Rozwijamy e-biznes E-podpis w praktyce

Transkrypt

1 Jakie znaczenie ma podpis dla wyrażenia oświadczenia woli? Zgodnie z art. 78 kc: Do zachowania pisemnej formy czynności prawnej wystarcza złożenie własnoręcznego podpisu na dokumencie obejmującym treść oś wiadczenia woli. Do zawarcia umowy wystarcza wymiana dokumentów, z których każdy obejmuje treść oświadczenia woli jednej ze stron i jest przez nią podpisany. Wyobraźmy sobie zupełnie typową scenę: dwie osoby znajdujące się w jednym pokoju zamierzają wyrazić oświadczenia woli, podpisując umowę. Przeanalizujmy czynności, które doprowadzą do uznania, że obie strony zachowały formę pisemną wywoł ującą skutek prawny. Najpierw osoby upewniają się wzajemnie co do swojej tożsamości (jeśli nie znały się wcześniej), nastę pnie sprawdzają, czy treść umowy jest zgodna z wcześniejszym ustaleniem i czy dokument jest kompletny (przeważnie parafują każdą stronę), wreszcie kolejno po sobie przedłożony dokument (w dwóch egzemplarzach) podpisują, umieszczając swoje podpisy na jego końcu, co wskazuje, że odnoszą się one do treści umieszczonej powyżej. Po kolei - nastąpiło uwierzytelnienie (stwierdzenie autentyczności) stron, sprawdzenie autentyczności i integralności dokumentu, podpisanie. Nie uwzględniając innych szczególnych warunków prawnych, o których wspomnieliby zapewne prawnicy-cywiliści, to w opisanej sytuacji można uznać złożone podpisy za prawnie skuteczne. A teraz obie te osoby umieśćmy na dwóch końcach świata, dając im do dyspozycji środek komunikacji w postaci Internetu. Cechą charakterystyczną tej nowej sytuacji jest brak bezpośredniego kontaktu i wzajemnej weryfikacji co powoduje, że nie ma możliwości realizacji oświadczeń woli w sposób opisany wyżej. Osoba, która chciałaby podpisać umowę, nie ma pewności co do tożsamości strony znajdującej się na drugim końcu kanału komunikacyjnego i nie wie, czy przesyłana w publicznej sieci umowa nie została uszkodzona lub rozmyślnie zniekształcona albo sfałszowana. Ta druga osoba rozumuje tak samo. Do podpisania umowy zatem nie dojdzie. Chyba, że skorzystają z dobrodziejstwa podpisu elektronicznego... Do tego celu potrzeba jednak ram prawnych, w których jest możliwe zrównanie podpisu własnoręcznego z elektronicznym pod względem skutków prawnych. 15 listopada br. opublikowano (Dz. U 130 poz. 1450) ustawę o podpisie elektronicznym (od tej pory, dla uproszczenia zwana Ustawą). Z mocy art. 59 ust. 1 Ustawa wchodzi w życie 9 miesięcy po opublikowaniu, czyli 16 sierpnia W tym dniu, dzię ki zmianie przepisu art. 60 kc, podpis elektroniczny zaistnieje w sposób pełny jako środek wyrażania oświadczenia woli* ponieważ, zgodnie z nowym brzmieniem art. 78 ust 2: Oświadczenie woli złożone w postaci elektronicznej opatrzone bezpiecznym podpisem elektronicznym weryfikowanym przy pomocy waż nego kwalifikowanego certyfikatu jest równoważne formie pisemnej. Pozostaje już tylko wyjaśnić, co to jest "bezpieczny podpis elektroniczny" oraz "kwalifikowany certyfikat", w dodatku ważny. W niniejszym artykule zdefiniujemy jedynie pojęcia zakładając, że cierpliwy Czytelnik zapozna się z dalszymi częściami cyklu PolCert o podpisie elektronicznym, w których wyjaśnimy zasady technicznej realizacji procesu składania podpisu elektronicznego oraz jego weryfikacji. Podpis elektroniczny - każdy i szczególny, to znaczy bezpieczny... W Ustawie można znaleźć dwie definicje podpisu. Oto pierwsza: Podpis elektroniczny - dane w postaci elektronicznej, które wraz z innymi danymi, do których zostały dołączone lub z którymi są logicznie powiązane, służą do identyfikacji osoby składającej podpis elektroniczny. Taka definicja jest właściwie przeniesieniem pojęcia zwykłego podpisu do świata elektronicznego. Oznacza każde dane, wyraż one w postaci sekwencji bitów, mogące uwierzytelnić osobę, która je wytworzyła. Definicja, aczkolwiek poprawna, jest niewystarczająca przede wszystkim z punktu widzenia bezpieczeństwa tworzenia takiego podpisu. W strona 1 / 5

