Zestawienie uwag resortowych do projektu ustawy o podpisach elektronicznych z dn. 9 lipca 2009

Transkrypt

1 Zestawienie uwag resortowych do projektu ustawy o podpisach elektronicznych z dn. 9 lipca 2009 L.P. Przepis Resort/Urząd Treść uwagi Stanowisko MG 1. Uwagi ogólne Urząd Urząd Patentowy, po ponownym przeanalizowaniu DO DYSKUSJI. Uwaga Patentowy proponowanych rozwiązań, uwaŝa iŝ ze względu na specyfikę postępowania przed Urzędem Patentowym proponowana w Kodeksie postępowania administracyjnego regulacja jest zbyt restrykcyjna. Z uwagi na to, Ŝe w przyszłości znacznie wzrośnie liczba zgłoszeń dokonywanych drogą elektroniczną oraz fakt, Ŝe udzielane przez Urząd Patentowy prawa wyłączne w swej istocie są natury cywilnoprawnej i na tym polu dochodzone są wszelkie roszczenia z nich wynikające, w działalności Urzędu Patentowego dotyczy katalogu dopuszczalnych w postępowaniu administracyjnym metod uwierzytelnienia. Oprócz Urzędu Patentowego równieŝ Generalny Urząd Nadzoru Budowlanego postuluje dopuszczenie słabszych metod uwierzytelnienia w KPA. lepiej sprawdziłyby się mniej restrykcyjne rozwiązania proponowane do Kodeksu cywilnego. Ustawa Prawo własności przemysłowej, w sprawach w niej nie uregulowanych, co prawda odsyła do Kodeksu postępowania administracyjnego, jednakŝe nie zmienia to faktu, iŝ są to odrębne regulacje. Wobec powyŝszego w przypadku wprowadzenia zmian do Kodeksu postępowania administracyjnego w proponowanej w projekcie ustawy wersji, Urząd Patentowy będzie dąŝył do nowelizacji rozporządzenia Prezesa Rady Ministrów z dnia 15 maja 2008 r. w sprawie dokonywania zgłoszeń wynalazków, produktów leczniczych i produktów ochrony roślin, wzorów uŝytkowych, wzorów przemysłowych, znaków towarowych, oznaczeń geograficznych i topografii układów scalonych oraz

2 2. Uwagi ogólne Min. Zdr. prowadzenia korespondencji w postaci elektronicznej (Dz. U. Nr 89, poz. 540), poprzez wprowadzenie zmiany spójnej z projektowanym art Kodeksu cywilnego. Proponuję dodanie do ww. projektu: 1) przepisu określającego upowaŝnienie ustawowe do określenia m.in. formatu podpisu elektronicznego; 2) przepisów określających sposób tworzenia punktu zaufania umoŝliwiającego weryfikację certyfikatów kwalifikowanych wydawanych przez podmioty świadczące te usługi na obszarze Unii Europejskiej;. Minimalne standardy stosowane w administracji reguluje stosowne rozporządzenie Ministra Spraw Wewnętrznych i Administracji. Ad 2 Mechanizm serwerowej walidacji podpisu elektronicznego będzie zaimplementowany na epuap, chociaŝ nie ma powodów dla których powinien to być jedyny mechanizm serwerowej walidacji z wykluczeniem np. usługodawców komercyjnych. W chwili obecnej nie ma jednego punktu walidacji podpisów dla centrów kwalifikowanych w Ŝadnym z państw członkowskich UE. 3) przepis w brzmieniu: 2 Ad 3 Wprowadzenie systemu dobrowolnej akredytacji jest opcją dopuszczoną przez

3 Art. 1. KaŜdy podmiot świadczący usługi certyfikacyjne ma prawo ubiegania się o status akredytowanego podmiotu świadczącego usługi certyfikacyjne w systemie dobrowolnej akredytacji rozumianej zgodnie z art. 3 ust. 2 Dyrektywy w sprawie wspólnotowych ram w zakresie podpisów elektronicznych. 2. W celu uzyskania statusu podmiotu akredytowanego, podmiot świadczący usługi certyfikacyjne opracowuje system zarządzania bezpieczeństwem informacji dla zakresu usług, jakie świadczy. 3. Podmiot świadczący usługi certyfikacyjne poddaje system zarządzania bezpieczeństwem informacji ocenie zgodności z wymaganiami odnośnej polskiej normy, wykonywaną przez niezaleŝny akredytowany podmiot działający w systemie akredytacji na podstawie ustawy z dnia 30 sierpnia 2002 r. o systemie oceny zgodności (Dz. U. z 2004 r. Nr 204, poz. 2087, z późn. zm.). 3 dyrektywę. Podkreślić naleŝy, Ŝe dla wprowadzenia tego rodzaju rozwiązania niezbędne jest istnienie podmiotów zainteresowanych zarówno świadczeniem usług certyfikacyjnych na poziomie kwalifikowanym, jak i prowadzeniem systemu akredytacji. Ministerstwo Gospodarki zasięgnęło w tej sprawie opinii PCA oraz ABW, które mogłyby odpowiednio pełnić funkcję jednostki akredytującej oraz jednostki badającej bezpieczne urządzenia do składania podpisu elektronicznego. PoniewaŜ liczba podmiotów świadczących usługi certyfikacyjne na poziomie kwalifikowanym oraz podmiotów produkujących karty kryptograficzne na odpowiednim poziomie bezpieczeństwa nie jest znaczna oba podmioty nie rekomendowały wpisania przepisów o akredytacji do ustawy (PCA) lub wnioskowały o ich usunięcie (ABW). Wprowadzenie systemu dobrowolnej akredytacji opartego jedynie o normę dotyczącą

