Transatlantyk
Większe znaczenie ma jednak fakt, iż uzgadnianie pryncypiów zaabsorbowało uwagę uczestników procesu do tego stopnia, iż w uchwalonej ustawie pojawiły się lapsusy, które mogą zakłócić proces akceptacji podpisu elektronicznego. Oto kilka problemów wartych ponownego przemyślenia przed wejściem ustawy w życie.
Art. 3 pkt 1 ustawy stanowi (w ślad za art. 2 ust. 2 pkt c dyrektywy), że bezpieczny podpis elektroniczny jest sporządzany za pomocą podlegających wyłącznej kontroli osoby składającej podpis (...) urządzeń. Punkt 3 w tym samym artykule podnosi poprzeczkę, wymagając, by osoba składająca podpis posiadała urządzenie służące do jego składania. Zważywszy, że osoba ta może działać w imieniu innej osoby fizycznej, prawnej albo jednostki organizacyjnej, często spotkamy się z sytuacją, w której urządzenie służące do składania podpisu nie znajduje się w jej posiadaniu, choć (z zgodzie z ust. 2 pkt b) podlega jej wyłącznej kontroli. Olgierd Borhardt opisuje, jak Żydzi podróżujący na pokładzie jednego z naszych transatlantyków kupowali statek od kapitana za symboliczną złotówkę, by w trakcie szabasu przebywać w swoim domu. Dla uniknięcia konieczności fikcyjnej sprzedaży sprzętu przez pracodawcę przed złożeniem podpisu składającej go osobie warto uzgodnić terminologię w przytoczonych fragmentach ustawy.
Art. 3 pkt 5 definiuje klucz publiczny jako (...) dane, które są wykorzystywane do identyfikacji osoby składającej podpis elektroniczny. Gdyby dane te faktycznie identyfikowały osobę składającą podpis, nie musielibyśmy budować skomplikowanej struktury certyfikatów. Klucz publiczny nie identyfikuje jednak nikogo, potwierdzając co najwyżej, że do podpisania wiadomości użyto odpowiadającego mu klucza prywatnego. Definicja niezgodna ze stanem faktycznym jest efektem pułapki tłumaczenia odpowiedniego fragmentu dyrektywy (art. 2 pkt 7), określającego dane służące do weryfikacji podpisu jako dane (...) używane w celu weryfikacji podpisu elektronicznego. Tłumacz zgrabną woltą uniknął pułapki logicznej tautologii, w którą wpadli autorzy dyrektywy, jednak minął się z istotą problemu.
W tym samym art. 3 punkty 10 i 11 posługują się pojęciem elektronicznego zaświadczenia, którego znaczenie nie zostało w ustawie zdefiniowane. Można oczywiście domyślić się, że jest ono tożsame z poświadczeniem elektronicznym, zdefiniowanym w art. 3 pkt. 19, jednak domysły nie należą do instrumentarium dobrej praktyki pracy legislacyjnej.
Art. 4 stanowi, że po spełnieniu jednej z określonych w nim przesłanek certyfikat wydany przez podmiot (...) nie mający siedziby na terytorium RP (..) zrównuje się pod względem prawnym z kwalifikowanymi certyfikatami wydanymi przez kwalifikowany podmiot (...) świadczący usługi na terytorium RP. Pamiętając, że zarówno dyrektywa, jak i polska ustawa przyznają skutki prawne jedynie podpisowi elektronicznemu złożonemu przy wykorzystaniu kwalifikowanego certyfikatu, przyjęcie powyższej koncepcji powoduje, że certyfikat niekwalifikowany, wydany poza terytorium RP, zrówna się (po przekroczeniu granicy) pod względem związanych z nim praw z certyfikatem kwalifikowanym. Sytuacja ta oddaje nabożny szacunek wielu Polaków do wszystkiego, co zagraniczne, jednak dla utrzymania spójności z rozwiązaniami przyjętymi w UE warto sprecyzować, że przywilej ten przysługuje jedynie wydanym za granicą RP certyfikatom kwalifikowanym. Przy okazji – punkt 1 przywołanego artykułu jako jedną z przesłanek zrównania statusu certyfikatów podaje akredytację podmiotu świadczącego usługi certyfikacyjne, której tryb i zasady nie zostały w ustawie określone.
