Väljaminev kiri

Hr Eduard Odinets Riigikogu õiguskomisjon 27.02.2024nr 6-3/24-47 [email protected] Arvamus krediidiinkassode ja -ostjate seaduse eelnõule (376 SE) Lugupeetud Riigikogu õiguskomisjoni esimees Riigikogu menetluses on krediidiinkassode ja -ostjate seaduse eelnõu (376 SE). Mitmelt Harju Maakohtu kohtunikult saadud tagasiside pinnalt teen ettepaneku muuta eelnõud, et tagada tarbijakrediidi vaidlustes vastutustundliku laenamise põhimõtte täitmise kontrollitavus kohtumenetluses. KIKS eelnõus sisaldub § 44: (3) Krediidiinkassol või asjakohasel juhul krediidiostjal on õigus saada viivituses oleva tarbijakrediidilepingu või sellest tuleneva nõude sisse nõudmiseks krediidiasutuselt või krediidiandjalt tarbijakrediidi andmise, jälgimise ja hindamise kohta peetud vastavalt krediidiandjate ja -vahendajate seaduse §-s 48 sätestatud krediiditoimikust neid andmeid, mis on kogutud konkreetse tarbija suhtes vastutustundliku laenamise põhimõtte täitmiseks. Krediidiasutus või krediidiandja ei ole kohustatud edastama profiilianalüüsi mudeleid või muid sarnaseid ärisaladust puudutavaid andmeid. Krediidiinkasso või krediidiostja võib saadud andmeid kasutada üksnes eesmärgipäraselt ja seoses vastava viivituses oleva krediidilepingu või sellest tuleneva nõude haldamisega käesoleva seaduse § 3 lõike 2 tähenduses. Problemaatiline on KIKS eelnõu § 44 lause: „Krediidiasutus või krediidiandja ei ole kohustatud edastama profiilianalüüsi mudeleid või muid sarnaseid ärisaladust puudutavaid andmeid.“ Seda esiteks põhjusel, et praktikas peavad ettevõtted, sh krediidiasutused, enda ärisaladuseks pea kõike, mis nende tegevust kirjeldab. Ebaausa konkurentsi takistamise ja ärisaladuse kaitse seadus (EKTÄKS) § 5 lg 2 sätestab küll ärisaladuse mõiste, ent praktikas tähendab see igakordset pikka ja keerukat vaidlust selle üle, mis täpselt konkreetsel juhul ikkagi ärisaladuseks kvalifitseerub. Teiseks annaks viidatud lause võimaluse hoiduda kõrvale vastutustundliku laenamise kohustuse täitmise kontrollimisest ärisaladuse kaitse ettekäändel. Aadress: Lubja 4, Tallinn, 19081; registrikood: 74001728; telefon: 620 0100; faks: 620 0000; e-post: [email protected]. Lisainfo: www.kohus.ee Teadaolevalt on sätet soovitud muuta ka selliselt: Krediidiasutus või krediidiandja ei pea edastama profiilianalüüsi mudeleid või muid sarnaseid ärisaladust puudutavaid andmeid, kuid võib esitada täiendavaid selgitusi krediidivõimelisuse hindamise kohta. Sellise täienduse lisamine lause lõppu ei ole piisav, sest vastutustundliku laenamise kohustuse kontrollimiseks on vaja teada, milliseid konkreetseid andmeid, kust ja millal krediidiandja kogus ning millised järeldused nende põhjal ja miks tegi. Ning hagimenetluses üksnes selgitustest ei piisa, asjaolud peavad olema tõendatud. Ka praegu on kohtumenetluses just probleemiks see, et tarbijakrediidi vaidlustes soovitakse vastutustundliku laenamise kohustuse täitmise kohta piirduda vaid selgitustega, esitamata konkreetseid alusandmeid ega konto väljavõtteid. Vastutustundlik laenamine on võtmetähtsusega hoidmaks ära inimeste massilist võlaorjusesse sattumist. Paraku näeme paljude kohtusse jõudvate tarbijakrediidi nõuete puhul vastutustundliku