sätestada kümneaastane säilitamistähtaeg üksnes nimetatud määruses ette nähtud ulatuses, kui pikema või laiema säilitamise vajadust ei põhjendata eraldi. Muude registriandmete, sealhulgas menetlus-, logi- ja tehniliste andmete säilitamise tingimused tuleks määrata lähtuvalt nende töötlemise eesmärgist ning isikuandmete puhul ka Euroopa Parlamendi ja nõukogu määruse (EL) 2016/679 artikli 5 lõike 1 punktides c ja e sätestatud võimalikult väheste andmete kogumise ja säilitamise piirangu põhimõtetest. Samuti palume täiendada eelnõu § 3¹ lõike 5 punktis 3 antud volitusnormi selliselt, et registri põhimääruses oleks võimalik selgelt reguleerida eri andmekategooriate säilitamise, arhiveerimise ja kustutamise täpsemad tingimused, nagu see on nõutav kõigi riigi andmekogude puhul, jäädes seejuures eelnõus ja rakendusmääruses sätestatud piiridesse. 20. Eelnõu § 1 punktiga 6 täiendatakse EUTS-i §-ga 31, milles Selgitame, et tuginevate isikute all mõeldakse kehtestatakse tuginevate isikute registri regulatsioon. Palume asutusi ja ettevõtteid. Tuginevate isikute seletuskirjas täpsemalt ja näidete varal avada „tugineva isiku“ mõiste on defineeritud eIDASes ja eelnõu mõistet. Kas tuginevate isikute registri puhul on plaanis pärida koostamisel ei peetud vajalikuks dubleerida andmeid ka rahvastikuregistrist? Kui jah, siis palume see seda seaduses. Kuidagi peab ütlema selle ka rakendusakti kavandis välja tuua koos andmekoosseisuga. Osad välja, et täpsemad detailid (kust ja mida asutused võivad digikukruga seonduvalt olla mitmes rollis, näiteks päritakse) selgub hiljem töö käigus. võib PPA täita nii isikutuvastusandmete andja kui tugineva isiku rolli. 11  Kas eelnõu väljatöötamisel on õiguslikult ja tehniliselt läbi mõeldud, Selgitame täiendavalt, et tuginevate isikute kuidas on sellisel juhul korraldatud andmevahetus teiste riiklike registri puhul ei ole plaanis pärida andmeid registritega, sh isikuandmete töötlemise vastutuse ja andmetele rahvastikuregistrist. juurdepääsu küsimused teenusepakkujatele ning andmesubjektidele? Selged õiguslikud määratlused on vajalikud, et vältida võimalikke andmeedastuse puudusi ja konflikte, kaitsta kasutajate põhiõigusi ning kontrollida õiguslikult ja läbipaistvalt digitaalsete volitustega tehtud toiminguid. 21. Lisaks märgime, et seletuskiri ei ole kooskõlas eelnõu tekstiga. Arvestatud, eelnõud ja seletuskirja Seletuskirja § 1 punkti 6 selgituses on märgitud, et andmekogu parandatud. pidamise eesmärk ja vastutav töötleja sätestatakse lõikes 1, säilitamistähtaeg lõikes 7 ning volitusnorm lõigetes 5 ja 6, kuid eelnõu tekstis on vastutav töötleja sätestatud lõikes 4, säilitamistähtaeg lõikes 6 ning lõige 7 käsitleb registreeringu peatamist ja tühistamist. Samuti on seletuskirja punktis 8 (rakendusaktid) märgitud, et registri põhimäärus kehtestatakse § 3¹ lõigete 5 ja 6 alusel, kuigi lõige 6 ei sisalda volitusnormi. Ka on seletuskirjas öeldud, et registri andmed on eelnõu § 3¹ lõike 4 kohaselt osalise juurdepääsupiiranguga, kuid eelnõu lõige 4 määrab üksnes andmekogu vastutava töötleja. Seetõttu ei selgu eelnõust üheselt, millised registriandmed on avalikud ja millistele kohaldatakse juurdepääsupiirangut. Palume eelnõu ja seletuskirja vastavalt parandada ning vajaduse korral lisada seadusesse selge regulatsioon avalikustatavate ja juurdepääsupiiranguga andmete eristamiseks. 22. Seletuskirja punktis 6.6 märgitakse, et kõik avaliku sektori asutused, Arvestatud, seletuskirja täiendatud. Vaata ka sealhulgas kõik 78 kohaliku omavalitsuse üksust, peavad Euroopa vastust ELVL ettepanekule. Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5f lõike 1 kohaselt aktsepteerima Euroopa digiidentiteedikukrut nendes internetipõhistes teenustes, mille kasutamiseks nõutakse e-identimist ja e-autentimist. Samas on seletuskirja punktis 7.4 märgitud, et kohaliku omavalitsuse üksustele ei panda eelnõuga uusi iseseisvaid 12  ülesandeid ega rahastamiskohustusi ning eelnõu rakendamisega ei kaasne neile lisakulusid, kuna digikukru tugi lisatakse riigi kesksesse autentimisteenusesse TARA. Palume seda hinnangut täpsustada, arvestades, et seletuskirja punktis 6.6 on samas märgitud, et asutused, kes keskset autentimisteenust ei kasuta, peavad oma autentimislahendused ise kohandama. Seetõttu ei pruugi väide, et kohaliku omavalitsuse üksustele lisakulusid ei kaasne, olla piisavalt põhjendatud juhul, kui mõni kohaliku omavalitsuse üksus või tema hallatav infosüsteem ei kasuta TARA-t või vajab digikukru kasutuselevõtuks täiendavaid arendusi, testimist, teenuseprotsesside muutmist või juhendamist. Palume seletuskirjas täpsustada, kas ja millises ulatuses on analüüsitud kohaliku omavalitsuse üksuste kasutatavaid autentimislahendusi. Kui kohaliku omavalitsuse üksustel võib siiski tekkida vajadus teha eraldi arendusi või korralduslikke muudatusi, palume seletuskirjas kirjeldada nende võimalikku mõju, kulude katmise allikaid ja rahastamise põhimõtteid või täiendada mõjuanalüüsi vastava selgitusega. 23. Seletuskirja punktis 6.6 (mõju riigiasutuste ja kohaliku omavalitsuse Selgitame, et määruse (EL) nr 910/2014 lisa asutuste korraldusele) on märgitud, et riiklike andmekogude VI on seotud EIDAS2 määruse artikliga 45e, pidajatele, kelle andmekogu kvalifitseerub autentseks allikaks, tekib mis seostub vaid tõendite verifitseerimisega kohustus võimaldada elektrooniliste tõendite kvalifitseeritud (spetsiifilistel juhtudel pabertõendist digitaalse usaldusteenuse osutajatel kasutaja taotlusel kontrollida vähemalt tõendi tekitamine). Sellist vajadust Eestis määruse (EL) nr 910/2014 VI lisas loetletud atribuute, sealhulgas tänase seisuga analüüsides pole tuvastatud. näiteks aadressi, vanust, kvalifikatsioone ja esindusõigusi. Regionaal- ja Põllumajandusministeeriumi valitsemisalas on mitmeid andmekogusid ja infosüsteeme, mille andmeid võidakse edaspidi kasutada Euroopa digiidentiteedikukru ökosüsteemis elektrooniliste tõendite või atribuutide allikana, sealhulgas regionaal-, põllumajandus- või toetuste andmetega seotud andmekogud. Seetõttu palume seletuskirjas täpsustada, milliseid riiklikke andmekogusid või andmekogude liike käsitatakse eelnõu ja eIDAS-raamistiku rakendamisel võimalike autentsete allikatena ning kas Regionaal- ja 13  Põllumajandusministeeriumi valitsemisala asutustele võib sellest tuleneda täiendavaid tehnilisi, korralduslikke või rahalisi kohustusi. 24. Palume täpsustada, kas seletuskirja punktis 7.2 nimetatud Selgitame, et nimetatud summa viitab üldisele „digikukruga liidestuvate ministeeriumide“ kulude hinnang 2 000 000 hinnangulisele kuluvajadusele. Konkreetsete eurot hõlmab ka Regionaal- ja Põllumajandusministeeriumi kulude hüvitamise taotleb iga ministeerium valitsemisala võimalikke arendusvajadusi, sealhulgas andmekogude eraldi riigieelarve protsessis vastavalt liidestamist, andmekvaliteedi parandamist, liideste loomist või riigieelarve reeglitele. elektrooniliste tõendite väljastamise ja kontrollimise võimekuse tagamist. Kui vastavad kulud või kohustused tulenevad vahetult Euroopa Liidu õigusest ega ole käesoleva eelnõuga täiendavalt reguleeritud, palume seda seletuskirjas selgelt eristada ning kirjeldada, millises edasises menetluses või rakendusplaanis valitsemisalade ülesanded ja rahastamine täpsustatakse. 25. Eesti Seletuskirjas (lk 22) on märgitud, et „teenuste liidestamine Arvestatud, seletuskirjas täpsemalt Linnade ja digikukruga ja tõendite koostalitlusvõime tagamine on iga haldusala kirjeldatud mõjusid kohaliku omavalitsuse Valdade Liit ülesanne" ning et Euroopa digiidentiteedi kukruga liidestuvate üksuste eelarvele. Selgitame, et kulud jaotuvad ministeeriumide (haldusalade) kulud on kokku 2 000 000 eurot. kolmeks eri kategooriaks: Seletuskirjast (lk 22) ei selgu, kuidas on vastav kulu välja arvutatud - TARA –ga (või ka SIGA jt digikukru ning palume seletuskirja vastavalt täiendada. Euroopa digiidentiteedi kasutamisega seotud süsteemid) kukruga liidestuvad ka omavalitsuste e-teenused, mistõttu on liitumisega seotud kulud, nende KOV koostalitlusvõime tagamise kulu katmine põhjendatud ka –de puhul kes TARA jt täna veel ei omavalitsustele. Seletuskiri tunnistab (lk 22), et „asutused, kes keskset kasuta autentimisteenust ei kasuta, peavad oma autentimislahendused ise - SPOKU, ARNO jt süsteemid, mis täna kohandama" ning mitmed omavalitsuste e-teenused TARA-t ei kasuta. kasutavad eID lahendusi, teevad ise Seetõttu on ekslik väita, et omavalitsuste „koormus piirdub keskse vajalikud kohandused digikukru autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga“, toetamiseks, võivad aga küsida sellest sest ka TARA kasutuselevõtt on lisakulu. Kohandusi tuleb aga teha tulenevalt lisatasu, tõsta hinda vms mitte ainult TARA-s ja SIGA-s, vaid ka omavalitsuste kasutatavates - Need KOV –d kes tahavad rohkem TARAga liidestatud infosüsteemides (nt SPOKU, ARNO jne), et panustada üleliidulisse digitaalsesse autenditud EL kodanik saaks iseteeninduses toiminguid jätkata. ühisturgu, näiteks need kes täna juba Liidestatud infosüsteemil on alati kaks poolt: kui TARA tagastatav kasutavad TARA –s EU eID andmekoosseis muutub (nt kui isikukood ei ole enam kindel väli, sest võimalust, saavad nüüd suurema 14 teise liikmesriigi kodanikul see puudub), tuleb sellega liidestatud võimaluse kergemalt toetada infosüsteemi vastavalt kohandada. Kuna omavalitsused kasutavad rohkemate liikmesriikide eID läbi teenuste osutamiseks laialdaselt erasektori pakutavaid infosüsteeme, digikukru ja potentsiaalselt ka kaasnevad sellega vähemalt analüüsikulud ning muudatuse korral ka lisakulud sellega seotud. arenduskulud. Osa teenusepakkujaid võib analüüsi- ja arenduskulu Muud kuludega seotud: enda kanda võtta, kuid tavaliselt küsitakse selle eest omavalitsustelt - Need, kes TARA juba kasutavad, siis eraldi tasu. Seega kaasneb kohalikele omavalitsustele täiendav kulu. plaan on, et olemasolevad TARA Kuigi EL liikmesriikide kodanike autentimise võimekus on juba kasutajad saavad ilma lisaarenduseta TARA-sse ehitatud, ei ole seni selle kasutamine ja oma infosüsteemide digikukru kohustusliku osa (PID vastav kohandamine olnud omavalitsustele kohustuslik. Olemasolevad kasutamine online) kasutusele võtta, infosüsteemid ei pruugi olla võimelised vastu võtma näiteks Rootsi analoogselt kuidas 2019 lisandus kodaniku andmekoosseisu, kellel puudub 11-kohaline isikukood. Smart-ID TARA –sse. Paljud infosüsteemid eeldavad isikukoodi olemasolu, kuid TARA tehnilise kirjelduse (https://e-gov.github.io/TARA Doku/TehnilineKirjeldus) kohaselt tagastatakse autenditud kasutaja identifikaator (sub) väljal kas isikukoodi või eIDAS-identifikaatorina, mis võib olla kuni 256 tähemärki pikk ja mis esitatakse koos riigikoodi eesliitega. Seega ei pruugi olemasolev infosüsteem, mis on üles ehitatud Eesti isikukoodi formaadile, sellist identifikaatorit ilma kohandamiseta vastu võtta. Iga infosüsteemi pakkuja peab eelnõu rakendamisel analüüsima, kas süsteem saab jätkuda olemasoleval kujul või kaasnevad täiendavad arenduskulud. See oleneb konkreetse süsteemi ülesehitusest. Kokkuvõtvalt – Euroopa digiidentiteedi kukruga liidestatakse kohalike omavalitsuste e-teenused, mistõttu ei ole õige väita, et kohalike omavalitsuste koormus piirdub keskse autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga. Kohalike omavalitsuste e-teenuste liidestamine Euroopa digiidentiteedi kukruga ja tõendite koostalitlusvõime tagamine peab olema sarnaselt keskvalitsuse institutsioonidega täielikult riiklikult rahastatud. Palume seletuskirja vastavalt täiendada, tunnistades omavalitsuste koostalitlusvõime tagamise kulu samamoodi nagu haldusalade oma ning täiendades mõjuanalüüsi kohalike omavalitsuste 15  infosüsteemide kohandamise kulude hinnanguga. Palume tagada riiklik rahastus. 26. Eelnõu § 1 punkti 6 (e-identimise ja e-tehingute usaldusteenuse Seletuskirja täiendatud selgitusega, et kõik seadus § 3¹) kohaselt tuleb digiidentiteedikukrule tuginevate isikute need, kes peavad digikukrut oma e-identimist registrisse registreerida ka avalike teenuste osutajad. Seletuskiri ei nõudvates e-teenustes aktsepteerima, peavad selgita, kas iga omavalitsus peab end eraldi registreerima ja pääsusertifikaadid taotlema või korraldatakse see keskselt. Palume end registreerima digikukrule tuginevate seletuskirjas seda täpsustada. Kuna individuaalne registreerimine isikute riiklikus registris See hõlmab ka tähendaks omavalitsustele täiendavat töökoormust, siis palume see avaliku sektori asutusi, sealhulgas kohaliku keskselt korraldada. omavalitsuse üksuseid ja riigiasutusi. Tänane kavatsus on TARA tänased kliendid saada digikukrut kasutama võimalikult lihtsalt (sh RP registri toimingud), et avaliku sektori asutustel oleks sellega seotud võimalikult väike halduskoormus. 27. Samuti märgime, et RIA-l tuleb vähemasti Euroopa digiidentiteedi Teadmiseks võetud. kukru rakendamise esimesel aastal pakkuda Euroopa digiidentiteedi kukru kasutajatele kasutajatuge, sest kodanikel võivad Euroopa digiidentiteedi kukru teenuse kasutamisel tekkida küsimusi või probleeme. 28. Juhime ka tähelepanu, et eelnõus on kasutatud nii mõistet „Euroopa Arvestatud, mõisted eelnõus ühtlustatud. digiidentiteedi kukkur“ kui ka „Euroopa digiidentiteedikukkur“ ning palume see ühtlustada. 16 29. Tarbijakaitse Eelnõu § 1 punktis 22 viidatakse, et üheks eelduseks pädevalt Arvestatud osaliselt. Eelnõu § 1 punkt 22 ja Tehnilise asutuselt loa saamiseks on Euroopa digiidentiteedi kukru ja selle sõnastatud ümber selliselt, et kustutatud Järelvalve pakkuja Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 väljendid “ja selle pakkuja” ning "lõikele 1”. Amet (edaspidi eIDAS määrus) artikli 5c lõikele 1 vastava sertifitseerimise Samas selgitame, et loa saamise eelduseks ei läbimine. Kõnealuses eIDAS määruse artikli 5c lõikes 1 viidatakse, et ole vaid sertifikaat, Vaja on tasuda ka riigilõiv. sertifitseerimine toimub eIDAS määruse artikli 5a nõuetele vastavuse Lisaks võib pädeval asutusel olla vajadus hindamiseks. TTJA hinnangul on oluline ka sertifitseeringu vastavus täiendava teabe küsimiseks või eIDAS määruse artikli 5c lõigetes 2 ja 3 toodud sertifitseerimise täpsustamiseks. Väljendit “ja asjaomane kavadele, mistõttu oleks asjakohane viidata üldiselt eIDAS määruse sertifitseering on kehtiv” ei lisata eelnõusse. artiklile 5c. Samuti võiks TTJA hinnangul olla selguse mõttes välja Selle asemel täiendatakse seletuskirja selliselt, toodud asjaolu, et loa saamise eelduseks on üksnes kehtiv et nii digikukru kui usaldusteenuse loa sertifitseering. Samuti juhime tähelepanu, et eIDAS määruse artikli taotlemisel peab esitatav sertifikaat olema 5c kohaselt sertifitseeritakse digiidentiteedi kukrut, mitte selle kehtiv. pakkujat. Eeltoodut arvestades teeme ettepaneku muuta eelnõu § 1 punkti 22 ning sõnastada see järgmiselt: „Euroopa digiidentiteedikukkur on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c kohase sertifitseerimise ja asjaomane sertifitseering on kehtiv;“. 30. Eelnõu § 1 punktis 16 tuuakse välja, et loa olemasolu tõendab Selgitame, et eelnõu kohaselt kehtib luba kuni sertifitseeringu kehtivust. TTJA hinnangul ei pruugi loa olemasolu aga 5 aastat, ehk see on sarnaselt tänase käesoleva eelnõu sõnastuses sertifitseeringu kehtivust tõendada. usaldusteenuste regulatsiooni ja praktikaga alati kooskõlas sertifitseeringu kehtivuse Sertifitseering kehtib eIDAS määruse artikli 5c lõike 4 kohaselt kuni tähtajaga. Kui sertifitseering mingil põhjusel viis aastat, tingimusel, et iga kahe aasta järel viiakse läbi nõrkuste kaotab kehtivuse, tunnistab pädev asutus ka hindamine. Säte toob täiendavalt välja, et kui tuvastatakse nõrkus ja tegevusloa kehtetuks. Sätte eesmärk ei ole seda ei kõrvaldata tähtaegselt, siis sertifitseering tühistatakse. Eelnõus kehtestada, et tegevusluba kehtib igal juhul ja toodud EUTS § 6 lõike 5 kohaselt kehtib aga pädeva asutuse luba igal alati 5 aastat. juhul viis aastat. Eeltoodut arvestades teeme ettepaneku muuta eelnõu § 1 punkti 16 ning sõnastada see järgmiselt: 17  „(4) Euroopa digiidentiteedikukru pakkumiseks peab isikul olema kehtiv Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c kohane sertifitseering, mida tõendab asjaomane luba. (5) Euroopa digiidentiteedikukru pakkumise luba kehtib sertifikaadi kehtivuse lõpuni, kuid mitte kauem kui viis aastat.“. 31. Andmekaitse Eelnõu § 1 p-ga 40 täiendatakse EUTS §-i 22 lg-ga 2 järgmises Arvestatud. Eelnõust eemaldatud viide AKI Inpektsioon sõnastuses: „Euroopa Parlamendi ja nõukogu määruse (EL) nr järelevalvele määruse artikli 46a lõike 4 910/2014 artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5 punkti a punktis f sätestatud ülesannete täitmise üle alapunktis x sätestatud pädeva riikliku andmekaitseasutuse ning dubleeriv viide. ülesandeid täidab Andmekaitse Inspektsioon. Andmekaitse Inspektsioon teeb järelevalvet määruse artikli 46a lõike 4 punktis f sätestatud ülesannete täitmise üle.“ Sätte esimene lause on sisult asjakohane st digiidentiteedikukrud võimaldavad kasutajal andmete saamiseks saadetud väidetavalt ebaseadusliku või kahtlase taotluse korral hõlpsasti teatada tuginevast isikust pädevale riiklikule andmekaitseasutusele. Sisuliselt on tegemist teavituskanaliga, mille kaudu AKI saab teavet võimalikest andmekaitsealastest rikkumisest. Teate saamisel menetleb AKI seda tavapäraselt lähtudes IKÜM-i raamidest. Samas sätte esimene lause sisuliselt dubleerib juba kavandatava EUTS § 2 lg-s 3 sätestatut – mõlemad viitavad samadele eIDAS määruse (edaspidi määrus) sätetele ja annavad AKI-le sama rolli, mistõttu ei ole seda vajalik uuesti korrata. Probleemne on kavandatava EUTS § 22 lg 2 teine lause, mille kohaselt AKI teostaks järelevalvet määruse art 46a lg 4 p-s f sätestatud ülesannete täitmise üle. Säte üritab AKI-le anda ülesannet, mis eelnõu endaga on juba antud ainult RIA-le nii nagu seda määruses mõeldud ongi. Määruse art 46 a lg 4 p f sätestab, et lõike 1 kohaselt määratud järelevalveasutusel on ülesandeks mh peatada või tühistada tuginevate isikute registreerimine ja kaasamine art 5b lg-s 7 osutatud mehhanismi Euroopa digiidentiteedikukru ebaseadusliku või petturliku kasutamise korral. Esmalt, määruse art 46a lg 1 kohaselt 18  määratud järelevalveasutuseks ehk pädevaks asutuseks on ainult RIA (vt kavandatav EUTS § 2 lg 1)1 ehk kõiki määruse art 46a nimetatud järelevalveasutuse ülesandeid saab täita ainult RIA. Seega ei ole AKI järelevalveasutus määruse art 46a tähenduses ega saa kuidagi teostada järelevalvet määruse art 46a ükskõik millise lõike või punkti osas. Eelnõu seletuskirja lisas 2 toodud vastavustabelis on teisel real AKI roll rakendava riigisisese sättena õigesti märgitud EUTS § 2 lg 3, kuid asjakohatult on märgitud lisaks juurde EUTS § 22 lg. 32. Seda kinnitavad ka samal real olevad EL-i õigusakti sätted, mis Arvestatud. Vaata ka eelmist vastust. räägivad AKI rollist, mitte järelevalvepädevuse määramisest nagu ekslikult sama rea kommentaaris on märgitud. AKI täidab pädeva riikliku andmekaitseasutuse rolli, mitte määruse üle järelevalvet teostava järelevalveasutuse rolli (vt kavandatav EUTS § 2 lg 3). Eelnõus on pädeva asutuse ja pädeva andmekaitseasutuse rollid seoses pädeva asutuse ühe ülesandega kokku liidetud ja segamini aetud. AKI teostab järelevalvet andmekaitsealaste normide üle IKÜM raamistikus ja määruse üle teostab järelevalvet siiski ainult RIA (sh on ta EUTS-is nimetatud ka ainsana kohtuväliseks menetlejaks). Küll aga peab olema määruse kohaselt tagatud, et AKI-le oleks võimalik esitada hõlpsasti teateid võimalike andmekaitsealaste rikkumiste kohta, mis on seotud digiidentiteedikukru ebaseadusliku või petturliku kasutamise kahtlusega. RIA kui pädeva asutuse üheks ülesandeks on mh teha koostööd AKI-ga ning teavitada AKI-t võimalikest isikuandmetega seotud rikkumistest (määruse art 46a lg 4 p g). Teisalt ei saa AKI pädevuse puudumise tõttu ka peatada või tühistada tuginevate isikute registreerimist ja kaasamist, sest selline pädevus on pädeva asutusena samuti ainult RIA-l (vt kavandatav EUTS § 2 lg 1 ja 31 lg 7). Lisaks ei ole AKI-l pädevust tuvastada määruse art 46a lg 4 p-s f nimetatud „ebaseaduslikku või petturlikku kasutamist“, mis on juba oma olemuselt laiem mõiste kui isikuandmetega seotud rikkumine ja hõlmab endas ka muid rikkumisi (nt volitamata kasutus vms), mis ei kujuta endast IKÜM-i rikkumist. 19 33. Eelnõu seletuskirja p-s 7.2 kajastatud AKI aastane lisavajadus on Arvestatud, eelnõud muudetud. kooskõlas AKI tegeliku, IKÜM raamistikuga seotud koormuse kasvuga, mis tuleneb kasutajate (andmesubjektide) esitatud digikukruga seotud teadete menetlemisest kahtlaste või ebaseaduslike andmepäringute kohta, mida AKI hindab oma tavapärase pädevuse piires. Lisavajaduse suhteliselt tagasihoidlik suuruski viitab, et AKI- le ei ole määruse mõttes kavandatud iseseisvat määruse üle järelevalvet teostava asutuse rolli koos sellega kaasneva lisavajadusega. Juhul kui seadusandja sooviks siiski määrata Eestis määruse art 46a tähenduses mitu järelevalveasutust (nt osaliselt mõne ülesande osas RIA ga kõrvuti ka AKI), tuleks see selgelt eelnõus välja tuua ning kehtestada selleks vajalikud normid. Sellisel juhul oleks AKI tegelik lisavajadus praegu kavandatust oluliselt suurem. Lisaks tuleb arvestada, et määruse art 46a lg-s 3 kirjeldatud järelevalveasutuse rollid moodustavad ühtse, omavahel seotud terviku, millest art 46a lg-s 4 nimetatud üksikuid ülesandeid ei saa sisuliselt lahus käsitleda. Näiteks selle sama kõnesoleva määruse art 46a lg 4 p-s f toodud ülesande täitmine eeldab paratamatult ligipääsu ja arusaamist laiemast kontekstist – pakkuja tegevusloa tingimustest, vastavushindamise tulemustest, tehnilisest infrastruktuurist jms – mida haldab RIA. Juhul kui AKI määrataks järelevalveasutuseks kitsalt määruse art 46a p-i f ulatuses, peaks AKI selle ülesande täitmiseks sisuliselt dubleerima osa RIA-l olemasolevast järelevalvevõimekusest, mis ei ole otstarbekas ega ka kooskõlas RIA ja AKI rollidega. RIA-le seatud ülesannete osas saab AKI vajadusel anda andmekaitsealast sisendit (vt nt määruse art 20 lg 3b). Seega ei ole AKI määruse ega EUTS-i täitmise üle järelevalve teostajaks ega peaks seetõttu olema ka EUTS §-s 22 nimetatud järelevalveasutus. AKI töökoormus suureneb digikukru ja sellega seotud töötlemistoimingute andmekaitsealase järelevalve võrra, kuid seda siiski vastavalt IKÜM i ja IKS-i raamistikule. Kokkuvõttes tuleb kavandatav EUTS § 22 lg 2 eelnõust tervikuna välja jätta ning 20  seetõttu pole vajalik sellega seotult ka eelnõu § 1 p-s 39 nimetatud muudatus. 34. Teabevahetus ja aruandlus Eelnõu § 1 p-ga 43 täiendatakse EUTS § Arvestatud. Eelnõu § 1 punktist eemaldatud 234 lg 1 järgmiselt: „Valdkonna eest vastutaval ministeeriumil, viide AKI-le. pädeval asutusel ja Andmekaitse Inspektsioonil on õigus nõuda Eesti jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.“ Sisuliselt kordub sama põhimõtteline probleem. Määruse art 48a pandud ülesanded on kavandatava EUTS § 2 lg 1 kohaselt RIA ainupädevuses. Seletuskirja lisas 2 olevas vastavustabelis on määruse art 48a kajastatud kahel korral. EUTS § 234 peaks olema üksnes menetluslik teabe nõudmise mehhanism asutuse jaoks, kellele on pandud sisuline ülesanne täita määruse art-t 48a (RIA). Kuna AKI ei täida määruse art-ga 48a pandud ülesandeid, siis ei ole vajalik ega saa ka AKI le anda õigust nõuda teenuse osutajalt nimetatud ülesande täitmiseks vajalikku teavet. AKI roll statistika kogumisel saab olla vaid vajadusel enda menetluste osas sisendi andmises RIA-le. 35. Digiidentiteedikukrule tuginevate isikute register Eelnõu § 1 p-ga 6 Arvestatud, eelnõusse lisatud töödeldavad täiendatakse seadust §-ga 31, mille lg 3 loetleb andmekogusse isikuandmete kategooriad (EUTS § 3¹ lõige 3) kantavate andmete kategooriad, nähes muu hulgas ette, et andmekogusse kantakse ka muud registri pidamise eesmärgi täitmiseks vajalikud isikuandmeid mittesisaldavad andmed. Kuigi lisatud on piirang, et need andmed ei sisalda isikuandmeid, jääb andmekategooria ise siiski ebaselgeks. Leiame, et tegemist on liiga avatud volitusega. JDM juhise järgi on probleemne olukord, kus töödeldavate andmete kategooriad üldse puuduvad või on liiga laiad ja üldised. Ka andmekogude juhendis on selgitatud, et seadusega võib täpse andmete koosseisu kehtestamise delegeerida täitevvõimule, kuid täitevvõim ei saa väljuda seaduse ja volitusnormi raamidest. Antud juhul isikuandmete välistamine küll vähendab riski, kuid ei kõrvalda siiski õigusselguse probleemi. Soovitame asendada p-i 3 sõnastus konkreetse 21  andmeliikide loeteluga või siis täpsustada vähemalt, millist liiki isikuandmeid mittesisaldavaid andmeid võib registrisse kanda. Kui silmas on näiteks peetud tehnilisi metaandmeid, registreeringu menetlusandmeid või avalikustamise vormingut puudutavaid andmeid vms, siis võiks normis sellele ka viidata. 