Přeskočit na obsah

Když se Estonec hlásí do datové schránky v ČR aneb eIDAS má definitivní podobu (lupa.cz; 1.9.2014)

  • JF 
Shares
Nové unijní nařízení (o elektronické identifikaci a službách vytvářejících důvěru) bude znamenat velké změny české úpravy elektronického podpisu. Úřady ale zatím spí.

Jiří Peterka

Minulý týden přinesl hned dvě významné události na poli elektronizace a českého eGovernmentu. Jednou z nich bylo vydání unijního nařízení eIDAS, „o elektronické identifikaci a službách vytvářejících důvěru“ v Úředním věstníku EU, dne 28.8.2014. Jde sice o formální úkon, obdobný zveřejnění ve Sbírce zákonů v tuzemsku, ale na druhé straně zcela zásadní: od tohoto data začínají běžet „relativní“ lhůty tohoto nařízení, vázané právě na den zveřejnění v Úředním věstníku. Stejně tak je od tohoto data „fixováno“ přesné znění tohoto nařízení v jednotlivých úředních jazycích Unie.
O druhou  významnou událost se postarala vláda, která na svém zasedání ve středu 27.8.2014 napodruhé schválila bod s názvem „Strategický rámec rozvoje veřejné správy České republiky pro období 2014 – 2020 a zřízení Rady vlády pro veřejnou správu“ (napoprvé jej 6.8.2014 odložila). Mělo by se jednat o dokument, jehož předběžnou verzi jsem popisoval zde na Lupě již počátkem srpna. Ovšem v jaké podobě dokument vláda nakonec schválila, zatím není známo.
Na rozdíl od dřívější praxe totiž nebyl samotný dokument dosud publikován. Ani se vnitro nepochlubilo tiskovou zprávou či jiným oznámením samotného faktu, že její materiál vládou prošel. Nebo se snad přechází na nějaký režim utajení, a to co dříve bylo veřejné (a také diskutované s veřejností) se nyní nějak drží pod pokličkou? Doufám, že ne, a že dosavadní „ticho po pěšince“ je jen nějakým jednorázovým zdržením.
Zůstaňme ale u první zmíněné události a pojďme si ji rozebrat trochu podrobněji.

O čem je a od kdy bude platit eIDAS?

