Zákon o elektronické identifikaci
o elektronické identifikaci
Předmět úpravy Tento zákon upravuje v návaznosti na přímo použitelný předpis Evropské unie upravující elektronickou identifikaci1) a) využití elektronické identifikace, b) působnost Digitální a informační agentury (dále jen „Agentura“) na úseku elektronické identifikace a c) přestupky na úseku elektronické identifikace.
Prokázání totožnosti s využitím elektronické identifikace Vyžaduje-li právní předpis nebo výkon působnosti prokázání totožnosti, lze umožnit prokázání totožnosti s využitím elektronické identifikace pouze prostřednictvím kvalifikovaného systému elektronické identifikace (dále jen „kvalifikovaný systém“).
Kvalifikovaný systém
(1)
Kvalifikovaným systémem je systém elektronické identifikace
a)který spravuje kvalifikovaný správce systému elektronické identifikace (dále jen „kvalifikovaný správce“)
b)který splňuje technické specifikace, normy a postupy alespoň pro jednu z úrovní záruky stanovených přímo použitelným předpisem Evropské unie upravujícím minimální technické specifikace, normy a postupy pro úrovně záruky prostředků pro elektronickou identifikaci2) (dále jen „příslušný předpis Evropské unie“)
c)který umožňuje poskytnutí služby národního bodu pro identifikaci a autentizaci (dále jen „národní bod“)
d)v jehož rámci jsou osobní identifikační údaje jedinečně identifikující osobu v okamžiku vydání prostředku pro elektronickou identifikaci spojeny s danou osobou v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými příslušným předpisem Evropské unie a
e)v jehož rámci je vydáván a používán pouze prostředek pro elektronickou identifikaci, který je spojen s osobou, kterou identifikuje, v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými příslušným předpisem Evropské unie.
(2)
Kvalifikovaným systémem je dále systém elektronické identifikace oznámený podle přímo použitelného předpisu Evropské unie upravujícího elektronickou identifikaci1), v jehož rámci je vydáván a používán pouze prostředek pro elektronickou identifikaci s úrovní záruky alespoň značnou.
Akreditace Kvalifikovaný správce Kvalifikovaným správcem může být pouze a) státní orgán, nebo b) osoba, které byla udělena akreditace pro správu kvalifikovaného systému (dále jen „akreditovaná osoba“).
(1)
Agentura rozhodne o udělení akreditace pro správu kvalifikovaného systému (dále jen „akreditace“) na základě písemné žádosti.
(2)
Podmínkou pro udělení akreditace je
a)skutečnost, že žadatelem o akreditaci vydávaný prostředek pro elektronickou identifikaci a žadatelem o akreditaci spravovaný systém elektronické identifikace splňují technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie
b)bezúhonnost žadatele o akreditaci
c)pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému
d)zpracování plánu ukončení činnosti
e)skutečnost, že systém elektronické identifikace žadatele o akreditaci umožňuje poskytnutí služby národního bodu, a
f)skutečnost, že žadatel o akreditaci je způsobilý pro správu kvalifikovaného systému z hlediska veřejného pořádku, bezpečnosti a dodržování práv třetích osob.
(3)
Žadatel o akreditaci k žádosti o akreditaci přikládá
a)smlouvu o uzavření pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému
b)doklad o bezúhonnosti, neprokazuje-li se bezúhonnost výpisem z evidence Rejstříku trestů
c)potvrzení, že žadatelem o akreditaci vydávaný prostředek pro elektronickou identifikaci a žadatelem o akreditaci spravovaný systém elektronické identifikace splňují technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, a
d)plán ukončení činnosti.
(4)
Agentura je oprávněna při zjišťování skutečnosti podle odstavce 2 písm. f) požádat o informace Policii České republiky, zpravodajskou službu nebo jiný orgán.
(5)
Agentura rozhodne o žádosti o udělení akreditace do 3 měsíců ode dne jejího podání. Splňuje-li žadatel o akreditaci podmínky pro udělení akreditace, Agentura udělí akreditaci. V opačném případě Agentura žádost zamítne.
(6)
Akreditovaná osoba je povinna bez zbytečného odkladu písemně oznámit Agentuře, že přestala splňovat některou z podmínek pro udělení akreditace.
(1)
Agentura rozhodne o změně akreditace na základě písemné žádosti akreditované osoby o rozšíření správy kvalifikovaného systému o vydávání a používání dalšího prostředku pro elektronickou identifikaci.
