Politsei hinnangul on olukord piinlik, ID-kaardi toimimise eest vastutav SK ID Solutions ütleb, et pole olukorraga rahul, Riigi Infosüsteemi Ameti (RIA) järelevalve leidis rikkumisi ning kokkuvõttes on kõigil oma nägemus, kas ja miks pidi tagasi kutsuma üle tuhande Selverites väljastatud ID-kaardi.
16. veebruaril teatas riik enam kui tuhandele inimesele, et Selveri infoletist saadud ID-kaardid vahetatakse välja. Nimelt pidi politsei- ja piirivalveameti (PPA) lepingupartner SK ID Solutions tunnistama kehtetuks nende kaartide sertifikaadid. Allkirja andmiseks need kaardid enam ei kõlvanud.
Sellise korralduse andis RIA ning juba toona rääkis ameti järelevalve osakonna juhataja Ilmar Toom, et sertifikaatide Selveris väljastamiseks polnud ettevõttel luba. Ettevõte täitis küll RIA korralduse, kuid teisipäeval ütles selle juhatuse esimees Kalev Pihl, et kaalub ameti ettekirjutuse vaidlustamist.
“Keegi ei peaks arvama, et me oleksime seda ettekirjutust, kujul nagu ta meile tehti, pidanud õigeks ja õiguspäraseks,” sõnas Pihl.
Sama meelt on PPA identiteedi ja staatuse büroo juht Margit Ratnik. Ta märkis, et näiteks e-residentidele väljastab Eesti digidokumente rahvusvahelise ettevõtte BLS International vahendusel ning sellega seoses mingit loamuret ei tekkinud.
“Mis on keskkonnas muutunud sellist, miks Selveri teema on sellisel kujul tõusetunud?” küsis Ratnik, ning avaldas lootust, et üheskoost leitakse sellele peagi vastus.
Ettevõte: PPA pidanuks audiitori ära ootama
Selles vaidluses istuvad PPA ja SK ID Solutions ühes paadis. Kuid paat hakkab kõikuma kohe, kui küsida, miks RIA üldse menetlust alustas.
Kalev Pihl rääkis, et kuus päeva pärast seda, kui esimene dokument Selverist välja anti, pöördus ettevõte ise RIA poole ja teatas võimalikust rikkumisest. Pihl kordas, et dokumentide Selveris väljastamine mahtus tema hinnangul kenasti olemasoleva tegevusloa piiresse.
Pahandus hakkas kerima hoopis hetkest, mil nende palgatud audiitor soovis plaanidele pilgu peale heita. “Et see ikkagi vastaks kõigile loas kirjeldatud tingimustele,” märkis Pihl.
Laias laastus kontrollis audiitor ID-kaartide ja sertifikaatide väljastamise protsessi, samuti uuris, kas Selveri ruumid selleks sobivad. Pärast esimest ülevaatust tegi ta PPA-le mitu märkust.
Margit Ratnik ütles, et osa probleeme käskis audiitor kohe ära lahendada, osaga andis pikema tähtaja ja PPA asus usinasti tööle.
“Üks puudus oli see, et kui klienditeenindaja Selveris väljastab dokumenti, siis tema ekraan asetses selliselt, et tema taga liikuval kolleegil oli võimalik ekraanile pilk peale heita,” tõi Ratnik näiteks. “Või kui ta teenindas klienti, siis kliendil oli võimalus üle leti upitada ja vaadata ekraani peale.”
Ratniku sõnul võis iga Selveri külastaja veenduda, et arvutiekraanid kaitsti võõraste silmade eest juba enne 27. jaanuarit.
Ka Kalev Pihl leiab, et PPA lahendas probleemid enne, kui dokumente välja hakati andma.
“Kuid PPA võttis punktid kasutusele enne, kui audiitor oli need meetmed, millega nad lagedale tulid, üle vaadanud. Ehk siis audiitor polnud tolleks hetkeks veendunud, et nendega on hästi,” sõnas Pihl ning lisas, et just selle murega pöörduski ettevõte Riigi Infosüsteemi Ameti poole.
PPA: Miks ettevõte alles viimasel hetkel häiret andis?
PPA lepingupartneri käitumist ei mõista. Ratnik ütles, et väiksemaid ja suuremaid muutusi dokumentide väljastamisel on PPA ikka teinud. Kuid spetsiaalset auditit pole sel puhul keegi nõudnud. “See konkreetne protseduurika Selverite näitel muudatuste rakendamisel on esmakordne,” rõhutas Ratnik.
Ratnik kinnitas, et enda hinnangul pole PPA ühegi reegli vastu eksinud. Ühtlasi ei mõista ta, miks rääkis SK ID Solutions probleemidest RIA-le, aga mitte politseile. Ta rõhutas, et kogu projekti valmistati ette koos ettevõttega.
“Kui on usaldusteenuse osutaja, kes vastutab seaduse alusel ja PPA-ga sõlmitud lepingu alusel selle eest, et usaldusteenuste rakendamine toimuks vastavalt seadustele ja lepingutele, siis tema peab tõmbama ka häirekella hetkel, kui ta näeb, et midagi on valesti,” ütles Ratnik.
