1

EELNÕU

18.08.2026

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise seadus

§ 1. E-identimise ja e-tehingute usaldusteenuste seaduse muutmine

E-identimise ja e-tehingute usaldusteenuste seaduses tehakse järgmised muudatused:

1) paragrahvi 1 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Käesolev seadus reguleerib e-identimist, e-identimise süsteemi usaldusväärsuse taseme

hindamist, e-tehinguteks vajalike usaldusteenuste osutamist, Euroopa digiidentiteedikukru

pakkumist ning riikliku järelevalve korraldust ulatuses, milles need ei ole reguleeritud Euroopa

Parlamendi ja nõukogu määruses (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike

usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L

257, 28.08.2014, lk 73–114) ning Euroopa Parlamendi ja nõukogu määruses (EL) 2024/1183,

millega muudetakse määrust (EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku

kehtestamisega (ELT L, 2024/1183, 30.04.2024).

(2) E-identimisele, e-tehinguteks vajalike usaldusteenuste osutamisele ja Euroopa

digiidentiteedikukru pakkumisele kohaldatakse käesolevat seadust ja muid riigisiseseid õigusakte,

kui Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 järgi tuleb lähtuda riigisisesest

õigusest või kui määrus annab võimaluse reguleerida teatud valdkondi riigisisese õigusega.“;

2) paragrahvi 1 lõiget 5 täiendatakse pärast tekstiosa „isikut tõendavatel dokumentidel põhinevate

e-identimise süsteemide“ tekstiosaga „ning Euroopa digiidentiteedikukru“;

3) paragrahv 2 muudetakse ja sõnastatakse järgmiselt:

„§ 2. Asutuste pädevus

(1) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 7 punktis f ning artiklites 5a,

5b, 5d, 5e, 9, 12, 46a, 46b ja 48a sätestatud liikmesriigi ülesandeid täidab Riigi Infosüsteemi Amet

(edaspidi pädev asutus).

(2) Pädev asutus võib Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artiklis 5a

sätestatud liikmesriigi ülesannete täitmiseks anda lepingu alusel üle kohustusi teenuse osutajale.

(3) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5a lõike 4 punkti d alapunktis

iii ja lõike 5 punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab

Andmekaitse Inspektsioon.

(4) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5c lõigetes 3 ja 7 ning artikli

45f lõikes 3 sätestatud ülesandeid täidab valdkonna eest vastutav ministeerium.“;

2

4) seaduse 2. peatüki pealkiri muudetakse ja sõnastatakse järgmiselt:

„2. peatükk

Usaldusteenus, usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja“;

5) paragrahvi 3 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Pädev asutus võib korraldada usaldusteenuse infrastruktuuri loomise, haldamise ja

ajakohastamise Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 46b lõike 5

kohaselt.“;

6) seadust täiendatakse §-ga 31 järgmises sõnastuses:

㤠31. Digiidentiteedikukrule tuginevate isikute register

(1) Digiidentiteedikukrule tuginevate isikute register (edaspidi register) on riigi infosüsteemi

kuuluv andmekogu, mille eesmärk on registreerida Eestis asutatud isikud, kes kavatsevad tugineda

Euroopa digiidentiteedikukrule avalike või erateenuste osutamiseks, ning teha nende kohta esitatud

teave läbipaistvuse ja usalduse tagamiseks inim- ja masinloetaval kujul avalikult kättesaadavaks.

Register on digiidentiteedikukrule tuginevate isikute riiklik register Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 artikli 5b lõike 5 ja komisjoni rakendusmääruse (EL)

2025/848, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

rakenduseeskirjad kukrule tuginevate isikute (edaspidi digiidentiteedikukrule tuginev isik)

registreerimise kohta (ELT L, 2025/848, 07.05.2025), artikli 3 lõike 1 tähenduses.

(2) Riigi Infosüsteemi Amet kehtestab ja avalikustab oma veebilehel registrisse teabe esitamise

korra.

(3) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja

ees- ja perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid.

(4) Registris säilitatakse:

1) rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid kümme aastat registrikande

tegemisest arvates;

2) logiandmeid kümme aastat registrikande tegemisest arvates;

3) muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik registrikande kustutab.

(5) Registrisse kantud andmed on avalikud, välja arvatud avaliku teabe seaduse alusel määratud

piiratud juurdepääsuga teave.

(6) Andmekogu vastutav töötleja on Riigi Infosüsteemi Amet.

(7) Registri põhimääruse kehtestab valdkonna eest vastutav minister määrusega, milles

sätestatakse:

1) andmete täpne koosseis, sealhulgas isikustamata andmed;

2) andmeandjad ja nende esitatavad andmed;

3) registritoimingute ja registrisse kantud andmete säilitamise täpsemad tingimused;

4) registri rahastamine;

5) registriga seotud muud korralduslikud nõuded.

3

(8) Pädev asutus võib teha otsuse digiidentiteedikukrule tugineva isiku registreeringu peatamiseks

või tühistamiseks komisjoni rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2 loetletud juhtudel.“;

7) seadust täiendatakse §-ga 41 järgmises sõnastuses:

㤠41. Turvaintsidendist teavitamine

(1) Euroopa digiidentiteedikukru pakkuja või usaldusteenuse osutaja teavitab pädevat asutust 24

tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib mõjutada usaldusteenuse, Euroopa

digiidentiteedikukru või selle kaudu osutatava teenuse turvalisust, töökindlust või usaldusväärsust.

(2) Teade peab sisaldama:

1) turvaintsidendi kirjeldust;

2) hinnangut turvaintsidendi mõjule;

3) teavet rakendatud või kavandatavate mõju vähendamise meetmete kohta;

4) muud pädeva asutuse nõutud teavet, mis on vajalik Euroopa Liidu õigusaktidest tulenevate

kohustuste täitmiseks.

(3) Pädeval asutusel on õigus nõuda Euroopa digiidentiteedikukru pakkujalt või usaldusteenuse

osutajalt turvaintsidendi kohta täiendavat teavet ja dokumente, mis on vajalikud turvaintsidendi

mõju hindamiseks ning Euroopa Liidu õigusaktidest tulenevate kohustuste täitmiseks.“;

8) paragrahvi 5 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 5. Nõuded kvalifitseeritud usaldusteenuse osutajale, usaldusteenuse osutamisele, Euroopa

digiidentiteedikukru pakkujale ja Euroopa digiidentiteedikukru pakkumisele“;

9) paragrahvi 5 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Kvalifitseeritud usaldusteenus ja selle osutaja ning Euroopa digiidentiteedikukkur ja selle

pakkuja peavad vastama Euroopa Parlamendi ja nõukogu määrusele (EL) nr 910/2014, selle alusel

kehtestatud rakendusaktidele ning käesolevas seaduses sätestatud nõuetele.

(2) Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 13 lõigetes 1 ja 2 nimetatud

kahju hüvitamise tagamiseks peab kvalifitseeritud usaldusteenuse osutajal olema usaldusteenuse

osutamise ajal vastutuskindlustus, mille kindlustussumma on vähemalt üks miljon eurot aastas iga

kindlustusjuhtumi kohta ja vähemalt kaks miljonit eurot aastas kõigi juhtumite kohta kokku, või

sama suurusega tagatis või rahalised vahendid asjakohase tõendusega.“;

10) paragrahvi 5 lõige 3 muudetakse ning sõnastatakse järgmiselt:

„(3) Kvalifitseeritud usaldusteenuse osutaja dokumenteerib usaldusteenuse osutamisel tehtud

toimingud ning säilitab sellekohast tegevuslogi 12 aastat kirje loomisest arvates.“;

11) paragrahvi 5 lõige 4 tunnistatakse kehtetuks;

12) paragrahvi 5 lõikes 5 asendatakse tekstiosa „väljastamist isikusamasuse, kontrollib

seda“ tekstiosaga „väljastamist isikusamasuse Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 24 lõike 1a punkti a alusel. Sama lõike punkti d puhul kontrollib isikusamasust“;

13) paragrahvi 5 lõiget 9 täiendatakse pärast tekstiosa „usaldusteenuse osutaja“ tekstiosaga „ja

tema alltöövõtja“;

4

14) paragrahvi 5 täiendatakse lõigetega 10–12 järgmises sõnastuses:

„(10) Euroopa digiidentiteedikukru rakendustarkvara komponendid peavad olema avatud

lähtekoodiga, välja arvatud mujale kui kasutajaseadmele paigaldatavad komponendid, kui see on

põhjendatud turvalisuse või ärisaladuse kaitsega.

(11) Euroopa digiidentiteedikukru pakkuja kannab Euroopa digiidentiteedikukrusse lisaks

komisjoni rakendusmääruses (EL) 2024/2977, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrutesse

väljastatavate isikutuvastusandmete ja elektrooniliste tõenditega (ELT L, 2024/2977, 04.12.2024),

nõutud kohustuslikele isikutuvastusandmetele ka Euroopa digiidentiteedikukru kasutaja

isikukoodi.

(12) Euroopa digiidentiteedikukru pakkujal on õigus teha käesoleva paragrahvi lõikes 11 nimetatud

isikutuvastusandmete Euroopa digiidentiteedikukrusse kandmiseks ja nende ajakohasuse

tagamiseks päringuid isikut tõendavate dokumentide andmekogusse ja rahvastikuregistrisse.“;

15) paragrahvi 6 pealkiri muudetakse ja sõnastatakse järgmiselt:

㤠6. Kvalifitseeritud usaldusteenuse osutaja ja Euroopa digiidentiteedikukru pakkuja

loakohustus ja usaldusteenuse usaldusnimekirja kandmine“;

16) paragrahvi 6 lõige 2 muudetakse ja sõnastatakse järgmiselt:

„(2) Kvalifitseeritud usaldusteenuse osutamise luba kehtib kuni kaks aastat.“;

17) paragrahvi 6 täiendatakse lõigetega 4 ja 5 järgmises sõnastuses:

„(4) Euroopa digiidentiteedikukru pakkumiseks peab isikul olema kehtiv Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 artikli 5c kohane sertifikaat, mida tõendab asjaomane luba.

(5) Euroopa digiidentiteedikukru pakkumise luba kehtib kuni viis aastat.“;

18) paragrahvi 7 lõike 3 punkt 1 muudetakse ja sõnastatakse järgmiselt:

„1) usaldusteenuse nimetus, kirjeldus, sealhulgas teenuse osutamise piirkond ja tegevusvoogude

skeemid, teenuse osutamise põhimõtted, teenuse poliitikad, teenuse lõpetamise kava ja

usaldusnimekirja lisatav teenuse sertifikaat selle olemasolu korral;“

19) paragrahvi 7 lõiget 3 täiendatakse punktiga 11 järgmises sõnastuses:

„11) allkirjastatud vastavushindamisaruanne, mis sisaldab lisaks komisjoni rakendusmääruses (EL)

2025/2162, millega kehtestatakse Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

rakenduseeskirjad seoses kvalifitseeritud usaldusteenuse osutajate ja nende osutatavate

kvalifitseeritud usaldusteenuste hindamist teostavate vastavushindamisasutuste akrediteerimise,

vastavushindamisaruande ja vastavushindamissüsteemiga (ELT L, 2025/2162, 28.10.2025),

sätestatud nõuetele ka põhjendatud järeldust usaldusteenuse ja selle osutaja vastavuse või

mittevastavuse kohta käesolevas seaduses ja küberturvalisuse seaduses sätestatud nõuetele ning

millele on lisatud audiitori pädevust tõendav teave;“;

20) paragrahvi 7 lõiget 3 täiendatakse punktidega 3, 4 ja 5 järgmises sõnastuses:

5

„3) usaldusteenuse riskianalüüs, milles tuleb esitada süsteemi turvalisust ja teenuse toimepidevust

mõjutavate ning küberintsidendi tekkimist põhjustavate riskide loetelu, määrata riskide

realiseerumise korral tekkiva küberintsidendi tagajärgede raskusaste ning kirjeldada

küberintsidendi lahendamise abinõusid;

4) tõend käesoleva seaduse § 5 lõikes 2 sätestatud nõude kohta;

5) komisjoni rakendusmäärusele (EL) 2024/2981, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad seoses Euroopa digiidentiteedikukrute

sertifitseerimisega (ELT L, 2024/2981, 04.12.2024), vastav Euroopa digiidentiteedikukru

kirjeldus, mis sisaldab e-identimise süsteemi kirjeldust, mille alusel Euroopa digiidentiteedikukrut

pakutakse, Euroopa digiidentiteedikukru sertifikaat ja sertifitseerimise hindamise aruanne.“;

21) paragrahvi 7 lõige 4 tunnistatakse kehtetuks;

22) paragrahvi 8 punktid 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„1) taotleja ja usaldusteenus või Euroopa digiidentiteedikukru pakkumine vastab Euroopa

Parlamendi ja nõukogu määruses (EL) nr 910/2014 ning käesolevas seaduses sätestatud nõuetele;

2) usaldusteenuse osutaja on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

artiklis 20 nimetatud vastavushindamise;“;

23) paragrahvi 8 täiendatakse punktiga 21 järgmises sõnastuses:

„21) Euroopa digiidentiteedikukkur on läbinud Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 5c kohase sertifitseerimise;“;

24) paragrahvi 9 lõike 1 punkt 1 muudetakse ja sõnastatakse järgmiselt:

„1) esitatud taotluse ning vastavushindamise tulemuse alusel ei vasta loa taotluse esitaja, tema

osutatav usaldusteenus või Euroopa digiidentiteedikukkur Euroopa Parlamendi ja nõukogu

määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele;“;

25) paragrahvi 9 lõiget 1 täiendatakse punktiga 4 järgmises sõnastuses:

„4) taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi

vastuolusid.“;

26) paragrahvi 9 lõike 2 sissejuhatavat lauseosa täiendatakse pärast tekstiosa „loa

kehtetuks“ tekstiosaga „lisaks majandustegevuse seadustiku üldosa seaduse §-s 37 sätestatule“;

27) paragrahvi 9 lõike 2 punktid 1–3 muudetakse ja sõnastatakse järgmiselt:

„1) kehtetuks tunnistamist taotleb loa omanik;

2) pärast loa andmist selgub, et loa omanik või tema osutatav teenus ei vasta Euroopa Parlamendi

ja nõukogu määruse (EL) nr 910/2014 või käesoleva seaduse nõuetele ning teenuse osutaja ei ole

pädeva asutuse antud tähtaja jooksul viinud oma tegevust nõuetega kooskõlla;

3) loa omanik on lõpetanud teenuse osutamise.“;

28) paragrahvi 9 lõikes 3 asendatakse tekstiosa „usaldusteenuse“ tekstiosaga „teenuse“;

29) paragrahvi 9 lõige 4 muudetakse ja sõnastatakse järgmiselt:

6

„(4) Loa kehtetuks tunnistamise korral muudetakse usaldusteenuse osutaja ja usaldusteenuse

staatus usaldusnimekirjas kehtetuks.“;

30) paragrahvi 10 lõige 3 muudetakse ja sõnastatakse järgmiselt:

„(3) Kvalifitseerimata usaldusteenuse osutaja ja usaldusteenus kantakse nimekirja kuni kaheks

aastaks.“;

31) paragrahvi 12 pealkiri muudetakse ja sõnastatakse järgmiselt:

„§ 12. Soovituslikud juhendid ja sertifitseerimise kord“;

32) paragrahvi 12 lõige 2 tunnistatakse kehtetuks;

33) paragrahvi 12 täiendatakse lõigetega 21–23 järgmises sõnastuses:

„(21) Euroopa digiidentiteedikukru sertifitseerimise kavade loomist, ajakohasena hoidmist ning

perioodilist läbivaatamist korraldab valdkonna eest vastutav ministeerium.

(22) Ajakohased Euroopa digiidentiteedikukru sertifitseerimise kavad teeb internetis avalikult

kättesaadavaks valdkonna eest vastutav ministeerium.

(23) Euroopa digiidentiteedikukrut sertifitseerib lõikes 21 nimetatud kava kohaselt selleks

akrediteeritud vastavushindamisasutus.“;

34) paragrahvi 13 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutamisega“ tekstiosaga

„ja Euroopa digiidentiteedikukru pakkumisega“;

35) paragrahvi 13 lõige 1 muudetakse ja sõnastatakse järgmiselt:

„(1) Usaldusteenuse osutaja või Euroopa digiidentiteedikukru pakkuja teavitab vähemalt üks kuu

enne teenuse osutamise muudatuse rakendamist pädevat asutust loa taotluses või usaldusnimekirja

kandmise taotluses esitatud andmete muutumisest. Teenuse osutamise lõpetamise kavatsusest

teavitatakse pädevat asutust vähemalt kolm kuud ette.“;

36) paragrahvi 13 lõiked 3 ja 4 muudetakse ning sõnastatakse järgmiselt:

„(3) Kui usaldusteenuse või Euroopa digiidentiteedikukru pakkumise sisu muutub, on pädeval

asutusel õigus nõuda käesoleva seaduse §-s 7 nimetatud taotluse uuesti esitamist. Pädev asutus

teavitab usaldusteenuse osutajat või Euroopa digiidentiteedikukru pakkujat taotluse esitamise

vajadusest 14 päeva jooksul käesoleva paragrahvi lõikes 1 sätestatud teavituse kättesaamisest

arvates.

(4) Teenuse muutmise taotluse läbivaatamise eest tasutakse riigilõivu riigilõivuseaduses sätestatud

määras.“;

37) paragrahvi 18 täiendatakse lõikega 5 järgmises sõnastuses:

„(5) Usaldusteenuse osutaja, kelle usaldusteenus ei võimalda peatatud sertifikaadi kehtivust

taastada, rakendab käesoleva seaduse §-des 19 ja 20 sätestatut.“;

38) paragrahvi 19 lõiget 2 täiendatakse punktiga 4 järgmises sõnastuses:

7

„4) isikut tõendavate dokumentide väljaandja isikut tõendavate dokumentide seaduse § 2 lõike 2

punktides 1–12 nimetatud dokumendile kantud sertifikaatide suhtes ja samas seaduses sätestatud

alustel.“;

39) paragrahvi 19 lõike 4 punkt 5 muudetakse ja sõnastatakse järgmiselt:

„5) sertifikaadi omaja tegevuse lõpetamise tõttu tema sertifitseerimise registrist kustutamine;“

40) paragrahvi 19 lõiget 4 täiendatakse punktiga 16 järgmises sõnastuses:

„16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi väljastamine ei vastanud

usaldusteenuse osutamise loa tingimustele või Euroopa Parlamendi ja nõukogu määruses (EL) nr

910/2014 või käesolevas seaduses sätestatud nõuetele.“;

41) paragrahvi 19 lõige 5 muudetakse ja sõnastatakse järgmiselt:

„(5) Enne isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud

dokumendile kantud sertifikaadi kehtetuks tunnistamist teavitab usaldusteenuse osutaja sellest

dokumendi väljaandjat.“;

42) seaduse 3. peatükki täiendatakse §-ga 231 järgmises sõnastuses:

„§ 231. Sunniraha määr

Riikliku järelevalvemenetluse käigus ettekirjutuse täitmata jätmise korral on asendustäitmise ja

sunniraha seaduses sätestatud korras rakendatava sunniraha kohaldamise igakordne ülemmäär 500

000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest

kogukäibest, olenevalt sellest, kumb summa on suurem.“;

42) seadust täiendatakse 31. peatükiga järgmises sõnastuses:

„31. peatükk

Teabevahetus

§ 232. Teabevahetus teenuse osutajatega

(1) Valdkonna eest vastutaval ministeeriumil ja pädeval asutusel on õigus nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014

sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.

(2) Isikud on kohustatud andma käesoleva paragrahvi lõikes 1 nimetatud asutusele samas lõikes

viidatud määruse artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.

(3) Käesoleva paragrahvi lõikes 1 nõutav teave peab olema ülesande täitmise jaoks vajalik ja

proportsionaalne.

(4) Teabe või dokumendi saamise taotlus tuleb vormistada kirjalikult. Teabe saamise taotluses

tuleb selgitada, millise ülesande täitmiseks teavet vajatakse ning kuidas seda kasutatakse. Teabe

esitamiseks tuleb anda mõistlik tähtaeg, mis ei või olla lühem kui kümme tööpäeva teabenõude

kättesaamisest arvates.“.

8

43) seadust täiendatakse 32. peatükiga järgmises sõnastuses:

„32. peatükk

Vastutus

§ 233. Usaldusteenuse osutamise nõuete rikkumine

(1) Käesoleva seaduse § 5, § 6 lõikes 1 või § 13 lõikes 1 sätestatud nõude rikkumise eest –

karistatakse usaldusteenuse osutajat rahatrahviga kuni 5 000 000 eurot.

(2) Sama teo eest, kui selle on toime pannud juriidiline isik, –

karistatakse rahatrahviga kuni 5 000 000 eurot või kuni 1 protsent usaldusteenuse osutaja eelmise

majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb summa on suurem.

§ 234. Menetlus

Käesoleva seaduse §-s 233 sätestatud väärteo kohtuväline menetleja on Riigi Infosüsteemi

Amet.“;

44) paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga „sertifitseerimise“.

§ 2. Riigilõivuseaduse muutmine

Riigilõivuseaduses tehakse järgmised muudatused:

1) paragrahvi 1162 pealkirja täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga

„loa ja Euroopa digiidentiteedikukru pakkuja“;

2) paragrahvi 1162 lõiked 1 ja 2 muudetakse ning sõnastatakse järgmiselt:

„(1) Kvalifitseeritud usaldusteenuse osutaja loa, Euroopa digiidentiteedikukru pakkuja loa ja

kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise taotluse

läbivaatamise eest tasutakse riigilõivu 1030 eurot iga usaldusteenuse või Euroopa

digiidentiteedikukru kohta.

(2) Kvalifitseeritud usaldusteenuse osutaja korduva loa, Euroopa digiidentiteedikukru pakkuja

korduva loa ja kvalifitseerimata usaldusteenuse osutaja usaldusteenuse usaldusnimekirja kandmise

korduva taotluse läbivaatamise eest tasutakse riigilõivu 770 eurot iga usaldusteenuse või Euroopa

digiidentiteedikukru kohta.“;

3) paragrahvi 1162 lõiget 3 täiendatakse pärast tekstiosa „Usaldusteenuse osutaja“ tekstiosaga „või

Euroopa digiidentiteedikukru pakkuja“.

§ 3. Karistusseadustiku muutmine

Karistusseadustiku § 350 tekst muudetakse ja sõnastatakse järgmiselt:

„Tähtis isiklik dokument käesoleva jao tähenduses on isikut tõendavate dokumentide seaduse § 2

lõikes 2 loetletud dokument, mootorsõidukijuhi juhiluba, e-identimise ja e-tehingute

9

usaldusteenuste seaduse § 211 kohase hindamise positiivselt läbinud e-identimise süsteemi e-

identimise vahend ja Euroopa digiidentiteedikukkur.“.

Lauri Hussar

Riigikogu esimees

Tallinn, … ……………2026

__________________________________________________________________________

Algatab Vabariigi Valitsus … ……………2026

(allkirjastatud digitaalselt)

1

14.08.2026

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu

seletuskiri

1. Sissejuhatus

1.1. Sisukokkuvõte

Eelnõuga viiakse Eesti õigus kooskõlla Euroopa Liidu uuendatud e-identimise ja

usaldusteenuste raamistikuga (nn eIDAS 2), millega luuakse Euroopa digiidentiteedi raamistik

ja selle keskse elemendina Euroopa digiidentiteedikukkur.

Euroopa Liidu määrus on vahetult kohaldatav, kuid selle terviklik rakendamine eeldab

riigisiseste rollide, menetluste ja karistuste kindlaksmääramist. Eelnõu peamine eesmärk on viia

Eesti seadused Euroopa digiidentiteedi raamistikuga kooskõlla, tagada Euroopa

digiidentiteedikukru (edaspidi ka digikukkur ja kukkur) turvaline kasutuselevõtt Eestis ning

sätestada selleks vajalikud riigisisesed reeglid, rollid ja sanktsioonid.

Kehtiv õigus ei reguleeri Euroopa digiidentiteedi raamistiku rakendamist piisavalt, kuna

riigisisesed rollid, menetlused ja järelevalve ei ole selgelt kindlaks määratud. Seetõttu on vaja

seadust kooskõlas Euroopa Liidu uute nõuetega ajakohastada.

Kõige olulisemad muudatused on järgmised:

– Euroopa digiidentiteedikukru pakkumine tuuakse e-identimise ja e-tehingute usaldusteenuste

seaduse reguleerimisalasse; riigil on kohustus teha elanikele kättesaadavaks vabatahtlikult

kasutatav riiklikult tagatud Euroopa digiidentiteedikukkur;

– Riigi Infosüsteemi Amet määratakse peamiseks pädevaks asutuseks (järelevalve, load,

register, teavitamine ja muud liikmesriigi ülesanded);

– luuakse Euroopa digiidentiteedikukrule tuginevate isikute registreerimise korraldus;

– Euroopa digiidentiteedikukru pakkujale kehtestatakse loamenetlus ja selle eest riigilõiv;

– kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse aastane koondsumma suureneb

ühelt miljonilt kahe miljoni euroni;

– Eestis väljaantavasse Euroopa digiidentiteedikukrusse kantakse lisaks kohustuslikele

isikutuvastusandmetele ka isikukood, mis on Eesti jaoks valikuline, kuid kukru praktiliseks

kasutatavuseks oluline otsus;

– kehtestatakse Euroopa Liidu nõuetele vastavad trahvimäärad (kuni 5 000 000 eurot või 1

protsent üleilmsest aastasest kogukäibest) ning sunniraha igakordne ülemmäär (500 000 eurot

või 1 protsent üleilmsest aastasest kogukäibest);

– karistusseadustikus lisatakse Euroopa digiidentiteedikukkur tähtsate isiklike dokumentide

loetellu;

2

– mitu senist sätet tunnistatakse kehtetuks, kuna need on asendunud Euroopa Liidu

otsekohalduvate rakendusmäärustega;

– Euroopa digiidentiteedikukru rakendustarkvarale kehtestatakse avatud lähtekoodi nõue koos

Eestile lubatud erandi võimalusega;

– andmekaitsealases järelevalves ja kaebuste lahendamisel isikuandmete kaitse üldmääruse

raames saab olulise rolli ka Andmekaitse Inspektsioon, kes tegutseb pädeva riikliku

andmekaitseasutusena.

Mõjud on lühidalt järgmised: kodanikud saavad võimaluse kasutada üleeuroopalist

digiidentiteeti, mis isikukoodi abil sobitub Eesti e-teenustega; ettevõtjatele luuakse selgemad

reeglid usaldusteenuste osutamiseks ja Euroopa digiidentiteedikukru pakkumiseks; kahe

paralleelse riikliku e-identimise vahendi (ID-kaart ja teised senised vahendid ning Euroopa

digiidentiteedikukkur) olemasolu suurendab e-riigi kerksust. Seaduse rakendamisega

kaasnevad riigieelarvele lisakulud, mis jagunevad rakendamiskuludeks ja järelevalve

tugevdamise kuludeks. Tegemist on õiguslikult olulise, kuid sisult eelkõige kohustusliku

kohandamisega Euroopa digiidentiteedikukru raamistiku elluviimiseks Eestis, kusjuures Eesti

valib aktiivse lähenemise, et kukkur oleks laialdaselt kasutatav ka Eesti e-teenuste puhul.

Halduskoormusele avalduva mõju kokkuvõte

Ettevõtjate halduskoormus ajutiselt suureneb, kuna osa teenuseosutajaid peavad

digiidentiteedikukru kasutuselevõtuks oma süsteeme kohandama. Mikro- ja väikeettevõtjad on

sellest kohustusest vabastatud. Samas aitab ühtne Euroopa digiidentiteedi lahendus ja

digitaalsete tõendite kasutamine edaspidi vähendada kliendituvastuse ja asjaajamisega seotud

kulusid. Inimeste halduskoormus väheneb, sest isiku ja vajalike andmete tõendamine muutub

lihtsamaks nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Avaliku sektori töökoormus

suureneb seoses digiidentiteedikukru arendamise, registri pidamise, järelevalve ja

sertifitseerimisega seotud ülesannetega.

1.2. Eelnõu ettevalmistaja

Eelnõu ja seletuskirja on koostanud Justiits- ja Digiministeeriumi IT-õiguse talituse nõunik

Mait Heidelberg ([email protected]) koostöös Riigi Infosüsteemi Ameti

ekspertidega. Eelnõu on keeleliselt toimetanud Justiits- ja Digiministeeriumi õigusloome

korralduse talituse toimetaja Inge Mehide ([email protected]).

Valdkonna eest vastutav asekantsler on Tõnu Grünberg.

1.3. Märkused

Eelnõu on seotud Euroopa Liidu õiguse rakendamisega: sellega tagatakse kooskõla Euroopa

Parlamendi ja nõukogu määrusega (EL) nr 910/20141 (edaspidi ka eIDAS-määrus), mida on

1 Euroopa Parlamendi ja nõukogu 23. juuli 2014. aasta määrus (EL) nr 910/2014 e-identimise ja e-tehingute jaoks

vajalike usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ (ELT L 257,

28.08.2014, lk 73–114). https://eur-lex.europa.eu/legal-content/ET/TXT/?uri=CELEX:32014R0910

3

muudetud Euroopa Parlamendi ja nõukogu määrusega (EL) 2024/11832 seoses Euroopa

digiidentiteedi raamistiku kehtestamisega (edaspidi ka eIDAS 2 määrus), ning nende alusel

antud Euroopa Komisjoni rakendusmäärustega.

Eelnõuga muudetakse järgmiste seaduste redaktsioone: e-identimise ja e-tehingute

usaldusteenuste seadus3 (redaktsioon jõustumiskuupäevaga 01.01.2026), riigilõivuseadus4

(redaktsioon 01.08.2026–31.10.2026) ja karistusseadustik5 (redaktsioon jõustumiskuupäevaga

01.01.2026).

Eelnõu ei ole seotud muu menetluses oleva eelnõuga. Eelnõu täidab koalitsioonileppe 2025–

2027 valdkonna 07.1 Digiriik koalitsioonileppe punkti „Teeme andmetega seotud õiguslikus

raamistikus asjad selgeks ja ühte moodi tõlgendatavaks ning lihtsustame andmetöötlust“

tegevust „ELi digikukruga seotud selgete rollide määramiseks E-identimise ja e-tehingute

usaldusteenuste seaduse muutmine“.

Eelnõu seadusena vastuvõtmiseks on vajalik Riigikogu poolthäälte enamus.

2. Seaduse eesmärk

Seaduse eesmärk on ajakohastada e-identimise ja e-tehingute usaldusteenuste seadus ning viia

see kooskõlla Euroopa Liidu uuenenud õigusaktidega. Sellega luuakse Eestis Euroopa

digiidentiteedikukru kasutuselevõtuks, järelevalveks ja õiguskaitseks selge, rakendatav ja

usaldusväärne õiguslik raamistik. Valdkonda reguleerib eIDAS-määrus, mida muudeti eIDAS

2 määrusega seoses Euroopa digiidentiteedi raamistiku kehtestamisega. Kuigi tegemist on

otsekohalduva määrusega, sisaldab see nõudeid riigisiseste mehhanismide loomiseks, et

määrust terviklikult rakendada. Määruse alusel on vastu võetud vähemalt 30 otsekohalduvat

rakendusmäärust, mis määruse (EL) nr 910/2014 nõudeid täpsustavad, ning uute

rakendusaktide ettevalmistamine ja olemasolevate muutmine jätkub. Euroopa Komisjon

kavandab rakendusmääruste ajakohasena hoidmist pideva protsessina, et sünkroniseerida neis

olevaid tehnilisi nõudeid pidevalt uuenevate standarditega. Kehtiva regulatsiooni peamine

kitsaskoht on, et see ei kajasta Euroopa digiidentiteedi raamistikku: seaduses puuduvad

Euroopa digiidentiteedikukru pakkumise, järelevalve ja asjaomaste karistuste normid ning mitu

sätet dubleerivad nõudeid, mis on nüüdseks kehtestatud Euroopa Liidu otsekohalduvate

rakendusmäärustega. Praktikas on tõlgendamisraskusi tekitanud ka sertifikaatide kehtetuks

tunnistamise aluste senine sõnastus (vt seletuskirja § 1 punktide 37–40 selgitusi).

E-identimise ja e-tehingute usaldusteenuste seaduse ajakohastamine on vajalik eelkõige

järgmistel põhjustel:

– uuendatud eIDAS-määrusega võetakse kasutusele Euroopa digiidentiteedikukru

kontseptsioon, millega seotud rollide ja vastutuse jaotus Eestis ning järelevalve korraldus tuleb

reguleerida seadusega;

2 Euroopa Parlamendi ja nõukogu 11. aprilli 2024. aasta määrus (EL) 2024/1183, millega muudetakse määrust

(EL) nr 910/2014 seoses Euroopa digiidentiteedi raamistiku kehtestamisega (ELT L, 2024/1183, 30.04.2024).

http://data.europa.eu/eli/reg/2024/1183/oj 3 RT I, 30.12.2025, 16. https://www.riigiteataja.ee/akt/130122025016

4 RT I, 11.07.2026, 166. https://www.riigiteataja.ee/akt/111072026166

5 RT I, 09.07.2026, 27. https://www.riigiteataja.ee/akt/109072026027

4

– uuendatud eIDAS-määrus ja selle rakendusaktid kirjeldavad varasemast detailsemalt mitmeid

usaldusteenuse ja selle osutamisega seotud nõudeid, mistõttu on mitu e-identimise ja e-

tehingute usaldusteenuste seaduse sätet kaotanud aktuaalsuse ja tuleb dubleerimise vältimiseks

kehtetuks tunnistada;

– uuendatud eIDAS-määrus näeb ette konkreetsed karistuste ülemmäärad rikkumiste eest,

millele vastavad sanktsioonid tuleb Eesti õigusruumis kehtestada.

Lisaks kehtestatakse loamenetlus Euroopa digiidentiteedikukru pakkumisele ja selle menetluse

kulude katmiseks tehakse vastav täiendus riigilõivuseadusesse. Kuna Euroopa

digiidentiteedikukkur kujuneb oluliseks digitaalseks isikutuvastusvahendiks, on otstarbekas

käsitleda seda ka karistusseadustikus võrdväärselt teiste isikut tõendavate vahenditega, nagu

ID-kaart ja digitaalne isikutunnistus. Nende muudatustega soovitakse saavutada, et Euroopa

digiidentiteedikukkur oleks Eestis kasutatav kooskõlas Euroopa Liidu nõuetega, sobituks Eesti

olemasolevate e-teenuste ja e-identimise lahendustega ning et riigil oleks olemas vajalikud

järelevalve- ja õiguskaitsevahendid. Kaalutud lahendusvariandid ja nende valiku põhjendused

on esitatud eelnõu sisu peatükis iga muudatuse juures ning kaalutlusotsuste (muu hulgas

isikukoodi kandmine digikukrusse ja avatud lähtekoodi erand) mõjud seletuskirja 6. peatükis.

Eelnõule ei eelnenud väljatöötamiskavatsust. See tugineb hea õigusloome ja normitehnika

eeskirja § 1 lõike 2 punktile 2, mille kohaselt ei ole väljatöötamiskavatsus nõutav, kui eelnõu

käsitleb Euroopa Liidu õiguse rakendamist ning eelnõu aluseks oleva Euroopa Liidu õigusakti

eelnõu menetlemisel on sisuline analüüs tehtud Eesti seisukohtade kujundamise käigus.

Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus (vt seletuskirja

6. ja 10. peatükki).

3. Eelnõu sisu ja võrdlev analüüs

Eelnõu koosneb kolmest paragrahvist:

– esimene paragrahv sisaldab e-identimise ja e-tehingute usaldusteenuste seaduse muudatusi,

mis lisaks uuenenud eIDAS-määruse rakendamisest tingitud lisandustele sisaldavad muu

hulgas ka lisandunud ülesannetega seotud rollijaotust valitsusasutuste vahel. Toodud rollijaotus

põhineb ametkondadevahelise elektroonse identiteedi juhtrühma arvamusel;

– teine paragrahv näeb ette lisandunud loamenetluse eest riigilõivu riigilõivuseaduses;

– kolmas paragrahv lisab karistusseadustiku tähtsate isiklike dokumentide loetellu Euroopa

digiidentiteedikukru.

Eelnõu §-ga 1 muudetakse e-identimise ja e-tehingute usaldusteenuste seadust.

