Hlavní navigace

Čeká nás revoluce v elektronizaci jménem eIDAS. Co všechno se změní?

7. 10. 2013
Doba čtení: 11 minut

Sdílet

 Autor: Isifa
Chystané unijní nařízení o elektronické identifikaci a důvěryhodných službách (eIDAS) slibuje změny nejenom ve fungování eGovernmentu, ale prakticky ve všem, co nějak souvisí s elektronizací.

Elektronizace, coby přechod od „papírového úřadování“ k „úřadování elektronickému“, v našich zeměpisných šířkách bují již nějaký ten pátek. Za tu dobu jsme se s řadou věcí již smířili, nad jinými rezignovali, a pomalu začali alespoň s inventurou problémů, které jsme si elektronizací nadrobili. Možná i proto je nejvyšší čas „přejít na další level“: provést jakýsi restart a v mnoha ohledech začít odznovu. Lépe a kvalitněji, či spíše: důvěryhodněji. A hlavně všichni jednotně, v rámci celé Evropské unie.

Právě něco takového pro nás Unie již chystá, a to skrze nařízení „o elektronické identifikaci a důvěryhodných službách“, známé pod zkratkou eIDAS. Plným jménem:

Regulation of the European Parliament and of the Council on electronic identification and trust services for electronic transactions in the internal market

První návrh zveřejnila Komise v červnu loňského roku, a v současné době vrcholí jeho projednávání se zainteresovanými stranami. Do konce roku plánuje litevské předsednictvo konsolidaci finálního textu, tak aby mohl být předložen evropskému parlamentu a ten jej mohl schválit ještě během stávajícího funkčního období (které končí v červnu příštího roku). Pokud jej schválí i Rada EU, mohlo by toto nařízení vstoupit v platnost od 1.1.2015. Jeho účinnost ale nejspíše bude ještě o nějakou dobu odložena (uvažuje se o legisvakanci v délce jednoho či dvou let, někdo prosazuje dokonce 5 let).

Ať už se ale navrhované termíny a lhůty stihnout či nikoli, celé nařízení nás dříve či později stejně nemine. A pak se budou dít věci.

Je zapotřebí změna?

Ačkoli to tak – po úvodním odstavci – možná nevypadá, osobně celou změnu spíše vítám a považuji za potřebnou. Již jen proto, že stávající úprava elektronického podpisu, aplikovaná v EU, vychází z unijní směrnice 1999/93/ES, která je již poměrně letitá, a za 14 let její existence mnoho věcí přeci jen pokročilo. Či se jen nově objevilo a také si zaslouží nějaké „ukotvení“ i v legislativě.

Mimochodem, naše domácí legislativa má dokonce ještě starší kořeny (v návrzích Uncitralu z roku 1996), a v některých ohledech není zcela shodná s unijní směrnicí. Například jsme si sami zkomplikovali život zavedením datových zpráv (převzatých z návrhů Uncitralu, zatímco unijní směrnice je nezná), a dodnes bojujeme s pochopením toho, jaký je vlastně vztah či rozdíl mezi datovou zprávou a dokumentem. Nebo jsme nechali plně na uživatelích, aby správně používali ty nástroje pro práci s elektronickými podpisy, které si sami a svobodně vyberou – ale za cenu toho, že pak také sami odpovídají za jejich správnou činnost, správné nastavení, i za správnou interpretaci jejich výsledků. Místo toho, abychom jako většina ostatních členských zemí požadovali používání jen takových nástrojů, které jsou dopředu prověřené jako „bezpečné“.

Ale to všechno jsou spíše technické drobnosti proti té zásadní skutečnosti, že v mezidobí se celý „elektronický svět“ značně rozrostl a rozvinul. Dnes už samotné elektronické podpisy rozhodně nestačí pro všechno to, co bychom chtěli dělat elektronickou cestou. Ať již sami a dobrovolně, či proto, že to po nás direktivně požaduje stát. Zapotřebí je řada dalších věcí, které umožní dosáhnout v celém online světě dostatečné důvěry ve všechno to, na co se potřebujeme spoléhat.

