Ustawa o podpisie elektronicznym

Kwalifikowany podmiot świadczący usługi certyfikacyjne wydający kwalifikowane certyfikaty jest obowiązany:

Kwalifikowany podmiot świadczący usługi certyfikacyjne polegające na znakowaniu czasem jest obowiązany spełnić wymogi, o których mowa w ust. 1 pkt 3, 4 i 8, oraz używać systemów do znakowania czasem, tworzenia i przechowywania zaświadczeń certyfikacyjnych, w sposób zapewniający możliwość wprowadzania i zmiany danych jedynie osobom uprawnionym, a także zapewnić, że czas w nich określony jest czasem z chwili składania poświadczenia elektronicznego i uniemożliwiają one oznaczenie czasem innym niż w chwili wykonania usługi znakowania czasem.

Osoba wykonująca czynności związane ze świadczeniem usług certyfikacyjnych powinna:

Rada Ministrów może określić, w drodze rozporządzenia, szczegółowe warunki techniczne i organizacyjne, które muszą spełniać kwalifikowane podmioty świadczące usługi certyfikacyjne, w tym wymagania z zakresu ochrony fizycznej pomieszczeń, w których znajdują się informacje, o których mowa w art. 12 ust. 1, uwzględniając zakres stosowania wydawanych przez nie certyfikatów, wymagania ich ochrony oraz konieczność zapewnienia ochrony interesów odbiorców usług certyfikacyjnych.

Minister właściwy do spraw instytucji finansowych, w porozumieniu z ministrem właściwym do spraw gospodarki, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, szczegółowy zakres ubezpieczenia obowiązkowego, o którym mowa w ust. 1 pkt 4, termin powstania obowiązku ubezpieczenia oraz minimalną sumę gwarancyjną, biorąc w szczególności pod uwagę specyfikę wykonywanego zawodu oraz zakres realizowanych zadań.

Podmiot świadczący usługi certyfikacyjne odpowiada wobec odbiorców usług certyfikacyjnych, z zastrzeżeniem ust. 2 i 3, za wszelkie szkody spowodowane niewykonaniem lub nienależytym wykonaniem swych obowiązków w zakresie świadczonych usług, chyba że niewykonanie lub nienależyte wykonanie tych obowiązków jest następstwem okoliczności, za które podmiot świadczący usługi certyfikacyjne nie ponosi odpowiedzialności i którym nie mógł zapobiec mimo dołożenia należytej staranności.

Podmiot świadczący usługi certyfikacyjne nie odpowiada wobec odbiorców usług certyfikacyjnych za szkody wynikające z użycia certyfikatu poza zakresem określonym w polityce certyfikacji, która została wskazana w certyfikacie, w tym w szczególności za szkody wynikające z przekroczenia najwyższej wartości granicznej transakcji, jeżeli wartość ta została ujawniona w certyfikacie.

Podmiot świadczący usługi certyfikacyjne nie odpowiada wobec odbiorców usług certyfikacyjnych za szkodę wynikłą z nieprawdziwości danych zawartych w certyfikacie, wpisanych na wniosek osoby składającej podpis elektroniczny.

Podmiot świadczący usługi certyfikacyjne, który udzielił gwarancji za certyfikat zgodnie z art. 4 pkt 4, odpowiada wobec odbiorców usług certyfikacyjnych za wszelkie szkody spowodowane użyciem tego certyfikatu, chyba że szkoda wynikła z użycia certyfikatu poza zakresem określonym w polityce certyfikacji, która została wskazana w tym certyfikacie.

Informacje związane ze świadczeniem usług certyfikacyjnych, których nieuprawnione ujawnienie mogłoby narazić na szkodę podmiot świadczący usługi certyfikacyjne lub odbiorcę usług certyfikacyjnych, a w szczególności dane służące do składania poświadczeń elektronicznych, są objęte tajemnicą. Nie są objęte tajemnicą informacje o naruszeniach ustawy przez podmiot świadczący usługi certyfikacyjne.

Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane osoby:

Osoby, o których mowa w ust. 2, mają obowiązek udzielenia informacji, o których mowa w ust. 1, z wyjątkiem danych służących do składania poświadczeń elektronicznych, wyłącznie na żądanie:

Obowiązek zachowania tajemnicy, o której mowa w ust. 1, z zastrzeżeniem ust. 5, trwa przez okres 10 lat od ustania stosunków prawnych wymienionych w ust. 2.

Obowiązek zachowania tajemnicy danych służących do składania poświadczeń elektronicznych trwa bezterminowo.

Podmiot świadczący usługi certyfikacyjne, z zastrzeżeniem ust. 5 oraz art. 10 ust. 1 pkt 9, przechowuje i archiwizuje dokumenty i dane w postaci elektronicznej bezpośrednio związane z wykonywanymi usługami certyfikacyjnymi w sposób zapewniający bezpieczeństwo przechowywanych dokumentów i danych.

W przypadku kwalifikowanych podmiotów świadczących usługi certyfikacyjne obowiązek przechowania dokumentów i danych, o których mowa w ust. 1, trwa przez okres 20 lat od chwili powstania danego dokumentu lub danych.

W przypadku zaprzestania działalności przez kwalifikowany podmiot świadczący usługi certyfikacyjne, dokumenty i dane, o których mowa w ust. 1, przechowuje minister właściwy do spraw gospodarki albo wskazany przez niego podmiot. Za przechowywanie dokumentów i danych, o których mowa w ust. 1, minister właściwy do spraw gospodarki pobiera opłatę, nie wyższą jednak niż równowartość w złotych 1 euro za każdy wydany certyfikat, którego dokumentacja podlega przechowywaniu, obliczoną według kursu średniego ogłaszanego przez Narodowy Bank Polski, obowiązującego w dniu zaprzestania działalności przez kwalifikowany podmiot świadczący usługi certyfikacyjne. Opłata ta powinna być przeznaczona na sfinansowanie czynności, o których mowa w zdaniu pierwszym.

Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia, tryb uiszczania i wysokość opłat, o których mowa w ust. 3, uwzględniając ilość oraz planowane koszty przechowywania dokumentów i danych, o których mowa w ust. 1.

Podmiot świadczący usługi certyfikacyjne niszczy dane służące do składania poświadczeń elektronicznych niezwłocznie po unieważnieniu lub po upływie okresu ważności zaświadczenia certyfikacyjnego wykorzystywanego do weryfikacji tych poświadczeń.

Podmiot świadczący usługi certyfikacyjne wydaje certyfikat na podstawie umowy.

Podmiot świadczący usługi certyfikacyjne przed zawarciem umowy, o której mowa w ust. 1, jest obowiązany poinformować na piśmie lub w formie dokumentu elektronicznego w rozumieniu przepisów ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2013 r. poz. 235), w sposób jasny i powszechnie zrozumiały, o dokładnych warunkach użycia tego certyfikatu, w tym o sposobie rozpatrywania skarg i sporów, a w szczególności o istotnych jego warunkach obejmujących:

W przypadku wydawania certyfikatów niebędących certyfikatami kwalifikowanymi, informacja, o której mowa w ust. 2, powinna również zawierać wskazanie, że podpis elektroniczny weryfikowany przy pomocy tego certyfikatu nie wywołuje skutków prawnych równorzędnych podpisowi własnoręcznemu.

Podmiot świadczący usługi certyfikacyjne jest obowiązany udostępnić, na wniosek każdego, istotne elementy informacji, o której mowa w ust. 2.

