Rządowy projekt ustawy o podpisach elektronicznych

podmiot, którego wniosek dotyczy, umocowanie osoby fizycznej
składającej wniosek w imieniu tego podmiotu oraz jej tożsamość.
2. Potwierdzenie tożsamości osób ubiegających się o certyfikat lub
składających wniosek może nastąpić w szczególności z wykorzystaniem
danych biometrycznych. W przypadku wydania kolejnego certyfikatu dla tej
samej osoby wystarczy złożenie przez nią potwierdzenia odbioru certyfikatu
opatrzonego podpisem z certyfikatem kwalifikowanym.
3. Dane biometryczne, o których mowa w ust. 2, nie mogą być zbierane ani
przetwarzane w innym celu niż potwierdzenie tożsamości osoby ubiegającej
się o certyfikat.
4. Podmiot świadczący usługi certyfikacyjne jest obowiązany zweryfikować
także inne zawarte w certyfikacie informacje dotyczące podmiotów lub
osób, o których mowa w ust. 1, w sposób przewidziany w polityce
certyfikacji.

Art. 13.
Minister właściwy do spraw gospodarki może określić, w drodze rozporządzenia,
wymagania techniczne i organizacyjne, które muszą spełniać podmioty
świadczące usługi certyfikacyjne w zakresie pieczęci elektronicznej, certyfikatów
atrybutów i potwierdzania ważności certyfikatów, uwzględniając konieczność
zapewnienia ochrony interesów odbiorców usług certyfikacyjnych.

Art. 14. 1.
Informacje związane ze świadczeniem usług certyfikacyjnych, których
nieuprawnione ujawnienie mogłoby narazić na szkodę podmiot świadczący
usługi certyfikacyjne lub odbiorcę usług certyfikacyjnych, w szczególności
dane do składania podpisów elektronicznych, są objęte tajemnicą. Nie są
objęte tajemnicą informacje o naruszeniu ustawy przez podmiot świadczący
usługi certyfikacyjne.
2. Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane:
1) osoby pozostające w stosunku pracy, zlecenia lub innym stosunku
prawnym o podobnym charakterze z podmiotem świadczącym usługi
certyfikacyjne;

10
2) osoby pozostające w stosunku pracy, zlecenia lub innym stosunku
prawnym o podobnym charakterze z podmiotami świadczącymi usługi
na rzecz podmiotu świadczącego usługi certyfikacyjne.
3. Osoby, o których mowa w ust. 2, mają obowiązek udzielenia informacji,
o których mowa w ust. 1, z wyjątkiem danych do składania podpisów
elektronicznych, wyłącznie na żądanie:
1) sądu lub prokuratora – w związku z toczącym się postępowaniem;
2) ministra właściwego do spraw gospodarki – w związku ze
sprawowaniem przez niego nadzoru nad działalnością podmiotów
kwalifikowanych;
3)
innych organów państwa, upoważnionych na podstawie ustaw
odrębnych – w związku z prowadzonym przez te organy
postępowaniem w sprawach dotyczących działalności podmiotów
świadczących usługi certyfikacyjne.
4. Obowiązek zachowania tajemnicy, o której mowa w ust. 1, z zastrzeżeniem
ust. 5, trwa przez 10 lat od dnia ustania stosunku prawnego, o którym mowa
w ust. 2.
5. Okres trwania obowiązku zachowania w tajemnicy danych do składania
podpisu elektronicznego jest nieograniczony w czasie.

Art. 15. 1. Podmiot kwalifikowany świadczący usługi certyfikacyjne związane
z wydawanymi certyfikatami kwalifikowanymi odpowiada wobec
odbiorców usług certyfikacyjnych, z zastrzeżeniem ust. 2 – 4, za szkody
spowodowane niewykonaniem lub nienależytym wykonaniem obowiązków
związanych ze świadczeniem tych usług. Nie można wyłączyć i ograniczyć
przez czynność prawną odpowiedzialności, o której mowa w zdaniu
pierwszym.
2. Podmiot kwalifikowany nie podlega odpowiedzialności, o której mowa
w ust. 1, jeżeli niewykonanie lub nienależyte wykonanie obowiązków,
o których mowa w tym ustępie, jest następstwem okoliczności, za które nie

11
ponosi odpowiedzialności i którym nie mógł zapobiec mimo dołożenia
należytej staranności.
3.
Podmiot kwalifikowany nie odpowiada wobec odbiorców usług
certyfikacyjnych za szkody wynikające z:
1) użycia certyfikatu niezgodnie z zakresem określonym w polityce
certyfikacji wskazanej w certyfikacie, w tym w szczególności za
szkody wynikające z przekroczenia najwyższej wartości granicznej
transakcji, jeżeli wartość ta została wskazana w certyfikacie;
2) nieprawdziwości danych zawartych w certyfikacie, wpisanych na
wniosek podpisującego, chyba że szkoda była wynikiem niedołożenia
należytej staranności wymaganej w obrocie profesjonalnym.
4. Podmiot kwalifikowany, który udzielił gwarancji za certyfikat zgodnie
z art. 4 pkt 2, odpowiada wobec odbiorców usług certyfikacyjnych za szkody
spowodowane użyciem tego certyfikatu, chyba że szkoda wynikła z użycia
certyfikatu poza zakresem określonym w polityce certyfikacji, wskazanej
w tym certyfikacie.