Nařízení eIDAS, plným jménem „o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES“ má díky svému zveřejnění v Úředním věstníku nyní i své číslo – 910/2014. Alespoň v tuzemsku by se to mohlo pamatovat dobře, díky mnemotechnické pomůcce: prefix 910 mají u nás negeografická čísla pro „elektronická“ volání (hlasové služby na bázi VoIP).
Čeho se toto nařízení týká, jsem zde na Lupě popisoval naposledy v říjnu loňského roku, proto zatím jen stručný přehled. Už podle svého názvu se nové nařízení týká dvou velkých oblastí: jednou z nich je elektronická identifikace, a druhou elektronický podpis a na něj navazujících záležitosti. To vše s cílem maximálně sjednotit použitelnost konkrétních řešení napříč celou Unií – ovšem s již tradičním unijním kompromisem: aby se snad nikomu nediktovalo, že musí použít takové a takové řešení, které by mohlo být  jednotné a stejné pro celou Unii.
Místo toho se komplikovaně řeší jak dosáhnout toho, aby si každý členský stát mohl zvolit (či: ponechat) vlastní řešení, a přesto se dosáhlo co možná největší vzájemné interoperability při tzv. „přes-hraničním styku“. Tedy když někdo z jedné země (občan, firma atd.) něco potřebuje od někoho či něčeho v jiné zemi.
Dobře je to vidět na první oblasti, týkající se elektronické identifikace. Zde nařízení eIDAS (Nařízení č. 910/2014) přichází s určitými požadavky na „kvalitu“ národních systémů elektronické identifikace – ale nepožaduje, aby se jednalo o stejná řešení. Následně řeší postup, jak „nahlásit“ do centra (Unii, resp. její Komisi) existenci a popis konkrétních národních řešení, a to na dobrovolné bázi: členský stát sám rozhoduje o tom, zda vůbec (a které) své systémy elektronické identifikace takto „nahlásí“ (tzv. notifikuje) do Bruselu.
Na to navazuje povinnost všech ostatních členských států uznávat takto „nahlášená“ (notifikovaná) řešení, a umožňovat jejich použití všude tam, kde samy používají svou „národní“ elektronickou identifikaci.
Vše je pochopitelně odstupňované v čase, resp. spojeno s určitými odklady, jejichž konkrétní načasování je jasné až po nynějším zveřejnění v Úředním věstníku: konkrétně u elektronické identifikace musí Komise nejprve stanovit, co konkrétně obnáší tři úrovně „síly“ elektronické identifikace (v nařízení označované jako „nízká, značná a vysoká úroveň záruky prostředků pro elektronickou identifikaci“), a co přesně musí zahrnovat požadavek na vzájemnou interoperabilitu národních systémů elektronické identifikace (nařízení tomu říká „rámec interoperability“).
Na obojí má Komise čas do 15. září 2015 – což je datum odvozené od data zveřejnění celého nařízení v Úředním věstníku. Zatím se předpokládá, že by mělo jít o obdobu úrovní 2 až 4 z projektu STORK (zjednodušeně: odstupňované podle toho, zda se při nich používá jen jméno a heslo, certifikát, čipová karta či USB token).
Od stanovení výše jmenovaných požadavků (nejpozději do 15.9.2015) mohou jednotlivé členské státy začít „nahlašovat“ (notifikovat) své národní systémy elektronické identifikace, a ostatní země mohou začít je uznávat – zatím na dobrovolné bázi. Za tři roky (od stanovení požadavků) se dobrovolnost uznávání „cizích“ systémů elektronické identifikace změní na povinnost, ale stále s jednoročním odkladem (od „nahlášení“, resp. notifikace konkrétního systému).
Tato povinnost se ale bude týkat pouze subjektů veřejného sektoru, a jen těch služeb poskytovaných online, které používají některý z obou vyšších stupňů „síly“ identifikace (tedy: značnou a vysokou). Pro subjekty z privátního sektoru bude vše dobrovolné (a pouze doporučované).

