Uwagi Polskiej Izby Informatyki i Telekomunikacji [PIIT] do projektu Ustawy z dnia 07.10.2008 roku o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne ( w skrócie UOIP) Uwaga generalna Cała UOIP opisuje informatyzację poprzez system teleinformatyczny, a tak naprawdę to administracja informatyzuje rejestry wykorzystując do tego techniki teleinformatyczne. Przyjęcie takiego bliższego rzeczywistości założenia zmienia podejście do opisania informatyzacji administracji. Mamy, gromadzenie i przetwarzanie informacji zawartych w rejestrach, wtedy interoperacyjność na poziomie rejestrów, platformę epuap dostępu do rejestrów, itp. Takie podejście znacznie by ułatwiło opisanie całej informatyzacji, pozostawiając na boku problem w jaki sposób zostanie zinformatyzowany ten czy inny rejestr, byle potem miał określone cechy umożliwiające wymianę danych, informacji i nawet wiedzy z innym rejestrem. Poprzednio próbowałem (i chyba nie tylko ja) nakłonić Ministerstwo do takiej idei, ale nagle wszyscy chcieli pobawić się legislacją technik teleinformatycznych. Stąd mamy tyle mało zrozumiałych dziwolągów prawnotechnicznych. Trudno teraz nakłaniać do zmiany obecnego podejścia, gdyż zbyt dużo pracy już w to włożono, ale warto to gdzieś zaznaczyć, aby może w przyszłości można by było na to zagadnienie spojrzeć z innego punktu widzenia. Uwagi szczegółowe: Uwagi do Art 1. Ad.1) w art.1 pkt 2-4. Zmiana gwarantujących na promujących tu: otwartość standardów informatycznych jest niepotrzebna. Standardy nie są po to by je promować (??) w jakiejkolwiek formie, ale są DOBROWOLNYM przyjęciem pewnego zdefiniowanego technicznego rozwiązania dostępnego dla interesariuszy na rynku. A stosuje się je nie dlatego by cokolwiek wymusić, ale dlatego, że wszyscy odnoszą z tego korzyść. Promowanie ma dwuznaczny charakter (jakiś budżet na promocje?), gwarantowanie jest tylko wskazaniem, że państwo będzie stało na straży przyjętych definicji. Porównaj: ustawa o normalizacji art 5 ust 3., który mówi o dobrowolności stosowania PN. I dodatkowo ram interoperacyjności systemów teleinformatycznych taki wpis nie powinien się pojawić, gdy nie wiemy czym są ramy interoperacyjności. Uwagi PIIT, 2008-10-17 1
Ad.2) Art 2. Ust 3. i ust 4. Wyłączenie częściowe lub całkowite - znacznej liczby jednostek spod działania ustawy jest niezrozumiałe, w szczególności kiedy świadczą one także istotne usługi na rzecz społeczeństwa informacyjnego (np. sądy). Niezrozumiałe jest dodatkowo dlaczego przedsiębiorstwa państwowe w pewnych okolicznościach mają stosować się do ustawy, a NIK czy Sąd Najwyższy nie... Propozycja: - całkowite wyłączenie z przepisów ustawy: służb specjalnych, przedsiębiorstw państwowych, spółek handlowych, państwowych szkół wyższych i państwowych wyższych szkół zawodowych oraz PAN - częściowe wyłączenie wszystkich innych wymienionych w propozycji nowelizacji w ust 3 i 4. I dalej na podstawie Art 2. Ust 3. Zgodnie z zapisem tego ustępu spółka handlowa (np. prywatna, outsourcingowa) realizująca zadanie publiczne musi stosować się do ustawy jeśli ma obowiązek przekazywania informacji do podmiotów niebędących organami administracji rządowej... Natomiast jeśli ten obowiązek istnieje dla przekazywania informacji do administracji rządowej to jest z ustawy wyłączona! Ad 3) W Art.3 ust.3 (części nie znowelizowanej) definicja system teleinformatyczny musi zostać napisana od nowa, gdyż tam podana jest już nieprawdziwa bo przywołane tam ustawy zostały już dawno znowelizowane. Rozwijając podane tam odwołania do innych ustaw uzyskamy dziwoląg techniczno-prawny. Przy okazji warto też zdefiniować, że system teleinformatyczny jest tożsamy z systemem informatycznym. Można przyjąć definicję