Suve hakul käis Eesti.ai nõukoda välja idee, et Eesti võiks anda esimese riigina tehisaruagentidele "isikukoodid". Mõte sai kiirelt ka poliitilise toetuse ning loetud tundidega jõudsid selle kinni püüda ja poolulmelisteks pealkirjadeks vormida ka mõned rahvusvahelised väljaanded.

Nüüdseks on asi edasi arenenud ja ideest saanud seaduseelnõu, millele majandus- ja kommunikatsiooniministeerium (MKM) küsib teistelt ministeeriumidelt kiireloomuliselt kümne päeva jooksul, hiljemalt 22. oktoobriks, kooskõlastust.

Idee on laiema IT-kogukonna algusest peale leeridesse löönud ning suur osa tagasisidest on olnud kriitika, mis on läinud väga tehniliseks, kohati ka isiklikuks. Jätsin kogu taustafooni kõrvale, vaatasin eelnõu materjalid "nullist" läbi ja proovisin värske pilguga mõista, mida siis õigupoolest teha tahetakse, miks see kõik nii kiireloomuline on ja kas teised ministeeriumid saaksid ja peaksid eelnõule praegusel kujul rohelise tule andma.

Mis asi see üldse on, mida me loome?

Nagu eespool vihjatud, ei räägi me enam ammugi tehisaruagentide isikukoodidest, vaid "digitaalidentiteedist". Kummalisel kombel jääb aga materjalidest selgusetuks juba see, mis asi see digitaalidentiteet õigupoolest üldse on, mille andmisega riik peaks tegelema hakkama. Eelnõus toodud definitsiooni järgi on see "püsiv ja ainulaadne tunnus", mille alusel tarkvaraline lahendus – näiteks tehisaruagent – saab "inimese eest" toiminguid kavandada või sooritada.

Jätame hetkel kõrvale selle, et "inimese eest" tegutsemine ja "inimese nimel" tegutsemine ei ole üks ja sama asi ning otsime alustuseks ikkagi selgust küsimuses, mis asi see digitaalidentiteet on.

Kui seletuskirja edasi lugeda, läheb pilt veel segasemaks. Kord on digitaalidentiteet "tunnus", kord on see miski, millele tunnus antakse, kord on see "tehniline vahend", kord on see miski, mis saab "lepinguid sõlmida" ja nii edasi. Kes ja millisel kujul selle tunnuse moodustab, kuidas ta koos või ilma mingi konkreetse agendita toimib või kuidas see tunnus ja seda kasutav agent ära seostatakse, eelnõu materjalid ei ava.

Vastust ei anna ka eelnõu see osa, mis reguleerib digitaalidentiteetide kohta andmekogusse kantavaid andmeid. Sealt leiame nimelt ainult "digitaalidentiteedi registreerinud ja registreeringu lõpetanud isiku ees- ja perekonnanime, isikukoodi ja teovõime piiramise andmed". Aga kuhu jääb siis see digitaalidentiteet ise, see kurikuulus tunnus, millest kogu eelnõu räägib? Kuhu see registreeritakse, kui mitte sinnasamasse andmekogusse? Seletuskirja järgi see just sinna andmekogusse tekkima peaks, aga eelnõust me seda ei leia.

Eelnõu ja seletuskiri räägivad teineteisest mööda

Eelnõu ei näe ette ka seda, kuidas teenuseosutajad digitaalidentiteedi ja mingi konkreetse isiku vahelise seose tuvastama peaksid, kuigi see näib seletuskirja järgi olevat asja tuum. Teenuseosutajate või ükskõik kelle teise ligipääsu loodavale registrile eelnõu ette ei näe. See on lisaks loogilisele lüngale ka põhimõtteline probleem eelnõus, mida ei saa lahendada "kunagi hiljem", näiteks andmekogu põhimäärusega, vaid ainult seaduse enese tasandil.

Pigistame silma kinni ja eeldame, et see tunnus ikkagi kantakse loodavasse registrisse (kuigi eelnõu seda ette ei näe) ja et teenuseosutajad saavad sellele ka ligi (mida eelnõu samuti ette ei näe).

Järgmise sammuna jääb häguseks, kas see register on mõeldud olema üksnes informatiivne või võimaldab see siiski tuvastada (st õiguskindlalt kinnitada) seost digitaalidentiteedi ja konkreetse inimese vahel. Seletuskiri vaidleb iseendale vastu, rääkides informatiivsest süsteemist, "mis siiski võimaldab tuvastada digitaalidentiteedi ja füüsilise isiku vahelist seost". Fakt on see, et andmekogu andmetele saab õigusliku tähenduse anda ainult seadusega, mida eelnõu ei tee. Seega jääb register paratamatult üksnes informatiivseks.

Informatiivne register tähendab lihtsustatult seda, et teenuseosutajal (isegi kui ta saab registris olevatele andmetele ligi) ei ole selle põhjal päriselt, õiguskindlalt võimalik järeldada, kas agent tegutseb just mingi konkreetse isiku nimel või mitte. Sel juhul tekib küsimus, et milleks me seda kõike üldse teeme.

Miks peaks ükskõik milline teenuseosutaja oma teenusesse üldse laskma sisse n-ö "külalise" õigustest laiemate volitustega kasutaja, kelle identiteedis tal õiguskindlalt ei ole võimalik veenduda, vaid see on tema enda risk?