laenamise põhimõtte rasket rikkumist. Tarbijakrediidi nõuded omandanud hagejad esitavad menetlustes (algselt krediidiandjalt saadud) vastutustundliku laenamise kohustuse täitmise kohta selgitusi kujul: Tarbija märkis enda sissetulekuks 700 eurot ja olemasolevateks finantskohustuseks 150 eurot, tarbijal on 1 ülalpeetav. Majapidamiskuludeks arvestas laenuandja 225 eurot. Kehtivaid maksehäireid laenu andmise hetkel ei olnud. Krediidivõimekuse hindamisel arvestas laenuandja kliendi palgaks viimase 3 kuu keskmise palga 550 eurot. Majapidamiskuludeks arvestas laenuandja 225 eurot ning kohustusteks 150 eurot, uue laenu osamakse on 92,10 eurot ning peale majapidamiskulude, kohustuste ja laenu kuumakse maha arvestamist jäi kliendile kätte 82,90 eurot. Andmete kogumis tekkis laenuandjal põhjendatud veendumus, et kostja on krediidivõimeline ja suudab täita laenulepingust tulenevad kohustused lepingus kokkulepitud tingimustel. Antud selgitus on võetud ühest juhuslikult valitud kohtuasjast, ent sisu ning laadi poolest ilmestab enamikku menetlusi. Seejuures olgu märgitud, et konkreetsel võlgniku vastu, keda näide puudutab, on 2023. a kohtusse esitatud 11 võlanõuet. Tuginedes üksnes matemaatilisele arvestusele, mis põhineb elatusmiinimumil ning sissetulekul, ongi krediidiandjad andnud (reeglina lühikese perioodi jooksul) ühele ja samale inimesele palju väikelaene, krediitkaarte jm tarbimislaene. Isegi kui krediidiandja on küsinud krediidiotsuste tegemisel isikult konto väljavõtte, ei ole seda analüüsitud piisava põhjalikkusega. Nii näiteks on tarbija majandamiskuludeks arvestatud elatusmiinimum, olgugi et konto väljavõttest nähtub, et tarbija igakuiselt kulutab kordades rohkem; olemasolevateks finantskohustusteks on arvestatud tarbija poolt avaldatu, kuigi konto väljavõttelt nähtub oluliselt rohkem tarbimislaene; laenu antakse ka siis, kui konto väljavõttelt nähtub igapäevane alkoholipoe külastamine. Samas on ka krediidiandjaid, kes on vastutustundliku laenamise kohustust täitnud nõuetekohaselt, ent ilma piisavate andmete ja tõenditeta ei saa kohus selles veenduda. Vastutustundliku laenamise kohustuse täitmist peab seejuures kohus hindama ise, omal algatusel, sõltumata sellest, kas kostja (st võlgu olev tarbija) sellele tugineb või üldse menetluses osaleb. Tarbijakrediidi vaidlustes valdavalt kostjad hoiavadki menetlusest kõrvale ega oska enda eest seista, sest reeglina on võlgnikul kaelas juba mitmeid menetlusi (ka kümneid) ning võlgnik ei näe ise enam mingit väljapääsu. Seega kokkuvõttes – selleks, et kohus saaks hinnata, kas krediidiandja järgis vastutustundlikku laenamise põhimõtet, peab kohtu ette tooma hindamise asjaolud: andmed, mida koguti (sh konto väljavõte, päringute vastused jm) ning loogika, kuidas nende andmete alusel otsuseni jõuti. Viimane ei tähenda üksnes eelviidatud matemaatilist tehet vaid paljusid otsustusparameetreid. 