z ustawy o ochronie danych osobowych (UODO): 2a) systemie informatycznym - rozumie się przez to zespół współpracujących ze sobą urządzeń, programów, procedur przetwarzania informacji i narzędzi programowych zastosowanych w celu przetwarzania danych, Podobnie w Art.3 ust.4 (część nieznowelizowana) warto też od nowa napisać definicję terminu środki komunikacji elektronicznej bezpośrednio bez odwoływania się do innej ustawy. Ad. 3) def.13). Dodatkowy punkt 13 jest chyba niepotrzebnym mnożeniem bytów, gdyż jest to przecież osoba identyfikowana podpisem elektronicznym (na razie zostawmy jakim). Uwagi PIIT, 2008-10-17 2
Ad. 3) definicja 14). Podana propozycja definicji elektroniczna skrzynka podawcza odnosi się tylko do przekazywania informacji w formie elektronicznej do podmiotu publicznego. Skrzynka jest jednak stosowana także w kierunku odwrotnym: od podmiotu publicznego do obywatela, biznesu lub innego podmiotu publicznego. Ad 3) definicja 15) Definicja interoperacyjność wymaga jeszcze przedyskutowania, gdyż może być rozumiana zależnie od poziomu opisu obiektu na poziomie technicznym jest to wymiana danych, na poziomie logicznym (rejestru) jest to wymiana informacji. Dodatkowo mało zrozumiała jest fraza oraz do dzielenia się informacjami i wiedzą. Pierwsze (dzielenie się informacjami) jest w znacznej części tożsame dla systemów w administracji z zapisaną wcześniej wymianą danych, a generalnie zawsze można przyjąć, że o ile od ludzi należy oczekiwać by dzielili się informacjami i wiedzą to od systemów należy oczekiwać wyłącznie wymiany danych. Stąd również wykreślenie dzielenia się wiedzą.. Ad 3) definicja 16) Zdefiniowanie otwartego standardu jest odważnym krokiem, który będzie podstawą wielu gorących dyskusji, tym bardziej, że żadna z definicji otwartego standardu nie jest formalnie (w ramach Unii) przyjęta. Propozycja: Wyrzucić całkowicie definicję otwartych standardów z ustawy, ponieważ (a) europejska definicja nie jest gotowa, nie wiadomo czy finalnie w ogóle powstanie oraz kiedy to nastąpi, (b) definicja jakakolwiek - stanie się to podstawą do interpretacji nie tylko w trakcie tworzenia ustawy, ale przede wszystkim w trakcie tworzenia i rozstrzygania przetargów należy przyjąć, że Rada Ministrów w sposób enumeratywny umieszcza listę standardów gwarantujących otwartość w rozporządzeniu o minimalnych wymaganiach. Co całkowicie kończy dyskusję i ułatwia przetargi. Ad. 3) definicja 17). Ad.6) Tym razem definicja urzędowego poświadczenie odbioru dokumentu odnosi się tylko do przypadku, gdy poświadczenie jest powiązane z dokumentem doręczonym podmiotowi publicznemu. Możliwa jest także sytuacja, gdy podmiot publiczny wystawia UPO (np. w jako potwierdzenie otrzymania dokumentu od obywatela). Propozycja zmiany w art. 13 ust. 1 nie jest najszczęśliwsza, gdyż jest to masło maślane. Może wystarczy zapisać w definicji że interoperacyjność (po poprawieniu) jest na zasadach określonych w Krajowych Ramach Interoperacyjności. Potem można już tylko napisać po prostu interoperacyjność. Uwagi PIIT, 2008-10-17 3
Ad. 7) Dodanie pkt.4 do art. 14 Ustawy zapisu, że podmiot publiczny prowadzący rejestr publiczny jest zobowiązany zapewnić działanie tego rejestru przy użyciu systemów teleinformatycznych nie później niż do dnia 1 stycznia 2011 jest niezrozumiały. Czy to oznacza, że po 1 stycznia 2011 nie będą mogły powstawać nowe rejestry publiczne prowadzone przez podmioty publiczne? Jeśli tak, to w takim razie czy takie rejestry będą mogły prowadzić podmioty niepubliczne, np. firmy komercyjne? I dalej, czy te same rejestry będą mogły być prowadzone równolegle przez podmiot publiczny i niepubliczny? Który rejestr będzie w takim przypadku bazowym, a