2 świecie elektronicznym wszystko dzieje się znacznie szybciej niż w świecie dokumentów papierowych. Otóż wyobraźmy sobie, że ktoś złośliwy zeskanował oryginalny podpis jakiejś osoby (np. znanego polityka) i opatrzył nim tysiące wiadomości pocztowych rozesłanych do wielu użytkowników Internetu. Konsekwencje takiego podpisu elektronicznego mogłyby być dla tej osoby bardzo poważ ne... Wśród teoretyków prawa, jak i informatyków panuje zgodna opinia, że z wielu względów użycie podpisu elektronicznego powinno być znacznie bezpieczniejsze niż zastosowanie podpisu własnoręcznego. Stąd do Ustawy wprowadzono definicję podpisu rozszerzonego, uzupełnionego o szereg dodatkowych cech: Bezpieczny podpis elektroniczny to podpis elektroniczny, który: a) jest przyporządkowany wyłącznie do osoby składającej ten podpis, b) jest sporządzany za pomocą podlegających wyłącznej kontroli osoby składającej podpis elektroniczny bezpiecznych urządzeń służą cych do składania podpisu elektronicznego i danych służących do składania podpisu elektronicznego, c) jest powiązany z danymi, do których został dołączony, w taki sposób, że jakakolwiek późniejsza zmiana tych danych jest rozpoznawalna. Tak zdefiniowany podpis elektroniczny daje wystarczającą pewność, że nie mógł zostać utworzony przez nikogo innego niż osoba, o której tożsamości świadczy. Osoba ta ma wyłączną kontrolę nad urządzeniem do składania podpisu, które to urzą dzenie spełnia szereg wymagań bezpieczeństwa. Ponadto, złożenie podpisu elektronicznego daje wystarczającą pewność integralności danych, do których został dołączony! Ta ostatnia cecha w zasadniczy sposób odróżnia podpis elektroniczny od tradycyjnego - bezpieczny podpis elektroniczny jest przekształceniem na danych, co oznacza, że za każdym razem jest inny. Jakakolwiek zmiana danych, które zostały podpisane, skutkuje całkowitą zmianą wartości podpisu elektronicznego. Oznacza to, że taki podpis już nie jest elektronicznym odpowiednikiem podpisu złożonego na papierze - w przeciwieństwie do niego nie jest związany ze swoim nośnikiem. Bezpieczny podpis elektroniczny chroni całość dokumentu - nie ma potrzeby parafowa ć każdej jego strony i nie ma już oryginału i jego kopii, ponieważ każdy dokument, który został opatrzony ważnym bezpiecznym podpisem elektronicznym nie może już zostać zmieniony, a zatem jest oryginalny. Ale jak zweryfikować ważność bezpiecznego podpisu elektronicznego? Podpis elektroniczny i certyfikat to para nierozłączna Techniki, które umożliwiają stworzenie bezpiecznego podpisu elektronicznego pozwalają także na wiarygodne potwierdzenie jego ważności. Dane służące stwierdzeniu ważności podpisu można publikować w postaci certyfikatów. Zgodnie z definicją zawartą w Ustawie: certyfikat to elektroniczne zaświadczenie, za pomocą którego dane służące do weryfikacji podpisu elektronicznego są przyporządkowane do osoby składającej podpis elektroniczny i które umożliwiają identyfikację tej osoby. Poza zebraniem danych, które umożliwiają weryfikację podpisu elektronicznego certyfikaty spełniają jeszcze jedną niezwykle istotną funkcję: wiążą dane weryfikujące podpis z tożsamością osoby, która go utworzyła. Ta właśnie funkcja nadaje wartość dowodową podpisowi, ponieważ można go związać z osobą fizyczną! W anonimowym świecie Internetu, gdzie przeważnie rozmawiają ze sobą komputery i nie sposób udowodnić, że danej skrzynki pocztowej użyła konkretna osoba - to jest nowa jakość. Ona to umożliwia zastosowanie elektronicznych form do czynności prawnych wykonywanych przez osoby fizyczne oraz nowe poważne zastosowania Internetu. Zgodnie z Ustawą, za związek tożsamości osoby fizycznej z danymi służącymi do weryfikacji podpisu elektronicznego oraz za dostępność i integralność certyfikatów odpowiada podmiot świadczący usługi certyfikacyjne, którym może być przedsiębiorca w rozumieniu przepisów prawa o działalności gospodarczej, Narodowy Bank Polski strona 2 / 5