Příklad s datovými schránkami

Zkusme si to představit na našich datových schránkách: třeba zahraniční jednatel tuzemské firmy (či tuzemské pobočky zahraniční firmy), je-li občanem jiné členské země EU, by časem měl mít možnost přihlašovat do ISDS svými národními identifikačními údaji. Tedy třeba pomocí své estonské elektronické občanky, pokud by se jednalo o Estonce. Konkrétní termín, kdy mu to ČR bude muset umožnit, nastane za tři roky od okamžiku, kdy Komise zveřejní potřebné požadavky (nejpozději 15.9.2015 + 3 roky). Samozřejmě dobrovolně to půjde ještě dříve.
Nicméně je otázkou, zda se popisovaná povinnost bude našich datových schránek vůbec týkat – protože je vázána na „značnou či vysokou“ úroveň záruky („síly“), zatímco naše datové schránky primárně staví na přihlašování jen pomocí jména a hesla, které nejspíše spadne jen do „nízké“ úrovně záruky.
A kromě toho: právě u datových schránek by nastal nepříjemný principiální problém. Při přihlašování k našim datovým schránkám se totiž nepřihlašují fyzické osoby jako takové, skrze svou identitu, ale skrze roli, kterou hrají vůči nějaké konkrétní datové schránce (zda jsou vůči konkrétní datové schránce oprávněnou osobou, pověřenou osobou či administrátorem).
Důsledek je ten, že jedna fyzická osoba může mít (přesněji: musí mít) několik sad přihlašovacích údajů k různým datovým schránkám, podle toho, v jakých rolích vůči nim vystupuje.
Pokud by náš Estonec byl třeba jednatelem dvou firem (a tudíž oprávněnou osobou vůči dvěma datovým schránkám), měl by stále jen jednu identitu, ale pro přihlašování k oběma datovým schránkám by potřeboval dvě různé sady přihlašovacích údajů. Ne že by to nedalo vyřešit, ale asi by to vyžadovalo významné změny na straně datových schránek.
Ono je ale vůbec otázkou, v jaké podobě právě naše datové schránky nové nařízení „přežijí“. Protože ono také definuje „služby elektronického doporučeného doručování“, které ale vychází z jiného konceptu, než naše datové schránky: u nás se přenáší datové zprávy mezi datovými schránkami, za kterými mohou být „schovány“ (obrazně i doslova) jak různé fyzické osoby, tak i právnické osoby a další subjekty, a dokonce i stroje, resp. programy (například spisové služby).
Jinými slovy: z jedné datové schránky může něco odesílat více různých subjektů (jejichž identita pro příjemce není běžně viditelná), a stejně tak si zásilky (zprávy) z jedné datové schránky může vyzvedávat více různých subjektů (jejich identitu se odesilatel nedozví). Kvůli tomu pak existuje ono složité přihlašování pomocí rolí (nikoli pomocí identit), a vše je pak v praxi zdrojem dosti komplikovaných problémů. Například při řešení otázek typu: kdo konkrétně činí nějaké podání? Bylo platně doručeno?
To „služby elektronického doporučeného doručování“ z nového nařízení si takto život nekomplikují: hovoří jen o odesilateli a příjemci, a nikoli o nějakých datových schránkách. Stejně tak nařízení nepracuje s fikcí podpisu, kterou si naopak notně komplikujeme situaci u nás.
Samostatnou kapitolou a zajímavou otázkou je pak to, zda nějaký náš tuzemský systém elektronické identifikace splní požadavky eIDASu, upřesněné dalšími požadavky od Komise. Zatím se jako jediný reálný kandidát rýsuje služba MojeID, provozovaná sdružením CZ.NIC.
Jak jste se mohli nedávno dočíst i zde na Lupě, MojeID získalo certifikaci na úroveň QAA3 v rámci projektu STORK. Tato úroveň by do budoucna měla  odpovídat prostřednímu stupni „síly“ identifikace v rámci nařízení eIDAS, neboli „značné úrovni záruky“, viz výše.