§ 1 punkt 1. Paragrahvi 1 lõigete 1 ja 2 muudatustega tuuakse seaduse reguleerimisalasse

Euroopa digiidentiteedikukru pakkumine, mis lisandus uue mõistena eIDAS-määrusesse selle

eIDAS 2 määrusega muutmise tulemusena. Ühtlasi täpsustatakse reguleerimisala sõnastust,

lisades sinna e-identimise süsteemi usaldusväärsuse hindamise. Seda toimingut reguleeris

seadus ka varem, kuid reguleerimisalas oli see eraldi välja toomata.

§ 1 punkt 2. Paragrahvi 1 lõike 5 täiendusega lisatakse nende e-identimise süsteemide hulka,

mille suhtes ei rakendata kõnesolevas seaduses sätestatud usaldusväärsuse taseme hindamist,

5

ka Euroopa digiidentiteedikukkur. Euroopa digiidentiteedikukkur saab olla ainult

usaldusväärsuse tasemega „kõrge“, mis leiab kinnitust sertifitseerimise kaudu.

§ 1 punkt 3. Paragrahv 2 muudetakse ja sõnastatakse tervikuna uuesti, kuna uuenenud eIDAS-

määrus tingib pädevuse jaotuse mitme asutuse vahel; paragrahvi uus pealkiri on „Asutuste

pädevus“. Paragrahvi 2 täiendatakse lõigetega, mis määravad eri rollide jaotuse vastavalt

uuenenud eIDAS-määruse nõuetele.

Lõikega 1 lisatakse viited uuendatud eIDAS-määruse sätetele, kus kirjeldatakse liikmesriigi

kohustusi või toiminguid, mis on liikmesriigi pädevuses. Ametkondadevahelise elektroonse

identiteedi juhtrühma arvamuse kohaselt nähakse pädeva asutusena ette Riigi Infosüsteemi

Amet.

Pädeva asutuse ülesandeid täidab Riigi Infosüsteemi Amet mitmes eristatud rollis:

järelevalveasutusena, kes teeb järelevalvet Euroopa digiidentiteedikukru pakkuja üle;

hankijana, kes korraldab digikukru teenusepakkuja hankemenetluse riigi nimel, ning taristu

haldajana, kes korraldab digikukru infrastruktuuri loomist ja haldamist. Rollide lahusus

tagatakse Riigi Infosüsteemi Ameti sisese ülesannete jaotusega, mille kohaselt järelevalvet

tegevad töötajad ei osale digikukru hanke korraldamises ega infrastruktuuri haldamises.

Politsei- ja Piirivalveameti hankeroll isikut tõendavate dokumentide (ID-1-dokumendid)

usaldusteenuse hangete korraldamisel on Riigi Infosüsteemi Ameti pädeva asutuse rollist

iseseisev, kuna Politsei- ja Piirivalveamet hangib usaldusteenust enda väljastatavatele

dokumentidele, mitte ei tee selle üle riiklikku järelevalvet. Digikukruga seotud detailsem

rollijaotus on läbi räägitud ja kokku lepitud töörühma tasandil (nt digiidentiteedi juhtrühmas

mh 19.06.2024 ja 16.07.2024).

Lõige 2 puudutab liikmesriigi kohustust teha isikutele kättesaadavaks Euroopa

digiidentiteedikukkur. Vastavalt eIDAS-määrusele võib seda teha vahetult liikmesriik, seda

võib teha liikmesriigi volituse alusel või sõltumatult, kuid liikmesriigi tunnustatuna. Kui

eelmise lõikega omistati see kohustus pädevale asutusele, siis lõikega 2 antakse pädevale

asutusele võimalus Euroopa digiidentiteedikukru pakkumist ja selleks vajalikke tegevusi

allhankida.

Lõige 3 määrab kindlaks, et eIDAS-määruse artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5

punkti a alapunktis x sätestatud pädeva riikliku andmekaitseasutuse rolli täidab Andmekaitse

Inspektsioon. Nimetatud sätete kohaselt peab Euroopa digiidentiteedikukkur võimaldama

kasutajal andmete saamiseks esitatud väidetavalt ebaseadusliku või kahtlase taotluse korral

hõlpsasti teatada digidentiteedikukrule tuginevast isikust pädevale riiklikule

andmekaitseasutusele. Sisuliselt on tegemist teavituskanaliga, mille kaudu Andmekaitse

Inspektsioon saab teavet võimalikest andmekaitsealastest rikkumistest; teate saamisel menetleb

Andmekaitse Inspektsioon seda oma tavapärase pädevuse piires isikuandmete kaitse

üldmääruse alusel. Kooskõlastusringil esitatud Andmekaitse Inspektsiooni märkuste alusel

koondati Andmekaitse Inspektsiooni rolli käsitlev regulatsioon sellesse lõikesse ning eelnõust

jäeti välja seda dubleerinud ja Andmekaitse Inspektsioonile eIDAS-määruse artikli 46a kohast

järelevalvepädevust andnud sätted, sest määruse artikli 46a kohane järelevalveasutus on üksnes

pädev asutus (Riigi Infosüsteemi Amet).

Lõige 4 määrab valdkonna eest vastutava ministeeriumi korraldama Euroopa

digiidentiteedikukru sertifitseerimise kava väljatöötamist, Euroopa Komisjoni teavitamist

sertifitseerijast ja avaliku sektori asutustest, kes väljastavad eIDAS-määrusele vastavaid

tõendeid.

6

§ 1 punkt 4. Peatüki 2 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru

pakkuja.

§ 1 punkt 5. Paragrahvi 3 lõikes 2 täpsustatakse eIDAS-määruse sätte viidet, kuna säte on

jäänud samaks, kuid numeratsioon on määruse uues versioonis muutunud. Pädeva asutusena

mõeldakse § 1 p 3 kohast pädevat asutust ehk RIA-t.

§ 1 punkt 6. Lisanduva paragrahviga 3¹ luuakse Eestis eIDAS-määruse artikliga 5b ja

komisjoni rakendusmäärusega (EL) 2025/8486 ette nähtud digiidentiteedikukrule tuginevate

isikute registreerimiseks vajalik register. eIDAS-määruse artikkel 5b ja nimetatud

rakendusmäärus näevad ette, et liikmesriigid loovad vähemalt ühe Euroopa

digiidentiteedikukrule tuginevate isikute riikliku registri, mis sisaldab teavet selles liikmesriigis

asutatud ja registreeringut omavate digiidentiteedikukrule tuginevate isikute kohta.

Paragrahviga nähakse ette vastava andmekogu loomine, sinna esitatavate andmete koosseis,

andmete esitamise korra kehtestamine, andmete säilitamise tähtaeg ning registreeringu

peatamine ja tühistamine.

Andmekogu asutamisel on järgitud avaliku teabe seaduse § 43⁵ nõudeid: paragrahvi lõikes 1

sätestatakse andmekogu pidamise eesmärk, lõikes 2 registrisse teabe esitamise korra

kehtestamine ja avalikustamine, lõikes 3 registris isikuandmetena töödeldavate andmete

koosseis, lõikes 4 andmete säilitamise tähtajad, lõikes 5 registriandmete avalikkus, lõikes 6

andmekogu vastutav töötleja (Riigi Infosüsteemi Amet), lõikes 7 volitusnorm registri

põhimääruse kehtestamiseks ning lõikes 8 registreeringu peatamine ja tühistamine. Registri

liidestamisel teiste andmekogudega järgitakse avaliku teabe seaduse § 43⁹ lõiget 5

(andmevahetus X-tee kaudu).

Lõikes 3 sätestatakse registris isikuandmetena töödeldavate andmete koosseis:

digiidentiteedikukrule tugineva isiku esindaja ees- ja perekonnanimi, isikukood,

kontaktandmed ning logiandmed. Isikuandmete töötlemine registris piirdub seega peamiselt

juriidiliste isikute esindajate ja kontaktisikute andmetega. Töödeldavate isikuandmete

kategooriad lisati seadusesse kooskõlastusringil Andmekaitse Inspektsiooni ning

Siseministeeriumi infotehnoloogia- ja arenduskeskuse esitatud märkuste alusel, et

andmekoosseis ei jääks õigusselguse seisukohalt liiga avatuks.

Lõikes 4 sätestatakse andmete säilitamise tähtajad kolme andmekategooria kaupa. Punkti 1

kohaselt säilitatakse rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud andmeid vastavalt

rakendusmääruse kohaselt kümme aastat. Seda tähtaega seaduses korratakse, et tagada ülevaade

andmete säilitamise tähtaegadest. Punkti 2 kohaselt säilitatakse logiandmeid kümme aastat.

Selle eesmärk on võimalike intsidentide lahendamine (näiteks andmete väärkasutus, mis selgub

aastaid hiljem). Intsidentide lahendamise korral on vaja alles hoida ka kõiki nende andmetega

seotud tehnilisi andmeid (näiteks logid, kontaktisikute nimed ja muud menetlusandmed), kuna

ka need võivad intsidentide lahendamisel vajalikuks osutuda. Punkti 3 kohaselt säilitatakse

muid isikuandmeid, kuni digiidentiteedikukrule tuginev isik muudab registrikannet. Silmas

peetakse digiidentiteedikukrule tugineva isiku esindaja kontaktandmeid (näiteks e-posti

aadress), mis kustutatakse kohe pärast vastava registrikande muutmist. See võib toimuda

näiteks siis, kui digiidentiteedikukrule tugineva isiku esindaja vahetub ning registrisse on vaja

6 Komisjoni 6. mai 2025. aasta rakendusmäärus (EL) 2025/848, millega kehtestatakse Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 rakenduseeskirjad kukrule tuginevate isikute registreerimise kohta (ELT L,

2025/848, 7.5.2025). http://data.europa.eu/eli/reg_impl/2025/848/oj

7

kanda uue esindaja kontaktandmed. Lisaks eelnimetatud kolmele andmekategooriale

säilitatakse ka muid registri pidamise eesmärgi täitmiseks vajalikke isikuandmeid

mittesisaldavaid andmeid (kõnesoleva seaduse § 3¹ lõike 3 punkt 5) kümme aastat, mis on

vajalik nende ühtseks toimimiseks muude kogutavate andmetega. Seaduses seda

andmekategooriat eraldi ei käsitleta, kuna sellega ei kaasne põhiõiguste riivet.

Lõike 5 kohaselt on registrisse kantud andmed avalikud, välja arvatud avaliku teabe seaduse

alusel määratud piiratud juurdepääsuga teave. Andmete avalikkuse nõue tuleneb eIDAS-

määruse artikli 5b lõikest 5 ja rakendusmääruse (EL) 2025/848 artikli 3 lõikest 4, mille kohaselt

tuleb digiidentiteedikukrule tuginevate registreeritud isikute kohta käiv nimetatud

rakendusmääruse I lisas loetletud teave teha internetis avalikult kättesaadavaks nii inim- kui ka

masinloetavas vormingus. Juurdepääsu piiramise alus peab tulenema seadusest: avaliku teabe

seaduse (AvTS) § 3 lõikes 2 väljendatud avalikkuse põhimõtte kohaselt võib avalikule teabele

juurdepääsu piirata üksnes seaduses sätestatud korras, mistõttu ei saa registriandmetele

vaikimisi teabepiirangut ette näha. Praeguse teadmise kohaselt on piiratud juurdepääsuga

näiteks digiidentiteedikukrule tugineva isiku ärisaladuseks määratud vahendaja ja kontaktisiku

andmed, kui need määratakse ärisaladuseks AvTS-i § 35 lõike 1 punkti 17 alusel. Lisaks AvTS-

i § 35 lõike 1 punktile 17 võib teabele juurdepääsu piiramise aluseks olla ka sama lõike punkt

12 (eraelu puutumatust kahjustav teave), näiteks rakendusmääruse (EL) 2025/848 artikli 3 lõike

4 alla mittekuuluvate isikuandmete puhul. Seetõttu tuleb registri põhimääruses eristada

avalikustatav teave (rakendusmääruse I lisa) juurdepääsupiiranguga andmetest.

Lõikega 6 määratakse andmekogu vastutavaks töötlejaks Riigi Infosüsteemi Amet. Vastutava

töötleja ülesandeid täpsustatakse andmekogu põhimääruses.

Lõikega 7 antakse volitusnorm registri põhimääruse kehtestamiseks valdkonna eest vastutavale

ministrile. Põhimääruses sätestatakse andmete täpne koosseis, andmeandjad ja nende esitatavad

andmed, registritoimingute ja andmete säilitamise täpsemad tingimused, registri rahastamine

ning registriga seotud muud korralduslikud nõuded.

Lõike 2 kohaselt kehtestab ja avalikustab Riigi Infosüsteemi Amet oma veebilehel registrisse

teabe esitamise korra. See kord hõlmab üksnes registreerimise tehnilisi ja korralduslikke

üksikasju (näiteks andmete esitamise vorming ja kanalid); isikute õigusi ja kohustusi

puudutavad registreerimiskorra elemendid, sealhulgas andmete esitamise ja menetlemise

täpsem kord, sätestatakse seaduses ja lõike 7 alusel antava registri põhimääruse §-s 8. Lõike 8

kohaselt võib pädev asutus teha otsuse digiidentiteedikukrule tugineva isiku registreeringu

peatamiseks või tühistamiseks rakendusmääruse (EL) 2025/848 artikli 9 lõikes 2 loetletud

juhtudel.

§ 1 punkt 7. Paragrahvis 41 sätestatakse digiidentiteedikukru pakkuja ja usaldusteenuse osutaja

kohustus teavitada pädevat asutust turvaintsidentidest. eIDAS-määrus ning komisjoni

rakendusmäärus (EL) 2025/847 näevad ette liikmesriikide kohustuse reageerida Euroopa

digiidentiteedikukruga seotud turvarikkumistele ning teavitada vajaduse korral Euroopa

Komisjoni ja teisi liikmesriike, kuid ei pane Euroopa digiidentiteedikukru pakkujale otsest

kohustust teavitada riigisisest pädevat asutust. Kuna Euroopa digiidentiteedikukru pakkuja ei

ole Euroopa Liidu õiguse kohaselt automaatselt direktiivi (EL) 2022/2555 ega selle Eesti

rakendusakti, küberturvalisuse seaduse kohaldamisalasse kuuluv subjekt, on vaja kehtestada

vastav riigisisene teavitamiskohustus.

Usaldusteenuse osutajate puhul sisuliselt taastatakse teavituskohustus, mis kehtis kuni 1.

jaanuarini 2026, arvestades et küberturvalisuse seaduses sätestatud küberintsidendi määratlus

8

ei hõlma täies ulatuses usaldusteenuse osutamisel ega Euroopa digiidentiteedikukru pakkumisel

tekkida võivaid turvaintsidente. Küberturvalisuse seaduse § 2 punkti 19 kohaselt on

küberintsident võrgu- ja infosüsteemis toimuv sündmus, mis ohustab või kahjustab võrgu- ja

infosüsteemi turvalisust. Näiteks kui usaldusteenuse osutaja või tema partner väljastab

sertifikaate auditeeritud protsessi tingimusi rikkudes, ei ole tegemist küberintsidendiga

küberturvalisuse seaduse ega direktiivi (EL) 2022/2555 tähenduses, vaid turvaintsidendiga

eIDAS-määruse tähenduses; ka sellistest intsidentidest tuleb pädevat asutust teavitada.

Lõikes 1 sätestatakse Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja kohustus

teavitada pädevat asutust 24 tunni jooksul turvaintsidendist, mis oluliselt mõjutab või võib

mõjutada usaldusteenuse, Euroopa digiidentiteedikukru või selle kaudu osutatava teenuse

turvalisust, töökindlust või usaldusväärsust; säte hõlmab nii tegelikke kui ka olulise mõjuga

võimalikke turvaintsidente. 24 tunni tähtaeg tuleneb eIDAS-määrusest; see täpsustati

kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul.

Lõikes 2 määratakse kindlaks teate sisu, mis võimaldab pädeval asutusel hinnata

turvaintsidendi mõju ning otsustada vajalike meetmete üle.

Lõikes 3 antakse pädevale asutusele õigus nõuda täiendavat teavet ja dokumente, kui see on

vajalik turvaintsidendi mõju hindamiseks või Euroopa Liidu õigusest tulenevate kohustuste

täitmiseks.

§ 1 punkt 8. Paragrahvi 5 pealkirja täiendatakse, lisades sinna ka Euroopa digiidentiteedikukru

pakkuja ja pakkumise.

§ 1 punkt 9. Paragrahvi 5 lõikega 1 lisatakse nõuete subjektiks ka Euroopa digiidentiteedikukru

pakkuja ja objektiks Euroopa digiidentiteedikukru pakkumine. Samas jäetakse välja viide

avalikult heakskiidetud ja kättesaadavatele spetsifikatsioonidele. Selle asemel viidatakse

eIDAS-määruse rakendusaktidele, mis praeguseks määravad täpselt kindlaks, milliseid

standardeid ja spetsifikatsioone tuleb järgida.

Lõikes 2 muudetakse kvalifitseeritud usaldusteenuse osutajalt nõutava kindlustuskatte summa

suurust kõigi kindlustusjuhtumite kohta aastas. Senise ühe miljoni euro asemel nõutakse kahe

miljoni euro suuruse kindlustuskatte olemasolu. Summa on olnud üle kümne aasta muutumatu

ega suhestu enam praeguse hinnatasemega. Samas jääb iga üksiku kindlustusjuhtumi kohta

nõutav kindlustuskate endiseks.

§ 1 punkt 10. Paragrahvi 5 lõikega 3 pikendatakse kvalifitseeritud usaldusteenuse osutaja

tegevuslogi säilitamise tähtaega kümnelt aastalt kaheteistkümnele aastale kirje loomisest

arvates. Lõiget 3 muudetakse Politsei- ja Piirivalveameti ettepanekul. 2026. aasta kevadel

tehtud eIDAS-i auditi raames andis audiitor hinnangu, et eIDAS-määruse ja rahvusvahelise

ETSI standardi (ETSI EN 319 411-1, nõuded OVR-6.4.6-01 ja REG-6.3.4-17) kohaselt peavad

logid ja tõendid sertifikaatide kasutustingimustega nõustumise kinnituse kohta olema

kättesaadavad kuni 12 aastat. Kvalifitseeritud sertifikaadi maksimaalne kehtivusaeg on kuni

viis aastat ja ETSI standardi kohaselt tuleb sertifikaatidega seotud sündmusi logida vähemalt

seitse aastat pärast sertifikaadi kehtivuse lõppu. Tsiviilseadustiku üldosa seaduse (TsÜS) § 146

lõike 4 kohaselt on tahtliku rikkumise korral nõuete aegumistähtaeg kümme aastat. Kuna

vaidlused võivad tekkida vahetult enne seda tähtaega ja selle tähtaja piiril ning neile lisandub

menetlusaeg, tagab 12-aastane logide puhver selle, et vajalikud tõendid ja logid (sertifikaatide

kehtivusajad, sertifikaatide kasutustingimuste logid) on kohtuvaidluste tarbeks kättesaadavad.

9

§ 1 punkt 11. Senine paragrahvi 5 lõige 4 tunnistatakse kehtetuks, kuna üksikasjalikud nõuded

tegevuse lõpetamise kavale on praeguseks kehtestatud eIDAS-määruse otsekohalduva

rakendusaktiga.

§ 1 punkt 12. Paragrahvi 5 lõike 5 täiendus on vajalik, kuna isiku tuvastamist käsitlevad sätted

on eIDAS-määruses muutunud. Viidatud artikli 24 lõike 1a punkt d käsitleb isiku tuvastamist

füüsilise kohaloleku korral vastavalt riigisisesele õigusele. Lõikega täpsustataksegi, kuidas

sellises olukorras Eestis isikut tuvastatakse.

§ 1 punkt 13. Paragrahvi 5 lõikega 9 laiendatakse karistatuse puudumise nõuet ka

usaldusteenuse osutaja alltöövõtjale. Täiendus on vajalik, et viia seaduse tekst kooskõlla

uuenenud eIDAS-määruse ja komisjoni rakendusmääruse (EL) 2025/25307 nõuetega.

§ 1 punkt 14. Paragrahvi 5 lisatakse lõiked 10–12, mis käsitlevad Euroopa digiidentiteedikukru

pakkumist.

Lõige 10. Vastavalt eIDAS-määruse artikli 5a lõikele 2 peab Euroopa digiidentiteedikukru

rakendustarkvara komponentide lähtekood olema avatud lähtekoodi litsentsiga. Samas antakse

liikmesriikidele võimalus näha ette erand. Kõnesoleva sättega nähakse selline võimalus Eesti

jaoks ette.

Lõige 11 näeb ette, et Euroopa digiidentiteedikukru pakkuja lisab kukru kasutaja

isikutuvastusandmete hulka ka isikukoodi, mis komisjoni rakendusmääruse (EL) 2024/29778

kohaselt on valikuline parameeter. Selle kaalutlusotsuse mõju on käsitletud seletuskirja 6.

peatükis.

Euroopa digiidentiteedikukru sihtrühm on Eesti isikukoodi omavad isikud: Eestis planeeritakse

kukrut pakkuda Eesti kodanikele ja Eesti isikukoodi omavatele residentidele, e-residentide

toetamist praegu ei planeerita. Seda selgitust täiendati kooskõlastusringil

Rahandusministeeriumi märkuse alusel.

Lõige 12 sätestab Euroopa digiidentiteedikukru pakkuja õiguse teha päringuid isikut tõendavate

dokumentide andmekogusse (ITDAK) ja rahvastikuregistrisse, kui see on vajalik

isikutuvastusandmete kukrusse kandmiseks või nende ajakohasuse kontrollimiseks. Mõju

nendele andmekogudele on kavandatud järgmiselt. Isikut tõendavate dokumentide

andmekogust on planeeritud küsida teatud juhtudel isiku näokujutist (pilti). Rahvastikuregistrist

on planeeritud küsida muid komisjoni rakendusmääruse (EL) 2026/1731 (millega muudetakse

rakendusmäärust (EL) 2024/2977) tabelis 1 loetletud isikutuvastusandmeid, sealhulgas kasutaja

sünnikohta. Kõik kohustuslikud isikutuvastusandmed peale näokujutise saadakse

rahvastikuregistrist selle alusel, millega inimene ennast isikutuvastusandmete väljastamiseks

tuvastas. Samuti nõuab eIDAS-määruse artikli 5a lõike 9 punkt c, et liikmesriigid tagavad

võimaluse tunnistada Euroopa digiidentiteedikukkur kasutaja surma korral kehtetuks. Andmeid

päritakse isiku enda algatusel kukru väljastamisel või andmete ajakohasuse kontrollimisel

ühekordselt ning need salvestatakse konkreetse inimese seadmes olevasse kukrusse;

näokujutise hilisemal kasutamisel võetakse see seadmest, seega ei kaasne püsivat

päringukoormust isikut tõendavate dokumentide andmekogule. Praeguse teadmise kohaselt ei

7 Komisjoni rakendusmäärus (EL) 2025/2530 (ELT L, 2025/2530).

8 Komisjoni 28. novembri 2024. aasta rakendusmäärus (EL) 2024/2977 (ELT L, 2024/2977, 4.12.2024).

10

eelda eelnõu rakendamine rahvastikuregistri ega isikut tõendavate dokumentide andmekogu

arendusi, sest kasutatakse nende olemasolevaid teenuseid X-tee kaudu.

Isikuandmete töötlemise õiguslikud alused on järgmised. Näokujutise saamiseks isikut

tõendavate dokumentide andmekogust on aluseks Euroopa digiidentiteedikukru pakkuja ja

andmeandja vaheline andmetöötlusleping ning komisjoni rakendusmääruse (EL) 2026/1731

tabelis 1 sätestatud isikutuvastusandmete koosseis kooskõlas isikuandmete kaitse üldmääruse

(IKÜM) artikli 6 lõike 1 punktiga b. Rahvastikuregistrist andmete saamise alus on

andmetöötlusleping ning rahvastikuregistri seaduse § 46 lõike 2 punkt 2 kooskõlas IKÜM-i

artikli 6 lõike 1 punktidega b ja c. Andmetöötlus toimub analoogselt ID-kaardi ja mobiil-ID-ga,

mille puhul erasektori teenusepakkuja töötleb isikuandmeid riigi tellimusel teenuse

osutamiseks.

Põhiseaduse ja IKÜM-i valguses riivab Euroopa digiidentiteedikukru pakkumisel toimuv

isikuandmete töötlemine põhiseaduse §-ga 26 tagatud eraelu puutumatust ja § 19 lõikest 1

tulenevat informatsioonilist enesemääramist, kuid riive on põhiseaduspärane. Töötlemise juhud

ja kord on sätestatud vahetult kohalduvas eIDAS-määruses ja selle rakendusaktides, mis

sisaldavad erandlikult üksikasjalikke ja siduvaid kaitsemeetmeid: andmete valikuline

avaldamine ja kasutaja ainukontroll (artikli 5a lõike 4 punkt a), keeld koguda teenuse

osutamiseks mittevajalikku teavet ja kohustus hoida kukru pakkumisega seotud isikuandmeid

muudest andmetest loogiliselt lahus (artikli 5a lõige 14), jälgimis- ja seostamiskeeld (artikli 5a

lõige 16) ning kasutamise vabatahtlikkus (artikli 5a lõige 15). Kukru kasutamine on vabatahtlik

ja andmetöötlus toimub iga kord kasutaja algatusel; lisaks kohustab eIDAS-määrus kukru

pakkujat võimaldama kasutajal valida, milliseid andmevälju ta soovib e-teenusega jagada.

Isikutuvastusandmeid ja tõendeid säilitatakse kasutaja seadmes kasutaja kontrolli all, mitte riigi

keskses andmekogus. Töötlemise õiguslik alus on IKÜM-i artikli 6 lõike 1 punkt c (õiguslik

kohustus, mis tuleneb eIDAS-määrusest ja selle rakendusaktidest) ning punkt e koosmõjus

artikli 6 lõikega 3 (avalikes huvides olev ülesanne). Liikmesriigi poolt või nimel toimuva

töötlemise vastavust IKÜM-ile tuleb eIDAS-määruse artikli 5a lõike 17 kohaselt tõendada;

selleks koostab Riigi Infosüsteemi Amet enne kukru kasutuselevõttu andmekaitsealase

mõjuhinnangu (IKÜM-i artikkel 35). Riive eesmärk (identiteedikindlus ning teiste isikute

õiguste ja vabaduste kaitse digikeskkonnas) on legitiimne ning valitud vahendid on sobivad,

vajalikud ja mõõdukad, sest töödeldavate andmete ring piirdub eIDAS-määruses ja selle

rakendusaktides sätestatud koosseisuga ning kasutajal säilib tegelik võimalus töötlemisest

hoiduda, kasutades seniseid e-identimise vahendeid.

§ 1 punkt 15. Paragrahvi 6 pealkirja täiendatakse, lisades sinna ka Euroopa

digiidentiteedikukru pakkuja.

§ 1 punkt 16. Kuna muudetav paragrahv 6 hõlmab kahte eri luba, täpsustatakse lõike 2

sõnastust nii, et see käib usaldusteenuse osutamise kohta. Samuti lisatakse loa kehtivuse aja

kohta sõna „kuni“, sest luba tugineb auditi aruandele, mille aktuaalsus piirneb küll kahe aastaga,

kuid audit võib olla tehtud ka oluliselt enne loataotluse esitamist.

§ 1 punkt 17. Paragrahvi 6 täiendatakse lõigetega 4 ja 5, kuna eIDAS-määruse kohaselt peab

Euroopa digiidentiteedikukru pakkuja läbima sertifitseerimise, kus vastavushindamisasutus

kinnitab määrusega ettenähtud nõuete täitmist ja väljastab selle kohta sertifikaadi. Sertifikaadi

kehtivus on kuni viis aastat, misjärel tuleb sertifitseerimine uuesti läbida. Otstarbekas on ka loa

kehtivusaeg hoida sünkroonis sertifikaadi kehtivusega. Lõikega 4 kehtestatav loakohustus

laieneb Euroopa digiidentiteedikukru pakkumisele samamoodi nagu paragrahvi 6 lõikes 1

sätestatud loakohustus usaldusteenuse osutamisele. Nõue tuleneb eIDAS-määruse artikli 46a

11

lõike 3 punktist a, mille kohaselt teeb järelevalveasutus Euroopa digiidentiteedikukru pakkujate

üle järelevalvet nii ex ante kui ka ex post, tagamaks pakkujate ja nende pakutavate Euroopa

digiidentiteedikukrute vastavus määruse nõuetele. Loakohustus võimaldab pädeval asutusel

veenduda kukru pakkuja nõuetele vastavuses enne pakkumise alustamist. Loakohustus riivab

põhiseaduse §-s 31 sätestatud ettevõtlusvabadust, kuid riive on põhiseadusega kooskõlas. Riivel

on legitiimne eesmärk: tagada, et isikutuvastuse ja isikuandmete töötlemise seisukohalt eriti

tundlikku teenust pakub üksnes nõuetele vastav isik. Meede on sobiv ja vajalik, sest kukru

nõuetele vastavust ei ole võimalik sama tõhusalt tagada üksnes tagantjärele tehtava

järelevalvega, ning mõõdukas, kuna loa saamise tingimused piirduvad eIDAS-määrusest

tulenevate nõuete täitmise kontrolliga ja loakohustus järgib sama loogikat, mis kehtib juba

kvalifitseeritud usaldusteenuse osutajate suhtes.

Luba kehtib kuni viis aastat: loa kehtivusaeg on kooskõlas sertifikaadi kehtivusega ning kui

sertifikaat mingil põhjusel kaotab kehtivuse (näiteks kui eIDAS-määruse artikli 5c lõikes 4

nimetatud korralist nõrkuste hindamist ei tehta või tuvastatud puudusi ettekirjutusest hoolimata

ei kõrvaldata), tunnistab pädev asutus ka loa kehtetuks. Sätte eesmärk ei ole kehtestada, et luba

kehtib igal juhul viis aastat.

§ 1 punktid 18 ja 19. Paragrahvi 7 lõike 3 punkti 1 muudetakse ja lõiget 3 täiendatakse punktiga

1¹, et loetleda täpsemalt dokumendid, mis on vajalikud loataotluse menetlemiseks.

Vastavushindamiselt oodatakse ka kinnitust vastavuse kohta küberturvalisuse seaduse nõuetele,

kuna eIDAS-määrus kohustab usaldusteenuse osutajat järgima ka Euroopa Parlamendi ja

nõukogu direktiivi (EL) 2022/25559 nõudeid, mis ei rakendu otse, vaid on Eestis üle võetud

küberturvalisuse seadusega.

Punktis 1 täpsustati kooskõlastusringil Siseministeeriumi infotehnoloogia- ja arenduskeskuse

märkuse alusel, et taotlusele lisatakse usaldusnimekirja lisatav teenuse sertifikaat selle

olemasolu korral. Silmas peetakse usaldusnimekirja lisatavat teenuse sertifikaati, mitte

vastavushindamisasutuse väljastatud sertifikaati; kuna kõigil teenustel sellist sertifikaati ei ole,

esitatakse see üksnes olemasolu korral.

Punktis 1¹ nimetatud põhjendatud järeldus (koondjäreldus) usaldusteenuse ja selle osutaja

vastavuse või mittevastavuse kohta tähendab audiitori kokkuvõtvat hinnangut usaldusteenuse

ja selle osutaja eIDAS-määruse nõuetele ja seotud riigisisestele nõuetele vastavuse kohta. See

võib sisalduda sertifikaadil või aruande põhidokumendis ning olla esitatud paari lausega või

näiteks tabeli kujul. Samasisuline nõue oli varem majandus- ja taristuministri 26. oktoobri 2016.

a määruse nr 64 „Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord“ § 3 lõike

2 punktis 7; kuna nimetatud määrus muutub eelnõu kohaselt kehtetuks, tõstetakse nõue

seadusesse. Vastavushindamisasutus peab kontrollima usaldusteenuse osutaja vastavust muu

hulgas ka küberturvalisuse seadusele, millega on riigisiseselt üle võetud direktiiv (EL)

2022/2555. Praktikas ei ole see nõue probleeme tekitanud.

§ 1 punkt 20. Paragrahvi 7 lõike 3 punktiga 3 lisatakse taotlemisel esitatavate dokumentide

hulka ka teenuse riskianalüüs. Küberturvalisuse seadusest tulenevalt on kvalifitseeritud

usaldusteenuse osutaja ülioluline üksus, kellel on kohustus teha riskianalüüs. Lisatud sättega

nähakse loamenetlejale ette võimalus selle riskianalüüsiga tutvuda.

9 Euroopa Parlamendi ja nõukogu 14. detsembri 2022. aasta direktiiv (EL) 2022/2555, mis käsitleb meetmeid,

millega tagada küberturvalisuse ühtlaselt kõrge tase kogu liidus, ja millega muudetakse määrust (EL) nr 910/2014

ja direktiivi (EL) 2018/1972 ning tunnistatakse kehtetuks direktiiv (EL) 2016/1148 (küberturvalisuse 2. direktiiv)

(ELT L 333, 27.12.2022, lk 80–152).

12

Punktiga 4 lisatakse taotlemisel esitatavate dokumentide hulka tõend kindlustuse olemasolu

kohta. Punktiga 5 nähakse ette Euroopa digiidentiteedikukru pakkuja loataotluse

menetlemiseks vajalikud dokumendid: eIDAS-määruse artikli 5c lõike 2 kohaselt tuleb

liikmesriigil edastada Euroopa Komisjonile selle e-identimise süsteemi kirjeldus, mille alusel

Euroopa digiidentiteedikukrut pakutakse, Euroopa digiidentiteedikukru sertifikaat ja

sertifitseerimise hindamise aruanne.

§ 1 punkt 21. Paragrahvi 7 lõige 4 tunnistatakse kehtetuks, kuna eIDAS-määruse rakendusaktid

kirjeldavad ammendavalt standardeid, mille kohaselt tuleb usaldusteenuse osutamise

põhimõtteid kirjeldada.

§ 1 punkt 22. Paragrahvi 8 punkti 1 lisatakse ka Euroopa digiidentiteedikukru pakkumine.

Kuna loamenetlus käsitleb kahte eri luba, täpsustatakse punktiga 2, et seal peetakse silmas just

usaldusteenuse osutaja auditit.

§ 1 punkt 23. Kuna loamenetlus käsitleb kahte eri luba, lisatakse punktiga 2¹ paragrahvi 8 viide

eIDAS-määrusele, mille kohase sertifitseerimise peab Euroopa digiidentiteedikukkur olema

läbinud. Kooskõlastusringil täpsustati Tarbijakaitse ja Tehnilise Järelevalve Ameti ettepanekul

sätte sõnastust selliselt, et sertifitseerimise objektina nimetatakse Euroopa

digiidentiteedikukrut, mitte selle pakkujat, ning viidatakse eIDAS-määruse artiklile 5c

tervikuna. Nii Euroopa digiidentiteedikukru kui ka usaldusteenuse loa taotlemisel peab esitatav

sertifikaat olema kehtiv.

§ 1 punkt 24. Paragrahvi 9 lõike 1 punkti 1 ehk loa andmisest keeldumist kirjeldavasse sättesse

lisatakse ka Euroopa digiidentiteedikukru pakkuja luba puudutav.

§ 1 punkt 25. Paragrahvi 9 lõikesse 1 lisatud punkt 4 annab võimaluse loa andmisest keelduda,

kui taotleja vastavushindamise aruandes või sertifitseerimise hindamise aruandes esineb olulisi

vastuolusid. Tegemist on lõike 1 punktist 1 erineva alusega: punkt 1 kirjeldab olukorda, kus

audiitor märgib selgesõnaliselt, et teenus või teenuse osutaja ei vasta nõuetele, punkt 4 aga

olukorda, kus aruande järgi teenus või teenuse osutaja küll vastab nõuetele, kuid aruandes

kirjeldatu alusel jõuab pädev asutus järeldusele, et esineb olulisi vastuolusid, mille

kõrvaldamiseni ei ole võimalik luba väljastada. Olulise vastuoluga on tegemist näiteks siis, kui

aruandes ei ole hinnatud riigisisesele õigusele vastavust, vastavust on hinnatud valede või

aegunud nõuete alusel või nähtub aruandest, et seda on kopeeritud teise aruande pealt sisusse

süvenemata. Need näited pärinevad tegelikust järelevalvepraktikast. Üksnes vormiline või

tähendust mittemuutev ebatäpsus loa andmisest keeldumise alust ei anna. Selline piiritlus tagab

kooskõla põhiseaduse §-st 10 ja § 13 lõikest 2 tuleneva õigusselguse põhimõttega: loa taotleja

jaoks on ettenähtav, millise puuduse korral võib loa andmisest keelduda.

§ 1 punkt 26. Paragrahvi 9 lõiget 2 täiendatakse, selgitamaks, et majandustegevuse seadustiku

üldosa seaduse §-s 37 sätestatud loa kehtetuks tunnistamise alused kehtivad ka kõnesoleva

seaduse loamenetluse korral.

