Velká novela zákona o elektronickém podpisu

Po půlroční cestě komorami parlamentu prošla v létě konečně velká novela zákona o elektronickém podpisu, která da...


Po půlroční cestě komorami parlamentu prošla v létě konečně velká novela zákona
o elektronickém podpisu, která dala vzniknout časovému razítku, elektronické
značce a některým dalším, méně exponovaným, ale důležitým změnám.
Novelu lze označit za zásadní z více důvodů. Za prvé je velmi rozsáhlá úplné
znění zákona se zvětšilo na téměř dvojnásobek délky textu před novelou. Za
druhé je to první změna z dílny odboru e-podpisu na Ministerstvu informatiky ČR
(MIČR), kam se správa předpisů se vznikem ministerstva přestěhovala z ÚOOÚ
(Úřad pro ochranu osobních údajů). Za třetí zavádí mnoho nových zásadních pojmů
a částečně mění pojmy existující, byť vesměs zachovává zpětnou kompatibilitu.
Pro úplnost v tomto článku je popisován právní stav po novele v zákoně 440/2004
Sb., to znamená nového úplného znění zákona o elektronickém podpisu (dále jen
ZoEP).

Kosmetické změny
Některá dřívější krkolomná souvětí typu "poskytoval certifikačních služeb
vydávající kvalifikované certifikáty" byla nahrazena kratšími definicemi, zde
například "kvalifikovaný poskytoval certifikačních služeb". Novela definovala
pojem "uznávaný e-podpis", který je použitelný v oblasti orgánů veřejné moci.
Obsahově se význam nezměnil, stále se jedná o zaručený elektronický podpis, k
němuž existuje kvalifikovaný certifikát od akreditovaného poskytovatele
certifikačních služeb, umožňující i jednoznačnou identifikaci osoby, ale je to
přece jen o dost kratší fráze pro citace a odkazy. Učesání pak plyne z právní
cizelace textu zákona, které asi potřeboval. I když smyslem bylo zákon zkrátit
a zjasnit, ne vždy se to jednoznačně podařilo. Například obratem "certifikát
vydaný jako kvalifikovaný" se nemíní kvalifikovaný certifikát, ale pojem
zahrnuje i kvalifikované systémové certifikáty.

Kvalifikované časové razítko
Kvalifikované časové razítko je z novinek tou nejjednodušší a bezproblémovou.
Časové razítko vydává CA a slouží k prokázání toho, že určitý dokument
existoval před datem a časem vystavení razítka. Podrobnosti jsou uvedeny v !6b
a !12b ZoEP, prováděcí předpisy jeho formát zřejmě určí podle příslušných RFC
skupiny PKIX. Účelem použití razítka je v první řadě vyloučit to, aby
elektronicky se podepisující uživatel, který provede e-podpis určitého
dokumentu a později požádá o zneplatnění svého certifikátu, nemohl tvrdit, že
daný e-podpis vznikl až po zneplatnění a že je tedy neplatný. Včasně provedené
časové razítko na spojení zprávy s e-podpisem takové tvrzení vyloučí.
Novela ZoEP definuje časové razítko samo o sobě bez vztahu k podpisovému
schématu. To je výhoda, která umožní, aby uživatelé používali časová razítka
buď dobrovolně, nebo jen tam, kde je jejich použití účelné. Nevzniká tak
povinnost získat časové razítko již při vytváření podpisu, ale stačí, když si
razítko nechá vygenerovat e-podatelna, která zprávu přijímá. Existují i zcela
jiné možnosti využití časových razítek, například dokladování prvotnosti vzniku
autorských děl.

E-podatelna
Pojem se konečně objevil i přímo v ZoEP, který stanoví, že přes e-podatelnu
musejí orgány veřejné moci posílat veškeré své zprávy podepsané uznávaným
podpisem. Zprávy podepsané e-značkou (viz níže) přes e-podatelnu projít
nemusejí. Vše ostatní o e-podatelnách bude až v prováděcí vyhlášce. Novelou
ZoEP zřejmě vypadly e-podatelny z odboru standardů ISVS na MIČR a přešly do
odboru e-podpisu na MIČR (popřípadě ze Sekce 5 do Sekce 4). Zatím vláda vydala
nařízení z 25. srpna 2004, účinné od ledna 2005, kterým stanoví rámcová
pravidla pro technicko-organizační provoz e-podatelen včetně odkazu na dosud
neexistující vyhlášku.