Przed zawarciem umowy o świadczenie usług certyfikacyjnych, której przedmiotem jest wydawanie kwalifikowanego certyfikatu, kwalifikowany podmiot świadczący usługi certyfikacyjne jest obowiązany uzyskać potwierdzenie zapoznania się z informacją, o której mowa w ust. 2, w formie pisemnej lub za pomocą środków komunikacji elektronicznej w rozumieniu art. 2 pkt 5 ustawy z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną (Dz. U. z 2013 r. poz. 1422).

Podmiot świadczący usługi certyfikacyjne, z zastrzeżeniem art. 10 ust. 1 pkt 2, może korzystać z notarialnego potwierdzenia tożsamości odbiorców usług certyfikacyjnych, jeżeli przewiduje to określona polityka certyfikacji.

Podmiot świadczący usługi certyfikacyjne, wydając kwalifikowane certyfikaty, jest obowiązany stosować takie procedury ich wydawania, aby uzyskać od osoby ubiegającej się o certyfikat pisemną zgodę na stosowanie danych służących do weryfikacji jej podpisu elektronicznego, które są zawarte w wydanym certyfikacie.

Bezpieczne urządzenie służące do składania podpisu elektronicznego powinno co najmniej:

Bezpieczne urządzenie służące do weryfikacji podpisu elektronicznego powinno spełniać następujące wymagania:

Rada Ministrów określi, w drodze rozporządzenia, szczegółowe warunki techniczne, jakim powinny odpowiadać bezpieczne urządzenia do składania podpisów elektronicznych oraz bezpieczne urządzenia do weryfikacji podpisów elektronicznych, uwzględniając potrzebę zapewnienia nienaruszalności i poufności danych opatrzonych takim podpisem.

Badania zgodności urządzeń, o których mowa w ust. 1 i 2, z wymaganiami ustawy odbywają się zgodnie z odrębnymi przepisami.

Agencja Bezpieczeństwa Wewnętrznego lub Służba Kontrwywiadu Wojskowego, zgodnie z właściwością określoną w przepisach o ochronie informacji niejawnych, dokonują oceny przydatności urządzeń, o których mowa w ust. 1 i 2, do ochrony informacji niejawnych i wydają stosowne certyfikaty bezpieczeństwa.

Kwalifikowany certyfikat zawiera co najmniej następujące dane:

Podmiot świadczący usługi certyfikacyjne, wydając kwalifikowany certyfikat, jest obowiązany zawrzeć w tym certyfikacie inne dane niż wymienione w ust. 1 na wniosek osoby składającej podpis elektroniczny, a w szczególności wskazanie, czy osoba ta działa:

Podmiot świadczący usługi certyfikacyjne, wydając kwalifikowany certyfikat, potwierdza prawdziwość danych, o których mowa w ust. 2, i powiadamia podmioty, o których mowa w ust. 2 pkt 2–4, o treści certyfikatu oraz poucza o możliwości unieważnienia certyfikatu na ich wniosek.

Certyfikat jest ważny w okresie w nim wskazanym.

Podmiot świadczący usługi certyfikacyjne unieważnia certyfikat kwalifikowany przed upływem okresu jego ważności, jeżeli:

Unieważnienie certyfikatu zgodnie z ust. 2 pkt 2 nie wyłącza odpowiedzialności podmiotu świadczącego usługi certyfikacyjne za szkodę względem osoby składającej podpis elektroniczny.

W przypadku istnienia uzasadnionego podejrzenia, że istnieją przesłanki do unieważnienia kwalifikowanego certyfikatu, podmiot świadczący usługi certyfikacyjne jest obowiązany niezwłocznie zawiesić certyfikat i podjąć działania niezbędne do wyjaśnienia tych wątpliwości.

Zawieszenie kwalifikowanego certyfikatu nie może trwać dłużej niż 7 dni.

Po upływie okresu wymienionego w ust. 5, w przypadku niemożności wyjaśnienia wątpliwości, podmiot świadczący usługi certyfikacyjne niezwłocznie unieważnia kwalifikowany certyfikat.