3 lub organ władzy publicznej. Podmiot ten musi zapewnić bezpieczeństwo i wiarygodność tych usług - jest to temat, któremu poświęcimy kilka części cyklu PolCert o podpisie elektronicznym. Czas złożenia podpisu elektronicznego w wielu zastosowaniach ma decydujące znaczenie... Ustawa zaliczyła usługę oznaczania czasem do zbioru usług certyfikacyjnych i nadała jej specjalne znaczenie. Zgodnie z art.7 ust. 3 Ustawy: Uważa się, że podpis elektroniczny znakowany czasem przez kwalifikowany podmiot świadczący usługi certyfikacyjne został złożony nie później niż w chwili dokonywania tej usługi. [...] Oznaczanie czasem jest to usługa polegająca na dołączaniu do danych w postaci elektronicznej logicznie powiązanych z danymi opatrzonymi podpisem [...], oznaczenia czasu w chwili wykonania tej usługi oraz poświadczenia elektronicznego tak powstałych danych przez podmiot świadczący tę usługę. Usługa ta może wchodzić w zestaw usług certyfikacyjnych lub stanowić ofertę jednego podmiotu jako uzupełnienie usług innego dostawcy usług certyfikacyjnych. Bez oznaczania czasem nie można przeprowadzić długookresowej weryfikacji podpisu elektronicznego. Specyfice usługi oznaczania czasem poświęcimy jedną z dalszych części cyklu. Podsumujmy zatem... Podpis elektroniczny, zwłaszcza w swej bezpiecznej postaci, ma szereg cech, których nie posiada zwykły podpis. Jedną z nich jest to, że w przeciwieństwie do podpisu tradycyjnego, jego ważność i prawdziwość nie zależy od nośnika, a jedynie od danych służących do weryfikacji i zawartych w certyfikacie, co powoduje, że osoba, która utworzyła podpis może być zidentyfikowana w sposób natychmiastowy, automatyczny i obiektywny. Drugą, że pozwala stwierdzić integralność danych, do których się odnosi. Trzecią, że dzięki nowoczesnym technikom opartym na współczesnej kryptografii, wdrożonym w bezpiecznych urządzeniach do tworzenia podpisu, podrobienie takiego podpisu jest o wiele trudniejsze niż podpisu własnoręcznego, a właściwie niemoż liwe. Do tych cech dodajmy jeszcze możliwość wprowadzenia usługi, która gwarantuje, że podpis nie został złożony później niż oznaczony moment w czasie. Czy taki podpis nie jest lepszy niż zwykły, tradycyjny podpis złożony na papierze? Popatrzmy na możliwe zastosowania... Podpis elektroniczny w biznesie i nie tylko Zastosowania w biznesie to z całą pewnością lokomotywa rozwoju podpisu elektronicznego. Bankowość elektroniczna, handel internetowy, biura maklerskie, usługi ubezpieczeniowe, turystyczne, leasingowe... lista zdaje się nie mieć końca. Te zastosowania sprawią, że rozwiązania techniczne będą nadążać za rozwiązaniami prawnymi - co w prostym języku oznacza, ż e urządzenia i oprogramowanie dla podpisu elektronicznego staną się tanie, a przez to powszechnie dostępne. Podane niżej przykłady określają możliwe do przewidzenia obszary zastosowań dla przedsiębiorstw prywatnych i osób fizycznych. Handel elektroniczny Jakkolwiek praktyczne implementacje zdalnego handlu (w postaci specyfikacji SSL lub SET) zakładają krótkookresową weryfikację podpisu elektronicznego, to dodatkowe usługi certyfikacyjne mogą znacznie podnieść wiarygodność oferowanych serwisów. Zdalna praca Zdalna praca rodzi konieczność częstej wymiany dokumentów elektronicznych między pracownikiem a siedzibą firmy. Praca grupowa wymaga zwykle zapewnienia poufności, uwierzytelnienia nadawcy lub odbiorcy, integralności przesyłanych wiadomoś ci oraz daty i czasu nadania/odbioru. Transport strona 3 / 5

4 Istnieją możliwości wprowadzenia sterowania przepływem towarów za pomocą elektronicznej wymiany dokumentów oraz udział u podmiotów świadczących usługi certyfikacyjne w zapewnieniu bezpieczeństwa tym dokumentom. Przykładowo, usługa oznaczania czasu gwarantuje wiarygodność kontraktów zawierających terminy dostaw lub procedur logistycznych w sytuacjach, gdy zaangażowani są różni przewoźnicy oraz różne środki transportu. Sektor finansowy (banki i towarzystwa ubezpieczeniowe) Specyfika branży bankowej stwarza wiele możliwości zastosowania usług certyfikacyjnych. Poza wspomnianymi implementacjami protokołów płatniczych (SET) warto wspomnieć przykładowe aplikacje asymetrycznych technik kryptograficznych z wykorzystaniem kart inteligentnych np. elektroniczną portmonetkę. Wiele możliwości zastosowań znajduje się także w sektorze ubezpieczeniowym. Przykładowo, uwierzytelnienia stron oraz oznaczenia czasu wymaga elektroniczna procedura wystawiania polis ubezpieczeniowych. Obszary zastosowań w sektorze publicznym Ale zaraz... podpis elektroniczny w działalności gospodarczej to tylko jeden obszar zastosowania. Przywołajmy jedno z założe ń Dyrektywy 99/93/EC w sprawie wspólnotowej struktury dla podpisów elektronicznych: (19) Podpisy elektroniczne będą stosowane w sektorze publicznym jako środek komunikowania się jednostek administracji rządowych oraz administracji Wspólnoty ze sobą oraz miedzy tymi jednostkami a obywatelami i przedsiębiorcami, przykładowo, przy zamówieniach publicznych, podatkach, ubezpieczeniach społecznych, w systemach ochrony zdrowia i sprawiedliwości. Organy administracji rządowej i samorządowej Nowe technologie umożliwiają wprowadzenie sieci teleinformatycznych jako środka komunikacji między urzędem a obywatelem. Wiele dokumentów istniejących w postaci papierowej może być przesyłanych elektronicznie. Pierwszą praktyczną forma realizacji takiej usługi w Polsce jest elektroniczny obieg dokumentów miedzy ZUS-em a płatnikami składek ubezpieczeniowych. Inne usługi certyfikacyjne otwierają cały szereg zastosowań, w których dokument musi zachować wartość dowodową przez wiele lat, np. akty urzędu stanu cywilnego, dokumenty ubezpieczeniowe czy choćby (najpowszechniejsze) zeznania podatkowe. Księgi notarialne i księgi wieczyste Wykorzystanie podpisu elektronicznego w czynnościach notarialnych pozwala na zdalne podpisywanie dokumentów. Dokument przechowywany w postaci elektronicznej może być zweryfikowany na podstawie stwierdzenia ważności certyfikatu klucza publicznego w momencie jego podpisania (co mogło się zdarzyć przed wielu laty). Pieczęć notariusza może być zastą piona jego podpisem elektronicznym i zaświadczeniem certyfikacyjnym urzędu notarialnego. Rejestry znaków towarowych oraz patentów Jednym z podstawowych kryteriów własności intelektualnej jest moment złożenia informacji do stosownego rejestru przez autora wynalazku czy projektu. Czynność ta, realizowana elektronicznie, wymaga uwierzytelnienia autora (usługa certyfikacji) oraz oznaczenia czasu otrzymania tej informacji (usługa oznaczania czasem). Usługa archiwizacji umożliwia składowanie tych informacji w postaci elektronicznej. Usługi pocztowe Wiele organizacji pocztowych na świecie oferuje swym użytkownikom usługi certyfikacji w zakresie bezpiecznej wymiany dokumentów zarówno tradycyjnych usług (przesyłania teleksów i telegramów), jak i nowoczesnych (dokumentów poczty elektronicznej). Usługi te wymagają stosowania znaczników czasowych. Warto przytoczyć przykład poczty USA która, poza wspomnianymi wyżej usługami certyfikacji i oznaczania czasu, oferuje takż e usługi archiwizacji dokumentów elektronicznych (płaci się za określony okres przechowywania takiego dokumentu). strona 4 / 5

5 Sądownictwo Możliwości stosowania usług certyfikacyjnych w tym obszarze są niezmierzone. Praktycznie każda wymiana wiadomości są dowych wymaga uwierzytelnienia stron oraz oznaczenia czasem nadania/otrzymania. Ponadto, procedury w procesach karnych i cywilnych nakładają wymagania na jakość dowodów elektronicznych. Opatrzenie dokumentu podpisem elektronicznym i oznaczenie czasem może uwiarygodnić go w oczach sędziów. Publiczna opieka zdrowotna Wraz z rozwojem zdalnych usług medycznych, np. zdalnej diagnostyki czy zdalnej analizy rośnie znaczenie ochrony danych przesyłanych za pośrednictwem publicznych sieci teleinformatycznych. Usługa certyfikacji umożliwia bezpieczny i uwierzytelniony transfer informacji, oznaczanie czasem -ustalenie wiarygodnej chronologii napływających informacji; usługa archiwizacji - bezpieczne przechowywanie kart chorobowych pacjentów. źródło: networld.p strona 5 / 5