4 zarządzania bezpieczeństwem informacji (ISO 27001) nie wyczerpuje ogółu wymagań dla podmiotów kwalifikowanych, co zmusi do przejścia pełnej kontroli przeprowadzonej przez organ nadzoru. Przejście dobrowolnej akredytacji opartej o normę zarządzania bezpieczeństwem informacji nie jest niezbędne dla podmiotów kwalifikowanych, a podniesie koszt uruchomienia centrum kwalifikowanego o opłaty za wejście do systemu oraz utrzymanie podmiotu w systemie dobrowolnej akredytacji. 4. Uzyskanie certyfikatu zgodności z polską normą wskazaną w ust. 3 jest równowaŝne uzyskaniu statusu akredytowanego podmiotu świadczącego usługi certyfikacyjne. 5. Podmiot świadczący usługi certyfikacyjne jest obowiązany niezwłocznie informować, za pomocą zwyczajowo przyjętych środków komunikacji, o wszelkich zmianach w certyfikacie zgodności, o którym 4 Nie do przyjęcia jest stwierdzenie, Ŝe uzyskanie zgodności z polską normą w zakresie zarządzania bezpieczeństwem informacji jest równowaŝne z uzyskaniem statusu akredytowanego podmiotu świadczącego usługi certyfikacyjne. Zdecydowana większość podmiotów, które uzyskają zgodność z tą normą będzie to robić z innych przyczyn niŝ po to, aby stać się

5 mowa w ust. 4. podmiotem świadczącym usługi certyfikacyjne. Akredytacja w tak rozumianym systemie akredytacji podmiotów świadczących usługi certyfikacyjne na poziomie niekwalifikowanym mogłaby skutkować większą standaryzacją procedur realizowanych w tych podmiotach ale równieŝ podniesie w istotny sposób koszt funkcjonowania, który ostatecznie zapłacą usługobiorcy. 3. Uwagi ogólne MSWiA Zwracam uwagę, iŝ w projekcie ustawy brak jest wymagań dla podmiotów świadczących usługi certyfikacyjne związanych z zastosowaniem podpisu zawansowanego. WYJAŚNIENIE: Wymagania dla podmiotów świadczonych przez podmioty są określane wspólnotowymi standardami. Wymagania te są zróŝnicowane w zaleŝności od tego czy podmiot wydaje certyfikaty kwalifikowane czy zwykłe. Nie ma standardów dla podmiotów świadczących usługi związanych z zastosowaniem podpisu zaawansowanego, ale znajdą zastosowanie standardy dla wymienionych 5

6 obu rodzajów certyfikatów. Projekt ustawy uwzględnia wymogi dla obu rodzajów podmiotów i nie przewiduje się tworzenia osobnej kategorii podmiotów świadczących certyfikaty dla podpisów zaawansowanych. Podpisy zaawansowane będą weryfikowane certyfikatem kwalifikowanym lub certyfikatem zwykłym. Nadzór Ministra Gospodarki obejmie wyłącznie podmioty kwalifikowane. 4. Uwagi ogólne MSWiA Proszę o uwzględnienie w projekcie ustawy delegacji dla MSWiA umoŝliwiającej określenie w drodze rozporządzenia szczegółowych warunków technicznych i organizacyjnych dla podmiotów świadczących usługi certyfikacyjne związanych z zastosowaniem podpisu zaawansowanego w usługach świadczonych na drodze elektronicznej przez administrację publiczną na rzecz osób fizycznych i podmiotów. DO DYSKUSJI NA KONFERENCJI UZGODNIENIOWEJ. Wprowadzenie tego rodzaju zapisu skomplikuje wydatnie strukturę nadzoru, gdyŝ podpis kwalifikowany jest szczególnym rodzajem podpisu zaawansowanego, co wprowadzi podwójny nadzór dla podmiotów kwalifikowanych.dyskusja w tym zakresie wymaga przedstawienia bardziej szczegółowej listy wymagań dla podmiotów tego rodzaju, co umoŝliwi ocenę zasadności propozycji 6

