Rządowy projekt ustawy o podpisach elektronicznych

służącego do składania podpisu. Podpis taki musi spełniać wymagania określone
w załącznikach I, II i III2) do wymienionej dyrektywy.
„Podpisujący” jest zdefiniowany w dyrektywie jako „osoba posiadająca urządzenie
służące do składania podpisów, która działa w imieniu własnym lub w imieniu osób
prawnych lub fizycznych, lub podmiotu, którego jest przedstawicielem”. Mimo iż dyrektywa
nie stanowi, że podpis elektroniczny może dotyczyć wyłącznie osoby fizycznej, to
składającym „kwalifikowany” podpis elektroniczny (art. 5 ust. 1 dyrektywy) może być tylko
osoba fizyczna ze względu na wymóg certyfikatu kwalifikowanego. Tylko nieliczne państwa
Unii Europejskiej używają pojęcia „certyfikat kwalifikowany” na określenie certyfikatów
osób prawnych (np. Hiszpania). W chwili obecnej Forum Europejskich Organów Nadzoru
Podpisu Elektronicznego (FESA) oraz większość państw członkowskich stoi na stanowisku,
że certyfikat kwalifikowany może dotyczyć wyłącznie osób fizycznych, co nie wyklucza
możliwości wskazania w certyfikacie instytucji, z której umocowania występują.

W
świetle obecnych prac wspólnotowych nad wykorzystaniem podpisu
elektronicznego, które prowadzone są w ramach implementacji dyrektywy o usługach na
rynku wewnętrznym, możliwość osiągnięcia transgranicznej interoperacyjności procedur
elektronicznych wiązana jest wyłącznie z certyfikatem kwalifikowanym. Wprowadzenie
podpisu zaawansowanego, który nie wymaga stosowania tzw. bezpiecznego urządzenia,
powinno być zatem wdrażane z ostrożnością oraz bez szkody dla rozwiązań dotychczas
istniejących. Chociaż stosowanie certyfikatu kwalifikowanego nie jest w przypadku podpisu
zaawansowanego techniczną koniecznością, wskazane będzie jego wykorzystanie, jeśli
niezbędna jest akceptacja podpisu za granicą. Podpis zaawansowany odmiennie od podpisu
opartego o kwalifikowany certyfikat nie posiadał dotychczas wystandaryzowanego formatu i
profilu w skali Unii Europejskiej. Usługi certyfikacyjne dla podpisów zaawansowanych
realizowane są w
ponad dwudziestu różnych modelach implementacji, a państwa
członkowskie mają swobodę wyboru technologii zaawansowanych podpisów elektronicznych
dla potrzeb krajowych zastosowań. W chwili obecnej prowadzone są prace zmierzające do
wybrania formatów referencyjnych dla podpisu zaawansowanego, które powinny być
uznawane przez wszystkie państwa członkowskie w procedurach transgranicznych. W ramach
prowadzonych obecnie prac wspólnotowych w zakresie podpisu elektronicznego wstępnie

2) ZAŁ CZNIK I „Wymogi dotyczące certyfikatów kwalifikowanych”, ZAŁ CZNIK II „Wymogi wobec
podmiotów świadczących usługi certyfikacyjne, wystawiających certyfikaty kwalifikowane”, ZAŁ CZNIK III
„Wymogi dotyczące bezpiecznych urządzeń służących do składania podpisu elektronicznego”.

22
wskazano na formaty XAdES EPES BES, CAdES EPES BES oraz PAdES jako standardy
referencyjne spełniające minimalne wymogi niezbędne do wzajemnego uznawania.
Podkreślić należy, że podpisy zaawansowane w transakcjach transgranicznych będą
wymagały certyfikatu kwalifikowanego.