§ 1 punkt 27. Paragrahvi 9 lõike 2 punktide 1–3 sõnastust muudetakse nii, et hõlmatud ei oleks

ainult kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise

teenus.

§ 1 punkt 28. Paragrahvi 9 lõike 3 sõnastust muudetakse nii, et hõlmatud ei oleks ainult

kvalifitseeritud usaldusteenused, vaid ka Euroopa digiidentiteedikukru pakkumise teenus.

13

§ 1 punkt 29. Paragrahvi 9 lõike 4 sõnastust muudetakse, et kajastada olukorda, kus

usaldusnimekirja kirjeid ei kustutata, vaid neid muudetakse, et need peegeldaksid tegelikku

kehtivuse seisu.

§ 1 punkt 30. Paragrahvi 10 muudetakse, sõnastades lõike 3 selliselt, et kvalifitseerimata

usaldusteenuse osutaja ja usaldusteenus kantakse usaldusnimekirja kuni kaheks aastaks. Sõna

„kuni“ lisati kooskõlastusringil Riigi Infosüsteemi Ameti ettepanekul, et viia sätte sõnastus

kooskõlla usaldusnimekirja kandmise üldise loogikaga: usaldusnimekirja kandmine peab olema

kooskõlas väljastatud vastavushindamise sertifikaadiga. Vastavushindamise sertifikaat,

tegevusluba ning usaldusnimekirja andmed peavad olema omavahel alati kooskõlas.

Vastavushindamise sertifikaat väljastatakse kaheks aastaks, kuid tegevusloa menetlus võib

toimuda mõnevõrra hiljem ning seetõttu võib ka usaldusnimekirja lisamise periood olla

mõnevõrra lühem.

§ 1 punkt 31. Paragrahvi 12 pealkiri muudetakse, asendades selles sõna „vastavushindamise“

sõnaga „sertifitseerimise“. Uuenenud eIDAS-määrus ja selle rakendusaktid kirjeldavad

detailselt usaldusteenuste vastavushindamist, kuid lisandunud on Euroopa digiidentiteedikukru

sertifitseerimise protseduur, milleks vajaliku kava peab iga liikmesriik ise looma.

§ 1 punkt 32. Paragrahvi 12 lõige 2 tunnistatakse kehtetuks, sest viide usaldusteenuse osutaja

ja usaldusteenuse vastavushindamise korra määrusele on muutunud ebavajalikuks. Uuendatud

eIDAS-määruse alusel vastu võetud komisjoni rakendusmäärus (EL) 2025/216210 seab nõuded

vastavushindamisele, muutes seega Eesti määruse ebavajalikuks. Samas eeldab uuendatud

eIDAS-määrus, et liikmesriigid loovad riigipõhise Euroopa digiidentiteedikukru

sertifitseerimise kava.

§ 1 punkt 33. Paragrahvi 12 täiendatakse lõigetega 2¹–2³, mis käsitlevad Euroopa

digiidentiteedikukrute sertifitseerimist.

Lõige 2¹. Uuendatud eIDAS-määrus ja komisjoni rakendusmäärus (EL) 2024/298111 näevad

ette, et Euroopa digiidentiteedikukrute sertifitseerimine toimub vastavalt liikmesriikide loodud

kavadele. Sättega pannakse selliste kavade loomise, ajakohasena hoidmise ja läbivaatamise

kohustus valdkonna eest vastutavale ministeeriumile. Sertifitseerimise ulatuse, sealhulgas

sertifitseeritavate komponentide ja nõuete ulatuse, määrab komisjoni rakendusmäärus (EL)

2024/2981. Euroopa digiidentiteedikukru väljaandmise etappide kohta on Riigi Infosüsteemi

Amet avaldanud analüüsi oma veebilehel.12

Lõikega 2² nähakse ette, et valdkonna eest vastutav ministeerium avaldab nende kavade

ajakohased versioonid internetis.

Lõige 2³. Vastavalt eIDAS-määrusele sertifitseerivad Euroopa digiidentiteedikukruid

liikmesriikide määratud vastavushindamisasutused. Selle sättega määratletakse, millised

vastavushindamisasutused tulevad sertifitseerimiseks kõne alla. Konkreetne

vastavushindamisasutus leitakse hankeprotsessi käigus.

10

Komisjoni rakendusmäärus (EL) 2025/2162 (ELT L, 2025/2162). 11

Komisjoni 28. novembri 2024. aasta rakendusmäärus (ELT L, 2024/2981, 4.12.2024). 12 https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet

14

§ 1 punkt 34. Paragrahvi 13 pealkirja täiendatakse, kuna muudatustest teavitamine peab

hõlmama ka Euroopa digiidentiteedikukrut.

§ 1 punkt 35. Paragrahvi 13 lõike 1 muudatusega viiakse usaldusteenuse muudatustest

teavitamise tähtajad kooskõlla uuendatud eIDAS-määruses sätestatuga. Ühtlasi laiendatakse

muudatustest teavitamise kohustust ka Euroopa digiidentiteedikukru pakkujale.

§ 1 punkt 36. Paragrahvi 13 lõiked 3 ja 4 muudetakse. Lõikes 3 seatakse pädevale asutusele

tähtaeg, mille jooksul tuleb teada anda taotluse uuesti esitamise vajadusest. Ühtlasi laiendatakse

sätet ka Euroopa digiidentiteedikukru pakkujale.

Lõikes 4 asendatakse väljend „usaldusnimekirjas kajastatud andmete muutmise“ väljendiga

„teenuse muutmise taotluse“. Ilma muudatuseta tuleks riigilõivu maksta ainult siis, kui

muutuvad usaldusnimekirjas kajastatud andmed. Praktikas enamasti andmed usaldusnimekirjas

ei muutu, kuid muudatuse läbivaatamine ja kinnitamine nõuab pädevalt asutuselt omajagu

ressurssi. Lisaks ei oleks senise sõnastusega kaetud Euroopa digiidentiteedikukru muudatused,

mida usaldusnimekirja ei kanta. Muudatus tehti kooskõlastusringil Riigi Infosüsteemi Ameti

ettepanekul.

§ 1 punkt 37. Paragrahvi 18 täiendatakse lõikega 5, kuna olenevalt tehnilisest teostusest ja

teenuse osutamise korraldusest ei pruugi usaldusteenus võimaldada kord peatatud sertifikaatide

kehtivust uuesti taastada. Sellises olukorras lähtub usaldusteenuse osutaja sertifikaatide

kehtivuse peatamisel sertifikaatide kehtetuks tunnistamise kohta sätestatust.

§ 1 punkt 38. Paragrahvi 19 lõiget 2 täiendatakse punktiga 4, millega lisatakse sertifikaatide

kehtetuks tunnistamise taotlejate loetellu ka isikut tõendavate dokumentide väljaandja, kuid

teatud pädevusepiirangutega. Isikut tõendavate dokumentide väljaandja võib taotleda

sertifikaatide kehtetuks tunnistamist ainult isikut tõendavate dokumentide seaduse § 2 lõike 2

punktides 1–12 nimetatud dokumendile kantud sertifikaatide puhul ja ainult neil alustel, mis on

isikut tõendavate dokumentide seaduses sätestatud. Varem oli sama tähendus e-identimise ja

e-tehingute usaldusteenuste seaduse § 19 lõikel 5, kuid senine sõnastus on tekitanud praktikas

erinevaid tõlgendamisvõimalusi, eelkõige selle puhul, kas vastavad isikut tõendavate

dokumentide seaduse normid on erinormid e-identimise ja e-tehingute usaldusteenuste seaduse

§ 19 normide suhtes. Selguse huvides nimetatakse isikut tõendavate dokumentide väljaandjat

edaspidi teiste võimalike kehtetuks tunnistamise taotlejate loetelus. Kooskõlastusringil

täpsustati Siseministeeriumi märkuse alusel, et säte viitab isikut tõendavate dokumentide

seaduse § 2 lõike 2 punktides 1–12 nimetatud dokumentidele ehk dokumentidele, millele

e-identimise ja e-tehingute usaldusteenuste seadus kohaldub; reisidokumendid jäävad sätte

kohaldamisalast välja.

§ 1 punkt 39. Paragrahvi 19 lõike 4 punkti 5 muudetakse, täpsustades, et sertifikaadi kehtetuks

tunnistamise alus on sertifikaadi omaja tegevuse lõpetamise tõttu tema kustutamine

sertifitseerimise registrist. Täpsustatakse sõnastust (sertifitseerimise register), et eristada seda

registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist. Muudatus on

täpsustav ega muuda sätte senist sisu.

§ 1 punkt 40. Paragrahvi 19 lõikega 4 lisatava sätte eesmärk on näha ette selge õiguslik alus

sertifikaatide kehtetuks tunnistamiseks, kui on ilmnenud, et sertifikaatide väljastamine ei vasta

usaldusteenuse loa tingimustele või eIDAS-määruses või kõnesolevas seaduses sätestatud

nõuetele. Muus osas on sätte senine sõnastus laiahaardeline ega ole tekitanud praktikas

küsitavusi ja vastuolulisi tõlgendamisvõimalusi.

15

§ 1 punkt 41. Paragrahvi 19 lõiget 5 muudetakse, jättes välja viite isikut tõendavate

dokumentide seaduses loetletud sertifikaadi kehtetuks tunnistamise alustele ja korrale, kuna

samatähenduslik säte lisatakse selguse eesmärgil eelnõuga e-identimise ja e-tehingute

usaldusteenuste seaduse § 19 lõikesse 2. Samas lisatakse usaldusteenuse osutajale kohustus

teavitada enne sertifikaadi kehtetuks tunnistamist sellest isikut tõendava dokumendi

väljaandjat.

Teavitamiskohustus puudutab isikusertifikaate, mitte juur- ega vahesertifikaate. Teavitamise

eesmärk on tagada, et dokumendi väljaandja saaks sertifikaatide kehtetuks tunnistamise korral

astuda omapoolsed sammud: näiteks kui dokument on varastatud ja sellest antakse teada

usaldusteenuse osutajale, tuleb ka füüsiline dokument kehtetuks tunnistada. Teavitamine võib

toimuda ka tehniliste lahenduste kaudu. Eelneva teavitamise all peetakse silmas mõistlikku

aega; täpse tähtaja sätestamist ei peetud eelnõu koostamisel vajalikuks. Ka selles sättes

viidatakse isikut tõendavate dokumentide seaduse § 2 lõike 2 punktides 1–12 nimetatud

dokumentidele. Neid selgitusi täiendati kooskõlastusringil Siseministeeriumi märkuste alusel.

§ 1 punkt 42. Lisanduva paragrahviga 23¹ kehtestatakse riikliku järelevalvemenetluse käigus

ettekirjutuse täitmata jätmise korral rakendatava sunniraha igakordseks ülemmääraks 500 000

eurot või kuni 1 protsent usaldusteenuse osutaja eelmise majandusaasta ülemaailmsest

kogukäibest, olenevalt sellest, kumb summa on suurem. Kooskõlastusringi tulemusel vähendati

Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku tõttu sunniraha ülemmäära 5

000 000 eurolt 500 000 eurole ehk kümme korda. Samas on piisavalt suur piirmäär vajalik, et

säilitada tõhus võimalus mõjutada Euroopa digiidentiteedikukru pakkujat õiguskuulekale

tegevusele ning täita seeläbi eIDAS 2 määruse artikli 16 lõikes 1 sätestatud kohustus. eIDAS 2

määruse artikli 16 lõige 1 kohustab liikmesriike kehtestama mõjusad, proportsionaalsed ja

hoiatavad normid eIDAS-määruse rikkumise eest kohaldatavate karistuste kohta; see säte

kohaldub lisaks usaldusteenuse osutajatele ka Euroopa digiidentiteedikukru pakkujale. Samas

otsustati eelnõu koostamise käigus, et Euroopa digiidentiteedikukru pakkujale ei nähta ette

trahve selliselt, nagu seda on tehtud usaldusteenuse osutaja suhtes (eelnõukohane e-identimise

ja e-tehingute usaldusteenuste seaduse § 23³). See lähtus kaalutlusest, et kuna eIDAS 2 määruse

artikli 16 lõikes 2, mis näeb ette trahvimäärad, ei nimetata Euroopa digiidentiteedikukru

pakkujaid, oleks trahvi ettenägemine kukru pakkujale ülereguleerimine (nn gold-plating; vt ka

„Ametniku Euroopa Liidu käsiraamatu“ peatükki 8.3.5).13 Seega on piisavalt suur sunniraha

ülemmäär (500 000 eurot) sobiv tasakaalupunkt eIDAS 2 määruse artikli 16 lõikes 1 sätestatud

kohustuse täitmiseks Euroopa digiidentiteedikukru pakkuja suhtes olukorras, kus kukru

pakkujale ei ole trahve ette nähtud. Pädev asutus peab sunniraha määramise korral hindama,

millises määras on sunniraha rakendamine konkreetsel juhul proportsionaalne. Vähendamine

puudutab ülemmäära fikseeritud osa. Käibepõhine alternatiiv (kuni 1 protsent kogukäibest, kui

see on suurem) säilib, mistõttu suure käibega kohustatud isiku puhul ülemmäär ei muutunud.

§ 1 punkt 43. Eelnõuga lisatava peatüki 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse

osutajatega“ eesmärk on tagada Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

artikli 48a rakendamine, mille kohaselt tuleb liikmesriigil koguda ja Euroopa Komisjonile

esitada statistilisi andmeid, sealhulgas Euroopa digiidentiteedikukru ja kvalifitseeritud

usaldusteenuste toimimise kohta, ning avaldada need üleliiduliselt. Selleks kehtestatakse

määruses (EL) nr 910/2014 nimetatud teenuse osutajale statistika kogumiseks ja esitamiseks

vajalik teabevahetuskohustus. Andmeid kogutakse teenuse osutajalt vajaduspõhiselt ja

proportsionaalsuse põhimõttel.

13 https://riigikantselei.ee/el-poliitika-julgeolek-ja-riigikaitse/eesti-euroopa-liidus/ametniku-euroopa-liidu-

kasiraamat/ulereguleerimine-ehk-direktiivis-satestatust-rangemate-nouete-kehtestamine

16

§ 1 punkt 44. Lisanduva peatükiga 3² kehtestatakse trahvimäärade ülemmäärad seaduse nõuete

rikkumise eest. Kohustus sellised trahvimäärad kehtestada tuleneb eIDAS-määruse artiklist 16.

Peatükis nimetatud väärtegude kohtuväliseks menetlejaks määratakse Riigi Infosüsteemi Amet.

Trahvimäärade ülemmäärad tuginevad eIDAS 2 määruse artikli 16 lõikele 2, mille punkti a

kohaselt on füüsilisest isikust usaldusteenuse osutajale kohaldatava rahatrahvi ülemmäär 5 000

000 eurot ja punkti b kohaselt juriidilisele isikule 5 000 000 eurot või 1 protsent tema eelmise

majandusaasta ülemaailmsest kogukäibest, olenevalt sellest, kumb on suurem.

Karistusseadustiku § 47 üldmäärad (lõike 1 kohaselt füüsilisele isikule kuni 300 trahviühikut ja

lõike 2 kohaselt juriidilisele isikule kuni 400 000 eurot) jäävad nendest määradest väiksemaks.

Samas võib KarS-i § 1 lõike 1 järgi sätestada karistusseadustiku üldosast erisusi muudes

seadustes, kui seda nõuab reguleeritava valdkonna eripära. Praegusel juhul on kõrgemad

trahvimäärad sätestatud konkreetse valdkonna otsekohalduvas Euroopa Liidu määruses.

Selliste trahvimäärade kehtestamine on kooskõlas Eesti Vabariigi põhiseaduse §-ga 23, kuna

väärteokoosseisud (kõnesoleva seaduse § 5, § 6 lõige 1 ja § 13 lõige 1) on piisavalt selgelt

sõnastatud ning trahvimäärade ülemmäärad on seaduses arvuliselt fikseeritud. Karistuste suurus

on proportsionaalne põhiseaduse § 32 tähenduses, kuna trahvimäärade ülemmäärad on

kooskõlas eIDAS 2 määrusest tuleneva kohustusega ning pädev asutus peab trahvi määrates

hindama iga üksikjuhtumi puhul karistuse proportsionaalsust.

§ 1 punkt 45. Paragrahvi 25 pealkirja täiendatakse pärast tekstiosa „tempel ning“ sõnaga

„sertifitseerimise“, nii et pealkiri nimetab sertifitseerimise registrisse kantud

sertifitseerimisteenuse osutajat. Täpsustatakse sõnastust (sertifitseerimise register), et eristada

seda registrit eelnõuga asutatavast digiidentiteedikukrule tuginevate isikute registrist.

Muudatus on täpsustav ega muuda sätte senist sisu.

Eelnõu §-ga 2 muudetakse riigilõivuseadust.

§ 2 punkt 1. Paragrahvi 116² pealkirja muudatus on vajalik, kuna loamenetlusse lisandub

Euroopa digiidentiteedikukru pakkuja loa menetlemine.

§ 2 punktid 2 ja 3. Paragrahvi 116² lõigete 1 ja 2 muutmine ning lõike 3 täiendamine on vajalik,

kuna loamenetlusse lisandub Euroopa digiidentiteedikukru pakkuja loa menetlemine.

Riigilõivust kaetakse Euroopa digiidentiteedikukru pakkuja loataotluse menetlemise kulud, mis

hinnanguliselt ei erine usaldusteenuse loataotluse menetlemisega kaasnevatest kuludest.

Eelnõu §-ga 3 muudetakse karistusseadustikku.

§ 3. Euroopa digiidentiteedikukkur pakub samasuguseid funktsioone või isegi enamat kui mitu

karistusseadustiku §-s 350 nimetatud dokumenti. Otstarbekas on näha ette võimalus käsitleda

Euroopa digiidentiteedikukruga seotud süütegusid samadel alustel kui näiteks digitaalse

isikutunnistusega seotud süütegusid. Selleks lisatakse tähtsa isikliku dokumendi loetellu ka

Euroopa digiidentiteedikukkur. Otstarbekas on lisada loetellu ka e-identimise vahendid, mida

ei ole küll välja antud isikut tõendavate dokumentide seaduse alusel, kuid mis on e-identimise

ja e-tehingute usaldusteenuste seaduses sätestatud korras hinnatud samaväärseks vahendiga,

mille usaldusväärsuse tase on „kõrge“.

4. Eelnõu terminoloogia

Eelnõuga võetakse kasutusele järgmised uued terminid, mis tulenevad eIDAS-määrusest:

„Euroopa digiidentiteedikukkur“ (eIDAS-määruse artikli 3 punkt 42), „Euroopa

digiidentiteedikukru pakkuja“ ja „digiidentiteedikukrule tuginev isik“ (eIDAS-määruse artikli

17

3 punkt 52 koostoimes artikliga 5b). Kooskõlas hea õigusloome ja normitehnika eeskirja § 18

lõikega 2 on eelnõus kasutatavad terminid kooskõlas Euroopa Liidu õigusakti eestikeelses

tekstis kasutatud terminitega. Uue andmekogu nimetusena võetakse kasutusele

„digiidentiteedikukrule tuginevate isikute register“. Rohkem uusi termineid ei looda. Eelnõus

kasutatavad terminid on kooskõlas e-identimise ja e-tehingute usaldusteenuste seaduses,

riigilõivuseaduses ja karistusseadustikus juba kasutusel. olevatega.

5. Eelnõu vastavus Euroopa Liidu õigusele

Eelnõu on kooskõlas Euroopa Liidu õigusega. Eelnõu on seotud eIDAS-määruse (mida on

muudetud eIDAS 2 määrusega) ja selle alusel antud Euroopa Komisjoni rakendusmääruste

rakendamisega. Euroopa Liidu toimimise lepingu artikli 288 kohaselt on määrus tervikuna

siduv ja vahetult kohaldatav kõikides liikmesriikides, mistõttu määrust riigisisesesse õigusesse

üle ei võeta ega selle sätteid riigisiseses õiguses ei korrata. Eelnõu sisaldab üksnes riigisiseseid

rakendusmeetmeid, mida määrus liikmesriigilt nõuab või võimaldab: pädevate asutuste

määramine (eIDAS-määruse artikli 7 punkt f ning artiklid 5a–5e, 9, 12, 46a ja 46b), kukrule

tuginevate isikute riikliku registri asutamine (artikkel 5b ja rakendusmäärus (EL) 2025/848),

karistusnormide kehtestamine (artikkel 16) ning liikmesriigile jäetud kaalutlusruumi

kasutamine (muu hulgas avatud lähtekoodi erand artikli 5a lõike 2 alusel, isikukoodi kandmine

kukrusse rakendusmääruse (EL) 2024/2977 alusel ja isiku tuvastamise viis füüsilise kohaloleku

korral artikli 24 lõike 1a punkti d alusel).

Kuna eelnõukohase seadusega ei võeta üle direktiivi, vaid rakendatakse määrust, ei lisata

eelnõule normitehnilist märkust ega koostata direktiivi ülevõtmise vastavustabelit. Eelnõu ja

eIDAS 2 määruse sätete seoste ülevaade on esitatud seletuskirja lisas 2 (vastavustabel). Eelnõu

ei sisalda sätteid, mis läheksid kaugemale eIDAS 2 määruse nõuetest, välja arvatud

liikmesriigile sõnaselgelt jäetud valikute kasutamine, mille põhjendused on esitatud seletuskirja

3. ja 6. peatükis.

6. Seaduse mõjud

Eelnõu on seotud eIDAS 2 määruse rakendamisega. Kuna Euroopa Liidu määrus on Euroopa

Liidu toimimise lepingu artikli 288 kohaselt tervikuna siduv ja vahetult kohaldatav, tulenevad

sihtrühmade põhilised õigused ja kohustused vahetult eIDAS 2 määrusest ning tekivad

olenemata eelnõust. Eelnõu käsitleb üksnes määruse rakendamiseks vajalikke või lubatud

riigisiseseid meetmeid: Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaani kohaselt

muudetakse e-identimise ja e-tehingute usaldusteenuste seadust, riigilõivuseadust ja

karistusseadustikku ning muudatuste sisuks on eelkõige riigisisesed rollid, järelevalve ja

karistused.14 Eelnõu põhilahendused on järgmised: Riigi Infosüsteemi Amet määratakse

pädevaks asutuseks ja järelevalveasutuseks (eelnõu § 1 punktid 3 ning 41–43), riigile luuakse

võimalus Euroopa digiidentiteedikukru pakkumine ja selleks vajalikud tegevused allhankida

(eelnõu § 1 punkt 3), asutatakse digiidentiteedikukrule tuginevate isikute register (eelnõu § 1

punkt 6) ning kehtestatakse Euroopa Liidu nõuetele vastavad sunniraha- ja trahvimäärad

(eelnõu § 1 punktid 41 ja 43). Selguse huvides kirjeldatakse 6. peatükis nii eelnõu enda kui ka

eIDAS 2 määruse kohaldamisega kaasnevaid mõjusid, sest sihtrühmade jaoks avalduvad need

koos ja lahutamatult. Kavandatavad muudatused avaldavad mõju mitmes valdkonnas, hõlmates

sotsiaalset mõju (sh e-teenuste kasutamise võimaluste laienemine), mõju riigi julgeolekule ja

välissuhetele (digiidentiteedi taristu turvalisus ja piiriülene koostalitlusvõime), mõju

14

Justiits- ja Digiministeeriumi kaasamisplaan: olulisemad algatused 2026. aastal. Justiits- ja Digiministeerium:

2026. https://www.justdigi.ee/sites/default/files/documents/2026-03/JDM%20kaasamisplaan%202026_pdf.pdf

18

majandusele (halduskoormus, ettevõtjate kohustused ja uute teenuste arendamise võimalused)

ning mõju riigiasutuste ja kohaliku omavalitsuse korraldusele (uued ülesanded, järelevalve ja

infosüsteemide arendamine).

Eelnõu kohta ei ole koostatud väljatöötamiskavatsust (vt seletuskirja punkt 2). Eesti seisukohad

Euroopa Komisjoni ettepaneku COM(2021) 281 (final) kohta kiitis heaks Vabariigi Valitsus ja

neid arutas Riigikogu Euroopa Liidu asjade komisjon.15 Euroopa Liidu tasandil on olemas ka

põhjalik mõjuhinnang. Komisjoni mõjuhinnangu16 kohaselt oli kehtiva eIDAS-raamistiku

põhiprobleem piiriülese e-identimise piiratud ja ebaühtlane kasutatavus – mõjuhinnangu

koostamise ajaks oli e-identimise süsteemist teavitanud vaid 14 liikmesriiki, teavitatud

süsteemid (Eesti puhul muu hulgas ID-kaart ja mobiil-ID) katsid hinnanguliselt 59% liidu

elanikkonnast ning teenusepakkujate vastuvõtuvõime oli ebaühtlane. Komisjoni

mõjuhinnangut toetavas uuringus17 hinnati eri poliitikavalikute kulusid ja tulusid avaliku

sektori asutustele, internetiteenuste osutajatele, vastavushindamisasutustele, usaldusteenuse

osutajatele ja e-identimise vahendite pakkujatele. Kuna väljatöötamiskavatsust ei koostatud,

esitatakse 6. peatükis mõjude analüüs väljatöötamiskavatsuse tasemele vastava põhjalikkusega,

tuginedes muu hulgas nimetatud Euroopa Liidu tasandi mõjuhinnangule.

Mõjude hindamisel on ajaline raamistik järgmine. eIDAS 2 määrus jõustus 20. mail 2024.

Määruse artikli 5a lõike 1 kohaselt peab iga liikmesriik tegema vähemalt ühe Euroopa

digiidentiteedikukru kättesaadavaks 24 kuu jooksul artikli 5a lõikes 23 ja artikli 5c lõikes 6

osutatud rakendusaktide jõustumisest.18 Samast ajast muutub sisuliselt kohaldatavaks avaliku

sektori asutuste kohustus aktsepteerida digikukrut e-identimist ja e-autentimist nõudvatele

internetipõhistele teenustele juurdepääsul (artikli 5f lõige 1).19 Erasektori digiidentiteedikukrule

tuginevatele isikutele, kellelt õigusakti või lepingulise kohustuse alusel nõutakse veebis

kasutaja tugevat autentimist, muutub aktsepteerimiskohustus kohustuslikuks hiljemalt 36 kuu

möödumisel nimetatud rakendusaktide jõustumisest ehk 2027. aasta lõpust (artikli 5f lõige 2).20

Peamised sihtrühmad on: 1) füüsilised isikud ehk digikukru potentsiaalsed kasutajad – ligikaudu 1,36 miljonit Eesti

elanikku21 ja teiste liikmesriikide kukrute kasutajad, kes soovivad Eesti teenustele juurde

pääseda;

2) avaliku sektori asutused, kes osutavad e-identimist nõudvaid internetipõhiseid teenuseid,

sealhulgas kõik 78 kohaliku omavalitsuse üksust;

15

Eesti seisukohad Euroopa digiidentiteedi raamistiku määruse eelnõu (COM(2021) 281 final) kohta. EISi toimik

21-0812. https://eelnoud.valitsus.ee/main/mount/docList/30d59321-40e8-4d18-9e41-5676c2cbf811?activity=3.

Heaks kiidetud Vabariigi Valitsuse 30. septembri 2021. a istungil. Riigikogu toimik 1-2/21-365/6. 16

European Commission. Commission Staff Working Document. Impact Assessment Report. SWD(2021) 124

final. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124 17

European Commission. Study to support the impact assessment for the revision of the eIDAS regulation.

9.06.2021. https://digital-strategy.ec.europa.eu/en/library/study-support-impact-assessment-revision-eidas-

regulation 18

Digikukkur ehk Euroopa Liidu digiidentiteedirakendus (EUDI Wallet). Riigi Infosüsteemi Ameti koduleht,

01.06.2026. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 19

Cybernetica AS. Digikukru III etapi analüüs (Digiidentiteedikukru analüüside kogumik). Versioon 1.0,

8.04.2026. Tellija: Riigi Infosüsteemi Amet. Ptk 10 (Euroopa digiidentiteedikukrute aktsepteerimine avaliku

sektori tuginevate isikute poolt). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-

analuus.pdf 20

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 21

Statistikaameti andmebaas [e-andmebaas]. RV021. https://stat.ee/et/avasta-

statistikat/valdkonnad/rahvastik/rahvaarv

19

3) erasektori digiidentiteedikukrule tuginevad isikud, kellelt õigusakti või lepingulise kohustuse

alusel nõutakse veebis tugevat kasutaja autentimist, muu hulgas panganduse, finantsteenuste,

side, transpordi, energeetika, tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja

väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud;

4) usaldusteenuse osutajad, sealhulgas kvalifitseeritud usaldusteenuse osutajad ja uut liiki

usaldusteenuste (elektrooniliste tõendite väljastamine, e-allkirja kaugloomise vahendite

haldamine) osutajad;

5) autentsete allikate eest vastutavad asutused ehk riiklike andmekogude pidajad, kelle andmeid

kasutatakse elektrooniliste tõendite väljastamisel ja kontrollimisel, näiteks Siseministeerium

rahvastikuregistri ning Politsei- ja Piirivalveamet isikut tõendavate dokumentide andmekogu

vastutava töötlejana;

6) Euroopa digiidentiteedikukru pakkuja;

7) Riigi Infosüsteemi Amet kui pädev asutus, järelevalveasutus ja digikukru pakkumise

korraldaja;

8) Andmekaitse Inspektsioon (AKI) andmekaitsealase järelevalve tegijana ning

9) Justiits- ja Digiministeerium kui sertifitseerimisskeemi väljatöötamise eest vastutaja.

6.1. Sotsiaalne mõju, sh demograafiline mõju

Mõju avaldub kõigile füüsilistele isikutele, kes hakkavad digikukrut kasutama avalikele ja

erasektori teenustele juurdepääsuks nii Eestis kui ka mujal Euroopa Liidus. Digikukkur

väljastatakse, seda kasutatakse ja see tunnistatakse füüsiliste isikute jaoks kehtetuks tasuta

(eIDAS 2 määrusega kehtestatud artikli 5a lõige 13) ning kukkur peab pakkuma kõigile

füüsilistele isikutele vaikimisi ja tasuta võimalust anda kvalifitseeritud e-allkiri mittekutselistel

eesmärkidel (artikli 5a lõike 4 punkt g). Digikukkur on kavandatud täiendava riikliku

isikutuvastusvahendina ID-kaardi ja teiste kehtivate eID-vahendite kõrval, mitte nende

asendajana.22 Kasutajal on täielik kontroll oma andmete üle: ta saab andmeid valikuliselt

avaldada, kasutada varjunimesid ning jälgida kõiki tehinguid ühise töölaua kaudu (artikli 5a

lõiked 4 ja 14). Võrreldes kehtivate e-identimise vahenditega suureneb seega inimese

teadlikkus ja kontroll selle üle, milliseid tema andmeid, kellele ja millal edastatakse – see on

selgelt positiivne mõju eraelu puutumatusele ja informatsioonilisele enesemääramisele. Ka

Euroopa Komisjon toob digikukru peamise kasuna kodanikele esile lihtsama juurdepääsu

avalikele ja erasektori teenustele, asjaajamisele kuluva aja ja halduskoormuse vähenemise ning

andmete valikulise avaldamise, mis vähendab oluliselt profileerimise võimalust; teatavates

olukordades võimaldab kukkur identifitseerida end täiesti anonüümselt.23

Eelnõuga tehtav oluline riigisisene kaalutlusotsus on isikukoodi kandmine kukrusse. Kuigi

eelnõuga korraldatakse otsekohalduva Euroopa Liidu määruse rakendamist Eestis, on siiski

valikukohti, mida Euroopa Liidu määrus ette ei kirjuta. Eelnõus nähakse ette, et lisaks

kohustuslikele isikutuvastusandmetele lisatakse Eestis väljaantavate Euroopa

digiidentiteedikukrute isikutuvastusandmete hulka ka Eesti isikukood, mis rakendusmääruse

(EL) 2024/2977 kohaselt ei ole kohustuslik, vaid valikuline parameeter. Isikukoodi lisamine

annab Eesti inimestele võimaluse kasutada harjumuspäraseid e-teenuseid ka Euroopa

digiidentiteedikukru abil. Vastasel juhul oleks Euroopa digiidentiteedikukru laialdane

kasutuselevõtt Eestis raskendatud ning selle kasutamine jääks piiratud ulatusega, peamiselt

piiriüleste teenuste kasutamisega seotud juhtudesse. See otsus puudutab kogu Eesti

elanikkonda, kuid otsuse enda mõju tähtsus on mõõdukas, kuna e-teenuste kasutamiseks on

22

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 23

Benefits. EU Digital Identity Wallet. Euroopa Komisjoni veebileht, 23.10.2025. https://ec.europa.eu/digital-

building-blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits

20

inimestel ka alternatiivid. Isikukoodi digikukrusse kandmine on vajalik, sest Eesti e-teenuste

isikutuvastus põhineb valdavalt isikukoodil ning ilma selleta ei oleks kukkur Eesti teenustes

seniste riiklike e-identimise vahenditega samaväärselt kasutatav. Meede on proportsionaalne:

isikukood on avalik-õiguslikult reguleeritud ja laialdaselt kasutatav identifikaator, mille

töötlemine digikukrus piirdub isikutuvastusandmete koosseisuga ega too kaasa uue andmekogu

loomist. Kaalutud alternatiiv – digikukru väljaandmine ilma isikukoodita – jätaks kukru

kasutusala peamiselt piiriüleseks ega täidaks eesmärki. Andmekaitseriske, sealhulgas

isikukoodi ülemäärase avaldamise riski, maandavad eIDAS-määruse nõuded andmete

valikulise avaldamise kohta: kasutaja otsustab, milliseid andmeid ta digiidentiteedikukrule

tuginevale isikule avaldab, ning digiidentiteedikukrule tuginev isik võib küsida üksnes oma

registreeringus märgitud andmeid.

Digikukru kasutamine on vabatahtlik: määruse artikli 5a lõike 15 kohaselt ei tohi kukrut

mittekasutavate isikute juurdepääsu avalikele ja erasektori teenustele ega tööturule mingil moel

piirata ning juurdepääs peab jääma võimalikuks ka muude identimis- ja autentimisvahenditega.

See maandab digilõhe riski: inimesed, kes nutitelefoni ei kasuta või uut lahendust ei soovi, ei

jää teenustest ilma. Rakendamisel tuleb siiski jälgida, et digikukru kasutamine ei muutuks

praktikas kohustuslikuks alternatiivide puudumise tõttu. E-identimise vahendid ja nende

kasutajaliidesed peavad ühtlasi vastama Euroopa Parlamendi ja nõukogu direktiivi (EL)

2019/88224 ligipääsetavusnõuetele, mis toob kasu eakatele ja piiratud funktsionaalse

võimekusega inimestele. Kasutaja privaatsust kaitseb ka see, et määrus keelab kasutajate

jälgimise ja profiilianalüüsi eri teenuste vahel ning kukru kasutamise kohta tohib koguda üksnes

teenuse osutamiseks vajalikke andmeid (artikli 5a lõiked 14 ja 16).25

Positiivne sotsiaalne mõju avaldub ka alaealiste kaitsele: kuigi eIDAS 2 määrus alaealisi eraldi

ei reguleeri, on digikukkur kavandatud toimima muu hulgas vanuse kontrollimise vahendina

(nt digiteenuste määruse kohaste vanusepiirangute täitmisel), võimaldades tõendada vanust

ilma muid isikuandmeid avaldamata; see eeldab kukru kättesaadavust ka alaealistele.26

Negatiivse mõju riskina tuleb arvestada uute võimalike pettuseskeemide (nt õngitsus- ja QR-

koodiründed) levikuga digikukru kasutuselevõtu algusfaasis. Seda riski aitavad maandada

määruse ja rakendusaktide turvanõuded, kukru sertifitseerimine ning kasutajate teavitamise

tegevused.27

Mõju olulisus: mõju ulatus on keskmine (teenuste kasutamise viis muutub, kuid sihtrühma

käitumisega ei kaasne kohanemisraskusi, sest kasutamine on vabatahtlik ja senised vahendid

säilivad), avaldumise sagedus on suur (e-identimine on igapäevatoiming), sihtrühm on suur

(potentsiaalselt kogu elanikkond) ning ebasoovitavate mõjude risk on väike kuni keskmine

(pettuseriskid, digilõhe). Kuna vähemalt üks kriteerium on hinnatud suureks, on sotsiaalne

mõju oluline. Demograafiline mõju puudub: eelnõu ei mõjuta rahvastiku koosseisu

ega -protsesse.