Certyfikat, który został zawieszony, może zostać następnie unieważniony lub jego zawieszenie może zostać uchylone.

Certyfikat, który został unieważniony, nie może być następnie uznany za ważny.

Minister właściwy do spraw gospodarki składa żądanie, o którym mowa w ust. 2 pkt 6, jeżeli zachodzą przesłanki określone w ust. 2 pkt 1–4 i pkt 7.

O unieważnieniu lub zawieszeniu certyfikatu podmiot świadczący usługi certyfikacyjne zawiadamia niezwłocznie osobę składającą podpis elektroniczny weryfikowany na jego podstawie.

Zawieszenie lub unieważnienie certyfikatu nie może następować z mocą wsteczną.

Podmiot świadczący usługi certyfikacyjne publikuje listę zawieszonych i unieważnionych certyfikatów.

Informacje o zawieszeniu lub unieważnieniu certyfikatu umieszcza się na każdej liście zawieszonych i unieważnionych certyfikatów publikowanej przed dniem upływu okresu ważności certyfikatu oraz na pierwszej liście publikowanej po upływie tego okresu.

Lista zawieszonych i unieważnionych kwalifikowanych certyfikatów powinna zawierać w szczególności:

Podmiot świadczący usługi certyfikacyjne publikuje informacje o zawieszeniu i unieważnieniu certyfikatu na liście, o której mowa w ust. 1, zgodnie z odpowiednią polityką certyfikacji, jednak nie później niż w ciągu 1 godziny od unieważnienia lub zawieszenia certyfikatu.

Zawieszenie i unieważnienie certyfikatu wywołuje skutki prawne od momentu, o którym mowa w ust. 3 pkt 6, który nie może być wcześniejszy niż data i czas publikacji poprzedniej listy zawieszonych i unieważnionych certyfikatów.

Podmiot świadczący usługi certyfikacyjne lub zamierzający podjąć taką działalność może wystąpić o wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne.

Świadczenie usług certyfikacyjnych w charakterze kwalifikowanego podmiotu świadczącego usługi certyfikacyjne wymaga uzyskania wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne i uzyskania zaświadczenia certyfikacyjnego wykorzystywanego do weryfikowania poświadczeń elektronicznych tego podmiotu, wydanego przez ministra właściwego do spraw gospodarki, z zastrzeżeniem ust. 4 i 5.

Minister właściwy do spraw gospodarki publikuje, w postaci elektronicznej, listę wydanych zaświadczeń certyfikacyjnych, o których mowa w ust. 2, oraz dane służące do weryfikacji wydanych przez siebie zaświadczeń certyfikacyjnych.

Minister właściwy do spraw gospodarki może, w trybie przepisów o zamówieniach publicznych, powierzyć podmiotowi świadczącemu usługi certyfikacyjne wytwarzanie i wydawanie zaświadczeń certyfikacyjnych, o których mowa w ust. 2, publikację listy, o której mowa w ust. 3, oraz danych służących do weryfikacji wydanych zaświadczeń certyfikacyjnych.

Minister właściwy do spraw gospodarki, na wniosek Prezesa Narodowego Banku Polskiego, upoważnia Narodowy Bank Polski lub wskazany we wniosku podmiot pozostający z Narodowym Bankiem Polskim w stosunku zależności do wykonywania usług, o których mowa w ust. 4. Upoważnienie dla podmiotu zależnego wygasa z mocy prawa w przypadku ustania stosunku zależności od Narodowego Banku Polskiego.

Podmioty, o których mowa w ust. 4 i 5, muszą spełniać wymagania ustawy dla kwalifikowanych podmiotów świadczących usługi certyfikacyjne w zakresie bezpieczeństwa, wydawania, przechowywania i unieważniania certyfikatów i nie mogą świadczyć usług certyfikacyjnych polegających na wydawaniu certyfikatów.

