Õigusakti eelnõu

Siseministeerium Meie 15.12.2021 nr 1.1-10.1/8982-1 [email protected] Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord Austatud koostööpartner Saadame teile kooskõlastamiseks ja lisa-adressaatidele arvamuse avaldamiseks rahandusministri määruse eelnõu „Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord“. Palun tagasiside esitada 10 tööpäeva jooksul käesoleva eelnõu avaldamisest eelnõude infosüsteemis. Lugupidamisega (allkirjastatud digitaalselt) Keit Pentus-Rosimannus rahandusminister Lisad: 1. Ministri määruse eelnõu „Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord“. 2. Seletuskiri. Sören Meius 6113630 [email protected] Suur-Ameerika 1 / 10122 Tallinn / 611 3558 / [email protected] / www.rahandusministeerium.ee registrikood 70000272 Lisaadressaadid: Finantsinspektsioon Rahapesu Andmebüroo Andmekaitse Inspektsioon FinanceEstonia MTÜ Eesti Pangaliit MTÜ Krüptoraha Liit 2  EELNÕU MÄÄRUS 15.12.2021 nr 1.1- 10.1/8982-1 Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord Määrus kehtestatakse rahapesu ja terrorismi rahastamise tõkestamise seaduse § 14 lõike 8 ja § 31 lõike 6 alusel. 1. peatükk Üldsätted § 1. Reguleerimisala (1) Määrusega kehtestatakse teenusepakkujale infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord, sealhulgas täpsustatakse: 1) teabe avaldamise nõudeid; 2) ärisuhte loomisel ja tehingu juhuti tegemisel rakendatavaid protseduurireegleid; 3) nõudeid tehingu osapoolte tahteavaldustega seotud tegevustele; 4) ankeetküsitluse nõudeid; 5) ärisuhte loomisel kohustusliku protseduurireeglina läbi viidava reaalajas intervjuu korraldamise nõudeid; 6) isiku foto töötlemise tingimusi; 7) sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedi nõudeid ning 8) salvestamise ja salvestise taasesitatavuse nõudeid. (2) Teenusepakkuja on määruse tähenduses krediidiasutus, finantseerimisasutus või virtuaalvääringu teenuse pakkuja. § 2. Isikusamasuse tuvastamise ja andmete kontrollimise eeltingimused (1) Teenusepakkuja peab infotehnoloogiliste vahendite abil isikusamasuse tuvastamisel ja andmete kontrollimisel kasutama §-s 9 sätestatud kõrge usaldusväärsuse tasemega e- identimise süsteemi, mis tagab tõsikindla isikusamasuse tuvastamise ja võimaldab ära hoida edastatavate andmete muutmise või väärkasutamise. 1 (2) Teenusepakkuja on kohustatud kasutusele võtma meetmed, et vältida automatiseeritud süsteemiga manipuleerimise riske. (3) Isikusamasuse tuvastamiseks ja andmete kontrollimiseks peab isik olema kinnitanud, et: 1) ta sooritab määruses nimetatud protseduurid isiklikult, välja arvatud § 12 lõikes 4 ja § 13 lõikes 3 sätestatud juhtudel; 2) ta ei esita väärat, eksitavat või puudulikku teavet; 3) ta on tutvunud teenusepakkuja veebilehel või isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatavas infosüsteemis (edaspidi infosüsteem) teabega infotehnoloogiliste vahendite kasutamise kohta ning nõustub infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimisega; 4) ta nõustub isikusamasuse tuvastamise ja andmete kontrollimisel Eesti õigusnormide kohaldamisega. § 3. Vastutus ja protseduurid (1) Määruses sätestatud kohustuste täitmise eest vastutab teenusepakkuja. (2) Määruses sätestatud isikusamasuse tuvastaja või andmete kontrollija tegevusi võib teha teenusepakkuja või koostööpartner, kellega on teenusepakkuja sõlminud kooskõlas rahapesu ja terrorismi rahastamise tõkestamise seaduse §-ga 24 tegevuse edasiandmise lepingu. (3) Isikusamasuse tuvastaja on teenusepakkuja või isik, kellega on teenusepakkuja sõlminud kooskõlas rahapesu ja terrorismi rahastamise tõkestamise seaduse §-ga 24 tegevuse edasiandmise lepingu, millega teenusepakkuja on infotehnoloogiliste vahendite abil isikusamasuse tuvastamisega seonduvad tegevused isikule edasi andnud. (4) Andmete kontrollija on teenusepakkuja või isik, kellega on teenusepakkuja sõlminud kooskõlas rahapesu ja terrorismi rahastamise tõkestamise seaduse §-ga 24 tegevuse edasiandmise lepingu, millega teenusepakkuja on infotehnoloogiliste vahendite abil andmete kontrollimisega seonduvad tegevused isikule edasi andnud. § 4. Ebaõnnestunud isikusamasuse tuvastamine ja andmete kontrollimine (1) Infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine loetakse ebaõnnestunuks, kui: 1) füüsiline isik on esitanud andmeid, mis ei vasta isikut tõendavate dokumentide andmekogusse kantud isiku tuvastamise andmetele või ei lange kokku muude protseduuridega saadud info või andmetega; 2) isikusamasuse tuvastamise või andmete kontrollimise käigus sessioon aegub või katkeb või sünkroniseeritud heli ja kujutist edastav infovoog ei vasta §-s 7 sätestatud nõuetele; 3) isik ei ole kinnitanud § 2 lõikes 3 sätestatut; 4) isik keeldub § 10 lõigetes 2 ja 3 nimetatud isikusamasuse tuvastaja juhiste täitmisest; 5) isik kasutab isikusamasuse tuvastaja või andmete kontrollija loata teise isiku abi; 6) tegemist on asjaoludega, mis viitavad rahapesu või terrorismi rahastamise kahtlusele. (2) Lõike 1 punktis 2 nimetatud sessioon aegub, kui isik ei ole infosüsteemis viinud viie minuti jooksul lõpule ühtegi tegevust. (3) Lõikes 1 nimetatud asjaolu esinemisel ei rahulda teenusepakkuja isiku taotlust ärisuhte loomiseks või tehingu tegemiseks. § 5. Teabe avaldamine infotehnoloogiliste vahendite kasutamise kohta (1) Teenusepakkuja peab oma veebilehel või infosüsteemis avaldama teabe tehniliste võimaluste kohta isikusamasuse tuvastamiseks ja andmete kontrollimiseks infotehnoloogiliste vahendite abil. (2) Avaldatud teabes tuleb välja tuua vähemalt järgmised asjaolud: 1) viide kohaldatavatele õigusaktidele; 2) teave, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine ja andmete kontrollimine toimub rahapesu ja terrorismi rahastamise tõkestamise seaduse §-s 31 sätestatud korras; 3) hoiatus selle kohta, et isikusamasuse tuvastamine ja andmete kontrollimine ei kohusta teenusepakkujat ärisuhet looma ega teenuste kättesaadavust tagama; 4) tingimused, mille korral isikusamasuse tuvastamine ja andmete kontrollimine infotehnoloogiliste vahendite abil loetakse ebaõnnestunuks; 5) üldine teave isikusamasuse tuvastamiseks kasutatava süsteemi kohta. (3) Kui teenusepakkuja kasutab isikusamasuse tuvastamisel või andmete kontrollimisel isikut, kellega teenusepakkuja on sõlminud tegevuste edasiandmise lepingu rahapesu ja terrorismi rahastamise tõkestamise seaduse §-s 24 sätestatud korras, peab teenusepakkuja oma veebilehel või infosüsteemis avaldama teabe lepingu teise osapoole kohta. § 6. Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise protseduurireeglid (1) Teenusepakkuja peab kehtestama infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise protseduurireeglid, mis sisaldavad vähemalt: 1) tegevusjuhendit isikusamasuse tuvastamise protseduuri läbiviimiseks infotehnoloogiliste vahendite abil; 2) tegevusjuhendit andmete kontrollimise kohta; 3) tehnilisi nõudeid sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedile ja selle kontrollimisele; 4) nõudeid esitatud andmete kogumisele ja ajakohastamisele ning andmete ja salvestiste säilitamisele; 5) meetmeid punktides 1–4 nimetatud nõuete täitmise kontrollimiseks. (2) Teenusepakkuja peab andma hinnangu isikusamasuse tuvastamise ja andmete kontrollimise tulemustele ja tegema ettepaneku kliendi suhtes rakendatava ärisuhte jälgimise režiimi kohta. 2. peatükk Isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatavale infosüsteemile esitatavad tehnilised nõuded § 7. Sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedi miinimumnõuded Isikusamasuse tuvastaja ja andmete kontrollija peavad tagama enda infovoo kvaliteedi ning kontrollima võimaluse piires kliendi või tehingus osaleva isiku infovoo kvaliteeti eesmärgiga kindlustada selge, salvestatav ja taasesitatav sünkroniseeritud heli ja kujutise edastamine viisil, mis võimaldab üheselt ja usaldusväärselt edastatavast aru saada. § 8. Salvestamise ja salvestise taasesitatavuse nõuded (1) Kujutist ja heli sisaldav infovoog salvestatakse viisil, mis võimaldab selle taasesitamist samaväärse kvaliteediga kui algselt toimunud sünkroniseeritud heli ja kujutise edastamine. (2) Kujutist ja heli sisaldav infovoog tuleb salvestada koos infovoo lõpus lisatud ajatempliga, kliendi IP-aadressi, tuvastatava isiku nime ja isikukoodiga, isikukoodi puudumise korral sünniaja ja -koha andmetega ning elukohariigi andmetega, kusjuures ajatempel peab olema seotud seda puudutavate andmetega sellisel viisil, et iga hilisem andmemuudatus, selle muudatuse tegija, aeg, viis ja põhjus on tuvastatavad. (3) Juriidilise isiku isikusamasuse tuvastamisel tuleb lisaks lõikes 2 sätestatule kujutist ja heli sisaldav infovoog salvestada koos rahapesu ja terrorismi rahastamise tõkestamise seaduse § 22 lõikes 1 nimetatud andmetega. (4) Teenusepakkuja on kohustatud lõikes 2 nimetatud viisil salvestama järgmiste protseduuride läbiviimise: 1) isikusamasuse tuvastamine § 9 lõike 1 punkti 3 kohaldamisel; 2) reaalajas intervjuu läbiviimine, kui seda kohaldati. (5) Lõikes 2 sätestatud kohustus tuleb täita ka paragrahvis 4 sätestatud ebaõnnestunud isikusamasuse tuvastamise ja andmete kontrollimise korral. (6) Teenusepakkujal on õigus §-s 12 nimetatud ankeetküsitlus salvestada kujutist ja heli sisaldava infovoona. 3. peatükk Isikusamasuse tuvastamine § 9. Isikusamasuse tuvastamine (1) Infotehnoloogiliste vahendite abil isikusamasuse tuvastamiseks kasutatakse elektroonilist kõrge usaldusväärsuse tasemega e-identimise süsteemi, mis on: 1) kantud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-identimise ja e- tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) artikli 9 alusel Euroopa Liidu Teatajas avaldatud nimekirja või mille usaldusväärsuse taseme samaväärsuse kohta on tehtud e-identimise ja e-tehingute usaldusteenuste seaduse § 211 lõike 2 kohane otsus; 2) kasutatav juurdepääsuks vähemalt ühele teenusele, mida osutab Eesti või Euroopa Majanduspiirkonna lepinguriigi valitsusasutus või muu avalikke ülesandeid täitev asutus, või 3) kliendi näokujutise ja pädeva asutuse välja antud isikut tõendava originaaldokumendi näitamine ja salvestamine video voogesituse käigus koos biomeetriliste andmete võrdlemisega, kui biomeetriliste andmete kogumisele ja võrdlemisele on kehtestatud Eesti või rahvusvaheliselt tunnustatud standard. (2) Lõikes 1 nimetamata e-identimise süsteemi võib kasutada ainult juhul, kui: 1) teenusepakkuja on kindlaks teinud süsteemi kõrge usaldusväärsuse taseme ja tervikluse ning on vastava informatsiooni esitanud järelevalveasutusele, kes on selle süsteemi kasutamisega nõustunud, või 2) teenusepakkujale on kättesaadav audit või sertifikaat, mis kinnitab, et süsteemi on hinnanud sõltumatud eksperdid ja leidnud selle olevat kõrge usaldusväärsuse tasemega ning on vastava informatsiooni esitanud järelevalveasutusele, kes on selle süsteemi kasutamisega nõustunud. (3) Lõikes 2 nimetatud järelevalveasutuse nõusolek kehtib ühe teenusepakkuja kohta ning see võib olla antud ajalise piirangu või lisatingimuste täitmise nõudega. § 10. Isiku näo ja dokumendi kadreerimise nõuded (1) Infotehnoloogiliste vahendite abil isikusamasuse tuvastamisel peavad isiku pea ja õlad olema nähtaval ja kadreeritud. Nägu peab olema varjudeta, katmata ja taustast ning muudest objektidest selgelt eristatav ja äratuntav. (2) Isikusamasuse tuvastaja võib anda juhiseid isiku kehaasendi muutmiseks ning isiku ja dokumendi kaadrisse paigutamiseks, et isikusamasust oleks võimalik tuvastada ja andmeid kontrollida, sealhulgas vaadelda dokumendile kantud andmeid või kujutisi. (3) Isikusamasuse tuvastajal on õigus nõuda pea- või näokatte ja prillide eemaldamist või tema esitatud isikusamasuse tuvastamise ja andmete kontrollimise tagamisega seotud juhiste täitmist. 