Source: http://earchiv.cz/b16/b0718001.php3
Timestamp: 2018-08-14 19:04:40+00:00
Document Index: 59632643

Matched Legal Cases: ['§7', '§6', '§7', '§5', '§6', '§7', '§ 5', '§ 5', '§ 5', '§7', '§563', '§7', '§7', '§7', '§7']

Jiří Peterka: eIDAS a el. podpisy (4): nepřehnali jsme naše výjimky?
Vyšlo na Lupě, ..2016
Vytištěno z adresy: http://www.earchiv.cz/b16/b0718001.php3
eIDAS a el. podpisy (4): nepřehnali jsme naše výjimky?
Další naší výjimkou má být povýšení tzv. prostých elektronických podpisů, třeba emailových patiček či různých PINů, na úroveň vlastnoručních podpisů. To může mít zásadní a neblahé důsledky.
Přesto i takovýto druh elektronického podpisu má nově (a jen v ČR) mít stejné účinky jako vlastnoruční podpis. Nikoli ovšem „kvůli“ novému nařízení eIDAS, ale díky §7 připravovaného adaptačního zákona (Zákona o službách vytvářejících důvěru, který aktuálně prošel 3. čtením v Poslanecké sněmovně a míří do Senátu).
To zaručený elektronický podpis dokáže to samé, navíc jednoznačně (ano/ne) a bez nutnosti zvát si k tomu písmoznalce: i když nevíme, komu zaručený elektronický podpis patří, snadno a rychle (a sami) poznáme, zda patří stejné osobě. Protože ta k jeho vytvoření musela použít stejný soukromý klíč - a oba podpisy se tak dají ověřit pomocí stejného veřejného klíče.
Takže, shrnuto: zaručený elektronický podpis přináší dokonce ještě o něco více, než vlastnoruční podpis: zajištuje integritu podepsaných dat (což vlastnoruční podpis nezaručuje, viz možnost podepsat bianco šek), a umožňuje snadno a jednoznačně posoudit, zda dva konkrétní podpisy patří stejné osobě (aniž bychom nutně museli vědět, o kterou osobu se jedná, resp. mohli se na její identitu spoléhat, viz příklad s podpisem Josefa Švejka).
„Povýšení“ zaručeného elektronického podpisu na úroveň vlastnoručního podpisu tak skutečně může mít svou á svou logiku. Jenže k čemu potom máme vyšší formy elektronických podpisů, konkrétně kvalifikované el. podpisy (dle eIDAS) a naše uznávané el. podpisy, které již kladou konkrétní požadavky na kvalitu a důvěryhodnost certifikátů?
Druhý odkaz, na §6 odst. 1, řeší opačnou situaci: právní jednání vůči veřejnoprávnímu subjektu v souvislosti s výkonem jejich působnosti. Tedy třeba podání občana či firmy vůči úřadu. Také zde je požadován kvalifikovaný el. podpis, ale díky výjimce lze vystačit i s uznávaným el. podpisem (tj. bez čipové karty/tokenu), a to po neomezenou dobu.
Když si to shrneme: §7 se netýká těch situací, které „spadají“ pod právě popsané §5 a §6 odst. 1. Zjednodušeně: netýká se komunikace s úřady, v úředních věcech. Všech ostatních případů se §7 již týká – a jde obecně o veškeré soukromoprávní jednání. Tedy třeba jednání občanů s bankami, operátory, utilitami atd., obecně s firmami (právnickými osobami), či jednání mezi firmami navzájem, mezi občany navzájem atd. A stejně tak se týká i komunikace s úřady, pokud tyto právě nevykonávají svou působnost.
Ustanovení upravuje podepisování zbytkové kategorie dokumentů, respektive právních jednání v nich obsažených. Jde tedy o dokumenty, respektive právní jednání jiných subjektů, než jsou ty uvedené v § 5, adresované subjektům uvedeným v § 5 v jiném než vrchnostenském postavení nebo adresované jiným subjektům než uvedeným v § 5.
Možná je tedy nejlepší představa taková, že prostý elektronický podpis je něco jako nálepka. A to taková, u které vůbec nezáleží na její konkrétní podobě a obsahu. Takže různé lidé mohou používat různé, nebo naopak stejné nálepky. Takové, které si vytvoří či jen zvolí sami, nebo které jim vytvoří či přidělí někdo jiný.
Stejně tak nezáleží na tom, jak je takováto nálepka konkrétně „aplikována“ (připojena či logicky spojena s tím, co má podepisovat). Jenže tím není nijak bráněno možnosti vzít „již aplikovanou“ nálepku, či udělat si nějakou její kopii, a tu připojit či logicky spojit s jiným dokumentem. Jako třeba na následujícím obrázku.
Má snad takovýto „obrázkový“ podpis být bez dalšího postaven na roveň vlastnoručnímu podpisu? Byť jen „mimo úřední styk“, jak to chce zavést popisovaný §7? Mohl ho vytvořit skutečně kdokoli, a tak nemá vůbec smysl ověřovat jeho pravost – není totiž co zkoumat.
Jiným příkladem prostého elektronického podpisu může být dobře známá emailová patička. Obvykle v ní jsou užitečné a pravdivé údaje, ale nemusí tomu tak být – do své patičky si můžete napsat, cokoli jen chcete. A pokud si to tak nastavíte, stále stejnou patičku za vás bude vkládat do každé nové právy přímo váš poštovní klient.
