Suur-Ameerika 1 / 10122 Tallinn / 611 3558 / [email protected] / www.fin.ee

Registrikood 70000272

Majandus- ja Kommunikatsiooniministeerium

[email protected]

Teie 07.10.2026 nr 2-2/3461-1,

MKM/26-1105/-1K

Meie 28.10.2026 nr 1.1-11/4058-2

Avaliku teabe seaduse § 4310

muutmise seadus (digitaalidentiteedi

registreerimine)

Lugupeetud proua majandus- ja tööstusminister

Rahandusministeerium kooskõlastab avaliku teabe seaduse § 4310 muutmise seaduse

(digitaalidentiteedi registreerimine) järgmiste märkustega.

1. Eelnõu seletuskirja kohaselt jäeti väljatöötamiskavatsus (VTK) koostamata, sest eelnõule

eelnes põhjalik õiguslik analüüs, milles käsitleti probleemi olemust ja alternatiivseid lahendusi,

ning analüüsi ja eelnõu koostamisse kaasati asjaomaseid asutusi ja huvitatud isikuid.

VTK koostamata jätmise õiguslikud alused on ammendavalt toodud HÕNTE § 1 lõike 2

punktides 1–5, ent seletuskirjas toodud põhjendus ei mahu sisuliselt mitte ühegi alla. VTK

koostamise vajadust suurendab asjaolu, et eelnõuga luuakse Eesti õiguses võrdlemisi uudne

kontseptsioon. Seletuskirjas mööndakse, et kaaluti vähemalt nelja erinevat lahendust, sh uue

isikukategooria loomist, digitaalidentiteedile piiratud õigus- ja teovõime andmist, tehnilise

vahendi mudelit ning litsentsitud vahendaja mudelit. Alternatiivide paljusus ning valitud

lahenduse põhimõtteline uudsus ja sellest potentsiaalselt lähtuv mõju kinnitavad, et teema oleks

vajanud põhjalikumat ettevalmistust. Seejuures väärib märkimist, et seletuskirjas esitatud

võrdlus ei ole piisav, et hinnata, miks valitud mudel on teistest parem või kuidas see lahendab

esindusõigusest erineva lähenemisega kaanevad murekohad ja sellest omakorda tulenevad

vastutusega seonduvad küsimused.

2. Eelnõu kohaselt on digitaalidentiteet „püsiv ja ainulaadne tunnus, mille alusel saab

tarkvaraline lahendus kavandada või sooritada toiminguid digitaalidentiteedi registreerinud

füüsilise isiku eest“ (eelnõu punktis 3 kajastatav AvTS § 4310 kavandatav uus lõige 11).

Seletuskirjas märgitakse, et digitaalidentiteet on tehniline vahend ja selle alusel tegutseva

lahenduse toimingud loetakse füüsilise isiku enda toiminguteks. See ei anna selget vastust

küsimusele, milline on digitaalidentiteedi õiguslik tähendus. Eelkõige jääb lahtiseks, kas

digitaalidentiteedi registreerimine kujutab endast volituse andmist või mõnda uut,

esindusõigusest erinevat õiguslikku lähenemist. Siin on oluline kõrvutada eelnõu sõnastust

tsiviilseadustiku üldosa seaduse (TsÜS) § 117 lõikega 1, mille kohaselt on esindusõigus õiguste

kogum, mille piires saab esindaja tegutseda esindatava nimel. Eelnõus on aga kasutatud

sõnastust „isiku eest“. Need ei ole aga õiguslikult samatähenduslikud. Kellegi eest tegutsemine

ei too endaga alati kaasa õiguslikke tagajärgi. Kellegi nimel tegutsemine tähendab aga, et tehtud

2

tehingu või tahteavalduse õiguslikud tagajärjed tekivad vahetult esindatavale. Seejuures on

oluline rõhutada, et esindusõigusega seonduvad õiguslikud tagajärjed on TsÜS-is reguleeritud.

Seletuskirjas on märgitud, et „[e]elnõus reguleerimata küsimusi lahendatakse kehtiva õiguse

järgi. Eelnõus ei reguleerita digitaalidentiteetide vahel tehtavaid tehinguid, ülesannete

edasiandmist ega tehnilist volitamist. Need küsimused lahendatakse poolte kokkuleppel,

konkreetsete teenuste tingimustega või vajaduse korral ka valdkondliku erikorra kaudu.“

Eeltoodust tulenevalt jääb selgusetuks, millisele õiguslikule argumentatsioonile tuginedes on

võimalik jõuda järelduseni, et tehnilise vahendi kaudu tehtavad tehingud on omistatavad

konkreetsele füüsilisele isikule. See on aga oluline just vastutuse kontekstis.

