Opinia Polskiej Izby Informatyki i Telekomunikacji do projektu ustawy o podpisach elektronicznych (wersja z roku) Uwagi generalne

Transkrypt

1 Warszawa Opinia Polskiej Izby Informatyki i Telekomunikacji do projektu ustawy o podpisach elektronicznych (wersja z roku) Polska Izba Informatyki i Telekomunikacji [PIIT] proponuje następujące poprawki do przedłożonej do konsultacji wersji projektu ustawy o podpisach elektronicznych. Poprawki te mają na celu uściślenie treści zapisów oraz usprawnienie wydawania i upowszechnienia stosowania podpisów elektronicznych. Uwagi generalne Uwaga nr 1: Funkcjonowanie Kwalifikowanych podmiotów świadczących usługi certyfikacyjne Projektowana ustawa niestety nie ułatwia, wbrew treści uzasadnienia, działalności kwalifikowanym podmiotom, gdyż w szczególności: 1. zaostrza odpowiedzialność odszkodowawczą podmiotów kwalifikowanych świadczących usługi certyfikacyjne, 2. nie zmienia warunków obsługi klienta, 3. pozostawia wymóg przygotowywania umowy w formie pisemnej, 4. utrzymuje, wbrew uzasadnieniu, wymóg wpisywania na żądanie klienta dowolnych danych w certyfikacie, 5. utrzymuje obowiązek przechowywania przez 20 lat różnych dokumentów i danych, 6. brakuje rozróżnienia skutków prawnych dla różnych podpisów. Naszym zdaniem konieczne jest przeanalizowanie skutków działania nowej ustawy na koszty działalności podmiotów kwalifikowanych świadczących usługi certyfikacyjne, co ma istotne znaczenie na ceny wydawanych certyfikatów. Między innymi warte rozważania jest umożliwienie zawierania umów w formie elektronicznej oraz umożliwienie zastosowania archiwizacji elektronicznej dokumentów (z wykorzystaniem analogicznych zasad jak w prawie bankowym). Uwaga nr 2: Istnienie Root a Treść ustawy nie zawiera informacji o istnieniu Root a, choć w uzasadnieniu jest napisane, że Root zostaje Uwagi PIIT do projektu ustawy o podpisach elektronicznych 1

2 Jesteśmy przeciwni likwidacji Root a - w okresie 7 lat obowiązywania ustawy instytucja Roota dla usług kwalifikowanych sprawdziła się, umożliwiając w łatwy sposób identyfikację podmiotu świadczącego takie usługi. W związku z tym wnosimy o włączenie do ustawy zapisów z dotychczas obowiązującej ustawy Art.23 ust.2 wraz z ustępami wynikającymi z tego artykułu (ust. 3 i 4). W konsekwencji należy również wprowadzić regulacje dotyczące zaświadczenia i poświadczenia elektronicznego oraz skutków prawnych i zasad wydawania i unieważniania zaświadczeń certyfikacyjnych. Przy tej okazji warto byłoby też zastanowić się nad propozycją stworzenia wspólnego punktu zaufania, który umożliwiałby weryfikację zaufania zarówno pochodzącego do centrów wydających certyfikaty kwalifikowane w Polsce, jak i w UE. Do tego celu tzw. Root nie nadaje się. Uwaga nr 3: Lista kwalifikowanych podmiotów świadczących usługi certyfikacyjne Ustawa nakłada na Ministra Gospodarki obowiązek prowadzenia listy kwalifikowanych podmiotów świadczących usługi certyfikacyjne, ale nie ma ani słowa, co ona ma zawierać. Nowe brzmienie art. 32 sugeruje, że właściwy minister prowadzi i rejestr i listę kwalifikowanych podmiotów. Rejestr ma formę papierową, a lista elektroniczną. Formuła ta wymaga jednak dopracowania, a mianowicie jakie informacje na takiej liście będą umieszczane, w szczególności takie dane jak data wpisu do rejestru. Lista powinna być prowadzona zgodnie z zapisami standardu ETSI Uwaga nr 4: Podpis urzędowy Zgadzamy się z uzasadnieniem wprowadzenia podpisu urzędowego czyli szczególnej postaci podpisu zaawansowanego związanego z dokumentem tożsamości. Jednakże mamy tutaj następujące naszym zdaniem warte rozważania zastrzeżenia: 1. Podpis urzędowy nie istniejący w dyrektywie wspólnotowej zgodnie z projektem ustawy jest przewidziany do zastosowania w administracji publicznej do dokumentów tożsamości, które są mają być wydawane dopiero od roku Wprowadzenie w projektowanej ustawie pojęcia podpis urzędowy do ustawy przy równoczesnej zmianie nazwy podpisu bezpiecznego na kwalifikowany oraz wprowadzenia podpisu zaawansowanego może powodować zamieszanie wśród użytkowników, którzy mogą mieć wątpliwości co do znaczenia i wartości prawnej każdego z podpisów. 3. Podmioty świadczące usługi certyfikacyjne będą miały obowiązek wyjaśnienia użytkownikom zmian w nazewnictwie podpisów, mówiąc przy okazji, że podpis urzędowy jest jeszcze nieaktywny. Taka sytuacja spowoduje niepotrzebne obniżenie rangi tego podpisu Uwagi PIIT do projektu ustawy o podpisach elektronicznych 2