(2)
Akreditovaná osoba je povinna v žádosti podle odstavce 1 doložit splnění podmínky podle § 5 odst. 2 písm.
a)ve vztahu k dalšímu prostředku pro elektronickou identifikaci.
(3)
Agentura rozhodne o žádosti podle odstavce 1 do 3 měsíců ode dne jejího podání. Splňuje-li akreditovaná osoba ve vztahu k dalšímu prostředku pro elektronickou identifikaci podmínku podle § 5 odst. 2 písm. a), Agentura změní akreditaci. V opačném případě Agentura žádost zamítne.
(1)
Přestane-li akreditovaná osoba splňovat některou z podmínek pro udělení akreditace, Agentura ji písemně upozorní na možnost odnětí akreditace a zároveň ji vyzve, aby bez zbytečného odkladu zjednala nápravu. Nezjedná-li akreditovaná osoba ani na základě upozornění Agentury nápravu, Agentura jí akreditaci odejme.
(2)
Agentura odejme akreditaci, jestliže o to akreditovaná osoba písemně požádala.
Akreditace zaniká smrtí nebo zánikem akreditované osoby.
Pojištění odpovědnosti za škodu
(1)
Žadatel o akreditaci musí být pojištěn pro případ odpovědnosti za škodu způsobenou při správě kvalifikovaného systému tak, aby výše pojistné částky byla úměrná možným škodám, které lze v rozumné míře předpokládat. Agentura stanoví vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění.
(2)
Akreditovaná osoba je povinna nahradit škodu způsobenou při správě kvalifikovaného systému bez ohledu na sjednaný limit pojistného plnění.
Posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace Bezúhonnost
(1)
Za bezúhonnou se pro účely tohoto zákona považuje osoba, která nebyla pravomocně odsouzena pro
a)úmyslný trestný čin, nebo
b)trestný čin proti pořádku ve věcech veřejných z nedbalosti.
(2)
Za bezúhonnou se pro účely tohoto zákona považuje též osoba, na kterou se hledí, jako by nebyla odsouzena.
(3)
Bezúhonnost fyzických osob se prokazuje
a)výpisem z evidence Rejstříku trestů
b)výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů členského státu Evropské unie, jehož je osoba státním příslušníkem, nebo členského státu Evropské unie posledního pobytu, je-li osoba státním příslušníkem jiného členského státu Evropské unie nebo měla-li nebo má bydliště v jiném členském státě Evropské unie
c)výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, jehož je osoba státním příslušníkem, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, jehož je osoba státním příslušníkem
d)výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem posledního pobytu, trvajícího déle než 3 měsíce ve 2 po sobě následujících letech, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu pobytu.
(4)
Bezúhonnost právnických osob se prokazuje
a)výpisem z evidence Rejstříku trestů
b)výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů členského státu Evropské unie, na jehož území má osoba sídlo, má-li sídlo v jiném členském státě Evropské unie
c)výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, na jehož území má osoba sídlo, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, na jehož území má osoba sídlo
d)výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, na jehož území osoba v posledních 2 po sobě následujících letech podnikala, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, na jehož území osoba podnikala.
(5)
Doklad o bezúhonnosti podle odstavce 3 písm. b) až d) a odstavce 4 písm. b) až d) nesmí být starší 3 měsíců.
(6)
Agentura si vyžádá výpis z evidence Rejstříku trestů za účelem zjištění bezúhonnosti podle zákona o Rejstříku trestů. Žádost o vydání výpisu z evidence Rejstříku trestů a výpis z evidence Rejstříku trestů se předává v elektronické podobě, a to způsobem umožňujícím dálkový přístup.
(1)
Prostředek pro elektronickou identifikaci a systém elektronické identifikace posuzuje osoba, která k tomu byla pověřena Agenturou (dále jen „pověřená osoba“).
(2)
Agentura pověří posuzováním prostředku pro elektronickou identifikaci a systému elektronické identifikace na základě žádosti osobu pověřenou k provádění atestací podle zákona o informačních systémech veřejné správy. Pověření k posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace (dále jen „pověření“) nelze převést na jinou osobu.
(1)
Přestane-li pověřená osoba plnit povinnosti stanovené tímto zákonem, Agentura ji písemně upozorní na možnost odnětí pověření a zároveň ji vyzve, aby bez zbytečného odkladu zjednala nápravu. Nezjedná-li pověřená osoba ani na základě upozornění Agentury nápravu, Agentura jí pověření odejme.