“Miks ta ootas dokumendi väljastamiseni, olles kaasatud 11 kuu vältel kogu sellesse ahelasse ja teades väga täpselt, millised on lepingutega võetud kohustused asja laivi panemiseks, sellele küsimusele võiks Kalev Pihl juba ise vastata,” lisas Ratnik.
Kalev Pihl aga ütles, et võimalikest probleemidest räägiti juba varem.
“Loomulikult me olime sellest vestelnud, seda kindlasti ei saa eitada,” sõnas Pihl. Ta märkis, et PPA-s oldi võimalikest muredest teadlikud, kuid ametil läks dokumentide väljastamisega kiireks.
Seda, et ühel hetkel ei saanud enam oodata, tõdes ka Ratnik.
Nimelt said inimesed dokumente Selverisse tellida alates 27. detsembrist. Viimati kohtus PPA audiitoritega jaanuaris ning 27. jaanuaril hakati Selverites dokumente välja andma.
Margit Ratnik kinnitas, et väljastamist polnud võimalik edasi lükata..
“Siin tuli juba vahele seadus, mis ütleb, et sa pead isikule väljastama dokumendi 30 päeva jooksul. Sa ei saa riigina seda teha 31. või 35. päeval,” sõnas Ratnik. Samas rõhutas ta, et politsei ei seisnud valiku ees, kas rikkuda reegleid ühte- või teistpidi. Enda hinnangul tegid nad kõik õigesti.
“See, miks Selveri puhul täna püütakse jätta mulje, justkui PPA on midagi unustanud või kooskõlastamata jätnud, see on piinlik ja piinlik Eesti elanike ees, kellele me dokumente väljastame,” ütles Ratnik.
Sertifikaatide tühistamine oli ka ettevõttele ootamatu
Kui SK Solutions RIA poole pöördus, ei oodanud nad, et selle pärast tuleb hakata väljaantud sertifikaate tühistama. Kalev Pihli sõnul rõhutati pöördumises, et mingit reaalset turvariski kartma ei pea ning eksimused olid pelgalt bürokraatlikud.
RIA tegi samuti selgeks, et mure on bürokraatlik, lihtsalt hulga tõsisem. Ameti järelevalve osakonna juhataja Ilmar Toom märkis, et usaldusteenuse osutajale ehk SK ID Solutionsile antud tegevusloaga käivad kaasas sertifitseerimispõhimõtted.
“See on oluline dokument, mis sisuliselt kirjeldab seda, kuidas seda teenust osutatakse. Ja selles on olulise osana välja öeldud see, et kust neid sertifikaate väljastatakse,” rääkis Toom. “Ja praegusel juhul on seal kirjas PPA teenindusbürood ja Eesti Vabariigi saatkonnad. Selveri infolett ei mahu kummagi alla neist.”
Kuna infolette dokumendist ei mainita, leidiski RIA, et Selveris väljastatud ID-kaartide sertifikaadid tuleb tühistada.
“Et meie PIN-2-ga antav elektrooniline allkiri oleks võrdväärne omakäelise allkirjaga ja et see kehtiks nii Eestis kui ka väljaspool Eestit, on hästi oluline, et kõiki kehtestatud nõudeid ja mängureegleid järgitakse,” rõhutas Toom.
Kalev Pihl ja Margit Ratnik RIA käsitlusega ei nõustu. Mõlemad usuvad, et ID-kaartide Selveris kättejagamiseks pole vaja luba muuta.. Siiski, nüüdseks on SK ID Solutions RIA-le tegevusloa muutmiseks taotluse esitanud ning asjaosalised loodavad, et paari kuu pärast õnnestub projektiga jätkata.
Kelle kanda jääb kulu?
Kokkuvõttes ütlevad nii Pihl kui Ratnik, et segadust on endiselt palju. Arusaamatu on, kes mille eest vastutab ja kes peab käe tõstma, kui asjad hakkavad kiiva kiskuma. Margit Ratniku sõnul tuleb neile küsimustele üheskoos vastused leida, sest muidu pole võimalik kavandada ka uusi projekte. Sama meelt on Kalev Pihl.
“Me kindlasti ei ole rahul sellega, kus me täna oleme. See tõlgenduste virrvarr, mis erinevatel osapooltel on pähe tulnud ja käitumised, need kindlasti meie hinnangul on mingis mõttes pretsedenti loovad,” sõnas Pihl.
Kui palju kogu segadus maksma läks, lubab politsei- ja piirivalveamet kokku lüüa kuu aja jooksul.
“Kaartide endi tootmiskulu on natukene vähem kui 23 tuhat eurot. Sinna juurde tulevad töötajate ületunnitööd ja ka logistilised kulutused,” sõnas Ratnik.
Arvamuse selle kohta, kelle kanda kulu peaks jääma, lubab politsei samuti välja öelda märtsi lõpus, siis kui toimunu on põhjalikult läbi analüüsitud.
“See sõltub sellest, mis tulemuseni me jõuame,” ütles Ratnik. “Ehk kas see kulu jääb usaldusteenuse osutaja kanda või maksumaksja ehk riigi kanda.”
