zákon o elektronickém podpisu

§ 6 Povinnosti poskytovatele Kvalifikovaný poskytovatel certifikačních služeb vydávajícího kvalifikované certifikáty (1) Poskytovatel Kvalifikovaný poskytovatel certifikačních služeb, který vydává kvalifikované certifikáty, je povinen a) zajistit, aby certifikáty jím vydané jako kvalifikované obsahovaly všechny náležitosti kvalifikovaných certifikátů stanovené tímto zákonem, b) zajistit, aby údaje uvedené v kvalifikovaných certifikátech byly přesné, pravdivé a úplné, c) před vydáním kvalifikovaného certifikátu bezpečně ověřit odpovídajícími prostředky totožnost osoby, které kvalifikovaný certifikát vydává, případně i její zvláštní znaky, vyžaduje-li to účel kvalifikovaného certifikátu, d) zjistit, zda v okamžiku vydání kvalifikovaného certifikátu měla podepisující osoba data pro vytváření elektronických podpisů odpovídající datům pro ověřování elektronických podpisů, která obsahuje kvalifikovaný certifikát, e) zajistit, aby se každý mohl ujistit o jeho identitě poskytovatele certifikačních služeb a jeho kvalifikovaném systémovém certifikátu, f) zajistit provozování bezpečného na jehož základě označuje vydané kvalifikované certifikáty nebo kvalifikované systémové certifikáty a veřejně přístupného seznamu vydaných kvalifikovaných seznamy certifikátů, a to i dálkovým přístupem, a údaje v něm obsažené při každé změně okamžitě aktualizovat, g) zajistit provozování bezpečného a veřejně přístupného seznamu kvalifikovaných certifikátů, které byly zneplatněny, a to i dálkovým přístupem nebo kvalifikovaná časová razítka, h b) zajistit, aby datum a čas poskytování kvalifikovaných certifikačních služeb vykonávaly osoby s uvedením hodiny, minuty odbornými znalostmi a sekundy, kdy je kvalifikovaný certifikát vydán nebo zneplatněn, mohly být přesně určeny a tyto údaje byly dostupné třetím stranám, i) přijímat do pracovního nebo obdobného poměru osoby, které mají odborné znalosti, zkušenosti a kvalifikaci kvalifikací nezbytnou pro poskytované poskytování kvalifikované certifikační služby, a které jsou obeznámeny obeznámené s příslušnými bezpečnostními postupy, j c) používat bezpečné systémy a bezpečné nástroje elektronického podpisu a, zajistit dostatečnou bezpečnost postupů, které tyto systémy a nástroje podporují, a zajistit dostatečnou kryptografickou bezpečnost těchto nástrojů; nástroj elektronického podpisu je bezpečný systémy a nástroje jsou považovány za bezpečné, pokud odpovídá odpovídají požadavkům stanoveným tímto zákonem a prováděcí vyhláškou; toto musí být ověřeno Ministerstvem informatiky, nebo pokud splňují požadavky technických norem uvedených v rozhodnutí Komise vydaném na základě článku 3 (dále jen „ministerstvo“5) směrnice 99/93/ES, k d) přijmout odpovídající opatření proti zneužití a padělání používat bezpečné systémy pro uchovávání kvalifikovaných certifikátů a zajistit utajení dat pro vytváření zaručených elektronických podpisů kvalifikovaných systémových certifikátů nebo kvalifikovaných časových razítek v případě ověřitelné podobě takovým způsobem, že poskytovatel certifikačních služeb umožňuje podepisující osobě aby záznamy nebo jejich vytvoření v rámci poskytovaných služeb změny mohly provádět pouze pověřené osoby, l aby bylo možno kontrolovat správnost záznamů a aby jakékoliv technické nebo programové změny porušující tyto bezpečnostní požadavky byly zjevné, e) mít po celou dobu své činnosti k dispozici dostatečné finanční zdroje nebo jiné finanční zajištění na provoz v souladu s požadavky uvedenými v tomto zákoně a s ohledem na riziko vzniku odpovědnosti za škody škodu, m f) uchovávat veškeré informace a dokumentaci o vydaných kvalifikovaných certifikátech po dobu nejméně 10 let od ukončení platnosti kvalifikovaného certifikátu; informace a dokumentaci může uchovávat v elektronické podobě, n) před uzavřením smluvního vztahu smlouvy o poskytování kvalifikovaných certifikačních služeb s osobou, která žádá o vydání kvalifikovaného certifikátu poskytování služeb podle tohoto zákona, informovat ji tuto osobu písemně o přesných podmínkách pro užívání kvalifikovaného certifikátu využívání kvalifikovaných certifikačních služeb, včetně případných omezení pro jeho jejich použití, a o podmínkách reklamací; je rovněž povinen tuto osobu informovat a řešení vzniklých sporů a o tom, zda je, či není akreditován ministerstvem Ministerstvem informatiky (dále jen „ministerstvo“) podle § 10; tyto informace lze předat elektronicky; podstatné části těchto informací musí být na vyžádání k dispozici třetím osobám, které se spoléhají na tento kvalifikovaný certifikát, o) používat bezpečný systém pro uchovávání kvalifikovaných certifikátů v ověřitelné podobě takovým způsobem, aby záznamy nebo jejich změny mohly provádět pouze pověřené osoby, aby bylo možno kontrolovat správnost záznamů a aby jakékoliv technické nebo programové změny porušující tyto bezpečnostní požadavky byly zjevné. (2) Poskytovatel