Teeme hästi suure digitaalidentiteedi mis on seest õõnes

Andsin parasjagu Tartu Ülikoolis tudengitele identiteedi-teemalist loengut, kui kõik mu seadmed hakkasid korraga vilkuma, ulguma ja verist vahutavat digitaalidentiteeti välja ajama. Selgus, et zeitungis oli avaldatud uudis selle kohta, et MKM on saatnud kooskõlastusringile “AI agentide isikukoodide” seaduseelnõu (EIS toimik 26-1105). Jälle päev tuksis, sest korraliku kodaniku kohus on selline eelnõu alati läbi lugeda, tihkelt puid alla panna ja kogu lugu bensiiniga üle valada.

Lugesin läbi ja hakkasin naerma. Lihtsalt selle pärast, et nooremallohvitser ei nuta kunagi.

Aga alustame heast.

• Esiteks, “isikukoodist” on juttu möödaminnes ning ainult ühe võimaliku variandina.
• Teiseks, kuigi jutt algab hirmsa tehisaru-kiitmisega, ei ole olemas ühtegi ilmutatud seost järgneva ning tehisaru vahel. Ja see on hea, sest endiselt kehtib “tehisaru on lihtsalt arvutiprogramm”.
• Kolmandaks, jääb veidi paranoiline või siis soovidekohane mulje, et kusagil laua taga on mingid täiskasvanud (juristid), kes on üritanud kokku kirjutada nii absurdse eelnõu, et ei ole muud varianti kui see lõpuks veega alla lasta. Koostajate koosseisust lõpus eraldi.

Sellega head omadused ka lõppevad, kui ma oleks tahtnud kõik järgnevas allapanemiseks vajaminevad puud kojusõidurongi kaasa võtta, oleks Elron mu käest lisapiletit nõudnud.

Esiteks kaaskiri.

Seaduse eelnõu eesmärk on anda füüsilistele isikutele võimalus registreerida digitaalidentiteet ja anda sellele tegutsemiseks püsiv ja ainulaadne tunnus.

Seesama terminoloogiline ja kontseptuaalne vigasus jätkub ka läbi kahe ülejäänud dokumendi, nii et taome selle parem kohe maa sisse pulbriks.

Misasi on identiteet? Identiteet on atribuutide kogum, mis võimaldab üht olemit teisest eristada. Identiteet ongi tunnus. “Identiteedile tunnuse andmine” on täiemahuline oksüümoron.

Identiteet on. Identiteet ei tegutse. Identiteet on mingit subjekti või objekti iseloomustav tunnus või tunnuste kogum.

Mingil põhjusel on “agendist” (mis oleks päris hea termin volituste süsteemi õigusliku aluse kirjeldamiseks) või veidi kehvemast “tehisaruagendist” saanud ilma saba ja sarvedeta “digitaalidentiteet”.

Ma lähen nii kaugele, et ütlen, et selline jaburus teeb selle eelnõu põhiseadusega vastuolus olevaks — nimelt nõuab põhiseadus eesti keele kaitset, aga see on kõik üks keelelörtsimine, mis teeb eesti keele kasutamise oskuskeelena ainult raskemaks.

Õigupoolest puudutab kogu see kriitika ennekõike õigusloome kvaliteeti — sisu, millest rääkida, pole ju ollagi.

Räägime asjast nii nagu on: kogu see projekt on paari jõuka keskealise eesti mehe lemmikmänguasi, mida minusugused tropid on üritanud juba pool aastat pooleks murda. Nuttu, hala ja pisaraid on selle käigus kõvasti valatud, tulemus on endiselt ümmargune null, mõlemalt poolt.

See on küsimus demokraatiast, mitte tehnikast. Kuidas kurat saab üks ebaratsionaalne huvigrupp riigi ära kaaperdada, ministri tasemel? See on MAGA, mitte digiriik.

(Või äkki see ongi digiriik? Kõik osutab sellele, et kõikjal maailmas on Ränioru-tüüpi ärimeestele jäänud veel kaks asja: tehisaru ja riigivõimu kaaperdamine. Vaadake kasvõi USA-s toimuvat. Kui vähemalt üks neist kahest ebaõnnestub, on põhimõtteliselt kogu Ränioru müüt surnud, mingit muud plaani ju ei ole peale internetis veel suurema hulga reklaamide näitamise. See selgitaks, miks on vaja nii agressiivselt kogu seda projekti läbi suruda.)

Palume eelnõu kiireloomulisuse tõttu kooskõlastust ja arvamust kümne tööpäeva jooksul alates eelnõu avaldamisest EIS-is.

Kuhu kuram sellega nüüd nii kiire on? See eelnõu ei muuda sisulises plaanis mitte midagi. Ma saan aru, et enne valimisi oleks vaja töövõitu näidata, aga teha selle nimel veel üks sita õigusloome õpikunäide? Tänan, ei, valimisõiguslik kodanik jätab selle variandi vahele.

