Source: http://www.ecovislegal.cz/aktuality/obcanske-pravo/podminky-uziti-elektronickych-a-dynamickych-biometrickych-podpisu-podle-ceskeho-prava/
Timestamp: 2019-03-25 02:16:47+00:00
Document Index: 8547935

Matched Legal Cases: ['§ 2', '§ 560', '§ 562', '§ 2', '§ 582', '§ 9', 'zákona č. 227', '§ 561', '§ 561']

1. ELEKTRONICKÉ PODPISY A JEJICH ÚPRAVA V ČESKÉM PRÁVU
Základním právním předpisem, který upravuje elektronický podpis, je zákon č. 227/2000 Sb., o elektronickém podpisu (dále jen „ZEP"), jenž transponoval směrnici Evropské unie 1999/93/EC.
1.2 Charakteristika elektronického podpisu
Elektronickou komunikaci lze zajistit prostřednictvím kvalifikovaného certifikátu, kterému se zjednodušeně přezdívá „elektronický podpis". Elektronický podpis představuje digitální data, tedy elektronický identifikační údaj, kterým podepisující osoba tento podpis vytváří, čímž jednoznačně prokazuje svoji totožnost v elektronickém světě. Elektronický podpis je tak postaven naroveň vlastnoručnímu podpisu a vzhledem k tomu, že je vytvořen pro konkrétní data (konkrétní osobu), je možné počítačové ověření jeho platnosti.
ZEP definuje zaručený elektronický podpis, jako podpis splňující následující požadavky:
1) je jednoznačně spojen s podepisující osobou,
2) umožňuje identifikaci podepisující osoby ve vztahu k datové zprávě,
3) byl vytvořen a připojen k datové zprávě pomocí prostředků, které podepisující osoba může udržet pod svou výhradní kontrolou,
4) je k datové zprávě, ke které se vztahuje, připojen takovým způsobem, že je možno zjistit jakoukoliv následnou změnu dat.
Elektronický podpis splňující všechny výše uvedené požadavky je označován jako tzv. uznávaný zaručený podpis, neboť tento podpis musí být akceptován orgány veřejné správy.
Mezi základní charakteristiky záruk uznávaného elektronického podpisu tedy patří:
1) integrita dokumentu,
neboli jeho neporušenost, která spočívá v tom, že v případě porušení či pozměnění dokumentu bude skutečnost, že byla provedena změna, vygenerována při vyhodnocování platnosti elektronického podpisu;
2) identifikace,
která tkví v určení identity osoby, které podpis patří;
3) autentizace,
jež na rozdíl od identifikace slouží k ověření identity podepsané osoby; a
4) nepopiratelnost, resp. neodmítnutelnost, spočívající v nemožnosti popřít svůj podpis, resp. nemožnosti odmítnout důsledek takového podpisu, který je založen na kvalifikovaném certifikátu.
Oproti tomuto uznávanému elektronickému podpisu nemá pouhý („neuznávaný") zaručený podpis prakticky žádné výhody, neboť nelze zaručit identifikaci ani autentizaci podepsané osoby, naopak je jím zaručena pouze integrita dokumentu, tedy to, že podepsaný dokument se od svého podpisu nezměnil, ale nezaručuje již, kdo podpis vytvořil, resp. kdo je podepsanou osobou. Matoucí terminologie použitá v zákoně o elektronickém podpisu vznikla v důsledku nepřesného překladu pojmů užívaných unijními předpisy. Zaručený („neuznávaný") elektronický podpis neobsahuje kvalifikovaný certifikát a nebude tak např. akceptován při podání adresovaném orgánu veřejné správy.
Z výše uvedeného vyplývá, že největší stupeň ochrany, transparentnosti a akceptovatelnosti, zejména pokud jde o jednání adresované orgánům státní správy, ale i v rámci interní komunikace, poskytuje uznávaný elektronický podpis.