7 5. Uwagi ogólne RCL W uzasadnieniu i ocenie skutków regulacji nie wskazano wydatków, jakie muszą ponieść organy juŝ wykorzystujące podpis elektroniczny, gdzie systemy działają w oparciu o bezpieczny podpis elektroniczny. NaleŜy określić, jakie będą koszty dostosowania systemów do nowych narzędzi, wprowadzanych przez ustawę, tzn. pieczęci elektronicznej oraz podpisu osobistego. NaleŜałoby równieŝ wskazać wydatki, jakie będą musiały być poniesione na wprowadzenie przez ministra właściwego do spraw administracji publicznej podpisu osobistego. tworzenia nowego rozporządzenia lub ewentualnie moŝe pozwolić na uwzględnienie wymagań MSWiA w innych rozporządzeniach. Ustawa n ie wprowadza obowiązku wykorzystywania nowych narzędzi związanych z podpisem elektronicznym. Ponadto, koszty nie są moŝliwe do wyszacowania ze względu na brak oferty nowych rozwiązań. Brak jest obecnie komercyjnych rozwiązań w zakresie podpisu zaawansowanego. Podpis będzie realizowany w ramach projektu pl.id. Koszt projektu będzie oszacowany w ramach OSR ustawy wprowadzającej plid. Brak jest równieŝ gotowych narzędzi do składania pieczęci elektronicznej. W efekcie nie jest znany koszt aplikacji oraz certyfikatów do składania pieczęci elektronicznej. Nie jest wiadomo jakie metody uwierzytelnienia będą stosowane w poszczególnych systemach administracji publicznej. 7

8 6. Uwagi ogólne RCL NaleŜy uznać, Ŝe proponowane w ustawie rozwiązania mogą spowodować faktyczne zniknięcie podpisu kwalifikowanego z obrotu prawnego, bowiem zarówno w obrocie cywilno prawnym jak i kontaktach z administracją wystarczać będzie podpis zaawansowany. Tego typu kierunek prowadzenia prac legislacyjnych moŝe budzić zasadnicze wątpliwości co do naruszenia zasad pewności i stabilności prawa. Wprowadzając instytucję podpisu elektronicznego do systemu prawa, określono szczegółowe, dość restrykcyjne zasady jej działania. W oparciu o zaufanie do systemu prawa podmioty świadczące tego typu usługi rozpoczęły działalność, ponosząc określone nakłady. Obecnie proponowane rozwiązania wprowadzają znaczne zmiany w całym obszarze działalności tych podmiotów. Konieczne jest zatem szczegółowe, merytoryczne uzasadnienie przyjęcia proponowanych rozwiązań, wraz z określeniem skutków finansowych dla podmiotów dotychczas działających w sferze przedmiotowych usług. 8 NIEUWZGLĘDNIONA. Przyjęte w ustawie rozwiązania odwzorowują kategorie podpisu elektronicznego występujące w dyrektywie 99/93/WE, a wprowadzane zmiany wynikają z potrzeb państwa w zakresie informatyzacji. W odniesieniu do podpisu osobistego jest to szczególna postać znanego dyrektywie podpisu zaawansowanego, który został powiązany z dowodem osobistym. Kierunek prac w zakresie dywersyfikacji rodzajów podpisu elektronicznego wyznacza nie tyle postulat pewności i stabilności prawa, co dorobek wspólnotowy (podpis zaawansowany), postęp technologiczny (certyfikaty atrybutów, usługi OCSP) oraz potrzeby informatyzacji (pl.id). Usługodawcy komercyjni mogą skorzystać na wprowadzeniu nowej ustawy świadcząc nowe rodzaje usług. Podkreślenia wymaga fakt, Ŝe większy wpływ na rynek certyfikatów kwalifikowanych moŝe mieć upowszechnienie rozwiązań

9 7. Uwagi ogólne UKIE I. W związku z zaleceniami Prezesa RM dotyczącym kontroli i wyeliminowania przypadków tzw. nadregulacji w procesie implementacji prawa wspólnotowego do polskiego porządku prawnego, polegającej m.in. na: implementacji dyrektyw juŝ wdroŝonych lub rozszerzania zakresu projektowanych aktów prawnych implementujących prawo wspólnotowe o sprawy nie objęte jej zakresem, jestem zobowiązany do ponownej oceny projektu ustawy o podpisach elektronicznych pod tym kątem. 8. Uwagi ogólne ZUS Uzasadnienie proponowanych zmian: Biorąc pod uwagę szczegółowość zapisów projektu ustawy o podpisach elektronicznych, brak sprecyzowanych załoŝeń do przepisów wykonawczych oraz prowadzone aktualnie prace odnoszące się do transgraniczności podpisów elektronicznych takich jak zaufany profil na epuap niŝ wprowadzenie nowych rodzajów podpisu elektronicznego. Podpis kwalifikowany nie jest celem samym w sobie i jego zastosowanie moŝe być w przyszłości wypierane np. przez techniki biometryczne. UWZGLĘDNIONA. Zostanie przygotowane dodatkowe uzasadnienie proponowanych rozwiązań przekraczających minimum wynikające z dyrektywy.dyrektywy wspólnotowe z reguły obejmują obszar zagadnień wymagający unifikacji lub konwergencji. Nie oznacza to, Ŝe ustawy państw członkowskich nie mogą zawierać oprócz regulacji implementujących prawo wspólnotowe takŝe innych zagadnień, których nie zawierają dyrektywy. PRZYJĘTO WYJAŚNIENIA ZUS 9

