Tagasiside eelnõule
| Dokumendiregister | Rahandusministeerium |
| Viit | 1.1-10.1/3946-9 |
| Registreeritud | 16.10.2026 |
| Sünkroonitud | 19.10.2026 |
| Liik | Sissetulev kiri |
| Funktsioon | 1.1 ÜLDJUHTIMINE JA ÕIGUSALANE TEENINDAMINE |
| Sari | 1.1-10.1 Ministeeriumis väljatöötatud õigusaktide eelnõud koos seletuskirjadega (Arhiiviväärtuslik) |
| Toimik | 1.1-10.1/2026 |
| Juurdepääsupiirang | Avalik |
| Adressaat | Eesti Pangaliit MTÜ |
| Saabumis/saatmisviis | Eesti Pangaliit MTÜ |
| Vastutaja | Mirjam Rannula (Rahandusministeerium, Finants- ja maksupoliitika valdkond, Finantsteenuste poliitika osakond) |
| Originaal | Ava uues aknas |
| Taotle dokumendi eemaldamist või parandamist |
Failid
|
Tähelepanu!
Tegemist on välisvõrgust saabunud kirjaga. |
Katrin Talihärm
Eesti Pangaliit
T +372 611 6569
M +372 50 60701
Digiallkirjad
Allkirjade kehtivust ei ole
kontrollitud.
Katrin Talihärm
PNOEE-46010200304
2026-10-16 12:36:32
Rahandusministeerium
[email protected] Teie: 30.09.2026 nr 1.1-10.1/3946-1
Meie: 16.10.2026 nr 53
Pangaliidu tagasiside krediiditeaberegistri põhimäärusele - 2.kooskõlastusring
Täname võimaluse eest avaldada arvamust krediidi krediiditeaberegistri põhimääruse osas 2.kooskõlastusringi raames.
Peamised probleemkohad
1. Registri töökindlus ja katkestuste mõju krediidiandjatele
Kooskõlastustabelist nähtub, et ministeerium ei ole täielikult lahendanud olukorda, kus registri mittetoimimine hakkab takistama krediidiandjal seadusest tulenevate kohustuste täitmist. Registri teenuste toimimise tagamise tingimuste kajastamine üksnes hanketingimustes ei ole piisav ega jätkusuutlik.
Pangaliidu hinnangul on tegemist olulise kaasneva riskiga kui registri töös, sh andmevahetuses on katkestus või tõrge, seda eriti seoses laenukeelu kohta andmete saamise võimaliku takistusega, sest krediidiandjatel puudub mis tahes alternatiivne ligipääs laenukeelu andmetele. Kui register ei ole tehnilise rikke, hooldustöö või muu katkestuse tõttu kättesaadav, ei ole krediidiandjal võimalik täita seadusest tulenevat kohustust – kontrollida laenukeelu piirangu olemasolu. See tähendab praktikas, et:
• krediidiandja ei saa teha uusi krediidiotsuseid ega sõlmida lepinguid; krediidiandja äritegevus võib osaliselt või täielikult seiskuda;
• kogu operatsioonirisk kantakse krediidiandjale, kuigi registri toimimine ei ole krediidiandja kontrolli all;
• puuduvad kokkulepitud varulahendused või asenduskanalid kriitilise tähtsusega info saamiseks.
Võlaõigusseaduse § 403⁴ täiendus lõikega 3¹ järgnevas sõnastuses: „Krediidivõimelisuse hindamiseks vajaliku teabe omandamiseks kontrollib krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isik tarbija kohta käivat krediiditeavet sama seaduse alusel asutatud krediiditeaberegistrist. Isik vabaneb nimetatud kohustusest ajal, kui registripidajast mittetulenevatel põhjustel ei ole tal võimalik registriteenust osutada.” , ei aita tekkivast kitsaskohast üle.
Asjakohase eelnõu kooskõlastustabeli leheküljel 73 on antud selgitus: "Registri tehniline rike ei vabasta krediidiandjat KJS-ist ja VÕS-ist tulenevatest krediidivõimelisuse hindamise kohustustest. Registrist vastuse saamata jäämist ei tohiks käsitada kinnitusena, et tarbijal puuduvad kohustused või tarbijakrediidilepingu sõlmimise piirang."
Lisatava sättega vabastataks krediidiandja küll registriandmete kontrollimise kohustustest tõrke ajal, kuid Pangaliidu hinnangul on siiski seaduse tasandil maandamata kehtiva laenukeeluga (mis tõrke ajal ei ole päringutegijale nähtav) tarbijale laenu andmise risk ja tagajärjed. Kui selle käsitluse kohaselt peaks krediidileping tõrkeperioodil siiski sõlmitama, on tagajärjeks ikkagi tühine krediidileping, millega seotud tagajärjed jäävad krediidiandja kanda. See ei saa olla aktsepteeritav tulemus ega lahendus.
Krediidiandjate teenuste toimimise tagamiseks peaks põhimääruses olema selgelt sätestatud registri toimimiseks vähemalt:
• registri minimaalne kättesaadavuse tase;
• lubatud katkestuste kestus;
• hädaolukorra menetlus;
• krediidiandja vastutus olukorras, kus register ei ole kasutatav.
2. Registri tehniline arhitektuur ja teenustasemete (SLA) sätestamine põhimääruses
Ministeerium on seisukohal, et tehniline arhitektuur ning teenustasemete nõuded tuleks lahendada tehnilise dokumentatsiooni või hankedokumentide kaudu.
Pangaliidu hinnangul ei ole registriteenuse minimaalsete teenustasemete täielik jätmine lepingute, kasutustingimuste või tehnilise dokumentatsiooni reguleerida piisav KJS § 6 lõike 5 punktis 4 sätestatud volitusnormi täitmiseks. Viidatud volitusnorm näeb sõnaselgelt ette, et täiendavad tehnilised ja korralduslikud kaitsemeetmed sätestatakse põhimääruses. Kui registriteenuse käideldavuse ja toimepidevuse minimaalsed nõuded jäetakse määrusevälistesse dokumentidesse, ei nähtu põhimäärusest, millise minimaalse teenustaseme peab registripidaja kõikidele registrikasutajatele tagama – selline lahendus ei ole Pangaliidu liikmetele sobiv.
Registri käideldavus ei ole seejuures üksnes registripidaja tehnilise töökorralduse küsimus. Registri kasutamine on krediidiandjatele seadusest tulenevate kohustuste täitmiseks vajalik. Registriteenuse mittetoimimine võib takistada krediidivõimelisuse hindamiseks vajaliku teabepäringu tegemist, ning lisaks ei võimalda mittetoimimine kontrollida tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja. Kooskõlastustabelis on samuti mööndud, et registri käideldavus on registri pidamise eesmärgi saavutamiseks vältimatult vajalik eeldus.
Kõigi üksikasjalike või tehniliselt muutuvate teenustaseme näitajate sätestamine põhimääruses ei pruugi olla vajalik, kuid põhimäärusega tuleks siiski kehtestada registriteenuse kohustuslik minimaalne tase, mida saab lepingus, kasutustingimustes või tehnilises dokumentatsioonis täpsustada või rangemaks muuta, aga mitte vähendada.
Miks on see vajalik?
Õigusselgus
• Krediidiandjatele pannakse registri kasutamise kohustus seadusega.
• Kui seadus kohustab registrit kasutama, peavad kasutajate õigused ja registri toimimise põhitingimused olema samuti õigusaktis sätestatud.
Õiguslik kindlus
• Hankedokumendid ja tehnilised kirjeldused võivad aja jooksul muutuda.
• Põhimäärus tagab kõikidele osapooltele stabiilse ja üheselt mõistetava õigusliku raamistiku teenuste toimimise tagamiseks.
Kriitilise infrastruktuuri olemus
• Register muutub krediidiotsuste tegemisel sisuliselt kohustuslikuks taristuks.
• Kriitilise tähtsusega infosüsteemi puhul ei ole põhjendatud, et olulised töökindluse ja turvalisuse nõuded oleksid reguleeritud üksnes lepingulisel või tehnilisel tasemel.
Vastutuse ja riskide jaotus
• Kui teenustasemed puuduvad õigusaktist, jääb krediidiandjatele ebaselgeks (sh pikaajalises perspektiivis), millise kvaliteediga teenust riik tagab.
• Samal ajal lasub täielik vastutus krediidiotsuse tegemise ja krediidilepingu sõlmimise õiguspärasuse eest krediidiandjal.
Seetõttu peaks põhimäärus sisaldama vähemalt:
• minimaalse kättesaadavuse määra - mitu katkestust millise vältusega mis ajaperioodi jooksul on maksimaalselt lubatud;
• reageerimis- ja taastamisaegade põhimõtteid;
• andmete uuendamise sagedust;
• katkestuste teavitamise korda;
• varulahenduste põhimõtteid.
3. Registri kasutamise lepingute raamistik ja tingimuste ühetaolisus
KJS § 6 lõike 5 punktide 3 ja 5 kohaselt tuleb põhimääruses sätestada andmetele juurdepääsu võimaldamise täpsem kord ning muud korralduslikud küsimused.
Põhimääruse eelnõu § 7 lõike 3 kohaselt võimaldatakse registriandmetele juurdepääs muu hulgas poolte vahel sõlmitud lepingu alusel otsejuurdepääsuna. Eelnõust ei selgu aga registri kasutamise lepingu sõlmimise täpsem raamistik ega põhimõtted, millest registripidaja lepingu tingimuste kehtestamisel peab lähtuma. Samuti ei sätestata eelnõus nõuet, et samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele tuleb kohaldada ühetaolisi, läbipaistvaid ja mittediskrimineerivaid tingimusi.
Kooskõlastustabelis on selgitatud, et leping ei ole iseseisev juurdepääsu õiguslik alus ning registripidaja ja registrikasutaja vahelise lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi. Samuti on selgitatud, et lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust, kehtestada täiendavaid juurdepääsu piiramise või lõpetamise aluseid ega panna andmesaajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi. Kooskõlastustabelis on täiendavalt märgitud, et tehnilisi tingimusi ning registri kasutajaid puudutavaid tingimusi kohaldatakse võrreldavatele kasutajagruppidele ühetaoliselt.
Pangaliit nõustub nende põhimõtetega, kuid leiab, et need peavad kajastuma põhimääruse normatiivses tekstis. Kooskõlastustabelis esitatud selgitused ei asenda määrusega kehtestatavat õiguslikku raamistikku ega taga iseseisvalt, et registripidaja järgib lepingutingimuste kehtestamisel ühetaolisuse, läbipaistvuse, proportsionaalsuse ja mittediskrimineerimise põhimõtteid.
Olukorras, kus krediidiandja seadusest tuleneva juurdepääsu praktiline teostamine sõltub registripidajaga lepingu sõlmimisest ja tehnilisest liidestamisest, ei tohi lepingu tingimuste määramine jääda üksnes registripidaja otsustada. Registripidajal ei tohi olla võimalik kehtestada võrreldavas olukorras olevatele krediidiandjatele erinevaid tingimusi ega siduda seadusest tuleneva juurdepääsuõiguse kasutamist täiendavate sisuliste kohustustega.
KJS § 6 lõike 5 punktid 3 ja 5 annavad aluse sätestada põhimääruses registri kasutamise lepingute üldine korralduslik raamistik. See ei eelda lepingu kõigi tehniliste tingimuste üksikasjalikku sätestamist põhimääruses. Põhimääruses tuleb siiski kindlaks määrata vähemalt samasse kasutajarühma kuuluvate ja võrreldavas olukorras olevate registrikasutajatega lepingute sõlmimise ja tingimuste kehtestamise põhimõtted ning registrikasutajate ühetaolise kohtlemise nõue.
Pangaliit teeb ettepaneku sätestada põhimääruses, et:
1. registri kasutamise leping ei ole iseseisev registriandmetele juurdepääsu õiguslik alus ega anna registripidajale kaalutlusõigust otsustada seadusest tuleneva juurdepääsuõiguse olemasolu üle;
2. lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi;
3. lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust;
4. lepinguga ei või kehtestada seaduses või põhimääruses sätestamata täiendavaid juurdepääsu piiramise, peatamise või lõpetamise aluseid;
5. lepinguga ei või panna registrikasutajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi;
6. registripidaja peab kohaldama samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele ühetaolisi, läbipaistvaid, proportsionaalseid ning mittediskrimineerivaid tingimusi;
7. registri kasutamise üldtingimused ja nende muudatused peavad olema registrikasutajatele eelnevalt kättesaadavad ning muudatustest tuleb teatada mõistliku etteteatamisajaga;
8. lepingus või tehnilistes tingimustes sätestatud teenustase ei või olla madalam põhimääruses sätestatud minimaalsest teenustasemest.
Ettepanek: täiendada põhimäärust registri kasutamise lepingu üldise raamistikuga, sealhulgas lepinguga reguleeritavate küsimuste piiride, seadusest tuleneva juurdepääsuõiguse kaitse ning võrreldavas olukorras olevatele registrikasutajatele ühetaoliste tingimuste kohaldamise nõudega. Praegusel kujul ei ole KJS § 6 lõike 5 punktides 3 ja 5 sätestatud volitusnormid registri lepingulise kasutamise korraldusliku raamistiku osas piisavalt sisustatud.
4. Rollipõhine nähtavus ja andmekoosseis
Ministeeriumi seisukoht on, et rollipõhine andmekoosseisude nähtavus reguleeritakse tehnilise dokumentatsiooni tasandil.
Pangaliidu hinnangul ei ole see piisav. Rollipõhise nähtavuse küsimus ei ole üksnes tehniline, vaid puudutab otseselt:
• isikuandmete kaitset;
• pangasaladuse kaitset;
• konkurentsiõiguslikke riske;
• registri kasutajate õigusi ja kohustusi.
Seetõttu peab põhimäärus sisaldama vähemalt põhimõttelisel tasemel vastuseid küsimustele:
• milliseid andmeid näevad krediidiandjad;
• milliseid andmeid näevad registripidaja, kohtud, kohtutäiturid, pankrotihaldurid, usaldusisikud, notarid ja järelevalveasutused;
• millistel tingimustel võib andmete nähtavust laiendada või piirata;
• milline on andmekasutuse eesmärgipärasuse kontroll.
Õiguste ja kohustuste sisu ei tohiks jääda üksnes tehnilise dokumentatsiooni või registripidaja otsustada, kuna sel juhul muutuvad andmetöötluse tegelikud reeglid ilma õigusakti muutmata.
Eelistatud lahendus on olnud seaduse tasandil täpsustuste sisse viimine, mis reguleeriks andmete väljastamist vähemalt sama hoolsusega nagu tänane krediidiasutuste seaduse § 88 lg 6 ette näeb. Ehk hetkelahendus ei reguleeri seaduse ega põhimääruse tasandil eesmärgipõhist andmete kasutust. Pangaliidu ettepanek on lahendada juurdepääsu täpsem kord põhimääruse raames ja esimesel võimalusel täiendada vajadusel krediiditeabe jagamise seadust, kui põhimäärus ei ole piisav nende küsimuste lahendamiseks. Peame oluliseks märkida, et põhimäärusega ei lahendata juurdepääsu õiguslikke aluseid või subjekte, need on KJS-s olemas, vaid täpsustatakse tehnilist ja menetluslikku korda, nt põhimäärus võib reguleerida:
• autentimise viise;
• päringute logimist;
• volituste andmist;
• andmete väljastamise tehnilisi nõudeid;
• turvameetmeid;
• järelevalve ja auditijälje pidamise korda. See tuleneb seaduse volitusest kehtestada andmetele juurdepääsu võimaldamise täpsem kord ning täiendavad kaitsemeetmed.
5. Andmeväljade ja ligipääsuõiguste täielik kaardistus põhimääruses
Ministeerium on leidnud, et detailne andmeväljade kirjeldus ei pea sisalduma põhimääruses.
Pangaliidu hinnangul on see vajalik eelkõige pangasaladuse ja isikuandmete kaitse tagamiseks.
Õiguskantsler on oma 01.07.2025 pöördumises nr 7-7/250081/2504808 Riigikogu rahanduskomisjoni ja õiguskomisjoni ning Riigikogu Kantselei poole seoses pangasaladuse kaitse ja täitmisregistriga juhtinud eelnimetatute tähelepanu, et: „Pangasaladust avaldada lubav norm seaduses peab olema sedavõrd konkreetse sisuga, et pangasaladuse avaldamise ja sealhulgas konto väljavõttega tutvumise võimalus ja lubatavus on seaduse tekstiga tutvudes üheselt selge. Samuti peab enne seadusega pangasaladusele juurdepääsu võimaldamist olema selge, millisel eesmärgil ja ulatuses pangasaladuse hoidmise kohustust piiratakse. Põhiseaduspärane on see piirang vaid siis, kui seda saab pidada proportsionaalseks. Lisaks seadusliku aluse olemasolule on vaja riigil tagada ka tõhus järelevalve selle üle, kes ja kui palju pangasaladuse (ning millist laadi teabe) vastu huvi tunneb ning kas see huvi on konkreetsel juhul ka põhjendatud. Pangasaladuse hoidmise kohustuse piiramine isiku teadmata, ehk pangasaladuse avaldamine, on olemuselt sarnane jälitustegevusega ehk varjatult isikuandmete kogumisega. Mida kergemaks ja mugavamaks teeb riik põhiõiguste piiramise (nt andmekogu või andmevahetuskeskkonna loomisega), seda täpsemad ja selgemad peavad olema reeglid selle osas, millistel juhtudel ja kuidas võib põhiõigusi piirata, ning seda tõhusam peab olema ka järelevalve selle üle, et põhiõiguste piiranguid ehk andmekogu päringuid ei tehtaks meelevaldselt.“
Pangaliidu hinnangul on hetkel vähemalt kohtutäituri, ajutise halduri, pankrotihalduri, Konkurentsiameti maksejõuetuse teenistuse ja füüsilise isiku maksejõuetuse seaduses nimetatud usaldusisiku osas jäänud reeglid ebamääraseks, kuna viidatakse pangasaladuse saamiseks üksnes üldiselt vastavas seaduses toodud ülesannete täitmisele, jättes nii konkreetselt täidetavad ülesanded (st andmete kasutamise eesmärgi) kui võimaliku väljastatava andmekoosseisu õigusaktiga täpsustamata.
