Arvamus isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu kohta

Hr Lauri Läänemets Siseminister Siseministeerium Pikk 61 15065 TALLINN 8. juuli 2024 nr 6.1-2/17-1 Arvamus isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu kohta Eesti Infotehnoloogia ja Telekommunikatsiooni Liit (ITL) esitas 16.02.2024 kirjaga nr 6.1-2/17 Siseministeeriumile arvamuse isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu kohta. 13.06.2024 avaldas Siseministeerium sellest eelnõust uue versiooni (edaspidi: eelnõu) saates selle Justiitsministeeriumile kooskõlastamiseks. Kuna eelnõu sisaldab endiselt olulisi murekohti seonduvalt ID-kaardi ja e- ühiskonna kontseptsiooni aluste lõhkumisega, esitame käesolevaga selle kohta oma täiendava arvamuse. 1. ID-kaardi kohustuslikkuse kaotamine (eelnõu § 1 punkt 3) Eelnõu § 1 punktiga 3 muudetakse isikut tõendavate dokumentide seaduse (ITDS) § 5 lõiget 1 sätestades järgmist: „Eestis elaval Eesti kodanikul peab olema kehtiv isikutunnistus või Eesti kodaniku pass“. Oleme seisukohal, et sellega kaotatakse Eestis ära ID-kaardi kohustuslikkus, kuna inimesed saavad edaspidi valida, kas soovivad ID-kaarti või passi. ITL-i ülal viidatud varasemas arvamuses andsime teada, et ei toeta sellist muudatust. Ka Majandus- ja Kommunikatsiooniministeerium (MKM) tõi oma kooskõlastuses välja rea ohukohti, millega ITL nõustub. Siseministeeriumi poolt Justiitsministeeriumisse 13.06.24 saadetud eelnõu põhjal järeldame, et hoolimata reaalsetest ohukohtadest on riigi poolt otsustatud, et ID-kaart muudetakse valikuliseks, kuid selle jõustumise tähtaega lükatakse edasi (muudatus jõustub alates 01.01.2027). ITL peab igasuguse tähtaja seadmist põhjendamatuks, sest plaanitavat muudatust läbimõtlemata ja analüüsimata oleme aastal 2027 olukorras, kus peame tegelema läbimõtlematult tehtud muudatuste tagajärgedega.  2 ITL-i ettepanek on teha vastavad muudatused ITDS-i alles siis, kui kontseptsioon on tervikuna läbi mõeldud ja analüüsitud ning on teada, kuidas seda on võimalik praktikas rakendada nii, et Eesti kui e-riigi ja e-ökosüsteemi toimimine ei saa kahjustada ning uued lahendused võimaldavad tõrgeteta üleminekut teistsugusele toimetamisviisile. Näeme selle muudatuse korral järgmisi peamisi murekohtasid: 1) Plaan on läbi mõtlemata ja selle mõjud on ebaadekvaatselt analüüsitud. Pole mõeldud, millised tagajärjed sellisel fundamentaalsel sammul on. 2) Praegu tuvastatakse iga Eesti kodanik iga viie aasta tagant usaldusväärselt riigi poolt ja antakse talle vahend (ID-kaart), mida ta saab usaldusväärse allikana kasutada järgmiste, mugavamate vahendite (mobiil-ID, smart-ID) saamiseks ja seda digitaalselt. Kui isikul on ainult pass, siis selle alusel pole talle võimalik elektrooniliselt väljastada teisi isikutuvastamise vahendeid (mobiil-ID, smart-ID).1 S.t isiku tuvastamine nõuab reeglina veel füüsiselt kohale minekut ehk isiku füüsilise tuvastamise kohustus liigub erinevatele teenusepakkujatele. 3) ID-kaardi kohustuslikkus on meie e-riigi alustala – tänu sellele saavad kodanikud ligi e- teenustele ning see on vajadusel ka usaldusväärseks isiku tuvastamise alternatiiviks mobiil-ID või smart-ID mittetoimimise korral e-kanalites. Meil on e-ühiskond, mille teenused saavad põhineda vaid tugeval elektroonilisel identiteedil. ID-kaardi kohustuslikkuse kaotamisega väheneb riigi võimekus eelistada ja mõjutada elektrooniliste teenuste arengut ja kasutatavust. 4) Hetkel ei ole ID-kaardiga koos väljastavale digitaalsele identiteedile olemas alternatiive, s.h riigi poolt väljastavat teist digitaalset identiteeti. Küsimus on ka julgeoleku tagamises – inimestel on vaja mitut identiteedi tuvastamise vahendit. Märgime, et kuigi eIDAS2 määruse (2024/1183) alusel arendatakse Euroopa digiintentiteedikukrut, on selle valmimine sõltuvuses ka nimetud määruse rakendusaktidest, mida hetkel veel ei ole ning mille tähtaegses vastuvõtmises ei saa kindel olla. 5) Kui isikutel on ühel hetkel ainult pass ja ei ühtegi vahendit riigiga elektrooniliseks suhtlemiseks või mugavamate vahendite (mobiil-ID, smart-ID) kasutuselevõtuks, siis liigume ajas oluliselt tagasi. Nt paberil maksudeklaratsioonid ja järjekorrad, passiga isiku tuvastamiseks esindusse minek, terviseteenuste ligipääsu halvenemine jne. Passi eelistamist ID-kaardi asemel aga soodustavad ka hiljuti tõstatud riigilõivumäärad, kuna kahe dokumendi omamine muutub oluliselt kulukamaks. Me lülitame oma inimesed e- riigist välja! 