Elektronická značka a certifikát
Oba související pojmy jsou v novele zcela nové. Elektronickou značkou se,
zjednodušeně řečeno, rozumí elektronický podpis provedený automatem. Systémový
certifikát pak je analogicky certifikát dokládající identitu "označující
osoby", která automat ovládá. Orgány veřejné moci (úřady) mohou použít pouze
kvalifikované systémové certifikáty (se zákonem určeným obsahem) od
akreditované (pro stát důvěryhodné) certifikační autority. Systémový certifikát
by se neměl zaměňovat s takzvaným serverovým certifikátem, užívaným a známým z
běžných webových serverů pro SSL spojení.
Systémový certifikát totiž dosvědčuje identitu označující osoby pro formu
e-označení (to znamená e-podpisu), zatímco serverový certifikát se používá pro
šifrování obsahu, popřípadě šifrovanou výměnu klíčů. Kryptografie učí, že pro
dva různé účely (důvěrnost obsahu, e-podpis, resp. e-značka) by se měly
používat různé klíče a k nim i různé certifikáty. Chcete-li na serveru
automaticky chránit sezení přes SSL i automaticky e-značit, pořiďte si více
klíčů a oba druhy certifikátů.
Zákon si bohužel mírně protiřečí v tom, do jaké míry je e-značka skutečně
automatická. Zatímco !3a hovoří pro plnou automatizaci, !17a odst. 2 směruje
spíše k ručnímu výběru označovaných zpráv ze seznamu (bez jejich podrobného
čtení). Účelem e-značky přitom ale mělo být vytvořit plně automatizovaná řešení.
Při typické aplikaci "vystavení doručenky na zprávu přijatou v e-podatelně" je
ruční výběr a označování zpráv naprosto nevyhovující, dojdou-li tisíce podání
ve 23:59 hodin posledního dne termínu. Plná automatizace je také nutná, mají-li
elektronické aplikace pracovat stylem 24/7 nonstop. E-značka je dle !12b též
součástí časového razítka je nemyslitelné, že by pracovníci CA drželi stráž a
pilně potvrzovali každé časové razítko, které CA vystaví. Má-li mít e-značka v
kontrastu s e-podpisem skutečně smysl a právo na existenci, měla by být
automatická, tedy mělo by stačit, aby označující osoba pouze zahájila provoz
prostředku na označování s tím, že ten je nastaven pro vystavování a označování
určitého typu zpráv. S nadhledem účelu lze !17a odst. 2 vykládat i tímto
způsobem.
Nejjednodušší použití e-značky je znázorněno na obrázku 1, na kterém se
e-značkou označí pouze kombinace vstupní přijaté žádosti a nastavené konstanty
K. Taková konfigurace vyhoví například pro velmi jednoduché potvrzování příjmu
došlých zpráv. U komerční firmy by byla použitelná mimo jiné pro vystavování
individuálně upravených všeobecných obchodních podmínek ze strany obchodního
serveru. S jen mírně větší složitostí (místo K je zdroj důvěryhodného času) je
použitelná i pro vystavování časových razítek.
Další zamýšlenou aplikací e-značky má být vystavování výpisů z obchodního
rejstříku a výpisů z katastru nemovitostí. V těchto a podobných případech se
uplatní schéma uvedené na obrázku 2. Podstatné je, že akce výpisu musí být
čistě mechanická záležitost výpis se provádí na základě záznamů v registru
(databázi) a během akce (výpisu) nedochází k žádnému rozhodnutí, které může
ovlivnit lidský faktor. Všechny činnosti obsahující lidská rozhodnutí
(workflow) se musejí soustředit do oblasti před tím, než vznikne rozhodný zápis
do registru.
Různými červeně orámovanými plochami na obrázku 1 i 2 chci naznačit, že dané
oblasti systému by vždy měly představovat jednotky se samostatně udržovanou
bezpečností. Bude velmi obtížné vytvořit nějaká jednoznačná pravidla vyžadovaná
pro prostředky pro vytváření e-značek, protože technické prostředí různých
organizací se může velmi lišit a soustředění se na samotnou oblast e-značení
(znázorněné ikonou klíče) samo o sobě nic neřeší. Bezpečný provoz úřadů s
e-značkami dle obrázku 2 je zralý spíše na bezpečnostní audit než na vyhlášku.
E-značka je použitelná i v jiných případech, než jsou ty uvedené (například pro
vystavování certifikátů certifikační autoritou na základě došlé a podepsané
žádosti od registrační autority), zásadně by se však neměla používat tehdy,
když do obsahu potvrzovaného dokumentu zasahuje vůle určité osoby (v tomto
případě se má použít e-podpis), ale jen tehdy, je-li proces plně automatický.
Novela připouští u e-značky jednu vlastnost, která u e-podpisu není možná jako
označující osoba může být uvedena i pouhá právnická osoba nebo organizační
složka státu. Zákon se zde pustil na velmi tenký led odpoutáním se od fyzické
osoby se ztrácí osobní odpovědnost a vzniká jakási "vůle" abstraktní osoby,
avšak taková "kolektivní" vůle neexistuje ani de facto ani de iure. Obdržím-li
jednou například rozhodnutí úřadu nebo usnesení soudu bez toho, aby bylo
zřejmé, který úředník/soudce zprávu vůbec vystavil, budeme blízko orwelliánsko-
kafkovskému světu.
Pro komerční subjekty nelze tento způsob využití e-značky vůbec doporučit,
neboť způsob jednání a podepisování za subjekt je dle obchodního zákoníku
stanoven vždy prostřednictvím fyzických osob ze statutárního orgánu.
Organizační složky státu na tom ve svých statutech a zakládacích listinách
budou obdobně. Tato vlastnost ovšem dále hovoří pro to, že e-značka je
automatická žádná abstraktní osoba nemůže ručně vybírat ze seznamu
potvrzovaných zpráv.
Poslední specialitou e-značky je to, že od nynějška pro příjemce nemusí být v
praxi jisté, zda přijal zprávou e-podepsanou, nebo e-označenou. U příjemce
totiž rozlišení spočívá v tom, že s e-podpisem je přibalen kvalifikovaný
certifikát, zatímco s e-značkou kvalifikovaný systémový certifikát. Protože
však v nejrozšířenějším formátu S/MIME (v2) je certifikátem nepodepisovaný
atribut, nemůže příjemce snadno dokázat, který certifikát se zprávou přijal.
Pokud pak bude časem více akreditovaných PCS, může se přihodit, že ke shodnému
klíči a subjektu budou existovat oba zmíněné typy certifikátů zároveň. Zákon
tuto teoretickou eventualitu nevylučuje, právní účinky e-podpisu a e-značky
jsou však mírně odlišné.