36. Rakendusakti kavand Kuigi tuginevate isikute registri põhimäärus Arvestatud. Täiendame rakendusakti tuleb eelduslikult täiendavalt arvamuse avaldamiseks peale selle ametlikul kooskõlastusringil. lõpliku sõnastuse kujundamist, toob AKI välja järgmised tähelepanekud, mida põhimääruse koostamisel tuleks arvesse võtta. Põhimääruse kavandis on vastutava töötleja ülesanded kirjeldatud liiga kitsalt (põhimääruse § 2 lg 2). Vastutav töötleja ei ole üksnes n-ö tehniline majutaja, vaid AvTS-st tulenevalt on vastutavaks töötlejaks see, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete haldamist, vastutades andmekogu haldamise seaduslikkuse ja andmekogu arendamise eest ehk täidab nende kohustustega seotud ülesandeid. Seega tuleks põhimääruses selgelt sätestada RIA kui vastutava töötleja ülesanded. Põhimääruse § 4 lg 2 on olemuselt sisutu. AvTS järgi on andmekogu infosüsteemis töödeldavate korrastatud andmete kogum, infosüsteem on defineeritud KüTS-s ning selle järgi infosüsteem kujutabki endast digitaalset andmete töötlust. Sama sätte lg-s 4 tuleks lisada üksnes need juhud, kus andmekogu andmetel on õiguslik tähendus ja mitte märkida, et andmetel on üksnes informatiivne tähendus. Põhimääruse § 6 osas märgime, et põhimääruses tuleb loetleda nii andmeandjad kui ka nende poolt esitatavad andmed ehk millistest andmekogudest või kelle käest milliseid andmeid saadakse. Läbi selle määratakse kindlaks, millised on selle konkreetse andmekogu unikaalsed põhiandmed. Põhimääruse § 8 lg 1 (registriandmete õigsus) osas märgime, et andmete teise andmekogusse edastamisel vastutab andmete edastaja edastatavate andmete õigsuse eest. Andmekogu terviku vaatest vastutab andmete õigsuse eest andmekogu vastutav töötleja, kelle andmekogusse andmed edastati. Selgitame, et IKÜM art 5 lg 2 kohaselt tagab vastutav 22  töötleja sama artikli lõikes 1 sätestatud isikuandmete töötlemise põhimõtete järgimise. IKÜM art 5 lg 1 p-i d ja IKS § 14 p-i 4 kohaselt tagab vastutav töötleja ka andmete õigsuse ja asjakohasuse. Eelnevalt arvesse võttes vastutab andmekogu vastutav töötleja tervikuna andmekogu andmete õigsuse eest. Seega peaks põhimäärusest nähtuma RIA kui andmekogu vastutava töötleja osa registriandmete õigsuse tagamisel. Praegune sõnastus jätab mulje nagu RIA-l andmekogu vastutava töötlejana siin üldse mingit vastutust ei ole. Põhimääruse § 10 (registriandmete arhiveerimine) osas märgime, et juhul kui andmekogus soovitakse eristada arhiivseid andmeid, siis peab põhimäärusest ka selguma, mida arhiiv sisuliselt tähendab (ehk millal ja millised andmed liiguvad arhiivi, kes nendele andmetele ja millistel tingimustel ligi pääsevad jne) ning miks seda üldse vaja on. 37. Siseministeer EN § 1 p 6, millega lisatakse § 31 lg 6. Juhime tähelepanu, et jääb Arvestatud. Eelnõusse lisatud töödeldavad iumi ebaselgeks mis on registriga seotud andmed mida registrisse ei kanta isikuandmete kategooriad (EUTS § 3¹ lõige 3). infotehnoloo aga säilitatakse sellest olenemata 10 aastat. Mis andmed need on ja gia- ja kus neid sellisel säilitatakse? arenduskesk us 38. EN § 1 p 6 millega lisatakse § 5 lg 12: A) Selgitame, et A) Lg 12 viitab lg-le 11 mis omakorda viitab rakendusmääruses (EL) 2024/2977. Samas ei ole selge mis andmeid millisest 1. ITDAK-st on planeeritud küsida teatud andmekogust kogutakse. St millised isikutuvastusandmeid juhtudel isiku pilti. saab digiidentiteedikukru pakkuja isikut tõendavate dokumentide andmekogust (ITDAK) ja milliseid 2. Rahvastikuregistrist on planeeritud küsida Rahvastikuregistrist (RR). Andmesubjektile peab olema selge teisi EL rakendusmääruse 2026/1731 tabel 1-s kust ja konkreetselt milliseid andmeid tema kohta kogutakse. loetletud isikuandmeid. Sünnikoht on selles Kas soov on koguda andmeid topelt, kuidas oleks see sellisel tabelis loetletud. juhul isikuandmete töötlemise põhimõtetega kooskõlas? Ka arendusvajadused võivad sõltuda küsitavate andmete 3. Andmeid päritakse isikute initsiatiivil või koosseisust. Seejärel on võimalik hinnata millise andmekogu vastususe hindamise ja andmeid hoiustatakse juures kas ja milliseid arendusi on vaja teha. konkreetse inimese telefonis olevas kukrus. 23  B) SK-s on RRi kohta toodud järgnev „Kehtiva rakendusmääruse B) Arvestatud, seletuskirja täiendatud. (EL) 2024/2977 kohaselt on kohustuslik andmeväli ka Kõik PID kohustuslikud andmed (välja digiidentiteedikukru kasutaja sünnikoht, mille arvatud pilt) saadakse rahvastikuregistrist, digiidentiteedikukrusse kandmine võib eeldada päringut selle alusel millega inimene ennast PID rahvastikuregistrisse.“ Kas RRi puhul ongi mõeldud tegelikult väljastamiseks tuvastas. vaid sünnikoha päringuid? Kui jah, siis tuleks see ka eelnõusse C) Teadmiseks võetud, analüüsime ABIS kui selliselt sisse tuua. See aga eeldab, et sünnikoha päringu andmeandja vajadust. vajadus on eelnevalt selgeks tehtud, mitte tasandil „võib eeldada päringut“. Ehk et arvestades SK-s toodud sõnastust, siis seadusesse ei peaks looma aluseid andmete pärimiseks kui ei ole selge selle vajadus. C) Kehtiva rakendusmääruse (EL) 2024/2977 isikutuvastusandmed sisaldavad ka näokujutist. ITDAK saab isiku näokujutise automaatse biomeetrilise isikutuvastuse süsteemi andmekogust (ABIS) ning ITDAK-sse kantakse andmed isikut tõendavate dokumentide seaduse alusel läbiviidavate menetluste käigus (ITDAK pm § 12), st vastavalt menetluse eesmärgile. Juhul kui seda ei ole eelnevalt tehtud, siis palume eelnõu koostajal koostöös andmekogude vastutava töötlejaga analüüsida, kas näokujutise päring ITDAK-st on õiguspärane või vajab see ABIS andmekogu kaasamist ja eelnõusse toomist. 39. EN § 1 p 15. Ettepanek kaaluda, kas lisada eelnõusse, et millest Selgitame, et need põhjendused on sõltuvalt võib kehtivus olla lühem kui 2 aastat. Hetkel eelnõu tasandil seletuskirjas põhjendatud. Eelnõu täiendamist võimalik mõista millest see sõltub. Sama põhimõte ka EN § 1 p 16 ei peetud vajalikuks. osas, millega lisatakse § 6 lg 5 - digiidentiteedikukru pakkumise loa kehtivus. 40. EN § 1 p 17. Vastavalt eelnõuga plaanitavale seaduse § 6 g-le 4 (EN Arvestatud, eelnõus täpsustatud § 1 p 16) peab sertifikaat olema. Seega igaks juhuks juhime "usaldusnimekirja lisatav teenuse sertifikaat" tähelepanu sõnastusele, mille kohaselt tuleb eelnõu järgi sertifikaat (EN p 17). esitada vaid olemasolul, st ei ole nõutud. Ehk et jääb ebaselgeks kas see on kohustuslik või tuleb esitada vaid olemasolul. Ühtlasi on 24  kehtiv sõnastus jäigem. Kui on siiski vaid „olemasolul“, siis võiks Selgitame, et elnõuga peeti silmas selle muutuse kohta lisada täpsustuse ka seletuskirja. usaldusnimekirja lisatavat teenuse sertifikaati, mitte vastavushindamisasutuse poolt väljastatud sertifikaati. 41. Seletuskiri EN § 1 p 6. Palume seletuskirja EN § 1 p 6 kohta käiva Arvestatud, seletuskirja kohendatud. selgituse teine lõik üle vaadata. Hetkel tundub, et ei lähe EN tekstiga kokku. 42. Kulud ja ajaraam. Eelnõu rakendamine võib eeldada ITDAK-i ja/või Selgitame, et hetkel meile teadaolevalt ei pole RR-i täiendavaid arendusi ja liidestusi, et tagada vajalik vaja RR ja ITDAK arendusi. Plaanitakse andmevahetus ning toetada digiidentiteedikukru elutsükli haldamist. kasutada nende teenuseid üle x-tee. Seejuures ei ole täna teada milliseid konkreetseid arendusi on vaja teostada, mistõttu ei ole võimalik hinnata nende ajalist mahtu ega ka kulu. Arvestades, et vajalike arenduste osas puudub selgus, on ka praeguses ajaraamis püsimine küsitav. Seletuskirjas on hinnatud RIA, Andmekaitse Inspektsiooni, Justiits- ja Digiministeeriumi ning teiste ministeeriumide kulusid koondtasemel, kuid puudub hinnang üksikutele andmekogudele ja infosüsteemidele tekkiva mõju kohta. Seetõttu ei ole võimalik ka hinnata, kas seletuskirjas toodud arendus- ja liidestamiskulud katavad ITDAKi ja/või RRi arendamise ja kohandamise vajaduse. Arvestades andmekogude rolli ning võimalikku vajadust muuta olemasolevaid teenuseid, liideseid ja andmevahetuslahendusi, tuleks enne eelnõu lõplikku menetlemist analüüsida konkreetselt ITDAKile ja RR-le avalduvat mõju, hinnata vajalike arenduste mahtu ning tuua välja nende eeldatav maksumus ja rahastamisallikas. Seejuures tuleks arvestada nii ühekordset arenduskulu kui ka hilisemat püsikulu. Hetkel ei ole SK-st selge kuidas nende kuludega on arvestatud. 43. TARA. Hetkel ei ole teada, kuid juhime tähelepanu, et kui TARA-sse Selgitame, et kulude osa on vastatud real 25. lisandub digiidentiteedikukru autentimise võimalus, siis võib see Lahenduse juurutamisel lähtutakse 25  andmekogudele tuua kaasa täiendavaid arendusvajadusi, millega põhimõttest, et digikukru ülesehitamisega kaasnevad omakorda kulud. kaasneks võimalikult vähe kulusid. 44. Välismaalaste autentimise andmed. Kuhu on planeeritud salvestada Selgitame, et autentmisel saadud andmed digiidentiteedikukkur vahendusel tuvastatud välismaalaste kasutab ja säilitab vastavalt nõuetele tuginev autentimise andmed (PID)? isik. See see ei muutu võrreldes tänasega, kus tuginevad isikud juba kasutavad TARA kaudu EU eID. Pikemas vaates on kavatsus riigis välja arendada lahendus, mis võimaldaks keskselt viia kokku inimese Eesti isikukoodi sama isiku teise liikmesriigi tunnusega (isikukoodiga). 45. Rakendusakt. Arvestades, et dokument on kavandi faasis ning ei ole Teadmiseks võetud. Rakendusakti täiendatud toodud ammendavat andmeandjate loetelu, siis ei ole hetkel võimalik andmeandjate paragrahvi kavandiga (§ 6), mis hinnata kas on puutumus andmekogudega, mille puhul SMIT on valideeritakse rakendusakti ametlikul volitatud töötleja. kooskõlastusringil. 46. Maa- ja Kas digiidentiteedikukru lisandumine usaldusteenustesse, mida Selgitame, et Komisjoni eesmärk on tekitada Ruumiamet kasutavad olemasolevad andmekogud (riiklikud autentimise- ja (uuesti) digitaalset ühisturgu. See on aga allkirjastamise teenused), toob kaasa lisanõudeid usaldusteenusele relevantne nendele e-teenustele kes ka täna tuginevatele süsteemidele? Näiteks, kas e-teenused peavad laiendama juba pakuvad teenuseid teiste liikmesriikide kasutajaskonda üle-Euroopaliseks, mille tulemusel ei piisa enam residentidele, näiteks läbi TARA eID isikute valideerimisest rahvastikuregistris või äriregistris, vaid tuleb võimaluse. Digikukkur annab siis arvestada ka muude variantidega? lisavõimalused ja võimendab seda üleliidulist identimist. 47. Kui andmekogu või infosüsteem kasutab riiklikku autentimis- ja Selgitame, et tänane kavatsus on TARA allkirjastamisteenust, siis kas selline andmekogu peab ise ennast tänased kliendid saada digikukrut kasutama digiidentiteedikukrule tuginevate isikute riiklikusse registrisse võimalikult lihtsalt (sh RP registri toimingud), registreerima või lisatakse riiklikud andmekogud ja infosüsteemid et avaliku sektori asutustel oleks sellega sinna vaikimisi? seotud võimalikult väike halduskoormus. 48. Kui riiklikku autentimisteenust kasutavat andmekogu kasutab asutus Selgitame, et TARA olemasolevate klientide otsese avaliku teenuse läbi viimiseks, siis kas ka see asutus peab registreerimise detailid on täpsustamisel. 26  ennast digiidentiteedikukrule tuginevate isikute riiklikus registris registreerima? 49. Eesti Rollide koondumine RIA-sse ja täiendav järelevalvekulu ITL juhib Mittearvestatud. Selgitame, et kuigi Infotehnoloo tähelepanu Riigi Infosüsteemi Ameti (RIA) rollide ulatuslikule tavapäraselt teeb neid loetletud toiminguid gia ja koondumisele kavandatavas regulatsioonis. Eelnõu kohaselt hakkab vastavushindamisasutus, siis eIDAS määruse Telekommun sama asutus täitma samaaegselt mitut keskset rolli: digikukru järgi saab järelevalve asutus igal hetkel ka ise ikatsiooni lahenduse hankimine ja juurutamine, tegevusloa andmine ning vajadusel kõiki kontrolle teha (art. 20 lg 2). Liit järelevalve ja täitevmenetluse läbiviimine. ITL peab oluliseks tagada Selle sätte eesmärk on ühetaolise järelevalve RIA hanke-, arhitektuuri- ja järelevalvefunktsioonide selge tagamine piiriüleselt. Kuna eIDAS määrusena funktsionaalne sõltumatus. Selline rollide koondumine võib tekitada on otsekohalduv, ei tohi Eesti riikliku otsusega küsimusi funktsioonide sõltumatuse ning järelevalve erapooletuse selle kohustusi kitsendada. kohta. ITL on ka varasemalt teinud ettepaneku eraldada Riigi Infosüsteemi Ametist küberturvalisuse järelevalve roll ning toonud ühe võimaliku lahendusena näiteks järelevalve ülesannete üleviimise Tarbijakaitse ja Tehnilise Järelevalve Ametile. Ka käesoleva eelnõu puhul peame oluliseks, et usaldusteenuste järelevalve oleks korraldatud institutsionaalselt sõltumatult. Oleme jätkuvalt seisukohal, et teostaja ja järelevalvaja rollid ei sobi kokku ühte asutusse ja leiame, et RIA ei tohi iseenda üle järelevalvet teha. Seaduseelnõu seletuskirjas on täiendavaks järelevalvekuluks RIA-le hinnatud 75 000 eurot aastas. RIA järelevalvele pannakse samas järgmised täiendavad ülesanded: • digikukruteenuse pakkuja loamenetlused; • riskihinnangute hindamine; • turvaintsidentide menetlemine; • tegevuslubade muutmine; • EL-i aruandlus; • registri järelevalve. Seadus eeldab sisulist järelevalvet, kuid eelarve iseloomustab pigem vastavushindamisasutuse (Conformity Assessment Body, CAB) hinnangutele toetuvat formaalset järelevalvet. Loataotlusega tuleb järelevalvele täiendavalt esitada riskianalüüs, riskide mõju ja leevendusmeetmed. Teeme ettepaneku täiendada eelnõud ja 27  seletuskirja selliselt, et oleks üheselt selge: teenusepakkuja tehnilise vastavuse, riskijuhtimise ja turvameetmete sisuline hindamine toimub vastavushindamise käigus vastavushindamisasutuste poolt. RIA järelevalve ülesanne on kontrollida vastavushindamise tulemuste olemasolu, kehtivust ning nende alusel teenuseosutaja vastavust õigusaktide nõuetele, analoogselt kehtiva kvalifitseeritud usaldusteenuste järelevalvemudeliga. See vastaks paremini ka seletuskirjas kirjeldatud järelevalve rahastamise mahule. Kui seadusandja eesmärk on anda RIA-le sisuline riskide hindamise ning tehniliste ja regulatiivsete turvaintsidentide menetlemise funktsioon, eeldaks see märkimisväärselt suurema erialase võimekuse loomist. Praktikas tähendaks see dubleerivate ametikohtade loomist valdkondades, kus vastav kompetents on juba olemas vastavushindamisasutustes ning osaliselt ka RIA teistes üksustes, mis tegelevad digikukruhankimise ja arhitektuuri kujundamisega. 50. Digikukru, e-identimise süsteemide usaldusväärsuse taseme Arvestatud osaliselt. Seletuskirjas selgemalt hindamine ja sertifitseerimine ning loa andmine. Euroopa kirjeldatud, et sertifitseerimise skoobi määrab digiidentiteedikukru (edaspidi: digikukkur) sertifitseerimise, ära 2981 rakendusakt, samuti alused millised usaldusväärsuse taseme hindamise ja pakkumise loa andmise protsessid ei ole eelnõus piisavalt selgelt reguleeritud. Näiteks ei asutused võivad seda teostada. selgu, kes ja millises menetluses hindab ning kinnitab digikukru Plaan on digikukru hankega leida sobilik usaldusväärsuse taseme „Kõrge“. On mõistetav, et oluline osa lõplik sertimise skeem ja sertifitseerimine. asjassepuutuvast regulatsioonist on eIDAS määruses ning selle alusel Digikukru usaldusväärsuse kõrge tase on välja antud rakendusaktides. Palume siiski vähemalt seletuskirjas selgitada, mis kuulub digikukru sertifitseerimise skoopi, kes ja mis määratud määruses ja rakendusaktides, selle menetluses kinnitab digikukru usaldusväärsuse taseme ning mis on kontroll on osa sertifitseerimisest. digikukru pakkuja loa menetluse skoobis. Segadust lisab see, et digikukrut ja selle pakkumist on käsitletud usaldusteenuste ja Kukru väljaandmise etappidest on koostatud usaldusteenuste osutajate peatükis (EUTS peatükk 2.). Digikurku regulatsioon on näiteks eIDAS määruses e-identimise süsteemide all. ka eraldi analüüs, mis sisaldab viiteid eIDAS Vt sellega seoses ka täpsemat ettepanekut allpool, kirja punktis 8.1. määrusele. Veebis kättesaadav: EUTS-is sätestatud siseriiklikku e-identimise usaldusväärsuse https://www.ria.ee/riigi- 28  tasemete hindamise nõudeid ja korda ei peaks rakendama nende e- infosusteem/elektroonilise-identiteedi- identimise süsteemide osas, mis on läbinud juba sertifitseerimise teenused/digikukkur-eudi- vastavalt eIDAS määrusele. Seetõttu teeme ettepaneku lisada eIDAS wallet#analuusid:~:text=Tegevuste%20tabel% määruse ja rakendusaktide kohaselt sertifitseeritud e-identimise süsteemid eelnõuga EUTS § 1 lõikesse 5. 20EUDIW%20v%C3%A4ljaandmiseks%20% 7C%2087.65%20KB%20%7C%20xlsx. 51. Digikukru sertifitseerimise ja loa kehtivusajad Eelnõu § 1 punktiga Mittearvestatud. Digikukrut ei saa 16 EUTS-i lisatavas § 6 lõikes 5 on pakutud digikukru pakkuja loa võrdsustada usaldusteenustega - need on kehtivusajaks kuni 5 aastat ja seda tulenevalt eeldusest, et digikukkur erinevad teenused. Lühem loa kehtivusaeg on sertifitseeritud 5 aastaks vastavalt eIDAS määrusele. Oleme suurendab halduskoormust ning siiani on kõik seisukohal, et loa väljastamine kuni 5 aastaks seab küsimuse alla tegevusload olnud sünkroonis neile järelevalve ja loa menetluse proportsionaalsuse ja õigustatuse vastavushindamisasutuse (CAB) poolt võrreldes teiste teenuseliikidega. Nii e identimise kui ka väljastatud sertifikaadi kehtivusega (mis on usaldusteenuste puhul kehtib luba 2 aastat. Iseenesest ei pea olema usaldusteenuste puhul 2 aastat). Kukrule loa andmine vaikimisi sünkroonis sertifitseerimisega. tehtud sertifitseering hakkab kehtima 5 aastat Usaldusteenuste osas on varasemalt ettepanekuid tehtud loa ning sellest tulenevalt võiks ka tegevusluba menetluse (kui ka sertifitseerimistsükli) pikendamiseks vähemalt 3 kehtida sama kaua. aastani, kuna korduva vastavushindamise ja loa menetluskoormus on väga suur. Teeme ettepaneku kehtestada digikurku pakkuja loa Kui vahesertifitseerimist ei tehta (või leitakse kehtivusajaks 3 aastat. vahepeal nt suured turvaaugud, mida ettekirjutuse peale korda ei tehta) - on RIAl kui pädeval asutusel alati võimalik tegevusluba kehtetuks tunnistada. 52. Digikurku pakkumise ja usaldusteenuse loa taotlemine ning taotluses Mittearvestatud. Selgitame, et EUTS § 7 lõike esitatavad andmed Eelnõu § 1 punktidega 17-19 täiendatavas EUTS § 3 näol ei ole tegemist uute nõuetega, RIA on 7 lõikes 3 on nõutud hulk uusi andmeid ja tõendeid taotluse samasugust teavet ka siiani loamenetluste esitamiseks, kuid need on halvasti defineeritud. Esitatavate andmete puhul juurde küsinud. Seega eelnõu osas tekib küsimus, et kas need on vajalikud tegevusloa andmiseks täiendamise eesmärk on lahendada just ning kuidas nende sisu muutus mõjutab tegevusluba ja milliseks ettepaneku eesmärki - luua selgust, mida tuleb muutub teenuseosutaja halduskoormus. Näiteks nõutakse EUTS § 7 lg taotlejal loamenetluse puhul esitada. 3 punktiga 1 lisaks muudele andmetele tegevusvoo skeemi. Mis see täpsemalt on ja mille kohta see käima peaks? Milline on suhe nõutud 29 usaldusteenuse kirjeldusse ja kuidas mõjutab skeemi sisu muutus Ka EUTS § 7 lõikes 3 punktis 11 sätestatud tegevusluba? Samuti on toodud selles punktis välja nõue esitada nõue oli enne sätestatus EUTS rakendusaktis “sertifikaat selle olemasolu korral”. Palume täpsustada, mis laadi (majandus- ja taristuministri 26.10.2016 sertifikaadist jutt käib. EUTS § 7 lg 3 p 11 on nõutud põhjendatud määrus nr 64 “Usaldusteenuse osutaja ja järeldust usaldusteenuse ja selle osutaja vastavuse või mittevastavuse usaldusteenuse vastavushindamise kord” - § 3 kohta. Vastavushindamise asutus väljastab vastavalt eIDAS määruses, lg 2 punkt 7). Kuna kõnealune määrus antud rakendusaktides, rahvusvahelistes ja ETSI standardites reguleeritud eelnõuga kaob, siis tõsteti selle säte seadusesse. ning akrediteerimisasutuse kinnitatud vormis vastavushindamise Vastavushindamisasutus peab kontrollima aruande ning usaldusteenuse vastavussertifikaadi. Selles ei esitata usaldusteenuse osutaja vastavust muuhulgas ka eelnõus kirjeldatud laadi “koondjäreldust”. Palume see punkt viia kohalikule regulatsioonile, millega on vastavusse vastavushindamise nõuete ja standarditega. EUTS § 7 lg 3 siseriiklikult üle võetud NIS2 direktiiv (Eestis p 11 NIS2-st tulenevate nõuete hindamine toimub eIDAS määruse on selleks KüTS). Koondjärelduse all peame kohaselt. Eesti seadus ei muuda seda asjaolu ega pea seda eraldi välja silmas audiitori kokkuvõtvat hinnangut tooma. Lisaks tekitab küsimusi, milline peab olema audiitori pädevus usaldusteenuse ja selle osutaja eIDAS nõuetele selles osas. EIDAS määruse alusel on audiitori pädevus määratud. ja seotud siseriiklikele nõuetele vastamise EUTS § 7 lg 3 p 11 ja § 7 lg 3 p 3 esitavad lisanõudeid võrreldes kohta. See võib olla sertifikaadil või rapordi senisega. EIDAS määruse alusel kontrollitakse ka NIS2 nõuetele põhidokumendis ning esitatud paari lausega või vastavust ning kohustuslikuks rakendamiseks NIS2 alusel vastu võetud nt tabeli kujul. Praktikas ei ole siiani antud nõue Euroopa Komisjoni rakendusmääruses on selged nõuded probleeme tekitanud. riskianalüüsi(de) loomisele ja uuendamisele, intsidentide mõju tõlgendamisele ja menetlemisele. Arusaamatu on, milleks need tuleb loa taotlemisel eraldi esitada järelevalvele. Järelevalve võib alati küsida neid, kui tekib täiendavaid küsimusi või kahtlusi. Samuti tekitab see küsimuse, kui vastavat riskianalüüsi uuendatakse, kas siis tuleb ka uuesti luba taotleda või teavitada asjaolude muutumisest? See oleks ebaõiglane koormus usaldusteenuse/kurku pakkujate suhtes, kuna riskianalüüsi tuleb hoida asjakohasena. EUTS § 7 lg 3 punktile 4 vastavalt tuleb esitada tõend kehtiva vastutuskindlustuse kohta. Seda kontrollib audiitor juba vastavushindamisel ning samuti on see märgitud vastavushindamise andesse. Miks peaks selle järelevalvele eraldi esitama? 30 53. Digikukruteenuse pakkuja registreerimisasutuse (Registration Selgitame, et eIDAS ja rakendusmäärused ei Authority, RA) roll ei ole defineeritud Tänase ID-kaardi puhul on defineeri PID väljastuse ja elutsükli kontekstis mudel Politsei- ja Piirivalveamet (PPA) – sertifikaadi väljaandja eraldiseisvat “Registration Authority (RA)” (Certification Authority, CA) – sertifikaat, digikukru puhul aga PPA – Rahvastikuregister – isikuidentifitseerimise andmete (Person rolli. Defineeritud on PID pakkuja ning Identification Data, PID) pakkuja – digikukru pakkuja. Kes otsustab määratud talle PID väljastamisega seotud uues mudelis PID peatamise, PID tühistamise ja digikukru kohustused, sealhulgas nõude tagada LoA peatamise? ITL-i hinnangul on seda vaja kindlasti täpsustada, sest see kõrge nõuetele vastav kasutaja isiku tekitab täiendava riski potentsiaalse intsidendi vastutuse hindamisel. Turvaintsidentide mõiste ja digikukru pakkuja vastutuse ebaselgus tuvastamine jms. Seletuskirja järgi peab digikukru pakkuja raporteerima turvaintsidente, mille mõiste on laiem kui küberintsident. Näitena PID väljastamise ja elutsükli eest vastutab PID tuuakse välja auditeeritud protsessi rikkumine. Samal ajal ei ole pakkuja, kes hangitakse teenusena digikukru selge, kus lõpeb digikukru pakkuja vastutus ja kus algab PPA või mõne muu identiteedi allika vastutus. Kui seadus seda ei täpsusta, hanke käigus. jääb märkimisväärne tõlgendamisruum järelevalvele. Rahvastikuregister ei ole PID pakkuja vaid pigem autentne allikas PID pakkujale. Digikukru pakkujate vastutusejaotust on küsitud Euroopa Liidu Komisjonilt ning saadud järgnev vastus - Digikukru pakkujate üle teostavad järelevalvet artikli 46a alusel määratud järelevalveasutused; artikli 46a lõike 3 punktid a ja b annavad neile asutustele selgesõnalised eel- ja järeljärelevalve volitused. Sertifitseerimisasutused peavad teatama järelevalveasutusele vastavussertifikaatide väljastamisest, 31  peatamisest ja tühistamisest (komisjoni rakendusmäärus (EL) 2024/2981, artikkel 11). 54. Seletuskirja täpsustamine ja kooskõla eIDAS2 määrusega Teeme Arvestatud, seletuskirja täiendatud. ettepaneku täpsustada seletuskirja peatükis „Peamised sihtrühmad“ (lk 14) toodud punkti 3 sõnastust, et see oleks kooskõlas eIDAS2 artikli 5f lõikega 2 ning väldiks võimalikku eksitavat tõlgendamist. Praegusest sõnastusest võib jääda mulje, et aktsepteerimiskohustus laieneb üldiselt kõigile panganduse, finantsteenuste, side, transpordi, energeetika, tervishoiu ja hariduse valdkonna ettevõtjatele. eIDAS2 kohaselt laieneb kohustus siiski üksnes neile erasektori tuginevatele isikutele, kellelt õigusakti või lepingulise kohustuse alusel nõutakse veebis tugevat kasutaja autentimist. Teeme ettepaneku sõnastada peamiste sihtrühmade (lk 14) punkt 3 järgmiselt: „3) erasektori tuginevad isikud, kellelt õigusakti või lepingulise kohustuse alusel nõutakse veebis tugevat kasutaja autentimist, muu hulgas panganduse, finantsteenuste, side, transpordi, energeetika, tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud.“. Muudatus ei muuda seletuskirja sisu, vaid viib selle sõnastuse paremini kooskõlla eIDAS artikli 5f lõikega 2 ning sama seletuskirja teistes osades juba kasutatud terminoloogiaga. 55. Tuginevate isikute register Eelnõuga nähakse ette tuginevate isikute Selgitame, et eelnõu koostamise raames registri loomine. Kas on kaalutud võimalust korraldada tuginevate kaaluti erinevaid variante. Äriregister ning isikute registreerimine olemasoleva registri, näiteks äriregistri, kaudu, mitmed teiste asutuste vastutusel registrid ei selle asemel et luua eraldiseisev register? ITL hinnangul võiks osutunud valituks, sest see oleks teinud olemasolevate riiklike registrite kasutamine vähendada keerulisemaks vastutuse jaotuse Riigi halduskoormust ning vältida dubleerivate registrilahenduste loomist. Infosüsteemi Ameti ning vastava registri vastutava töötleja vahel. Seega viimases 32  valimis olid Riigi Infosüsteemi vastutusel teised andmekogud ning eraldi andmekogu loomine. Kuna EIDAS2 määrus näeb tuginevate isikute registri eraldi ette, otsustati määruse kõige selgema rakendamise huvides luua uus andmekogu. 56. Erasektorit puudutavate kohustuste tähtajad Juhime tähelepanu Arvestatud, seletuskirja täiendatud. Samuti erasektorit puudutavate kohustuste rakendamise tähtaegadele. selgitame, et kohustus aktsepteerida teiste Seletuskirjast nähtub, et kohustatud isikute jaoks on vajalikud mitmed liikmesriikide kukruid kehtib sõltumata Eesti riiklikud eeldused, sealhulgas tuginevate isikute registri loomine, registreerimiskorra kehtestamine, pääsusertifikaatide väljastamise digikukru valmimisajast. korraldus ning muud digikukru ökosüsteemi toimimiseks vajalikud tugilahendused. Samuti on seletuskirjas märgitud, et osa vastavaid lahendusi valmib alles 2026. aasta lõpus või 2027. aastal. Seetõttu peame oluliseks rõhutada, et erasektori kohustatud isikutel peab pärast nende eelduste tegelikku valmimist olema mõistlik aeg süsteemide analüüsimiseks, arendamiseks, testimiseks ja kasutuselevõtuks. Vastasel juhul võib tekkida olukord, kus õigusaktist tulenevad kohustused rakenduvad enne, kui nende täitmiseks vajalikud tehnilised ja menetluslikud eeldused on loodud. Teeme ettepaneku täiendada seletuskirja selgitusega, et kohustuste rakendamisel ja järelevalve teostamisel tuleb arvestada ka riigi poolt vajalike tehniliste ja organisatsiooniliste eelduste tegeliku valmimise ajaga. Ettevõtjatele peab pärast nende eelduste valmimist jääma mõistlik aeg lahenduste arendamiseks, testimiseks ja kasutuselevõtuks ning ettevõtjate valmisoleku hindamisel tuleb seda samuti arvesse võtta. Mingil juhul ei tohi ettevõtjate suhtes rakendada järelevalvemeetmeid ega käsitada kohustuste mittetäitmist rikkumisena olukorras, kus kohustuste täitmiseks vajalikud riiklikud eeldused ei ole õigeaegselt või täiel määral valminud. 