Digitalizace se v posledních letech stala nedílnou součástí podnikatelské praxe. Ať už je to komunikace s úřady, uzavírání smluv s dodavateli nebo administrativa spojená se zaměstnanci, podnikatelé čím dál více opouští tradiční prostředky správy podnikání a spoléhají se na prostředky elektronické.
Jedním z takových prostředků je i elektronický podpis. Na úrovni Evropské unie došlo ke sjednocení pravidel pro elektronické podpisy před 10 lety s účinností nařízení eIDAS[1], později tento rok nás pak čekají největší změny díky nařízení eIDAS 2.0.[2]
Společně se sjednocením pravidel došlo k představení nových služeb, které mají uživatelům usnadnit elektronické podepisování. Tyto služby nabízejí velké množství produktů, které propagují jako jednotlivé úrovně podpisů v souladu s nařízením eIDAS. Jednou z těchto úrovní je také tzv. zaručený elektronický podpis, který má primárně zajistit vyšší míru důvěry v digitálním světě. Jaké podmínky ale tento elektronický podpis musí splňovat? A pokud jej už nyní používáte, skutečně podepisujete zaručeně?
Nařízení eIDAS rozlišuje tři úrovně elektronického podpisu. Všem úrovním je společné, že nesmí být odmítnuty jen proto, že mají elektronickou povahu. Jejich průkaznost se však vždy posuzuje případ od případu.
Základem je tzv. „prostý“ elektronický podpis (někdy také označován jako „elektronický podpis bez přívlastku“), který představuje podle čl. 3 bodu 10 nařízení eIDAS „data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo s nimi logicky spojena a která podepisující osoba používá k podepisování.“ Pod touto definicí si lze představit jméno napsané pod e-mailem nebo obrázek vlastnoručního podpisu vložený do dokumentu.
Další úroveň představuje tzv. zaručený elektronický podpis. Tato úroveň podpisu, kromě definičních znaků prostého elektronického podpisu, musí naplňovat další podmínky:
Poslední úroveň pak představuje tzv. kvalifikovaný elektronický podpis. Tato úroveň je spojena s kvalifikovaným certifikátem, který může být vydán pouze k tomu certifikovaným subjektem. Jen tato úroveň má stejnou váhu jako vlastnoruční podpis.
Zaručený elektronický podpis je tedy jakousi střední cestou. Vzhledem k tomu, že musí splnit přísné požadavky, má zpravidla větší důkazní hodnotu než prostý elektronický podpis, ale na rozdíl od kvalifikovaného elektronického podpisu není uznáván stejně jako vlastnoruční podpis. Pro podnikatelskou praxi však představuje nejvhodnější možnost pro použití elektronického podpisu, a to díky možnosti jej získat bez potřeby oficiálního poskytovatele kvalifikovaného certifikátu.
Zatímco elektronické podpisy mohou využívat pouze fyzické osoby, právnické osoby mohou využívat pouze elektronické pečetě. Na rozdíl od elektronického podpisu slouží pečeti k ověření původnosti dat. Cílem tedy není vyjádřit vůli právnické osoby, ale potvrdit, že pečetěná data pochází od této právnické osoby.
Poskytovatelé služeb elektronického podepisování při poskytování služeb často spojují vyšší míru ověření totožnosti uživatele s vyšší úrovní elektronického podpisu, například se zaručeným elektronickým podpisem. Z důkazního hlediska je sice tato úvaha správná, ale z právního hlediska se nutně nejedná o zaručený elektronický podpis (nebo dokonce o kvalifikovaný elektronický podpis).
Identifikace je pouze proces, který slouží k určení konkrétní osoby (ptá se na otázku: „Kdo to je?“). Proces podepisování je naopak vyjádření souhlasu s tím být vázán obsahem konkrétního dokumentu (tedy se ptá na otázku: „Chcete se tímto dokumentem řídit?“). Příkladem takového typického rozdílu jsou hotelové check-ins: předložení průkazu totožnosti jen potvrzuje, že se na recepci hotelu dostavila konkrétní osoba, která si vytvořila rezervaci, zatímco podpis ubytovací smlouvy vytváří samotný závazek k využití hotelového pokoje za sjednanou cenu.
