Lugupeetud Rahandusministeerium [email protected] Lugupeetud FinanceEstonia

/kuupäev digiallkirjas/

Julianus Inkasso OÜ tagasiside rahandusministri määruse „Krediiditeaberegistri põhimäärus" eelnõu kohta Julianus Inkasso OÜ (edaspidi Julianus) tegutseb Finantsinspektsiooni tegevusloa alusel krediidiinkassona ning on Eelnõu § 6 mõistes krediiditeabe andja. Esitame tagasiside, märkused ja ettepanekud rahandusministri määruse „Krediiditeaberegistri põhimäärus" eelnõu (edaspidi Eelnõu) ja selle seletuskirja (edaspidi Seletuskiri) kohta. 1. Vastuolu registripidaja staatuse osas. Eelnõu kvalifitseerib registripidaja formaalselt volitatud töötlejaks, kuid § 5 (sh punktid 3, 4, 5, 8, 17) ja § 8 lg 6 annavad talle sisulise otsustusõiguse, mis IKÜM artikli 4 punkti 7 järgi vastab vastutava töötleja rollile. Eelnõu § 5 punkt 3 paneb registripidajale (volitatud töötlejale) lõppvastutuse „isikuandmete töötlemise nõuete täitmise eest". IKÜM kohaselt lasub lõppvastutus alati vastutaval töötlejal (Rahandusministeeriumil). Samasisuline vastuolu esineb Eelnõu ja Seletuskirja (punkt 5.2 lk 11) vahel. Julianuse ettepanek: sõnastada ümber Eelnõu § 5 kas volitatud töötleja pädevusega kooskõlla/proportsionaalseks või nimetada Rahandusministeerium ja registripidaja kooskõlas IKÜM-iga kaasvastutavateks töötlejateks (IKÜM art 26). 2. Vastuolu isikuandmete kaitse seadusega (IKS) — 14-päevane vs 30-päevane (Eelnõu § 7 lg 1 p 12). IKS § 10 lõige 2 keelab võlasuhte rikkumisega seotud andmete edastamise kolmandale isikule enne 30 päeva möödumist rikkumisest. Eelnõu § 7 lõike 1 punkti 12 kohane 14-päevane lävi on IKS-iga otseses vastuolus. Rahandusministri määrusega ei ole võimalik seaduse tasandil kehtestatud andmesubjekti kaitseks seatud miinimum tingimusi alandada. Julianuse ettepanek: muuta Eelnõu § 7 lg 1 p 12 viies see kooskõlla IKS-ga. 3. Krediiditeabe jagamise seaduse (KtJS) § 10 lg-st 4 tulenev kohustus krediidiinkassole. KtJS § 10 lg 4 kohaselt jookseb viivitamise fakti 45-päevane nähtavus „selle kohustuse täitmisega viivitamisest arvates". Seletuskiri (§ 7 lg 5 selgitus lk 8) väidab aga vastupidist — et tähtaeg saabub, kui „möödunud on 45 päeva nende andmete edastamisest registrisse". Need kaks lähtehetke võivad erineda mitu kuud, arvestades et krediidiinkassol on andmete edastamiseks aega kuni 45 päeva pärast nõude omandamist. Krediidiinkasso vaates on § 10 lg 4 sõnastuses praktikas mitte toimiv/funktsioneeriv kohustus: kuna inkasso omandab nõude tüüpiliselt viivitusega 60–90+ päeva, mil § 10 lg 4 tulenev ajaline kohustus on möödunud/lõppenud, kuid KtJS § 5 p 5 kohane edastuskohustus jääb kehtima — see on vastuolus IKÜM artikli 5 lõike 1 punktiga b. Lisaks tekib nn konflitkolukord, kus nõude loovutamise fakt on nähtav (§ 10 lg 5), viivituse fakt sama nõude kohta aga nähtamatu.

Selgitav näide: kui makseviivitus algab ja viivituse fakt kantakse registrisse 14. viivituspäeval, kaob see § 10 lg 4 kohaselt registrist juba 45 päeva möödumisel viivituse algusest, st ligikaudu 31 päeva pärast registrisse kandmist. Krediidiandja loovutab nõude tüüpiliselt alles pärast seda, kui vähemalt kolm osamakset on hilinemises ja krediidisaajale on antud täiendav tähtaeg võla tasumiseks — praktikas 105+ päeva pärast esimese osamakse hilinemise algust. Vahepealsel perioodil (~60 päeva) puudub krediidiandjatel maksekohustus maksehäireregistris võlainfot kuvada, kuna kehtiv õigus sellist kohustust ei näe ette. Tulemuseks on 45–60-päevane “infosulg” võla osas, kuni 105. päeval tehakse krediiditeaberegistrisse loovutamise märge. Julianuse ettepanek: viia Seletuskirja § 7 lg 5 selgitus seaduse § 10 lg 4 sõnastusega kooskõlla, fikseerides üheselt, et 45-päevane tähtaeg algab kohustuse täitmisega viivitamisest, mitte andmete edastamisest; selgitada § 10 lõigete 4 ja 5 erinevust (lg 4 viivitusest arvates ja lg 5 kandmisest arvates) ning tõstatada Rahandusministeeriumile KtJS § 10 lg 4 muutmise vajadus krediidiinkasso vaates, arvestades § 5 p 5 kohase edastuskohustusega. 4. Positiivne vs negatiivne register (Eelnõu § 7 lg 5). 45-päevane kuvamispiirang on põhjendatud üksnes positiivse krediidiregistri mudelis. Kestev makseraskus (üle 45 päeva) muutub krediidiandjale nähtamatuks, mis on otseses vastuolus registri ülelaenamise ennetamise eesmärgiga (Seletuskirja punktid 1.1 ja 4). Julianuse ettepanek: Ette näha Eelnõus või KtJS-i tasandil kohustus edastada 45-päevase tähtaja möödumisel jätkuvalt sissenõutav võlainfo viivitamatult negatiivsesse maksehäireregistrisse. Selgitada, kas Register on kavandatud puhtalt positiivse registrina või sisaldab osaliselt negatiivse registri funktsioone. 5. Nõudejäägi mõiste ebatäpsus (Eelnõu § 7 lg 1 p 7; IKÜM art 5 lg 1 p d). Mõiste „nõudejääk" komponente (põhivõlg, intress, viivis, sissenõudmiskulud, kohtukulud) ei ole loetletud ega selgitatud. Erinevate krediiditeabe andjate lõikes tekivad võrreldamatud summad, mis rikub läbipaistvuse ja andmete õigsuse põhimõtet. Julianuse ettepanek: Loetleda § 7-s üheselt ja arusaadavalt nõudejäägi komponendid või volitada registripidaja kehtestama tehniliste juhistega ühtse metoodika, mis kohaldub kõigile krediiditeabe andjatele. 6. Andmesubjekti õigused, teavitamine. Eelnõu § 9 piirdub passiivse tutvumisõiguse ja logi kuvamisega. Käesoleval juhul eksisteerib mitu olulist ja sisulist andmekaitsealast puudust: puudub IKÜM artiklitest 13–14 tulenev aktiivne teavitamiskohustus — ei tarbijat ega käendajat teavitata andmete registrisse edastamisest, puuduvad viited parandamise, kustutamise, piiramise (art 16– 18), puudub konkreetne menetlus kustutamistaotluse (art 17) ja vastuväite (art 21) esitamiseks. Eelnõu § 10 reguleerib üksnes ebaõigete andmete parandamist, mitte proportsionaalselt kahjustavate õigete andmete kustutamist. Julianuse ettepanek: lisada Eelnõusse tarbija ja käendaja aktiivne teavitamiskohustus, täiendada viidetega andmesubjekti õiguste teostamise korrale ning lisada eraldiseisev säte kustutamistaotluse ja vastuväite esitamise korra kohta, koos tähtaegade ja viitega vastutavale isikule.