57. Sunniraha ülemmäära vähendamine eIDAS 2 artikli 16 eesmärk on Arvestatud, sunniraha ülemmäära vähendatud sätestada rikkumiste eest kohaldatavate haldustrahvide maksimaalne 5 000 000 pealt 500 000ni (10 korda). Summat 33  määr, milleks on kuni 5 miljonit eurot või juriidilise isiku puhul 1% ei vähendatud 50 000ni, et säilitada efektiivne eelneva majandusaasta ülemaailmsest käibest. Tegemist on võimalus mõjutada digikukru pakkujat karistusõigusliku meetmega, mis peab olema tõhus, proportsionaalne õiguskuulekale tegevusele ning täita seeläbi ja hoiatav. Eelnõus on aga sama suur ülemmäär ette nähtud ka eIDAS2 artikli 16 lõikes 1 sätestatud kohustus. sunnirahale (eelnõu § 1 punktiga 41 lisatav EUTS § 231). See ei ole põhjendatud, kuna sunniraha olemus erineb haldustrahvist. Sunniraha Selgitame, et eIDAS2 artikli 16 lõige 1 ei ole karistus, vaid haldussunni meede, mille eesmärk on motiveerida kohustab liikmesriike kehtetama mõjusad, adressaati ettekirjutust täitma. Seetõttu peaks ka sunniraha ülemmäär proportsionaalsed ja hoiatavad normid eIDAS olema proportsionaalne selle eesmärgiga ega peaks olema määruse rikkumise eest kohaldatavate võrdsustatud maksimaalse haldustrahvi määraga. Leiame, et karistuste kohta. See säte kohaldub lisaks maksimaalse haldustrahviga samaväärse igakordse sunniraha usaldusteenuse osutajatele ka digikukru kehtestamine ei ole põhjendatud ning võib kaasa tuua pakkujale. ebaproportsionaalse haldussunni kohaldamise. Palume kaaluda § 231 muutmist selliselt, et sunniraha ülemmäär oleks kooskõlas selle Samas otsustati eelnõu koostamise käigus, et meetme eesmärgi ja olemusega. Näiteks võib võtta eeskuju hiljuti digikukru pakkujale ei määrata trahve selliselt, NIS2 direktiivi ülevõtmiseks muudetud küberturvalisuse seadusest, nagu seda on tehtud usaldusteenuse pakkuja kus maksimaalne trahv on direktiivist tulenevalt 7 miljonit eurot, kuid suhtes (eelnõu järgne EUTS § 232 ). See lähtus sunniraha oluliselt madalam (70 000 eurot). kaalutlusest, et kuna eIDAS2 artikli 16 lõikes 2 (mis näeb ette trahvimäärad) ei nimetata digikukru pakkujaid, oleks trahvi ettenägemine digikukru pakkujale ülereguleerimine (n.ö gold-plating). Vaata ka „Ametniku Euroopa Liidu käsiraamat“ ptk 8.3.5. Seega on piisavalt suur (500 000) sunniraha määr sobiv tasakaalupunkt eIDAS 2 artikli 16 lõikes 1 sätestatud kohustuse täitmiseks digikukru pakkuja suhtes olukorras, kus digikukru pakkujatele pole ette nähtud trahve. 58. Digikukru regulatsiooni paigutus seaduses Teeme ettepaneku Mitte arvestatud. Nõustume, et digikukru paigutada digikukrut reguleerivad sätted EUTS-is eraldi peatükki. See regulatsiooni võiks paigutada seaduses 34  muudaks seaduse ülesehituse selgemaks ning koondaks sisuliselt mitmeti, muuhulgas vastavalt ettepanekule. seotud regulatsiooni ühte kohta, hõlbustades nii seaduse mõistmist kui Ettepanekut kaaluti eelnõu koostamise ka rakendamist. Praeguse eelnõu kohaselt on digikukru pakkujat alguses, aga selle tulemus on mitmete käsitlevad sätted koondatud samasse peatükki usaldusteenuste ja samasisuliste sätete kordamine. Kuna usaldusteenuse osutajate regulatsiooniga. Selline lahendus ei ole ettepanekuga ei kaasne selget kvalitatiivset seaduse süsteemsuse seisukohalt põhjendatud, kuna digikukru kasu võrreldes eelnõu lahendusega, ei hakata regulatsioon on olemuslikult tihedamalt seotud e-identimise kui eelnõud muutma. usaldusteenustega. Praegune regulatsiooni ülesehitus võib tekitada ka õigusselgusetust. Näiteks on usaldusteenuseid reguleeriva EUTS peatüki § 7 lõike 3 punktis 5 loa taotlemise üldnõuete hulgas sätestatud digikukru pakkujale kohalduvad nõuded. Sättest ei nähtu aga üheselt, et need nõuded kohalduvad üksnes digikukru pakkujale, mistõttu võib jääda mulje, et need laienevad kõigile loa taotlejatele. See näide kinnitab, et digikukrut käsitlev regulatsioon tuleb koondada eraldi peatükki. Kui eraldi peatüki loomist ei peeta võimalikuks, tuleks digikukrut käsitlevad sätted paigutada e-identimist reguleerivasse peatükki. 59. Isikukoodi digikukrusse kandmise reguleerimine seaduse tasandil Selgitame, et ettepanekut on kaalutud kuid Palume kaaluda täiendavalt, kas eelnõu § 1 punktiga 13 EUTS-i eelnõud ei muudeta. Eesti isikukood on Eestis lisatavas § 5 lõikes 11 sätestatud nõuet on vajalik reguleerida seaduse vajalik andmeatribuut, et teostada tasandil. Sätte kohaselt peab digikukru pakkuja kandma digikukrusse rahvastikuregistrist asjakohaseid päringuid ja lisaks komisjoni rakendusmääruses (EL) 2024/2977 nõutud valideerimisi. Samuti on see vajalik Eestis e- kohustuslikele isikutuvastusandmetele ka kasutaja isikukoodi. Juhul teenuste kasutamisel. kui Euroopa Liidu õigus jätab liikmesriigile selles küsimuses kaalutlusruumi, võiks kasutaja isikukoodi digikukrusse kandmise otsustamine jääda pädeva asutuse otsustada, mitte olla sätestatud seaduses. 60. Loa andmisest keeldumise aluste kattuvus. Teeme ettepaneku jätta Mitte arvestatud. Selgitame, et tegemist on eelnõu § 1 punktiga 24 EUTS-i lisatava § 9 lõike 1 punkt 4 eelnõust erinevate alustega. § 9 lg 1 p 1 kirjeldab välja. Leiame, et § 9 lõike 1 punkt 4 on üleliigne, kuna selles olukorda, kus audiitor märgib selgesõnaliselt, sätestatud alus on juba hõlmatud § 9 lõike 1 punktiga 1. Loa andmisel et teenuse ja/või teenuse osutaja ei vasta on määrav, kas taotleja, tema osutatav usaldusteenus või digikukkur nõuetele. Uus lg 4 kirjeldab olukorda, kus 35  vastab õigusaktides sätestatud nõuetele. Kui vastavushindamise või audiitori vastavushindamisaruande sertifitseerimise hindamise aruandes esinevad puudused mõjutavad koondjäreldusest võib välja lugeda, et teenus hinnangut nõuetele vastavuse kohta, on loa andmisest võimalik ja/või teenuse osutaja küll vastab nõuetele, keelduda juba § 9 lõike 1 punkti 1 alusel. Kui aruandes esinevad kuid aruandes kirjeldatu alusel jõuab puudused nõuetele vastavuse hinnangut ei mõjuta, ei peaks need järelevalve järeldusele, et esineb olulisi iseseisvalt olema loa andmisest keeldumise aluseks. Lisaks on mõiste puudusi, mille kõrvaldamata jätmiseni ei ole „olulised vastuolud“ ebaselge ega võimalda üheselt kindlaks teha, võimalik tegevusluba väljastada. Näiteks ei ole millistel juhtudel võiks sellele tuginedes loa andmisest keelduda. hinnatud siseriiklikule õigusele vastavust või Seetõttu ei suurenda eelnõuga lisatav punkt 4 õigusselgust, vaid loob hinnatud vastavust valede/aegunud nõuete täiendava määratlemata keeldumise aluse. Õigusselguse põhimõttest alusel või on aruande alusel ilmne, et seda on (Põhiseadus § 10 ja § 13 lõige 2) tulenevalt peab loa taotlejale olema kopeeritud teise aruande pealt ilma sisusse ettenähtav, milliste konkreetsete asjaolude esinemisel võib loa süvenemata. Need näited pärinevad tegelikust andmisest keelduda. Käesoleval juhul on see eesmärk juba saavutatud praktikast. EUTS § 9 lõike 1 punktiga 1, mistõttu puudub vajadus täiendava, sisuliselt kattuva keeldumise aluse sätestamiseks. 61. Sertifikaadi kehtetuks tunnistamise aluste ammendavus Teeme Mitte arvestatud. Sertifikaadi ja ka kogu ettepaneku jätta eelnõust välja eelnõu § 1 punktiga 37 EUTS-i lisatava usaldusteenuste usaldusväärsus on üles § 19 lõike 4 punkt 16. Leiame, et § 19 lõike 4 punktides 1–15 on ehitatud rangete reeglite järgimisele, eriti kvalifitseeritud teenuste puhul. Kui eIDAS või sertifikaadi kehtetuks tunnistamise alused ammendavalt reguleeritud. rakendusaktide nõudeid on rikutud, siis ei saa Eelnõus sisalduv § 19 lõike 4 punktis 16 sätestatud üldine alus ei lisa olla kindel, et sertifikaadid on usaldusväärsed. regulatsioonile sisuliselt midagi, kuid võimaldab tunnistada Sellist "halli ala" ei eksisteeri, et peaks eraldi sertifikaadi kehtetuks ka selliste nõuetele mittevastavuste korral, millel hindama sisulist mõju teenusele. puudub sisuline mõju sertifikaadi usaldusväärsusele või nõuetele Usaldusteenuse maailmas on loogika selline, vastavusele. Selline regulatsioon ei ole kooskõlas proportsionaalsuse et vaja on kindlust usaldusväärsuses, mitte usaldusväärsuse puudumises. Lisaks põhimõttega, kuna ei erista olulisi rikkumisi ebaolulistest. Kui EUTS täpsustame, et antud juhul on tegemist lihtsalt § 19 lõike 4 punkti 16 eelnõust välja jätmist ei peeta võimalikuks, aluste loeteluga, millal võib sertifikaadi teeme alternatiivselt ettepaneku sõnastada EUTS § 19 lõike 4 punkt 16 kehtetuks tunnistamist taotleda. Seega järgmiselt: järelevalveasutusele jääb diskretsiooniõigus, kui tõepoolest on tegu väga väikese eksimusega. 36  „16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi väljastamine ei vastanud usaldusteenuse osutamise loa tingimustele või Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 või käesolevas seaduses sätestatud nõuetele ning sellel on sisuline mõju sertifikaadi usaldusväärsusele või nõuetele vastavusele.“. Antud sõnastus seob sertifikaadi kehtetuks tunnistamise üksnes sellise nõuetele mittevastavusega, mis mõjutab sisuliselt sertifikaadi usaldusväärsust või nõuetele vastavust, ning väldib olukordi, kus sertifikaat tunnistatakse kehtetuks ebaoluliste või vähese mõjuga rikkumiste tõttu. 62. Rahandusmi Teeme ettepaneku lüüa kõik selle õigusaktiga seotud kulud tabelis Arvestatud, seletuskirja kulude peatükki nisteerium lahti järgmises lõikes: täiendatud. -investeeringud ; -tööjõukulud ; -majandamiskulud, mis seotud tööjõukuludega ; -majandamiskulud. 63. Riigi Palume asendada EUTS § 41 lõikes 1 sõna „viivimatult“ väljendiga Arvestatud, § 41 -s täpsustatud 24 tunnine Infosüsteemi „"igal juhul 24 tunni jooksul pärast intsidenti". See tähtaeg tuleneb tähtaeg turvaintsidendist. Amet EIDAS määrusest. 64. Palume muuta ja täiendada EUTS §-i 10 lõikes 3 pärast sõnu Arvestatud, EUTS § 10 lõiget 3 täiendatud „kantakse nimekirja“ sõnaga „kuni“ (kantakse nimekirja kuni kaheks sõnaga „kuni“. aastaks). See viiks sätte sõnastuse kooskõlla ülejäänud loogikaga – usaldusnimekirja kandmine peab olema kooskõlas väljastatud vastavushindamise sertifikaadiga. 65. Palume EUTS § 13 lõikes 4 asendada väljend „Usaldusnimekirjas Arvestatud, EUTS § 13 lõiget 4 muudetud. kajastatud andmete muutmise „ väljendiga „Teenuse muudatuse“. Vastasel juhul peab riigilõivu tasuma ainult siis, kui muutuvad usaldusnimekirjas kajastatud andmed. Praktikas enamasti andmed usaldusnimekirjas ei muutu, kuid muudatuse läbivaatamine ja kinnitamine nõuab RIA-lt omajagu ressurssi. Lisaks ei ole sellise 37 sõnastusega kaetud digikukru muudatused, mida usaldusnimekirja ei kanta. 38  E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu seletuskirja juurde Lisa 1 Rakendusakti kavand MINISTRI MÄÄRUS Digiidentiteedikukrule tuginevate isikute registri põhimäärus Määrus kehtestatakse e-identimise ja e-tehingute usaldusteenuste seaduse § 31 lõike 7 alusel. 1. peatükk Üldsätted § 1. Registri pidamise eesmärk Digiidentiteedikukrule tuginevate isikute registri (edaspidi register) eesmärk on pidada tuginevate isikute ja nende Euroopa digiidentiteedikukru kasutajatelt küsitavate andmete üle arvestust, et tagada õiguspärane teenuse osutamine ja isikule kuuluvate andmete kasutamine. § 2. Registri vastutav töötleja (1) Registri vastutav töötleja on Riigi Infosüsteemi Amet (edaspidi vastutav töötleja). (2) Registri vastutav töötleja majutab registrit ning korraldab registri teenuste ja tehnoloogilise keskkonna haldamist. § 3. Registri kasutajad Registri kasutajad on: 1) registri vastutav töötleja; 2) tuginev isik Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (muudetud määrusega (EL) 2024/1183) tähenduses (edaspidi digiidentiteedikukrule tuginev isik); 3) Euroopa digiidentiteedikukru omanik. § 4. Registri ülesehitus ja turvalisus (1) Registrit peetakse e-identimise ja e-tehingute usaldusteenuste seaduse, avaliku teabe seaduse, isikuandmete kaitse seaduse ja käesoleva määruse kohaselt. (2) Registrit peetakse digitaalse andmekoguna, mis hõlmab aktuaalseid ja arhiveeritud registriandmeid. (3) Registriandmete turvaklass on K2T2S2. Registri turbeaste on keskmine C2I2A2. 2. peatükk Andmekoosseis ja andmete esitamine registrisse § 5. Registrisse kantavad andmed (1) Registrisse kantakse digiidentiteedikukrule tugineva isiku kohta järgmised andmed: 1 1) identifitseerimis-, registri-, asukoha- ja kontaktandmed; 2) andmed digiidentiteedikukrule tugineva isiku tegevuse, osutatavate teenuste, staatuse, õiguste ning vahendaja kasutamise ja vahendussuhte kohta; 3) andmed digiidentiteedikukrule tugineva isiku eesmärgi kohta; 4) andmed, tõendid ja atribuudid, mida digiidentiteedikukrule tuginev isik kavatseb Euroopa digiidentiteedikukrult taotleda; 5) muud registri pidamise eesmärgi täitmiseks vajalikud mitteisikustatud andmed. (2) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid vastavalt e-identimise ja e- tehingute usaldusteenuste seaduse § 3¹ lõikele 3. § 6. Andmeandja (1) Digiidentiteedikukrule tuginev isik edastab registrile järgnevad andmed: 1) e-posti aadressi; 2) oma tööandja nime ja registrikoodi; 3) oma ametinimetuse. (2) Äriregister edastab registrile ettevõtte nime ja registrikoodi. (3) Andmenõusoleku teenuse ja volituste haldamise andmekogu edastab registrile järgnevad andmed: 1) volitaja ja volitatava ees- ja perekonnanime; 2) füüsilise isiku puhul tema isikukoodi; 3) juriidilise isiku puhul tema registrikoodi; 4) volituse ulatuse. § 7. Registritoimingud (1) Registritoimingud on: 1) andmete registrisse kandmine; 2) andmete muutmine; 3) andmete vaatamine; 4) andmete edastamine; 5) andmete kustutamine; (2) Registritoiminguid teevad andmeandja ja vastutav töötleja. (3) Registritoimingu kohta kogutakse järgmisi andmeid: 1) toimingu tegija andmed; 2) toimingu tegemise sisu, kuupäev ja kellaaeg. § 8. Registrisse andmete esitamise ja menetlemise kord (1) Andmeandja esitab enne teenuse osutamisega alustamist andmed teenuse kohta registrisse elektrooniliselt registri kaudu või muul kokkulepitud viisil. (2) Tugineva isiku poolt esitab registrisse andmed seaduslik või volitatud esindaja. Tuginev isiku esindaja tuvastatakse digitaalset isiku tuvastamist võimaldava sertifikaadiga. (3) Registri vastutav töötleja vaatab esitatud andmed üle 20 tööpäeva jooksul ja annab vajadusel tuginevale isikule tähtaja puuduste kõrvaldamiseks. 2 (4) Oluliste puuduste puhul võib vastutav töötleja registreeringu puuduste kõrvaldamiseni peatada. (5) Puuduste tähtajaks kõrvaldamata jätmisel on vastutaval töötlejal õigus motiveeritud otsusega registreering peatada või kehtetuks tunnistada. § 9. Registriandmete õigsus (1) Andmeandja vastutab tema registrisse kantud andmete õigsuse eest. (2) Registriandmetes vea tuvastamisel või veast teadasaamisel on andmeandja kohustatud kontrollima andmete õigsust ja ebaõiged andmed viivitamata parandama. 3. peatükk Juurdepääs registriandmetele ja andmete säilitamine § 10. Juurdepääs registriandmetele (1) Registriandmed on mõeldud Euroopa digiidentiteedikukru teenusega seotud teenuste osutamiseks ja kasutamiseks. (2) Juurdepääsupiiranguga registriandmed on digiidentiteedikukrule tugineva isiku poolt ärisaladuseks määratud vahendaja ja kontaktisiku andmed ning avaliku teabe seaduse § 35 lõike 1 punktis 12 nimetatud teave. (3) Digiidentiteedikukrule tuginev isik teavitab teabe ärisaladuseks määramiseks registri vastutavat töötlejat. § 11. Registriandmete arhiveerimine ja arhiveeritud andmete säilitamise tähtaeg Registriandmeid säilitatakse kümme aastat pärast registrikande kehtetuks muutmist. 4. peatükk Registri rahastamine ja tegevuse lõpetamine § 12. Registri rahastamine Registri pidamise kulu kaetakse vastutavale töötlejale riigieelarvest eraldatud vahenditest. § 13. Registri tegevuse lõpetamine (1) Registri tegevuse lõpetamise otsustab valdkonna eest vastutav minister. (2) Registri tegevus lõpetatakse kooskõlas arhiiviseadusega. (allkirjastatud digitaalselt) Liisa-Ly Pakosta Justiits- ja digiminister (allkirjastatud digitaalselt) 3 Tiina Uudeberg Kantsler 4  14.08.2026 E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu seletuskiri 1. Sissejuhatus 1.1. Sisukokkuvõte Eelnõuga viiakse Eesti õigus kooskõlla Euroopa Liidu uuendatud e-identimise ja usaldusteenuste raamistikuga (nn eIDAS 2), millega luuakse Euroopa digiidentiteedi raamistik ja selle keskse elemendina Euroopa digiidentiteedikukkur. Euroopa Liidu määrus on vahetult kohaldatav, kuid selle terviklik rakendamine eeldab riigisiseste rollide, menetluste ja karistuste kindlaksmääramist. Eelnõu peamine eesmärk on viia Eesti seadused Euroopa digiidentiteedi raamistikuga kooskõlla, tagada Euroopa digiidentiteedikukru (edaspidi ka digikukkur ja kukkur) turvaline kasutuselevõtt Eestis ning sätestada selleks vajalikud riigisisesed reeglid, rollid ja sanktsioonid. Kehtiv õigus ei reguleeri Euroopa digiidentiteedi raamistiku rakendamist piisavalt, kuna riigisisesed rollid, menetlused ja järelevalve ei ole selgelt kindlaks määratud. Seetõttu on vaja seadust kooskõlas Euroopa Liidu uute nõuetega ajakohastada. Kõige olulisemad muudatused on järgmised: – Euroopa digiidentiteedikukru pakkumine tuuakse e-identimise ja e-tehingute usaldusteenuste seaduse reguleerimisalasse; riigil on kohustus teha elanikele kättesaadavaks vabatahtlikult kasutatav riiklikult tagatud Euroopa digiidentiteedikukkur; – Riigi Infosüsteemi Amet määratakse peamiseks pädevaks asutuseks (järelevalve, load, register, teavitamine ja muud liikmesriigi ülesanded); – luuakse Euroopa digiidentiteedikukrule tuginevate isikute registreerimise korraldus; – Euroopa digiidentiteedikukru pakkujale kehtestatakse loamenetlus ja selle eest riigilõiv; – kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse aastane koondsumma suureneb ühelt miljonilt kahe miljoni euroni; – Eestis väljaantavasse Euroopa digiidentiteedikukrusse kantakse lisaks kohustuslikele isikutuvastusandmetele ka isikukood, mis on Eesti jaoks valikuline, kuid kukru praktiliseks kasutatavuseks oluline otsus; – kehtestatakse Euroopa Liidu nõuetele vastavad trahvimäärad (kuni 5 000 000 eurot või 1 protsent üleilmsest aastasest kogukäibest) ning sunniraha igakordne ülemmäär (500 000 eurot või 1 protsent üleilmsest aastasest kogukäibest); – karistusseadustikus lisatakse Euroopa digiidentiteedikukkur tähtsate isiklike dokumentide loetellu; 1 – mitu senist sätet tunnistatakse kehtetuks, kuna need on asendunud Euroopa Liidu otsekohalduvate rakendusmäärustega; – Euroopa digiidentiteedikukru rakendustarkvarale kehtestatakse avatud lähtekoodi nõue koos Eestile lubatud erandi võimalusega; – andmekaitsealases järelevalves ja kaebuste lahendamisel isikuandmete kaitse üldmääruse raames saab olulise rolli ka Andmekaitse Inspektsioon, kes tegutseb pädeva riikliku andmekaitseasutusena. Mõjud on lühidalt järgmised: kodanikud saavad võimaluse kasutada üleeuroopalist digiidentiteeti, mis isikukoodi abil sobitub Eesti e-teenustega; ettevõtjatele luuakse selgemad reeglid usaldusteenuste osutamiseks ja Euroopa digiidentiteedikukru pakkumiseks; kahe paralleelse riikliku e-identimise vahendi (ID-kaart ja teised senised vahendid ning Euroopa digiidentiteedikukkur) olemasolu suurendab e-riigi kerksust. Seaduse rakendamisega kaasnevad riigieelarvele lisakulud, mis jagunevad rakendamiskuludeks ja järelevalve tugevdamise kuludeks. Tegemist on õiguslikult olulise, kuid sisult eelkõige kohustusliku kohandamisega Euroopa digiidentiteedikukru raamistiku elluviimiseks Eestis, kusjuures Eesti valib aktiivse lähenemise, et kukkur oleks laialdaselt kasutatav ka Eesti e-teenuste puhul. Halduskoormusele avalduva mõju kokkuvõte Ettevõtjate halduskoormus ajutiselt suureneb, kuna osa teenuseosutajaid peavad digiidentiteedikukru kasutuselevõtuks oma süsteeme kohandama. Mikro- ja väikeettevõtjad on sellest kohustusest vabastatud. Samas aitab ühtne Euroopa digiidentiteedi lahendus ja digitaalsete tõendite kasutamine edaspidi vähendada kliendituvastuse ja asjaajamisega seotud kulusid. Inimeste halduskoormus väheneb, sest isiku ja vajalike andmete tõendamine muutub lihtsamaks nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Avaliku sektori töökoormus suureneb seoses digiidentiteedikukru arendamise, registri pidamise, järelevalve ja sertifitseerimisega seotud ülesannetega. 1.2. Eelnõu ettevalmistaja Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi IT-õiguse talituse nõunik Mait Heidelberg ([email protected]) koostöös Riigi Infosüsteemi Ameti ekspertidega. Eelnõu on keeleliselt toimetanud Justiits- ja Digiministeeriumi õigusloome korralduse talituse toimetaja Inge Mehide ([email protected]). Valdkonna eest vastutav asekantsler on Tõnu Grünberg. 1.3. Märkused Eelnõu on seotud Euroopa Liidu õiguse rakendamisega: sellega tagatakse kooskõla Euroopa Parlamendi ja nõukogu määrusega (EL) nr 910/20141 (edaspidi ka eIDAS-määrus), mida on 1 Euroopa Parlamendi ja nõukogu 23. juuli 2014. aasta määrus (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114). https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32014R0910 2 muudetud Euroopa Parlamendi ja nõukogu määrusega (EL) 2024/11832 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (edaspidi ka eIDAS 2 määrus), ning nende alusel antud Euroopa Komisjoni rakendusmäärustega. Eelnõuga muudetakse järgmiste seaduste redaktsioone: e-identimise ja e-tehingute usaldusteenuste seadus3 (redaktsioon jõustumiskuupäevaga 01.01.2026), riigilõivuseadus4 (redaktsioon 01.08.2026–31.10.2026) ja karistusseadustik5 (redaktsioon jõustumiskuupäevaga 01.01.2026). Eelnõu ei ole seotud muu menetluses oleva eelnõuga. Eelnõu täidab koalitsioonileppe 2025– 2027 valdkonna 07.1 Digiriik koalitsioonileppe punkti „Teeme andmetega seotud õiguslikus raamistikus asjad selgeks ja ühte moodi tõlgendatavaks ning lihtsustame andmetöötlust“ tegevust „ELi digikukruga seotud selgete rollide määramiseks E-identimise ja e-tehingute usaldusteenuste seaduse muutmine“. Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälte enamus. 2. Seaduse eesmärk Seaduse eesmärk on ajakohastada e-identimise ja e-tehingute usaldusteenuste seadus ning viia see kooskõlla Euroopa Liidu uuenenud õigusaktidega. Sellega luuakse Eestis Euroopa digiidentiteedikukru kasutuselevõtuks, järelevalveks ja õiguskaitseks selge, rakendatav ja usaldusväärne õiguslik raamistik. Valdkonda reguleerib eIDAS-määrus, mida muudeti eIDAS 2 määrusega seoses Euroopa digiidentiteedi raamistiku kehtestamisega. Kuigi tegemist on otsekohalduva määrusega, sisaldab see nõudeid riigisiseste mehhanismide loomiseks, et määrust terviklikult rakendada. Määruse alusel on vastu võetud vähemalt 30 otsekohalduvat rakendusmäärust, mis määruse (EL) nr 910/2014 nõudeid täpsustavad, ning uute rakendusaktide ettevalmistamine ja olemasolevate muutmine jätkub. Euroopa Komisjon kavandab rakendusmääruste ajakohasena hoidmist pideva protsessina, et sünkroniseerida neis olevaid tehnilisi nõudeid pidevalt uuenevate standarditega. Kehtiva regulatsiooni peamine kitsaskoht on, et see ei kajasta Euroopa digiidentiteedi raamistikku: seaduses puuduvad Euroopa digiidentiteedikukru pakkumise, järelevalve ja asjaomaste karistuste normid ning mitu sätet dubleerivad nõudeid, mis on nüüdseks kehtestatud Euroopa Liidu otsekohalduvate rakendusmäärustega. Praktikas on tõlgendamisraskusi tekitanud ka sertifikaatide kehtetuks tunnistamise aluste senine sõnastus (vt seletuskirja § 1 punktide 37–40 selgitusi). E-identimise ja e-tehingute usaldusteenuste seaduse ajakohastamine on vajalik eelkõige järgmistel põhjustel: – uuendatud eIDAS-määrusega võetakse kasutusele Euroopa digiidentiteedikukru kontseptsioon, millega seotud rollide ja vastutuse jaotus Eestis ning järelevalve korraldus tuleb reguleerida seadusega; 2 Euroopa Parlamendi ja nõukogu 11. aprilli 2024. aasta määrus (EL) 2024/1183, millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (ELT L, 2024/1183, 30.04.2024). http://data.europa.eu/eli/reg/2024/1183/oj 3 RT I, 30.12.2025, 16. https://www.riigiteataja.ee/akt/130122025016 4 RT I, 11.07.2026, 166. https://www.riigiteataja.ee/akt/111072026166 5 RT I, 09.07.2026, 27. https://www.riigiteataja.ee/akt/109072026027 3 – uuendatud eIDAS-määrus ja selle rakendusaktid kirjeldavad varasemast detailsemalt mitmeid usaldusteenuse ja selle osutamisega seotud nõudeid, mistõttu on mitu e-identimise ja e- tehingute usaldusteenuste seaduse sätet kaotanud aktuaalsuse ja tuleb dubleerimise vältimiseks kehtetuks tunnistada; – uuendatud eIDAS-määrus näeb ette konkreetsed karistuste ülemmäärad rikkumiste eest, millele vastavad sanktsioonid tuleb Eesti õigusruumis kehtestada. Lisaks kehtestatakse loamenetlus Euroopa digiidentiteedikukru pakkumisele ja selle menetluse kulude katmiseks tehakse vastav täiendus riigilõivuseadusesse. Kuna Euroopa digiidentiteedikukkur kujuneb oluliseks digitaalseks isikutuvastusvahendiks, on otstarbekas käsitleda seda ka karistusseadustikus võrdväärselt teiste isikut tõendavate vahenditega, nagu ID-kaart ja digitaalne isikutunnistus. Nende muudatustega soovitakse saavutada, et Euroopa digiidentiteedikukkur oleks Eestis kasutatav kooskõlas Euroopa Liidu nõuetega, sobituks Eesti olemasolevate e-teenuste ja e-identimise lahendustega ning et riigil oleks olemas vajalikud järelevalve- ja õiguskaitsevahendid. Kaalutud lahendusvariandid ja nende valiku põhjendused on esitatud eelnõu sisu peatükis iga muudatuse juures ning kaalutlusotsuste (muu hulgas isikukoodi kandmine digikukrusse ja avatud lähtekoodi erand) mõjud seletuskirja 6. peatükis. Eelnõule ei eelnenud väljatöötamiskavatsust. See tugineb hea õigusloome ja normitehnika eeskirja § 1 lõike 2 punktile 2, mille kohaselt ei ole väljatöötamiskavatsus nõutav, kui eelnõu käsitleb Euroopa Liidu õiguse rakendamist ning eelnõu aluseks oleva Euroopa Liidu õigusakti eelnõu menetlemisel on sisuline analüüs tehtud Eesti seisukohtade kujundamise käigus. Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus (vt seletuskirja 6. ja 10. peatükki). 3. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb kolmest paragrahvist: – esimene paragrahv sisaldab e-identimise ja e-tehingute usaldusteenuste seaduse muudatusi, mis lisaks uuenenud eIDAS-määruse rakendamisest tingitud lisandustele sisaldavad muu hulgas ka lisandunud ülesannetega seotud rollijaotust valitsusasutuste vahel. Toodud rollijaotus põhineb ametkondadevahelise elektroonse identiteedi juhtrühma arvamusel; – teine paragrahv näeb ette lisandunud loamenetluse eest riigilõivu riigilõivuseaduses; – kolmas paragrahv lisab karistusseadustiku tähtsate isiklike dokumentide loetellu Euroopa digiidentiteedikukru. Eelnõu §-ga 1 muudetakse e-identimise ja e-tehingute usaldusteenuste seadust. § 1 punkt 1. Paragrahvi 1 lõigete 1 ja 2 muudatustega tuuakse seaduse reguleerimisalasse Euroopa digiidentiteedikukru pakkumine, mis lisandus uue mõistena eIDAS-määrusesse selle eIDAS 2 määrusega muutmise tulemusena. Ühtlasi täpsustatakse reguleerimisala sõnastust, lisades sinna e-identimise süsteemi usaldusväärsuse hindamise. Seda toimingut reguleeris seadus ka varem, kuid reguleerimisalas oli see eraldi välja toomata. § 1 punkt 2. Paragrahvi 1 lõike 5 täiendusega lisatakse nende e-identimise süsteemide hulka, mille suhtes ei rakendata kõnesolevas seaduses sätestatud usaldusväärsuse taseme hindamist, 4 ka Euroopa digiidentiteedikukkur. Euroopa digiidentiteedikukkur saab olla ainult usaldusväärsuse tasemega „kõrge“, mis leiab kinnitust sertifitseerimise kaudu. § 1 punkt 3. Paragrahv 2 muudetakse ja sõnastatakse tervikuna uuesti, kuna uuenenud eIDAS- määrus tingib pädevuse jaotuse mitme asutuse vahel; paragrahvi uus pealkiri on „Asutuste pädevus“. Paragrahvi 2 täiendatakse lõigetega, mis määravad eri rollide jaotuse vastavalt uuenenud eIDAS-määruse nõuetele. Lõikega 1 lisatakse viited uuendatud eIDAS-määruse sätetele, kus kirjeldatakse liikmesriigi kohustusi või toiminguid, mis on liikmesriigi pädevuses. Ametkondadevahelise elektroonse identiteedi juhtrühma arvamuse kohaselt nähakse pädeva asutusena ette Riigi Infosüsteemi Amet. Pädeva asutuse ülesandeid täidab Riigi Infosüsteemi Amet mitmes eristatud rollis: järelevalveasutusena, kes teeb järelevalvet Euroopa digiidentiteedikukru pakkuja üle; hankijana, kes korraldab digikukru teenusepakkuja hankemenetluse riigi nimel, ning taristu haldajana, kes korraldab digikukru infrastruktuuri loomist ja haldamist. Rollide lahusus tagatakse Riigi Infosüsteemi Ameti sisese ülesannete jaotusega, mille kohaselt järelevalvet tegevad töötajad ei osale digikukru hanke korraldamises ega infrastruktuuri haldamises. Politsei- ja Piirivalveameti hankeroll isikut tõendavate dokumentide (ID-1-dokumendid) usaldusteenuse hangete korraldamisel on Riigi Infosüsteemi Ameti pädeva asutuse rollist iseseisev, kuna Politsei- ja Piirivalveamet hangib usaldusteenust enda väljastatavatele dokumentidele, mitte ei tee selle üle riiklikku järelevalvet. Digikukruga seotud detailsem rollijaotus on läbi räägitud ja kokku lepitud töörühma tasandil (nt digiidentiteedi juhtrühmas mh 19.06.2024 ja 16.07.2024). Lõige 2 puudutab liikmesriigi kohustust teha isikutele kättesaadavaks Euroopa digiidentiteedikukkur. Vastavalt eIDAS-määrusele võib seda teha vahetult liikmesriik, seda võib teha liikmesriigi volituse alusel või sõltumatult, kuid liikmesriigi tunnustatuna. Kui eelmise lõikega omistati see kohustus pädevale asutusele, siis lõikega 2 antakse pädevale asutusele võimalus Euroopa digiidentiteedikukru pakkumist ja selleks vajalikke tegevusi allhankida. Lõige 3 määrab kindlaks, et eIDAS-määruse artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5 punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab Andmekaitse Inspektsioon. Nimetatud sätete kohaselt peab Euroopa digiidentiteedikukkur võimaldama kasutajal andmete saamiseks esitatud väidetavalt ebaseadusliku või kahtlase taotluse korral hõlpsasti teatada digidentiteedikukrule tuginevast isikust pädevale riiklikule andmekaitseasutusele. Sisuliselt on tegemist teavituskanaliga, mille kaudu Andmekaitse Inspektsioon saab teavet võimalikest andmekaitsealastest rikkumistest; teate saamisel menetleb Andmekaitse Inspektsioon seda oma tavapärase pädevuse piires isikuandmete kaitse üldmääruse alusel. Kooskõlastusringil esitatud Andmekaitse Inspektsiooni märkuste alusel koondati Andmekaitse Inspektsiooni rolli käsitlev regulatsioon sellesse lõikesse ning eelnõust jäeti välja seda dubleerinud ja Andmekaitse Inspektsioonile eIDAS-määruse artikli 46a kohast järelevalvepädevust andnud sätted, sest määruse artikli 46a kohane järelevalveasutus on üksnes pädev asutus (Riigi Infosüsteemi Amet). Lõige 4 määrab valdkonna eest vastutava ministeeriumi korraldama Euroopa digiidentiteedikukru sertifitseerimise kava väljatöötamist, Euroopa Komisjoni teavitamist sertifitseerijast ja avaliku sektori asutustest, kes väljastavad eIDAS-määrusele vastavaid tõendeid. 5 § 1 punkt 4. Peatüki 2 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru pakkuja. § 1 punkt 5. Paragrahvi 3 lõikes 2 täpsustatakse eIDAS-määruse sätte viidet, kuna säte on jäänud samaks, kuid numeratsioon on määruse uues versioonis muutunud. Pädeva asutusena mõeldakse § 1 p 3 kohast pädevat asutust ehk RIA-t. § 1 punkt 6. Lisanduva paragrahviga 3¹ luuakse Eestis eIDAS-määruse artikliga 5b ja komisjoni rakendusmäärusega (EL) 2025/8486 ette nähtud digiidentiteedikukrule tuginevate isikute registreerimiseks vajalik register. eIDAS-määruse artikkel 5b ja nimetatud rakendusmäärus näevad ette, et liikmesriigid loovad vähemalt ühe Euroopa digiidentiteedikukrule tuginevate isikute riikliku registri, mis sisaldab teavet selles liikmesriigis asutatud ja registreeringut omavate digiidentiteedikukrule tuginevate isikute kohta. Paragrahviga nähakse ette vastava andmekogu loomine, sinna esitatavate andmete koosseis, andmete esitamise korra kehtestamine, andmete säilitamise tähtaeg ning registreeringu peatamine ja tühistamine. Andmekogu asutamisel on järgitud avaliku teabe seaduse § 43⁵ nõudeid: paragrahvi lõikes 1 sätestatakse andmekogu pidamise eesmärk, lõikes 2 registrisse teabe esitamise korra kehtestamine ja avalikustamine, lõikes 3 registris isikuandmetena töödeldavate andmete koosseis, lõikes 4 andmete säilitamise tähtajad, lõikes 5 registriandmete avalikkus, lõikes 6 andmekogu vastutav töötleja (Riigi Infosüsteemi Amet), lõikes 7 volitusnorm registri põhimääruse kehtestamiseks ning lõikes 8 registreeringu peatamine ja tühistamine. Registri liidestamisel teiste andmekogudega järgitakse avaliku teabe seaduse § 43⁹ lõiget 5 (andmevahetus X-tee kaudu). Lõikes 3 sätestatakse registris isikuandmetena töödeldavate andmete koosseis: digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanimi, isikukood, kontaktandmed ning logiandmed. Isikuandmete töötlemine registris piirdub seega peamiselt juriidiliste isikute esindajate ja kontaktisikute andmetega. Töödeldavate isikuandmete kategooriad lisati seadusesse kooskõlastusringil Andmekaitse Inspektsiooni ning Siseministeeriumi infotehnoloogia- ja arenduskeskuse esitatud märkuste alusel, et andmekoosseis ei jääks õigusselguse seisukohalt liiga avatuks. Lõikes 4 sätestatakse andmete säilitamise tähtajad kolme andmekategooria kaupa. Punkti 1 kohaselt säilitatakse rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid vastavalt rakendusmääruse kohaselt kümme aastat. Seda tähtaega seaduses korratakse, et tagada ülevaade andmete säilitamise tähtaegadest. Punkti 2 kohaselt säilitatakse logiandmeid kümme aastat. Selle eesmärk on võimalike intsidentide lahendamine (näiteks andmete väärkasutus, mis selgub aastaid hiljem). Intsidentide lahendamise korral on vaja alles hoida ka kõiki nende andmetega seotud tehnilisi andmeid (näiteks logid, kontaktisikute nimed ja muud menetlusandmed), kuna ka need võivad intsidentide lahendamisel vajalikuks osutuda. Punkti 3 kohaselt säilitatakse muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik muudab registrikannet. Silmas peetakse digiidentiteedikukrule tugineva isiku esindaja kontaktandmeid (näiteks e-posti aadress), mis kustutatakse kohe pärast vastava registrikande muutmist. See võib toimuda näiteks siis, kui digiidentiteedikukrule tugineva isiku esindaja vahetub ning registrisse on vaja 6 Komisjoni 6. mai 2025. aasta rakendusmäärus (EL) 2025/848, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad kukrule tuginevate isikute registreerimise kohta (ELT L, 2025/848, 7.5.2025). http://data.europa.eu/eli/reg_impl/2025/848/oj 6 kanda uue esindaja kontaktandmed. Lisaks eelnimetatud kolmele andmekategooriale säilitatakse ka muid registri pidamise eesmärgi täitmiseks vajalikke isikuandmeid mittesisaldavaid andmeid (kõnesoleva seaduse § 3¹ lõike 3 punkt 5) kümme aastat, mis on vajalik nende ühtseks toimimiseks muude kogutavate andmetega. Seaduses seda andmekategooriat eraldi ei käsitleta, kuna sellega ei kaasne põhiõiguste riivet. Lõike 5 kohaselt on registrisse kantud andmed avalikud, välja arvatud avaliku teabe seaduse alusel määratud piiratud juurdepääsuga teave. Andmete avalikkuse nõue tuleneb eIDAS- määruse artikli 5b lõikest 5 ja rakendusmääruse (EL) 2025/848 artikli 3 lõikest 4, mille kohaselt tuleb digiidentiteedikukrule tuginevate registreeritud isikute kohta käiv nimetatud rakendusmääruse I lisas loetletud teave teha internetis avalikult kättesaadavaks nii inim- kui ka masinloetavas vormingus. Juurdepääsu piiramise alus peab tulenema seadusest: avaliku teabe seaduse (AvTS) § 3 lõikes 2 väljendatud avalikkuse põhimõtte kohaselt võib avalikule teabele juurdepääsu piirata üksnes seaduses sätestatud korras, mistõttu ei saa registriandmetele vaikimisi teabepiirangut ette näha. Praeguse teadmise kohaselt on piiratud juurdepääsuga näiteks digiidentiteedikukrule tugineva isiku ärisaladuseks määratud vahendaja ja kontaktisiku andmed, kui need määratakse ärisaladuseks AvTS-i § 35 lõike 1 punkti 17 alusel. Lisaks AvTS- i § 35 lõike 1 punktile 17 võib teabele juurdepääsu piiramise aluseks olla ka sama lõike punkt 12 (eraelu puutumatust kahjustav teave), näiteks rakendusmääruse (EL) 2025/848 artikli 3 lõike 4 alla mittekuuluvate isikuandmete puhul. Seetõttu tuleb registri põhimääruses eristada avalikustatav teave (rakendusmääruse I lisa) juurdepääsupiiranguga andmetest. Lõikega 6 määratakse andmekogu vastutavaks töötlejaks Riigi Infosüsteemi Amet. Vastutava töötleja ülesandeid täpsustatakse andmekogu põhimääruses. Lõikega 7 antakse volitusnorm registri põhimääruse kehtestamiseks valdkonna eest vastutavale ministrile. Põhimääruses sätestatakse andmete täpne koosseis, andmeandjad ja nende esitatavad andmed, registritoimingute ja andmete säilitamise täpsemad tingimused, registri rahastamine ning registriga seotud muud korralduslikud nõuded. Lõike 2 kohaselt kehtestab ja avalikustab Riigi Infosüsteemi Amet oma veebilehel registrisse teabe esitamise korra. See kord hõlmab üksnes registreerimise tehnilisi ja korralduslikke üksikasju (näiteks andmete esitamise vorming ja kanalid); isikute õigusi ja kohustusi puudutavad registreerimiskorra elemendid, sealhulgas andmete esitamise ja menetlemise täpsem kord, sätestatakse seaduses ja lõike 7 alusel antava registri põhimääruse §-s 8. Lõike 8 kohaselt võib pädev asutus teha otsuse digiidentiteedikukrule tugineva isiku registreeringu peatamiseks või tühistamiseks rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2 loetletud juhtudel. § 1 punkt 7. Paragrahvis 41 sätestatakse digiidentiteedikukru pakkuja ja usaldusteenuse osutaja kohustus teavitada pädevat asutust turvaintsidentidest. eIDAS-määrus ning komisjoni rakendusmäärus (EL) 2025/847 näevad ette liikmesriikide kohustuse reageerida Euroopa digiidentiteedikukruga seotud turvarikkumistele ning teavitada vajaduse korral Euroopa Komisjoni ja teisi liikmesriike, kuid ei pane Euroopa digiidentiteedikukru pakkujale otsest kohustust teavitada riigisisest pädevat asutust. Kuna Euroopa digiidentiteedikukru pakkuja ei ole Euroopa Liidu õiguse kohaselt automaatselt direktiivi (EL) 2022/2555 ega selle Eesti rakendusakti, küberturvalisuse seaduse kohaldamisalasse kuuluv subjekt, on vaja kehtestada vastav riigisisene teavitamiskohustus. Usaldusteenuse osutajate puhul sisuliselt taastatakse teavituskohustus, mis kehtis kuni 1. jaanuarini 2026, arvestades et küberturvalisuse seaduses sätestatud küberintsidendi määratlus 7 ei hõlma täies ulatuses usaldusteenuse osutamisel ega Euroopa digiidentiteedikukru pakkumisel tekkida võivaid turvaintsidente. Küberturvalisuse seaduse § 2 punkti 19 kohaselt on küberintsident võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja infosüsteemi turvalisust. Näiteks kui usaldusteenuse osutaja või tema partner väljastab sertifikaate auditeeritud protsessi tingimusi rikkudes, ei ole tegemist küberintsidendiga küberturvalisuse seaduse ega direktiivi (EL) 2022/2555 tähenduses, vaid turvaintsidendiga eIDAS-määruse tähenduses; ka sellistest intsidentidest tuleb pädevat asutust teavitada. Lõikes 1 sätestatakse Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja kohustus teavitada pädevat asutust 24 tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib mõjutada usaldusteenuse, Euroopa digiidentiteedikukru või selle kaudu osutatava teenuse turvalisust, töökindlust või usaldusväärsust; säte hõlmab nii tegelikke kui ka olulise mõjuga võimalikke turvaintsidente. 24 tunni tähtaeg tuleneb eIDAS-määrusest; see täpsustati kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul. Lõikes 2 määratakse kindlaks teate sisu, mis võimaldab pädeval asutusel hinnata turvaintsidendi mõju ning otsustada vajalike meetmete üle. Lõikes 3 antakse pädevale asutusele õigus nõuda täiendavat teavet ja dokumente, kui see on vajalik turvaintsidendi mõju hindamiseks või Euroopa Liidu õigusest tulenevate kohustuste täitmiseks. § 1 punkt 8. Paragrahvi 5 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru pakkuja ja pakkumise. § 1 punkt 9. Paragrahvi 5 lõikega 1 lisatakse nõuete subjektiks ka Euroopa digiidentiteedikukru pakkuja ja objektiks Euroopa digiidentiteedikukru pakkumine. Samas jäetakse välja viide avalikult heakskiidetud ja kättesaadavatele spetsifikatsioonidele. Selle asemel viidatakse eIDAS-määruse rakendusaktidele, mis praeguseks määravad täpselt kindlaks, milliseid standardeid ja spetsifikatsioone tuleb järgida. Lõikes 2 muudetakse kvalifitseeritud usaldusteenuse osutajalt nõutava kindlustuskatte summa suurust kõigi kindlustusjuhtumite kohta aastas. Senise ühe miljoni euro asemel nõutakse kahe miljoni euro suuruse kindlustuskatte olemasolu. Summa on olnud üle kümne aasta muutumatu ega suhestu enam praeguse hinnatasemega. Samas jääb iga üksiku kindlustusjuhtumi kohta nõutav kindlustuskate endiseks. § 1 punkt 10. Paragrahvi 5 lõikega 3 pikendatakse kvalifitseeritud usaldusteenuse osutaja tegevuslogi säilitamise tähtaega kümnelt aastalt kaheteistkümnele aastale kirje loomisest arvates. Lõiget 3 muudetakse Politsei- ja Piirivalveameti ettepanekul. 2026. aasta kevadel tehtud eIDAS-i auditi raames andis audiitor hinnangu, et eIDAS-määruse ja rahvusvahelise ETSI standardi (ETSI EN 319 411-1, nõuded OVR-6.4.6-01 ja REG-6.3.4-17) kohaselt peavad logid ja tõendid sertifikaatide kasutustingimustega nõustumise kinnituse kohta olema kättesaadavad kuni 12 aastat. Kvalifitseeritud sertifikaadi maksimaalne kehtivusaeg on kuni viis aastat ja ETSI standardi kohaselt tuleb sertifikaatidega seotud sündmusi logida vähemalt seitse aastat pärast sertifikaadi kehtivuse lõppu. Tsiviilseadustiku üldosa seaduse (TsÜS) § 146 lõike 4 kohaselt on tahtliku rikkumise korral nõuete aegumistähtaeg kümme aastat. Kuna vaidlused võivad tekkida vahetult enne seda tähtaega ja selle tähtaja piiril ning neile lisandub menetlusaeg, tagab 12-aastane logide puhver selle, et vajalikud tõendid ja logid (sertifikaatide kehtivusajad, sertifikaatide kasutustingimuste logid) on kohtuvaidluste tarbeks kättesaadavad. 8 § 1 punkt 11. Senine paragrahvi 5 lõige 4 tunnistatakse kehtetuks, kuna üksikasjalikud nõuded tegevuse lõpetamise kavale on praeguseks kehtestatud eIDAS-määruse otsekohalduva rakendusaktiga. § 1 punkt 12. Paragrahvi 5 lõike 5 täiendus on vajalik, kuna isiku tuvastamist käsitlevad sätted on eIDAS-määruses muutunud. Viidatud artikli 24 lõike 1a punkt d käsitleb isiku tuvastamist füüsilise kohaloleku korral vastavalt riigisisesele õigusele. Lõikega täpsustataksegi, kuidas sellises olukorras Eestis isikut tuvastatakse. § 1 punkt 13. Paragrahvi 5 lõikega 9 laiendatakse karistatuse puudumise nõuet ka usaldusteenuse osutaja alltöövõtjale. Täiendus on vajalik, et viia seaduse tekst kooskõlla uuenenud eIDAS-määruse ja komisjoni rakendusmääruse (EL) 2025/25307 nõuetega. § 1 punkt 14. Paragrahvi 5 lisatakse lõiked 10–12, mis käsitlevad Euroopa digiidentiteedikukru pakkumist. Lõige 10. Vastavalt eIDAS-määruse artikli 5a lõikele 2 peab Euroopa digiidentiteedikukru rakendustarkvara komponentide lähtekood olema avatud lähtekoodi litsentsiga. Samas antakse liikmesriikidele võimalus näha ette erand. Kõnesoleva sättega nähakse selline võimalus Eesti jaoks ette. Lõige 11 näeb ette, et Euroopa digiidentiteedikukru pakkuja lisab kukru kasutaja isikutuvastusandmete hulka ka isikukoodi, mis komisjoni rakendusmääruse (EL) 2024/29778 kohaselt on valikuline parameeter. Selle kaalutlusotsuse mõju on käsitletud seletuskirja 6. peatükis. Euroopa digiidentiteedikukru sihtrühm on Eesti isikukoodi omavad isikud: Eestis planeeritakse kukrut pakkuda Eesti kodanikele ja Eesti isikukoodi omavatele residentidele, e-residentide toetamist praegu ei planeerita. Seda selgitust täiendati kooskõlastusringil Rahandusministeeriumi märkuse alusel. Lõige 12 sätestab Euroopa digiidentiteedikukru pakkuja õiguse teha päringuid isikut tõendavate dokumentide andmekogusse (ITDAK) ja rahvastikuregistrisse, kui see on vajalik isikutuvastusandmete kukrusse kandmiseks või nende ajakohasuse kontrollimiseks. Mõju nendele andmekogudele on kavandatud järgmiselt. Isikut tõendavate dokumentide andmekogust on planeeritud küsida teatud juhtudel isiku näokujutist (pilti). Rahvastikuregistrist on planeeritud küsida muid komisjoni rakendusmääruse (EL) 2026/1731 (millega muudetakse rakendusmäärust (EL) 2024/2977) tabelis 1 loetletud isikutuvastusandmeid, sealhulgas kasutaja sünnikohta. Kõik kohustuslikud isikutuvastusandmed peale näokujutise saadakse rahvastikuregistrist selle alusel, millega inimene ennast isikutuvastusandmete väljastamiseks tuvastas. Samuti nõuab eIDAS-määruse artikli 5a lõike 9 punkt c, et liikmesriigid tagavad võimaluse tunnistada Euroopa digiidentiteedikukkur kasutaja surma korral kehtetuks. Andmeid päritakse isiku enda algatusel kukru väljastamisel või andmete ajakohasuse kontrollimisel ühekordselt ning need salvestatakse konkreetse inimese seadmes olevasse kukrusse; näokujutise hilisemal kasutamisel võetakse see seadmest, seega ei kaasne püsivat päringukoormust isikut tõendavate dokumentide andmekogule. Praeguse teadmise kohaselt ei 7 Komisjoni rakendusmäärus (EL) 2025/2530 (ELT L, 2025/2530). 8 Komisjoni 28. novembri 2024. aasta rakendusmäärus (EL) 2024/2977 (ELT L, 2024/2977, 4.12.2024). 9 eelda eelnõu rakendamine rahvastikuregistri ega isikut tõendavate dokumentide andmekogu arendusi, sest kasutatakse nende olemasolevaid teenuseid X-tee kaudu. Isikuandmete töötlemise õiguslikud alused on järgmised. Näokujutise saamiseks isikut tõendavate dokumentide andmekogust on aluseks Euroopa digiidentiteedikukru pakkuja ja andmeandja vaheline andmetöötlusleping ning komisjoni rakendusmääruse (EL) 2026/1731 tabelis 1 sätestatud isikutuvastusandmete koosseis kooskõlas isikuandmete kaitse üldmääruse (IKÜM) artikli 6 lõike 1 punktiga b. Rahvastikuregistrist andmete saamise alus on andmetöötlusleping ning rahvastikuregistri seaduse § 46 lõike 2 punkt 2 kooskõlas IKÜM-i artikli 6 lõike 1 punktidega b ja c. Andmetöötlus toimub analoogselt ID-kaardi ja mobiil-ID-ga, mille puhul erasektori teenusepakkuja töötleb isikuandmeid riigi tellimusel teenuse osutamiseks. Põhiseaduse ja IKÜM-i valguses riivab Euroopa digiidentiteedikukru pakkumisel toimuv isikuandmete töötlemine põhiseaduse §-ga 26 tagatud eraelu puutumatust ja § 19 lõikest 1 tulenevat informatsioonilist enesemääramist, kuid riive on põhiseaduspärane. Töötlemise juhud ja kord on sätestatud vahetult kohalduvas eIDAS-määruses ja selle rakendusaktides, mis sisaldavad erandlikult üksikasjalikke ja siduvaid kaitsemeetmeid: andmete valikuline avaldamine ja kasutaja ainukontroll (artikli 5a lõike 4 punkt a), keeld koguda teenuse osutamiseks mittevajalikku teavet ja kohustus hoida kukru pakkumisega seotud isikuandmeid muudest andmetest loogiliselt lahus (artikli 5a lõige 14), jälgimis- ja seostamiskeeld (artikli 5a lõige 16) ning kasutamise vabatahtlikkus (artikli 5a lõige 15). Kukru kasutamine on vabatahtlik ja andmetöötlus toimub iga kord kasutaja algatusel; lisaks kohustab eIDAS-määrus kukru pakkujat võimaldama kasutajal valida, milliseid andmevälju ta soovib e-teenusega jagada. Isikutuvastusandmeid ja tõendeid säilitatakse kasutaja seadmes kasutaja kontrolli all, mitte riigi keskses andmekogus. Töötlemise õiguslik alus on IKÜM-i artikli 6 lõike 1 punkt c (õiguslik kohustus, mis tuleneb eIDAS-määrusest ja selle rakendusaktidest) ning punkt e koosmõjus artikli 6 lõikega 3 (avalikes huvides olev ülesanne). Liikmesriigi poolt või nimel toimuva töötlemise vastavust IKÜM-ile tuleb eIDAS-määruse artikli 5a lõike 17 kohaselt tõendada; selleks koostab Riigi Infosüsteemi Amet enne kukru kasutuselevõttu andmekaitsealase mõjuhinnangu (IKÜM-i artikkel 35). Riive eesmärk (identiteedikindlus ning teiste isikute õiguste ja vabaduste kaitse digikeskkonnas) on legitiimne ning valitud vahendid on sobivad, vajalikud ja mõõdukad, sest töödeldavate andmete ring piirdub eIDAS-määruses ja selle rakendusaktides sätestatud koosseisuga ning kasutajal säilib tegelik võimalus töötlemisest hoiduda, kasutades seniseid e-identimise vahendeid. § 1 punkt 15. Paragrahvi 6 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru pakkuja. § 1 punkt 16. Kuna muudetav paragrahv 6 hõlmab kahte eri luba, täpsustatakse lõike 2 sõnastust nii, et see käib usaldusteenuse osutamise kohta. Samuti lisatakse loa kehtivuse aja kohta sõna „kuni“, sest luba tugineb auditi aruandele, mille aktuaalsus piirneb küll kahe aastaga, kuid audit võib olla tehtud ka oluliselt enne loataotluse esitamist. § 1 punkt 17. Paragrahvi 6 täiendatakse lõigetega 4 ja 5, kuna eIDAS-määruse kohaselt peab Euroopa digiidentiteedikukru pakkuja läbima sertifitseerimise, kus vastavushindamisasutus kinnitab määrusega ettenähtud nõuete täitmist ja väljastab selle kohta sertifikaadi. Sertifikaadi kehtivus on kuni viis aastat, misjärel tuleb sertifitseerimine uuesti läbida. Otstarbekas on ka loa kehtivusaeg hoida sünkroonis sertifikaadi kehtivusega. Lõikega 4 kehtestatav loakohustus laieneb Euroopa digiidentiteedikukru pakkumisele samamoodi nagu paragrahvi 6 lõikes 1 sätestatud loakohustus usaldusteenuse osutamisele. Nõue tuleneb eIDAS-määruse artikli 46a 10 lõike 3 punktist a, mille kohaselt teeb järelevalveasutus Euroopa digiidentiteedikukru pakkujate üle järelevalvet nii ex ante kui ka ex post, tagamaks pakkujate ja nende pakutavate Euroopa digiidentiteedikukrute vastavus määruse nõuetele. Loakohustus võimaldab pädeval asutusel veenduda kukru pakkuja nõuetele vastavuses enne pakkumise alustamist. Loakohustus riivab põhiseaduse §-s 31 sätestatud ettevõtlusvabadust, kuid riive on põhiseadusega kooskõlas. Riivel on legitiimne eesmärk: tagada, et isikutuvastuse ja isikuandmete töötlemise seisukohalt eriti tundlikku teenust pakub üksnes nõuetele vastav isik. Meede on sobiv ja vajalik, sest kukru nõuetele vastavust ei ole võimalik sama tõhusalt tagada üksnes tagantjärele tehtava järelevalvega, ning mõõdukas, kuna loa saamise tingimused piirduvad eIDAS-määrusest tulenevate nõuete täitmise kontrolliga ja loakohustus järgib sama loogikat, mis kehtib juba kvalifitseeritud usaldusteenuse osutajate suhtes. Luba kehtib kuni viis aastat: loa kehtivusaeg on kooskõlas sertifikaadi kehtivusega ning kui sertifikaat mingil põhjusel kaotab kehtivuse (näiteks kui eIDAS-määruse artikli 5c lõikes 4 nimetatud korralist nõrkuste hindamist ei tehta või tuvastatud puudusi ettekirjutusest hoolimata ei kõrvaldata), tunnistab pädev asutus ka loa kehtetuks. Sätte eesmärk ei ole kehtestada, et luba kehtib igal juhul viis aastat. § 1 punktid 18 ja 19. Paragrahvi 7 lõike 3 punkti 1 muudetakse ja lõiget 3 täiendatakse punktiga 1¹, et loetleda täpsemalt dokumendid, mis on vajalikud loataotluse menetlemiseks. Vastavushindamiselt oodatakse ka kinnitust vastavuse kohta küberturvalisuse seaduse nõuetele, kuna eIDAS-määrus kohustab usaldusteenuse osutajat järgima ka Euroopa Parlamendi ja nõukogu direktiivi (EL) 2022/25559 nõudeid, mis ei rakendu otse, vaid on Eestis üle võetud küberturvalisuse seadusega. Punktis 1 täpsustati kooskõlastusringil Siseministeeriumi infotehnoloogia- ja arenduskeskuse märkuse alusel, et taotlusele lisatakse usaldusnimekirja lisatav teenuse sertifikaat selle olemasolu korral. Silmas peetakse usaldusnimekirja lisatavat teenuse sertifikaati, mitte vastavushindamisasutuse väljastatud sertifikaati; kuna kõigil teenustel sellist sertifikaati ei ole, esitatakse see üksnes olemasolu korral. Punktis 1¹ nimetatud põhjendatud järeldus (koondjäreldus) usaldusteenuse ja selle osutaja vastavuse või mittevastavuse kohta tähendab audiitori kokkuvõtvat hinnangut usaldusteenuse ja selle osutaja eIDAS-määruse nõuetele ja seotud riigisisestele nõuetele vastavuse kohta. See võib sisalduda sertifikaadil või aruande põhidokumendis ning olla esitatud paari lausega või näiteks tabeli kujul. Samasisuline nõue oli varem majandus- ja taristuministri 26. oktoobri 2016. a määruse nr 64 „Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord“ § 3 lõike 2 punktis 7; kuna nimetatud määrus muutub eelnõu kohaselt kehtetuks, tõstetakse nõue seadusesse. Vastavushindamisasutus peab kontrollima usaldusteenuse osutaja vastavust muu hulgas ka küberturvalisuse seadusele, millega on riigisiseselt üle võetud direktiiv (EL) 2022/2555. Praktikas ei ole see nõue probleeme tekitanud. § 1 punkt 20. Paragrahvi 7 lõike 3 punktiga 3 lisatakse taotlemisel esitatavate dokumentide hulka ka teenuse riskianalüüs. Küberturvalisuse seadusest tulenevalt on kvalifitseeritud usaldusteenuse osutaja ülioluline üksus, kellel on kohustus teha riskianalüüs. Lisatud sättega nähakse loamenetlejale ette võimalus selle riskianalüüsiga tutvuda. 