Uznávané elektronické podpisy jsou určené pouze pro fyzické osoby. Právnické osoby mají možnost používat jako ekvivalent uznávaného zaručeného elektronického podpisu tzv. (uznávané) elektronické značky, kterými mohou být dokumenty opatřovány strojově, a tedy bez součinnosti konkrétních osob zejména při opatřování většího množství dokumentů (např. elektronické výpisy z účtů vydávané bankovními institucemi). Elektronická značka odpovídá uznávanému elektronickému podpisu, protože, na rozdíl od pouhého zaručeného podpisu, vyžaduje použití kvalifikovaného certifikátu, konkrétně kvalifikovaného systémového certifikátu.[1]
Pro účely zachycení skutečně pravdivého času, který uživatel neměl možnost v systémových hodinách na svém počítači svévolně změnit, lze využít časového razítka, respektive kvalifikovaného časového razítka.
1.3 Certifikát uznávaného elektronického podpisu
Celý princip elektronických podpisů staví na tom, že při vytváření podpisu (podepisování) a při ověřování (vyhodnocování platnosti) podpisu se používají různé klíče. ZEP o nich hovoří jako o datech pro vytváření elektronického podpisu. Jde o asymetrické řešení (odborně „asymetrická kryptografie"), kdy se pracuje s párovými daty veřejných a soukromých (privátních) klíčů. Zatímco soukromé klíče se nacházejí v dispozici uživatele, který se jimi podepisuje, a tedy by měl zajistit, že se nedostanou do rukou neoprávněných osob, které by je mohly zneužít, veřejné klíče naopak uživatelé poskytnou komukoli, kdo si bude chtít ověřit platnost podpisu.
Potvrzení o tom, že konkrétní veřejný klíč patří konkrétní osobě, je zajištěno prostřednictvím certifikátu, který současně stvrzuje i to, že příslušná osoba je držitelem odpovídajícího soukromého klíče a má ho ve své (výlučné) moci. Z věcného hlediska je tak rozdíl mezi zaručeným a uznávaným elektronickým podpisem pouze v tom, na jakém certifikátu je podpis založen. V případě uznávaného elektronického podpisu musí jít o certifikát kvalifikovaný, který vydala akreditovaná certifikační autorita, pokud jde o tuzemský certifikát. U prostého zaručeného elektronického podpisu nejsou oproti tomu na certifikát kladeny žádné požadavky. Na základě rozhodnutí Evropské komise 2009/767/ES má ministerstvo vnitra povinnost vést a zveřejňovat seznam důvěryhodných certifikačních služeb a stanoví orgánům veřejné moci povinnost uznávat kvalifikované certifikáty vydané v ostatních členských státech EU.[2]
Poskytovatel kvalifikovaného certifikátu musí postupovat podle požadavků ZEP a kvalifikovaný certifikát smí vydat pouze skutečně existující fyzické osobě, jejíž identitu si pečlivě ověřil osobními doklady a osobní přítomnost žadatele. V případě právnické osoby se při vydání kvalifikovaného systémového certifikátu postupuje, jak bylo popsáno v závěru kapitoly 1.2.[3]
1.4 Výhody a nevýhody
Nevýhodou certifikátů je jejich omezená platnost. Certifikáty musí být pravidelně, zpravidla každoročně obnovovány, jinak může nastat nežádoucí situace, kdy bude existovat elektronický dokument s původně platným elektronickým podpisem, avšak v důsledku vypršení časové platnosti kvalifikovaného certifikátu se uplatní pouze vyvratitelná právní domněnka jeho pravosti, respektive schopnosti ověřit jeho pravost, což znamená, že se na něj bude hledět jako na dokument opatřený uznávaným zaručeným elektronickým podpisem, nebude-li prokázán opak (v praxi lze tyto skutečnosti prokázat prostřednictvím tzv. digitálních stop). Na základě výše uvedeného nelze jednoznačně dospět k závěru, že dokument podepsaný elektronickým podpisem s neplatným certifikátem je taktéž neplatný. Jinými slovy, nelze tvrdit, že platnost konkrétního elektronického podpisu končí okamžikem, kdy skončila platnost certifikátu, na kterém je daný elektronický podpis založen. Totéž platí pro elektronické značky i razítka. Certifikát je vázán na určitou osobu, a proto se ověření jeho platnosti nevztahuje na ověření platnosti ve vztahu ke konkrétnímu dokumentu, který byl toho času danou osobou podepsán. Podepisující osoba však musí pro to, aby zajistila kontinuitu svého uznávaného zaručeného podpisu, své certifikáty každoročně obnovovat.
Co se týče druhů certifikátů, rozlišujeme mezi osobním a systémovým kvalifikovaným certifikátem. Zatímco osobní kvalifikovaný certifikát identifikuje konkrétní osobu, systémový kvalifikovaný certifikát lze přirovnat k razítku organizace. Systémový certifikát je připojen k elektronické značce a využívá se zejména při automatickém odesílání ověřených dokumentů, jak bylo popsáno výše v odstavci 8. kapitoly 1.2.
Listina v elektronické podobě, která je opatřena uznávaným zaručeným elektronickým podpisem, splňuje veškeré požadavky, jež občanský zákoník stanovuje pro písemnou formu právního jednání.[4]
2. DYNAMICKÉ BIOMETRICKÉ PODPISY A JEJICH ÚPRAVA V ČESKÉM PRÁVU
Z hlediska legislativy je dle našeho názoru dynamický biometrický podpis akceptován se stejnou právní validitou jako vlastnoruční písemný podpis nebo „neuznávaný" elektronický podpis. Nicméně je třeba podotknout, že současná legislativa za pokrokem techniky zaostává, neboť výslovná úprava problematiky dynamických biometrických podpisů neexistuje, a to ani po rekodifikaci soukromého práva. Proto se dle zastánců dynamických biometrických podpisů z řad odborníků aplikuje směrnice Evropské unie 1999/93/EC, respektive její promítnutí v českém právním řádu v podobě ZEP, který v § 2 definuje elektronický podpis jako „údaje v elektronické podobě, které jsou připojené k datové zprávě nebo jsou s ní logicky spojené, a které slouží jako metoda k jednoznačnému ověření identity podepsané osoby ve vztahu k datové zprávě". Jedna varianta výkladu je taková, že právě tuto definici lze obecně vztáhnout i na dynamický biometrický podpis. V souladu se zásadou legální licence vyjádřenou v zákoně č. 89/2012 Sb., občanském zákoníku (dále jen „občanský zákoník") proto dle názorů některých expertů můžeme konstatovat, že při právním jednání učiněném elektronickými prostředky lze písemnost elektronicky podepsat i vlastnoručním dynamickým biometrickým podpisem, který je ekvivalentem vlastnoručního písemného podpisu nebo „neuznávaného" elektronického podpisu. Názory, že biometrický podpis není ekvivalentem podpisu vlastnoručního a zakládá pouze jakési písemné potvrzení o ústním právním jednání, jsou sice menšinové, i přesto je nelze zcela opomenout, proto o nich bude blíže pojednáno v kapitole 2.4.1.
2.2 Charakteristika dynamického biometrického podpisu
Dynamické biometrické podpisy představují odlišnou alternativu k elektronickým podpisům. Ty využívají biometrické charakteristiky podepisující osoby. V užším slova smyslu jsou biometrické podpisy založeny na tom, jak konkrétní člověk vytváří svůj klasický (vlastnoruční) podpis. Tedy nejenom na tom, jak samotný podpis vypadá (jako čárový obrázek), ale také na tom, jak byl vytvořen - jak rychle podepisující osoba pohybovala rukou, jaký tlak na podložku přitom vyvíjela atd. Takovéto biometrické charakteristiky lze dnes jednoduše nasnímat podpisem speciálním perem (stencilem) na speciální podložku (tablet či signpad), následně je lze převést do podoby dat a vyhodnocovat spolu se samotným tvarem podpisu. Výsledek by měl být skutečně unikátní, specifický pro každého jednotlivce a nenapodobitelný nikým jiným.
2.3 Odlišnosti dynamických biometrických podpisů od elektronických podpisů
Biometrické podpisy mají některé zásadní odlišnosti oproti elektronickým podpisům. Jejich výhodou je na jednu stranu delší (apriorně neomezená a neomezitelná) platnost v čase. Na druhou stranu musí nějakým způsobem reagovat na lidské stárnutí či změnu motoriky ruky (i v důsledku použití jiného psacího prostředku a podložky než klasického papír a pera či tužky) a tím vyvolanou změnu biometrických charakteristik (tato otázka není zatím v praxi vyřešena).