3 4. Dodatkowo należy zakładać, że jest możliwe, iż oprócz podpisu urzędowego będzie potrzebne wprowadzenie innych podobnych podpisów elektronicznych jak na przykład: podpis pacjenta na karcie NFZ czy też podpis bankowy na kartach dostępu do kont bankowych. Taka zmiana powodowałaby konieczność wprowadzenia w projektowanej ustawie definicji poszczególnych rodzajów certyfikatów i podpisów, co wydaje się być obecnie niecelowe i przedwczesne. 5. W chwili osiągnięcia gotowości do wydawania elektronicznych dokumentów identyfikacyjnych ( typu PL.ID) w ustawie o tych dokumentach będzie możliwe wpisanie wprowadzenia podpisu urzędowego lub identyfikatora tożsamości jako podpisu zaawansowanego o określonej specyfikacji, powołując się na ustawę o podpisach. Po przemyśleniu, akceptując potrzebę istnienia identyfikatora tożsamości (obecnie nazywanego podpisem urzędowym), wnosimy jednak o usunięcie z niniejszego projektu ustawy o podpisach elektronicznych zapisów dotyczących podpisu i certyfikatu urzędowego. Uwaga nr 5: Legislacyjna Projekt ustawy powinien chyba zostać jeszcze doprecyzowany pod względem legislacyjnym, tak, aby wszystkie definicje znajdowały się w początkowej części ustawy. Uwagi do poszczególnych artykułów [PTI 1 ] Art. 2. ust. 1. [PTI] Proponujemy definicję podpisu elektronicznego poprzedzić definicją: Uwierzytelnieniem jest to uzyskanie pewności, że dana osoba fizyczna lub podmiot jest tym, za kogo się podaje. Oraz nieco inaczej zapisać samą definicję podpisu elektronicznego: Podpisem elektronicznym są dane w formie elektronicznej dodane do innych danych elektronicznych lub logicznie z nimi powiązane i służące jako metoda uwierzytelnienia. Uzasadnienie: Definicja z Dyrektywy 99/93/WE umożliwia stosowanie różnych rodzajów podpisów do różnych zastosowań, nie ogranicza podpisującego do osoby fizycznej i jest neutralna technologicznie. 1 PTI przy propozycji poprawki zapisu oznacza skorzystanie z opracowania ekspertów Polskiego Towarzystwa Informatycznego dotyczącego treści definicji wykorzystywanych w ustawie o podpisach elektronicznych Uwagi PIIT do projektu ustawy o podpisach elektronicznych 3

