Hlavní navigace

Elektronická časová razítka už budou muset být jen kvalifikovaná. Kde všude jsou potřeba?

Autor: Depositphotos
Jiří Peterka

Také používání časových razítek (ve veřejné správě) čekají po 19. září určité změny. Skončí např. možnost opatřovat úřední dokumenty pouze testovacími časovými razítky.

Doba čtení: 13 minut

Přesně 19. září 2018 skončí dvouleté výjimky z „elektronických povinností“, které celé naší veřejné správě uložilo unijní nařízení eIDAS. Nedávno jsme si zde na Lupě popisovali, o co půjde u elektronického podepisování a u elektronického pečetění. Dnes, na popud jednoho čtenáře, si dovolím obdobně rozebrat situaci kolem používání časových razítek.

Zjednodušeně lze konstatovat, že situace kolem používání časových razítek (ve veřejné správě) je méně komplikovaná než u elektronického podepisování a pečetění. Přesto se i zde najde několik důležitých věcí, o kterých je dobré vědět a dát si na ně pozor.

Nejvýznamnější je asi to, že s koncem dvouletého přechodného období skončí možnost, aby veřejná správa používala taková časová razítka, která nejsou kvalifikovaná (ale pouze pochází od kvalifikovaného poskytovatele). Jak už naznačuje titulek tohoto článku, po 19. září bude celá veřejná správa muset používat již jen kvalifikovaná (elektronická) časová razítka.

 


Partnerem seriálu o eIDAS, elektronických podpisech a službách vytvářejících důvěru je ASKON International.

Skončí tak mj. možnost, na kterou přišly některé orgány veřejné moci, když začaly opatřovat své elektronické dokumenty testovacími (DEMO) časovými razítky. Například těmi, které – zdarma, ale jen pro účely testování – vydává autorita PostSignum.

Další zajímavou a důležitou otázkou pak je to, zda (ve veřejné správě) opravdu musí být ke každému elektronickému podpisu či pečeti připojeno také časové razítko. Jde hlavně o nejrůznější strojově generované výpisy, které se obvykle pečetí – měly by současně být opatřovány i časovými razítky? Na první pohled by se mohlo zdát, že ano. Ale při detailnějším rozboru příslušných ustanovení už to tak úplně jasné není.

V neposlední řadě je zde zajímavá otázka, týkající se uplatnění časových razítek při ověřování platnosti elektronických podpisů či pečetí – tuto platnost vždy ověřujeme k určitému časovému okamžiku („rozhodnému okamžiku“). Tím je v praxi nejstarší okamžik, ke kterému máme jistotu ohledně toho, že podpis již existoval. Což je nejčastěji právě čas připojení (platného kvalifikovaného) časového razítka. Jenže: neříká náhodou článek 32 nařízení eIDAS, že bychom měli postupovat jinak a na časová razítka až tak moc nehledět?

Pojďme nyní k jednotlivým věcem podrobněji.

Časová razítka (ne)začínají na zelené louce

Začněme tím, že unijní právní úprava původně časová razítka vůbec nezahrnovala. Přišlo s nimi až nařízení eIDAS, které je opatřilo přívlastkem „elektronická“ (tj. označuje je jako „elektronická časová razítka“) a zavádí je pouze jako dvouúrovňovou hierarchii – jako „prostá“ elektronická časová razítka (tedy bez dalšího přívlastku) a pak jako kvalifikovaná elektronická časová razítka.

Ve shodě s reálnou praxí jsou (elektronická) časová razítka v nařízení vymezena tak, že neříkají, že orazítkovaný dokument (ona „jiná data v elektronické podobě“) vznikl, resp. byl podepsán nebo opatřen pečetí právě v okamžiku připojení časového razítka, ale pouze to, že v tomto okamžiku v příslušné podobě již existoval. To odpovídá tomu, že (elektronická) časová razítka můžeme přidávat kdykoli později (až po vzniku dokumentu jako takového, či až po jeho podepsání či patření pečetí). Přitom přidat časové razítko může kdokoli (ne nutně původce dokumentu či podepisující nebo pečetící osoba).

