3-23-1034/47 · Tallinna Ringkonnakohtu halduskolleegium

K O H T U O T S U S

EESTI VABARIIGI NIMEL

Kohus

Tallinna Ringkonnakohus

Kohtukoosseis

Monika Laatsit, Villem Lapimaa ja Virgo Saarmets

Otsuse tegemise aeg ja koht

13.02.2026, Tallinn

Haldusasja number

3-23-1034

Haldusasi

SK ID Solutions AS-i kaebus Riigi Infosüsteemi

Ameti 15.02.2023 ettekirjutuse nr 9-7/23-0049/23297

ja 10.04.2023 vaideotsuse nr 1.1-21/23502 peale

Menetlusosalised

Kaebaja SK ID Solutions AS, esindajad Kalev Pihl ja

Liisa Lukin ning vandeadvokaadid Priit Lätt ja Gerda

Grauberg

Vastustaja Riigi Infosüsteemi Amet, esindajad Erika

Adams, Sander Pelisaar ja Tais Vakrõõm ning

vandeadvokaadid Karmen Turk, Peeter Paul Mõtsküla

ja Tõnis Loorits

Kaasatud haldusorgan Politsei- ja Piirivalveamet,

esindajad Kristin Annsoo ja Getter Õunapuu ning

vandeadvokaat Merit Lind-Tsoganoff

Vaidlustatud kohtulahend

Tallinna Halduskohtu 10.01.2024 otsus

Menetluse alus ringkonnakohtus

Riigi Infosüsteemi Ameti apellatsioonkaebus

Asja läbivaatamine

Kohtuistung 11.11.2025

RESOLUTSIOON

1. Rahuldada Riigi Infosüsteemi Ameti apellatsioonkaebus osaliselt.

2. Tühistada Tallinna Halduskohtu 10.01.2024 otsus ja saata asi halduskohtule uueks

arutamiseks.

EDASIKAEBAMISE KORD

Otsus avaldatakse pärast jõustumist tervikuna.

Otsuse peale võib Riigikohtule esitada kassatsioonkaebuse

hiljemalt 16.03.2026

(halduskohtumenetluse seadustiku (HKMS) § 212 lg 1).

Vastuseks esitatud kassatsioonkaebusele võib teine menetlusosaline esitada

vastukassatsioonkaebuse 14 päeva jooksul kassatsioonkaebuse vastukassatsioonkaebuse

3-23-1034

esitajale kättetoimetamisest arvates või ülejäänud kassatsioonitähtaja jooksul, kui see on

pikem kui 14 päeva (HKMS § 215 lg 3).

Kui kassaator soovib asja arutamist kohtuistungil, tuleb seda kassatsioonkaebuses märkida,

vastasel korral eeldatakse, et ta on nõus asja lahendamisega kirjalikus menetluses (HKMS §

213 lg 1 p 5). Sõltumata kohtuistungi soovi märkimisest, võib Riigikohus kassatsioonkaebuse

läbi vaadata kirjalikus menetluses, kui ta ei pea istungi korraldamist vajalikuks (HKMS § 223

lg 1).

Kui menetlusosaline soovib kassatsioonkaebuse esitamiseks saada menetlusabi, tuleb tal

Riigikohtule esitada vastavasisuline taotlus. Menetlusabi taotluse esitamine ei peata

menetlustähtaja kulgemist (HKMS § 116 lg 5) ning kassatsioonitähtaja järgimiseks peab

menetlusabi taotleja tegema tähtaja kestel ka menetlustoimingu, mille tegemiseks ta

menetlusabi taotleb, eelkõige esitama kassatsioonkaebuse (HKMS § 116 lg 6).

ASJAOLUD JA MENETLUSE KÄIK

1. SK ID Solutions AS (kaebaja) on kvalifitseeritud usaldusteenuse osutaja e-identimise ja e-

tehingute usaldusteenuste seaduse (EUTS) tähenduses, kellele Riigi Infosüsteemi Amet (RIA)

väljastas 02.05.2022 korduva tegevusloa nr 8-3/22-004 kehtivusega kuni 28.05.2024 (edaspidi

2022. a tegevusluba). See andis kaebajale õiguse osutada usaldusteenust „ESTEID

kvalifitseeritud e-allkirjastamise sertifikaatide väljastamine“, sh väljastada kvalifitseeritud e-

allkirjastamist võimaldavaid sertifikaate ID-kaartidele, mida omakorda väljastati Politsei- ja

Piirivalveameti (PPA) teenindusbüroodes.

2. Kaebaja teavitas 02.02.2023 RIA-d, et PPA alustas 28.01.2023 dokumentide väljastamist

koos kvalifitseeritud e-allkirjastamise sertifikaatidega Selveri kaupluste infolettidest, rikkudes

sellega usaldusteenuse muudatuse vastavushindamise protseduure. Rikkumine seisnes selles,

et väljastuskoha muutus ei olnud läbinud nõuetekohast vastavushindamist ja uuest protsessist

ei olnud teavitatud RIA-d kui pädevat asutust kooskõlas EUTS § 13 lg-ga 1.

3. PPA selgitas RIA-le 09.02.2023 vastuses, et alustas dokumentide väljastamisega Selveri

infolettidest 27.01.2023 ja tegemist pole olulise muudatusega usaldusteenuse osutamises.

4. RIA kohustas 15.02.2023 ettekirjutusega nr 9-7/23-0049/23297 kaebajat: 1) peatama

kvalifitseeritud e-allkirjastamise sertifikaatide väljastamine Selveri infolettidest kuni

nõuetekohase tegevusloa väljastamiseni; 2) tunnistama kehtetuks kõik kvalifitseeritud e-

allkirjastamise sertifikaadid, mis on väljastatud Selveri infolettidest alates 27.01.2023; 3)

tunnistama kehtetuks kõik kvalifitseeritud e-allkirjastamise sertifikaadid, mille väljastamine

Selveri infolettidest on pooleli.

2022. a tegevusluba annab kaebajale õiguse osutada usaldusteenust, mis on auditeeritud ja

tunnistatud eIDAS määruse1 nõuetele vastavaks TÜV Austria CERT GmbH (audiitor)

18.03.2022 vastavushindamise aruande alusel. Selle usaldusteenusega on seotud

CN=ESTEID2018 ja CN=ESTEID-SK2015 sertifikaadid, mis asuvad ID-kaardil, digi-ID-l,

elamisloakaardil ja diplomaadikaardil ning mida tuleb väljastada kooskõlas

sertifitseerimispoliitikaga2 (05.03.2021 versioon 1.2) ja ESTEID2018 sertifitseerimise

põhimõtetega3

(versioon 5.0). 2022. a tegevusloaga kinnitatakse usaldusteenuse

kvalifitseeritud staatus ja luba osutada kvalifitseeritud sertifitseerimisteenust tingimusel, et

kvalifitseeritud e-allkirjastamise sertifikaate väljastavad väljastusasutused ehk PPA ja

1 Euroopa Parlamendi ja nõukogu 23.07.2024 määrus (EL) nr 910/2014 e-identimise ja e-tehingute jaoks vajalike

usaldusteenuste kohta siseturul ja millega tunnistatakse kehtetuks direktiiv 1999/93/EÜ

2 Leitav: https://www.id.ee/wp-content/uploads/2022/02/cp_esteid_v1.2.pdf

3 Leitav: https://www.skidsolutions.eu/upload/files/SK-CPS-ESTEID2018-EN-v5_0-20210512.pdf

2(13)

3-23-1034

Välisministeerium. Sertifitseerimise põhimõtete versiooni 5.0 p 1.3.2.1.1 kohaselt on

väljastusasutuste asukohad PPA teenindused ja Eesti Vabariigi saatkonnad.