4 Art. 2 ust. 4. Proponujemy skreślić ten ustęp Uzasadnienie: Przy obecnej redakcji nie widzimy uzasadnienia dla wprowadzenia tego typu podpisu, gdyż pozostałe rozwiązania pozwalają podpisać ten sam dokument przez wiele osób zgodnie z rzeczywistymi wymaganiami prawnymi, lub potrzebami. Art. 2 ust.5. Proponujemy skreślić ten ustęp Uzasadnienie: Patrz Uwaga generalna nr 4 Art. 2 ust. 6 [PTI] Proponujemy następujący, poprawiony zapis tego ustępu Art. 2 ust. 8 Pieczęć elektroniczna jest zaawansowanym podpisem elektronicznym uwierzytelniającym podmiot Uzasadnienie: Jest to czytelniejsza forma tej samej definicji. Proponujemy usunąć ten zapis Art. 2 ust. 10 Uzasadnienie: W dyrektywie ta definicja jest zapisana w aneksie nr 4. Sugerujemy zastosowanie podobnego rozwiązania i przeniesienie tego opisu do rozporządzenia. Proponujemy usunąć ten zapis Uzasadnienie: Pojęcie Potwierdzenie ważności certyfikatu zdefiniowane jest w art. 22 i definicja tam jest dużo bardziej trafna. Samo pojęcie użyte jest tylko raz w całej ustawie, w związku z tym nie jest konieczne umieszczanie definicji w słowniku. Art. 2 ust. 11 Proponujemy usunięcie tego zapisu Uzasadnienie: Podany sposób definicji usługi w całości stawia ją na równi z usługą znakowania czasem, przez co brak uzasadnienia dla wprowadzenia odrębnej definicji dla porównywalnych usług. Art. 2 ust. 12 Proponujemy uzupełnić zapis Czas urzędowy i uniwersalny czas koordynowany(pl), zwany dalej UTC(PL) oraz wzajemne zależności tych czasów są określane na podstawie przepisów o czasie urzędowym na obszarze Rzeczypospolitej Polskiej.. Uzasadnienie: Skrót UTC(PL) powinien być objaśniony. Art. 2 ust.13 Komentarz: Brak delegacji do rozporządzenia, w którym określono by dokładność synchronizacji. Bez tego dokładność ta może być dowolna, a tym samym nieakceptowana w wielu zastosowaniach Uwagi PIIT do projektu ustawy o podpisach elektronicznych 4

5 Art. 2 ust.15 Z zapisu proponujemy usunąć fragment Agencję Bezpieczeństwa Wewnętrznego lub oraz nadmiarowy opis wymogów otrzymując zapis: Bezpieczne urządzenie do składania podpisu elektronicznego jest to urządzenie do składania podpisu elektronicznego, spełniające wymagania określone w ustawie., Uzasadnienie: Proponujemy umieścić w ustawie definicję bezpiecznego urządzenia do składania podpisu elektronicznego zgodnie z definicją zawartą w Dyrektywie oraz wymagania dla bezpiecznego urządzenia w brzmieniu Załącznika III Dyrektywy, spełniające wymogi dyrektywy 1999/93/WE i normy ustalone na podstawie art. 10 tej dyrektywy oraz uznane za takie przez właściwy podmiot w państwie obowiązanym do stosowania tej dyrektywy (bezpieczne urządzenie). Art. 3 ust. 1 [PTI] Proponujemy doprecyzować zapis Art.3 ust. 4 Certyfikat oznacza elektroniczne potwierdzenie, za pomocą, którego dane służące do weryfikacji podpisu są przyporządkowane podpisującemu i potwierdzają jego tożsamość. Uzasadnienie: Wprowadzenie definicji certyfikatu przeniesionej z Dyrektywy z uwzględnieniem możliwości podpisywania przez podmiot. Proponujemy usunąć ten ustęp Uzasadnienie: Definicja ta jest zbędna w świetle definicji pieczęci elektronicznej Art.3 ust. 5 Proponujemy usunąć ten ustęp Uzasadnienie: Patrz Uwaga nr 4 Art.3 ust. 6 Proponujemy zmodyfikować treść zapisu Certyfikat atrybutów stanowi elektroniczne potwierdzenie określające uprawnienia i cechy osoby lub podmiotu jednoznacznie powiązanych z tym certyfikatem Uzasadnienie: Certyfikat atrybutów może, ale nie musi być powiązane z certyfikatem, w tym w szczególności z certyfikatem kwalifikowanym. Powiązanie to powinno być jednak wskazane jednak tylko w tych przypadkach, gdy jest to uzasadnione, np. w przypadku konieczności uwierzytelnienia posiada certyfikatu atrybutów. Art.5 ust. 3 Proponujemy wykorzystać zmodyfikowany zapis z art. 5.2 z dotychczasowej ustawy 2008 Uwagi PIIT do projektu ustawy o podpisach elektronicznych 5