Charakter veřejné listiny
Paragraf 11 odstavec 2 ZoEP nyní zní: "Písemnosti orgánů veřejné moci v
elektronické podobě označené elektronickou značkou založenou na kvalifikovaném
systémovém certifikátu vydaném akreditovaným poskytovatelem certifikačních
služeb nebo podepsané uznávaným elektronickým podpisem mají stejné právní
účinky jako veřejné listiny vydané těmito orgány."
Toto ustanovení může způsobit zmatky při výkladu. Extenzivní výklad by
znamenal, že jakékoliv sdělení úřadu elektronicky e-podepsané nebo e-označené
bude muset být považováno za veřejnou listinu. Užší výklad by naopak byl, že
úřad takto může vydat, respektive za veřejné listiny od něj být považovány, jen
takové elektronické písemnosti, které na úřadě mají zřejmou analogii v klasické
papírové formě.
V českém právním řádu má veřejná listina dvě důležité vlastnosti. Za prvé je
při případném jednání (zejména soudním) považován její obsah za pravdivý.
Důkazní břemeno nepravdivosti leží na té osobě, která namítá opak. Za druhé je
trestním zákoníkem chráněna před paděláním, s možností trestu odnětí svobody až
na 2 roky, respektive až na 5 let.
Protože extenzivní výklad by ve skutečnosti znamenal bianco pravomoc, aby úřady
vydávaly v režimu veřejné listiny naprosto cokoliv (co by následně muselo být
považováno za pravdivé), a protože existují soudní judikáty, které odmítly za
veřejnou listinu uznat takovou (papírovou), která "jenom" neměla všechny
zákonem předepsané formální náležitosti, kloním se k užšímu výkladu. Tedy k
tomu, že každý úřad by měl elektronicky podepisovat/označovat v režimu veřejné
listiny pouze takové písemnosti a s takovým obsahem, které již vydává papírově.
Dokonce tam, kde předpis upravuje formu veřejné listiny explicitně jako jasně
neelektronickou, nelze podle mého názoru ani podle ZoEP vydat její elektronický
ekvivalent. Například jen těžko si lze představit, že byste na základě odstavce
z novely ZoEP mohli získat elektronický občanský průkaz a nosit si jej s sebou
na disketě (včetně fota v digitální podobě). V těchto případech je
pravděpodobné, že dílčí zákon pro jednoznačnost přesně určí, jaké vlastnosti
elektronická varianta veřejné listiny má mít (například nemožnost kopírovat
elektronický občanský průkaz apod.).
Druhá potíž elektronické veřejné listiny je v době trvání její platnosti.
Zatímco u papírové veřejné listiny se mlčky předpokládá věčná trvanlivost
(prakticky přinejmenším v řádu několika desetiletí), u elektronické veřejné
listiny je reálně pouze několik roků. Po pár letech se dešifrovací výkon
výpočetní techniky zvýší natolik, že aktuálně používané algoritmy s klíči
současné délky (například 1 024 bitů u RSA) již nebudou považovány za věrohodné.
Obdobná potíž je s archivací elektronicky podepsaných zpráv obecně. Tyto
problémy jsou řešitelné u archivů úřadů a firem, nicméně pro jedince bych zatím
doporučoval používat elektronické veřejné listiny jen tehdy, když potřebuje
jejich pohotové využití a nepředpokládá se zpětné prokazování po dlouhé době.