7. Isikuandmete kaitse mõjuhinnangu puudumine (IKÜM art 35). Suuremahulise, süstemaatilise ja tundlike finantsandmete töötluse puhul on mõjuhinnangu läbiviimine kohustuslik. Eelnõu ega Seletuskiri mõjuhinnangu küsimust ei käsitle. Julianuse ettepanek: Eelnõus näha ette mõjuhinnangu läbiviimise kohustus enne registri kasutuselevõttu ning teha tulemused krediiditeabe andjatele ja Andmekaitse Inspektsioonile (IKÜM art 36) kättesaadavaks. 8. Andmete säilitustähtajad (Eelnõu § 5 p 17, IKÜM art 5 lg 1 p e). Eelnõus puudub säilitustähtaegade osas regulatsioon. Julianuse ettepanek: sätestada Eelnõus säilitustähtajad andmekategooriate lõikes (krediidiandmed, viivituse fakt, nõude loovutus, päringulogid jne). 9. Anonümiseerimine ei tohi kohalduda andmesubjektile (Eelnõu § 7 lg 3). Andmesubjekt peab saama tuvastada krediiditeabe andja, et realiseerida IKÜM´is tulenevaid andmesubjekti õigusi. Kui identiteet on ka andmesubjekti enda päringus varjatud, on parandamisnõue täitmatu ja põhiõiguse teostatavus riivatud. Julianuse ettepanek: sätestada § 7 lg 3-s selgesõnaliselt, et krediiditeabe andja identiteedi asendamine unikaalse numbriga ei kohaldu andmesubjekti enda päringule ega talle kuvatavale andmete töötlemise logile (§ 9 lg 1). 10. Loovutuseelse perioodi vastutuse jaotus (Eelnõu § 6, § 10). Eelnõu ei sätesta, kes vastutab pärast nõude loovutamist loovutuseelse perioodi ebaõigete andmete eest. Küsimus mõjutab otseselt IKÜM artikli 82 järgset vastutust ning peab olema andmesubjektile läbipaistvalt tuvastatav. Julianuse ettepanek: täiendada Eelnõu § 6 või § 10 selliselt, et loovutuseelse perioodi andmete õigsuse eest vastutab algne krediidiandja. Krediidiinkasso vastutab loovutusest alates tekkinud asjaolude ja andmete uuendamise eest, kuid algsel krediidiandjal on kaasabikohustus andmete korrigeerimisel ka pärast loovutamist. 11. Andmete parandamise tähtajad (Eelnõu § 5 p 15, § 10 lg 2–3). Mõiste „viivitamata" ja registripidaja järelepärimisele vastamise tähtaeg on määratlemata. IKÜM art 12 lg 3 sätestatud ühekuuline tähtaeg reguleerib üksnes andmesubjektiga suhtlust — see ei asenda registrisisest andmekvaliteedi tagamise tähtaega. Julianuse ettepanek: sätestada Eelnõus konkreetsed tähtajad: „viivitamata" mitte hiljem kui X tööpäeva jooksul vea ilmnemisest. Registripidaja järelepärimisele vastamine IKÜM art 12 lg 3 tuleneva tähtaja jooksul. 12. Krediidiliigi määramine loovutatud nõuete puhul (Eelnõu § 7 lg 1 p 5 ja lg 4). Krediidiinkassol ei ole alati võimalik tuvastada algset klassifikatsiooni rahandusministri 19.12.2015 määruse nr 50 lisa 3 punkti 4.1 mõistes.

Julianuse ettepanek: Seletuskirjas sätestada, et loovutatud nõude puhul kannab krediidiinkasso registrisse algse krediidiandja kasutatud klassifikatsiooni, kui see on tuvastatav. Muul juhul lähtub inkasso sisulisest hinnangust. 13. Andmete edastamise sageduse ebaproportsionaalsus. KtJS § 8 järgne igapäevane või 10- päevane edastuskohustus on krediidiinkasso operatiivmudelis ebaproportsionaalne. Nõudejääk muutub igapäevaselt näiteks seoses viivise suurenemisega, tasumistega võla katteks, kohtukulude lisandumisega jne. Julianuse ettepanek: kehtestada krediidiinkassode suhtes erisus nõudejäägi muutumise puhul 30 päeva. Igapäevasest viivise suurenemisest tingitud muutust ei loeta § 7 lg 1 tähenduses „andmete muutumiseks". 14. Krediidiinkasso piiratud andmekohustus (KtJS § 8 lg 2 vs Eelnõu § 7 lg 1). KtJS § 8 lõige 2 kohustab krediidiinkassot edastama üksnes § 7 lõike 1 punktides 1, 2 ja 7 nimetatud andmed (tarbija üldandmed, krediiditeabe andja üldandmed ja krediidijääk/nõudejääk). Eelnõu § 7 lõige 1 loetleb aga kõik 13 andmekategooriat ühtse loeteluna, eristamata, millised neist kehtivad üksnes krediidiinkassodele. Selline sõnastus tekitab turuosalistel põhjendatud segaduse kohustuste ulatuses ning võib tuua kaasa ka ülemäärase isikuandmete töötluse, mis on vastuolus IKÜM artikli 5 lõike 1 punktiga c (andmete minimaalsus). Julianuse ettepanek: lisada Eelnõu § 7 lõike 1 järele täiendav lõige, mis täpsustab krediidiinkasso piiratud andmekohustuse ulatuse vastavuses KtJS § 8 lõikega 2. 15. Tervikkokkuleppe andmekoosseis on Eelnõus samuti reguleerimata (KtJS § 8 lg 3). KtJS § 8 lõige 3 sätestab, et kui krediidiinkassole on ühe tarbija kohta üle läinud mitu tarbijakrediidilepingut või nendest tulenevat nõuet ning tarbijaga on selliste nõuete tasumiseks sõlmitud tervikkokkulepe, edastab krediidiinkasso andmed üksnes tervikkokkuleppe kohta. Eelnõu ei sätesta aga, milliseid andmeid tervikkokkuleppe kohta konkreetselt esitatakse. Julianuse ettepanek: Lisada Eelnõusse eraldiseisev säte, mis täpsustab tervikkokkuleppe kohta esitatavate andmete koosseisu. Koosmõjus punktiga 12 on äärmisel vajalik lahendada ka krediidiliigi klassifikatsiooni loogika, olukorraks kui tervikkokkulepe hõlmab mitut algselt erinevat krediidiliiki (nt tasumata krediitkaardi võlg, järelmaks ja väikelaen) — kaaluda võimalust kanda tervikkokkuleppe krediidiliigina „muu tarbijakrediit" või kehtestada kombineeritud kohustuse lahter. 16. Rahandusministeeriumi ja Finantsinspektsiooni järelevalvefunktsioonide kattumine (Eelnõu § 4 p 4, KtJS § 44 lg 1). Eelnõu § 4 punkt 4 kohustab Rahandusministeeriumi kontrollima, kas registripidaja isikuandmete töötlemine vastab nõuetele. KtJS § 44 lõige 1 annab järelevalvefunktsiooni registripidajale kehtestatud nõuete täitmise üle aga Finantsinspektsioonile, kellel on õigus teha täitmiseks kohustuslikke ettekirjutusi. Kuna KtJS-i nõuded hõlmavad ka isikuandmete töötlemist (§ 7, § 10, § 11), kattuvad mõlema asutuse kontrollialad. Puudub ühtne eristus või reegel, kumb ametiasutus on ülimuslik, samuti puudub kooskõlastusmehhanism paralleelse järelevalve raames.