Miks peaks andmeväljad määruses sätestama?
Pangasaladuse kaitse
• Krediidiandjad edastavad registrisse teavet, mis võib sisaldada äriliselt tundlikku teavet.
• Ilma selgelt määratletud andmeväljade ja kasutusõigusteta tekib oht, et teistele turuosalistele muutub nähtavaks rohkem informatsiooni, kui on eesmärgi saavutamiseks vajalik.
Andmete minimaalsuse põhimõte
• IKÜM eeldab, et töödeldakse üksnes eesmärgi saavutamiseks vajalikku andmestikku.
• See põhimõte peaks olema põhimääruse tasandil kontrollitav ja läbipaistev.
Õiguspärase ootuse kaitse
• Registri kasutajad peavad teadma, milliseid andmeid nad esitavad ja millistele kasutajatele mis ulatuses need nähtavad on.
• See ei ole lahendatav ega määratav üksnes hilisema tehnilise lahendusega.
Konkurentsiõiguslik risk
• Registris olev teave võib sisaldada turuosaliste äriliselt tundlikku teavet.
• Liiga lai juurdepääs võib tekitada põhjendamatuid konkurentsiriske.
Järelevalve ja vaidluste lahendamine
• Põhimääruses sätestatud andmekoosseis võimaldab hinnata, kas registri tegelik toimimine vastab seadusandja tahtele.
• Tehnilise dokumentatsiooni alusel on selline kontroll oluliselt keerulisem.
Registri andmetele juurdepääsu võimaldamine
1. Registris sisalduvatele andmetele võimaldatakse juurdepääs üksnes ulatuses, mis on vältimatult vajalik KJS §-s 10 nimetatud isikute seadusest tulenevate ülesannete täitmiseks.
2. Viidatud paragrahvi lõikes 1 nimetatud isikule ei võimaldata juurdepääsu kogu registri andmestikule ega registri täismahus väljavõtetele, välja arvatud juhul, kui selline juurdepääsu vajadus tuleneb otseselt seadusest.
3. Enne päringu tegemist peab kasutaja:
1. tuvastama ennast tugeva elektroonilise autentimise vahendiga;
2. valima päringu õigusliku aluse;
3. märkima päringu eesmärgi;
4. sisestama menetluse, toimingu või asja numbri või muu identifikaatori, mis seob päringu konkreetse ülesandega (identifikaator võimaldab teostada järelevalvet, selle puudumisel muutub järelevalve teostamine sisutühjaks).
4. Registripidaja tagab tehniliste vahenditega, et kasutajale kuvatakse üksnes tema ülesande täitmiseks vajalik andmekoosseis.
5. Kõik päringud, väljastatud andmed, päringu alus, eesmärk, kasutaja identifikaator ja päringu aeg logitakse ning säilitatakse auditijäljena.
6. Registripidaja rakendab automaatseid kontrollimehhanisme põhjendamata, ebaharilike või masspäringute tuvastamiseks.
6. Tehnilise lahenduse ettepanek
Pangaliit ei poolda ametiasutuste ega ametnike "otsevaadet registrisse". Turvalisem ja tarbijatega seotud (isiku)andmete töötlemise vaatest läbipaistvam on kasutada eesmärgipõhist päringuportaali. Näiteks, see võib tugineda alljärgnevatel põhimõtetel:
A) Autentimine
• Riigi autentimisteenus (ID-kaart, Mobile-ID, Smart-ID).
• Ametniku roll tuvastatakse asutuse ja ametikoha alusel.
• Võimalik kasutada RIHA/RIAM rollihalduse lahendusi.
B) Päringu põhjendamine enne andmete nägemist
Ametnik ei näe kohe andmeid. Kõigepealt avaneb vorm:
• päringu liik:
◦ pärandvara inventuur;
◦ täitemenetlus;
◦ kriminaalmenetlus;
◦ väärteomenetlus;
◦ järelevalvemenetlus;
◦ statistiline analüüs;
• toimiku number;
• õiguslik alus;
• lühike põhjendus.
Alles seejärel lubatakse päring esitada.
C) Rollipõhine andmevaade
Notar
• näeb üksnes isiku kehtivaid finantskohustusi ja nende koondsummasid;
• ei näe krediidiandja ärisaladust sisaldavaid detaile.
Kohtutäitur
• näeb kohustuste laenujääke, kui eesmärgiks on kinnisasja hindamine; näeb kohustuste laenujääke ja võla- ning võlausaldaja identifikaatorit, kui andmed on vajalikud pärandavara inventuuriks;
• ei näe krediidi muid andmeid.
Politsei / uurimisasutus
• näeb ainult konkreetses menetluses vajalikke andmeid;
• ligipääs seotud menetlusnumbriga.
Statistikaamet
• ei näe isikustatud andmeid;
• kasutab pseudonüümitud või agregeeritud andmekihti.
D) Audit ja läbipaistvus
Registri kasutaja kohta salvestatakse:
• kes päringu tegi;
• millal;
• millise õigusliku alusega;
• millise toimiku raames;
• milliseid andmeid kuvati.
Andmesubjekt võiks e-teenindusest hiljem näha: "Notar X tegi 15.03.2027 päringu pärimismenetluse nr 12345 raames."
See loob tugeva ennetava kontrollimehhanismi.
Põhimääruses peaks kehtestama põhimõtte, et registri andmetele juurdepääs antakse ülesandepõhiselt, mitte ametipõhiselt. Iga päring peab olema seotud konkreetse seadusest tuleneva menetluse või toiminguga ning kasutajale kuvatakse üksnes selle ülesande täitmiseks vajalik minimaalne andmehulk. See vastab hästi nii andmekaitse üldmääruse (GDPR) andmete minimaalsuse põhimõttele kui ka Cybernetica raportis rõhutatud eesmärgile tagada tehnoloogiliselt jõustatud juurdepääsupiirangud. Kui nimetatud põhimõtted sisalduvad vaid põhimääruse seletuskirjas, siis see ei ole piisav pangasaladusena käsitletavate andmete kaitsmiseks. Lisaks ei kohusta see registripidajat nendest põhimõtetest lähtuma, kuna seadus on väga üldsõnaline ja pakub vähem kaitset, kui täna kehtiv KAS.
7. Ettepanekud eelnõu konkreetsete sätete kohta
Eelnõu tekst
Kommentaar
§ 1. Krediiditeaberegistri eesmärk, mõiste ja nimi
Seletuskiri p 2 lk 2: „Registris sisalduvaid andmeid töödeldakse ja tehakse kättesaadavaks üksnes KJS-is sätestatud eesmärkidel, ulatuses ja piiritletud ringile isikutele.“
Krediiditeaberegistri eesmärk on eelkõige toetada krediidivõimelisuse hindamist ning andmeid tohib töödelda üksnes eesmärgipäraselt ja vajalikus ulatuses.
KJS § 10 ja krediiditeaberegistri põhimäärus ei taga piisavat õigusselgust, sest kuigi need määratlevad andmesaajate ringi, ei täpsusta need piisavalt, millistele konkreetsetele andmetele on igal andmesaajal juurdepääs ning milliste ülesannete täitmiseks need andmed vajalikud on. Õiguskantsler on täitmisregistri kontekstis rõhutanud, et tundlikele andmetele juurdepääsu võimaldav regulatsioon peab selgelt määratlema andmesaajad, eesmärgid ja juurdepääsu ulatuse. Pelgalt viide andmete kasutamisele „seaduses sätestatud ülesannete täitmiseks“ on liiga üldsõnaline ega vasta põhiõiguste piiramisele kehtivatele õigusselguse ja proportsionaalsuse nõuetele.
§ 5. Registripidaja ülesanded
1.
Registripidaja:
1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, registrisse kandmise, haldamise, andmetele juurdepääsu võimaldamise ja andmete säilitamise;
2) /…/
Arvestades, et registripidaja ei kogu ise aktiivselt andmeid, vaid andmete edastamise kohustus on pandud krediiditeabe andjatele, oleks õigem kasutada „kogumise“ asemel „vastuvõtmine“: „/…/ tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete vastuvõtmise, /…/“
2.
Registripidaja:
/…/
2) peab arvestust andmete juurdepääsu aja ja viisi, juurdepääsu saanud isikute ning neile kättesaadavaks tehtud andmete koosseisu üle;
/../
Mida selle all mõeldud on - „peab arvestust“? Kui logimist, siis võiks selle ka selgelt kirja panna.
3.
Registripidaja:
/…/
5) korraldab registri turvaauditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise;
Kas seeläbi, et registripidajal endal on õigus korraldada registri turvaauditi tellimine ilma, et ta turvaauditi läbiviija ja skoobi eelnevalt vastutava töötlejaga kooskõlastab, ei mõjuta registri toimimise läbipaistvust? Turvaauditi osutaja ja auditi skoop tuleks Pangaliidu hinnangul siiski vastutava töötlejaga kooskõlastada.
4.
Registripidaja:
/…/
10) teavitab krediiditeabe andjat ja registriga liidestatud andmesaaja registri muutmise või arendamise kavatsusest ning annab muud vajalikku teavet;
Sõna „andmesaaja“ lõpust on t-täht puudu.
5.
Registripidaja:
/…/
15) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise;
Võiks viidata KJS §-ile 11, kus on sätestatud säilitamise tähtajad.
6.
§ 5 Registripidaja ülesanded
Lähtudes põhimääruse § 8 lõikest 1, mis näeb ette, et andmesubjektil peab olema võimalus registris endas oma andmete, sh logidega tutvuda, tuleks § 5 all ka vastav kohustus ette näha: registripidaja tagab andmesubjektile võimaluse tutvuda elektrooniliselt registris tema osas töödeldavate isikuandmetega.
7.
§ 6. Registri andmed
(1) p 11 krediidi tagasimakse tasumise täieliku või osalise edasilükkamise algus- ja lõppkuupäev;
Pangaliit jääb oma ettepaneku (lisada täpsustus, et andmeid edastataks ainult kehtiva maksepuhkuse korral ja ajavahemiku leidmiseks edastataks üksnes lõppkuupäev) juurde.
Krediidivõimelisuse hindamise seisukohalt omab tähtsust eelkõige päringu tegemise hetkel kehtiva maksepuhkuse olemasolu ning selle lõppemise aeg. Ministeeriumi täiendav selgitus, et tulevikuks kokku lepitud maksepuhkuse andmed tuleb registrile edastada kohe pärast kokkuleppe sõlmimist, ei põhjenda vajadust koguda maksepuhkuse alguskuupäeva. Asjaolu, millal maksepuhkus algab, ei anna krediidivõimelisuse hindamiseks sisuliselt täiendavat väärtust, võrreldes teadmisega, et maksepuhkus on olemas ja millal see lõpeb. Samuti puudub põhjendus lõppenud maksepuhkuste andmete edastamiseks. Seetõttu peab Pangaliit jätkuvalt põhjendatuks lahendust, mille kohaselt edastatakse üksnes kehtiva maksepuhkuse olemasolu ning selle lõppkuupäev. Nii oleks registri eesmärk täidetud vähemate andmetega ja paremini kooskõlas andmete töötlemise minimaalsuse põhimõttega.
8.
§ 7. Registriandmetele juurdepääs
(1) Juurdepääs registriandmetele võimaldatakse krediiditeabe jagamise seaduse § 10 lõikes 1 nimetatud isikutele samas lõikes nimetatud eesmärkidel.
Üldine viide andmetele ligipääsu võimaldamine „samas lõikes nimetatud eesmärkidel“ ei ole iseenesest piisav alus kogu registriandmestikule juurdepääsu andmiseks. Ka viide „seadusest tulenevate ülesannete täitmisele“ jääb ebamääraseks pangasaladuse avaldamise ja isikuandmete töötlemise ulatuse määratlemiseks.
9.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Põhimääruse § 5 punktis 6 on registripidajale pandud kohustus õigusliku aluse olemasolu asjakohasuse kontrollimiseks enne liidestamist – mõistame, et see kontroll peab toimuma enne § 7 lõikes 5 nimetatud juurdepääsu taotluse heakskiitmist registripidaja poolt. § 7 lõikes 6 on päringu tegijale pandud kohustus märkida igakordselt päringus päringu tegemise õiguslik alus, aga registripidajale pole pandud kohustust õigusliku aluse asjakohasuse kontrollimiseks. Pangaliidu hinnangul peaks registripidaja ka päringu tegemisel päringu tegija õiguslikku alust kontrollima.
10.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Punkt 31 kooskõlastustabelis: RahMin on selgitanud, et:
„Pankade ja teiste KJS § 10 lõike 1 punktis 1 nimetatud isikute automatiseeritud päringute puhul ei ole põhjendatud nõuda iga päringu tegemisel sama õigusliku aluse ja selgituse käsitsi sisestamist. Nende puhul võib kasutada standardiseeritud väärtusi. Õiguslikuks aluseks märgitakse KJS § 10 lõike 1 punkt 1 ning päringu eesmärk valitakse etteantud liigitusest, näiteks tarbijakrediidilepingu sõlmimine või muutmine, täiendava krediidi taotlemine või võla ümberkujundamine. Päring peab olema tehniliselt seostatav konkreetse krediiditaotluse või muu menetletava juhtumiga.“
Paraku seda selgitust ei ole seletuskirja lisatud, mistõttu palume seletuskirja vastavalt täiendada.
11.
§ 8. Andmesubjekti ja tarbija õigused
Paragrahvi pealkiri on eksitav, kuna paragrahvis räägitakse üksnes andmesubjekti juurdepääsuõigusest, samas kui IKÜM näeb andmesubjektile ette ka muud õigused, nt õigus nõuda andmete kustutamist, piiramist jmt.
Teeme ettepaneku pealkirja sõnastada „Andmesubjekti ja tarbija juurdepääsuõigused“
12.
(1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus oma andmete tutvumiseks elektrooniliselt registris.
13.
(2) Tarbijal on õigus teha avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja registri vahendusel.
Jääb arusaamatuks, miks see lõige on siia lisatud. KJS § 9 lg 3 juba sätestab: „Kirjaliku avalduse nimekirja kandmiseks ja nimekirjast kustutamiseks esitab tarbija registripidajale. Registripidaja on kohustatud pärast avalduse saamist viivitamata kandma tarbija nimekirja või ta sealt eemaldama.“
Pealegi räägitakse põhimääruses üksnes tarbija avaldusest registrisse kandmiseks, seaduses aga ka tarbija avaldusest registrist kustutamiseks.
Kui § 8 lõike 2 mõte on seotud sama paragrahvi lõikega 3, siis võiks lõikes 2 KJSi vastavale sättele ka viidata.
Sõnastusettepanek:
(2) Tarbijal on vastavalt krediiditeabe jagamise seaduse § 9 lõikele 3 õigus esitada registripidajale avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja või avaldus nimekirjast kustutamiseks.
14.
(3) Kui andmesubjekt või tarbija soovib käesoleva paragrahvi lõigetes 1 ja 2 sätestatud õigusi teostada registri vahendusel, kasutatakse riigi autentimisteenust.
Lõikes 3 „“registri vahendusel“ on üleliigne, sest nii lõige 1 kui 2 räägivadki ainult registri vahendusel oma õiguste teostamisest.
§ 9. Ebaõigete andmete parandamine
15.
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks registri vahendusel.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus taotleda oma andmete parandamist muuhulgas registri vahendusel.
Sõnastusettepanek:
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks muuhulgas registri vahendusel.
16.
(3) Andmesubjekti taotluse lahendamise ajal kuvatakse registris asjakohaste andmete juures märget „Ülevaatamisel“. Märget kuvatakse kuni andmesubjekti taotluse lahendanud krediiditeabe andja teavitab registripidajat andmete parandamisest või andmete õigsusest.
Andmed võivad olla registris ebaõiged ka registripidaja tegevuse tõttu, nt mingi tehnilise vea tõttu muutuvad registris krediiditeabe andja poolt esitatud andmed ebaõigeks. Kas ka sellisel juhul võidakse andmesubjekti taotluse lahendamise ajal kuvada märget „Ülevaatamisel“. Kui jah, ei ole lõike viimane lause õige, kuna taotluse lahendab eelnimetatud juhul registripidaja ise.
Loodame, et ministeeriumil on võimalik Pangaliidu märkuste ja ettepanekutega arvestada.
