Unizeto Technologies SA Ul. Królowej Korony Polskiej 21 70-486 Szczecin Komentarze i uwagi do wybranych zapisów w projekcie ustawy o podpisach elektronicznych z dnia 09.07.2009 roku. Uwaga generalna. Propozycje zapisów podane poniżej należy rozpatrywać w kontekście wszystkich zapisów w ustawie. Wprowadzenie jednej koniecznej zmiany bez korekty innych zapisów może spowodować wystąpienie kolejnych niespójności w projekcie ustawy. 1. Art. 2 pkt. 3) Definicja w obecnym kształcie w porównaniu do propozycji wcześniejszych jest zdecydowanie lepsza i do zaakceptowania, ale proponujemy rozważyć usunięcie w ogóle pojęcia podpis osobisty z obecnej ustawy. Ponieważ nie wiadomo jeszcze jak ostatecznie będzie ten podpis realizowany, lepiej byłoby wprowadzić to pojęcie jednocześnie z podaniem warunków fizycznej realizacji oraz przepisów prawnych dotyczących wywoływania przez podpis osobisty skutków prawnych. Można to uczynić przy okazji tworzenia odpowiednich regulacji prawnych dot. dowodów osobistych. Jeżeli wówczas wyniknie potrzeba wprowadzenia nowych pojęć i przepisów do ustawy o podpisach elektronicznych, to będzie można to zrobić nowelizując zapisy obecnie tworzonej ustawy przy okazji wprowadzania nowych przepisów o dowodach elektronicznych. Dla pozytywnego odbioru procesu legislacyjnego korzystniej jest znowelizować ustawę w celu jej uzupełnienie o nowe instrumenty prawne, niż wprowadzić obecnie pojęcia, które mogą w świadomości społecznej zaczną funkcjonować w sposób inny niż określą to późniejsze regulacje. Wówczas nowelizacja polegająca na zmianie zapisów pochopnie wprowadzanych do ustawy zostaną odebrane jako kolejny dowód na niestabilność prawa i nieskuteczny proces legislacyjny. Tym bardziej, że nie jest wykluczone, że podpis składany za pomocą dowodu elektronicznego będzie podpisem kwalifikowanym. A wówczas nie ma sensu ustawowo nazywać go inaczej i sztucznie ograniczać jego stosowanie. 2. Art. 2 pkt. 4) Proponujemy usunąć w ogóle definicję pieczęci elektronicznej. Obecny zapis budzi wiele uzasadnionych wątpliwości. Ustawa powinna być czytelna i
zawierać jednoznaczne regulacje prawne. Wykreślenie definicji pieczęci elektronicznej nie spowoduje, że nie będzie można na bazie określonych w ustawie rodzajów podpisów i certyfikatów de facto uzyskać tego samego efektu praktycznego, jaki chcieli uzyskać pomysłodawcy wprowadzenia pieczęci. Być może w przyszłości przyjmie się w powszechnym użyciu nazwa pieczęć elektroniczna określająca szczególne formy sygnowania dokumentów i wówczas przy kolejnej nowelizacji tej ustawy lub innej będzie można pojęcie pieczęci wprowadzić i nadać jej odpowiednią rangę prawną. Podobna sytuacja była z podpisem kwalifikowanym, który jako nazwa nie występował ani w Dyrektywie UE ani w obecnie obowiązującej ustawie o podpisie elektronicznym, a przyjął się powszechnie i dzisiaj jego wprowadzenie do nowej ustawy nie budzi nikogo wątpliwości. 3. Art. 2 pkt. 9) proponujemy usunąć i w ogóle nie wprowadzać do ustawy takich zapisów technicznych, które powinny znaleźć się w przepisach szczegółowych (w rozporządzeniach lub normach). 4. Art. 2 pkt. 13) - proponujemy usunąć z definicji konieczność posiadania przez podpisującego urządzenia do składania podpisu. Ten zapis może budzić wątpliwości interpretacyjne. Nawet w definicji podpisu zaawansowanego jest mowa o kontroli przez osobę podpisującą nad urządzeniem do składania podpisu. Jeżeli z jakiś względów o urządzeniu należy wspomnieć, to do przyjęcia byłby zapis: korzystająca z urządzenia do składania podpisu 5. Art. 2 pkt. 14) - proponujemy zmianę definicji na następujące brzmienie: podmiot kwalifikowany podmiot wydający certyfikaty kwalifikowane lub świadczący inne usługi związane z podpisem elektronicznym wpisany do rejestru, o którym mowa w art. 29 ust. 1.
