Isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus

Siseministeerium Teie 22.01.2024 nr 1-6/2896-1, SIM/24- [email protected] 0064/-1K Pikk 61 15065, Tallinn Meie 25.02.2024 nr 2-3/211 Isikut tõendavate dokumentide seaduse muutmise ja sellega seonduvalt teiste seaduste muutmise seadus Austatud siseminister Esmalt toome välja riskid, mis kaasnevad eelnõu § 1 punktiga 3 ehk ID-kaardi kohustuslikkuse kaotamisega. 1. Strateegiline risk läbi elektroonilise identiteedi kasutuse vähenemise ühiskonnas ja sellest tulenevate teiseste mõjude. Eesti digiriigi oluline vundament ja tema edu eeldus on ajalooliselt olnud elektrooniline identiteet ja eriti selle laiapõhjaline kasutuselevõtt ühiskonnas. Tänaseks on küll turule tulnud mitu teist eID vahendit ning nende populaarsus on ID-kaardi oma juba osaliselt ületanud, kuid seadusemuudatus kaotab olemuslikult eID kohustuslikkuse nõude üleüldse. Viimase ID-kaardi kriisi järeldus oli, et peaksime püüdlema situatsiooni poole, kus kodanikel on paralleelselt mitu eID-d. Nüüd aga vähendame tervikuna survet eID-d omada. Teisalt on meil 2–4 aasta perspektiivis ees situatsioon, mil tegelik eID- de valik väheneb. eIDAS määruse muutmismääruse jõustudes mobiil-ID hääbub ning kuni digiidentiteedikukru saabumiseni jääb ainsaks riiklikuks eID-ks ID-kaart. Selle kõrvale jääb ainsa alternatiivina siseriiklik Smart-ID. Seega riskime eID-de, aga eriti riiklike eID-de arvukuse ja selle läbi e-teenuste kasutuse vähenemisega ühiskonnas. 2. Taktikaline risk läbi teiste eID skeemide sõltuvuse ID-kaardist ja ID-kaardi rolli nn tagavaraidentiteedina. Nii Smart-ID kui mobiil-ID on sõltuvuses Sertifitseerimiskeskuse infrastruktuurist. ID- kaart on ainus oluliselt teistsuguse arhitektuuriga lahendus. ID-kaardi arvukuse vähenemisega väheneb ka nende inimeste hulk, kellel on „sahtlist võtta“ alternatiivlahendus Sertifitseerimiskeskuse rikke korral väheneb eID-de kasutamise paindlikkus. Täna saab inimene ühe eID probleemide korral isiklikult kohale ilmumata (näiteks välismaal olles) kas blokeerida või algatada uue eID aktiveerimise. ID-kaardi arvukuse vähenemisega väheneb nende inimeste hulk, kellel see võimalik on. Suur-Ameerika 1 / 10122 Tallinn / 625 6342 / [email protected] / www.mkm.ee Registrikood 70003158  Tagavaralahenduse olemasolu vajadust tõestas juba 2017. aasta ROCA kriis. Lisaks, arvestades pingestunud julgeolekuolukorda võib tekkida äkiline vajadus eID vahendi olemasolu järele. Siinkohal on oluline märkida, et ID-kaart on paremini kaitstud mõne serverikeskuse füüsilise hävitamise korral, kui alternatiivsed kasutusel olevad eID lahendused. Kui näiteks kõik Sertifitseerimiskeskuse teenused peaksid olema häiritud, on võimalik ID-kaardiga autentimine e-teenustes tagada (12h CRL baasil, seejärel on võimalik ajutiste whitelistide/blacklistidega jätkata). Allkirjastamist antud lahendus ei puuduta. 3. Kui ID-kaardi omamine pole enam kohustuslik, siis puudub inimestel motivatsioon selle omamiseks ja e-teenuste pakkujatel selle tehniliseks toetamiseks. Siinkohal näeme riski taandarenguks e-teenuste kasutamisel (vajadus hakata taaskord pakkuma rohkem teenuseid kohapeal/paberkandjal), kuna tekib juurde inimesi, kellel puudub eID vahend, kuid säilib vajadus teenuste kasutamiseks. Tuleb kindlasti arvestada, et käesoleval ajal on palju avalikke teenuseid, mida pakutaksegi ainult e-teenusena. 