4. peatükk Andmete kontrollimisel rakendatavad protseduurireeglid § 11. Isikusamasuse tuvastamine andmete kontrollimisel Andmete kontrollimisel peab tuvastama isikusamasuse. § 12. Ankeetküsitlus (1) Andmete kontrollija viib läbi ankeetküsitluse ärisuhte loomisel, tehingu juhuti tegemisel hoolsusmeetmete kohaldamiseks või teenuspakkuja algatusel informatsiooni ja andmete kogumiseks ning kontrollimiseks. (2) Ankeetküsitlusega selgitatakse välja füüsilise isiku elukoha aadress, kutse- või tegevusala, ärisuhte eesmärk ja iseloom, isiku majanduslike või perekondlike huvide seos Eestiga, asjakohasel juhul isiku kasutatavate teenuste prognoositavad mahud, tegelik kasusaaja, kas isik või tegelik kasusaaja on riikliku taustaga isik ja muu oluline informatsioon. (3) Ankeetküsitlusega selgitatakse välja juriidilise isiku asukoht ja tegevuskoht, sealhulgas välisriigis asuvad filiaalid, isiku õiguslik vorm, õigusvõime, seadusjärgsed ja lepingulised esindajad, tegelik kasusaaja, kas tegelik kasusaaja on riikliku taustaga isik, majanduslikud seosed Eesti, Euroopa Majanduspiirkonna lepinguriikide ja kolmandate riikidega, olulisemad tehingupartnerid, juriidilise isiku tegevusprofiil, põhi- ja kõrvaltegevusalad, ärisuhte eesmärk ja iseloom, asjakohasel juhul isiku kasutatavate teenuste prognoositavad mahud ning muu oluline informatsioon. (4) Andmete kontrollija loal võib isik ankeetküsitluse läbiviimisel tekkinud tehniliste probleemide kõrvaldamiseks kasutada teise isiku abi. (5) Teenusepakkuja on kohustatud hindama ankeetküsitluse vastuseid ja kajastama nii hinnangu kui ka selle aluseks olevad asjaolud kliendi või tehingus osaleva isiku riskiprofiilis. (6) Teenusepakkuja võib lõigetes 1 ja 2 nimetatud informatsiooni koguda ja selle tõele vastavust kontrollida intervjuu käigus. § 13. Intervjuu (1) Andmete kontrollija viib ärisuhte loomiseks või juhuti tehingu tegemiseks täiendava informatsiooni ja andmete kogumiseks ning kontrollimiseks läbi reaalajas intervjuu, kui: 1) seda kasutatakse tugevdatud hoolsusmeetmena; 2) isiku, toote, teenuse või tehingu osas esinevad suuremat riski iseloomustavad asjaolud või esinevad geograafilist riski suurendavad asjaolud; 3) isiku osas on rahapesu või terrorismi rahastamise kahtlus; 4) ärisuhe luuakse isikuga, kelle isikusamasuse tuvastamisel kasutati ainult § 9 lõike 1 punktis 2 või 3 nimetatud süsteemi; 5) seda peab vajalikuks teenusepakkuja. (2) Reaalajas intervjuu käigus esitab andmete kontrollija küsimusi, lähtudes tema poolt kogutud ja talle teada olevast teabest ja kliendi või tehingus osaleva isiku ning tehingu ja ärisuhtega seotud asjaoludest. (3) Andmete kontrollija loal võib isik intervjuu ajal tekkinud tehniliste probleemide kõrvaldamiseks kasutada teise isiku abi. (4) Andmete kontrollija on kohustatud hindama intervjuu käigus kliendi reageeringut, saadud info ja andmete usaldusväärsust ja kooskõla muude protseduuridega saadud informatsiooni või andmetega ning kajastama nii hinnangu kui ka selle aluseks olevad asjaolud kliendi või tehingus osaleva isiku riskiprofiilis. 5. peatükk Rakendussätted § 14. Määruse kehtetuks tunnistamine Rahandusministri 23. mai 2018. a määrus nr 25 „Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord“ tunnistatakse kehtetuks. § 15. Jõustumine Käesolev määrus jõustub 2021. aasta 10. detsembril. (allkirjastatud digitaalselt) Keit Pentus-Rosimannus Minister Merike Saks kantsler  Rahandusministri määruse “Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord ” eelnõu seletuskiri I. Sissejuhatus Sisukokkuvõte Rahandusministri määrus “Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord ” kehtestatakse rahapesu ja terrorismi rahastamise tõkestamise seaduse (edaspidi RahaPTS) § 14 lõike 8 ja § 31 lõike 6 alusel. Kehtiva rahandusministri 23. mai 018. aasta määruse nr 25 „Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord“ muutmise vajadus tuleneb sellest, et määrusest tulenevaid nõudeid isikusamasuse tuvastamisele ja andmete kontrollimisele praktikas ei järgita, sest need eeldavad selliste IT-süsteemide kasutuselevõttu, mis pole paljudele ettevõtetele jõukohased. Kehtiva määrusega ettenähtud nõuded infotehnoloogiliste vahenditega isikusamasuse tuvastamisele ja andmete kontrollimisele on Eestis karmimad kui teistes Euroopa Liidu liikmeriikides. Täna oleme olukorras, kus mitmeid 2017–2018. aastal eksisteerinud kaugtuvastamise riske maandatakse teiste sobivate vahenditega, kohustatud isikute riskiisu on vähenenud ja keskendutakse rohkem koduturule. Teisest küljest on märkimisväärselt tõhustunud finantsjärelevalve võimekus ja tegevused, mistõttu võib nn tunne-oma-klienti nõuete rakendamist praktikas tunduvalt kõrgemalt hinnata. Rahandusministri määruse “Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord ” eesmärk on leevendada võrreldes kehtiva määrusega1 ärisuhte loomisel või tehingu juhuti tegemisel infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilisi nõudeid ja korda. Eelnõuga täpsustatakse krediidiasutuse, finantseerimisasutuse ja virtuaalvääringu teenuse pakkuja (edaspidi teenusepakkuja) teabe avaldamise nõudeid infotehnoloogiliste vahendite kasutamise kohta, ärisuhte loomisel või tehingu juhuti tegemisel rakendatavaid protseduurireegleid, nõudeid tehingu osapoolte tahteavaldustega seotud tegevustele, ankeetküsitluste ja ärisuhte loomisel kohustusliku protseduurireeglina läbiviidava reaalajas intervjuu korraldamist, isiku foto töötlemise tingimusi, samuti sünkroniseeritud heli ja kujutisega kajastava infovoo kvaliteedi ning salvestamise ja salvestise taasesitatavuse nõudeid. Uus määrus annab turuosalistele senistest suurema otsustusõiguse oma riskihinnangu põhjal valida erinevate isikusamasuse tuvastamise viiside vahel olukorras, kus seda ei teostata isikuga samas kohas viibides. Kehtiva määruse muutmise eesmärk on vältida ebavajalikku keerukust, sh arvestades, et tegemist ei oleks ainult tehnilise hoolsusmeetmega, vaid lahendusega, mis oleks reaalselt võimeline riske tuvastama ja juhtima. Seega on määruse eesmärk leevendada 1 Kättesaadav: https://www.riigiteataja.ee/akt/104122020009 1 regulatsiooni isikusamasuse tuvastamise meetodite osas, võimaldades turuosalistel rakendada riskipõhist lähenemist. Eelnõu ettevalmistaja Rahandusministri määruse “Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord” eelnõu (edaspidi eelnõu) ja seletuskirja koostasid Rahandusministeeriumi ettevõtluse ja arvestuspoliitika osakonna nõunik Sören Meius ([email protected], tel 611 3630) ning sama osakonna jurist Henrik Mägi ([email protected], tel 611 3124). Määruse eelnõu juriidilist kvaliteeti kontrollis Rahandusministeeriumi õigusosakonna jurist osakonna juhataja ülesannetes Virge Aasa (611 3549). Eelnõu on keeleliselt toimetanud õigusosakonna keeletoimetaja Sirje Lilover ([email protected]). Märkused Eelnõu on rahapesu ja terrorismi rahastamise tõkestamise seaduse rakendusakt. Eelnõu ei ole seotud Euroopa Liidu õiguse rakendamisega. Vabariigi Valitsuse tegevusprogrammi 2021-20232 punkti 3.24 kohaselt on oluline, et Eestis oleks rahvusvaheliselt atraktiivne ja konkurentsivõimeline ettevõtluskeskkond. Valitsuse eesmärk on seega ettevõtlusega seotud asjaajamise kiirendamiseks vähendada bürokraatiat ning lihtsustada seadusandlust. Konkreetsemalt soovitakse analüüsida ja teha ettepanekuid Eesti ettevõtluskeskkonna konkurentsivõime suurendamiseks. Ühtlasi sätestab tegevusprogrammi punkt 3.3, et usaldusväärne finantssüsteem eeldab rahapesu, investeerimispettuste jms vastase regulatsiooni arendamist. Tegevusprogrammi kohaselt on valitsuse eesmärk luua finantssüsteem, mis on õiguskuuleka kliendi jaoks avatud. Täpsemalt tähendab see analüüsi ja ettepanekuid rahapesu, sealhulgas Eesti investeerimiskeskkonna ärakasutamise ja terrorismi rahastamise vastase võitluse õhustamiseks vajalike täiendavate regulatiivsete muudatuste kohta. Seega täidab eelnõu Vabariigi Valitsuse aastateks 2021–2023 kehtestatud tegevusprogrammiga ettenähtud eesmärke. Eelnõu on seotud e-identimise ja e-tehingute usaldusteenuste seaduse, isikut tõendavate dokumentide seaduse ning riigilõivuseaduse muutmise seadusega3. II. Eelnõu sisu ja võrdlev analüüs Eelnõu koosneb viiest peatükist ja viieteistkümnest paragrahvist. Eelnõu 1. peatükk käsitleb määruse üldsätteid. § 1. Reguleerimisala 2 Kättesaadav: 2021.02.23_Vabariigi Valitsuse tegevusprogramm 2021-2023.pdf 3 Kättesaadav: E-identimise ja e-tehingute usaldusteenuste seaduse, isikut tõendavate dokumentide seaduse ning riigilõivuseaduse muutmise seadus – Riigi Teataja 2 Eelnõu § 1 lõikes 1 esitatakse määruse reguleerimisala. Selle kohaselt kehtestatakse määrusega teenusepakkujale infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja kontrollimise tehnilised nõuded ja kord ning täpsustatakse teenusepakkuja teabe avaldamise nõudeid infotehnoloogiliste vahendite kasutamise kohta, ärisuhte loomisel ja tehingu tegemisel infotehnoloogiliste vahendite abil isikusamasuse tuvastamisel ja kontrollimisel rakendatavaid protseduurireegleid, nõudeid tehingu osapoolte tahteavaldustega seotud tegevustele, ankeetküsitluste nõudeid ja ärisuhte loomisel kohustusliku protseduurireeglina läbiviidava reaalajas intervjuu korraldamist, isiku foto töötlemise tingimusi, samuti sooritatud protseduure sünkroniseeritud heli ja kujutisega kajastava infovoo kvaliteedi ning salvestamise ja salvestise taasesitatavuse nõudeid. Võrreldes eelmise määrusega, kus antud säte koosnes ühest mahukast lõikest, on eelnõus õigusakti reguleerimisala jaotatud kaheksaks punktiks, mis hõlbustab pika loetelu lugemist.  Punktis 1 nimetatud teabe avaldamise nõuded on reguleeritud määruse §-s 5.  Punktis 2 nimetatud ärisuhte loomisel ja tehingu juhuti tegemisel rakendatavad protseduurireeglid on sätestatud määruse §-s 6.  Punktis 3 nimetatud nõudeid tehingu osapoolte tahteavaldustega seotud tegevustele reguleeritakse määruse § 2 lõike 3 punktides 3 ja 4 ning § 9 lõike 2 punktides 1 ja 2.  Punktis 4 nimetatud ankeetküsitluse nõuded on reguleeritud määruse §-s 12.  Punktis 5 nimetatud intervjuu korraldamise nõudeid reguleeritakse määruse §-s 13.  Punktis 6 nimetatud foto töötlemise tingimusi reguleeritakse määruse §-s 10.  Punktis 7 nimetatud infovoo kvaliteedi nõudeid reguleeritakse määruse §-s 7.  Punktis 8 nimetatud salvestamise ja salvestise taasesitatavuse nõudeid reguleeritakse määruse §-s 8. Eelnõu § 1 lõikes 2 sätestatakse, et teenusepakkuja on määruse tähenduses krediidiasutus, finantseerimisasutus või virtuaalvääringu teenuse pakkuja. Kuigi RahaPTS § 2 lõike 1 punkt 10 sätestab, et RahaPTS-i kohaldatakse mh ka virtuaalvääringu teenuse pakkujatele, siis praegu kehtivas määruses polnud seda eraldi sätestatud, mis tekitas virtuaalvääringu teenuse pakkujatele selles osas segadust. Selline muudatus on õigusselguse huvides vajalik, sest ka RahaPTS § 2 lõige 5 sätestab, et virtuaalvääringu teenuste pakkujatele kohaldatakse RahaPTS raames finantseerimisasutustele sätestatut. Kuigi virtuaalvääringu teenuse pakkujate hulgas juba kasutatakse mõningaid rahapesu ja terrorismi rahastamise tõkestamiseks sätestatud meetmeid, on ühtlase turvalisuse taseme tagamise huvides oluline, et vastava valdkonna turuosalised hakkaksid kasutama just määrusega kehtestatavat rahapesu ja terrorismi rahastamise tõkestamise raamistikku. RahaPTS § 20 sätestab ühe hoolsusmeetmena kliendi ja tema esindaja identifitseerimise kohustuse. Kohustatud isik peab tuvastama tehingus või ametitoimingus osaleva isiku või kliendi tegeliku nime ja isikusamasuse ning olema kindel, et eelnimetatud isik ei kasuta võõrast identiteeti. Isikusamasuse tuvastamine ja andmete kontrollimine toimub üldreeglina ühe ja sama toiminguna isikut tõendava dokumendi alusel. Erisused isikusamasuse tuvastamisele ja andmete kontrollimisele infotehnoloogiliste vahendite abil näeb ette RahaPTS § 31. 