Eeltoodust tulenevalt leiame, et digiidentiteedi määratluse ja digitaalidentiteedi kasutamise

tagajärgede osas kaasneb ebaselgus, sest eelnõust ei selgu üheselt digitaalidentiteedi poolt

tehtud toimingute õiguslik tähendus ja omistatavus vastutavale isikule, registreerimise õiguslik

toime ega see, millisel viisil tehakse kolmandatele isikutele teatavaks digitaalidentiteedile antud

õiguste ulatus. Õigusselguse suurendamiseks ja et tekiks veendumus, et digitaalidentiteedi

kasutusele võtmisega ei kaasneks Eesti õiguses lünka, võiks kaaluda nende küsimuste

täiendavat reguleerimist või selgitamist.

3. Eelnõust ei selgu üheselt, kas regulatsioon puudutab üksnes tehisintellektil põhinevaid agente

või kõiki inimese eest toiminguid tegevaid tarkvaralisi lahendusi, sealhulgas tavapäraseid

deterministlikke programme, robotprotsesse, API-kliente ja olemasolevat masin-masin

andmevahetust. Märgime, et juba praegu on võimalik kasutada näiteks Claude in Chrome

lahendust, mis suudab inimese eest veebilehitsejas toiminguid teha, sh autentimist vajavaid

toiminguid, kui usaldada sellele rakendusele oma autentimissertifikaadid.

See eristus on põhimõttelise tähtsusega. Kui regulatsioon laieneb ka tavapärastele

masinliidestele, võib see tähendada uue nõude sisseviimist väga paljudesse olemasolevatesse

süsteemidesse ning tuua kaasa ulatusliku arendus- ja ressursikulu, sh Maksu- ja Tolliametile

(MTA). Eelnõus tuleb läbi mõelda ja määratleda, millised tarkvaralised lahendused

regulatsiooni alla kuuluvad, kas olemasolevad masinliidesed on hõlmatud ning kas

digitaalidentiteedi kasutamine on neis vabatahtlik või kohustuslik.

4. MTA pakutavate teenuste kasutamiseks ei piisa üksnes digitaalidentiteedist kui tunnusest,

mis näitab üksnes füüsilise isiku ja tarkvaralise lahenduse vahelist seost. Tunnus ei tõenda, kes

seda konkreetse toimingu tegemisel kasutas, kas kasutamine oli õiguspärane, kas toiming jäi

sellele inimese poolt antud õiguste piiridesse ega seda, kas toimingu terviklus on tagatud.

MTA jaoks on keskne, kas tarkvaralisele lahendusele luuakse eraldi turvaline

autentimisvahend. Eraldi autentimisvahendita võib lahendus tekitada olukorra, kus inimene

annab tarkvarale kasutada oma autentimissertifikaadid. Sellise lahendusega kaasneb oluline

turvarisk, mida MTA ei ole nõus võtma. Kui eraldi autentimisvahendit ei kavandata, tuleb

selgelt põhjendada, millise õigusliku või tehnilise probleemi digitaalidentiteedi registreering

teenuseosutaja jaoks lahendab.

5. Registrikanne, mis seob digitaalidentiteediks oleva tunnuse füüsilise isikuga, ei tõenda

iseenesest konkreetse toimingu autentsust, tarkvaralise lahenduse õigust tunnust kasutada ega

talle antud volituse ulatust.

Tarkvaralise lahenduse toimingu lugemine füüsilise isiku toiminguteks vajavad seaduse

tasandil õigusliku aluse loomist. Seaduses tuleb määrata toimingu omistamise eeldused, ulatus,

vaidlustamise võimalused ja erandid, sealhulgas vajavad kajastamist tunnuse kuritarvitamise,

tehnilise vea, turvaintsidendi ning volituse ületamise olukorrad.

3

Eelnõus pakutud kujul registreering ei saa olla konkreetse toimingu autentimise aluseks ega

tõendada volituse ulatust, anda õigust kasutada elektroonilist teenust või tutvuda

juurdepääsupiiranguga teabega.

6. Digitaalidentiteedi registreering ei saa asendada isiku poolt tarkvaralisele lahendusele antud

ülesandeid, õigusi ja piiranguid ega seadusest tulenevat esindusõigust.

Iga asutus peab konkreetse teenuse puhul saama kontrollida, kas tarkvaralisel lahendusel oli

õigus näiteks tutvuda isiku andmetega, esitada või muuta andmeid, esitada nõuet, taotlust või

vaiet, võtta vastu dokumente või anda nõusolekut andmete edastamiseks.

Kui volituste sisu keskregistris ei kajastata, peab iga teenuseosutaja looma eraldi volituste ja

piirangute mudeli. Selle lahenduse mõju, maksumus ja vastutusjaotus vajavad enne eelnõu

edasist menetlemist hindamist.

Registreering ei saa asendada ka seadusest tulenevat esindusõigust, nõusolekut, autentimist ega

isiku vahetut kinnitust. MTA on juba varasemates AvTS-i muudatusi puudutavates

seisukohtades rõhutanud, et tehnilise vahendamise või masinõppel põhineva töötlemise

tulemusel ei tohi maksusaladust sisaldavad andmed muutuda kättesaadavaks isikule või

infosüsteemile, kellel puudub selleks seaduslik alus.