10 uwaŝamy, Ŝe wprowadzenie do ustawy o systemie ubezpieczeń społecznych obowiązku obsługi przez Zakład Ubezpieczeń Społecznych pieczęci elektronicznej i podpisu osobistego jest przedwczesne. Zakład wziąłby na siebie ustawowy obowiązek przygotowania, w określonym czasie, swoich systemów do obsługi pieczęci elektronicznej, przy jednoczesnym wycofaniu się z dotychczasowego rozwiązania. Z projektu ustawy o podpisach elektronicznych nie wynika jak będzie wyglądała i funkcjonowała pieczęć elektroniczna. Nie ma teŝ w projekcie ustawy mowy o tym kto i w jakim terminie opracuje przepisy szczegółowe odnośne pieczęci elektronicznej, która w projekcie ustawy pojawiła się hasłowo. Podobnie przedstawia się sytuacja z podpisem osobistym nie wiadomo kiedy będzie wdraŝany i jaką będzie miał postać. Zaproponowane wcześniej przez Zakład ( i zawarte w przedłoŝonym projekcie) przepisy nowelizujące ustawę o systemie ubezpieczeń społecznych (mimo ich zasadności) nie mogą bazować na nieuregulowanych prawnie i nieokreślonych technicznie rozwiązaniach, przy jednoczesnym nałoŝeniu na Zakład zobowiązań, których spełnienie zaleŝne będzie od mających powstać w przyszłości, a znanych obecnie tylko w formie koncepcji, przepisów i rozwiązań technicznych. Istnieje uzasadniona obawa, Ŝe przepisy dotyczące podpisu osobistego i pieczęci elektronicznej mogą na dłuŝszy czas stać się przepisami martwymi, a następnie przed ich praktycznym 10

11 zastosowaniem, najprawdopodobniej zostaną zmienione, aby uwzględnić nowe uwarunkowania prawne i techniczne. W takiej sytuacji wycofanie się z obecnie obowiązujących rozwiązań moŝe przynieść negatywne skutki problemy związane z obsługą dokumentów elektronicznych i dodatkowe koszty płatników składek. Stąd teŝ proponujemy utrzymanie obecnie obowiązujących rozwiązań i w tym kierunku idą zaproponowane obecnie zmiany ustawy o systemie ubezpieczeń społecznych. 9. Art. 2 MSWiA DI Proponujemy zmianę definicji pieczęci elektronicznej, tak by poprawnie odróŝnić ją od innych form podpisu elektronicznego: pieczęć elektroniczna zaawansowany podpis elektroniczny uwierzytelniający podpisującego nie będącego osobą fizyczną działającą w imieniu własnym, który moŝe zostać złoŝony w sposób automatyczny, bez bezpośredniego udziału podpisującego. ODRZUCONO W CZĘŚCI DOTYCZĄCEJ DEFINICJI I PRZYJĘTO W CZĘŚCI DOTYCZĄCEJ DELEGACJI DO ROZPORZĄDZENIA. Obecna definicja pieczęci elektronicznej została opracowana w uzgodnieniu z Ministerstwem Sprawiedliwości oraz Komisją Kodyfikacyjną Prawa Cywilnego. MS i KKPC odrzuciły koncepcję pieczęci elektronicznej jako podpisu zaawansowanego. Wskazana dyskusja w tym zakresie między MSWiA oraz MS i KKPC. Równocześnie w ustawie powinna znaleźć się delegacja do Delegacja do wydania 11