9 Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiiv (EL) 2022/2555, mis käsitleb meetmeid, millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014 ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv) (ELT L 333, 27.12.2022, lk 80–152). 11 Punktiga 4 lisatakse taotlemisel esitatavate dokumentide hulka tõend kindlustuse olemasolu kohta. Punktiga 5 nähakse ette Euroopa digiidentiteedikukru pakkuja loataotluse menetlemiseks vajalikud dokumendid: eIDAS-määruse artikli 5c lõike 2 kohaselt tuleb liikmesriigil edastada Euroopa Komisjonile selle e-identimise süsteemi kirjeldus, mille alusel Euroopa digiidentiteedikukrut pakutakse, Euroopa digiidentiteedikukru sertifikaat ja sertifitseerimise hindamise aruanne. § 1 punkt 21. Paragrahvi 7 lõige 4 tunnistatakse kehtetuks, kuna eIDAS-määruse rakendusaktid kirjeldavad ammendavalt standardeid, mille kohaselt tuleb usaldusteenuse osutamise põhimõtteid kirjeldada. § 1 punkt 22. Paragrahvi 8 punkti 1 lisatakse ka Euroopa digiidentiteedikukru pakkumine. Kuna loamenetlus käsitleb kahte eri luba, täpsustatakse punktiga 2, et seal peetakse silmas just usaldusteenuse osutaja auditit. § 1 punkt 23. Kuna loamenetlus käsitleb kahte eri luba, lisatakse punktiga 2¹ paragrahvi 8 viide eIDAS-määrusele, mille kohase sertifitseerimise peab Euroopa digiidentiteedikukkur olema läbinud. Kooskõlastusringil täpsustati Tarbijakaitse ja Tehnilise Järelevalve Ameti ettepanekul sätte sõnastust selliselt, et sertifitseerimise objektina nimetatakse Euroopa digiidentiteedikukrut, mitte selle pakkujat, ning viidatakse eIDAS-määruse artiklile 5c tervikuna. Nii Euroopa digiidentiteedikukru kui ka usaldusteenuse loa taotlemisel peab esitatav sertifikaat olema kehtiv. § 1 punkt 24. Paragrahvi 9 lõike 1 punkti 1 ehk loa andmisest keeldumist kirjeldavasse sättesse lisatakse ka Euroopa digiidentiteedikukru pakkuja luba puudutav. § 1 punkt 25. Paragrahvi 9 lõikesse 1 lisatud punkt 4 annab võimaluse loa andmisest keelduda, kui taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi vastuolusid. Tegemist on lõike 1 punktist 1 erineva alusega: punkt 1 kirjeldab olukorda, kus audiitor märgib selgesõnaliselt, et teenus või teenuse osutaja ei vasta nõuetele, punkt 4 aga olukorda, kus aruande järgi teenus või teenuse osutaja küll vastab nõuetele, kuid aruandes kirjeldatu alusel jõuab pädev asutus järeldusele, et esineb olulisi vastuolusid, mille kõrvaldamiseni ei ole võimalik luba väljastada. Olulise vastuoluga on tegemist näiteks siis, kui aruandes ei ole hinnatud riigisisesele õigusele vastavust, vastavust on hinnatud valede või aegunud nõuete alusel või nähtub aruandest, et seda on kopeeritud teise aruande pealt sisusse süvenemata. Need näited pärinevad tegelikust järelevalvepraktikast. Üksnes vormiline või tähendust mittemuutev ebatäpsus loa andmisest keeldumise alust ei anna. Selline piiritlus tagab kooskõla põhiseaduse §-st 10 ja § 13 lõikest 2 tuleneva õigusselguse põhimõttega: loa taotleja jaoks on ettenähtav, millise puuduse korral võib loa andmisest keelduda. § 1 punkt 26. Paragrahvi 9 lõiget 2 täiendatakse, selgitamaks, et majandustegevuse seadustiku üldosa seaduse §-s 37 sätestatud loa kehtetuks tunnistamise alused kehtivad ka kõnesoleva seaduse loamenetluse korral. § 1 punkt 27. Paragrahvi 9 lõike 2 punktide 1–3 sõnastust muudetakse nii, et hõlmatud ei oleks ainult kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise teenus. § 1 punkt 28. Paragrahvi 9 lõike 3 sõnastust muudetakse nii, et hõlmatud ei oleks ainult kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise teenus. 12 § 1 punkt 29. Paragrahvi 9 lõike 4 sõnastust muudetakse, et kajastada olukorda, kus usaldusnimekirja kirjeid ei kustutata, vaid neid muudetakse, et need peegeldaksid tegelikku kehtivuse seisu. § 1 punkt 30. Paragrahvi 10 muudetakse, sõnastades lõike 3 selliselt, et kvalifitseerimata usaldusteenuse osutaja ja usaldusteenus kantakse usaldusnimekirja kuni kaheks aastaks. Sõna „kuni“ lisati kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul, et viia sätte sõnastus kooskõlla usaldusnimekirja kandmise üldise loogikaga: usaldusnimekirja kandmine peab olema kooskõlas väljastatud vastavushindamise sertifikaadiga. Vastavushindamise sertifikaat, tegevusluba ning usaldusnimekirja andmed peavad olema omavahel alati kooskõlas. Vastavushindamise sertifikaat väljastatakse kaheks aastaks, kuid tegevusloa menetlus võib toimuda mõnevõrra hiljem ning seetõttu võib ka usaldusnimekirja lisamise periood olla mõnevõrra lühem. § 1 punkt 31. Paragrahvi 12 pealkiri muudetakse, asendades selles sõna „vastavushindamise“ sõnaga „sertifitseerimise“. Uuenenud eIDAS-määrus ja selle rakendusaktid kirjeldavad detailselt usaldusteenuste vastavushindamist, kuid lisandunud on Euroopa digiidentiteedikukru sertifitseerimise protseduur, milleks vajaliku kava peab iga liikmesriik ise looma. § 1 punkt 32. Paragrahvi 12 lõige 2 tunnistatakse kehtetuks, sest viide usaldusteenuse osutaja ja usaldusteenuse vastavushindamise korra määrusele on muutunud ebavajalikuks. Uuendatud eIDAS-määruse alusel vastu võetud komisjoni rakendusmäärus (EL) 2025/216210 seab nõuded vastavushindamisele, muutes seega Eesti määruse ebavajalikuks. Samas eeldab uuendatud eIDAS-määrus, et liikmesriigid loovad riigipõhise Euroopa digiidentiteedikukru sertifitseerimise kava. § 1 punkt 33. Paragrahvi 12 täiendatakse lõigetega 2¹–2³, mis käsitlevad Euroopa digiidentiteedikukrute sertifitseerimist. Lõige 2¹. Uuendatud eIDAS-määrus ja komisjoni rakendusmäärus (EL) 2024/298111 näevad ette, et Euroopa digiidentiteedikukrute sertifitseerimine toimub vastavalt liikmesriikide loodud kavadele. Sättega pannakse selliste kavade loomise, ajakohasena hoidmise ja läbivaatamise kohustus valdkonna eest vastutavale ministeeriumile. Sertifitseerimise ulatuse, sealhulgas sertifitseeritavate komponentide ja nõuete ulatuse, määrab komisjoni rakendusmäärus (EL) 2024/2981. Euroopa digiidentiteedikukru väljaandmise etappide kohta on Riigi Infosüsteemi Amet avaldanud analüüsi oma veebilehel.12 Lõikega 2² nähakse ette, et valdkonna eest vastutav ministeerium avaldab nende kavade ajakohased versioonid internetis. Lõige 2³. Vastavalt eIDAS-määrusele sertifitseerivad Euroopa digiidentiteedikukruid liikmesriikide määratud vastavushindamisasutused. Selle sättega määratletakse, millised vastavushindamisasutused tulevad sertifitseerimiseks kõne alla. Konkreetne vastavushindamisasutus leitakse hankeprotsessi käigus. 10 Komisjoni rakendusmäärus (EL) 2025/2162 (ELT L, 2025/2162). 11 Komisjoni 28. novembri 2024. aasta rakendusmäärus (ELT L, 2024/2981, 4.12.2024). 12 https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 13 § 1 punkt 34. Paragrahvi 13 pealkirja täiendatakse, kuna muudatustest teavitamine peab hõlmama ka Euroopa digiidentiteedikukrut. § 1 punkt 35. Paragrahvi 13 lõike 1 muudatusega viiakse usaldusteenuse muudatustest teavitamise tähtajad kooskõlla uuendatud eIDAS-määruses sätestatuga. Ühtlasi laiendatakse muudatustest teavitamise kohustust ka Euroopa digiidentiteedikukru pakkujale. § 1 punkt 36. Paragrahvi 13 lõiked 3 ja 4 muudetakse. Lõikes 3 seatakse pädevale asutusele tähtaeg, mille jooksul tuleb teada anda taotluse uuesti esitamise vajadusest. Ühtlasi laiendatakse sätet ka Euroopa digiidentiteedikukru pakkujale. Lõikes 4 asendatakse väljend „usaldusnimekirjas kajastatud andmete muutmise“ väljendiga „teenuse muutmise taotluse“. Ilma muudatuseta tuleks riigilõivu maksta ainult siis, kui muutuvad usaldusnimekirjas kajastatud andmed. Praktikas enamasti andmed usaldusnimekirjas ei muutu, kuid muudatuse läbivaatamine ja kinnitamine nõuab pädevalt asutuselt omajagu ressurssi. Lisaks ei oleks senise sõnastusega kaetud Euroopa digiidentiteedikukru muudatused, mida usaldusnimekirja ei kanta. Muudatus tehti kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul. § 1 punkt 37. Paragrahvi 18 täiendatakse lõikega 5, kuna olenevalt tehnilisest teostusest ja teenuse osutamise korraldusest ei pruugi usaldusteenus võimaldada kord peatatud sertifikaatide kehtivust uuesti taastada. Sellises olukorras lähtub usaldusteenuse osutaja sertifikaatide kehtivuse peatamisel sertifikaatide kehtetuks tunnistamise kohta sätestatust. § 1 punkt 38. Paragrahvi 19 lõiget 2 täiendatakse punktiga 4, millega lisatakse sertifikaatide kehtetuks tunnistamise taotlejate loetellu ka isikut tõendavate dokumentide väljaandja, kuid teatud pädevusepiirangutega. Isikut tõendavate dokumentide väljaandja võib taotleda sertifikaatide kehtetuks tunnistamist ainult isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumendile kantud sertifikaatide puhul ja ainult neil alustel, mis on isikut tõendavate dokumentide seaduses sätestatud. Varem oli sama tähendus e-identimise ja e-tehingute usaldusteenuste seaduse § 19 lõikel 5, kuid senine sõnastus on tekitanud praktikas erinevaid tõlgendamisvõimalusi, eelkõige selle puhul, kas vastavad isikut tõendavate dokumentide seaduse normid on erinormid e-identimise ja e-tehingute usaldusteenuste seaduse § 19 normide suhtes. Selguse huvides nimetatakse isikut tõendavate dokumentide väljaandjat edaspidi teiste võimalike kehtetuks tunnistamise taotlejate loetelus. Kooskõlastusringil täpsustati Siseministeeriumi märkuse alusel, et säte viitab isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumentidele ehk dokumentidele, millele e-identimise ja e-tehingute usaldusteenuste seadus kohaldub; reisidokumendid jäävad sätte kohaldamisalast välja. § 1 punkt 39. Paragrahvi 19 lõike 4 punkti 5 muudetakse, täpsustades, et sertifikaadi kehtetuks tunnistamise alus on sertifikaadi omaja tegevuse lõpetamise tõttu tema kustutamine sertifitseerimise registrist. Täpsustatakse sõnastust (sertifitseerimise register), et eristada seda registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist. Muudatus on täpsustav ega muuda sätte senist sisu. § 1 punkt 40. Paragrahvi 19 lõikega 4 lisatava sätte eesmärk on näha ette selge õiguslik alus sertifikaatide kehtetuks tunnistamiseks, kui on ilmnenud, et sertifikaatide väljastamine ei vasta usaldusteenuse loa tingimustele või eIDAS-määruses või kõnesolevas seaduses sätestatud nõuetele. Muus osas on sätte senine sõnastus laiahaardeline ega ole tekitanud praktikas küsitavusi ja vastuolulisi tõlgendamisvõimalusi. 14 § 1 punkt 41. Paragrahvi 19 lõiget 5 muudetakse, jättes välja viite isikut tõendavate dokumentide seaduses loetletud sertifikaadi kehtetuks tunnistamise alustele ja korrale, kuna samatähenduslik säte lisatakse selguse eesmärgil eelnõuga e-identimise ja e-tehingute usaldusteenuste seaduse § 19 lõikesse 2. Samas lisatakse usaldusteenuse osutajale kohustus teavitada enne sertifikaadi kehtetuks tunnistamist sellest isikut tõendava dokumendi väljaandjat. Teavitamiskohustus puudutab isikusertifikaate, mitte juur- ega vahesertifikaate. Teavitamise eesmärk on tagada, et dokumendi väljaandja saaks sertifikaatide kehtetuks tunnistamise korral astuda omapoolsed sammud: näiteks kui dokument on varastatud ja sellest antakse teada usaldusteenuse osutajale, tuleb ka füüsiline dokument kehtetuks tunnistada. Teavitamine võib toimuda ka tehniliste lahenduste kaudu. Eelneva teavitamise all peetakse silmas mõistlikku aega; täpse tähtaja sätestamist ei peetud eelnõu koostamisel vajalikuks. Ka selles sättes viidatakse isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumentidele. Neid selgitusi täiendati kooskõlastusringil Siseministeeriumi märkuste alusel. § 1 punkt 42. Lisanduva paragrahviga 23¹ kehtestatakse riikliku järelevalvemenetluse käigus ettekirjutuse täitmata jätmise korral rakendatava sunniraha igakordseks ülemmääraks 500 000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb summa on suurem. Kooskõlastusringi tulemusel vähendati Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku tõttu sunniraha ülemmäära 5 000 000 eurolt 500 000 eurole ehk kümme korda. Samas on piisavalt suur piirmäär vajalik, et säilitada tõhus võimalus mõjutada Euroopa digiidentiteedikukru pakkujat õiguskuulekale tegevusele ning täita seeläbi eIDAS 2 määruse artikli 16 lõikes 1 sätestatud kohustus. eIDAS 2 määruse artikli 16 lõige 1 kohustab liikmesriike kehtestama mõjusad, proportsionaalsed ja hoiatavad normid eIDAS-määruse rikkumise eest kohaldatavate karistuste kohta; see säte kohaldub lisaks usaldusteenuse osutajatele ka Euroopa digiidentiteedikukru pakkujale. Samas otsustati eelnõu koostamise käigus, et Euroopa digiidentiteedikukru pakkujale ei nähta ette trahve selliselt, nagu seda on tehtud usaldusteenuse osutaja suhtes (eelnõukohane e-identimise ja e-tehingute usaldusteenuste seaduse § 23³). See lähtus kaalutlusest, et kuna eIDAS 2 määruse artikli 16 lõikes 2, mis näeb ette trahvimäärad, ei nimetata Euroopa digiidentiteedikukru pakkujaid, oleks trahvi ettenägemine kukru pakkujale ülereguleerimine (nn gold-plating; vt ka „Ametniku Euroopa Liidu käsiraamatu“ peatükki 8.3.5).13 Seega on piisavalt suur sunniraha ülemmäär (500 000 eurot) sobiv tasakaalupunkt eIDAS 2 määruse artikli 16 lõikes 1 sätestatud kohustuse täitmiseks Euroopa digiidentiteedikukru pakkuja suhtes olukorras, kus kukru pakkujale ei ole trahve ette nähtud. Pädev asutus peab sunniraha määramise korral hindama, millises määras on sunniraha rakendamine konkreetsel juhul proportsionaalne. Vähendamine puudutab ülemmäära fikseeritud osa. Käibepõhine alternatiiv (kuni 1 protsent kogukäibest, kui see on suurem) säilib, mistõttu suure käibega kohustatud isiku puhul ülemmäär ei muutunud. § 1 punkt 43. Eelnõuga lisatava peatüki 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse osutajatega“ eesmärk on tagada Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 48a rakendamine, mille kohaselt tuleb liikmesriigil koguda ja Euroopa Komisjonile esitada statistilisi andmeid, sealhulgas Euroopa digiidentiteedikukru ja kvalifitseeritud usaldusteenuste toimimise kohta, ning avaldada need üleliiduliselt. Selleks kehtestatakse määruses (EL) nr 910/2014 nimetatud teenuse osutajale statistika kogumiseks ja esitamiseks vajalik teabevahetuskohustus. Andmeid kogutakse teenuse osutajalt vajaduspõhiselt ja proportsionaalsuse põhimõttel. 13 https://riigikantselei.ee/el-poliitika-julgeolek-ja-riigikaitse/eesti-euroopa-liidus/ametniku-euroopa-liidu- kasiraamat/ulereguleerimine-ehk-direktiivis-satestatust-rangemate-nouete-kehtestamine 15 § 1 punkt 44. Lisanduva peatükiga 3² kehtestatakse trahvimäärade ülemmäärad seaduse nõuete rikkumise eest. Kohustus sellised trahvimäärad kehtestada tuleneb eIDAS-määruse artiklist 16. Peatükis nimetatud väärtegude kohtuväliseks menetlejaks määratakse Riigi Infosüsteemi Amet. Trahvimäärade ülemmäärad tuginevad eIDAS 2 määruse artikli 16 lõikele 2, mille punkti a kohaselt on füüsilisest isikust usaldusteenuse osutajale kohaldatava rahatrahvi ülemmäär 5 000 000 eurot ja punkti b kohaselt juriidilisele isikule 5 000 000 eurot või 1 protsent tema eelmise majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb on suurem. Karistusseadustiku § 47 üldmäärad (lõike 1 kohaselt füüsilisele isikule kuni 300 trahviühikut ja lõike 2 kohaselt juriidilisele isikule kuni 400 000 eurot) jäävad nendest määradest väiksemaks. Samas võib KarS-i § 1 lõike 1 järgi sätestada karistusseadustiku üldosast erisusi muudes seadustes, kui seda nõuab reguleeritava valdkonna eripära. Praegusel juhul on kõrgemad trahvimäärad sätestatud konkreetse valdkonna otsekohalduvas Euroopa Liidu määruses. Selliste trahvimäärade kehtestamine on kooskõlas Eesti Vabariigi põhiseaduse §-ga 23, kuna väärteokoosseisud (kõnesoleva seaduse § 5, § 6 lõige 1 ja § 13 lõige 1) on piisavalt selgelt sõnastatud ning trahvimäärade ülemmäärad on seaduses arvuliselt fikseeritud. Karistuste suurus on proportsionaalne põhiseaduse § 32 tähenduses, kuna trahvimäärade ülemmäärad on kooskõlas eIDAS 2 määrusest tuleneva kohustusega ning pädev asutus peab trahvi määrates hindama iga üksikjuhtumi puhul karistuse proportsionaalsust. § 1 punkt 45. Paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga „sertifitseerimise“, nii et pealkiri nimetab sertifitseerimise registrisse kantud sertifitseerimisteenuse osutajat. Täpsustatakse sõnastust (sertifitseerimise register), et eristada seda registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist. Muudatus on täpsustav ega muuda sätte senist sisu. Eelnõu §-ga 2 muudetakse riigilõivuseadust. § 2 punkt 1. Paragrahvi 116² pealkirja muudatus on vajalik, kuna loamenetlusse lisandub Euroopa digiidentiteedikukru pakkuja loa menetlemine. § 2 punktid 2 ja 3. Paragrahvi 116² lõigete 1 ja 2 muutmine ning lõike 3 täiendamine on vajalik, kuna loamenetlusse lisandub Euroopa digiidentiteedikukru pakkuja loa menetlemine. Riigilõivust kaetakse Euroopa digiidentiteedikukru pakkuja loataotluse menetlemise kulud, mis hinnanguliselt ei erine usaldusteenuse loataotluse menetlemisega kaasnevatest kuludest. Eelnõu §-ga 3 muudetakse karistusseadustikku. § 3. Euroopa digiidentiteedikukkur pakub samasuguseid funktsioone või isegi enamat kui mitu karistusseadustiku §-s 350 nimetatud dokumenti. Otstarbekas on näha ette võimalus käsitleda Euroopa digiidentiteedikukruga seotud süütegusid samadel alustel kui näiteks digitaalse isikutunnistusega seotud süütegusid. Selleks lisatakse tähtsa isikliku dokumendi loetellu ka Euroopa digiidentiteedikukkur. Otstarbekas on lisada loetellu ka e-identimise vahendid, mida ei ole küll välja antud isikut tõendavate dokumentide seaduse alusel, kuid mis on e-identimise ja e-tehingute usaldusteenuste seaduses sätestatud korras hinnatud samaväärseks vahendiga, mille usaldusväärsuse tase on „kõrge“. 4. Eelnõu terminoloogia Eelnõuga võetakse kasutusele järgmised uued terminid, mis tulenevad eIDAS-määrusest: „Euroopa digiidentiteedikukkur“ (eIDAS-määruse artikli 3 punkt 42), „Euroopa digiidentiteedikukru pakkuja“ ja „digiidentiteedikukrule tuginev isik“ (eIDAS-määruse artikli 16 3 punkt 52 koostoimes artikliga 5b). Kooskõlas hea õigusloome ja normitehnika eeskirja § 18 lõikega 2 on eelnõus kasutatavad terminid kooskõlas Euroopa Liidu õigusakti eestikeelses tekstis kasutatud terminitega. Uue andmekogu nimetusena võetakse kasutusele „digiidentiteedikukrule tuginevate isikute register“. Rohkem uusi termineid ei looda. Eelnõus kasutatavad terminid on kooskõlas e-identimise ja e-tehingute usaldusteenuste seaduses, riigilõivuseaduses ja karistusseadustikus juba kasutusel. olevatega. 5. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on kooskõlas Euroopa Liidu õigusega. Eelnõu on seotud eIDAS-määruse (mida on muudetud eIDAS 2 määrusega) ja selle alusel antud Euroopa Komisjoni rakendusmääruste rakendamisega. Euroopa Liidu toimimise lepingu artikli 288 kohaselt on määrus tervikuna siduv ja vahetult kohaldatav kõikides liikmesriikides, mistõttu määrust riigisisesesse õigusesse üle ei võeta ega selle sätteid riigisiseses õiguses ei korrata. Eelnõu sisaldab üksnes riigisiseseid rakendusmeetmeid, mida määrus liikmesriigilt nõuab või võimaldab: pädevate asutuste määramine (eIDAS-määruse artikli 7 punkt f ning artiklid 5a–5e, 9, 12, 46a ja 46b), kukrule tuginevate isikute riikliku registri asutamine (artikkel 5b ja rakendusmäärus (EL) 2025/848), karistusnormide kehtestamine (artikkel 16) ning liikmesriigile jäetud kaalutlusruumi kasutamine (muu hulgas avatud lähtekoodi erand artikli 5a lõike 2 alusel, isikukoodi kandmine kukrusse rakendusmääruse (EL) 2024/2977 alusel ja isiku tuvastamise viis füüsilise kohaloleku korral artikli 24 lõike 1a punkti d alusel). Kuna eelnõukohase seadusega ei võeta üle direktiivi, vaid rakendatakse määrust, ei lisata eelnõule normitehnilist märkust ega koostata direktiivi ülevõtmise vastavustabelit. Eelnõu ja eIDAS 2 määruse sätete seoste ülevaade on esitatud seletuskirja lisas 2 (vastavustabel). Eelnõu ei sisalda sätteid, mis läheksid kaugemale eIDAS 2 määruse nõuetest, välja arvatud liikmesriigile sõnaselgelt jäetud valikute kasutamine, mille põhjendused on esitatud seletuskirja 3. ja 6. peatükis. 6. Seaduse mõjud Eelnõu on seotud eIDAS 2 määruse rakendamisega. Kuna Euroopa Liidu määrus on Euroopa Liidu toimimise lepingu artikli 288 kohaselt tervikuna siduv ja vahetult kohaldatav, tulenevad sihtrühmade põhilised õigused ja kohustused vahetult eIDAS 2 määrusest ning tekivad olenemata eelnõust. Eelnõu käsitleb üksnes määruse rakendamiseks vajalikke või lubatud riigisiseseid meetmeid: Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaani kohaselt muudetakse e-identimise ja e-tehingute usaldusteenuste seadust, riigilõivuseadust ja karistusseadustikku ning muudatuste sisuks on eelkõige riigisisesed rollid, järelevalve ja karistused.14 Eelnõu põhilahendused on järgmised: Riigi Infosüsteemi Amet määratakse pädevaks asutuseks ja järelevalveasutuseks (eelnõu § 1 punktid 3 ning 41–43), riigile luuakse võimalus Euroopa digiidentiteedikukru pakkumine ja selleks vajalikud tegevused allhankida (eelnõu § 1 punkt 3), asutatakse digiidentiteedikukrule tuginevate isikute register (eelnõu § 1 punkt 6) ning kehtestatakse Euroopa Liidu nõuetele vastavad sunniraha- ja trahvimäärad (eelnõu § 1 punktid 41 ja 43). Selguse huvides kirjeldatakse 6. peatükis nii eelnõu enda kui ka eIDAS 2 määruse kohaldamisega kaasnevaid mõjusid, sest sihtrühmade jaoks avalduvad need koos ja lahutamatult. Kavandatavad muudatused avaldavad mõju mitmes valdkonnas, hõlmates sotsiaalset mõju (sh e-teenuste kasutamise võimaluste laienemine), mõju riigi julgeolekule ja välissuhetele (digiidentiteedi taristu turvalisus ja piiriülene koostalitlusvõime), mõju 14 Justiits- ja Digiministeeriumi kaasamisplaan: olulisemad algatused 2026. aastal. Justiits- ja Digiministeerium: 2026. https://www.justdigi.ee/sites/default/files/documents/2026-03/JDM%20kaasamisplaan%202026_pdf.pdf 17 majandusele (halduskoormus, ettevõtjate kohustused ja uute teenuste arendamise võimalused) ning mõju riigiasutuste ja kohaliku omavalitsuse korraldusele (uued ülesanded, järelevalve ja infosüsteemide arendamine). Eelnõu kohta ei ole koostatud väljatöötamiskavatsust (vt seletuskirja punkt 2). Eesti seisukohad Euroopa Komisjoni ettepaneku COM(2021) 281 (final) kohta kiitis heaks Vabariigi Valitsus ja neid arutas Riigikogu Euroopa Liidu asjade komisjon.15 Euroopa Liidu tasandil on olemas ka põhjalik mõjuhinnang. Komisjoni mõjuhinnangu16 kohaselt oli kehtiva eIDAS-raamistiku põhiprobleem piiriülese e-identimise piiratud ja ebaühtlane kasutatavus – mõjuhinnangu koostamise ajaks oli e-identimise süsteemist teavitanud vaid 14 liikmesriiki, teavitatud süsteemid (Eesti puhul muu hulgas ID-kaart ja mobiil-ID) katsid hinnanguliselt 59% liidu elanikkonnast ning teenusepakkujate vastuvõtuvõime oli ebaühtlane. Komisjoni mõjuhinnangut toetavas uuringus17 hinnati eri poliitikavalikute kulusid ja tulusid avaliku sektori asutustele, internetiteenuste osutajatele, vastavushindamisasutustele, usaldusteenuse osutajatele ja e-identimise vahendite pakkujatele. Kuna väljatöötamiskavatsust ei koostatud, esitatakse 6. peatükis mõjude analüüs väljatöötamiskavatsuse tasemele vastava põhjalikkusega, tuginedes muu hulgas nimetatud Euroopa Liidu tasandi mõjuhinnangule. Mõjude hindamisel on ajaline raamistik järgmine. eIDAS 2 määrus jõustus 20. mail 2024. Määruse artikli 5a lõike 1 kohaselt peab iga liikmesriik tegema vähemalt ühe Euroopa digiidentiteedikukru kättesaadavaks 24 kuu jooksul artikli 5a lõikes 23 ja artikli 5c lõikes 6 osutatud rakendusaktide jõustumisest.18 Samast ajast muutub sisuliselt kohaldatavaks avaliku sektori asutuste kohustus aktsepteerida digikukrut e-identimist ja e-autentimist nõudvatele internetipõhistele teenustele juurdepääsul (artikli 5f lõige 1).19 Erasektori digiidentiteedikukrule tuginevatele isikutele, kellelt õigusakti või lepingulise kohustuse alusel nõutakse veebis kasutaja tugevat autentimist, muutub aktsepteerimiskohustus kohustuslikuks hiljemalt 36 kuu möödumisel nimetatud rakendusaktide jõustumisest ehk 2027. aasta lõpust (artikli 5f lõige 2).20 Peamised sihtrühmad on: 1) füüsilised isikud ehk digikukru potentsiaalsed kasutajad – ligikaudu 1,36 miljonit Eesti elanikku21 ja teiste liikmesriikide kukrute kasutajad, kes soovivad Eesti teenustele juurde pääseda; 2) avaliku sektori asutused, kes osutavad e-identimist nõudvaid internetipõhiseid teenuseid, sealhulgas kõik 78 kohaliku omavalitsuse üksust; 15 Eesti seisukohad Euroopa digiidentiteedi raamistiku määruse eelnõu (COM(2021) 281 final) kohta. EISi toimik 21-0812. https://eelnoud.valitsus.ee/main/mount/docList/30d59321-40e8-4d18-9e41-5676c2cbf811?activity=3. Heaks kiidetud Vabariigi Valitsuse 30. septembri 2021. a istungil. Riigikogu toimik 1-2/21-365/6. 