Julianuse ettepanek: täpsustada Seletuskirjas Rahandusministeeriumi ja Finantsinspektsiooni järelevalvefunktsioonide piiritlemist, sh määratleda selgesti kumb ametiasutus on ülimuslik, millistes küsimustes toimub ametiasutuste vaheline kooskõlastus ning kuidas välditakse topeltjärelevalvet ja -sanktsioonide kohaldamist. 17. Üleminekusäte enne seaduse jõustumist ülevõetud nõuete kohta. Praeguses Eelnõus ega KtJS-i üleminekusätetes (§ 58) ei ole täpsustatud, millisel kujul ja milliste andmete osas on enne seaduse jõustumist ülevõetud nõuete puhul andmete edastamine registrisse kohustuslik. Krediidiinkassode praktikas müüakse turul ka nõudeid, mille aluseks olev tarbijakrediidileping on juba läbinud kohtumenetluse ning mille algsed andmed (nt originaalsumma, esialgne intressimäär, algne krediidiliigi klassifikatsioon) ei ole krediidiinkassole kunagi edastatud ega ole enam kättesaadavad. Sellistes olukordades on Eelnõu § 7 lõike 1 kohane andmete täisulatuslik esitamine krediidiinkasso jaoks objektiivselt võimatu. Julianuse ettepanek: täpsustada Eelnõu või KtJS § 58 üleminekusätet, millisel kujul ja milliste andmete osas on enne seaduse jõustumist ülevõetud nõuete puhul andmete edastamine kohustuslik, ning selgitada, kuidas käsitletakse olukordi, kus vajalikud ajaloolised andmed ei ole enam ega ole kunagi olnud krediidiinkasso valduses. Kaaluda võimalust, et sellistel juhtudel esitab krediidiinkasso registrisse üksnes teave, mis on faktiliselt tema valduses (nt hetke nõudejääk, tarbija üldandmed), ilma et puuduvate ajalooliste andmete osas kaasneks väärteovastutus. 18. Käesolevas tagasisides ja ettepanekus tõstatatud IKÜM-ist tulenevate küsimuste kohaldatavuse osas, eelkõige registripidaja töötleja rolli (vastutav töötleja, volitatud töötleja või kaasvastutav töötlus tähenduses) osas teeb Julianus Rahandusministeeriumile ettepaneku pöörduda seisukoha saamiseks Andmekaitse Inspektsiooni (AKI) poole. Lugupidamisega Merle Laurimäe Julianus Inkasso OÜ juhatuse liige /allkirjastatud digitaalselt/

1

EELNÕU Juuni, 2026

MÄÄRUS

............2026 nr ... Krediiditeaberegistri põhimäärus Määrus kehtestatakse krediiditeabe jagamise seaduse § 6 lõike 5 alusel.

1. peatükk Üldsätted

§ 1. Krediiditeaberegistri mõiste ja nimi

(1) Krediiditeaberegister on krediiditeabe jagamise seaduse alusel asutatud riigi infosüsteemi kuuluv andmekogu. (2) Registri ingliskeelne nimi on Register of Credit Information. § 2. Krediiditeaberegistri turvaklass ja turbeaste Registri turvaklass on K2T1S2 ja turbeaste on kõrge (H).

2. peatükk Krediiditeaberegistri pooled

§ 3. Vastutav töötleja ja volitatud töötleja (1) Krediiditeaberegistri vastutav töötleja on Rahandusministeerium. (2) Krediiditeaberegistri volitatud töötleja on isik, kellele on krediiditeabe jagamise seaduse § 12 alusel antud ainuisikuline õigus krediiditeaberegistrit pidada (edaspidi registripidaja). § 4. Vastutava töötleja ülesanded Vastutav töötleja: 1) juhib krediiditeaberegistri pidamist, andes registripidajale selleks vajalikke juhiseid ja korraldusi; 2) arendab registrit koostöös registripidajaga; 3) kontrollib registripidaja tegevust tema ülesannete täitmisel; 4) kontrollib, kas registripidaja isikuandmete töötlemine vastab nõuetele, küsib selgitusi ja teeb ettepanekuid puuduste kõrvaldamiseks; 5) täidab muid talle seaduse või muude õigusaktidega pandud ülesandeid.

2

§ 5. Volitatud töötleja ülesanded Volitatud töötleja: 1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, haldamise ja säilitamise; 2) vastutab andmetöötlustoimingute õiguspärasuse eest; 3) vastutab isikuandmete töötlemise nõuete täitmise eest; 4) peab arvestust andmete väljastamise aja ja viisi, väljastatud andmete koosseisu ning andmesaajate üle; 5) tagab registri nõuetekohase arendamise, testimise ja hooldamise; 6) tagab registri käideldavuse ning andmete tervikluse ja konfidentsiaalsuse vastavalt küberturvalisuse seaduse § 7 lõike 5 alusel Vabariigi Valitsuse või tema volitatud ministri kehtestatud määruses sätestatud nõuetele; 7) korraldab registri turvaauditite ja Eesti Infoturbestandardi järgimise auditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise; 8) annab loa isiku või asutuse liidestamiseks registriga, kontrollides eelnevalt õigusliku aluse olemasolu asjakohasust ja tehnilist võimekust ning otsustab juurdepääsuõiguse äravõtmise; 9) vastutab teenuseintsidentide käsitlemise ja lahendamise eest ning tagab tehnilise toe toimimise; 10) teeb andmekogu vastutavale töötlejale ettepanekuid registri arendamiseks; 11) teavitab vastutavat töötlejat teenuseintsidentidest ning registris andmete töötlemisel avastatud rikkest ja rikkumistest viivitamata ning võtab otsekohe tarvitusele kõik vajalikud abinõud intsidendi lahendamiseks, rikke kõrvaldamiseks või rikkumise lõpetamiseks; 12) teavitab krediiditeabe andjaid ja registriga liidestatud andmesaajaid viivitamata registri toimimist takistavatest asjaoludest, registri muutmise või arendamise kavatsusest ning registri pidamist ja kasutamist mõjutavate õigusaktide kehtestamise või muutmise kavatsusest, samuti annab muud vajalikku teavet; 13) teavitab registris või sellega seotud teenustes rikke esinemise korral puudutatud pooli rikke olemusest ja rikke kõrvaldamise võimalikust tähtajast; 14) nõustab ja juhendab krediiditeabe andjaid ja andmesaajaid registri kasutamisega seotud küsimustes; 15) tagab tehnilise toe registrisse kandmata jäetud andmete registrisse kandmiseks ja ebaõigete andmete parandamiseks; 16) haldab registri seadeid ja juurdepääsuõigusi; 17) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise; 18) tagab, et tema töötajatel on juurdepääs registriandmetele üksnes töökohustuste täitmiseks määratud ulatuses; 19) täidab muid talle seaduse või muude õigusaktidega pandud ülesandeid ning vastutava töötleja juhiseid ja korraldusi. § 6. Krediiditeabe andja ülesanded Krediiditeabe andja: 1) vastutab registrisse kantud andmete õigsuse ja ajakohasuse ning andmetöötluse seaduslikkuse eest, ühtlasi teostab järelevalvet oma kasutajate üle; 2) annab registripidajale selgitusi registrisse esitatud andmete kohta; 3) koostöös registripidaja või vastutava töötlejaga kannab registrisse sinna kandmata jäänud andmed ja parandab ebaõiged andmed; 4) võtab andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks kasutusele registri turvanõuetele vastavad organisatsioonilised, füüsilised ja infotehnoloogilised turvameetmed ning rakendab neid järjepidevalt.