4. ID-kaart on ainus eID vahenditest, mis võimaldab krüpteerida ja dekrüpteerida, lisaks krüptopulkadele. Kohustuslikkuse ära kadumisega väheneb ka paljudel krüpteerimise võimalus. Kokkuvõttes, nagu juba öeldud, siis ID-kaardi üldise kohustuslikkuse nõudest loobumist me ei toeta, kuid oleme nõus olukorraga, kus ID-kaardi omamine ei ole kohustuslik näiteks teatud vanusegruppidele või siis erivajadustega inimestele. 5. ID-kaardi olemasolu ja selle elektroonilise kasutamise võimalusega on tänaseks arvestanud oma teenusprotsessides esmase valikuna ka ettevõtjad. Kliente suunatakse e-teenuseid kasutama, saadetakse neile digiallkirjastatud või krüpteeritud dokumente ning kasutatakse kaardil olevat triipkoodi äriprotsessis. Näiteks digiretseptiga ravimite ostmine apteekides, lotopiletite ostmine, kliendi tuvastamine telekommunikatsiooniettevõtete esindustes jne. ID-kaardi kohustuslikkuse kadumisel peavad ka äriinfosüsteemide omanikud tegema muudatusi oma infosüsteemides, on risk ka erasektori e-teenuste kasutamise vähenemiseks ning teenuste osutamine võib muutuda aeglasemaks. Eelmärgitud riskide tõttu saame eelnõu kooskõlastada ainult meie märkuste ja ettepanekutega arvestamise korral ID-kaardi kohustuslikkuse kaotamise osas. Teeme ettepaneku täiendavalt analüüsida eelnõu § 1 p 3 riske ja mõjusid. Tuleb kaaluda selle sätte jõustumise aja hilisemat sätestamist rakendussätetes. Sätte hilisema jõustumise aeg saab olla seotud eIDAS määruse muutmismääruse jõustumisega ning alternatiivse eID vahendi reaalse olemasolu ja kasutuse ajaga. Järgnevalt esitame märkused ja ettepanekud eelnõu teiste sätete ja seletuskirja kohta. Teeme ettepaneku eelnõu § 1 punktis 7 esitatud sätted §-st 1 välja jätta viia eelnõu §-i 2. Sätted sisaldavad kodakondsuse tuvastamise meetmeid, mistõttu tegemist ei ole isikut tõendavate dokumentide seaduse reguleerimisalaga. Teeme ettepaneku eelnõu § 1 punktis 20 asendada sõnad „põhjendatud kinnituse, mis tõendab isiku vajadus taotleda dokumenti“ sõnadega „omapoolse kinnituse, et kinnipeetava suhtes esineb taotluses kirjeldatud vajadus isikut tõendava dokumendi väljastamiseks.“. Vanglaametnik ei saa oma kinnitusega esitada tõendit vajaduse kohta. Vanglaametnik saab kinnitada, et taotleja poolt kirjeldatud vajadus isikut tõendava dokumendi järgi on reaalne. 2 (5) Eelnõu § 1 punkti 22 kohta märgime, et kehtiv eIDAS määrus nõuab kvalifitseeritud sertifikaatide väljastamisel isiku näost näkku tuvastamist. Palume selgitada, kuidas hakkab protsess käima peale eelnõus sätestatu jõustumist. Eelnõu § 1 punkti 25 kohta märgime, et kehtiv eIDAS määrus võimaldab allkirjastamise sertifikaatide väljastamise ilma isikliku ilmumiseta, kui esimene kord on väljastatud isiklikult. Kolmandat korda väljastamine peab toimuma jälle isiklikult. eIDAS määruse muutmismäärusega võib nõue muutuda. Palume üle vaadata sätte jõustumise aeg. Teeme ettepaneku eelnõu § 1 punktis 28 asendada sõna „teeb“ sõnaga „muudab“. Vt sätte kehtivat sõnastust. Teeme ettepaneku eelnõu § 1 punktis 40 olevat sätet muuta järgmiselt: „(61) Käesoleva seaduse alusel andmekogusse ABIS kantud andmeid säilitatakse kuni 75 aastat andmekogusse ABIS kandmisest arvates. Andmetele võib kehtestada lühema säilitustähtaja andmekogu ABIS põhimääruses.