Sertifitseerimispoliitika seob väljastusasutuse tegevuse isikut tõendavate dokumentide

seaduse (ITDS) 3. peatükis toodud kohustustega. Selveri infolette ei ole neis dokumentides

loetletud ning need ei paigutu seal kirjeldatud protsesside hulka. Selveri infolettidest

dokumentide väljaandmine koos kvalifitseeritud e-allkirjastamise sertifikaatidega ei ole seega

kooskõlas 2022. a tegevusloa, vastavushindamise aruande, teenusele kohalduva

sertifitseerimispoliitika ja sertifitseerimise põhimõtetega (EUTS § 6 lg 1, § 8 p 2 ja § 13).

Kvalifitseeritud e-allkirja sertifikaatidega antud e-allkiri on samaväärne omakäelise allkirjaga.

Arvestades kvalifitseeritud e-allkirjastamise sertifikaatide õiguslikku toimet, mõju ja rolli, on

sertifikaatide väljastamise protsessil oluline tähtsus. Usaldusteenuse osutajal tuleb

sertifikaadid väljastada turvalises, eIDAS määruse nõuetega kooskõlas olevas

infotehnoloogilises ja füüsilises keskkonnas ning õigele isikule. Kuna Selveri kauplustes

viibib arvukalt kõrvalisi isikuid ning sertifikaate väljastavad teenindajad, kes ei ole PPA

töötajad, on oluline, et auditeerimise käigus vaadatakse üle kõik keskkonnast tulenevad

muudatused ja protsessid ning hinnatakse nende nõuetele vastavust.

Selveri infolettides dokumentide ja kvalifitseeritud e-allkirja sertifikaatide väljastamise

protsess ei ole hõlmatud audiitori poolt 16.02.–18.03.2022 toimunud vastavushindamise

tulemusel väljastatud vastavushindamise aruandega. Asjaolude uurimise käigus selgus, et 04.–

05.01.2023 tegi audiitor usaldusteenuse muudatuse vastavushindamise, mille käigus ilmnes

mitmeid olulisi puudujääke (major non-conformities). Seega ei läbinud teenus nõuetekohast

vastavushindamist. Väljavõte olulistest puudustest on lisatud kaebaja 02.02.2023 kirjale.

Auditi sessioon parenduste menetlemiseks pidi toimuma 07.02.2023. Sellest hoolimata alustas

PPA 27.01.2023 ID-kaartide ja kvalifitseeritud e-allkirjastamise sertifikaatide väljastamist

viiest Selveri infoletist, eirates sellega usaldusteenuse muudatuse vastavushindamise

protseduure ja audiitori korraldust mitte alustada teenusega enne puuduste kõrvaldamist.

Kuna kvalifitseeritud e-allkirjastamise sertifikaatide väljastamine Selveri infolettidest ei ole

saanud vastavushindamise asutuse poolt eIDAS määruse nõuetele vastavat heakskiitu, ei

olnud kaebajal 15.02.2023 seisuga alust esitada EUTS § 13 lg 1 kohast teavitust. Seega pole

RIA-l olnud võimalik otsustada, kas teavitatud muudatus muudab usaldusteenuse sisu ja

kvalifitseeritud staatust ning kas teenuses toimunud muudatuse kasutusele võtmiseks on tarvis

taotleda korduvat tegevusluba. Tegevusloata ja kehtetute sertifitseerimise põhimõtete alusel

Selveri infoletist seni väljastatud dokumentidel olevaid e-allkirjastamise sertifikaate ei saa

praegu pidada kvalifitseeritud staatusega e-allkirja sertifikaatideks.

Eeltoodu põhjal puudub Selveri infolettidest kvalifitseeritud e-allkirjastamise sertifikaatide

väljastamiseks õiguslik alus, kuna teenuse muudatuse protsess pole olnud nõuetekohane. Juba

väljastatud või väljastusprotsessis olevad sertifikaadid tuleb tunnistada kehtetuks EUTS § 19

lg 2 p 2 ja lg 4 p 11 alusel. eIDAS määruse nõuetele vastavust kinnitava hindamisaruandeta

(audiitori heakskiiduta) ja tegevusloata ei ole tõendatud usaldusteenuse kvalifitseeritud

staatus.

Tegevusloata tegutsemine ja sertifitseerimise põhimõtete eiramine on kvalifitseeritud

usaldusteenuse osutajale ja kvalifitseeritud e-allkirjastamise sertifikaatide teenuse osutamisele

sätestatud nõuete oluline rikkumine, mis tuleb viivitamata lõpetada. Selle protsessi hilisem

võimalik õigusaktidega kooskõlla viimine ei muuda õigusliku aluseta väljastatud sertifikaate

kvalifitseeritud staatusega e-allkirjastamise sertifikaatideks. Kuna teistel Euroopa Liidu

liikmesriikidel on kohustus aktsepteerida eIDAS määruse alusel väljastatud sertifikaate, ei saa

jätta tegevusloaga kaetud valdkonna peamistest nõuetest kõrvale kaldumist tähelepanuta.

3(13)

3-23-1034

Ettekirjutuse õiguslikud alused on EUTS §-d 6, 8 ja 13 ning § 19 lg 2 p 2 ja lg 4 p 11 ning

korrakaitseseaduse (KorS) § 28 lg 1.

5. Kaebaja teavitas 16.02.2023 RIA-d, et audiitor on hinnanud ID-kaartide väljastamise

Selveri infolettidest alates 07.02.2023 nõuetele vastavaks. PPA teavitas 17.02.2023 kirjaga

kaebajat, et isikut tõendavate dokumentide väljastamine Selveri infolettidest on peatatud.

Kaebaja teavitas 17.02.2023 kirjaga RIA-d, et ettekirjutus on täidetud.

6. Kaebaja esitas RIA-le 28.02.2023 korduva loataotluse, et jätkata usaldusteenuse osutamist.

7. Kaebaja esitas RIA 15.02.2023 ettekirjutuse peale 17.03.2023 vaide, mille RIA jättis

10.04.2023 vaideotsusega nr 1.1-21/23502 rahuldamata.

8. RIA andis 14.04.2023 otsusega kaebajale korduva tegevusloa kvalifitseeritud

usaldusteenuse osutamiseks kehtivusega kuni 28.05.2024.

9. SK ID Solutions AS esitas Tallinna Halduskohtule 10.05.2023 kaebuse, milles palus

tuvastada 15.02.2023 ettekirjutuse tühisus, alternatiivselt tühistada 15.02.2023 ettekirjutus ja

10.04.2023 vaideotsus või tuvastada nende õigusvastasus.

Ettekirjutus on tühine haldusmenetluse seaduse (HMS) § 63 lg 2 p 3 alusel. Asjas kohaldub

ITDS, mitte EUTS. Ettekirjutuses on jäänud tähelepanuta EUTS § 19 lg-s 5 sätestatu. Kuna

Selveri infolettidest väljastati ITDS § 2 lg-s 2 nimetatud dokumente, tulnuks kohaldada ITDS-

i. ITDS ei anna RIA-le õigust tunnistada isikut tõendavatele dokumentidele kantud

sertifikaate kehtetuks, seda saab teha PPA (vt ITDS § 94 lg 3, § 96 lg 1). PPA ei ole sõlminud

kaebajaga ühtegi lepingut. Sellise lepingu on PPA sõlminud IDEMIA Identity & Security

France SAS-ga (Idemia) ning kaebaja omakorda on sõlminud Idemiaga alltöövõtulepingu.