3

3. peatükk Krediiditeaberegistri andmed, nendele juurdepääs ja andmesubjekti õigused

§ 7. Krediiditeaberegistri andmed (1) Krediiditeaberegistrisse kantakse krediiditeabe kohta järgmised andmed: 1) tarbija üldandmed – ees- ja perekonnanimi ning isikukood või selle puudumise korral sünniaeg; 2) krediiditeabe andja üldandmed – nimetus või ees- ja perekonnanimi, registrikood või isikukood või selle puudumise korral sünniaeg ning krediiditeabe andja asukohariigi kahetäheline maakood; 3) krediidi füüsilisest isikust käendaja andmed – ees- ja perekonnanimi, isikukood või selle puudumise korral sünniaeg ning käendusest tuleneva kohustuse suurus täiseurodes või sendi täpsusega; 4) tarbijakrediidilepingu üldandmed – number, sõlmimise kuupäev ja lõppemise tähtpäev; 5) krediidiliik – elamukinnisvaraga seotud krediit, sõiduki liising, muu vara liising, vara ost järelmaksuga, krediitkaardilaen, arvelduskrediit ja muu rahaline krediit; 6) krediidi maksimaalne summa täiseurodes või sendi täpsusega; 7) krediidijääk või nõudejääk täiseurodes või sendi täpsusega; 8) krediidi tagasimakse graafiku tüüp – annuiteetmaksed, võrdsed põhiosamaksed, osaline amortisatsioon, ühekordne tagasimakse laenuperioodi lõpus ja muud tagasimaksed; 9) krediidi intressimäära tüüp – fikseeritud ja fikseerimata; 10) tarbijakrediidilepingus kokku lepitud järgmise tagasimakse suurus täiseurodes või sendi täpsusega, arvates andmete viimasest uuendamisest krediiditeaberegistris; 11) krediidi tagasimakse tasumise täieliku või osalise edasilükkamise ajavahemik; 12) tarbijakrediidilepingus kokku lepitud kohustuse täitmisega viivitamise fakt, kui tarbija kohustuse täitmise tähtpäevast on möödunud 14 päeva; 13) tarbijakrediidilepingust tuleneva nõude loovutamise või tarbijakrediidilepingu kolmanda isiku poolt ülevõtmise fakt – nõude loovutamine võlaõigusseaduse § 164 või lepingu ülevõtmine võlaõigusseaduse § 179 tähenduses. (2) Krediiditeaberegistri tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja kantakse tarbija kohta: 1) ees- ja perekonnanimi; 2) isikukood või selle puudumise korral sünniaeg; 3) avalduse esitamise kuupäev. (3) Krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isiku tehtud päringu vastuses asendatakse käesoleva paragrahvi lõike 1 punktis 2 nimetatud andmed unikaalse numbriga, mis ei võimalda krediiditeabe andjat tuvastada. (4) Käesoleva paragrahvi lõike 1 punktis 5 loetletud krediidiliikide määramisel võetakse aluseks rahandusministri 19. detsembri 2015.a määruse nr 50 „Finantsinspektsioonile esitatavate krediidiandja või -vahendaja ning välisriigi krediidiandja või -vahendaja filiaali aruannete vormid, koostamise metoodika ja esitamise kord“ lisa 3 punkt 4.1. (5) Krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isiku tehtud päringu vastuses kuvatakse käesoleva paragrahvi lõike 1 punktides 12 ja 13 nimetatud andmete puhul väärtusena „Tühi väli“, kui andmed puuduvad või kui on saabunud krediiditeabe jagamise seaduse § 10 lõigetes 4 või 5 sätestatud tähtpäev.

4

§ 8. Registriandmetele juurdepääsu andmine (1) Registriandmetele tagatakse otsejuurdepääs: 1) infosüsteemide andmevahetuskihi või muu sarnase andmevahetusplatvormi kaudu; 2) volitatud töötleja määratud viisil ja kasutajaõiguste alusel. (2) Andmete väljastamine registrist tagatakse: 1) ühekordse andmepäringuna taotluse alusel; 2) poolte vahel sõlmitud lepingu alusel. (3) Juurdepääsu taotlemisel käesoleva paragrahvi lõigetes 1 ja 2 sätestatud viisil märgitakse, milliste andmete kohta ja millisel õiguslikul alusel soovib andmesaaja hakata päringuid tegema. (4) Päringu tegija märgib päringu tegemisel päringu tegemise õigusliku aluse ja selgituse. (5) Isikud, kellel on krediiditeaberegistris sisalduvatele andmetele juurdepääsuõigus andmesubjekti nõusolekul, saavad andmetele juurdepääsu nõusolekuga antud ulatuses avaliku teabe seaduse §-s 436 sätestatud andmenõusoleku ja volituste haldamise andmekogu vahendusel. (6) Registripidajal on õigus andmetele juurdepääsu piirata või keelata, kui andmevahetuse tõttu võib tekkida või on tekkinud krediiditeaberegistri konfidentsiaalsuse või tervikluse vähenemise risk. § 9. Andmesubjekti õigused (1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga. (2) Andmesubjektile juurdepääsu tagamiseks kasutatakse riigi autentimisteenust. (3) Andmesubjektil on õigus teha registri vahendusel avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja.