6 Dane w postaci elektronicznej opatrzone podpisem kwalifikowanym, wydanym osobie fizycznej, są równoważne pod względem skutków prawnych dokumentom opatrzonym podpisami własnoręcznymi, chyba że przepisy odrębne stanowią inaczej. Art.5 ust. 4 Uzasadnienie: Konieczne jest zrównanie kwalifikowanego podpisu elektronicznego z podpisem własnoręcznym. Proponujemy wykreślić ten ustęp Uzasadnienie: Obecna redakcja dot. podpisu łącznego nie gwarantuje zgodności z innymi przepisami o reprezentacji łącznej. Art. 5 ust. 5 Proponujemy poprawić koniec treści zapisu: Ilekroć przepisy przewidują złożenie podpisu elektronicznego innego niż podpis kwalifikowany, złożenie przez podpisującego podpisu kwalifikowanego jest równoznaczne ze złożeniem podpisu elektronicznego, o którym mowa w tych przepisach. Art.6 ust.1a Proponujemy dodać nowy ustęp ze zmodyfikowanego Art.6.3 aktualnej ustawy. Nie można powoływać się ze skutkiem prawnym, że podpis kwalifikowany nie został złożony za pomocą bezpiecznych urządzeń i danych, podlegających wyłącznej kontroli osoby składającej podpis elektroniczny Art.6 ust.2 Proponujemy zrezygnować z tego zapisu Uzasadnienie: Niezrozumiały jest sens całego zapisu; szczególnie, że wpisuje się do ustawy coś, co z definicji nie niesie żadnych skutków prawnych. Jeżeli istnieje potrzeba wprowadzenia takiej identyfikacji wydaje się, że należy ją wprowadzić w aktach prawnych, których może ona dotyczyć.. Art.7 ust.1 Proponujemy zmodyfikować treść zapisu Podpis elektroniczny może być znakowany czasem. Uznaje się, że podpis elektroniczny znakowany czasem w okresie ważności certyfikatu został złożony w tym okresie. Uzasadnienie: W ten sposób domknięto okres ważności certyfikatu, również do sytuacji gdyby mógł być wykorzystany przed rozpoczęciem okresu jego ważności. Art.7 ust. 3 Proponujemy usunięcie tego ustępu 2008 Uwagi PIIT do projektu ustawy o podpisach elektronicznych 6