Jinou principiální odlišností oproti elektronickým podpisům je to, že biometrické podpisy vyžadují pro potřeby svého ověřování (podobně, jako klasické vlastnoruční podpisy) „podpisové vzory", jejichž správa (uchovávání, distribuce, i využití) mohou být problematické. Zatímco u uznávaných elektronických podpisů existují, jak bylo uvedeno výše, veřejné registry vydaných certifikátů, vlastní biometrická data jsou v dokumentu uložena v zašifrované podobě chráněné klíčem, který má k dispozici pouze jeho vlastník, tedy konkrétní osoba a nikoli např. společnost (nekoresponduje tedy s veřejnými klíči u elektronických podpisů). Ostatní osoby mimo vlastníka klíče musí spoléhat na prohlášení vlastníka o pravosti podpisu.
Někteří odborníci na výpočetní techniku[5] upozorňují na skutečnost, že biometrický podpis (na rozdíl od elektronického) může existovat sám o sobě a být nezávislý na tom, co je jím podepsáno, což nekoresponduje s požadavkem na zajištění integrity podepsaného dokumentu, jaká je očekávána od elektronického podpisu. Zatímco elektronický podpis neexistuje a principiálně nemůže existovat samostatně bez dokumentu, u biometrického podpisu tato možnost dle názoru J. Peterky teoreticky přetrvává. Zmíněná domněnka byla ovšem obratem vehementně vyvracena ze strany účastníků odborné konference konané 13.3.2014 v pražském hotelu Marriott: podpisová data mají být v dokumentu uložena v zašifrované podobě, a tím chráněna proti možnému zneužití. Klíč pro dešifrování podpisových údajů má být pak bezpečně uložen a zpřístupněn pouze pro potřeby znaleckého zkoumání. Podpis se samostatně nikde neuchovává, a proto nemusí mít uživatelé strach, že by mohl být zneužit.
Jakýkoli elektronický dokument musí být pomocí biometrického podpisu (fyzicky) podepsán konkrétním člověkem. Není tedy možné využití automaticky fungujících elektronických značek a tudíž ani použití tohoto druhu podpisu u takových služeb, které fungují plně automaticky, strojově a bez lidského zásahu (funguje tak např. systém datových schránek).
2.4 Praktické využití dynamických biometrických podpisů
Biometrický podpis je zachycen uzpůsobeným perem na speciální podložce. Pokud je tímto způsobem podepsán nějaký soubor (typicky PDF soubor), zvláštní aplikace umožňují podpis vložit do dokumentu jako metadata, případně jej i graficky zobrazit - například v místě, kde se podpis obvykle umísťuje, tedy v podpisové doložce dokumentu. Výsledný dokument už není nutné tisknout a veškerou dokumentaci lze uchovávat pouze v elektronické podobě. Archivace dokumentů v elektronické podobě, vyhovuje-li zákonu č. 499/2004 Sb., o archivnictví a spisové službě a o změně některých zákonů, šetří náklady na skladování a kompletaci tištěných dokumentů.
V případě uzavírání smluv dochází fakticky k tomu, že smlouva v elektronické podobě je kontrahentem podepsána na elektronické podložce, biometrická podpisová data jsou tímto připojena k dokumentu (smlouvě) a celý výsledný dokument je následně podepsán elektronickým podpisem (pouze) druhého kontrahenta, nebo variantně biometrickým podpisem tohoto druhého kontrahenta. Jelikož je charakteristickým znakem biometrických podpisů autentizace, jež slouží k ověření identity podepsané osoby, fakticky dochází k ověření identity druhým kontrahentem, a tedy i druhou smluvní stranou a nikoli třetí nezávislou osobou, jako je tomu u kvalifikovaných certifikátů elektronických podpisů nebo obrazně při ověřování podpisů úředníkem, notářem či advokátem. Zaslání smluvní dokumentace kontrahentovi se nejčastěji odehrává prostřednictvím emailu, kterým bude klientovi zaslána elektronická verze smlouvy s biometrickými podpisy.
V současné době využívá v soukromé sféře dynamické biometrické podpisy několik velkých společností, jako například Telefónica O2 nebo Global Expert. Dle zprávy ČTK založené na údajích zveřejněných na březnové odborné konferenci,[6] chystají v příštích několika letech přechod na dynamické biometrické podpisy dvě třetiny tuzemských velkých firem (např. pojišťovací skupina VIG, tedy Kooperativa, Česká podnikatelská pojišťovna a Pojišťovna České spořitelny).