4. peatükk Andmete parandamine

§ 10. Ebaõigete andmete parandamine ja täiendamine (1) Registrisse kantud ebaõigete andmete parandamise ja ajakohasena hoidmise eest vastutab krediiditeabe andja. (2) Andmete muutmiseks esitab krediiditeabe andja registripidajale uued andmed viivitamata või teavitab registripidajat vajadusest esitatud andmeid muuta kohe pärast vea ilmnemist. (3) Registripidajal on õigus teha krediiditeabe andjale järelepärimine, kui on tekkinud kahtlus andmete õigsuses. (allkirjastatud digitaalselt) Jürgen Ligi Minister

5

(allkirjastatud digitaalselt) Merike Saks kantsler

Lugupeetud Rahandusministeerium [email protected] Lugupeetud FinanceEstonia

/kuupäev digiallkirjas/

Julianus Inkasso OÜ tagasiside rahandusministri määruse „Krediiditeaberegistri põhimäärus" eelnõu kohta Julianus Inkasso OÜ (edaspidi Julianus) tegutseb Finantsinspektsiooni tegevusloa alusel krediidiinkassona ning on Eelnõu § 6 mõistes krediiditeabe andja. Esitame tagasiside, märkused ja ettepanekud rahandusministri määruse „Krediiditeaberegistri põhimäärus" eelnõu (edaspidi Eelnõu) ja selle seletuskirja (edaspidi Seletuskiri) kohta. 1. Vastuolu registripidaja staatuse osas. Eelnõu kvalifitseerib registripidaja formaalselt volitatud töötlejaks, kuid § 5 (sh punktid 3, 4, 5, 8, 17) ja § 8 lg 6 annavad talle sisulise otsustusõiguse, mis IKÜM artikli 4 punkti 7 järgi vastab vastutava töötleja rollile. Eelnõu § 5 punkt 3 paneb registripidajale (volitatud töötlejale) lõppvastutuse „isikuandmete töötlemise nõuete täitmise eest". IKÜM kohaselt lasub lõppvastutus alati vastutaval töötlejal (Rahandusministeeriumil). Samasisuline vastuolu esineb Eelnõu ja Seletuskirja (punkt 5.2 lk 11) vahel. Julianuse ettepanek: sõnastada ümber Eelnõu § 5 kas volitatud töötleja pädevusega kooskõlla/proportsionaalseks või nimetada Rahandusministeerium ja registripidaja kooskõlas IKÜM-iga kaasvastutavateks töötlejateks (IKÜM art 26). 2. Vastuolu isikuandmete kaitse seadusega (IKS) — 14-päevane vs 30-päevane (Eelnõu § 7 lg 1 p 12). IKS § 10 lõige 2 keelab võlasuhte rikkumisega seotud andmete edastamise kolmandale isikule enne 30 päeva möödumist rikkumisest. Eelnõu § 7 lõike 1 punkti 12 kohane 14-päevane lävi on IKS-iga otseses vastuolus. Rahandusministri määrusega ei ole võimalik seaduse tasandil kehtestatud andmesubjekti kaitseks seatud miinimum tingimusi alandada. Julianuse ettepanek: muuta Eelnõu § 7 lg 1 p 12 viies see kooskõlla IKS-ga. 3. Krediiditeabe jagamise seaduse (KtJS) § 10 lg-st 4 tulenev kohustus krediidiinkassole. KtJS § 10 lg 4 kohaselt jookseb viivitamise fakti 45-päevane nähtavus „selle kohustuse täitmisega viivitamisest arvates". Seletuskiri (§ 7 lg 5 selgitus lk 8) väidab aga vastupidist — et tähtaeg saabub, kui „möödunud on 45 päeva nende andmete edastamisest registrisse". Need kaks lähtehetke võivad erineda mitu kuud, arvestades et krediidiinkassol on andmete edastamiseks aega kuni 45 päeva pärast nõude omandamist. Krediidiinkasso vaates on § 10 lg 4 sõnastuses praktikas mitte toimiv/funktsioneeriv kohustus: kuna inkasso omandab nõude tüüpiliselt viivitusega 60–90+ päeva, mil § 10 lg 4 tulenev ajaline kohustus on möödunud/lõppenud, kuid KtJS § 5 p 5 kohane edastuskohustus jääb kehtima — see on vastuolus IKÜM artikli 5 lõike 1 punktiga b. Lisaks tekib nn konflitkolukord, kus nõude loovutamise fakt on nähtav (§ 10 lg 5), viivituse fakt sama nõude kohta aga nähtamatu.

Selgitav näide: kui makseviivitus algab ja viivituse fakt kantakse registrisse 14. viivituspäeval, kaob see § 10 lg 4 kohaselt registrist juba 45 päeva möödumisel viivituse algusest, st ligikaudu 31 päeva pärast registrisse kandmist. Krediidiandja loovutab nõude tüüpiliselt alles pärast seda, kui vähemalt kolm osamakset on hilinemises ja krediidisaajale on antud täiendav tähtaeg võla tasumiseks — praktikas 105+ päeva pärast esimese osamakse hilinemise algust. Vahepealsel perioodil (~60 päeva) puudub krediidiandjatel maksekohustus maksehäireregistris võlainfot kuvada, kuna kehtiv õigus sellist kohustust ei näe ette. Tulemuseks on 45–60-päevane “infosulg” võla osas, kuni 105. päeval tehakse krediiditeaberegistrisse loovutamise märge. Julianuse ettepanek: viia Seletuskirja § 7 lg 5 selgitus seaduse § 10 lg 4 sõnastusega kooskõlla, fikseerides üheselt, et 45-päevane tähtaeg algab kohustuse täitmisega viivitamisest, mitte andmete edastamisest; selgitada § 10 lõigete 4 ja 5 erinevust (lg 4 viivitusest arvates ja lg 5 kandmisest arvates) ning tõstatada Rahandusministeeriumile KtJS § 10 lg 4 muutmise vajadus krediidiinkasso vaates, arvestades § 5 p 5 kohase edastuskohustusega. 4. Positiivne vs negatiivne register (Eelnõu § 7 lg 5). 45-päevane kuvamispiirang on põhjendatud üksnes positiivse krediidiregistri mudelis. Kestev makseraskus (üle 45 päeva) muutub krediidiandjale nähtamatuks, mis on otseses vastuolus registri ülelaenamise ennetamise eesmärgiga (Seletuskirja punktid 1.1 ja 4). Julianuse ettepanek: Ette näha Eelnõus või KtJS-i tasandil kohustus edastada 45-päevase tähtaja möödumisel jätkuvalt sissenõutav võlainfo viivitamatult negatiivsesse maksehäireregistrisse. Selgitada, kas Register on kavandatud puhtalt positiivse registrina või sisaldab osaliselt negatiivse registri funktsioone. 5. Nõudejäägi mõiste ebatäpsus (Eelnõu § 7 lg 1 p 7; IKÜM art 5 lg 1 p d). Mõiste „nõudejääk" komponente (põhivõlg, intress, viivis, sissenõudmiskulud, kohtukulud) ei ole loetletud ega selgitatud. Erinevate krediiditeabe andjate lõikes tekivad võrreldamatud summad, mis rikub läbipaistvuse ja andmete õigsuse põhimõtet. Julianuse ettepanek: Loetleda § 7-s üheselt ja arusaadavalt nõudejäägi komponendid või volitada registripidaja kehtestama tehniliste juhistega ühtse metoodika, mis kohaldub kõigile krediiditeabe andjatele. 6. Andmesubjekti õigused, teavitamine. Eelnõu § 9 piirdub passiivse tutvumisõiguse ja logi kuvamisega. Käesoleval juhul eksisteerib mitu olulist ja sisulist andmekaitsealast puudust: puudub IKÜM artiklitest 13–14 tulenev aktiivne teavitamiskohustus — ei tarbijat ega käendajat teavitata andmete registrisse edastamisest, puuduvad viited parandamise, kustutamise, piiramise (art 16– 18), puudub konkreetne menetlus kustutamistaotluse (art 17) ja vastuväite (art 21) esitamiseks. Eelnõu § 10 reguleerib üksnes ebaõigete andmete parandamist, mitte proportsionaalselt kahjustavate õigete andmete kustutamist. Julianuse ettepanek: lisada Eelnõusse tarbija ja käendaja aktiivne teavitamiskohustus, täiendada viidetega andmesubjekti õiguste teostamise korrale ning lisada eraldiseisev säte kustutamistaotluse ja vastuväite esitamise korra kohta, koos tähtaegade ja viitega vastutavale isikule.