24

Euroopa Parlamendi ja nõukogu 17. aprilli 2019. aasta direktiiv (EL) 2019/882 toodete ja teenuste

ligipääsetavusnõuete kohta (ELT L 151, 07.06.2019, lk 70). 25

Cybernetica AS. Digikukru II etapi analüüs (Digiidentiteedikukru ökosüsteem). Versioon 1.1, 02.07.2025.

Tellija: Riigi Infosüsteemi Amet. Lisa 9 (Digikukrute monitoorimise aspektid).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 26

Vt viide 23, lisa 8 (Nõuded alaealistele kukruteenuse pakkumiseks).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 27

Vt viide 17, ptk 7 (QR-kood ründesaidi ründekaitse). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-III-etapi-analuus.pdf

21

6.2. Mõju riigi julgeolekule ja välissuhetele

Digiidentiteedi taristu on Eesti e-riigi toimimise kriitiline osa, mistõttu mõjutab eelnõu kaudselt

riigi sisejulgeolekut ja küberturvalisust. eIDAS 2 määrus nõuab digikukru pakkumist kõrge

usaldusväärsuse tasemega e-identimise süsteemi alusel, lõimitud turvet ning kukru

sertifitseerimist artikli 5c kohaselt; digikukru rakendustarkvara komponentide lähtekood on

üldjuhul avatud (artikli 5a lõiked 3, 11 ja 12). Need nõuded tõstavad e-identimise ökosüsteemi

turvalisuse taset tervikuna. Eelnõus valitud suund, mille kohaselt sisaldab Euroopa

digiidentiteedikukkur isikut tuvastavate andmete seas ka Eesti isikukoodi, muudab kukru

isikutuvastuse poolest samaväärseks Eesti seniste riiklike elektroonsete identimisvahenditega.

Tänu sellele on Eesti inimestel võimalus kasutada kahte eri riiklikku elektroonset

identimisvahendit ning kahe riikliku alternatiivi olemasolu annab võimaluse tagada teenuste

toimivus ka ühe süsteemi tõrke korral, mis suurendab e-riigi kerksust. Samal ajal suureneb

ründepind: digikukkur koondab isiku tuvastusandmed ja elektroonilised tõendid

mobiilseadmesse, mistõttu on kukru ja selle tugisüsteemide turvaintsidentidel potentsiaalselt lai

mõju. Identiteedivarguse riski maandamiseks tuleb muu hulgas tagada, et inimest teavitatakse

alati, kui tema nimele on digikukkur väljastatud – see kaitseb ka neid, kes ise kukrut ei kasuta.28

Kvalifitseeritud e-allkirja usaldusväärsuse seisukohalt on oluline, et allkirja kaugloomise korral

oleks tagatud allkirjastaja ainukontroll, selgesõnaline tahteavaldus iga allkirjastamistoimingu

suhtes ning võimalus allkirjastatavaid dokumente enne ja pärast allkirjastamist loodud tulemit

kontrollida, vastasel juhul on allkirja õiguslik kehtivus ohus.29 Määruse artikkel 5e näeb

turvarikkumise korral ette digikukru kättesaadavuse peatamise ja kasutajate teavitamise

kohustuse.

Välissuhete vaates tugevdab üleliiduline koostalitlusvõime Eesti positsiooni Euroopa Liidu

digitaalsel siseturul: Eesti elanikud saavad kasutada digikukrut teiste liikmesriikide teenustes

ja vastupidi. Kohustuste tähtaegne täitmine on ühtlasi oluline rikkumismenetluse riski

vältimiseks – kui Eesti ei tee digikukrut tähtajaks kättesaadavaks või ei kehtesta nõutavaid

rakendusmeetmeid, võib Euroopa Komisjon algatada Eesti suhtes rikkumismenetluse. Mõju

olulisus: ulatus keskmine, sagedus väike, sihtrühm väike, ebasoovitavate mõjude risk

keskmine. Mõju ei ületa olulisuse künnist, kuid küberturvalisuse riske tuleb rakendamisel

järjepidevalt juhtida.

6.3. Mõju majandusele

Ettevõtjatele avaldub mõju kolmes rollis. Esiteks peavad erasektoris digikukrule tuginevad

isikud, kellelt õigusakti või lepingu alusel nõutakse veebis kasutaja tugevat autentimist (muu hulgas pangad, sideettevõtjad, tervishoiu- ja transpordisektori teenuseosutajad), hiljemalt

2027. aasta lõpust kasutaja vabatahtliku taotluse korral aktsepteerima digikukrut (artikli 5f lõige

2). See toob kaasa ühekordsed liidestamis- ja arenduskulud ning autentimisvoogude

kohandamise kulud. Mikro- ja väikeettevõtjad on sellest kohustusest vabastatud, mis piirab

halduskoormuse kasvu väiksemate ettevõtjate jaoks. Väga suurte digiplatvormide

aktsepteerimiskohustus tuleneb vahetult määruse artikli 5f lõikest 3 ega puuduta Eesti

ettevõtjaid otseselt. Aktsepteerimiskohustus hõlmab kõiki eIDAS 2 määruse kohaselt

pakutavaid digikukruid, mistõttu peavad Eesti teenusepakkujad olema valmis aktsepteerima ka

28

Cybernetica AS. Digikukru I etapi analüüs. Versioon 1.0.1, 21.12.2023. Tellija: Riigi Infosüsteemi Amet.

https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 29

Vt viide 17, ptk 5 (Massallkirjastamise piirangud ja tingimused).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf

22

teiste liikmesriikide kukruid. Peame arvestama, et osa liikmesriike võib oma digikukrud

kasutusele võtta juba 2026. aasta lõpuks.30

Kohustuste rakendamisel tuleb arvestada ka ajaga, mis kulub riigil vajalike tehniliste ja

organisatsiooniliste eelduste loomiseks. Ettevõtjatele peab pärast seda jääma mõistlik aeg

lahenduste arendamiseks, testimiseks ja kasutuselevõtuks ning ettevõtjate valmisoleku

hindamisel tuleb seda samuti arvesse võtta. Samas kehtib kohustus aktsepteerida teiste

liikmesriikide kukruid sõltumata Eesti digikukru valmimise ajast. Seda selgitust täiendati

kooskõlastusringil Eesti Infotehnoloogia ja Telekommunikatsiooni Liidu ettepaneku alusel.

Teiseks peavad kõik digikukrule tugineda soovivad ettevõtjad end registreerima

digiidentiteedikukrule tuginevate isikute riiklikus registris (määruse artikkel 5b, komisjoni

rakendusmäärus (EL) 2025/84831). Registreerimisprotsess peab olema kulutõhus ja riski suhtes

proportsionaalne: rakendusmäärus nõuab veebipõhist ja võimaluse korral automaatset

registreerimist ning taotluste menetlemist põhjendamatu viivituseta, samuti on registreerimisel

esitatavate andmete maht piiratud (asukohaliikmesriik, nimi ja registrikood, kontaktandmed,

kukru kavandatud kasutus ja taotletavad andmed), mistõttu on ühe ettevõtja halduskoormus

registreerimisel väike. Ettevõtja ettevalmistavad tegevused hõlmavad kohustuse hindamist,

protsesside analüüsi, registreerimist, pääsusertifikaatide taotlemist ja süsteemide integreerimist.

Registri esmaversioon koos juhenditega on kavandatud valmima 2026. aasta lõpus või 2027.

aasta alguses ning registreerimine algab pärast selle valmimist.32 Eelnõuga ei kehtestata

digiidentiteedikukrule tuginevate isikute registreerimise ega pääsusertifikaatide väljastamise

eest riigilõivu: riigilõiv nähakse riigilõivuseaduse §-s 116² ette üksnes Euroopa

digiidentiteedikukru pakkuja loa taotluse läbivaatamise eest. See hoiab ettevõtjate turule

sisenemise barjääri madalal ja toetab Eesti konkurentsipositsiooni teiste liikmesriikide suhtes.

Registreerimise võimaliku tasustamise mõju turule sisenemisele on käsitletud ka Eesti

analüüsides33 ning digikukru kasutuse majandusmudeli selgitamise vajadus tõstatati juba 2021.

aasta kaasamisel.34

Kolmandaks mõjutab eelnõu usaldusteenuse osutajaid. Eelnõuga täpsustatakse ja

ajakohastatakse loamenetlust ning riigipõhiseid nõudeid usaldusteenuse osutaja jaoks ja

kirjeldatakse vastavat menetlust ja nõudeid ka Euroopa digiidentiteedikukru pakkuja jaoks.

Selgelt sõnastatud nõuded aitavad teenuseosutajatel loamenetlust läbida ning loovad

õigusselgust nõuetele vastavuse suhtes; see mõju puudutab väikest ringi ettevõtjaid, kuid nende

jaoks on mõju suur. eIDAS 2 määrus loob uued usaldusteenuse liigid, muu hulgas atribuutide

elektroonilise tõendamise (elektroonilised tõendid) ja e-allkirja kaugloomise vahendite

haldamise, mis avavad Eesti usaldusteenuse osutajatele uued turuvõimalused kogu Euroopa

Liidus.35 Elektrooniliste tõendite potentsiaalseid kasutusjuhte on Eestis analüüsitud juba alates

2022. aastast – näiteks töötajakaardi, kalastuslubade, perekaardi ja mobiilse juhiloa

digiteerimine –, mis võimaldaks asendada paberil ja plastkaartidel põhinevad tõendid

masinloetavate elektrooniliste tõenditega ning vähendada nii ettevõtjate kui ka riigi

30

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 31

Vt viide 6. http://data.europa.eu/eli/reg_impl/2025/848/oj 32

Vt viide 16. https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/digikukkur-eudi-wallet 33

Vt viide 17, ptk 9 (RP-dega seotud õiguslik ja menetluslik raamistik).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-analuus.pdf 34

Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj 35

Vt viide 23, ptk 2 (Digiidentiteedikukru ökosüsteem). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-II-etapi-analuus.pdf

23

asjaajamiskulusid.36 Samal ajal karmistuvad vastavusnõuded: kvalifitseeritud usaldusteenuse

osutajaid auditeeritakse vähemalt iga 24 kuu järel (artikli 20 lõige 1) ning liikmesriigid peavad

tagama, et määruse rikkumise eest saab usaldusteenuse osutajale määrata haldustrahvi, mille

maksimummäär on vähemalt 5 000 000 eurot või juriidilise isiku puhul 1% üleilmsest aastasest

kogukäibest, olenevalt sellest, kumb on suurem (artikkel 16). Eelnõu kohaselt e-identimise ja

e-tehingute usaldusteenuste seaduses kehtestatavad karistusnormid (eelnõu § 1 punktid 41 ja

43) ning karistusseadustiku § 350 täiendamine (eelnõu § 3) suurendavad seega usaldusteenuse

osutajate vastutusriski, kuid ühtlustavad selle teiste liikmesriikidega.

Euroopa Liidu tasandi mõjuhinnang toob esile, et ühtse digiidentiteedi lahenduse kasutuselevõtt

vähendab oluliselt ettevõtjate kliendituvastuse kulusid ja identiteedipettustest tulenevaid

kahjusid: komisjoni hinnangul on tegevuskulude sääst olenevalt kasutuselevõtu ulatusest

finantsteenuste sektoris liidus tervikuna 0,68–1,36 miljardit eurot aastas (kliendi tuvastamise ja

hoolsusmeetmete kulud) ja tervishoiusektoris 1,26–2,51 miljardit eurot aastas ning

identiteedipettuste kahjud vähenevad finantsteenuste sektoris 0,85–1,4 miljardi euro võrra

aastas.37 Komisjon rõhutab ühtlasi, et sertifitseeritud ja kogu liidus toimiv autentimislahendus

vähendab iga üksiktehingu kulu, võimaldab viia tundlikumaid tehinguid täielikult digitaalseks

ning pakub ettevõtjatele neutraalse avaliku sektori autentimislahenduse alternatiivina

eraõiguslikele lahendustele, mis võivad kasutada kasutajaandmeid profileerimiseks.38 Need on

liidu koondhinnangud; Eesti-spetsiifiline kvantitatiivne hinnang koostatakse eelnõu menetluse

käigus (vt punkt 6.6).

Eesti kaalutlusotsustest mõjutab ettevõtjaid ka kvalifitseeritud usaldusteenuse osutaja

vastutuskindlustuse aastase koondsumma suurendamine ühelt miljonilt kahe miljoni euroni: see

suurendab mõõdukalt kindlustusmakset, kuid tagab kannatanutele tegeliku kahju hüvitamise

võimaluse ja vastab summa kehtestamisest möödunud aja jooksul muutunud hinnatasemele; iga

üksiku kindlustusjuhtumi kohta nõutav kate ei muutu. Avatud lähtekoodi nõudest erandi

tegemise võimalus (eelnõu § 1 punkt 13) annab riigile paindlikkuse juhuks, kui digikukru

üksikute komponentide lähtekoodi avalikustamine ohustaks turvalisust; erandi kasutamata

jätmise korral kehtib määruse üldreegel, mistõttu on selle otsuse vahetu mõju ettevõtjatele ja

kasutajatele väike ning avaldub eelkõige riigi enda arendus- ja hankevalikutes.

Tarbijate jaoks väheneb asjaajamiskoormus: digikukkur võimaldab tõendada isikut ja atribuute

(nt vanust, kvalifikatsiooni, lube) ühe vahendiga nii Eestis kui ka üleliiduliselt, vähendades

paberdokumentide ja korduva andmete esitamise vajadust. Komisjoni mõjuhinnangu kohaselt

väheneks kodanike halduskoormus isikuandmete üleliidulise kasutamise korral liidus tervikuna

hinnanguliselt 350–400 miljoni euro võrra aastas.39 Mõju olulisus: ulatus keskmine (kohustatud

ettevõtjad peavad autentimislahendusi kohandama, kuid tegemist on ühekordse kohanemisega),

sagedus keskmine, sihtrühm keskmine (aktsepteerimiskohustus puudutab piiratud, kuid

majanduslikult olulisi sektoreid; mikro- ja väikeettevõtjad on vabastatud), ebasoovitavate

mõjude risk väike. Kuna kaks kriteeriumi on hinnatud keskmiseks, on mõju majandusele

oluline.

36

A. Pankova, P. Laud, A. Kalu, R. Lillemets, M. Toomsalu, M. J. Liba, A. Kamenik. Tõend kui platvorm. Riigi

Infosüsteemi Amet: 2022. https://www.ria.ee/sites/default/files/documents/2022-11/Toend-kui-platvorm-

12.05.2022.pdf 37

Vt viide 14, 3. lisa (joonis 18) ja 5. lisa (joonised 34 ja 35). https://eur-lex.europa.eu/legal-

content/EN/TXT/?uri=CELEX:52021SC0124 38

Vt viide 21. https://ec.europa.eu/digital-building-

blocks/sites/spaces/EUDIGITALIDENTITYWALLET/pages/694487811/Benefits 39

Vt viide 14, 3. lisa (joonis 18). https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124

24

6.4. Mõju elu- ja looduskeskkonnale

Puudub. Eelnõu reguleerib digitaalset identiteeditaristut ega mõjuta keskkonnakvaliteeti,

loodusvarasid ega ehitatud keskkonda. Kaudse vähese positiivse mõjuna võib digikukru ja

elektrooniliste tõendite kasutuselevõtt vähendada paber- ja plastdokumentide kasutust, kuid see

mõju ei ole mõõdetav ega siinses kontekstis oluline.

6.5. Mõju regionaalarengule

Otsene mõju puudub, sest eelnõu kohaldub kogu riigis ühetaoliselt. Kaudne vähene positiivne

mõju avaldub selles, et digikukkur parandab avalike ja erasektori e-teenuste kättesaadavust

olenemata asukohast, mis toetab teenuste tarbimist ka piirkondades, kus füüsiline teenusvõrk

on hõredam. Mõju ei ületa olulisuse künnist.

6.6. Mõju riigiasutuste ja kohaliku omavalitsuse asutuste korraldusele

Eelnõuga ei jagata ümber kohustusi keskvalitsuse struktuuris ega looda uusi struktuuriüksusi;

lisanduvad ülesanded on jagatud asutuste vahel, kelle põhiülesanded juba hõlmavad sarnaseid

funktsioone. Suurim koormus langeb RIA-le, kelle ülesanneteks on eelnõu kohaselt pädeva

asutuse ülesanded, sealhulgas digikukru pakkumise korraldamine riigi nimel (sh võimalus

pakkumine ja selleks vajalikud tegevused allhankida), digiidentiteedikukrule tuginevate isikute

riikliku registri asutamine ja pidamine koos pääsusertifikaatide väljastamise korraldamisega,

Euroopa digiidentiteedikukru pakkuja loamenetlus, e-identimise süsteemide usaldusväärsuse

taseme samaväärsuse hindamine e-identimise ja e-tehingute usaldusteenuste seaduse40 § 21¹

kohases menetluses ning riiklik ja haldusjärelevalve koos väärtegude kohtuvälise menetleja

rolliga. Kuna eIDAS 2 määrus loob uued usaldusteenuse liigid, laieneb ka usaldusteenuste

järelevalve ulatus ning lisandub Euroopa digiidentiteedikukru raamistiku järelevalveasutuse

roll (määruse artikkel 46a).41 Need ülesanded eeldavad püsivat lisaressurssi nii infosüsteemide

arenduseks ja halduseks kui ka menetluste läbiviimiseks; kulud ja rahastamisallikad on esitatud

seletuskirja 7. peatükis. Euroopa Liidu tasandil hinnati komisjoni mõjuhinnangus, et digikukru

ühe lahenduse arendus- ja halduskulud on esimese kolme aasta jooksul kokku ligikaudu 10,5

miljonit eurot ja käitamine eeldab 25–30 töötajaga püsimeeskonda, ning e-identimise süsteemi

teavitamisega seotud vastavushindamisaruande kulu on suurusjärgus 80 000 – 100 000 eurot.

Kuna Eesti kasutab eID-vahendite turvasertifitseerimist juba praegu, ei tohiks

sertifitseerimisnõuetest endist tuleneda märkimisväärseid lisakulusid.42 Andmekaitse

Inspektsiooni töökoormus suureneb digikukru ja sellega seotud töötlemistoimingute

andmekaitsealase järelevalve võrra, sealhulgas kasutajate teadete menetlemisega, mida saab

esitada otse kukru ühise töölaua kaudu (artikli 5a lõike 4 punkt d).

Digikukru ökosüsteemi käivitamine eeldab lisaks mitme muu asutuse panust. Riiklik

sertifitseerimiskava tuleb igal liikmesriigil kehtestada oma digikukrulahenduse ja selle aluseks

oleva e-identimise süsteemi arhitektuuri kohta ning määrata kava omanik. Eelnõu kohaselt on

kavade koostamine, ajakohasena hoidmine ja avaldamine valdkonna eest vastutava

ministeeriumi ülesanne (eelnõu § 1 punkt 32). Digikukru vastavushindamisasutuse

akrediteerimine on riikliku akrediteerimisasutuse (Eesti Standardimis- ja

40

Vt viide 3. https://www.riigiteataja.ee/akt/130122025016 41

Vt viide 23, ptk 2. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 42

Vt viide 14, 5. lisa. https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX:52021SC0124

25

Akrediteerimiskeskus) uus akrediteerimisteenus, millest tuleb teavitada Euroopa Komisjoni.43

Digikukkur kavandatakse eraldiseisva mobiilirakendusena. Kui digikukkur kavandatakse

kombineerituna mõne muu mobiilirakendusega (nt riigiäpiga), muutub kukru sertifitseerimine

keerukamaks ja EUDI-nõuded võivad laieneda rakenduse muudele funktsioonidele; seetõttu

tuleb arhitektuurivalikul eraldi hinnata turvaperimeetrit, sertifitseerimise ulatust ja

lisamoodulite mõju hindamisobjektile.44 Digikukru kui kõrge usaldusväärsuse tasemega e-

identimise vahendi väljaandmine eeldab isikutuvastusandmete väljastamisel koostööd

rahvastikuregistri ja isikut tõendavate dokumentide andmekogu pidajaga.45 Riiklike

andmekogude pidajatele, kelle andmekogu kvalifitseerub autentseks allikaks, tekib kohustus

võimaldada elektrooniliste tõendite kvalifitseeritud usaldusteenuse osutajatel kasutaja taotlusel

kontrollida vähemalt määruse VI lisas loetletud atribuute (nt aadress, vanus, kvalifikatsioonid,

esindusõigused) elektrooniliselt hiljemalt 24 kuu möödumisel rakendusaktide jõustumisest

(artikkel 45e). See eeldab andmekogude liideste ja andmekvaliteedi ettevalmistamist ning

kohustus on suunatud ka üleliidulisele kasutusele.46

Kõik avaliku sektori asutused, sealhulgas kohaliku omavalitsuse üksused, peavad artikli 5f

lõike 1 kohaselt aktsepteerima digikukrut nendes internetipõhistes teenustes, mille

kasutamiseks nõutakse e-identimist ja e-autentimist. Asutuste individuaalset

kohandamiskoormust vähendab oluliselt see, et valdavas osas avaliku sektori teenustes

kasutatakse autentimiseks riigi keskset autentimisteenust (TARA): digikukru tugi lisatakse

kesksesse teenusesse, misjärel jõuab see asutusteni ilma iga asutuse eraldi arendusteta. Samas

tuleb keskse autentimisteenuse vahendajarolli kujundamisel arvestada määruse piiranguga,

mille kohaselt digiidentiteedikukrule tuginevate isikute nimel tegutsevad vahendajad ei tohi

salvestada andmeid tehingu sisu kohta (artikli 5b lõige 10).47 Rakendamisel tuleb ühtlasi tagada,

et digikukru andmevahetusloogika sobituks Eesti X-tee, ühendatud andmekogude ja ühekordse

küsimise (once-only) põhimõttega ega tekitaks paralleelset, kasutaja käsitsi hallatavat tõendite

vahendamise kanalit seal, kus automatiseeritud andmevahetus on otstarbekam; sellele riskile

juhiti tähelepanu juba 2021. aasta kaasamisel.48 Asutused, kes keskset autentimisteenust ei

kasuta, peavad oma autentimislahendused ise kohandama. Kohaliku omavalitsuse üksustele ei

panda eelnõuga uusi iseseisvaid ülesandeid, kuid Euroopa digiidentiteedikukruga liidestuvad

ka kohaliku omavalitsuse üksuste e-teenused, mistõttu võivad neile kaasneda kohanemiskulud

(vt seletuskirja punkt 7.5).

Digiidentiteedikukrule tuginevate isikute registris peavad end registreerima kõik, kes peavad

digikukrut oma e-identimist nõudvates e-teenustes aktsepteerima; see hõlmab ka avaliku sektori

asutusi, sealhulgas kohaliku omavalitsuse üksusi ja riigiasutusi. Kavatsus on riigi keskse

autentimisteenuse (TARA) praegused kliendid registreerida digiidentiteedikukrule tuginevate

isikute registrisse ühekordselt ja võimalikult lihtsalt, et avaliku sektori asutuste halduskoormus

43

Vt viide 23, lisa 1 (Liikmesriigi riiklik sertifitseerimiskava) ja lisa 3 (Euroopa Komisjonile tehtavad teavitused).

https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf 44

Vt viide 17, ptk 2 (Superäpp). https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-III-etapi-

analuus.pdf 45

Vt viited 23 ja 26. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf ja

https://www.ria.ee/sites/default/files/documents/2024-01/Digikukru-I-etapi-analuus.pdf 46

Vt viide 23, ptk 2 ja lisa 2 (Autentne allikas). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-II-etapi-analuus.pdf 47

Vt viide 17, ptk 11 (TARA kui digikukru liides). https://www.ria.ee/sites/default/files/documents/2026-

05/Digikukru-III-etapi-analuus.pdf 48

Vt viide 29. http://data.europa.eu/eli/reg_impl/2025/848/oj

26

oleks sellega seoses võimalikult väike. Seda selgitust täiendati kooskõlastusringil Regionaal- ja

Põllumajandusministeeriumi, Eesti Linnade ja Valdade Liidu ning Maa- ja Ruumiameti

märkuste alusel.

Mõju olulisus: ulatus on RIA jaoks suur (lisanduvad uued püsiülesanded ja infosüsteemid),

teiste asutuste jaoks väike kuni keskmine; sagedus keskmine; sihtrühm keskmine;

ebasoovitavate mõjude risk suur (tähtajaks valmimata jäämise risk). Mõju on oluline.

Järelhindamine

Järelhindamine on ette nähtud eIDAS 2 määruse artiklis 49 ja ja toimub Europpa Liidu üleselt

Euroopa Komisjoni algatusel. eIDAS 2 määruse artikli 48a kohaselt kogub liikmesriik

statistikat digikukru ja kvalifitseeritud usaldusteenuste toimimise kohta – sealhulgas kehtiva

kukru kasutajate arv, kukrut aktsepteerivate teenuste liik ja arv, kasutajate kaebused ning

turvaintsidendid ja nende mõju – ning esitab statistilise aruande Euroopa Komisjonile igal

aastal 31. märtsiks avatud ja masinloetavas vormingus.49 Euroopa Komisjon hindab omakorda

määruse artikli 5f lõike 5 kohaselt 24 kuu jooksul digikukrute kasutuselevõtust nende nõudlust,

kättesaadavust ja kasutatavust. Riigisiseselt seiravad Justiits- ja Digiministeerium ja RIA

digikukru kasutuselevõttu jooksvalt vähemalt eelnimetatud artikli 48a näitajate alusel, millele

lisanduvad digiidentiteedikukrule tuginevate registreeritud isikute arv ning digikukruga tehtud

autentimiste ja allkirjastamiste maht. Et võimaldada nende ülesannete täitmist, lisatakse

eelnõuga peatükk 3¹ „Teabevahetus“ ning § 23² „Teabevahetus teenuse osutajatega“, mis

võimaldab valdkonna eest vastutaval ministeeriumil ja pädeval asutusel nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014

sätestatud teenuse osutajalt määruse artikliga 48a pandud ülesannete täitmiseks vajalikku

teavet.

Halduskoormuse koondhinnang

– Ettevõtete halduskoormus ajutiselt mõõdukalt suureneb, pikemas vaates võimaldab ühtne

üleliiduline identimisvahend ja tõendite digiteerimine kliendituvastuse ja asjaajamise kulusid

vähendada. Halduskoormuse ajutine suurenemine tuleneb asjaolust, et

aktsepteerimiskohustusega digiidentiteedikukrule tuginevad isikud peavad end registreerima ja

autentimislahendused kohandama (ühekordne kulu, olemasolevad riigi keskse

autentimisteenuse (TARA) kliendid võivad saada registreerimiseks lihtsustatud võimaluse).

Mikro- ja väikeettevõtjad on kohustusest vabastatud.

– Kodanike halduskoormus väheneb – isiku ja atribuutide tõendamine muutub lihtsamaks nii

Eestis kui ka üleliiduliselt. Näiteks hakkavad isikud juhiluba saama tulevikus digitaalsena

digikukrusse ega pea enam füüsilise kaardina seda kaasas kandma. Digikukkur on füüsilistele

isikutele tasuta ja selle kasutamine vabatahtlik. Muudatus võimaldab inimestel tõendada oma

isikut ning erinevaid andmeid, näiteks vanust, õigusi ja lubasid, ühe turvalise

digiidentiteedilahenduse abil nii Eestis kui ka teistes Euroopa Liidu liikmesriikides. Samuti

võimaldab digikukkur jagada teenuse kasutamiseks vajalikke andmeid digitaalselt, mis võib

vähendada vajadust hankida ja esitada tõendeid eraldi ning esitada samu andmeid korduvalt eri

teenuseosutajatele. Kasutaja saab ise valida, milliseid andmeid ta teenuseosutajaga jagab.

Digiidentiteedikukru kasutamine on füüsilistele isikutele vabatahtlik ja tasuta ning see täiendab

seniseid isikutuvastusvahendeid.

49

Vt viide 23, lisa 9. https://www.ria.ee/sites/default/files/documents/2026-05/Digikukru-II-etapi-analuus.pdf

27

– Avaliku sektori töökoormus suureneb – Riigi Infosüsteemi Ametile (RIA) lisanduvad püsivad

arendus-, haldus-, registri- ja järelevalveülesanded, Andmekaitse Inspektsioonile järelevalve

tegemise ja kaebuste menetlemise koormus, Justiits- ja Digiministeeriumile lisakohustused

seoses sertifitseerimisskeemi loomise ning ajakohasena hoidmisega ning autentseid allikaid

pidavatele asutustele atribuutide kontrolli võimaldamise kohustus. Teiste asutuste koormuse

kasvu leevendab keskse autentimisteenuse kasutamine.

7. Seaduse rakendamisega seotud riigi ja kohaliku omavalitsuse tegevused, eeldatavad

kulud ja tulud

Eelnõu rakendamine eeldab Andmekaitse Inspektsioonilt, Justiits- ja Digiministeeriumilt ning

Riigi Infosüsteemi Ametilt lisategevusi, millega kaasnevad riigieelarvelised lisakulud. Kulud

jagunevad rakendamiskuludeks (sealhulgas digikukru väljaarendamine) ja järelevalvekuludeks.

Lisaks kaasnevad ministeeriumide haldusaladele kulud oma e-teenuste digikukruga

liidestamisest. Käesolevas peatükis esitatud kulud tuginevad asutuste tegevuspõhistele

eelarvestustele perioodiks 2027–2030. Samas tuleb arvestada, et projekt jätkub ja sellega

kaasnevad kulud ka pärast 2030. aastat.

Kulude kogumaht aastatel 2027–2030 on 20 445 588 eurot. Kulud jagunevad asutuste vahel

järgmiselt (vt tabel 1).

Tabel 1. eIDAS2 rakendamise kulud asutuste ja aastate lõikes 2027–2030 (eurodes).

Allikas: AKI, JDM ja RIA eelarvestused.

Asutus 2027 2028 2029 2030 Kokku 2027–

2030

AKI 75 522 75 522 75 522 75 522 302 088

JDM 385 000 685 000 470 000 370 000 1 910 000

Liidestuvad

ministeeriumid - - 1 000 000 1 000 000 2 000 000

RIA – järelevalve 75 000 75 000 75 000 75 000 300 000

RIA – digikukru

arendus 4 483 500 4 902 000 3 431 000 3 117 000 15 933 500

Kokku 5 019 022 5 737 522 5 051 522 4 637 522 20 445 588

AKI – Andmekaitse Inspektsioon; JDM – Justiits- ja Digiministeerium; RIA – Riigi

Infosüsteemi Amet.

Ministeeriumide real kajastatakse ministeeriumide haldusalade e-teenuste digikukruga

liidestamise kulud (1 000 000 eurot 2029. aastal ja 1 000 000 eurot 2030. aastal, kokku 2 000

000 eurot); iga haldusala liidestab oma teenused digikukruga ise.

7.1. Andmekaitse Inspektsioon

AKI-le tekivad eIDAS2 määrusest tulenevate uute järelevalveülesannete täitmiseks alates 2027.

aastast iga-aastased lisakulud kokku 75 522 eurot aastas, sealhulgas tööjõukulu 68 206 eurot ja

sellega seotud majandamiskulu 7316 eurot (vt tabel 2). Kulu aluseks on üks lisanduv ametikoht

(1 FTE) eIDAS2 määrusest tulenevate järelevalvekohustuste täitmiseks; brutopalk 3600 eurot

kuus, millele lisandub 18 protsenti tugifunktsiooni katteks, ja korrutustegur 1,338

28

tööjõumaksude ja muude palgalisandite katteks (3600 x 12 x 1,18 x 1,338 = 68 206 eurot

aastas).

Tabel 2. AKI lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: AKI

eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - - - - Investeeringuid ei

kavandata.

Tööjõukulud 68 206 68 206 68 206 68 206

1 FTE eIDAS2 määrusest

tulenevate uute

järelevalvekohustuste

täitmiseks. Brutopalk

3600 eurot kuus, millele

lisandub 18 protsenti

tugifunktsiooni katteks ja

korrutustegur 1,338

tööjõumaksude ja muude

palgalisandite katteks

(3600 x 12 x 1,18 x 1,338

= 68 206 eurot aastas).

Majandamiskulud,

mis on seotud

tööjõukuludega

7 316 7 316 7 316 7 316

Uue ametikohaga seotud

majandamiskulu (töökoha

loomine ja ülalpidamine).

Muud

majandamiskulud - - - - Ei kavandata.

Kulud on seotud eelnõuga kehtestatavate uute järelevalveülesannetega, mis on kirjeldatud

seletuskirja punktis 6.6. Ilma lisaressursita ei ole AKI-l võimalik eIDAS2 määrusest tulenevaid

ülesandeid täita, mis toob kaasa Euroopa Liidu õigusest tulenevate kohustuste täitmata jätmise

riski.

7.2. Justiits- ja Digiministeerium

JDM-ile tekib eIDAS2 määrusest tulenevate ülesannete täitmiseks lisavajadus tööjõukulu,

investeeringukulu ja majandamiskulu näol kokku 1 910 000 eurot aastatel 2027–2030 (vt tabel

3). Kulud on seotud kahe uue ametikoha (projektijuht, sertifitseerimise ekspert) loomisega,

riikliku sertifitseerimisskeemi väljatöötamise, kinnitamise ja haldamisega ning digikukruga

seotud kommunikatsioonitegevustega. Tööjõukulude arvestuse aluseks on avaliku sektori

palgastatistika.

Tabel 3. JDM-i lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas: JDM-i

eelarvestus.

29

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - 300 000 - -

Investeeringukulu on

kavandatud 2028. aastasse,

kuna sertifitseerimisskeemi

tehniline infrastruktuur ja

seonduvad IT-lahendused

hangitakse pärast skeemi

sisulist kinnitamist 2027.

aastal, vastavalt kavandatud

hanke- ja arendusetapi

ajakavale.

Tööjõukulud 135 000 135 000 135 000 135 000 2 FTE-d (projektijuht,

sertifitseerimise ekspert).

Majandamiskulud,

mis on seotud

tööjõukuludega

15 000 15 000 15 000 15 000 Uute ametikohtadega seotud

majandamiskulu.

Muud

majandamiskulud 235 000 235 000 320 000 220 000

Riikliku

sertifitseerimisskeemi

väljatöötamine, kinnitamine

ja haldamine ning EUDI

kommunikatsioonitegevused.

JDM-i eelarvestuse aastasummad kulutüüpide kaupa (tabel 3) annavad 2027. aastal kokku 385

000 eurot, 2028. aastal 685 000 eurot, 2029. aastal 470 000 eurot ja 2030. aastal 370 000 eurot.

7.3. Riigi Infosüsteemi Amet – järelevalve

RIA-le tekib alates 2027. aastast digiidentiteedikukru raamistiku järelevalvega seotud iga-

aastane lisavajadus 75 000 eurot, sealhulgas tööjõukulu 67 500 eurot ja sellega seotud

töökohakulu 7500 eurot (vt tabel 4). Kulud on seotud järgmiste ülesannetega: 1) autentsete

allikate järelevalve eIDAS2 nõuetele vastavuse üle, tegevuslubade väljastamine,

teenuseosutajate üle arvestuse pidamine ning nende usaldusväärseks tunnistamine ja sellest

Euroopa Liidule teavitamine; 2) digikukru pakkujate ja tuginevate isikute järelevalve,

sealhulgas järelevalve sihipärase kasutamise üle; 3) järelevalvetegevustest regulaarne

aruandmine Euroopa Komisjonile ja Euroopa Liidu Küberturvalisuse Ametile (ENISA) –

aruandluse maht võrreldes senisega kasvab.

Tabel 4. RIA järelevalve lisakulud eIDAS2 rakendamiseks 2027–2030 (eurodes). Allikas:

RIA eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud - - - - Investeeringuid ei

kavandata.

Tööjõukulud 67 500 67 500 67 500 67 500 1 FTE digikukru

raamistiku järelevalveks.

30

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Majandamiskulud,

mis on seotud

tööjõukuludega

7 500 7 500 7 500 7 500 Uue ametikohaga seotud

töökohakulu.

Muud

majandamiskulud - - - - Ei kavandata.

7.4. Riigi Infosüsteemi Amet – digikukru arendus

RIA eID-tiimile tekib alates 2027. aastast digikukru väljaarendamise ja haldamisega seotud

lisavajadus kokku 15 933 500 eurot aastatel 2027–2030 (vt tabel 5). Kulud jagunevad kuue

tegevussuuna vahel: 1) digikukru teenusepakkuja hankimine; 2) digiidentiteedikukrule

tuginevate isikute registri loomine ja haldamine; 3) tõendite vahendamise lüüsi loomine ja

haldamine; 4) olemasoleva eID baasteenuse TARA API muutmine digikukruga liidestamiseks;

5) olemasoleva eID baasteenuse DigiDoc muutmine digikukruga liidestamiseks; 6)

olemasoleva eID baasteenuse SiGa (Signature Gateway) muutmine digikukruga liidestamiseks.