Sertifitseerimise poliitika p-s 4.9.1 sätestatakse samuti, et sertifikaadi tühistamine toimub

ITDS-s sätestatud alustel. Kuigi p-s 4.9.1 viidatakse ka EUTS-le, tuleb seda tõlgendada

viitena EUTS § 19 lg-le 5. RIA pädevuse puudumist kinnitab ka see, et veel 08.02.2023

koosolekul ei olnud RIA oma pädevuses veendunud. Sertifikaatide kehtetuks tunnistamist

oleks saanud kaebajalt nõuda üksnes PPA. Ettekirjutus on toonud kaasa õigusvastase

olukorra, kus isikut tõendav dokument on kehtiv, kuid sellega seotud sertifikaat on tunnistatud

kehtetuks. Isikut tõendavat dokumenti koos sinna kantud sertifikaatidega tuleb käsitada ühe

tervikuna.

Alternatiivselt on ettekirjutus õigusvastane. EUTS § 13 lg 3 tuleb jätta kohaldamata vastuolu

tõttu põhiseaduse (PS) § 13 lg-s 2 sätestatud õigusselguse põhimõttega. Ettekirjutus on

materiaalselt õigusvastane. Muutunud ei olnud usaldusteenuse sisu, mis annaks RIA-le õiguse

nõuda uue loataotluse esitamist. Ettekirjutuses ei viidata ühelegi usaldusteenuse osutamise

põhimõtetes nimetatud sertifikaadi kehtetuks tunnistamist käsitleva asjaolu ilmnemisele

(EUTS § 19 lg 4 p 11). Seejuures viitab RIA ise teenuse dokumentatsioonile, kus tehakse

samuti viide ITDS-le. Ettekirjutus on ka formaalselt õigusvastane. RIA pole kasutanud

kaalutlusõigust otsustamaks, et kaebajalt tuli nõuda uue loataotluse esitamist. RIA ei taganud

kaebajale õigust olla ära kuulatud. Rikutud on ka uurimiskohustust.

10. RIA palus jätta kaebus rahuldamata.

RIA pädevus tuleneb EUTS §-st 2 ja § 19 lg 2 p-st 2 ning KorS § 28 lg-st 1. EUTS §-de 2 ja

22 kohaselt teeb riiklikku ja haldusjärelevalvet eIDAS määruse ning EUTS-s sätestatud

nõuete täitmise üle RIA. Seega oli vastustajal kui pädeval korrakaitseorganil õigus teha

ettekirjutus KorS § 28 lg 1 alusel. Kuna kvalifitseeritud staatuses sertifikaate väljastati

õigusvastaselt, oli tegemist korrarikkumisega, mille kõrvaldamiseks tuli vastustajal kui

pädeval asutusel nõuda sertifikaatide kehtetuks tunnistamist (EUTS § 19 lg 2 p 2, § 2). EUTS

§ 19 lg 5 ei välista ega määratle vastustaja pädevust, vaid kannab sõnumit, et pärast

dokumendiga seotud sertifikaadi kehtetuks tunnistamist on vaja teha teatud toiminguid või

4(13)

3-23-1034

arvestada mõjudega, mis tulenevad ITDS-st. ITDS §-st 96 ei saa järeldada, et üksnes PPA-l on

isikut tõendavatele dokumentidele kantud sertifikaatide kehtetuks tunnistamise õigus. EUTS

§-s 19 välja toodud alused on kehtivad ja pädevus on erinevatel haldusorganitel samaaegselt.

RIA on olnud algusest peale veendunud oma pädevuses. Õige pole kaebaja seisukoht, et isikut

tõendav dokument ei võiks kehtida ilma isikutuvastamise sertifikaadita ja kvalifitseeritud e-

allkirjastamise sertifikaadita. Viimati mainitule kohalduvad rangemad nõuded, tulenevalt

eIDAS määrusest, kuid isikutuvastuse puhul on liikmesriikidel vabamad käed otsustamaks,

kas ja millised meetodid on piisavalt usaldusväärsed. Vaidlusalune ettekirjutus puudutas vaid

teatud ajavahemikul Selveri infolettidest väljastatud isikut tõendavatele dokumentidele kantud

kvalifitseeritud e-allkirjastamise sertifikaate ja nende kehtetuks tunnistamist. Isikutuvastuse

sertifikaatide kohta ei teinud RIA ettekirjutust ega oleks saanudki seda teha.

Kuigi dokumendi väljastamine toimub samal ajal kvalifitseeritud e-allkirjastamise sertifikaadi

väljastamisega, on PPA neid kahte toimingut tehes kahes rollis. Dokumendi väljastamisel

täidab PPA seadusest ja põhimäärusest tulenevat ülesannet ehk on haldusorgani rollis ning

seda protsessi reguleerib ITDS. Kuigi ITDS § 94 lg 1 sätestab, et dokumenti kantava

digitaalset tuvastamist võimaldava sertifikaadi ja digitaalset allkirjastamist võimaldava

sertifikaadi annab välja dokumendi väljaandja (PPA), paneb EUTS § 5 lg 5 kvalifitseeritud

sertifikaatide väljastamisel isikusamasuse kontrollimise kohustuse usaldusteenuse osutajale

(kaebaja). EUTS § 5 lg 5 tugineb eIDAS määruse art 24 lg-le 1. Sertifikaati väljastades ja

isikusamasust tuvastades täidab PPA usaldusteenuse osutaja (kaebaja) poolt temale

delegeeritud ülesannet, mitte oma avalikku ülesannet haldusorganina. Usaldusteenuse

„omanik“ on kaebaja, kes vastutab mh selle eest, et kogu usaldusteenuse ahel vastaks eIDAS

määruses ja EUTS-s sätestatud nõuetele ning usaldusteenust kirjeldavatele, avalikult

heakskiidetud ja kättesaadavatele spetsifikatsioonidele (EUTS § 5 lg 1).

RIA pädevuses ei ole anda hinnangut, kas Selveris väljastatud isikut tõendavad dokumendid

on/olid usaldusväärsed või mitte. Küll aga väljastati ettekirjutuses nimetatud ajavahemikul

kvalifitseeritud e-allkirjastamise sertifikaate vastuolus kehtivate nõuetega, kuna muudatus

tehti enne audiitori ja pädeva asutuse heakskiidu saamist. See seadis ohtu kogu

usaldusteenusele määratud kvalifitseeritud staatuse, mille tõttu oli vältimatult vajalik

tunnistada sertifikaadid kehtetuks ja taastada kehtivale tegevusloale vastav olukord.

Vaidlusalune ettekirjutus ei ole enam kehtiv ja kaebajal puudub õigus nõuda selle tühistamist.

Täidetud ettekirjutusel puudub jätkuv mõju kaebaja õigustele. EUTS § 13 lg 3 kooskõla PS-ga

ei ole siinses vaidluses oluline, sest ettekirjutuses ei ole sellele sättele tuginetud. Vaidlusaluse

ettekirjutuse seisukohalt ei oma tähtsust, kas teenuse sisu muutus või mitte. Ettekirjutuses on

viidatud usaldusteenuse osutamise põhimõtetes nimetatud sertifikaadi kehtetuks tunnistamist

käsitleva asjaolu ilmnemisele. Ettekirjutuse tegemise ajal kehtis sertifitseerimise põhimõtete

versioon 5.0 ja sertifikaatide kehtetuks tunnistamise alused on loetletud selles dokumendis.

Muu hulgas on välja toodud, et sertifikaat tunnistatakse kehtetuks, kui see väljastatakse

selliselt, et see ei ole kooskõlas sertifitseerimispoliitikaga. Sertifitseerimise põhimõtete

kohaselt on sertifikaatide kehtetuks tunnistamise taotlemise õigus kaebajal, PPA-l, Idemial,

sertifikaadi omanikul ja RIA-l.

Vaidlusalusel ettekirjutusel ei ole kaebaja välja toodud formaalseid puudusi.

11. PPA palub kaebus rahuldada.

Ettekirjutus on tühine. RIA-l puudus selle tegemise pädevus. Vastustaja pidanuks algatama

kaebaja suhtes tegevusloa kontrolli menetluse. Ettekirjutus kohustas kaebajat panema toime

õigusrikkumise, s.o tunnistama õigusliku aluseta kehtetuks ITDS § 2 lg-s 2 nimetatud isikut

tõendavate dokumentide kiibile kantud kvalifitseeritud e-allkirjastamise sertifikaadid.