7. Isikuandmete kaitse mõjuhinnangu puudumine (IKÜM art 35). Suuremahulise, süstemaatilise ja tundlike finantsandmete töötluse puhul on mõjuhinnangu läbiviimine kohustuslik. Eelnõu ega Seletuskiri mõjuhinnangu küsimust ei käsitle. Julianuse ettepanek: Eelnõus näha ette mõjuhinnangu läbiviimise kohustus enne registri kasutuselevõttu ning teha tulemused krediiditeabe andjatele ja Andmekaitse Inspektsioonile (IKÜM art 36) kättesaadavaks. 8. Andmete säilitustähtajad (Eelnõu § 5 p 17, IKÜM art 5 lg 1 p e). Eelnõus puudub säilitustähtaegade osas regulatsioon. Julianuse ettepanek: sätestada Eelnõus säilitustähtajad andmekategooriate lõikes (krediidiandmed, viivituse fakt, nõude loovutus, päringulogid jne). 9. Anonümiseerimine ei tohi kohalduda andmesubjektile (Eelnõu § 7 lg 3). Andmesubjekt peab saama tuvastada krediiditeabe andja, et realiseerida IKÜM´is tulenevaid andmesubjekti õigusi. Kui identiteet on ka andmesubjekti enda päringus varjatud, on parandamisnõue täitmatu ja põhiõiguse teostatavus riivatud. Julianuse ettepanek: sätestada § 7 lg 3-s selgesõnaliselt, et krediiditeabe andja identiteedi asendamine unikaalse numbriga ei kohaldu andmesubjekti enda päringule ega talle kuvatavale andmete töötlemise logile (§ 9 lg 1). 10. Loovutuseelse perioodi vastutuse jaotus (Eelnõu § 6, § 10). Eelnõu ei sätesta, kes vastutab pärast nõude loovutamist loovutuseelse perioodi ebaõigete andmete eest. Küsimus mõjutab otseselt IKÜM artikli 82 järgset vastutust ning peab olema andmesubjektile läbipaistvalt tuvastatav. Julianuse ettepanek: täiendada Eelnõu § 6 või § 10 selliselt, et loovutuseelse perioodi andmete õigsuse eest vastutab algne krediidiandja. Krediidiinkasso vastutab loovutusest alates tekkinud asjaolude ja andmete uuendamise eest, kuid algsel krediidiandjal on kaasabikohustus andmete korrigeerimisel ka pärast loovutamist. 11. Andmete parandamise tähtajad (Eelnõu § 5 p 15, § 10 lg 2–3). Mõiste „viivitamata" ja registripidaja järelepärimisele vastamise tähtaeg on määratlemata. IKÜM art 12 lg 3 sätestatud ühekuuline tähtaeg reguleerib üksnes andmesubjektiga suhtlust — see ei asenda registrisisest andmekvaliteedi tagamise tähtaega. Julianuse ettepanek: sätestada Eelnõus konkreetsed tähtajad: „viivitamata" mitte hiljem kui X tööpäeva jooksul vea ilmnemisest. Registripidaja järelepärimisele vastamine IKÜM art 12 lg 3 tuleneva tähtaja jooksul. 12. Krediidiliigi määramine loovutatud nõuete puhul (Eelnõu § 7 lg 1 p 5 ja lg 4). Krediidiinkassol ei ole alati võimalik tuvastada algset klassifikatsiooni rahandusministri 19.12.2015 määruse nr 50 lisa 3 punkti 4.1 mõistes.

Julianuse ettepanek: Seletuskirjas sätestada, et loovutatud nõude puhul kannab krediidiinkasso registrisse algse krediidiandja kasutatud klassifikatsiooni, kui see on tuvastatav. Muul juhul lähtub inkasso sisulisest hinnangust. 13. Andmete edastamise sageduse ebaproportsionaalsus. KtJS § 8 järgne igapäevane või 10- päevane edastuskohustus on krediidiinkasso operatiivmudelis ebaproportsionaalne. Nõudejääk muutub igapäevaselt näiteks seoses viivise suurenemisega, tasumistega võla katteks, kohtukulude lisandumisega jne. Julianuse ettepanek: kehtestada krediidiinkassode suhtes erisus nõudejäägi muutumise puhul 30 päeva. Igapäevasest viivise suurenemisest tingitud muutust ei loeta § 7 lg 1 tähenduses „andmete muutumiseks". 14. Krediidiinkasso piiratud andmekohustus (KtJS § 8 lg 2 vs Eelnõu § 7 lg 1). KtJS § 8 lõige 2 kohustab krediidiinkassot edastama üksnes § 7 lõike 1 punktides 1, 2 ja 7 nimetatud andmed (tarbija üldandmed, krediiditeabe andja üldandmed ja krediidijääk/nõudejääk). Eelnõu § 7 lõige 1 loetleb aga kõik 13 andmekategooriat ühtse loeteluna, eristamata, millised neist kehtivad üksnes krediidiinkassodele. Selline sõnastus tekitab turuosalistel põhjendatud segaduse kohustuste ulatuses ning võib tuua kaasa ka ülemäärase isikuandmete töötluse, mis on vastuolus IKÜM artikli 5 lõike 1 punktiga c (andmete minimaalsus). Julianuse ettepanek: lisada Eelnõu § 7 lõike 1 järele täiendav lõige, mis täpsustab krediidiinkasso piiratud andmekohustuse ulatuse vastavuses KtJS § 8 lõikega 2. 15. Tervikkokkuleppe andmekoosseis on Eelnõus samuti reguleerimata (KtJS § 8 lg 3). KtJS § 8 lõige 3 sätestab, et kui krediidiinkassole on ühe tarbija kohta üle läinud mitu tarbijakrediidilepingut või nendest tulenevat nõuet ning tarbijaga on selliste nõuete tasumiseks sõlmitud tervikkokkulepe, edastab krediidiinkasso andmed üksnes tervikkokkuleppe kohta. Eelnõu ei sätesta aga, milliseid andmeid tervikkokkuleppe kohta konkreetselt esitatakse. Julianuse ettepanek: Lisada Eelnõusse eraldiseisev säte, mis täpsustab tervikkokkuleppe kohta esitatavate andmete koosseisu. Koosmõjus punktiga 12 on äärmisel vajalik lahendada ka krediidiliigi klassifikatsiooni loogika, olukorraks kui tervikkokkulepe hõlmab mitut algselt erinevat krediidiliiki (nt tasumata krediitkaardi võlg, järelmaks ja väikelaen) — kaaluda võimalust kanda tervikkokkuleppe krediidiliigina „muu tarbijakrediit" või kehtestada kombineeritud kohustuse lahter. 16. Rahandusministeeriumi ja Finantsinspektsiooni järelevalvefunktsioonide kattumine (Eelnõu § 4 p 4, KtJS § 44 lg 1). Eelnõu § 4 punkt 4 kohustab Rahandusministeeriumi kontrollima, kas registripidaja isikuandmete töötlemine vastab nõuetele. KtJS § 44 lõige 1 annab järelevalvefunktsiooni registripidajale kehtestatud nõuete täitmise üle aga Finantsinspektsioonile, kellel on õigus teha täitmiseks kohustuslikke ettekirjutusi. Kuna KtJS-i nõuded hõlmavad ka isikuandmete töötlemist (§ 7, § 10, § 11), kattuvad mõlema asutuse kontrollialad. Puudub ühtne eristus või reegel, kumb ametiasutus on ülimuslik, samuti puudub kooskõlastusmehhanism paralleelse järelevalve raames.