Art. 16. 1. Podmiot kwalifikowany jest obowiązany:
1) zawrzeć umowę o ubezpieczeniu odpowiedzialności cywilnej za szkody
wyrządzone odbiorcom usług certyfikacyjnych;
2) zapewnić ciągłość tego ubezpieczenia w okresie świadczenia usług
certyfikacyjnych;
3) niezwłocznie przekazywać ministrowi właściwemu do spraw
gospodarki oświadczenie o zawarciu takiej umowy, nie później jednak
niż 14 dni przed wygaśnięciem poprzedniej umowy.
2. W przypadku gdy podmiot kwalifikowany nie wykona obowiązku, o którym
mowa w ust. 1 pkt 1 lub 2, minister właściwy do spraw gospodarki
w terminie 7 dni od dnia upływu terminu wykonania tego obowiązku wydaje
decyzję o nałożeniu kary pieniężnej w wysokości do 50 000 zł.
3.
Kara stanowi dochód budżetu państwa.

12
4.
Kara pieniężna podlega egzekucji w trybie przepisów o postępowaniu
egzekucyjnym w administracji.
5. Minister właściwy do spraw instytucji finansowych w porozumieniu
z ministrem właściwym do spraw gospodarki określi, w drodze
rozporządzenia, szczegółowy zakres ubezpieczenia obowiązkowego,
o którym mowa w ust. 1 pkt 1, termin objęcia ochroną ubezpieczeniową
oraz minimalną sumę gwarancyjną, uwzględniając rodzaj świadczonych
usług certyfikacyjnych oraz specyfikę tych usług.

Art. 17.
1. Podmiot świadczący usługi certyfikacyjne, z zastrzeżeniem art. 11 ust. 1
pkt 4 lit. c, przechowuje dokumenty i dane w postaci elektronicznej
związane ze świadczeniem usług certyfikacyjnych, w szczególności:
1)
wniosek o wydanie certyfikatu kwalifikowanego wraz z załącznikami,
2)
umowę o świadczenie usług certyfikacyjnych polegających na
wydawaniu certyfikatów kwalifikowanych,
3)
oświadczenie odbiorcy usług certyfikacyjnych o zapoznaniu się
z warunkami uzyskania i używania certyfikatu kwalifikowanego,
4)
zgodę na stosowanie danych do weryfikacji podpisu elektronicznego,
które są zawarte w wydanym certyfikacie kwalifikowanym,
5)
zgodę na zapewnienie publicznego dostępu do certyfikatu,
6)
listy zawieszonych i unieważnionych certyfikatów,
7)
politykę certyfikacji i regulamin świadczenia usług,
8)
żądanie unieważnienia certyfikatu
– w sposób zapewniający bezpieczeństwo przechowywanych
dokumentów i danych.
2. Podmiot świadczący usługi certyfikacyjne jest obowiązany używać
systemów do tworzenia, przechowywania lub określania ważności
certyfikatów oraz systemów do tworzenia podpisów elektronicznych
w sposób zapewniający prawdziwość danych oraz możliwość wprowadzania
zmiany tych danych jedynie osobom uprawnionym.

13
3. Podmiot
świadczący usługi certyfikacyjne jest obowiązany przechowywać
lub elektronicznie archiwizować dokumenty i dane, o których mowa
w ust. 1, przez 10 lat od dnia ich wytworzenia.
4. Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia,
wymagania techniczne i organizacyjne, które muszą spełniać podmioty
kwalifikowane, w tym wymagania z zakresu ochrony fizycznej pomieszczeń,
w których są przechowywane dane związane ze świadczeniem usług
certyfikacyjnych, uwzględniając zakres stosowania wydawanych przez nie
certyfikatów, bezpieczeństwo przechowywania danych oraz konieczność
zapewnienia ochrony interesów odbiorców usług certyfikacyjnych.

Art. 18. 1. W przypadku gdy podmiot kwalifikowany zaprzestał świadczenia usług
certyfikacyjnych, dokumenty i dane, o których mowa w art. 17 ust. 1,
przechowuje minister właściwy do spraw gospodarki.
2.

Podmiot kwalifikowany, który zaprzestał
świadczenia usług
certyfikacyjnych, uiszcza na rachunek urzędu obsługującego ministra
właściwego do spraw gospodarki opłatę za przechowywanie dokumentów
i danych, o których mowa w art. 17 ust. 1, w wysokości nie wyższej niż
równowartość w złotych 1 euro za każdy wydany certyfikat, którego
dokumentacja podlega przechowywaniu, liczoną według kursu średniego
Narodowego Banku Polskiego obowiązującego w dniu zaprzestania
świadczenia usług certyfikacyjnych.
3. Opłata, o której mowa w ust. 2, stanowi dochód budżetu państwa.
4. Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia,
wysokość opłat, o których mowa w ust. 2, uwzględniając liczbę oraz
planowane koszty przechowywania dokumentów i danych,
o których mowa w art. 17 ust. 1.
5. Podmiot kwalifikowany niszczy dane służące temu podmiotowi do składania
zaawansowanego podpisu elektronicznego podmiotu kwalifikowanego,
w sytuacji gdy polityka certyfikacji nie przewiduje dalszego wykorzystania
tych danych oraz w przypadku zaprzestania działalności lub wykreślenia
z rejestru podmiotów kwalifikowanych, o którym mowa w art. 30 ust. 1.

14