Dnes už nejde zdaleka jen o elektronické dokumenty, které opatřujeme elektronickými podpisy, případně značkami a také časovými razítky, abychom se mohli spoléhat na jejich neměnnost (integritu), ale také na jejich původ a pravost (autenticitu). Jde  například také o to, abychom jako zákazníci (resp. občané) věděli, kdo je naší skutečnou protistranou při nějakém online jednání, a mohli se na to spoléhat. A stejně tak druhá strana, ať již je to nějaký komerční poskytovatel, nebo orgán veřejné moci: i on potřebuje vědět, kdo s ním chce komunikovat (potřebuje identifikovat svého klienta), a mít jistotu, že je skutečně tím, za koho se vydává (klient se musí tzv. autentizovat). Teprve pak ho může protistrana někam pustit, nechat ho něco udělat, dát mu nějaká oprávnění atd. (tj. autorizovat ho k určitým činnostem či úkonům, obecně provést jeho autorizaci).

Privátní sektor se s takovýmito úkoly vyrovnává snáze, protože má větší volnost ve svých smluvních vztazích oproti státu. Ale i tak je nepříjemné, když si každý privátní subjekt vše řeší po svém, a tedy jinak než ostatní. To veřejný sektor to má složitější, ale na druhou stranu mu lze snáze nařídit jednotné řešení cestou zákona. A nemusí to být jen „národní“ zákon, obvykle trochu jiný než původní evropská směrnice, ze které vychází: zde popisovaný eIDAS má formu nařízení (anglicky: Regulation), což znamená, že se netransponuje („nezapracovává“) do národních legislativ, ale platí přímo a stejně ve všech členských zemích.

No a k řešení, které je nadiktované veřejnému sektoru, se pak mohou (ale nemusí) přidat i privátní subjekty. To je i případ popisovaného nařízení eIDAS, které bude povinné pro veřejný sektor, ale nikoli pro privátní sektor. Ten se může přidat dobrovolně, tedy podle svého uvážení.

Celý eIDAS je přitom zaměřen hlavně na tzv. přeshraniční styk. Tj. ukládá striktní povinnosti tam, kde dochází k přesahu mezi jednotlivými členskými zeměmi. Například když se s dokumentem, který vznikl v jedné zemi, má pracovat v jiné zemi. Nebo když se konkrétní osoba „z jedné země“ potřebuje činit nějaké úkony (vůči veřejné správě) v jiné zemi. Na druhou stranu eIDAS přeci jen ponechává určitou míru volnosti tam, kde se jedná o řešení, používané pouze „lokálně“, jen  v dané zemi.

Možná to bude názornější na konkrétním příkladu: pokud si někde vymyslí vlastní způsob elektronické identifikace svých občanů, který splňuje požadavky eIDASu, mohou, ale nemusí jej „zveřejnit“ (tzv. notifikovat, oznámit) jako řešení,  použitelné v celé Unii. Pokud tak učiní, musí toto řešení následně podporovat a akceptovat veřejnoprávní systémy všech členských zemí, a to všude tam, kde nějakou elektronickou identifikaci podporují.  Takže pokud země X takto „ohlásí“ své eID, mohou se její občané prokazovat tímto svým národním eID vůči všem systémům ve veřejné správě všech členských zemích (a tyto systému jsou povinné příslušný národní eID akceptovat).

Pro představu: po technické stránce by takovým „národním eID“ by mohl být třeba systém MojeID, který v ČR provozuje sdružení CZ.NIC. Jenže pro potřeby eIDASu by se  muselo jednat o řešení „od státu“, který také garantuje to, že elektronická identita skutečně odpovídá té fyzické. Byť o míře této garance se stále vedou vášnivé diskuse.

V současné době v EU takových národních eID (elektronických identit) moc není, a v ČR nemáme žádnou. Ale dříve či později přijdou.

Co a jak řeší eIDAS

Vraťme se ale zpět k navrhovanému nařízení eIDAS („o elektronické identifikaci a důvěryhodných službách“). Jeho aktuální (konsolidované, ale stále jen pracovní) znění si můžete přečíst například zde. Zjistíte, že se už podle svého názvu zabývá dvěma hlavními okruhy problémů:

  • důvěryhodnými službami
  • elektronickou identifikací

V prvním případě jde ale spíše o nepřesný (byť oficiální) český překlad anglického „trust services“, a správně by se to asi mělo překládat jako „služby vytvářející důvěru“. Nejde totiž o služby, které by samy měly fungovat jako důvěryhodné, a které by se pak v angličtině označovaly jako trustworthy services, případně jako trusted services. V eIDASu jde o takové služby, které slouží k vytváření důvěry v něco jiného: například v dokumenty, v místa v online světě, v datování nějaké události atd.