W przypadkach, o których mowa w ust. 4 i 5, minister właściwy do spraw gospodarki, dokonując wpisu do rejestru, o którym mowa w ust. 1, wskazuje podmiotowi świadczącemu usługi certyfikacyjne nazwę i siedzibę podmiotu upoważnionego do wytwarzania i wydawania zaświadczeń certyfikacyjnych.

Wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne dokonuje się na wniosek podmiotu, który zamierza świadczyć lub świadczy usługi certyfikacyjne.

Wniosek o dokonanie wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne powinien zawierać:

Oświadczenia, o których mowa w ust. 2 pkt 4 i 6, składa się pod rygorem odpowiedzialności karnej za składanie fałszywych oświadczeń. Składający oświadczenie jest obowiązany do zawarcia w nim klauzuli następującej treści: „Jestem świadomy odpowiedzialności karnej za złożenie fałszywego oświadczenia.”. Klauzula ta zastępuje pouczenie organu o odpowiedzialności karnej za składanie fałszywych oświadczeń.

Przepisów ust. 2 pkt 4, 9 i 13 nie stosuje się do wniosku składanego przez organ władzy publicznej lub Narodowy Bank Polski.

W przypadku braków we wniosku, minister właściwy do spraw gospodarki wzywa wnioskodawcę do jego uzupełnienia, wyznaczając termin nie krótszy niż 7 dni.

Termin, o którym mowa w ust. 4, może zostać przedłużony na umotywowany wniosek wnioskodawcy złożony przed upływem tego terminu.

Nieuzupełnienie wniosku w wyznaczonym terminie skutkuje odrzuceniem wniosku.

Za rozpatrzenie wniosku o dokonanie wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne pobiera się opłatę. Uiszczona opłata nie podlega zwrotowi.

Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia:

Minister właściwy do spraw gospodarki, po przeprowadzeniu kontroli, dokonuje wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne albo wydaje decyzję o odmowie dokonania wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne w terminie 2 miesięcy od dnia złożenia wniosku spełniającego wymogi określone w art. 24 ust. 2.

Uzyskanie wpisu do rejestru, o którym mowa w ust. 1, przez podmiot świadczący usługi certyfikacyjne stanowi potwierdzenie, że jest on instytucją posiadającą wystarczający potencjał merytoryczny i techniczny dla wystawcy kwalifikowanych certyfikatów i spełnia wymagania określone w ustawie.

Decyzja o dokonaniu wpisu powinna w szczególności określać nazwę polityki certyfikacji, w ramach której dany podmiot może wydawać kwalifikowane certyfikaty lub świadczyć inne usługi związane z podpisem elektronicznym.

Minister właściwy do spraw gospodarki odmawia dokonania wpisu do rejestru, o którym mowa w ust. 1, jeżeli:

Wpis kwalifikowanego podmiotu świadczącego usługi certyfikacyjne do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne obejmuje:

Podmiot, który uzyskał wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, ma obowiązek, w terminie 30 dni od dnia doręczenia decyzji o dokonaniu wpisu, doręczyć dowód zawarcia umowy, o której mowa w art. 10 ust. 1 pkt 4, oraz przedstawić informacje, o których mowa w ust. 1 pkt 5.

Minister właściwy do spraw gospodarki niezwłocznie po uzyskaniu informacji, o których mowa w ust. 1 pkt 5, uzupełnia o nie wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne.

Jeżeli podmiot, który uzyskał wpis do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne, nie wywiąże się w terminie z obowiązku, o którym mowa w ust. 2, minister właściwy do spraw gospodarki wydaje decyzję o wykreśleniu wpisu w rejestrze kwalifikowanych podmiotów świadczących usługi certyfikacyjne.

Po dokonaniu wpisu do rejestru kwalifikowanych podmiotów świadczących usługi certyfikacyjne minister właściwy do spraw gospodarki niezwłocznie, jednak nie wcześniej niż w dniu wywiązania się przez podmiot świadczący usługi certyfikacyjne z obowiązku, o którym mowa w ust. 2, wydaje zaświadczenie certyfikacyjne, o którym mowa w art. 23 ust. 2.