Lugupidamisega
/allkirjastatud digitaalselt/
Katrin Talihärm
Tegevjuht
[email protected] Teie: 30.09.2026 nr 1.1-10.1/3946-1
Meie: 16.10.2026 nr 53
Pangaliidu tagasiside krediiditeaberegistri põhimäärusele - 2.kooskõlastusring
Täname võimaluse eest avaldada arvamust krediidi krediiditeaberegistri põhimääruse osas 2.kooskõlastusringi raames.
Peamised probleemkohad
1. Registri töökindlus ja katkestuste mõju krediidiandjatele
Kooskõlastustabelist nähtub, et ministeerium ei ole täielikult lahendanud olukorda, kus registri mittetoimimine hakkab takistama krediidiandjal seadusest tulenevate kohustuste täitmist. Registri teenuste toimimise tagamise tingimuste kajastamine üksnes hanketingimustes ei ole piisav ega jätkusuutlik.
Pangaliidu hinnangul on tegemist olulise kaasneva riskiga kui registri töös, sh andmevahetuses on katkestus või tõrge, seda eriti seoses laenukeelu kohta andmete saamise võimaliku takistusega, sest krediidiandjatel puudub mis tahes alternatiivne ligipääs laenukeelu andmetele. Kui register ei ole tehnilise rikke, hooldustöö või muu katkestuse tõttu kättesaadav, ei ole krediidiandjal võimalik täita seadusest tulenevat kohustust – kontrollida laenukeelu piirangu olemasolu. See tähendab praktikas, et:
• krediidiandja ei saa teha uusi krediidiotsuseid ega sõlmida lepinguid; krediidiandja äritegevus võib osaliselt või täielikult seiskuda;
• kogu operatsioonirisk kantakse krediidiandjale, kuigi registri toimimine ei ole krediidiandja kontrolli all;
• puuduvad kokkulepitud varulahendused või asenduskanalid kriitilise tähtsusega info saamiseks.
Võlaõigusseaduse § 403⁴ täiendus lõikega 3¹ järgnevas sõnastuses: „Krediidivõimelisuse hindamiseks vajaliku teabe omandamiseks kontrollib krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isik tarbija kohta käivat krediiditeavet sama seaduse alusel asutatud krediiditeaberegistrist. Isik vabaneb nimetatud kohustusest ajal, kui registripidajast mittetulenevatel põhjustel ei ole tal võimalik registriteenust osutada.” , ei aita tekkivast kitsaskohast üle.
Asjakohase eelnõu kooskõlastustabeli leheküljel 73 on antud selgitus: "Registri tehniline rike ei vabasta krediidiandjat KJS-ist ja VÕS-ist tulenevatest krediidivõimelisuse hindamise kohustustest. Registrist vastuse saamata jäämist ei tohiks käsitada kinnitusena, et tarbijal puuduvad kohustused või tarbijakrediidilepingu sõlmimise piirang."
Lisatava sättega vabastataks krediidiandja küll registriandmete kontrollimise kohustustest tõrke ajal, kuid Pangaliidu hinnangul on siiski seaduse tasandil maandamata kehtiva laenukeeluga (mis tõrke ajal ei ole päringutegijale nähtav) tarbijale laenu andmise risk ja tagajärjed. Kui selle käsitluse kohaselt peaks krediidileping tõrkeperioodil siiski sõlmitama, on tagajärjeks ikkagi tühine krediidileping, millega seotud tagajärjed jäävad krediidiandja kanda. See ei saa olla aktsepteeritav tulemus ega lahendus.
Krediidiandjate teenuste toimimise tagamiseks peaks põhimääruses olema selgelt sätestatud registri toimimiseks vähemalt:
• registri minimaalne kättesaadavuse tase;
• lubatud katkestuste kestus;
• hädaolukorra menetlus;
• krediidiandja vastutus olukorras, kus register ei ole kasutatav.
2. Registri tehniline arhitektuur ja teenustasemete (SLA) sätestamine põhimääruses
Ministeerium on seisukohal, et tehniline arhitektuur ning teenustasemete nõuded tuleks lahendada tehnilise dokumentatsiooni või hankedokumentide kaudu.
Pangaliidu hinnangul ei ole registriteenuse minimaalsete teenustasemete täielik jätmine lepingute, kasutustingimuste või tehnilise dokumentatsiooni reguleerida piisav KJS § 6 lõike 5 punktis 4 sätestatud volitusnormi täitmiseks. Viidatud volitusnorm näeb sõnaselgelt ette, et täiendavad tehnilised ja korralduslikud kaitsemeetmed sätestatakse põhimääruses. Kui registriteenuse käideldavuse ja toimepidevuse minimaalsed nõuded jäetakse määrusevälistesse dokumentidesse, ei nähtu põhimäärusest, millise minimaalse teenustaseme peab registripidaja kõikidele registrikasutajatele tagama – selline lahendus ei ole Pangaliidu liikmetele sobiv.
Registri käideldavus ei ole seejuures üksnes registripidaja tehnilise töökorralduse küsimus. Registri kasutamine on krediidiandjatele seadusest tulenevate kohustuste täitmiseks vajalik. Registriteenuse mittetoimimine võib takistada krediidivõimelisuse hindamiseks vajaliku teabepäringu tegemist, ning lisaks ei võimalda mittetoimimine kontrollida tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja. Kooskõlastustabelis on samuti mööndud, et registri käideldavus on registri pidamise eesmärgi saavutamiseks vältimatult vajalik eeldus.
Kõigi üksikasjalike või tehniliselt muutuvate teenustaseme näitajate sätestamine põhimääruses ei pruugi olla vajalik, kuid põhimäärusega tuleks siiski kehtestada registriteenuse kohustuslik minimaalne tase, mida saab lepingus, kasutustingimustes või tehnilises dokumentatsioonis täpsustada või rangemaks muuta, aga mitte vähendada.
Miks on see vajalik?
Õigusselgus
• Krediidiandjatele pannakse registri kasutamise kohustus seadusega.
• Kui seadus kohustab registrit kasutama, peavad kasutajate õigused ja registri toimimise põhitingimused olema samuti õigusaktis sätestatud.
Õiguslik kindlus
• Hankedokumendid ja tehnilised kirjeldused võivad aja jooksul muutuda.
• Põhimäärus tagab kõikidele osapooltele stabiilse ja üheselt mõistetava õigusliku raamistiku teenuste toimimise tagamiseks.
Kriitilise infrastruktuuri olemus
• Register muutub krediidiotsuste tegemisel sisuliselt kohustuslikuks taristuks.
• Kriitilise tähtsusega infosüsteemi puhul ei ole põhjendatud, et olulised töökindluse ja turvalisuse nõuded oleksid reguleeritud üksnes lepingulisel või tehnilisel tasemel.
Vastutuse ja riskide jaotus
• Kui teenustasemed puuduvad õigusaktist, jääb krediidiandjatele ebaselgeks (sh pikaajalises perspektiivis), millise kvaliteediga teenust riik tagab.
• Samal ajal lasub täielik vastutus krediidiotsuse tegemise ja krediidilepingu sõlmimise õiguspärasuse eest krediidiandjal.
Seetõttu peaks põhimäärus sisaldama vähemalt:
• minimaalse kättesaadavuse määra - mitu katkestust millise vältusega mis ajaperioodi jooksul on maksimaalselt lubatud;
• reageerimis- ja taastamisaegade põhimõtteid;
• andmete uuendamise sagedust;
• katkestuste teavitamise korda;
• varulahenduste põhimõtteid.
3. Registri kasutamise lepingute raamistik ja tingimuste ühetaolisus
KJS § 6 lõike 5 punktide 3 ja 5 kohaselt tuleb põhimääruses sätestada andmetele juurdepääsu võimaldamise täpsem kord ning muud korralduslikud küsimused.
Põhimääruse eelnõu § 7 lõike 3 kohaselt võimaldatakse registriandmetele juurdepääs muu hulgas poolte vahel sõlmitud lepingu alusel otsejuurdepääsuna. Eelnõust ei selgu aga registri kasutamise lepingu sõlmimise täpsem raamistik ega põhimõtted, millest registripidaja lepingu tingimuste kehtestamisel peab lähtuma. Samuti ei sätestata eelnõus nõuet, et samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele tuleb kohaldada ühetaolisi, läbipaistvaid ja mittediskrimineerivaid tingimusi.
Kooskõlastustabelis on selgitatud, et leping ei ole iseseisev juurdepääsu õiguslik alus ning registripidaja ja registrikasutaja vahelise lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi. Samuti on selgitatud, et lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust, kehtestada täiendavaid juurdepääsu piiramise või lõpetamise aluseid ega panna andmesaajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi. Kooskõlastustabelis on täiendavalt märgitud, et tehnilisi tingimusi ning registri kasutajaid puudutavaid tingimusi kohaldatakse võrreldavatele kasutajagruppidele ühetaoliselt.
Pangaliit nõustub nende põhimõtetega, kuid leiab, et need peavad kajastuma põhimääruse normatiivses tekstis. Kooskõlastustabelis esitatud selgitused ei asenda määrusega kehtestatavat õiguslikku raamistikku ega taga iseseisvalt, et registripidaja järgib lepingutingimuste kehtestamisel ühetaolisuse, läbipaistvuse, proportsionaalsuse ja mittediskrimineerimise põhimõtteid.
Olukorras, kus krediidiandja seadusest tuleneva juurdepääsu praktiline teostamine sõltub registripidajaga lepingu sõlmimisest ja tehnilisest liidestamisest, ei tohi lepingu tingimuste määramine jääda üksnes registripidaja otsustada. Registripidajal ei tohi olla võimalik kehtestada võrreldavas olukorras olevatele krediidiandjatele erinevaid tingimusi ega siduda seadusest tuleneva juurdepääsuõiguse kasutamist täiendavate sisuliste kohustustega.
KJS § 6 lõike 5 punktid 3 ja 5 annavad aluse sätestada põhimääruses registri kasutamise lepingute üldine korralduslik raamistik. See ei eelda lepingu kõigi tehniliste tingimuste üksikasjalikku sätestamist põhimääruses. Põhimääruses tuleb siiski kindlaks määrata vähemalt samasse kasutajarühma kuuluvate ja võrreldavas olukorras olevate registrikasutajatega lepingute sõlmimise ja tingimuste kehtestamise põhimõtted ning registrikasutajate ühetaolise kohtlemise nõue.
Pangaliit teeb ettepaneku sätestada põhimääruses, et:
1. registri kasutamise leping ei ole iseseisev registriandmetele juurdepääsu õiguslik alus ega anna registripidajale kaalutlusõigust otsustada seadusest tuleneva juurdepääsuõiguse olemasolu üle;
2. lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi;
3. lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust;
4. lepinguga ei või kehtestada seaduses või põhimääruses sätestamata täiendavaid juurdepääsu piiramise, peatamise või lõpetamise aluseid;
5. lepinguga ei või panna registrikasutajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi;
6. registripidaja peab kohaldama samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele ühetaolisi, läbipaistvaid, proportsionaalseid ning mittediskrimineerivaid tingimusi;
7. registri kasutamise üldtingimused ja nende muudatused peavad olema registrikasutajatele eelnevalt kättesaadavad ning muudatustest tuleb teatada mõistliku etteteatamisajaga;
8. lepingus või tehnilistes tingimustes sätestatud teenustase ei või olla madalam põhimääruses sätestatud minimaalsest teenustasemest.
Ettepanek: täiendada põhimäärust registri kasutamise lepingu üldise raamistikuga, sealhulgas lepinguga reguleeritavate küsimuste piiride, seadusest tuleneva juurdepääsuõiguse kaitse ning võrreldavas olukorras olevatele registrikasutajatele ühetaoliste tingimuste kohaldamise nõudega. Praegusel kujul ei ole KJS § 6 lõike 5 punktides 3 ja 5 sätestatud volitusnormid registri lepingulise kasutamise korraldusliku raamistiku osas piisavalt sisustatud.
4. Rollipõhine nähtavus ja andmekoosseis
Ministeeriumi seisukoht on, et rollipõhine andmekoosseisude nähtavus reguleeritakse tehnilise dokumentatsiooni tasandil.
Pangaliidu hinnangul ei ole see piisav. Rollipõhise nähtavuse küsimus ei ole üksnes tehniline, vaid puudutab otseselt:
• isikuandmete kaitset;
• pangasaladuse kaitset;
• konkurentsiõiguslikke riske;
• registri kasutajate õigusi ja kohustusi.
Seetõttu peab põhimäärus sisaldama vähemalt põhimõttelisel tasemel vastuseid küsimustele:
• milliseid andmeid näevad krediidiandjad;
• milliseid andmeid näevad registripidaja, kohtud, kohtutäiturid, pankrotihaldurid, usaldusisikud, notarid ja järelevalveasutused;
• millistel tingimustel võib andmete nähtavust laiendada või piirata;
• milline on andmekasutuse eesmärgipärasuse kontroll.
Õiguste ja kohustuste sisu ei tohiks jääda üksnes tehnilise dokumentatsiooni või registripidaja otsustada, kuna sel juhul muutuvad andmetöötluse tegelikud reeglid ilma õigusakti muutmata.
Eelistatud lahendus on olnud seaduse tasandil täpsustuste sisse viimine, mis reguleeriks andmete väljastamist vähemalt sama hoolsusega nagu tänane krediidiasutuste seaduse § 88 lg 6 ette näeb. Ehk hetkelahendus ei reguleeri seaduse ega põhimääruse tasandil eesmärgipõhist andmete kasutust. Pangaliidu ettepanek on lahendada juurdepääsu täpsem kord põhimääruse raames ja esimesel võimalusel täiendada vajadusel krediiditeabe jagamise seadust, kui põhimäärus ei ole piisav nende küsimuste lahendamiseks. Peame oluliseks märkida, et põhimäärusega ei lahendata juurdepääsu õiguslikke aluseid või subjekte, need on KJS-s olemas, vaid täpsustatakse tehnilist ja menetluslikku korda, nt põhimäärus võib reguleerida:
• autentimise viise;
• päringute logimist;
• volituste andmist;
• andmete väljastamise tehnilisi nõudeid;
• turvameetmeid;
• järelevalve ja auditijälje pidamise korda. See tuleneb seaduse volitusest kehtestada andmetele juurdepääsu võimaldamise täpsem kord ning täiendavad kaitsemeetmed.
5. Andmeväljade ja ligipääsuõiguste täielik kaardistus põhimääruses
Ministeerium on leidnud, et detailne andmeväljade kirjeldus ei pea sisalduma põhimääruses.
Pangaliidu hinnangul on see vajalik eelkõige pangasaladuse ja isikuandmete kaitse tagamiseks.
Õiguskantsler on oma 01.07.2025 pöördumises nr 7-7/250081/2504808 Riigikogu rahanduskomisjoni ja õiguskomisjoni ning Riigikogu Kantselei poole seoses pangasaladuse kaitse ja täitmisregistriga juhtinud eelnimetatute tähelepanu, et: „Pangasaladust avaldada lubav norm seaduses peab olema sedavõrd konkreetse sisuga, et pangasaladuse avaldamise ja sealhulgas konto väljavõttega tutvumise võimalus ja lubatavus on seaduse tekstiga tutvudes üheselt selge. Samuti peab enne seadusega pangasaladusele juurdepääsu võimaldamist olema selge, millisel eesmärgil ja ulatuses pangasaladuse hoidmise kohustust piiratakse. Põhiseaduspärane on see piirang vaid siis, kui seda saab pidada proportsionaalseks. Lisaks seadusliku aluse olemasolule on vaja riigil tagada ka tõhus järelevalve selle üle, kes ja kui palju pangasaladuse (ning millist laadi teabe) vastu huvi tunneb ning kas see huvi on konkreetsel juhul ka põhjendatud. Pangasaladuse hoidmise kohustuse piiramine isiku teadmata, ehk pangasaladuse avaldamine, on olemuselt sarnane jälitustegevusega ehk varjatult isikuandmete kogumisega. Mida kergemaks ja mugavamaks teeb riik põhiõiguste piiramise (nt andmekogu või andmevahetuskeskkonna loomisega), seda täpsemad ja selgemad peavad olema reeglid selle osas, millistel juhtudel ja kuidas võib põhiõigusi piirata, ning seda tõhusam peab olema ka järelevalve selle üle, et põhiõiguste piiranguid ehk andmekogu päringuid ei tehtaks meelevaldselt.“
Pangaliidu hinnangul on hetkel vähemalt kohtutäituri, ajutise halduri, pankrotihalduri, Konkurentsiameti maksejõuetuse teenistuse ja füüsilise isiku maksejõuetuse seaduses nimetatud usaldusisiku osas jäänud reeglid ebamääraseks, kuna viidatakse pangasaladuse saamiseks üksnes üldiselt vastavas seaduses toodud ülesannete täitmisele, jättes nii konkreetselt täidetavad ülesanded (st andmete kasutamise eesmärgi) kui võimaliku väljastatava andmekoosseisu õigusaktiga täpsustamata.
Miks peaks andmeväljad määruses sätestama?
Pangasaladuse kaitse
• Krediidiandjad edastavad registrisse teavet, mis võib sisaldada äriliselt tundlikku teavet.
• Ilma selgelt määratletud andmeväljade ja kasutusõigusteta tekib oht, et teistele turuosalistele muutub nähtavaks rohkem informatsiooni, kui on eesmärgi saavutamiseks vajalik.
Andmete minimaalsuse põhimõte
• IKÜM eeldab, et töödeldakse üksnes eesmärgi saavutamiseks vajalikku andmestikku.
