Kas sel korral läheb teisiti? Riik on seni tellinud ID-kaarte vaid ühelt ettevõttelt

Hankega ostetakse sisse ka setifitseerimisteenus Foto: Mihkel Maripuu / Postimees

Maailmas on vaid üks ettevõte, mis on piisavalt usaldusväärne ja turvaline tootmaks Eesti elanikele kümnete miljonite eurode ulatuses plastikkaarte ja trükkimaks neisse isikuandmeid – nii näitab meie riigi ligi 15 aastat väldanud praktika.

• Aasta 2001 – sõlmiti esimene leping Eesti Vabariigi ja TRÜB AG vahel;
• Aasta 2006 - valitsuse korralduse alusel sõlmiti teine leping kodakodus- ja migratsiooniameti ning TRÜB AG vahel;
• Aasta 2010 - valitsuse loa alusel sõlmiti kolmas ja seni kehtiv leping politsei- ja piirivalveameti ning TRÜB AG (mis aastal 2015 omandati ettevõtte poolt nimega Gemalto) vahel;
• 23. november 2015 – politsei- ja piirivalveamet kuulutas välja salastatud riigihanke ja saatis sellel osalemise kutsed turvakanaleid pidi vaid neljale väljavalitud ettevõttele: Giesecke & Devrient, Morpho, Gemalto (seega taas endine TRÜB AG) ja Oberthur*.

Selline on ID-kaartide tootmise kuiv statistika. Erinevus on vaid selles, et kui algusaastatel anti avalikkusele vähemalt teada, et tootmishanked on käimas ja neil on soovinud osaleda nii ja nii palju ettevõtteid, siis nüüdseks on kraanid nii kinni keeratud, et suur saladus on ka hanke toimumise fakt ise. Rääkimata sellest, et kõigil Euroopa või maailma ettevõtjail oleks võimalus sellel oma võimekust tõestada ja pakkumusi vähemalt esitadagi.

Võimaluse selliseks salajaseks asjade käiguks, kus hankedokumente isegi e-riigihangete registris ei avaldata, annab politseile riigihangete seaduse säte, mille kohaselt ei pea seda tegema juhul, kui hanke tulemusel sõlmitava lepingu täitmine on seotud näiteks riigisaladuse või eriliste turvalisusnõuete täitmisega.

Tõenäoliselt ei ole riigisaladuseks asjaolu, et Eesti inimestel on kohustuslik omada ID-kaarte. Nähtavasti pole uudis ka see, et neile kaartidele on kantud isikuandmed ja et nendega käivad kaasas isikute digitaalset tuvastamist võimaldavad sertifikaadid.

Seega saab hangete piiramisel olla küsimus vaid selles, et meie riik peab isikukaartide tootmist niivõrd turvalisust nõudvaks ettevõtmiseks, et seda on teoreetiliselt suutelised maailmas läbi viima vaid kolm-neli ettevõtet – reaalsuses siiski vaid üks.

«ID-kaardi avalik hange tooks kaasa selle, et kõigile muutuks internetis kättesaadavaks ka hanke tehniline kirjeldus, mis  annab ülevaate kaardi tootmise tervikloogikast, sh näiteks PPA infosüsteemide arhitektuurist, kaardil nõutavatest turvaelementidest, dokumendi isikustamise koha füüsilistest valvenõuetest ja paljust muust. See võib aga ohustada ID-kaardi ja e-riigi turvalisust,» selgitas politsei- ja piirivalveameti identiteedi ja staatuste büroo juht Margit Ratnik.

Samas võib muidugi tekkida küsimus, kas poleks turvalisem ja õigusriigile kohasem hoopis asjade käik, kus ühele eraettevõttele oleks lausa keelatud puutuda nii suures koguses ühe riigi delikaatsete andmetega kokku rohkem kui ühe lepinguperioodi ulatuses. Eesti pole sellist mõttekäiku seni otstarbekaks pidanud - kaardid ise tulevad ikka Šveitsi ettevõttest TRÜB ja sertifikaadid rootsaste SEB-Swedbank-Telia omanduses olevalt AS Sertifitseerimiskeskuselt.

Loomulikult ei saa kellelgi olla midagi ette heita eraettevõtetele – nemad peavadki kasu teenima. Küll aga võib tekitada küsimusi kogu ID-kaartide süsteemi ja sertifitseerimisteenuse tellimise kinnisus ning salastatuse määr.