Mezi velké zastánce biometrických podpisů patří člen Legislativní rady vlády ČR a přední soudní znalec z oboru výpočetní techniky Prof. Ing. Vladimír Smejkal, CSc., LL.M. Dle Smejkala mají biometrické podpisy velký potenciál a není třeba obávat se legislativního podkladu, neboť biometrické podpisy zcela vyhovují evropské i české legislativě. Díky jejich výhodám Smejkal výrazně podporuje zavedení biometrických podpisů do veřejné správy namísto klasických elektronických podpisů založených na asymetrické kryptografii.
Otázkou však zůstává, jak by byly řešeny případné spory ohledně pravosti biometrického podpisu. Ačkoli grafologové digitalizaci podpisů vítají, lze předpokládat, že již nepostačí přezkum z hlediska křivek a vedení podpisové linie, kterou provede znalec z oboru písmoznalectví, ale bude nutné povolat i znalce z oboru kybernetiky, který osvědčí, zda bylo do dat charakterizujících biometrický podpis jakkoli zasaženo. Současně bude vhodné uzavření smlouvy doložit i dalšími nepřímými důkazy, které vyvrátí případné námitky ohledně pravosti podpisu (např. předchozí korespondence, e-mailová potvrzení atd.).
2.4.1 Dynamické biometrické podpisy při uzavírání smluv s povinnou písemnou formou
Občanský zákoník i zvláštní zákony stanovují pro některé případy právních jednání povinnost jejich písemné formy (např. § 560 občanského zákoníku při právním jednání, kterým se zřizuje nebo převádí věcné právo k nemovité věci; zároveň v této souvislosti ukládá § 562 odst. 2 občanského zákoníku povinnost uvést projevy vůle více jednajících osob na téže listině). K platnosti takového jednání je zapotřebí podpis jednajícího, který může být, je-li to obvyklé, nahrazen mechanickými prostředky, přičemž podrobnosti ohledně užívání elektronického podpisu stanoví ZEP. Písemná forma zůstává zachována i při právním jednání učiněném elektronickými nebo jinými technickými prostředky umožňujícími zachycení jeho obsahu a určení jednající osoby (identifikace).[7]
Tyto předpoklady by byly bezpochyby naplněny i při použití dynamického biometrického podpisu, pokud by ovšem ZEP výslovně tento typ elektronického prostředku upravoval. V souvislosti s tím vyvstávají otázky, zda při neexistenci zvláštní právní úpravy dynamických biometrických podpisů tyto skutečně odpovídají definici elektronického podpisu dle § 2 písm. a) ZEP, zejména zda elektronické údaje z biometrického podpisu slouží jako metoda k jednoznačnému ověření identity podepsané osoby ve vztahu k datové zprávě. Došlo-li by ke sporu o pravost podpisu, nebo dokonce ke sporu ohledně samotného charakteru dynamického biometrického podpisu (tedy zda naplňuje znaky elektronického podpisu dle ZEP), důkazní břemeno k prokázání skutečnosti, že dokument podepsala ta která osoba, by bylo na straně toho, kdo prokazuje nějaké své tvrzení nebo jinou pro sebe příznivou skutečnost (typicky např. uzavření smlouvy). Z důvodu právní opatrnosti tedy považujeme za vhodnější uzavírat tyto smlouvy s povinnou písemnou formou v klasické listinné písemné podobě. Tím se předejde riziku, že výsledná písemnost opatřená biometrickým podpisem bude považována pouze za důkaz o uzavření ústní smlouvy, a tedy nebude naplněn jeden ze základních znaků právního jednání, jeho forma, což bude mít za následek neplatnost právního jednání dle § 582 odst. 2 občanského zákoníku.