• See põhimõte peaks olema põhimääruse tasandil kontrollitav ja läbipaistev.
Õiguspärase ootuse kaitse
• Registri kasutajad peavad teadma, milliseid andmeid nad esitavad ja millistele kasutajatele mis ulatuses need nähtavad on.
• See ei ole lahendatav ega määratav üksnes hilisema tehnilise lahendusega.
Konkurentsiõiguslik risk
• Registris olev teave võib sisaldada turuosaliste äriliselt tundlikku teavet.
• Liiga lai juurdepääs võib tekitada põhjendamatuid konkurentsiriske.
Järelevalve ja vaidluste lahendamine
• Põhimääruses sätestatud andmekoosseis võimaldab hinnata, kas registri tegelik toimimine vastab seadusandja tahtele.
• Tehnilise dokumentatsiooni alusel on selline kontroll oluliselt keerulisem.
Registri andmetele juurdepääsu võimaldamine
1. Registris sisalduvatele andmetele võimaldatakse juurdepääs üksnes ulatuses, mis on vältimatult vajalik KJS §-s 10 nimetatud isikute seadusest tulenevate ülesannete täitmiseks.
2. Viidatud paragrahvi lõikes 1 nimetatud isikule ei võimaldata juurdepääsu kogu registri andmestikule ega registri täismahus väljavõtetele, välja arvatud juhul, kui selline juurdepääsu vajadus tuleneb otseselt seadusest.
3. Enne päringu tegemist peab kasutaja:
1. tuvastama ennast tugeva elektroonilise autentimise vahendiga;
2. valima päringu õigusliku aluse;
3. märkima päringu eesmärgi;
4. sisestama menetluse, toimingu või asja numbri või muu identifikaatori, mis seob päringu konkreetse ülesandega (identifikaator võimaldab teostada järelevalvet, selle puudumisel muutub järelevalve teostamine sisutühjaks).
4. Registripidaja tagab tehniliste vahenditega, et kasutajale kuvatakse üksnes tema ülesande täitmiseks vajalik andmekoosseis.
5. Kõik päringud, väljastatud andmed, päringu alus, eesmärk, kasutaja identifikaator ja päringu aeg logitakse ning säilitatakse auditijäljena.
6. Registripidaja rakendab automaatseid kontrollimehhanisme põhjendamata, ebaharilike või masspäringute tuvastamiseks.
6. Tehnilise lahenduse ettepanek
Pangaliit ei poolda ametiasutuste ega ametnike "otsevaadet registrisse". Turvalisem ja tarbijatega seotud (isiku)andmete töötlemise vaatest läbipaistvam on kasutada eesmärgipõhist päringuportaali. Näiteks, see võib tugineda alljärgnevatel põhimõtetel:
A) Autentimine
• Riigi autentimisteenus (ID-kaart, Mobile-ID, Smart-ID).
• Ametniku roll tuvastatakse asutuse ja ametikoha alusel.
• Võimalik kasutada RIHA/RIAM rollihalduse lahendusi.
B) Päringu põhjendamine enne andmete nägemist
Ametnik ei näe kohe andmeid. Kõigepealt avaneb vorm:
• päringu liik:
◦ pärandvara inventuur;
◦ täitemenetlus;
◦ kriminaalmenetlus;
◦ väärteomenetlus;
◦ järelevalvemenetlus;
◦ statistiline analüüs;
• toimiku number;
• õiguslik alus;
• lühike põhjendus.
Alles seejärel lubatakse päring esitada.
C) Rollipõhine andmevaade
Notar
• näeb üksnes isiku kehtivaid finantskohustusi ja nende koondsummasid;
• ei näe krediidiandja ärisaladust sisaldavaid detaile.
Kohtutäitur
• näeb kohustuste laenujääke, kui eesmärgiks on kinnisasja hindamine; näeb kohustuste laenujääke ja võla- ning võlausaldaja identifikaatorit, kui andmed on vajalikud pärandavara inventuuriks;
• ei näe krediidi muid andmeid.
Politsei / uurimisasutus
• näeb ainult konkreetses menetluses vajalikke andmeid;
• ligipääs seotud menetlusnumbriga.
Statistikaamet
• ei näe isikustatud andmeid;
• kasutab pseudonüümitud või agregeeritud andmekihti.
D) Audit ja läbipaistvus
Registri kasutaja kohta salvestatakse:
• kes päringu tegi;
• millal;
• millise õigusliku alusega;
• millise toimiku raames;
• milliseid andmeid kuvati.
Andmesubjekt võiks e-teenindusest hiljem näha: "Notar X tegi 15.03.2027 päringu pärimismenetluse nr 12345 raames."
See loob tugeva ennetava kontrollimehhanismi.
Põhimääruses peaks kehtestama põhimõtte, et registri andmetele juurdepääs antakse ülesandepõhiselt, mitte ametipõhiselt. Iga päring peab olema seotud konkreetse seadusest tuleneva menetluse või toiminguga ning kasutajale kuvatakse üksnes selle ülesande täitmiseks vajalik minimaalne andmehulk. See vastab hästi nii andmekaitse üldmääruse (GDPR) andmete minimaalsuse põhimõttele kui ka Cybernetica raportis rõhutatud eesmärgile tagada tehnoloogiliselt jõustatud juurdepääsupiirangud. Kui nimetatud põhimõtted sisalduvad vaid põhimääruse seletuskirjas, siis see ei ole piisav pangasaladusena käsitletavate andmete kaitsmiseks. Lisaks ei kohusta see registripidajat nendest põhimõtetest lähtuma, kuna seadus on väga üldsõnaline ja pakub vähem kaitset, kui täna kehtiv KAS.
7. Ettepanekud eelnõu konkreetsete sätete kohta
Eelnõu tekst
Kommentaar
§ 1. Krediiditeaberegistri eesmärk, mõiste ja nimi
Seletuskiri p 2 lk 2: „Registris sisalduvaid andmeid töödeldakse ja tehakse kättesaadavaks üksnes KJS-is sätestatud eesmärkidel, ulatuses ja piiritletud ringile isikutele.“
Krediiditeaberegistri eesmärk on eelkõige toetada krediidivõimelisuse hindamist ning andmeid tohib töödelda üksnes eesmärgipäraselt ja vajalikus ulatuses.
KJS § 10 ja krediiditeaberegistri põhimäärus ei taga piisavat õigusselgust, sest kuigi need määratlevad andmesaajate ringi, ei täpsusta need piisavalt, millistele konkreetsetele andmetele on igal andmesaajal juurdepääs ning milliste ülesannete täitmiseks need andmed vajalikud on. Õiguskantsler on täitmisregistri kontekstis rõhutanud, et tundlikele andmetele juurdepääsu võimaldav regulatsioon peab selgelt määratlema andmesaajad, eesmärgid ja juurdepääsu ulatuse. Pelgalt viide andmete kasutamisele „seaduses sätestatud ülesannete täitmiseks“ on liiga üldsõnaline ega vasta põhiõiguste piiramisele kehtivatele õigusselguse ja proportsionaalsuse nõuetele.
§ 5. Registripidaja ülesanded
1.
Registripidaja:
1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, registrisse kandmise, haldamise, andmetele juurdepääsu võimaldamise ja andmete säilitamise;
2) /…/
Arvestades, et registripidaja ei kogu ise aktiivselt andmeid, vaid andmete edastamise kohustus on pandud krediiditeabe andjatele, oleks õigem kasutada „kogumise“ asemel „vastuvõtmine“: „/…/ tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete vastuvõtmise, /…/“
2.
Registripidaja:
/…/
2) peab arvestust andmete juurdepääsu aja ja viisi, juurdepääsu saanud isikute ning neile kättesaadavaks tehtud andmete koosseisu üle;
/../
Mida selle all mõeldud on - „peab arvestust“? Kui logimist, siis võiks selle ka selgelt kirja panna.
3.
Registripidaja:
/…/
5) korraldab registri turvaauditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise;
Kas seeläbi, et registripidajal endal on õigus korraldada registri turvaauditi tellimine ilma, et ta turvaauditi läbiviija ja skoobi eelnevalt vastutava töötlejaga kooskõlastab, ei mõjuta registri toimimise läbipaistvust? Turvaauditi osutaja ja auditi skoop tuleks Pangaliidu hinnangul siiski vastutava töötlejaga kooskõlastada.
4.
Registripidaja:
/…/
10) teavitab krediiditeabe andjat ja registriga liidestatud andmesaaja registri muutmise või arendamise kavatsusest ning annab muud vajalikku teavet;
Sõna „andmesaaja“ lõpust on t-täht puudu.
5.
Registripidaja:
/…/
15) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise;
Võiks viidata KJS §-ile 11, kus on sätestatud säilitamise tähtajad.
6.
§ 5 Registripidaja ülesanded
Lähtudes põhimääruse § 8 lõikest 1, mis näeb ette, et andmesubjektil peab olema võimalus registris endas oma andmete, sh logidega tutvuda, tuleks § 5 all ka vastav kohustus ette näha: registripidaja tagab andmesubjektile võimaluse tutvuda elektrooniliselt registris tema osas töödeldavate isikuandmetega.
7.
§ 6. Registri andmed
(1) p 11 krediidi tagasimakse tasumise täieliku või osalise edasilükkamise algus- ja lõppkuupäev;
Pangaliit jääb oma ettepaneku (lisada täpsustus, et andmeid edastataks ainult kehtiva maksepuhkuse korral ja ajavahemiku leidmiseks edastataks üksnes lõppkuupäev) juurde.
Krediidivõimelisuse hindamise seisukohalt omab tähtsust eelkõige päringu tegemise hetkel kehtiva maksepuhkuse olemasolu ning selle lõppemise aeg. Ministeeriumi täiendav selgitus, et tulevikuks kokku lepitud maksepuhkuse andmed tuleb registrile edastada kohe pärast kokkuleppe sõlmimist, ei põhjenda vajadust koguda maksepuhkuse alguskuupäeva. Asjaolu, millal maksepuhkus algab, ei anna krediidivõimelisuse hindamiseks sisuliselt täiendavat väärtust, võrreldes teadmisega, et maksepuhkus on olemas ja millal see lõpeb. Samuti puudub põhjendus lõppenud maksepuhkuste andmete edastamiseks. Seetõttu peab Pangaliit jätkuvalt põhjendatuks lahendust, mille kohaselt edastatakse üksnes kehtiva maksepuhkuse olemasolu ning selle lõppkuupäev. Nii oleks registri eesmärk täidetud vähemate andmetega ja paremini kooskõlas andmete töötlemise minimaalsuse põhimõttega.
8.
§ 7. Registriandmetele juurdepääs
(1) Juurdepääs registriandmetele võimaldatakse krediiditeabe jagamise seaduse § 10 lõikes 1 nimetatud isikutele samas lõikes nimetatud eesmärkidel.
Üldine viide andmetele ligipääsu võimaldamine „samas lõikes nimetatud eesmärkidel“ ei ole iseenesest piisav alus kogu registriandmestikule juurdepääsu andmiseks. Ka viide „seadusest tulenevate ülesannete täitmisele“ jääb ebamääraseks pangasaladuse avaldamise ja isikuandmete töötlemise ulatuse määratlemiseks.
9.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Põhimääruse § 5 punktis 6 on registripidajale pandud kohustus õigusliku aluse olemasolu asjakohasuse kontrollimiseks enne liidestamist – mõistame, et see kontroll peab toimuma enne § 7 lõikes 5 nimetatud juurdepääsu taotluse heakskiitmist registripidaja poolt. § 7 lõikes 6 on päringu tegijale pandud kohustus märkida igakordselt päringus päringu tegemise õiguslik alus, aga registripidajale pole pandud kohustust õigusliku aluse asjakohasuse kontrollimiseks. Pangaliidu hinnangul peaks registripidaja ka päringu tegemisel päringu tegija õiguslikku alust kontrollima.
10.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Punkt 31 kooskõlastustabelis: RahMin on selgitanud, et:
„Pankade ja teiste KJS § 10 lõike 1 punktis 1 nimetatud isikute automatiseeritud päringute puhul ei ole põhjendatud nõuda iga päringu tegemisel sama õigusliku aluse ja selgituse käsitsi sisestamist. Nende puhul võib kasutada standardiseeritud väärtusi. Õiguslikuks aluseks märgitakse KJS § 10 lõike 1 punkt 1 ning päringu eesmärk valitakse etteantud liigitusest, näiteks tarbijakrediidilepingu sõlmimine või muutmine, täiendava krediidi taotlemine või võla ümberkujundamine. Päring peab olema tehniliselt seostatav konkreetse krediiditaotluse või muu menetletava juhtumiga.“
Paraku seda selgitust ei ole seletuskirja lisatud, mistõttu palume seletuskirja vastavalt täiendada.
11.
§ 8. Andmesubjekti ja tarbija õigused
Paragrahvi pealkiri on eksitav, kuna paragrahvis räägitakse üksnes andmesubjekti juurdepääsuõigusest, samas kui IKÜM näeb andmesubjektile ette ka muud õigused, nt õigus nõuda andmete kustutamist, piiramist jmt.
Teeme ettepaneku pealkirja sõnastada „Andmesubjekti ja tarbija juurdepääsuõigused“
12.
(1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus oma andmete tutvumiseks elektrooniliselt registris.
13.
(2) Tarbijal on õigus teha avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja registri vahendusel.
Jääb arusaamatuks, miks see lõige on siia lisatud. KJS § 9 lg 3 juba sätestab: „Kirjaliku avalduse nimekirja kandmiseks ja nimekirjast kustutamiseks esitab tarbija registripidajale. Registripidaja on kohustatud pärast avalduse saamist viivitamata kandma tarbija nimekirja või ta sealt eemaldama.“
Pealegi räägitakse põhimääruses üksnes tarbija avaldusest registrisse kandmiseks, seaduses aga ka tarbija avaldusest registrist kustutamiseks.
Kui § 8 lõike 2 mõte on seotud sama paragrahvi lõikega 3, siis võiks lõikes 2 KJSi vastavale sättele ka viidata.
Sõnastusettepanek:
(2) Tarbijal on vastavalt krediiditeabe jagamise seaduse § 9 lõikele 3 õigus esitada registripidajale avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja või avaldus nimekirjast kustutamiseks.
14.
(3) Kui andmesubjekt või tarbija soovib käesoleva paragrahvi lõigetes 1 ja 2 sätestatud õigusi teostada registri vahendusel, kasutatakse riigi autentimisteenust.
Lõikes 3 „“registri vahendusel“ on üleliigne, sest nii lõige 1 kui 2 räägivadki ainult registri vahendusel oma õiguste teostamisest.
§ 9. Ebaõigete andmete parandamine
15.
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks registri vahendusel.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus taotleda oma andmete parandamist muuhulgas registri vahendusel.
Sõnastusettepanek:
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks muuhulgas registri vahendusel.
16.
(3) Andmesubjekti taotluse lahendamise ajal kuvatakse registris asjakohaste andmete juures märget „Ülevaatamisel“. Märget kuvatakse kuni andmesubjekti taotluse lahendanud krediiditeabe andja teavitab registripidajat andmete parandamisest või andmete õigsusest.
Andmed võivad olla registris ebaõiged ka registripidaja tegevuse tõttu, nt mingi tehnilise vea tõttu muutuvad registris krediiditeabe andja poolt esitatud andmed ebaõigeks. Kas ka sellisel juhul võidakse andmesubjekti taotluse lahendamise ajal kuvada märget „Ülevaatamisel“. Kui jah, ei ole lõike viimane lause õige, kuna taotluse lahendab eelnimetatud juhul registripidaja ise.
Loodame, et ministeeriumil on võimalik Pangaliidu märkuste ja ettepanekutega arvestada.
Lugupidamisega
/allkirjastatud digitaalselt/
Katrin Talihärm
Tegevjuht
Digiallkirjad
Allkirjade kehtivust ei ole
kontrollitud.
Katrin Talihärm
PNOEE-46010200304
2026-10-16 12:36:32
Rahandusministeerium
[email protected] Teie: 30.09.2026 nr 1.1-10.1/3946-1
Meie: 16.10.2026 nr 53
Pangaliidu tagasiside krediiditeaberegistri põhimäärusele - 2.kooskõlastusring
Täname võimaluse eest avaldada arvamust krediidi krediiditeaberegistri põhimääruse osas 2.kooskõlastusringi raames.
Peamised probleemkohad
1. Registri töökindlus ja katkestuste mõju krediidiandjatele
Kooskõlastustabelist nähtub, et ministeerium ei ole täielikult lahendanud olukorda, kus registri mittetoimimine hakkab takistama krediidiandjal seadusest tulenevate kohustuste täitmist. Registri teenuste toimimise tagamise tingimuste kajastamine üksnes hanketingimustes ei ole piisav ega jätkusuutlik.
Pangaliidu hinnangul on tegemist olulise kaasneva riskiga kui registri töös, sh andmevahetuses on katkestus või tõrge, seda eriti seoses laenukeelu kohta andmete saamise võimaliku takistusega, sest krediidiandjatel puudub mis tahes alternatiivne ligipääs laenukeelu andmetele. Kui register ei ole tehnilise rikke, hooldustöö või muu katkestuse tõttu kättesaadav, ei ole krediidiandjal võimalik täita seadusest tulenevat kohustust – kontrollida laenukeelu piirangu olemasolu. See tähendab praktikas, et:
• krediidiandja ei saa teha uusi krediidiotsuseid ega sõlmida lepinguid; krediidiandja äritegevus võib osaliselt või täielikult seiskuda;
• kogu operatsioonirisk kantakse krediidiandjale, kuigi registri toimimine ei ole krediidiandja kontrolli all;
• puuduvad kokkulepitud varulahendused või asenduskanalid kriitilise tähtsusega info saamiseks.