Jak je vidět z předchozího obrázku, nařízení předpokládá, že již „prosté“ časové razítko prokazuje, že příslušný dokument („jiná data“) existoval v daném okamžiku. Reálně to ale ještě moc k užitku není – protože tento „daný okamžik“ ještě neznáme. Přesněji: nějaký čas je i v prostém časovém razítku uveden, ale na jeho přesnost a správnost se nemůžeme spoléhat. To proto, že zde (u prostého časového razítka) ještě není vznášen žádný požadavek na přesnost a správnost uváděného času. Jinými slovy: ten, kdo nám poskytuje prosté časové razítko, ještě není povinen mít správně seřízené (a správně fungující) hodinky.

Takovýto požadavek (na správný chod hodinek) je vznášen až u kvalifikované varianty (elektronického) časového razítka.

To je pak také důvodem obecného požadavku, aby všude tam, kde je třeba mít možnost se na časové razítko spoléhat, bylo používáno kvalifikované (elektronické) časové razítko. Třeba právě ve veřejné správě, kde by tzv. veřejnoprávní podepisující (a osoby vykonávající veřejnoprávní působnost) měli používat výhradně kvalifikovaná elektronická časová razítka. Požaduje to § 11 našeho adaptačního zákona (zákona č. 297/2016 Sb., o službách vytvářejících důvěru, kterým se náš právní řád adaptoval na unijní nařízení eIDAS).

Přechodná opatření

Zatímco na unijní úrovni byla časová razítka zavedena až nařízením eIDAS (z roku 2014, ale s účinností od 1. 7. 2016), u nás jsme si časová razítka zavedli podstatně dříve. Konkrétně k 26. červenci 2004, skrze zákon č. 440/2004 Sb., který novelizoval tehdejší zákon č. 227/2000 Sb., o elektronickém podpisu. A zavedli jsme si pouze kvalifikovaná časová razítka, tedy již s požadavkem na správné seřízení hodinek toho, kdo razítko vydává.

Následně se časová razítka u nás skutečně začala používat – i když třeba právě ve veřejné správě to poněkud „naráželo“ na skutečnost, že povinnost přidávat časová razítka nebyla v relevantních zákonech uvedena explicitně, ale byla dovozována z jiných právních předpisů. To někdy vedlo k popírání této povinnosti a jejímu nedodržování.

Dnes už je povinnost připojování (kvalifikovaných elektronických) časových razítek pro veřejnou správu – v již citovaném § 11 adaptačního zákona – vyjádřena zcela explicitně. I když s přesným výkladem také může být problém (viz dále).

Teď ale to důležité: jelikož unijní nařízení začínalo s časovými razítky na zelené louce, neobsahovalo žádná přechodná ustanovení, která by se časových razítek týkala. Naopak u nás jsme časová razítka již používali – a tak jsme se museli sami postarat o plynulý přechod od „kvalifikovaných časových razítek“ (podle naší původní národní právní úpravy) ke „kvalifikovaným elektronickým časovým razítkům“ dle nařízení eIDAS.

Problém byl v tom, že bylo nutné udělat určitý přechodný mezistupeň: naše certifikační autority, které vydávaly původní kvalifikovaná časová razítka, s koncem původní právní úpravy přišly o potřebný statut k této činnosti. A nový statut (statut kvalifikovaného poskytovatele služeb vytvářejících důvěru, a to v souvislosti s vydáváním časových razítek) musely teprve získat – což jim nějakou dobu trvalo.

První dvě tuzemské autority, konkrétně I.CA a Česká pošta (PostSignum), získaly potřebný kvalifikovaný statut pro vydávání časových razítek až v srpnu 2017. V pořadí třetí eIdentity pak v lednu 2018.

Proto adaptační zákon (zákon č. 297/2016 Sb.) přišel s přechodným ustanovením (konkrétně v podobě odst. 5 svého § 19), podle kterého je možné po přechodnou dobu 2 let od účinnosti (tj. od 19. 9. 2016 do 19. 9. 2018 včetně) využívat místo kvalifikovaných (elektronických) časových razítek v zásadě jakákoli časová razítka – s jedinou podmínkou, že musí pocházet od kvalifikovaného poskytovatele služeb vytvářejících důvěru.

Právě touto podmínkou se vyloučila časová razítka „z jiných zdrojů“ (například i vlastní provenience), na které by nebylo možné se spoléhat. A u kvalifikovaných poskytovatelů se předpokládá, že nebudou nijak přetáčet své hodinky ani u takových časových razítek, která vydávají jako ne-kvalifikované (ale třeba jen jako testovací).  