Ustawa o podpisach elektronicznych. Wprowadzenie nowych usług certyfikacyjnych
w zakresie podpisu elektronicznego pozwoli urzędom i przedsiębiorcom lepiej dostosować
rodzaj i ceny wykorzystywanych elektronicznych narzędzi podpisywania i uwierzytelniania.
Ponieważ usługi certyfikacyjne posiadają co do zasady charakter usług komercyjnych, nie jest
wskazane, aby ustawowo wpływać na cenniki podmiotów prowadzących działalność
gospodarczą w tym zakresie. Podstawowym narzędziem oddziaływania pozostaje natomiast
dywersyfikacja usług oraz podniesienie konkurencyjności rynku usług certyfikacyjnych.

Proponuje się wprowadzenie trzech rodzajów podpisu elektronicznego – „zwykłego”,
„zaawansowanego” – czyli spełniającego dodatkowe wymogi dotyczące uwierzytelnienia
składającego oraz bezpieczeństwa samej technologii podpisu, a także „kwalifikowanego” –
czyli zaawansowanego podpisu weryfikowanego przez certyfikat kwalifikowany, złożonego
za pomocą bezpiecznego urządzenia do składania podpisów pozostającego pod wyłączną
kontrolą składającego podpis. Możliwość złożenia podpisu osoby prawnej zapewniona
zostanie poprzez rozszerzenie definicji „podpisującego”. Podpis tego rodzaju będzie
podpisem zaawansowanym powiązanym z osobami
prawnymi
oraz
jednostkami
organizacyjnymi nieposiadającymi osobowości prawnej. Nowa propozycja oparta jest na
możliwie dokładnym odwzorowaniu terminologii zawartej w dyrektywie 1999/93/WE
z zastrzeżeniem, że wprowadzane są również nowe usługi certyfikacyjne, które nie zostały
przewidziane w przepisach dyrektywy wspólnotowej.

Podpis „zwykły”. Podpis niekwalifikowany został w ustawie o podpisach
elektronicznych utrzymany, co do zasady, w istniejącym dotychczas kształcie. ladem
wspólnotowej dyrektywy podkreślona została istota podpisu elektronicznego jako „metody
uwierzytelnienia” (ang. „method of authentication”). Zgodnie z rozwiązaniami przyjętymi we
wspólnotowej dyrektywie została utrzymana podstawowa dla tego rodzaju podpisu
elektronicznego zasada niedyskryminacji (zawarta w art. 8 dotychczas obowiązującej ustawy
o podpisie elektronicznym oraz art. 5 ust. 7 nowej ustawy o podpisach elektronicznych), która

23
stanowi, że nie można odmówić ważności i skuteczności podpisowi elektronicznemu tylko na
tej podstawie, że istnieje w postaci elektronicznej lub dane służące do weryfikacji podpisu nie
mają kwalifikowanego certyfikatu, lub nie został złożony za pomocą bezpiecznego urządzenia
służącego do składania podpisu elektronicznego. Podkreślić należy, że ograniczone
możliwości wykorzystania narzędzia, jakim jest podpis niekwalifikowany, wynikały
częstokroć z ustaw innych niż ustawa o podpisie elektronicznym.
Zniesione zostają wymogi, które stanowią zbędne obciążenia dla podmiotów
świadczących usługi certyfikacyjne. Przykładem takich nadmiarowych wymogów
znoszonych nową ustawą o podpisach elektronicznych jest m.in. obowiązek zawierania na
piśmie umów o świadczenie usług certyfikacyjnych w zakresie zwykłego podpisu
elektronicznego. Zniesiony jest również nadzór ministra właściwego ds. gospodarki nad
świadczeniem usług niekwalifikowanych. Przewidziany w nowej ustawie zakres nadzoru nad
świadczeniem usług certyfikacyjnych został tym samym uzgodniony z obligatoryjnym
zakresem nadzoru nałożonym na państwa w dyrektywie 1999/93/WE.