16 European Commission. Commission Staff Working Document. Impact Assessment Report. SWD(2021) 124 final. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 17 European Commission. Study to support the impact assessment for the revision of the eIDAS regulation. 9.06.2021. https://digital-strategy.ec.europa.eu/en/library/study-support-impact-assessment-revision-eidas- regulation 18 Digikukkur ehk Euroopa Liidu digiidentiteedirakendus (EUDI Wallet). Riigi Infosüsteemi Ameti koduleht, 01.06.2026. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 19 Cybernetica AS. Digikukru III etapi analüüs (Digiidentiteedikukru analüüside kogumik). Versioon 1.0, 8.04.2026. Tellija: Riigi Infosüsteemi Amet. Ptk 10 (Euroopa digiidentiteedikukrute aktsepteerimine avaliku sektori tuginevate isikute poolt). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi- analuus.pdf 20 Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 21 Statistikaameti andmebaas [e-andmebaas]. RV021. https://stat.ee/et/avasta- statistikat/valdkonnad/rahvastik/rahvaarv 18 3) erasektori digiidentiteedikukrule tuginevad isikud, kellelt õigusakti või lepingulise kohustuse alusel nõutakse veebis tugevat kasutaja autentimist, muu hulgas panganduse, finantsteenuste, side, transpordi, energeetika, tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud; 4) usaldusteenuse osutajad, sealhulgas kvalifitseeritud usaldusteenuse osutajad ja uut liiki usaldusteenuste (elektrooniliste tõendite väljastamine, e-allkirja kaugloomise vahendite haldamine) osutajad; 5) autentsete allikate eest vastutavad asutused ehk riiklike andmekogude pidajad, kelle andmeid kasutatakse elektrooniliste tõendite väljastamisel ja kontrollimisel, näiteks Siseministeerium rahvastikuregistri ning Politsei- ja Piirivalveamet isikut tõendavate dokumentide andmekogu vastutava töötlejana; 6) Euroopa digiidentiteedikukru pakkuja; 7) Riigi Infosüsteemi Amet kui pädev asutus, järelevalveasutus ja digikukru pakkumise korraldaja; 8) Andmekaitse Inspektsioon (AKI) andmekaitsealase järelevalve tegijana ning 9) Justiits- ja Digiministeerium kui sertifitseerimisskeemi väljatöötamise eest vastutaja. 6.1. Sotsiaalne mõju, sh demograafiline mõju Mõju avaldub kõigile füüsilistele isikutele, kes hakkavad digikukrut kasutama avalikele ja erasektori teenustele juurdepääsuks nii Eestis kui ka mujal Euroopa Liidus. Digikukkur väljastatakse, seda kasutatakse ja see tunnistatakse füüsiliste isikute jaoks kehtetuks tasuta (eIDAS 2 määrusega kehtestatud artikli 5a lõige 13) ning kukkur peab pakkuma kõigile füüsilistele isikutele vaikimisi ja tasuta võimalust anda kvalifitseeritud e-allkiri mittekutselistel eesmärkidel (artikli 5a lõike 4 punkt g). Digikukkur on kavandatud täiendava riikliku isikutuvastusvahendina ID-kaardi ja teiste kehtivate eID-vahendite kõrval, mitte nende asendajana.22 Kasutajal on täielik kontroll oma andmete üle: ta saab andmeid valikuliselt avaldada, kasutada varjunimesid ning jälgida kõiki tehinguid ühise töölaua kaudu (artikli 5a lõiked 4 ja 14). Võrreldes kehtivate e-identimise vahenditega suureneb seega inimese teadlikkus ja kontroll selle üle, milliseid tema andmeid, kellele ja millal edastatakse – see on selgelt positiivne mõju eraelu puutumatusele ja informatsioonilisele enesemääramisele. Ka Euroopa Komisjon toob digikukru peamise kasuna kodanikele esile lihtsama juurdepääsu avalikele ja erasektori teenustele, asjaajamisele kuluva aja ja halduskoormuse vähenemise ning andmete valikulise avaldamise, mis vähendab oluliselt profileerimise võimalust; teatavates olukordades võimaldab kukkur identifitseerida end täiesti anonüümselt.23 Eelnõuga tehtav oluline riigisisene kaalutlusotsus on isikukoodi kandmine kukrusse. Kuigi eelnõuga korraldatakse otsekohalduva Euroopa Liidu määruse rakendamist Eestis, on siiski valikukohti, mida Euroopa Liidu määrus ette ei kirjuta. Eelnõus nähakse ette, et lisaks kohustuslikele isikutuvastusandmetele lisatakse Eestis väljaantavate Euroopa digiidentiteedikukrute isikutuvastusandmete hulka ka Eesti isikukood, mis rakendusmääruse (EL) 2024/2977 kohaselt ei ole kohustuslik, vaid valikuline parameeter. Isikukoodi lisamine annab Eesti inimestele võimaluse kasutada harjumuspäraseid e-teenuseid ka Euroopa digiidentiteedikukru abil. Vastasel juhul oleks Euroopa digiidentiteedikukru laialdane kasutuselevõtt Eestis raskendatud ning selle kasutamine jääks piiratud ulatusega, peamiselt piiriüleste teenuste kasutamisega seotud juhtudesse. See otsus puudutab kogu Eesti elanikkonda, kuid otsuse enda mõju tähtsus on mõõdukas, kuna e-teenuste kasutamiseks on 22 Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 23 Benefits. EU Digital Identity Wallet. Euroopa Komisjoni veebileht, 23.10.2025. https://ec.europa.eu/digital- building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits 19 inimestel ka alternatiivid. Isikukoodi digikukrusse kandmine on vajalik, sest Eesti e-teenuste isikutuvastus põhineb valdavalt isikukoodil ning ilma selleta ei oleks kukkur Eesti teenustes seniste riiklike e-identimise vahenditega samaväärselt kasutatav. Meede on proportsionaalne: isikukood on avalik-õiguslikult reguleeritud ja laialdaselt kasutatav identifikaator, mille töötlemine digikukrus piirdub isikutuvastusandmete koosseisuga ega too kaasa uue andmekogu loomist. Kaalutud alternatiiv – digikukru väljaandmine ilma isikukoodita – jätaks kukru kasutusala peamiselt piiriüleseks ega täidaks eesmärki. Andmekaitseriske, sealhulgas isikukoodi ülemäärase avaldamise riski, maandavad eIDAS-määruse nõuded andmete valikulise avaldamise kohta: kasutaja otsustab, milliseid andmeid ta digiidentiteedikukrule tuginevale isikule avaldab, ning digiidentiteedikukrule tuginev isik võib küsida üksnes oma registreeringus märgitud andmeid. Digikukru kasutamine on vabatahtlik: määruse artikli 5a lõike 15 kohaselt ei tohi kukrut mittekasutavate isikute juurdepääsu avalikele ja erasektori teenustele ega tööturule mingil moel piirata ning juurdepääs peab jääma võimalikuks ka muude identimis- ja autentimisvahenditega. See maandab digilõhe riski: inimesed, kes nutitelefoni ei kasuta või uut lahendust ei soovi, ei jää teenustest ilma. Rakendamisel tuleb siiski jälgida, et digikukru kasutamine ei muutuks praktikas kohustuslikuks alternatiivide puudumise tõttu. E-identimise vahendid ja nende kasutajaliidesed peavad ühtlasi vastama Euroopa Parlamendi ja nõukogu direktiivi (EL) 2019/88224 ligipääsetavusnõuetele, mis toob kasu eakatele ja piiratud funktsionaalse võimekusega inimestele. Kasutaja privaatsust kaitseb ka see, et määrus keelab kasutajate jälgimise ja profiilianalüüsi eri teenuste vahel ning kukru kasutamise kohta tohib koguda üksnes teenuse osutamiseks vajalikke andmeid (artikli 5a lõiked 14 ja 16).25 Positiivne sotsiaalne mõju avaldub ka alaealiste kaitsele: kuigi eIDAS 2 määrus alaealisi eraldi ei reguleeri, on digikukkur kavandatud toimima muu hulgas vanuse kontrollimise vahendina (nt digiteenuste määruse kohaste vanusepiirangute täitmisel), võimaldades tõendada vanust ilma muid isikuandmeid avaldamata; see eeldab kukru kättesaadavust ka alaealistele.26 Negatiivse mõju riskina tuleb arvestada uute võimalike pettuseskeemide (nt õngitsus- ja QR- koodiründed) levikuga digikukru kasutuselevõtu algusfaasis. Seda riski aitavad maandada määruse ja rakendusaktide turvanõuded, kukru sertifitseerimine ning kasutajate teavitamise tegevused.27 Mõju olulisus: mõju ulatus on keskmine (teenuste kasutamise viis muutub, kuid sihtrühma käitumisega ei kaasne kohanemisraskusi, sest kasutamine on vabatahtlik ja senised vahendid säilivad), avaldumise sagedus on suur (e-identimine on igapäevatoiming), sihtrühm on suur (potentsiaalselt kogu elanikkond) ning ebasoovitavate mõjude risk on väike kuni keskmine (pettuseriskid, digilõhe). Kuna vähemalt üks kriteerium on hinnatud suureks, on sotsiaalne mõju oluline. Demograafiline mõju puudub: eelnõu ei mõjuta rahvastiku koosseisu ega -protsesse. 24 Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta direktiiv (EL) 2019/882 toodete ja teenuste ligipääsetavusnõuete kohta (ELT L 151, 07.06.2019, lk 70). 25 Cybernetica AS. Digikukru II etapi analüüs (Digiidentiteedikukru ökosüsteem). Versioon 1.1, 02.07.2025. Tellija: Riigi Infosüsteemi Amet. Lisa 9 (Digikukrute monitoorimise aspektid). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 26 Vt viide 23, lisa 8 (Nõuded alaealistele kukruteenuse pakkumiseks). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 27 Vt viide 17, ptk 7 (QR-kood ründesaidi ründekaitse). https://www.ria.ee/sites/default/files/documents/2026- 05/Digikukru-III-etapi-analuus.pdf 20 6.2. Mõju riigi julgeolekule ja välissuhetele Digiidentiteedi taristu on Eesti e-riigi toimimise kriitiline osa, mistõttu mõjutab eelnõu kaudselt riigi sisejulgeolekut ja küberturvalisust. eIDAS 2 määrus nõuab digikukru pakkumist kõrge usaldusväärsuse tasemega e-identimise süsteemi alusel, lõimitud turvet ning kukru sertifitseerimist artikli 5c kohaselt; digikukru rakendustarkvara komponentide lähtekood on üldjuhul avatud (artikli 5a lõiked 3, 11 ja 12). Need nõuded tõstavad e-identimise ökosüsteemi turvalisuse taset tervikuna. Eelnõus valitud suund, mille kohaselt sisaldab Euroopa digiidentiteedikukkur isikut tuvastavate andmete seas ka Eesti isikukoodi, muudab kukru isikutuvastuse poolest samaväärseks Eesti seniste riiklike elektroonsete identimisvahenditega. Tänu sellele on Eesti inimestel võimalus kasutada kahte eri riiklikku elektroonset identimisvahendit ning kahe riikliku alternatiivi olemasolu annab võimaluse tagada teenuste toimivus ka ühe süsteemi tõrke korral, mis suurendab e-riigi kerksust. Samal ajal suureneb ründepind: digikukkur koondab isiku tuvastusandmed ja elektroonilised tõendid mobiilseadmesse, mistõttu on kukru ja selle tugisüsteemide turvaintsidentidel potentsiaalselt lai mõju. Identiteedivarguse riski maandamiseks tuleb muu hulgas tagada, et inimest teavitatakse alati, kui tema nimele on digikukkur väljastatud – see kaitseb ka neid, kes ise kukrut ei kasuta.28 Kvalifitseeritud e-allkirja usaldusväärsuse seisukohalt on oluline, et allkirja kaugloomise korral oleks tagatud allkirjastaja ainukontroll, selgesõnaline tahteavaldus iga allkirjastamistoimingu suhtes ning võimalus allkirjastatavaid dokumente enne ja pärast allkirjastamist loodud tulemit kontrollida, vastasel juhul on allkirja õiguslik kehtivus ohus.29 Määruse artikkel 5e näeb turvarikkumise korral ette digikukru kättesaadavuse peatamise ja kasutajate teavitamise kohustuse. Välissuhete vaates tugevdab üleliiduline koostalitlusvõime Eesti positsiooni Euroopa Liidu digitaalsel siseturul: Eesti elanikud saavad kasutada digikukrut teiste liikmesriikide teenustes ja vastupidi. Kohustuste tähtaegne täitmine on ühtlasi oluline rikkumismenetluse riski vältimiseks – kui Eesti ei tee digikukrut tähtajaks kättesaadavaks või ei kehtesta nõutavaid rakendusmeetmeid, võib Euroopa Komisjon algatada Eesti suhtes rikkumismenetluse. Mõju olulisus: ulatus keskmine, sagedus väike, sihtrühm väike, ebasoovitavate mõjude risk keskmine. Mõju ei ületa olulisuse künnist, kuid küberturvalisuse riske tuleb rakendamisel järjepidevalt juhtida. 6.3. Mõju majandusele Ettevõtjatele avaldub mõju kolmes rollis. Esiteks peavad erasektoris digikukrule tuginevad isikud, kellelt õigusakti või lepingu alusel nõutakse veebis kasutaja tugevat autentimist (muu hulgas pangad, sideettevõtjad, tervishoiu- ja transpordisektori teenuseosutajad), hiljemalt 2027. aasta lõpust kasutaja vabatahtliku taotluse korral aktsepteerima digikukrut (artikli 5f lõige 2). See toob kaasa ühekordsed liidestamis- ja arenduskulud ning autentimisvoogude kohandamise kulud. Mikro- ja väikeettevõtjad on sellest kohustusest vabastatud, mis piirab halduskoormuse kasvu väiksemate ettevõtjate jaoks. Väga suurte digiplatvormide aktsepteerimiskohustus tuleneb vahetult määruse artikli 5f lõikest 3 ega puuduta Eesti ettevõtjaid otseselt. Aktsepteerimiskohustus hõlmab kõiki eIDAS 2 määruse kohaselt pakutavaid digikukruid, mistõttu peavad Eesti teenusepakkujad olema valmis aktsepteerima ka 28 Cybernetica AS. Digikukru I etapi analüüs. Versioon 1.0.1, 21.12.2023. Tellija: Riigi Infosüsteemi Amet. https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 29 Vt viide 17, ptk 5 (Massallkirjastamise piirangud ja tingimused). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf 21 teiste liikmesriikide kukruid. Peame arvestama, et osa liikmesriike võib oma digikukrud kasutusele võtta juba 2026. aasta lõpuks.30 Kohustuste rakendamisel tuleb arvestada ka ajaga, mis kulub riigil vajalike tehniliste ja organisatsiooniliste eelduste loomiseks. Ettevõtjatele peab pärast seda jääma mõistlik aeg lahenduste arendamiseks, testimiseks ja kasutuselevõtuks ning ettevõtjate valmisoleku hindamisel tuleb seda samuti arvesse võtta. Samas kehtib kohustus aktsepteerida teiste liikmesriikide kukruid sõltumata Eesti digikukru valmimise ajast. Seda selgitust täiendati kooskõlastusringil Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku alusel. Teiseks peavad kõik digikukrule tugineda soovivad ettevõtjad end registreerima digiidentiteedikukrule tuginevate isikute riiklikus registris (määruse artikkel 5b, komisjoni rakendusmäärus (EL) 2025/84831). Registreerimisprotsess peab olema kulutõhus ja riski suhtes proportsionaalne: rakendusmäärus nõuab veebipõhist ja võimaluse korral automaatset registreerimist ning taotluste menetlemist põhjendamatu viivituseta, samuti on registreerimisel esitatavate andmete maht piiratud (asukohaliikmesriik, nimi ja registrikood, kontaktandmed, kukru kavandatud kasutus ja taotletavad andmed), mistõttu on ühe ettevõtja halduskoormus registreerimisel väike. Ettevõtja ettevalmistavad tegevused hõlmavad kohustuse hindamist, protsesside analüüsi, registreerimist, pääsusertifikaatide taotlemist ja süsteemide integreerimist. Registri esmaversioon koos juhenditega on kavandatud valmima 2026. aasta lõpus või 2027. aasta alguses ning registreerimine algab pärast selle valmimist.32 Eelnõuga ei kehtestata digiidentiteedikukrule tuginevate isikute registreerimise ega pääsusertifikaatide väljastamise eest riigilõivu: riigilõiv nähakse riigilõivuseaduse §-s 116² ette üksnes Euroopa digiidentiteedikukru pakkuja loa taotluse läbivaatamise eest. See hoiab ettevõtjate turule sisenemise barjääri madalal ja toetab Eesti konkurentsipositsiooni teiste liikmesriikide suhtes. Registreerimise võimaliku tasustamise mõju turule sisenemisele on käsitletud ka Eesti analüüsides33 ning digikukru kasutuse majandusmudeli selgitamise vajadus tõstatati juba 2021. aasta kaasamisel.34 Kolmandaks mõjutab eelnõu usaldusteenuse osutajaid. Eelnõuga täpsustatakse ja ajakohastatakse loamenetlust ning riigipõhiseid nõudeid usaldusteenuse osutaja jaoks ja kirjeldatakse vastavat menetlust ja nõudeid ka Euroopa digiidentiteedikukru pakkuja jaoks. Selgelt sõnastatud nõuded aitavad teenuseosutajatel loamenetlust läbida ning loovad õigusselgust nõuetele vastavuse suhtes; see mõju puudutab väikest ringi ettevõtjaid, kuid nende jaoks on mõju suur. eIDAS 2 määrus loob uued usaldusteenuse liigid, muu hulgas atribuutide elektroonilise tõendamise (elektroonilised tõendid) ja e-allkirja kaugloomise vahendite haldamise, mis avavad Eesti usaldusteenuse osutajatele uued turuvõimalused kogu Euroopa Liidus.35 Elektrooniliste tõendite potentsiaalseid kasutusjuhte on Eestis analüüsitud juba alates 2022. aastast – näiteks töötajakaardi, kalastuslubade, perekaardi ja mobiilse juhiloa digiteerimine –, mis võimaldaks asendada paberil ja plastkaartidel põhinevad tõendid masinloetavate elektrooniliste tõenditega ning vähendada nii ettevõtjate kui ka riigi 30 Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 31 Vt viide 6. http://data.europa.eu/eli/reg_impl/2025/848/oj 32 Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 33 Vt viide 17, ptk 9 (RP-dega seotud õiguslik ja menetluslik raamistik). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf 34 Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj 35 Vt viide 23, ptk 2 (Digiidentiteedikukru ökosüsteem). https://www.ria.ee/sites/default/files/documents/2026- 05/Digikukru-II-etapi-analuus.pdf 22 asjaajamiskulusid.36 Samal ajal karmistuvad vastavusnõuded: kvalifitseeritud usaldusteenuse osutajaid auditeeritakse vähemalt iga 24 kuu järel (artikli 20 lõige 1) ning liikmesriigid peavad tagama, et määruse rikkumise eest saab usaldusteenuse osutajale määrata haldustrahvi, mille maksimummäär on vähemalt 5 000 000 eurot või juriidilise isiku puhul 1% üleilmsest aastasest kogukäibest, olenevalt sellest, kumb on suurem (artikkel 16). Eelnõu kohaselt e-identimise ja e-tehingute usaldusteenuste seaduses kehtestatavad karistusnormid (eelnõu § 1 punktid 41 ja 43) ning karistusseadustiku § 350 täiendamine (eelnõu § 3) suurendavad seega usaldusteenuse osutajate vastutusriski, kuid ühtlustavad selle teiste liikmesriikidega. Euroopa Liidu tasandi mõjuhinnang toob esile, et ühtse digiidentiteedi lahenduse kasutuselevõtt vähendab oluliselt ettevõtjate kliendituvastuse kulusid ja identiteedipettustest tulenevaid kahjusid: komisjoni hinnangul on tegevuskulude sääst olenevalt kasutuselevõtu ulatusest finantsteenuste sektoris liidus tervikuna 0,68–1,36 miljardit eurot aastas (kliendi tuvastamise ja hoolsusmeetmete kulud) ja tervishoiusektoris 1,26–2,51 miljardit eurot aastas ning identiteedipettuste kahjud vähenevad finantsteenuste sektoris 0,85–1,4 miljardi euro võrra aastas.37 Komisjon rõhutab ühtlasi, et sertifitseeritud ja kogu liidus toimiv autentimislahendus vähendab iga üksiktehingu kulu, võimaldab viia tundlikumaid tehinguid täielikult digitaalseks ning pakub ettevõtjatele neutraalse avaliku sektori autentimislahenduse alternatiivina eraõiguslikele lahendustele, mis võivad kasutada kasutajaandmeid profileerimiseks.38 Need on liidu koondhinnangud; Eesti-spetsiifiline kvantitatiivne hinnang koostatakse eelnõu menetluse käigus (vt punkt 6.6). Eesti kaalutlusotsustest mõjutab ettevõtjaid ka kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse aastase koondsumma suurendamine ühelt miljonilt kahe miljoni euroni: see suurendab mõõdukalt kindlustusmakset, kuid tagab kannatanutele tegeliku kahju hüvitamise võimaluse ja vastab summa kehtestamisest möödunud aja jooksul muutunud hinnatasemele; iga üksiku kindlustusjuhtumi kohta nõutav kate ei muutu. Avatud lähtekoodi nõudest erandi tegemise võimalus (eelnõu § 1 punkt 13) annab riigile paindlikkuse juhuks, kui digikukru üksikute komponentide lähtekoodi avalikustamine ohustaks turvalisust; erandi kasutamata jätmise korral kehtib määruse üldreegel, mistõttu on selle otsuse vahetu mõju ettevõtjatele ja kasutajatele väike ning avaldub eelkõige riigi enda arendus- ja hankevalikutes. Tarbijate jaoks väheneb asjaajamiskoormus: digikukkur võimaldab tõendada isikut ja atribuute (nt vanust, kvalifikatsiooni, lube) ühe vahendiga nii Eestis kui ka üleliiduliselt, vähendades paberdokumentide ja korduva andmete esitamise vajadust. Komisjoni mõjuhinnangu kohaselt väheneks kodanike halduskoormus isikuandmete üleliidulise kasutamise korral liidus tervikuna hinnanguliselt 350–400 miljoni euro võrra aastas.39 Mõju olulisus: ulatus keskmine (kohustatud ettevõtjad peavad autentimislahendusi kohandama, kuid tegemist on ühekordse kohanemisega), sagedus keskmine, sihtrühm keskmine (aktsepteerimiskohustus puudutab piiratud, kuid majanduslikult olulisi sektoreid; mikro- ja väikeettevõtjad on vabastatud), ebasoovitavate mõjude risk väike. Kuna kaks kriteeriumi on hinnatud keskmiseks, on mõju majandusele oluline. 36 A. Pankova, P. Laud, A. Kalu, R. Lillemets, M. Toomsalu, M. J. Liba, A. Kamenik. Tõend kui platvorm. Riigi Infosüsteemi Amet: 2022. https://www.ria.ee/sites/default/files/documents/2022-11/Toend-kui-platvorm- 12.05.2022.pdf 37 Vt viide 14, 3. lisa (joonis 18) ja 5. lisa (joonised 34 ja 35). https://eur-lex.europa.eu/legal- content/EN/TXT/?uri=CELEX:52021SC0124 38 Vt viide 21. https://ec.europa.eu/digital-building- blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits 39 Vt viide 14, 3. lisa (joonis 18). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 23 6.4. Mõju elu- ja looduskeskkonnale Puudub. Eelnõu reguleerib digitaalset identiteeditaristut ega mõjuta keskkonnakvaliteeti, loodusvarasid ega ehitatud keskkonda. Kaudse vähese positiivse mõjuna võib digikukru ja elektrooniliste tõendite kasutuselevõtt vähendada paber- ja plastdokumentide kasutust, kuid see mõju ei ole mõõdetav ega siinses kontekstis oluline. 6.5. Mõju regionaalarengule Otsene mõju puudub, sest eelnõu kohaldub kogu riigis ühetaoliselt. Kaudne vähene positiivne mõju avaldub selles, et digikukkur parandab avalike ja erasektori e-teenuste kättesaadavust olenemata asukohast, mis toetab teenuste tarbimist ka piirkondades, kus füüsiline teenusvõrk on hõredam. Mõju ei ületa olulisuse künnist. 6.6. Mõju riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele Eelnõuga ei jagata ümber kohustusi keskvalitsuse struktuuris ega looda uusi struktuuriüksusi; lisanduvad ülesanded on jagatud asutuste vahel, kelle põhiülesanded juba hõlmavad sarnaseid funktsioone. Suurim koormus langeb RIA-le, kelle ülesanneteks on eelnõu kohaselt pädeva asutuse ülesanded, sealhulgas digikukru pakkumise korraldamine riigi nimel (sh võimalus pakkumine ja selleks vajalikud tegevused allhankida), digiidentiteedikukrule tuginevate isikute riikliku registri asutamine ja pidamine koos pääsusertifikaatide väljastamise korraldamisega, Euroopa digiidentiteedikukru pakkuja loamenetlus, e-identimise süsteemide usaldusväärsuse taseme samaväärsuse hindamine e-identimise ja e-tehingute usaldusteenuste seaduse40 § 21¹ kohases menetluses ning riiklik ja haldusjärelevalve koos väärtegude kohtuvälise menetleja rolliga. Kuna eIDAS 2 määrus loob uued usaldusteenuse liigid, laieneb ka usaldusteenuste järelevalve ulatus ning lisandub Euroopa digiidentiteedikukru raamistiku järelevalveasutuse roll (määruse artikkel 46a).41 Need ülesanded eeldavad püsivat lisaressurssi nii infosüsteemide arenduseks ja halduseks kui ka menetluste läbiviimiseks; kulud ja rahastamisallikad on esitatud seletuskirja 7. peatükis. Euroopa Liidu tasandil hinnati komisjoni mõjuhinnangus, et digikukru ühe lahenduse arendus- ja halduskulud on esimese kolme aasta jooksul kokku ligikaudu 10,5 miljonit eurot ja käitamine eeldab 25–30 töötajaga püsimeeskonda, ning e-identimise süsteemi teavitamisega seotud vastavushindamisaruande kulu on suurusjärgus 80 000 – 100 000 eurot. Kuna Eesti kasutab eID-vahendite turvasertifitseerimist juba praegu, ei tohiks sertifitseerimisnõuetest endist tuleneda märkimisväärseid lisakulusid.42 Andmekaitse Inspektsiooni töökoormus suureneb digikukru ja sellega seotud töötlemistoimingute andmekaitsealase järelevalve võrra, sealhulgas kasutajate teadete menetlemisega, mida saab esitada otse kukru ühise töölaua kaudu (artikli 5a lõike 4 punkt d). Digikukru ökosüsteemi käivitamine eeldab lisaks mitme muu asutuse panust. Riiklik sertifitseerimiskava tuleb igal liikmesriigil kehtestada oma digikukrulahenduse ja selle aluseks oleva e-identimise süsteemi arhitektuuri kohta ning määrata kava omanik. Eelnõu kohaselt on kavade koostamine, ajakohasena hoidmine ja avaldamine valdkonna eest vastutava ministeeriumi ülesanne (eelnõu § 1 punkt 32). Digikukru vastavushindamisasutuse akrediteerimine on riikliku akrediteerimisasutuse (Eesti Standardimis- ja 40 Vt viide 3. https://www.riigiteataja.ee/akt/130122025016 41 Vt viide 23, ptk 2. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 42 Vt viide 14, 5. lisa. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 24 Akrediteerimiskeskus) uus akrediteerimisteenus, millest tuleb teavitada Euroopa Komisjoni.43 Digikukkur kavandatakse eraldiseisva mobiilirakendusena. Kui digikukkur kavandatakse kombineerituna mõne muu mobiilirakendusega (nt riigiäpiga), muutub kukru sertifitseerimine keerukamaks ja EUDI-nõuded võivad laieneda rakenduse muudele funktsioonidele; seetõttu tuleb arhitektuurivalikul eraldi hinnata turvaperimeetrit, sertifitseerimise ulatust ja lisamoodulite mõju hindamisobjektile.44 Digikukru kui kõrge usaldusväärsuse tasemega e- identimise vahendi väljaandmine eeldab isikutuvastusandmete väljastamisel koostööd rahvastikuregistri ja isikut tõendavate dokumentide andmekogu pidajaga. 