Võlaõigusseaduse § 403⁴ täiendus lõikega 3¹ järgnevas sõnastuses: „Krediidivõimelisuse hindamiseks vajaliku teabe omandamiseks kontrollib krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isik tarbija kohta käivat krediiditeavet sama seaduse alusel asutatud krediiditeaberegistrist. Isik vabaneb nimetatud kohustusest ajal, kui registripidajast mittetulenevatel põhjustel ei ole tal võimalik registriteenust osutada.” , ei aita tekkivast kitsaskohast üle.
Asjakohase eelnõu kooskõlastustabeli leheküljel 73 on antud selgitus: "Registri tehniline rike ei vabasta krediidiandjat KJS-ist ja VÕS-ist tulenevatest krediidivõimelisuse hindamise kohustustest. Registrist vastuse saamata jäämist ei tohiks käsitada kinnitusena, et tarbijal puuduvad kohustused või tarbijakrediidilepingu sõlmimise piirang."
Lisatava sättega vabastataks krediidiandja küll registriandmete kontrollimise kohustustest tõrke ajal, kuid Pangaliidu hinnangul on siiski seaduse tasandil maandamata kehtiva laenukeeluga (mis tõrke ajal ei ole päringutegijale nähtav) tarbijale laenu andmise risk ja tagajärjed. Kui selle käsitluse kohaselt peaks krediidileping tõrkeperioodil siiski sõlmitama, on tagajärjeks ikkagi tühine krediidileping, millega seotud tagajärjed jäävad krediidiandja kanda. See ei saa olla aktsepteeritav tulemus ega lahendus.
Krediidiandjate teenuste toimimise tagamiseks peaks põhimääruses olema selgelt sätestatud registri toimimiseks vähemalt:
• registri minimaalne kättesaadavuse tase;
• lubatud katkestuste kestus;
• hädaolukorra menetlus;
• krediidiandja vastutus olukorras, kus register ei ole kasutatav.
2. Registri tehniline arhitektuur ja teenustasemete (SLA) sätestamine põhimääruses
Ministeerium on seisukohal, et tehniline arhitektuur ning teenustasemete nõuded tuleks lahendada tehnilise dokumentatsiooni või hankedokumentide kaudu.
Pangaliidu hinnangul ei ole registriteenuse minimaalsete teenustasemete täielik jätmine lepingute, kasutustingimuste või tehnilise dokumentatsiooni reguleerida piisav KJS § 6 lõike 5 punktis 4 sätestatud volitusnormi täitmiseks. Viidatud volitusnorm näeb sõnaselgelt ette, et täiendavad tehnilised ja korralduslikud kaitsemeetmed sätestatakse põhimääruses. Kui registriteenuse käideldavuse ja toimepidevuse minimaalsed nõuded jäetakse määrusevälistesse dokumentidesse, ei nähtu põhimäärusest, millise minimaalse teenustaseme peab registripidaja kõikidele registrikasutajatele tagama – selline lahendus ei ole Pangaliidu liikmetele sobiv.
Registri käideldavus ei ole seejuures üksnes registripidaja tehnilise töökorralduse küsimus. Registri kasutamine on krediidiandjatele seadusest tulenevate kohustuste täitmiseks vajalik. Registriteenuse mittetoimimine võib takistada krediidivõimelisuse hindamiseks vajaliku teabepäringu tegemist, ning lisaks ei võimalda mittetoimimine kontrollida tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja. Kooskõlastustabelis on samuti mööndud, et registri käideldavus on registri pidamise eesmärgi saavutamiseks vältimatult vajalik eeldus.
Kõigi üksikasjalike või tehniliselt muutuvate teenustaseme näitajate sätestamine põhimääruses ei pruugi olla vajalik, kuid põhimäärusega tuleks siiski kehtestada registriteenuse kohustuslik minimaalne tase, mida saab lepingus, kasutustingimustes või tehnilises dokumentatsioonis täpsustada või rangemaks muuta, aga mitte vähendada.
Miks on see vajalik?
Õigusselgus
• Krediidiandjatele pannakse registri kasutamise kohustus seadusega.
• Kui seadus kohustab registrit kasutama, peavad kasutajate õigused ja registri toimimise põhitingimused olema samuti õigusaktis sätestatud.
Õiguslik kindlus
• Hankedokumendid ja tehnilised kirjeldused võivad aja jooksul muutuda.
• Põhimäärus tagab kõikidele osapooltele stabiilse ja üheselt mõistetava õigusliku raamistiku teenuste toimimise tagamiseks.
Kriitilise infrastruktuuri olemus
• Register muutub krediidiotsuste tegemisel sisuliselt kohustuslikuks taristuks.
• Kriitilise tähtsusega infosüsteemi puhul ei ole põhjendatud, et olulised töökindluse ja turvalisuse nõuded oleksid reguleeritud üksnes lepingulisel või tehnilisel tasemel.
Vastutuse ja riskide jaotus
• Kui teenustasemed puuduvad õigusaktist, jääb krediidiandjatele ebaselgeks (sh pikaajalises perspektiivis), millise kvaliteediga teenust riik tagab.
• Samal ajal lasub täielik vastutus krediidiotsuse tegemise ja krediidilepingu sõlmimise õiguspärasuse eest krediidiandjal.
Seetõttu peaks põhimäärus sisaldama vähemalt:
• minimaalse kättesaadavuse määra - mitu katkestust millise vältusega mis ajaperioodi jooksul on maksimaalselt lubatud;
• reageerimis- ja taastamisaegade põhimõtteid;
• andmete uuendamise sagedust;
• katkestuste teavitamise korda;
• varulahenduste põhimõtteid.
3. Registri kasutamise lepingute raamistik ja tingimuste ühetaolisus
KJS § 6 lõike 5 punktide 3 ja 5 kohaselt tuleb põhimääruses sätestada andmetele juurdepääsu võimaldamise täpsem kord ning muud korralduslikud küsimused.
Põhimääruse eelnõu § 7 lõike 3 kohaselt võimaldatakse registriandmetele juurdepääs muu hulgas poolte vahel sõlmitud lepingu alusel otsejuurdepääsuna. Eelnõust ei selgu aga registri kasutamise lepingu sõlmimise täpsem raamistik ega põhimõtted, millest registripidaja lepingu tingimuste kehtestamisel peab lähtuma. Samuti ei sätestata eelnõus nõuet, et samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele tuleb kohaldada ühetaolisi, läbipaistvaid ja mittediskrimineerivaid tingimusi.
Kooskõlastustabelis on selgitatud, et leping ei ole iseseisev juurdepääsu õiguslik alus ning registripidaja ja registrikasutaja vahelise lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi. Samuti on selgitatud, et lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust, kehtestada täiendavaid juurdepääsu piiramise või lõpetamise aluseid ega panna andmesaajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi. Kooskõlastustabelis on täiendavalt märgitud, et tehnilisi tingimusi ning registri kasutajaid puudutavaid tingimusi kohaldatakse võrreldavatele kasutajagruppidele ühetaoliselt.
Pangaliit nõustub nende põhimõtetega, kuid leiab, et need peavad kajastuma põhimääruse normatiivses tekstis. Kooskõlastustabelis esitatud selgitused ei asenda määrusega kehtestatavat õiguslikku raamistikku ega taga iseseisvalt, et registripidaja järgib lepingutingimuste kehtestamisel ühetaolisuse, läbipaistvuse, proportsionaalsuse ja mittediskrimineerimise põhimõtteid.
Olukorras, kus krediidiandja seadusest tuleneva juurdepääsu praktiline teostamine sõltub registripidajaga lepingu sõlmimisest ja tehnilisest liidestamisest, ei tohi lepingu tingimuste määramine jääda üksnes registripidaja otsustada. Registripidajal ei tohi olla võimalik kehtestada võrreldavas olukorras olevatele krediidiandjatele erinevaid tingimusi ega siduda seadusest tuleneva juurdepääsuõiguse kasutamist täiendavate sisuliste kohustustega.
KJS § 6 lõike 5 punktid 3 ja 5 annavad aluse sätestada põhimääruses registri kasutamise lepingute üldine korralduslik raamistik. See ei eelda lepingu kõigi tehniliste tingimuste üksikasjalikku sätestamist põhimääruses. Põhimääruses tuleb siiski kindlaks määrata vähemalt samasse kasutajarühma kuuluvate ja võrreldavas olukorras olevate registrikasutajatega lepingute sõlmimise ja tingimuste kehtestamise põhimõtted ning registrikasutajate ühetaolise kohtlemise nõue.
Pangaliit teeb ettepaneku sätestada põhimääruses, et:
1. registri kasutamise leping ei ole iseseisev registriandmetele juurdepääsu õiguslik alus ega anna registripidajale kaalutlusõigust otsustada seadusest tuleneva juurdepääsuõiguse olemasolu üle;
2. lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi;
3. lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust;
4. lepinguga ei või kehtestada seaduses või põhimääruses sätestamata täiendavaid juurdepääsu piiramise, peatamise või lõpetamise aluseid;
5. lepinguga ei või panna registrikasutajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi;
6. registripidaja peab kohaldama samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele ühetaolisi, läbipaistvaid, proportsionaalseid ning mittediskrimineerivaid tingimusi;
7. registri kasutamise üldtingimused ja nende muudatused peavad olema registrikasutajatele eelnevalt kättesaadavad ning muudatustest tuleb teatada mõistliku etteteatamisajaga;
8. lepingus või tehnilistes tingimustes sätestatud teenustase ei või olla madalam põhimääruses sätestatud minimaalsest teenustasemest.
Ettepanek: täiendada põhimäärust registri kasutamise lepingu üldise raamistikuga, sealhulgas lepinguga reguleeritavate küsimuste piiride, seadusest tuleneva juurdepääsuõiguse kaitse ning võrreldavas olukorras olevatele registrikasutajatele ühetaoliste tingimuste kohaldamise nõudega. Praegusel kujul ei ole KJS § 6 lõike 5 punktides 3 ja 5 sätestatud volitusnormid registri lepingulise kasutamise korraldusliku raamistiku osas piisavalt sisustatud.
4. Rollipõhine nähtavus ja andmekoosseis
Ministeeriumi seisukoht on, et rollipõhine andmekoosseisude nähtavus reguleeritakse tehnilise dokumentatsiooni tasandil.
Pangaliidu hinnangul ei ole see piisav. Rollipõhise nähtavuse küsimus ei ole üksnes tehniline, vaid puudutab otseselt:
• isikuandmete kaitset;
• pangasaladuse kaitset;
• konkurentsiõiguslikke riske;
• registri kasutajate õigusi ja kohustusi.
Seetõttu peab põhimäärus sisaldama vähemalt põhimõttelisel tasemel vastuseid küsimustele:
• milliseid andmeid näevad krediidiandjad;
• milliseid andmeid näevad registripidaja, kohtud, kohtutäiturid, pankrotihaldurid, usaldusisikud, notarid ja järelevalveasutused;
• millistel tingimustel võib andmete nähtavust laiendada või piirata;
• milline on andmekasutuse eesmärgipärasuse kontroll.
Õiguste ja kohustuste sisu ei tohiks jääda üksnes tehnilise dokumentatsiooni või registripidaja otsustada, kuna sel juhul muutuvad andmetöötluse tegelikud reeglid ilma õigusakti muutmata.
Eelistatud lahendus on olnud seaduse tasandil täpsustuste sisse viimine, mis reguleeriks andmete väljastamist vähemalt sama hoolsusega nagu tänane krediidiasutuste seaduse § 88 lg 6 ette näeb. Ehk hetkelahendus ei reguleeri seaduse ega põhimääruse tasandil eesmärgipõhist andmete kasutust. Pangaliidu ettepanek on lahendada juurdepääsu täpsem kord põhimääruse raames ja esimesel võimalusel täiendada vajadusel krediiditeabe jagamise seadust, kui põhimäärus ei ole piisav nende küsimuste lahendamiseks. Peame oluliseks märkida, et põhimäärusega ei lahendata juurdepääsu õiguslikke aluseid või subjekte, need on KJS-s olemas, vaid täpsustatakse tehnilist ja menetluslikku korda, nt põhimäärus võib reguleerida:
• autentimise viise;
• päringute logimist;
• volituste andmist;
• andmete väljastamise tehnilisi nõudeid;
• turvameetmeid;
• järelevalve ja auditijälje pidamise korda. See tuleneb seaduse volitusest kehtestada andmetele juurdepääsu võimaldamise täpsem kord ning täiendavad kaitsemeetmed.
5. Andmeväljade ja ligipääsuõiguste täielik kaardistus põhimääruses
Ministeerium on leidnud, et detailne andmeväljade kirjeldus ei pea sisalduma põhimääruses.
Pangaliidu hinnangul on see vajalik eelkõige pangasaladuse ja isikuandmete kaitse tagamiseks.
Õiguskantsler on oma 01.07.2025 pöördumises nr 7-7/250081/2504808 Riigikogu rahanduskomisjoni ja õiguskomisjoni ning Riigikogu Kantselei poole seoses pangasaladuse kaitse ja täitmisregistriga juhtinud eelnimetatute tähelepanu, et: „Pangasaladust avaldada lubav norm seaduses peab olema sedavõrd konkreetse sisuga, et pangasaladuse avaldamise ja sealhulgas konto väljavõttega tutvumise võimalus ja lubatavus on seaduse tekstiga tutvudes üheselt selge. Samuti peab enne seadusega pangasaladusele juurdepääsu võimaldamist olema selge, millisel eesmärgil ja ulatuses pangasaladuse hoidmise kohustust piiratakse. Põhiseaduspärane on see piirang vaid siis, kui seda saab pidada proportsionaalseks. Lisaks seadusliku aluse olemasolule on vaja riigil tagada ka tõhus järelevalve selle üle, kes ja kui palju pangasaladuse (ning millist laadi teabe) vastu huvi tunneb ning kas see huvi on konkreetsel juhul ka põhjendatud. Pangasaladuse hoidmise kohustuse piiramine isiku teadmata, ehk pangasaladuse avaldamine, on olemuselt sarnane jälitustegevusega ehk varjatult isikuandmete kogumisega. Mida kergemaks ja mugavamaks teeb riik põhiõiguste piiramise (nt andmekogu või andmevahetuskeskkonna loomisega), seda täpsemad ja selgemad peavad olema reeglid selle osas, millistel juhtudel ja kuidas võib põhiõigusi piirata, ning seda tõhusam peab olema ka järelevalve selle üle, et põhiõiguste piiranguid ehk andmekogu päringuid ei tehtaks meelevaldselt.“
Pangaliidu hinnangul on hetkel vähemalt kohtutäituri, ajutise halduri, pankrotihalduri, Konkurentsiameti maksejõuetuse teenistuse ja füüsilise isiku maksejõuetuse seaduses nimetatud usaldusisiku osas jäänud reeglid ebamääraseks, kuna viidatakse pangasaladuse saamiseks üksnes üldiselt vastavas seaduses toodud ülesannete täitmisele, jättes nii konkreetselt täidetavad ülesanded (st andmete kasutamise eesmärgi) kui võimaliku väljastatava andmekoosseisu õigusaktiga täpsustamata.
Miks peaks andmeväljad määruses sätestama?
Pangasaladuse kaitse
• Krediidiandjad edastavad registrisse teavet, mis võib sisaldada äriliselt tundlikku teavet.
• Ilma selgelt määratletud andmeväljade ja kasutusõigusteta tekib oht, et teistele turuosalistele muutub nähtavaks rohkem informatsiooni, kui on eesmärgi saavutamiseks vajalik.
Andmete minimaalsuse põhimõte
• IKÜM eeldab, et töödeldakse üksnes eesmärgi saavutamiseks vajalikku andmestikku.
• See põhimõte peaks olema põhimääruse tasandil kontrollitav ja läbipaistev.
Õiguspärase ootuse kaitse
• Registri kasutajad peavad teadma, milliseid andmeid nad esitavad ja millistele kasutajatele mis ulatuses need nähtavad on.
• See ei ole lahendatav ega määratav üksnes hilisema tehnilise lahendusega.
Konkurentsiõiguslik risk
• Registris olev teave võib sisaldada turuosaliste äriliselt tundlikku teavet.
• Liiga lai juurdepääs võib tekitada põhjendamatuid konkurentsiriske.
Järelevalve ja vaidluste lahendamine
• Põhimääruses sätestatud andmekoosseis võimaldab hinnata, kas registri tegelik toimimine vastab seadusandja tahtele.
• Tehnilise dokumentatsiooni alusel on selline kontroll oluliselt keerulisem.
Registri andmetele juurdepääsu võimaldamine
1. Registris sisalduvatele andmetele võimaldatakse juurdepääs üksnes ulatuses, mis on vältimatult vajalik KJS §-s 10 nimetatud isikute seadusest tulenevate ülesannete täitmiseks.
