eIDAS 2.0 lahti seletatud: ELi digitaalse identiteedi rahakott ja mida see digiallkirjastamise jaoks muudab

Algne eIDAS määrus, Regulation (EU) No 910/2014, tegi kaks suurt asja. Sellega loodi ühtne ELi raamistik e-identimiseks (nii et ühes liikmesriigis tunnustatud eID-d saaks tunnustada ka teistes) ning määratleti mitmetasandiline usaldusteenuste kogum, sealhulgas elektroonilise allkirja kolm tasandit, mida õigusala töötajad kasutavad veel tänagi: lihtne digiallkiri (SES), täiustatud digiallkiri (AES) ja kvalifitseeritud digiallkiri (QES). Seda struktuuri ei ole kõrvale heidetud. eIDAS 2.0 tugineb sellele.

eIDAS määruse ajakohastus, Regulation (EU) 2024/1183, muudab 2014. aasta teksti, mitte ei asenda seda. Peamine täiendus on Euroopa digitaalse identiteedi rahakott — isiklik identiteedi- ja volitusrakendus, mille liikmesriigid peavad kättesaadavaks tegema. Kui algne eIDAS jättis identiteedi suuresti riiklike kavade kätte, millest teatamine oli vabatahtlik ja mille kasutuselevõtt oli ebaühtlane, siis eIDAS 2.0 muudab rahakoti kogu liidus põhieelduseks ning kohustab teatavaid tuginevaid osapooli seda aktsepteerima.

Praktikas tähendab see, et elektrooniliste allkirjade, templite, ajatemplite ja kvalifitseeritud usaldusteenuste õiguslik raamistik kandub edasi, samal ajal kui peale lisatakse uus, kasutaja kontrollitav identiteedikiht. Allkirjatasandid (SES, AES, QES) ja nende õiguslik tähendus jäävad sisuliselt muutumatuks; muutub see, kuidas isik tõendab, kes ta on, ja kuidas ta saab allkirjastamiseks vajalikke volitusi kaasas kanda.

ELi digitaalse identiteedi rahakott (sageli lühendatult EUDI rahakott) on eIDAS 2 praktiline süda. Idee seisneb selles, et inimese telefonis on üks valitsuse poolt tunnustatud rakendus, mis suudab hoida kontrollitud identiteeti ning muid digitaalseid atribuute ja volitusi ning seejärel esitada täpselt selle teabe, mida teenus vajab, ja mitte rohkem. Kasutaja võib kinnitada, et ta on üle 18-aastane, tõendada kutsekvalifikatsiooni või end avalikus teenuses autentida, hoides samas mitteseotud andmed privaatsena. Disaini eesmärk on kasutaja kontroll ja andmete minimeerimine, mitte kõigi tegevuse keskne andmebaas.

Allkirjastamise seisukohast on rahakott oluline, sest selle eesmärk on võimaldada kodanikel luua kvalifitseeritud digiallkirju. Praegu hõlmab QES-i saamine sageli eraldi kvalifitseeritud usaldusteenuse osutajat ja identiteedi tõendamise sammu. Rahakott on mõeldud seda sujuvamaks muutma: rahakotis juba olemas olev kontrollitud identiteet võib toetada kvalifitseeritud allkirjastamisvolituste väljastamist ja kasutamist, vähendades hõõrdumist üksikisikute jaoks, kes vajavad kõrgeimat õiguslikku tasandit.

Kasulik on hoida kaks asja lahus. Rahakott on identiteedi- ja volituskonteiner, mille liikmesriigid väljastavad ja mida nad haldavad. Usaldusteenused, näiteks kvalifitseeritud allkirja loomine, jäävad järelevalve all tegutsevate kvalifitseeritud usaldusteenuse osutajate valdkonda. Määrus ühendab neid, kuid tegemist on erinevate rollidega. Selline platvorm nagu DokDesk ei ole rahakoti väljaandja ega kvalifitseeritud usaldusteenuse osutaja; see on lepingu töövoog, kus eIDAS-ile vastavate meetoditega loodud allkirjad koondatakse kohtuvalmis tõendite baasi.

Allkirjade õiguslik toime eIDAS-i alusel on sätestatud määruses ja ajakohastus seda ei nõrgenda. Article 25 sätestab, et kvalifitseeritud digiallkirjal on käsitsi kirjutatud allkirjaga samaväärne õiguslik toime ning et digiallkirja õiguslikust toimest ei saa ilma jätta üksnes seetõttu, et see on elektrooniline. Article 26 määratleb neli nõuet, millele täiustatud digiallkiri peab vastama: see on üheselt seotud allkirjastajaga, võimaldab allkirjastajat tuvastada, on loodud allkirja loomise andmete abil, mida allkirjastaja saab kasutada oma ainukontrolli all, ning on seotud allkirjastatud andmetega nii, et iga hilisem muudatus on tuvastatav.