5(13)

3-23-1034

Ettekirjutus on materiaalselt õigusvastane. Ettekirjutuses ja vaideotsuses esitatud

loamenetluse ja vastavushindamise käsitused on ebaõiged. Õigusaktidest ei tulene, et kui

vastavushindamise standardi järgi hindab audiitor teatud muudatust ex ante ja peab muudatust

teatud kuupäeva seisuga nõuetekohaseks, ei tohiks seda muudatust rakendada enne kuupäeva,

mil pädev asutus (RIA) on saanud kätte audiitori ametlikult vormistatud ja allkirjastatud

seisukoha ning otsustanud selle põhjal tegevusloa taotlemise vajalikkuse üle. Riigisisese

teenindusvõrgu laiendamise projekti puhul ei olnud tegemist usaldusteenuse osaks oleva

töölõigu muutusega. Selveri infolettidest ei väljastata sertifikaate, vaid sertifikaadid väljastab

usaldusteenuse pakkuja, genereerides need ja edastades Idemiale kui dokumendi tootjale

dokumendi kiibile laadimiseks. PPA teeninduspunktides toimub dokumendi väljastamine

inimesele, kuid selleks ajaks on usaldusteenuse pakkuja sertifikaadid juba väljastanud ja

dokumendi kiibile kandnud. Dokumendi väljastaja on vaid terviklikkuse huvides (formaalselt)

kaetud kaebaja sertifitseerimise põhimõtetega, kuid ei ole usaldusteenuse osutamise osa.

Kui nõustuda, et tegemist oli usaldusteenuse osaks oleva töölõigu muutusega, siis ei pidanud

sellest EUTS § 13 lg 1 järgi teavitama, sest kaebaja tegevusloa taotluses ja usaldusnimekirja

kandmise taotluses esitatud andmed ei muutunud. Kui tegemist oli siiski usaldusteenuse

muutusega, millest pidanuks EUTS § 13 lg 1 kohaselt teavitama, siis ei tulene kaebajale

EUTS § 13 lg-st 1 kohustust teavitada vastustajat tingimata ex ante. Samuti ei tulene eIDAS

määrusest, audiitori tegevust reguleerivatest standarditest ega EUTS § 13 lg-st 1 kohustust

viia sellisel juhul tingimata läbi ex ante audit, vaid auditi vajalikkuse üle otsustab

standarditest lähtuvalt audiitor. Isegi juhul, kui eIDAS audiitor otsustab teha ex ante

vastavushindamise, ei tulene EUTS § 13 lg-st 1 kaebajale kohustust esitada ametlikku

protokolli vastustajale enne muudatuse rakendamist (live’i). Kui RIA-ga nõustuda, et tegemist

oli usaldusteenuse osaks oleva teenuse muudatusega, ei olnud tegemist usaldusteenuse sisu

muutmisega EUTS § 13 lg 3 tähenduses. RIA eksib, kui leiab, et EUTS § 13 lg-st 3 tuleneb

talle piiramatu kaalutlusõigus. RIA on jätnud kõik olulised asjaolud välja selgitamata ja

hindamata. Asjaolud, mis olid RIA-le teada, on jäetud arvestamata. Vastustaja hakkas

asjaolusid välja selgitama alles pärast ettekirjutuse tegemist. RIA on ebaõigesti sisustanud

sertifitseerimispoliitikas ja sertifitseerimise põhimõtetes sätestatut. Sertifitseerimispoliitika p-

s 1.3.2 on märgitud, et ITDS § 31 kohaselt võivad väljastusasutused (sh PPA) delegeerida oma

ülesandeid lepingu alusel muudele isikutele.

Ettekirjutus on ebaproportsionaalne. Isegi juhul, kui esines protseduuriline rikkumine,

saanuks kaaluda, kas sertifikaatide kehtetuks tunnistamise ettekirjutuse tegemine 1631

dokumendi kvalifitseeritud e-allkirjastamise sertifikaadi suhtes oli mõõdukas või oli

leebemaid lahendusi (nt sertifikaatide peatamine). Samuti jääb arusaamatuks, miks otsustas

vastustaja teha ettekirjutuse tunnistada kehtetuks kõik alates 27.01.2023 kuni ettekirjutuse

täitmiseni Selveri teeninduspunktidest väljastatud dokumentidele kantud allkirjasertifikaadid,

kui eIDAS audiitor leidis, et alates 07.02.2023 olid olulised puudused kõrvaldatud. Lisaks ei

ole ettekirjutuse tegemisel arvestatud, et kõik nn kriitilised (eelkõige andmekaitse ja füüsilise

turvalisusega seotud) puudused olid sisuliselt kõrvaldatud juba siis, kui 27.01.2023 alustati

Selveri kauplustes dokumentide väljastamisega. Ettekirjutuse mõju ja isikute õiguste riive oli

ettekirjutuses märgituga võrreldes oluliselt laiem. Kuna igale dokumendile on kantud nii

kvalifitseeritud e-allkirjastamise sertifikaat kui ka isikutuvastuse sertifikaat, siis tähendas

ettekirjutuses nõutud allkirjastamise sertifikaatide kehtetuks tunnistamine ka isikutuvastuse

sertifikaatide kehtetuks tunnistamist, sest tehniliselt ei ole neid võimalik eraldi kehtetuks

tunnistada. Vastustaja ei ole sellist laiemat mõju arvesse võtnud.

Jääb arusaamatuks, miks otsustas vastustaja teha ettekirjutuse ajavahemikul 27.01.2023–

13.02.2023 väljastatud dokumentidele kantud sertifikaatide kohta, kui Siseministeeriumis

08.02.2023 toimunud kohtumisel oli otsustatud, et väljastust Selveri teeninduspunktidest ei

6(13)

3-23-1034

peatata ning küsimus otsustatakse uuesti pärast 13.02.2023. Seega lepiti kokku täiendav

tähtaeg, mille jooksul uuritakse asjaolusid, hinnatakse riske sisuliselt ja vaadeldakse teenuse

toimimist. Puudub selgitus, millised asjaolud olid pärast 08.02.2023 oluliselt muutunud.

Vastustaja on eiranud senist praktikat, mille kohaselt ei ole väliste teenusepakkujate

teeninduspunktide lisamist hinnatud teenuse sisuliseks muutmiseks ning neil juhtudel ei ole

tehtud ka ex ante vastavushindamist.

12. Tallinna Halduskohus rahuldas 10.01.2024 otsusega kaebuse, tühistas 15.02.2023

ettekirjutuse ja 10.04.2023 vaideotsuse ning mõistis vastustajalt kaebaja menetluskulude

katteks välja 10 660 eurot. Muud menetluskulud jäid menetlusosaliste endi kanda.

EUTS § 19 lg 2 p 2 kohaselt tunnistab usaldusteenuse osutaja sertifikaadid kehtetuks, kui seda

taotleb pädev asutus või Andmekaitse Inspektsioon. EUTS § 19 lg 4 p 11 kohaselt on

sertifikaadi kehtetuks tunnistamise aluseks usaldusteenuse osutamise põhimõtetes nimetatud

sertifikaadi kehtetuks tunnistamist käsitleva asjaolu ilmnemine. EUTS § 19 lg 5 sätestab, et

ITDS § 2 lg-s 2 nimetatud dokumendile kantud sertifikaadi kehtetuks tunnistamisel lähtutakse

ITDS-s sätestatust. Vaidlus käib selle üle, kas EUTS § 19 lg 5 on erisäte sama paragrahvi

lõigete 2 ja 4 suhtes.