2. Viidatud paragrahvi lõikes 1 nimetatud isikule ei võimaldata juurdepääsu kogu registri andmestikule ega registri täismahus väljavõtetele, välja arvatud juhul, kui selline juurdepääsu vajadus tuleneb otseselt seadusest.
3. Enne päringu tegemist peab kasutaja:
1. tuvastama ennast tugeva elektroonilise autentimise vahendiga;
2. valima päringu õigusliku aluse;
3. märkima päringu eesmärgi;
4. sisestama menetluse, toimingu või asja numbri või muu identifikaatori, mis seob päringu konkreetse ülesandega (identifikaator võimaldab teostada järelevalvet, selle puudumisel muutub järelevalve teostamine sisutühjaks).
4. Registripidaja tagab tehniliste vahenditega, et kasutajale kuvatakse üksnes tema ülesande täitmiseks vajalik andmekoosseis.
5. Kõik päringud, väljastatud andmed, päringu alus, eesmärk, kasutaja identifikaator ja päringu aeg logitakse ning säilitatakse auditijäljena.
6. Registripidaja rakendab automaatseid kontrollimehhanisme põhjendamata, ebaharilike või masspäringute tuvastamiseks.
6. Tehnilise lahenduse ettepanek
Pangaliit ei poolda ametiasutuste ega ametnike "otsevaadet registrisse". Turvalisem ja tarbijatega seotud (isiku)andmete töötlemise vaatest läbipaistvam on kasutada eesmärgipõhist päringuportaali. Näiteks, see võib tugineda alljärgnevatel põhimõtetel:
A) Autentimine
• Riigi autentimisteenus (ID-kaart, Mobile-ID, Smart-ID).
• Ametniku roll tuvastatakse asutuse ja ametikoha alusel.
• Võimalik kasutada RIHA/RIAM rollihalduse lahendusi.
B) Päringu põhjendamine enne andmete nägemist
Ametnik ei näe kohe andmeid. Kõigepealt avaneb vorm:
• päringu liik:
◦ pärandvara inventuur;
◦ täitemenetlus;
◦ kriminaalmenetlus;
◦ väärteomenetlus;
◦ järelevalvemenetlus;
◦ statistiline analüüs;
• toimiku number;
• õiguslik alus;
• lühike põhjendus.
Alles seejärel lubatakse päring esitada.
C) Rollipõhine andmevaade
Notar
• näeb üksnes isiku kehtivaid finantskohustusi ja nende koondsummasid;
• ei näe krediidiandja ärisaladust sisaldavaid detaile.
Kohtutäitur
• näeb kohustuste laenujääke, kui eesmärgiks on kinnisasja hindamine; näeb kohustuste laenujääke ja võla- ning võlausaldaja identifikaatorit, kui andmed on vajalikud pärandavara inventuuriks;
• ei näe krediidi muid andmeid.
Politsei / uurimisasutus
• näeb ainult konkreetses menetluses vajalikke andmeid;
• ligipääs seotud menetlusnumbriga.
Statistikaamet
• ei näe isikustatud andmeid;
• kasutab pseudonüümitud või agregeeritud andmekihti.
D) Audit ja läbipaistvus
Registri kasutaja kohta salvestatakse:
• kes päringu tegi;
• millal;
• millise õigusliku alusega;
• millise toimiku raames;
• milliseid andmeid kuvati.
Andmesubjekt võiks e-teenindusest hiljem näha: "Notar X tegi 15.03.2027 päringu pärimismenetluse nr 12345 raames."
See loob tugeva ennetava kontrollimehhanismi.
Põhimääruses peaks kehtestama põhimõtte, et registri andmetele juurdepääs antakse ülesandepõhiselt, mitte ametipõhiselt. Iga päring peab olema seotud konkreetse seadusest tuleneva menetluse või toiminguga ning kasutajale kuvatakse üksnes selle ülesande täitmiseks vajalik minimaalne andmehulk. See vastab hästi nii andmekaitse üldmääruse (GDPR) andmete minimaalsuse põhimõttele kui ka Cybernetica raportis rõhutatud eesmärgile tagada tehnoloogiliselt jõustatud juurdepääsupiirangud. Kui nimetatud põhimõtted sisalduvad vaid põhimääruse seletuskirjas, siis see ei ole piisav pangasaladusena käsitletavate andmete kaitsmiseks. Lisaks ei kohusta see registripidajat nendest põhimõtetest lähtuma, kuna seadus on väga üldsõnaline ja pakub vähem kaitset, kui täna kehtiv KAS.
7. Ettepanekud eelnõu konkreetsete sätete kohta
Eelnõu tekst
Kommentaar
§ 1. Krediiditeaberegistri eesmärk, mõiste ja nimi
Seletuskiri p 2 lk 2: „Registris sisalduvaid andmeid töödeldakse ja tehakse kättesaadavaks üksnes KJS-is sätestatud eesmärkidel, ulatuses ja piiritletud ringile isikutele.“
Krediiditeaberegistri eesmärk on eelkõige toetada krediidivõimelisuse hindamist ning andmeid tohib töödelda üksnes eesmärgipäraselt ja vajalikus ulatuses.
KJS § 10 ja krediiditeaberegistri põhimäärus ei taga piisavat õigusselgust, sest kuigi need määratlevad andmesaajate ringi, ei täpsusta need piisavalt, millistele konkreetsetele andmetele on igal andmesaajal juurdepääs ning milliste ülesannete täitmiseks need andmed vajalikud on. Õiguskantsler on täitmisregistri kontekstis rõhutanud, et tundlikele andmetele juurdepääsu võimaldav regulatsioon peab selgelt määratlema andmesaajad, eesmärgid ja juurdepääsu ulatuse. Pelgalt viide andmete kasutamisele „seaduses sätestatud ülesannete täitmiseks“ on liiga üldsõnaline ega vasta põhiõiguste piiramisele kehtivatele õigusselguse ja proportsionaalsuse nõuetele.
§ 5. Registripidaja ülesanded
1.
Registripidaja:
1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, registrisse kandmise, haldamise, andmetele juurdepääsu võimaldamise ja andmete säilitamise;
2) /…/
Arvestades, et registripidaja ei kogu ise aktiivselt andmeid, vaid andmete edastamise kohustus on pandud krediiditeabe andjatele, oleks õigem kasutada „kogumise“ asemel „vastuvõtmine“: „/…/ tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete vastuvõtmise, /…/“
2.
Registripidaja:
/…/
2) peab arvestust andmete juurdepääsu aja ja viisi, juurdepääsu saanud isikute ning neile kättesaadavaks tehtud andmete koosseisu üle;
/../
Mida selle all mõeldud on - „peab arvestust“? Kui logimist, siis võiks selle ka selgelt kirja panna.
3.
Registripidaja:
/…/
5) korraldab registri turvaauditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise;
Kas seeläbi, et registripidajal endal on õigus korraldada registri turvaauditi tellimine ilma, et ta turvaauditi läbiviija ja skoobi eelnevalt vastutava töötlejaga kooskõlastab, ei mõjuta registri toimimise läbipaistvust? Turvaauditi osutaja ja auditi skoop tuleks Pangaliidu hinnangul siiski vastutava töötlejaga kooskõlastada.
4.
Registripidaja:
/…/
10) teavitab krediiditeabe andjat ja registriga liidestatud andmesaaja registri muutmise või arendamise kavatsusest ning annab muud vajalikku teavet;
Sõna „andmesaaja“ lõpust on t-täht puudu.
5.
Registripidaja:
/…/
15) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise;
Võiks viidata KJS §-ile 11, kus on sätestatud säilitamise tähtajad.
6.
§ 5 Registripidaja ülesanded
Lähtudes põhimääruse § 8 lõikest 1, mis näeb ette, et andmesubjektil peab olema võimalus registris endas oma andmete, sh logidega tutvuda, tuleks § 5 all ka vastav kohustus ette näha: registripidaja tagab andmesubjektile võimaluse tutvuda elektrooniliselt registris tema osas töödeldavate isikuandmetega.
7.
§ 6. Registri andmed
(1) p 11 krediidi tagasimakse tasumise täieliku või osalise edasilükkamise algus- ja lõppkuupäev;
Pangaliit jääb oma ettepaneku (lisada täpsustus, et andmeid edastataks ainult kehtiva maksepuhkuse korral ja ajavahemiku leidmiseks edastataks üksnes lõppkuupäev) juurde.
Krediidivõimelisuse hindamise seisukohalt omab tähtsust eelkõige päringu tegemise hetkel kehtiva maksepuhkuse olemasolu ning selle lõppemise aeg. Ministeeriumi täiendav selgitus, et tulevikuks kokku lepitud maksepuhkuse andmed tuleb registrile edastada kohe pärast kokkuleppe sõlmimist, ei põhjenda vajadust koguda maksepuhkuse alguskuupäeva. Asjaolu, millal maksepuhkus algab, ei anna krediidivõimelisuse hindamiseks sisuliselt täiendavat väärtust, võrreldes teadmisega, et maksepuhkus on olemas ja millal see lõpeb. Samuti puudub põhjendus lõppenud maksepuhkuste andmete edastamiseks. Seetõttu peab Pangaliit jätkuvalt põhjendatuks lahendust, mille kohaselt edastatakse üksnes kehtiva maksepuhkuse olemasolu ning selle lõppkuupäev. Nii oleks registri eesmärk täidetud vähemate andmetega ja paremini kooskõlas andmete töötlemise minimaalsuse põhimõttega.
8.
§ 7. Registriandmetele juurdepääs
(1) Juurdepääs registriandmetele võimaldatakse krediiditeabe jagamise seaduse § 10 lõikes 1 nimetatud isikutele samas lõikes nimetatud eesmärkidel.
Üldine viide andmetele ligipääsu võimaldamine „samas lõikes nimetatud eesmärkidel“ ei ole iseenesest piisav alus kogu registriandmestikule juurdepääsu andmiseks. Ka viide „seadusest tulenevate ülesannete täitmisele“ jääb ebamääraseks pangasaladuse avaldamise ja isikuandmete töötlemise ulatuse määratlemiseks.
9.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Põhimääruse § 5 punktis 6 on registripidajale pandud kohustus õigusliku aluse olemasolu asjakohasuse kontrollimiseks enne liidestamist – mõistame, et see kontroll peab toimuma enne § 7 lõikes 5 nimetatud juurdepääsu taotluse heakskiitmist registripidaja poolt. § 7 lõikes 6 on päringu tegijale pandud kohustus märkida igakordselt päringus päringu tegemise õiguslik alus, aga registripidajale pole pandud kohustust õigusliku aluse asjakohasuse kontrollimiseks. Pangaliidu hinnangul peaks registripidaja ka päringu tegemisel päringu tegija õiguslikku alust kontrollima.
10.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Punkt 31 kooskõlastustabelis: RahMin on selgitanud, et:
„Pankade ja teiste KJS § 10 lõike 1 punktis 1 nimetatud isikute automatiseeritud päringute puhul ei ole põhjendatud nõuda iga päringu tegemisel sama õigusliku aluse ja selgituse käsitsi sisestamist. Nende puhul võib kasutada standardiseeritud väärtusi. Õiguslikuks aluseks märgitakse KJS § 10 lõike 1 punkt 1 ning päringu eesmärk valitakse etteantud liigitusest, näiteks tarbijakrediidilepingu sõlmimine või muutmine, täiendava krediidi taotlemine või võla ümberkujundamine. Päring peab olema tehniliselt seostatav konkreetse krediiditaotluse või muu menetletava juhtumiga.“
Paraku seda selgitust ei ole seletuskirja lisatud, mistõttu palume seletuskirja vastavalt täiendada.
11.
§ 8. Andmesubjekti ja tarbija õigused
Paragrahvi pealkiri on eksitav, kuna paragrahvis räägitakse üksnes andmesubjekti juurdepääsuõigusest, samas kui IKÜM näeb andmesubjektile ette ka muud õigused, nt õigus nõuda andmete kustutamist, piiramist jmt.
Teeme ettepaneku pealkirja sõnastada „Andmesubjekti ja tarbija juurdepääsuõigused“
12.
(1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus oma andmete tutvumiseks elektrooniliselt registris.
13.
(2) Tarbijal on õigus teha avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja registri vahendusel.
Jääb arusaamatuks, miks see lõige on siia lisatud. KJS § 9 lg 3 juba sätestab: „Kirjaliku avalduse nimekirja kandmiseks ja nimekirjast kustutamiseks esitab tarbija registripidajale. Registripidaja on kohustatud pärast avalduse saamist viivitamata kandma tarbija nimekirja või ta sealt eemaldama.“
Pealegi räägitakse põhimääruses üksnes tarbija avaldusest registrisse kandmiseks, seaduses aga ka tarbija avaldusest registrist kustutamiseks.
Kui § 8 lõike 2 mõte on seotud sama paragrahvi lõikega 3, siis võiks lõikes 2 KJSi vastavale sättele ka viidata.
Sõnastusettepanek:
(2) Tarbijal on vastavalt krediiditeabe jagamise seaduse § 9 lõikele 3 õigus esitada registripidajale avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja või avaldus nimekirjast kustutamiseks.
14.
(3) Kui andmesubjekt või tarbija soovib käesoleva paragrahvi lõigetes 1 ja 2 sätestatud õigusi teostada registri vahendusel, kasutatakse riigi autentimisteenust.
Lõikes 3 „“registri vahendusel“ on üleliigne, sest nii lõige 1 kui 2 räägivadki ainult registri vahendusel oma õiguste teostamisest.
§ 9. Ebaõigete andmete parandamine
15.
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks registri vahendusel.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus taotleda oma andmete parandamist muuhulgas registri vahendusel.
Sõnastusettepanek:
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks muuhulgas registri vahendusel.
16.
(3) Andmesubjekti taotluse lahendamise ajal kuvatakse registris asjakohaste andmete juures märget „Ülevaatamisel“. Märget kuvatakse kuni andmesubjekti taotluse lahendanud krediiditeabe andja teavitab registripidajat andmete parandamisest või andmete õigsusest.
Andmed võivad olla registris ebaõiged ka registripidaja tegevuse tõttu, nt mingi tehnilise vea tõttu muutuvad registris krediiditeabe andja poolt esitatud andmed ebaõigeks. Kas ka sellisel juhul võidakse andmesubjekti taotluse lahendamise ajal kuvada märget „Ülevaatamisel“. Kui jah, ei ole lõike viimane lause õige, kuna taotluse lahendab eelnimetatud juhul registripidaja ise.
Loodame, et ministeeriumil on võimalik Pangaliidu märkuste ja ettepanekutega arvestada.
Lugupidamisega
/allkirjastatud digitaalselt/
Katrin Talihärm
Tegevjuht
[email protected] Teie: 30.09.2026 nr 1.1-10.1/3946-1
Meie: 16.10.2026 nr 53
Pangaliidu tagasiside krediiditeaberegistri põhimäärusele - 2.kooskõlastusring
Täname võimaluse eest avaldada arvamust krediidi krediiditeaberegistri põhimääruse osas 2.kooskõlastusringi raames.
Peamised probleemkohad
1. Registri töökindlus ja katkestuste mõju krediidiandjatele
Kooskõlastustabelist nähtub, et ministeerium ei ole täielikult lahendanud olukorda, kus registri mittetoimimine hakkab takistama krediidiandjal seadusest tulenevate kohustuste täitmist. Registri teenuste toimimise tagamise tingimuste kajastamine üksnes hanketingimustes ei ole piisav ega jätkusuutlik.
Pangaliidu hinnangul on tegemist olulise kaasneva riskiga kui registri töös, sh andmevahetuses on katkestus või tõrge, seda eriti seoses laenukeelu kohta andmete saamise võimaliku takistusega, sest krediidiandjatel puudub mis tahes alternatiivne ligipääs laenukeelu andmetele. Kui register ei ole tehnilise rikke, hooldustöö või muu katkestuse tõttu kättesaadav, ei ole krediidiandjal võimalik täita seadusest tulenevat kohustust – kontrollida laenukeelu piirangu olemasolu. See tähendab praktikas, et:
• krediidiandja ei saa teha uusi krediidiotsuseid ega sõlmida lepinguid; krediidiandja äritegevus võib osaliselt või täielikult seiskuda;
• kogu operatsioonirisk kantakse krediidiandjale, kuigi registri toimimine ei ole krediidiandja kontrolli all;
• puuduvad kokkulepitud varulahendused või asenduskanalid kriitilise tähtsusega info saamiseks.
Võlaõigusseaduse § 403⁴ täiendus lõikega 3¹ järgnevas sõnastuses: „Krediidivõimelisuse hindamiseks vajaliku teabe omandamiseks kontrollib krediiditeabe jagamise seaduse § 10 lõike 1 punktis 1 nimetatud isik tarbija kohta käivat krediiditeavet sama seaduse alusel asutatud krediiditeaberegistrist. Isik vabaneb nimetatud kohustusest ajal, kui registripidajast mittetulenevatel põhjustel ei ole tal võimalik registriteenust osutada.” , ei aita tekkivast kitsaskohast üle.
Asjakohase eelnõu kooskõlastustabeli leheküljel 73 on antud selgitus: "Registri tehniline rike ei vabasta krediidiandjat KJS-ist ja VÕS-ist tulenevatest krediidivõimelisuse hindamise kohustustest. Registrist vastuse saamata jäämist ei tohiks käsitada kinnitusena, et tarbijal puuduvad kohustused või tarbijakrediidilepingu sõlmimise piirang."