1 Erandiks on smart-ID väljastamine biomeetrilise isikutuvastuse kaudu elektroonilise kiibiga passi puhul, vt: https://www.smart-id.com/et/laadi-alla/registreeri-konto/  3 6) Mis juhtub siis kui ühel hetkel kriitilise tähtsusega valdkondades inimestel pole enam ID- kaarti, nagu nt tervishoiutöötajatel ja riigiametnikutel? Siin tuleb arvestada selle mõjuga e-riigi läbipaistvusele ja usaldusväärsusele. 7) Plaanitav muudatus ei ole põhjendatud ega õigustatud enne, kui on asemele pakkuda töötav uus lahendus ja läbimõeldud kontseptsioon. Näeme, et läbimõtlematult püütakse teha muudatust selleks, et vähendada kellegi koormust, mida põhjustavad ID-kaardi väljastamiseks tehtavad koduvisiidid vms murekohad. Samas ei ole arvestatud muudatusega kaasnevat halduskoormust ja probleeme, mida sellega tekitatakse osapooltele, kes on seotud e-riigi ja e-teenuste ning usaldusteenuse osutamisega. See ei ole proportsionaalne muudatus olukorra lahendamiseks ning selle tulemuseks on mõtlematu e-riigi kontseptsiooni õhku laskmine. 8) ID-kaardi kohustuslikkuse kaotamisel (ka täiendavalt antud ajapikenduse järel) saab olema negatiivne mõju kogu Eesti e-ökosüsteemile, sh Eesti IT-sektorile ja e-riigi ekspordile, mis toetub seni kahe-sambalisele tootele: tugev isikutuvastus ja tugevad e-teenused. Kuidas me nüüd ütleme, et liigume Eestis tagasi paberile ja füüsilistele isikutuvastustele usaldusteenuse pakkujate poolt? ITL-i ettepanek: Jätta ID-kaardi kohustuslikkuse kaotamine ehk selle ühe valikuna võimaldamine eelnõust välja ehk võtta aeg maha, jälgida arenguid, analüüsida alternatiive ning arutada ekspertidega. Pole põhjendatud praegu kiirustades selline tulevikus jõustuv säte vastu võtta, kui keegi veel täpselt ei tea, millised vahendid ja võimalused selleks ajaks olemas on ja mida pole. Analüüsi kontekstis on vaja kasutusele võtta turu-uuringud, mis annavad sisendi selles osas kui palju inimesi kas mugavusest või tahtlikult loobuksid sellise seadusemuudatuse korral ID-kaardist. Lisaks soovitame kaardistada erinevaid stsenaariume, kuidas seadusemuudatus mõjutab e-Eesti ökosüsteemi. See aitaks oluliselt hinnata riske e-riigi toimimisel. Märgime, et Riigi Infosüsteemi Ametis hiljuti valminud identiteedihalduse ja elektroonilise identiteedi Valge Raamatu järgi pole olemas hiljutisi uuringuid, mis annaksid seaduseandjale sisendit “kuidas digitaliseerimine meie ühiskonda ja käitumist laiemalt” mõjutab (lk 14). Meie hinnangul omab lõppkasutajate (kodanikud, ettevõtjad, tervishoiutöötajad jpt) kaasamine ja nende seisukoha küsimine antud küsimuses kriitilist tähtsust. ITL-i kuuluvate ettevõtete eksperdid on valmis kaasa mõtlema, kuidas ehitada üles uut, plastikkaardi vaba kontseptsiooni. Seni kuni see valmis ei ole, ei saa vastu võtta seadust, mis ütleb, et isikutel pole enam ID-kaarti teatud hetkest vaja, pakkumata välja alternatiivset toimivat analoogset lahendust. Me ei toeta sellist muudatuse seadusesse lisamist isegi täiendavalt antud ülemineku tähtajaga. Seadusemuudatust tehes peab olema selge, kuidas on tagatud inimestele digitaalse identiteedi ja seeläbi teenuste kättesaadavus ilma plastikkaardita. Hetkel puudub põhjendus ja vajadus sellist kehtivuse lõputähtaega seadusesse kirjutada.  