Názory k článku Zákon o e-podpisu obsahuje řadu legislativních chyb

Na jednu vec mi este nikto neodpovedal (pytal som sa asi 3 pravnikov).
Aka bude vynutitelnost akceptacie elektronickeho podpisu?
Priklad: Podanie na ustavny sud moze dat, kazdy obcan CS (aj SR). Vykona to prostrednictvom nejakeho dokumentu na ktorom sa podpise (rucne) a tym pravne potvrdi, ze akceptuje nasledne kroky a pravny dosah.
Co ak budem mat obe ruky docasne nefunkcne (zlomene a zabalene)? Mozem pouzit elektronicky! (vsak je rovnocenny vlastnorucnemu)
Hm? ... ale asi ma poslu do certa. ... a asi aj inde.
Ak by bol pravne vynutitelna akceptacia, musela by sa prisposobit cela statna sprava. ... no, bude to zaujimave.

Vygeneruje si ho sama (nebo s pomocí někoho, kdo to umí). V případě chipové karty není důvod, aby ji vytráběla CA. CA má jediný úkol: dostane veřejný klíč žadatele a podepíše ho svým tajným klíčem. Každý, kdo dostane výsledek (a má veřejný klíč autority), si pak může ověřit, zda zpráva byla opravdu podepsána tajným klíčem příslušným k tomu veřejnému, který CA podepsala. Ustanovení, zakazující CA, aby tajný klíč vůbec dostala do ruky, bych považoval za zcela rozumné.

Nejjednodušší způsob, jak to zajistit je, že si klíče generuje sám uživatel.
Poskytovatel certifikačních služeb tedy soukromý klíč vůbec neobdrží. Není tedy pravda, že citované ustanovení zákona "je zcela nerealizovatelné".

Možná máte pravdu, ale jak potom podepisující osoba získá soukromý klíč?

Pokud tedy chcete mít data pro vytváření zaručeného elektronického podpisu např. na chipové kartě, tak se ptám kdo a jak Vám je tam uloží, když je CA(PSC) nemuže KOPÍROVAT.

JM

No, nevím nevím. Vláda jednu verzi zamítla, to je pravda a pokud se nepletu, tak to zdůvodnila nesystematičností, vnitřními rozpory a řadou dalších důvodů. Vláda ten vávrh připadal nekvalitní, a tak to prostě nepustila. (vzpomínám si na nějaký článek doc.Matesa a doc.Smejkala, kde rozhodnutí vlády napadají). Těžko tedy mluvit o tom, že existoval jakýsi vládní návrh (ten existuje jen, když jej vláda pustí dále :-).

Mimochodem, pokud se nepletu, tak pokud citi uz rok UVIS ci nekdo dalsi, ze ten zakon je spatne, proc nelezi nekde v parlementu novela?

Tomu právě také nerozumím, a je to jeden z důvodů proč jsem napsal tento článek. Stále dokola poslouchám, že zákon je špatny (neurčitý, nesystematický a neprovázaný se zbytkem právního řádu) ale když člověk někde řekne že je třeba to novelizovat, tak se mu odpoví, že NENÍ POLITICKÁ VŮLE. Tohle mě fakt štve.

Vědělo se téměř rok, že UOOU tu vyhlášku vydat nemůže (není ustředním správním orgánem, ale nezávislým úřadem), ale pořád se nic nenovelizovalo - prý nebyla politická vůle !!! UOOU zákonodárnou iniciativu nemá, takže bych tu chybu hledal někde jinde. Ta politika zatím je asi ten hlavní problém - a je samozřejmě otázka co s tím můžeme dělat (asi jen zvolit jiné poslance :-().

JM

Celé to byla politická (a ani ne tak stranická) otázka. Podpora oné poslední verze byla napříč politickým spektrem (poslanec Mlynář, Gross, Langer..).

Navíc u uradu (asi myslíte USIS) v tomto smeru problém nebyl. Alespoň o žádném nevím

No rekl bych, ze u uradu nejaky problem byl. Jinak by prece prosla ta vladni verze, ze ? :-) Mimochodem, pokud se nepletu, tak pokud citi uz rok UVIS ci nekdo dalsi, ze ten zakon je spatne, proc nelezi nekde v parlementu novela?
Priznam se, ze by se mi take libilo, kdyby vsechny zakony, vyhlasky a dalsi predpisy byly elementarne spravne. Jenze mezi tim je dostanou do ruky pravnici a posleze jeste poslanci. Tak uz to chodi. Proste skupina kolem UVISu byla prelobbovana skupinou kolem SPISu (hodne zjednodusene). Parlamentni demokracie.