Selles raamistikus vastavad kolm tasandit endiselt riskile. Lihtne digiallkiri (SES) sobib madala riskiga ja suuremahuliste kokkulepete jaoks. Täiustatud digiallkiri (AES) lisab Article 26 tagatised identiteediseose ja võltsimiskindluse kohta, mistõttu on see ärilepingute puhul tavapärane. Kvalifitseeritud digiallkiri (QES) on AES, mida toetavad kvalifitseeritud sertifikaat ja kvalifitseeritud allkirja loomise vahend, ning sellel on Article 25 kohane samaväärsus märja tindiga allkirjaga. eIDAS 2.0 ei kaota neid tasandeid; see annab rohkematele inimestele rahakoti kaudu lihtsama tee kõrgemate tasandite juurde.

Baltikumi jaoks sobib see loomulikult. Eestil, Lätil ja Leedul on juba küpsed riiklikud eID ökosüsteemid ning kodanikud, kes on harjunud tugeva elektroonilise identiteediga allkirjastamisel ja autentimisel. Rahakott on mõeldud piiriüleseks koostalitluseks, nii et ühes liikmesriigis väljastatud volitus peaks olema kasutatav ka teises liikmesriigis teenusega suheldes, mis on oluline piiriülese kaubanduse jaoks. See on üldine suunis; mis tahes konkreetse dokumendi puhul nõutav õiguslik kaal on teie enda õigusnõustajate otsustada.

eIDAS 2.0 jõustus 2024. aastal, kuid määruse jõustumine ei ole sama mis rahakottide olemasolu igas taskus. Raamistik seab liikmesriikidele kohustuse teha rahakott kodanikele ja elanikele kättesaadavaks ning seda toetab hulk rakendus- ja tehnilisi spetsifikatsioone, mis määratlevad, kuidas rahakotid, väljaandjad ja tuginevad osapooled omavahel koostalitlevad. Seda üksikasjalikku kihti alles arendatakse ja viimistletakse, mistõttu täpsed kättesaadavuse kuupäevad on riigiti erinevad ja muutuvad jätkuvalt.

Aus kokkuvõte on see, et tegemist on järkjärgulise, mitmeaastase kasutuselevõtuga, mitte ühekordse sisselülitamisega. Liikmesriigid teevad tööd selle nimel, et riiklikud rahakotid kättesaadavaks teha, suuremahulised katseprojektid on testinud reaalseid kasutusjuhtumeid ning teatud kategooria tuginevatelt osapooltelt oodatakse aja jooksul rahakoti aktsepteerimist seal, kus kasutaja otsustab seda esitada. Selle asemel et keskenduda konkreetsele kalendrikuupäevale, peaksid ettevõtted jälgima oma riigi rakendamist, sest just seal kinnitatakse ajastus ja praktilised üksikasjad.

Strateegiline järeldus on liikumissuund, mitte tähtaeg. EL liigub laialdaselt kättesaadava, riiklikult toetatud identiteedirahakoti suunas, mis toetab piiriülest tuvastamist ja hõlpsamat juurdepääsu kvalifitseeritud allkirjastamisele. Selle käsitlemine paratamatusena, milleks valmistuda, mitte kuupäevana, mida oodata, on kasulikum hoiak iga organisatsiooni jaoks, kes allkirjastab dokumente suures mahus.

Esimene ettevalmistus on kontseptuaalne: jätkake allkirjatasandite sobitamist tehinguriskiga. eIDAS 2.0 ei nõua, et kõik oleks kvalifitseeritud. Enamiku tavapäraste kokkulepete jaoks sobivad hästi SES või AES ning rahakoti peamine mõju allkirjastamisele on muuta tugevam identiteedikindlus kättesaadavamaks siis, kui dokument seda tõepoolest nõuab. Selge sisemine poliitika selle kohta, milline tasand millisele dokumenditüübile kohaldub, jääb kõige väärtuslikumaks asjaks, mida saate kehtestada, ja seda poliitikat tasub oma õigusnõustajatega kinnitada.

Teine on tõendid. Olenemata sellest, millist allkirjastamismeetodit kasutatakse, on vaidluses püsiv küsimus see, mida suudate tõendada: kes allkirjastas, millal, millise täpse versiooni alusel ja et dokument ei ole sellest ajast muutunud. Lepingu töövoog, mis lukustab läbirääkimised ühele aktiivsele versioonile ja koondab tervikliku, võltsimiskindla tõendite baasi, on see, mis muudab allkirja hiljem kaitstavaks. See väärtus kehtib juba täna olemasolevate eIDAS-i tasandite alusel ja kandub edasi, kui rahakotipõhine allkirjastamine muutub tavalisemaks.

Kolmas on valida tööriistad, mis on loodud selle jaoks, kuhu määrus liigub. DokDesk toetab täna SES- ja AES-allkirjastamist, kasutades riiklikke eID-sid, nagu Smart-ID ja Mobiil-ID, andmeid hoitakse ELis GDPR-i kohaselt ning see on arhitektuurselt QES-valmis, mis tähendab, et see on kavandatud nii, et kvalifitseeritud usaldusteenuse osutajad ja seadmed saavad sellega liidestuda. Täpsuse huvides: DokDesk ise ei ole kvalifitseeritud usaldusteenuse osutaja ega väljasta QES-i. Sellise disainikavatsusega töövoo valimine juba praegu tähendab, et olete rahakoti ajastuks valmis, ilma et peaksite panustama ühele kasutuselevõtu kuupäevale.