Kas RAB-i uued volitused ohustavad isikuandmete kaitset?

Eestis on rahapesu ja terrorismi rahastamise tõkestamisel keskseks institutsiooniks Rahapesu Andmebüroo (RAB). RAB tegeleb muu hulgas rahapesule viitava teabe kontrolli, strateegilise analüüsi ning järelevalvega kohustatud isikute üle, et hinnata nende vastavust rahapesu ja terrorismi riskide juhtimise kohustustele.

Viimase aasta jooksul on RAB-i pädevus olnud aktuaalne mitmel rindel. Märtsis arutas Riigikohus RAB-i võimalusi konfiskeerida vara rahapesukahtluse korral. Riigikohus juhtis tähelepanu, et kehtivas seaduses esineb vastuolusid, mis võivad muuta vara halduskonfiskeerimise võimatuks. Eriti isepesu juhtumite puhul (rahapesu paneb toime sama isik, kes sooritas ka eelkuriteo) võib konfiskeerimine olla välistatud. Riigikohus märkis, et selline regulatsioon võib olla vastuolus RAB-i eesmärkidega ja vajab seetõttu seadusandja sekkumist.

Riigikogu kiitis juunis 2025 heaks rahapesu ja terrorismi rahastamise tõkestamise seaduse (RahaPTS) muudatused. Muudatused vara riigistamist ei käsitle, vaid need annavad RAB-ile oluliselt vabama võimaluse isikuandmete töötlemiseks. RAB saaks ligipääsu 11 erinevale andmebaasile ning õiguse massandmete analüüsiks. Andmeid ei analüüsi enam ainult inimesed, vaid kõigi ressursside kokkuhoiu mõttes hakatakse kasutama ka andmekaevet ja masinõppe tööriistu. Vabariigi President seadust välja ei kuulutanud, vaid saatis selle Riigikogusse tagasi.

RAB-i senine tegevus

Seni maani on pidanud RAB tegema oma ülesannete täitmiseks vahetut koostööd teiste riigiasutustega. Praegu on toimunud rahapesu tõkestamine kahtlusteadete alusel, rahvusvahelise koostöö abil ja kasutades RAB-i põhjendatud teabenõuete kaudu saadud andmeid. RAB on saanud vajalikke andmeid teistelt asutustelt ja vajadusel ka kolmandatelt isikutelt, et kahtlusi kinnitada või ümber lükata.

Selline süsteem on aeglane, kuna kurjategijad on kiiremad kui RAB-i reageerimisvõime. RahaPTS seaduse muutmise seaduse (eelnõu 640 UA) seletuskirjas on välja toodud, et spetsialistide töövõimet piirab andmetele ligipääsemisega kaasnev viivitus. Samuti asjaolu, et analüüse saab teostada RAB-i ülesannete täitmise käigus saadud andmete põhjal või tuginedes vaid ekspertarvamusele. Analüüside koostamiseks võis kuluda mitmeid kuid ning see ei andnud reaalajas ülevaadet rahapesu ja terrorismi rahastamise riskist. Seetõttu peeti vajalikuks süsteemi tõhustamist.

Uuendused rahapesu tõkestamise süsteemis

Tõkestamise tõhustamise vajadus tuleneb RAB-i väidetavast suutmatusest seniseid ülesandeid piisavalt edukalt täita.  Algne eelnõu nägi ette, et RAB võib kasutada samu andmeid nii kahtlaste tehingute kontrolliks kui ka strateegiliseks analüüsiks. Seaduseelnõu arutamisel muudeti see lähenemine täpsemaks ning eristati selgemalt ülesannete tarbeks kasutatavate andmete mahtu. Seaduse kohaselt võib kasutada andmeid ainult sellises ulatuses, mis on vastava ülesande täitmiseks vajalik, mitte aga valimatult.

