Kwalifikowany elektroniczny podpis tak, jak własnoręczny

Wprowadzone zmiany wynikają z ustawy z 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (dalej u.i.e.), która zastąpiła obowiązującą wcześniej ustawę o podpisie elektronicznym. Było to spowodowane koniecznością dostosowania prawa krajowego do wymagań wynikających z rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (dalej rozporządzenie).

W rozporządzeniu:

- określono warunki uznawania przez państwa członkowskie środków identyfikacji elektronicznej osób fizycznych i prawnych, objętych notyfikowanym systemem identyfikacji elektronicznej innego państwa członkowskiego,

- zawarto przepisy dotyczące usług zaufania, w szczególności transakcji elektronicznych, a także,

- ustanowiono ramy prawne dla podpisów elektronicznych, pieczęci elektronicznych, elektronicznych znaczników czasu, dokumentów elektronicznych, usług rejestrowanego doręczenia elektronicznego i usług certyfikacyjnych uwierzytelniania witryn internetowych.

Zgodnie z definicjami zawartymi w art. 3 rozporządzenia usługa zaufania oznacza usługę elektroniczną zazwyczaj świadczoną za wynagrodzeniem i obejmującą:

- tworzenie, weryfikację i walidację podpisów elektronicznych, pieczęci elektronicznych lub elektronicznych znaczników czasu, usług rejestrowanego doręczenia elektronicznego oraz certyfikatów powiązanych z tymi usługami,

- tworzenie, weryfikację i walidację certyfikatów uwierzytelniania witryn internetowych bądź,

- konserwację elektronicznych podpisów, pieczęci lub certyfikatów powiązanych z tymi usługami.

Kwalifikowana usługa zaufania to usługa zaufania, która spełnia wymagania określone w rozporządzeniu. Dostawcą usług zaufania jest osoba fizyczna lub prawna, która świadczy przynajmniej jedną usługę zaufania. Natomiast kwalifikowanym dostawcą usług zaufania jest dostawca, który świadczy przynajmniej jedną kwalifikowaną usługę i ma status kwalifikowany nadany przez organ nadzoru.

Elektroniczne podpisy i znaczniki czasu

Podpis elektroniczny oznacza dane w postaci elektronicznej, które są dołączone lub logicznie powiązane z innymi danymi w postaci elektronicznej, i które są użyte jako podpis. Zaawansowany podpis elektroniczny to podpis elektroniczny, który spełnia wymogi określone w art. 26 rozporządzenia, czyli:

- jest unikalnie przyporządkowany podpisującemu i umożliwia ustalenie jego tożsamości,

- składa się go przy użyciu danych służących do składania podpisu elektronicznego, których podpisujący może, z dużą dozą pewności, użyć pod swoją wyłączną swoją kontrolą, oraz

- jest powiązany z danymi podpisanymi w taki sposób, że każda późniejsza zmiana danych jest rozpoznawalna.

Natomiast kwalifikowany podpis elektroniczny to zaawansowany podpis elektroniczny, który jest składany za pomocą kwalifikowanego urządzenia do składania podpisu elektronicznego i opiera się na kwalifikowanym certyfikacie.

Zgodnie z art. 25 rozporządzenia kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu. Kwalifikowany podpis elektroniczny oparty na kwalifikowanym certyfikacie wydanym w jednym państwie członkowskim jest uznawany za kwalifikowany podpis elektroniczny we wszystkich pozostałych państwach członkowskich.

W rozporządzenia określono także m.in. wymagania dotyczące elektronicznych znaczników czasu. Kwalifikowany elektroniczny znacznik czasu:

- wiąże datę i czas z danymi tak, aby w wystarczający sposób wykluczyć możliwość niewykrywalnej zmiany danych,

- jest oparty na precyzyjnym źródle czasu powiązanym z uniwersalnym czasem koordynowanym oraz

- jest podpisany przy użyciu zaawansowanego podpisu elektronicznego lub opatrzony zaawansowaną pieczęcią elektroniczną kwalifikowanego dostawcy usług zaufania lub w inny równoważny sposób.

Zgodnie z art. 41 rozporządzenia kwalifikowany elektroniczny znacznik czasu korzysta z domniemania dokładności daty i czasu, jakie wskazuje, oraz integralności danych, z którymi wskazywane data i czas są połączone.

Regulacje krajowe

Celem u.i.e. było uregulowanie kwestii wskazanych w rozporządzeniu jako pozostające w kompetencji państw członkowskich oraz dokonanie koniecznych zmian w aktach rangi ustawowej. W u.i.e. uregulowano: krajową infrastrukturę zaufania, działalność dostawców usług zaufania (w tym zawieszanie certyfikatów podpisów elektronicznych i pieczęci elektronicznych), tryb notyfikacji krajowego systemu identyfikacji elektronicznej oraz nadzór nad dostawcami usług zaufania.

Zgodnie z art. 2 u.i.e. minister właściwy do spraw informatyzacji zapewnia funkcjonowanie krajowej infrastruktury zaufania, która obejmuje: rejestr dostawców usług zaufania (dalej rejestr), zaufaną listę (zawierającą informacje dotyczące kwalifikowanych dostawców wraz z informacjami dotyczącymi świadczonych przez nich kwalifikowanych usług) oraz narodowe centrum certyfikacji.

Rejestr jest jawny. Wpisuje się do niego dostawców usług zaufania, którzy mają siedzibę lub oddział na terytorium Polski oraz usługi zaufania świadczone przez tych dostawców. Na wniosek prezesa Narodowego Banku Polskiego, minister właściwy do spraw informatyzacji może upoważnić Narodowy Bank Polski do realizacji zadań narodowego centrum certyfikacji, a także do prowadzenia rejestru i zaufanej listy.

Przepisami u.i.e. zmodyfikowano także regulacje zawarte m.in. w kodeksie postępowania administracyjnego (dalej k.p.a.), ustawie o postępowaniu egzekucyjnym w administracji, ustawie o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych, czy ustawie – Prawo zamówień publicznych. Terminologia zawarta w zmienianych ustawach została dostosowana do rozporządzenia oraz u.i.e. Przepisy przejściowe zawarto w art. 131-140 u.i.e.

Przykład:

W przypadku wysyłania wezwań w toku postępowania administracyjnego, wezwanie powinno być opatrzone podpisem pracownika organu wzywającego, z podaniem imienia, nazwiska i stanowiska służbowego podpisującego lub, jeżeli jest dokonywane z użyciem dokumentu elektronicznego, powinno być opatrzone kwalifikowanym podpisem elektronicznym (art. 54 § 2 k.p.a.). Również w sytuacji, gdy decyzja lub postanowienie zostały wydane w formie dokumentu elektronicznego, powinny być opatrzone kwalifikowanym podpisem elektronicznym (art. 107 § 1 k.p.a. i art. 124 § 1 k.p.a.).

Ważne:

W przepisach przejściowych zastrzeżono, że bezpieczny podpis elektroniczny weryfikowany za pomocą ważnego kwalifikowanego certyfikatu w rozumieniu ustawy o podpisie elektronicznym jest kwalifikowanym podpisem elektronicznym w rozumieniu u.i- .e. Rejestr kwalifikowanych podmiotów świadczących usługi certyfikacyjne z ustawy o podpisie elektronicznym stał się rejestrem dostawców usług zaufania w rozumieniu u.i.e. Natomiast usługa znakowania czasem z ustawy o podpisie elektronicznym, wpisana do tego rejestru, została uznana za usługę elektronicznego znacznika czasu (art. 131 i art. 133 u.i.e.).