Právě že se nezakazuje aby "získala tajný klíč", jak tvrdíte, ale aby "uchovávala a KOPIROVALA data pro vytváření zaručeného elektronického..."... což je něco docela jiného. Můžete mi popsat jak to ma CA udělat aby ta data (ani z paměti serveru) nekopírovala?

Tommy

Za zmínku (v tomto případě spíše technického charakteru) také jistě stojí ustanovení § 6 odst. 3, které zakazuje poskytovateli certifikačních služeb, který vydává kvalifikované certifikáty, uchovávat a kopírovat data pro vytváření zaručeného elektronického podpisu osob, kterým poskytuje své certifikační služby. V tomto směru není příliš těžké si uvědomit, že toto ustanovení je zcela nerealizovatelné a je třeba zde pamatovat na skutečnost, že i přenos na médium podepisující osoby je také kopírováním.
Na základě Vašeho popisu se domnívám, že se zde zakazuje CA, aby získala tajný klíč, čili obdobu prázdného podepsaného papíru. To je správně a lze to zařídit.

A tim nejak polemizujes s mym prohlasenim, ze jak se na odborny problem vezmou politicke bryle, dopadne to spatne ?

Asi budu poněkud pesimistický, ale dle mého soudu je jediným pozitivem nexistence tohoto zákona diskuse, která nad ním vznikla. Spousta lidí ted alespon ví o čem to cele je (myslím e-podepisování). Jiný jasně pozitivní prvek nevidím.

JM

Přesně tak. Zákon o epodpisu obsahuje chyby jak ve vztahu k materii, kterou přimo upravuje, tak i ve vztahu ke zmocnění k vydání provádecích předpisů (VYHKLÁŠKY!) - viz. § 20 zákona.

Nemuzete mít perfektní vyhlášku, která je vydávána na základě špatného zákona a ještě horšího zákonného zmocnění.

Nevím co bych mohl vytýkat vyhlášce aniž by to nebylo způsobeno chybou v zákoně.

JM

A tato vyhlaska je prave onim mistem, kde je zakopan pes a na niz je treba adresovat kritiku, nebot ta je napsana s chybama.

Mohl byste toto tvrzení konkretizovat, resp. uvést proč si myslíte, že vyhláška byla napsána s chybami.

Osobně zastávám zcela jiný názor. Chyby jsou v zákoně, ale ve vyhlašce? Argumentujte tedy prosím.

JM

Vážený pane inženýre,

o Vašem článku jsem bohužel nevědel, právě jsem si ho ale přečetl. Dle mého soudu posuzujete (návrh) z hlediska logického, z hlediska praktické využitelnosti a z pohledu kompatibility s ES, resp. příslušnou směrnicí. Právním aspektům se ale příliš nevěnujete (i kompatibilita s ES je politickou otázkou, nikoli právní !). Článek je ale velmi pěkný (vřele jej tímto doporučuji ostatním).

Každopádně s Vámi souhlasím, že tuto problematiku zjednodušuji pouze na právní aspekty - to bylo ostatně i mým cílem. Nejsem informatik (ani kryptolog), tudíž jsem se k těmto otázkám raději nevyjadřoval - to přenechávám jiným (např. Vám). Zdaleka jsem navíc nezmínil všechny slabá místa tohoto zákona, ale spíše se omezil na výčet těch významnějších.

S pozdravem

JM

No, mám li být upřimným, tak jsem doufal, že je to ze článku zřejmé :-).

Zákon je jednoznačně potřeba novelizovat (ale promyšlené). Už mne nebaví stále dokola slýchat, že zákon má chyby, ale pro jejich odstranění NENÍ POLITICKÁ VŮLE.

Tohle mne opravdu stve.

S vlastnoručním podpisem to raději nesrovnávejte. Tam kde zákon vyžaduje vlastnoruční podpis, tak nelze užít podpis elektronický /ani jakkéli zaručený/. (viz. článek).

JM

Zcela souhlasím.

JM

Jakkoli jsem nebyl vtažen do příprav tohoto zákona, tak musím říci, že to vidím trochu odlišně (možná ale máte jiné-lepší informace).

Celé to byla politická (a ani ne tak stranická) otázka. Podpora oné poslední verze byla napříč politickým spektrem (poslanec Mlynář, Gross, Langer..).

Navíc u uradu (asi myslíte USIS) v tomto smeru problém nebyl. Alespoň o žádném nevím

JM.