4 2. Riiklik mobiilirakendus (eelnõu § 1 punkt 44) ITL-i hinnangul on eelnõu § 1 punktiga 44 ITDS-i lisatav 181 lg 11, mis reguleerib riiklikku mobiilirakendust, endiselt segane ega ole kooskõlas eelnõu seletuskirjas sisaldava selgitusega. Vaatamata Siseministeeriumi selgitustele, et riiklik mobiilirakendus on planeeritud kasutamiseks ainult siseriiklikul tasandil ning arvestades asjaolu, et eelnõuga luuakse uus õiguslik alus isikusamasuse kontrollimiseks, on oluline, et regulatsioon oleks selge ja arusaadav ning selle mõjud põhjalikult analüüsitud. Eelnõus on endiselt puudu riikliku mobiilirakenduse definitsioon ning tingimused turvalisele keskkonnale, kust tõend väljastatakse. Sätestamata on ka turvaprotokollid. Oleme endiselt seisukohal, et seaduse tasemel ei pea detaile reguleerima, kuid need peavad olema enne vastuvõtmist läbi analüüsitud ja läbi mõeldud, sh nii teenuse pakkujatele kui teenuse osutajatele arusaadavad. ITL-i ettepanek: täiendada eelnõud ja seletuskirja riiklikku mobiilirakendust puudutavas osas. Üks võimalus tingimuste reguleerimiseks on anda näiteks Vabariigi Valitsusele või ministrile volitus ja kohustada töötada välja tingimused, mis on vajalikud sellise teenuse turvalisuse tagamiseks ja kehtestamise eelduseks. Samuti leiame, et mõjuanalüüs on riiklikku mobiilirakendust puudutavas osas endiselt pealiskaudne ning teeme ettepaneku seda täiendada võimalike turvariskide ja ebasoovitavate mõjude osas. Eelnõu seletuskirja lisaks olevast kooskõlastustabelist nähtub, et Siseministeerium on selgitanud Politsei- ja Piirivalveametile vastuseks, et riikliku mobiilirakenduse turvalisust selgitav dokument on Riigi Infosüsteemi Ameti poolt edastatud Siseministeeriumi valitsemisala asutustele, kuid jääb ebaselgeks ja läbipaistmatuks laiemale avalikkusele. 3. Volitatud esindaja määramine dokumendi menetluses (eelnõu § 1 punkt 23) ja selle laiemad mõjud identiteedipoliitikale Eelnõu § 1 punktiga 23 kavandatakse muuta ITDS § 121 lõiget 21 selliselt, et dokumendi võib väljastada esindajale, keda ei ole volitatud dokumendi taotlemise hetkel. Tõime ka oma varasemas arvamuses välja, et eelnõus tuleb analüüsida isikutunnistuse väljastamisega seotud nõudeid vastavalt eIDAS määrusele ning analüüsida kaasnevate turvariskide ja ebasoovitavate mõjude osas, sh laiemas kontekstis. Isikutunnistuse väljastamise oluliseks alustalaks on olnud isiku tõsikindel tuvastamine ja identiteedi järjepidevuse tagamine läbi erinevate menetluste. Analüüsimata on riskid, kas volitatud esindaja määramisel võib tekkida olukord, kus taotleja isikut ennast füüsiliselt ei tuvastata mitmete aastate jooksul ja kuidas/mis meetmetega seda riski maandatakse. Teiseks, eIDAS määruses usaldusteenustele kehtestatud isikutuvastusreeglite alusel (art 24 lg 1) sertifikaatide elektroonilisel taotlemisel saavad olla aluseks vaid sellised kõrge taseme eID-d ja kvalifitseeritud e-allkirjastamise sertifikaadid, mis on väljastatud füüsilise isikutuvastuse alusel.  5 Siinkohal ei peeta silmas volitatud isiku füüsilist tuvastust, vaid ikka taotleja füüsilist tuvastamist, et tagada tugeva identiteedi järjepidevus ja vähendada elektroonilise identiteedi väärkasutuse riski. Vaatamata Siseministeeriumi poolt kooskõlastustabelis antud selgitustele leiame, et hetkel eelnõu seletuskirjas selline analüüs ja laiem mõjuhinnang endiselt puuduvad, kuid on kindlasti vajalik teha. Täname MKM-i ja Siseministeeriumi, et olete valmis meiega eelnõu teemal kohtuma ning loodame, et leiame 10. juulil aset leidval kohtumisel lahendused käesolevas kirjas toodud probleemidele. Lugupidamisega /allkirjastatud digitaalselt/ Doris Põld Tegevjuht Koopia: Majandus- ja Kommunikatsiooniministeerium Keilin Tammepärg, [email protected] Saatja: "Info Aadress" <[email protected]> Saaja: "SiM info" <[email protected]>, [email protected], [email protected] Teema: Kirja edastamine Kuupäev: 2024-07-08 09:55 Tere Edastame Teile Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu 8.07.2024 kirja nr 6.1-2/17-1 „Arvamus isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seaduse eelnõu kohta“. Kirja koopia on edastatud Majandus- ja Kommunikatsiooniministeeriumile. Lugupidamisega Heleri Vahemäe Büroojuht Eesti Infotehnoloogia ja Telekommunikatsiooni Liit Lõõtsa 2B 11415 Tallinn Mob 5115521 Tel 6177 145 <mailto:[email protected]> [email protected] <http://www.itl.ee/> www.itl.ee