Lisatava sättega vabastataks krediidiandja küll registriandmete kontrollimise kohustustest tõrke ajal, kuid Pangaliidu hinnangul on siiski seaduse tasandil maandamata kehtiva laenukeeluga (mis tõrke ajal ei ole päringutegijale nähtav) tarbijale laenu andmise risk ja tagajärjed. Kui selle käsitluse kohaselt peaks krediidileping tõrkeperioodil siiski sõlmitama, on tagajärjeks ikkagi tühine krediidileping, millega seotud tagajärjed jäävad krediidiandja kanda. See ei saa olla aktsepteeritav tulemus ega lahendus.
Krediidiandjate teenuste toimimise tagamiseks peaks põhimääruses olema selgelt sätestatud registri toimimiseks vähemalt:
• registri minimaalne kättesaadavuse tase;
• lubatud katkestuste kestus;
• hädaolukorra menetlus;
• krediidiandja vastutus olukorras, kus register ei ole kasutatav.
2. Registri tehniline arhitektuur ja teenustasemete (SLA) sätestamine põhimääruses
Ministeerium on seisukohal, et tehniline arhitektuur ning teenustasemete nõuded tuleks lahendada tehnilise dokumentatsiooni või hankedokumentide kaudu.
Pangaliidu hinnangul ei ole registriteenuse minimaalsete teenustasemete täielik jätmine lepingute, kasutustingimuste või tehnilise dokumentatsiooni reguleerida piisav KJS § 6 lõike 5 punktis 4 sätestatud volitusnormi täitmiseks. Viidatud volitusnorm näeb sõnaselgelt ette, et täiendavad tehnilised ja korralduslikud kaitsemeetmed sätestatakse põhimääruses. Kui registriteenuse käideldavuse ja toimepidevuse minimaalsed nõuded jäetakse määrusevälistesse dokumentidesse, ei nähtu põhimäärusest, millise minimaalse teenustaseme peab registripidaja kõikidele registrikasutajatele tagama – selline lahendus ei ole Pangaliidu liikmetele sobiv.
Registri käideldavus ei ole seejuures üksnes registripidaja tehnilise töökorralduse küsimus. Registri kasutamine on krediidiandjatele seadusest tulenevate kohustuste täitmiseks vajalik. Registriteenuse mittetoimimine võib takistada krediidivõimelisuse hindamiseks vajaliku teabepäringu tegemist, ning lisaks ei võimalda mittetoimimine kontrollida tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja. Kooskõlastustabelis on samuti mööndud, et registri käideldavus on registri pidamise eesmärgi saavutamiseks vältimatult vajalik eeldus.
Kõigi üksikasjalike või tehniliselt muutuvate teenustaseme näitajate sätestamine põhimääruses ei pruugi olla vajalik, kuid põhimäärusega tuleks siiski kehtestada registriteenuse kohustuslik minimaalne tase, mida saab lepingus, kasutustingimustes või tehnilises dokumentatsioonis täpsustada või rangemaks muuta, aga mitte vähendada.
Miks on see vajalik?
Õigusselgus
• Krediidiandjatele pannakse registri kasutamise kohustus seadusega.
• Kui seadus kohustab registrit kasutama, peavad kasutajate õigused ja registri toimimise põhitingimused olema samuti õigusaktis sätestatud.
Õiguslik kindlus
• Hankedokumendid ja tehnilised kirjeldused võivad aja jooksul muutuda.
• Põhimäärus tagab kõikidele osapooltele stabiilse ja üheselt mõistetava õigusliku raamistiku teenuste toimimise tagamiseks.
Kriitilise infrastruktuuri olemus
• Register muutub krediidiotsuste tegemisel sisuliselt kohustuslikuks taristuks.
• Kriitilise tähtsusega infosüsteemi puhul ei ole põhjendatud, et olulised töökindluse ja turvalisuse nõuded oleksid reguleeritud üksnes lepingulisel või tehnilisel tasemel.
Vastutuse ja riskide jaotus
• Kui teenustasemed puuduvad õigusaktist, jääb krediidiandjatele ebaselgeks (sh pikaajalises perspektiivis), millise kvaliteediga teenust riik tagab.
• Samal ajal lasub täielik vastutus krediidiotsuse tegemise ja krediidilepingu sõlmimise õiguspärasuse eest krediidiandjal.
Seetõttu peaks põhimäärus sisaldama vähemalt:
• minimaalse kättesaadavuse määra - mitu katkestust millise vältusega mis ajaperioodi jooksul on maksimaalselt lubatud;
• reageerimis- ja taastamisaegade põhimõtteid;
• andmete uuendamise sagedust;
• katkestuste teavitamise korda;
• varulahenduste põhimõtteid.
3. Registri kasutamise lepingute raamistik ja tingimuste ühetaolisus
KJS § 6 lõike 5 punktide 3 ja 5 kohaselt tuleb põhimääruses sätestada andmetele juurdepääsu võimaldamise täpsem kord ning muud korralduslikud küsimused.
Põhimääruse eelnõu § 7 lõike 3 kohaselt võimaldatakse registriandmetele juurdepääs muu hulgas poolte vahel sõlmitud lepingu alusel otsejuurdepääsuna. Eelnõust ei selgu aga registri kasutamise lepingu sõlmimise täpsem raamistik ega põhimõtted, millest registripidaja lepingu tingimuste kehtestamisel peab lähtuma. Samuti ei sätestata eelnõus nõuet, et samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele tuleb kohaldada ühetaolisi, läbipaistvaid ja mittediskrimineerivaid tingimusi.
Kooskõlastustabelis on selgitatud, et leping ei ole iseseisev juurdepääsu õiguslik alus ning registripidaja ja registrikasutaja vahelise lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi. Samuti on selgitatud, et lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust, kehtestada täiendavaid juurdepääsu piiramise või lõpetamise aluseid ega panna andmesaajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi. Kooskõlastustabelis on täiendavalt märgitud, et tehnilisi tingimusi ning registri kasutajaid puudutavaid tingimusi kohaldatakse võrreldavatele kasutajagruppidele ühetaoliselt.
Pangaliit nõustub nende põhimõtetega, kuid leiab, et need peavad kajastuma põhimääruse normatiivses tekstis. Kooskõlastustabelis esitatud selgitused ei asenda määrusega kehtestatavat õiguslikku raamistikku ega taga iseseisvalt, et registripidaja järgib lepingutingimuste kehtestamisel ühetaolisuse, läbipaistvuse, proportsionaalsuse ja mittediskrimineerimise põhimõtteid.
Olukorras, kus krediidiandja seadusest tuleneva juurdepääsu praktiline teostamine sõltub registripidajaga lepingu sõlmimisest ja tehnilisest liidestamisest, ei tohi lepingu tingimuste määramine jääda üksnes registripidaja otsustada. Registripidajal ei tohi olla võimalik kehtestada võrreldavas olukorras olevatele krediidiandjatele erinevaid tingimusi ega siduda seadusest tuleneva juurdepääsuõiguse kasutamist täiendavate sisuliste kohustustega.
KJS § 6 lõike 5 punktid 3 ja 5 annavad aluse sätestada põhimääruses registri kasutamise lepingute üldine korralduslik raamistik. See ei eelda lepingu kõigi tehniliste tingimuste üksikasjalikku sätestamist põhimääruses. Põhimääruses tuleb siiski kindlaks määrata vähemalt samasse kasutajarühma kuuluvate ja võrreldavas olukorras olevate registrikasutajatega lepingute sõlmimise ja tingimuste kehtestamise põhimõtted ning registrikasutajate ühetaolise kohtlemise nõue.
Pangaliit teeb ettepaneku sätestada põhimääruses, et:
1. registri kasutamise leping ei ole iseseisev registriandmetele juurdepääsu õiguslik alus ega anna registripidajale kaalutlusõigust otsustada seadusest tuleneva juurdepääsuõiguse olemasolu üle;
2. lepinguga võib täpsustada üksnes registriteenuse kasutamise tehnilisi ja korralduslikke tingimusi;
3. lepinguga ei või piirata seadusest tulenevat juurdepääsuõigust;
4. lepinguga ei või kehtestada seaduses või põhimääruses sätestamata täiendavaid juurdepääsu piiramise, peatamise või lõpetamise aluseid;
5. lepinguga ei või panna registrikasutajale seaduses, põhimääruses või muus õigusaktis sätestamata sisulisi kohustusi;
6. registripidaja peab kohaldama samasse kasutajarühma kuuluvatele ja võrreldavas olukorras olevatele registrikasutajatele ühetaolisi, läbipaistvaid, proportsionaalseid ning mittediskrimineerivaid tingimusi;
7. registri kasutamise üldtingimused ja nende muudatused peavad olema registrikasutajatele eelnevalt kättesaadavad ning muudatustest tuleb teatada mõistliku etteteatamisajaga;
8. lepingus või tehnilistes tingimustes sätestatud teenustase ei või olla madalam põhimääruses sätestatud minimaalsest teenustasemest.
Ettepanek: täiendada põhimäärust registri kasutamise lepingu üldise raamistikuga, sealhulgas lepinguga reguleeritavate küsimuste piiride, seadusest tuleneva juurdepääsuõiguse kaitse ning võrreldavas olukorras olevatele registrikasutajatele ühetaoliste tingimuste kohaldamise nõudega. Praegusel kujul ei ole KJS § 6 lõike 5 punktides 3 ja 5 sätestatud volitusnormid registri lepingulise kasutamise korraldusliku raamistiku osas piisavalt sisustatud.
4. Rollipõhine nähtavus ja andmekoosseis
Ministeeriumi seisukoht on, et rollipõhine andmekoosseisude nähtavus reguleeritakse tehnilise dokumentatsiooni tasandil.
Pangaliidu hinnangul ei ole see piisav. Rollipõhise nähtavuse küsimus ei ole üksnes tehniline, vaid puudutab otseselt:
• isikuandmete kaitset;
• pangasaladuse kaitset;
• konkurentsiõiguslikke riske;
• registri kasutajate õigusi ja kohustusi.
Seetõttu peab põhimäärus sisaldama vähemalt põhimõttelisel tasemel vastuseid küsimustele:
• milliseid andmeid näevad krediidiandjad;
• milliseid andmeid näevad registripidaja, kohtud, kohtutäiturid, pankrotihaldurid, usaldusisikud, notarid ja järelevalveasutused;
• millistel tingimustel võib andmete nähtavust laiendada või piirata;
• milline on andmekasutuse eesmärgipärasuse kontroll.
Õiguste ja kohustuste sisu ei tohiks jääda üksnes tehnilise dokumentatsiooni või registripidaja otsustada, kuna sel juhul muutuvad andmetöötluse tegelikud reeglid ilma õigusakti muutmata.
Eelistatud lahendus on olnud seaduse tasandil täpsustuste sisse viimine, mis reguleeriks andmete väljastamist vähemalt sama hoolsusega nagu tänane krediidiasutuste seaduse § 88 lg 6 ette näeb. Ehk hetkelahendus ei reguleeri seaduse ega põhimääruse tasandil eesmärgipõhist andmete kasutust. Pangaliidu ettepanek on lahendada juurdepääsu täpsem kord põhimääruse raames ja esimesel võimalusel täiendada vajadusel krediiditeabe jagamise seadust, kui põhimäärus ei ole piisav nende küsimuste lahendamiseks. Peame oluliseks märkida, et põhimäärusega ei lahendata juurdepääsu õiguslikke aluseid või subjekte, need on KJS-s olemas, vaid täpsustatakse tehnilist ja menetluslikku korda, nt põhimäärus võib reguleerida:
• autentimise viise;
• päringute logimist;
• volituste andmist;
• andmete väljastamise tehnilisi nõudeid;
• turvameetmeid;
• järelevalve ja auditijälje pidamise korda. See tuleneb seaduse volitusest kehtestada andmetele juurdepääsu võimaldamise täpsem kord ning täiendavad kaitsemeetmed.
5. Andmeväljade ja ligipääsuõiguste täielik kaardistus põhimääruses
Ministeerium on leidnud, et detailne andmeväljade kirjeldus ei pea sisalduma põhimääruses.
Pangaliidu hinnangul on see vajalik eelkõige pangasaladuse ja isikuandmete kaitse tagamiseks.
Õiguskantsler on oma 01.07.2025 pöördumises nr 7-7/250081/2504808 Riigikogu rahanduskomisjoni ja õiguskomisjoni ning Riigikogu Kantselei poole seoses pangasaladuse kaitse ja täitmisregistriga juhtinud eelnimetatute tähelepanu, et: „Pangasaladust avaldada lubav norm seaduses peab olema sedavõrd konkreetse sisuga, et pangasaladuse avaldamise ja sealhulgas konto väljavõttega tutvumise võimalus ja lubatavus on seaduse tekstiga tutvudes üheselt selge. Samuti peab enne seadusega pangasaladusele juurdepääsu võimaldamist olema selge, millisel eesmärgil ja ulatuses pangasaladuse hoidmise kohustust piiratakse. Põhiseaduspärane on see piirang vaid siis, kui seda saab pidada proportsionaalseks. Lisaks seadusliku aluse olemasolule on vaja riigil tagada ka tõhus järelevalve selle üle, kes ja kui palju pangasaladuse (ning millist laadi teabe) vastu huvi tunneb ning kas see huvi on konkreetsel juhul ka põhjendatud. Pangasaladuse hoidmise kohustuse piiramine isiku teadmata, ehk pangasaladuse avaldamine, on olemuselt sarnane jälitustegevusega ehk varjatult isikuandmete kogumisega. Mida kergemaks ja mugavamaks teeb riik põhiõiguste piiramise (nt andmekogu või andmevahetuskeskkonna loomisega), seda täpsemad ja selgemad peavad olema reeglid selle osas, millistel juhtudel ja kuidas võib põhiõigusi piirata, ning seda tõhusam peab olema ka järelevalve selle üle, et põhiõiguste piiranguid ehk andmekogu päringuid ei tehtaks meelevaldselt.“
Pangaliidu hinnangul on hetkel vähemalt kohtutäituri, ajutise halduri, pankrotihalduri, Konkurentsiameti maksejõuetuse teenistuse ja füüsilise isiku maksejõuetuse seaduses nimetatud usaldusisiku osas jäänud reeglid ebamääraseks, kuna viidatakse pangasaladuse saamiseks üksnes üldiselt vastavas seaduses toodud ülesannete täitmisele, jättes nii konkreetselt täidetavad ülesanded (st andmete kasutamise eesmärgi) kui võimaliku väljastatava andmekoosseisu õigusaktiga täpsustamata.
Miks peaks andmeväljad määruses sätestama?
Pangasaladuse kaitse
• Krediidiandjad edastavad registrisse teavet, mis võib sisaldada äriliselt tundlikku teavet.
• Ilma selgelt määratletud andmeväljade ja kasutusõigusteta tekib oht, et teistele turuosalistele muutub nähtavaks rohkem informatsiooni, kui on eesmärgi saavutamiseks vajalik.
Andmete minimaalsuse põhimõte
• IKÜM eeldab, et töödeldakse üksnes eesmärgi saavutamiseks vajalikku andmestikku.
• See põhimõte peaks olema põhimääruse tasandil kontrollitav ja läbipaistev.
Õiguspärase ootuse kaitse
• Registri kasutajad peavad teadma, milliseid andmeid nad esitavad ja millistele kasutajatele mis ulatuses need nähtavad on.
• See ei ole lahendatav ega määratav üksnes hilisema tehnilise lahendusega.
Konkurentsiõiguslik risk
• Registris olev teave võib sisaldada turuosaliste äriliselt tundlikku teavet.
• Liiga lai juurdepääs võib tekitada põhjendamatuid konkurentsiriske.
Järelevalve ja vaidluste lahendamine
• Põhimääruses sätestatud andmekoosseis võimaldab hinnata, kas registri tegelik toimimine vastab seadusandja tahtele.
• Tehnilise dokumentatsiooni alusel on selline kontroll oluliselt keerulisem.
Registri andmetele juurdepääsu võimaldamine
1. Registris sisalduvatele andmetele võimaldatakse juurdepääs üksnes ulatuses, mis on vältimatult vajalik KJS §-s 10 nimetatud isikute seadusest tulenevate ülesannete täitmiseks.
2. Viidatud paragrahvi lõikes 1 nimetatud isikule ei võimaldata juurdepääsu kogu registri andmestikule ega registri täismahus väljavõtetele, välja arvatud juhul, kui selline juurdepääsu vajadus tuleneb otseselt seadusest.
3. Enne päringu tegemist peab kasutaja:
1. tuvastama ennast tugeva elektroonilise autentimise vahendiga;
2. valima päringu õigusliku aluse;
3. märkima päringu eesmärgi;
4. sisestama menetluse, toimingu või asja numbri või muu identifikaatori, mis seob päringu konkreetse ülesandega (identifikaator võimaldab teostada järelevalvet, selle puudumisel muutub järelevalve teostamine sisutühjaks).
4. Registripidaja tagab tehniliste vahenditega, et kasutajale kuvatakse üksnes tema ülesande täitmiseks vajalik andmekoosseis.
5. Kõik päringud, väljastatud andmed, päringu alus, eesmärk, kasutaja identifikaator ja päringu aeg logitakse ning säilitatakse auditijäljena.