12 rozporządzenia określającego minimalne wymagania techniczne dla urządzeń umoŝliwiających automatyczne składanie pieczęci elektronicznej. 10. Art. 2 pkt 2 RCL Wątpliwości budzi definicja zaawansowanego podpisu elektronicznego (art. 2 pkt 2) w zakresie warunku utworzenia go za pomocą środków, które podpisujący moŝe mieć pod wyłączną kontrolą. Wydaje się, Ŝe choć w tym zakresie przepis ten stanowi dokładne tłumaczenie dyrektywy 1999/93/WE, nie do końca odpowiada koniecznemu uwypukleniu zasadniczej cechy tego podpisu, jaką jest fakt, Ŝe podpisujący musi mieć wyłączną kontrolę nad środkami do składania podpisu w momencie podpisywania, natomiast poza tym momentem taka wyłączność jest mu zapewniona, ale nie jest bezwzględnie wymagana. rozporządzenia określającego wymagania technologiczne i operacyjne dla systemów teleinformatycznych generujących pieczęć elektroniczną moŝe być zasadna ODRZUCONO. Zaproponowane w projekcie MG brzmienie jest zgodne z dyrektywą, a przedstawiona propozycja brzmienia odmiennego od Dyrektywy 99/93/WE nie jest dostatecznie mocno uzasadniona. Stwierdzenie, Ŝe podpisujący musi mieć środki pod wyłączną kontrolą w momencie podpisywania jest stwierdzeniem nadmiarowym, gdyŝ powinność podpisującego wystarczająco oddaje słowo moŝe. Proces składania podpisu elektronicznego jest kontrolowany przez podpisującego poprzez złoŝoną infrastrukturę, która nigdy jako taka nie moŝe być pod wyłączną kontrolą podpisującego, nawet w chwili składania podpisu elektronicznego. Podkreślić naleŝy, Ŝe nie tylko 12

13 11. Art. 2 pkt 3 Min. Zdr. Proponuje się rozwaŝyć odejście od metody weryfikacji podpisu osobistego certyfikatem, gdyŝ nie odzwierciedla to aktualnego stanu kryptologii; proponuje się wprowadzenie definicji w następującym brzmieniu: 3) podpis osobisty - zawansowany podpis elektroniczny składany przez podpisującego, będącego osobą fizyczną przy pomocy danych słuŝących do składania podpisu elektronicznego zawartych w dokumencie toŝsamości, spełniający wymagania określone przepisami odrębnymi ; 12. Art. 2 pkt 3 MSWiA Art. 2 pkt 3 - Proszę o uwzględnienie wcześniejszych sugestii, by definicja podpisu osobistego przyjęła brzmienie: dyrektywa wspólnotowa, ale równieŝ ustawodawstwo państw członkowskich (np. ustawa austriacka) uŝywa w definicji podpisu zaawansowanego wyraŝenia modalnego moŝe. DEFINICJA PODPISU OSOBISTEGO POWINNA BYĆ DYSKUTOWANA Z PROPONENTEM (MSWIA) Na chwile obecną nadal dominującą technologią w odniesieniu do podpisów zaawansowanych pozostaje weryfikacja podpisów elektronicznych przy pomocy certyfikatów. DO UWZGLĘDNIENIA podpis osobisty - zaawansowany podpis elektroniczny złoŝony przez podpisującego będącego osobą fizyczną, za pomocą danych do składania podpisu osobistego zawartych w jego waŝnym dowodzie osobistym. 13

14 13. Art. 2. pkt 3. RCL Proponujemy z definicji podpisu osobistego (art. 2 pkt 3) wykreślić wyrazy weryfikowany za pomocą certyfikatu wydanego według właściwej polityki certyfikacji zgodnie z przepisami o dowodach osobistych. Wydaje się bowiem, Ŝe zasadniczymi cechami tego podpisu jest to, Ŝe złoŝyć go moŝe tylko osoba fizyczna oraz Ŝe dane do jego złoŝenia zawarte są w dowodzie osobistym. 14. Art. 2 pkt 4 Min. Fin. NaleŜy zauwaŝyć, Ŝe wyłączenie w art a Ordynacji podatkowej zaświadczeń z pism, które mogą być podpisywane podpisem elektronicznym, wynika z braku moŝliwości ich uwiarygodnienia w formie elektronicznej w obecnym stanie prawnym. Mając na uwadze art. 2 pkt 4 projektu ustawy o podpisach elektronicznych, w którym przewidziano nową formułę pieczęci elektronicznej, wyjaśnienia wymaga kwestia, czy pieczęć elektroniczna spełnia standardy uwiarygodnienia w formie elektronicznej, które pozwalałyby na stosowanie podpisu elektronicznego równieŝ w odniesieniu do zaświadczeń. 15. Art. 2 pkt 4 Min. Zdr. Proponuje się nadać brzmienie: 4) pieczęć elektroniczna zaawansowany podpis elektroniczny uwierzytelniający podmiot niebędący osobą fizyczną; Definicja w obecnym brzmieniu jest powtórzeniem cech DO DYSKUSJI Z MSWIA WYJAŚNIENIE: Pieczęć elektroniczna nie musi spełniać wszystkich cech podpisu elektronicznego. MoŜe stanowić potwierdzenie tego, Ŝe dokument istniał w określonym czasie oraz Ŝe nie uległ zmianie w trakcie przesyłania. Urząd który rozwaŝa wprowadzenie pieczęci elektronicznej powinien we własnym zakresie dokonać analizy adekwatności takiego rozwiązania.. Obecna definicja pieczęci elektronicznej została opracowana w uzgodnieniu z Ministerstwem Sprawiedliwości oraz Komisją Kodyfikacyjną Prawa Cywilnego. MS i KKPC odrzuciły koncepcję pieczęci elektronicznej jako podpisu zaawansowanego osoby prawnej i innych 14