Julianuse ettepanek: täpsustada Seletuskirjas Rahandusministeeriumi ja Finantsinspektsiooni järelevalvefunktsioonide piiritlemist, sh määratleda selgesti kumb ametiasutus on ülimuslik, millistes küsimustes toimub ametiasutuste vaheline kooskõlastus ning kuidas välditakse topeltjärelevalvet ja -sanktsioonide kohaldamist. 17. Üleminekusäte enne seaduse jõustumist ülevõetud nõuete kohta. Praeguses Eelnõus ega KtJS-i üleminekusätetes (§ 58) ei ole täpsustatud, millisel kujul ja milliste andmete osas on enne seaduse jõustumist ülevõetud nõuete puhul andmete edastamine registrisse kohustuslik. Krediidiinkassode praktikas müüakse turul ka nõudeid, mille aluseks olev tarbijakrediidileping on juba läbinud kohtumenetluse ning mille algsed andmed (nt originaalsumma, esialgne intressimäär, algne krediidiliigi klassifikatsioon) ei ole krediidiinkassole kunagi edastatud ega ole enam kättesaadavad. Sellistes olukordades on Eelnõu § 7 lõike 1 kohane andmete täisulatuslik esitamine krediidiinkasso jaoks objektiivselt võimatu. Julianuse ettepanek: täpsustada Eelnõu või KtJS § 58 üleminekusätet, millisel kujul ja milliste andmete osas on enne seaduse jõustumist ülevõetud nõuete puhul andmete edastamine kohustuslik, ning selgitada, kuidas käsitletakse olukordi, kus vajalikud ajaloolised andmed ei ole enam ega ole kunagi olnud krediidiinkasso valduses. Kaaluda võimalust, et sellistel juhtudel esitab krediidiinkasso registrisse üksnes teave, mis on faktiliselt tema valduses (nt hetke nõudejääk, tarbija üldandmed), ilma et puuduvate ajalooliste andmete osas kaasneks väärteovastutus. 18. Käesolevas tagasisides ja ettepanekus tõstatatud IKÜM-ist tulenevate küsimuste kohaldatavuse osas, eelkõige registripidaja töötleja rolli (vastutav töötleja, volitatud töötleja või kaasvastutav töötlus tähenduses) osas teeb Julianus Rahandusministeeriumile ettepaneku pöörduda seisukoha saamiseks Andmekaitse Inspektsiooni (AKI) poole. Lugupidamisega Merle Laurimäe Julianus Inkasso OÜ juhatuse liige /allkirjastatud digitaalselt/

1

EELNÕU Juuni, 2026

MÄÄRUS

............2026 nr ... Krediiditeaberegistri põhimäärus Määrus kehtestatakse krediiditeabe jagamise seaduse § 6 lõike 5 alusel.

1. peatükk Üldsätted

§ 1. Krediiditeaberegistri mõiste ja nimi

(1) Krediiditeaberegister on krediiditeabe jagamise seaduse alusel asutatud riigi infosüsteemi kuuluv andmekogu. (2) Registri ingliskeelne nimi on Register of Credit Information. § 2. Krediiditeaberegistri turvaklass ja turbeaste Registri turvaklass on K2T1S2 ja turbeaste on kõrge (H).

2. peatükk Krediiditeaberegistri pooled

§ 3. Vastutav töötleja ja volitatud töötleja (1) Krediiditeaberegistri vastutav töötleja on Rahandusministeerium. (2) Krediiditeaberegistri volitatud töötleja on isik, kellele on krediiditeabe jagamise seaduse § 12 alusel antud ainuisikuline õigus krediiditeaberegistrit pidada (edaspidi registripidaja). § 4. Vastutava töötleja ülesanded Vastutav töötleja: 1) juhib krediiditeaberegistri pidamist, andes registripidajale selleks vajalikke juhiseid ja korraldusi; 2) arendab registrit koostöös registripidajaga; 3) kontrollib registripidaja tegevust tema ülesannete täitmisel; 4) kontrollib, kas registripidaja isikuandmete töötlemine vastab nõuetele, küsib selgitusi ja teeb ettepanekuid puuduste kõrvaldamiseks; 5) täidab muid talle seaduse või muude õigusaktidega pandud ülesandeid.

2

§ 5. Volitatud töötleja ülesanded Volitatud töötleja: 1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, haldamise ja säilitamise; 2) vastutab andmetöötlustoimingute õiguspärasuse eest; 3) vastutab isikuandmete töötlemise nõuete täitmise eest; 4) peab arvestust andmete väljastamise aja ja viisi, väljastatud andmete koosseisu ning andmesaajate üle; 5) tagab registri nõuetekohase arendamise, testimise ja hooldamise; 6) tagab registri käideldavuse ning andmete tervikluse ja konfidentsiaalsuse vastavalt küberturvalisuse seaduse § 7 lõike 5 alusel Vabariigi Valitsuse või tema volitatud ministri kehtestatud määruses sätestatud nõuetele; 7) korraldab registri turvaauditite ja Eesti Infoturbestandardi järgimise auditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise; 8) annab loa isiku või asutuse liidestamiseks registriga, kontrollides eelnevalt õigusliku aluse olemasolu asjakohasust ja tehnilist võimekust ning otsustab juurdepääsuõiguse äravõtmise; 9) vastutab teenuseintsidentide käsitlemise ja lahendamise eest ning tagab tehnilise toe toimimise; 10) teeb andmekogu vastutavale töötlejale ettepanekuid registri arendamiseks; 11) teavitab vastutavat töötlejat teenuseintsidentidest ning registris andmete töötlemisel avastatud rikkest ja rikkumistest viivitamata ning võtab otsekohe tarvitusele kõik vajalikud abinõud intsidendi lahendamiseks, rikke kõrvaldamiseks või rikkumise lõpetamiseks; 12) teavitab krediiditeabe andjaid ja registriga liidestatud andmesaajaid viivitamata registri toimimist takistavatest asjaoludest, registri muutmise või arendamise kavatsusest ning registri pidamist ja kasutamist mõjutavate õigusaktide kehtestamise või muutmise kavatsusest, samuti annab muud vajalikku teavet; 13) teavitab registris või sellega seotud teenustes rikke esinemise korral puudutatud pooli rikke olemusest ja rikke kõrvaldamise võimalikust tähtajast; 14) nõustab ja juhendab krediiditeabe andjaid ja andmesaajaid registri kasutamisega seotud küsimustes; 15) tagab tehnilise toe registrisse kandmata jäetud andmete registrisse kandmiseks ja ebaõigete andmete parandamiseks; 16) haldab registri seadeid ja juurdepääsuõigusi; 17) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise; 18) tagab, et tema töötajatel on juurdepääs registriandmetele üksnes töökohustuste täitmiseks määratud ulatuses; 19) täidab muid talle seaduse või muude õigusaktidega pandud ülesandeid ning vastutava töötleja juhiseid ja korraldusi. § 6. Krediiditeabe andja ülesanded Krediiditeabe andja: 1) vastutab registrisse kantud andmete õigsuse ja ajakohasuse ning andmetöötluse seaduslikkuse eest, ühtlasi teostab järelevalvet oma kasutajate üle; 2) annab registripidajale selgitusi registrisse esitatud andmete kohta; 3) koostöös registripidaja või vastutava töötlejaga kannab registrisse sinna kandmata jäänud andmed ja parandab ebaõiged andmed; 4) võtab andmete käideldavuse, tervikluse ja konfidentsiaalsuse tagamiseks kasutusele registri turvanõuetele vastavad organisatsioonilised, füüsilised ja infotehnoloogilised turvameetmed ning rakendab neid järjepidevalt.