Troszeczkę w ciąży
Art. 5 ust. 3 (nawiasem mówiąc – nie przystający swym charakterem do miejsca, w którym się znalazł) posługuje się określeniem integralności danych. Kryterium ekonomii języka podpowiada, że jest ono lepsze od używanej w innych miejscach w ustawie opisowej formuły, głoszącej konieczność zapewnienia, że dane opatrzone podpisem nie uległy zmianie po złożeniu podpisu elektronicznego. Niezależnie od przyjętego wariantu, warto ujednolicić nomenklaturę.
Powyżej zasygnalizowano już problem zrodzony przez zapis w art. 8, zgodnie z którym (w połączeniu z art. 5) podpis elektroniczny złożony za pomocą certyfikatu niekwalifikowanego nie wywołuje skutków prawnych, choć nie można odmówić mu skuteczności. Okazuje się, że wbrew powszechnemu przekonaniu można jednak być w ciąży tylko troszeczkę...
Zakres zastosowania podpisu elektronicznego opartego na certyfikacie zależny jest od szczegółów polityki certyfikacyjnej, na podstawie której certyfikat został poświadczony. Przepisy ustawy troszczą się o to, by postanowienia owej polityki zostały przez urząd certyfikacji szczegółowo określone (art. 17), odbiorca certyfikatu został o nich poinformowany (art. 14 ust. 2, 4 i 5), sam zaś certyfikat zawierał wskazanie polityki certyfikacji, w zgodności z którą jest stosowany (art. 20 ust. 1 pkt 2). Przepis ustawy określający obowiązki urzędu certyfikacji (art. 10 ust. 1) nie wymaga jednak publicznego ogłoszenia przezeń szczegółów stosowanej polityki certyfikacji. Zważywszy, że jej postanowienia stanowią podstawową przesłankę umożliwiającą odbiorcom podpisu elektronicznego podjęcie decyzji o jego akceptacji lub odrzuceniu, postanowienia polityki winny być powszechnie i łatwo dostępne.
Być może ustawodawcą kierowało przekonanie, że urząd certyfikacji we własnym interesie zadba o rozpowszechnienie postanowień stosowanej przezeń polityki (lub polityk). Jednakże interes innych uczestników rynku byłby lepiej zabezpieczony, gdyby art. 10 ustawy zobowiązał urząd certyfikacji do ogłoszenia w sposób zapewniający powszechną dostępność wszystkich postanowień polityki certyfikacyjnej, o której mowa w art. 17 ustawy, poświadczonych elektronicznie kluczem prywatnym urzędu certyfikacji. Art. 18 ust. 1 pkt 1 formułuje w stosunku do urządzenia służącego do składania podpisów elektronicznych wymóg, którego spełnienie rodzi wysoce kłopotliwe skutki. Urządzenie to winno wg ustawy uniemożliwiać pozyskanie danych służących do składania podpisu lub poświadczenia elektronicznego. Spełnienie tego wymogu skutecznie uniemożliwi złożenie podpisu elektronicznego także uprawnionemu użytkownikowi urządzenia! Co więcej – w praktyce urządzenia o cechach opisanych w ustawie nie istnieją, zaś ich skonstruowanie jest teoretycznie i praktycznie niemożliwe. Zapewne z tej przyczyny załącznik nr III dyrektywy UE wymaga jedynie, by dane służące do składania podpisu były w urządzeniu chronione w sposób wiarygodny przed użyciem przez osoby niepowołane.