Nie należy zawężać świadczenia usług przez podmiot kwalifikowany tylko do wydawania certyfikatów kwalifikowanych, ale rozszerzyć ten zakres na wszystkie usługi związane z podpisem elektronicznym, które podmiot będzie świadczył według zarejestrowanej polityki zgodnej z wymaganiami usług kwalifikowanych. 6. Art. 2 pkt. 15) Proponujemy usunąć zapis o danych biometrycznych. Według nas nic on nie wnosi, a nawet może być interpretowany niezgodnie z intencją. Może być traktowany nie jako rozszerzający możliwości, ale ograniczający możliwości umieszczania innych danych osoby fizycznej. Nie umieszczenie tego zapisu nie wyklucza takiej możliwości. Powinniśmy w ustawie regulować sprawy istotne i unikać wprowadzania nic nie wnoszących zapisów, co utrudnia czytanie ustawy ze zrozumieniem. 7. Art. 2 pkt. 16) proponujemy usunąć zwrot będącego osobą fizyczną i dać możliwość wystawiania certyfikatów kwalifikowanych również na podmioty nie będące osobami fizycznymi. Wystarczy, że podpis kwalifikowany, który jest równoważny podpisowi własnoręcznemu jest przypisany wyłącznie osobie fizycznej. Nie ma przeciwwskazań, aby za pomocą certyfikatów wydanych przez podmiot kwalifikowany weryfikować podpisy podmiotów, które nie są osobami fizycznymi. W ten sposób w ustawie byłby określony rodzaj wiarygodnego certyfikatu dla osób niefizycznych. Obecnie ustawa pod tym względem ma poważną wadę, która może w praktyce ograniczyć stosowanie podpisów służących przede wszystkim do zapewnienia integralności i wiarygodnej identyfikacji źródła pochodzenia dokumentu. Ustawa nie ograniczając prawa do wystawiania i uznawania różnych form podpisów i certyfikatów powinna jednoznacznie wskazać te formy i rodzaje, których wiarygodność jest zagwarantowana prawnie. 8. Art. 2 pkt. 17) proponujemy zmianę definicji na: certyfikat atrybutów zaświadczenie elektroniczne określające uprawnienia i cechy podpisującego, w szczególności jego umocowanie do działania w imieniu innych osób fizycznych, prawnych lub jednostek organizacyjnych nie posiadających osobowości prawnej; Zaproponowany zapis jest bliższy idei certyfikatu atrybutów, który może istnieć samodzielnie i nie musi (choć może) być jednoznacznie związany z certyfikatem
służącym do weryfikacji podpisu elektronicznego. Dodatkowe argumenty zaproponowanego zapisu podaliśmy przy omawianiu art. 23. Proponujemy również, przez analogię do certyfikatu kwalifikowanego, dodać definicję kwalifikowanego certyfikatu atrybutów. Ustawa nie wykluczając różnych rodzajów i wystawców certyfikatów atrybutów powinna wskazać rodzaj certyfikatu atrybutu, który w obrocie pranym nie wymaga dodatkowych uzgodnień stron biorących udział w elektronicznej komunikacji. Jeżeli w ustawie nie będzie określony rodzaj certyfikatu atrybutu, który prawnie uznany będzie za zaufany, to w każdym przypadku zastosowania certyfikatu atrybutu będzie trzeba określać, kto i według jakich zasad ma ten certyfikat wydać, aby strona akceptująca dokument elektroniczny mogła stwierdzić wiarygodnie uprawnienia osoby, która dokument podpisała. Akceptacja certyfikatu atrybutu (podobnie jak akceptacja certyfikatu do weryfikowania podpisu elektronicznego) może wynikać z mocy prawa lub na mocy umowy cywilno prawnej pomiędzy uczestnikami określonego obrotu elektronicznego. Ustawa powinna wprowadzić jednoznacznie instytucję prawną powszechnie uznawanego certyfikatu atrybutu (nazywając go np. kwalifikowanym certyfikatem atrybutu), nie zabraniając oczywiście wydawania i akceptowania innych rodzajów certyfikatów atrybutów. Wówczas stan prawny byłby taki, że kwalifikowany podpis elektroniczny w powiązaniu z kwalifikowanym (czyli zaufanym) certyfikatem atrybutu daje gwarancję jednoznacznej identyfikacji osoby składającej podpis oraz ustalenia jej faktycznych pełnomocnictw. Dla rozwoju elektronicznego obrotu prawnego, w szczególności dla zautomatyzowania obsługi dokumentów elektronicznych będzie to miało istotne znaczenie. Proponujemy następująca definicję: Kwalifikowany certyfikat atrybutów certyfikat atrybutów spełniający wymagania określone w ustawie, wydany przez podmiot kwalifikowany. Jednocześnie w ustawie należy określić jednoznacznie prawne znaczenie kwalifikowanego certyfikatu atrybutu, aby jego zastosowanie było równoważne z posługiwaniem się dokumentem w rozumieniu tradycyjnym. Proponujemy następujący zapis przepisu, który powinien znaleźć się w ustawie. Kwalifikowany certyfikat atrybutów użyty w okresie jego ważności ma moc prawną, w zakresie poświadczenia prawdziwości atrybutu, równoważną dokumentowi, na podstawie którego został wydany zgodnie z warunkami określonymi w polityce certyfikacji, chyba, że przepisy odrębne stanowią inaczej. 