Změny v oblasti CA
Hlavní změna týkající se certifikačních autorit je v !16 a týká se uznávání
zahraničních kvalifikovaných certifikátů od CA, registrovaných v EU, popřípadě
i mimo ni. Z hlediska hlavní úpravy pro uznávaný podpis se ovšem nic nemění.
Pokud se cizí CA nenechá akreditovat u MIČR, je vám její zahraniční certifikát
pro styk s českými úřady stále zhola k ničemu. Změna však spočívá v tom, že
cizí CA o akreditaci požádat již může.
Úprava povinností CA vydávající kvalifikované certifikáty se rozšířila a
zpřesnila. Přitom byla rozdělena mezi základní !6 a nový !6a. Adekvátně tomu
byly přidány samostatný !6b pro povinnosti při vydávání kvalifikovaných
systémových certifikátů a !6c pro kvalifikovaná časová razítka. Obdobně se
rozpitvaly i nároky na akreditované PCS.

Bezpečné prostředky
Používání bezpečných prostředků pro vytváření e-podpisů je dále jen dobrovolné,
neboť uznávaný e-podpis jejich využití nevymáhá. Nicméně je doporučeníhodné,
aby se uživatelé o takové prostředky zajímali a pokud možno je využívali
(stručně řečeno: bezpečná čipová karta/token v bezpečné čtečce v bezpečném
operačním systému).
Novela ZoEP nicméně zařadila výdej (rozuměj prodej) těchto prostředků mezi
kvalifikované certifikační služby, tedy že jejich prodej je vyhrazen
kvalifikovaným PCS. I když při prodeji a vydávání bezpečných prostředků musí
být dodržena určitá pravidla, zřízení vlastní CA a všech pravidel !6 mezi ně
rozhodně nepatří. Jedná se o technický i tržní nesmysl, který v praxi bude
obcházen tím, že firmy budou prodávat jen běžné prostředky pro vytváření
e-podpisu, jež někdy možná budou díky jejich vyšší konkurenci i bezpečnější než
ty od kvalifikovaných PCS, formálně bezpečné.
Podrobnosti upravuje !17 a prováděcí předpis. Zajímavé je, že dosavadní
předpisy (včetně evropských) si příliš nevědí rady s tím, jak prostředek pro
bezpečný e-podpis vymezit. Prvotní ZoEP jej definoval spíše jako jednoúčelové
zařízení pro zobrazování a e-podpis, novější vyhláška 366/2001 spíše již jen
jako čipovou kartu.

Vypuštěné části
Téměř žádná povinnost nebyla ze zákona vypuštěna, vždy pouze došlo k
přeformulování nebo přesunutí textu do jiného paragrafu nebo odstavce.
Málo známé je, že novela odstranila dřívější výhradnost podnikání v
certifikaci. Dříve směla CA žádající o akreditaci kombinovat tuto činnost pouze
s notářskými, advokátními, popřípadě znaleckými službami. Na druhé straně není
zcela zřejmé, zda se tím i do oblasti kvalifikovaných PCS náhodou nepřipustily
i organizační složky státu nebo veřejné samosprávy, což by byl poměrně
nesystémový konkurenční prvek. Ředitel odboru e-podpisu Ing. Hobza uvádí, že
nikoliv, protože formát identifikace kvalifikovaného PCS nepřipouští tyto formy
organizací. Jako nekvalifikované CA však působit jistě mohou a zde to je účelné.
Byla vypuštěna povinnost kvalifikovaného PCS zveřejňovat vydané certifikáty,
PCS je bude zveřejňovat jen se souhlasem certifikovaného. Toto opatření chrání
soukromí údajů v certifikátu (např. e-mailová adresa, zamýšlený identifikátor),
ovšem jen mírně, neboť tato data se stejně dostanou do rukou všech osob, kterým
kdy zašlete jakoukoliv zprávu s e-podpisem.
A konečně, akreditovaný PCS již nemusí mít nutně sídlo v ČR (ale bude dobře,
bude-li je mít v EU).