15 wyróŝniających zaawansowany podpis elektroniczny, co wydaje się zbędne; 16. Art. 2 pkt 4 MSWiA Art. 2 pkt 4 - konieczna jest zmiana składni w definicji pieczęci elektronicznej, w brzmieniu dotychczasowym definicja moŝe być niezrozumiała. Zmiana jest równieŝ konieczna w celu odróŝnienia pieczęci elektronicznej od innych form podpisu elektronicznego. Proponuję następujące brzmienie: pieczęć elektroniczna zaawansowany podpis elektroniczny uwierzytelniający podpisującego nie będącego osobą fizyczną działającą w imieniu własnym, który moŝe zostać złoŝony w sposób automatyczny, bez bezpośredniego udziału podpisującego. jednostek organizacyjnych. DO DYSKUSJI. Obecna definicja pieczęci elektronicznej została opracowana w uzgodnieniu z Ministerstwem Sprawiedliwości oraz Komisją Kodyfikacyjną Prawa Cywilnego. MS i KKPC odrzuciły koncepcję pieczęci elektronicznej jako podpisu zaawansowanego osoby prawnej i innych jednostek organizacyjnych. Do rozwaŝenia uzupełnienie : moŝe zostać złoŝona w sposób automatyczny Równocześnie w ustawie powinna znaleźć się delegacja do rozporządzenia określającego minimalne wymagania techniczne dla urządzeń umoŝliwiających automatyczne składanie pieczęci elektronicznej. Delegacja do wydania rozporządzenia określającego wymagania technologiczne i operacyjne dla systemów teleinformatycznych generujących pieczęć elektroniczną moŝe być zasadna 17. Art. 2 pkt 4 NBP W opinii NBP definicja pieczęci elektronicznej (pkt 4) powinna DO DYSKUSJI. Obecna definicja pieczęci 15

16 uwzględniać odwołanie do zaawansowanego podpisu elektronicznego. elektronicznej została opracowana w uzgodnieniu z Ministerstwem Sprawiedliwości oraz Komisją Kodyfikacyjną Prawa Cywilnego. MS i KKPC odrzuciły koncepcję pieczęci elektronicznej jako podpisu zaawansowanego osoby prawnej i innych jednostek organizacyjnych. Ponadto w dalszej części projektu ustawy nie występuje pojęcie pieczęci elektronicznej. Nie określono równieŝ sposobu wykorzystania pieczęci elektronicznej, wymagań technicznych i skutków prawnych związanych z jej stosowaniem. 18. Art. 2 pkt 4 RCL Ponownie zwracamy uwagę, Ŝe ustawa nie moŝe wprowadzać do systemu prawa instytucji, a następnie nie regulować kwestii z nimi związanych. Dlatego teŝ definicja pieczęci elektronicznej (art. 2 pkt 4) która przy obecnym brzmieniu zdaje się wskazywać, Ŝe nie jest to podpis elektroniczny wykracza poza zakres ustawy. 16 Istnieje wiele rodzajów pieczęci tradycyjnych i nie ma jednego określonego skutku prawnego. TakŜe w przypadku pieczęci elektronicznej zastosowanie i skutek prawny musi wynikać z określonych przepisów szczególnych np. prawa administracyjnego i moŝe być róŝny w róznych zastosowaniach. DO DYSKUSJI Z MS, KKPC, MSWiA RCL oraz podmiotami kwalifikowanymi. Zaproponowane przepisy nie muszą na obecnym etapie stanowić kompleksowego