6. Registripidaja rakendab automaatseid kontrollimehhanisme põhjendamata, ebaharilike või masspäringute tuvastamiseks.
6. Tehnilise lahenduse ettepanek
Pangaliit ei poolda ametiasutuste ega ametnike "otsevaadet registrisse". Turvalisem ja tarbijatega seotud (isiku)andmete töötlemise vaatest läbipaistvam on kasutada eesmärgipõhist päringuportaali. Näiteks, see võib tugineda alljärgnevatel põhimõtetel:
A) Autentimine
• Riigi autentimisteenus (ID-kaart, Mobile-ID, Smart-ID).
• Ametniku roll tuvastatakse asutuse ja ametikoha alusel.
• Võimalik kasutada RIHA/RIAM rollihalduse lahendusi.
B) Päringu põhjendamine enne andmete nägemist
Ametnik ei näe kohe andmeid. Kõigepealt avaneb vorm:
• päringu liik:
◦ pärandvara inventuur;
◦ täitemenetlus;
◦ kriminaalmenetlus;
◦ väärteomenetlus;
◦ järelevalvemenetlus;
◦ statistiline analüüs;
• toimiku number;
• õiguslik alus;
• lühike põhjendus.
Alles seejärel lubatakse päring esitada.
C) Rollipõhine andmevaade
Notar
• näeb üksnes isiku kehtivaid finantskohustusi ja nende koondsummasid;
• ei näe krediidiandja ärisaladust sisaldavaid detaile.
Kohtutäitur
• näeb kohustuste laenujääke, kui eesmärgiks on kinnisasja hindamine; näeb kohustuste laenujääke ja võla- ning võlausaldaja identifikaatorit, kui andmed on vajalikud pärandavara inventuuriks;
• ei näe krediidi muid andmeid.
Politsei / uurimisasutus
• näeb ainult konkreetses menetluses vajalikke andmeid;
• ligipääs seotud menetlusnumbriga.
Statistikaamet
• ei näe isikustatud andmeid;
• kasutab pseudonüümitud või agregeeritud andmekihti.
D) Audit ja läbipaistvus
Registri kasutaja kohta salvestatakse:
• kes päringu tegi;
• millal;
• millise õigusliku alusega;
• millise toimiku raames;
• milliseid andmeid kuvati.
Andmesubjekt võiks e-teenindusest hiljem näha: "Notar X tegi 15.03.2027 päringu pärimismenetluse nr 12345 raames."
See loob tugeva ennetava kontrollimehhanismi.
Põhimääruses peaks kehtestama põhimõtte, et registri andmetele juurdepääs antakse ülesandepõhiselt, mitte ametipõhiselt. Iga päring peab olema seotud konkreetse seadusest tuleneva menetluse või toiminguga ning kasutajale kuvatakse üksnes selle ülesande täitmiseks vajalik minimaalne andmehulk. See vastab hästi nii andmekaitse üldmääruse (GDPR) andmete minimaalsuse põhimõttele kui ka Cybernetica raportis rõhutatud eesmärgile tagada tehnoloogiliselt jõustatud juurdepääsupiirangud. Kui nimetatud põhimõtted sisalduvad vaid põhimääruse seletuskirjas, siis see ei ole piisav pangasaladusena käsitletavate andmete kaitsmiseks. Lisaks ei kohusta see registripidajat nendest põhimõtetest lähtuma, kuna seadus on väga üldsõnaline ja pakub vähem kaitset, kui täna kehtiv KAS.
7. Ettepanekud eelnõu konkreetsete sätete kohta
Eelnõu tekst
Kommentaar
§ 1. Krediiditeaberegistri eesmärk, mõiste ja nimi
Seletuskiri p 2 lk 2: „Registris sisalduvaid andmeid töödeldakse ja tehakse kättesaadavaks üksnes KJS-is sätestatud eesmärkidel, ulatuses ja piiritletud ringile isikutele.“
Krediiditeaberegistri eesmärk on eelkõige toetada krediidivõimelisuse hindamist ning andmeid tohib töödelda üksnes eesmärgipäraselt ja vajalikus ulatuses.
KJS § 10 ja krediiditeaberegistri põhimäärus ei taga piisavat õigusselgust, sest kuigi need määratlevad andmesaajate ringi, ei täpsusta need piisavalt, millistele konkreetsetele andmetele on igal andmesaajal juurdepääs ning milliste ülesannete täitmiseks need andmed vajalikud on. Õiguskantsler on täitmisregistri kontekstis rõhutanud, et tundlikele andmetele juurdepääsu võimaldav regulatsioon peab selgelt määratlema andmesaajad, eesmärgid ja juurdepääsu ulatuse. Pelgalt viide andmete kasutamisele „seaduses sätestatud ülesannete täitmiseks“ on liiga üldsõnaline ega vasta põhiõiguste piiramisele kehtivatele õigusselguse ja proportsionaalsuse nõuetele.
§ 5. Registripidaja ülesanded
1.
Registripidaja:
1) tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete kogumise, registrisse kandmise, haldamise, andmetele juurdepääsu võimaldamise ja andmete säilitamise;
2) /…/
Arvestades, et registripidaja ei kogu ise aktiivselt andmeid, vaid andmete edastamise kohustus on pandud krediiditeabe andjatele, oleks õigem kasutada „kogumise“ asemel „vastuvõtmine“: „/…/ tagab registriteenuse nõuetekohase osutamise, sealhulgas andmete vastuvõtmise, /…/“
2.
Registripidaja:
/…/
2) peab arvestust andmete juurdepääsu aja ja viisi, juurdepääsu saanud isikute ning neile kättesaadavaks tehtud andmete koosseisu üle;
/../
Mida selle all mõeldud on - „peab arvestust“? Kui logimist, siis võiks selle ka selgelt kirja panna.
3.
Registripidaja:
/…/
5) korraldab registri turvaauditite tellimise, koostamise ja vastuvõtmise ning tagab auditite märkuste, tähelepanekute ja soovituste täitmise;
Kas seeläbi, et registripidajal endal on õigus korraldada registri turvaauditi tellimine ilma, et ta turvaauditi läbiviija ja skoobi eelnevalt vastutava töötlejaga kooskõlastab, ei mõjuta registri toimimise läbipaistvust? Turvaauditi osutaja ja auditi skoop tuleks Pangaliidu hinnangul siiski vastutava töötlejaga kooskõlastada.
4.
Registripidaja:
/…/
10) teavitab krediiditeabe andjat ja registriga liidestatud andmesaaja registri muutmise või arendamise kavatsusest ning annab muud vajalikku teavet;
Sõna „andmesaaja“ lõpust on t-täht puudu.
5.
Registripidaja:
/…/
15) tagab säilitamistähtaegade möödumisel andmete ja logide kustutamise;
Võiks viidata KJS §-ile 11, kus on sätestatud säilitamise tähtajad.
6.
§ 5 Registripidaja ülesanded
Lähtudes põhimääruse § 8 lõikest 1, mis näeb ette, et andmesubjektil peab olema võimalus registris endas oma andmete, sh logidega tutvuda, tuleks § 5 all ka vastav kohustus ette näha: registripidaja tagab andmesubjektile võimaluse tutvuda elektrooniliselt registris tema osas töödeldavate isikuandmetega.
7.
§ 6. Registri andmed
(1) p 11 krediidi tagasimakse tasumise täieliku või osalise edasilükkamise algus- ja lõppkuupäev;
Pangaliit jääb oma ettepaneku (lisada täpsustus, et andmeid edastataks ainult kehtiva maksepuhkuse korral ja ajavahemiku leidmiseks edastataks üksnes lõppkuupäev) juurde.
Krediidivõimelisuse hindamise seisukohalt omab tähtsust eelkõige päringu tegemise hetkel kehtiva maksepuhkuse olemasolu ning selle lõppemise aeg. Ministeeriumi täiendav selgitus, et tulevikuks kokku lepitud maksepuhkuse andmed tuleb registrile edastada kohe pärast kokkuleppe sõlmimist, ei põhjenda vajadust koguda maksepuhkuse alguskuupäeva. Asjaolu, millal maksepuhkus algab, ei anna krediidivõimelisuse hindamiseks sisuliselt täiendavat väärtust, võrreldes teadmisega, et maksepuhkus on olemas ja millal see lõpeb. Samuti puudub põhjendus lõppenud maksepuhkuste andmete edastamiseks. Seetõttu peab Pangaliit jätkuvalt põhjendatuks lahendust, mille kohaselt edastatakse üksnes kehtiva maksepuhkuse olemasolu ning selle lõppkuupäev. Nii oleks registri eesmärk täidetud vähemate andmetega ja paremini kooskõlas andmete töötlemise minimaalsuse põhimõttega.
8.
§ 7. Registriandmetele juurdepääs
(1) Juurdepääs registriandmetele võimaldatakse krediiditeabe jagamise seaduse § 10 lõikes 1 nimetatud isikutele samas lõikes nimetatud eesmärkidel.
Üldine viide andmetele ligipääsu võimaldamine „samas lõikes nimetatud eesmärkidel“ ei ole iseenesest piisav alus kogu registriandmestikule juurdepääsu andmiseks. Ka viide „seadusest tulenevate ülesannete täitmisele“ jääb ebamääraseks pangasaladuse avaldamise ja isikuandmete töötlemise ulatuse määratlemiseks.
9.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Põhimääruse § 5 punktis 6 on registripidajale pandud kohustus õigusliku aluse olemasolu asjakohasuse kontrollimiseks enne liidestamist – mõistame, et see kontroll peab toimuma enne § 7 lõikes 5 nimetatud juurdepääsu taotluse heakskiitmist registripidaja poolt. § 7 lõikes 6 on päringu tegijale pandud kohustus märkida igakordselt päringus päringu tegemise õiguslik alus, aga registripidajale pole pandud kohustust õigusliku aluse asjakohasuse kontrollimiseks. Pangaliidu hinnangul peaks registripidaja ka päringu tegemisel päringu tegija õiguslikku alust kontrollima.
10.
§ 7. Registriandmetele juurdepääs
(6) Päringu tegija märgib igakordselt päringu tegemisel päringu tegemise õigusliku aluse ja selgituse.
Punkt 31 kooskõlastustabelis: RahMin on selgitanud, et:
„Pankade ja teiste KJS § 10 lõike 1 punktis 1 nimetatud isikute automatiseeritud päringute puhul ei ole põhjendatud nõuda iga päringu tegemisel sama õigusliku aluse ja selgituse käsitsi sisestamist. Nende puhul võib kasutada standardiseeritud väärtusi. Õiguslikuks aluseks märgitakse KJS § 10 lõike 1 punkt 1 ning päringu eesmärk valitakse etteantud liigitusest, näiteks tarbijakrediidilepingu sõlmimine või muutmine, täiendava krediidi taotlemine või võla ümberkujundamine. Päring peab olema tehniliselt seostatav konkreetse krediiditaotluse või muu menetletava juhtumiga.“
Paraku seda selgitust ei ole seletuskirja lisatud, mistõttu palume seletuskirja vastavalt täiendada.
11.
§ 8. Andmesubjekti ja tarbija õigused
Paragrahvi pealkiri on eksitav, kuna paragrahvis räägitakse üksnes andmesubjekti juurdepääsuõigusest, samas kui IKÜM näeb andmesubjektile ette ka muud õigused, nt õigus nõuda andmete kustutamist, piiramist jmt.
Teeme ettepaneku pealkirja sõnastada „Andmesubjekti ja tarbija juurdepääsuõigused“
12.
(1) Andmesubjektil on registris õigus tutvuda enda kohta registrisse kantud andmetega, sealhulgas andmete töötlemise logiga.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus oma andmete tutvumiseks elektrooniliselt registris.
13.
(2) Tarbijal on õigus teha avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja registri vahendusel.
Jääb arusaamatuks, miks see lõige on siia lisatud. KJS § 9 lg 3 juba sätestab: „Kirjaliku avalduse nimekirja kandmiseks ja nimekirjast kustutamiseks esitab tarbija registripidajale. Registripidaja on kohustatud pärast avalduse saamist viivitamata kandma tarbija nimekirja või ta sealt eemaldama.“
Pealegi räägitakse põhimääruses üksnes tarbija avaldusest registrisse kandmiseks, seaduses aga ka tarbija avaldusest registrist kustutamiseks.
Kui § 8 lõike 2 mõte on seotud sama paragrahvi lõikega 3, siis võiks lõikes 2 KJSi vastavale sättele ka viidata.
Sõnastusettepanek:
(2) Tarbijal on vastavalt krediiditeabe jagamise seaduse § 9 lõikele 3 õigus esitada registripidajale avaldus enda kandmiseks tarbijakrediidilepingu sõlmimise piirangutega tarbijate nimekirja või avaldus nimekirjast kustutamiseks.
14.
(3) Kui andmesubjekt või tarbija soovib käesoleva paragrahvi lõigetes 1 ja 2 sätestatud õigusi teostada registri vahendusel, kasutatakse riigi autentimisteenust.
Lõikes 3 „“registri vahendusel“ on üleliigne, sest nii lõige 1 kui 2 räägivadki ainult registri vahendusel oma õiguste teostamisest.
§ 9. Ebaõigete andmete parandamine
15.
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks registri vahendusel.
IKÜM art 12 lg 1 sätestab:
„Vastutav töötleja võtab asjakohased meetmed, et esitada andmesubjektile artiklites 13 ja 14 osutatud teave ning teavitada teda artiklite 15–22 ja 34 kohaselt isikuandmete töötlemisest kokkuvõtlikult, selgelt, arusaadavalt ning lihtsasti kättesaadavas vormis, kasutades selget ja lihtsat keelt, eelkõige konkreetselt lapsele suunatud teabe korral. Kõnealune teave esitatakse kirjalikult või muude vahendite abil, sealhulgas asjakohasel juhul elektrooniliselt. Kui andmesubjekt seda taotleb, võib teabe esitada suuliselt, tingimusel et andmesubjekti isikusamasust tõendatakse muude vahendite abil.“
Põhimääruse praegusest sõnastusest jääb mulje, et piiratakse IKÜMis andmesubjektile ettenähtud õiguste teostamise vahendeid. Soovitame selguse huvides sõnastust muuta selliselt, et tuleks üheselt välja, et lisaks teistele IKÜM art 12 lg 1 ettenähtud vahenditele, tuleb andmesubjektile tagada võimalus taotleda oma andmete parandamist muuhulgas registri vahendusel.
Sõnastusettepanek:
(1) Andmesubjektil on õigus esitada taotlus teda puudutavate andmete parandamiseks muuhulgas registri vahendusel.
16.
(3) Andmesubjekti taotluse lahendamise ajal kuvatakse registris asjakohaste andmete juures märget „Ülevaatamisel“. Märget kuvatakse kuni andmesubjekti taotluse lahendanud krediiditeabe andja teavitab registripidajat andmete parandamisest või andmete õigsusest.
Andmed võivad olla registris ebaõiged ka registripidaja tegevuse tõttu, nt mingi tehnilise vea tõttu muutuvad registris krediiditeabe andja poolt esitatud andmed ebaõigeks. Kas ka sellisel juhul võidakse andmesubjekti taotluse lahendamise ajal kuvada märget „Ülevaatamisel“. Kui jah, ei ole lõike viimane lause õige, kuna taotluse lahendab eelnimetatud juhul registripidaja ise.
Loodame, et ministeeriumil on võimalik Pangaliidu märkuste ja ettepanekutega arvestada.
Lugupidamisega
/allkirjastatud digitaalselt/
Katrin Talihärm
Tegevjuht
Seosed
| Nimi | K.p. | Δ | Viit | Tüüp | Org | Osapooled |
|---|---|---|---|---|---|---|
| Krediiditeaberegistri põhimäärusele arvamuse avaldamine | 16.10.2026 | 3 | 1.1-10.1/3946-7 | Sissetulev kiri | ram | Finantsinspektsioon |
| Arvamuse avaldamine krediiditeaberegistri põhimääruse eelnõule | 16.10.2026 | 3 | 1.1-10.1/3946-8 | Sissetulev kiri | ram | Riigi Infosüsteemi Amet |
| Eesti Krediidiandjate Liidu arvamus rahandusministri määruse „krediiditeaberegistri põhimäärus“ eelnõu uuendatud versioonile | 15.10.2026 | 1 | 1.1-10.1/3946-5 | Sissetulev kiri | ram | Eesti Krediidiandjate Liit |
| Arvamuse esitamine rahandusministri määruse „krediiditeaberegistri põhimäärus“ eelnõu kohta | 15.10.2026 | 1 | 1.1-10.1/3946-6 | Sissetulev kiri | ram | Eesti Kaubandus-Tööstuskoda |
| Krediiditeabe registri põhimääruse kooskõlastus | 14.10.2026 | 1 | 1.1-10.1/3946-4 | Sissetulev kiri | ram | Eesti Võlanõustajate Liit |
| Arvamus eelnõule | 13.10.2026 | 1 | 1.1-10.1/3946-3 | Sissetulev kiri | ram | Andmekaitse Inspektsioon |
| Arvamus määruse eelnõule | 02.10.2026 | 3 | 1.1-10.1/3946-2 | Sissetulev kiri | ram | Kohtutäiturite ja Pankrotihaldurite Koda |
| Krediiditeaberegistri põhimääruse esitamine kooskõlastamiseks | 30.09.2026 | 1 | 1.1-10.1/3946-1 | Õigusakti eelnõu | ram |