Tegelen regulaarselt pangakontode temaatikaga, sh kontode avamise, pankade KYC-päringutele vastamise, piirangute lahendamise ja kontode sulgemisega seotud teemadega. Üha sagedamini tekib mul küsimus:

kas pangad peavad tõesti kõike seda infot koguma?

Näiteks on pangad viimasel ajal küsinud või nõudnud:

  • kõikide teiste pankade ja makseasutuste kontode väljavõtteid viimase 6-12 kuu kohta;
  • juhatuse liikme isiklike pangakontode väljavõtteid viimase 6-12 kuu kohta;
  • ettevõtte pearaamatu väljavõtteid;
  • laenude ja nõuete vastaspoolte andmeid ning nende aluseks olevaid lepinguid ehk sisuliselt detailset teavet ettevõtte lepingupartnerite ja lepingutingimuste kohta;
  • konkreetsete konsultatsiooniteenuste sisu, mahu, töötundide ja tasu kujunemise üksikasjalikku selgitust;
  • kinnitusi ja tõendeid selle kohta, et konkreetsed arved on tasutud ja kuhu;
  • siirdehinna analüüsi;
  • põhjendust, miks tehingu vastaspool valis teenuse osutajaks just selle ettevõtte;
  • selgitust, miks konkreetne klient tasus arve 3 päeva pärast selle väljastamist, mitte tavapärase maksetähtaja jooksul 14 päeva jooksul;
  • selgitust, millist lisaväärtust andis konsultatsiooniteenus, mida vastaspool ei oleks saanud ise teha;
  • selgitust, miks ettevõtte käive kasvas võrreldes eelmise aastaga 37%, ning seda kasvu põhjustanud kliendisuhete ja lepingute esitamist koos raamatupidamise dokumentidega;
  • põhjendust, miks ettevõtte juhatuse liige kasutab ärisuhtluseks isiklikku e-posti aadressi;
  • töötasu saajalt kinnitust, et töötasu maksja on Soomes maksud deklareerinud;
  • selgitust, miks ettevõte kasutab mitut pangakontot ning milline on iga konto konkreetne äriline eesmärk;
  • selgitust, miks kasutatud auto osteti Saksamaalt sularahas, mitte ei tehtud kaardimakset või ülekannet;
  • dokumentaalset tõendit selle kohta, miks konkreetne konsultatsioonitasu oli turutingimustel põhjendatud.

Olen näinud isegi küsimust, kus pank palus selgitada, miks sama inimene osutab kahes temaga seotud ettevõttes sisuliselt sarnaseid teenuseid ning millised teadmised või oskused on tal ühes ettevõttes, mida tal teises väidetavalt ei ole ehk miks on vaja kahte ettevõtet.

Iga sellise küsimuse saab eraldi võttes muidugi kuidagi ära põhjendada. Küsimus on selles, kas kõigi nende küsimuste kogum on veel riskipõhine KYC või juba sisuliselt kliendi äritegevuse täielik, sh maksuõiguslik analüüs.

Aga kus läheb piir?

AML/KYC peab olema riskipõhine. Ka GDPR-i üks aluspõhimõtteid on data minimisation ehk koguda tuleks seda, mis on eesmärgi saavutamiseks vajalik, mitte seda, mida on lihtsalt võimalik küsida.

Aga kui küsimustele piisavalt põhjalikult ei vasta või ettevõtlusega mitte kokku puutunud pangatöötaja ei saa äriloogikast aru, siis suletakse pangakonto.

Revoluti juhtum

Hiljutine Revoluti juhtum näitab hästi, miks küsimus kogutavate KYC-andmete mahust ei ole ainult teoreetiline.

Septembris 2026 avalikustas Revolut, et pettur esitas klientide kohta võltsitud infopäringuid, kasutades selleks päris riigiasutuse e-posti domeeni. Revolut pidas päringuid ehtsaks ja edastas nende alusel volitamata isikule klientide tundlikke andmeid. Avaldatud andmete hulka kuulusid klientide nimi ja kontaktandmed, sünniaeg ning passide ja juhilubade koopiad. Mõjutatud klientidele saadetud teadete kohaselt võisid mõnel juhul olla kaasatud ka isikutuvastuseks tehtud selfie’d, kontoväljavõtted ja tehinguajalugu.

Kõige kõnekam on see, et Revoluti süsteeme ei häkitud. Andmed väljusid tavapärase protsessi kaudu, mille eesmärk on võimaldada pangal anda õigustatud juhtudel informatsiooni ametiasutustele.

See näitab probleemi laiemalt: mida rohkem tundlikke KYC-andmeid finantsasutus kogub ja säilitab, seda suurem ei ole ainult andmebaasi häkkimise risk. Tekib ka risk, et täiesti legitiimseks loodud juurdepääsu- või infoväljastusprotsessi kasutatakse ära.

Allikas: TechCrunch, 2026-09-12, Revolut confirms customer data breach through fake government requests.

Probleem oli selles, et tundlikud andmed olid olemas ja need anti alusetult välja!

Parooli saab pärast andmeleket vahetada. Passi, nägu ja tehinguajalugu mitte.

Finantssektor on viimased 20 aastat ehitanud järjest võimekamat süsteemi, et klientide kohta rohkem teada saada. Võib-olla peaks järgmine etapp olema vastupidine?

Kuidas teha sama hea või parem KYC nii, et me koguksime vähem andmeid?

Tehnoloogia liigub juba selles suunas. EU Digital Identity Wallet näeb ette selective disclosure’i ja zero-knowledge proof’e – võimalust tõendada vajalikku fakti ilma kogu selle aluseks olevat informatsiooni avaldamata. See tundub mulle palju mõistlikum tulevik.

Know Your Customer ei peaks tähendama Know Everything About Your Customer and its Customers

Ja võib-olla peaks iga järgmise KYC küsimuse puhul küsima kõigepealt üht lihtsat küsimust:

Do we really need to know this?

Verify more, collect less!

Artikkel avaldati esmakordselt LinkedInis 2026-10-02. Loe originaalartiklit ja vaata kommentaare LinkedInis.