COMPLYONCE
ComplyOnce OÜ · Reg. kood 16940082 · Pärnu mnt 137, Tallinn · www.complyonce.com
Pr Liina Vahtras
Majandus- ja tööstusminister
Majandus- ja Kommunikatsiooniministeerium
Suur-Ameerika 1, 10122 Tallinn
Tallinn 24. oktoober 2026
Teema: ettepanekud avaliku teabe seaduse § 4310 muutmise seaduse eelnõu (digitaalidentiteedi registreerimine) kohta
Lugupeetud minister Vahtras
Kirjutame Teile seoses 2. oktoobril 2026 valminud avaliku teabe seaduse § 43¹⁰ muutmise seaduse eelnõuga, millega luuakse füüsilistele isikutele võimalus registreerida digitaalidentiteet – püsiv ja ainulaadne tunnus, mille all tarkvaralised lahendused, sealhulgas tehisaruagendid, saavad inimese eest toiminguid kavandada ja sooritada. Teame, et see algatus sündis e-residentsuse meeskonna eestvedamisel Teie juhtimise ajal, ja soovime kõigepealt tunnustada seda: Eesti on esimene riik, kes annab tehisaruagentide inimomanikele selge õigusliku ja registripõhise seose. See on just selline samm, mis hoiab Eesti e-riigi kuvandit tehisaruajastu ettevõtlust toetava ja usaldusväärse riigina.
ComplyOnce OÜ on Eesti ettevõte, kes arendab eIDAS 2.0-põhist privaatsust säästvat digitaalse usalduse kihti teenusepakkujatele: passwordless sisselogimist (Enter with ComplyOnce), isikuandmeteta autentimissertifikaati (Zero Knowledge ID), kasutaja kontrolli all olevat ID-Vault'i, verifitseeritud inimese tõendit (HumanIAM) ning tehisaruagentide delegeerimise mudelit, kus iga agent on krüptograafiliselt tagasi jälgitav teda käitava inimeseni. Ettevõte on ISO/IEC 27001 sertifitseeritud, kasutab X-teed ning on alustanud kvalifitseeritud usaldusteenuse osutaja (QTSP) staatuse ettevalmistusi. Oleme eelnõu ja seletuskirja hoolikalt läbi töötanud ning esitame allpool ettepanekud, mis meie hinnangul aitavad registreeringu muuta teenusepakkujate jaoks praktiliselt kasutatavaks juba esimesest päevast.
1. Toetame valitud lähenemist
Nõustume seletuskirja järeldusega, et digitaalidentiteet tuleb käsitada tehnilise vahendina, mille toimingud omistatakse automaatselt selle registreerinud isikule. See on kooskõlas kehtiva õiguse, UNCITRALi automatiseeritud lepingute seaduse ja Euroopa Liidu suunaga ning nõuab kõige väiksemat seadusemuudatuste mahtu. Samuti toetame registreerimise vabatahtlikkust ja seda, et tegutsemise ulatuse ja piirid määrab inimene ise.
2. Ettepanekud
Seletuskiri sedastab, et registreering ei ole e-identimise vahend ega e-allkiri, et tehniliste lahenduste kohta andmeid ei koguta ning et teenusepakkujad peavad oma süsteemid kohandama, et eristada inimese ja tema digitaalidentiteedi toiminguid. Need on kohad, kus eelnõu rakendamise edu sõltub tehnilisest kihist, mida seadus ise ei loo. Teeme ettepaneku arvestada eelnõu menetlemisel ja andmekogu põhimääruse koostamisel järgmist:
1. Agendi-tasemel tuletistunnus. Eelnõu lubab ühe tunnuse all tegutseda ühel või mitmel tarkvaralisel lahendusel, kuid register ei erista neid omavahel ja isikul on võimalik lõpetada üksnes kogu registreering. Teeme ettepaneku, et põhimäärus ja RIA tehniline lahendus võimaldaksid isikul registreeritud digitaalidentiteedist tuletada iga tarkvaralise lahenduse jaoks eraldi tuletistunnuse, mida saab eraldi aktiveerida, piirata ja tühistada. Nii säilib üks õiguslik juurtunnus, kuid praktikas on võimalik ühe agendi käest minek lõpetada teisi mõjutamata.
2. Masinloetav kontrolliteenus üle X-tee. Teenusepakkujate kontrollivõimalus on eelnõu keskne eesmärk. Teeme ettepaneku pakkuda registreeringu kehtivuse kontrolli standardse X-tee teenusena, mis on avatud ka eraõiguslikele teenusepakkujatele ja mis tagastab üksnes vajaliku: kas tunnus on seotud kehtiva registreeringuga ning kas isiku teovõime on piiratud. Teenusepakkuja ei vaja isikukoodi ega nime, et seost kontrollida – see vähendab isikuandmete liikumist, järgib IKÜMi minimaalsuse põhimõtet ja piirab Andmekaitse Inspektsiooni töökoormuse kasvu, mille seletuskiri ise riskina ära märgib.