Tabel 5. RIA digikukru arenduse lisakulud eIDAS2 rakendamiseks 2027–2030

(eurodes). Allikas: RIA eID-tiimi eelarvestus.

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

Investeeringud 1 290

000

1 000

000 350 000 350 000

Digikukru teenusepakkuja

hankimine (1 250 000 eurot

kokku),

digiidentiteedikukrule

tuginevate isikute registri

loomine (420 000 eurot),

tõendite vahendamise lüüsi

loomine (420 000 eurot)

ning TARA API, DigiDoc

ja SiGa muutmine (kokku

900 000 eurot).

Tööjõukulud 606 000 687 000 716 000 752 000

10 FTE-d (4 digikukru

teenusepakkuja hankimise ja

halduse, 3 tuginevate isikute

registri ning 3 tõendite

vahendamise lüüsi

tegevussuunas).

Majandamiskulud,

mis on seotud

tööjõukuludega

- - - -

Ei kavandata eraldi realt;

sisaldub muudes

majandamiskuludes.

Muud

majandamiskulud

2 587

500

3 215

000

2 365

000

2 015

000

Digikukru valdkonna

kommunikatsioonitegevused

(1 550 000 eurot kokku),

31

Kulutüüp 2027. a

summa

2028. a

summa

2029. a

summa

2030. a

summa Selgitus

üldised analüüsid ja

uuringud, sealhulgas

piiriülese koostoimelisuse

korralduse tagamiseks

vajalikud kohtumised (892

500 eurot kokku), digikukru

teenusepakkuja hankimise

korraldamise ja lepingu

kulud (6 750 000 eurot

kokku) ning

digiidentiteedikukrule

tuginevate isikute registri ja

tõendite vahendamise lüüsi

majanduskulu (kokku 990

000 eurot).

Digikukru arenduse ja haldamisega tekivad RIA-le uued tehnilised ja korralduslikud ülesanded,

mille täitmine nõuab nii uut töötajaskonda kui ka olemasolevate eID baasteenuste (TARA,

DigiDoc, SiGa) kohandamist.

7.5. Mõju kohaliku omavalitsuse üksuste eelarvetele

Kooskõlastusringi järel täiendati Eesti Linnade ja Valdade Liidu ettepanekul seletuskirja

prognoosiga, millised kulud kohaliku omavalitsuse üksustele kaasneda võivad. Euroopa

digiidentiteedikukruga liidestatakse ka kohaliku omavalitsuse üksuste e-teenused ning kulud

jagunevad kolme kategooriasse. Esiteks kaasnevad riigi keskse autentimisteenusega (TARA)

ja teiste digikukru kasutamisega seotud süsteemidega (näiteks SiGa) liitumise kulud nendele

kohaliku omavalitsuse üksustele, kes neid teenuseid veel ei kasuta. Teiseks tehakse kohaliku

omavalitsuse üksuste kasutatavates infosüsteemides (näiteks SPOKU ja ARNO), mis juba

praegu kasutavad eID-lahendusi, digikukru toetamiseks vajalikud kohandused ise, kuid nende

pakkujad võivad selle eest küsida lisatasu või tõsta hinda. Kolmandaks võivad lisakulud

kaasneda nendele kohaliku omavalitsuse üksustele, kes soovivad üleliidulisse digitaalsesse

ühisturgu rohkem panustada: näiteks need, kes juba kasutavad TARA-s Euroopa Liidu eID

võimalust, saavad digikukru kaudu hõlpsamini toetada rohkemate liikmesriikide e-identimise

vahendeid, millega võivad kaasneda lisakulud. Muu puhulnähakse ette, et olemasolevad TARA

kasutajad saavad digikukru kohustusliku osa (isikutuvastusandmete kasutamine veebis)

kasutusele võtta ilma lisaarendusteta, analoogselt sellega, kuidas 2019. aastal lisandus TARA-

sse Smart-ID. Digikukru tugi lisatakse riigi kesksesse autentimisteenusesse riigieelarve

vahendite eest. Täpset kvantitatiivset hinnangut nende kulude kohta ei ole praegu võimalik

esitada, kuna kulu suurus sõltub kohaliku omavalitsuse üksuste kasutatavate infosüsteemide

pakkujate hinnastamisotsustest, mis ei ole eelnõu koostamise ajaks teada.

7.6. Kulude kokkuvõte

Kokku on eIDAS2 määruse rakendamisega seotud riigieelarve lisavajadus aastatel 2027–2030

20 445 588 eurot, millest AKI-le langeb 302 088 eurot, JDM-ile 1 910 000 eurot, RIA-le kokku

16 233 500 eurot (sealhulgas järelevalve 300 000 eurot ja digikukru arendus 15 933 500 eurot)

ning ministeeriumide haldusalade EUDI-liidestumisele 2 000 000 eurot.

32

Kulud kaetakse riigieelarvest ning vastavad eelarvetaotlused esitatakse riigieelarve koostamise

käigus. Rakendamise eeldus on lisaressursi tagamine: ilma selleta ei ole võimalik määrusest

(EL) 2024/1183 (eIDAS2) tulenevaid ülesandeid täita, mistõttu kaasneb Euroopa Liidu õiguse

rikkumise menetluse ja rahaliste sanktsioonide risk.

7.7. Tulud ja rahastamise allikas

Eelnõuga muudetakse ka riigilõivuseadust. Laekuva riigilõivu maht sõltub taotluste arvust,

mida ei ole avalike allikate põhjal võimalik usaldusväärselt prognoosida; muid tulusid eelnõu

rakendamisega ei kaasne.

8. Rakendusaktid

Eelnõuga antakse üks uus volitusnorm: e-identimise ja e-tehingute usaldusteenuste seaduse § 3¹

lõike 7 alusel kehtestab valdkonna eest vastutav minister määrusega digiidentiteedikukrule

tuginevate isikute registri põhimääruse, milles sätestatakse andmete täpne koosseis, sealhulgas

isikustamata andmed, andmeandjad ning nende esitatavad andmed, registritoimingute ja

registrisse kantud andmete säilitamise täpsemad tingimused, registri rahastamine ning

registriga seotud muud korralduslikud nõuded. Volitusnorm on vajalik, sest komisjoni

rakendusmäärus (EL) 2025/848 jätab registri pidamise tehnilise ja korraldusliku täpsustamise

liikmesriigile; seaduse tasandil sätestatakse andmekogu asutamine, eesmärk, vastutav töötleja,

andmete koosseisu põhialused, avalikkus ja säilitustähtaeg ning määruse tasandile jääb üksnes

rakenduslik täpsustus. Rakendusakti kavand on esitatud seletuskirja lisas 1. Rakendusakt tuleb

kehtestada hiljemalt 24. detsembriks 2026, sest sellest kuupäevast kohaldub komisjoni

rakendusmäärus (EL) 2025/848 ja registreerimine peab olema võimalik.

Eelnõu § 1 punktiga 31 tunnistatakse kehtetuks e-identimise ja e-tehingute usaldusteenuste

seaduse § 12 lõige 2, mille tagajärjel muutub kehtetuks selle alusel antud majandus- ja

taristuministri 26. oktoobri 2016. a määrus nr 64 „Usaldusteenuse osutaja ja usaldusteenuse

vastavushindamise kord“.50

Euroopa digiidentiteedikukru sertifitseerimise kava, mille koostamise kohustus pannakse

eelnõuga valdkonna eest vastutavale ministeeriumile (eelnõu § 1 punkt 32), ei ole õigustloov

akt ega rakendusakt hea õigusloome ja normitehnika eeskirja tähenduses, vaid haldusesisene

dokument, mis avaldatakse ministeeriumi veebilehel. Samuti ei eelda eelnõu muud

rakendusakti: registreerimistaotluste esitamise tehniline kord tehakse kättesaadavaks

digiidentiteedikukrule tuginevate isikute registri kaudu põhimääruses sätestatud korras.

9. Seaduse jõustumine

Seadus jõustub üldises korras ehk põhiseaduse § 108 kohaselt kümnendal päeval pärast Riigi

Teatajas avaldamist. Eraldi jõustumissätet eelnõu ei sisalda. Üldkorras jõustumine on

põhjendatud, sest sihtrühmade sisulised kohustused tulenevad valdavalt vahetult eIDAS 2

määrusest ja selle rakendusmäärustest, mille kohaldamise tähtajad on sätestatud Euroopa Liidu

õiguses, ning eelnõu riigisisesed rakendusmeetmed (pädeva asutuse määramine, loamenetlus,

register, karistusnormid) ei nõua sihtrühmadelt sellist kohanemisaega, mis eeldaks pikemat

jõustumistähtaega. Vastupidi, riigisiseste rollide ja menetluste võimalikult varane jõustumine

50

Usaldusteenuse osutaja ja usaldusteenuse vastavushindamise kord (RT I, 28.10.2016, 17).

33

on vajalik, et digiidentiteedikukrule tuginevate isikute registreerimine oleks võimalik hiljemalt

24. detsembrist 2026, mil kohaldub komisjoni rakendusmäärus (EL) 2025/848.

10. Eelnõu kooskõlastamine, huvirühmade kaasamine ja avalik konsultatsioon

Eelnõu esitati eelnõude infosüsteemi (EIS) kaudu kooskõlastamiseks kõikidele

ministeeriumitele ning arvamuse avaldamiseks Riigi Infosüsteemi Ametile, Andmekaitse

Inspektsioonile, Tarbijakaitse ja Tehnilise Järelevalve Ametile, Eesti Infotehnoloogia ja

Telekommunikatsiooni Liidule, Eesti Linnade ja Valdade Liidule, Statistikaametile, Maa- ja

Ruumiametile, Rahvusarhiivile, Politsei- ja Piirivalveametile, Siseministeeriumi

infotehnoloogia- ja arenduskeskusele, Registrite ja Infosüsteemide Keskusele,

Keskkonnaministeeriumi infotehnoloogiakeskusele, Regionaal- ja

Põllumajandusministeeriumi infotehnoloogia keskusele, Rahandusministeeriumi

infotehnoloogiakeskusele ning Tervise ja Heaolu Infosüsteemide Keskusele.

EIS-i kaudu toimuv kooskõlastamine on ühtlasi avalik konsultatsioon, sest eelnõu materjalid

on infosüsteemis avalikult kättesaadavad ja igaühel on võimalik esitada eelnõu kohta arvamus.

Huvirühmi on sisuliselt kaasatud juba enne eelnõu koostamist, ja seda kahel tasandil. Euroopa

Liidu tasandil korraldas Euroopa Komisjon eIDAS-määruse läbivaatamiseks avaliku

konsultatsiooni 24. juulist kuni 2. oktoobrini 2020, et koguda tagasisidet e-identimise ja

usaldusteenuste arengu ning kasutuselevõtu takistuste kohta51; konsultatsioonile laekus 318

vastust ning selle tulemusi on kajastatud komisjoni mõjuhinnangut toetavas uuringus.52 Lisaks

avalikule konsultatsioonile sai komisjon kirjalikku tagasisidet esialgse mõjuhinnangu kohta

(23. juulist 3. septembrini 2020), korraldas sihitatud sidusrühmauuringu (106 vastust) ning

küsitles liikmesriikide esindajaid eIDAS-i koostöövõrgustikus. Avaliku konsultatsiooni

tulemuste kohaselt toetas 60% vastanutest ühtse ja üldtunnustatud Euroopa digiidentiteedi

süsteemi loomist riiklike e-identimise vahendite kõrvale; peamiste eelistena nimetati

universaalset aktsepteeritavust (47% vastanutest), kasutusmugavust (43%) ja riigi tagatud

usaldusväärsust (37%), peamise väljakutsena aga ühtse süsteemi ülesehituse ja juhtimise

keerukust (52%); 49% vastanutest pidas kehtiva raamistiku peamiseks parandusmeetmeks selle

laiendamist erasektorile.53 Eesti seisukohtade kujundamisse komisjoni ettepaneku COM(2021)

281 (final) kohta kaasati asjaomased ministeeriumid, asutused ja huvirühmad; seisukohad kiitis

heaks Vabariigi Valitsus ja neid arutas Riigikogu Euroopa Liidu asjade komisjon.54 2021. aasta

kaasamise tabelist nähtub muu hulgas, et Siseministeerium toetas eelnõu eesmärke, huvirühmad

tõstatasid küsimusi digikukru seosest olemasoleva eID-ökosüsteemi ja X-tee

andmevahetusloogikaga, riigisisestest kuludest, majandusmudelist, erasektori vastutusest ja

rakendamise tähtajast ning Eesti tegi ettepaneku näha kukru kasutuselevõtuks ette 24 kuud

tehniliste nõuete jõustumisest – tähtaeg, mis kajastub ka määruse lõplikus tekstis (artikli 5a

lõige 1).55 Kaalutlusruumi kasutamise analüüs tehti Eesti seisukohtade kujundamise käigus,

mistõttu ei koostatud eelnõu kohta väljatöötamiskavatsust (hea õigusloome ja normitehnika

eeskirja § 1 lõike 2 punkt 2; vt ka seletuskirja punkt 2). Lisaks osales Eesti Euroopa Komisjoni

kaasrahastatud suuremahulises pilootprojektis POTENTIAL, milles 19 liikmesriiki ja Ukraina

51

Digital identity and trust: Commission launches public consultation on the eIDAS Regulation. Euroopa

Komisjoni veebileht, 24.07.2020. https://digital-strategy.ec.europa.eu/en/news/digital-identity-and-trust-

commission-launches-public-consultation-eidas-regulation 52

Vt viide 15. 53

Vt viide 14, 2. lisa. 54

Vt viide 13. 55

Vt viide 29.

34

katsetasid aastatel 2023–2025 digikukru kuut kasutusjuhtu; Eesti panustas RIA eestvedamisel

digitaalse juhiloa tehnilise kontseptsioonilahenduse väljatöötamisse ning projekti tulemused

andsid sisendi Euroopa digiidentiteedikukru arhitektuuriraamistiku (ARF) väljatöötamisse.56

Määruse rakendusaktide eelnõude kohta on huvirühmadel olnud võimalik esitada tagasisidet

Euroopa Komisjoni tagasisidekorje kaudu.

Eestis on kaasamine ja ettevalmistus toimunud järjepidevalt alates 2022. aastast. RIA on

tellinud sõltumatud analüüsid digikukru ja elektrooniliste tõendite ökosüsteemi kohta – „Tõend

kui platvorm“ (2022), digikukru I etapi analüüs (2023), II etapi analüüs (2025) ja III etapi

analüüs (2026) – ning avalikustanud need oma kodulehel, kus on avaldatud ka teave digikukru

ökosüsteemi, ettevõtjate kohustuste, digiidentiteedikukrule tuginevate isikute registri ajakava

ja korduma kippuvate küsimuste kohta.57 2025. aasta mais kutsus RIA turuosalisi avalikult

varakult kaasa mõtlema Euroopa Liidu digikukru järgmiste sammude üle.58

Digiidentiteedikukrule tuginevate isikute registreerimise juhendid avaldatakse pärast registri

esmaversiooni valmimist samuti RIA kodulehel, mis tagab ettevõtjatele jooksva teabe

kohustuste täitmiseks.59

Pärast EIS-i kooskõlastusringi uut kaasamisringi ei kavandata. EIS-i kaudu toimuv

kooskõlastusring täidab ühtlasi Justiits- ja Digiministeeriumi 2026. aasta kaasamisplaanis

kavandatud avaliku konsultatsiooni eesmärki.60 See on põhjendatud, sest eIDAS 2 määrus on

vahetult kohaldatav ja eelnõu riigisisene otsustusruum on piiratud rakendusmeetmetega, mille

sisulised valikud on läbi arutatud Euroopa Liidu tasandi õigusloomes, pilootprojektides ja

Eestis toimunud ettevalmistava kaasamise käigus; sihtrühmadel on võimalik esitada arvamusi

kooskõlastusringi jooksul EIS-i kaudu ning eelnõu menetlemisel Riigikogus. Kaasamisel ja

ettevalmistavates analüüsides esile kerkinud põhiküsimused – sobitumine X-tee ja ühekordse

küsimise põhimõttega, digikukru kasutuse majandusmudel, erasektori vastutusraamistik,

digiidentiteedikukrule tuginevate isikute register, järelevalve ja karistused, sertifitseerimise

ulatus – on käsitletud seletuskirja 6. peatükis ja eelnõu sisu peatükis (seletuskirja 3. peatükk).

Kooskõlastusringil esitasid eelnõu kohta märkusi ja arvamusi Siseministeerium, Regionaal- ja

Põllumajandusministeerium, Rahandusministeerium, Eesti Linnade ja Valdade Liit,

Tarbijakaitse ja Tehnilise Järelevalve Amet, Andmekaitse Inspektsioon, Siseministeeriumi

infotehnoloogia- ja arenduskeskus, Politsei- ja Piirivalveamet, Maa- ja Ruumiamet, Eesti

Infotehnoloogia ja Telekommunikatsiooni Liit ning Riigi Infosüsteemi Amet. Iga märkuse sisu,

esitaja ning arvestamine või arvestamata jätmine koos põhjendusega on esitatud seletuskirja

lisas oleva kooskõlastustabelina (hea õigusloome ja normitehnika eeskirja § 50 lõiked 2 ja 3).

Kooskõlastusringi tulemusel muudeti muu hulgas eelnõu §-s 1 kavandatut paragrahvide 3¹, 4¹,

5, 7, 8, 10, 13, 19 ja 23² puhul, jäeti eelnõust välja § 22 muudatused ning vähendati sunniraha

ülemmäära; vastavad selgitused leiab seletuskirja asjakohastest osadest.

Seletuskirja lisad

56

Pilootprojekt POTENTIAL (digitaalne juhiluba). Riigi Infosüsteemi Ameti koduleht, 19.05.2026.

https://www.ria.ee/riigi-infosusteem/elektroonilise-identiteedi-teenused/pilootprojekt-potential 57

Vt viited 35, 26, 23 ja 17. Analüüsid on avalikustatud Riigi Infosüsteemi Ameti kodulehel (vt viide 16). 58

EL digikukru järgmised sammud: kutsume turuosalisi varakult kaasa mõtlema. Riigi Infosüsteemi Ameti blogi,

30.05.2025.

https://www.ria.ee/blogi/el-digikukru-jargmised-sammud-kutsume-turuosalisi-varakult-kaasa-motlema. 59

Vt viide 16. 60

Vt viide 12.

35

Lisa 1. Rakendusakti kavand (digiidentiteedikukrule tuginevate isikute registri põhimäärus).

Lisa 2. Vastavustabel (eIDAS 2 määruse ja eelnõu sätete seosed).

Lisa 3. Kooskõlastustabel (märkustega arvestamise tabel).

Lauri Hussar

Riigikogu esimees

Tallinn, … ……………2026

_________________________________________________________________________

Algatab Vabariigi Valitsus … ……………2026

(allkirjastatud digitaalselt)

1

Seletuskirja lisa 2

Euroopa Liidu õiguse rakendamise vastavustabel

Euroopa Parlamendi ja nõukogu määrus (EL) nr 910/2014 (mida on muudetud määrusega (EL) 2024/1183) on tervikuna ja vahetult kohaldatav. Käesolev tabel kajastab

üksnes neid määruse ja selle rakendusmääruste sätteid, mille rakendamiseks on vajalik riigisisene meede. Kasutatud lühendid: EUTS – e-identimise ja e-tehingute

usaldusteenuste seadus; RLS – riigilõivuseadus; KarS – karistusseadustik.

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikkel 5a

(Euroopa digiidentiteedikukru pakkumine ja

liikmesriigi ülesanded)

Jah EUTS § 2 lõiked 1 ja 2 Pädeva asutuse (Riigi Infosüsteemi Amet) määramine ning

ülesannete lepinguline üleandmine teenuse osutajale.

Määrus (EL) nr 910/2014 artikli 5a lõike 4

punkti d alapunkt iii ja lõike 5 punkti a

alapunkt x (riiklik andmekaitseasutus)

Jah EUTS § 2 lõige 3 Andmekaitse Inspektsiooni kui pädeva riikliku

andmekaitseasutuse rolli määramine; kooskõlastusringil jäeti

Andmekaitse Inspektsiooni märkuse alusel eelnõust välja § 22

muudatused.

Määrus (EL) nr 910/2014 artikkel 5b ja

rakendusmäärus (EL) 2025/848 (kukrule

tuginevate isikute registreerimine)

Jah EUTS § 3¹ ja tuginevate isikute

registri põhimäärus

Tuginevate isikute registri asutamine ja pidamine.

Rakendusakti kavand esitatakse seletuskirja lisas 1.

Määrus (EL) nr 910/2014 artikli 5c lõige 1

(Euroopa digiidentiteedikukru

sertifitseerimine)

Jah EUTS § 6 lõige 4 ja § 8 punkt 2¹ Euroopa digiidentiteedikukru pakkuja loakohustus ja kehtiva

sertifitseeringu nõue.

Määrus (EL) nr 910/2014 artikli 5c lõiked 3

ja 7 ning artikli 45f lõige 3

Jah EUTS § 2 lõige 4 Nimetatud ülesannete täitmine antakse valdkonna eest

vastutavale ministeeriumile.

Määrus (EL) nr 910/2014 artikli 7 punkt f

ning artiklid 5d, 5e, 9, 12, 46a, 46b ja 48a

(liikmesriigi ülesanded)

Jah EUTS § 2 lõige 1 Nimetatud liikmesriigi ülesandeid täidab pädeva asutusena

Riigi Infosüsteemi Amet.

Määrus (EL) nr 910/2014 artikli 13 lõiked 1

ja 2 (vastutus ja kahju hüvitamine)

Jah EUTS § 5 lõige 2 Kvalifitseeritud usaldusteenuse osutaja vastutuskindlustuse

nõue.

Määrus (EL) nr 910/2014 artikkel 16

(karistused)

Jah EUTS §-d 23¹, 23³ ja 23⁴ ning

KarS § 350

Sunniraha ülemmäär, väärteovastutus ja kohtuväline menetleja

ning tähtsa isikliku dokumendi mõiste laiendamine Euroopa

digiidentiteedikukrule.

2

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikli 46a lõike 3

punkt a (kukru pakkuja järelevalve)

Jah EUTS § 6 lõige 4 Ex ante ja ex post järelevalve tagatakse loakohustuse kaudu.

Määrus (EL) nr 910/2014 artikkel 48a

(statistika kogumine ja aruandlus)

Jah EUTS § 23² (3¹. peatükk) Teabevahetuse ja aruandluse kohustus (eelnõu § 1 punkt 42).

Komisjoni rakendusmäärus (EL) 2024/2977

(isikutuvastusandmed ja isikuandmete

atribuudid)

Jah EUTS § 5 lõige 11 Euroopa digiidentiteedikukru kasutaja isikukoodi kandmine

kukrusse.

Komisjoni rakendusmäärus (EL) 2024/2981

(Euroopa digiidentiteedikukru

sertifitseerimine)

Jah EUTS § 7 lõike 3 punkt 5 Euroopa digiidentiteedikukru kirjelduse ja sertifitseerimise

hindamise aruande esitamine.

Komisjoni rakendusmäärus (EL) 2025/2162

(usaldusteenuste vastavushindamine)

Jah EUTS § 7 lõike 3 punkt 1¹ Vastavushindamise aruande sisu ja vormi nõuded.

Komisjoni rakendusmäärus (EL) 2025/848

(kukrule tuginevate isikute register)

Jah EUTS § 3¹ ja tuginevate isikute

registri põhimäärus

Registri sisu ja pidamine, sealhulgas I lisa teabe avalikustamine

(artikli 3 lõige 4), säilitustähtaeg (artikkel 10) ning

registreeringu peatamine ja tühistamine (artikkel 9).

Komisjoni rakendusmäärus (EL) 2025/847

(turvaintsidentidest teavitamine)

Jah EUTS § 4¹ Euroopa digiidentiteedikukru pakkuja ja usaldusteenuse osutaja

kohustus teavitada pädevat asutust turvaintsidentidest.

Riigisisene lõivumeede (Euroopa

digiidentiteedikukru pakkuja loataotlus)

Jah RLS § 116² Riigilõivu määr Euroopa digiidentiteedikukru pakkuja

loataotluse ja korduva taotluse läbivaatamise eest.

Määrus (EL) nr 910/2014 artikli 24 lõike 1a

punkt d (isikusamasuse kontrollimine

füüsilisel kohalolekul)

Jah EUTS § 5 lõige 5 Isiku tuvastamise viis Euroopa digiidentiteedikukru

väljastamisel füüsilise kohalolekuga menetluses.

Määrus (EL) nr 910/2014 artikli 5a lõige 2

(avatud lähtekoodi erand)

Jah EUTS § 5 lõige 10 Erand avatud lähtekoodi nõudest komponentidele, mis ei

paikne kasutajaseadmel, kui see on põhjendatud turvalisuse või

ärisaladuse kaitsega.

Määrus (EL) nr 910/2014 artikkel 5a lõige 9

ning rakendusmäärus (EL) 2024/2977

Jah EUTS § 5 lõige 12 Euroopa digiidentiteedikukru pakkuja õigus teha

isikutuvastusandmete kandmiseks ja ajakohasuse tagamiseks

päringuid isikut tõendavate dokumentide andmekogusse ja

rahvastikuregistrisse.

3

Euroopa Liidu õigusakti säte

Riigisisese

meetme

vajadus

Rakendav riigisisene säte Kommentaar

Määrus (EL) nr 910/2014 artikli 5c lõige 3

(sertifitseerimiskavad)

Jah EUTS § 12 lõiked 2¹–2³ Euroopa digiidentiteedikukru sertifitseerimise kavade loomine,

ajakohasena hoidmine, avalikustamine ja nende kohaldamine

sertifitseerimisel.

1

E-identimise ja e-tehingute usaldusteenuste

seaduse, riigilõivuseaduse ja karistusseadustiku

muutmise seaduse eelnõu seletuskirja juurde

Lisa 3

Eelnõu kooskõlastustabel

E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu kooskõlastustabel

ID Asutus Asutuse kommentaar/tagasiside JDM seisukoht

1.

Sise-

ministeerium

Eelnõu § 1 punktiga 5 muudetakse e-identimise ja e-tehingute

usaldusteenuste seaduse (edaspidi EUTS) § 3 lõiget 2, mille kohaselt

võib pädev asutus korraldada usaldusteenuse infrastruktuuri loomise,

haldamise ja ajakohastamise vastavalt Euroopa Parlamendi ja nõukogu

määruse (EL) nr 910/2014 artikli 46b lõikele 5. Eelnõu seletuskirja

punktides 6 ja 6.6 on mainitud, et Riigi Infosüsteemi Amet (edaspidi

RIA) teostab järelevalvet ning korraldab Euroopa digiidentiteedikukru

(edaspidi digikukkur) hankemenetluse. Leiame, et antud kontekstis

võib termin „pädev asutus“ olla liiga lai, mistõttu palume eelnõus

täpsustada või seletuskirjas avada pädeva asutuse rollide lahususe

temaatika, arvestades, et RIA, kui pädeva asutuse roll on olla digikukru

teenusepakkuja üle järelevalvet teostav sõltumatu asutus, kes samas

korraldab digikukru hanget ja haldab selle infrastruktuuri. Ühtlasi

palume välja tuua, kuidas suhestub antud regulatsiooniga PPA roll, kes

korraldab usaldusteenuse hankeid isikut tõendavate dokumentide (ID-

1 dokumendid) väljaandmise kontekstis.

Arvestatud, seletuskirja täiendatud. Selgitame

täiendavalt, et pädeva asutuse roll tuleneb

EIDAS2 määruses liikmesriigile määratud

erinevate kohustuste täitmisest. Selgitame

täiendavalt, et seaduses sätestatakse üldised

rollid. Digikukru detailsem rollijaotus on läbi

räägitud ja kokku lepitud töörühma tasandil (nt

digiidentiteedi juhtrühmas mh 19.06.2024 ja

16.07.2024).

2. Eelnõu § 1 punktiga 6 lisatava § 3¹ kohaselt luuakse

digiidentiteedikukrule tuginevate isikute register, kuhu

registreeritakse Eestis asutatud isikud, kes kavatsevad tugineda

Euroopa digiidentiteedikukrule avalike või erateenuste osutamiseks.

Seletuskirja punktis 6.3 on märgitud, et kõik digikukrule tugineda

Arvestatud. Seletuskirja täiendatud

selgitusega, et kõik need, kes peavad

digikukrut oma e-identimist nõudvates e-

teenustes aktsepteerima, peavad end

registreerima digikukrule tuginevate isikute

2

soovivad ettevõtjad peavad end registreerima kukrule tuginevate

isikute riiklikus registris, kuid avaliku sektori asutuste, sealhulgas

kohaliku omavalitsuse üksuste ja riigiasutuste registreerimise

praktiline korraldus ei ole sama selgelt kirjeldatud. Samas tuleneb

seletuskirja punktist 6.6, et avaliku sektori asutused peavad

digikukrut oma e-identimist nõudvates e-teenustes aktsepteerima ning

valdavalt toimuks see TARA kaudu. Palume seletuskirjas täpsustada,

kas ja millisel juhul peab avaliku sektori asutus, kohaliku

omavalitsuse üksus või Regionaal- ja Põllumajandusministeeriumi

valitsemisala asutus end iseseisvalt registreerima kukrule tugineva

isikuna või kas TARA kui keskse autentimisteenuse kasutamisel

toimub registreerimine keskse vahendaja kaudu. Samuti palume

selgitada, kuidas kajastatakse registris vahendaja kasutamist ja

vahendussuhet olukorras, kus avaliku sektori teenuse osutaja kasutab

autentimiseks riigi keskset autentimisteenust. Selline täpsustus on

vajalik, et avaliku sektori asutustel ja kohaliku omavalitsuse üksustel

oleks õigel ajal selge, millised registreerimis-, teavitamis- ja andmete

ajakohastamise kohustused neile digikukru kasutuselevõtuga

kaasnevad.

riiklikus registrisSee hõlmab ka avaliku

sektori asutusi, sealhulgas kohaliku

omavalitsuse üksuseid ja riigiasutusi.

Tänane kavatsus on TARA tänased kliendid

registreerida ühekordselt võimalikult lihtsalt

RP registrisse, et avaliku sektori asutustel

oleks sellega seotud võimalikult väike

halduskoormus.

3. Eelnõu § 1 punktiga 7 täiendatakse seadust §-ga 41, milles

kehtestatakse turvaintsidentide teavitamise regulatsioon. Selle lõike 1

kohaselt teavitab digikukru pakkuja või usaldusteenuse osutaja

pädevat asutust viivitamata turvaintsidendist, mis oluliselt mõjutab

või võib mõjutada usaldusteenuse, digikukru või selle kaudu

osutatava teenuse turvalisust, töökindlust või usaldusväärsust. EUTS-

is on kasutusel terminid „usaldusteenuse osutaja“ ja „kvalifitseeritud

usaldusteenuse osutaja“, mille erisust ei ole välja toodud. Palume

kontrollida, kas digikukru puhul peaks kasutama mõistet

„kvalifitseeritud usaldusteenuse osutaja“.

Selgitame, et erinevus usaldusteenuse osutaja

ja kvalifitseeritud usaldusteenuse osutaja vahel

tuleneb eIDASest ja ei vaja seetõttu EUTSis

dubleerimist. Kuna usaldusteenuse

kvalifitseerituse staatust eelnõu ei täpsusta, on

intsidentidest teavitamise kohustus nii

kvalifitseeritud, kui ka kvalifitseerimata

usaldusteenuse osutajatel. Täpsustame, et

digikukru pakkuja ei ole usaldusteenuse

pakkuja eIDAS tähenduses.

4. EUTS § 5 lõige 3 kohaselt dokumenteerib kvalifitseeritud

usaldusteenuse osutaja usaldusteenuse osutamisel tehtud toimingud

ning säilitab sellekohast tegevuslogi kümme aastat kirje loomisest

Arvestatud, tegevuslogide säilitamise tähtaeg

EUTS § 5 lõikes 3 muudetud 12 aastale.

3

arvates. PPA soovib juhtida tähelepanu, et 2026. aasta kevadel läbi

viidud eIDAS auditi raames andis audiitor hinnangu, et eIDAS

määruse ja rahvusvahelise ETSI standardi[1] kohaselt peavad logid ja

tõendid sertifikaatide kasutustingimustega nõustumise kinnituse

kohta olema kättesaadavad kuni 12 aastat. Kvalifitseeritud

sertifikaadi maksimaalne kehtivusaeg on kuni 5 aastat ja ETSI

standardi kohaselt tuleb sertifikaatidega seotud sündmusi logida

vähemalt 7 aastat pärast sertifikaadi kehtivuse lõppu.

Tsiviilseadustiku üldosa seaduse (TsÜS § 146 lg 4) kohaselt on

tahtliku rikkumise korral nõuete aegumistähtaeg kümme aastat. Kuna

vaidlused võivad tekkida vahetult enne ja selle tähtaja piiril ning neile

lisandub menetlusaeg, tagab 12 aastane logide puhver selle, et

vajalikud tõendid ja logid (sertifikaatide kehtivusajad, sertifikaatide

kasutustingimuste logid) on kohtuvaidluste tarbeks kättesaadavad.

[1] ETSI EN 319 411-1 (OVR-6.4.6-01 ja REG-6.3.4-17)

5. Eelnõu § 1 punktidega 8–13 muudetakse EUTS paragrahvi 5, milles

reguleeritakse nõuded kvalifitseeritud usaldusteenuse osutajale,

usaldusteenuse osutamisele, digikukru pakkujale ja digikukru

pakkumisele. Eelnõu seletuskirja kohaselt on digikukkur täiendav

riiklik isikutuvastusvahend ID-kaardi ja teiste kehtivate eID

vahendite kõrval. Riiklike isikut tõendavate dokumentide ja eID

vahendite puhul on nende väljaandmise (sh taotlemine, väljastamine)

ja kehtetuks tunnistamise põhimõtted ning kehtivusaeg õigusaktides

reguleeritud. Digikukrule ei ole eelnõuga vastavat regulatsiooni ette

nähtud ja inimestele ning digikurku pakkujale võib jääda selgusetuks,

millised tingimused peavad olema digikukru puhul täidetud. Vastav

regulatsioon, sh digikukru kehtivusaeg ei ole sätestatud ka eIDAS

määruses. Digikukru pakkuja peaks teadma, kui kaua ta vastutab oma

teenuse eest ja samuti on kasutajal oluline teada, mis tingimustel talle

Selgitame, et olukorras kus EL tasandil on

digikukru ökosüsteem alles arenemas, ei

peetud veel võimalikuks nende küsimuste

sätestamist õigusaktides sellises detailsuses.

Ka tulevikus kirjeldatakse enamus nendest

küsimustes hanketingimustes ja/või teenuse

poliitikas. Samas nõustume põhimõtteliselt

selguse olulisusega ning ei välista tulevikus ka

õigusmuudatuste vajalikkust.

4

kukkur antakse. Samuti võiks olla õiguslikult reguleeritud, kas

lapsevanem või eestkostja saab digikukru taotleda lapse või

eestkostetava eest, kas digikukru saamisele kehtib vanusepiirang, mis

on digikukru andmisest keeldumise alused, millal tunnistatakse

digikukkur kehtetuks jne. Vastav regulatsioon tagaks õigusselguse,

läbipaistvuse ja ka digikukru pakkumise järjepidevuse, mistõttu

teeme ettepaneku kehtestada see siseriiklikus õiguses.

6. EUTS § 5 lõige 5 kohaselt tuvastab kvalifitseeritud usaldusteenuse

osutaja enne kvalifitseeritud sertifikaadi väljastamist isikusamasuse

Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 artikli 24

lõike (1a) alusel. Sama lõike punkti (d) puhul, kontrollib seda isikut

tõendavate dokumentide seaduse (edaspidi ITDS) § 2 lõikes 2

nimetatud dokumendi, välisriigis väljastatud kehtiva reisidokumendi

või isikut tõendavate dokumentide seaduse § 4 lõikes 1 sätestatud

tingimustele vastava muu dokumendi alusel ning kontrollib esitatud

teabe usaldusväärsust. Teeme ettepaneku parema arusaadavuse

huvides määratleda, kas isikut tõendava dokumendi väljaandjal

(PPA-l) on digikukru raames õiguslik kohustus väljastada

kvalifitseeritud elektroonilisi atribuutide kinnitusi (QEAA), mis on

kinnitatud ametliku elektroonilise pitseriga. Lisaks oleks oluline

selgelt defineerida väljaandja vastutuse ulatus seoses võimalike

süsteemitõrgetega, sealhulgas ekslike isikuandmete edastamise,

kehtivuse ja kehtetuks tunnistamise staatuse teenuste ajutise või

püsiva kättesaamise osas ning osapooli mõjutavate tehniliste

katkestuste korral. Volituse ja vastutuspiiride selgesõnaline

määratlemine tagab õiguskindluse, selgitades paremini ka riigi

vastutust andmete õigsuse ja teenuse kättesaadavuse eest ning

maandab võimalikest tehnilistest tõrgetest või andmeedastushäiretest

tulenevaid riske.