RAB-il on rahapesu kahtluse kindlakstegemise korral õigus töödelda mitmesuguseid isiku- ja majandusandmeid, mis hõlmavad nii füüsiliste kui ka juriidiliste isikute identifitseerimis-, tegevus- ja varaga seotud andmeid. Nende hulka kuuluvad muu hulgas isikusamasust, perekondlikke suhteid, haridust, tööhõivet ja võimalikke karistusi puudutavad andmed. Samuti andmed, mis sisaldavad informatsiooni tehingute, kontode, kinnisvara, sõidukite, maksudeklaratsioonide ja tollideklaratsioonide kohta. Lisaks võib RAB kasutada rahapesu kahtluse teadetes, kohustatud isikute aruannetes ning rahvusvaheliste sanktsioonide täitmise raames kogutud andmeid.

Strateegilise analüüsi tarbeks võib kasutada andmeid, mis on kogutud rahapesu kahtluse teadetes, kohustatud isikute aruannetes ning rahvusvahelise sanktsiooni seadusest tuleneva järelevalve käigus. Füüsiliste isikute puhul piirdub andmete töötlemine äriregistri, tegelike kasusaajate andmekogu ning majandustegevuse registri infoga. Juriidiliste isikute puhul võib lisaks kasutada ka maksudeklaratsioonide ja tollideklaratsioonide andmeid.

Eriliigilisi isikuandmeid, nagu poliitilised vaated ja usulised veendumused, võib RAB töödelda üksnes juhul, kui need on edastanud kohustatud isik, näiteks pank, rahapesu kahtluse teate kaudu. RAB ei saa neid andmeid ise otse registritest pärida.

Siiski võib RAB andmekogus teostada profiilianalüüsi, mis tähendab, et süsteem võib anda hinnangu, kui suur on tõenäosus, et isik on või ei ole seotud rahapesu või terrorismi rahastamise ja nendega seotud kuritegudega.

RAB töötleb oma andmekogus isikuandmeid nende isikute kohta, kelle andmeid on juba varasemalt töödeldud, näiteks isikud, kelle kohta on edastatud rahapesu kahtluse teade. Lisaks sellele võib RAB strateegilise analüüsi eesmärgil töödelda ka nende isikute andmeid, kes on kantud riiklikesse registritesse või infokanalitesse, mis sisaldavad teavet isikute majandustegevuse ja varalise seisundi kohta. Sellisteks allikateks on näiteks äriregister ja tegelike kasusaajate andmekogu.

Süsteemi ohutus

RAB-i andmekogu hakkab sisaldama suures mahus ja väga erinevaid andmeid. Seetõttu viiakse massandmete strateegiline analüüs, näiteks mustrite ja anomaaliate tuvastamine, läbi pseudonüümitud andmete alusel. Esmalt andmed pseudonüümitakse ning seejärel saadetakse RAB-i andmelattu.

Pseudonüümimine tähendab, et isikuandmed (nimi ja isikukood) asendatakse koodidega, mille alusel ei ole analüüsi käigus võimalik konkreetseid isikuid tuvastada. Siiski kui süsteem tuvastab asjaolusid, mis võivad viidata rahapesule, on RAB-i ametnikul õigus, RAB-i andmekaitsespetsialisti loal, andmed taasisikustada ja läbi viia juhtumipõhine analüüs.

Massandmete töötlemist esitletakse kui abivahendit, kuid sellega kaasnevad ka olulised riskid. Näiteks 2021. aastal toimus rünnak RIA andmebaasi vastu, mille tulemusena saadi fotode vahendamise teenuse kaudu ligipääs enam kui 286 000 Eesti inimese dokumendifotole. Ründaja kätte sattunud andmestik sisaldas dokumendifotot, ees- ja perekonnanime ning isikukoodi. RAB-i andmekogu on aga veelgi mahukam ja hõlmab andmeid erinevatest valdkondadest, mistõttu võib selle võimalik leke kujutada endast veelgi suuremat ohtu.