17 Ponadto dalsze przepisy projektowanej ustawy nie regulują zasadniczych kwestii kto moŝe świadczyć tego typu usługi, na jakich zasadach, jakie byłyby stawiane wymagania techniczne oraz jaki byłby zakres kontroli lub nadzoru. Tylko w przepisach zmieniających inne ustawy uwzględnia się tę instytucję, nie wyjaśniając tych podstawowych kwestii. Wskazaną w uzasadnieniu do projektu przesłankę (str. 3 uzasadnienia), Ŝe Potrzeby praktyki obrotu gospodarczego i administracyjnego pozwolą w przyszłości zapełnić pieczęć elektroniczną pełniejszą treścią nie moŝna uznać za przekonywującą dla nieregulowania zasadniczych kwestii. W sytuacji, gdy jednak pojawią się na rynku podmioty świadczące te usługi będą one miały pełną swobodę w tym zakresie, mimo Ŝe skutki, jakie prawo wiąŝe z opatrzeniem pieczęcią dokumentu elektronicznego są toŝsame ze skutkami, jakie obecnie wynikają z uŝycia bezpiecznego podpisu elektronicznego weryfikowanego przy pomocy waŝnego kwalifikowanego certyfikatu. 17 rozwiązania ale powinny umoŝliwić wyjście z błędnego koła, które polega na tym, Ŝe nikt nie inwestuje w opracowanie rozwiązań technicznych dla pieczęci elektronicznej, gdyŝ nie ma jakichkolwiek regulacji i nie ma regulacji poniewaŝ nie moŝna ich wyczerpująco sformułować, gdyŝ nie są znane szczegóły moŝliwych rozwiązań technicznych. Jakkolwiek pieczęć elektroniczna według zmienionej definicji nie jest podpisem zaawansowanym to jej miejsce w ustawie uzasadnia fakt, Ŝe wydawanie certyfikatów do jej składania jest usługą certyfikacyjną. Znakowanie czasem oraz certyfikaty atrybutów równieŝ nie są podpisami elektronicznymi. Kwestia wymagań technicznych moŝe zostać uszczegółowiona poprzez wprowadzenie delegacji do wydania rozporządzenia. Certyfikaty do składania pieczęci elektronicznej mogą wydawać podmioty świadczące usługi certyfikacyjne. UŜytkownikiem moŝe być zgodnie z definicją kaŝdy

18 19. Art. 2 pkt 9 Min. Zdr. Proponuje się zrezygnować z definicji w obecnym brzmieniu 20. Art. 2 pkt 11 Min. Zdr. W przypadku bezpiecznego urządzenia do składania podpisu elektronicznego proponuje się wprowadzenie rozwiązań analogicznych do obecnie obowiązujących 21. Art. 2 pkt 13 RCL Proponujemy rozwaŝyć wykreślenie z definicji podpisującego (art. 2 pkt 13) wyrazów posiadająca urządzenie do składania podpisu elektronicznego. Wydaje się bowiem, Ŝe warunek posiadania jest nie tylko zbędny, ale w niektórych przypadkach będzie niemoŝliwy do spełnienia (np. przy wykorzystywaniu publicznie dostępnego sprzętu, jakim są komputery w kawiarenkach internetowych). 22. Art. 2 pkt 14 Min. Zdr. Pojawia się wątpliwość, czy w świetle Dyrektywy 1999/93/WE, która mówi wyłącznie o kwalifikowanym certyfikacie, właściwe jest tworzenie nowego pojęcia podmiot kwalifikowany ; podmiot. NIE PRZYJĘTA z powodu wykorzystania terminu dokładność synchronizacji w definicji znakowania czasem. AUTOPOPRAWKA MG: Usunięte zostają słowa posiadające deklarację zgodności, poniewaŝ deklaracja zgodności jest wydawana na komponent programistyczny a na komponent sprzętowy jest wydawany certyfikat. NIEUWZGLĘDNIONA: Definicja w tym względzie odwzorowuje definicję zawartą w dyrektywie. NIEUWZGLĘDNIONA: Pojęcie nie jest nowe, gdyŝ występuje w obecnie obowiązującej ustawie i stanowi jedynie skrót stosowanego pod rządami obowiązującej ustawy o podpisie elektronicznym pojęcia kwalifikowany podmiot świadczący usługi certyfikacyjne w zakresie podpisu elektronicznego. Z 18

19 23. Art. 2 pkt 15 Min. Zdr. NaleŜałoby się zastanowić czy wprowadzenie do certyfikatu danych słuŝących do weryfikacji cech biometrycznych osoby fizycznej jest konieczne i zgodne z Dyrektywą 1999/93/WE; 19 wydawaniem kwalifikowanych certyfikatów powiązane są określone standardami wspólnotowymi wymogi odnoszące się nie tylko do samych certyfikatów, ale równieŝ podmiotów świadczących tego rodzaju usługi. Podmioty te w odróŝnieniu od wszystkich pozostałych podmiotów świadczących usługi certyfikacyjne mogą być nazywane kwalifikowanymi podmiotami świadczącymi usługi certyfikacyjne w zakresie podpisu elektronicznego lub podmiotami kwalifikowanymi. UWAGA W TYM ZAKRESIE ZGŁASZANA BYŁA W UZGODNIENIACH PIERWSZEJ WERSJI PROJEKTU USTAWY PRZEZ GIODO I ZOSTAŁA ODRZUCONA. Cechy biometryczne w certyfikacie mogły występować w zgodzie ze standardami wspólnotowymi w świetle obowiązującego dotychczas rozporządzenia Rady Ministrów z dn. 7 sierpnia 2002 r. w sprawie