9. Art. 2 pkt. 18) definicja zbyt techniczna i szczegółowa jak na ustawę. Proponujemy po słowach lub czasem UTC(PL) dodać świadczona zgodnie z polityką świadczenia usługi opublikowaną przez podmiot świadczący tę usługę. 10. Art. 2 pkt. 19) Proponujemy całkowicie zmienić tę definicję i zapisać: kwalifikowane znakowanie czasem znakowanie czasem świadczone zgodnie z wymaganiami określonymi w ustawie przez podmiot kwalifikowany. W ustawie powinna (w projekcie jest) znaleźć się delegacja do rozporządzenia, które określi warunki techniczne. Kwalifikowana usługa od niekwalifikowanej nie może być odróżniona tylko technicznym parametrem. Najważniejsze jest określenie zaufania do
usługodawcy, który, jeżeli takim jest, to na pewno przestrzega i stosuje wszelkie normy i wymagania techniczne. 11. Art. 4. - będzie trudny w praktyce do zastosowania, bowiem przepisy wielu krajów unijnych nie korespondują z rekomendacjami UE w zakresie podpisu i certyfikatu kwalifikowanego. 12. Art. 5. ust. 1 drugie zdanie jest lapsusem prawnym. Podpis złożony w czasie zawieszenia certyfikatu nie wywołuje skutku prawnego do momentu jego odwieszenia, a w przypadku unieważnienia certyfikatu, podpis nigdy nie wywoływał skutków prawnych, więc trudno mówić o ich wygaśnięciu. Propozycja zapisu: Podpis elektroniczny złożony w okresie zawieszenia certyfikatu służącego do jego weryfikacji nie wywołuje skutków prawnych, jeżeli w okresie zawieszenia certyfikat utracił ważność lub okres zawieszenia zakończony został unieważnieniem tego certyfikatu. 13. Art. 5. ust. 4 ten zapis, w takim brzmieniu nie powinien znajdować się w ustawie o podpisach elektronicznych, ale w KPA (i to w zmienionej wersji). Ustawa o podpisach elektronicznych powinna regulować ogólne kwestie związane z instytucją prawną podpisu elektronicznego, dając podstawy do zastosowania podpisu elektronicznego w różnych dziedzinach, które są regulowane odrębnymi przepisami. I tam należy wprowadzić przepisy, które w szczególny sposób korzystają z podpisów elektronicznych zdefiniowanych ogólnie w ustawie o podpisach elektronicznych. Idąc dalej moglibyśmy w tej ustawie próbować określać zastosowanie podpisów elektronicznych we wszystkich dziedzinach. Jest to niemożliwe. Ponadto wpisanie do ustawy regulacji dotyczącej jednej dziedziny może spowodować interpretację, która zdarzyła się już w przypadku obecnie obowiązującej ustawy, że brak regulacji dotyczącej jakieś dziedziny (np. sądownictwa) spowoduje wnioskowanie, że ustawa w ogóle tej dziedziny nie dotyczy. 14. Art. 6. ust. 2 przy okazji uwaga ogólna. Zamiast przy pomocy certyfikatu należy pisać za pomocą certyfikatu. Dzisiaj przez niektórych językoznawców forma zastosowana w tym przepisie jest już akceptowana, gdyż przez coraz częstsze, ale niestety błędne jej używanie w świadomości wielu ludzi uznawana jest za poprawną. Jednak język prawniczy nie powinien być prekursorem zmian zasad gramatyki. Proponuję stosować zasadę, którą kiedyś ilustrowano w szkole następująco: przy pomocy kotka, za pomocą młotka. Myślę, że ta uwaga, w zamyśle żartobliwa tak też zostanie odebrana przez autorów tego i innych podobnych zapisów. Obowiązująca ustawa niestety też zawiera te niefortunne zwroty. Stąd jej powielanie w obecnym projekcie. 15. Art. 6. ust. 4 proponujemy usunąć ten zapis. Jest on na tyle niejasny, że jego pozostawienie może spowodować poważne perturbacje w praktyce. 16. Art. 9. należałoby odróżnić dwie grupy odbiorców usług certyfikacyjnych: osobę, która posiada certyfikat lub jest w trakcie jego pozyskiwania oraz osobę, która nie musi posiadać certyfikatu, ale akceptuje dokumenty elektroniczne na podstawie certyfikatów i innych usług świadczonych w ramach publicznej infrastruktury