Elektronický podpis a z něj odvozená řešení

Druhá hlavní část nového nařízení eIDAS (resp. nařízení 910/2014/ES) se týká elektronického podpisu a dalších oblastí, které s ním přímo či nepřímo souvisí. Ale na rozdíl od elektronické identifikace, kde dosud neexistovala žádná právní úprava na úrovni celé Unie, toto nařízení vstupuje do prostředí, které již určitým způsobem upraveno je. Konkrétně národními zákony „o elektronickém podpisu“, které všechny vychází ze společné „pravěké“ unijní směrnice ještě z roku 1999. Tuto směrnici nové nařízení ruší, a to s účinkem ode dne 1.7.2016, a všechny odkazy na tuto původní směrnici nově „chápe“ jako odkazy na sebe (na nové nařízení).
Vzhledem k rozdílu mezi směrnicí (která se transponuje do národní legislativy) a nařízení (které se netransponuje, ale rovnou platí ve všech členských zemích) by to v praxi mělo znamenat, že s účinností k 1.7.2016 bychom měli novelizovat naši právní úpravu elektronického podpisu, ale i dalších zákonů, kterých se nové nařízení dotýká.
Změnit bude nutné především stávající zákon č. 227/2000 Sb. o elektronickém podpisu, ale určitě také zákon č. 300/2008 Sb.  o elektronických úkonech a autorizované konverzi, a nejspíše i zákon č. 499/2004 Sb. o archivnictví a spisové službě.  A to tak, aby jejich nové verze jen „vyplňovaly volný prostor“, ponechaný samotným nařízením. Zejména aby dopracovaly to, co nařízení ponechává na národních legislativách, či případně vůbec neřeší.
Konkrétně je na „národní úroveň“ ponecháno například stanovení sankcí za nedodržení různých požadavků a případné přestupky či určení národních orgánů dohledu nad poskytovateli služeb vytvářejících důvěru. Dále způsob generování a udržování národních seznamů důvěryhodných služeb (obdoby dnešních TSL seznamů) či specifikaci postupů při dočasném pozastavení platnosti certifikátu.
Zřejmě nejvíce „prostoru“ je ale ponecháno na národní úroveň tím, že členské země si pro své (výhradně národní) potřeby mohou zavést ještě další formy služeb, vytvářejících důvěru. Což ale (podle mého názoru) poněkud ohrožuje celkový záměr, kterým je sjednotit používaná řešení v celé Unii a učinit je vzájemně interoperabilními.
Hlavně ale: vzhledem k času, který je k dispozici (už ne ani dva celé roky), by se již mělo intenzivně pracovat jak na studiu celkových dopadů eIDASu na tuzemskou legislativu i celý eGovernment, tak i na samotné „novelizaci“ našich zákonů. Není mi ale známo, že by se tak dělo. Ani že by se něco takového bylo na spadnutí.
Důležité je to i proto, že ona „druhá část“ nového nařízení pamatuje jak na samotné elektronické podpisy, značky (nově: pečetě), časová razítka, certifikáty a fungování certifikačních autorit, ale i na věci, které u nás byly až dosud zcela ignorovány.
Třeba na existenci volně dostupných a zdarma fungujících validátorů, coby služeb, které ověřují platnost podpisů a značek/pečetí. To je něco, co u nás velmi chybí – a uživatelé, nucení pracovat s elektronicky podepsanými dokumenty, jsou ponecháváni zcela napospas nástrahám ověřování (které je dosti netriviální disciplínou).
Stejně tak ale nové nařízení pamatuje i na řešení problému digitální kontinuity, na který se v našem eGovernmentu „z vysoka kašle“ (řečeno již méně diplomaticky). Tedy na to, aby se udržela možnost ověření podpisů a značek/pečetí  i po delší době. I když konkrétní formulace v novém nařízení, volající po existenci „služby uchovávání kvalifikovaných elektronických podpisů“, není úplně ideální.
Příslušná služba bude ve skutečnosti potřebovat celé podepsané dokumenty, a nebude moci vystačit jen se samotnými podpisy (které by navíc musely být asi jen externí). Jinak by totiž nedokázala chránit před nebezpečím záměny podepsaného dokumentu jeho kolizním dokumentem – což je právě to nebezpečí, kvůli kterému jsou u elektronických podpisů nutná jeho nepříjemná časová omezení, a kvůli kterému vzniká celý problém digitální kontinuity.
A když už jsem u „chybiček“, v novém nařízení je podle mého názoru nejméně jeden pořádný problém: explicitně totiž požaduje, aby se platnost podpisů (i pečetí) ověřovala „k okamžiku podpisu“. Jenže to nejde, protože tento „okamžik podpisu“ nikdy neznáme. Přesněji: nějaký údaj je nám předkládán, ale nevíme, zda se na něj můžeme spolehnout (protože pochází ze systémových hodin, které si kdokoli může libovolně přetočit).
Spoléhat se můžeme jen na kvalifikované časové razítko. A pokud žádné takové není, pak musíme ověřovat splnění všech podmínek pro platnost v aktuálním čase. Takže jsem opravdu zvědav, jak se podle nového nařízení bude platnost podpisů v praxi ověřovat. Nejspíše tak, že se celý problém „překlene výkladem“: že okamžikem podpisu se rozumí čas (nejstaršího) časového razítka, nebo aktuální čas.
Není to ale zdaleka všechno, kolem nové úpravy elektronických podpisů je celá řada dalších novinek a změn, které vydají nejméně na jeden samostatný článek. Nicméně alespoň stručně je vhodné zmínit, že nové nařízení pamatuje i na zabezpečení webových serverů a „regulaci SSL certifikátů“. I to je poměrně kontroverzní záležitost, se zajímavými dopady. Zájemce o tuto problematiku si dovolím odkázat na  aktuální příspěvek na blogu CZ.NICu, který se tomuto tématu v rámci eIDASu věnuje podrobněji.

Důvěryhodné služby, nebo služby vytvářející důvěru?