Ja teistpidi, kui plaanis on ikkagi loodava digiidentiteedi ja konkreetse isiku õiguskindel seostamine (millele saab ka õiguslikult tugineda), siis kas ja kus on hinnatud riske, mis kaasnevad selle tunnuse kuritarvitamise võimalustega?

Riskide hindamine ei tähenda, et lahendus oleks tuleks juba ette riskide tõttu maha kanda, riskid esinevad iga lahenduse puhul. Aga see ei ole alus riskide üleüldse hindamata jätmiseks. Millised riskid antud juhul üldse on või polegi mitte ühtegi? Seegi jääb saladuseks.

Kohustuslikud sammud on vahele jäetud

Seaduseelnõule peab eelnema väljatöötamiskavatsus, milles probleem ja võimalikud lahendused läbi arutatakse. Sellest reeglist on võimalik mööda astuda vaid piiratud juhtudel, millest üheks on ka eelnõu põhjendatud kiireloomulisus. MKM ongi kooskõlastamisele saatmisel öelnud, et tegemist on kiireloomulise eelnõuga.

Kui vaadata seda eelnõud kui puhtalt riigi tehisaruvaldkonna PR-projekti, on jällegi arusaadav soov, et oleksime siin kõige kiiremad. Kui sa oma sõnumiga esimesena turul ei ole, võid sama hästi seal ka üldse mitte olla.

Õigusloome ja turundusprojekti juhtimise vahel on siiski paar erinevust. Ainuüksi soov olla esimene ei õigusta eelnõu kiireloomulist läbisurumist. Seletuskirjas on väljatöötamiskavatsuse tegemata jätmist põhjendatud eelnenud "põhjaliku õigusliku analüüsiga", mida avalikkus paraku ei ole näinud ja mida ka eelnõule pole lisatud. Samuti sellega, et eelnõu menetlusse on väidetavalt kaasatud "laiapõhjaliselt asjassepuutuvaid asutusi ja valdkonnast huvitatud isikuid".

Muu hulgas viidatakse 7.–8. augustil toimunud arvamusfestivali paneelaruteludele. Jättes kõrvale selle, et mitu neis paneelaruteludes osalenud valdkonna asjatundjat näib eelnõust pehmelt öeldes hämmingus olevat, ei ole ükski neist põhjendustest alus selleks, et väljatöötamiskavatsust tegemata jätta.

Eelnõu mõjuanalüüs on samuti puudulik. Ühelt poolt öeldakse, et olulisi mõjusid ei kaasne. Samas saame teada, et riigile kaasnevad eelnõuga kulud, mille suurust me ei tea, eraõiguslikele teenusepakkujatele (kes soovivad lahenduse kasutamist võimaldada) kaasnevad kulud, mille suurust me ei tea, registreerimise eest on plaanis võtta riigilõivu, mille suurust me ei tea ja mille kehtestamiseks vajalikku seadusemuudatust ette valmistatud ei ole.

Te ei saa lihtsalt aru!

Alati võib öelda, et mina või mõni teine, kes on selle eelnõu kohta arvamust avaldanud, on plaanitust lihtsalt valesti aru saanud ja tegelikult on kõik korras. Eks endalgi ole raske tunnistada, aga see ei ole võimatu. Siit koorub aga veel üks probleem: seadusest peab aru saama see, keda see puudutab, mitte üksnes idee autorid ja eelnõu koostajad.

Kui eelnõu näeb ette, et digitaalidentiteedi saab registreerida iga eestlane ja e-resident, peab selle sisu ka igaühele arusaadav olema. Eelnõu materjalid ei tohi olla digitaalne sõnavaht, vaid peavad väljendama selgelt, kellele ja milliseid õigusi ja kohustusi see toob. Selle nõudmise juured on põhiseadusest tulenevas õigusselguse põhimõttes.

Seletuskirjaga saab küll eelnõu tõlgendamist puudutavaid selgitusi anda, kuid sellega ei saa luua reegleid, mida eelnõus endas ei ole.

Kokkuvõtteks

Kokkuvõtvalt ei ole ministeeriumidel minu arvates hetkel muud varianti, kui jätta see eelnõu põhimõtteliste puuduste tõttu kooskõlastamata. Eelnõus näib olevat rida põhimõttelisi vigu, eelnõu ja seletuskirja vahel on ebakõlad, väljatöötamiskavatsus on tegemata ja mõjud hindamata. Rahandusministeerium ei saa kuludele ja katteallikatele hinnangut anda, sest kulud on teadmata.

Kehva õigusloome tunnusteks on sageli kiirustamine, oluliste otsuste edasilükkamine ning mõjude hindamata jätmine. Kõik need "punased lipud" on selle eelnõu puhul olemas.

Visionääride ülesanne on välja käia ideid, mis võivadki olla veel toored. Ministeeriumide ülesanne on need enne seaduseelnõuks vormimist päriselt läbi töötada. Paljulubava idee juurde võivad ja peavadki käima turundussõnumid, aga kui ideele tahetakse seaduse jõud anda, tuleb turundussõnumitest paar sammu kaugemale mõelda.