2 Eelnevast tulenevalt võiks muuta KIKS § 44 kõnealust lauset järgmiselt: Krediidiasutus või krediidiandja peab esitama teabe vastutustundliku laenamise põhimõtte täitmiseks tehtud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning sisulise teabe kasutatava loogika kohta ning aluseks olnud tarbija andmed. Muudatusettepaneku sõnastamisel on eeskujuks võetud EL isikuandmete kaitse üldmääruse (IKÜM) artikkel 13, mis sätestab, millise teabe peab andmetöötleja esitama andmesubjektile: „2. /../ järgmise täiendava teabe, mis on vajalik õiglase ja läbipaistva töötlemise tagamiseks: teave artikli 22 lõigetes 1 ja 4 osutatud automatiseeritud otsuste, sealhulgas profiilianalüüsi tegemise kohta ning vähemalt nendel juhtudel sisuline teave kasutatava loogika ja selle kohta, millised on sellise isikuandmete töötlemise tähtsus ja prognoositavad tagajärjed andmesubjekti jaoks.“ Tarbijakrediit tähendab, et lepingu teiseks pooleks, st krediidi saajaks, on alati IKÜM mõttes andmesubjekt. Kui krediidiotsuste tegemiseks kasutatakse automatiseeritud andmetöötlust, sh profiilianalüüsi, on andmesubjektil IKÜM art 12-14 ning art 21 kohaselt õigus saada teada, milliseid isikuandmeid mis eesmärgil töödeldi, kust andmed saadi, milline on automatiseeritud otsuse ja profiilianalüüsi sisuline loogika ning milliseid andmeid selleks kasutati. Andmesubjekti õigusele vastab andmetöötleja kohustus, seejuures on andmetöötlejal mitte ainult kohustus andmesubjekti taotlusel eeltoodud infot anda, vaid proaktiivne kohustus seda teavet ise andmesubjektile jagada. Seejuures on ka IKÜMi eeltoodud regulatsiooni kohaldamisega seoses tõstatatud küsimus andmetöötleja ärisaladusest. EL tasandil on seega IKÜMiga seoses juba tegeldud ärisaladuse ja teabe avaldamise teemaga ning näidete ja sätete kaudu loodud vajalik tasakaal. Kuivõrd krediidiotsuse tegemisel vastutustundliku laenamise põhimõtte täitmise hindamiseks kasutatakse tihti automatiseeritud otsuseid ja profileerimist ning tegemist on isikuandmetega, ongi meie hinnangul asjakohane leida tasakaal samasugusel viisil nagu seda on tehtud IKÜMis. Täpsemad selgitused IKÜMi alusel ärisaladuse ja andmete väljastamise tasakaalustamise osas IKÜM põhjenduspunktist 63 on märgitud: „Selleks et olla töötlemisest teadlik ja kontrollida selle seaduslikkust, peaks andmesubjektil olema õigus tutvuda isikuandmetega, mis on tema kohta kogutud, ja seda õigust lihtsalt ja mõistlike ajavahemike järel kasutada. /../ Igal andmesubjektil peaks seega olema õigus teada eelkõige isikuandmete töötlemise eesmärke, võimaluse korral isikuandmete töötlemise ajavahemikku, isikuandmete vastuvõtjaid, isikuandmete automaatse töötlemise loogikat ja sellise töötlemise võimalikke tagajärgi (vähemalt juhul kui töötlemine põhineb profiilianalüüsil) ning saada eelneva kohta teate. Võimaluse korral peaks vastutav töötleja saama anda kaugjuurdepääsu turvalisele süsteemile, kus andmesubjekt saab otse tutvuda oma isikuandmetega. See õigus ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust. Sellise kaalutlemise tulemus ei tohiks aga olla andmesubjektile teabe andmisest keeldumine. Kui vastutav töötleja töötleb suurt hulka andmesubjekti käsitlevat teavet, peaks vastutav töötleja saama paluda, et andmesubjekt täpsustaks enne andmete esitamist, millise teabe või milliste isikuandmete töötlemise toimingutega taotlus seotud on.