Selgitame, et tänase arusaama kohaselt ei

hakka PPA ise QEAA-ks. Küll aga hakkab

Siseministeeriumi valitsemisala autentseks

allika pakkujaks mõnede registrite osas (nt

rahvastikuregister, ITDAK). Nõuded QEAA-

dele on eIDASes ja rakendusaktides sätestatud

ning on otsekohalduvad (ehk nende alusel saab

ka järelevalvet teostada). Klientidega

lepinguid sõlmides saab nendes katkestustega

seotud kohustusi kirja panna. Riigi seisukohalt

ei saa meie hinnangul sellisele teenusele

sätestada toimepidevuse nõudeid, kui tegu

pole elutähtsa teenusega.

7. EUTS §-i 5 lisatakse lõige 11, mille kohaselt kannab digikukru

pakkuja digikukrusse lisaks rakendusmääruses (EL) 2024/2977

nõutud kohustuslikele isikutuvastusandmetele ka digikukru kasutaja

Arvestatud, seletuskirja täiendatud.

Digikukru skoobis on ainult Eesti isikukoodi

omavad residendid, sh e-residendite toetamist

5

isikukoodi. Palume eelnõus täpsustada, kas digikukrusse kantakse

Eesti isikukood või võib see olla ka mõne muu riigi isikukood.

Seletuskirjas on viidatud Eesti isikukoodile. Kuna isikukood ei ole

kohustuslik andmeväli ja teiste riikide digikukrud ei pruugi

isikukoodi sisaldada, siis kuidas sellise digikukruga Eesti teenustes

isikuid tuvastatakse. Ka eelnõu seletuskirjas on öeldud, et kodanikud

saavad võimaluse kasutada üleeuroopalist digiidentiteeti, mis

isikukoodi abil sobitub Eesti e-teenustega. Palume isikukoodidega

seonduvat seletuskirjas põhjalikumalt selgitada. Eelnõu seletuskirjas

(vt eelpool toodud viidet) mainitakse läbivalt kodanikke. Palume

täpsustada, kas kodanike all mõeldakse Eesti kodanikke või laiemalt

eraisikuid.

hetkel ei ole planeeritud. Eestis planeeritakse

kukrut pakkuda Eesti kodanikele ja

residentidele, kuid mitte e-residentidele.

8. EUTS §-i 5 lisatakse lõige 12, mis sätestab digikukru pakkuja õiguse

teha isikutuvastusandmete digikukrusse kandmiseks ja nende

ajakohasuse tagamiseks päringuid isikut tõendavate dokumentide

andmekogusse (edaspidi ITDAK) ja rahvastikuregistrisse.

Seletuskirjast ei selgu, milline isikuandmete töötlemise regulatsioon

päringuga saadud isikuandmete osas pakkujale kohaldub, kas

pakkujal on kohustus päringuga saadud andmed koheselt peale

isikustamist kustutada või säilitatakse neid andmeid pakkuja poolt

mingi perioodi jooksul. Palume hinnata, kas pakkuja poolset

isikuandmete säilitamist tuleks reguleerida õigusaktis või piisab

lepingus seatud kohustusest. Samuti palume selgitada isikuandmete

ajakohasuse tagamise protsessi digikukru kasutamise vältel. Näiteks,

millise ajaraami jooksul peab nime muutumise korral digikukru

kasutaja isikuandmete ajakohasus tagatud olema, kelle kohustus see

on ning kas selle täitmata jätmisel tunnistatakse digikukkur

kehtetuks? Isikuandmete töötlemise põhimõtetest tulenevalt leiame,

et eelnõus või vähemalt seletuskirjas peaks olema välja toodud,

milliseid isikuandmeid digikukru andmiseks töödeldakse ja riiklikest

andmekogudest küsitakse ning milline on nende andmete kasutamise

õiguslik alus. Palume välja tuua nii siseriiklikud kui ka Euroopa Liidu

Selgitame, et andmetöötluseks on kavandatud,

et digikukru pakkuja sõlmib lepingu

andmeandjaga, kellega lepitakse kokku täpsed

reeglid. Andmetöötlus toimub analoogiana ID-

kaardi ning mobiil-ID-ga, kus erasektori

teenusepakkuja töötleb isikuandmeid riigi

tellimusel teenuse pakkumiseks.

1. ITDAK-st on planeeritud küsida teatud

juhtudel isiku pilti. Õiguslik alus pildi

töötlemiseks on andmetöötlusleping digikukru

pakkuja ja andmeandja vahel ning EL

komisjoni rakendusmääruse (EL) 2026/1731

tabel 1 kooskõlas IKÜM Art 6 lg 1 p b-ga.

2. Rahvastikuregistrist on planeeritud küsida

teisi EL rakendusmääruse 2026/1731 tabel 1-s

loetletud isikuandmeid. Õiguslik alus on

andmetöötlusleping ning RRS § 46 lg 2 p 2

kooskõlas IKÜM Art 6 lg 1 punktidega b ja c.

6

õigusaktidest tulenevad alused ja täpne andmekoosseis. Seletuskirja

kohaselt tuleneb rahvastikuregistrisse päringu tegemise vajadus

digikukru kohustuslikust andmeväljast, milleks on sünnikoht. Samas

ei ole välja toodud muid kohustuslikke andmeid, millest tulenevalt

tekib samuti andmevahetusvajadus riiklike andmekogudega. Samuti

palume lisada põhjenduse, mis eesmärgil on vaja teha päringuid

ITDAK-isse ja lisada seletuskirja mõjude peatükki ka ITDAK-ile

kaasnev mõju. ITDAK-i päringute mahu kasv omab olulist mõju

ITDAK-i toimepidavusele tekitades täiendava koormuse. ITDAK-i

töökindluse tagamine on riigi vaatest äärmiselt oluline, kuna ITDAK-

i peamine eesmärk on avaliku korra ja riigi julgeoleku tagamine

isikute tuvastamisel ja isikusamasuse kontrollimisel ning isikut

tõendavate dokumentide väljaandmise teenuse tagamine. Selle

tagamiseks võib ITDAK-i vastutav töötleja ITDAK-i põhimääruse §

152 lõige 6 kohaselt piirata kolmandatele isikutele andmetele

juurdepääsu mahus, mis ei takista vastutavale töötlejale pandud

ülesannete täitmist.

Selgitame täiendavalt, et kukru kasutamine on

isikule vabatahtlik ning andmetöötlus toimub

igakordselt tema algatusel. Lisaks kohustab

EIDAS2 määrus kukrupakkujat võimaldama

kasutajal valida, milliseid andmevälju ta

soovib jagada e-teenusega.

Päringute mahud mõlemasse andmekogusse

on veel selgumisel. Lisaks selgitame, et

andmepäringud nii ITDAk-isse kui RR-i on

mõeldud ühekordsena PIDi väljastamisel ning

salvestuvad digikukrusse isiku enda seadmes.

Pildi edasisel kasutamisel võetakse pilt

seadmest ning sellega ei kaasne koormust

ITDAK-ile. Lisaks teadvustame ITDAK-i

põhimääruse § 152 lõiget 6.

9. Eelnõu § 1 punktiga 16 täiendatakse EUTS paragrahvi 6 lõikega 5,

mis sätestab, et digikukru pakkumise luba kehtib kuni viis aastat.

Palume selgitada kuidas mõjutab loa kehtivusaja lõppemine selle

kehtivusajal välja antud digikukrute kasutamist.

Selgitame, et üldine põhimõte on sama mis

usaldusteenuse osutajate puhul. Loa lõppemise

ajaks peab olema uus kehtiv luba ja seejärel

kehtivad väljastatud kukrud edasi. Kui mingil

põhjusel uut luba ei väljastata, tunnistatakse

kõik väljastatud kukrud kehtetuks.

10. Eelnõu § 1 punktiga 36 täiendatakse EUTS § 19 lõiget 2 punktiga 4,

mille kohaselt tunnistab usaldusteenuse osutaja sertifikaadi kehtetuks,

kui seda taotleb isikut tõendavate dokumentide väljaandja ITDS § 2

lõikes 2 nimetatud dokumendile kantud sertifikaatide osas ja samas

seaduses sätestatud alustel. Viidatud ITDS-i sättes on loetletud ka

isikut tõendavad dokumendid, millele kõnesolev EUTS-i regulatsioon

ei peaks kohalduma (reisidokumendid). Palume sätet täpsustada, et

see viitaks üksnes ID-1 formaadis dokumentidele, millele EUTS

Arvestatud, eelnõu § 1 punkti 36 (lisaks

samadele sätetele viitavat punkti 38 muudetud

selliselt, et viidatakse ITDS § 2 lõike 2

punktidele 1 – 12.

7

kohaldub. Nendeks on ITDS § 2 lõige 2 punktides 1-12 nimetatud

dokumendid. Palume eelnõu sellest tähelepanekust tulenevalt läbivalt

üle vaadata.

11. Eelnõu § 1 punktiga 38 muudetakse paragrahvi 19 lõiget 5, millega

lisatakse usaldusteenuse osutajale kohustus teavitada enne ITDS § 2

lõikes 2 nimetatud dokumendile kantud sertifikaadi kehtetuks

tunnistamist sellest isikut tõendava dokumendi väljaandjat. Palume

seletuskirjas täpsustada, milliseid dokumendile kantud sertifikaate

(vahe- ja juursertifikaate või isikusertifikaate) antud sättes

käsitletakse, mis on selle teavitamise eesmärk. Kas väljaandja

teavitamise all on mõeldud CRL teenust, kus info on kättesaadav või

ligipääsu usaldusteenuse osutaja sertifikaatide andmetele?

Isikusertifikaatide kehtetuks tunnistamisest teavitab usaldusteenuse

osutaja dokumendi kasutajat, mitte selle väljaandjat. Termin „eelnev

teavitamine“ või „enne kehtetuks tunnistamist teavitamine“ ei loo

osapooltele õigusselgust, mis tähtaja jooksul enne kehtetuks

tunnistamist tuleb teavitus saata, kas vahetult enne või tuleb jätta

sinna vahele ajaline lõtk ning kas dokumendi väljaandjal võib tekkida

selles osas vaidlustusõigus või võiks teavitamine toimuda ka

kehtetuks tunnistamisel/selle järgselt (viivitamata)?

Arvestatud. Seletuskirja täiendatud, et

mõeldud on isikusertifikaate, mitte juur- ega

vahesertifikaate. Eesmärk on tagada, et

dokumendi väljaandja saaks teha omapoolsed

sammud sertifikaatide kehtetuks tunnistamise

korral (nt on dokument varastatud ja sellest

antakse teada usaldusteenuse osutajale ja ka

füüsiline dokument tuleb kehtetuks

tunnistada). Teavitamine võib toimuda ka

tehniliste lahenduste kaudu. Tähtaja all on

mõeldud mõistlikku aega, täpse tähtaja

sätestamist ei peetud eelnõu koostamisel

vajalikuks.

12. EUTS § 20 lõige 5 sätestab, et usaldusteenuse osutaja teavitab

sertifikaadi kehtetuks tunnistamisest viivitamata sertifikaadi omajat.

Käesoleva seaduse § 19 lõike 4 punktis 4 nimetatud juhul teavitab

usaldusteenuse osutaja sertifikaadi kehtetuks tunnistamisest pärijat

või surnuks tunnistamist taotlenud huvitatud isikut. Palume selgitada,

kuidas usaldusteenuse osutaja teab, kes on pärija või huvitatud isik.

Selgitame, et antud küsimust eelnõu ei käsitle.

Praktikas pöördub pärijasurmatunnistuse ja

pärimistõendiga usaldusteenuse osutaja poole

ning palub usaldusteenuse konto kehtetuks

tunnistada.

13. Eelnõu terminoloogia EUTS-is kasutatakse läbivalt terminit

"sertifikaadi omaja", samas kui usaldusteenuse dokumentatsioonis

(ID-1 dokumentide vaates) on kasutusel termin "sertifikaadi omanik".

Mõisted on küll samatähenduslikud, kuid õigusselguse huvides võiks

valdkondliku terminoloogia kasutamine olla ühetaoline ning võiks

Selgitame, et nõustume põhimõtteliselt

mõistete ühtsuse kasulikkusega ning eelistame

lahendust, kus usaldusteenuse

dokumentatsioon viiakse kooskõlla seaduse

mõistetega.

8

otsustada, millist terminit eelistada tehes vastavad muudatused kas

eelnõuga või usaldusteenuse dokumentatsioonis.

14. Eelnõu §-iga 3 muudetakse karistusseadustiku § 350, mille kohaselt

sätestatakse edaspidi tähtsa isikliku dokumendina ka e-identimise ja

e-tehingute usaldusteenuste seaduse § 211 hindamise positiivselt

läbinud e-identimise süsteemi e-identimise vahend ja digikukkur.

ITDS-i muutmise EN (905 SE) kooskõlastamisel andis JDM

soovituse kasutada terminit e identimisvahend, selgitades et kui

kasutada tegusõna identima, saab loomulikumalt moodustada

sõnaühendi või liitsõna: elektrooniliselt ehk e-identima >

elektroonilise ehk e identimise vahend > e-identimisvahend.

Soovitame selguse huvides ka siin kasutada sama terminit.

Selgitame, et eelnõu koostamisel on lähtutud

EIDAS2 määruse ametlikust eestikeelsest

tõlkest.

15. Rakendusaktid Hädaolukorra seaduse (edaspidi HOS) § 36 lõige 1

punkti 8 kohaselt on elektrooniline isikutuvastamine ja digitaalne

allkirjastamine elutähtis teenus. HOS-i alusel kehtestatud määruse[1]

kohaselt on elutähtsaks teenuseks elektrooniline isikutuvastamine ja

digitaalne allkirjastamine isikut tõendavate dokumentide seaduse

alusel välja antud dokumentidega elektroonilises keskkonnas isiku

tõendamiseks, isikusamasuse kontrollimiseks ja digitaalallkirja

andmiseks vajalike sertifikaatide kehtivusinfo kättesaadavuse

tagamine isikut tõendavate dokumentide seaduse § 94 lõikes 31

nimetatud sertifitseerimisteenuse osutaja poolt. Leiame, et elutähtsa

teenuse regulatsioon peaks laienema ka digikukrule, kuna tegemist on

uue paralleelse riikliku eID vahendiga, mille kasutusele võtmine ja

elutähtsa teenusena defineerimine aitab tõsta kriisideks valmisolekut

ja e-riigi kerksust. [1] Elutähtsa teenuse kirjeldus ja toimepidevuse nõuded elektroonilise

isikutuvastamise ja digitaalse allkirjastamise tagamisel-Riigi Teataja

Selgitame, et nõustume põhimõttega, kuid

antud küsimus pole selle eelnõu käsitlusalas.

9

16. Regionaal- ja

Põllumajand

usministeeriu

m

Palume täiendavalt hinnata ja vajaduse korral täpsustada eelnõu § 1

punktiga 6 lisatava e identimise ja e-tehingute usaldusteenuste

seaduse § 3¹ lõikes 1 sätestatud avalikustamise ulatust. Komisjoni

rakendusmääruse (EL) 2025/848 artikli 3 lõike 4 kohaselt tuleb

registreeringut omavate kukrule tuginevate isikute kohta teha

internetis avalikult kättesaadavaks nimetatud määruse I lisas loetletud

teave inim- ja masinloetaval kujul. Eelnõu § 3¹ lõike 1 sõnastus, mille

kohaselt tehakse avalikult kättesaadavaks „nende kohta esitatud

teave”, on tõlgendatav laiemalt kui rakendusmääruses nõutud

avalikustamise ulatus ning hõlmata ka andmeid, mille avalikustamine

ei tulene Euroopa Liidu õigusest või millele võib kohalduda

juurdepääsupiirang, sealhulgas isikuandmed, ärisaladus või

turvalisusega seotud teave. Ka seletuskirja kohaselt tuleb

põhimääruses eristada avalikustatav teave rakendusmääruse I lisa

kohaselt juurdepääsupiiranguga andmetest, kuid selline eristus ei

nähtu eelnõu tekstist. Seetõttu palume kaaluda sätte täpsustamist

selliselt, et avalikult tehakse kättesaadavaks rakendusmääruse (EL)

2025/848 I lisas nimetatud teave ning muu teave üksnes juhul ja

ulatuses, milles selle avalikustamiseks on selge õiguslik alus ja

puudub juurdepääsupiirang.

Osaliselt arvestatud. Eelnõus andmetöötlust

reguleerivasse §-i 31 lisatud uus lõige (5), mis

täpsustab registrisse kantava teabe

avalikustamise ulatust.Teabepiirangut

vaikimisi eeldusena ei võimalda ette näha

AvTS § 3 lõikes 2 viidatud avalikkuse

põhimõte, mille järgi võib avalikule teabele

juurdepääsu piirata vaid seaduses sätestatud

korras. Sama põhimõte on sõnastatud ka

eelnõus. Registri osas on tõenäolisemad näited

selliseks teabepiiranguks teabe määramine

ärisaladuse kaitse (AvTS § 35 lg 1 p 17)

näiteks tugineva isiku klientide registrisse

kandmisel ning eraelu kaitse (AvTS § 35 lg 1

p 12), näiteks (EL) 2025/848 artikli 3 lõike 4

alla mittekuuluvad isikuandmed.

17. Palume täpsustada ka eelnõu § 1 punktiga 6 lisatava e-identimise ja e-

tehingute usaldusteenuste seaduse § 3¹ lõiget 2, mille kohaselt Riigi

Infosüsteemi Amet kehtestab ja avalikustab oma veebilehel

registrisse teabe esitamiseks korra. Seletuskirja punktis 8 on

märgitud, et registri põhimääruses sätestatakse muu hulgas andmete

esitamise ja registreeringu menetlemise kord ning et

registreerimistaotluste esitamise tehniline kord tehakse

kättesaadavaks tuginevate isikute registri kaudu põhimääruses

sätestatud korras. Eelnõu tekstist selline piirang siiski ei nähtu. Kui

RIA veebilehel avaldatav kord reguleerib üksnes tehnilisi küsimusi,

nagu andmete esitamise vorming, kasutatavad kanalid, vormid või

masinliidese tehniline kirjeldus, palume see seaduse tekstis selgelt

Arvestatud. Rakendusakti kavandisse lisatud

eraldi paragrahv, “Andmete esitamise kord”.

Selgitame, et andmete esitamine toimub

sarnaselt MTRi sisestatavate

majandustegevusteadetega, ehk andmete

esitamisel nende vastuvõtmisest ei keelduta.

Küll võiks olla kirjas, mis aja jooksul RIA

andmed üle vaatab ja vajadusel annab tähtaja

andmete parandamiseks/täiendamiseks.

Registreerimise tähtaega ega menetlemise

10

selliselt piiritleda. Kui aga kord puudutab isikute õigusi või

kohustusi, sealhulgas andmete esitamise tähtaegu,

registreerimistaotluse menetlemist, puuduste kõrvaldamist,

registreeringu tegemist, sellest keeldumist, muutmist, peatamist,

tühistamist või registreeringu kehtivust, peab vastav regulatsioon

olema sätestatud seaduses või seaduse alusel antavas ministri

määrusega kehtestatavas registri põhimääruses. Haldusorgani

veebilehel avaldatava korraga ei saa kehtestada isikutele õigusi ja

kohustusi mõjutavaid üldnorme

tähtaega ei ole. Registreeringu tühistamise ja

peatamise alus on EUTSi eelnõus juba

olemas, seega seda määruses ei pea eraldi

sätestama.

18. Täpsustamist vajab eelnõu § 3¹ lõigete 5 ja 6 sõnastus ning seletuskiri

põhjenduste osas, milles käsitletakse registriandmete säilitamist.

Komisjoni rakendusmääruse (EL) 2025/848 artikli 10 kohaselt

säilitavad registripidajad kümne aasta vältel teavet, mille kukrule

tuginevad isikud on esitanud ja mis on registreeritud vastavalt

määruse I lisale kukrule tugineva isiku registreerimiseks ning kukrule

tugineva isiku pääsusertifikaatide ja registreerimissertifikaatide

väljastamiseks, sealhulgas selle teabe hilisemaid muudatusi. Eelnõu §

3¹ lõige 6 näeb seevastu ette, et kümme aastat pärast registrikande

kehtetuks muutmist säilitatakse kõik „registrisse kantud või registriga

seotud andmed”. Selline sõnastus on rakendusmääruse artikliga 10

võrreldes oluliselt laiem, kuna võib hõlmata ka menetlusandmeid,

kontaktisikute isikuandmeid, logisid, tehnilisi andmeid ja muud

teavet, mille kümneaastane säilitamine ei tulene nimetatud

rakendusmäärusest. Samuti ei ole eelnõus üheselt selge

säilitamistähtaja alguspunkt ega selle seos rakendusmääruse artiklis

10 nimetatud teabega.

Arvestatud. Eelnõud ja seletuskirja täiendatud

selliselt, et töödeldav teave eristatakse neljaks

grupiks:

1) EL) rakendusmääruse (EL) 2025/848

artiklis 10 nimetatud andmed

(isikuandmed ja muud andmed) -

säilitatakse 10 aastat vastavalt

rakendusmäärusele.

2) Muud isikuandmeid mittesisaldavad

andmed - säilitatakse 10 aastat ühtseks

toimimiseks muude kogutavate

andmetega. Seaduseelnõus ei käsitleta,

kuna puudub põhiõiguste riive.

3) Isikuandmeid sisaldavad logiandmed -

säilitatakse 10 aastat. Selle eesmärk on

võimalike intsidentide lahendamine (nt

andmete väärkasutus, mis selgub

aastaid hiljem). Intsidentide

lahendamisel on vajalik alles hoida ka

kõiki nende andmetega seotud tehnilisi

andmeid (nt logid, kontaktisikute

nimed ja muud menetlusandmed), kuna

11

ka need andmed võivad intsidentide

lahendamisel osutuda vajalikuks.

Selgitame, et füüsiliste isikute

kontaktandmed kustutakse kohe peale

tugineva isiku poolt nende muutmist.

4) muud isikuandmed kustutatakse

viivitamatult pärast tugineva isiku

poolt nende muutmist.

19. Eeltoodust tulenevalt palume kaaluda, kas eelnõus tuleks eristada

rakendusmääruse (EL) 2025/848 artiklis 10 nimetatud teave muudest

registri pidamisega seotud andmetest ning sätestada kümneaastane

säilitamistähtaeg üksnes nimetatud määruses ette nähtud ulatuses, kui

pikema või laiema säilitamise vajadust ei põhjendata eraldi. Muude

registriandmete, sealhulgas menetlus-, logi- ja tehniliste andmete

säilitamise tingimused tuleks määrata lähtuvalt nende töötlemise

eesmärgist ning isikuandmete puhul ka Euroopa Parlamendi ja

nõukogu määruse (EL) 2016/679 artikli 5 lõike 1 punktides c ja e

sätestatud võimalikult väheste andmete kogumise ja säilitamise

piirangu põhimõtetest. Samuti palume täiendada eelnõu § 3¹ lõike 5

punktis 3 antud volitusnormi selliselt, et registri põhimääruses oleks

võimalik selgelt reguleerida eri andmekategooriate säilitamise,

arhiveerimise ja kustutamise täpsemad tingimused, nagu see on nõutav

kõigi riigi andmekogude puhul, jäädes seejuures eelnõus ja

rakendusmääruses sätestatud piiridesse.

Arvestatud, vt eelmist vastust.

20. Eelnõu § 1 punktiga 6 täiendatakse EUTS-i §-ga 31, milles

kehtestatakse tuginevate isikute registri regulatsioon. Palume

seletuskirjas täpsemalt ja näidete varal avada „tugineva isiku“

mõistet. Kas tuginevate isikute registri puhul on plaanis pärida

andmeid ka rahvastikuregistrist? Kui jah, siis palume see

rakendusakti kavandis välja tuua koos andmekoosseisuga. Osad

asutused võivad digikukruga seonduvalt olla mitmes rollis, näiteks

võib PPA täita nii isikutuvastusandmete andja kui tugineva isiku rolli.

Selgitame, et tuginevate isikute all mõeldakse

asutusi ja ettevõtteid. Tuginevate isikute

mõiste on defineeritud eIDASes ja eelnõu

koostamisel ei peetud vajalikuks dubleerida

seda seaduses. Kuidagi peab ütlema selle ka

välja, et täpsemad detailid (kust ja mida

päritakse) selgub hiljem töö käigus.

12

Kas eelnõu väljatöötamisel on õiguslikult ja tehniliselt läbi mõeldud,

kuidas on sellisel juhul korraldatud andmevahetus teiste riiklike

registritega, sh isikuandmete töötlemise vastutuse ja andmetele

juurdepääsu küsimused teenusepakkujatele ning andmesubjektidele?

Selged õiguslikud määratlused on vajalikud, et vältida võimalikke

andmeedastuse puudusi ja konflikte, kaitsta kasutajate põhiõigusi

ning kontrollida õiguslikult ja läbipaistvalt digitaalsete volitustega

tehtud toiminguid.

Selgitame täiendavalt, et tuginevate isikute

registri puhul ei ole plaanis pärida andmeid

rahvastikuregistrist.

21. Lisaks märgime, et seletuskiri ei ole kooskõlas eelnõu tekstiga.

Seletuskirja § 1 punkti 6 selgituses on märgitud, et andmekogu

pidamise eesmärk ja vastutav töötleja sätestatakse lõikes 1,

säilitamistähtaeg lõikes 7 ning volitusnorm lõigetes 5 ja 6, kuid

eelnõu tekstis on vastutav töötleja sätestatud lõikes 4,

säilitamistähtaeg lõikes 6 ning lõige 7 käsitleb registreeringu

peatamist ja tühistamist. Samuti on seletuskirja punktis 8

(rakendusaktid) märgitud, et registri põhimäärus kehtestatakse § 3¹

lõigete 5 ja 6 alusel, kuigi lõige 6 ei sisalda volitusnormi. Ka on

seletuskirjas öeldud, et registri andmed on eelnõu § 3¹ lõike 4

kohaselt osalise juurdepääsupiiranguga, kuid eelnõu lõige 4 määrab

üksnes andmekogu vastutava töötleja. Seetõttu ei selgu eelnõust

üheselt, millised registriandmed on avalikud ja millistele

kohaldatakse juurdepääsupiirangut. Palume eelnõu ja seletuskirja

vastavalt parandada ning vajaduse korral lisada seadusesse selge

regulatsioon avalikustatavate ja juurdepääsupiiranguga andmete

eristamiseks.

Arvestatud, eelnõud ja seletuskirja

parandatud.

22. Seletuskirja punktis 6.6 märgitakse, et kõik avaliku sektori asutused,

sealhulgas kõik 78 kohaliku omavalitsuse üksust, peavad Euroopa

Parlamendi ja nõukogu määruse (EL) nr 910/2014 artikli 5f lõike 1

kohaselt aktsepteerima Euroopa digiidentiteedikukrut nendes

internetipõhistes teenustes, mille kasutamiseks nõutakse e-identimist

ja e-autentimist. Samas on seletuskirja punktis 7.4 märgitud, et

kohaliku omavalitsuse üksustele ei panda eelnõuga uusi iseseisvaid

Arvestatud, seletuskirja täiendatud. Vaata ka

vastust ELVL ettepanekule.

13

ülesandeid ega rahastamiskohustusi ning eelnõu rakendamisega ei

kaasne neile lisakulusid, kuna digikukru tugi lisatakse riigi kesksesse

autentimisteenusesse TARA. Palume seda hinnangut täpsustada,

arvestades, et seletuskirja punktis 6.6 on samas märgitud, et asutused,

kes keskset autentimisteenust ei kasuta, peavad oma

autentimislahendused ise kohandama. Seetõttu ei pruugi väide, et

kohaliku omavalitsuse üksustele lisakulusid ei kaasne, olla piisavalt

põhjendatud juhul, kui mõni kohaliku omavalitsuse üksus või tema

hallatav infosüsteem ei kasuta TARA-t või vajab digikukru

kasutuselevõtuks täiendavaid arendusi, testimist, teenuseprotsesside

muutmist või juhendamist. Palume seletuskirjas täpsustada, kas ja

millises ulatuses on analüüsitud kohaliku omavalitsuse üksuste

kasutatavaid autentimislahendusi. Kui kohaliku omavalitsuse üksustel

võib siiski tekkida vajadus teha eraldi arendusi või korralduslikke

muudatusi, palume seletuskirjas kirjeldada nende võimalikku mõju,

kulude katmise allikaid ja rahastamise põhimõtteid või täiendada

mõjuanalüüsi vastava selgitusega.

23. Seletuskirja punktis 6.6 (mõju riigiasutuste ja kohaliku omavalitsuse

asutuste korraldusele) on märgitud, et riiklike andmekogude

pidajatele, kelle andmekogu kvalifitseerub autentseks allikaks, tekib

kohustus võimaldada elektrooniliste tõendite kvalifitseeritud

usaldusteenuse osutajatel kasutaja taotlusel kontrollida vähemalt

määruse (EL) nr 910/2014 VI lisas loetletud atribuute, sealhulgas

näiteks aadressi, vanust, kvalifikatsioone ja esindusõigusi. Regionaal-

ja Põllumajandusministeeriumi valitsemisalas on mitmeid

andmekogusid ja infosüsteeme, mille andmeid võidakse edaspidi

kasutada Euroopa digiidentiteedikukru ökosüsteemis elektrooniliste

tõendite või atribuutide allikana, sealhulgas regionaal-,

põllumajandus- või toetuste andmetega seotud andmekogud. Seetõttu

palume seletuskirjas täpsustada, milliseid riiklikke andmekogusid või

andmekogude liike käsitatakse eelnõu ja eIDAS-raamistiku

rakendamisel võimalike autentsete allikatena ning kas Regionaal- ja

Selgitame, et määruse (EL) nr 910/2014 lisa

VI on seotud EIDAS2 määruse artikliga 45e,

mis seostub vaid tõendite verifitseerimisega

(spetsiifilistel juhtudel pabertõendist digitaalse

tõendi tekitamine). Sellist vajadust Eestis

tänase seisuga analüüsides pole tuvastatud.

14

Põllumajandusministeeriumi valitsemisala asutustele võib sellest

tuleneda täiendavaid tehnilisi, korralduslikke või rahalisi kohustusi.

24. Palume täpsustada, kas seletuskirja punktis 7.2 nimetatud

„digikukruga liidestuvate ministeeriumide“ kulude hinnang 2 000 000

eurot hõlmab ka Regionaal- ja Põllumajandusministeeriumi

valitsemisala võimalikke arendusvajadusi, sealhulgas andmekogude

liidestamist, andmekvaliteedi parandamist, liideste loomist või

elektrooniliste tõendite väljastamise ja kontrollimise võimekuse

tagamist. Kui vastavad kulud või kohustused tulenevad vahetult

Euroopa Liidu õigusest ega ole käesoleva eelnõuga täiendavalt

reguleeritud, palume seda seletuskirjas selgelt eristada ning

kirjeldada, millises edasises menetluses või rakendusplaanis

valitsemisalade ülesanded ja rahastamine täpsustatakse.

Selgitame, et nimetatud summa viitab üldisele

hinnangulisele kuluvajadusele. Konkreetsete

kulude hüvitamise taotleb iga ministeerium

eraldi riigieelarve protsessis vastavalt

riigieelarve reeglitele.

25. Eesti

Linnade ja

Valdade Liit

Seletuskirjas (lk 22) on märgitud, et „teenuste liidestamine

digikukruga ja tõendite koostalitlusvõime tagamine on iga haldusala

ülesanne" ning et Euroopa digiidentiteedi kukruga liidestuvate

ministeeriumide (haldusalade) kulud on kokku 2 000 000 eurot.

Seletuskirjast (lk 22) ei selgu, kuidas on vastav kulu välja arvutatud

ning palume seletuskirja vastavalt täiendada. Euroopa digiidentiteedi

kukruga liidestuvad ka omavalitsuste e-teenused, mistõttu on

koostalitlusvõime tagamise kulu katmine põhjendatud ka

omavalitsustele. Seletuskiri tunnistab (lk 22), et „asutused, kes keskset

autentimisteenust ei kasuta, peavad oma autentimislahendused ise

kohandama" ning mitmed omavalitsuste e-teenused TARA-t ei kasuta.

Seetõttu on ekslik väita, et omavalitsuste „koormus piirdub keskse

autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga“,

sest ka TARA kasutuselevõtt on lisakulu. Kohandusi tuleb aga teha

mitte ainult TARA-s ja SIGA-s, vaid ka omavalitsuste kasutatavates

TARAga liidestatud infosüsteemides (nt SPOKU, ARNO jne), et

autenditud EL kodanik saaks iseteeninduses toiminguid jätkata.

Liidestatud infosüsteemil on alati kaks poolt: kui TARA tagastatav

andmekoosseis muutub (nt kui isikukood ei ole enam kindel väli, sest

Arvestatud, seletuskirjas täpsemalt

kirjeldatud mõjusid kohaliku omavalitsuse

üksuste eelarvele.Selgitame, et kulud jaotuvad

kolmeks eri kategooriaks:

- TARA –ga (või ka SIGA jt digikukru

kasutamisega seotud süsteemid)

liitumisega seotud kulud, nende KOV

–de puhul kes TARA jt täna veel ei

kasuta

- SPOKU, ARNO jt süsteemid, mis täna

kasutavad eID lahendusi, teevad ise

vajalikud kohandused digikukru

toetamiseks, võivad aga küsida sellest

tulenevalt lisatasu, tõsta hinda vms

- Need KOV –d kes tahavad rohkem

panustada üleliidulisse digitaalsesse

ühisturgu, näiteks need kes täna juba

kasutavad TARA –s EU eID

võimalust, saavad nüüd suurema

15

teise liikmesriigi kodanikul see puudub), tuleb sellega liidestatud

infosüsteemi vastavalt kohandada. Kuna omavalitsused kasutavad

teenuste osutamiseks laialdaselt erasektori pakutavaid infosüsteeme,

kaasnevad sellega vähemalt analüüsikulud ning muudatuse korral ka

arenduskulud. Osa teenusepakkujaid võib analüüsi- ja arenduskulu

enda kanda võtta, kuid tavaliselt küsitakse selle eest omavalitsustelt

eraldi tasu. Seega kaasneb kohalikele omavalitsustele täiendav kulu.

Kuigi EL liikmesriikide kodanike autentimise võimekus on juba

TARA-sse ehitatud, ei ole seni selle kasutamine ja oma infosüsteemide

vastav kohandamine olnud omavalitsustele kohustuslik. Olemasolevad

infosüsteemid ei pruugi olla võimelised vastu võtma näiteks Rootsi

kodaniku andmekoosseisu, kellel puudub 11-kohaline isikukood.

Paljud infosüsteemid eeldavad isikukoodi olemasolu, kuid TARA

tehnilise kirjelduse (https://e-gov.github.io/TARA

Doku/TehnilineKirjeldus) kohaselt tagastatakse autenditud kasutaja

identifikaator (sub) väljal kas isikukoodi või eIDAS-identifikaatorina,

mis võib olla kuni 256 tähemärki pikk ja mis esitatakse koos riigikoodi

eesliitega. Seega ei pruugi olemasolev infosüsteem, mis on üles

ehitatud Eesti isikukoodi formaadile, sellist identifikaatorit ilma

kohandamiseta vastu võtta. Iga infosüsteemi pakkuja peab eelnõu

rakendamisel analüüsima, kas süsteem saab jätkuda olemasoleval

kujul või kaasnevad täiendavad arenduskulud. See oleneb konkreetse

süsteemi ülesehitusest. Kokkuvõtvalt – Euroopa digiidentiteedi

kukruga liidestatakse kohalike omavalitsuste e-teenused, mistõttu ei

ole õige väita, et kohalike omavalitsuste koormus piirdub keskse

autentimisteenuse kaudu lisanduvate võimaluste kasutuselevõtuga.