Seletuskirjas on märgitud, et lekkeriski hinnatakse keskmiseks ning andmebaasi loomisel järgitakse Eestis kehtivaid infoturbe ja küberturvalisuse standardeid. Kuid arvestades, et Eesti on vältinud selliste massandmebaaside loomist ning tegemist on riigi jaoks uudse lahendusega, ei saa seda riski alahinnata. Nii rahanduskomisjoni liige Andrei Korobeinik kui ka endine riigi peaprokurör Lavly Perling on juhtinud tähelepanu andmelekete, küberturvalisuse ja võimalike julgeolekuohtude riskidele. Perling rõhutas, et mõjuanalüüs ei käsitle küberturvalisust ega sellest tulenevaid julgeolekuriske.

Seletuskirjas selgitatakse, et pseudonüümitud andmete leke ei põhjusta automaatselt isikuandmete avalikuks tulekut. Tuleb märkida, et pseudonüümitud andmed on jätkuvalt isikuandmed, mis langevad isikuandmete kaitsealasse. Isegi kui pseudonüümitud andmed satuvad kolmandate isikute kätte ning andmeid ei saa seostada konkreetse isikuga ilma täiendavat teavet kasutamata, võib see teadmata ulatuses nii üksikisikutele kui ka riigi julgeolekule kahju põhjustada. Kahju tegelikku ulatust ei ole aga võimalik hinnata, kuna sellekohast analüüsi ei ole läbi viidud.

Avalikkuse mure ja ühiskondlik vastukaja

Rahapesuvastase töögrupi (FATF) soovituste täidetavuse põhjal ei saa Eestit pidada rahapesuparadiisiks. Siiski on andmekogu loomise ümber tekkinud arutelu ja lahkheli, kas selle loomine on tõesti vajalik või on see hoopis vahend kodanike privaatsusse sekkumiseks ja kontrolli suurendamiseks.

2024. aastal esitati RAB-ile üle 14 000 teate, millest 10 366 puudutasid rahapesu kahtlusega või ebaharilikke tehinguid. Eestis lasub kohustatud isikutel ulatuslik teavitamiskohustus ning nende tegevust kontrollitakse tiheda järelevalve all. Selle tulemusena koguneb suur hulk infot isikute kohta, kelle suhtes on kahtlus ebaseaduslikus tegevuses ning kelle pinnalt saaks analüüse edukalt teostada.

Sellest tulenevalt jääb mõistmatuks vajadus teostada täiendavaid analüüse ka nende isikute kohta, kes on vaba tegevuse tulemusena eelmainitud registritesse kantud. RAB-i uus andmekäitlussüsteem pakub kahtlemata suuremat tõhusust ja kiirust rahapesuvastases võitluses, kuid samas paneb proovile isikuandmete kaitse ja privaatsuse põhimõtted. Seetõttu oleks seadusemuudatuste väljatöötamisel võinud anda RAB-ile kitsama vabaduse. Näiteks võiks RAB-i eesmärkide täitmiseks piisata teadetest tulenevate isikute üle automatiseeritud kontrolli tegemine nii strateegilise analüüsi tarbeks kui ka muude ülesannete täitmiseks. Seda enam, kui seletuskirjas selgitatakse, et depseudonüümimist vajavate isikute arv jääb hinnanguliselt aastas alla 200. Praegusel juhul jääb ühiskonnale õhku signaal, justkui kõik ettevõtlusega tegelevad isikud on potentsiaalsed kurjategijad, mistõttu on vaja superandmebaasi loomisel kontrollida ka kahtlusteta isikute käitumismustreid.

Ka Vabariigi Presidendile tekitasid muudatused muret. Eriti asjaolu, et piirangud informatsiooni saamiseks oma isikuandmete töötlemise osas sõltuvad RAB-i otsusest. Vabariigi President märkis, et selline ametiasutusele antud vabadus piirab liialt põhiseadusest tulenevat informatsioonilist enesemääramise õigust. Seetõttu saatis Vabariigi President põhjendatult seaduse tagasi Riigikogule arutamiseks. 

Advokaadibüroo Lepmets & Nõges advokaadid on rahapesu ja terrorismi tõkestamist puudutavate küsimuste korral alati valmis abiks olema. Võta meiega ühendust!