zaufanych usług. Szczególnie niewłaściwie można zinterpretować ust. 2. gdyż nie każdy odbiorca usług certyfikacyjnych musi dbać o dane do składania podpisu, bo ich nie musi posiadać. Jeżeli tutaj dokonałoby się zmiany nazewnictwa, to konsekwentnie należałoby wprowadzić zmiany w innych zapisach. 17. Art. 10. ust. 2. ujawnienie takich danych jest chyba zbyteczne i w sposób nieuzasadniony narusza prawo podmiotu kwalifikowanego do zachowania tajemnicy przedsiębiorstwa w zakresie stosowanych rozwiązań technicznych. Natomiast bez sprzeciwu podmiot taki powinien ujawnić takie informacje na żądanie audytora działającego w imieniu ministra właściwego ds. gospodarki. Proponujemy ten punkt wykreślić lub zastąpić go zapisem o audycie. 18. Art. 10. ust. 2. wymógł ten jest nadmiarowy w stosunku do podmiotów niekwalifikowanych świadczących usługi np. dla określonej grupy odbiorców. 19. Art. 18. proponujemy wymagania techniczne przenieść do rozporządzenia. Ustawa zyska na przejrzystości i będzie bardziej zrozumiała dla osób, które nie mają technicznego wykształcenia. A jednocześnie spory merytoryczne dotyczące zaproponowanych wymagań zostaną przeniesione na dyskusje związane z opracowywaniem rozporządzeń. 20. Art. 23. ust.1. Ten ustęp należy wykreślić, bowiem podczas wydawania certyfikatu atrybutu nie koniecznie musi być znany wystawcy tego certyfikatu atrybutów certyfikat, z którym on będzie w jakikolwiek sposób powiązany. Powiązanie, o którym mowa w definicji (art. 2. pkt 17) oznacza, jednoznacznie jest przypisany atrybut do podpisującego, który z kolei jest identyfikowany na podstawie certyfikatu służącego do weryfikacji podpisu elektronicznego. Jeżeli takiego powiązania nie będzie, to oczywiście weryfikując podpis elektroniczny nie będziemy mogli osobie podpisującej przypisać roli, pełnomocnictwa lub innej cechy określonej w certyfikacie atrybutu. Jednak powiązanie tylko w szczególnym przypadku może zawierać wskazanie konkretnego certyfikat (np. poprzez jego numer). Powiązanie wystarczające dla skutecznego przypisania danej cechy podpisującemu będzie też wówczas, gdy podpisujący będzie identycznie wskazany (np. imię i nazwisko, PESEL) w certyfikacie i w certyfikacie atrybutu. Powyższe wyjaśnienia dodatkowa argumentują zaproponowaną zmianę definicji certyfikatu atrybutów. 21. Art. 23. ust.2. Wystawca certyfikatu atrybutów nie musi wiedzieć o unieważnieniu certyfikatu, z którym certyfikat atrybutu był powiązany, dlatego ostatnią część zdania lub unieważniony został. jest powiązany należy wykreślić. Konieczność unieważniania certyfikatu atrybutu wraz z certyfikatem służącym do weryfikacji podpisu nie jest niczym uzasadnione. Unieważnienie samego certyfikatu może mieć zupełnie inne przyczyny, które nie dają podstaw do unieważnienia certyfikatów atrybutów. Inną sprawą jest, czy certyfikat atrybutu będzie mógł skutecznie być wykorzystywany przez jego posiadacza, jeżeli nie będzie można go powiązać z żadnym ważnym certyfikatem. Oczywiście mówimy tu tylko o sytuacji, gdy certyfikat atrybutów służy do ustalenia określonych atrybutów osoby podpisującej podczas weryfikacji podpisu elektronicznego. Powyższe wyjaśnienia dodatkowo argumentują zaproponowaną zmianę definicji certyfikatu atrybutów.
22. Rozdział 9 propozycje dotyczące zmian w ustawach obowiązujących muszą być konsekwencją ustalenia ostatecznych zapisów ustawy o podpisach elektronicznych. Dlatego w świetle powyższych uwag nie odnosimy się do zapisów zawartych w rozdziale 9 z wyjątkiem zwrócenia uwagi na niezrozumiałą intencję zapisu w art. 68 ust 3., w którym istnieje zapowiedź rezygnacji z akceptowania certyfikatów kwalifikowanych przez ZUS, czyli instytucję publiczną. Biorąc pod uwagę fakt, że to certyfikaty kwalifikowane mają stanowić podstawę interoperacyjności, podpis kwalifikowany powinien być zawsze uznawany niezależnie od akceptowania innych rozwiązań lub innych rodzajów podpisów elektronicznych. Szczecin, 22.07.2009 r.