Kaebaja ja PPA väidavad õigesti, et asjas ei kohaldunud EUTS § 19 lg 2 p 2 ja lg 4 p 11, vaid

EUTS § 19 lg 5. EUTS eelnõu 237 SE seletuskirjas on märgitud § 19 lg 5 kohta järgmist:

„Lõige 5 sätestab erisuse isikut tõendavate dokumentide seaduse alusel väljastatavale

sertifikaadile, mille kehtetuks tunnistamine toimub vastavalt isikut tõendavate dokumentide

seadusele. Erisus on vajalik, et tagada isikut tõendava dokumendi terviklik kehtivus, vältides

olukorda, kus füüsilise dokumendi ja sinna kantud sertifikaadi kehtivus erineks

ebamõistlikult.“ Vaidlusaluse ettekirjutusega kohustati kaebajat tunnistama kvalifitseeritud e-

allkirjastamise sertifikaadid kehtetuks, kuigi ka vastustaja on möönnud, et tehnilistel põhjustel

ei olnud võimalik juba väljastatud kvalifitseeritud e-allkirjastamise sertifikaati isikutuvastuse

sertifikaadist eraldi kehtetuks tunnistada. See tähendab, et ettekirjutuse täitmisel jäi füüsiline

dokument kehtima, kuid sellele kantud sertifikaadid kaotasid kehtivuse. Sisuliselt tekkis

siinses asjas olukord, mida seadusandja soovis EUTS § 19 lg 5 kehtestamisel vältida.

ITDS § 96 lg 1 kohaselt võib dokumendi väljaandja sertifikaadi kehtetuks tunnistada, kui: 1)

dokumendi kasutaja on rikkunud usaldusteenuse kasutustingimustes kehtestatud olulist

kohustust; 2) on põhjendatud alus arvata, et sertifikaati on kantud valeandmed; 3) on

põhjendatud alus arvata, et sertifikaadis nimetatud avalikule võtmele vastavat privaatvõtit on

võimalik kasutada dokumendi kasutaja nõusolekuta. ITDS § 121 lg 1 kohaselt väljastatakse

dokument PPA või Välisministeeriumi kaudu. Euroopa Liidu tagasipöördumistunnistuse

väljastab Euroopa Liidu liikmesriigi, kaasa arvatud Eesti välisesindus. Järelikult oli ID-

kaardile kantud sertifikaatide kehtetuks tunnistamise pädevus PPA-l, mitte RIA-l.

Kuna vastustajal ei olnud ettekirjutuse tegemise pädevust EUTS § 19 lg 2 ja lg 4 p 11 alusel,

siis ei andnud ka KorS § 28 lg 1 talle õigust teha ettekirjutust. Pädevuse puudumine ei olnud

siiski ilmselge ning vaidlusalune ettekirjutus ei ole HMS § 63 lg 2 p 3 alusel tühine, vaid see

on õigusvastane ja tuleb tühistada. Kehtivuse kaotanud haldusakti on võimalik n-ö üle

tühistada, kui haldusakt võib ka pärast selle täitmist omada mõju kaebaja õigustele. Nii on see

ka praegusel juhul. Pole välistatud, et tulevikus võib vaidlusalune ettekirjutus mõjutada

kaebaja edukat osalemist riigihangetel. Ettekirjutuse tühistamise tõttu tuleb tühistada ka

vaideotsus.

MENETLUSOSALISTE SEISUKOHAD APELLATSIOONIMENETLUSES

13. RIA palub apellatsioonkaebuses tühistada halduskohtu 10.01.2024 otsus ja teha uus

otsus, millega jätta SK ID Solutions AS-i kaebus rahuldamata.

7(13)

3-23-1034

Kvalifitseeritud e-allkirjastamise sertifikaatide õigusliku toime, mõju ja rolli tõttu tuleb

usaldusteenuse osutajal väljastada sertifikaate vaid väga selgete protsesside kohaselt, tehes

seda turvalises, eIDAS määruse nõuetega kooskõlas olevas infotehnoloogilises ja füüsilises

keskkonnas ning õigele isikule. Nõuded on ette nähtud usaldusteenuse osutamise tegevusloas,

mis sätestab ka lubatavad tegutsemiskohad. Uute väljastuskohtade puhul (sh Selveri

kauplustes) tuleb auditeerida kõik ümbritsevast keskkonnast tulenevad muudatused, hinnata

nende nõuetele vastavust ja tagada tegevusloa vastavus tegelikkusele. Siinsel juhul ei olnud

kaebajal 2022. a tegevusloa tingimuste kohaselt lubatud kvalifitseeritud e-allkirjastamise

sertifikaatide väljastamine Selveri infolettidest ning õigusvastase tegevuse lõpetamiseks ja

tagajärgede kõrvaldamiseks tegi järelevalvet teostav RIA kaebajale ettekirjutuse. Alates

27.01.2023 toimuv sertifikaatide väljastamine oli usaldusteenuse pakkumine ilma

tegevusloata. Sellise ettekirjutuse tegemine on järelevalveasutuse ülesanne ja pädevus eIDAS

määruse art 17, EUTS § 19 ja KorS § 28 lg 1 mõistes. Järelevalveasutuseks on EUTS § 2

kohaselt RIA, mitte PPA.

Halduskohtu tõlgendus PPA ainupädevusest läheb vastuollu eIDAS määruse mõtte ja

sätetega. Kuna eIDAS määrus on otsekohalduv, nõuaks sellise järelduse juurde jäämine

Euroopa Kohtult eelotsuse küsimist, et tagada EL-i õiguse ühetaoline kohaldamine.

Halduskohtu seisukoht viiks järelduseni, et RIA-l on õigus väljastada tegevusluba, kuid tal

puudub pädevus kontrollida, kas järgitakse tegevusloa kontrollieseme nõudeid. Samuti

puuduks RIA-l võimalus nõuda usaldusteenuse osutajalt eIDAS määruses sätestatud nõuete

täitmata jätmise heastamist.

Kohus on ebaõigesti kohaldanud ka riigisisest õigust. EUTS § 19 lg 5 ei ole erinorm sama

paragrahvi teistele lõigetele, vaid säte, millega luuakse ITDS § 2 lg-s 2 nimetatud

dokumentidele kantud sertifikaatide kehtetuks tunnistamiseks täiendav õiguslik alus ning selle

rakendamise õigus antakse täiendavale õigustatud isikule (ITDS § 96). See järeldus pole

vastuolus seadusandja tahtega, sest tegemist oli erandliku olukorraga. On ebamõistlik lähtuda

tõlgendusest, et PPA kui rikkumise põhjustaja peab ise nõudma rikkumise kõrvaldamist ja

heastamist. Kui lähtuda halduskohtu tõlgendusest, et ainult dokumendi väljaandjal on pädevus

tunnistada sertifikaat kehtetuks, muutuksid ka EUTS § 19 lg-d 1 ja 2 sisutühjaks. Vastustajal

kui korrakaitseorganil oli pädevus teha ettekirjutus ka tulenevalt KorS § 28 lg-st 1, st nõuda

korrarikkumise lõpetamist ja juba tekitatud kahju kõrvaldamist. Samuti oli RIA-l õigus teha

ettekirjutus tulenevalt EUTS § 19 lg 4 p-st 11.

Muus osas jääb vastustaja varasemate seisukohtade juurde.

14. SK ID Solutions AS palub jätta apellatsioonkaebus rahuldamata, jääb varasemate

seisukohtade juurde ja nõustub halduskohtu otsuse põhjendustega.

Kaebaja on sattunud keset organitüli, mis tuleks lahendada väljaspool kohut (Vabariigi

Valitsuse seaduse § 101 lg 3). Vastustaja välja toodud eelotsuse taotluse sisuks on RIA ja

PPA pädevuste piiritlemine. See on riigisisese, mitte EL-i õiguse küsimus.