3 RahaPTS § 31 lõige 1 sätestab, et krediidiasutus ja finantseerimisasutus on kohustatud isikusamasuse tuvastama ja andmeid kontrollima infotehnoloogiliste vahendite abil, kui ärisuhte loomisel ei kohaldata hoolsusmeetmeid isikuga samas kohas viibides ja kui klient on pärit Euroopa Majanduspiirkonna välisest riigist või tema elu- või asukoht on sellises riigis või tehingu või teenuse osutamise lepinguga seotud väljaminevate maksete kogusumma ühes kalendrikuus ületab 15 000 eurot füüsilisest isikust kliendi puhul või 25 000 eurot juriidilisest isikust kliendi puhul. Täpsustame, et RahaPTS § 2 lõike 5 kohaselt rakendatakse virtuaalvääringu teenuse pakkujale antud seaduses finantseerimisasutuste kohta sätestatut. Seega kohaldub RahaPTS § 31 lõikes 1 sätestatud kohustus määruse mõistes teenusepakkujatele. RahaPTS § 31 lõige 3 sätestab, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatakse Eesti Vabariigi välja antud digitaalseks isiku tõendamiseks ette nähtud dokumenti või muud kõrge usaldusväärsuse tasemega elektroonilist isikutuvastamise vahendit, mis on nimetatud määruses. Siinkohal tulebki lähtuda määruse §-st 2, mis kehtestab infotehnoloogiliste vahendite abil isikusamasuse tuvastamise eeltingimused ja §-st 9, mis käsitleb e-identimise süsteemile esitatavaid nõuded. § 2. Isikusamasuse tuvastamise ja kontrollimise eeltingimused Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise esmaseks tingimuseks on sellised kõrge usaldusväärsuse tasemega tehnilised vahendid, mis tagavad isiku tõsikindla isikusamasuse tuvastamise ning võimaldavad ära hoida edastatavate andmete muutmise või väärkasutamise. Määruse § 2 lõige 1 sätestab, et teenusepakkuja peab infotehnoloogiliste vahendite abil isikusamasuse tuvastamisel ja andmete kontrollimisel kasutama määruse §-s 9 sätestatud kõrge usaldusväärsuse tasemega e-identimise süsteemi, mis tagab tõsikindla isikusamasuse tuvastamise ning võimaldab ära hoida edastatavate andmete muutmise või väärkasutamise. E- identimise süsteemi kõrge usaldusväärsuse taseme kindlaks tegemiseks on seega eelkõige kolm varianti, mis on sätestatud määruse § 9 lõikes 1 punktides 1–3. Juhul, kui e-identimise süsteem ei vasta § 9 lõikes 1 punktides 1–3 nimetatud nõuetele, võib antud e-identimise süsteemi kasutada vaid § 9 lõikes 2 sätestatud juhtudel. Täpsemalt on neid võimalusi kirjeldatud määruse § 9 selgituste all. Võrreldes kehtiva määrusega on e-identimise süsteemile esitatavaid kriteeriumeid laiendatud ning § 2 lõike 2 asemel on need kirjeldatud nüüd määruse §-s 9. Kehtiva määruse § 8 lõige 3 on eelnõus tõstetud § 2 lõikesse 2, mille kohaselt on teenusepakkuja kohustatud kasutusele võtma meetmed, et maandada automatiseeritud süsteemiga manipuleerimise riske. FATF-i koostatud juhise Guidance on Digital ID4 punktis 138 märgitakse, et e-identimise süsteem peab tuginema sellistel tehnoloogial, meetoditel, valitsemisel ja teistel kaitsemeetoditel, mille puhul on tagatud piisav usaldusvääruse tase. Nii kindlustatakse, et e-identimise süsteemid töötavad nõuetekohaselt ning esitavad seega ka tõeseid andmeid. Ühtlasi peavad e-identimise süsteemid olema kaitstud sisemiste ja välimiste 4 Kättesaadav: Documents - Financial Action Task Force (FATF) (fatf-gafi.org) 4 manipuleerimiste või võltsimiste eest, millega püütakse luua võltsidentiteete või autentida autentimata kasutajaid, kaasa arvatud ka küberrünnakute ja sisemise väärkasutamise kaudu. Seega kehtestab määrus tervikuna need meetmed, mida teenusepakkuja peab kasutusele võtma, et maandada eelkõige automatiseeritud süsteemiga manipuleerimise riske. Üldisemalt rakendab teenusepakkuja rahapesu riskide maandamiseks ka RahaPTS peatükis 3 sätestatud hoolsusmeetmeid. Pärast isikusamasuse tuvastamise toimingut annab isik eelnõu § 2 lõikes 3 sätestatud kinnitused. Kliendi tahteavalduste kinnitamine on olulise tähtsusega isikusamasuse tuvastamise ja andmete kontrollimise eeltingimus. Kui teenusepakkuja sõlmib kliendiga ärisuhte infotehnoloogilise vahendi abil, on teenusepakkujal ulatuslikum teavitamiskohustus kui kliendiga vahetus kontaktis olles. Kehtiva määruse § 2 struktuuri on eelnõus muudetud loogilisemaks, sest kõik nõutavad kinnitused on koondatud § 2 lõike 3 punktidesse 1–4. Eelnõu § 2 lõike 3 punkt 1 sätestab, et isikusamasuse tuvastamiseks ja andmete kontrollimiseks peab isik olema kinnitanud, et ta sooritab määruses nimetatud protseduurid isiklikult, välja arvatud eelnõu § 12 lõikes 4 ja § 13 lõikes 3 sätestatud juhtudel, mis lubavad kasutada teise isiku abi. Sama sisuga säte asub kehtiva määruses § 2 lõike 5 punktis 1. Eelnõu § 2 lõike 3 punkt 2 sätestab, et isikusamasuse tuvastamiseks ja andmete kontrollimiseks peab isik olema kinnitanud, et ta ei esita väärat, eksitavat või puudulikku teavet. Sama sisuga säte asub kehtiva määruse § 2 lõike 5 punktis 2. Eelnõu § 2 lõike 3 punkt 3 sätestab, et isikusamasuse tuvastamiseks ja andmete kontrollimiseks peab isik olema kinnitanud, et ta on tutvunud teenusepakkuja veebilehel või isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatavas infosüsteemis teabega infotehnoloogiliste vahendite kasutamise kohta ning nõustub infotehnoloogiliste vahendite abil isikusamasuse tuvastamisega ja andmete kontrollimisega. Sama sisuga säte asub kehtiva määruse § 2 lõikes 4. Eelnõu § 2 lõike 3 punkt 4 sätestab, et isikusamasuse tuvastamiseks ja andmete kontrollimiseks peab isik olema kinnitanud, et ta nõustub Eesti õigusnormide kohaldamisega isikusamasuse tuvastamise ja andmete kontrollimise läbiviimisel. Kehtiva määruse § 2 lõige 6 sätestab, et e- residendi ja mitteresidendi digitaalset isikutunnistust kasutav või muud lõikes 2 nimetatud kõrge usaldusväärsuse tasemega e-identimise süsteemi kasutav füüsiline isik või juriidilise isiku seaduslik esindaja on kohustatud nõustuma Eesti õigusnormide kohaldamisega ja näitama kaamera ees teenusepakkujale välisriigi välja antud kehtiva reisidokumendi isikuandmete lehekülge. E-residendi ja mitteresidendi digitaalsele isikutunnistusele ega muule kõrge usaldusväärsuse tasemega e-identimise süsteemile viitamine ei ole siinkohal aga enam asjakohane. Seega on eelnõus selle sätte sõnastust muudetud ning struktuuri ühtlustamiseks on ka see tõstetud § 2 lõike 3 loetellu punktina 4. Tahteavalduste kinnitamise vormi osas tuleks eelkõige lähtuda tsiviilseadustiku üldosa seaduse §-st 80, mille kohaselt loetakse tehingu kirjaliku vormiga võrdseks ka tehingu elektrooniline vorm, kui seadusega pole sätestatud teisiti. Elektroonilise vormi järgimiseks peab tehing olema tehtud püsivat taasesitamist võimaldaval viisil, sisaldama tehingu teinud isikute nimesid ja 5 olema tehingu teinud isikute poolt elektrooniliselt allkirjastatud. Kuivõrd tahteavalduste kinnitamist on võimalik tehniliselt fikseerida ja tõendada, siis edaspidi digitaalset allkirja kinnituse andmiseks ei nõuta. RahaPTS § 20 lõige 6 sätestab, et hoolsusmeetmete kohaldamiseks esitatud andmeid peab allkirjaga kinnitama ainult kohustatud isiku nõudmisel ja seega ei ole digiallkiri seadusest tulenev üldnõue. § 3. Vastutus ja protseduuride teostamine Võrreldes kehtiva määrusega on eelnõusse lisatud paragrahv vastutuse ja protseduuride kohta. Eelnõu § 3 lõige 1 sätestab, et määruses sätestatud kohustuste täitmise eest vastutab teenusepakkuja. Antud säte lisati eelnõusse selleks, et regulatsioonist tuleneks selgelt, milliseid tegevusi saab teenusepakkuja üle anda ja milliseid tegevusi peab teenusepakkuja ise tegema. Eelnõu § 3 lõige 3 täpsustab erisättena, et tegevused, mille teostajaks on määruses sätestatud isikusamasuse tuvastaja ja andmete kontrollija, võib läbi viia teenusepakkuja või koostööpartner, kellega on teenusepakkuja sõlminud kooskõlas RahaPTS §-ga 24 tegevuse edasiandmise lepingu. Kuivõrd isikusamasuse tuvastaja ja andmete kontrollija ei ole praktikas laialdaselt kasutatavad terminid ning kehtiv määrus neid ei sisaldanud, siis on õigusselguse huvides need mõisted defineeritud eelnõu § 3 lõigetes 4 ja 5. Selgitame, et tegevusi, mida määruse kohaselt peab läbi viima teenusepakkuja, peab tegema teenusepakkuja ise, ja tegevusi, mida määruse kohaselt peab läbi viima isikusamasuse tuvastaja või andmete kontrollija, võib seega teha teenusepakkuja ise või koostööpartner. Ühtlasi täpsustame, et isikusamasuse tuvastaja ja andmete kontrollija võib olla üks ja sama isik ehk teenusepakkuja või koostööpartner. Eelnõu § 3 lõige 4 sätestab, et isikusamasuse tuvastaja on teenusepakkuja või isik, kellega on teenusepakkuja sõlminud kooskõlas rahapesu ja terrorismi rahastamise tõkestamise seaduse §- ga 24 tegevuse edasiandmise lepingu, millega on infotehnoloogiliste vahendite abil isikusamasuse tuvastamisega seonduvad tegevused teenuspakkuja poolt isikule edasi antud. Tegevused, mille viib läbi isikusamasuse tuvastaja, on sätestatud eelnõu §-s 7, § 9 lõikes 4, § 10 lõigetes 2 ja 3 ning § 4 lõikes 1 punktis 5. Määruse § 3 lõige 5 sätestab, et andmete kontrollija on teenusepakkuja või isik, kellega on teenusepakkuja sõlminud kooskõlas rahapesu ja terrorismi rahastamise tõkestamise seaduse §- ga 24 tegevuse edasiandmise lepingu, millega on infotehnoloogiliste vahendite abil andmete kontrollimisega seonduvad tegevused teenuspakkuja poolt isikule edasi antud. Tegevused, mille viib läbi andmete kontrollija, on sätestatud määruse §-s 7, § 12 lõikes 1 ja 4 ning § 13 lõigetes 1—4. § 4. Ebaõnnestunud isikusamasuse tuvastamine ja andmete kontrollimine Määruse § 4 lõike 1 punktides 1–6 on loetletud olukorrad, kui isikusamasuse tuvastamine ja andmete kontrollimine infotehnoloogiliste vahendite abil loetakse ebaõnnestunuks. Punktides 1–6 nimetatud asjaolu esinemise korral ei rahulda teenusepakkuja isiku taotlust ärisuhte loomiseks või tehingu tegemiseks. Piisab ühest punktides 1–6 nimetatud asjaolu esinemisest, et isikusamasuse tuvastamine või andmete kontrollimine lugeda ebaõnnestunuks. 6 Määruse § 4 lõike 1 punkt 1 sätestab, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine loetakse ebaõnnestunuks, kui füüsiline isik on esitanud andmeid, mis ei vasta isikut tõendavate dokumentide andmekogusse kantud isiku tuvastamise andmetele või ei lange kokku muude protseduuridega saadud info või andmetega. Määruse § 2 lõike 3 punkti 2 kohaselt ei tohi isik esitada isikusamasuse tuvastamiseks ja andmete kontrollimiseks väära, eksitavat või puudulikku teavet. Kehtiv määrus sätestas isikusamasuse tuvastamise ja andmete kontrollimise ebaõnnestumise alusena olukorra, kus isik, kelle isikusamasust tuvastatakse ja andmeid kontrollitakse, on tahtlikult esitanud andmeid, mis ei vasta andmekogudesse kantud infole või teiste hoolsusmeetmete kohaldamise käigus tuvastatud ning kogutud andmetele. Määrus aga ei sisalda vastavas sättes enam tahtlust. Juhul, kui isik esitab enda tuvastamiseks ebaõiget infot või see tuvastatakse läbi hoolsusmeetmete kohaldamise, siis puudub vajadus sättes tahtluse välja toomisel. Tahtluse eraldi tuvastamiseks konkreetse määruse alusel läbi viidava isikusamasuse tuvastamise või andmete kontrolli raames ei ole võimalik. Eeltoodust tulenevalt otsustati määruse § 4 lõike 1 punkti 1 tekstist välja jätta sõna „tahtlikult“. Määruse § 4 lõike 1 punkti 2 kohaselt loetakse infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine ebaõnnestunuks, kui isikusamasuse tuvastamise või andmete kontrollimise käigus sessioon aegub või katkeb või sünkroniseeritud heli ja kujutist edastav infovoog ei vasta määruse §-s 7 sätestatud nõuetele. Kehtiva määruse vastav säte nägi ette, et protseduur loetakse ebaõnnestunuks, kui sessioon aegub, katkeb või infovoog ei vasta §-s 7 sätestatud nõuetele isikusamasuse tuvastamise, intervjuu või ankeetküsitluse ajal. Antud sättest jäeti seega välja eraldi viited ankeetküsitlusele ja intervjuule, sest isikusamasuse tuvastamine ja andmete kontrollimine ei pea kõik toimuma ühe katkematu otseülekandega, vaid neid saab teha ka eraldi toimingutena. Viide ankeetküsitlusele puudub ka seetõttu, et ankeetküsitluse läbiviimine ei pea toimuma video kaudu. Määruse § 4 lõige 1 punkt 3 sätestab, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine loetakse ebaõnnestunuks, kui isik ei ole kinnitanud määruse § 2 lõikes 3 sätestatut. Määruse § 2 lõike 3 kohaselt peab isik kinnitama, et ta sooritab määruses nimetatud protseduurid isiklikult, ta ei esita väära, eksitavat või puudulikku teavet, ta on tutvunud teabega infotehnoloogiliste vahendite kasutamise kohta, ta nõustub infotehnoloogiliste vahendite abil isikusamasuse tuvastamisega ja andmete kontrollimisega ja ta nõustub Eesti õigusnormide kohaldamisega isikusamasuse tuvastamise ja andmete kontrollimise läbiviimisele. Määruse § 4 lõike 1 punkt 4 sätestab, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine loetakse ebaõnnestunuks, kui isik keeldub määruse § 10 lõigetes 2 ja 3 nimetatud isikusamasuse tuvastaja juhiste täitmisest. Määruse § 10 lõike 2 kohaselt võib isikusamasuse tuvastaja anda juhiseid isiku kehaasendi muutmiseks ning isiku ja dokumendi kaadrisse paigutamiseks, et isikusamasust oleks võimalik tuvastada ja andmeid kontrollida, sealhulgas vaadelda dokumendile kantud andmeid või kujutisi. Määruse § 10 lõige 3 sätestab, et isikusamasuse tuvastajal on õigus nõuda pea- või näokatte ja prillide 7 eemaldamist või tema esitatud isikusamasuse tuvastamise ja andmete kontrollimise tagamisega seotud juhiste täitmist. Määruse § 4 lõike 1 punkt 5 sätestab, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine või andmete kontrollimine loetakse ebaõnnestunuks, kui isik kasutab isikusamasuse tuvastaja või andmete kontrollija loata teise isiku abi. Teise isiku abi kasutamine andmete kontrollija loal on lubatud määruse § 12 lõikes 4 ja § 13 lõikes 3 sätestatud juhtudel selleks, et kõrvaldada ankeetküsitluse või intervjuu läbiviimisel tekkinud tehnilisi probleeme või see on vajalik mingitel isikust tulenevatel objektiivsetel põhjustel. Määruse § 4 lõike 2 kohaselt loetakse ebaõnnestunud isikusamasuse tuvastamiseks ja kontrollimiseks ka sessiooni aegumine, kui füüsiline isik või juriidilise isiku seaduslik esindaja ei ole 5 minuti jooksul teenusepakkuja infosüsteemis lõpule viinud ühtegi tegevust. See tähendab olukorda, kus isikul on tekkinud vaimsed, füüsilised või tehnilised tõrked ja ta ei ole võimeline infosüsteemi 5 minuti jooksul kasutama. Sellistel juhtudel isikule kontot ei avata. Määruses on antud ajalimiit 15 minutit, kuid nii pikk ajavahemik ei ole põhjendatud, sest tehnilistele nõuetele vastav tuvastamine kestab enamasti ainult mõni minut ja 15 minuti piiri saabumise ootamine ei ole mõistlik ega vajalik. Seega otsustati eespool kirjeldatud ajalimiiti vähendada 15 minutilt 5 minutile. § 5. Teabe avaldamine infotehnoloogiliste vahendite kasutamise kohta Eelnõu § 5 lõikes 1 täpsustatakse, millist teavet õiguslike ja tehniliste võimaluste kohta peavad teenusepakkujad oma veebilehel avaldama. Juhime tähelepanu sellele, et tegemist on miinimumloeteluga ning teenusepakkuja võib avaldada ka rohkem infot kui lõike 1 punktides 1–5 nimetatud on. Teabe avaldamine on vajalik selleks, et isikud, kes soovivad konto avamisel tehtavat isikusamasuse tuvastamise ja kontrollimise protseduuri läbiviimist infotehnoloogiliste vahendite abil, oleksid teadlikud õiguslikest ja tehnilistest nõuetest, mida nende suhtes kohaldatakse. Määruse § 5 lõike 1 punkt 1 sätestab, et teenusepakkuja peab avaldatavas teabes viitama kohaldatavatele õigusaktidele. Kohaldatavad õigusaktid on siinkohal RahaPTS, määrus ehk infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilised nõuded ja kord ning e-identimise ja e-tehingute usaldusteenuste seadus. Kui kohaldatakse veel õigusakte, näiteks seoses isikuandmete töötlemisega, rahvusvaheliste sanktsioonide rakendamisega või muudel juhtudel, siis on kohane viidata ka sellistele õigusaktidele. Määruse § 5 lõike 1 punkti 2 kohaselt peab teenusepakkuja avaldama teavet selle kohta, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamine ja andmete kontrollimine toimub rahapesu ja terrorismi rahastamise tõkestamise seaduse §-s 31 sätestatud korras. Määruse § 5 lõike 1 punkt 3 sätestab, et avaldatud teave peab sisaldama hoiatust selle kohta, et isikusamasuse tuvastamine ja andmete kontrollimine ei kohusta teenusepakkujat ärisuhet looma ega teenuste kättesaadavust tagama. Hoiatus on mõistlik ja vajalik selleks, et tagada 8 lepinguvabaduse printsiipide kehtimine ja teisest küljest kliendi õigeaegne teavitamine võimalikest tagajärgedest, mis võib olla nii lepingu sõlmimine kui ka selle sõlmimata jäämine. Määruse § 5 lõike 1 punkt 4 sätestab, et avaldatud teabes tuleb välja tuua tingimused, mille korral isikusamasuse tuvastamine ja andmete kontrollimine ei kohusta teenusepakkujat ärisuhet looma ega teenuste kättesaadavust tagama. Need tingimused tulenevad näiteks määruse §-st 4. Võrreldes kehtiva määrusega on määruse § 5 lõikele 1 lisatud punkt 5, mis sätestab, et avaldatud teave peab sisaldama ka teavet kõrge usaldusväärsuse tasemega e-identimise süsteemi kohta, mida käsitletakse määruse §-s 9. Lisaks on määruses antud paragrahvi lisatud lõige 2, mille kohaselt peab teenusepakkuja oma veebilehel või süsteemis avaldama teabe ka võimalike koostööpartnerite kohta. Nii on isikul võimalik teenusepakkuja või koostööpartneri poole otse pöörduda. Ühtlasi on isikul sellisel juhul ülevaade sellest, kus ja mis teave tema kohta kogutud on. § 6. Infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise protseduurireeglid Protseduurireeglid on konkreetsed käitumisjuhised erinevateks olukordadeks, mida kohustatud isiku töötajad saavad oma igapäevategevuses reaalselt rakendada. Seetõttu on ka seaduses ette nähtud, et vajadusel võivad protseduurireeglid sisalduda erinevates dokumentides. Kui kehtivas määruses käsitletakse infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise protseduurireegleid §-s 12, siis määruses on need sätestatud §-s 6. Määrus kohustab teenusepakkujat kehtestama infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise protseduurireeglid. Täpsemad nõuded selle kohta, mida protseduurireeglid sisaldama peavad, on loetletud § 6 lõike 1 punktides 1–5. Määruse § 6 lõike 1 punkt 1 sätestab, et protseduurireeglid peavad sisaldama tegevusjuhendit isikusamasuse tuvastamise protseduuri läbiviimiseks infotehnoloogiliste vahendite abil. Isikusamasuse tuvastamisel rakendatavad protseduurireeglid on sätestatud määruse 3. peatükis. Määruse § 6 lõike 1 punkti 2 kohaselt peavad protseduurireeglid sisaldama tegevusjuhendit andmete kontrollimise kohta. Andmete kontrollimisel rakendatavad protseduurireeglid on sätestatud määruse 4. peatükis. Määruse § 6 lõike 1 punkt 3 sätestab, et protseduurireeglid peavad sisaldama tehnilisi nõudeid sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedile ja selle kontrollimisele. Sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedi miinimumnõuded tulenevad määruse §-st 7. Määruse § 6 lõike 1 punkti 4 kohaselt peavad protseduurireeglid sisaldama vähemalt nõudeid esitatud andmete kogumisele ja ajakohastamisele ning andmete ja salvestiste säilitamisele. Salvestamise ja salvestise taasesitatavuse nõuded on sätestatud määruse §-s 8. 9 Määruse § 6 lõike 1 punkt 5 sätestab, et protseduurireeglitega peab ette nägema meetmed § 6 lõike 1 punktides 1–4 loetletud tegevusjuhendite täitmise kontrollimiseks. Paragrahvi 6 lõike 2 kohaselt peavad protseduurireeglid kogumis viima olukorrani, kus teenusepakkuja saab otsustada, kas isikusamasus on tuvastatud ja kliendiga võib ärisuhte luua või temaga tehingu tegemist võimaldada ning millist ärisuhte jälgimise režiimi rakendatakse. Ärisuhte jälgimist reguleerib rahapesu ja terrorismi rahastamise tõkestamise seaduse §-s 23. Eelnõu 2. peatükk käsitleb isikusamasuse tuvastamiseks ja andmete kontrollimiseks kasutatavale infosüsteemile esitatavaid tehnilisi nõudeid. § 7. Sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedi miinimumnõuded Määruse § 7 sätestab, et isikusamasuse tuvastaja ja andmete kontrollija peavad kontrollima nii enda kui ka kliendi infovoo kvaliteeti ja kindlustama, et oleks tagatud selge, salvestatav ja taasesitatav sünkroniseeritud heli ja kujutise edastamine viisil, mis võimaldab üheselt ja usaldusväärselt edastatavast aru saada. Enda infovoo kvaliteedi kontrollimine tähendab, et tehakse mõistlikke ja asjakohaseid pingutusi võimalikult kvaliteetse (stabiilse, kiire ja turvalise) internetiühenduse saavutamiseks ja kasutamiseks. Sarnane nõue sisaldub ka kehtiva määruse § 5 lõikes 2, kuid „teenusepakkuja“ on määruses asendatud terminitega „isikusamasuse tuvastaja“ ja „andmete kontrollija“, et säte oleks kooskõlas määruse §-ga 3. Määruse § 7 eesmärk on muuta õigusnorm paindlikuks, paljudes olukordades kohaldatavaks ning pakkuda välja lahendus, mis sobiks kõikide teenusepakkujate ärimudelitega. Nii tagatakse riskipõhine lähenemine, mis võimaldab teenusepakkujal valida meetodeid vastavalt riskile. Teenusepakkujatel on võimalus protseduurireeglitega kehtestada täpsemad suunised eelnimetatud parameetrite kohta. Teenusepakkuja ja isiku vahel toimuv internetisessioon peab olema püsiv. Katkenud või aegunud voog kahjustab selle usaldusväärsust ja seeläbi poolte tahte üheselt mõistetavust. Näiteks olukorras, kus sünkroniseeritud heli ja kujutist kajastav infovoog on katkendlik, võib tekstist arusaamine olla raskendatud või isegi võimatu. Lisaks võib infovoo autentsuse osas kahtlusi tekkida juhtudel, kui infovoo heli ja kujutis ei ole sünkroonis. Selline ajaline piirang on aga oluline ka protseduuride salvestamise ökonoomsuse seisukohast. Kui isik ei ole 5 minutit teenusepakkuja infosüsteemis aktiivselt tegutsenud, võiks korraldada nii, et infosüsteem teavitab isikut sessiooni aegumisest. Intervjuu sessiooni pildi- ja helikvaliteet peab võimaldama ärisuhet loova isikuga suhelda, mistõttu on ka teenusepakkuja kohustuseks hinnata eraldi isiku infotehnoloogiliste vahendite pildi- ja helikvaliteeti. Koht, kus isik viibib, peab olema piisava valgusega ja kõne ei tohi olla häiritud akustiliselt (kaja, taustamüra). Oluline on see, et kõnest arusaamine poleks häiritud. Heli ja kujutist edastav infovoog peab olema piisavalt kvaliteetne tagamaks, et isiku nägu oleks võimalik näha ja üheselt tuvastada. Tehnoloogiline lahendus peab edastama pilti koos selge heliga ning tagama taasesitatava salvestuse. Heli ja pilt peavad olema sünkroonsed ning taasesitatavad ilma märgatava viivituseta. Lisaks peavad asjaomase isiku välimus, näoilmed ja 10 žestid olema selgelt märgatavad. Kõne peab alati olema kergesti arusaadav. Helikvaliteet peab olema ühtlane ja ilma väliste häireteta. Valgustus peaks olema võimalikult selline, et näoilme oleks alati kergesti eristatav, et silmade ümber ei oleks varje ning ekraan ei helgiks vastu. Sessiooni käigus ei tohi taustal olla muid häirivaid esemeid ega taustahelisid. Isik ei tohi protseduuride läbiviimise ajal lahkuda kaadrist või kaamera vaateväljast. Isikusamasuse tuvastajal ja andmete kontrollijal lasub seega kohustus rakendada vajalikke turvalisuse abinõusid, et lõppkokkuvõttes oleks nende vahendite abil isik võimalik üheselt tuvastada. Selleks kirjeldatakse tehnilise teostuse miinimumstandardeid läbi pildi- ja helikvaliteedi ning salvestamise nõuete. Tehniline lahendus peab võimaldama salvestamist, andmete säilitamist ja taasesitamist. Kõiki kliendipoolseid tehnilisi nõudeid ei ole teenusepakkujal võimalik kontrollida. Kui aga näiteks kliendi infotehnoloogiline lahendus ei toimi, siis tuleb soovitada kliendil leida selline tehniline lahendus, mis sobib teenusepakkujale, et tal oleks võimalik isik tuvastada ja saada informatsiooni/andmeid tema tausta jm ärisuhte loomiseks vajalike hoolsusmeetmete võtmiseks vajalikus ulatuses. Kehtiva määruse § 5 lõige 1 sätestab, et teenusepakkuja infosüsteem peab võimaldama digitaalset isiku tuvastamist ja digitaalset allkirjastamist, kuid määrusega seda ei nõuta. Digitaalse allkirja puhul oli tegemist oli liiga range nõudega, mida välisriikide kodanikel oli keeruline või isegi võimatu täita. § 8. Salvestamise ja salvestise taasesitatavuse nõuded Määruse § 8 lõige 1 sätestab, et kujutist ja heli sisaldav infovoog salvestatakse viisil, mis võimaldab selle taasesitamist samaväärse kvaliteediga kui algselt toimunud sünkroniseeritud heli ja kujutise edastamine. Antud nõue tagab selle, et salvestatud infovooge oleks võimalik kasutada ka tõenditena erinevates menetlustes. Määruse § 8 lõikes 2 on esitatud loetelu andmetest, mis tuleb salvestada koos kujutist ja heli sisaldava infovooga. Ajatemplite ja logide salvestamise nõuete eesmärgiks on võimaldada tagantjärele kõiki protseduure taasesitada viisil, mis tagaks nende alusel õiguskaitseasutuste informeerimise maksimaalselt kiiresti ja ka informatsiooni sisulise asjakohasuse. Kujutist ja heli sisaldav infovoog tuleb salvestada koos selle toimumise kuupäeva ja kellaaja, IP-aadressi, tuvastatava isiku nime ning tuvastatava isiku isikukoodiga koos ajatempliga viisil, mis ei võimalda neid andmeid tuvastamise protsessis muuta ilma, et tuvastamise ajatempel ei muutuks. Isikusamasuse tuvastamisel, kinnituste andmisel ja ankeetküsitluse täitmise ajal on oluline salvestada ajatempleid ja -logisid. Kõik see tuleb fikseerida teenusepakkuja sisemistest protseduurireeglites ja nende täitmist kontrollivad järelevalveasutused. Andmete kogumine, säilitamine ja kaitse on reguleeritud ka RahaPTS-i 4. peatükis. Määruse § 8 lõike 4 kohaselt peab paragrahvi lõikes 2 nimetatud viisil salvestama isikusamasuse tuvastamise, kui seda tehakse kujutist ja heli sisaldava infovoona ja reaalajas intervjuu läbiviimise, kui see on kohaldatav. Tingimused, mil reaalajas intervjuu läbi viia tuleks, on sätestatud määruse § 13 lõikes 1. 