“ Euroopa Andmekaitsenõukogu (mis on IKÜM alusel asutatud EL ülene andmekaitse järelevalveasutus ja millel on juhendite andmise pädevus) on selgitanud juhendis Guidelines on Automated individual decision-making and Profiling for the purposes of Regulation 2016/679 1: 1 https://ec.europa.eu/newsroom/article29/items/612053 3  Art 13-14: Arvestades keskset läbipaistvuse põhimõtet, millele isikuandmete kaitse üldmäärus tugineb, peavad vastutavad töötlejad tagama, et nad selgitavad üksikisikutele lihtsalt ja selgelt, kuidas profiilianalüüsi või automatiseeritud otsuste tegemise protsess toimib. Eelkõige kui töötlemine hõlmab profiilianalüüsil põhinevate otsuste tegemist (olenemata sellest, kas see jääb artikli 22 sätete kohaldamisalasse), tuleb andmesubjektile selgitada, et töötlemise eesmärk on nii a) profiilianalüüs kui ka b) loodud profiilil põhineva otsuse tegemine. Artikliga 15 antakse andmesubjektile õigus saada teavet profiilianalüüsiks kasutatavate isikuandmete kohta, sealhulgas profiili loomiseks kasutatavate andmeliikide kohta. Lisaks üldisele teabele töötlemise kohta on vastutaval töötlejal artikli 15 lõike 3 kohaselt kohustus teha kättesaadavaks profiili loomisel kasutatavad andmed ning anda juurdepääs teabele, mida profiil sisaldab, ning teabele selle kohta, millistesse segmentidesse andmesubjekt paigutatud on. Põhjendusega 63 tagatakse teatav kaitse vastutavatele töötlejatele, kes tunnevad muret ärisaladuste avalikustamise või intellektuaalomandi pärast, mis võivad olla eriti asjakohased seoses profiilianalüüsiga. Seal on öeldud, et õigus tutvuda andmetega „ei tohiks kahjustada teiste isikute õigusi ega vabadusi, sealhulgas ärisaladusi ega intellektuaalomandit ning eelkõige tarkvara kaitsvat autoriõigust“. Vastutavad töötlejad ei saa aga kasutada oma ärisaladuste kaitsmist vabandusena, et keelduda juurdepääsu andmisest teabele või teabe esitamisest andmesubjektile. Juhendis selgitatakse, et andmetöötleja peaks andmesubjektile esitama automaatotsuste ja profiilianalüüsi kohta teabe arusaadaval viisil, tuues välja näiteks: • andmeliigid, mida on profiilianalüüsis või otsustusprotsessis kasutatud või hakatakse kasutama; • miks neid andmeliike asjakohaseks peetakse; • kuidas automatiseeritud otsuste tegemisel kasutatavaid profiile luuakse, sealhulgas analüüsi käigus kasutatav statistika; • miks see profiil on automatiseeritud otsuste tegemise protsessis asjakohane ning • kuidas seda kasutatakse andmesubjekti kohta otsuse tegemisel. Samuti tuleks andmesubjektile anda teavet tema profiili kohta, näiteks selle kohta, millistesse segmentidesse või kategooriatesse ta on paigutatud. EAKNi juhendis Guidelines 01/2022 on data subject rights - Right of access2 on välja toodud ka näiteid selle kohta, kuidas ärisaladuse kaitset ja andmesubjektile teabe avaldamist ühitada: Kui veebipõhise mänguplatvormi pidaja piirab konto kasutamist ning andmesubjekt soovib teada, mis põhjusel seda tehti. Konto piiramise põhjuse osas peaks PLATFORM Y kinnitama mängijale X, et ta otsustas piirata mängijale X juurdepääsu võrgumängudele ühe või mitme üldise kasutustingimusega vastuolus oleva mängupettuse kasutamise tõttu. Lisaks mängupettuste tuvastamise eesmärgil toimuva töötlemise kohta esitatud teabele peaks PLATFORM Y andma GAMER X-le juurdepääsu teabele, mida ta on salvestanud GAMER