Kohalike omavalitsuste e-teenuste liidestamine Euroopa

digiidentiteedi kukruga ja tõendite koostalitlusvõime tagamine peab

olema sarnaselt keskvalitsuse institutsioonidega täielikult riiklikult

rahastatud. Palume seletuskirja vastavalt täiendada, tunnistades

omavalitsuste koostalitlusvõime tagamise kulu samamoodi nagu

haldusalade oma ning täiendades mõjuanalüüsi kohalike omavalitsuste

võimaluse kergemalt toetada

rohkemate liikmesriikide eID läbi

digikukru ja potentsiaalselt ka

lisakulud sellega seotud.

Muud kuludega seotud:

- Need, kes TARA juba kasutavad, siis

plaan on, et olemasolevad TARA

kasutajad saavad ilma lisaarenduseta

digikukru kohustusliku osa (PID

kasutamine online) kasutusele võtta,

analoogselt kuidas 2019 lisandus

Smart-ID TARA –sse.

16

infosüsteemide kohandamise kulude hinnanguga. Palume tagada

riiklik rahastus.

26. Eelnõu § 1 punkti 6 (e-identimise ja e-tehingute usaldusteenuse

seadus § 3¹) kohaselt tuleb digiidentiteedikukrule tuginevate isikute

registrisse registreerida ka avalike teenuste osutajad. Seletuskiri ei

selgita, kas iga omavalitsus peab end eraldi registreerima ja

pääsusertifikaadid taotlema või korraldatakse see keskselt. Palume

seletuskirjas seda täpsustada. Kuna individuaalne registreerimine

tähendaks omavalitsustele täiendavat töökoormust, siis palume see

keskselt korraldada.

Seletuskirja täiendatud selgitusega, et kõik

need, kes peavad digikukrut oma e-identimist

nõudvates e-teenustes aktsepteerima, peavad

end registreerima digikukrule tuginevate

isikute riiklikus registrisSee hõlmab ka

avaliku sektori asutusi, sealhulgas kohaliku

omavalitsuse üksuseid ja riigiasutusi.

Tänane kavatsus on TARA tänased kliendid

saada digikukrut kasutama võimalikult lihtsalt

(sh RP registri toimingud), et avaliku sektori

asutustel oleks sellega seotud võimalikult

väike halduskoormus.

27. Samuti märgime, et RIA-l tuleb vähemasti Euroopa digiidentiteedi

kukru rakendamise esimesel aastal pakkuda Euroopa digiidentiteedi

kukru kasutajatele kasutajatuge, sest kodanikel võivad Euroopa

digiidentiteedi kukru teenuse kasutamisel tekkida küsimusi või

probleeme.

Teadmiseks võetud.

28. Juhime ka tähelepanu, et eelnõus on kasutatud nii mõistet „Euroopa

digiidentiteedi kukkur“ kui ka „Euroopa digiidentiteedikukkur“ ning

palume see ühtlustada.

Arvestatud, mõisted eelnõus ühtlustatud.

17

29. Tarbijakaitse

ja Tehnilise

Järelvalve

Amet

Eelnõu § 1 punktis 22 viidatakse, et üheks eelduseks pädevalt

asutuselt loa saamiseks on Euroopa digiidentiteedi kukru ja selle

pakkuja Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

(edaspidi eIDAS määrus) artikli 5c lõikele 1 vastava sertifitseerimise

läbimine. Kõnealuses eIDAS määruse artikli 5c lõikes 1 viidatakse, et

sertifitseerimine toimub eIDAS määruse artikli 5a nõuetele vastavuse

hindamiseks. TTJA hinnangul on oluline ka sertifitseeringu vastavus

eIDAS määruse artikli 5c lõigetes 2 ja 3 toodud sertifitseerimise

kavadele, mistõttu oleks asjakohane viidata üldiselt eIDAS määruse

artiklile 5c. Samuti võiks TTJA hinnangul olla selguse mõttes välja

toodud asjaolu, et loa saamise eelduseks on üksnes kehtiv

sertifitseering. Samuti juhime tähelepanu, et eIDAS määruse artikli

5c kohaselt sertifitseeritakse digiidentiteedi kukrut, mitte selle

pakkujat. Eeltoodut arvestades teeme ettepaneku muuta eelnõu § 1

punkti 22 ning sõnastada see järgmiselt:

„Euroopa digiidentiteedikukkur on läbinud Euroopa Parlamendi ja

nõukogu määruse (EL) nr 910/2014 artikli 5c kohase sertifitseerimise

ja asjaomane sertifitseering on kehtiv;“.

Arvestatud osaliselt. Eelnõu § 1 punkt 22

sõnastatud ümber selliselt, et kustutatud

väljendid “ja selle pakkuja” ning "lõikele 1”.

Samas selgitame, et loa saamise eelduseks ei

ole vaid sertifikaat, Vaja on tasuda ka riigilõiv.

Lisaks võib pädeval asutusel olla vajadus

täiendava teabe küsimiseks või

täpsustamiseks. Väljendit “ja asjaomane

sertifitseering on kehtiv” ei lisata eelnõusse.

Selle asemel täiendatakse seletuskirja selliselt,

et nii digikukru kui usaldusteenuse loa

taotlemisel peab esitatav sertifikaat olema

kehtiv.

30. Eelnõu § 1 punktis 16 tuuakse välja, et loa olemasolu tõendab

sertifitseeringu kehtivust. TTJA hinnangul ei pruugi loa olemasolu aga

käesoleva eelnõu sõnastuses sertifitseeringu kehtivust tõendada.

Sertifitseering kehtib eIDAS määruse artikli 5c lõike 4 kohaselt kuni

viis aastat, tingimusel, et iga kahe aasta järel viiakse läbi nõrkuste

hindamine. Säte toob täiendavalt välja, et kui tuvastatakse nõrkus ja

seda ei kõrvaldata tähtaegselt, siis sertifitseering tühistatakse. Eelnõus

toodud EUTS § 6 lõike 5 kohaselt kehtib aga pädeva asutuse luba igal

juhul viis aastat. Eeltoodut arvestades teeme ettepaneku muuta eelnõu

§ 1 punkti 16 ning sõnastada see järgmiselt:

Selgitame, et eelnõu kohaselt kehtib luba kuni

5 aastat, ehk see on sarnaselt tänase

usaldusteenuste regulatsiooni ja praktikaga

alati kooskõlas sertifitseeringu kehtivuse

tähtajaga. Kui sertifitseering mingil põhjusel

kaotab kehtivuse, tunnistab pädev asutus ka

tegevusloa kehtetuks. Sätte eesmärk ei ole

kehtestada, et tegevusluba kehtib igal juhul ja

alati 5 aastat.

18

„(4) Euroopa digiidentiteedikukru pakkumiseks peab isikul olema

kehtiv Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014

artikli 5c kohane sertifitseering, mida tõendab asjaomane luba.

(5) Euroopa digiidentiteedikukru pakkumise luba kehtib sertifikaadi

kehtivuse lõpuni, kuid mitte kauem kui viis aastat.“.

31. Andmekaitse

Inpektsioon

Eelnõu § 1 p-ga 40 täiendatakse EUTS §-i 22 lg-ga 2 järgmises

sõnastuses: „Euroopa Parlamendi ja nõukogu määruse (EL) nr

910/2014 artikli 5a lõike 4 punkti d alapunktis iii ja lõike 5 punkti a

alapunktis x sätestatud pädeva riikliku andmekaitseasutuse

ülesandeid täidab Andmekaitse Inspektsioon. Andmekaitse

Inspektsioon teeb järelevalvet määruse artikli 46a lõike 4 punktis f

sätestatud ülesannete täitmise üle.“ Sätte esimene lause on sisult

asjakohane st digiidentiteedikukrud võimaldavad kasutajal andmete

saamiseks saadetud väidetavalt ebaseadusliku või kahtlase taotluse

korral hõlpsasti teatada tuginevast isikust pädevale riiklikule

andmekaitseasutusele. Sisuliselt on tegemist teavituskanaliga, mille

kaudu AKI saab teavet võimalikest andmekaitsealastest rikkumisest.

Teate saamisel menetleb AKI seda tavapäraselt lähtudes IKÜM-i

raamidest. Samas sätte esimene lause sisuliselt dubleerib juba

kavandatava EUTS § 2 lg-s 3 sätestatut – mõlemad viitavad samadele

eIDAS määruse (edaspidi määrus) sätetele ja annavad AKI-le sama

rolli, mistõttu ei ole seda vajalik uuesti korrata. Probleemne on

kavandatava EUTS § 22 lg 2 teine lause, mille kohaselt AKI teostaks

järelevalvet määruse art 46a lg 4 p-s f sätestatud ülesannete täitmise

üle. Säte üritab AKI-le anda ülesannet, mis eelnõu endaga on juba

antud ainult RIA-le nii nagu seda määruses mõeldud ongi. Määruse

art 46 a lg 4 p f sätestab, et lõike 1 kohaselt määratud

järelevalveasutusel on ülesandeks mh peatada või tühistada

tuginevate isikute registreerimine ja kaasamine art 5b lg-s 7 osutatud

mehhanismi Euroopa digiidentiteedikukru ebaseadusliku või

petturliku kasutamise korral. Esmalt, määruse art 46a lg 1 kohaselt

Arvestatud. Eelnõust eemaldatud viide AKI

järelevalvele määruse artikli 46a lõike 4

punktis f sätestatud ülesannete täitmise üle

ning dubleeriv viide.

19

määratud järelevalveasutuseks ehk pädevaks asutuseks on ainult RIA

(vt kavandatav EUTS § 2 lg 1)1 ehk kõiki määruse art 46a nimetatud

järelevalveasutuse ülesandeid saab täita ainult RIA. Seega ei ole AKI

järelevalveasutus määruse art 46a tähenduses ega saa kuidagi

teostada järelevalvet määruse art 46a ükskõik millise lõike või punkti

osas. Eelnõu seletuskirja lisas 2 toodud vastavustabelis on teisel real

AKI roll rakendava riigisisese sättena õigesti märgitud EUTS § 2 lg

3, kuid asjakohatult on märgitud lisaks juurde EUTS § 22 lg.

32. Seda kinnitavad ka samal real olevad EL-i õigusakti sätted, mis

räägivad AKI rollist, mitte järelevalvepädevuse määramisest nagu

ekslikult sama rea kommentaaris on märgitud. AKI täidab pädeva

riikliku andmekaitseasutuse rolli, mitte määruse üle järelevalvet

teostava järelevalveasutuse rolli (vt kavandatav EUTS § 2 lg 3).

Eelnõus on pädeva asutuse ja pädeva andmekaitseasutuse rollid

seoses pädeva asutuse ühe ülesandega kokku liidetud ja segamini

aetud. AKI teostab järelevalvet andmekaitsealaste normide üle IKÜM

raamistikus ja määruse üle teostab järelevalvet siiski ainult RIA (sh

on ta EUTS-is nimetatud ka ainsana kohtuväliseks menetlejaks). Küll

aga peab olema määruse kohaselt tagatud, et AKI-le oleks võimalik

esitada hõlpsasti teateid võimalike andmekaitsealaste rikkumiste

kohta, mis on seotud digiidentiteedikukru ebaseadusliku või

petturliku kasutamise kahtlusega. RIA kui pädeva asutuse üheks

ülesandeks on mh teha koostööd AKI-ga ning teavitada AKI-t

võimalikest isikuandmetega seotud rikkumistest (määruse art 46a lg 4

p g). Teisalt ei saa AKI pädevuse puudumise tõttu ka peatada või

tühistada tuginevate isikute registreerimist ja kaasamist, sest selline

pädevus on pädeva asutusena samuti ainult RIA-l (vt kavandatav

EUTS § 2 lg 1 ja 31 lg 7). Lisaks ei ole AKI-l pädevust tuvastada

määruse art 46a lg 4 p-s f nimetatud „ebaseaduslikku või petturlikku

kasutamist“, mis on juba oma olemuselt laiem mõiste kui

isikuandmetega seotud rikkumine ja hõlmab endas ka muid rikkumisi

(nt volitamata kasutus vms), mis ei kujuta endast IKÜM-i rikkumist.

Arvestatud. Vaata ka eelmist vastust.

20

33. Eelnõu seletuskirja p-s 7.2 kajastatud AKI aastane lisavajadus on

kooskõlas AKI tegeliku, IKÜM raamistikuga seotud koormuse

kasvuga, mis tuleneb kasutajate (andmesubjektide) esitatud

digikukruga seotud teadete menetlemisest kahtlaste või ebaseaduslike

andmepäringute kohta, mida AKI hindab oma tavapärase pädevuse

piires. Lisavajaduse suhteliselt tagasihoidlik suuruski viitab, et AKI-

le ei ole määruse mõttes kavandatud iseseisvat määruse üle

järelevalvet teostava asutuse rolli koos sellega kaasneva

lisavajadusega. Juhul kui seadusandja sooviks siiski määrata Eestis

määruse art 46a tähenduses mitu järelevalveasutust (nt osaliselt mõne

ülesande osas RIA ga kõrvuti ka AKI), tuleks see selgelt eelnõus

välja tuua ning kehtestada selleks vajalikud normid. Sellisel juhul

oleks AKI tegelik lisavajadus praegu kavandatust oluliselt suurem.

Lisaks tuleb arvestada, et määruse art 46a lg-s 3 kirjeldatud

järelevalveasutuse rollid moodustavad ühtse, omavahel seotud

terviku, millest art 46a lg-s 4 nimetatud üksikuid ülesandeid ei saa

sisuliselt lahus käsitleda. Näiteks selle sama kõnesoleva määruse art

46a lg 4 p-s f toodud ülesande täitmine eeldab paratamatult ligipääsu

ja arusaamist laiemast kontekstist – pakkuja tegevusloa tingimustest,

vastavushindamise tulemustest, tehnilisest infrastruktuurist jms –

mida haldab RIA. Juhul kui AKI määrataks järelevalveasutuseks

kitsalt määruse art 46a p-i f ulatuses, peaks AKI selle ülesande

täitmiseks sisuliselt dubleerima osa RIA-l olemasolevast

järelevalvevõimekusest, mis ei ole otstarbekas ega ka kooskõlas RIA

ja AKI rollidega. RIA-le seatud ülesannete osas saab AKI vajadusel

anda andmekaitsealast sisendit (vt nt määruse art 20 lg 3b). Seega ei

ole AKI määruse ega EUTS-i täitmise üle järelevalve teostajaks ega

peaks seetõttu olema ka EUTS §-s 22 nimetatud järelevalveasutus.

AKI töökoormus suureneb digikukru ja sellega seotud

töötlemistoimingute andmekaitsealase järelevalve võrra, kuid seda

siiski vastavalt IKÜM i ja IKS-i raamistikule. Kokkuvõttes tuleb

kavandatav EUTS § 22 lg 2 eelnõust tervikuna välja jätta ning

Arvestatud, eelnõud muudetud.

21

seetõttu pole vajalik sellega seotult ka eelnõu § 1 p-s 39 nimetatud

muudatus.

34. Teabevahetus ja aruandlus Eelnõu § 1 p-ga 43 täiendatakse EUTS §

234 lg 1 järgmiselt: „Valdkonna eest vastutaval ministeeriumil,

pädeval asutusel ja Andmekaitse Inspektsioonil on õigus nõuda Eesti

jurisdiktsiooni alla kuuluvalt Euroopa Parlamendi ja nõukogu

määruses (EL) nr 910/2014 sätestatud teenuse osutajalt määruse

artikliga 48a pandud ülesannete täitmiseks vajalikku teavet.“

Sisuliselt kordub sama põhimõtteline probleem. Määruse art 48a

pandud ülesanded on kavandatava EUTS § 2 lg 1 kohaselt RIA

ainupädevuses. Seletuskirja lisas 2 olevas vastavustabelis on määruse

art 48a kajastatud kahel korral. EUTS § 234 peaks olema üksnes

menetluslik teabe nõudmise mehhanism asutuse jaoks, kellele on

pandud sisuline ülesanne täita määruse art-t 48a (RIA). Kuna AKI ei

täida määruse art-ga 48a pandud ülesandeid, siis ei ole vajalik ega saa

ka AKI le anda õigust nõuda teenuse osutajalt nimetatud ülesande

täitmiseks vajalikku teavet. AKI roll statistika kogumisel saab olla

vaid vajadusel enda menetluste osas sisendi andmises RIA-le.

Arvestatud. Eelnõu § 1 punktist eemaldatud

viide AKI-le.

35. Digiidentiteedikukrule tuginevate isikute register Eelnõu § 1 p-ga 6

täiendatakse seadust §-ga 31, mille lg 3 loetleb andmekogusse

kantavate andmete kategooriad, nähes muu hulgas ette, et

andmekogusse kantakse ka muud registri pidamise eesmärgi täitmiseks

vajalikud isikuandmeid mittesisaldavad andmed. Kuigi lisatud on

piirang, et need andmed ei sisalda isikuandmeid, jääb andmekategooria

ise siiski ebaselgeks. Leiame, et tegemist on liiga avatud volitusega.

JDM juhise järgi on probleemne olukord, kus töödeldavate andmete

kategooriad üldse puuduvad või on liiga laiad ja üldised. Ka

andmekogude juhendis on selgitatud, et seadusega võib täpse andmete

koosseisu kehtestamise delegeerida täitevvõimule, kuid täitevvõim ei

saa väljuda seaduse ja volitusnormi raamidest. Antud juhul

isikuandmete välistamine küll vähendab riski, kuid ei kõrvalda siiski

õigusselguse probleemi. Soovitame asendada p-i 3 sõnastus konkreetse

Arvestatud, eelnõusse lisatud töödeldavad

isikuandmete kategooriad (EUTS § 3¹ lõige 3)

22

andmeliikide loeteluga või siis täpsustada vähemalt, millist liiki

isikuandmeid mittesisaldavaid andmeid võib registrisse kanda. Kui

silmas on näiteks peetud tehnilisi metaandmeid, registreeringu

menetlusandmeid või avalikustamise vormingut puudutavaid andmeid

vms, siis võiks normis sellele ka viidata.

36. Rakendusakti kavand Kuigi tuginevate isikute registri põhimäärus

tuleb eelduslikult täiendavalt arvamuse avaldamiseks peale selle

lõpliku sõnastuse kujundamist, toob AKI välja järgmised

tähelepanekud, mida põhimääruse koostamisel tuleks arvesse võtta.

Põhimääruse kavandis on vastutava töötleja ülesanded kirjeldatud liiga

kitsalt (põhimääruse § 2 lg 2). Vastutav töötleja ei ole üksnes n-ö

tehniline majutaja, vaid AvTS-st tulenevalt on vastutavaks töötlejaks

see, kes korraldab andmekogu kasutusele võtmist, teenuste ja andmete

haldamist, vastutades andmekogu haldamise seaduslikkuse ja

andmekogu arendamise eest ehk täidab nende kohustustega seotud

ülesandeid. Seega tuleks põhimääruses selgelt sätestada RIA kui

vastutava töötleja ülesanded. Põhimääruse § 4 lg 2 on olemuselt sisutu.

AvTS järgi on andmekogu infosüsteemis töödeldavate korrastatud

andmete kogum, infosüsteem on defineeritud KüTS-s ning selle järgi

infosüsteem kujutabki endast digitaalset andmete töötlust. Sama sätte

lg-s 4 tuleks lisada üksnes need juhud, kus andmekogu andmetel on

õiguslik tähendus ja mitte märkida, et andmetel on üksnes

informatiivne tähendus. Põhimääruse § 6 osas märgime, et

põhimääruses tuleb loetleda nii andmeandjad kui ka nende poolt

esitatavad andmed ehk millistest andmekogudest või kelle käest

milliseid andmeid saadakse. Läbi selle määratakse kindlaks, millised

on selle konkreetse andmekogu unikaalsed põhiandmed. Põhimääruse

§ 8 lg 1 (registriandmete õigsus) osas märgime, et andmete teise

andmekogusse edastamisel vastutab andmete edastaja edastatavate

andmete õigsuse eest. Andmekogu terviku vaatest vastutab andmete

õigsuse eest andmekogu vastutav töötleja, kelle andmekogusse

andmed edastati. Selgitame, et IKÜM art 5 lg 2 kohaselt tagab vastutav

Arvestatud. Täiendame rakendusakti

ametlikul kooskõlastusringil.

23

töötleja sama artikli lõikes 1 sätestatud isikuandmete töötlemise

põhimõtete järgimise. IKÜM art 5 lg 1 p-i d ja IKS § 14 p-i 4 kohaselt

tagab vastutav töötleja ka andmete õigsuse ja asjakohasuse. Eelnevalt

arvesse võttes vastutab andmekogu vastutav töötleja tervikuna

andmekogu andmete õigsuse eest. Seega peaks põhimäärusest

nähtuma RIA kui andmekogu vastutava töötleja osa registriandmete

õigsuse tagamisel. Praegune sõnastus jätab mulje nagu RIA-l

andmekogu vastutava töötlejana siin üldse mingit vastutust ei ole.

Põhimääruse § 10 (registriandmete arhiveerimine) osas märgime, et

juhul kui andmekogus soovitakse eristada arhiivseid andmeid, siis

peab põhimäärusest ka selguma, mida arhiiv sisuliselt tähendab (ehk

millal ja millised andmed liiguvad arhiivi, kes nendele andmetele ja

millistel tingimustel ligi pääsevad jne) ning miks seda üldse vaja on.

37. Siseministeer

iumi

infotehnoloo

gia- ja

arenduskesk

us

EN § 1 p 6, millega lisatakse § 31 lg 6. Juhime tähelepanu, et jääb

ebaselgeks mis on registriga seotud andmed mida registrisse ei kanta

aga säilitatakse sellest olenemata 10 aastat. Mis andmed need on ja

kus neid sellisel säilitatakse?

Arvestatud. Eelnõusse lisatud töödeldavad

isikuandmete kategooriad (EUTS § 3¹ lõige 3).

38. EN § 1 p 6 millega lisatakse § 5 lg 12:

A) Lg 12 viitab lg-le 11 mis omakorda viitab rakendusmääruses

(EL) 2024/2977. Samas ei ole selge mis andmeid millisest

andmekogust kogutakse. St millised isikutuvastusandmeid

saab digiidentiteedikukru pakkuja isikut tõendavate

dokumentide andmekogust (ITDAK) ja milliseid

Rahvastikuregistrist (RR). Andmesubjektile peab olema selge

kust ja konkreetselt milliseid andmeid tema kohta kogutakse.

Kas soov on koguda andmeid topelt, kuidas oleks see sellisel

juhul isikuandmete töötlemise põhimõtetega kooskõlas? Ka

arendusvajadused võivad sõltuda küsitavate andmete

koosseisust. Seejärel on võimalik hinnata millise andmekogu

juures kas ja milliseid arendusi on vaja teha.

A) Selgitame, et

1. ITDAK-st on planeeritud küsida teatud

juhtudel isiku pilti.

2. Rahvastikuregistrist on planeeritud küsida

teisi EL rakendusmääruse 2026/1731 tabel 1-s

loetletud isikuandmeid. Sünnikoht on selles

tabelis loetletud.

3. Andmeid päritakse isikute initsiatiivil või

vastususe hindamise ja andmeid hoiustatakse

konkreetse inimese telefonis olevas kukrus.

24

B) SK-s on RRi kohta toodud järgnev „Kehtiva rakendusmääruse

(EL) 2024/2977 kohaselt on kohustuslik andmeväli ka

digiidentiteedikukru kasutaja sünnikoht, mille

digiidentiteedikukrusse kandmine võib eeldada päringut

rahvastikuregistrisse.“ Kas RRi puhul ongi mõeldud tegelikult

vaid sünnikoha päringuid? Kui jah, siis tuleks see ka eelnõusse

selliselt sisse tuua. See aga eeldab, et sünnikoha päringu

vajadus on eelnevalt selgeks tehtud, mitte tasandil „võib

eeldada päringut“. Ehk et arvestades SK-s toodud sõnastust,

siis seadusesse ei peaks looma aluseid andmete pärimiseks kui

ei ole selge selle vajadus.

C) Kehtiva rakendusmääruse (EL) 2024/2977

isikutuvastusandmed sisaldavad ka näokujutist. ITDAK saab

isiku näokujutise automaatse biomeetrilise isikutuvastuse

süsteemi andmekogust (ABIS) ning ITDAK-sse kantakse

andmed isikut tõendavate dokumentide seaduse alusel

läbiviidavate menetluste käigus (ITDAK pm § 12), st vastavalt

menetluse eesmärgile. Juhul kui seda ei ole eelnevalt tehtud,

siis palume eelnõu koostajal koostöös andmekogude vastutava

töötlejaga analüüsida, kas näokujutise päring ITDAK-st on

õiguspärane või vajab see ABIS andmekogu kaasamist ja

eelnõusse toomist.

B) Arvestatud, seletuskirja täiendatud.

Kõik PID kohustuslikud andmed (välja

arvatud pilt) saadakse rahvastikuregistrist,

selle alusel millega inimene ennast PID

väljastamiseks tuvastas.

C) Teadmiseks võetud, analüüsime ABIS kui

andmeandja vajadust.

39. EN § 1 p 15. Ettepanek kaaluda, kas lisada eelnõusse, et millest

sõltuvalt võib kehtivus olla lühem kui 2 aastat. Hetkel eelnõu tasandil

võimalik mõista millest see sõltub. Sama põhimõte ka EN § 1 p 16

osas, millega lisatakse § 6 lg 5 - digiidentiteedikukru pakkumise loa

kehtivus.

Selgitame, et need põhjendused on

seletuskirjas põhjendatud. Eelnõu täiendamist

ei peetud vajalikuks.

40. EN § 1 p 17. Vastavalt eelnõuga plaanitavale seaduse § 6 g-le 4 (EN

§ 1 p 16) peab sertifikaat olema. Seega igaks juhuks juhime

tähelepanu sõnastusele, mille kohaselt tuleb eelnõu järgi sertifikaat

esitada vaid olemasolul, st ei ole nõutud. Ehk et jääb ebaselgeks kas

see on kohustuslik või tuleb esitada vaid olemasolul. Ühtlasi on

Arvestatud, eelnõus täpsustatud

"usaldusnimekirja lisatav teenuse sertifikaat"

(EN p 17).

25

kehtiv sõnastus jäigem. Kui on siiski vaid „olemasolul“, siis võiks

selle muutuse kohta lisada täpsustuse ka seletuskirja.

Selgitame, et elnõuga peeti silmas

usaldusnimekirja lisatavat teenuse sertifikaati,

mitte vastavushindamisasutuse poolt

väljastatud sertifikaati.

41. Seletuskiri EN § 1 p 6. Palume seletuskirja EN § 1 p 6 kohta käiva

selgituse teine lõik üle vaadata. Hetkel tundub, et ei lähe EN tekstiga

kokku.

Arvestatud, seletuskirja kohendatud.

42. Kulud ja ajaraam. Eelnõu rakendamine võib eeldada ITDAK-i ja/või

RR-i täiendavaid arendusi ja liidestusi, et tagada vajalik

andmevahetus ning toetada digiidentiteedikukru elutsükli haldamist.

Seejuures ei ole täna teada milliseid konkreetseid arendusi on vaja

teostada, mistõttu ei ole võimalik hinnata nende ajalist mahtu ega ka

kulu. Arvestades, et vajalike arenduste osas puudub selgus, on ka

praeguses ajaraamis püsimine küsitav. Seletuskirjas on hinnatud RIA,

Andmekaitse Inspektsiooni, Justiits- ja Digiministeeriumi ning teiste

ministeeriumide kulusid koondtasemel, kuid puudub hinnang

üksikutele andmekogudele ja infosüsteemidele tekkiva mõju kohta.

Seetõttu ei ole võimalik ka hinnata, kas seletuskirjas toodud arendus-

ja liidestamiskulud katavad ITDAKi ja/või RRi arendamise ja

kohandamise vajaduse. Arvestades andmekogude rolli ning

võimalikku vajadust muuta olemasolevaid teenuseid, liideseid ja

andmevahetuslahendusi, tuleks enne eelnõu lõplikku menetlemist

analüüsida konkreetselt ITDAKile ja RR-le avalduvat mõju, hinnata

vajalike arenduste mahtu ning tuua välja nende eeldatav maksumus ja

rahastamisallikas. Seejuures tuleks arvestada nii ühekordset

arenduskulu kui ka hilisemat püsikulu. Hetkel ei ole SK-st selge

kuidas nende kuludega on arvestatud.

Selgitame, et hetkel meile teadaolevalt ei pole

vaja RR ja ITDAK arendusi. Plaanitakse

kasutada nende teenuseid üle x-tee.

43. TARA.Hetkel ei ole teada, kuid juhime tähelepanu, et kui TARA-sse

lisandub digiidentiteedikukru autentimise võimalus, siis võib see

Selgitame, et kulude osa on vastatud real 25.

Lahenduse juurutamisel lähtutakse

26

andmekogudele tuua kaasa täiendavaid arendusvajadusi, millega

kaasnevad omakorda kulud.

põhimõttest, et digikukru ülesehitamisega

kaasneks võimalikult vähe kulusid.

44. Välismaalaste autentimise andmed. Kuhu on planeeritud salvestada

digiidentiteedikukkur vahendusel tuvastatud välismaalaste

autentimise andmed (PID)?

Selgitame, et autentmisel saadud andmed

kasutab ja säilitab vastavalt nõuetele tuginev

isik. See see ei muutu võrreldes tänasega, kus

tuginevad isikud juba kasutavad TARA kaudu

EU eID.

Pikemas vaates on kavatsus riigis välja

arendada lahendus, mis võimaldaks keskselt

viia kokku inimese Eesti isikukoodi sama isiku

teise liikmesriigi tunnusega (isikukoodiga).

45. Rakendusakt. Arvestades, et dokument on kavandi faasis ning ei ole

toodud ammendavat andmeandjate loetelu, siis ei ole hetkel võimalik

hinnata kas on puutumus andmekogudega, mille puhul SMIT on

volitatud töötleja.

Teadmiseks võetud. Rakendusakti täiendatud

andmeandjate paragrahvi kavandiga (§ 6), mis

valideeritakse rakendusakti ametlikul

kooskõlastusringil.

46. Maa- ja

Ruumiamet

Kas digiidentiteedikukru lisandumine usaldusteenustesse, mida

kasutavad olemasolevad andmekogud (riiklikud autentimise- ja

allkirjastamise teenused), toob kaasa lisanõudeid usaldusteenusele

tuginevatele süsteemidele? Näiteks, kas e-teenused peavad laiendama

kasutajaskonda üle-Euroopaliseks, mille tulemusel ei piisa enam

isikute valideerimisest rahvastikuregistris või äriregistris, vaid tuleb

arvestada ka muude variantidega?

Selgitame, et Komisjoni eesmärk on tekitada

(uuesti) digitaalset ühisturgu. See on aga

relevantne nendele e-teenustele kes ka täna

juba pakuvad teenuseid teiste liikmesriikide

residentidele, näiteks läbi TARA eID

võimaluse. Digikukkur annab siis

lisavõimalused ja võimendab seda üleliidulist

identimist.

47. Kui andmekogu või infosüsteem kasutab riiklikku autentimis- ja

allkirjastamisteenust, siis kas selline andmekogu peab ise ennast

digiidentiteedikukrule tuginevate isikute riiklikusse registrisse

registreerima või lisatakse riiklikud andmekogud ja infosüsteemid

sinna vaikimisi?

Selgitame, et tänane kavatsus on TARA

tänased kliendid saada digikukrut kasutama

võimalikult lihtsalt (sh RP registri toimingud),

et avaliku sektori asutustel oleks sellega

seotud võimalikult väike halduskoormus.

48. Kui riiklikku autentimisteenust kasutavat andmekogu kasutab asutus

otsese avaliku teenuse läbi viimiseks, siis kas ka see asutus peab

Selgitame, et TARA olemasolevate klientide

registreerimise detailid on täpsustamisel.

27

ennast digiidentiteedikukrule tuginevate isikute riiklikus registris

registreerima?

49. Eesti

Infotehnoloo

gia ja

Telekommun

ikatsiooni

Liit

Rollide koondumine RIA-sse ja täiendav järelevalvekulu ITL juhib

tähelepanu Riigi Infosüsteemi Ameti (RIA) rollide ulatuslikule

koondumisele kavandatavas regulatsioonis. Eelnõu kohaselt hakkab

sama asutus täitma samaaegselt mitut keskset rolli: digikukru

lahenduse hankimine ja juurutamine, tegevusloa andmine ning

järelevalve ja täitevmenetluse läbiviimine. ITL peab oluliseks tagada

RIA hanke-, arhitektuuri- ja järelevalvefunktsioonide selge

funktsionaalne sõltumatus. Selline rollide koondumine võib tekitada

küsimusi funktsioonide sõltumatuse ning järelevalve erapooletuse

kohta. ITL on ka varasemalt teinud ettepaneku eraldada Riigi

Infosüsteemi Ametist küberturvalisuse järelevalve roll ning toonud ühe

võimaliku lahendusena näiteks järelevalve ülesannete üleviimise

Tarbijakaitse ja Tehnilise Järelevalve Ametile. Ka käesoleva eelnõu

puhul peame oluliseks, et usaldusteenuste järelevalve oleks

korraldatud institutsionaalselt sõltumatult. Oleme jätkuvalt seisukohal,

et teostaja ja järelevalvaja rollid ei sobi kokku ühte asutusse ja leiame,

et RIA ei tohi iseenda üle järelevalvet teha. Seaduseelnõu seletuskirjas

on täiendavaks järelevalvekuluks RIA-le hinnatud 75 000 eurot aastas.

RIA järelevalvele pannakse samas järgmised täiendavad ülesanded:

• digikukruteenuse pakkuja loamenetlused;

• riskihinnangute hindamine;

• turvaintsidentide menetlemine;

• tegevuslubade muutmine;

• EL-i aruandlus;

• registri järelevalve.

Seadus eeldab sisulist järelevalvet, kuid eelarve iseloomustab pigem

vastavushindamisasutuse (Conformity Assessment Body, CAB)

hinnangutele toetuvat formaalset järelevalvet. Loataotlusega tuleb

järelevalvele täiendavalt esitada riskianalüüs, riskide mõju ja

leevendusmeetmed. Teeme ettepaneku täiendada eelnõud ja

Mittearvestatud. Selgitame, et kuigi

tavapäraselt teeb neid loetletud toiminguid

vastavushindamisasutus, siis eIDAS määruse

järgi saab järelevalve asutus igal hetkel ka ise

vajadusel kõiki kontrolle teha (art. 20 lg 2).

Selle sätte eesmärk on ühetaolise järelevalve

tagamine piiriüleselt. Kuna eIDAS määrusena

on otsekohalduv, ei tohi Eesti riikliku otsusega

selle kohustusi kitsendada.

28

seletuskirja selliselt, et oleks üheselt selge: teenusepakkuja tehnilise

vastavuse, riskijuhtimise ja turvameetmete sisuline hindamine toimub

vastavushindamise käigus vastavushindamisasutuste poolt. RIA

järelevalve ülesanne on kontrollida vastavushindamise tulemuste

olemasolu, kehtivust ning nende alusel teenuseosutaja vastavust

õigusaktide nõuetele, analoogselt kehtiva kvalifitseeritud

usaldusteenuste järelevalvemudeliga. See vastaks paremini ka

seletuskirjas kirjeldatud järelevalve rahastamise mahule. Kui

seadusandja eesmärk on anda RIA-le sisuline riskide hindamise ning

tehniliste ja regulatiivsete turvaintsidentide menetlemise funktsioon,

eeldaks see märkimisväärselt suurema erialase võimekuse loomist.

Praktikas tähendaks see dubleerivate ametikohtade loomist

valdkondades, kus vastav kompetents on juba olemas

vastavushindamisasutustes ning osaliselt ka RIA teistes üksustes, mis

tegelevad digikukruhankimise ja arhitektuuri kujundamisega.

50. Digikukru, e-identimise süsteemide usaldusväärsuse taseme

hindamine ja sertifitseerimine ning loa andmine. Euroopa

digiidentiteedikukru (edaspidi: digikukkur) sertifitseerimise,

usaldusväärsuse taseme hindamise ja pakkumise loa andmise

protsessid ei ole eelnõus piisavalt selgelt reguleeritud. Näiteks ei

selgu, kes ja millises menetluses hindab ning kinnitab digikukru

usaldusväärsuse taseme „Kõrge“. On mõistetav, et oluline osa

asjassepuutuvast regulatsioonist on eIDAS määruses ning selle alusel

välja antud rakendusaktides. Palume siiski vähemalt seletuskirjas

selgitada, mis kuulub digikukru sertifitseerimise skoopi, kes ja mis

menetluses kinnitab digikukru usaldusväärsuse taseme ning mis on

digikukru pakkuja loa menetluse skoobis. Segadust lisab see, et

digikukrut ja selle pakkumist on käsitletud usaldusteenuste ja

usaldusteenuste osutajate peatükis (EUTS peatükk 2.). Digikurku

regulatsioon on näiteks eIDAS määruses e-identimise süsteemide all.