(2)
Agentura odejme pověření, jestliže o to pověřená osoba písemně požádala.
(3)
Pověření zaniká, jestliže pověřená osoba pozbyla pověření k provádění atestací podle zákona o informačních systémech veřejné správy.
(1)
Pověřená osoba posuzuje, zda prostředek pro elektronickou identifikaci a systém elektronické identifikace splňuje technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie. Ustanovení § 6d odst. 3 a § 6e zákona o informačních systémech veřejné správy se při posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace použijí obdobně.
(2)
Splňuje-li prostředek pro elektronickou identifikaci a systém elektronické identifikace technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, pověřená osoba písemně potvrdí tuto skutečnost žadateli o posouzení do 3 měsíců ode dne podání žádosti o posouzení.
(3)
Potvrzení podle odstavce 2 obsahuje stanovenou úroveň záruky prostředku pro elektronickou identifikaci podle příslušného předpisu Evropské unie.
(4)
Nesplňuje-li prostředek pro elektronickou identifikaci a systém elektronické identifikace technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, pověřená osoba písemně vyrozumí o této skutečnosti žadatele o posouzení do 3 měsíců ode dne podání žádosti o posouzení a sdělí mu důvody nesplnění požadavků.
Není-li posuzováním prostředku pro elektronickou identifikaci a systému elektronické identifikace pověřena žádná osoba, posuzuje prostředek pro elektronickou identifikaci a systém elektronické identifikace Agentura. Ustanovení § 13 se na posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace Agenturou použije obdobně.
Plán ukončení činnosti Státní orgán nebo žadatel o akreditaci v plánu ukončení činnosti uvede postupy při ukončení vydávání a používání prostředků pro elektronickou identifikaci a poskytnutí služby autentizace, včetně způsobu, jakým jsou správce národního bodu a držitelé prostředků pro elektronickou identifikaci (dále jen „držitel“) informováni o ukončení činnosti kvalifikovaného správce.
Povinnosti kvalifikovaného správce
(1)
Kvalifikovaný správce a) zajistí dostupnost jím spravovaného kvalifikovaného systému pro spoléhající se stranu způsobem umožňujícím dálkový přístup prostřednictvím národního bodu a pro národní bod způsobem umožňujícím dálkový přístup, b) vede evidenci jím vydaných prostředků pro elektronickou identifikaci, c) před prvním použitím prostředku pro elektronickou identifikaci v rámci kvalifikovaného systému ověří totožnost držitele prostřednictvím národního bodu, d) zapíše identifikátor jím vydaného prostředku pro elektronickou identifikaci a úroveň záruky tohoto prostředku do národního bodu, e) aktualizuje údaje v evidenci vydaných prostředků pro elektronickou identifikaci na základě upozornění správce národního bodu na změny údajů, f) po ukončení své činnosti předá evidenci vydaných prostředků pro elektronickou identifikaci Agentuře, g) bez zbytečného odkladu zneplatní prostředek pro elektronickou identifikaci držitele, o kterém se prokazatelně dozvěděl, že zemřel, nebo byl prohlášen za mrtvého, h) bez zbytečného odkladu zneplatní prostředek pro elektronickou identifikaci na základě žádosti držitele, nebo na základě ohlášení držitele o zneužití nebo hrozícím nebezpečí zneužití prostředku pro elektronickou identifikaci, i) při ukončení své činnosti zneplatní jím vydané prostředky pro elektronickou identifikaci, j) oznámí správci národního bodu zneplatnění prostředku pro elektronickou identifikaci podle písmen g) až i), k) vede a aktualizuje plán ukončení činnosti a l) při ukončení své činnosti postupuje podle plánu ukončení činnosti.
(2)
Kvalifikovaný správce zajistí, aby řídící činnosti při správě kvalifikovaného systému vykonávaly fyzické osoby, které získaly vysokoškolské vzdělání v rámci akreditovaného bakalářského nebo magisterského studijního programu a mají praxi v oblasti informačních technologií v délce nejméně 3 let, nebo fyzické osoby, které získaly středoškolské vzdělání a mají praxi v oblasti informačních technologií v délce nejméně 5 let.
(3)
Kvalifikovaný správce zajistí, aby fyzické osoby, které vykonávají řídící činnosti při správě kvalifikovaného systému, a fyzické osoby, které ověřují totožnost držitele, byly bezúhonné.