X-i mängupettuste kohta, mis viisid piirangu kehtestamiseni. Eelkõige peaks PLATFORM Y esitama mängijale X teavet, mis viis konto piiramiseni (nt logi ülevaade, petmise kuupäev ja kellaaeg, kolmanda osapoole tarkvara tuvastamine, ...), et andmesubjekt (st mängija X) saaks kontrollida, kas andmete töötlemine on olnud täpne. Vastavalt isikuandmete kaitse üldmääruse artikli 15 lõikele 4 ja põhjendusele 63 ei ole PLATFORM Y siiski 2 https://edpb.europa.eu/system/files/2023- 04/edpb_guidelines_202201_data_subject_rights_access_v2_en.pdf 4  kohustatud avalikustama ühtegi pettusevastase tarkvara tehnilise toimimise osa, isegi kui see teave on seotud GAMER Xiga, kui seda võib pidada ärisaladuseks. Vajalik huvide tasakaalustamine vastavalt art.15 lõike 4 kohaselt on PLATFORM Y ärisaladused vastuolus nende isikuandmete avalikustamisega, sest teadmine häkkimise vastase tarkvara tehnilisest toimimisest võib võimaldada kasutajal ka tulevikus pettuse või pettuse avastamisest kõrvale hiilida. Eeltoodust tuleneb, et EL tasandil on leitud, et ärisaladuse kaitse eesmärgil ei saa jätta avaldamata teavet, mis on vajalik selleks, et hinnata automatiseeritud otsuse ja profiilianalüüsi tegemise asjaolusid. Veelgi enam, äsja heaks kiidetud EL tehisintellekti määrusega3 lisanduvad täiendavad läbipaistvuskohustused ja järelevalve. Seejuures on määruse ettepanekus märgitud, et Suurendatud läbipaistvuskohustused ei mõjuta ebaproportsionaalselt õigust intellektuaalomandi kaitsele (artikli 17 lõige 2), sest piirdutakse ainult minimaalselt vajaliku teabega, et üksikisikud saaksid kasutada tõhusa õiguskaitse õigust, ning järelevalve- ja täitevasutuste vajaliku läbipaistvusega kooskõlas nende volitustega. Teavet avalikustatakse kooskõlas valdkonna asjakohaste õigusaktidega, sealhulgas direktiiviga (EL) 2016/943, milles käsitletakse avalikustamata oskusteabe ja äriteabe (ärisaladuste) ebaseadusliku omandamise, kasutamise ja avalikustamise vastast kaitset. Kui ametiasutustele ja teavitatud asutustele tuleb anda juurdepääs konfidentsiaalsele teabele või lähtekoodile, et uurida oluliste kohustuste järgimist, kehtestatakse neile siduvad konfidentsiaalsuskohustused. Andmete üleandmine algselt krediidiandjalt krediidiinkassole või krediidiostjale Kui algne krediidiandja loovutab tarbijakrediidilepingust tuleneva nõude teisele ettevõttele, on kumbki ettevõtte isikuandmete vastutav töötleja. Isikuandmete üle andmise õiguslik alus täna on õigustatud huvi (IKÜM art 6 lg 1 p f). See tähendab, et andmete üleandja peab olema kirjalikult dokumenteerinud õigustatud huvi hindamine. Kui algne krediidiandja nõuet ei loovuta, kuid kasutab nõude sissenõudmiseks inkassoettevõtet, on inkassoettevõte eelduslikult isikuandmete volitatud töötleja, töödeldes isikuandmeid algse krediidiandja poolt seatud eesmärgi – võla sissenõudmine- täitmiseks. EAKN juhenditega on kinnitatud, et ka inkassoettevõttele võla sissenõudmiseks andmete üleandmise aluseks ei saa olla IKÜM art 6 lg 1 p b (andmesubjektiga sõlmitud lepingu täitmine), vaid õiguslikuks aluseks on õigustatud huvi (IKÜM art 6 lg 1 f). KIKS § 44 sätestab andmete üleandmise kohustuse. Küsitav on, millisele IKÜM art 6 õiguslikule alusele