Podpis „zaawansowany”. Zaawansowany podpis elektroniczny może występować
zarówno w powiązaniu z kwalifikowanym certyfikatem, jak i innego rodzaju certyfikatami.
Podpis tego rodzaju mógłby być składany zarówno z użyciem bezpiecznego urządzenia do
składania e-podpisu, jak i bez takiego urządzenia (np. w oparciu o rozwiązania złożone
wyłącznie z oprogramowania). Zgodnie ze zmienioną definicją urządzenia do składania
podpisu będzie to skonfigurowany sprzęt lub oprogramowanie używane do wykorzystania
danych służących do składania podpisu. Bezpieczne urządzenie służące do składania
podpisów będzie wymagało spełnienia wymogów określonych w załączniku III do dyrektywy
1999/93/WE. Podpis zaawansowany będą mogły składać zarówno osoby fizyczne, jak
i prawne. Zaawansowany podpis elektroniczny zapewni integralność danych opatrzonych
tym podpisem i jednoznaczne wskazanie certyfikatu, w ten sposób, że rozpoznawalne są
wszelkie zmiany tych danych oraz zmiany wskazania certyfikatu wykorzystywanego do
weryfikacji e-podpisu. Dane w postaci elektronicznej opatrzone zaawansowanym podpisem
elektronicznym będą umożliwiały ustalenie tożsamości podpisującego. Dane w postaci
elektronicznej opatrzone przez osobę fizyczną zaawansowanym podpisem elektronicznym
weryfikowanym przy pomocy ważnego kwalifikowanego certyfikatu będą umożliwiały
wywołanie skutków prawnych dokumentu z podpisem własnoręcznym w relacji
z podmiotami publicznymi w rozumieniu ustawy z dnia 17 lutego 2005 r. o informatyzacji

24
działalności podmiotów realizujących zadania publiczne. Zaawansowany podpis
elektroniczny będzie wywoływał skutki prawne, jeśli został złożony w okresie ważności
swojego certyfikatu. W odniesieniu do podpisów zaawansowanych należy zauważyć, że
szczególne skutki prawne mogą w przyszłości zostać przewidziane również innymi
przepisami, np. w rozporządzeniu regulującym wystawianie faktur elektronicznych.

Zaawansowany podpis elektroniczny może występować w szczególności bez
certyfikatów kwalifikowanych. Opracowany przez Komisję Europejską „Plan działania na
rzecz e-podpisu i e-identyfikacji w celu ułatwienia świadczenia transgranicznych usług
publicznych na jednolitym rynku”3) stwierdza między innymi, że w przeciwieństwie do
podpisów kwalifikowanych, zaawansowane e-podpisy nie otrzymały w dyrektywie w sprawie
podpisów elektronicznych takiego samego, jasnego statusu prawnego, zakładającego ich
równoważność z podpisem odręcznym. Państwa członkowskie mają jedynie obowiązek
zapewnić, żeby zaawansowanemu e-podpisowi nie odmawiano skuteczności prawnej jedynie
dlatego, że jest w formie elektronicznej. Oznacza to, że państwa członkowskie mają większą
swobodę decyzji w sprawie akceptowania lub nieakceptowania określonych rodzajów
zaawansowanego e-podpisu i przy podejmowaniu tej decyzji mogą się kierować własnymi
wymogami dotyczącymi danego zastosowania podpisu. Dodatkowa trudność wiąże się
z faktem, że wprawdzie zaawansowany e-podpis może być w teorii akceptowany w innym
państwie członkowskim, ale w praktyce akceptacja taka nastręcza trudności ze względu na
różnorodne rozwiązania techniczne, które są stosowane. W związku z tym walidacja
zaawansowanego e-podpisu przez odbiorcę oraz ocena skuteczności prawnej czy poziomu
bezpieczeństwa tego podpisu, w kontekście danego zastosowania, stanowią obecnie bardzo
trudne zadania, które wymagają często szczegółowego badania każdego otrzymanego
podpisu. Ponieważ definicja zaawansowanego podpisu elektronicznego zawarta w art. 2 ust. 2
dyrektywy 1999/93/WE ma charakter ogólny, państwa członkowskie stosują bardzo
różnorodne rozwiązania techniczne, które cechują różne poziomy bezpieczeństwa.
W przypadku niektórych zastosowań tych podpisów państwa członkowskie mogą również
wymagać obowiązkowego stosowania określonych rozwiązań krajowych, co tworzy
dodatkowe bariery dla transgranicznego stosowania podpisów zaawansowanych.