który referencyjnym? Czy dopuszcza się po tym okresie możliwość przekazywanie rejestrów publicznych prowadzonych przez podmioty publiczne innym podmiotom niepublicznym? Co prawda uzasadnieniu do propozycji zmian jest napisane, że dodany do art. 14 ust. 4 miał za zadanie wprowadzenie okresu przejściowego na płynne dostosowanie infrastruktury informatycznej państwa do rozwoju technologicznego, ale literalne brzmienie zapisu nie odpowiada intencjom! Ad. 9), pkt. a) W Art. 16, ust. 3 proponuje się zmianę zapisu o zobowiązaniu Prezesa Rady Ministrów do określenia w drodze rozporządzenia, [...], formy urzędowego poświadczania odbioru tych dokumentów przez adresatów [...]. W aktualnym brzmieniu Ustawy, w Art.39 1, ust.2 zobowiązuje się ministra właściwego ds. informatyzacji do określenia w drodze rozporządzenia, [...], formy urzędowego poświadczania odbioru tych pism przez ich adresatów [...]. Czy przy okazji proponowanej nowelizacji nie należałoby zadbać o sformułowanie jednego Rozporządzenia lub jeśli to niemożliwe, o dokładne skoordynowanie treści obu rozporządzeń? Wyeliminowałoby to m.in. różne definicje tego samego pojęcia występujące w aktualnie obowiązujących rozporządzeniach. Ad 8) po ust. 3 dodaje się ust. 4 Wprowadzenie możliwości odpłatności za udostępnienie danych. Jest to bardzo zły pomysł, gdyż oznacza, że na moje i innych dane osobowe będą przez Państwo sprzedawane. Rodzi to kilka poważnych pytań. Dlaczego Państwo, które dany system zbudowało ze środków publicznych pobiera opłaty za udostępnienie danych? Dalej, jeżeli kupię takie dane, to czy będę miał prawo nimi handlować? Co z ustawą o ochronie baz danych, bo rodzi to skutki prawne korzystania z cudzej bazy danych? Proponuję dokładne przeanalizowanie skutków prawnych takiej decyzji. Rozumiem przy tym cel takiego ustalenia, ale chyba to nie jest tego warte. Niech lepiej Państwo zwiększy opłaty za czynności administracyjne. Przy okazji występuje tutaj rejestr co rzeczywiście brzmi lepiej. Uwagi PIIT, 2008-10-17 4
Ad.9) Rzeczywiście trzeba zaktualizować zadania Rady Informatyzacji: Wg art. 17 ust.2 pkt 2) Przygotowywanie na wniosek ministra lub z własnej inicjatywy opinii, propozycji lub rekomendacji: a) minimalnych wymagań dla systemów teleinformatycznych [w innym miejscu jest określone co to jest] b) wykorzystania otwartych standardów dla określonych zastosowań, c) dotyczących kierunków rozwoju społeczeństwa informacyjnego, d) [uchylenie ust. 2 pkt 2 uchyla się lit. c. jest oczywiście właściwe] Zakres tych zadań powinien być przedyskutowany przez obecną Radę Informatyzacji oraz Ministra właściwego do spraw informatyzacji. Słuszne jest wycofanie przedstawicieli ministerstw z Rady Informatyzacji, ale też w ten sposób oddziela się zespół konsultacyjny od zespołu decyzyjnego jakim jest Komitet do spraw Informatyzacji i Łączności. Może warto tutaj przeanalizować przeniesienie Rady Informatyzacji pod skrzydła Komitetu, jako zespołu typowo doradczego. Rada Informatyzacji powstała nieco przypadkowo, potem okazało się że się czasem przydawała. Teraz jej rola mogłaby być inna, tym bardziej, że powinna ona również obejmować zagadnienia telekomunikacyjne (obecnie nie ma żadnego ciała konsultacyjnego dla sektora telekomunikacyjnego) gdyż bez tego trudno czasem mówić o realizacji zadań teleinformatycznych. Od tej decyzji będzie zależeć skład Rady Teleinformatyki (?). Na wszelki wypadek dyskusja obecnego składu: Po jednym przedstawicielu Archiwum oraz PKN [dwóch jest niepotrzebnych] Ale jeżeli jest Archiwum i PKN, to również powinien być GUS i NIK oraz???? Nie powodu żądać od Stowarzyszeń, aby jeden z nich był utytułowany, gdy jest 3 przedstawicieli Nauki Może trzeba poszerzyć liczbę