V praxi jde o dvě skupiny služeb:

  • služby pro vytváření a ověřování elektronických podpisů, pečetí, časových razítek, obálek (zpráv) a míst (web sites)
  • služby pro udržování (preservation) podpisů, pečetí a razítek

Řečeno ještě konkrétněji, současná verze eIDAS nechce zasahovat do toho, jak fungují například spisové služby, různá úložiště dokumentů, informační systémy, či třeba datové schránky (byť první verze návrhu eIDAS to přeci jen činila). To jsou služby, které by určitě měly samy fungovat důvěryhodně (trustworthy services, trusted services), ale nejsou chápány jakou služby „vytvářející důvěru“ (trust services).

Vše souvisí s tím, že eIDAS staví na předpokladu, že důvěryhodnosti nějakého objektu by měla vycházet z něj samotného a z jeho atributů, a nikoli z jeho historie, či předchozího zpracování, uložení atd. Nejsnáze si to můžeme představit na elektronickém dokumentu: jeho důvěryhodnost by se neměla odvozovat od toho, zda někdy prošel nějakým archivem, spisovou službou či třeba datovými schránkami, a jak se s ním přitom nakládalo. Měla by se odvozovat pouze od toho, co o sobě dokument říká sám. Především svým podpisem, pečetí a časovými razítky.

Je to tedy úplně jiný přístup a pohled, než jaký se stále více prosazuje u nás, v našem eGovernmentu. Zde máme stále větší tendenci posuzovat pravost dokumentů, a dokonce i jejich původ a důvěryhodnost podle toho, že byly přeneseny odněkud někam skrze datové schránky. Nebo se spoléhat na tzv. digitální stopy, které elektronické dokumenty po sobě zanechávají. Například v rámci spisových služeb.

Zajímavá je také druhá skupina “důvěryhodných” (správně: „důvěru vytvářejících“) služeb: služby pro udržování podpisů, pečetí a časových razítek (anglicky: preservation). Zde z textu nařízení zatím  vyplývá jen to, že půjde o technologické řešení. Tedy v zásadě o používání formátů tzv. dlouhodobě ověřitelných elektronických podpisů (LTV, Long Term Validation) a o pravidelné přerazítkovávání, které dokáže kontrovat možnosti vypočítat kolizní dokument v únosně krátkém čase.

I to je ale velmi podstatné, protože to říká, jak se Evropská unie staví k problému tzv. digitální kontinuity: jejím řešením na technologickém principu. Nikoli na principu právní fikce, o kterou se snažíme u nás: vytrhnout z kontextu důvěryhodných archivů pasáž §69/5a zákona č. 499/2004 Sb. o tzv. vyvratitelné domněnce pravosti, a aplikovat ji i na takové dokumenty, které nejsou uloženy v žádném důvěryhodném archivu (který by je chránil před záměnou kolizním dokumentem). Jinými slovy tvrdit, že o elektronické dokumenty se není třeba aktivně starat, ale stačí je ošetřit jen jednorázově a ono to vystačí na libovolně dlouhou dobu.

Pokud by si to autoři nařízení eIDAS mysleli také, pak by nepotřebovali žádné „udržovací“ služby, které prodlužují možnost ověření platnosti podpisů, značek i časových razítek (a to přidáváním dalších časových razítek, neboli tzv. přerazítkováváním).

Mimochodem, zrovna minulý týden jsem na jedné konferenci (CNZ) zažil zástupce České pošty, který po dopolední diskusi plné nářků na neřešení problému digitální kontinuity tvrdil, že vše je vyřešeno, protože zde máme vyvratitelnou domněnku pravosti. Co ale budou dělat ti, kteří dnes mají nějaké elektronické dokumenty, nestarají se o jejich udržování (přerazítkováváním), a spoléhají se na onu vyvratitelnou domněnku pravosti – až přijde nařízení eIDAS, a pravost i důvěryhodnost dokumentů se bude posuzovat podle něj? Až eIDAS, coby unijní nařízení, „přebije“ naší stávající národní legislativu? Pak už může být na přerazítkovávání pozdě (to se musí udělat dříve, než skončí platnost toho certifikátu, na kterém je založeno „poslední“ časové razítko).