Kusjuures, Eesti riik ei telli hangetega ID-kaarte, kiipe ja sertifitseerimise teenust eraldi, vaid kõik on kokku pandud ühte hankesse - hankelepingu alusel tellitakse uued ID-kaardi, elamisloakaardi ja digi-ID plangid koos uue kiibi, kujunduse ja turvaelementidega ning nende isikustamise ja sertifitseerimise teenusega. Seega kogu Eesti elanike identiteeti puudutav kupatus ühe ettevõtte kontrolli alla.

See tähendab, et kõigil ettevõtjail tuleb arvestada asjaoluga, et Eestis on suletud nii sertifitseerimisturg kui ID-kaartide plankide tootmise turg. Lisaks: igaüks, kes tahab toota ID-kaartide planke peab arvestama ühe nõudega: allhankijaks tuleb tal valida AS Sertifitseerimiskeskus.

Margit Ratnik selgitas, tervikliku paketina hangib Eesti ID-kaarti seetõttu, et kogu protsessis oleks riigil üks kindel partner, kes vastutab kaardi kvaliteedi, isikuandmetega sidumise ja kaardi toimimise eest.

«See praktika kehtib suuremas osas Euroopa riikides eelkõige seetõttu, et mitme partneriga projektide puhul on probleemide ilmnemisel väga keeruline tuvastada vastutavat osapoolt ning rakendada garantiinõudeid. Samuti on tõhusamalt teostatavad kaardi arendustööd. Koostöö ühe partneriga tagab kaardi suurema töökindluse,» ütles Ratnik.

Hetkel käimasolevas hankes kutse saanud neli ettevõtet, valiti välja turu-uuringu tulemuse põhjal ning nende kohaselt on need «vaieldamatult oma ala tipptegijad ja professionaalid».

Eestile võimalikult turvaliste ning töökindlate ja optimaalse hinnaga digitaalsete dokumentide saamiseks kaasas politsei- ja piirivalveamet esmakordselt hankeprotsessi eksperdid kolmest eri valdkonnast: kiibirakenduse nõuete osas Riigi Infosüsteemi Ameti eksperdid, sertifitseerimisprotsessi puhul Tallinna Tehnikaülikooli teadlased ning kaardi turvaelementide vaates dokumendieksperdi erasektorist.

Varasematel hangetel tehti ettepanek hankes osalemiseks kolmele dokumentide tootmisega tegelevale suurettevõttele. Siiski viimasel – 2010. aastal – esitati vaid üks pakkumus.

Kaarditootmise äri tulust annab vast aimu asjaolu, et viimase - 2010. aastal sõlmitud lepingu - koguhind selle maksimaalse mahu juures on 36 miljonit eurot. Kõige esimese, aastal 2001 sõlmitud lepingu maksumuseks koos hangitavate lisaseadmete ja tarkvaraga jäi vahemikku 10 kuni 15 miljonit eurot. Aastal 2006 lepingu maksimummahuks oli määratud 13, 559 miljonit eurot.

Hea seegi, et viimastel kordadel on korraldatud vähemalt suunatud riigihanked. Aastal 2006 kirjutasid ajalehed, et uut teenusepakkujat ei otsitudki ja leping TRÜB-iga sõlmiti ilma konkursita. «Eelkõige võimaliku turvariski vältimise kaalutlusel. Eesmärk oli säilitada seni väljastatud isikutunnistuste infrastruktuur,» ütles toona KMA pressiesindaja Anne-Maarja Olei.

Mis puutub praegu käimasolevasse hankesse, siis kutsus politsei ja piirivalveamet jaanuaris kõik hankes osalejad ühise laua taha, et küsida tagasisidet hanketingimustele.

«Saadud tagasisidet arvesse võttes pikendasime näiteks pakkumuste esitamise tähtaega, aga ka tähtaega, mille jooksul ettevõte peab hanke võitmise korral olema valmis dokumente Eestile tootma ning sertifitseerima. See periood pikenes varasemalt 12 kuult 16 kuule, et ettevõttel jääks rohkem aega ettevalmistusteks, mis peaks taaskord andma võrdsemad võimalused neile pakkujatele, kes varem pole Eestile ID-kaarte tootnud,» ütles Margit Ratnik.

ID-kaardi tootmise hanke pakkumuste tähtaeg on kinnitamata andmeil veebruari lõpp.

Käesoleva aasta 1. juulil jõustub Euroopa Komisjoni määrus nimega eIDAS, mis avab EL-i ühisturu ka sertifitseerimise valdkonnas – enam ei tohi nõuda üheltki sellise teenuse pakkujalt asukoha riigi ettevõtete registris olemist. Euroopas on riike, kus samaaegselt pakub riigile sertifitseerimisteenuseid ligi 15 usaldusnimekirja kantud ettevõtet – olgu või Hispaania ja Itaalia.

*Ametlikult kinnitamata andmed