Stanovisko spol. GORDIC k připravované novele zákona č. 297/2016 Sb.

Když úspora za rizika nestojí

V souvislosti s povinnou implementací takzvané Evropské peněženky digitální identity připravuje Digitální a informační agentura rozsáhlou novelizaci zákona č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce. Některé ze změn mohou na první pohled slibovat úspory, v reálu však spíše komplikace a rizika. Příkladem může být zvažované umožnění využití podpisové funkce peněženky zaměstnanci takzvaného veřejnoprávního podepisujícího, tedy i orgánu veřejné moci.

Návrh to řeší novým § 13a (Bezplatné použití kvalifikovaného elektronického podpisu v peněžence) ve druhém odstavci s následujícím zněním:

(2) Agentura zajistí možnost použití bezplatného podepisování pro splnění povinnosti podle odstavce 1, je-li podepisujícím fyzická osoba, která právně nejedná nebo nečiní úkon jako podnikatel podle jiného právního předpisu5), a je-li dokument k podpisu předán do aplikace pro vytváření podpisů.

V praxi by tedy například obec při výkonu agend v přenesené působnosti nemusela pro podepisování souvisejících dokumentů pořizovat od certifikačních autorit kvalifikované podpisové certifikáty a ušetřit tak ročně řádově tisíce korun. Tolik teorie.

Ve skutečnosti však je situace výrazně komplikovanější. V první řadě by úřad a jeho statutár zcela ztratil kontrolu nad tím, jaké dokumenty úřad podepisuje. Osobní certifikát vydaný fyzické osobě do její peněženky totiž nejde z rozhodnutí úřadu revokovat. Tedy například po odvolání z funkce by úředník mohl i nadále neoprávněně podepisovat dokumenty.

Další komplikací je dopad nezvládnuté implementace Nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu. Ne zcela šťastné pravidlo stanovené v prováděcím zák. č. 297/2016 Sb. v § 8, tedy že veřejnoprávní podepisující dokument podepíše nebo zapečetí, zatím částečně napravoval fakt, že v zaměstnaneckých certifikátech bylo uvedeno označení orgánu, za který oprávněná osoba jedná. Tato informace sice de iure nemohla význam pečeti jako důkazu původu nahradit, fakticky tomu tak v řadě případů bylo a příjemci dokumentu to dávalo elementární garanci jistoty. Například na Slovensku tak fakticky zaměstnanecký certifikát plnil roli tzv. Mandátního certifikátu dle § 8 odst. 1 slovenského zákona č. 272/2016 Z. z. o dôveryhodných službách pre elektronické transakcie na vnútornom trhu.

Problematická je i formulace z konce navrhovaného znění druhého odstavce § 13a: „…je-li dokument k podpisu předán do aplikace pro vytváření podpisů.“ Fakticky to znamená nutnost integrovat elektronickou spisovou službu nebo jiný systém spravující dokumenty na zatím blíže nespecifikovanou službu, jejíž používání bude pravděpodobně zpoplatněno. Související implementační náklady by tak mohly potenciální úspory zcela eliminovat. Fakticky to navíc může být spojeno s povinný předáním celého dokumentu k podpisu mimo prostředí původce, tedy rizikem neoprávněného přístupu k jeho obsahu. Jde sice o spekulace (konkrétní řešení zatím nebyla představena), nicméně obdobná řešení již v minulosti existovala.

Novelu zákona sice DIA ještě nepředala do sněmovny, již nyní se však vyplatí jeho dopady průběžně analyzovat, zejména z pohledu možných rizik. A těch rozhodně není málo. Za společnost GORDIC proto i nadále doporučujeme využívání stávajících zaměstnaneckých podpisových certifikátů.