Selle eelnõu tekst on leebelt väljendudes poolik ning sellest savist sepiku tegemiseks läheks kaugelt rohkem kui kümme päeva.

Teiseks eelnõu ise.

1) paragrahvis asendatakse läbivalt sõnad „andmenõusoleku ja volituste haldamise“ sõnadega „andmenõusoleku, volituste haldamise ja digitaalidentiteedi registreerimise“ vastavas käändes

Mitte miski ei ütle “läbimõtlemata plaan” kui see, et plaan keevitatakse mingile eksisteerivale asjale külge ning hakatakse seda eksisteerivad asja rebrändima. Mis selle andmekogu lühendiks siis saab? AHVDRA? Andestage mu prantsuse keel.

2) lõiget 1 täiendatakse punktiga 3 järgmises sõnastuses: „3) võimaldada füüsilisel isikul registreerida digitaalidentiteet, digitaalidentiteedi registreering lõpetada, anda isikule ülevaade tema tehtud registreeringutest ja registreeringute lõpetamistest.“;

Siin hakkab kõrgele ja kaugele paistma see, kui vähe on selle eelnõu alla sisulist mõttetööd pandud. Eelnenud PR-tekstid rääkisid “suurest hulgast agentidest”, aga seaduse tekst on mõistetav nii, et registreerida saab ainult ühe identiteedi. Mida sellega tarka peale hakata, jääb arusaamatuks — ühtegi täiendavat sisulist (turva)omadust sellest ei teki, ei õiguslikus ega praktilises plaanis.

3) paragrahvi täiendatakse lõigetega 11–13 järgmises sõnastuses: „(11) Digitaalidentiteet käesoleva seaduse tähenduses on püsiv ja ainulaadne tunnus, mille alusel saab tarkvaraline lahendus kavandada või sooritada toiminguid digitaalidentiteedi registreerinud füüsilise isiku eest.

Mitte üheski viisakalt ehitatud infosüsteemis ei saa “tunnuse alusel” midagi sooritada (väga spetsiifiliste eranditega, millele kaks turvainseneri alla kirjutavad). “Tunnuse alusel” millegi tegemise jaoks on lausa eraldi turvanõrkuste klass olemas: ambient authority. Küll aga on eelnõuga täiesti reguleerimata jäetud see, kuidas “digitaalidentiteet” ennast autentida saab. Kehtivas õiguses (ennekõike eIDASe raamistikus) kuulub selline asi seadusega reguleerimisele, sest õiguslike tagajärgedega tegevuste puhul ei saa muud moodi.

Endiselt oska mitte midagi muud arvata, et kuna algne PR-trikk oli “anname tehisaruagentidele isikukoodid”, siis tuleb seda jätkata kasvõi kujul “paneme digitaalidentiteedi registrisse” ja muud ei olegi vaja.

Sellega eelnõu sisuline osa lõppeb, ülejäänu on korraldusliku iseloomuga.

“Anname identiteedi” ja see ongi kõik? Ja see on seaduseelnõu, millega on rajult kiire? Hoidke nüüd hobuseid palun.

See eelnõu ei ole enamat kui saarlaste suur sõjaplaan “töömö höstö söörö sööli, mis on sööst öönös” — ühtegi miljardit sellega maailmast koju ei too, värvi roosaks või meelita moosiga. Seletuskiri ütleb ühemõtteliselt, et kogu see asi on siseriiklikuks kasutuseks, sest eIDASe raames ei saa sellise tükiga vähemalt EU turul toimetada (eraldi uurimist tahaks, mida ütleb CRA sellise pooliku asja siseriiklikule turule toomise kohta). Rääkimata sellest, et selle alusel ei saa tegelikult mitte ühtegi agenti kuhugi urrama panna, selleks puudub endiselt õiguslik alus. Seest õõnes nagu vana trumm on see teie digitaalidentiteet.

Seletuskirja juurde.

Digitaalidentiteet tegutseb füüsilise isiku eest digitaalsete lahendustega. Digitaalidentiteedi tehtud toiminguid käsitatakse isiku enda toimingutena.

Esimene lause ei tähenda mitte midagi. See on lihtsalt sõnasalat. See on tänane Eesti Vabariigi õigusloome tase.

Teine lause on aga hoopis raju, sest seaduseelnõus endas midagi sellist reguleeritud ei ole. Kas see tööõnnetus on ebakompetentsus või sabotaaž, ei oskagi arvata. Ma loodan, et sabotaaž, see annaks lootust.

Selleks, et seostada digitaalidentiteedi registreerinud isikut ja tema digitaalidentiteeti, on vaja mõlemale püsivat ja ainulaadset tunnust, mis oleks omavahel seotud.