K tomu všemu je vhodné dodat to, co jsme si popisovali již v článku o podepisování – že naše původně akreditované certifikační autority získaly statut kvalifikovaného poskytovatele služeb vytvářejících důvěru automaticky a ihned s účinností nového nařízení, byť jen na omezenou dobu 1 roku. Ovšem v souvislosti s úplně jinou službou, než je vydávání časových razítek.

Stalo se tak díky přechodnému ustanovení z článku 51 odst. 3 nařízení eIDAS, které mělo zajistit kontinuitu vydávání kvalifikovaných certifikátů pro elektronický podpis – a tak dříve akreditovaným autoritám udělilo statut kvalifikovaného poskytovatele na dobu 1 roku. Během této doby museli požádat o udělení kvalifikovaného statutu (v souvislosti s vydáváním kvalifikovaných certifikátů pro elektronický podpis) již podle pravidel nového nařízení. Což se jim také podařilo.

Reálně to znamenalo to, že všechny tři subjekty, které u nás vydávaly kvalifikovaná časová razítka ještě podle původní právní úpravy, mohly ve své činnosti pokračovat – pouze jejich produkty (časová razítka) ještě neměly statut kvalifikovaného elektronického časového razítka dle nového nařízení eIDAS. Podle něj to byla pouze ona „prostá“ elektronická časová razítka. Na druhu stranu jejich důvěryhodnost (zejména: správnost času, obsaženého v časovém razítku) byla „ošetřena“ alespoň oním požadavkem na celkovou důvěryhodnost vydavatele (na jeho kvalifikovaný statut, byť i v souvislosti s jinou službou).

Posléze, když příslušní vydavatelé získali kvalifikovaný statut i v souvislosti se službou vydávání elektronických časových razítek, se jimi vydávaná časová razítka stala kvalifikovaná i podle nového nařízení. Připomeňme si znovu, že u I.CA a PostSignum se tak stalo v srpnu 2017 a u eIdentity v lednu 2018.

Dnes tak jsou kvalifikovaná (elektronická) časová razítka běžně dostupná, stejně jako byla dostupná ještě podle původní právní úpravy – od všech tří tuzemských vydavatelů časových razítek. A to za úplatu, nikoli zdarma.

Nicméně popisované přechodné opatření veřejné správě umožňovalo, a vlastně stále ještě (do 19. září) umožňuje to, co jsme si ukázali na dnešním prvním obrázku: použití i takových (elektronických) časových razítek, která nejsou kvalifikovaná. Tedy včetně razítek testovacích – ale od autority PostSignum, která má kvalifikovaný statut (dnes již i pro vydávání elektronických časových razítek). 

Nejsou jenom „česká“ časová razítka

Připomeňme si nyní, v souvislosti s časovými razítky, jeden obecný princip, který přineslo unijní nařízení eIDAS: jde o určité „sjednocení“ celého unijního ekosystému elektronických podpisů, pečetí i elektronických časových razítek a také certifikátů, prostředků i poskytovatelů. Alespoň na kvalifikované úrovni.

Zjednodušeně: díky nařízení eIDAS by mělo být jedno, zda používáte (kvalifikovaná elektronická) časová razítka od českého vydavatele s kvalifikovaným statutem, nebo od jiného vydavatele v EU (samozřejmě také s kvalifikovaným statutem). Obdobně pro (kvalifikované) certifikáty a (kvalifikované) prostředky pro elektronický podpis či pečetění.

Jinými slovy: naši (kvalifikovaní) tuzemští poskytovatelé služeb vytvářejících důvěru nemají na své služby žádný monopol, ale musí čelit konkurenci jiných kvalifikovaných subjektů z celé EU. Třeba právě u kvalifikovaných elektronických časových razítek to znamená, že uživatelé si mohou vybírat nejenom z tuzemských nabídek, ale i z nabídek zahraničních. A také se tak děje.

Jak ukazuje následující obrázek, například výpisy ze základních registrů, které generuje Správa základních registrů a zasílá do datových schránek žadatelů, jsou opatřovány časovými razítky od slovenské společnosti Disig, a.s.

