Arvamus

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Erik Janson Justiitsministeerium [email protected]

Teie 28.11.2025 nr 21-1/25/9638-1 Meie 15.12.2025 nr 2.3-4/25/3916-2

Arvamuse avaldamine eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks EL ärikukru (EBW) määruse ettepanekule. Andmekaitse Inspektsioon toetab määruse üldisi eesmärke: halduskoormuse vähendamine, usaldusväärse ja turvalise piiriülese digitaalse ärikeskkonna loomine ning ettevõtjate ja avaliku sektori asutuste jaoks ühtse, usaldusväärse digitaalse identiteedi ja andmevahetuse raamistiku loomine. Eelnõu pakub välja mitmeid lahendusi, mis on kooskõlas Eesti e-riigi põhimõtetega:

 Ärikukru kaudu tehtud toimingud on võrdsed paberkandjal või kohapeal tehtud toimingutega;

 Turvaline autentimine, allkirjastamine, dokumentide esitamine ja teavituste saatmine;  Kasutajatel on kontroll selle üle, milliseid andmeid ja kellele avaldatakse;  Koostoime võimekus olemasolevate EL süsteemidega;  Turvalisus ja küberturbe nõuded: viited NIS2 direktiivile ja eIDAS raamistikule.

Need lahendused aitavad vähendada dubleerimist, parandada andmete kvaliteeti ja läbipaistvust ning tugevdada usaldust digiteenuste vastu. Andmekaitse Inspektsioon on kaardistanud ka mõned riskikohad, millele tähelepanu pöörata:

 Määruse ettepanek ei täpsusta piisavalt, milline on andmekaitseasutuste roll ärikukru teenusepakkujate ja kasutajate järelevalves, eriti seoses isikuandmete töötlemisega. Seetõttu teeme ettepaneku täpsustada, millal ja kuidas kaasatakse andmekaitseasutusi.

 Kõigi tehingute logimine, sh mittetäielike tehingute põhjused, võib kaasa tuua liigse andmete kogumise ja säilitamise, mis on vastuolus minimaalsuse põhimõttega. Teeme ettepaneku täpsustada, kui kaua logisid säilitatakse, kes ja millistel tingimustel neile ligi pääseb ning kuidas tagatakse logide turvalisus ja andmekaitse.

 Leiame, et määruses tuleks täpsustada, kuidas tagatakse andmete eksportimisel ja teisaldamisel andmete turvalisus ja isikuandmete kaitse.

 Eestis on juba olemas arenenud digitaalsed identiteedid (ID-kaart, Mobiil-ID, Smart-ID) ja ettevõtjate portaalid. Uue ärikukru rakendamisel on oluline tagada kooskõla olemasolevate lahendustega ning vältida dubleerimist. Seejuures tuleks tagada, et ärikukru liidestamine Eesti X-tee teenustega oleks tehniliselt ja õiguslikult võimalik ning ei tooks kaasa andmete dubleerimist ega turvariske.

Kokkuvõtvalt toetame määruse ettepaneku eesmärke, kuid rõhutame vajadust täpsustada andmekaitse järelevalve rolli, logide säilitamise ja ligipääsu reegleid, volituste haldust ning tagada, et Eesti olemasolevad digilahendused oleksid sujuvalt integreeritud. Soovitame kaasata andmekaitseasutused standardite ja juhiste väljatöötamisse ning tagada, et kõik andmetöötluse aspektid oleksid läbipaistvad ja minimaalsed.

2 (2)

Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Andra Kask

[email protected]

627 4105

ERAELU KAITSE JA RIIGI LÄBIPAISTVUSE EEST

Tatari 39 / 10134 Tallinn / 627 4135 / [email protected] / www.aki.ee

Registrikood 70004235

Lp Erik Janson Justiitsministeerium [email protected]

Teie 28.11.2025 nr 21-1/25/9638-1 Meie 15.12.2025 nr 2.3-4/25/3916-2

Arvamuse avaldamine eelnõule Täname, et saatsite Andmekaitse Inspektsioonile (AKI) arvamuse avaldamiseks EL ärikukru (EBW) määruse ettepanekule. Andmekaitse Inspektsioon toetab määruse üldisi eesmärke: halduskoormuse vähendamine, usaldusväärse ja turvalise piiriülese digitaalse ärikeskkonna loomine ning ettevõtjate ja avaliku sektori asutuste jaoks ühtse, usaldusväärse digitaalse identiteedi ja andmevahetuse raamistiku loomine. Eelnõu pakub välja mitmeid lahendusi, mis on kooskõlas Eesti e-riigi põhimõtetega:

 Ärikukru kaudu tehtud toimingud on võrdsed paberkandjal või kohapeal tehtud toimingutega;

 Turvaline autentimine, allkirjastamine, dokumentide esitamine ja teavituste saatmine;  Kasutajatel on kontroll selle üle, milliseid andmeid ja kellele avaldatakse;  Koostoime võimekus olemasolevate EL süsteemidega;  Turvalisus ja küberturbe nõuded: viited NIS2 direktiivile ja eIDAS raamistikule.

Need lahendused aitavad vähendada dubleerimist, parandada andmete kvaliteeti ja läbipaistvust ning tugevdada usaldust digiteenuste vastu. Andmekaitse Inspektsioon on kaardistanud ka mõned riskikohad, millele tähelepanu pöörata:

 Määruse ettepanek ei täpsusta piisavalt, milline on andmekaitseasutuste roll ärikukru teenusepakkujate ja kasutajate järelevalves, eriti seoses isikuandmete töötlemisega. Seetõttu teeme ettepaneku täpsustada, millal ja kuidas kaasatakse andmekaitseasutusi.

 Kõigi tehingute logimine, sh mittetäielike tehingute põhjused, võib kaasa tuua liigse andmete kogumise ja säilitamise, mis on vastuolus minimaalsuse põhimõttega. Teeme ettepaneku täpsustada, kui kaua logisid säilitatakse, kes ja millistel tingimustel neile ligi pääseb ning kuidas tagatakse logide turvalisus ja andmekaitse.

 Leiame, et määruses tuleks täpsustada, kuidas tagatakse andmete eksportimisel ja teisaldamisel andmete turvalisus ja isikuandmete kaitse.

 Eestis on juba olemas arenenud digitaalsed identiteedid (ID-kaart, Mobiil-ID, Smart-ID) ja ettevõtjate portaalid. Uue ärikukru rakendamisel on oluline tagada kooskõla olemasolevate lahendustega ning vältida dubleerimist. Seejuures tuleks tagada, et ärikukru liidestamine Eesti X-tee teenustega oleks tehniliselt ja õiguslikult võimalik ning ei tooks kaasa andmete dubleerimist ega turvariske.

Kokkuvõtvalt toetame määruse ettepaneku eesmärke, kuid rõhutame vajadust täpsustada andmekaitse järelevalve rolli, logide säilitamise ja ligipääsu reegleid, volituste haldust ning tagada, et Eesti olemasolevad digilahendused oleksid sujuvalt integreeritud. Soovitame kaasata andmekaitseasutused standardite ja juhiste väljatöötamisse ning tagada, et kõik andmetöötluse aspektid oleksid läbipaistvad ja minimaalsed.

2 (2)

Lugupidamisega (allkirjastatud digitaalselt) Pille Lehis peadirektor Andra Kask

[email protected]

627 4105