Ka see on täielik sõnasalat, mis jätkub üldise värdkeelsuse rütmis. Eesti keelt tundev inimene loeb, et siin on juttu “isiku digitaalidentiteedist”, mis on senises mõttes kõik see, mida reguleerib eIDAS. Isiku ja tema digitaalidentiteedi sidumine on juba terve olemasolev distsipliin. Kui hea plaan on võtta ja hakata mingi nišiprojekti jaoks erialaseid mõisteid ümber defineerima?

Miskohal jõuamegi eelnõu koostajateni. Seletuskirjas loetletud koostajate hulgas ei ole mitte ühtegi informaatikut ega digitaalidentiteedi spetsialisti. See kõik on täielik kabinetivaikuses sündinud imeloom. On võimalik, et kusagil taustal on kellegagi räägitud, aga see ei paista üldse välja ja see on jällegi see koht, mis teeb valimisõigusega kodaniku väga kurjaks. Reguleeritakse valdkonda, valdkonna esindajatega rääkimata. Arvamusfestivalil räägiti ja saadi vastuseks “ärge tehke”, aga keda see huvitab. Ammuilma lootusetult finantsialiseerunud PR-spetsilistidest IT-gurud ei ole valdkonna esindajad, vaid valgustatud monarhia par excellence.

Ja siis juhtuvadki sellised õnnetused, vaatame seda veel kord.

3) digitaalidentiteet kui tehniline vahend – toimingute automaatne omistamine kasutajale on kõige sobivam lahendus, kuna see on kooskõlas kehtiva õigusega ja UNCITRAL mudelseadusega ning eeldab väiksemat seadusandluse muudatuste mahtu;

4) litsentsitud vahendaja mudel – sisuliselt digitaalidentiteedi kui tehnilise vahendi mudeli institutsionaalne edasiarendus, kus riik annab digitaalidentiteedi tegutsemisõiguse haldamise üle litsentseeritud erasektori vahendajale. Seda lahendust tasub kaaluda tulevikus, kui turg on arenenud ja leidub isikuid, kes soovivad vahendajateenust pakkuda.

Neljanda variandina on isegi laual “vahendaja” (teisisõnu “agent”), aga millepärast on see visatud välja ning ikka jäädud “digitaalidentiteedi kui tehnilise vahendi” juurde. Miks, oh miks?

Paragrahvi 43¹⁰ lisatava lõike 11 kohaselt on digitaalidentiteet registreeritav, tal on füüsilise isikuga seotud püsiv ja ainulaadne tunnus, mille all on üks või mitu tarkvaralist lahendust suutelised kavandama või sooritama toiminguid digitaalidentiteedi registreerinud füüsilise isiku eest. Seega registreeritakse andmekogus digitaalidentiteet kui püsiv tunnus ning selle alusel on võimalik tuvastada, et elektroonilises keskkonnas sooritab toimingu isiku eest tegutsev tehniline lahendus, mitte füüsiline isik ise. Digitaalidentiteet ei ole õigussubjekt. Digitaalidentiteet on tehniline vahend ning selle alusel tegutseva lahenduse tehtud toimingud loetakse füüsilise isiku enda toiminguteks.

Teate mis sellele kirjeldusele veel vastab, kui registreerimine välja arvata? See on veebibrauser. Või ka mõni mobiiliäpp, näiteks panga oma. Kui ma teen oma pangaäpist makse, siis loetakse see minu enda toiminguks. Miks on osadele sellistele äppidele vaja eraldi seadust, jääb mõistatuseks.

Ühesõnaga, valgustatud monarhid, lõpetage see tsirkus nüüd ära, on ju selgesti näha, et reguleerimatut asja ei saa reguleerida. Eriti inimeste poolt, kes ei suuda sõnastada, mis see on, mida reguleeritakse.

Ja ma ei ütle, et reguleerida ei võiks, täitsa paar asja on, mida reguleerida, mis seonduvad volituste delegeerimisega tehnilistele kastidele ja selle õigusliku tähendusega.

Kui te midagi tahate reguleerida, laske spetsialistidel selgitada, misasi on üks tehniline agent ja mida on vaja selleks, et agendile mingi vettpidav volitus tekitada, aga ärge tegelege tarbetute lollustega. Ja ennekõike: ärge tegelege sita seaduseloomega, see on kõige suurem kuritegu.

Tulnud kord loomad metsas kokku ja otsustanud jõe peale silla ehitada. Vaidlevad ja vaidlevad, kas teha sild Jänese uru juurde või Lõvi koopa juurde, kas teha kivist või puust, kas käsipuud ka teha või mis, jaur on juba hulka aega kestnud, kui järsku tõuseb Eesel püsti ja käratab kõik vait.

“Mehed, kurat, kõige tähtsama küsimuse oleme ära unustanud. Kas teeme silla piki või risti jõge?”

Vaadake, valesid küsimusi ei ole. Aga mõne küsimuse kohta saab öelda, et “see raibe pole isegi vale mitte”.