7 Uzasadnienie: Skoro pozostawia się (i słusznie) pojęcie znakowania czasem to po co wprowadzać datownik elektroniczny? Aktualnie rozporządzenie określa, że znacznik czasu ma format ETSI TS Jaki format ma mieć datownik? Może chodzi o time-mark, o którym mowa w pkt specyfikacji technicznej ETSI (XAdES)? Art. 10 ust.2 Proponujemy poprawić treść zapisu Podpisujący w okresie ważności certyfikatu służącego do weryfikacji podpisu elektronicznego, jest obowiązany przechowywać dane do składania jego podpisu w sposób zapewniający ich ochronę przed nieuprawnionym wykorzystaniem. Art. 19 ust.2b Proponujemy dodać nowy ustęp: Dane, o których mowa w ust.1 pkt. 8-9 i w ust. 2 mogą być umieszczane w certyfikacie atrybutu. Dane podmiotu umieszczone w certyfikacie atrybutów powinny pozwalać na jednoznaczne powiązanie tego certyfikatu z certyfikatem lub certyfikatami kwalifikowanymi wydanymi temu podmiotowi. Art. 19 ust.2c Proponujemy dodać nowy ustęp Certyfikat atrybutów nie może zawierać danych do weryfikacji podpisu elektronicznego; może jednak zawierać wskazanie na tego typu dane, jak również na inne dane zawarte w certyfikacie kwalifikowanym. Uzasadnienie: Ustępy b i c proponujemy dodać ze względu na zapisy w art. 27 ust.2 Art. 26. ust. 2 Proponujemy usunąć ten ustęp lub doprecyzować początkowy akapit: Urządzenie do weryfikacji kwalifikowanego podpisu elektronicznego powinno zapewniać, że: [...]. Uzasadnienie: Należy tutaj skorzystać z załącznika IV do Dyrektywy Art. 26. ust. 5 Proponujemy usunąć ten ustęp Uzasadnienie: Podpis elektroniczny nie ma nic wspólnego z ochroną danych niejawnych (podpis nie utajnia informacji, nadaje jej tylko m.in. cechę autentyczności). Art. 27 ust 1, pkt 9 Proponujemy skreślić Uzasadnienie: Konsekwentnie do usunięcia podpisu łącznego 2008 Uwagi PIIT do projektu ustawy o podpisach elektronicznych 7

8 Art. 28 Proponujemy usunąć cały artykuł Uzasadnienie: Patrz Uwaga Generalna nr 4 Art. 31 ust.1 Proponujemy uzupełnić zapis Podmiot kwalifikowany, świadczący usługi certyfikacyjne publikuje listę zawieszonych i unieważnionych certyfikatów kwalifikowanych Uzasadnienie: Bez tego uściślenia wykonanie tych obowiązków mogłoby być praktycznie niemożliwe. Rozdział 8. Przepisy karne Proponujemy: 1. skreślić art. 53, 2. skreślić art. 54, gdyż odnosi się do nieistniejącego obowiązku, 3. zmienić art. 55 ust 1 tak, aby odnosił się wyłącznie do kwalifikowanego podpisu, 4. zmienić art. 55 ust. 2 tak, aby odnosił się wyłącznie do podmiotu kwalifikowanego, 5. zmienić art. 56 tak, aby odnosił się wyłącznie do kwalifikowanego podpisu, 6. zmienić art. 57 tak aby wskazywał on na dane, których nieprawdziwość powinna rodzić sankcje, 7. skreślić art. 58 skreślić, 8. obniżyć sankcje wskazane w art. 60. Art. 68 Proponujemy skreślić końcową frazę z zapisu [ ] jednakże nie dłużej niż przez okres 18 miesięcy od dnia wejścia w życie niniejszej ustawy Art. 70 Uzasadnienie: : Zapis ten należy koniecznie usunąć, aby nie było sytuacji, że brak ważnych przepisów wykonawczych uniemożliwi wydawanie certyfikatów podpisów oraz utrudni (lub uniemożliwi) świadczenie usług certyfikacyjnych. Zastrzeżenie : Jeżeli wraz z ustawą nie zostaną opracowane stosowane rozporządzenia, może się okazać, że kwalifikowane podmioty nie zdążą z dostosowaniem swojej infrastruktury do wymagań nowej ustawy. To mogłoby w szczególności spowodować, że po wejściu w życie ustawy certyfikaty kwalifikowane nie byłyby dostępne dla klientów Uwagi PIIT do projektu ustawy o podpisach elektronicznych 8