15. PPA palub jätta apellatsioonkaebus rahuldamata, jääb varasemate seisukohtade juurde

ja nõustub halduskohtu otsuse põhjendustega.

Apellatsioonkaebuses on mitmeid faktilisi ebatäpsusi ning selle väited põhinevad ekslikul ja

lihtsustatud käsitusel järelevalveasutuse pädevusest. RIA-l on eIDAS määruses nõutav

pädevus teha järelevalvet kvalifitseeritud usaldusteenuse osutaja (kaebaja) suhtes, kuid eIDAS

määrus ei anna RIA-le pädevust nõuda ITDS-s sätestatud dokumentidele kantud sertifikaatide

kehtetuks tunnistamist. EUTS-i ja ITDS-i reguleerimisalad on kvalifitseeritud e-allkirjade

osas osaliselt kattuvad ning EUTS § 19 lg 5 mõte ongi luua kattuvates osades selgust.

Asjaolu, et RIA tahab endale rohkem ja laiemaid pädevusi, kui talle on eIDAS määrusega ette

8(13)

3-23-1034

nähtud, ei muuda EUTS § 19 lg-t 5 ja sellele halduskohtu 10.01.2024 otsuses antud tõlgendust

eIDAS määrusega vastuolus olevaks.

eIDAS määrus ei sisalda nõuet anda järelevalveasutusele pädevus teha ettekirjutusi riiklike

isikut tõendavate dokumentide sertifikaatide kehtetuks tunnistamiseks või mistahes muude

tagajärgede (nt võimaliku kahju) kõrvaldamiseks, vaid järelevalvesüsteem on üles ehitatud

usaldusteenuse osutaja tegevusloaga seotud menetlustele: õigus otsustada tegevusloa

andmine, teostada tegevusloa kontrolliesemesse kuuluvate eIDAS määruses sätestatud nõuete

täitmise järelkontrolli, nõuda tegevusloa kontrolliesemesse kuuluvate ja eIDAS määruses

sätestatud nõuete rikkumise kõrvaldamist (nt esitada puuduv audiitori allkirjaga

vastavushindamise aruanne või taotleda täiendavat tegevusluba) ning tunnistada tegevusluba

kehtetuks. Ükski neist ei anna õigust nõuda isikut tõendavatele dokumentidele kantud

sertifikaatide kehtetuks tunnistamist. Väär on RIA seisukoht, et kui tal ei ole võimalik nõuda

kvalifitseeritud usaldusteenuse osutajalt sertifikaatide kehtetuks tunnistamist, siis ei ole tal

võimalik täita eIDAS määruses ettenähtud järelevalveasutuse funktsioone. RIA valis vale

menetluse, kui tegi kaebajale ettekirjutuse tunnistada sertifikaadid kehtetuks.

Ettekirjutust ei saanud teha ka EUTS § 19 lg 4 p 11 alusel. RIA on sellega seoses esitanud

menetluse jooksul vastuolulisi seisukohti. Dokumentide väljastamine Selveri infolettidest oli

algusest peale kooskõlas ITDS-i, sertifitseerimispoliitika ja sertifitseerimise põhimõtetega.

KorS § 28 lg 1 eraldi võetuna ei andnud RIA-le samuti ettekirjutuse tegemise pädevust. Isikut

tõendavate dokumentide väljastamine Selveri teeninduspunktidest ei ole käsitatav

tegevusloata tegutsemisena.

Eelotsuse küsimine ei ole vajalik, sest vastus ei mõjutaks asja lahendust.

RINGKONNAKOHTU PÕHJENDUSED

16. RIA apellatsioonkaebus tuleb osaliselt rahuldada. Ringkonnakohus tühistab halduskohtu

otsuse ja saadab asja tagasi halduskohtule sisuliseks lahendamiseks.

17. Vastustaja tugines vaidlustatud ettekirjutuses EUTS §-dele 6, 8 ja 13, § 19 lg 2 p-le 2

ja lg 4 p-le 11 ning KorS § 28 lg-le 1. EUTS § 6 lg 1 kohaselt peab kvalifitseeritud

usaldusteenuse osutamiseks isikul ja tema osutataval usaldusteenusel olema eIDAS määruse

art 21 lg 2 kohane kvalifitseeritud staatus, mida tõendab asjaomane luba. EUTS § 8 p 2 järgi

annab pädev asutus sellise loa, kui taotleja on läbinud eIDAS määruse art-s 20 nimetatud

vastavushindamise. EUTS § 13 lg 1 kohaselt teavitab usaldusteenuse osutaja viivitamata

pädevat asutust loa taotluses ja usaldusnimekirja kandmise taotluses esitatud andmete

muutumisest. EUTS § 13 lg 3 näeb ette, et kui muutub kvalifitseeritud usaldusteenuse sisu, on

pädeval asutusel õigus nõuda uue tegevusloa taotluse esitamist. EUTS § 19 lg 2 p 2 ja lg 4 p

11 kohaselt tunnistab usaldusteenuse osutaja sertifikaadi kehtetuks, kui seda taotleb pädev

asutus põhjusel, et on ilmnenud usaldusteenuse osutamise põhimõtetes nimetatud sertifikaadi

kehtetuks tunnistamist käsitlev asjaolu. KorS § 28 lg 1 sätestab, et ohu või korrarikkumise

korral on pädeval korrakaitseorganil õigus panna avaliku korra eest vastutavale isikule

ettekirjutusega ohu tõrjumise või korrarikkumise kõrvaldamise kohustus ning hoiatada teda

haldussunnivahendite kohaldamise eest, kui isik ei täida kohustust hoiatuses määratud tähtaja

jooksul.

18. Kaebaja on kvalifitseeritud usaldusteenuse osutaja EUTS-i tähenduses, kellele RIA oli

väljastanud 02.05.2022 tegevusloa kehtivusega kuni 28.05.2024. See tegevusluba andis

kaebajale õiguse osutada usaldusteenust „ESTEID kvalifitseeritud e-allkirjastamise

sertifikaatide väljastamine“. Tegevusloaga oli hõlmatud tegevus, mille käigus kaebaja

väljastas kvalifitseeritud e-allkirjastamist võimaldavaid sertifikaate ID-kaartidele, mida

omakorda väljastati PPA teenindusbüroodes. PPA alustas 27.01.2023 kvalifitseeritud e-

allkirjastamise sertifikaatidega ID-kaartide väljastamist Selveri infolettidest. Kaebaja teavitas

9(13)

3-23-1034

sellest vastustajat 02.02.2023, märkides, et tegemist on usaldusteenuse muudatuse

vastavushindamise protseduuri rikkumisega. Vastustaja oli vaidlustatud ettekirjutuses

seisukohal, et kvalifitseeritud e-allkirjastamise sertifikaatide väljastamine Selveri infolettidest

on usaldusteenuse sisu (sertifikaatide väljastamise koha) muutmine selliselt, et vajalik on uus

vastavushindamine. Kuna kaebaja ei olnud sellist vastavushindamist läbinud, ei olnud lubatud

muudetud teenust osutada. Seetõttu kohustas vastustaja kaebajat 15.02.2023 ettekirjutusega

peatama kvalifitseeritud e-allkirjastamise sertifikaatide väljastamine Selveri infolettidest kuni

nõuetekohase tegevusloa väljastamiseni, tunnistama kehtetuks kõik kvalifitseeritud e-

allkirjastamise sertifikaadid, mis olid väljastatud Selveri infolettidest alates 27.01.2023 ning

tunnistama kehtetuks kõik kvalifitseeritud e-allkirjastamise sertifikaadid, mille väljastamine

Selveri infolettidest oli pooleli.