Prováděcí předpisy
MIČR je novelou zmocněno k vydání těchto prováděcích vyhlášek pro rozvinutí:
Náležitosti elektronických podatelen.
Struktura údajů, na základě kterých je možné osobu jednoznačně identifikovat.
Činnosti kvalifikovaného PCS souhrnně a zvlášť pak při vydávání kvalifikovaných
certifikátů, kvalifikovaných systémových certifikátů a kvalifikovaných časových
razítek.
Náležitosti prostředků pro bezpečné vytváření/ověřování e-podpisu.
Náležitosti prostředků pro vytváření e-značek.
Pro první dvě oblasti již vznikla vyhláška 496/2004 Sb. o e-podatelnách, která
s těsně předcházejícím nařízením vlády 495/2004 Sb. e-podatelny nově upravuje.
Vyhláška 496/2004 Sb. bohužel není příliš kvalitní například nezrušila dosud
platný standard 016/01.01 pro e-podatelny ani nezavedla období přechodu z
jednoho předpisu na druhý. Hrozí, že po 1. lednu 2005 budou platit dva různé
předpisy pro totéž. Pokud MIČR stihne standard ISVS zrušit ještě k 31. 12.
2004, bude migraci nutné technicky provést půlnočním přepnutím funkcionality
(nebo celého nového zařízení e-podatelny) ze Silvestra na Nový rok. V praxi to
možná dopadne jinak. Vyhláška též pro identifikaci osob zavedla současný
identifikátor MPSV (byť jej tak nenazývá) viz kritika tohoto přístupu, kterou
naleznete v CW 4/2003.
Další tři oblasti hodlá MIČR pokrýt ve druhé vyhlášce, již lze dle MIČR
očekávat začátkem příštího roku.
Novela ZoEP vyšla jako zákon 440/2004 Sb. Aktuální úplné znění ZoEP naleznete v
zákoně 486/2004 Sb., nebo na druhém odkazu v rámečku nahoře, včetně barevného
vyznačení nových a změněných pasáží.

Závěrem
Na novele je patrný vliv připomínek některých úřadů, certifikačních autorit a
právníků. Autoři se na e-podpis ale nepodívali očima běžného uživatele, aby
zákon byl pro něj jasný, bezesporný a snadno pochopitelný. Tvorbu předpisů tak
sice připomínkují resorty a lobbisté, uživatele však nezastupuje nikdo.
Přes svou obsáhlost novela bohužel neodstraňuje všechny kontroverze, naopak
nechtěně zavléká i nové, výše probrané. Pozitivní je, že novela nespoutává
oblast e-podpisu příliš restriktivními požadavky výsledný efekt do značné míry
spočívá na obsahu prováděcích předpisů. První vyhláška je v tomto ohledu spíše
zklamáním a lze jen doufat, že druhá bude lepší.
Autor je konzultantem elektronického podpisu a kontaktovat jej můžete na
webových stránkách vkc.cz/email.

Odkazy k e-podpisu v ČR
Odbor e-podpisu na MIČR: http://www.micr.cz/epodpis/default.htm
Kment Consulting: http://vkc.cz/tema_ep.htm

Použité zkratky
CA Certifikační autorita (~ PCS) n ISVS Informační systémy veřejné správy
MIČR Ministerstvo informatiky ČR
MPSV Ministerstvo práce a sociálních věcí ČR
PCS Poskytovatel certifikačních služeb (~ CA)
PKI Infrastruktura s veřejným klíčem
PKIX Normotvorná skupina pro internetové standardy v oblasti PKI
RFC Zkratka názvu internetových specifikací, následovaná číslem
RSA Algoritmus PKI pro elektronické podpisování
SSL Secured Socket Layer
ÚOOÚ Úřad pro ochranu osobních údajů
ZoEP Zákon o elektronickém podpisu









Komentáře
K tomuto článku není připojena žádná diskuze, nebo byla zakázána.