45 Riiklike andmekogude pidajatele, kelle andmekogu kvalifitseerub autentseks allikaks, tekib kohustus võimaldada elektrooniliste tõendite kvalifitseeritud usaldusteenuse osutajatel kasutaja taotlusel kontrollida vähemalt määruse VI lisas loetletud atribuute (nt aadress, vanus, kvalifikatsioonid, esindusõigused) elektrooniliselt hiljemalt 24 kuu möödumisel rakendusaktide jõustumisest (artikkel 45e). See eeldab andmekogude liideste ja andmekvaliteedi ettevalmistamist ning kohustus on suunatud ka üleliidulisele kasutusele.46 Kõik avaliku sektori asutused, sealhulgas kohaliku omavalitsuse üksused, peavad artikli 5f lõike 1 kohaselt aktsepteerima digikukrut nendes internetipõhistes teenustes, mille kasutamiseks nõutakse e-identimist ja e-autentimist. Asutuste individuaalset kohandamiskoormust vähendab oluliselt see, et valdavas osas avaliku sektori teenustes kasutatakse autentimiseks riigi keskset autentimisteenust (TARA): digikukru tugi lisatakse kesksesse teenusesse, misjärel jõuab see asutusteni ilma iga asutuse eraldi arendusteta. Samas tuleb keskse autentimisteenuse vahendajarolli kujundamisel arvestada määruse piiranguga, mille kohaselt digiidentiteedikukrule tuginevate isikute nimel tegutsevad vahendajad ei tohi salvestada andmeid tehingu sisu kohta (artikli 5b lõige 10).47 Rakendamisel tuleb ühtlasi tagada, et digikukru andmevahetusloogika sobituks Eesti X-tee, ühendatud andmekogude ja ühekordse küsimise (once-only) põhimõttega ega tekitaks paralleelset, kasutaja käsitsi hallatavat tõendite vahendamise kanalit seal, kus automatiseeritud andmevahetus on otstarbekam; sellele riskile juhiti tähelepanu juba 2021. aasta kaasamisel.48 Asutused, kes keskset autentimisteenust ei kasuta, peavad oma autentimislahendused ise kohandama. Kohaliku omavalitsuse üksustele ei panda eelnõuga uusi iseseisvaid ülesandeid, kuid Euroopa digiidentiteedikukruga liidestuvad ka kohaliku omavalitsuse üksuste e-teenused, mistõttu võivad neile kaasneda kohanemiskulud (vt seletuskirja punkt 7.5). Digiidentiteedikukrule tuginevate isikute registris peavad end registreerima kõik, kes peavad digikukrut oma e-identimist nõudvates e-teenustes aktsepteerima; see hõlmab ka avaliku sektori asutusi, sealhulgas kohaliku omavalitsuse üksusi ja riigiasutusi. Kavatsus on riigi keskse autentimisteenuse (TARA) praegused kliendid registreerida digiidentiteedikukrule tuginevate isikute registrisse ühekordselt ja võimalikult lihtsalt, et avaliku sektori asutuste halduskoormus 43 Vt viide 23, lisa 1 (Liikmesriigi riiklik sertifitseerimiskava) ja lisa 3 (Euroopa Komisjonile tehtavad teavitused). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 44 Vt viide 17, ptk 2 (Superäpp). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi- analuus.pdf 45 Vt viited 23 ja 26. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf ja https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 46 Vt viide 23, ptk 2 ja lisa 2 (Autentne allikas). https://www.ria.ee/sites/default/files/documents/2026- 05/Digikukru-II-etapi-analuus.pdf 47 Vt viide 17, ptk 11 (TARA kui digikukru liides). https://www.ria.ee/sites/default/files/documents/2026- 05/Digikukru-III-etapi-analuus.pdf 48 Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj 25 oleks sellega seoses võimalikult väike. Seda selgitust täiendati kooskõlastusringil Regionaal- ja Põllumajandusministeeriumi, Eesti Linnade ja Valdade Liidu ning Maa- ja Ruumiameti märkuste alusel. Mõju olulisus: ulatus on RIA jaoks suur (lisanduvad uued püsiülesanded ja infosüsteemid), teiste asutuste jaoks väike kuni keskmine; sagedus keskmine; sihtrühm keskmine; ebasoovitavate mõjude risk suur (tähtajaks valmimata jäämise risk). Mõju on oluline. Järelhindamine Järelhindamine on ette nähtud eIDAS 2 määruse artiklis 49 ja ja toimub Europpa Liidu üleselt Euroopa Komisjoni algatusel. eIDAS 2 määruse artikli 48a kohaselt kogub liikmesriik statistikat digikukru ja kvalifitseeritud usaldusteenuste toimimise kohta – sealhulgas kehtiva kukru kasutajate arv, kukrut aktsepteerivate teenuste liik ja arv, kasutajate kaebused ning turvaintsidendid ja nende mõju – ning esitab statistilise aruande Euroopa Komisjonile igal aastal 31. märtsiks avatud ja masinloetavas vormingus.49 Euroopa Komisjon hindab omakorda määruse artikli 5f lõike 5 kohaselt 24 kuu jooksul digikukrute kasutuselevõtust nende nõudlust, kättesaadavust ja kasutatavust. Riigisiseselt seiravad Justiits- ja Digiministeerium ja RIA digikukru kasutuselevõttu jooksvalt vähemalt eelnimetatud artikli 48a näitajate alusel, millele lisanduvad digiidentiteedikukrule tuginevate registreeritud isikute arv ning digikukruga tehtud autentimiste ja allkirjastamiste maht. Et võimaldada nende ülesannete täitmist, lisatakse eelnõuga peatükk 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse osutajatega“, mis võimaldab valdkonna eest vastutaval ministeeriumil ja pädeval asutusel nõuda Eesti jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet. Halduskoormuse koondhinnang – Ettevõtete halduskoormus ajutiselt mõõdukalt suureneb, pikemas vaates võimaldab ühtne üleliiduline identimisvahend ja tõendite digiteerimine kliendituvastuse ja asjaajamise kulusid vähendada. Halduskoormuse ajutine suurenemine tuleneb asjaolust, et aktsepteerimiskohustusega digiidentiteedikukrule tuginevad isikud peavad end registreerima ja autentimislahendused kohandama (ühekordne kulu, olemasolevad riigi keskse autentimisteenuse (TARA) kliendid võivad saada registreerimiseks lihtsustatud võimaluse). Mikro- ja väikeettevõtjad on kohustusest vabastatud. – Kodanike halduskoormus väheneb – isiku ja atribuutide tõendamine muutub lihtsamaks nii Eestis kui ka üleliiduliselt. Näiteks hakkavad isikud juhiluba saama tulevikus digitaalsena digikukrusse ega pea enam füüsilise kaardina seda kaasas kandma. Digikukkur on füüsilistele isikutele tasuta ja selle kasutamine vabatahtlik. Muudatus võimaldab inimestel tõendada oma isikut ning erinevaid andmeid, näiteks vanust, õigusi ja lubasid, ühe turvalise digiidentiteedilahenduse abil nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Samuti võimaldab digikukkur jagada teenuse kasutamiseks vajalikke andmeid digitaalselt, mis võib vähendada vajadust hankida ja esitada tõendeid eraldi ning esitada samu andmeid korduvalt eri teenuseosutajatele. Kasutaja saab ise valida, milliseid andmeid ta teenuseosutajaga jagab. Digiidentiteedikukru kasutamine on füüsilistele isikutele vabatahtlik ja tasuta ning see täiendab seniseid isikutuvastusvahendeid. 49 Vt viide 23, lisa 9. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 26 – Avaliku sektori töökoormus suureneb – Riigi Infosüsteemi Ametile (RIA) lisanduvad püsivad arendus-, haldus-, registri- ja järelevalveülesanded, Andmekaitse Inspektsioonile järelevalve tegemise ja kaebuste menetlemise koormus, Justiits- ja Digiministeeriumile lisakohustused seoses sertifitseerimisskeemi loomise ning ajakohasena hoidmisega ning autentseid allikaid pidavatele asutustele atribuutide kontrolli võimaldamise kohustus. Teiste asutuste koormuse kasvu leevendab keskse autentimisteenuse kasutamine. 7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad kulud ja tulud Eelnõu rakendamine eeldab Andmekaitse Inspektsioonilt, Justiits- ja Digiministeeriumilt ning Riigi Infosüsteemi Ametilt lisategevusi, millega kaasnevad riigieelarvelised lisakulud. Kulud jagunevad rakendamiskuludeks (sealhulgas digikukru väljaarendamine) ja järelevalvekuludeks. Lisaks kaasnevad ministeeriumide haldusaladele kulud oma e-teenuste digikukruga liidestamisest. Käesolevas peatükis esitatud kulud tuginevad asutuste tegevuspõhistele eelarvestustele perioodiks 2027–2030. Samas tuleb arvestada, et projekt jätkub ja sellega kaasnevad kulud ka pärast 2030. aastat. Kulude kogumaht aastatel 2027–2030 on 20 445 588 eurot. Kulud jagunevad asutuste vahel järgmiselt (vt tabel 1). Tabel 1. eIDAS2 rakendamise kulud asutuste ja aastate lõikes 2027–2030 (eurodes). Allikas: AKI, JDM ja RIA eelarvestused. Kokku 2027– Asutus 2027 2028 2029 2030 2030 AKI 75 522 75 522 75 522 75 522 302 088 JDM 385 000 685 000 470 000 370 000 1 910 000 Liidestuvad - - 1 000 000 1 000 000 2 000 000 ministeeriumid RIA – järelevalve 75 000 75 000 75 000 75 000 300 000 RIA – digikukru 4 483 500 4 902 000 3 431 000 3 117 000 15 933 500 arendus Kokku 5 019 022 5 737 522 5 051 522 4 637 522 20 445 588 AKI – Andmekaitse Inspektsioon; JDM – Justiits- ja Digiministeerium; RIA – Riigi Infosüsteemi Amet. Ministeeriumide real kajastatakse ministeeriumide haldusalade e-teenuste digikukruga liidestamise kulud (1 000 000 eurot 2029. aastal ja 1 000 000 eurot 2030. aastal, kokku 2 000 000 eurot); iga haldusala liidestab oma teenused digikukruga ise. 7.1. Andmekaitse Inspektsioon AKI-le tekivad eIDAS2 määrusest tulenevate uute järelevalveülesannete täitmiseks alates 2027. aastast iga-aastased lisakulud kokku 75 522 eurot aastas, sealhulgas tööjõukulu 68 206 eurot ja sellega seotud majandamiskulu 7316 eurot (vt tabel 2). Kulu aluseks on üks lisanduv ametikoht (1 FTE) eIDAS2 määrusest tulenevate järelevalvekohustuste täitmiseks; brutopalk 3600 eurot kuus, millele lisandub 18 protsenti tugifunktsiooni katteks, ja korrutustegur 1,338 27 tööjõumaksude ja muude palgalisandite katteks (3600 x 12 x 1,18 x 1,338 = 68 206 eurot aastas). Tabel 2. AKI lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: AKI eelarvestus. 2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa Investeeringuid ei Investeeringud - - - - kavandata. 1 FTE eIDAS2 määrusest tulenevate uute järelevalvekohustuste täitmiseks. Brutopalk 3600 eurot kuus, millele lisandub 18 protsenti Tööjõukulud 68 206 68 206 68 206 68 206 tugifunktsiooni katteks ja korrutustegur 1,338 tööjõumaksude ja muude palgalisandite katteks (3600 x 12 x 1,18 x 1,338 = 68 206 eurot aastas). Majandamiskulud, Uue ametikohaga seotud mis on seotud 7 316 7 316 7 316 7 316 majandamiskulu (töökoha tööjõukuludega loomine ja ülalpidamine). Muud - - - - Ei kavandata. majandamiskulud Kulud on seotud eelnõuga kehtestatavate uute järelevalveülesannetega, mis on kirjeldatud seletuskirja punktis 6.6. Ilma lisaressursita ei ole AKI-l võimalik eIDAS2 määrusest tulenevaid ülesandeid täita, mis toob kaasa Euroopa Liidu õigusest tulenevate kohustuste täitmata jätmise riski. 7.2. Justiits- ja Digiministeerium JDM-ile tekib eIDAS2 määrusest tulenevate ülesannete täitmiseks lisavajadus tööjõukulu, investeeringukulu ja majandamiskulu näol kokku 1 910 000 eurot aastatel 2027–2030 (vt tabel 3). Kulud on seotud kahe uue ametikoha (projektijuht, sertifitseerimise ekspert) loomisega, riikliku sertifitseerimisskeemi väljatöötamise, kinnitamise ja haldamisega ning digikukruga seotud kommunikatsioonitegevustega. Tööjõukulude arvestuse aluseks on avaliku sektori palgastatistika. Tabel 3. JDM-i lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: JDM-i eelarvestus. 28  2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa Investeeringukulu on kavandatud 2028. aastasse, kuna sertifitseerimisskeemi tehniline infrastruktuur ja seonduvad IT-lahendused Investeeringud - 300 000 - - hangitakse pärast skeemi sisulist kinnitamist 2027. aastal, vastavalt kavandatud hanke- ja arendusetapi ajakavale. 2 FTE-d (projektijuht, Tööjõukulud 135 000 135 000 135 000 135 000 sertifitseerimise ekspert). Majandamiskulud, Uute ametikohtadega seotud mis on seotud 15 000 15 000 15 000 15 000 majandamiskulu. tööjõukuludega Riikliku sertifitseerimisskeemi Muud 235 000 235 000 320 000 220 000 väljatöötamine, kinnitamine majandamiskulud ja haldamine ning EUDI kommunikatsioonitegevused. JDM-i eelarvestuse aastasummad kulutüüpide kaupa (tabel 3) annavad 2027. aastal kokku 385 000 eurot, 2028. aastal 685 000 eurot, 2029. aastal 470 000 eurot ja 2030. aastal 370 000 eurot. 7.3. Riigi Infosüsteemi Amet – järelevalve RIA-le tekib alates 2027. aastast digiidentiteedikukru raamistiku järelevalvega seotud iga- aastane lisavajadus 75 000 eurot, sealhulgas tööjõukulu 67 500 eurot ja sellega seotud töökohakulu 7500 eurot (vt tabel 4). Kulud on seotud järgmiste ülesannetega: 1) autentsete allikate järelevalve eIDAS2 nõuetele vastavuse üle, tegevuslubade väljastamine, teenuseosutajate üle arvestuse pidamine ning nende usaldusväärseks tunnistamine ja sellest Euroopa Liidule teavitamine; 2) digikukru pakkujate ja tuginevate isikute järelevalve, sealhulgas järelevalve sihipärase kasutamise üle; 3) järelevalvetegevustest regulaarne aruandmine Euroopa Komisjonile ja Euroopa Liidu Küberturvalisuse Ametile (ENISA) – aruandluse maht võrreldes senisega kasvab. Tabel 4. RIA järelevalve lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: RIA eelarvestus. 2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa Investeeringuid ei Investeeringud - - - - kavandata. 1 FTE digikukru Tööjõukulud 67 500 67 500 67 500 67 500 raamistiku järelevalveks. 29  2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa Majandamiskulud, Uue ametikohaga seotud mis on seotud 7 500 7 500 7 500 7 500 töökohakulu. tööjõukuludega Muud - - - - Ei kavandata. majandamiskulud 7.4. Riigi Infosüsteemi Amet – digikukru arendus RIA eID-tiimile tekib alates 2027. aastast digikukru väljaarendamise ja haldamisega seotud lisavajadus kokku 15 933 500 eurot aastatel 2027–2030 (vt tabel 5). Kulud jagunevad kuue tegevussuuna vahel: 1) digikukru teenusepakkuja hankimine; 2) digiidentiteedikukrule tuginevate isikute registri loomine ja haldamine; 3) tõendite vahendamise lüüsi loomine ja haldamine; 4) olemasoleva eID baasteenuse TARA API muutmine digikukruga liidestamiseks; 5) olemasoleva eID baasteenuse DigiDoc muutmine digikukruga liidestamiseks; 6) olemasoleva eID baasteenuse SiGa (Signature Gateway) muutmine digikukruga liidestamiseks. Tabel 5. RIA digikukru arenduse lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: RIA eID-tiimi eelarvestus. 2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa Digikukru teenusepakkuja hankimine (1 250 000 eurot kokku), digiidentiteedikukrule tuginevate isikute registri 1 290 1 000 Investeeringud 350 000 350 000 loomine (420 000 eurot), 000 000 tõendite vahendamise lüüsi loomine (420 000 eurot) ning TARA API, DigiDoc ja SiGa muutmine (kokku 900 000 eurot). 10 FTE-d (4 digikukru teenusepakkuja hankimise ja halduse, 3 tuginevate isikute Tööjõukulud 606 000 687 000 716 000 752 000 registri ning 3 tõendite vahendamise lüüsi tegevussuunas). Majandamiskulud, Ei kavandata eraldi realt; mis on seotud - - - - sisaldub muudes tööjõukuludega majandamiskuludes. Digikukru valdkonna Muud 2 587 3 215 2 365 2 015 kommunikatsioonitegevused majandamiskulud 500 000 000 000 (1 550 000 eurot kokku), 30  2027. a 2028. a 2029. a 2030. a Kulutüüp Selgitus summa summa summa summa üldised analüüsid ja uuringud, sealhulgas piiriülese koostoimelisuse korralduse tagamiseks vajalikud kohtumised (892 500 eurot kokku), digikukru teenusepakkuja hankimise korraldamise ja lepingu kulud (6 750 000 eurot kokku) ning digiidentiteedikukrule tuginevate isikute registri ja tõendite vahendamise lüüsi majanduskulu (kokku 990 000 eurot). Digikukru arenduse ja haldamisega tekivad RIA-le uued tehnilised ja korralduslikud ülesanded, mille täitmine nõuab nii uut töötajaskonda kui ka olemasolevate eID baasteenuste (TARA, DigiDoc, SiGa) kohandamist. 7.5. Mõju kohaliku omavalitsuse üksuste eelarvetele Kooskõlastusringi järel täiendati Eesti Linnade ja Valdade Liidu ettepanekul seletuskirja prognoosiga, millised kulud kohaliku omavalitsuse üksustele kaasneda võivad. Euroopa digiidentiteedikukruga liidestatakse ka kohaliku omavalitsuse üksuste e-teenused ning kulud jagunevad kolme kategooriasse. Esiteks kaasnevad riigi keskse autentimisteenusega (TARA) ja teiste digikukru kasutamisega seotud süsteemidega (näiteks SiGa) liitumise kulud nendele kohaliku omavalitsuse üksustele, kes neid teenuseid veel ei kasuta. Teiseks tehakse kohaliku omavalitsuse üksuste kasutatavates infosüsteemides (näiteks SPOKU ja ARNO), mis juba praegu kasutavad eID-lahendusi, digikukru toetamiseks vajalikud kohandused ise, kuid nende pakkujad võivad selle eest küsida lisatasu või tõsta hinda. Kolmandaks võivad lisakulud kaasneda nendele kohaliku omavalitsuse üksustele, kes soovivad üleliidulisse digitaalsesse ühisturgu rohkem panustada: näiteks need, kes juba kasutavad TARA-s Euroopa Liidu eID võimalust, saavad digikukru kaudu hõlpsamini toetada rohkemate liikmesriikide e-identimise vahendeid, millega võivad kaasneda lisakulud. Muu puhulnähakse ette, et olemasolevad TARA kasutajad saavad digikukru kohustusliku osa (isikutuvastusandmete kasutamine veebis) kasutusele võtta ilma lisaarendusteta, analoogselt sellega, kuidas 2019. aastal lisandus TARA- sse Smart-ID. Digikukru tugi lisatakse riigi kesksesse autentimisteenusesse riigieelarve vahendite eest. Täpset kvantitatiivset hinnangut nende kulude kohta ei ole praegu võimalik esitada, kuna kulu suurus sõltub kohaliku omavalitsuse üksuste kasutatavate infosüsteemide pakkujate hinnastamisotsustest, mis ei ole eelnõu koostamise ajaks teada. 7.6. Kulude kokkuvõte Kokku on eIDAS2 määruse rakendamisega seotud riigieelarve lisavajadus aastatel 2027–2030 20 445 588 eurot, millest AKI-le langeb 302 088 eurot, JDM-ile 1 910 000 eurot, RIA-le kokku 16 233 500 eurot (sealhulgas järelevalve 300 000 eurot ja digikukru arendus 15 933 500 eurot) ning ministeeriumide haldusalade EUDI-liidestumisele 2 000 000 eurot. 31 Kulud kaetakse riigieelarvest ning vastavad eelarvetaotlused esitatakse riigieelarve koostamise käigus. Rakendamise eeldus on lisaressursi tagamine: ilma selleta ei ole võimalik määrusest (EL) 2024/1183 (eIDAS2) tulenevaid ülesandeid täita, mistõttu kaasneb Euroopa Liidu õiguse rikkumise menetluse ja rahaliste sanktsioonide risk. 7.7. Tulud ja rahastamise allikas Eelnõuga muudetakse ka riigilõivuseadust. Laekuva riigilõivu maht sõltub taotluste arvust, mida ei ole avalike allikate põhjal võimalik usaldusväärselt prognoosida; muid tulusid eelnõu rakendamisega ei kaasne. 8. Rakendusaktid Eelnõuga antakse üks uus volitusnorm: e-identimise ja e-tehingute usaldusteenuste seaduse § 3¹ lõike 7 alusel kehtestab valdkonna eest vastutav minister määrusega digiidentiteedikukrule tuginevate isikute registri põhimääruse, milles sätestatakse andmete täpne koosseis, sealhulgas isikustamata andmed, andmeandjad ning nende esitatavad andmed, registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused, registri rahastamine ning registriga seotud muud korralduslikud nõuded. Volitusnorm on vajalik, sest komisjoni rakendusmäärus (EL) 2025/848 jätab registri pidamise tehnilise ja korraldusliku täpsustamise liikmesriigile; seaduse tasandil sätestatakse andmekogu asutamine, eesmärk, vastutav töötleja, andmete koosseisu põhialused, avalikkus ja säilitustähtaeg ning määruse tasandile jääb üksnes rakenduslik täpsustus. Rakendusakti kavand on esitatud seletuskirja lisas 1. Rakendusakt tuleb kehtestada hiljemalt 24. detsembriks 2026, sest sellest kuupäevast kohaldub komisjoni rakendusmäärus (EL) 2025/848 ja registreerimine peab olema võimalik. Eelnõu § 1 punktiga 31 tunnistatakse kehtetuks e-identimise ja e-tehingute usaldusteenuste seaduse § 12 lõige 2, mille tagajärjel muutub kehtetuks selle alusel antud majandus- ja taristuministri 26. oktoobri 2016. a määrus nr 64 „Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord“.50 Euroopa digiidentiteedikukru sertifitseerimise kava, mille koostamise kohustus pannakse eelnõuga valdkonna eest vastutavale ministeeriumile (eelnõu § 1 punkt 32), ei ole õigustloov akt ega rakendusakt hea õigusloome ja normitehnika eeskirja tähenduses, vaid haldusesisene dokument, mis avaldatakse ministeeriumi veebilehel. Samuti ei eelda eelnõu muud rakendusakti: registreerimistaotluste esitamise tehniline kord tehakse kättesaadavaks digiidentiteedikukrule tuginevate isikute registri kaudu põhimääruses sätestatud korras. 9. Seaduse jõustumine Seadus jõustub üldises korras ehk põhiseaduse § 108 kohaselt kümnendal päeval pärast Riigi Teatajas avaldamist. Eraldi jõustumissätet eelnõu ei sisalda. Üldkorras jõustumine on põhjendatud, sest sihtrühmade sisulised kohustused tulenevad valdavalt vahetult eIDAS 2 määrusest ja selle rakendusmäärustest, mille kohaldamise tähtajad on sätestatud Euroopa Liidu õiguses, ning eelnõu riigisisesed rakendusmeetmed (pädeva asutuse määramine, loamenetlus, register, karistusnormid) ei nõua sihtrühmadelt sellist kohanemisaega, mis eeldaks pikemat jõustumistähtaega. Vastupidi, riigisiseste rollide ja menetluste võimalikult varane jõustumine 50 Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord (RT I, 28.10.2016, 17). 32 on vajalik, et digiidentiteedikukrule tuginevate isikute registreerimine oleks võimalik hiljemalt 24. detsembrist 2026, mil kohaldub komisjoni rakendusmäärus (EL) 2025/848. 10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu esitati eelnõude infosüsteemi (EIS) kaudu kooskõlastamiseks kõikidele ministeeriumitele ning arvamuse avaldamiseks Riigi Infosüsteemi Ametile, Andmekaitse Inspektsioonile, Tarbijakaitse ja Tehnilise Järelevalve Ametile, Eesti Infotehnoloogia ja Telekommunikatsiooni Liidule, Eesti Linnade ja Valdade Liidule, Statistikaametile, Maa- ja Ruumiametile, Rahvusarhiivile, Politsei- ja Piirivalveametile, Siseministeeriumi infotehnoloogia- ja arenduskeskusele, Registrite ja Infosüsteemide Keskusele, Keskkonnaministeeriumi infotehnoloogiakeskusele, Regionaal- ja Põllumajandusministeeriumi infotehnoloogia keskusele, Rahandusministeeriumi infotehnoloogiakeskusele ning Tervise ja Heaolu Infosüsteemide Keskusele. EIS-i kaudu toimuv kooskõlastamine on ühtlasi avalik konsultatsioon, sest eelnõu materjalid on infosüsteemis avalikult kättesaadavad ja igaühel on võimalik esitada eelnõu kohta arvamus. Huvirühmi on sisuliselt kaasatud juba enne eelnõu koostamist, ja seda kahel tasandil. Euroopa Liidu tasandil korraldas Euroopa Komisjon eIDAS-määruse läbivaatamiseks avaliku konsultatsiooni 24. juulist kuni 2. oktoobrini 2020, et koguda tagasisidet e-identimise ja usaldusteenuste arengu ning kasutuselevõtu takistuste kohta51; konsultatsioonile laekus 318 vastust ning selle tulemusi on kajastatud komisjoni mõjuhinnangut toetavas uuringus. 52 Lisaks avalikule konsultatsioonile sai komisjon kirjalikku tagasisidet esialgse mõjuhinnangu kohta (23. juulist 3. septembrini 2020), korraldas sihitatud sidusrühmauuringu (106 vastust) ning küsitles liikmesriikide esindajaid eIDAS-i koostöövõrgustikus. Avaliku konsultatsiooni tulemuste kohaselt toetas 60% vastanutest ühtse ja üldtunnustatud Euroopa digiidentiteedi süsteemi loomist riiklike e-identimise vahendite kõrvale; peamiste eelistena nimetati universaalset aktsepteeritavust (47% vastanutest), kasutusmugavust (43%) ja riigi tagatud usaldusväärsust (37%), peamise väljakutsena aga ühtse süsteemi ülesehituse ja juhtimise keerukust (52%); 49% vastanutest pidas kehtiva raamistiku peamiseks parandusmeetmeks selle laiendamist erasektorile.53 Eesti seisukohtade kujundamisse komisjoni ettepaneku COM(2021) 281 (final) kohta kaasati asjaomased ministeeriumid, asutused ja huvirühmad; seisukohad kiitis heaks Vabariigi Valitsus ja neid arutas Riigikogu Euroopa Liidu asjade komisjon.54 2021. aasta kaasamise tabelist nähtub muu hulgas, et Siseministeerium toetas eelnõu eesmärke, huvirühmad tõstatasid küsimusi digikukru seosest olemasoleva eID-ökosüsteemi ja X-tee andmevahetusloogikaga, riigisisestest kuludest, majandusmudelist, erasektori vastutusest ja rakendamise tähtajast ning Eesti tegi ettepaneku näha kukru kasutuselevõtuks ette 24 kuud tehniliste nõuete jõustumisest – tähtaeg, mis kajastub ka määruse lõplikus tekstis (artikli 5a lõige 1).55 Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus, mistõttu ei koostatud eelnõu kohta väljatöötamiskavatsust (hea õigusloome ja normitehnika eeskirja § 1 lõike 2 punkt 2; vt ka seletuskirja punkt 2). Lisaks osales Eesti Euroopa Komisjoni kaasrahastatud suuremahulises pilootprojektis POTENTIAL, milles 19 liikmesriiki ja Ukraina 51 Digital identity and trust: Commission launches public consultation on the eIDAS Regulation. Euroopa Komisjoni veebileht, 24.07.2020. https://digital-strategy.ec.europa.eu/en/news/digital-identity-and-trust- commission-launches-public-consultation-eidas-regulation 52 Vt viide 15. 53 Vt viide 14, 2. lisa. 54 Vt viide 13. 55 Vt viide 29. 33 katsetasid aastatel 2023–2025 digikukru kuut kasutusjuhtu; Eesti panustas RIA eestvedamisel digitaalse juhiloa tehnilise kontseptsioonilahenduse väljatöötamisse ning projekti tulemused andsid sisendi Euroopa digiidentiteedikukru arhitektuuriraamistiku (ARF) väljatöötamisse.56 Määruse rakendusaktide eelnõude kohta on huvirühmadel olnud võimalik esitada tagasisidet Euroopa Komisjoni tagasisidekorje kaudu. Eestis on kaasamine ja ettevalmistus toimunud järjepidevalt alates 2022. aastast. RIA on tellinud sõltumatud analüüsid digikukru ja elektrooniliste tõendite ökosüsteemi kohta – „Tõend kui platvorm“ (2022), digikukru I etapi analüüs (2023), II etapi analüüs (2025) ja III etapi analüüs (2026) – ning avalikustanud need oma kodulehel, kus on avaldatud ka teave digikukru ökosüsteemi, ettevõtjate kohustuste, digiidentiteedikukrule tuginevate isikute registri ajakava ja korduma kippuvate küsimuste kohta.57 2025. aasta mais kutsus RIA turuosalisi avalikult varakult kaasa mõtlema Euroopa Liidu digikukru järgmiste sammude üle.58 Digiidentiteedikukrule tuginevate isikute registreerimise juhendid avaldatakse pärast registri esmaversiooni valmimist samuti RIA kodulehel, mis tagab ettevõtjatele jooksva teabe kohustuste täitmiseks.59 Pärast EIS-i kooskõlastusringi uut kaasamisringi ei kavandata. EIS-i kaudu toimuv kooskõlastusring täidab ühtlasi Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaanis kavandatud avaliku konsultatsiooni eesmärki.60 See on põhjendatud, sest eIDAS 2 määrus on vahetult kohaldatav ja eelnõu riigisisene otsustusruum on piiratud rakendusmeetmetega, mille sisulised valikud on läbi arutatud Euroopa Liidu tasandi õigusloomes, pilootprojektides ja Eestis toimunud ettevalmistava kaasamise käigus; sihtrühmadel on võimalik esitada arvamusi kooskõlastusringi jooksul EIS-i kaudu ning eelnõu menetlemisel Riigikogus. Kaasamisel ja ettevalmistavates analüüsides esile kerkinud põhiküsimused – sobitumine X-tee ja ühekordse küsimise põhimõttega, digikukru kasutuse majandusmudel, erasektori vastutusraamistik, digiidentiteedikukrule tuginevate isikute register, järelevalve ja karistused, sertifitseerimise ulatus – on käsitletud seletuskirja 6. peatükis ja eelnõu sisu peatükis (seletuskirja 3. peatükk). Kooskõlastusringil esitasid eelnõu kohta märkusi ja arvamusi Siseministeerium, Regionaal- ja Põllumajandusministeerium, Rahandusministeerium, Eesti Linnade ja Valdade Liit, Tarbijakaitse ja Tehnilise Järelevalve Amet, Andmekaitse Inspektsioon, Siseministeeriumi infotehnoloogia- ja arenduskeskus, Politsei- ja Piirivalveamet, Maa- ja Ruumiamet, Eesti Infotehnoloogia ja Telekommunikatsiooni Liit ning Riigi Infosüsteemi Amet. Iga märkuse sisu, esitaja ning arvestamine või arvestamata jätmine koos põhjendusega on esitatud seletuskirja lisas oleva kooskõlastustabelina (hea õigusloome ja normitehnika eeskirja § 50 lõiked 2 ja 3). Kooskõlastusringi tulemusel muudeti muu hulgas eelnõu §-s 1 kavandatut paragrahvide 3¹, 4¹, 5, 7, 8, 10, 13, 19 ja 23² puhul, jäeti eelnõust välja § 22 muudatused ning vähendati sunniraha ülemmäära; vastavad selgitused leiab seletuskirja asjakohastest osadest. Seletuskirja lisad 56 Pilootprojekt POTENTIAL (digitaalne juhiluba). Riigi Infosüsteemi Ameti koduleht, 19.05.2026. