Suur-Ameerika 1 / 10122 Tallinn / 626 9301 / [email protected] / www.sm.ee / Registrikood 70001952

Majandus- ja Kommunikatsiooniministeerium [email protected]

Teie 07.10.2026 nr 2-2/3461-1, MKM/26- 1105/-1K Meie 03.11.2026 nr 1.2-3/2379-3

Seisukoht avaliku teabe seaduse § 43¹⁰ muutmise seaduse eelnõule (digitaalidentiteedi registreerimine) Täname, et esitasite Sotsiaalministeeriumile kooskõlastamiseks avaliku teabe seaduse § 43¹⁰ muutmise seaduse eelnõu (digitaalidentiteedi registreerimine). Toetame eelnõu eesmärki luua selge vastutusahel ja läbipaistvus tehisaruagentide kasutamisel. Samas on sotsiaal- ja terviseandmete ning haavatavate sihtrühmade vaates mitu küsimust, mis vajavad enne eelnõu edasiviimist täpsustamist, mistõttu kooskõlastame eelnõu järgmiste märkustega arvestamise korral. Õiguslik mõju eelnõu tekstis ebaselge

 Eelnõus ja seletuskirjas ei ole piisavalt põhjendatud, miks ei ole digitaalidentiteedi ja füüsilise isiku vahelise kontrollitava seose loomise eesmärki võimalik saavutada olemasolevate autentimis-, volitus- või logimislahenduste abil ning milline on kavandatud andmestiku lisandväärtus.

 Seletuskirja kohaselt käsitatakse digitaalidentiteedi kaudu tehtud toiminguid registreerinud füüsilise isiku enda toimingutena ning vastutus jääb sellele isikule. Eelnõu lõige 1¹ määratleb aga üksnes püsiva tunnuse. Seletuskiri ei saa iseseisvalt kehtestada toimingute isikule omistamise ega vastutuse aluseid. Palume analüüsida, millistel kehtivast õigusest tulenevatel alustel ja millistes piirides saab digitaalidentiteedi kaudu tehtud toiminguid isikule omistada ning kas kavandatud õiguslike tagajärgede saavutamiseks on vaja eelnõu täiendada. Seejuures tuleb selgitada ka toimingute õiguslikku tähendust kolmandate isikute ja haldusorganite suhtes.

 Isiklikult tehtavad toimingud. - Seletuskirja järgi ei tohi digitaalidentiteet teha toiminguid, mis tuleb eriseaduse

järgi või olemuseltteha isiklikult. Seda piirangut ei ole eelnõu tekstis. Tervise- ja sotsiaalvaldkonnas tuleb eristada toiminguid, mille puhul on nõutav isiku vahetu osalemine või tahteavaldus, ning toiminguid, mida võib teha esindaja või tehnilise abivahendi kaudu. Näiteks vajab selgitamist, millistel tingimustel võib digitaalidentiteeti kasutada raviks või terviseandmete töötlemiseks nõusoleku andmisel, hoolekandeteenuste ja toetuste taotlemisel ning esitatud andmete õigsuse kinnitamisel. Palume selgitada kehtivate piirangute kohaldamist ja vajaduse korral täiendada eelnõu teksti.

- Muuhulgas palume selgitada digitaalidentiteedi kaudu tehtavate toimingute õiguslikke tagajärgi haldusmenetluses, sealhulgas taotluse esitamise ja allkirjanõuete täitmise ning dokumentide kättetoimetamise puhul. Eelkõige vajab selgitamist, kas ja millistel tingimustel loetakse digitaalidentiteedi kaudu dokumendi vastuvõtmine või avamine isikule kättetoimetamiseks ning milline mõju on sellel menetlustähtaegadele. Analüüsida tuleks kehtiva

2

haldusmenetluse regulatsiooni piisavust ja vajaduse korral kavandada üldised täiendused.

 Palume selgitada, kas ja millistel alustel võib asutus või teenuseosutaja digitaalidentiteedi kasutamist oma teenuses välistada või piirata ning kas registreerimine mõjutab kohustust sellist lahendust aktsepteerida.