3. Krüptograafiline seos tunnuse ja toimingu vahel. Register ütleb, et digitaalidentiteet on olemas; ta ei ütle teenusepakkujale, et konkreetset toimingut teeb just selle tunnuse all tegutsev tarkvara. Teeme ettepaneku, et rakendusakt või RIA tehniline juhend määratleks tehnoloogianeutraalselt, kuidas tarkvaraline lahendus tõendab tegutsemist registreeritud tunnuse all – näiteks tunnusega seotud sertifikaadi või eIDAS 2.0 ja Euroopa digiidentiteedi kukru raamistikuga ühilduva tõendi kaudu, mida võivad väljastada usaldusteenuse osutajad. See hoiab tee lahti piiriülesele tunnustamisele, mida seletuskiri nimetab pikaajaliseks eesmärgiks, ilma et riik peaks ise autentimiskihti ehitama.
4. Ühtne inimese ja agendi eristamise standard. Selle asemel, et iga teenusepakkuja ehitaks eristuse ise, teeme ettepaneku leppida kokku lihtne ja ühtne märgis (näiteks autentimisväites või sertifikaadis), mis ütleb, kas toimingu teeb isik ise või tema digitaalidentiteet, ja millise tuletistunnuse all. See alandab teenusepakkujate kohandamiskulu, mille seletuskiri ära nimetab, ja kiirendab kasutuselevõttu nii avalikus kui erasektoris.
5. Litsentsitud vahendaja mudeli pilootimine juba nüüd. Seletuskiri jätab neljanda variandi – litsentsitud vahendaja mudeli – tulevikku, kui turg on arenenud. Meie hinnangul tekib turg kiiremini, kui riik avab juba rakendamise faasis piloodi, kus erasektori partner pakub registreeringu peal tuletistunnuste, piirangute, tehingukinnituse ja tühistamise haldamise teenust riigi poolt kontrollitavatel tingimustel. ComplyOnce on valmis sellises piloodis osalema RIA ja Aruait-projekti partnerina, pakkudes toimiva näidisrakenduse ja testitava usaldusosapoole.
6. Erasektori kaasamine rakendamisse. Teeme ettepaneku moodustada rakendamise etapiks äri- ja tehnilise töörühma kõrvale usaldusosapoolte ring – pangad, makseteenuste osutajad, krüptovarateenuse osutajad, vanusepiiranguga teenused –, kes testivad kontrolliteenust ja eristamise standardit enne jõustumist. ComplyOnce on valmis sellesse panustama oma teadmise ja partnerite võrgustikuga.
7. Piiriülene tunnustamine varakult päevakorda. Soovitame Eestil tõstatada digitaalidentiteedi registreeringu tunnustamise küsimus Euroopa Liidu tasandil paralleelselt katsetamisega, mitte pärast seda, sidudes selle eIDAS 2.0 kukru ja kvalifitseeritud usaldusteenuste raamistikuga. E-residentide puhul, kellel on registreerimisõigus, on piiriülene kasutatavus registreeringu peamine väärtus.
3. Mida ComplyOnce pakub
Oleme valmis esitlema Teile ja Teie ametkonnale toimivat lahendust, kus:
• inimene registreerub ühe kehtiva eID-ga (sh e-residendi kaardiga) ja saab isikuandmeteta autentimissertifikaadi ning allkirjastamissertifikaadi;
• tema unikaalsest identifikaatorist tuletatakse igale tehisaruagendile eraldi tuletistunnus koos tegutsemispiirangutega, sealhulgas rahaliste piiridega;
• iga agendi toiming on tagasi jälgitav inimeseni ja teenusepakkuja saab registreeringu kehtivust kontrollida üle X-tee ilma isikuandmeid nägemata;
• olulised tehingud kinnitab inimene ise eraldi PIN-koodiga ning talle kuvatakse toimingu õiguslik kontekst.
Pakume, et see lahendus võiks olla üks esimesi registreeringu peal töötavaid rakendusi ning aidata Eestil näidata rahvusvaheliselt, et tehisaruagentide registreerimine ei ole pelgalt õiguslik konstruktsioon, vaid toimiv teenus.
Oleme tänulikud, kui saaksime ettepanekuid Teie või Teie nõunikega lähemalt arutada, ning esitame need paralleelselt ka eelnõude infosüsteemi kaudu kooskõlastusringil. Soovime Eestile edu selle maailmas esimese sammu astumisel.
Lugupidamisega
Raido Saar
Tegevjuht
ComplyOnce OÜ
[email protected] · www.complyonce.com
(allkirjastatud digitaalselt)