19. Halduskohus nõustus otsuses kaebaja ja PPA seisukohaga, et RIA andis vaidlustatud

ettekirjutuse pädevust ületades. Halduskohtu hinnangul ei kohaldu siinses asjas EUTS § 19 lg

2 p 2 ja lg 4 p 11, kuna EUTS § 19 lg 5 kohaselt lähtutakse ITDS § 2 lg-s 2 nimetatud

dokumendile kantud sertifikaadi kehtetuks tunnistamisel ITDS-s sätestatust, ITDS annab aga

dokumendile olevate sertifikaatide tühistamise ainupädevuse dokumendi väljastajale (s.o

PPA-le). RIA-le ei tulenenud ettekirjutuse tegemise pädevust ka KorS § 28 lg-st 1.

Halduskohus märkis, et pädevuse puudumine ei olnud ilmselge, mistõttu ei olnud vaidlustatud

ettekirjutus HMS § 63 lg 2 p 3 alusel tühine, kuid pädevuse ületamise tõttu oli see ettekirjutus

õigusvastane ja tuli seetõttu tühistada. Halduskohus ei hinnanud otsuses menetlusosaliste

ülejäänud väiteid.

20. Kuigi halduskohus selgitas õigesti, et vaidlustatud ettekirjutus ei ole tühine, ei nõustu

ringkonnakohus muus osas halduskohtu otsuse põhjendustega. Eristada tuleb haldusorgani

tegevuse aluseks olevaid pädevus- ja volitusnorme. Pädevusnormid näitavad, milline

võimuorgan peab riigis asjaomast avalikku ülesannet täitma, ning volitusnormid näitavad,

milliseid avaliku võimu meetmeid võib pädev organ ülesande täitmiseks rakendada (vrd nt

halduskohtu pädevus ja volitused HKMS §-des 4 ja 5). PS § 3 lg-s 1 sätestatud seaduslikkuse

põhimõtte kohaselt on avalik võim õigustatud tegutsema siis, kui õigusnormid näevad ette nii

pädevuse kui ka volituse (nt Riigikohtu 13.10.2010 otsus nr 3-3-1-44-10, p 26). Haldusakt on

tühine siiski üksnes haldusogani pädevuse ilmselge puudumise korral (nt Riigikohtu

07.03.2003 määrus nr 3-3-1-21-03, p 13). Seevastu ilma volituseta või volitust ületades antud

haldusakt ei ole HMS §-st 63 tulenevalt tühine isegi ilmselges olukorras, kuid on õigusvastane

ja tühistatav (HMS § 54). Volituse sisu ja ulatuse hindamine eeldab sageli volitusnormi ja

muude sellega seotud normide tõlgendamist (Riigikohtu 31.10.2022 otsus nr 5-22-4, p 32).

21. Vaidlustatud ettekirjutuses heitis vastustaja kaebajale ette EUTS-s ja eIDAS määruses

sätestatud nõuete rikkumist. eIDAS määruse art 17 lg 1 järgi määravad liikmesriigid

järelevalveasutuse, kes vastutab selles liikmesriigis järelevalveülesannete täitmise eest.

eIDAS määruse art 17 lg 3 kohaselt on järelevalveasutuse ülesandeks: a) teostada eelneva ja

järgneva järelevalve käigus määrava liikmesriigi territooriumil asuvate kvalifitseeritud

usaldusteenuse osutajate üle järelevalvet selle tagamiseks, et kvalifitseeritud usaldusteenuse

osutajad ja nende osutatavad kvalifitseeritud usaldusteenused vastaksid eIDAS määruses

sätestatud nõuetele; b) võtta järgneva järelevalve käigus vajaduse korral meetmeid määrava

liikmesriigi territooriumil asuvate kvalifitseerimata usaldusteenuse osutajate suhtes, kui

järelevalveasutusele teatatakse, et kvalifitseerimata usaldusteenuse osutajad või nende

osutatavad usaldusteenused ei vasta väidetavalt eIDAS määruses sätestatud nõuetele. EUTS §

1 lg 1 kohaselt reguleerib see seadus mh riikliku järelevalve korraldust ulatuses, milles need ei

ole reguleeritud eIDAS määrusega. EUTS § 22 kohaselt teeb riiklikku ja haldusjärelevalvet

EUTS-i ja eIDAS määruse nõuete täitmise üle pädev asutus, kelleks EUTS § 2 on kohaselt

RIA. Kuna RIA järelevalveasutusena kontrollis riikliku järelevalve käigus, kas kaebaja kui

10(13)

3-23-1034

kvalifitseeritud usaldusteenuse osutaja tegevus on kooskõlas EUTS-s ja eIDAS määruses

sätestatud nõuetega, ning järelevalvemenetluse tulemusel tegi kaebajale ettekirjutuse

avastatud rikkumise kõrvaldamiseks, ei ole vaidlustatud ettekirjutus RIA-l pädevuse

puudumise või ületamise tõttu tühine ega õigusvastane.

22. RIA ei ole ületanud vaidlustatud ettekirjutuse tegemisel ka oma volitusi. eIDAS

määruse art 17 lg 4 punkti j kohaselt on järelevalveasutuse ülesanne sama artikli lg-s 3

sätestatud ülesannete täitmisel nõuda usaldusteenuse osutajatelt eIDAS määruses sätestatud

nõuete täitmata jätmise heastamist. Riigisiseses õiguses tulenevad järelevalveasutuse

volitused mh EUTS §-st 19, mille lg 2 p 2 ja lg 4 alusel koostoimes KorS § 28 lg-ga 1 oli

RIA-l õigus nõuda kaebajalt kvalifitseeritud e-allkirjastamise sertifikaatide kehtetuks

tunnistamist, kui RIA hinnangul oli ilmnenud mõni EUTS § 19 lg-s 4 loetletud asjaolu.

23. Ringkonnakohus nõustub vastustajaga, et EUTS § 19 lg 5 ei välista RIA õigust nõuda

usaldusteenuse osutajalt sertifikaadi kehtetuks tunnistamist EUTS § 19 lg 2 p 2 ja lg 4 alusel,

vaid annab PPA-le täiendava õiguse tunnistada kehtetuks ITDS § 2 lg-s 2 nimetatud

dokumendile kantud sertifikaat (ITDS § 96). Selline tõlgendus on kõige paremini kooskõlas

EL-i õigusega, sest tagab RIA-le kui EUTS-i alusel antava tegevusloa väljastajale ja

järelevalveasutusele võimaluse täita efektiivselt eIDAS määruse art 17 lg-s 3 sätestatud

ülesandeid ning seeläbi toetab eIDAS määruse eesmärki suurendada usaldust elektrooniliste

tehingute vastu siseturul. Tuleb silmas pidada, et EUTS kehtestatigi § 1 lg 1 kohaselt eIDAS

määruse rakendamiseks. EUTS § 1 lg 2 kohaselt kohaldatakse e-identimisele ja e-tehinguteks

vajalikele usaldusteenustele EUTS-i ja muid riigisiseseid õigusakte, kui eIDAS määruse järgi

tuleb lähtuda riigisisesest õigusest või kui eIDAS määrus annab võimaluse reguleerida

teatavaid valdkondi riigisisese õigusega.

24. Kaebaja ja kaasatud isik tuginevad oma tõlgenduses mh EUTS-i eelnõu (Riigikogu XIII

koosseisu 237 SE) seletuskirjale, milles on selgitatud § 19 lg 5 kohta järgmist: „Lõige 5

sätestab erisuse isikut tõendavate dokumentide seaduse alusel väljastatavale sertifikaadile,

mille kehtetuks tunnistamine toimub vastavalt isikut tõendavate dokumentide seadusele.