- Eelnõus ega seletuskirjas seda ette nähtud ei ole, kuid registrist kontrollimise võimalus võib luua ootuse, et riigi e-teenused peavad digitaalidentiteeti aktsepteerima. Samuti palume selgitada, kas ja millistel juhtudel võib lubada üksnes registreeritud digitaalidentiteetide kasutamist ning millised objektiivsed ja põhjendatud kriteeriumid tagavad lahenduste aktsepteerimisel võrdse kohtlemise.

- Samas ei saa haldusmenetluses digitaalidentiteedi kasutamise õigusi ja kohustusi määravaid aluseid ega menetluslikke õiguslikke tagajärgi jätta üksnes teenusetingimuste või poolte kokkulepete reguleerida. Palume selgitada, millised küsimused on lahendatud kehtiva õigusega ning millised vajavad täiendavat õiguslikku regulatsiooni. Kui kehtivast õigusest ei piisa, tuleb kaaluda haldusorganitega suhtlemiseks üldiste aluste sätestamist, et vältida samade küsimuste eraldi reguleerimise vajadust igas valdkonnas.

 Palume selgitada registreeringu lõppemise mõju digitaalidentiteedi kaudu tehtavatele ja pooleliolevatele toimingutele ning seda, kuidas saab teenuseosutaja kontrollida registreeringu kehtivust toimingu tegemise ajal ja saada teavet selle lõppemise kohta. Seejuures tuleb eristada registreeringu kehtivust konkreetse toimingu tegemise õiguse kehtivusest. Samuti vajab analüüsimist toimingute isikule omistamine ja vastutuse jaotus juhul, kui tarkvaraline lahendus tegutseb väljaspool isiku antud juhiseid või tema tegeliku tahte vastaselt.

 Palume analüüsida, kuidas suhestub seletuskirjas valitud tehnilise vahendi mudel tahteavalduste, tehingute ja esinduse üldregulatsiooniga ning kas kehtiv õigus tagab selle mudeli puhul kavandatud õiguslikud tagajärjed. Sellest lähtudes tuleb hinnata ka regulatsiooni sobivat asukohta: registri pidamise küsimused tuleb eristada toimingute omistamise ja vastutuse sisulistest alustest ning vajaduse korral täiendada asjakohaseid üldseadusi – kui toimingute omistamise ja vastutuse alused vajavad täiendavat regulatsiooni, tuleb hinnata nende sätestamist asjakohastes üldseadustes, eristades neid AvTS-is reguleeritavatest registri pidamise küsimustest.

 Oluline on selgelt eristada digitaalidentiteedi registreeringu tähendus isiku autentimisest, elektroonilisest allkirjastamisest ning konkreetse toimingu tegemise õiguse kontrollimisest. Registreering ei tohiks iseenesest anda juurdepääsu isiku andmetele ega asendada toiminguks vajalikku volitust, nõusolekut või muud õiguslikku alust. Selgitada tuleks, kuidas saab teenuseosutaja kontrollida tarkvaralisele lahendusele antud tegutsemisõiguse ulatust ja piiranguid.

 Samuti palume analüüsida kavandatud lahenduse suhestumist eIDAS-määrusega, lähtudes lahenduse funktsioonidest ja tehnilisest teostusest. Selgitada tuleb, kas ja millistel juhtudel võib digitaalidentiteedi kasutamine kuuluda selle kohaldamisalasse ning millised nõuded sellisel juhul kohalduvad. Samas, kuigi seletuskirjas on märgitud, et registreering ei ole e-identimise vahend ega elektrooniline allkiri, vajab selgitamist, kuidas need funktsioonid teenuse kasutamisel tehniliselt ja õiguslikult eristatakse.

Haavatavad isikud Eelnõu tekst ei nõua registreerijalt teovõimet, kuigi seletuskiri räägib teovõimelisest isikust. Rahvastikuregistri seaduse § 5 punktid 1–5 hõlmavad ka alaealisi ja piiratud teovõimega isikuid. Kuigi eelnõu näeb ette teovõime piiramise andmete töötlemise, ei selgu, kuidas neid registreerimisel ja digitaalidentiteedi kasutamisel arvestatakse ning millised tagajärjed on neil registreerimise või kasutamise lubatavusele. Samuti vajab selgitamist, kuidas kontrollitakse isiku nimel tegutseva kolmanda isiku esindusõigust. Kaasneb väärkasutuse, sh pettuse risk ning oht omistada toimingud ja vastutus isikule, kes tegevust tegelikult ei kontrollinud. Selle riski mõju on seletuskirjas hinnatud ainult üldiselt ja märgitud kui ebaoluline.