V digitálním prostředí je tomu úplně stejně. Z technického hlediska však dochází k rozdílu ve využívaných certifikátech a kryptografických klíčích – identifikace využívá certifikát a klíč určený k autentizaci dané osoby, zatímco podepisování využívá certifikát a klíč určený k vytvoření jejího elektronického podpisu.
V praxi proto rozhoduje, zda ověření totožnosti opravňuje použití podpisového klíče vázaného na tuto osobu. Pokud ano, může na vysoké úrovni záruky vzniknout skutečný zaručený elektronický podpis (nebo dokonce kvalifikovaný elektronický podpis). Pokud však po identifikaci není k elektronickému podpisu připojen náležitý podpisový certifikát, tak se silné ověření do podpisu nepropíše, ať už je provedeno sebepečlivěji.
Na rozdíl mezi identifikací a podepisováním naráží i česká soudní praxe. Soudy u prostého elektronického podpisu opakovaně řeší, zda lze jednoznačně identifikovat jednající osobu[3] – jde přitom zpravidla o případy, kdy je silná identifikace zaměňována s podpisem.
Běžně dostupné služby pro vytváření elektronických podpisů nyní typicky pracují tak, že uživatel klikne na tlačítko „podepsat“, projde silnou identifikací (zpravidla skrze kód zaslaný SMS zprávou nebo na jeho e‑mailovou adresu) a dostane na konci dokument s digitálním podpisem. Na tomto procesu není v jeho základu nic špatně. Podstatnou otázkou však je, čí certifikát a klíč na dokumentu vytvořil elektronický podpis.
Možnosti existují dvě:
Zatímco v prvním případě jde skutečně o elektronický podpis (může dokonce jít i o zaručený nebo kvalifikovaný elektronický podpis), v druhém případě půjde o vytvoření elektronické pečeti.
Jak jsme si již uvedli na začátku, podpis může vytvořit pouze fyzická osoba, zatímco právnické osoby vytváří pečeti. Zatímco podpis slouží k vyjádření vůle dané osoby, pečeť potvrzuje pouze původ dokumentu – pečeť tedy sama o sobě nedokazuje, že fyzická osoba obsah schválila.
První případ je z právního hlediska naprosto v pořádku a výsledkem je podepsaný dokument. Druhý případ však může rovněž vést ke stejnému závěru. Jediným rozdílem je však skutečnost, že se bude vždy jednat o prostý elektronický podpis spojený s elektronickou pečetí dokládající původ a integritu dokumentu. Na tomto závěru nemění nic ani skutečnost, že do pečetícího certifikátu je vložena poznámka s „důvodem“ pro jeho vytvoření. I náš druhý popsaný případ tedy má svou důkazní hodnotu a nelze jej zatracovat.
Z pozice poskytovatele však záleží na tom, jak popíšete Váš produkt. Pokud jej označíte jako „zaručený elektronický podpis“, avšak nesplní všechny požadavky, vytváříte u uživatelů důvodné očekávání – takové nenaplněné očekávání může být posuzováno jako nekalosoutěžní jednání.[4]
Zaručený elektronický podpis sice vyžaduje splnění všech čtyř podmínek současně, jejich naplnění ale nemusí být finančně, právně ani technicky náročné. Jak jsme si uvedli výše, v praxi bývá nejobtížnější naplnit požadavek na využití správného podpisového certifikátu a klíče – tento problém lze řešit třemi způsoby.
Prvním způsobem je využití vlastního podpisového certifikátu konkrétního uživatele – uživatel využije k vytvoření elektronického podpisu vlastní certifikát, který má uložený na čipové kartě nebo ve svém zařízení. Jedná se o model, se kterým dnes pracují uživatelé zpravidla v případě kvalifikovaných elektronických podpisů, ale lze jej použít i pro zaručené elektronické podpisy. Na rozdíl od kvalifikovaného elektronického podpisu však nemusí být použitý certifikát vydán zvláštním subjektem, což se často projevuje na jeho ceně.