V tomto článku bych se rád na závěr zastavil ještě u jednoho zajímavého aspektu: u českého překladu nového unijního nařízení. Zde mohu pochválit resort vnitra za to, že se (včas) obrátil na užší odbornou veřejnost s prosbou o korekturu odborných termínů v rámci překladu. Díky tomu se ještě podařilo prosadit změnu českého překladu toho nejpodstatnějšího: anglického „trust services“.
Původně totiž byly „trust services“ přeloženy jako „důvěryhodné služby“. To je ale něco jiného, co odpovídá spíše anglickému „trusted services“ a znamenalo by „takové služby, kterým lze důvěřovat“. Jenže zde jde o takové služby, které jakoby „generují důvěru v něco jiného“, než jsou ony samy.
Takovéto služby pochopitelně také musí být důvěryhodné, ale my je využíváme k tomu, abychom se díky jejich „dobrozdání“ (například v podobě jimi vydaného certifikátu) mohli spoléhat na něco jiného. Třeba na to, kdo je osobou, elektronicky podepsanou pod konkrétním dokumentem. Nebo zda námi navštívený webový server je skutečně tím serverem, za který se vydává.
Jedním z návrhů bylo překládat anglické „trust services“ jako „důvěrytvorné služby“. Ale to nebylo moc dobré po jazykové stránce, a tak se nakonec prosadil překlad na „služby vytvářející důvěru“.
Co se bohužel již nepodařilo změnit, je letité matení přívlastkem „zaručený“. Konkrétně překladem anglického „advanced electronic signature“ jako „zaručený elektronický podpis“. V naší stávající právní úpravě to bohužel takto je, a zmátlo to už mnoho a mnoho lidí. Včetně legislativců,  kteří v domnění, že „zaručený“ podpis zaručuje identitu podepsané osoby, dávali do zákonů požadavek právě (a jen) na zaručený elektronický podpis.
Nicméně identitu podepsané osoby zaručuje až uznávaný elektronický podpis, zatímco zaručený elektronický podpis zaručuje pouze neporušenost podepsaného dokumentu. Nikoli identitu podepsané osoby, což se při nejrůznějších příležitostech snažím ilustrovat na zaručeném elektronickém podpisu literární postavy Josefa Švejka.
Mimochodem, na nám jazykově blízkém Slovensku se pod pojmem „zaručený elektronický podpis“ myslí náš „uznávaný elektronický podpis“, a nikoli náš „zaručený elektronický podpis“.
A když už jsme u toho Slovenska: tam nejspíše neproběhla podobná diskuse/korektura překladu nového unijního nařízení, jako u nás. A tak slovenský překlad nového nařízení překládá „trust services“ jako „dôveryhodné služby“, což věcně není správné.
Na druhou stranu slovenský překlad je lepší než ten náš například v tom, že anglické „advanced electronic signature“ překládá jako „zdokonalený elektronický podpis“, a nikoli jako „zaručený elektronický podpis“, jak to nadále dělá český překlad.
Všichni, na Slovensku i v ČR, si ale budeme muset zvyknout na to, že místo (českého) uznávaného elektronického podpisu a (slovenského) zaručeného elektronického podpisu budeme používat tzv. kvalifikovaný elektronický podpis. A u nás (na rozdíl od Slovenska) pocítíme ještě jednu významnou změnu: soukromý klíč pro takovýto kvalifikovaný elektronický podpis se už nebude moci „jen tak někde válet“. Už nebude moci být uložen pouze v systémovém úložišti právě používaného počítačem, jak se v praxi děje asi nejčastěji. Nebo dokonce vložený přímo do nějaké aplikace, viz fungování našeho Národního elektronického nástroje).
Nařízení požaduje, aby v případě kvalifikovaného elektronického podpisu (kterému nařízení explicitně přisuzuje stejnou právní relevanci jako vlastnoručnímu podpisu) byl odpovídající soukromý klíč uložen s vyšší mírou bezpečnosti. Takovou, jakou dokáží zajistit jen zařízení charakteru čipových karet a USB tokenů.
Ale to už jsou věci, které si nechme na samostatný článek. Protože změn, jenom kolem elektronických podpisů, je v novém nařízení celá řada.

 

Shares