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/pilootprojekt-potential 57 Vt viited 35, 26, 23 ja 17. Analüüsid on avalikustatud Riigi Infosüsteemi Ameti kodulehel (vt viide 16). 58 EL digikukru järgmised sammud: kutsume turuosalisi varakult kaasa mõtlema. Riigi Infosüsteemi Ameti blogi, 30.05.2025. https://www.ria.ee/blogi/el-digikukru-jargmised-sammud-kutsume-turuosalisi-varakult-kaasa-motlema. 59 Vt viide 16. 60 Vt viide 12. 34 Lisa 1. Rakendusakti kavand (digiidentiteedikukrule tuginevate isikute registri põhimäärus). Lisa 2. Vastavustabel (eIDAS 2 määruse ja eelnõu sätete seosed). Lisa 3. Kooskõlastustabel (märkustega arvestamise tabel). Lauri Hussar Riigikogu esimees Tallinn, … ……………2026 _________________________________________________________________________ Algatab Vabariigi Valitsus … ……………2026 (allkirjastatud digitaalselt) 35  EELNÕU 18.08.2026 E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seadus § 1. E-identimise ja e-tehingute usaldusteenuste seaduse muutmine E-identimise ja e-tehingute usaldusteenuste seaduses tehakse järgmised muudatused: 1) paragrahvi 1 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt: „(1) Käesolev seadus reguleerib e-identimist, e-identimise süsteemi usaldusväärsuse taseme hindamist, e-tehinguteks vajalike usaldusteenuste osutamist, Euroopa digiidentiteedikukru pakkumist ning riikliku järelevalve korraldust ulatuses, milles need ei ole reguleeritud Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) ning Euroopa Parlamendi ja nõukogu määruses (EL) 2024/1183, millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (ELT L, 2024/1183, 30.04.2024). (2) E-identimisele, e-tehinguteks vajalike usaldusteenuste osutamisele ja Euroopa digiidentiteedikukru pakkumisele kohaldatakse käesolevat seadust ja muid riigisiseseid õigusakte, kui Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 järgi tuleb lähtuda riigisisesest õigusest või kui määrus annab võimaluse reguleerida teatud valdkondi riigisisese õigusega.“; 2) paragrahvi 1 lõiget 5 täiendatakse pärast tekstiosa „isikut tõendavatel dokumentidel põhinevate e-identimise süsteemide“ tekstiosaga „ning Euroopa digiidentiteedikukru“; 3) paragrahv 2 muudetakse ja sõnastatakse järgmiselt: „§ 2. Asutuste pädevus (1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 7 punktis f ning artiklites 5a, 5b, 5d, 5e, 9, 12, 46a, 46b ja 48a sätestatud liikmesriigi ülesandeid täidab Riigi Infosüsteemi Amet (edaspidi pädev asutus). (2) Pädev asutus võib Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artiklis 5a sätestatud liikmesriigi ülesannete täitmiseks anda lepingu alusel üle kohustusi teenuse osutajale. (3) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5 punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab Andmekaitse Inspektsioon. (4) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c lõigetes 3 ja 7 ning artikli 45f lõikes 3 sätestatud ülesandeid täidab valdkonna eest vastutav ministeerium.“; 1 4) seaduse 2. peatüki pealkiri muudetakse ja sõnastatakse järgmiselt: „2. peatükk Usaldusteenus, usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja“; 5) paragrahvi 3 lõige 2 muudetakse ja sõnastatakse järgmiselt: „(2) Pädev asutus võib korraldada usaldusteenuse infrastruktuuri loomise, haldamise ja ajakohastamise Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 46b lõike 5 kohaselt.“; 6) seadust täiendatakse §-ga 31 järgmises sõnastuses: „§ 31. Digiidentiteedikukrule tuginevate isikute register (1) Digiidentiteedikukrule tuginevate isikute register (edaspidi register) on riigi infosüsteemi kuuluv andmekogu, mille eesmärk on registreerida Eestis asutatud isikud, kes kavatsevad tugineda Euroopa digiidentiteedikukrule avalike või erateenuste osutamiseks, ning teha nende kohta esitatud teave läbipaistvuse ja usalduse tagamiseks inim- ja masinloetaval kujul avalikult kättesaadavaks. Register on digiidentiteedikukrule tuginevate isikute riiklik register Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5b lõike 5 ja komisjoni rakendusmääruse (EL) 2025/848, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad kukrule tuginevate isikute (edaspidi digiidentiteedikukrule tuginev isik) registreerimise kohta (ELT L, 2025/848, 07.05.2025), artikli 3 lõike 1 tähenduses. (2) Riigi Infosüsteemi Amet kehtestab ja avalikustab oma veebilehel registrisse teabe esitamise korra. (3) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid. (4) Registris säilitatakse: 1) rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid kümme aastat registrikande tegemisest arvates; 2) logiandmeid kümme aastat registrikande tegemisest arvates; 3) muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik registrikande kustutab. (5) Registrisse kantud andmed on avalikud, välja arvatud avaliku teabe seaduse alusel määratud piiratud juurdepääsuga teave. (6) Andmekogu vastutav töötleja on Riigi Infosüsteemi Amet. (7) Registri põhimääruse kehtestab valdkonna eest vastutav minister määrusega, milles sätestatakse: 1) andmete täpne koosseis, sealhulgas isikustamata andmed; 2) andmeandjad ja nende esitatavad andmed; 3) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused; 4) registri rahastamine; 5) registriga seotud muud korralduslikud nõuded. 2 (8) Pädev asutus võib teha otsuse digiidentiteedikukrule tugineva isiku registreeringu peatamiseks või tühistamiseks komisjoni rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2 loetletud juhtudel.“; 7) seadust täiendatakse §-ga 41 järgmises sõnastuses: „§ 41. Turvaintsidendist teavitamine (1) Euroopa digiidentiteedikukru pakkuja või usaldusteenuse osutaja teavitab pädevat asutust 24 tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib mõjutada usaldusteenuse, Euroopa digiidentiteedikukru või selle kaudu osutatava teenuse turvalisust, töökindlust või usaldusväärsust. (2) Teade peab sisaldama: 1) turvaintsidendi kirjeldust; 2) hinnangut turvaintsidendi mõjule; 3) teavet rakendatud või kavandatavate mõju vähendamise meetmete kohta; 4) muud pädeva asutuse nõutud teavet, mis on vajalik Euroopa Liidu õigusaktidest tulenevate kohustuste täitmiseks. (3) Pädeval asutusel on õigus nõuda Euroopa digiidentiteedikukru pakkujalt või usaldusteenuse osutajalt turvaintsidendi kohta täiendavat teavet ja dokumente, mis on vajalikud turvaintsidendi mõju hindamiseks ning Euroopa Liidu õigusaktidest tulenevate kohustuste täitmiseks.“; 8) paragrahvi 5 pealkiri muudetakse ja sõnastatakse järgmiselt: „§ 5. Nõuded kvalifitseeritud usaldusteenuse osutajale, usaldusteenuse osutamisele, Euroopa digiidentiteedikukru pakkujale ja Euroopa digiidentiteedikukru pakkumisele“; 9) paragrahvi 5 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt: „(1) Kvalifitseeritud usaldusteenus ja selle osutaja ning Euroopa digiidentiteedikukkur ja selle pakkuja peavad vastama Euroopa Parlamendi ja nõukogu määrusele (EL) nr 910/2014, selle alusel kehtestatud rakendusaktidele ning käesolevas seaduses sätestatud nõuetele. (2) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 13 lõigetes 1 ja 2 nimetatud kahju hüvitamise tagamiseks peab kvalifitseeritud usaldusteenuse osutajal olema usaldusteenuse osutamise ajal vastutuskindlustus, mille kindlustussumma on vähemalt üks miljon eurot aastas iga kindlustusjuhtumi kohta ja vähemalt kaks miljonit eurot aastas kõigi juhtumite kohta kokku, või sama suurusega tagatis või rahalised vahendid asjakohase tõendusega.“; 10) paragrahvi 5 lõige 3 muudetakse ning sõnastatakse järgmiselt: „(3) Kvalifitseeritud usaldusteenuse osutaja dokumenteerib usaldusteenuse osutamisel tehtud toimingud ning säilitab sellekohast tegevuslogi 12 aastat kirje loomisest arvates.“; 11) paragrahvi 5 lõige 4 tunnistatakse kehtetuks; 12) paragrahvi 5 lõikes 5 asendatakse tekstiosa „väljastamist isikusamasuse, kontrollib seda“ tekstiosaga „väljastamist isikusamasuse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 24 lõike 1a punkti a alusel. Sama lõike punkti d puhul kontrollib isikusamasust“; 13) paragrahvi 5 lõiget 9 täiendatakse pärast tekstiosa „usaldusteenuse osutaja“ tekstiosaga „ja tema alltöövõtja“; 3 14) paragrahvi 5 täiendatakse lõigetega 10–12 järgmises sõnastuses: „(10) Euroopa digiidentiteedikukru rakendustarkvara komponendid peavad olema avatud lähtekoodiga, välja arvatud mujale kui kasutajaseadmele paigaldatavad komponendid, kui see on põhjendatud turvalisuse või ärisaladuse kaitsega. (11) Euroopa digiidentiteedikukru pakkuja kannab Euroopa digiidentiteedikukrusse lisaks komisjoni rakendusmääruses (EL) 2024/2977, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrutesse väljastatavate isikutuvastusandmete ja elektrooniliste tõenditega (ELT L, 2024/2977, 04.12.2024), nõutud kohustuslikele isikutuvastusandmetele ka Euroopa digiidentiteedikukru kasutaja isikukoodi. (12) Euroopa digiidentiteedikukru pakkujal on õigus teha käesoleva paragrahvi lõikes 11 nimetatud isikutuvastusandmete Euroopa digiidentiteedikukrusse kandmiseks ja nende ajakohasuse tagamiseks päringuid isikut tõendavate dokumentide andmekogusse ja rahvastikuregistrisse.“; 15) paragrahvi 6 pealkiri muudetakse ja sõnastatakse järgmiselt: „§ 6. Kvalifitseeritud usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja loakohustus ja usaldusteenuse usaldusnimekirja kandmine“; 16) paragrahvi 6 lõige 2 muudetakse ja sõnastatakse järgmiselt: „(2) Kvalifitseeritud usaldusteenuse osutamise luba kehtib kuni kaks aastat.“; 17) paragrahvi 6 täiendatakse lõigetega 4 ja 5 järgmises sõnastuses: „(4) Euroopa digiidentiteedikukru pakkumiseks peab isikul olema kehtiv Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c kohane sertifikaat, mida tõendab asjaomane luba. (5) Euroopa digiidentiteedikukru pakkumise luba kehtib kuni viis aastat.“; 18) paragrahvi 7 lõike 3 punkt 1 muudetakse ja sõnastatakse järgmiselt: „1) usaldusteenuse nimetus, kirjeldus, sealhulgas teenuse osutamise piirkond ja tegevusvoogude skeemid, teenuse osutamise põhimõtted, teenuse poliitikad, teenuse lõpetamise kava ja usaldusnimekirja lisatav teenuse sertifikaat selle olemasolu korral;“ 19) paragrahvi 7 lõiget 3 täiendatakse punktiga 11 järgmises sõnastuses: „11) allkirjastatud vastavushindamisaruanne, mis sisaldab lisaks komisjoni rakendusmääruses (EL) 2025/2162, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate kvalifitseeritud usaldusteenuste hindamist teostavate vastavushindamisasutuste akrediteerimise, vastavushindamisaruande ja vastavushindamissüsteemiga (ELT L, 2025/2162, 28.10.2025), sätestatud nõuetele ka põhjendatud järeldust usaldusteenuse ja selle osutaja vastavuse või mittevastavuse kohta käesolevas seaduses ja küberturvalisuse seaduses sätestatud nõuetele ning millele on lisatud audiitori pädevust tõendav teave;“; 20) paragrahvi 7 lõiget 3 täiendatakse punktidega 3, 4 ja 5 järgmises sõnastuses: 4 „3) usaldusteenuse riskianalüüs, milles tuleb esitada süsteemi turvalisust ja teenuse toimepidevust mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määrata riskide realiseerumise korral tekkiva küberintsidendi tagajärgede raskusaste ning kirjeldada küberintsidendi lahendamise abinõusid; 4) tõend käesoleva seaduse § 5 lõikes 2 sätestatud nõude kohta; 5) komisjoni rakendusmäärusele (EL) 2024/2981, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrute sertifitseerimisega (ELT L, 2024/2981, 04.12.2024), vastav Euroopa digiidentiteedikukru kirjeldus, mis sisaldab e-identimise süsteemi kirjeldust, mille alusel Euroopa digiidentiteedikukrut pakutakse, Euroopa digiidentiteedikukru sertifikaat ja sertifitseerimise hindamise aruanne.“; 21) paragrahvi 7 lõige 4 tunnistatakse kehtetuks; 22) paragrahvi 8 punktid 1 ja 2 muudetakse ning sõnastatakse järgmiselt: „1) taotleja ja usaldusteenus või Euroopa digiidentiteedikukru pakkumine vastab Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 ning käesolevas seaduses sätestatud nõuetele; 2) usaldusteenuse osutaja on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artiklis 20 nimetatud vastavushindamise;“; 23) paragrahvi 8 täiendatakse punktiga 21 järgmises sõnastuses: „21) Euroopa digiidentiteedikukkur on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c kohase sertifitseerimise;“; 24) paragrahvi 9 lõike 1 punkt 1 muudetakse ja sõnastatakse järgmiselt: „1) esitatud taotluse ning vastavushindamise tulemuse alusel ei vasta loa taotluse esitaja, tema osutatav usaldusteenus või Euroopa digiidentiteedikukkur Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele;“; 25) paragrahvi 9 lõiget 1 täiendatakse punktiga 4 järgmises sõnastuses: „4) taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi vastuolusid.“; 26) paragrahvi 9 lõike 2 sissejuhatavat lauseosa täiendatakse pärast tekstiosa „loa kehtetuks“ tekstiosaga „lisaks majandustegevuse seadustiku üldosa seaduse §-s 37 sätestatule“; 27) paragrahvi 9 lõike 2 punktid 1–3 muudetakse ja sõnastatakse järgmiselt: „1) kehtetuks tunnistamist taotleb loa omanik; 2) pärast loa andmist selgub, et loa omanik või tema osutatav teenus ei vasta Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele ning teenuse osutaja ei ole pädeva asutuse antud tähtaja jooksul viinud oma tegevust nõuetega kooskõlla; 3) loa omanik on lõpetanud teenuse osutamise.“; 28) paragrahvi 9 lõikes 3 asendatakse tekstiosa „usaldusteenuse“ tekstiosaga „teenuse“; 29) paragrahvi 9 lõige 4 muudetakse ja sõnastatakse järgmiselt: 5 „(4) Loa kehtetuks tunnistamise korral muudetakse usaldusteenuse osutaja ja usaldusteenuse staatus usaldusnimekirjas kehtetuks.“; 30) paragrahvi 10 lõige 3 muudetakse ja sõnastatakse järgmiselt: „(3) Kvalifitseerimata usaldusteenuse osutaja ja usaldusteenus kantakse nimekirja kuni kaheks aastaks.“; 31) paragrahvi 12 pealkiri muudetakse ja sõnastatakse järgmiselt: „§ 12. Soovituslikud juhendid ja sertifitseerimise kord“; 32) paragrahvi 12 lõige 2 tunnistatakse kehtetuks; 33) paragrahvi 12 täiendatakse lõigetega 21–23 järgmises sõnastuses: „(21) Euroopa digiidentiteedikukru sertifitseerimise kavade loomist, ajakohasena hoidmist ning perioodilist läbivaatamist korraldab valdkonna eest vastutav ministeerium. (22) Ajakohased Euroopa digiidentiteedikukru sertifitseerimise kavad teeb internetis avalikult kättesaadavaks valdkonna eest vastutav ministeerium. (23) Euroopa digiidentiteedikukrut sertifitseerib lõikes 21 nimetatud kava kohaselt selleks akrediteeritud vastavushindamisasutus.“; 34) paragrahvi 13 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutamisega“ tekstiosaga „ja Euroopa digiidentiteedikukru pakkumisega“; 35) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt: „(1) Usaldusteenuse osutaja või Euroopa digiidentiteedikukru pakkuja teavitab vähemalt üks kuu enne teenuse osutamise muudatuse rakendamist pädevat asutust loa taotluses või usaldusnimekirja kandmise taotluses esitatud andmete muutumisest. Teenuse osutamise lõpetamise kavatsusest teavitatakse pädevat asutust vähemalt kolm kuud ette.“; 36) paragrahvi 13 lõiked 3 ja 4 muudetakse ning sõnastatakse järgmiselt: „(3) Kui usaldusteenuse või Euroopa digiidentiteedikukru pakkumise sisu muutub, on pädeval asutusel õigus nõuda käesoleva seaduse §-s 7 nimetatud taotluse uuesti esitamist. Pädev asutus teavitab usaldusteenuse osutajat või Euroopa digiidentiteedikukru pakkujat taotluse esitamise vajadusest 14 päeva jooksul käesoleva paragrahvi lõikes 1 sätestatud teavituse kättesaamisest arvates. (4) Teenuse muutmise taotluse läbivaatamise eest tasutakse riigilõivu riigilõivuseaduses sätestatud määras.“; 37) paragrahvi 18 täiendatakse lõikega 5 järgmises sõnastuses: „(5) Usaldusteenuse osutaja, kelle usaldusteenus ei võimalda peatatud sertifikaadi kehtivust taastada, rakendab käesoleva seaduse §-des 19 ja 20 sätestatut.“; 38) paragrahvi 19 lõiget 2 täiendatakse punktiga 4 järgmises sõnastuses: 6 „4) isikut tõendavate dokumentide väljaandja isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumendile kantud sertifikaatide suhtes ja samas seaduses sätestatud alustel.“; 39) paragrahvi 19 lõike 4 punkt 5 muudetakse ja sõnastatakse järgmiselt: „5) sertifikaadi omaja tegevuse lõpetamise tõttu tema sertifitseerimise registrist kustutamine;“ 40) paragrahvi 19 lõiget 4 täiendatakse punktiga 16 järgmises sõnastuses: „16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi väljastamine ei vastanud usaldusteenuse osutamise loa tingimustele või Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 või käesolevas seaduses sätestatud nõuetele.“; 41) paragrahvi 19 lõige 5 muudetakse ja sõnastatakse järgmiselt: „(5) Enne isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumendile kantud sertifikaadi kehtetuks tunnistamist teavitab usaldusteenuse osutaja sellest dokumendi väljaandjat.“; 42) seaduse 3. peatükki täiendatakse §-ga 231 järgmises sõnastuses: „§ 231. Sunniraha määr Riikliku järelevalvemenetluse käigus ettekirjutuse täitmata jätmise korral on asendustäitmise ja sunniraha seaduses sätestatud korras rakendatava sunniraha kohaldamise igakordne ülemmäär 500 000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb summa on suurem.“; 42) seadust täiendatakse 31. peatükiga järgmises sõnastuses: „31. peatükk Teabevahetus § 232. Teabevahetus teenuse osutajatega (1) Valdkonna eest vastutaval ministeeriumil ja pädeval asutusel on õigus nõuda Eesti jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet. (2) Isikud on kohustatud andma käesoleva paragrahvi lõikes 1 nimetatud asutusele samas lõikes viidatud määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet. (3) Käesoleva paragrahvi lõikes 1 nõutav teave peab olema ülesande täitmise jaoks vajalik ja proportsionaalne. (4) Teabe või dokumendi saamise taotlus tuleb vormistada kirjalikult. Teabe saamise taotluses tuleb selgitada, millise ülesande täitmiseks teavet vajatakse ning kuidas seda kasutatakse. Teabe esitamiseks tuleb anda mõistlik tähtaeg, mis ei või olla lühem kui kümme tööpäeva teabenõude kättesaamisest arvates.“. 7 43) seadust täiendatakse 32. peatükiga järgmises sõnastuses: „32. peatükk Vastutus § 233. Usaldusteenuse osutamise nõuete rikkumine (1) Käesoleva seaduse § 5, § 6 lõikes 1 või § 13 lõikes 1 sätestatud nõude rikkumise eest – karistatakse usaldusteenuse osutajat rahatrahviga kuni 5 000 000 eurot. (2) Sama teo eest, kui selle on toime pannud juriidiline isik, – karistatakse rahatrahviga kuni 5 000 000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb summa on suurem. § 234. Menetlus Käesoleva seaduse §-s 233 sätestatud väärteo kohtuväline menetleja on Riigi Infosüsteemi Amet.“; 44) paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga „sertifitseerimise“. § 2. Riigilõivuseaduse muutmine Riigilõivuseaduses tehakse järgmised muudatused: 1) paragrahvi 1162 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga „loa ja Euroopa digiidentiteedikukru pakkuja“; 2) paragrahvi 1162 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt: „(1) Kvalifitseeritud usaldusteenuse osutaja loa, Euroopa digiidentiteedikukru pakkuja loa ja kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise taotluse läbivaatamise eest tasutakse riigilõivu 1030 eurot iga usaldusteenuse või Euroopa digiidentiteedikukru kohta. (2) Kvalifitseeritud usaldusteenuse osutaja korduva loa, Euroopa digiidentiteedikukru pakkuja korduva loa ja kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise korduva taotluse läbivaatamise eest tasutakse riigilõivu 770 eurot iga usaldusteenuse või Euroopa digiidentiteedikukru kohta.“; 3) paragrahvi 1162 lõiget 3 täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga „või Euroopa digiidentiteedikukru pakkuja“. § 3. Karistusseadustiku muutmine Karistusseadustiku § 350 tekst muudetakse ja sõnastatakse järgmiselt: „Tähtis isiklik dokument käesoleva jao tähenduses on isikut tõendavate dokumentide seaduse § 2 lõikes 2 loetletud dokument, mootorsõidukijuhi juhiluba, e-identimise ja e-tehingute 8 usaldusteenuste seaduse § 211 kohase hindamise positiivselt läbinud e-identimise süsteemi e- identimise vahend ja Euroopa digiidentiteedikukkur.“. Lauri Hussar Riigikogu esimees Tallinn, … ……………2026 __________________________________________________________________________ Algatab Vabariigi Valitsus … ……………2026 (allkirjastatud digitaalselt) 9  Seletuskirja lisa 2 Euroopa Liidu õiguse rakendamise vastavustabel Euroopa Parlamendi ja nõukogu määrus (EL) nr 910/2014 (mida on muudetud määrusega (EL) 2024/1183) on tervikuna ja vahetult kohaldatav. Käesolev tabel kajastab üksnes neid määruse ja selle rakendusmääruste sätteid, mille rakendamiseks on vajalik riigisisene meede. Kasutatud lühendid: EUTS – e-identimise ja e-tehingute usaldusteenuste seadus; RLS – riigilõivuseadus; KarS – karistusseadustik. Riigisisese Euroopa Liidu õigusakti säte meetme Rakendav riigisisene säte Kommentaar vajadus Määrus (EL) nr 910/2014 artikkel 5a Jah EUTS § 2 lõiked 1 ja 2 Pädeva asutuse (Riigi Infosüsteemi Amet) määramine ning (Euroopa digiidentiteedikukru pakkumine ja ülesannete lepinguline üleandmine teenuse osutajale. liikmesriigi ülesanded) Määrus (EL) nr 910/2014 artikli 5a lõike 4 Jah EUTS § 2 lõige 3 Andmekaitse Inspektsiooni kui pädeva riikliku punkti d alapunkt iii ja lõike 5 punkti a andmekaitseasutuse rolli määramine; kooskõlastusringil jäeti alapunkt x (riiklik andmekaitseasutus) Andmekaitse Inspektsiooni märkuse alusel eelnõust välja § 22 muudatused. Määrus (EL) nr 910/2014 artikkel 5b ja Jah EUTS § 3¹ ja tuginevate isikute Tuginevate isikute registri asutamine ja pidamine. rakendusmäärus (EL) 2025/848 (kukrule registri põhimäärus Rakendusakti kavand esitatakse seletuskirja lisas 1. tuginevate isikute registreerimine) Määrus (EL) nr 910/2014 artikli 5c lõige 1 Jah EUTS § 6 lõige 4 ja § 8 punkt 2¹ Euroopa digiidentiteedikukru pakkuja loakohustus ja kehtiva (Euroopa digiidentiteedikukru sertifitseeringu nõue. sertifitseerimine) Määrus (EL) nr 910/2014 artikli 5c lõiked 3 Jah EUTS § 2 lõige 4 Nimetatud ülesannete täitmine antakse valdkonna eest ja 7 ning artikli 45f lõige 3 vastutavale ministeeriumile. Määrus (EL) nr 910/2014 artikli 7 punkt f Jah EUTS § 2 lõige 1 Nimetatud liikmesriigi ülesandeid täidab pädeva asutusena ning artiklid 5d, 5e, 9, 12, 46a, 46b ja 48a Riigi Infosüsteemi Amet. (liikmesriigi ülesanded) Määrus (EL) nr 910/2014 artikli 13 lõiked 1 Jah EUTS § 5 lõige 2 Kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse ja 2 (vastutus ja kahju hüvitamine) nõue. Määrus (EL) nr 910/2014 artikkel 16 Jah EUTS §-d 23¹, 23³ ja 23⁴ ning Sunniraha ülemmäär, väärteovastutus ja kohtuväline menetleja (karistused) KarS § 350 ning tähtsa isikliku dokumendi mõiste laiendamine Euroopa digiidentiteedikukrule. 1  Riigisisese Euroopa Liidu õigusakti säte meetme Rakendav riigisisene säte Kommentaar vajadus Määrus (EL) nr 910/2014 artikli 46a lõike 3 Jah EUTS § 6 lõige 4 Ex ante ja ex post järelevalve tagatakse loakohustuse kaudu. punkt a (kukru pakkuja järelevalve) Määrus (EL) nr 910/2014 artikkel 48a Jah EUTS § 23² (3¹. peatükk) Teabevahetuse ja aruandluse kohustus (eelnõu § 1 punkt 42). (statistika kogumine ja aruandlus) Komisjoni rakendusmäärus (EL) 2024/2977 Jah EUTS § 5 lõige 11 Euroopa digiidentiteedikukru kasutaja isikukoodi kandmine (isikutuvastusandmed ja isikuandmete kukrusse. atribuudid) Komisjoni rakendusmäärus (EL) 2024/2981 Jah EUTS § 7 lõike 3 punkt 5 Euroopa digiidentiteedikukru kirjelduse ja sertifitseerimise (Euroopa digiidentiteedikukru hindamise aruande esitamine. sertifitseerimine) Komisjoni rakendusmäärus (EL) 2025/2162 Jah EUTS § 7 lõike 3 punkt 1¹ Vastavushindamise aruande sisu ja vormi nõuded. (usaldusteenuste vastavushindamine) Komisjoni rakendusmäärus (EL) 2025/848 Jah EUTS § 3¹ ja tuginevate isikute Registri sisu ja pidamine, sealhulgas I lisa teabe avalikustamine (kukrule tuginevate isikute register) registri põhimäärus (artikli 3 lõige 4), säilitustähtaeg (artikkel 10) ning registreeringu peatamine ja tühistamine (artikkel 9). Komisjoni rakendusmäärus (EL) 2025/847 Jah EUTS § 4¹ Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja (turvaintsidentidest teavitamine) kohustus teavitada pädevat asutust turvaintsidentidest. Riigisisene lõivumeede (Euroopa Jah RLS § 116² Riigilõivu määr Euroopa digiidentiteedikukru pakkuja digiidentiteedikukru pakkuja loataotlus) loataotluse ja korduva taotluse läbivaatamise eest. Määrus (EL) nr 910/2014 artikli 24 lõike 1a Jah EUTS § 5 lõige 5 Isiku tuvastamise viis Euroopa digiidentiteedikukru punkt d (isikusamasuse kontrollimine väljastamisel füüsilise kohalolekuga menetluses. füüsilisel kohalolekul) Määrus (EL) nr 910/2014 artikli 5a lõige 2 Jah EUTS § 5 lõige 10 Erand avatud lähtekoodi nõudest komponentidele, mis ei (avatud lähtekoodi erand) paikne kasutajaseadmel, kui see on põhjendatud turvalisuse või ärisaladuse kaitsega. Määrus (EL) nr 910/2014 artikkel 5a lõige 9 Jah EUTS § 5 lõige 12 Euroopa digiidentiteedikukru pakkuja õigus teha ning rakendusmäärus (EL) 2024/2977 isikutuvastusandmete kandmiseks ja ajakohasuse tagamiseks päringuid isikut tõendavate dokumentide andmekogusse ja rahvastikuregistrisse. 2  Riigisisese Euroopa Liidu õigusakti säte meetme Rakendav riigisisene säte Kommentaar vajadus Määrus (EL) nr 910/2014 artikli 5c lõige 3 Jah EUTS § 12 lõiked 2¹–2³ Euroopa digiidentiteedikukru sertifitseerimise kavade loomine, (sertifitseerimiskavad) ajakohasena hoidmine, avalikustamine ja nende kohaldamine sertifitseerimisel. 3