Minister właściwy do spraw gospodarki wydaje decyzję o wykreśleniu wpisu w rejestrze kwalifikowanych podmiotów świadczących usługi certyfikacyjne, jeżeli podmiot świadczący usługi certyfikacyjne:

W przypadku, o którym mowa w ust. 1 pkt 1, minister właściwy do spraw gospodarki może, zamiast wydania decyzji, wezwać podmiot świadczący usługi certyfikacyjne, aby w określonym terminie usunął stwierdzone niezgodności i doprowadził swoją działalność do stanu zgodnego z przepisami ustawy.

Wydając decyzję, o której mowa w ust. 1, minister właściwy do spraw gospodarki może unieważnić zaświadczenie certyfikacyjne, o którym mowa w art. 23 ust. 2, i umieścić je na liście unieważnionych zaświadczeń certyfikacyjnych kwalifikowanych podmiotów świadczących usługi certyfikacyjne. Przepisy dotyczące listy unieważnionych certyfikatów, o której mowa w art. 22, stosuje się odpowiednio.

Unieważnienie zaświadczenia certyfikacyjnego, o którym mowa w art. 23 ust. 2, wykorzystywanego do weryfikacji poświadczeń elektronicznych składanych przez kwalifikowane podmioty świadczące usługi certyfikacyjne, powoduje nieważność tych poświadczeń, chyba że zostanie udowodnione, że poświadczenie zostało złożone przed unieważnieniem zaświadczenia certyfikacyjnego.

Unieważnienie poświadczenia elektronicznego, o którym mowa w ust. 4, wykorzystywanego do weryfikacji ważności certyfikatów wydanych przez kwalifikowany podmiot świadczący usługi certyfikacyjne, powoduje nieważność tych certyfikatów.

W przypadku unieważnienia poświadczenia elektronicznego, o którym mowa w ust. 4, wykorzystywanego do weryfikacji ważności usługi znakowania czasem świadczonej przez kwalifikowany podmiot świadczący usługi certyfikacyjne, art. 7 ust. 2 i 3 nie stosuje się.

Kontrolę przeprowadzają pracownicy ministerstwa zapewniającego obsługę ministra właściwego do spraw gospodarki, zwani dalej „kontrolerami”, po okazaniu legitymacji służbowej oraz doręczeniu upoważnienia do przeprowadzenia kontroli.

Kontroler, przy wykonywaniu czynności kontrolnych, może korzystać z pomocy osoby niebędącej pracownikiem ministerstwa, o ile jest to niezbędne do przeprowadzenia kontroli.

Imienne upoważnienia do przeprowadzenia kontroli wydaje minister właściwy do spraw gospodarki albo z jego upoważnienia dyrektor komórki organizacyjnej ministerstwa zapewniającego obsługę ministra właściwego do spraw gospodarki.

Upoważnienie, o którym mowa w ust. 1, zawiera co najmniej:

Z upoważnienia ministra właściwego do spraw gospodarki kontrolę, o której mowa w ust. 1, mogą przeprowadzić również kontrolerzy, którzy są pracownikami podmiotu, o którym mowa w art. 23 ust. 5.

W przypadku gdy kontrola odbywa się na podstawie upoważnienia ministra właściwego do spraw gospodarki, podmiotowi oraz jednostce certyfikującej, o których mowa w ust. 5, należy się wynagrodzenie za przeprowadzoną kontrolę.

Minister właściwy do spraw gospodarki określi, w drodze rozporządzenia, zasady wynagradzania za przeprowadzenie kontroli, na podstawie upoważnienia ministra do kontroli, uwzględniając zakres i rodzaj kontroli oraz uzasadnione koszty jej przeprowadzenia.