Tere!

Siseministeeriumi infotehnoloogia- ja arenduskeskusele on saadetud arvamuse andmiseks e-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu. Täname, et meid kaasasite.

Esitame järgmise tagasiside:

• EN § 1 p 6, millega lisatakse § 3¹ lg 6

Juhime tähelepanu, et jääb ebaselgeks mis on registriga seotud andmed mida registrisse ei kanta aga säilitatakse sellest olenemata 10 aastat. Mis andmed need on ja kus neid sellisel säilitatakse?

• EN § 1 p 6 millega lisatakse § 5 lg 12

1. Lg 12 viitab lg-le 11 mis omakorda viitab rakendusmääruses (EL) 2024/2977. Samas ei ole selge mis andmeid millisest andmekogust kogutakse. St millised isikutuvastusandmeid saab digiidentiteedikukru pakkuja isikut tõendavate dokumentide andmekogust (ITDAK) ja milliseid Rahvastikuregistrist (RR). Andmesubjektile peab olema selge kust ja konkreetselt milliseid andmeid tema kohta kogutakse. Kas soov on koguda andmeid topelt, kuidas oleks see sellisel juhul isikuandmete töötlemise põhimõtetega kooskõlas? Ka arendusvajadused võivad sõltuda küsitavate andmete koosseisust. Seejärel on võimalik hinnata millise andmekogu juures kas ja milliseid arendusi on vaja teha.
2. SK-s on RRi kohta toodud järgnev „Kehtiva rakendusmääruse (EL) 2024/2977 kohaselt on kohustuslik andmeväli ka digiidentiteedikukru kasutaja sünnikoht, mille digiidentiteedikukrusse kandmine võib eeldada päringut rahvastikuregistrisse.“ Kas RRi puhul ongi mõeldud tegelikult vaid sünnikoha päringuid? Kui jah, siis tuleks see ka eelnõusse selliselt sisse tuua. See aga eeldab, et sünnikoha päringu vajadus on eelnevalt selgeks tehtud, mitte tasandil „võib eeldada päringut“. Ehk et arvestades SK-s toodud sõnastust, siis seadusesse ei peaks looma aluseid andmete pärimiseks kui ei ole selge selle vajadus.
3. Kehtiva rakendusmääruse (EL) 2024/2977 isikutuvastusandmed sisaldavad ka näokujutist. ITDAK saab isiku näokujutise automaatse biomeetrilise isikutuvastuse süsteemi andmekogust (ABIS) ning ITDAK-sse kantakse andmed isikut tõendavate dokumentide seaduse alusel läbiviidavate menetluste käigus (ITDAK pm § 12), st vastavalt menetluse eesmärgile. Juhul kui seda ei ole eelnevalt tehtud, siis palume eelnõu koostajal koostöös andmekogude vastutava töötlejaga analüüsida, kas näokujutise päring ITDAK-st on õiguspärane või vajab see ABIS andmekogu kaasamist ja eelnõusse toomist.

• EN § 1 p 15

Ettepanek kaaluda, kas lisada eelnõusse, et millest sõltuvalt võib kehtivus olla lühem kui 2 aastat. Hetkel eelnõu tasandil võimalik mõista millest see sõltub. Sama põhimõte ka EN § 1 p 16 osas, millega lisatakse § 6 lg 5 - digiidentiteedikukru pakkumise loa kehtivus.

• EN § 1 p 17

Vastavalt eelnõuga plaanitavale seaduse § 6 g-le 4 (EN § 1 p 16) peab sertifikaat olema. Seega igaks juhuks juhime tähelepanu sõnastusele, mille kohaselt tuleb eelnõu järgi sertifikaat esitada vaid olemasolul, st ei ole nõutud. Ehk et jääb ebaselgeks kas see on kohustuslik või tuleb esitada vaid olemasolul. Ühtlasi on kehtiv sõnastus jäigem. Kui on siiski vaid „olemasolul“, siis võiks selle muutuse kohta lisada täpsustuse ka seletuskirja.

• Seletuskiri EN § 1 p 6 kohta

Palume seletuskirja EN § 1 p 6 kohta käiva selgituse teine lõik üle vaadata. Hetkel tundub, et ei lähe EN tekstiga kokku.

Täiendavalt:

• Kulud ja ajaraam

Eelnõu rakendamine võib eeldada ITDAK-i ja/või RR-i täiendavaid arendusi ja liidestusi, et tagada vajalik andmevahetus ning toetada digiidentiteedikukru elutsükli haldamist. Seejuures ei ole täna teada milliseid konkreetseid arendusi on vaja teostada, mistõttu ei ole võimalik hinnata nende ajalist mahtu ega ka kulu. Arvestades, et vajalike arenduste osas puudub selgus, on ka praeguses ajaraamis püsimine küsitav. Seletuskirjas on hinnatud RIA, Andmekaitse Inspektsiooni, Justiits- ja Digiministeeriumi ning teiste ministeeriumide kulusid koondtasemel, kuid puudub hinnang üksikutele andmekogudele ja infosüsteemidele tekkiva mõju kohta.  Seetõttu ei ole võimalik ka hinnata, kas seletuskirjas toodud arendus- ja liidestamiskulud katavad ITDAKi ja/või RRi arendamise ja kohandamise vajaduse. Arvestades andmekogude rolli ning võimalikku vajadust muuta olemasolevaid teenuseid, liideseid ja andmevahetuslahendusi, tuleks enne eelnõu lõplikku menetlemist analüüsida konkreetselt ITDAKile ja RR-le avalduvat mõju, hinnata vajalike arenduste mahtu ning tuua välja nende eeldatav maksumus ja rahastamisallikas. Seejuures tuleks arvestada nii ühekordset arenduskulu kui ka hilisemat püsikulu. Hetkel ei ole SK-st selge kuidas nende kuludega on arvestatud.

• TARA

Hetkel ei ole teada, kuid juhime tähelepanu, et kui TARA-sse lisandub digiidentiteedikukru autentimise võimalus, siis võib see andmekogudele tuua kaasa täiendavaid arendusvajadusi, millega kaasnevad omakorda kulud.

• Välismaalaste autentimise andmed

Kuhu on planeeritud salvestada digiidentiteedikukkur vahendusel tuvastatud välismaalaste autentimise andmed (PID)?

• Rakendusakt

Arvestades, et dokument on kavandi faasis ning ei ole toodud ammendavat andmeandjate loetelu, siis ei ole hetkel võimalik hinnata kas on puutumus andmekogudega, mille puhul SMIT on volitatud töötleja.

Palume ka Justiits- ja Digiministeeriumil edaspidi arvestada, et eelnõudele tagasiside andmise tähtaeg oleks mõistlik.

Lugupidamisega