selline kohustus vastab. Eelnõu seletuskirjas seda selgitatud ei ole. Õigustatud huvi alust liikmesriik oma siseriikliku õigusega täpsustada ei saa. Kuid KIKS § 44 eesmärki silmas pidades peaks eelduslikult olema tegemist IKÜM art 6 lg 1 punktides c või e sätestatud alusega: IKÜM art 6 lg 1 p c kohaselt on isikuandmete töötlemine seaduslik sellisel määral, kuivõrd isikuandmete töötlemine on vajalik vastutava töötleja seadusjärgse kohustuse täitmiseks. IKÜM art 6 lg 1 p e kohaselt on isikuandmete töötlemine seaduslik sellisel määral, kuivõrd isikuandmete töötlemine on vajalik avalikes huvides oleva ülesande täitmiseks. (Selle sätte alusel saab isikuandmeid töödelda ka erasektor.) Kuivõrd KIKS § 44 paneb nõude algsele krediidiandjale kohustuse andmeid anda, on tegemist IKÜM art 6 lg 1 p c kohase seadusjärgse kohustusega. Samas on tegemist ka kohustusega, mis 3 Hetkel Euroopa Liidu Teatajas avaldatud veel ettepanekuna https://eur-lex.europa.eu/legal- content/ET/TXT/?uri=CELEX%3A52021PC0206 5 on andmetöötlejale pandud avalikes huvides, et tagada vastutustundliku laenamise põhimõtte järgimise kontrollitavus (st tarbija kaitse) ka juhul, kui nõude sissenõudmisega ei tegele edasi algne krediidiandja ise. Seega kui seadusega pannakse krediidiandjale kohustus andmed üle anda, on andmete üleandmine seaduslik ning edasi vastutab andmete eest juba andmete saaja. Lisaks tuleb märkida, et nõude loovutamine ei ole kohustus. Kui krediidiandja peab äri- või pangasaladust sedavõrd oluliseks, et ei soovi mitte midagi avaldada, saab krediidiandja valida, et tegeleb võlgade sissenõudmisega ise. Teabe esitamist ei tohiks piirata ka selliselt, et see esitatakse üksnes kohtule ning üksnes kohtumääruse alusel. Esiteks looks see olukorra, kus krediidiostjal ei oleks võimalik enne nõude kohtusse esitamist veenduda, kas nõue on perspektiivikas. See aga tähendaks asjatuid menetluskulusid hagejale ning põhjendamatut, asjatu menetlusega kaasnevat kulu riigile. Teiseks tähendaks see kohtumenetluses kohtute töökoormuse suurenemist, sest kohus peaks igas tarbijakrediidi vaidluses hakkama tegelema algselt krediidiandjalt tõendite välja nõudmisega (arvestades seejuures veel võimalikke vaidlusi ärisaladuse üle). Kolmandaks tuleb arvestada, et maksekäsu kiirmenetluses ei nõua kohus tõendeid välja ning seal peaks hageja sel juhul esitama maksekäsu kiirmenetlusse vastutustundliku laenamise asjaolud ilma, et tal endal oleks olnud võimalik veenduda asjaolude õigsuses (tuginedes üksnes algselt krediidiandjalt saadud kinnitusele või üldsõnalisele selgitusele). Seega peaks krediidiinkassol ja krediidiostjal olema võimalik saada kõik vajalikud andmed vastutustundliku laenamise põhimõtte täitmise kontrollitavuse jaoks enne maksekäsu kiirmenetluse avalduse või hagiavalduse kohtusse esitamist ning seda ilma, et selleks oleks vaja kohtumäärust. Täiendavate küsimuste korral on Harju Maakohtu esindaja (kohtunik Maris Juha, e-posti aadress [email protected]) valmis neile vastama ja osalema eelnõu arutamisel Riigikogu komisjoni istungil (sh andma täpsema ülevaate tarbijakrediidi nõuete lahendamisest kohtutes). Lugupidamisega (allkirjastatud digitaalselt) Astrid Asi kohtu esimees 6