Povinnosti držitele Držitel a) ověří správnost údajů zapsaných v prostředku pro elektronickou identifikaci při převzetí tohoto prostředku, b) zachází s prostředkem pro elektronickou identifikaci s náležitou péčí tak, aby minimalizoval možnost jeho zneužití, c) bez zbytečného odkladu ohlásí kvalifikovanému správci zneužití nebo hrozící nebezpečí zneužití prostředku pro elektronickou identifikaci.
Povinnosti kvalifikovaného poskytovatele
(1)
Ten, kdo umožňuje prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace (dále jen „kvalifikovaný poskytovatel“), vyrozumí o této skutečnosti správce národního bodu, a to bez zbytečného odkladu poté, co nastala. Kvalifikovaný poskytovatel ve vyrozumění uvede on-line službu nebo jinou činnost, při nichž prokázání totožnosti s využitím elektronické identifikace umožňuje, a úroveň záruky prostředku pro elektronickou identifikaci, kterou při prokázání totožnosti s využitím elektronické identifikace požaduje.
(2)
Ten, kdo přestal umožňovat prokázání totožnosti způsobem podle odstavce 1, vyrozumí o této skutečnosti bez zbytečného odkladu správce národního bodu.
(3)
Vyrozumění podle odstavce 1 nebo 2 se činí prostřednictvím elektronické aplikace spravované správcem národního bodu.
Národní bod Působnost na úseku elektronické identifikace Agentura a) plní úkoly podle čl. 9 a 10 přímo použitelného předpisu Evropské unie upravujícího elektronickou identifikaci1), b) plní úkoly jednotného kontaktního místa podle přímo použitelného předpisu Evropské unie upravujícího procesní opatření pro spolupráci mezi členskými státy v oblasti elektronické identifikace3), c) kontroluje kvalifikované správce, kvalifikované poskytovatele a pověřené osoby, d) vede evidenci udělených akreditací a jejich změn a zveřejňuje ji na svých internetových stránkách, e) uchovává údaje vedené v evidenci vydaných prostředků pro elektronickou identifikaci kvalifikovaného správce, který ukončil činnost, a tyto údaje zpřístupní tomu, kdo osvědčí právní zájem na jejich zpřístupnění, nebo stanoví-li to zákon, f) na základě vyrozumění kvalifikovaného poskytovatele umožní poskytnutí služby národního bodu, g) upozorňuje kvalifikovaného správce na změny údajů v evidenci vydaných prostředků pro elektronickou identifikaci a h) je kvalifikovaným správcem, který vydává prostředek pro elektronickou identifikaci.
(1)
Národní bod je informační systém veřejné správy podporující proces elektronické identifikace a autentizace prostřednictvím kvalifikovaného systému.
(2)
Správcem národního bodu je Agentura.
(3)
Samostatná součást národního bodu plní úlohu uzlu podle přímo použitelného předpisu Evropské unie upravujícího rámec interoperability4).
(4)
Správce národního bodu zajistí, aby národní bod splňoval požadavky stanovené přímo použitelným předpisem Evropské unie upravujícím rámec interoperability4).
(1)
V národním bodu se vede
a)identifikátor prostředku pro elektronickou identifikaci a údaj o úrovni záruky tohoto prostředku
b)agendový identifikátor držitele pro agendu autentizace
c)identifikátor držitele v rámci kvalifikovaného systému a
d)identifikátor držitele v rámci on-line služby nebo jiné činnosti splňující požadavky stanovené přímo použitelným předpisem Evropské unie upravujícím rámec interoperability4).
(2)
V národním bodu se jako provozní údaj vede alespoň
a)datum prvotního zápisu údaje do národního bodu
b)datum poslední změny údaje vedeného v národním bodu a
c)záznam o využití údaje z národního bodu.
(3)
V národním bodu se dále mohou vést údaje, které poskytne držitel.
(4)
Údaje podle odstavce 1 písm. b) až d) a odstavce 2 zapisuje do národního bodu správce národního bodu. Údaje podle odstavce 3 zapisuje do národního bodu držitel.
(5)
Údaje podle odstavců 1 a 2 se v národním bodu uchovávají po dobu 15 let od skončení platnosti prostředku pro elektronickou identifikaci. Údaje podle odstavce 3 se v národním bodu uchovávají po dobu platnosti prostředku pro elektronickou identifikaci, nevymaže-li je dříve držitel.