11 Lõike 5 kohaselt täpsustatakse, et salvestada tuleb ka ebaõnnestunud isikusamasuse tuvastamise ja andmete kontrollimise ning reaalajas intervjuu läbiviimise. Muu hulgas on see vajalik olukorras, kus hoolsusmeetmete kohaldamise tõttu jääb ärisuhte loomine katki ja seetõttu tekib kohustatud isikul kahtlus rahapesu või terrorismi rahastamise katkes. Kuna RahaPTS nõuab ka sellistest olukordadest teavitamist, tuleks ka selliste olukordade kohta tõendusväärtuslik informatsioon salvestada. Võrreldes kehtiva määrusega on määruse §-i 8 lisatud lõige 3, mille kohaselt juriidilise isiku isikusamasuse tuvastamisel tuleb lisaks § 8 lõikes 2 sätestatule kujutist ja heli sisaldav infovoog salvestada koos järgmiste RahaPTS § 22 lõikes 1 nimetatud andmetega: juriidilise isiku ärinimi või nimi, registrikood või registreerimisnumber ja -aeg, juhataja nimi või juhatuse liikmete või muu seda asendava organi liikmete nimed ja nende volitused juriidilise isiku esindamisel ning juriidilise isiku sidevahendite andmed. Määrus ei sisalda kehtivas määruses sätestatud täpsustust, et salvestamine algab isikusamasuse tuvastamisega ja lõpeb, kui vajalikud andmed on kogutud ja protseduurid läbi viidud, kuivõrd see nõue oli asjatult detailne ja koormav. Ühtlasi ei sisalda antud säte enam nõuet, et eespool kirjeldatud salvestised peavad olema taasesitatavad viie aasta jooksul pärast ärisuhte lõppemist, sest see kohustus tuleneb juba RahaPTS § 47 lõikest 1 ja pole vajadust seda määrusega veel kord sätestada. Eelnõu 3. peatükk käsitleb isikusamasuse tuvastamist. Isikusamasuse tuvastamine ja andmete kontrollimine on vaid üks nõue paljudest, mida tuleb täita ärisuhte loomisel ning tehingu juhuti tegemisel. Muud nõuded on seotud eelkõige kliendi tundmaõppimise, tema tehingute eesmärgi ja varade päritolu väljaselgitamisega. Ärisuhte ja tehingu eesmärgi kohta teabe hindamisel tuleb arvestada nn tunne-oma-klienti-põhimõtet. § 9. Isikusamasuse tuvastamine Määruse § 9 lõike 1 kohaselt kasutatakse infotehnoloogiliste vahendite abil isikusamasuse tuvastamiseks kõrge usaldusväärsuse tasemega e-identimise süsteemi. Määruse § 9 lõike 1 punkti 1 kohaselt on e-identimise süsteem kõrge usaldusväärsuse tasemega, kui see süsteem on kantud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) artikli 9 alusel Euroopa Liidu Teatajas avaldatud nimekirja5 või mille usaldusväärsuse kohta on tehtud e-identimise ja e- tehingute usaldusteenuste seaduse6 §-s 211 lõike 2 kohaselt otsus. E-identimise ja e-tehingute usaldusteenuste seaduse § 211 lõige 2 sätestab, et kui e-identimise teenuse osutaja esitatud teabest nähtub, et e-identimise süsteemi usaldusväärsuse tase on samaväärne e-identimise teenuse osutaja märgitud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 8 lõike 2 punktis b või c sätestatud usaldusväärsuse tasemega, teeb pädev asutus otsuse 5 Nimekiri on kättesaadav: https://ec.europa.eu/futurium/en/system/files/ged/eidas-art.31-list-2018-01-23.pdf 6 Kättesaadav: E-identimise ja e-tehingute usaldusteenuste seaduse, isikut tõendavate dokumentide seaduse ning riigilõivuseaduse muutmise seadus – Riigi Teataja 12 e-identimise süsteemi usaldusväärsuse taseme samaväärsuse kohta. Määruse § 9 lõike 1 punkti 2 järgi on e-identimise süsteemi kõrge usaldusväärsuse tase tagatud ka juhul, kui e-identimise süsteem on kasutatav juurdepääsuks vähemalt ühele teenusele, mida osutab Eesti või Euroopa Majanduspiirkonna lepinguriigi valitsusasutus või muu avalikke ülesandeid täitev asutus. Kui järelevalveasutus seda kontrollima asub, siis peab teenusepakkuja olema valmis esitama tõsikindlaid andmeid selle kohta, kes, kus ja milleks seda süsteemi kasutab. Määruse § 9 lõike 1 punkti 3 kohaselt on e-identimise süsteem kõrge usaldusväärsuse tasemega ka juhul, kui selle käigus näidatakse ja salvestatakse kliendi näokujutis ning pädeva asutuse välja antud isikut tõendav originaaldokument video voogesituse käigus koos biomeetriliste andmete võrdlemisega, kui biomeetriliste andmete kogumisele ja võrdlemisele on kehtestatud tunnustatud standardid. Rahvusvaheline Standardimisorganisatsioon (International Organization for Standardization) on 2020. aastal avaldanud uued rahvusvahelised standardid7, et tagada biomeetriliste andmete vahetamise ja tehnoloogia turvalisus, sobivus ning koostalitusvõime. Kehtiva määruse § 2 lõike 3 kohaselt võis teenusepakkuja isikusamasuse tuvastamisel ja kontrollimisel kasutada sellist infotehnoloogilist vahendit, mis võimaldab biomeetriliste andmete võrdlemist, määruses on biomeetriliste andmete võrdlemise lubatavus sätestatud aga § 9 lõike 1 punktis 3. Määruse § 9 lõike 2 punkt 1 sätestab, et lõikes 1 nimetamata e-identimise süsteemi võib kasutada juhul, kui teenusepakkuja on kindlaks teinud süsteemi kõrge usaldusväärsuse taseme ja tervikluse ning on vastava informatsiooni esitanud järelevalveasutusele, kes on selle süsteemi kasutamisega nõustunud. Järelevalveasutustel on antud juhul täielik vaba valik otsustada, kas nad selliseid taotlusi rahuldavad. Järelevalveasutused võivad oma otsuse teha vastavalt riskihinnangutele, turuolukorrale, järelevalvetegevuses kogutud infole jne. Seega on neil otsustamiseks täielik diskretsioon. Antud sätte eesmärk on anda järelevalveasutustele võimalus määrusega kehtestatud nõudeid leevendada, kui järelevalveasutus leiab, et see on vajalik ja põhjendatud – s.t. riskid on piisavalt maandatud ja määrusest tulenevad rangemad nõuded piiravad teenusepakkuja tegevusvabadust. Teisalt on suur diskretsiooniruum vajalik, et muu hulgas tagada ka see, et loa andmine võib sõltuda konkreetsest järelevalvesubjektist – just järelevalveasutusel on parim ülevaade sellest, milline on teenusepakkuja riskiisu, kasutatavad tehnoloogilised vahendid ja organisatoorne korraldus. Neid kõiki arvesse võttes võib järelevalveasutus lubada üht süsteemi kasutada ühel teenusepakkujal, kuid mitte automaatselt kõigil teenusepakkujatel. Otsused tehakse igas kaasuses eraldi. Määruse § 9 lõike 2 punkt 2 sätestab, et lõikes 1 nimetamata e-identimise süsteemi võib kasutada ka juhul, kui teenusepakkujale on kättesaadav audit või sertifikaat, mis kinnitab, et süsteemi on hinnanud sõltumatud eksperdid, kes on kinnitanud süsteemi kõrget usaldusväärsuse taset ja vastava informatsiooni esitanud järelevalveasutusele, kes samuti antud süsteemi kasutamisega nõustunud on. 7 Kättesaadav: ISO/IEC 39794-1:2019(en), Information technology — Extensible biometric data interchange formats — Part 1: Framework, ISO/IEC 39794-4:2019(en), Information technology — Extensible biometric data interchange formats — Part 4: Finger image data, ISO/IEC 39794-5:2019(en), Information technology — Extensible biometric data interchange formats — Part 5: Face image data 13 Võrreldes kehtiva määrusega, kus isikusamasuse tuvastamiseks oli vajalik kasutada isikut tõendavate dokumentide seaduse alusel välja antud digitaalseks isiku tõendamiseks ette nähtud dokumenti või muud kõrge usaldusväärsuse tasemega e-identimise süsteemi, mis on kantud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257, 28.08.2014, lk 73–114) artikli 9 alusel Euroopa Liidu Teatajas avaldatud nimekirja, on määrusega isikusamasuse tuvastamiseks kasutatavatele süsteemidele sätestatud kriteeriumeid leevendatud. Selline muudatus on vajalik eelkõige seetõttu, et kehtivast määrusest tulenevad nõuded olid Eestis rangemad kui teistes Euroopa Liidu riikides, mistõttu ei olnud eeskätt kolmandatest riikidest pärit isikute (aga tihti ka mõne EL liikmesriigi isiku) puhul nõuetekohane isikusamasuse tuvastamine sageli võimalik: sellistel isikutel ei olnud nimekirja kantud identimisvahendeid lihtsalt olemas. See mõjus negatiivselt Eestis kohustatud isikute konkurentsivõimele. Täna rakendatakse nn tunne-oma-klienti nõudeid tõhusamalt, mistõttu ei ole tollase määruse kehtestamise ajal oluliseks peetud riskid enam samad. Järelevalve kontrollide tulemusel on selgunud, et Eesti finantssektori usaldusväärsust mõjutavad rohkem pankade riskikontrollisüsteemides esinevad puudused, ja vähem isikusamasuse tuvastamise meetodid. Seega oli senine lähenemine, mille kohaselt olid lubatud vaid Eesti riiklikud ja eIDAS nimekirjas olevad süsteemid, turuosaliste jaoks liiga kitsendavad, sest eIDAS on vaid Euroopa Liidu siseselt kehtiv määrus ning selle nimekirja kantud isikutuvastussüsteemide arv on endiselt väike. Lisaks ei kanta sinna kolmandate riikide isikutuvastussüsteeme. Määrusega võimaldatakse turuosalistel kasutada paindlikumat lahendust, mis suurendab nende konkurentsivõimet võimaldades neil hõlpsamini potentsiaalsete klientideni jõuda, samas ei tehta järeleandmisi turvalisust silmas pidades, sest järelevalveasutustele on jäetud pädevus turuosalise süsteemide tervikut arvestades alternatiivseid identimislahendusi lubada või keelata. E-identimise süsteemile esitatavate nõuete leevendamist toetab ka asjaolu, et rahapesu tõkestamise direktiiv ja Financial Action Task Force’i (edaspidi FATF) juhendid ei näe ette enamat sellest, mis on sätestatud RahaPTS § 20 lõike 1 punktis 1. FATF on oma juhendites andnud mõistetele „usaldusväärne“ ja „sõltumatu“ raamid, millistesse riigid jääma peaksid. FATF on seejuures jätnud nende tegeliku sisu lahtiseks, sest nii on võimalik edendada finantskaasatust ja suurendada IT-tehniliste lahendite kasutamist Muudatuse eesmärk oleks seega kehtestada regulatsioon, mis väldiks ebavajalikku keerukust, kuid juhiks samal ajal ikkagi kohaselt riske nii, et tegemist ei oleks lihtsalt tehnilise hoolsusmeetmega vaid lahendusega, mille abil oleks reaalselt võimalik riske tuvastada ja juhtida. Uus määrus annab turuosalistele senisest suurema otsustusõiguse oma riskihinnangu põhjal otsustada erinevate kõrge usaldusväärsuse tasemega isikusamasuse tuvastamise viiside vahel olukorras, kus lepingut või tehingut ei teostata samas kohas viibides. Sarnane regulatsioon kehtib ka e-IDAS määruse8 artikli 8 lõikes 2 c. Euroopa Komisjoni välja töötatud tehnilised standardid, kirjeldused ja menetlused on aluseks teenusepakkuja tehnilistele vahenditele esitatavate nõuete osas. 8 http://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX%3A32014R0910 14 § 10. Isiku näo ja dokumendi kadreerimise nõuded Määruse §-s 10 esitatakse nõuded, kuidas isik peab kaameras asetsema. Isiku pea ja õlad peavad olema nähtaval ja kadreeritud. Sama nõue kehtib ka isiku foto töötlemisele. Põhiline nõue on, et isikut ja isiku dokumendi andmeid peab olema võimalik tuvastada. Isikusamasuse tuvastaja võib anda juhiseid isiku asendi muutmiseks ning isiku ja dokumendi kaadrisse paigutamiseks, samuti on otstarbekas hilisemate vaidluste vältimiseks sätestada õigusakti tasandil isikusamasuse tuvastaja õigus nõuda pea- või näokatte ja prillide eemaldamist või anda muid juhiseid. Kehtiva määruse sõnastuses oli „isikusamasuse tuvastaja“ asemel kasutatud terminit „teenusepakkuja“. Selline täpsustus oli vajalik õigusselguse huvides vastavalt määruse § 3 lõikes 4 sätestatule. Eelnõu 4. peatükk käsitleb andmete kontrollimisel rakendatavaid protseduurireegleid. § 11. Isikusamasuse tuvastamine andmete kontrollimisel Määruse § 11 sätestab, et andmete kontrollimisel on isikusamasuse