Zatimco opacny pristup mohl znamenat, ze ten zakon nebudeme mit dodnes :-)

A co by se podle Vás stalo kdybychom ten zákon do dnešní doby neměli, a místo toho stále připrovovali kvalitní normativní text?

No, možná ted budu vypadat jako velký pesimista, ale uvedte mi prosím alespon jeden opravdu pozitivní aspekt přijetí takovéhoto zákona (vyjma toho, že o něm teď píšeme :-).

Díky

JM

:-) S Doc.Smejkalem jsem o tomto ustanovení hovořil a musím říci, že má opravdu jiný názor. Není ale tou výjimkou zmiňovanou v článku, protože připouští neurčitost tohoto pojmu.

Jde o jiného právníka, který není Doc.Smejkalovi až tak vzdálen :-).


Zákon je opravdu odfláklý a to i nad míru přiměřenou (jaksi) běžným poměrům. Lze souhlasit s názorem, že chyba byla hlavně v politickém spěchu a snahou o jakési (až téměř světové) prvenství. Bohužel.

Osobně si myslím, že se mělo pár měsíce počkat, vypracovat vládní návrh zákona (nikoli poslanecký) a pak jej poslat do standatrdního připomínkového řízení (včetně všech prac. komisí legislativní rady vlády a samotné legislativníí rady vlády). Poslanecké návrhý obvakle patří mezi ty nejhorší a to právě z toho důvodu, že neprochazí standardní procedurou, kde se obvykle odstranují chyby.

Snad poučení pro příště

JM

Je pravda, že v tomto zákoně je více chyb, ale já se zaměřil na ty (dle mého soudu) nejzásadnější. které představujé (nebo v budoucnu mohou představovat)brzdu e-obchodu, resp, e-government.

Co se týče souladu s originálem (§ 4), tak to nevídím až tak černě. Je to sice velmi zvláštní ustanovení, které nepletu li se tak poměrně neštastně obsahuje to, čemu se říká kvalifikovaný podpis, ale až tak významné není. Je ale pravda, že umožnuje řadu různých (i opačných) výkladů.


S pozdravem

JM

Kdyby o techto navrzich rozhodovali odbornici, nepochybuji o tom, jak by to dopadlo - ale rozhodoval parlament, ktery teto veci houby rozumi - zato ale dobre rozumi tomu, jaka je nalada verejnosti a tomu, ze rychlym schvalenim lze nahnat kladne body, kdezto ten, kdo bude zdrzovat bude vlacen tiskem jako prekazka modernimu podnikani a zastance papirove statni byrokracie.

A jak se na nejaky odborny problem zacne nahlizet skrz politicke bryle, prakticky to nemuze dopadnout dobre.

Dane, ale tak funguje parlamentni demokracie. Kdyz to srovnas treba s Aquaparkem v Bublave ... neni ten zakon zas tak spatny vysledek (navic se da novelizovat).

Odpoved je dost prosta - podarilo se vyvolat zdani (a protlacit ho i do medii), ze zakon potrebujeme velice rychle a to za kazdou cenu - a tak, kdyz proti sobe pak stala skupiny lidi, kteri tvrdili, ze jde o komplikovanou problematiku, kterou je mozne zvladnout, ale zada si to cas a proti teto skupine stal soudni znalec, ktery vytahl z rukavu navrh zakona prakticky okamzite (vzdyt je to tak proste, kdyz je clovek na vec odbornik).

Kdyby o techto navrzich rozhodovali odbornici, nepochybuji o tom, jak by to dopadlo - ale rozhodoval parlament, ktery teto veci houby rozumi - zato ale dobre rozumi tomu, jaka je nalada verejnosti a tomu, ze rychlym schvalenim lze nahnat kladne body, kdezto ten, kdo bude zdrzovat bude vlacen tiskem jako prekazka modernimu podnikani a zastance papirove statni byrokracie.

A jak se na nejaky odborny problem zacne nahlizet skrz politicke bryle, prakticky to nemuze dopadnout dobre.