Erisus on vajalik, et tagada isikut tõendava dokumendi terviklik kehtivus, vältides olukorda,

kus füüsilise dokumendi ja sinna kantud sertifikaadi kehtivus erineks ebamõistlikult.“

Ringkonnakohtu hinnangul ei saa nendele kahele lausele anda asja lahendamisel määravat

tähtsust. Eelnõu seletuskiri on küll seaduse tõlgendamisel oluline, kuid ei ole lõpptulemusena

alati määrav. Seletuskiri võib, aga ei pruugi alati peegeldada seadusandja tegelikku tahet ning

seletuskirja laused võivad mõnel juhul olla pelgalt üldistavad (Riigikohtu 27.02.2018 otsus nr

3-15-2526, p 15). Praegusel juhul ongi seletuskirjas väljendatud üldist eesmärki, kuna ITDS-s

on selgelt eristatud sertifikaadi ja isikut tõendava dokumendi kehtetuks tunnistamist (vrd

ITDS §-d 96 ja 13). ITDS § 13 lg 12 kohaselt ei mõjuta digitaalset tuvastamist võimaldava

sertifikaadi ja digitaalset allkirjastamist võimaldava sertifikaadi peatamine või kehtetuks

tunnistamine isikutunnistuse ja elamisloakaardi kehtivust. Seega on seadusandja näinud ette

võimaluse, et isikut tõendava dokumendi ja sellele kantud digitaalset allkirjastamist

võimaldava sertifikaadi kehtivus võib teatud juhtudel olla erinev.

25. Pealegi ei tohi õigusnormile antav tõlgendus muuta normi kasutuks. EUTS § 19 lg 1

kohaselt tunnistab usaldusteenuse osutaja sertifikaadi kehtetuks omal algatusel või taotluse

alusel, kusjuures sama paragrahvi lg 2 kohaselt võib sellise taotluse esitada – lisaks pädevale

asutusele – ka sertifikaadi omaja, Andmekaitse Inspektsioon, kohus, prokuratuur või

kriminaalasjas kohtueelne uurimisasutus. Kaebaja ja PPA tõlgenduse kohaselt on ITDS § 2

lg-s 2 nimetatud dokumentide puhul sertifikaadi kehtetuks tunnistamise õigus üksnes

dokumendi väljastajal (s.o PPA-l ja Välisministeeriumil). See käsitus dokumendi väljastaja

ainupädevusest tähendaks sisuliselt, et ITDS § 2 lg-s 2 nimetatud dokumentidele kantud

sertifikaatide puhul ei olekski EUTS § 19 lg-d 1–4 kohaldatavad. Samas on sertifikaatide

11(13)

3-23-1034

kehtetuks tunnistamise alused EUTS § 9 lg-s 4 ja ITDS § 96 lg-s 1 erinevad (viimati nimetatud

loetelu on oluliselt kitsam). Puudub mõistlik selgitus, miks peaks kehtetuks tunnistamisel

käsitama erinevalt näiteks ID-kaardile kantud sertifikaate ning selliseid sertifikaate, mille

suhtes ITDS ei kohaldu. Siinse vaidluse asjaoludel tooks selline tõlgendus ühtlasi kaasa

olukorra, kus RIA EUTS §-des 2 ja 22 sätestatud järelevalveasutusena väidab PPA kui

kvalifitseeritud usaldusteenuse osutaja koostööpartneri tegevuse vastuolu EUTS-i ja eIDAS

määruse nõuetega, samas oleks PPA-l ainupädevus nõuda sellise rikkumise kõrvaldamist ja

heastamist. Selliselt võivad võimalikud rikkumised jääda tähelepanuta ja see õõnestaks

usaldust elektrooniliste tehingute vastu.

26. Ringkonnakohus märgib täiendavalt, et halduskohtu otsuse põhjendused puudutasid

üksnes RIA pädevust ja volitusi nõuda kaebajalt kvalifitseeritud e-allkirjastamise

sertifikaatide kehtetuks tunnistamist. Ettekirjutuse p-s 1 kohustas aga vastustaja kaebajat

peatama kvalifitseeritud e-allkirjastamise sertifikaatide väljastamise Selveri infolettidest kuni

nõuetekohase tegevusloa väljastamiseni. Selles osas ei sõltu vaidluse lahendamine EUTS § 19

tõlgendamisest. Ringkonnakohus leiab, et kaebajale ettekirjutuse p-s 1 märgitud kohustuse

panemiseks oli vastustajal kui järelevalveasutusel samuti olemas pädevus ja volitus, tulenevalt

eIDAS määruse art-st 17, EUTS §-dest 2 ja 22 ning KorS § 28 lg-st 1.

27. Kuna riigisisest õigust seoses RIA pädevuse ja volitustega on võimalik tõlgendada

kooskõlas EL-i õigusega, puudub vajadus küsida selle kohta Euroopa Liidu Kohtult eelotsust.

28. Kaebuses märgitu kohaselt on vaidlustatud ettekirjutus õigusvastane, sest

usaldusteenuse sisu ei olnud Selveri kaupluste infolettidest isikut tõendavate dokumentide

väljastamisega sisuliselt muutunud ja seetõttu ei olnud alates 27.01.2023 tegemist

tegevusloata tegevusega. Kaebaja hinnangul tugines RIA ebaõigesti EUTS § 13 lg-tele 1 ja 3

ning § 19 lg 4 p-le 11. Kaebaja kahtleb seejuures, kas EUTS § 13 lg 3 on põhiseadusega

kooskõlas. Kaebaja väidab sedagi, et RIA rikkus ettekirjutuse tegemisel uurimispõhimõtet ja

tegi kaalutlusvigu ning ettekirjutus on ebaproportsionaalne, samuti rikkus RIA kaebaja

hinnangul tema õigust olla ära kuulatud. Kaasatud haldusorgan on esitanud põhjalikud

selgitused koos tõenditega, toetades kaebaja seisukohta. Halduskohus ei ole neid seisukohti ja

tõendeid hinnanud, jättes kaebuses esitatud väited seega ulatuslikus osas analüüsimata

(HKMS § 157 lg 1, § 158 lg 1 esimene lause ja 165 lg 1 p 4). Kuna nende küsimuste

lahendamine eeldab mh suure hulga tõendite hindamist, ei pea ringkonnakohus õigeks hakata

neid väiteid ise esimesena hindama ja seeläbi halduskohtu otsuse puudusi kõrvaldama.

Selliselt toimides lahendaks ringkonnakohus asja sisuliselt esimese kohtuinstantsina.

Menetlusosalistel ei olnud ringkonnakohtul istungil vastuväiteid asja halduskohtule tagasi

saatmiseks, kui ringkonnakohus leiab, et RIA-l oli pädevus ja volitused vaidlusaluse

ettekirjutuse tegemiseks.

29. Eeltoodut arvestades tühistab ringkonnakohus HKMS § 199 lg 2 p-de 2 ja 3 alusel

halduskohtu otsuse ning saadab asja HKMS § 200 p 2 alusel samale halduskohtule uueks

läbivaatamiseks.

30. Menetluskulude jaotuse otsustab halduskohus menetlust lõpetavas lahendis (HKMS §

109 lg 2).

31. Jõustunud kohtuotsus avaldatakse selleks ettenähtud kohas arvutivõrgus (HKMS § 175

lg 1), s.o Riigi Teatajas. Kohtuotsuse avaldamist ei takista asjaolu, et halduskohus kuulutas

31.05.2023 määruse ja 11.12.2023 istungil tehtud protokollilise määrusega haldusasja

menetluse osaliselt kinniseks. Ringkonnakohtu hinnangul ei sisalda kohtuotsus sellist teavet,

mis takistaks selle tervikuna avaldamist. Menetlusosalistel on siiski õigus esitada

ringkonnakohtule HKMS § 175 lg-tes 4 ja 5 ettenähtud korras taotlus kohtuotsuse osalise

12(13)

3-23-1034

avaldamise või avaldamata jätmise kohta. Ringkonnakohus lahendab sellise taotluse

määrusega (HKMS § 175 lg 6).

(allkirjastatud digitaalselt)

13(13)