tuvastamine kohustuslik. Selle sätte eesmärk on siduda kaks protsessi: andmete kontrollimine ja isikusamasuse tuvastamine. Määrusega ettenähtud muudatustega jäetakse nende läbiviimise järjekord aga vabaks. § 12. Ankeetküsitlus Tulenevalt seadusest ja rahvusvahelistest standarditest, on teenusepakkujad kohustatud järgima nn tunne-oma-klienti-põhimõtet. Sellel eesmärgil esitatakse finantssektoris teiste teenussektoritega võrreldes rohkem küsimusi kliendi isiku, eesmärkide ja tegevuse kohta. Üldine hoolsusmeetme kohaldamise kohustus tuleneb küll RahaPTS §-st 20, kuid määrus annab edasi ankeetküsitluse täpsema sisu. Kehtivas määruses on ankeetküsitlusega seonduv reguleeritud §-s 10, kuid eelnõus asuvad ankeetküsitlusele kohaldatavad sätted §-s 12. Määruse §-s 12 sätestatakse ankeetküsitluse eesmärk ja alused selle kasutamiseks. Ühtlasi täpsustatakse ankeetküsitluse läbiviimise korda. Määruse § 12 lõige 1 sätestab, et andmete kontrollija viib läbi ankeetküsitluse teenusepakkuja ja kliendi vahel ärisuhte loomisel, tehingu juhuti tegemisel hoolsusmeetmete kohaldamiseks või teenusepakkuja algatusel informatsiooni ja andmete kogumiseks ning kontrollimiseks. Määruse § 12 lõigetes 2 ja 3 antakse ülevaade informatsioonist, mis ankeetküsitlusega välja selgitatakse. Ankeetküsitluse läbiviimise eesmärk on seega rakendada tunne-oma-klienti põhimõtet: saada andmeid lisaks isikusamasuse tuvastamise isikuandmetele ka kliendi riskiprofiili kohta, sh kindlaks määrata tahteavaldused, tegelikud vajadused, võimalused ja riskitaluvus. See tähendab, et teenusepakkuja peab lepingueelsete läbirääkimiste esmases faasis selgeks tegema kliendi isikuandmed, tuvastama kliendi isikusamasuse usaldusväärsete allikate abil ning tegema kindlaks kliendi eesmärgi ärisuhte loomisel. Esmases faasis peaks teenusepakkuja tegema ka 15 kindlaks, kas isiku suhtes on kohaldatud rahvusvahelisi sanktsioone. Riskipõhise hindamise tulemusena teeb teenusepakkuja kindlaks, mis ulatuses tuleb hoolsusmeetmeid kohaldada ärisuhte eesmärgi ja olemuse kindlakstegemisel ning tuvastamisel, kes on kliendi tegelikud kasusaajad. Seega peab ankeet sisaldama küsimusi nii isikusamasuse tuvastamise kui ka kliendiprofiili kohta. Füüsilise isiku ankeet peaks vähemalt sisaldama järgmist tuvastamise teavet: elukoha aadress, tegevusprofiil, tegevusala, ärisuhte loomise eesmärk ja iseloom, isiku majanduslike või perekondlike huvide seos Eestiga ja asjakohasel juhul kasutatavate teenuste prognoositavad mahud, samuti kas tegemist on riikliku taustaga isikuga, asjakohasel juhul tegelik kasusaaja või muu sarnane oluline informatsioon. Juriidilise isiku kohta selgitatakse välja järgmised andmed: ärinimi, registrikood, asukoht ja tegevuskohad, välisriigis asuvad filiaalid, isiku õiguslik vorm, õigusvõime, seadusjärgsed ja lepingulised esindajad, tegelik(ud) kasusaaja(d) ja asjakohasel juhul, kas tegelik kasusaaja on riikliku taustaga isik, majanduslikud seosed Eestiga, Euroopa Majanduspiirkonna lepinguriikidega ja kolmandate riikidega, olulisemad äripartnerid, juriidilise isiku tegevusprofiil, põhi- ja kõrvaltegevusalad, ärisuhte loomise eesmärk ja iseloom ning muu sarnane oluline informatsioon. Arvestades teenusepakkujate erinevaid osutatavaid teenuseid, on andmete loetelu jäetud avatuks. Kogutava informatsiooni maht peab olema piisav ning kliendi poolt teabe esitamata jätmine võib lepingueelsete läbirääkimiste jätkamisel olla takistavaks teguriks, sest teenusepakkuja ei tohiks kliendiga ärisuhet luua, kui klient ei esita ja tema kohta ei ole võimalik kätte saada piisavalt informatsiooni. Ankeedi küsimustele vastamise protseduuri salvestamine kohustuslik ei ole. Salvestatakse ankeedi küsimustele vastamise algus- ja lõppaeg. Samuti on oluline see, et ankeeti täitev isik on ankeedi täitmiseks vastavasse e-keskkonda sisenemisel digitaalselt tuvastatud ja ankeedis esitatud andmed kinnitanud. Ühtlasi näeb RahaPTS § 20 lõige 5 ette, et teenusepakkuja nõudmisel peab isik esitatud teabe ja dokumentide õigsust kinnitama. Määruse § 12 lõige 4 sätestab, et andmete kontrollija loal võib isik ankeetküsitluse läbiviimisel tekkinud tehniliste probleemide kõrvaldamiseks kasutada teise isiku abi. Kehtiva määruse kohaselt on isikul selleks õigus teenusepakkuja loal. Sätte sõnastust on muudetud seetõttu, et antud protseduuri puhul on tegemist andmete kontrollimisega ja andmete kontrollija võib vastavalt määruse § 3 lõikele 5 olla nii teenusepakkuja kui isik, kellega teenusepakkuja on sõlminud nõuetekohase lepingu tegevuse edasiandmiseks. Määruse § 12 lõige 5 sätestab, et teenusepakkuja on kohustatud hindama ankeetküsitluse vastuseid ja kajastama nii hinnangu kui ka selle aluseks olevad asjaolud kliendi või tehingus osaleva isiku riskiprofiilis. Kehtiv määrus näeb ette, et teenusepakkuja pidi antud hinnangut ja selle aluseks olevaid asjaolusid kajastama nii kliendi- kui riskiprofiilis. Seega ei ole ankeetküsitlusele antud hinnangu ja selle aluseks olevate asjaolude kajastamine kliendiprofiilis enam nõutav, sest mitme profiili koostamine ühe isiku kohta ei ole vajalik. Kuivõrd RahaPTS- is käsitletakse üksnes riskiprofiili, siis näeb ka määrus ette lahenduse, kus kogu vajalik informatsioon lisatakse isiku riskiprofiili. Praktikas ei oma tähtsust, millist terminit teenusepakkuja isiku riskiprofiili kohta kasutab. Määruse § 12 lõige 6 sätestab, et teenusepakkuja võib nõutava informatsiooni koguda ja selle tõesust kontrollida ka intervjuu käigus. Kehtiva määruse kohaselt võib teenusepakkuja 16 ankeetküsitlusest loobuda, kui kogutav informatsioon ja andmed täidetakse intervjuu käigus ning ankeetküsitlusest loobumist peab teenusepakkuja selgitama protseduurireeglites. Ühtlasi on „teenusepakkuja“ asendatud terminiga „andmete kontrollija“, sest antud protseduuri puhul on tegemist andmete kontrollimisega ja vastavalt määruse § 3 lõikele 5 võib andmete kontrollija olla nii teenusepakkuja kui isik, kellega teenusepakkuja on sõlminud nõuetekohase lepingu tegevuse edasiandmiseks. § 13. Intervjuu Kuivõrd ankeetküsitluse läbiviimine on eelduslikult lihtsam, siis eelistatakse andmete kogumiseks kasutada ankeetküsitlust, mitte intervjuud. Intervjuu abil kogutakse andmeid siis, kui ankeetküsitlusest ei piisa. Olukorras, kus on ette teada, et isikuga tuleb läbi viia ka intervjuu, võib vastavalt määruse § 12 lõikele 6 ankeetküsitlusest loobuda ja kogu informatsiooni intervjuu käigus koguda. Määruse § 13 lõike 1 punktides 1–5 sätestatakse juhtumid, millal andmete kontrollija viib teenusepakkuja ja kliendi vahel ärisuhte loomiseks või juhuti tehingu tegemiseks täiendava informatsiooni ja andmete kogumiseks ning kontrollimiseks läbi reaalajas intervjuu. Võrreldes kehtiva määrusega, kus intervjuu läbiviimine oli nõutud kliendiprofiili kindlaksmääramiseks vajaliku informatsiooni ja andmete kogumiseks ning kontrollimiseks, on käesoleva määrusega intervjuu läbiviimine muudetud kohustuslikuks vaid määruses sätestatud juhtudel. Määruse § 13 lõike 1 punkt 1 sätestab, et andmete kontrollija viib teenusepakkuja ja kliendi vahel läbi reaalajas intervjuu juhul, kui see on vajalik tugevdatud hoolsusmeetmete rakendamiseks. Alused tugevdatud hoolsusmeetmete kohaldamiseks tulenevad RahaPTS §-st 36. Määruse § 13 lõike 1 punkt 2 sätestab, et andmete kontrollija viib teenusepakkuja ja kliendi vahel läbi reaalajas intervjuu juhul, kui isiku, toote, teenuse või tehingu osas esinevad suuremat riski iseloomustavad asjaolud või esinevad geograafilist riski suurendavad asjaolud. Suuremat riski iseloomustavad asjaolud tulenevad RahaPTS §-st 37. Kuigi nii § 36 kui § 37 seavad alused tugevdatud hoolsusmeetmete kohaldamiseks, siis on käesoleval juhul peetud otstarbekaks tuua §-s 37 nimetatud asjaolud eraldiseisvana välja (järgides RahaPTS loogikat, mis need samuti üldisest tugevdatud hoolsusmeetme kohaldamise alusele lisaks eraldi välja toob). Punkti 1 ja 2 erinevus seisneb selles, et lisaks seaduses nimetatud tugevdatud hoolsusmeetmete rakendamise alustele võib ka kohustatud isik ise tuvastada nii tugevdatud hoolsusmeetmete kohaldamise aluseid kui määratleda tugevdatud hoolsusmeetmeid, mida erinevate suurema riski aluste korral rakendatakse – et neid riske maandada. Üheks selliseks maandamismeetmeks võib isikusamasuse kaugtuvastamise olukorras kindlasti olla ka nn „videosild“ või reaalajas intervjuu korraldamine. Määruse § 13 lõike 1 punkt 3 sätestab, et andmete kontrollija viib teenusepakkuja ja kliendi vahel läbi reaalajas intervjuu juhul, kui isiku osas on rahapesu või terrorismi rahastamise kahtlus. 17 Määruse § 13 lõike 1 punkt 4 sätestab, et andmete kontrollija viib teenusepakkuja ja kliendi vahel läbi reaalajas intervjuu juhul, kui ärisuhe luuakse isikuga, kelle isikusamasuse tuvastamisel kasutati ainult määruse § 9 lõike 1 punktis 2 või 3 nimetatud vahendit. Määruse § 13 lõike 1 punkt 3 sätestab, et andmete kontrollija viib teenusepakkuja ja kliendi vahel läbi reaalajas intervjuu juhul, kui teenusepakkuja seda vajalikuks peab. Intervjuu käigus informatsiooni kogumine aitab teenusepakkujal koostada kliendi lõpliku riskiprofiili. Lisaks tavapärastele kohustustele kliendi sobivuse kontrollimisel, tuleb suuremat tähelepanu pöörata ärisuhte aluseks olevate asjaolude kontrollimisele (lisateabe hankimine rahaliste vahendite ja ärisuhte eesmärgi kohta). Intervjuu alguses veendub teenusepakkuja sünkroniseeritud heli ja kujutist kajastava infovoo kvaliteedi vastavuses määruse §-st 7 tulenevatele miinimumnõuetele ning tuvastab kliendi isikusamasuse. Teenusepakkuja esitatavate küsimuste maht tuleneb teenusepakkuja tegevuse ulatusest, keerukusest, pakutavatest teenustest ja peab olema täpselt sätestatud teenusepakkuja sise-eeskirjades. Eelnevalt läbiviidud ankeetküsitlus aitab intervjuu läbiviimisele kaasa. Määruse § 13 lõige 2 sätestab, et andmete kontrollija esitab intervjuu käigus täiendavaid kontrollküsimusi, st intervjuu kavandamisel püstitatakse konkreetsed teemad ja üldist laadi täiendavad küsimused. Küsimuste esitamise järjekorra määrab teenusepakkuja, kes võib vajaduse korral küsimuste järjekorda muuta, küsimusi ümber sõnastada ja neid juurde lisada. Intervjuus kasutatakse avatud lõpuga küsimusi. Järgneva küsimuse valik oleneb sellest, millise vastuse sai eelnev ja kuidas vastused sobivad ankeedi vastuste ning eelneva taustakontrolli käigus avastatuga. Suurema riskiga kliendid ja tehingud nõuavad teistsugust lähenemist ja suuremat tähelepanu kui madalama või keskmise riskiga kliendid. Seoses sellega peavad teenusepakkujad hindama ja aru saama enda tegevuse ja teenuste pakkumisega seonduvatest riskidest. Baseli pangandusjärelevalve komitee rahapesu ja terrorismi rahastamise riskijuhtimise juhendi 9 lisa 4 (pangakontode avamise kohta) kohaselt peavad krediidiasutused arvestama spetsiifilisi riske, mis on seotud konto avamisega, mil isikuga või tema esindajaga ei viibita samas kohas. Kliendi tuvastamise ja kontrollimise protseduurid peavad olema võrdselt tõhusad ja sarnased neile protseduuridele, kui klient tuvastatakse, viibides isiku või tema esindajaga samas kohas. Intervjuu on vajalik selleks, et veenduda esitatud andmete (isikuandmete, tegeliku kasusaaja teabe, ärisuhte ja tehingu eesmärgi ning olemuse jms) õigsuses. Intervjuu käigus esitab teenusepakkuja ankeedi vastuste põhjal isikule kontrollküsimusi isikuandmete kontrollimiseks või täpsustamiseks ning küsib vajadusel lisaandmeid isiku riskiprofiili selgitamiseks. Määruse § 13 lõige 3 sätestab, et andmete kontrollija loal võib isik intervjuu ajal tekkinud tehniliste probleemide kõrvaldamiseks kasutada teise isiku abi. Kehtiva määruse kohaselt on isikul selleks õigus teenusepakkuja loal. Sätte sõnastust on eelnõus muudetud seetõttu, et antud protseduuri puhul on tegemist andmete kontrollimisega ja andmete kontrollija võib vastavalt 9 Kättesaadav: http://www.bis.org/bcbs/publ/d353.pdf 18 määruse § 3 lõikele 5 olla nii teenusepakkuja kui isik, kellega teenusepakkuja on sõlminud nõuetekohase lepingu tegevuse edasiandmiseks. Määruse § 13 lõige 4 sätestab, et andmete kontrollija on kohustatud hindama