Mimochodem, když už jsme u dokumentu na předchozím obrázku (konkrétně jde o „Záznam o využívání údajů v registru obyvatel“), povšimněme si (viz modré zakroužkování), že jeho pečeť není v tzv. referenčním formátu, který by orgány veřejné moci měly používat tak, jak jim ukládají prováděcí předpisy k nařízení eIDAS (podrobněji). Zde přitom žádná dvouletá výjimka ani přechodné opatření nebyla, protože jde o něco, co orgány veřejné moci mají dělat již 7 let (neboť jim to uložilo již Rozhodnutí Komise č. 130/2011 z roku 2011).

Co všechno by mělo být opatřováno časovými razítky?

Položme si nyní zajímavou a důležitou otázku: co všechno by mělo být opatřováno kvalifikovanými elektronickými časovými razítky?

Pokud jde o soukromoprávní subjekty (fyzické a právnické osoby, pokud právě nevykonávají veřejnoprávní působnost), pak zde je odpověď obecně jednoduchá: nemají povinnost časová razítka používat. A to ani v případě, kdy právně jednají vůči veřejné správě (například když činí nějaké podání vůči úřadu, soudu apod.).

Jinak je tomu ale u subjektů veřejné správy, konkrétně u tzv. veřejnoprávních podepisujících (vymezení viz minulé články, resp. § 5 písm. a) adaptačního zákona) a u osob vykonávajících (veřejnoprávní) působnost. Vyplývá to z již jednou zmiňovaného § 11 adaptačního zákona, který si můžeme připomenout na následujícím obrázku.

Schválně si tento § 11 srovnejme s § 5, který řeší podepisování.

U obou ustanovení se předpoklady – pro podepsání i pro připojení kvalifikovaného elektronického časového razítka – shodují: u veřejnoprávního podepisujícího (a stejně tak u osoby vykonávající působnost) jde o případ, kdy podepisovaným dokumentem právně jednají. Z toho by měl vyplývat jednoduchý závěr: tam, kde se (ve veřejné správě a elektronicky) podepisuje, se musí připojit i elektronické časové razítko. Samozřejmě vše na kvalifikované úrovni. 

Pokud si ale srovnáme ustanovení § 11 s § 8, který řeší pečetění, už se budou předpoklady lišit.

U veřejnoprávního podepisujícího není (v § 8) povinnost pečetit vázána na právní jednání. Z toho jsme v minulém článku dovozovali, že když veřejnoprávní podepisující nepodepisuje (podle § 5), měl by vždy pečetit. Bez ohledu na to, zda jde, či nejde o právní jednání. Naproti tomu povinnost připojení časového razítka je v § 11 odst. 2 vázána na právní jednání. Jinými slovy: k pečeti se musí přidávat časové razítko jen tam, kde jde o právní jednání.

To je zajímavé hlavně u nejrůznějších strojově generovaných výpisů, hlavně z veřejných rejstříků – jde u nich o právní jednání toho, kdo je vystavuje? Pokud ano, měly by být opatřovány (kvalifikovaným) elektronickým časovým razítkem – a pokud ne, nemusely by. Odpověď je ale natolik „právnická“, že ji raději přenechám povolanějším.

Ostatně, i praxe je v tomto ohledu různorodá: například výše popisovaný (strojově generovaný) „Záznam o využívání údajů v registru obyvatel“, který jsem si nechal zaslat do své datové schránky, je kvalifikovaným elektronickým časovým razítkem (od slovenského poskytovatele) opatřen. Ale nebylo tomu tak vždy – starší výpisy stejného typu mi přicházely bez časového razítka.

Naproti tomu třeba výpisy z Obchodního rejstříku či z Živnostenského rejstříku časovými razítky opatřovány nejsou.

Jak rozumět nařízení eIDAS?

Na závěr se ještě zastavme u jedné zajímavé věci, která také úzce souvisí s časovými razítky: nařízení eIDAS ve svém článku 32 explicitně určuje, jak se má postupovat při ověřování platnosti kvalifikovaných elektronických podpisů (a obdobně i pro pečeti).

Podstatné je, že explicitně říká, k jakému časovému okamžiku se má posuzovat splnění jednotlivých podmínek pro platnost podpisu: má to být „k okamžiku podpisu“. Tedy k okamžiku vytvoření, resp. vzniku podpisu.