Moc pekne jste si pomohl - sesadit dve vety, kazdou z jineho prispevku. Kazdopadne, reagujete pouze na tu druhou a tak nevim, proc jste tu prvni vubec citoval. Ja nevycital zakonu to, ze byl obecny a nezabihal do detailu. Ja mu vycital, ze byl spatne napsany a zachazel si s odbornou terminologii ponekud "po svem", coz jeho kvalite nemuze prospet a navic to ukazuje na to, jak jeho predkladatele rozumi problematice. A pokud ma p. Matejka alespon castecne pravdu se svym rozborem, tak je bilance nasledujici: vztah k existujicimu pravnimu systemu je vyresen rozpacite (el. podpis neni rovnocenou nahradou klasickeho podpisu, a i tam, kde je pripustny bude zrejme podstatne lepe napadnutelny), zakon obsahuje sporne nebo chybne pouzite nebo neuplne definovane terminy (jak vseobecne tak odborne) - a to vsechno zrejme mela zachranit vyhlaska. Pak by ale mozna predkladatel udelal lepe, kdyby nechal zakon schvalit v tomto uplnem zneni "Toto je zakon o el. podpisu. Jeho detaily upravi vyhlaskou nekdo, kdo tomu bude rozumet.". Politickych bodu by p. Mlynar a Smejkal dosahli a vsichni ostatni by alespon vedeli na cem jsou a nemysleli si, ze maji zakon, ktery je konecne k necemu.

Ale kdyz uz jste se zminil o tom, ze detaily mela upravit vyhlaska - to ano, to mela. Jeji vydani zakon sveril do ruky uradu, ktery k vydavani vyhlasek nebyl opravnen. Opravdu signifikantni zacatek ...

Zajimave je, ze druha skupina mela podporu vladni strany a smluvni opozice :-) A pokud to bylo i vecne lepsi, tak proc to neprosadili? Ja nechci hodnotit ani jeden z navrhu (ten druhy mi pripadal take o neco lepsi), nicmene je treba rict, ze problem, jako obvykle, neni pouze u zakonodarce, ale spise u uradu. A to je smutne.

Taky nerozumím tomu, proč byl zákon tolik uspěchán. Veškeré výhody, které zákon mohl přinést se tak ztrácejí do ztracena.

Ten zákon je po právní stránce ohromný paskvil, zejména pak ten § 11 (jiz jsem o tom diskutoval na jedné konferenci), stejně tak i určitost u sposty jiných §§.

Škoda pro nás všechny

Děkuji za zajímavý (a neotřelý) pohled na ZoEP. Ten zákon je špatný i z technického hlediska (to je ale na delsi diskusi).

Spíše bych se tedy optal na jinou věc, a to na význam a smysl tohoto zákona. Co přines pozitivního? V čem spočívala ona výhoda, resp. prvenství ČR, které bylo tolik zmiňováno a medializováno?


Za odpověď děkuji.

po odborne strance mi ten druhy navrh pripadal podstatne propracovanejsi (napriklad meli alespon jasno ve vyznamech pojmu v kryptografii, coz se o navrhu skupiny kolem doc. Smejkala rict tak uplne neda).

která norma legislativně převedená do podmínek ČR například popisuje algoritmus RSA?);

Pripada mi, ze tady ani jeden z diskutujicich spravne nepochopil zakladni princip tohoto zakona, ktery se nam vsem neustale tak vehementne snazi vstepovat prave p. doc. Smejkal.
Totiz ze by tento zakon (stejne tak jako z principu zakony vubec) mel byt co mozna nejvice nadcasovy a technologicky nezavisly. To znamena, ze je jen dobre, ze nezminuje zadne konkretni kryptograficke ci jine technologie a podobne veci, zavisejici na rychle se menicim aktualnim stavu technologickeho vyvoje. Ty by mely byt upraveny provadeci vyhlaskou, jejiz aktualizace je rychleji proveditelna, nebot nemusi prochazet celym dlouhym legislativnim procesem jako zakon. A tato vyhlaska je prave onim mistem, kde je zakopan pes a na niz je treba adresovat kritiku, nebot ta je napsana s chybama.
Zakony prece nejsou od toho, aby popisovaly kdejaky sifrovaci algoritmus! Maji se pouze snazit vyjadrit ta nejzakladnejsi pravidla pro fungovani spolecnosti, ktera se dlouhodobe pokud mozno nemeni a technicke podrobnosti nechat vyhlaskam ci jinym pravnim normam s nizsi pravni silou.
Adam

No, uvazim-li pouziti ":-)" v tvem prispevku, nemohu se ubranit otazce "a jaky by byl rozdil v praxi" ?

Nicmene, vazneji. O konecnou podobu zakona tehdy soutezily dve skupiny - a ja nemohu posoudit pravni stranku veci, ale pouze trochu tu odbornou, a po odborne strance mi ten druhy navrh pripadal podstatne propracovanejsi (napriklad meli alespon jasno ve vyznamech pojmu v kryptografii, coz se o navrhu skupiny kolem doc. Smejkala rict tak uplne neda).