przedstawicieli samorządów i stowarzyszeń, przy czym o wyborze do Rady podejmuje Minister spośród szerszej liczby kandydatów przedstawionych przez organizacje. Ad. 13) Art. 19b pkt.2. Zapisy o konieczności stosowania przy sporządzaniu wzorów pism międzynarodowych standardów dotyczących sporządzania dokumentów elektronicznych przez organy administracji publicznej, z uwzględnieniem konieczności podpisywania ich bezpiecznym podpisem elektronicznym jest zbyt ogólny. Należy odesłać do konkretnych norm lub odesłać do rozporządzenia. Brak też definicje czym zajmuje się Portal Interoperacyjności. Uwagi PIIT, 2008-10-17 5
Art 19a ust 3. Jest w formie dokumentów elektronicznych powinno być w formie szablonów dokumentów elektronicznych Art 19a ust 3 pkt 1) Powinno być ust 3, 4 i 4a Art 19a ust 4. Jest w formie dokumentów elektronicznych powinno być w formie szablonów dokumentów elektronicznych Art 19a ust 4 Co to są międzynarodowe standardy do których odwołuje się ustawa? Propozycja: Przy sporządzaniu wzorów pism stosuje się standardy sporządzania dokumentów elektronicznych z uwzględnieniem konieczności podpisywania ich bezpiecznym podpisem elektronicznym Ad. 14) Art.20a.1. Ad.15) Uwierzytelnienie użytkownika systemów teleinformatycznych jest decydowanie inną czynnością niż uwierzytelnienie dokumentu, które jest potwierdzeniem autentyczności dokumentu i potwierdzenie źródła jego pochodzenia. Podpis bezpieczny weryfikowany za pomocą certyfikatu kwalifikowanego (podpis kwalifikowany) służy tylko i wyłącznie temu ostatniemu celowi. Z tego powodu nie można, jest to wręcz niebezpieczne dla składającego taki podpis, aby podpis kwalifikowany był stosowany do uwierzytelniana podmiotu w systemie informatycznym epuap. Dlatego do uwierzytelniania podmiotów należy stosować inne techniki, np. bazujące na certyfikatach do uwierzytelniania. Proponujemy usunąć wszystkie Art. 26 35 dotyczące kontroli. Te kontrole są niepotrzebne. Jeżeli trzeba sprawdzić podmiot publiczny, czy działa zgodnie z ustawą to jest od tego NIK. W niektórych przypadkach przy decyzji o przyznaniu środków na rozbudowę systemu informatycznego Minister właściwy ds. informatyzacji może zlecić audyt dotychczas istniejącego systemu i potem ewentualnie powiadomić NIK i Brak kontroli (ile ich dotychczas wykonano i jakie były efekty) zaoszczędzi też nieco środków. A przy okazji w Art. 28. który otrzymuje brzmienie: ma obywatelstwo państwa członkowskiego Unii Europejskiej, Konfederacji Szwajcarskiej lub państwa członkowskiego Europejskiego Porozumienia o Wolnym Handlu (EFTA) - strony umowy o Europejskim Obszarze Gospodarczym dlaczego akurat dopuszcza się Szwajcarów i Norwegów, itp. a nie na przykład Amerykanów, którzy nam będą Uwagi PIIT, 2008-10-17 6
budować tarczę J. Może tylko dopuścić tych z krajów Unijnych przynajmniej będzie jasne dlaczego akurat ci. Jeżeli już mają być kontrolerzy to proponujemy nie wpisywać do ustawy nazw konkretnych certyfikatów! Ta lista może się zmieniać częściej niż ustawa! Uwagi do Art.2 Ad. 5) Art. 63. 4 1) Proponujemy, aby podanie wniesione w formie dokumentu elektronicznego powinno być uwierzytelnione w sposób określony w art. 20a ust. 1 i 2. Z zapisu tego wynika, że chodzi o uwierzytelnienie dokumentu, a nie o uwierzytelnienie użytkownika. Nie można więc w tym przypadku odwoływać się do art. 20a ust. 1 i 2, ale określić dopuszczalne sposoby uwierzytelniania dokumentu elektronicznego. Uwagi do Art.3 Proponujemy wykreślenie zmian dotyczących Ustawy o podpisie elektronicznym i przekazanie ich zespołowi opracowującemu nowelizacje Ustawy o podpisie elektronicznym. Nie ma bowiem sensu modyfikować czegoś co jest w trakcie modyfikowania. Uwagi PIIT, 2008-10-17 7