Zde je dobré si při připomenout, že do každého elektronického podpisu, stejně jako do pečeti i časového razítka, se vkládá údaj o aktuálním čase – přebíraný ze systémových hodin na počítači, kde podpis, pečeť či razítko vzniká. Jenže pouze u kvalifikovaného (elektronického) časového razítka se můžeme spoléhat na to, že ony systémové hodiny ukazují správný čas (viz výše), protože to tak vyžaduje zákon (resp. nařízení). Ostatně, za to také poskytovateli časových razítek platíme – že má správně seřízené hodinky.

Ale u podpisů a pečetí obdobný předpoklad neplatí – protože zde není uložena žádná povinnost mít správně seřízené systémové hodiny na počítači, kde podpis či pečeť vzniká. Navíc systémové hodiny lze velmi jednoduše přetočit jedním či druhým směrem, což čtenářům Lupy jistě není třeba zdůrazňovat. I proto se jde cestou připojování (kvalifikovaných elektronických) časových razítek, pokud je třeba dostatečně spolehlivě „ukotvit“ existenci konkrétního elektronického podpisu či pečeti v čase. A podle takovéto „kotvy v čase“ se pak také ověřuje jejich platnost.

Co pak ale znamená onen požadavek v nařízení eIDAS, aby se platnost podpisu (i pečeti) ověřovala „k okamžiku podpisu“? Má to snad znamenat, že máme důvěřovat onomu času ze systémových hodin, na který se nemůžeme spoléhat, a naopak máme ignorovat kvalifikované elektronické časové razítko, pokud jím je podpis (či pečeť) opatřen? Případně ignorovat jinou „kotvu v čase“, pokud je k dispozici a můžeme se na ni spoléhat (jako třeba okamžik doručení na vlastní podatelnu konkrétního úřadu)?

Když vznikal náš adaptační zákon (dnešní zákon č. 297/2016 Sb.), měl jsem možnost účastnit se pracovní skupiny podílející se na jeho přípravě. Zde jsme na tento problém narazili a vznesli dotaz do Bruselu – jak je to s oním ověřováním „k okamžiku podpisu“ myšleno. Odpověď byla taková, že jde o právní pojem, který podléhá výkladu (interpretaci). A jako analogie byl uveden příklad listinného dokumentu, na kterém je napsáno: „V Bruselu, dne X. Y. Z“.

Následně byl v pracovní skupině připraven výklad, který interpretoval ověřování „k okamžiku podpisu“ (dle článku 32 nařízení) ve smyslu dříve i dnes běžně používané praxe (a také naší původní vyhlášky č. 212/2012 Sb., konkrétně jejího § 3 odst. 1). Tedy tak, že se má použít čas nejstaršího časového razítka (je-li přítomno a je kvalifikované a platné), nebo čas doručení na podatelnu.

Nicméně ustanovení ve smyslu tohoto výkladu se do finální podoby adaptačního zákona nakonec nedostalo – a ministerstvo vnitra jej publikovalo pouze v materiálu podstatně nižší „právní síly“, konkrétně ve svém Metodickém návodu pro ověřování platnosti uznávaných elektronických podpisů a elektronických pečetí.

WT100 tip v článku Dolejšová

Zajímavé také je, že „unijní validátor“ (služba DSS, Digital Signature Service), který EU nechala vytvořit jako určitý vzorový nástroj pro práci s elektronickými podpisy, postupoval ještě v lednu tohoto roku při ověřování způsobem, který odpovídal doslovnému výkladu článku 32 nařízení: platnost elektronického podpisu vyhodnocoval k tzv. tvrzenému času („claimed time“), což je právě čas přebíraný ze systémových hodin – a nikoli k času časového razítka, i když to bylo k podpisu připojené, bylo kvalifikované a platné. Příklad vidíte na následujícím obrázku.

Nicméně zhruba od února letošního roku již unijní validátor „vnímá“ i časová razítka, které prezentuje jako onu výše zmiňovanou „kotvu v čase“ (best signature time: Lowest time, at which there exists a proof of existence for the signature“), a podle detailnějšího protokolu o ověřování by již měl vycházet z tohoto časového údaje.

Našli jste v článku chybu?