Druhým způsobem je využití dálkového přístupu k certifikátu. Jedná se o novinku zavedenou s přijetím nařízení eIDAS 2.0 – uživatel si podpisový certifikát uloží u vzdáleného správce, který mu jej zpřístupní jen a pouze na jeho žádost. Podle nařízení je tak naplněn požadavek pro výhradní kontrolu použití certifikátu a uživatel má méně starostí s držením svého certifikátu (např. si nemusí hlídat, aby neztratil čipovou kartu). Podmínkou však je, že správce certifikátu musí splňovat požadavky čl. 29a nařízení.
Posledním způsobem je pak vytváření krátkodobých podpisových certifikátů. Tyto certifikáty slouží k jednorázovému vytvoření podpisu a následně jsou zničeny. Krátká životnost certifikátu neohrozí platnost vytvořeného elektronického podpisu, pokud jsou k němu vložena časová razítka a další důkazy o platnosti certifikátu v době vytváření podpisu.
Novela v podobě nařízení eIDAS 2.0 ke konci tohoto roku umožní nové způsoby podepisování pro uživatele. Tou nejzásadnější je evropská peněženka digitální identity.
Evropská peněženka digitální identity je nový koncept, který by měl usnadnit všem obyvatelům Evropské unie pohyb v on-line prostředí, a to do konce roku 2026. Jedním z nástrojů je umožnění snadno a bezplatně podepisovat pomocí kvalifikovaného elektronického podpisu, a to nejméně pro neprofesionální účely. V Česku se podle dostupných zpráv termín zavedení sice nestihne, ale Digitální a informační agentura už nyní zveřejnila první návrhy certifikačních schémat.[5]
Až bude peněženka běžně dostupná, vytratí se prakticky pro fyzické osoby cenový rozdíl mezi zaručeným a kvalifikovaným elektronickým podpisem. Zaručený podpis ale pravděpodobně nezmizí, neboť bude i nadále použitelný zejména v podnikatelské praxi nebo v případech, kdy kvalifikovaná úroveň nebude potřeba.
Zaručený elektronický podpis nezávisí na tom, jak důkladně se uživatel ověří, ale na tom, kdo a čím podpis na dokumentu skutečně ověří. Silné ověření totožnosti je sice cenný krok, podpisem ale samo o sobě není. Pokud dokument podepisuje certifikát poskytovatele služby, jde o elektronickou pečeť, která může být užitečnou vrstvou ochrany, uživatelův podpis však nenahrazuje.
Nařízení eIDAS 2.0 přináší další změny, a to především evropskou peněženku digitální identity s bezplatným kvalifikovaným podpisem pro fyzické osoby. Společnosti však nemusí své řešení hned přebudovávat, ale měly by vědět, na čem jejich označení „zaručený“ skutečně stojí.
Pokud zvažujete změnu podpisového řešení nebo si nejste jisti, jak označit svůj produkt, rádi Vám poradíme.
[1] Nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES.
[2] Nařízení Evropského parlamentu a Rady (EU) 2024/1183 ze dne 11. dubna 2024, kterým se mění nařízení (EU) č. 910/2014, pokud jde o zřízení evropského rámce pro digitální identitu.
[3] Touto problematikou se zabýval např. Okresní soud v Chomutově (sp. zn. 7 C 339/2021) nebo Okresní soud v Ostravě (sp. zn. 30 C 365/2021).
[4] Může se jednat o klamavou reklamu podle § 2977 nebo klamavé označení služby podle § 2978 občanského zákoníku.
[5] Schémata jsou dostupná zde: https://www.dia.gov.cz/eudiw/cs/aktuality/digitalni-a-informacni-agentura-zverejnila-prvni-verejny-koncept-narodniho-certifikacniho-schematu-eudiw.
Mgr. Michal Buchta působí v Cisek na pozici advokátního koncipienta. Specializuje se na právo informačních a komunikačních technologií a kybernetickou bezpečnost.
.svg){kind=icon}
.svg){kind=icon}