intervjuu käigus kliendi reageeringut, saadud info ja andmete usaldusväärsust ja kooskõla muude protseduuridega saadud informatsiooni või andmetega ning kajastama nii hinnangu kui ka selle aluseks olevad asjaolud kliendi või tehingus osaleva isiku riskiprofiilis. Kehtiv määrus näeb ette, et intervjuule antud hinnang ja selle aluseks olevad asjaolud pidid kajastatud olema nii kliendi- kui riskiprofiilis. Seega ei ole intervjuule antud hinnangu ja selle aluseks olevate asjaolude kajastamine kliendiprofiilis enam nõutav, sest informatsiooni kajastamine mõlemas profiilis on ebavajalik ning ka RahaPTS-is mainitakse vaid riskiprofiili. Ühtlasi on termin teenusepakkuja asendatud andmete kontrollijaga, sest vastavalt määruse § 3 lõikele 5 võib andmete kontrollija olla nii teenusepakkuja kui isik, kellega teenusepakkuja on sõlminud nõuetekohase lepingu teenuse edasiandmiseks. Isik ei tohi sessiooni ajal kasutada kõrvalist abi v.a, kui teenusepakkuja seda lubab. Tehnilist laadi abi juhtumid võivad olla sellised, kus klient vajab abi näiteks kaamera paika sättimisel, dokumendi fookusesse sättimisel vms. Teenusepakkuja peab veenduma, et juhul, kui kõrvaliseks abiks on luba antud, ei kujuta abi endast sisuliselt teise isiku mõjutamist ja vastuolu kliendi enda tahte ja eesmärkidega, ja kliendile ei öelda nt intervjuu käigus vastuseid ette. III. Eelnõu vastavus Euroopa Liidu õigusele Eelnõu on kooskõlas Euroopa Parlamendi ja Nõukogu direktiiviga 2015/849/EL, mis käsitleb finantssüsteemi rahapesu või terrorismi rahastamise eesmärgil kasutamise tõkestamist ning millega muudetakse Euroopa Parlamendi ja nõukogu määrust (EL) nr 648/2012 ja tunnistatakse kehtetuks Euroopa Parlamendi ja nõukogu direktiiv 2005/60/EÜ ja komisjoni direktiiv 2006/70/EÜ. IV. Määruse mõjud Määrusega leevendatakse infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilisi nõudeid ja korda, mille tulemusel on ettevõtetel võimalik senisest hõlpsamini sõlmida kliendisuhteid ja teha juhuti tehinguid ilma kliendiga samas kohas viibimata. Isiku tuvastamiseks teeb märkimisväärse töö Politsei- ja Piirivalveamet juba isikut tõendava dokumendi või e-residendi digitaalse isikutunnistuse väljaandmisel, kuid see ei vabasta teenusepakkujat tugevdatud hoolsuskohustuste täitmisest isikusamasuse tuvastamisel ja kontrollimisel isikuga samas kohas viibimata, kuivõrd selline nõue tuleneb rahvusvahelistest standarditest. Isikusamasuse tuvastamise meetodite hindamisel on oluline analüüsida nende mõju Eesti ettevõtete konkurentsivõimele võrreldes teiste riikidega. Pangakonto avamisega ning krediidiasutuste tegevusega seonduvad muudatused 19  1. Majanduslik mõju Kuigi määrusega plaanitavad meetmed võivad Eestis olla tajutavad rahapesu ja terrorismi rahastamise tõkestamise meetmete kergendamisena, siis maailma ning Euroopa Liidu tasandil see nii ei ole. Praegu kehtiva määrusega on Eestis kehtestatud meetmed isikusamasuse tuvastamisele tunduvalt rangemad kui mujal Euroopa Liidu riikides, mistõttu on Eestis kohustatud isikud teiste riikide kohustatud isikutega võrreldes ebavõrdses seisus. Määrusega ettenähtud muudatused viivad isikusamasuse tuvastamise ja andmete kontrollimise vastavusse riskipõhise lähenemisega, andes turuosalistele võimaluse senisest enamaks paindlikkuseks. Seega muudetakse määrusega olukorda vähemalt Euroopa Liidu tasandil ühtlasemaks, mille tagajärjel paraneb Eestis kohustatud isikute konkurentsivõime. Ühtlasi on järelevalve kontrollide tulemusel selgunud, et peamiseks Eesti finantssektori usaldusväärsust mõjutavaks asjaoluks on pankade riskikontrollisüsteemides esinevad puudused, mitte see, millist isikusamasuse tuvastamise liiki kasutatakse. Järelikult ei kompromiteeriks määrusega ettenähtud muudatused Eesti rahandussüsteemi ja majandusruumi mainet rahvusvahelisel tasandil. Eelnõuga luuakse uus võimalus isikutega ärisuhte loomiseks, mis on samaväärne näost-näkku tuvastamisega, s.o isikusamasuse tuvastamisega samas kohas viibides. Teenusepakkujale antakse võimalus tuvastada isikusamasus infotehnoloogiliste vahendite kasutamise abil, kui krediidiasutus või finantseerimisasutus viib isikusamasuse tuvastamise ja kontrollimise läbi vastavalt valdkonna eest vastutava ministri määruses sätestatud korrale ning isikusamasuse tuvastamine on salvestatud ja salvestised nõuetekohaselt säilitatud. Ühtlasi peab krediidiasutus, finantseerimisasutus ja virtuaalvääringu teenuse pakkuja rakendama täiendavaid tugevdatud hoolsusnõudeid. Selle, mil viisil isikusamasus tuvastada, otsustab endiselt teenusepakkuja, samuti on krediidiasutuste seaduse § 89 lõike 9 alusel krediidiasutus vaba otsustama, keda teenindada või mitte. Sama põhimõtet kordab ka ITDS-i § 2010 lõige 1, mille kohaselt võib avalik-õigusliku või eraõigusliku teenuse osutaja otsustada e-residendile digi-ID-ga teenuse osutamise või sellest keeldumise, piirata teenuse osutamist või kättesaadavust nii teenuse sisu, ulatuse kui ka juurdepääsuvõimalusega isikute arvu suhtes või kehtestada teenusele juurdepääsu saamiseks lisanõudeid, sealhulgas nõuda lisaandmete ja -dokumentide esitamist või isiklikku ilmumist teenuse osutaja asukohta. Seega säilib krediidiasutusel õigus nõuda vähimagi kahtluse korral residendil ja e-residendil pangakontorisse tulemist, et tuvastada tema isikusamasus samas kohas viibides, samuti ei ole ükski krediidiasutus kohustatud isikule pangakontot avama. 1.1. Majanduslik mõju Eesti residentidele Mõju avaldumine Määrus toetab Eesti residentidele, isikutele, kes kasutavad kõrge usaldusväärsuse tasemega e- identimise süsteemi ja e-residentidele finantsteenuste paremat kättesaadavust ning seeläbi 20 suurendab konkurentsi ning kliendirahulolu. Muudatus puudutab kõiki isikuid, kes soovivad krediidiasutuses, finantseerimisasutuses või virtuaalvääringu teenuse pakkuja juures ärisuhet luua või juhuti tehingut teha infotehnoloogiliste vahendite abil ning kelle puhul kohaldatakse RahaPTS §-s 31 sätestatut. RahaPTS §-i 31 kohaldamise üle otsustab teenusepakkuja iga üksikjuhtumi puhul eraldi, kuid praktikas selline lahendus praegu eesmärgipäraselt ei toimi. Hinnang mõju olulisuse kohta Kavandatud muudatustega mõjutatud sihtrühma suurust ja mõju olulisust on praeguses etapis keeruline hinnata. Ei ole täpselt teada, kui suur inimestest on huvitatud pangakonto avamisest distantsilt infotehnoloogiliste vahendite abil, kuid Covid-19 pandeemia oludes on distantsilt pangakonto avamine muutunud sagedasemaks kui varem, sest näost näkku isikusamasuse tuvastamine on olnud raskendatud. Ühtlasi on distantsilt isikusamasuse tuvastamine ja andmete kontrollimine Covid-19 tingimustes isikute tervise suhtes tunduvalt turvalisem. 1.2. Majanduslik mõju krediidiasutustele, finantseerimisasutustele ja virtuaalvääringu teenuse pakkujatele Mõju avaldumine Infotehnoloogiliste vahendite abil ärisuhte loomise võimaluse kasutamine on iga teenusepakkuja vaba valik. Eelnõu toetab uute innovaatiliste finantsteenuste arengut, sest tehingusuhtesse astumiseks ei pea teenuse kasutaja tulema isiklikult teenuse pakkujaga samasse asukohta. Finantsteenuste parem kättesaadavus suurendab eelduslikult teenusepakkujate konkurentsi. Samas ei ole teada tulubaas pankadele, kuna finantsteenuste loetelu, mida soovitakse sel viisil osutada, ei ole teada. Eelnõu toetab isikut tõendavate dokumentide andmete elektroonilise vahetamise võimaluse loomisega teenindusprotsessi tõhustamist ja paindlikumaks muutumist viisil, mis ei tee märkimisväärseid järeleandmisi turvalisuse osas. määrusega kehtestatavad nõuded toetavad riskipõhist lähenemist, kus teenusepakkuja saab rakendatavate meetmete karmuse valida vastavalt kliendi riskiprofiilile. See võimaldab ettevõtjatele suuremat vabadust, sest nad saavad keskenduda eeskätt riskantsematele klientidele, tagades nii ka efektiivsema riskijuhtimise. Eelnõu ettevalmistajate hinnangul ei ole pangandusteenuste osutamisel riskiks ja probleemiks mitte niivõrd finantsriskide olemasolu iseenesest, vaid raskused ning valearvestused riskide hindamisel. Riskide tuvastamisel on võimalik nende osas ette näha mõjusid ennetavad ja vähendavad meetmed, mille tasuvuse osas peab otsuse tegema iga teenusepakkuja ise. Rahapesu andmebüroo (RAB) 2020. aasta uuringu kohaselt on virtuaalvääringute kasutamise ja teenusepakkujate arvu kiire kasv viimastel aastatel tõstnud ka selle valdkonnaga seonduvaid kuriteoriske. RAB on tuvastanud, et virtuaalvääringuid kasutatakse ka Eestis nii kriminaaltulu 21 varjamiseks ja rahapesuks kui ka pettuste läbiviimiseks ning illegaalsete kaupade ja teenuste ostmiseks. RAB analüüsist selgus, et väga sageli seob virtuaalvääringute teenuse tegevusloaga ettevõtteid Eestiga vaid see, et need on siin registreeritud. Reaalne äritegevus, juhatuse liikmed, kasusaajad ja ka kliendid asuvad välismaal, mis muudab järelevalve teostamise ja kuriteotunnustega juhtumite menetlemise keeruliseks. Seega kaasneb tegevusloaga virtuaalvääringute teenusepakkujate rohkuse tõttu Eestile suur mainekahju risk. Samuti tõi RAB analüüs välja, et virtuaalvääringute teenuse tegevusloaga ettevõtete rakendatavad hoolsusmeetmed on selgelt ebapiisavad.10 Eelnõuga luuakse uus võimalus isikutega ärisuhte loomiseks, mis on samaväärne näost-näkku tuvastamisega, s.o isikusamasuse tuvastamisega samas kohas viibides. Teenusepakkujale antakse võimalus tuvastada isikusamasus infotehnoloogiliste vahendite kasutamise abil, kui krediidiasutus, finantseerimisasutus või virtuaalvääringu teenuse pakkuja viib isikusamasuse tuvastamise ja andmete kontrollimise läbi vastavalt määruses sätestatud korrale ning isikusamasuse tuvastamine on salvestatud ning salvestised nõuetekohaselt säilitatud. Ühtlasi peab krediidiasutus, finantseerimisasutus ja virtuaalvääringu teenuse pakkuja rakendama täiendavaid tugevdatud hoolsusnõudeid. Selle, mil viisil isikusamasus tuvastada, otsustab endiselt teenusepakkuja, samuti on krediidiasutuste seaduse § 89 lõike 9 alusel krediidiasutus vaba otsustama, keda teenindada või mitte. Sama põhimõtet kordab ka isikut tõendavate dokumentide seaduse § 2010 lõige 1, mille kohaselt võib avalik-õigusliku või eraõigusliku teenuse osutaja otsustada e-residendile digi-ID- ga teenuse osutamise või sellest keeldumise, piirata teenuse osutamist või kättesaadavust nii teenuse sisu, ulatuse kui ka juurdepääsuvõimalusega isikute arvu suhtes või kehtestada teenusele juurdepääsu saamiseks lisanõudeid, sealhulgas nõuda lisaandmete ja -dokumentide esitamist või isiklikku ilmumist teenuse osutaja asukohta. Seega säilib krediidiasutusel õigus nõuda vähimagi kahtluse korral residendil ja e-residendil pangakontorisse tulemist, et tuvastada tema isikusamasus samas kohas viibides, samuti ei ole ükski teenusepakkuja kohustatud isikule pangakontot avama. Kui kehtiva määrusega kehtestatud nõuded isikusamasuse tuvastamisele ja andmete kontrollimisele infotehnoloogiliste vahendite abil polnud teenusepakkujatele jõukohased, siis määruse eelnõus ettenähtud nõuded ei vaja teenusepakkujatelt nii suuri kulutusi ning on seega praktikas paremini rakendatavad. Seni on videotuvastamise võimalust rakendanud AS LHV Pank11, AS SEB12, AS Inbank ja AS Coop Pank13. Mõju olulisus Mõju täpset olulisust krediidiasutustele, finantseerimisasutustele ja virtuaalvääringu teenuse pakkujatele on keeruline hinnata, kuna see teenusepakkujate valmidusest kasutada isikusamasuse tuvastamise ja andmete kontrollimise võimalust infotehnoloogiliste vahendite 10 Rahapesu andmebüroo. Virtuaalvääringu teenuse pakkujate uuring. 22.09.2020. 11 https://www.lhv.ee/et/uudised/2017/15 12 https://www.seb.ee/foorum/ettevotlusega-alustamine/milline-koige-lihtsam-viis-ettevottele-pangakonto- avamiseks 13 https://www.cooppank.ee/coop-pank-pakub-klientidele-avada-pangakonto-interneti-teel 22 abil. Turuosalised on seni näidanud üles suurt huvi toimivate lahenduste osas, mistõttu on eelduslikult selline valmidus olemas. Kuivõrd määrusega muudetakse paindlikumaks infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja andmete kontrollimise tehnilisi nõudeid ja korda, siis mõjub see positiivselt Eestis kohustatud isikute konkurentsivõimele, sest ärisuhete loomine ja tehingute juhuti tegemine muutub tunduvalt lihtsamaks. Ühtlasi muudab see kogu protsessi efektiivsemaks, sest teenusepakkujad saavad oma ressursse kasutada riskipõhisemalt. Määrusega ettenähtud muudatused võivad vähendada füüsiliste kontorite olulisust, sest ärisuhte loomiseks ja tehingu juhuti tegemiseks ei ole pooltel vaja kontoris kokku saada. 