Není-li poskytovatel certifikačních služeb akreditován ministerstvem, který vydává kvalifikované certifikáty, vydává podepisujícím osobám kvalifikované certifikáty na základě smlouvy. Smlouva musí být písemná, jinak je neplatná. (3) Poskytovatel certifikačních služeb, který vydává povinen ohlásit ministerstvu nejméně 30 dnů před zahájením poskytování kvalifikované certifikáty certifikační služby, nesmí uchovávat že ji bude poskytovat, a kopírovat data pro vytváření zaručeného elektronického podpisu osob okamžik, kterým poskytuje své certifikační služby kdy její poskytování zahájí. Zároveň předá ministerstvu k ověření svůj kvalifikovaný systémový certifikát uvedený v odstavci 1 písm. a). (43) Pokud byla kvalifikovanému poskytovateli certifikačních služeb, který vydává kvalifikované certifikáty získal akreditaci podle § 10 tohoto zákona, akreditace ministerstvem odňata, je povinen bez prodlení informovat o této skutečnosti subjekty, kterým poskytuje své kvalifikované certifikační služby, a uvést tuto skutečnost v seznamech vedených podle odstavce 1 písm další dotčené osoby. f) a g). (54) Není-li Kvalifikovaný poskytovatel certifikačních služeb akreditován ministerstvem, je povinen ohlásit ministerstvu nejméně 30 dnů před vydáním prvního kvalifikovaného certifikátu, že bude vydávat kvalifikované certifikáty. (6) Pokud poskytovatel certifikačních služeb, který vydává kvalifikované certifikáty, uvede v kvalifikovaném certifikátu omezení pro použití poskytuje služby podle tohoto certifikátu včetně omezení hodnoty transakce, pro kterou lze kvalifikovaný certifikát použít, musí být tato omezení rozpoznatelná třetími stranami. (7) Poskytovatel certifikačních služeb, který vydává kvalifikované certifikáty, musí neprodleně ukončit platnost certifikátu, pokud o to podepisující osoba požádá, nebo v případě, že byl certifikát vydán zákona na základě nepravdivých nebo chybných údajů smlouvy. (8) Poskytovatel certifikačních služeb Smlouva musí rovněž ukončit platnost kvalifikovaného certifikátu, dozví-li se prokazatelně, že podepisující osoba zemřela nebo ji soud způsobilosti k právním úkonům zbavil nebo omezil,2) nebo pokud údaje, na základě kterých byl certifikát vydán, přestaly platit být písemná. (95) O veškeré činnosti poskytovatele Kvalifikovaný poskytovatel certifikačních služeb uchovává informace a dokumentaci související s poskytovanými kvalifikovanými certifikačními službami podle tohoto zákona, který vydává kvalifikované certifikáty, musí být vedena provozní dokumentace, která musí obsahovat tyto údaje: zejména a) smlouvu s podepisující osobou o vydání kvalifikovaného certifikátu poskytování kvalifikované certifikační služby, včetně žádosti o poskytování služby, b) vydaný kvalifikovaný certifikát, vydaný kvalifikovaný systémový certifikát nebo vydané kvalifikované časové razítko, c) kopie předložených osobních dokladů podepisující osoby nebo dokladů, na jejichž základě byla ověřena identita označující osoby, d) potvrzení o převzetí kvalifikovaného certifikátu podepisující osobou nebo kvalifikovaného systémového certifikátu držitelem, případně jeho souhlas se zveřejněním kvalifikovaného certifikátu v seznamu vydaných kvalifikovaných certifikátů, e) přesné časové určení doby platnosti prohlášení držitele certifikátu o tom, že mu byly poskytnuty informace podle odstavce 1 písm. f), f) dokumenty a záznamy související s životním cyklem vydaného kvalifikovaného certifikátu nebo kvalifikovaného systémového certifikátu, jejichž náležitosti upřesní prováděcí vyhláška. (106) Veškeré informace a dokumentaci o poskytovaných službách podle tohoto zákona uchovává kvalifikovaný poskytovatel certifikačních služeb po dobu nejméně 10 let. Kvalifikovaný poskytovatel je povinen zajistit uchovávané informace a dokumentaci před ztrátou, zneužitím, zničením nebo poškozením za podmínek, které upřesní prováděcí vyhláška. Informace a dokumentaci podle věty první může kvalifikovaný poskytovatel certifikačních služeb pořizovat a uchovávat v elektronické podobě. Pokud tento zákon nestanoví jinak, postupuje se při nakládání s informacemi a dokumentací podle zvláštního právního předpisu.2) (7) Zaměstnanci kvalifikovaného poskytovatele certifikačních služeb, který vydává kvalifikované certifikáty, případně jiné fyzické osoby, které přicházejí do styku s osobními údaji a daty pro vytváření elektronických podpisů podepisujících osob a elektronických značek označujících osob, jsou povinni zachovávat mlčenlivost o osobních těchto údajích, a datech pro vytváření elektronických podpisů a o bezpečnostních opatřeních, jejichž zveřejnění by ohrozilo zabezpečení osobních těchto údajů a dat pro vytváření elektronických podpisů. Povinnost mlčenlivosti trvá i po skončení zaměstnání pracovního nebo jiného obdobného poměru nebo po provedení příslušných prací; uvedené osoby může zbavit mlčenlivosti ten, v jehož zájmu tuto povinnost mají, nebo soud.