Asutustele peab jääma õigus määrata millistes teenustes ja millistel tingimustel võib

digitaalidentiteeti kasutada, rakendada täiendavaid autentimis- ja riskikontrolle, nõuda inimese

kinnitust ning välistada digitaalidentiteedi kasutamine toimingute puhul, mille olemus või

eriseadus seda nõuab.

7. Eelnõu jätab agendi ülesanded, õigused ja piirid inimese enda määrata, kuid neid ei

registreerita. Teenusepakkuja ei pruugi teada, kas agent tohtis konkreetse lepingu sõlmida,

töödelda eriliigilisi isikuandmeid, kasutada teisi agente jm. Rahvusvahelises arutelus peetakse

just kontrollitavat mandaati, volituste ulatust, tagasivõtmist ja auditeeritavust agendiidentiteedi

põhiprobleemideks.

8. Eelnõus ja seletuskirjas ei ole käsitletud vastutuse küsimust olukorras, kus agent väljub antud

juhistest, teeb vea või agenti manipuleerib väline osapool, agent delegeerib tegevuse teisele

agendile jm. Millal ja kuidas inimene saaks tõendada, et toiming ei vastanud tema tahtele või

ületas antud mandaati? Palume eelnõu ja seletuskirja täiendada.

9. Eelnõu mõju- ja riskianalüüs on ebapiisav, sest seletuskirjas tuuakse välja vaid positiivsed

mõjud. Ebasoovitavaid mõjusid ei saa mitteoluliseks pidada, kui rahvusvahelisel tasandil

tuvastatakse selliste muudatustega näiteks küberturvalisuse ja registri kuritarvitamise risk,

isikuandmete ja isiku profileerimise risk, näilise usaldusväärsuse risk, vaidluste ja tõendamise

risk,

Näiteks on täielikult analüüsimata, kas digitaalset identiteeti saab ka varastada ja üle anda. Aru

ei ole saada, kuidas on digitaalne identiteet kaitstud. Näiteks ID kaardi puhul eeldatakse teatud

toimingutel kaardi ettenäitamist isikusamasuse tuvastamisel, või PIN1 ja PIN2 sisestamist.

Selgusetuks jääb kuidas digitaalne identiteet luuakse. Kas seda on võimalik luua ilma PIN1 ja

PiN2? Ehk kas on võimalik, et keegi teine isik loob minu eest minu digitaalse identiteeti ja saab

seda kasutada? Eeltoodu avaks aga ukse uutele võimalikele finants ja majanduspettustele.

Seletuskirjas ei leita üldse, et esineks mingid riskid.

4

10. Sõltuvalt regulatsiooni tegelikust kohaldamisalast võib lahendus nõuda olemasolevate

masinliideste kaardistamist, autentimis- ja autoriseerimisloogika muutmist, digitaalidentiteedi

registriga andmevahetuse loomist, inimese ja tarkvara toimingute eraldi logimist, volituste

kontrollimise ning riskimudelite muutmist ja uusi klienditeeninduse ning vaidluste lahendamise

protsesse.

Seletuskirjas ei piisa järeldusest, et asutustel puudub kohustus arendusi teha. Kui

digitaalidentiteedist saab riigi e-teenustes üldine standard või see hakkab mõjutama

olemasolevaid masinliideseid, võib arendusvajadus olla sisuliselt vältimatu.

Enne eelnõu edasist menetlemist tuleb koostöös mõjutatud asutustega hinnata vähemalt:

• mõjutatavate infosüsteemide ja liideste ringi;

• vajalike arenduste ulatust ning maksumust;

• püsikulusid ja täiendavat ressursivajadust;

• rahastamisallikat;

• infoturbe- ja andmekaitsemõju;

• olemasolevate masinliideste üleminekukorda;

• realistlikku jõustumis- ja rakendamisaega.

11. Eelnõus ei ole välja toodud lisanduvate kulude suurus, kulud on alles prognoosimisel, st

eelnõuga kaasneb teadmata suuruses kulu riigieelarvele. Lisaks ei ole välja toodud lisanduvate

kulude katteallikas, soovitatakse Justiits- ja Digiministeeriumile ja Riigi Infosüsteemi Ametile

taotleda riigieelarvest vajalikud vahendid. Ka ei ole välja toodud järelevalvega kaasnevat kulu

ja selle katmise allikaid. Palume seletuskirjas näidata kulude prognoos asutuste ja aastate lõikes

ning katteallikad, kui riigieelarvest vahendeid ei eraldata.

Lugupidamisega

(allkirjastatud digitaalselt)

Jürgen Ligi

rahandusminister

Virge Aasa 5885 1493

[email protected]

Anneli Valgma 5885 1315

[email protected]

Rainer Osanik 5398 2054

[email protected]

Mirjam Rannula 5646 7227

[email protected]

Ave Schultz 5475 0840

[email protected]

Gerly Elbrecht 5918 5868

[email protected]