K tomu ještě jedna poznámka: ČR je v oblasti elektronického podpisu v podstatě průkopníkem díky zavedení elektronických značek. Teď je od nás EU přebírá, a říká jim „elektronické pečeti“ (electronic seals). Jsou velmi podobné našim značkám, ale ne zcela identické – eIDAS je vymezuje trochu odlišně, jako něco co může „patřit“ jen právnické osobě, ale nikoli fyzické osobě. To u nás mohou značky „patřit“ i fyzickým osobám.

Ale těch změn v oblasti elektronických podpisů bude více. Například zřejmě padne naše svoboda používat jakýkoli prostředek pro vytváření a ověřování elektronických podpisů (vyvážená odpovědností za jejich správné používání, nastavení a interpretaci výsledků), viz výše. Místo toho budeme muset používat jen kvalifikované prostředky, které prošly certifikací. Přesněji: tam, kde půjde o elektronické podpisy s právní relevancí, odpovídající vlastnoručnímu podpisu. A mimochodem, eIDAS říká, že „vyšší formu“ elektronického podpisu už není možné požadovat. Vyřeší se tím stávající problém s tím, že neexistuje elektronický ekvivalent ověřeného elektronického podpisu?

Uznávání elektronických identit

Druhá část „záběru“ chystaného nařízení eIDAS se týká důvěryhodné identifikace, ale také autentizace. Vlastně všeho toho, co je potřeba k tomu, aby obě strany nějaké online komunikace věděly, a to dostatečně spolehlivě, s kým mají tu čest. Patří sem tedy nejenom identifikace klientů, kteří se někam přihlašují (k nějaké službě, poskytované na nějakém místě/serveru), ale také identifikace a autentizace tohoto místa resp. služby, ke které se přihlašují.

To podstatné a nové, co to přinese, jsme si již naznačili výše: zejména ono „přeshraniční“ uznávání identit občanů z celé Unie. Pokud budou používat takovou elektronickou identitu (eID), kterou jejich mateřská země tzv. ohlásila (notifikovala), musí takovouto identifikaci podporovat a akceptovat všechny (veřejnoprávní) systémy všech členských zemí, které s elektronickými identitami pracují. Tedy i ty naše. Pro privátní sektor to bude platit dobrovolně: může se k akceptaci zahraničních eID připojit, ale nemusí.

Zkusme si jen letmo představit, co to bude znamenat pro náš eGovenrment a jeho informační systémy. Nad naším základním registrem obyvatel a osob musí vzniknout, a prý už také vzniká, nadstavba ve formě agendového informačního systému, která bude fungovat jako to, co je v projektu STORK označováno jako proxy: jako server, zajišťující identifikaci a autentizaci našich uživatelů podle našich národních identit, pro potřeby jejich využití v zahraničí, a zprostředkující (ve spolupráci se zahraničními servery stejného typu) obdobnou identifikaci a autentizaci zahraničních uživatelů, podle jejich národních elektronických identit.

BRAND24

Zjednodušeně si můžeme představit, že výstupem (v případě zahraničního uživatele, který se u nás prokazuje svou „domácí“ elektronickou identitou) bude jakési elektronické vízum, kterým se bude prokazovat vůči tuzemským službám (v roli určité dočasné „místní“ el. identity), a podle které mu také budou udělována různá práva atd. (prováděna autorizace).

No, nebude to určitě jednoduché. Na druhou stranu, nechce-li Unie prosazovat nějakou jednotnou elektronickou identitu – což očividně nechce – jde asi o jedinou možnou cestu. I to ale bude poměrně náročné, nejenom pro naše již existující informační systémy ve veřejné správě. Protože všechny se budou muset upravit, tak aby popsaným způsobem podporovaly všechny „ohlášené“ národní identity všech členských zemí Unie. Ale stejně tak to budou muset udělat i v zahraničí.

Byl pro vás článek přínosný?

Autor článku

Autor byl dlouho nezávislým konzultantem a publicistou, od 8.6.2015 je členem Rady ČTÚ. 35 let působil také jako pedagog na MFF UK v Praze.

Upozorníme vás na články, které by vám neměly uniknout (maximálně 2x týdně).