1.3. Majanduslik mõju ettevõtluskeskkonnale ja ettevõtete tegevusele Mõju avaldumine Isikusamasuse tuvastamine ja kontrollimine infotehnoloogiliste vahendite abil ei loo eeldusi äritegevuse suuremaks aktiivsuseks või mahukamate investeeringute tegemiseks üksnes mõne konkreetse ettevõtlussektori raames, vaid see annab võimaluse kiiremaks arenguks kõigis sektorites. Isikusamasuse tuvastamise ja andmete kontrollimise võimaldamine infotehnoloogiliste vahendite kaasabil soodustab Eestile oluliste ettevõtete tegutsemist ja lisandumist Eesti majanduskeskkonda. Selle tulemusel suureneb eelsuslikult ka nende konkurentsivõime. Kehtiva määrusega ette nähtud nõuded isikusamasuse tuvastamisele ja andmete kontrollimisele eeldasid selliste IT-süsteemide kasutuselevõttu, mis ei vastanud ettevõtjate vajadustele ning olid praktikas liiga keerulised. Määruse eelnõu tulemusel peaks seega isikusamasuse tuvastamisele ja andmete kontrollimisele esitatavate nõuete järgimine paranema, sest sellised lahendused on praktikas täidetavad ja vastavad paremini ettevõtjate vajadustele. See võib omakorda kaasa tuua ka uusi Eestile ja Eestis kohustatud isikutele kasulikke investeeringuid. Rahandusministeeriumi koostatud analüüs14 käsitles detailselt seaduse muudatusega seonduvaid riske ja nende maandamise võimalusi. Mitteresidentidele orienteeritud pangandus- ja majanduspoliitika, samuti off-shore-äri soodustamine, kätkeb endas mitmeid olulisi ohte ja haavatavusi pankadele ja riigile tervikuna. Klientide distantsilt isikutuvastamisele põhinev ärimudel seab krediidiasutustele ja finantseerimisasutustele oluliselt suurema väljakutse tuvastada asjaolusid rahapesu ja terrorismi rahastamise tõkestamise eesmärgil. Eelnõus sätestatud meetmed võivad soodustada mitteresidentidele orienteeritud pangandust. Oht võib avalduda ka olukorras, kus Eesti residentide juhitavad ettevõtted tegutsevad üle maailma ja ainus seos Eestiga on juhatuse liige või omanik. Kolmandate riikide klientide arvu suurenemine finantsasutustes (eelkõige pankades) võib omada nii likviidsus- kui ka operatsiooniriskile suurendavat mõju. Mitteresidentide hoiused on volatiilsemad kui residentide omad. Võimaliku maksejõuetuse 14 Rahandusministeerium. Analüüs e-residentidele pangakontode avamise hõlbustamise võimaluste kohta, kättesaadav: http://www.fin.ee/public/dokumendid/FTF_RM_30062015.pdf 23 korral kannab hoiuste tagamise riski Tagatisfond sõltumata kliendi residentsusest. Operatsiooniriski15 realiseerumine rahapesu valdkonnas võib pangasektoris kaasa tuua tagajärjed finantssektori usaldusväärsusele (sh tõrked teiste pankadega rahvusvahelistes korrespondentsuhetes ja reputatsioonirisk). Konkreetse krediidiasutuse puhul võib operatsiooniriski realiseerumine väljenduda ka kõrgemas kapitalinõudes (läbi SREP16 hinnangute). Mitteresidentidega ärisuhte loomisel, sh pangakonto avamisel, tuleb rakendada hoolsusmeetmeid tugevdatud korras, kuna kontakt luuakse üldjuhul distantsilt ja tegemist on mitteresidentidega.17 Kui mitteresidendid tuvastatakse infotehnoloogiliste vahendite abil isikusamasuse tuvastamise ja kontrollimise korra alusel, siis kohalduvad lisaks täiendavad hoolsusmeetmed. 2. Mõju riigi julgeolekule ja välissuhetele Mõju avaldumine Määruse eelnõuga seonduvad rahapesu ja terrorismi rahastamise riskid. Ühest küljest on eelnõus kavandatu eesmärk võimaldada isikutele hõlpsat ligipääsu e-teenustele ning võimaldada luua ärisuhteid ja teha tehinguid distantsilt. Teisest küljest on krediidiasutustele, finantseerimisasutustele ja virtuaalvääringu teenuse pakkujatele pandud erinevaid avalik- õiguslikke kohustusi, mis seonduvad pangakontode avamise, neile ligipääsu ja nende kasutamisega ning mis tulenevad erinevatest rahvusvahelistest konventsioonidest, standarditest, soovitustest ja Euroopa Liidu õigusaktidest. Avades mitteresidentidele paremaid võimalusi Eesti krediidiasutuste, finantseerimisasutuste ning virtuaalvääringu teenuse pakkujate klientideks saada ja asju ajada, võib meie süsteemi sattuda ka isikuid, kes soovivad ohustada meie julgeolekut. Ülejäänud hoolsusmeetmete kohane rakendamine peaks selle ohu siiski maandama. Eesti on rahapesu ja terrorismi rahastamise riske põhjalikult hinnanud, viies Maailmapanga metoodika18 alusel läbi kaks siseriiklikku riskihinnangut. Riskihinnangute koostamisel on osalenud kõik asjakohaste ministeeriumite, asutuste ja erasektori esindajad. Eesti esimene siseriiklik riskihinnang koostati aastatel 2013–2015 ning selle tulemused kinnitati rahapesu ja terrorismi rahastamise tõkestamiseks moodustatud valitsuskomisjoni poolt 2015. aasta 5. jaanuaril. Riskihinnang näitas, et perioodil 2010–2013 oli selgelt kõige enam menetletud eelkuritegu rahapesus arvutikelmus. Samuti oli jätkuvalt murekohaks asjaolu, et 15 Vastavalt Euroopa Parlamdendi ja Nõukogu määruse (EL) 2013/575 art 4 lg 1 p 52 on operatsioonirisk - risk saada kahju sisemiste protsesside, inimeste tegevuse ja süsteemide ebaadekvaatse toimimise või mittetoimimise või väliste sündmuste tagajärjel; see hõlmab ka õiguslikku riski. Oma olemuselt on operatsiooniriskid subjektiivse iseloomuga riskid ja seega on operatsiooniriskide problemaatikal otsene seos krediidiasutuse ja kliendi vaheliste ärisuhetega. 16 Järelevalveasutuste poolt rakendatav järelevalvelise hinnangu protsess (rahvusvaheliselt tuntud akronüümi SREP nime all). 17 Täpsemalt lisas 2 „Kontosuhte regulatsioon“, lk 8-11. 18 Eesti rahapesu ja terrorismi rahastamise tõkestamise siseriiklik riskihinnang 2020. Lisa 2. Riikliku riskihinnangu metoodika. Kättesaadav: Rahapesu ja terrorismi rahastamise tõkestamine | Rahandusministeerium 24 tulenevalt Eesti geograafilisest asetusest, kõrgest vene keele oskuse tasemest jne on Eesti atraktiivne transiitriik suuremahulistele idasuunalistele musta raha voogudele.19 Eesti teine siseriiklik riskihinnang viidi läbi aastatel 2017–2019 ja selle tulemused kinnitas rahapesu ja terrorismi rahastamise tõkestamiseks moodustatud valitsuskomisjon 2021. aasta 28. aprillil. Riskihinnangu kohaselt on suurimad rahapesu ja terrorismi rahastamise ohud ning haavatavused seotud Eesti tegevuslubadega virtuaalvääringu valdkonna ettevõtetega. Täpsemalt on ohud seotud vahendite liigutamisega Eesti virtuaalvääringute teenusepakkujate kaudu ning mitteresidentide või e-residentide Eestis registreeritud äriühingute tegevusega, mis ei toimu Eestis. Samuti on ohuallikateks väliskaubandusega seotud rahavood, äriühinguteenuse pakkujate teenuste vahendustegevus ja maksudest kõrvalehoidumine nii kohalikul kui ka rahvusvahelisel tasandil. Riigi haavatavust suurendab mõnevõrra ka e-residentsus, mis muudab õigusrikkumiste sooritamise lihtsamaks ja odavamaks. Terrorismi rahastamise ohutase on finantssektoris keskmine ja virtuaalvääringute valdkonnas kõrge. Riigi haavatavus on keskmisest suurem mittetulundussektoris usuühenduste ja heategevusorganisatsioonide hulgas, samuti finantstehnoloogia sektoris ühisrahastuse pakkujate hulgas.20 Määrusega ei kaasne olulist mõju välissuhetele. Hinnang mõju olulisuse kohta Infotehnoloogia areng on kahtlemata mõjutanud ka finantsteenuste osutamise viise. Enamus tehinguid toimuvad internetikeskkonna vahendusel ja lisaks kasutatakse tsiviilkäibes aina enam rahaliste kohustuste täitmisel lisaks traditsioonilistele makseviisidele ka alternatiivseid makseviise. Elektroonsed süsteemid on muutnud raha ülekandmise ühest riigist teise märksa lihtsamaks ja kiiremaks. Samas kätkevad nimetatud uued tehnoloogiad mitmeid riske, sh rahapesu ja terrorismi rahastamise riske. Eesti väga kõrge infotehnoloogia tase toob lisaks hüvedele paratamatult kaasa ka suuremaid riske rahapesu ja terrorismi rahastamise osas. V. Määruse rakendamisega seotud tegevused, vajalikud kulud ja määruse rakendamise eeldatavad tulud Määruse § 9 lõige 2 sätestab olukorrad, mil järelevalveasutus peab tuvastama teenusepakkuja kasutatava e-identimise süsteemide kõrge usaldusväärsuse taseme ja andma selle kasutamise jaoks oma nõusoleku. Nende mehhanismide rakendamine ei nõua riigilt ega kohaliku omavalitsuse üksustelt täiendavaid kulutusi. Teatud määral võib seoses vajadusega hinnata ja otsustada turuosaliste poolt määruses nimetamata identimisvahendite kasutamise lubamist tõusta järelevalveasutuste, s.o Finantsinspektsiooni ja Rahapesu Andmebüroo töökoormus. Selle koormuse vähendamiseks on: a) määruses endas loodud sobivate lahenduste üldtingimused, mille vastu identimisvahendi tingimusi kontrollida; b) jäetud tõendamiskoormus ja dokumentatsiooni esitamine eriluba sooviva turuosalise kanda. 19 Eesti rahapesu ja terrorismi rahastamise tõkestamise siseriiklik riskihinnang 2015. Kättesaadav: Rahapesu ja terrorismi rahastamise tõkestamine | Rahandusministeerium 20 Eesti rahapesu ja terrorismi rahastamise tõkestamise siseriiklik riskihinnang 2020. Kättesaadav: Rahapesu ja terrorismi rahastamise tõkestamine | Rahandusministeerium 25 Seega on täiendav koormus viidud miinimumini ja need on üksnes ulatuses, mis määruse eesmärkide saavutamiseks vajalikud on. VI. Määruse jõustumine Määrus jõustub 10. detsembril 2021. a. Kuna tegemist on mitmeid lihtsustusi võimaldava õigusaktiga ning kehtiv määrus ei ole laia kasutust leidnud, siis ei ole pikem jõustumisaeg vajalik. Teisest küljest on konkreetse kuupäevaga jõustumisaeg mõistlik, et lihtsustada kliendisuhete alustamiseks kehtiva õigusliku korra arvestamist. VII. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon Eelnõu saadetakse kooskõlastamiseks Siseministeeriumile ja Majandus- ja Kommunikatsiooniministeeriumile, arvamuse avaldamiseks Finantsinspektsioonile, Pangaliidule, Rahapesu Andmebüroole, Krüptoraha Liidule ja MTÜ-le FinanceEstonia. Enne kooskõlastusringi on toimunud ka mitu ulatuslikku aruteluvooru, kus on nii kirjalikult kui suuliselt esitatud ettepanekuid ja märkuseid, mida on määruse väljatöötamisel suures osas arvestatud. Kõige enam pälvis tagasisidet määruse eelnõu § 2 koosmõjus §-ga 9, mis käsitlevad isikusamasuse tuvastamisele ja andmete kontrollimisele sätestatud nõudeid. Seda, et just need paragrahvid kõige rohkem kõneainet pakkusid, saab põhjendada ka asjaoluga, et e-identimise süsteemile esitatavate nõuete muutmine oli uue määruse kehtestamise põhiline ajend. Finantsinspektsioon ja Pangaliit, ja FinanceEstonia tõid oma tagasisides välja seda, et kehtivad nõuded isikusamasuse tuvastamisele ja andmete kontrollimisele infotehnoloogiliste vahendite abil on teenusepakkujatele ebapraktilised ning ressursimahukad. Ühtlasi mõjuvad need negatiivselt Eestis kohustatud isikute konkurentsivõimele, sest kehtiva määrusega ettenähtud ranged nõuded on Eestis tunduvalt rangemad kui teistes Euroopa Liidu riikides. Finantsinspektsioon Pangaliit ning FinanceEstonia nõustusid, et infotehnoloogiliste vahendite abil isikusamasuse tuvastamisele ja andmete kontrollimisele kehtestatud nõuded peavad olema paindlikumad. Seega pooldavad turuosalised riskipõhist lähenemist, mis võimaldaks efektiivsemalt riske juhtida ja ökonoomsemalt ressursse kasutada. Ühtlasi peavad turuosalised oluliseks tehnoloogilise neutraalsuse suurendamist ehk seda, et usaldusväärse ja sõltumatu allika valik peaks jääma enam kohustatud isiku riskipõhise otsuse teha. Rahapesu Andmebüroo tegi muu hulgas ettepaneku defineerida määruses mõisteid „isikusamasuse tuvastaja“ ja „andmete kontrollija“. Ühtlasi juhtis Rahapesu Andmebüroo tähelepanu sellele, et täpsustada tuleks järelevalveasutuste pädevust e-identimise süsteemide kinnitamisel ning auditi, sertifikaadi või sõltumatute ekspertide osas kohalduvaid nõudeid, mis peavad olema täidetud, et oleks võimalik arvestada eeltoodud hinnanguid või kinnitusi süsteemi kõrgest usaldusväärsuse tasemest. 26