3

3. peatükk Krediiditeaberegistri andmed, nendele juurdepääs ja andmesubjekti õigused

§ 7. Krediiditeaberegistri andmed (1) Krediiditeaberegistrisse kantakse krediiditeabe kohta järgmised andmed: 1) tarbija üldandmed – ees- ja perekonnanimi ning isikukood või selle puudumise korral sünniaeg; 2) krediiditeabe andja üldandmed – nimetus või ees- ja perekonnanimi, registrikood või isikukood või selle puudumise korral sünniaeg ning krediiditeabe andja asukohariigi kahetäheline maakood; 3) krediidi füüsilisest isikust käendaja andmed – ees- ja perekonnanimi, isikukood või selle puudumise korral sünniaeg ning käendusest tuleneva kohustuse suurus täiseurodes või sendi täpsusega; 4) tarbijakrediidilepingu üldandmed – number, sõlmimise kuupäev ja lõppemise tähtpäev; 5) krediidiliik – elamukinnisvaraga seotud krediit, sõiduki liising, muu vara liising, vara ost järelmaksuga, krediitkaardilaen, arvelduskrediit ja muu rahaline krediit; 6) krediidi maksimaalne summa täiseurodes või sendi täpsusega; 7) krediidijääk või nõudejääk täiseurodes või sendi täpsusega; 8) krediidi tagasimakse graafiku tüüp – annuiteetmaksed, võrdsed põhiosamaksed, osaline amortisatsioon, ühekordne tagasimakse laenuperioodi lõpus ja muud tagasimaksed; 9) krediidi intressimäära tüüp – fikseeritud ja fikseerimata; 10) tarbijakrediidilepingus kokku lepitud järgmise tagasimakse suurus täiseurodes või sendi täpsusega, arvates andmete viimasest uuendamisest krediiditeaberegistris; 11) krediidi tagasimakse tasumise täieliku või osalise edasilükkamise ajavahemik; 12) tarbijakrediidilepingus kokku lepitud kohustuse täitmisega viivitamise fakt, kui tarbija kohustuse täitmise tähtpäevast on möödunud 14 päeva; 13) tarbijakrediidilepingust tuleneva nõude loovutamise või tarbijakrediidilepingu kolmanda isiku poolt ülevõtmise fakt – nõude loovutamine võlaõigusseaduse § 164 või lepingu ülevõtmine võlaõigusseaduse § 179 tähenduses. (2) Krediiditeaberegistri tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja kantakse tarbija kohta: 1) ees- ja perekonnanimi; 2) isikukood või selle puudumise korral sünniaeg; 3) avalduse esitamise kuupäev. (3) Krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isiku tehtud päringu vastuses asendatakse käesoleva paragrahvi lõike 1 punktis 2 nimetatud andmed unikaalse numbriga, mis ei võimalda krediiditeabe andjat tuvastada. (4) Käesoleva paragrahvi lõike 1 punktis 5 loetletud krediidiliikide määramisel võetakse aluseks rahandusministri 19. detsembri 2015.a määruse nr 50 „Finantsinspektsioonile esitatavate krediidiandja või -vahendaja ning välisriigi krediidiandja või -vahendaja filiaali aruannete vormid, koostamise metoodika ja esitamise kord“ lisa 3 punkt 4.1. (5) Krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isiku tehtud päringu vastuses kuvatakse käesoleva paragrahvi lõike 1 punktides 12 ja 13 nimetatud andmete puhul väärtusena „Tühi väli“, kui andmed puuduvad või kui on saabunud krediiditeabe jagamise seaduse § 10 lõigetes 4 või 5 sätestatud tähtpäev.

4

§ 8. Registriandmetele juurdepääsu andmine (1) Registriandmetele tagatakse otsejuurdepääs: 1) infosüsteemide andmevahetuskihi või muu sarnase andmevahetusplatvormi kaudu; 2) volitatud töötleja määratud viisil ja kasutajaõiguste alusel. (2) Andmete väljastamine registrist tagatakse: 1) ühekordse andmepäringuna taotluse alusel; 2) poolte vahel sõlmitud lepingu alusel. (3) Juurdepääsu taotlemisel käesoleva paragrahvi lõigetes 1 ja 2 sätestatud viisil märgitakse, milliste andmete kohta ja millisel õiguslikul alusel soovib andmesaaja hakata päringuid tegema. (4) Päringu tegija märgib päringu tegemisel päringu tegemise õigusliku aluse ja selgituse. (5) Isikud, kellel on krediiditeaberegistris sisalduvatele andmetele juurdepääsuõigus andmesubjekti nõusolekul, saavad andmetele juurdepääsu nõusolekuga antud ulatuses avaliku teabe seaduse §-s 436 sätestatud andmenõusoleku ja volituste haldamise andmekogu vahendusel. (6) Registripidajal on õigus andmetele juurdepääsu piirata või keelata, kui andmevahetuse tõttu võib tekkida või on tekkinud krediiditeaberegistri konfidentsiaalsuse või tervikluse vähenemise risk. § 9. Andmesubjekti õigused (1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga. (2) Andmesubjektile juurdepääsu tagamiseks kasutatakse riigi autentimisteenust. (3) Andmesubjektil on õigus teha registri vahendusel avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja.

4. peatükk Andmete parandamine

§ 10. Ebaõigete andmete parandamine ja täiendamine (1) Registrisse kantud ebaõigete andmete parandamise ja ajakohasena hoidmise eest vastutab krediiditeabe andja. (2) Andmete muutmiseks esitab krediiditeabe andja registripidajale uued andmed viivitamata või teavitab registripidajat vajadusest esitatud andmeid muuta kohe pärast vea ilmnemist. (3) Registripidajal on õigus teha krediiditeabe andjale järelepärimine, kui on tekkinud kahtlus andmete õigsuses. (allkirjastatud digitaalselt) Jürgen Ligi Minister

5

(allkirjastatud digitaalselt) Merike Saks kantsler