20 24. Art. 2 pkt 15 MSWiA Art. 2 pkt 15 konieczna jest zmiana składni w definicji certyfikatu zwłaszcza w odniesieniu do elementu umoŝliwiając jej identyfikację. 25. Art. 2 pkt 18 Min. Zdr. Proponuje się rozwaŝenie wprowadzenia szerszej definicji opartej na koncepcji przyjętej w polskiej normie dot. usług znacznika czasu (PN ISO/IEC ), tj. usługi polegającej na dostarczaniu poświadczeń, Ŝe element danych istniał przed określenia warunków technicznych i organizacyjnych dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne, polityk certyfikacji dla kwalifikowanych certyfikatów wydawanych przez te podmioty oraz warunków technicznych dla bezpiecznych urządzeń słuŝących do składania i weryfikacji podpisu elektronicznego. Rozwiązania takie nie są dotychczas często spotykane, ale nie jest to Ŝaden precedens w odniesieniu do certyfikatów podpisu elektronicznego. UWAGA NIEJASNA. W dotychczas obowiązującej ustawie: i które umoŝliwiają identyfikację tej osoby, a w projekcie są przypisane podpisującemu, umoŝliwiając jego identyfikację. Oczekujemy propozycji. DO DYSKUSJI Znakowanie czasem powinno być usługą związaną z podpisem elektronicznym. Powstaje wątpliwość czy tak szerokie określenie znakowania 20

21 określonym punktem w czasie. czasem, nie jest datownikiem elektronicznym z którego regulacji zrezygnowano jako wykraczającego poza zakres przedmiotowej regulacji. 26. Art. 4 ust. 2 Min. Infr. W art. 4 ust. 2 projektu proponuję zastosować spójnik logiczny lub zamiast albo, gdyŝ zdarzenia wskazane w pkt 1 i 3 mogą wystąpić łącznie. DO DYSKUSJI Z RCL, gdyŝ łącznik ALBO występuje dwukrotnie i zmiany naleŝałoby w takim układzie dokonać w pkt 1 i 2. Z merytorycznego punktu widzenia wystarczy jedna przesłanka i nie jest istotne jeśli spełniona będzie więcej niŝ jedna. Wydaje się, Ŝe proponowana zmiana jest pozbawiona praktycznej doniosłości. 27. Art. 4 ust. 2 NBP W ust. 2 występuje pojęcie udzielenia gwarancji na certyfikat, które nie jest zdefiniowane w art. 2. DO DYSKUSJI Z PODMIOTAMI KWALIFIKOWANYMI. Nie wszystkie pojęcia uŝywane w tekstach prawnych wymagają definiowania. Definiowanie wszystkich terminów prawnych czy ekonomicznych uŝytych w tekście spowoduje nadmiarowe rozbudowanie siatki definicji względem analogicznego katalogu zawartego w dyrektywie 99/93/WE. 28. Art. 5 MSWiA Art. 5 - naleŝy uzupełnić o przepis dotyczący skutków prawnych DO DYSKUSJI Z MSWIA, 21

22 pieczęci elektronicznej. WciąŜ bowiem nie jest jasne jakie efekty spowoduje jej uŝycie. MoŜna zaproponować tu dodanie nowego ustępu w brzmieniu: Opatrzenie danych pieczęcią elektroniczną wywołuje skutek prawny zaawansowanego podpisu elektronicznego złoŝonego przez podpisującego, jeśli przepis szczególny tak stanowi, lub gdy podpisujący wyraził na to zgodę. 29. Art. 5 ust. 1 RCL Zmiany wymaga konstrukcja zawieszenia certyfikatu, przyjęta w art. 5 ust. 1 projektu. Przewiduje się bowiem, Ŝe w przypadku złoŝenia podpisu w okresie zawieszenia certyfikatu skutek prawny ustaje z chwilą uniewaŝnienia certyfikatu. Zatem zawieszenie nie wywołuje negatywnych skutków prawnych w zakresie uŝycia podpisu elektronicznego. Przesłanki uzasadniające zawieszenie certyfikatu (art. 27 ust. 4 w zw. z ust. 2) wskazują, Ŝe istnieje wysokie prawdopodobieństwo, Ŝe zawieszonym certyfikatem posłuŝy się osoba do tego nieuprawniona. W tym przypadku jednak podpis elektroniczny wywołuje skutek prawny, który trwa aŝ do momentu uniewaŝnienia certyfikatu. Zatem wszelkie czynności dokonane przy uŝyciu zawieszonego certyfikatu aŝ do chwili jego uniewaŝnienia zachowują moc. Co więcej z art. 5 ust. MS, RCL i PODMIOTAMI KWALIFIKOWANYMI. Zdecydowanie popieramy określenie skutków pieczęci elektronicznej oraz dodanie przepisów stwarzających moŝliwość jej zastosowania. Pieczęć elektroniczna nie moŝe wywoływać skutku podpisu zaawansowanego, poniewaŝ nie jest podpisem i nie słuŝy do podpisywania ale do zapewnienia integralności i autentyczności pochodzenia. DO DYSKUSJI. Proponujemy autopoprawkę przez usunięcie art. 28. ust. 7 22