“. Andmekogu ABIS volitus esineb mitmetes seadustest ning eelnõus pakutud sõnastus ei erista esinevaid esitamise aluseid, mistõttu on vajalik toonitada, et vastav tähtaeg on vaid andmete osas, mis esitatakse ITDS alusel. Siinjuures juhime tähelepanu, et eelnõu ei sisalda vastavasisulist muudatusi kõigi andmekogu ABIS andmeid sisaldavate seaduste kohta, mistõttu on eelnõuga kavandatavad muudatused ilma täpsustuseta õigusselgusetust soodustavad. Eelnõu § 1 punkti 41 kohta märgime, et sätte kohaselt toimub dokumendivahetus väljaandja vea tõttu ja samaks tähtajaks, mis väljavahetatav dokument. Seega on põhjendamatu uute andmete küsimine, sest ka dokumendi väljaandmisel võetud biomeetrilised andmed on kehtivad. Biomeetrilise andmete uuesti küsimine on põhjendatud, kui dokument väljastatakse pikemaks tähtajaks kui senine dokument. Seetõttu teeme ettepaneku välja jätta lisatava sätte teine lause. Samuti palume selgitada, et miks ei kata lisatav lõige ITDS § 16 lg 1 p 1 võimalikku juhtumit, kui väljaandja poolt on rikutud dokumendi väljaandmise protsessi. Teeme ettepaneku eelnõu § 1 p 43 lisatava sätte sõnastust täiendada dokumendi kasutaja nõusolekuga järgmiselt: „(11) Kui dokumendi kasutaja isikusamasust kontrollitakse dokumendi kasutaja nõusolekul päringuga saadud dokumendiandmete alusel, mis on tehtud kättesaadavaks avaliku teabe seaduse § 321 lõikes 1 nimetatud Eesti teabevärava kaudu, on see samaväärne käesoleva paragrahvi lõike 1 kohase isikusamasuse kontrollimisega.“. Teeme ettepaneku eelnõu seletuskirja punkt 3.2.7. tekst asendada järgnevaga: „Eelnõu § 1 punktiga 43 täiendatakse ITDS-i § 181 lõikega 11, et luua võimalus isikusamasuse kontrollimiseks Eesti teabevärava kaudu. Teabeväravas kuvatakse isikutunnistust, passi ja juhiluba ning erinevaid teenuseid (näiteks andmed laste, retseptide, töövõimetuslehtede ja sõidukite kohta), mille leiab ka tulevasest riiklikust mobiilirakendusest. Dokumendivaade on teabeväravas ehk eesti.ee-s infoteenusena kättesaadav ning sarnaselt ka riiklikust mobiilirakendusest, st inimesele kuvatakse tema dokumendi andmed. Muudatus võimaldab isikul teabevärava, sh riikliku mobiilirakenduse kaudu esitada isikusamasuse kontrollimiseks oma dokument füüsilises keskkonnas, näiteks poes oma vanuse tõendamisel. Sellega antakse teabevärava ja mobiilirakenduse kaudu isikusamasuse kontrollimisele samaväärne õiguslik tähendus, nagu on füüsilise dokumendi alusel isikusamasuse kontrollimisel. Nii eesti.ee-sse kui ka riiklikusse 3 (5) mobiilirakendusse sisselogimisel kasutaja autenditakse ja talle kuvatakse tema dokument ehk sisselogimisel tehakse päring X-tee kaudu riiklikusse andmekogusse, mis on isikutunnistuse ja passi puhul ITDAK. Riiklik mobiilirakendus võimaldab lisafunktsioonina isikusamasuse kontrollimiseks kuvada teenuseosutajale dokumendi ruutkoodi või triipkoodi, mille abil teenuseosutaja saab soovi korral täiendava X-tee päringu läbi valideerida mobiilirakenduse vahendusel kuvatut. Dokumendi näitamisel ja valideerimisel saab dokumendi kasutaja valida, kas ta jagab teenuseosutajaga kõiki dokumendi andmeid või ainult osa, näiteks ainult sünniaega ja fotot vanuse kontrolliks või isikukoodi kliendisoodustuse saamiseks. Muudatus on seotud Vabariigi Valitsuse tegevusprogrammi 2023–2027 eesmärgiga 3.2.4 „Loome e-riigi mobiilirakenduse, mille kaudu riik jõuab informatsiooni ja teenustega personaalselt iga eestimaalaseni“. Palume kaaluda eelnõu § 1 punktide 45 ja 46 eelnõust välja jätmist. Peame vajalikuks digitaalse isikutunnistuse jätkuvat väljastamist. Seda kasutatakse näiteks tööülesannete täitmisel, kui on vaja autentida ennast pidevalt erinevatesse e-teenustesse. Põhjuseks on toodud asjaolu, et ID-kaardi kiip võib kuluda kaardilugejasse sagedasel sisestamisel ja muutuda kasutamiskõlbmatuks. Kui eelnõuga loobutakse ID-kaardi kohustusliku omamise nõudest, siis võib vajadus digitaalse isikutunnistuse järgi pigem suureneda. Teeme ettepaneku eelnõu § 2 punktist 6 välja jätta andmete alalise säilitamise kohustus ning näha ette säilitamise tähtajaks kuni 75 aastat. Juhime tähelepanu, et suuresti kattuvad andmed teistes registrites oleva teabega, mistõttu nende alaline säilitamine ei ole põhjendatud. Nii näiteks on Eesti kodaniku ja Eesti residendi andmed rahvastikuregistris alaliselt säilitatavad ning samalaadsete andmete teises kohas säilitamisel puudub vajadus. Nii samuti on küsitav hariduse või maksu võlgnevuse või karistatuse andmete tähtajatu säilitamise eesmärk, kuivõrd selline teave ei saa kuidagi mõjutada nende järeltulijate õigust Eesti kodakondsusele. Teeme ettepaneku § 4 punkt 2 eelnõust välja jätta. Vt märkust eelnõu § 1 p 40 kohta. Teeme ettepaneku § 7 punkt 2 eelnõust välja jätta. Vt märkust eelnõu § 1 p 40 kohta. Palume üle vaadata eelnõu § 9 punktis 7 sätestatav alalise sissesõidu keelu andmete säilitamise tähtaeg. Leiame, et puudub selge vajadus säilitada alaliselt andmeid, mis on seotud ainult konkreetse isikuga. Teeme ettepaneku määrata andmete säilitustähtajaks 120 aastat isiku sünnist arvates. Põhjendamatu andmete säilitamine koormab nii digivõrku kui ka kasutab muid ressursse. Palume eelnõu § 9 punktid 13 ja 14 sätted üle vaadata, kuivõrd viidatakse andmekogule ABIS, samas punktides 10 ja 11 ei ole käsitletu ABIS, seega viide on eksitav. Teeme ettepaneku § 10 punkt 2 eelnõust välja jätta. Vt märkust eelnõu § 1 p 40 kohta. Teeme ettepaneku seletuskirja täpsustamiseks lk 13. Nimelt asendada viimases lõigus p 1 all esimeses lauses „Euroopa Liidu liikmesriigis“ lauseosaga „Euroopa Majanduspiirkonna lepinguriigis“. Seega oleks erandi alla kaasatud ka Norra, Island ja Liechtenstein ning see läheks kokku ka RahaPTS § 34 lg 3 p-s 1 tooduga, mille kohaselt väiksemale riskile viitavate asjaolude hindamisel võib geograafiliseks riske vähendavaks asjaoluks lugeda olukorda, kus klient on pärit Euroopa Majanduspiirkonna lepinguriigist. 4 (5) Eelnõu seletuskiri kasutab läbivalt mobiilirakenduse nimetusena mRiiki. Teeme ettepaneku seletuskirjas kasutada lühendi „mRiik“ asemel lühendit „riiklik mobiilirakendus“. Kuigi tegemist on eelnõu teksti mõistes lihtsalt lühendiga, siis eelistaksime seda mitte selle mõistega nii tugevalt siduda ja nimetada üldisemalt „riiklik mobiilirakendus“, vältimaks tulevikus ootuseid just selle nime kasutamiseks. Lugupidamisega (allkirjastatud digitaalselt) Tiit Riisalo majandus- ja infotehnoloogiaminister Alar Teras 625 6377 [email protected] Madis Tapupere [email protected] Mait Heidelberg [email protected] Guido Pääsuke [email protected] Merike Koppel [email protected] Silver Lusti [email protected] 5 (5)