3) Komunikat Komisji do Rady, Parlamentu Europejskiego, Europejskiego Komitetu Ekonomiczno-Społecznego
i Komitetu Regionów Plan działania na rzecz e-podpisu i e-identyfikacji w celu ułatwienia świadczenia
transgranicznych usług publicznych na jednolitym rynku, KOM(2008) 798 wersja ostateczna, Bruksela,
28.11.2008.

25
Podpis kwalifikowany. Zgodnie z art. 5 ust. 1 wspólnotowej dyrektywy państwa
członkowskie obowiązane są zapewnić, że zaawansowane podpisy elektroniczne oparte
o kwalifikowany certyfikat i złożone za pomocą bezpiecznego urządzenia do składania
podpisu „spełniają wymogi prawne podpisu w odniesieniu do danych w formie elektronicznej
w ten sam sposób, co podpis odręczny w odniesieniu do danych znajdujących się na papierze”
oraz „są dopuszczalne jako dowód w postępowaniu sądowym”. Ten rodzaj podpisu
elektronicznego oparty o kwalifikowany certyfikat i bezpieczne urządzenie jest rozwiązaniem
funkcjonującym pod rządami obecnie obowiązującej ustawy. W nomenklaturze wspólnotowej
jest to tzw. „podpis kwalifikowany”. W ustawie o podpisach elektronicznych odchodzi się od
pojęcia „bezpieczny podpis elektroniczny weryfikowany przy pomocy ważnego
kwalifikowanego certyfikatu” na rzecz pojęcia „podpisu kwalifikowanego”. W chwili obecnej
Polska jest jednym z ostatnich krajów w Europie, który używa określenia „bezpieczny podpis
elektroniczny”. W styczniu 2008 r. Republika Austrii, w nowelizacji swojej ustawy o podpisie
elektronicznym, zastąpiła nazwę „bezpieczny podpis elektroniczny” nazwą „podpis
kwalifikowany”. Nazwa „bezpieczny podpis elektroniczny” bywa często błędnie traktowana
jako bezwzględna gwarancja bezpieczeństwa tego narzędzia. W świetle nowej systematyki
„podpis kwalifikowany” będzie to kwalifikowana postać podpisu zaawansowanego składana
przy pomocy bezpiecznego urządzenia i
weryfikowana przy pomocy certyfikatu
kwalifikowanego. Bezpieczny podpis elektroniczny (kwalifikowany wg terminologii
wspólnotowej) cechować będzie uniwersalność zastosowania oraz moc prawna równa w
każdym przypadku podpisom własnoręcznym. Podpis tego rodzaju powiązany będzie
wyłącznie z osobami fizycznymi. Zgodnie z obowiązującymi standardami podpis tego rodzaju
będzie służył wyłącznie do podpisywania oświadczeń wiedzy oraz woli (bez możliwości
autentykacji lub szyfrowania). Przyjęcie takiego założenia służy zapewnieniu pewności
interpretacji, czy użycie podpisu elektronicznego miało na celu podpisanie czy autentykację
do systemów informatycznych.

2. Cele wprowadzenia ustawy

1) Obniżenie ceny podpisów elektronicznych poprzez rozszerzenie wyboru dostępnych
usług certyfikacyjnych, w tym zwłaszcza katalogu dostępnych rodzajów podpisu
elektronicznego, co umożliwi lepsze dostosowanie narzędzi oraz ceny do potrzeb
przedsiębiorców i administracji publicznej oraz zmniejszenie obciążeń administracyjnych.

26