3

Samuti ei ole selge, kuidas arvestatakse eestkostetavate või piiratud teovõimega isikute puhul eestkostja õigusi ja kohustusi ning millised täiendavad kaitsemeetmed väldivad olukorda, kus digitaalidentiteedi registreerimine või kasutamine toimub isiku tegeliku tahte vastaselt. Tuvastamine ja jälgitavus

 Eelnõu loob tunnuse, kuid ei kirjelda, kuidas teenusepakkuja digitaalidentiteedi toimingu tegelikult tuvastab, nt autentimine, päringud registrisse või logid. Seletuskiri ütleb samas, et digitaalidentiteedi alusel tegutsevate lahenduste kohta andmeid ei koguta. Kui agent kasutab isiku enda autentimisvahendeid, ei ole inimese ja masina eristamine võimalik. Vaidluste ja järelevalve jaoks vajame töödeldud toimingute jälgitavust.

 Kui digitaalidentiteedi kasutamine ei ole teenuseosutaja jaoks tehniliselt tuvastatav ega kontrollitav, võib jääda saavutamata eelnõu keskne eesmärk tagada läbipaistvus ja selge vastutusahel. Sellisel juhul ei ole selge, milles seisneb registri praktiline lisandväärtus võrreldes olukorraga, kus isik kasutab enda autentimisvahendeid automatiseeritud lahenduste kaudu.

 Isikuandmete kaitse. - Terviseandmed ja muud eriliigilised isikuandmed võivad sattuda

tehisaruteenuse pakkujate kätte, kui isik delegeerib agendile ligipääsu. Eelnõu ei sea selleks tingimusi ega vastutuse jaotust.

- Samuti ei ole hinnatud, milliseid täiendavaid riske võib kaasa tuua terviseandmete või muude eriliigiliste isikuandmete ulatuslik töötlemine tehisaruagentide kaudu ning kas olemasolevad andmekaitsealased tagatised on selliste riskide maandamiseks piisavad. Eelnõust ei nähtu, kuidas jaguneb vastutus isiku, teenusepakkuja ja tehisaruteenuse osutaja vahel olukorras, kus andmeid töödeldakse digitaalidentiteedi kaudu.

Kulud ja IT-arendused Palume lisaks registri pidaja (RIA) kuludele hinnata teiste osapoolte rakendamis- ja püsikulusid ning selgitada nende rahastamist ja suurust. Sotsiaalministeeriumi valitsemisala vaates võivad kulud tekkida järgmiselt:

 teenuste kohandamine ja liidestamine uue andmestikuga X-tee kaudu, et eristada isiku ja digitaalidentiteedi toiminguid (nt TEHIK-i terviseinfosüsteem, patsiendiportaal ja digiretsept, STAR, Sotsiaalkindlustusamet, Tervisekassa, Töötukassa e-teenused);

 logimise, riskimudelite ja piirangute arendus ning haldus;  tingimuste, juhendite ja lepingute uuendamine ning töötajate koolitus;  võimalik klienditoe ja vaidluste töökoormuse kasv.

Kuigi seletuskirja järgi on arendused vabatahtlikud, võib tekkida kulu ka siis, kui asutus otsustab digitaalidentiteedi toimingud tehniliselt blokeerida. Valitsemisala asutustel puudub selleks eraldi rahastus. Palume kulud enne eelnõu esitamist täpsustada ning kinnitada, et riigieelarveline katteallikas lahendatakse algataja poolt. Samuti palume selgitada, kes vastutab asutusteüleste arenduste koordineerimise ja rahastamise eest. Lugupidamisega (allkirjastatud digitaalselt) Karmen Joller sotsiaalminister Lily Mals [email protected]