2.5 Shrnutí přínosu i úskalí dynamických biometrických podpisů
Dynamické biometrické podpisy nejsou na českém trhu žádnou novinkou a v praxi jsou používány stále větším množstvím firem. Navzdory jejich nepřímé úpravě v českém zákonodárství lze očekávat, že se jejich užívání bude i nadále rozšiřovat a česká legislativa bude muset zareagovat minimálně novelizací ZEP. Zejména s ohledem na zásadu právní jistoty nabytých práv si sice lze jen těžko představit, že by relevance všech právních jednání doposud učiněných prostřednictvím dynamického biometrického podpisu (a nebude jich zrovna malé množství) měla v budoucnu ztratit váhu vlastnoručního podpisu tiskopisu, například v důsledku změny legislativy. Nicméně toto riziko nelze ani zcela vyloučit, a proto je důležité zohlednit i skutečnost, že i přes velké lobby ze strany společností poskytujících technické zázemí pro biometrické podpisy s nimi zákonodárce doposud nepočítal a jejich legislativní zakotvení tak není zcela jednoznačné. Nelze tedy ani vyloučit případ, že by se na dokumenty opatřené biometrickým podpisem mohlo hledět jako na dokumenty opatřené pouhým písemným potvrzením o ústním právním jednání, čímž by některé druhy takto uzavřených smluv, které je třeba uzavřít písemně, mohly trpět vážnými nedostatky a byly by tak neplatné. U právních jednání, u nichž nemusí být povinně dodržena písemná forma, by pak souhrn okolností, jež doprovázely kontraktační proces zakončený opatřením elektronické písemnosti biometrickým podpisem (jako sdělení emailové adresy a osobních údajů kontrahenta, elektronické zaslání podepsaného dokumentu apod.), sloužily jako důkazy o uzavření smlouvy, jejíž písemná forma je rozporována.
Je ovšem třeba mít na paměti i otazníky spojené s technickou stránkou těchto podpisů, zejména s ohledem na jejich bezpečnost a možnosti zneužití. Od poskytovatelů technického vybavení zajišťujícího dynamické biometrické podpisy je vždy třeba ověřit informaci, nakolik je výsledný podpis spojen s podepisovaným dokumentem, aby byla vyloučena možnost jakékoli manipulace s podpisem či s jeho přemístěním a připojením k jinému dokumentu, a jak je zajištěno uložení klíče k dešifrování podpisových údajů na bezpečném místě. Jedině tak bude dostatečně zajištěna autenticita osoby, která dokument skutečně podepsala a která bude přičitatelné právní jednání, jež svým podpisem stvrdila.
V prostředí soukromých firem, které se rozhodnou investovat do technického vybavení (signpady, software, úložiště dat), dojde zavedením systému biometrických podpisů k odlehčení práce s tištěnými dokumenty včetně jejich kompletace a archivace, a tím pádem i ke snížení nákladů. Biometrické podpisy tak mohou, za předpokladu dodržení všech bezpečnostních zásad, urychlit a zjednodušit uzavírání smluv s klienty a smluvními partnery.
[1] Pro ověření identity právnické osoby se vyžaduje originál nebo notářsky ověřená kopie výpisu z obchodního rejstříku, který musí obsahovat úplné obchodní jméno, identifikační číslo, adresu sídla, jména osob, oprávněných k zastupování (statutárních orgánů) a způsob, jakým za právnickou osobu jednají a podepisují.
[2] Kvalifikovaní poskytovatelé certifikačních služeb jsou v současnosti v České republice tři společnosti, jejichž seznam zveřejnilo Ministerstvo vnitra v souladu s § 9 odst. 2, písm. e) zákona č. 227/2000 Sb. na svých internetových stránkách; dostupné z www: [http://www.mvcr.cz/clanek/prehled-kvalifikovanych-poskytovatelu-certifikacnich-sluzeb-a-jejich-kvalifikovanych-sluzeb.aspx].
[3] Bližší popis postupu pro získání certifikátu naleznete na: [http://www.postsignum.cz/firmy_organizace_verejna_sprava.html#Zastupce].
[4] § 561 odst. 1 občanského zákoníku.
[5] Srov. PETERKA, J., Báječný svět elektronického podpisu. 1. vydání. Praha: CZ NIC. str. 57.
[6] Dle průzkumu společností Pražská softwarová a Unicorn mezi stovkou největších tuzemských podniků.
[7] § 561 občanského zákoníku:
„(1) Písemná forma je zachována i při právním jednání učiněném elektronickými nebo jinými technickými prostředky umožňujícími zachycení jeho obsahu a určení jednající osoby.
(2) Má se za to, že záznamy údajů o právních jednáních v elektronickém systému jsou spolehlivé, provádějí-li se systematicky a posloupně a jsou-li chráněny proti změnám. Byl-li záznam pořízen při provozu závodu a dovolá-li se jej druhá strana k svému prospěchu, má se za to, že záznam je spolehlivý."