Vt sellega seoses ka täpsemat ettepanekut allpool, kirja punktis 8.1.

EUTS-is sätestatud siseriiklikku e-identimise usaldusväärsuse

Arvestatud osaliselt. Seletuskirjas selgemalt

kirjeldatud, et sertifitseerimise skoobi määrab

ära 2981 rakendusakt, samuti alused millised

asutused võivad seda teostada.

Plaan on digikukru hankega leida sobilik

lõplik sertimise skeem ja sertifitseerimine.

Digikukru usaldusväärsuse kõrge tase on

määratud määruses ja rakendusaktides, selle

kontroll on osa sertifitseerimisest.

Kukru väljaandmise etappidest on koostatud

ka eraldi analüüs, mis sisaldab viiteid eIDAS

määrusele. Veebis kättesaadav:

https://www.ria.ee/riigi-

29

tasemete hindamise nõudeid ja korda ei peaks rakendama nende e-

identimise süsteemide osas, mis on läbinud juba sertifitseerimise

vastavalt eIDAS määrusele. Seetõttu teeme ettepaneku lisada eIDAS

määruse ja rakendusaktide kohaselt sertifitseeritud e-identimise

süsteemid eelnõuga EUTS § 1 lõikesse 5.

infosusteem/elektroonilise-identiteedi-

teenused/digikukkur-eudi-

wallet#analuusid:~:text=Tegevuste%20tabel%

20EUDIW%20v%C3%A4ljaandmiseks%20%

7C%2087.65%20KB%20%7C%20xlsx.

51. Digikukru sertifitseerimise ja loa kehtivusajad Eelnõu § 1 punktiga

16 EUTS-i lisatavas § 6 lõikes 5 on pakutud digikukru pakkuja loa

kehtivusajaks kuni 5 aastat ja seda tulenevalt eeldusest, et digikukkur

on sertifitseeritud 5 aastaks vastavalt eIDAS määrusele. Oleme

seisukohal, et loa väljastamine kuni 5 aastaks seab küsimuse alla

järelevalve ja loa menetluse proportsionaalsuse ja õigustatuse

võrreldes teiste teenuseliikidega. Nii e identimise kui ka

usaldusteenuste puhul kehtib luba 2 aastat. Iseenesest ei pea olema

loa andmine vaikimisi sünkroonis sertifitseerimisega.

Usaldusteenuste osas on varasemalt ettepanekuid tehtud loa

menetluse (kui ka sertifitseerimistsükli) pikendamiseks vähemalt 3

aastani, kuna korduva vastavushindamise ja loa menetluskoormus on

väga suur. Teeme ettepaneku kehtestada digikurku pakkuja loa

kehtivusajaks 3 aastat.

Mittearvestatud. Digikukrut ei saa

võrdsustada usaldusteenustega - need on

erinevad teenused. Lühem loa kehtivusaeg

suurendab halduskoormust ning siiani on kõik

tegevusload olnud sünkroonis neile

vastavushindamisasutuse (CAB) poolt

väljastatud sertifikaadi kehtivusega (mis on

usaldusteenuste puhul 2 aastat). Kukrule

tehtud sertifitseering hakkab kehtima 5 aastat

ning sellest tulenevalt võiks ka tegevusluba

kehtida sama kaua.

Kui vahesertifitseerimist ei tehta (või leitakse

vahepeal nt suured turvaaugud, mida

ettekirjutuse peale korda ei tehta) - on RIAl

kui pädeval asutusel alati võimalik

tegevusluba kehtetuks tunnistada.

52. Digikurku pakkumise ja usaldusteenuse loa taotlemine ning taotluses

esitatavad andmed Eelnõu § 1 punktidega 17-19 täiendatavas EUTS §

7 lõikes 3 on nõutud hulk uusi andmeid ja tõendeid taotluse

esitamiseks, kuid need on halvasti defineeritud. Esitatavate andmete

osas tekib küsimus, et kas need on vajalikud tegevusloa andmiseks

ning kuidas nende sisu muutus mõjutab tegevusluba ja milliseks

muutub teenuseosutaja halduskoormus. Näiteks nõutakse EUTS § 7 lg

3 punktiga 1 lisaks muudele andmetele tegevusvoo skeemi. Mis see

täpsemalt on ja mille kohta see käima peaks? Milline on suhe nõutud

Mittearvestatud. Selgitame, et EUTS § 7 lõike

3 näol ei ole tegemist uute nõuetega, RIA on

samasugust teavet ka siiani loamenetluste

puhul juurde küsinud. Seega eelnõu

täiendamise eesmärk on lahendada just

ettepaneku eesmärki - luua selgust, mida tuleb

taotlejal loamenetluse puhul esitada.

30

usaldusteenuse kirjeldusse ja kuidas mõjutab skeemi sisu muutus

tegevusluba? Samuti on toodud selles punktis välja nõue esitada

“sertifikaat selle olemasolu korral”. Palume täpsustada, mis laadi

sertifikaadist jutt käib. EUTS § 7 lg 3 p 11 on nõutud põhjendatud

järeldust usaldusteenuse ja selle osutaja vastavuse või mittevastavuse

kohta. Vastavushindamise asutus väljastab vastavalt eIDAS määruses,

rakendusaktides, rahvusvahelistes ja ETSI standardites reguleeritud

ning akrediteerimisasutuse kinnitatud vormis vastavushindamise

aruande ning usaldusteenuse vastavussertifikaadi. Selles ei esitata

eelnõus kirjeldatud laadi “koondjäreldust”. Palume see punkt viia

vastavusse vastavushindamise nõuete ja standarditega. EUTS § 7 lg 3

p 11 NIS2-st tulenevate nõuete hindamine toimub eIDAS määruse

kohaselt. Eesti seadus ei muuda seda asjaolu ega pea seda eraldi välja

tooma. Lisaks tekitab küsimusi, milline peab olema audiitori pädevus

selles osas. EIDAS määruse alusel on audiitori pädevus määratud.

EUTS § 7 lg 3 p 11 ja § 7 lg 3 p 3 esitavad lisanõudeid võrreldes

senisega. EIDAS määruse alusel kontrollitakse ka NIS2 nõuetele

vastavust ning kohustuslikuks rakendamiseks NIS2 alusel vastu võetud

Euroopa Komisjoni rakendusmääruses on selged nõuded

riskianalüüsi(de) loomisele ja uuendamisele, intsidentide mõju

tõlgendamisele ja menetlemisele. Arusaamatu on, milleks need tuleb

loa taotlemisel eraldi esitada järelevalvele. Järelevalve võib alati

küsida neid, kui tekib täiendavaid küsimusi või kahtlusi. Samuti tekitab

see küsimuse, kui vastavat riskianalüüsi uuendatakse, kas siis tuleb ka

uuesti luba taotleda või teavitada asjaolude muutumisest? See oleks

ebaõiglane koormus usaldusteenuse/kurku pakkujate suhtes, kuna

riskianalüüsi tuleb hoida asjakohasena. EUTS § 7 lg 3 punktile 4

vastavalt tuleb esitada tõend kehtiva vastutuskindlustuse kohta. Seda

kontrollib audiitor juba vastavushindamisel ning samuti on see

märgitud vastavushindamise andesse. Miks peaks selle järelevalvele

eraldi esitama?

Ka EUTS § 7 lõikes 3 punktis 11 sätestatud

nõue oli enne sätestatus EUTS rakendusaktis

(majandus- ja taristuministri 26.10.2016

määrus nr 64 “Usaldusteenuse osutaja ja

usaldusteenuse vastavushindamise kord” - § 3

lg 2 punkt 7). Kuna kõnealune määrus antud

eelnõuga kaob, siis tõsteti selle säte seadusesse.

Vastavushindamisasutus peab kontrollima

usaldusteenuse osutaja vastavust muuhulgas ka

kohalikule regulatsioonile, millega on

siseriiklikult üle võetud NIS2 direktiiv (Eestis

on selleks KüTS). Koondjärelduse all peame

silmas audiitori kokkuvõtvat hinnangut

usaldusteenuse ja selle osutaja eIDAS nõuetele

ja seotud siseriiklikele nõuetele vastamise

kohta. See võib olla sertifikaadil või rapordi

põhidokumendis ning esitatud paari lausega või

nt tabeli kujul. Praktikas ei ole siiani antud nõue

probleeme tekitanud.

31

53. Digikukruteenuse pakkuja registreerimisasutuse (Registration

Authority, RA) roll ei ole defineeritud Tänase ID-kaardi puhul on

mudel Politsei- ja Piirivalveamet (PPA) – sertifikaadi väljaandja

(Certification Authority, CA) – sertifikaat, digikukru puhul aga PPA

– Rahvastikuregister – isikuidentifitseerimise andmete (Person

Identification Data, PID) pakkuja – digikukru pakkuja. Kes otsustab

uues mudelis PID peatamise, PID tühistamise ja digikukru

peatamise? ITL-i hinnangul on seda vaja kindlasti täpsustada, sest see

tekitab täiendava riski potentsiaalse intsidendi vastutuse hindamisel.

Turvaintsidentide mõiste ja digikukru pakkuja vastutuse ebaselgus

Seletuskirja järgi peab digikukru pakkuja raporteerima

turvaintsidente, mille mõiste on laiem kui küberintsident. Näitena

tuuakse välja auditeeritud protsessi rikkumine. Samal ajal ei ole

selge, kus lõpeb digikukru pakkuja vastutus ja kus algab PPA või

mõne muu identiteedi allika vastutus. Kui seadus seda ei täpsusta,

jääb märkimisväärne tõlgendamisruum järelevalvele.

Selgitame, et eIDAS ja rakendusmäärused ei

defineeri PID väljastuse ja elutsükli kontekstis

eraldiseisvat “Registration Authority (RA)”

rolli. Defineeritud on PID pakkuja ning

määratud talle PID väljastamisega seotud

kohustused, sealhulgas nõude tagada LoA

kõrge nõuetele vastav kasutaja isiku

tuvastamine jms.

PID väljastamise ja elutsükli eest vastutab PID

pakkuja, kes hangitakse teenusena digikukru

hanke käigus.

Rahvastikuregister ei ole PID pakkuja vaid

pigem autentne allikas PID pakkujale.

Digikukru pakkujate vastutusejaotust on

küsitud Euroopa Liidu Komisjonilt ning

saadud järgnev vastus - Digikukru pakkujate

üle teostavad järelevalvet artikli 46a alusel

määratud järelevalveasutused; artikli 46a lõike

3 punktid a ja b annavad neile asutustele

selgesõnalised eel- ja järeljärelevalve

volitused. Sertifitseerimisasutused peavad

teatama järelevalveasutusele

vastavussertifikaatide väljastamisest,

32

peatamisest ja tühistamisest (komisjoni

rakendusmäärus (EL) 2024/2981, artikkel 11).

54. Seletuskirja täpsustamine ja kooskõla eIDAS2 määrusega Teeme

ettepaneku täpsustada seletuskirja peatükis „Peamised sihtrühmad“ (lk

14) toodud punkti 3 sõnastust, et see oleks kooskõlas eIDAS2 artikli

5f lõikega 2 ning väldiks võimalikku eksitavat tõlgendamist.

Praegusest sõnastusest võib jääda mulje, et aktsepteerimiskohustus

laieneb üldiselt kõigile panganduse, finantsteenuste, side, transpordi,

energeetika, tervishoiu ja hariduse valdkonna ettevõtjatele. eIDAS2

kohaselt laieneb kohustus siiski üksnes neile erasektori tuginevatele

isikutele, kellelt õigusakti või lepingulise kohustuse alusel nõutakse

veebis tugevat kasutaja autentimist. Teeme ettepaneku sõnastada

peamiste sihtrühmade (lk 14) punkt 3 järgmiselt:

„3) erasektori tuginevad isikud, kellelt õigusakti või lepingulise

kohustuse alusel nõutakse veebis tugevat kasutaja autentimist, muu

hulgas panganduse, finantsteenuste, side, transpordi, energeetika,

tervishoiu ja hariduse valdkonnas, välja arvatud mikro- ja

väikeettevõtjad, kes on aktsepteerimiskohustusest vabastatud.“.

Muudatus ei muuda seletuskirja sisu, vaid viib selle sõnastuse

paremini kooskõlla eIDAS artikli 5f lõikega 2 ning sama seletuskirja

teistes osades juba kasutatud terminoloogiaga.

Arvestatud, seletuskirja täiendatud.

55. Tuginevate isikute register Eelnõuga nähakse ette tuginevate isikute

registri loomine. Kas on kaalutud võimalust korraldada tuginevate

isikute registreerimine olemasoleva registri, näiteks äriregistri, kaudu,

selle asemel et luua eraldiseisev register? ITL hinnangul võiks

olemasolevate riiklike registrite kasutamine vähendada

halduskoormust ning vältida dubleerivate registrilahenduste loomist.

Selgitame, et eelnõu koostamise raames

kaaluti erinevaid variante. Äriregister ning

mitmed teiste asutuste vastutusel registrid ei

osutunud valituks, sest see oleks teinud

keerulisemaks vastutuse jaotuse Riigi

Infosüsteemi Ameti ning vastava registri

vastutava töötleja vahel. Seega viimases

33

valimis olid Riigi Infosüsteemi vastutusel

teised andmekogud ning eraldi andmekogu

loomine. Kuna EIDAS2 määrus näeb

tuginevate isikute registri eraldi ette, otsustati

määruse kõige selgema rakendamise huvides

luua uus andmekogu.

56. Erasektorit puudutavate kohustuste tähtajad Juhime tähelepanu

erasektorit puudutavate kohustuste rakendamise tähtaegadele.

Seletuskirjast nähtub, et kohustatud isikute jaoks on vajalikud mitmed

riiklikud eeldused, sealhulgas tuginevate isikute registri loomine,

registreerimiskorra kehtestamine, pääsusertifikaatide väljastamise

korraldus ning muud digikukru ökosüsteemi toimimiseks vajalikud

tugilahendused. Samuti on seletuskirjas märgitud, et osa vastavaid

lahendusi valmib alles 2026. aasta lõpus või 2027. aastal. Seetõttu

peame oluliseks rõhutada, et erasektori kohustatud isikutel peab

pärast nende eelduste tegelikku valmimist olema mõistlik aeg

süsteemide analüüsimiseks, arendamiseks, testimiseks ja

kasutuselevõtuks. Vastasel juhul võib tekkida olukord, kus

õigusaktist tulenevad kohustused rakenduvad enne, kui nende

täitmiseks vajalikud tehnilised ja menetluslikud eeldused on loodud.

Teeme ettepaneku täiendada seletuskirja selgitusega, et kohustuste

rakendamisel ja järelevalve teostamisel tuleb arvestada ka riigi poolt

vajalike tehniliste ja organisatsiooniliste eelduste tegeliku valmimise

ajaga. Ettevõtjatele peab pärast nende eelduste valmimist jääma

mõistlik aeg lahenduste arendamiseks, testimiseks ja

kasutuselevõtuks ning ettevõtjate valmisoleku hindamisel tuleb seda

samuti arvesse võtta. Mingil juhul ei tohi ettevõtjate suhtes rakendada

järelevalvemeetmeid ega käsitada kohustuste mittetäitmist

rikkumisena olukorras, kus kohustuste täitmiseks vajalikud riiklikud

eeldused ei ole õigeaegselt või täiel määral valminud.

Arvestatud, seletuskirja täiendatud. Samuti

selgitame, et kohustus aktsepteerida teiste

liikmesriikide kukruid kehtib sõltumata Eesti

digikukru valmimisajast.

57. Sunniraha ülemmäära vähendamine eIDAS 2 artikli 16 eesmärk on

sätestada rikkumiste eest kohaldatavate haldustrahvide maksimaalne

Arvestatud, sunniraha ülemmäära vähendatud

5 000 000 pealt 500 000ni (10 korda). Summat

34

määr, milleks on kuni 5 miljonit eurot või juriidilise isiku puhul 1%

eelneva majandusaasta ülemaailmsest käibest. Tegemist on

karistusõigusliku meetmega, mis peab olema tõhus, proportsionaalne

ja hoiatav. Eelnõus on aga sama suur ülemmäär ette nähtud ka

sunnirahale (eelnõu § 1 punktiga 41 lisatav EUTS § 231). See ei ole

põhjendatud, kuna sunniraha olemus erineb haldustrahvist. Sunniraha

ei ole karistus, vaid haldussunni meede, mille eesmärk on motiveerida

adressaati ettekirjutust täitma. Seetõttu peaks ka sunniraha ülemmäär

olema proportsionaalne selle eesmärgiga ega peaks olema

võrdsustatud maksimaalse haldustrahvi määraga. Leiame, et

maksimaalse haldustrahviga samaväärse igakordse sunniraha

kehtestamine ei ole põhjendatud ning võib kaasa tuua

ebaproportsionaalse haldussunni kohaldamise. Palume kaaluda § 231

muutmist selliselt, et sunniraha ülemmäär oleks kooskõlas selle

meetme eesmärgi ja olemusega. Näiteks võib võtta eeskuju hiljuti

NIS2 direktiivi ülevõtmiseks muudetud küberturvalisuse seadusest,

kus maksimaalne trahv on direktiivist tulenevalt 7 miljonit eurot, kuid

sunniraha oluliselt madalam (70 000 eurot).

ei vähendatud 50 000ni, et säilitada efektiivne

võimalus mõjutada digikukru pakkujat

õiguskuulekale tegevusele ning täita seeläbi

eIDAS2 artikli 16 lõikes 1 sätestatud kohustus.

Selgitame, et eIDAS2 artikli 16 lõige 1

kohustab liikmesriike kehtetama mõjusad,

proportsionaalsed ja hoiatavad normid eIDAS

määruse rikkumise eest kohaldatavate

karistuste kohta. See säte kohaldub lisaks

usaldusteenuse osutajatele ka digikukru

pakkujale.

Samas otsustati eelnõu koostamise käigus, et

digikukru pakkujale ei määrata trahve selliselt,

nagu seda on tehtud usaldusteenuse pakkuja

suhtes (eelnõu järgne EUTS § 232 ). See lähtus

kaalutlusest, et kuna eIDAS2 artikli 16 lõikes

2 (mis näeb ette trahvimäärad) ei nimetata

digikukru pakkujaid, oleks trahvi

ettenägemine digikukru pakkujale

ülereguleerimine (n.ö gold-plating). Vaata ka

„Ametniku Euroopa Liidu käsiraamat“ ptk

8.3.5.

Seega on piisavalt suur (500 000) sunniraha

määr sobiv tasakaalupunkt eIDAS 2 artikli 16

lõikes 1 sätestatud kohustuse täitmiseks

digikukru pakkuja suhtes olukorras, kus

digikukru pakkujatele pole ette nähtud trahve.

58. Digikukru regulatsiooni paigutus seaduses Teeme ettepaneku

paigutada digikukrut reguleerivad sätted EUTS-is eraldi peatükki. See

Mitte arvestatud. Nõustume, et digikukru

regulatsiooni võiks paigutada seaduses

35

muudaks seaduse ülesehituse selgemaks ning koondaks sisuliselt

seotud regulatsiooni ühte kohta, hõlbustades nii seaduse mõistmist kui

ka rakendamist. Praeguse eelnõu kohaselt on digikukru pakkujat

käsitlevad sätted koondatud samasse peatükki usaldusteenuste ja

usaldusteenuse osutajate regulatsiooniga. Selline lahendus ei ole

seaduse süsteemsuse seisukohalt põhjendatud, kuna digikukru

regulatsioon on olemuslikult tihedamalt seotud e-identimise kui

usaldusteenustega. Praegune regulatsiooni ülesehitus võib tekitada ka

õigusselgusetust. Näiteks on usaldusteenuseid reguleeriva EUTS

peatüki § 7 lõike 3 punktis 5 loa taotlemise üldnõuete hulgas sätestatud

digikukru pakkujale kohalduvad nõuded. Sättest ei nähtu aga üheselt,

et need nõuded kohalduvad üksnes digikukru pakkujale, mistõttu võib

jääda mulje, et need laienevad kõigile loa taotlejatele. See näide

kinnitab, et digikukrut käsitlev regulatsioon tuleb koondada eraldi

peatükki. Kui eraldi peatüki loomist ei peeta võimalikuks, tuleks

digikukrut käsitlevad sätted paigutada e-identimist reguleerivasse

peatükki.

mitmeti, muuhulgas vastavalt ettepanekule.

Ettepanekut kaaluti eelnõu koostamise

alguses, aga selle tulemus on mitmete

samasisuliste sätete kordamine. Kuna

ettepanekuga ei kaasne selget kvalitatiivset

kasu võrreldes eelnõu lahendusega, ei hakata

eelnõud muutma.

59. Isikukoodi digikukrusse kandmise reguleerimine seaduse tasandil

Palume kaaluda täiendavalt, kas eelnõu § 1 punktiga 13 EUTS-i

lisatavas § 5 lõikes 11 sätestatud nõuet on vajalik reguleerida seaduse

tasandil. Sätte kohaselt peab digikukru pakkuja kandma digikukrusse

lisaks komisjoni rakendusmääruses (EL) 2024/2977 nõutud

kohustuslikele isikutuvastusandmetele ka kasutaja isikukoodi. Juhul

kui Euroopa Liidu õigus jätab liikmesriigile selles küsimuses

kaalutlusruumi, võiks kasutaja isikukoodi digikukrusse kandmise

otsustamine jääda pädeva asutuse otsustada, mitte olla sätestatud

seaduses.

Selgitame, et ettepanekut on kaalutud kuid

eelnõud ei muudeta.Eesti isikukood on Eestis

vajalik andmeatribuut, et teostada

rahvastikuregistrist asjakohaseid päringuid ja

valideerimisi. Samuti on see vajalik Eestis e-

teenuste kasutamisel.

60. Loa andmisest keeldumise aluste kattuvus. Teeme ettepaneku jätta

eelnõu § 1 punktiga 24 EUTS-i lisatava § 9 lõike 1 punkt 4 eelnõust

välja. Leiame, et § 9 lõike 1 punkt 4 on üleliigne, kuna selles

sätestatud alus on juba hõlmatud § 9 lõike 1 punktiga 1. Loa andmisel

on määrav, kas taotleja, tema osutatav usaldusteenus või digikukkur

Mitte arvestatud. Selgitame, et tegemist on

erinevate alustega. § 9 lg 1 p 1 kirjeldab

olukorda, kus audiitor märgib selgesõnaliselt,

et teenuse ja/või teenuse osutaja ei vasta

nõuetele. Uus lg 4 kirjeldab olukorda, kus

36

vastab õigusaktides sätestatud nõuetele. Kui vastavushindamise või

sertifitseerimise hindamise aruandes esinevad puudused mõjutavad

hinnangut nõuetele vastavuse kohta, on loa andmisest võimalik

keelduda juba § 9 lõike 1 punkti 1 alusel. Kui aruandes esinevad

puudused nõuetele vastavuse hinnangut ei mõjuta, ei peaks need

iseseisvalt olema loa andmisest keeldumise aluseks. Lisaks on mõiste

„olulised vastuolud“ ebaselge ega võimalda üheselt kindlaks teha,

millistel juhtudel võiks sellele tuginedes loa andmisest keelduda.

Seetõttu ei suurenda eelnõuga lisatav punkt 4 õigusselgust, vaid loob

täiendava määratlemata keeldumise aluse. Õigusselguse põhimõttest

(Põhiseadus § 10 ja § 13 lõige 2) tulenevalt peab loa taotlejale olema

ettenähtav, milliste konkreetsete asjaolude esinemisel võib loa

andmisest keelduda. Käesoleval juhul on see eesmärk juba saavutatud

EUTS § 9 lõike 1 punktiga 1, mistõttu puudub vajadus täiendava,

sisuliselt kattuva keeldumise aluse sätestamiseks.

audiitori vastavushindamisaruande

koondjäreldusest võib välja lugeda, et teenus

ja/või teenuse osutaja küll vastab nõuetele,

kuid aruandes kirjeldatu alusel jõuab

järelevalve järeldusele, et esineb olulisi

puudusi, mille kõrvaldamata jätmiseni ei ole

võimalik tegevusluba väljastada. Näiteks ei ole

hinnatud siseriiklikule õigusele vastavust või

hinnatud vastavust valede/aegunud nõuete

alusel või on aruande alusel ilmne, et seda on

kopeeritud teise aruande pealt ilma sisusse

süvenemata. Need näited pärinevad tegelikust

praktikast.

61. Sertifikaadi kehtetuks tunnistamise aluste ammendavus Teeme

ettepaneku jätta eelnõust välja eelnõu § 1 punktiga 37 EUTS-i lisatava

§ 19 lõike 4 punkt 16. Leiame, et § 19 lõike 4 punktides 1–15 on

sertifikaadi kehtetuks tunnistamise alused ammendavalt reguleeritud.

Eelnõus sisalduv § 19 lõike 4 punktis 16 sätestatud üldine alus ei lisa

regulatsioonile sisuliselt midagi, kuid võimaldab tunnistada

sertifikaadi kehtetuks ka selliste nõuetele mittevastavuste korral, millel

puudub sisuline mõju sertifikaadi usaldusväärsusele või nõuetele

vastavusele. Selline regulatsioon ei ole kooskõlas proportsionaalsuse

põhimõttega, kuna ei erista olulisi rikkumisi ebaolulistest. Kui EUTS

§ 19 lõike 4 punkti 16 eelnõust välja jätmist ei peeta võimalikuks,

teeme alternatiivselt ettepaneku sõnastada EUTS § 19 lõike 4 punkt 16

järgmiselt:

Mitte arvestatud. Sertifikaadi ja ka kogu

usaldusteenuste usaldusväärsus on üles

ehitatud rangete reeglite järgimisele, eriti

kvalifitseeritud teenuste puhul. Kui eIDAS või

rakendusaktide nõudeid on rikutud, siis ei saa

olla kindel, et sertifikaadid on usaldusväärsed.

Sellist "halli ala" ei eksisteeri, et peaks eraldi

hindama sisulist mõju teenusele.

Usaldusteenuse maailmas on loogika selline,

et vaja on kindlust usaldusväärsuses, mitte

usaldusväärsuse puudumises. Lisaks

täpsustame, et antud juhul on tegemist lihtsalt

aluste loeteluga, millal võib sertifikaadi

kehtetuks tunnistamist taotleda. Seega

järelevalveasutusele jääb diskretsiooniõigus,

kui tõepoolest on tegu väga väikese

eksimusega.

37

„16) sertifikaadi väljastamise järel ilmnenud asjaolu, et sertifikaadi

väljastamine ei vastanud usaldusteenuse osutamise loa tingimustele

või Euroopa Parlamendi ja nõukogu määruses (EL) nr 910/2014 või

käesolevas seaduses sätestatud nõuetele ning sellel on sisuline mõju

sertifikaadi usaldusväärsusele või nõuetele vastavusele.“.

Antud sõnastus seob sertifikaadi kehtetuks tunnistamise üksnes

sellise nõuetele mittevastavusega, mis mõjutab sisuliselt sertifikaadi

usaldusväärsust või nõuetele vastavust, ning väldib olukordi, kus

sertifikaat tunnistatakse kehtetuks ebaoluliste või vähese mõjuga

rikkumiste tõttu.

62. Rahandusmi

nisteerium

Teeme ettepaneku lüüa kõik selle õigusaktiga seotud kulud tabelis

lahti järgmises lõikes:

-investeeringud ; -tööjõukulud ; -majandamiskulud, mis seotud

tööjõukuludega ; -majandamiskulud.

Arvestatud, seletuskirja kulude peatükki

täiendatud.

63. Riigi

Infosüsteemi

Amet

Palume asendada EUTS § 41 lõikes 1 sõna „viivimatult“ väljendiga

„"igal juhul 24 tunni jooksul pärast intsidenti". See tähtaeg tuleneb

EIDAS määrusest.

Arvestatud, § 41 -s täpsustatud 24 tunnine

tähtaeg turvaintsidendist.

64. Palume muuta ja täiendada EUTS §-i 10 lõikes 3 pärast sõnu

„kantakse nimekirja“ sõnaga „kuni“ (kantakse nimekirja kuni kaheks

aastaks). See viiks sätte sõnastuse kooskõlla ülejäänud loogikaga –

usaldusnimekirja kandmine peab olema kooskõlas väljastatud

vastavushindamise sertifikaadiga.

Arvestatud, EUTS § 10 lõiget 3 täiendatud

sõnaga „kuni“.

65. Palume EUTS § 13 lõikes 4 asendada väljend „Usaldusnimekirjas

kajastatud andmete muutmise „ väljendiga „Teenuse muudatuse“.

Vastasel juhul peab riigilõivu tasuma ainult siis, kui muutuvad

usaldusnimekirjas kajastatud andmed. Praktikas enamasti andmed

usaldusnimekirjas ei muutu, kuid muudatuse läbivaatamine ja

kinnitamine nõuab RIA-lt omajagu ressurssi. Lisaks ei ole sellise

Arvestatud, EUTS § 13 lõiget 4 muudetud.

38

sõnastusega kaetud digikukru muudatused, mida usaldusnimekirja ei

kanta.

1

E-identimise ja e-tehingute usaldusteenuste seaduse,

riigilõivuseaduse ja karistusseadustiku muutmise

seaduse eelnõu seletuskirja juurde

Lisa 1

Rakendusakti kavand

MINISTRI

MÄÄRUS

Digiidentiteedikukrule tuginevate isikute registri põhimäärus

Määrus kehtestatakse e-identimise ja e-tehingute usaldusteenuste seaduse § 31 lõike 7 alusel.

1. peatükk

Üldsätted

§ 1. Registri pidamise eesmärk

Digiidentiteedikukrule tuginevate isikute registri (edaspidi register) eesmärk on pidada

tuginevate isikute ja nende Euroopa digiidentiteedikukru kasutajatelt küsitavate andmete üle

arvestust, et tagada õiguspärane teenuse osutamine ja isikule kuuluvate andmete kasutamine.

§ 2. Registri vastutav töötleja (1) Registri vastutav töötleja on Riigi Infosüsteemi Amet (edaspidi vastutav töötleja).

(2) Registri vastutav töötleja majutab registrit ning korraldab registri teenuste ja tehnoloogilise

keskkonna haldamist.

§ 3. Registri kasutajad Registri kasutajad on:

1) registri vastutav töötleja;

2) tuginev isik Euroopa Parlamendi ja nõukogu määruse (EL) nr 910/2014 (muudetud

määrusega (EL) 2024/1183) tähenduses (edaspidi digiidentiteedikukrule tuginev isik);

3) Euroopa digiidentiteedikukru omanik.

§ 4. Registri ülesehitus ja turvalisus (1) Registrit peetakse e-identimise ja e-tehingute usaldusteenuste seaduse, avaliku teabe

seaduse, isikuandmete kaitse seaduse ja käesoleva määruse kohaselt.

(2) Registrit peetakse digitaalse andmekoguna, mis hõlmab aktuaalseid ja arhiveeritud

registriandmeid.

(3) Registriandmete turvaklass on K2T2S2. Registri turbeaste on keskmine C2I2A2.

2. peatükk

Andmekoosseis ja andmete esitamine registrisse

§ 5. Registrisse kantavad andmed (1) Registrisse kantakse digiidentiteedikukrule tugineva isiku kohta järgmised andmed:

2

1) identifitseerimis-, registri-, asukoha- ja kontaktandmed;

2) andmed digiidentiteedikukrule tugineva isiku tegevuse, osutatavate teenuste, staatuse,

õiguste ning vahendaja kasutamise ja vahendussuhte kohta;

3) andmed digiidentiteedikukrule tugineva isiku eesmärgi kohta;

4) andmed, tõendid ja atribuudid, mida digiidentiteedikukrule tuginev isik kavatseb Euroopa

digiidentiteedikukrult taotleda;

5) muud registri pidamise eesmärgi täitmiseks vajalikud mitteisikustatud andmed.

(2) Registris töödeldakse isikuandmetena digiidentiteedikukrule tugineva isiku esindaja ees- ja

perekonnanime, isikukoodi, kontaktandmeid ning logiandmeid vastavalt e-identimise ja e-

tehingute usaldusteenuste seaduse § 3¹ lõikele 3.

§ 6. Andmeandja

(1) Digiidentiteedikukrule tuginev isik edastab registrile järgnevad andmed:

1) e-posti aadressi;

2) oma tööandja nime ja registrikoodi;

3) oma ametinimetuse.

(2) Äriregister edastab registrile ettevõtte nime ja registrikoodi.

(3) Andmenõusoleku teenuse ja volituste haldamise andmekogu edastab registrile järgnevad

andmed:

1) volitaja ja volitatava ees- ja perekonnanime;

2) füüsilise isiku puhul tema isikukoodi;

3) juriidilise isiku puhul tema registrikoodi;

4) volituse ulatuse.

§ 7. Registritoimingud (1) Registritoimingud on:

1) andmete registrisse kandmine;

2) andmete muutmine;

3) andmete vaatamine;

4) andmete edastamine;

5) andmete kustutamine;

(2) Registritoiminguid teevad andmeandja ja vastutav töötleja.

(3) Registritoimingu kohta kogutakse järgmisi andmeid:

1) toimingu tegija andmed;

2) toimingu tegemise sisu, kuupäev ja kellaaeg.

§ 8. Registrisse andmete esitamise ja menetlemise kord

(1) Andmeandja esitab enne teenuse osutamisega alustamist andmed teenuse kohta registrisse

elektrooniliselt registri kaudu või muul kokkulepitud viisil.

(2) Tugineva isiku poolt esitab registrisse andmed seaduslik või volitatud esindaja. Tuginev

isiku esindaja tuvastatakse digitaalset isiku tuvastamist võimaldava sertifikaadiga.

(3) Registri vastutav töötleja vaatab esitatud andmed üle 20 tööpäeva jooksul ja annab

vajadusel tuginevale isikule tähtaja puuduste kõrvaldamiseks.

3

(4) Oluliste puuduste puhul võib vastutav töötleja registreeringu puuduste kõrvaldamiseni

peatada.

(5) Puuduste tähtajaks kõrvaldamata jätmisel on vastutaval töötlejal õigus motiveeritud

otsusega registreering peatada või kehtetuks tunnistada.

§ 9. Registriandmete õigsus (1) Andmeandja vastutab tema registrisse kantud andmete õigsuse eest.

(2) Registriandmetes vea tuvastamisel või veast teadasaamisel on andmeandja kohustatud

kontrollima andmete õigsust ja ebaõiged andmed viivitamata parandama.

3. peatükk

Juurdepääs registriandmetele ja andmete säilitamine

§ 10. Juurdepääs registriandmetele

(1) Registriandmed on mõeldud Euroopa digiidentiteedikukru teenusega seotud teenuste

osutamiseks ja kasutamiseks.

(2) Juurdepääsupiiranguga registriandmed on digiidentiteedikukrule tugineva isiku poolt

ärisaladuseks määratud vahendaja ja kontaktisiku andmed ning avaliku teabe seaduse § 35 lõike

1 punktis 12 nimetatud teave.

(3) Digiidentiteedikukrule tuginev isik teavitab teabe ärisaladuseks määramiseks registri

vastutavat töötlejat.

§ 11. Registriandmete arhiveerimine ja arhiveeritud andmete säilitamise tähtaeg Registriandmeid säilitatakse kümme aastat pärast registrikande kehtetuks muutmist.

4. peatükk

Registri rahastamine ja tegevuse lõpetamine

§ 12. Registri rahastamine Registri pidamise kulu kaetakse vastutavale töötlejale riigieelarvest eraldatud vahenditest.

§ 13. Registri tegevuse lõpetamine (1) Registri tegevuse lõpetamise otsustab valdkonna eest vastutav minister.

(2) Registri tegevus lõpetatakse kooskõlas arhiiviseadusega.

(allkirjastatud digitaalselt)

Liisa-Ly Pakosta

Justiits- ja digiminister

(allkirjastatud digitaalselt)

4

Tiina Uudeberg

Kantsler

Suur-Ameerika 1 / 10122 Tallinn / +372 620 8100 / [email protected]/ www.justdigi.ee Registrikood 70000898

Riigikantselei

Meie 19.08.2026 nr 8-1/5650-7

E-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seadus Esitame e-identimise ja e-tehingute usaldusteenuste seaduse, riigilõivuseaduse ja karistusseadustiku muutmise seaduse eelnõu Vabariigi Valitsuse istungile. Palume määrata eelnõu 27.08.2026 istungile. Lugupidamisega (allkirjastatud digitaalselt) Liisa-Ly Pakosta justiits- ja digiminister Lisa: 1. eelnõu;

2. seletuskiri; 3. rakendusakti kavand; 4. kaasamistabel;

5. vastavustabel. Mait Heidelberg [email protected]