A druhy, kdo se na podobe zakona tezce podepsal byl p. poslanec Mlynar, ktery uz videl, jak ma body za vyznamny zakon, takze hlavne ho zajimalo "rychle" a v zasade vubec ho nezajimalo "kvalitne" ...

Zatimco opacny pristup mohl znamenat, ze ten zakon nebudeme mit dodnes :-)

Obecne je problem v tom, ze nam tu funguje parlamentni demokracie a zakony nevydavaji rovnou pravnici :-)

S názory vyslovenými autorem ke kvalitě českého zákona o elektronickém podpisu lze v zásadě jen souhlasit. Obdobně jsem se vyjádřil již v článku (červenec 2000):
http://svet3.namodro.cz/go/r-art.asp?id=1000716171
Přesto si myslim, že autor celou problematiku poněkud zjednodušuje na pouhé právni aspekty:
""Toto jsou problémy vcelku pochopitelné a provází v zásadě každou novou (a tím více průřezovou) právní úpravu. Dle mého názoru je však pes zakopán někde úplně jinde a to v kvalitě samotného zákona o elektronickém podpisu (dále jen zákon).""
Avšak ani ona podružnost vztahu k EU:
"Zákon tedy nejenomže zůstává nekompatibilní s právem ES (což je dle mého soudu až podružné),"
ve skutečnosti neni vůbec samoúčelná.
Jakmile totiz začneme šířeji elektronický podpis používat, zjistíme, že potřebujeme:
- mít velmi dobře ošetřeny veškeré bezpečnostní aspekty elektronického podpisu, tj. používat bezpečné algoritmy odpovídající příslušným normám (která norma legislativně převedená do podmínek ČR například popisuje algoritmus RSA?); kdo zde v ČR je schopný provádět vyhodnocení konkrétních implementací podpisových prostředků (např. dle normy, která by by svým zaměřením odpovídala mezinárodně uznávané normě FIPS-140). Co si totiž počnou právníci u soudu až při posuzování hodnověrnosti elektronického podpisu dojde k tomu momentu, kdy bude nutno zaujmout
právně závazné stanovisko k bezpečnosti používaného podpisového prostředku?
- nepochybně velmi brzo budeme potřebovat, aby elektronicky podepsané dokumenty mohl platit i mimo území ČR a to už budeme nuceni velice brát ohledy na to jak je tato problematika v zahraničí řešená (konkrétně v EU).

Dala by se zde vyjmenovat jistě ještě celá řada problematických bodů spojených se zaváděním zákona o elektronickém podpisu do praxe (elektronické podatelny,
postupy pro akreditace certifikačních autorit atd.),
ale není zde k tomu tolik místa.

Upozornil bych však alespoň ještě na jednu skutečnost, dle mého názoru velmi kritickou, která s problematikou elektronického podpisu blízko souvisí. Jedná se o řešení šifrové ochrany neutajovaných (ve smyslu zákona 148/1998 Sb.) dat. Neutajovaných dat, které je však třeba chránit je celá spousta. Jsou to např. celá řada osobních dat, medicinská data, data finančního charakteru atd. Zákon 101/2000 Sb. je pro tyto účely zjevně nepostačující.

Ze se moc nespletu, kdyz si myslim, ze v clanku nejmenovany jediny pravnik, ktery ma ve veci jasno je prave Smejkal ? Pri vytvareni zakona to byl on, kdo okolo sebe siril auru "ja jsem ten, kdo el. podpisu jediny rozumi".

A druhy, kdo se na podobe zakona tezce podepsal byl p. poslanec Mlynar, ktery uz videl, jak ma body za vyznamny zakon, takze hlavne ho zajimalo "rychle" a v zasade vubec ho nezajimalo "kvalitne" ...

Co z Vašeho závěru plyne? Je používání el. podpisu dle tohoto zákona nejisté, že je nadále nutné raději používat vlastnoruční podpis a čekat na novelizace?

Těch nejasností v zákoně by se dalo najít asi i víc. Namátkou mě napadá, že zákon popisuje "soulad s originálem", ale samotný pojem "originál" v případě datových zpráv nedefinuje. Takže pokud někde v nějakém starším zákonu najdete zmínku o "originálu", tak máte prostě smůlu! :-) Bohužel takové zákony existují. :-(
Mám pravdu, Ján? A co na to slavný "právník" Smejkal? :-)))