Ukažme si to na analogii se situací lidí, kteří se nemohou vlastnoručně podepsat. Třeba proto, že nejsou gramotní, nebo nemají ruce, nebo s nimi nemohou hýbat atd. I pro ně ale existuje alternativa, na kterou právní úprava pamatuje (alespoň u listinných dokumentů): projeví svou vůli vůči podepisovanému dokumentu tak, jak to dokáží - třeba nakreslením tří křížků, znamením ruky (dle §563 NOZ) apod., a tento jejich úkon stvrdí předepsaný počet svědků.
Takže pokud se právě přihlášený uživatel například rozhodne podepsat konkrétní dokument, který má k dispozici v rámci služby, stačí mu pouze kliknout na tlačítko „podepisuji“, a služba se postará o vše potřebné: do logu příslušného dokumentu zapíše, že příslušný uživatel vyjádřil svou vůli podepsat příslušný dokument. Na příslušné místo v dokumentu pak vloží „něco“, co takovýto podpis symbolizuje – může to být například jen napsané jméno příslušného uživatele (který si může zvolit font i jeho varianty), nebo uživatelem dodaný obrázek (například s jeho naskenovaným vlastnoručním podpisem). Zkrátka cokoli.
Z našeho pohledu jde právě o prostý elektronický podpis, na jehož podobě skutečně nezáleží: podstatné je „dobrozdání“ samotné služby, která vede příslušný log (žurnál) se záznamy všech relevantních úkonů, který také sama podepisuje (již silnějším el. podpisem než je ten prostý), a přikládá k samotnému u dokumentu.
Podle tohoto logu (žurnálu) pak další strany mohou usuzovat na to, zda a kým je dokument podepsán, i s jakou mírou důvěryhodnosti. Ta je závislá především na způsobu identifikace a autentizace uživatele, využívajícího službu. V úvahu samozřejmě připadají i spolehlivější metody, než je ta na předchozích obrázcích (založená pouze na přístupu k emailové adrese a znalosti hesla).
Zdůrazněme si, že váš vzorek, v podobě dynamického biometrického podpisu, může plnit roli prostého elektronického podpisu, a to v přeci jen „vyšší kvalitě“ než jiné prosté el. podpisy (například jen napsané jméno, nějaký kus textu, obrázek, fotka, PIN apod.). A to díky tomu, že je dostatečně specifický pro vás samotné a umožňuje následné zkoumání toho, zda je skutečně váš či nikoli. A to, že jste jej poskytli právě (a pouze) k vyjádření svou souhlasu s konkrétním smluvním dokumentem, musí zajistit ono kontrolované prostředí, které provozuje protistrana a ve kterém je váš vzorek odebírán a je s ním dále nakládáno.
Naopak váš dynamický biometrický podpisu nemůže plnit roli vyšší formy el. podpisu, počínaje zaručeným elektronickým podpisem. Již jen proto, že nevzniká „z jiných dat“ (soukromého klíče), a tudíž nemůže být „vytvořen pomocí dat pro vytváření elektronických podpisů, která podepisující osoba může s vysokou úrovní důvěry použít pod svou výhradní kontrolou“ – jak je to po zaručených elektronických podpisem explicitně požadováno.
To je ale také má hlavní výtka vůči navrhovanému §7 nového adaptačního zákona: pokud snad bylo záměrem dát do zákona explicitní oporu pro dynamické biometrické podpisy (DBP) a postavit je na roveň vlastnoručním podpisům – například pro „legislativní ukotvení“ již prakticky používaných řešení na bázi DBP - pak se to dalo udělat skutečně jen pro DBP, a nemuselo se to přehnat do té míry, aby stejné účinky jako vlastnoruční podpis mělo „úplně cokoli“, co má elektronickou podobu. Tedy jakýkoli elektronický podpis, včetně (jakéhokoli) prostého el. podpisu.
Obavy mám zejména z toho, že §7 usnadní různé podvody, a naopak znesnadní jejich odhalování a prokazování. Bude mnohem snazší podepsat se „jménem někoho jiného“. A stejně tak bude mnohem snazší navodit situaci, kdy si jedna (podváděná) strana není vědoma, že něco podepisuje (například tím, že v nějakém formuláři jen vyplní své jméno, či emailovou adresu, nebo jen přepíše nějaký PIN apod.), zatímco protistrana to již bude chtít interpretovat jako závaznou obdobu vlastnoručního podpisu, a bude se opírat právě o §7.
Naštěstí ale právě u nemovitostí a jejich převodů, přesněji u zápisů do katastru, se někdo přeci jen chytil za hlavu a zatáhl za záchrannou brzdu. A to v podobě prosazení pozměňovacího návrhu (k tzv. tlusťochovi, neboli zákonu …), který se týká zákona o katastru a dává mu faktickou výjimku z §7: požaduje totiž, aby všechny listiny v žádosti o vklad do katastru byly opatřeny vyšší formou elektronických podpisů, konkrétně uznávanými el. podpisy či pečetěmi (tj. včetně kvalifikovaných el. podpisů a pečetí):
Zároveň je naprosto zásadní věcí požadavek na jednoznačnou identifikaci osob, která právní jednání týkající se nemovitostí činí, a to nejen na úrovni pouhého jména a příjmení, jak je tomu v případě kvalifikovaného elektronického podpisu. V rámci řízení o povolení vkladu je nezbytné, aby bylo postaveno najisto, že osoba, která určitou listinu podepsala, je totožná s osobou zapsanou v katastru nemovitostí, zejména pak pokud jde o osobu vlastníka nemovitosti. Pokud by totiž byl povolen vklad v případě, kdy není jednoznačně prokázáno, že podepisující osoba je totožná s vlastníkem nemovitosti, otevřel by se prostor pro podvodná jednání.