(6)
Údaje, které se vedou v uzlu podle čl. 9 odst. 3 přímo použitelného předpisu Evropské unie upravujícího rámec interoperability4), se uchovávají po dobu 15 let od jejich prvotního zápisu.
Evidence vydaných prostředků pro elektronickou identifikaci
(1)
V evidenci vydaných prostředků pro elektronickou identifikaci se vede
a)jméno, popřípadě jména, a příjmení držitele
b)adresa místa trvalého pobytu držitele, popřípadě adresa místa bydliště mimo území České republiky, pokud držitel nemá trvalý pobyt na území České republiky
c)datum narození držitele
d)identifikátor prostředku pro elektronickou identifikaci
e)identifikátor držitele v rámci kvalifikovaného systému
f)údaj o způsobu ověření totožnosti žadatele o vydání prostředku pro elektronickou identifikaci, a byla-li totožnost ověřena průkazem totožnosti, rovněž číslo a druh průkazu totožnosti
g)datum a čas vydání prostředku pro elektronickou identifikaci a datum a čas jeho zneplatnění
h)doba platnosti prostředku pro elektronickou identifikaci a
i)datum a čas přijetí žádosti o zneplatnění prostředku pro elektronickou identifikaci nebo oznámení držitele o zneužití nebo hrozícím nebezpečí zneužití prostředku pro elektronickou identifikaci.
(2)
Údaje podle odstavce 1 se v evidenci vydaných prostředků pro elektronickou identifikaci uchovávají po dobu 15 let od skončení platnosti prostředku pro elektronickou identifikaci.
(3)
Kvalifikovaný správce zpřístupní údaje podle odstavce 1 tomu, kdo osvědčí právní zájem na jejich zpřístupnění, nebo stanoví-li to zákon.
Přestupky na úseku elektronické identifikace Seznam kvalifikovaných správců a kvalifikovaných poskytovatelů
(1)
Agentura vede seznam kvalifikovaných správců usazených v České republice spolu s jimi vydanými prostředky pro elektronickou identifikaci a seznam kvalifikovaných poskytovatelů usazených v České republice spolu s on-line službami nebo jinými činnostmi, při nichž umožňují prokázání totožnosti s využitím elektronické identifikace.
(2)
Agentura zveřejňuje seznam podle odstavce 1 na svých internetových stránkách.
(1)
Akreditovaná osoba se dopustí přestupku tím, že a) nezajistí dostupnost jí spravovaného kvalifikovaného systému podle § 16 odst. 1 písm. a), b) nevede evidenci jí vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. b), c) neověří totožnost držitele prostřednictvím národního bodu podle § 16 odst. 1 písm. c), d) nezapíše identifikátor vydaného prostředku pro elektronickou identifikaci a úroveň záruky tohoto prostředku do národního bodu podle § 16 odst. 1 písm. d), e) neaktualizuje údaje v evidenci vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. e), f) nepředá Agentuře evidenci vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. f), g) nezneplatní prostředek pro elektronickou identifikaci podle § 16 odst. 1 písm. g) až i), h) neoznámí zneplatnění prostředku pro elektronickou identifikaci podle § 16 odst. 1 písm. j), i) v rozporu s § 16 odst. 1 písm. k) nevede nebo neaktualizuje plán ukončení činnosti, j) nepostupuje podle plánu ukončení činnosti podle § 16 odst. 1 písm. l), k) nezajistí, aby řídící činnosti při správě kvalifikovaného systému vykonávaly fyzické osoby splňující předpoklady podle § 16 odst. 2, nebo l) v rozporu s § 16 odst. 3 nezajistí, aby řídící činnosti při správě kvalifikovaného systému a ověření totožnosti prováděly bezúhonné fyzické osoby.
(2)
Za přestupek lze uložit pokutu do a) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. k) nebo l), nebo b) 2 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až j).
Přestupky podle tohoto zákona projednává Agentura.
Přechodná ustanovení
(1)
Ten, kdo umožňoval prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace přede dnem nabytí účinnosti tohoto zákona a umožňuje toto prokázání totožnosti i ode dne nabytí účinnosti tohoto zákona, vyrozumí o této skutečnosti správce národního bodu do 6 měsíců ode dne nabytí účinnosti tohoto zákona. Ustanovení § 18 odst. 3 se použije obdobně.
(2)
Po dobu 2 let ode dne nabytí účinnosti tohoto zákona lze umožnit prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace, při kterém se nepoužije kvalifikovaný systém.
Účinnost Tento zákon nabývá účinnosti dnem 1. července 2018.