Ten sam artykuł w sposób równie opisowy, co niefortunny stanowi (ust. 2 pkt 6), że w urządzeniu służącym do weryfikacji podpisu elektronicznego użycie pseudonimu jest jednoznacznie wskazane. Wobec wielostronnych zagrożeń dla sfery naszej prywatności, jakie niesie ze sobą gospodarka elektroniczna, użycie pseudonimów jest istotnie wskazane, jednak chyba nie ten cel przyświecał autorom ustawy. Można założyć, że ich intencje lepiej byłby oddawał zapis, zgodnie z którym urządzenie winno jednoznacznie wskazywać w procesie weryfikacji na użycie przez składającego podpis certyfikatu związanego z pseudonimem.
Dobre, bo polskie
W art. 20 określono zestaw niezbędnych elementów składowych kwalifikowanego certyfikatu. W ust. 1 pkt 3 przyjęto nieco na wyrost założenie, że inne kraje przyjmą polskie rozwiązanie i będą prowadzić rejestr kwalifikowanych podmiotów świadczących usługi certyfikacyjne. Dyrektywa UE nie nakłada na państwa członkowskie obowiązku prowadzenia rejestru urzędów certyfikacji, poprzestając na wymaganiu, by kwalifikowany urząd certyfikacji został akredytowany w systemie dobrowolnej akredytacji funkcjonującym w jednym z krajów członkowskich. Akredytacja ta nie musi pociągać za sobą określenia numeru pozycji w rejestrze, toteż przywołany przepis może rodzić kolizję z rozwiązaniami przyjętymi w krajach UE. Uwagę tę można odnieść także do art. 22 ust. 3 pkt. 4.
Wśród danych wymaganych we wniosku o wpis do rejestru kwalifikowanych urzędów certyfikacji (art. 24 ust. 2) dziwi brak obowiązku wskazania miejsca wykonywania usług certyfikacyjnych. Zważywszy uprawnienia kontrolne ministra gospodarki dobrze byłoby wiedzieć, gdzie kontrola winna wykonywać swe obowiązki.
Wreszcie interesujący art. 48, na podstawie którego podmiot, który świadcząc usługi certyfikacyjne, kopiuje lub przechowuje dane służące do składania bezpiecznego podpisu (...) podlega grzywnie lub karze pozbawienia wolności do lat 3 albo obu tym karom łącznie. Intencją ustawodawcy (wyrażoną w art. 10 ust. 1 pkt 9) było zabezpieczenie interesu odbiorcy usług certyfikacyjnych w przypadku, w którym urząd certyfikacji nie tylko poświadcza jego klucz publiczny, lecz także generuje powiązane ze sobą klucz prywatny i publiczny. Norma ta odpowiada wymogowi określonemu w art. 6 ust. 1 pkt c dyrektywy UE, pominięcie jednak w art. 48 zastrzeżenia, że dotyczy on jedynie przechowania i kopiowania kluczy prywatnych odbiorców certyfikatów implikuje, że sankcja karna obejmuje także przechowanie własnego klucza prywatnego urzędu certyfikacji, bez którego realizacja jego podstawowych zadań jest niewykonalna!
Niezależnie od przedstawionych powyżej uwag szczegółowych należy zauważyć, że autorzy ustawy skonstruowali hierarchię pojęć nadmiarową w stosunku do praktyki funkcjonowania podpisu elektronicznego. Liczne zawarte w ustawie pojęcia nie występują w dyrektywie oraz mogą być łatwo wyrażone w oparciu o zdefiniowane wcześniej pojęcia podstawowe. Zważywszy ponadto, że redundantne terminy raczej utrudniają recepcję ustawy, niż czynią ją bardziej czytelną, winny paść ofiarą brzytwy Occama.
Wśród wskazanych słabości ustawy pilnej poprawki wymagają co najmniej przepisy zawarte w art. 18 ust. 1 pkt 2 oraz art. 48, których utrzymanie w obecnym kształcie sprawi, że praktyka zastosowania podpisu elektronicznego będzie rozwijać się w sprzeczności z ustawą.
Mariusz Grajek
Autor był prezesem CeTO
Źródło:
