Zákon, kterým se mění zákon č. 227/2000 Sb., o elektronickém podpisu a o změně některých dalších zákonů (zákon o elektronickém podpisu), ve znění pozdějších předpisů

(1) Certifikát, který je vydán poskytovatelem certifikačních služeb usazeným v některém z členských států Evropské unie jako kvalifikovaný, je kvalifikovaným certifikátem ve smyslu tohoto zákona.

(2) Certifikát, který je vydán jako kvalifikovaný ve smyslu tohoto zákona v jiném než členském státu Evropské unie, je kvalifikovaným certifikátem ve smyslu tohoto zákona, pokud

a) poskytovatel certifikačních služeb splňuje podmínky práva Evropských společenství1) a byl akreditován k působení jako akreditovaný poskytovatel certifikačních služeb v některém z členských států Evropské unie,

b) poskytovatel certifikačních služeb usazený v některém z členských států Evropské unie, který splňuje podmínky práva Evropských společenství,1) převezme odpovědnost za platnost a správnost certifikátu ve stejném rozsahu jako u svých kvalifikovaných certifikátů, nebo

c) to vyplývá z mezinárodní smlouvy.“.

48. Nadpis § 17 zní: „Prostředky pro bezpečné vytváření a ověřování elektronických podpisů“.

49. V § 17 se za odstavec 2 vkládá nový odstavec 3, který zní:

„(3) Prostředky pro bezpečné vytváření elektronických podpisů musí být před svým použitím bezpečným způsobem vydány a data pro vytváření elektronických podpisů musí být důvěryhodným způsobem v těchto prostředcích vytvořena nebo do nich přidána.“.

Dosavadní odstavec 3 se označuje jako odstavec 4.

50. Za § 17 se vkládá nový § 17a, který včetně nadpisu zní:

(1) Prostředek pro vytváření elektronických značek musí za pomoci odpovídajících technických a programových prostředků a postupů minimálně zajistit, že

a) data pro vytváření elektronických značek jsou dostatečným způsobem utajena a jsou označující osobou spolehlivě chráněna proti zneužití třetí osobou,

b) označující osoba je informována, že zahajuje používání tohoto prostředku.

(2) Prostředek pro vytváření elektronických značek musí být nastaven tak, aby i bez další kontroly označující osoby označil právě a pouze ty datové zprávy, které označující osoba k označení zvolí.

(3) Prostředek pro vytváření elektronických značek musí být chráněn proti neoprávněné změně a musí zaručovat, že jakákoli jeho změna bude patrná označující osobě.“.

51. § 18 včetně nadpisu zní:

(1) Kvalifikovanému poskytovateli certifikačních služeb, který

a) nezajistí, aby se každý mohl ujistit o jeho identitě a jeho kvalifikovaném systémovém certifikátu podle § 6 odst. 1 písm. a),

b) nezajistí, aby poskytování kvalifikovaných certifikačních služeb vykonávaly osoby s odbornými znalostmi a kvalifikací nezbytnými pro poskytované kvalifikované certifikační služby a obeznámené s příslušnými bezpečnostními postupy,

c) nezajištěním dostatečné bezpečnosti používaných systémů a nástrojů elektronického podpisu a postupů, které tyto systémy a nástroje podporují podle § 6 odst. 1 písm. c) a d), ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

d) nedisponuje dostatečnými finančními zdroji nebo jiným finančním zajištěním na provoz podle § 6 odst. 1 písm. e), a tím ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

e) nesplní informační povinnost podle § 6 odst. 1 písm. f), § 6 odst. 3 nebo § 13 odst. 1,

f) nesplní ohlašovací povinnost podle § 6 odst. 2, včetně předání kvalifikovaného systémového certifikátu k ověření nebo podle § 13 odst. 1 nebo 2,

g) poskytne certifikační služby na základě jiné než písemné smlouvy,

h) neuchovává informace a dokumentaci podle § 6 odst. 5,

i) neuchovává veškeré informace a dokumentaci podle § 6 odst. 6 po dobu nejméně 10 let, nebo

j) nezajistí uchovávané informace a dokumentaci před ztrátou, zneužitím, zničením nebo poškozením podle § 6 odst. 6,

se uloží pokuta do výše 10 000 000 Kč.

(2) Kvalifikovanému poskytovateli certifikačních služeb, který vydává kvalifikované certifikáty nebo kvalifikované systémové certifikáty a který

a) nezajistí, aby certifikáty jím vydané jako kvalifikované obsahovaly všechny náležitosti stanovené tímto zákonem,

b) nezajistí, aby údaje uvedené v certifikátech vydaných jako kvalifikované byly přesné, pravdivé a úplné,

c) neověří identitu osoby podle § 6a odst. 1 písm. c),

d) nezajistí soulad dat podle § 6a odst. 1 písm. d),

e) nezajistí provozování bezpečného a veřejně přístupného seznamu certifikátů vydaných jako kvalifikované a nezajistí jeho dostupnost a aktualizaci podle § 6a odst. 1 písm. e),

f) nezajistí provozování bezpečného a veřejně přístupného seznamu certifikátů vydaných jako kvalifikované, které byly zneplatněny, a to i dálkovým přístupem,

g) nezajistí, aby datum a čas s uvedením hodiny, minuty a sekundy, kdy je certifikát vydaný jako kvalifikovaný vydán nebo zneplatněn, mohly být přesně určeny,

h) nepřijetím odpovídajících opatření proti zneužití a padělání certifikátů vydaných jako kvalifikované ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

i) nesplní informační povinnost podle § 6a odst. 1 písm. i),

j) nezajistí soulad a utajení dat podle § 6a odst. 2, pokud tato data pro podepisující nebo označující osobu vytváří,

k) kopíruje a uchovává data podle § 6a odst. 2, pokud tato data pro podepisující nebo označující osobu vytváří, nebo

l) nezneplatní certifikát podle § 6a odst. 3 a 4,

se uloží pokuta do výše 10 000 000 Kč.

(3) Kvalifikovanému poskytovateli certifikačních služeb, který vydává kvalifikovaná časová razítka a který

a) nezajistí, aby časová razítka jím vydávaná jako kvalifikovaná obsahovala všechny náležitosti stanovené v § 12b,

b) nezajistí, aby časový údaj vložený do kvalifikovaného časového razítka odpovídal hodnotě koordinovaného světového času při vytváření kvalifikovaného časového razítka,

c) nezajistí, aby data v elektronické podobě, která jsou předmětem žádosti o vydání kvalifikovaného časového razítka, odpovídala datům v elektronické podobě obsaženým ve vydaném kvalifikovaném časovém razítku,

d) nepřijme odpovídající opatření proti padělání kvalifikovaných časových razítek, a tím ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

e) nesplní informační povinnost podle § 6b odst. 1 písm. e), nebo

f) nevydá kvalifikované časové razítko neprodleně po přijetí žádosti o jeho vydání,

se uloží pokuta do výše 10 000 000 Kč.

(4) Kvalifikovanému poskytovateli certifikačních služeb, který vydává prostředky pro bezpečné vytváření elektronických podpisů a který

a) nevydá prostředky pro bezpečné vytváření elektronických podpisů bezpečně podle § 17 odst. 3, nebo

b) nevytvoří v těchto prostředcích nebo nepřidá do těchto prostředků data pro vytváření elektronických podpisů důvěryhodným způsobem podle § 17 odst. 3,

se uloží pokuta do výše 10 000 000 Kč.

(5) Akreditovanému poskytovateli certifikačních služeb, který nesplní oznamovací povinnost podle § 10a odst. 2, se uloží pokuta do výše 10 000 000 Kč.

(6) Akreditovanému poskytovateli certifikačních služeb, který poruší zákaz vydaný ministerstvem podle § 10a odst. 5, se uloží pokuta do výše 10 000 000 Kč. “.

52. Za § 18 se vkládá nový § 18a, který včetně nadpisu zní:

(1) Kvalifikovaný poskytovatel certifikačních služeb se dopustí přestupku tím, že

a) nezajistí, aby se každý mohl ujistit o jeho identitě a jeho kvalifikovaném systémovém certifikátu podle § 6 odst. 1 písm. a),

b) nezajistí, aby poskytování kvalifikovaných certifikačních služeb vykonávaly osoby s odbornými znalostmi a kvalifikací nezbytnými pro poskytované kvalifikované certifikační služby a obeznámené s příslušnými bezpečnostními postupy,

c) nezajištěním dostatečné bezpečnosti používaných systémů a nástrojů elektronického podpisu a postupů, které tyto systémy a nástroje podporují podle § 6 odst. 1 písm. c) a písm. d), ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

d) nedisponuje dostatečnými finančními zdroji nebo jiným finančním zajištěním na provoz podle § 6 odst. 1 písm. e), a tím ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

e) nesplní informační povinnost podle § 6 odst. 1 písm. f), § 6 odst. 3 nebo § 13 odst. 1,

f) nesplní ohlašovací povinnost podle § 6 odst. 2, včetně předání kvalifikovaného systémového certifikátu k ověření nebo podle § 13 odst. 1 nebo 2,

g) poskytne certifikační služby na základě jiné než písemné smlouvy,

h) neuchovává informace a dokumentaci podle § 6 odst. 5,

i) neuchovává veškeré informace a dokumentaci podle § 6 odst. 6 po dobu nejméně 10 let, nebo

j) nezajistí uchovávané informace a dokumentaci před ztrátou, zneužitím, zničením nebo poškozením podle § 6 odst. 6.

(2) Kvalifikovaný poskytovatel certifikačních služeb, který vydává kvalifikované certifikáty nebo kvalifikované systémové certifikáty, se dopustí přestupku tím, že

a) nezajistí, aby certifikáty jím vydané jako kvalifikované obsahovaly všechny náležitosti stanovené tímto zákonem,

b) nezajistí, aby údaje uvedené v certifikátech vydaných jako kvalifikované byly přesné, pravdivé a úplné,

c) neověří identitu osoby podle § 6a odst. 1 písm. c),

d) nezajistí soulad dat podle § 6a odst. 1 písm. d),

e) nezajistí provozování bezpečného a veřejně přístupného seznamu certifikátů vydaných jako kvalifikované a nezajistí jeho dostupnost a aktualizaci podle § 6a odst. 1 písm. e),

f) nezajistí provozování bezpečného a veřejně přístupného seznamu certifikátů vydaných jako kvalifikované, které byly zneplatněny, a to i dálkovým přístupem,

g) nezajistí, aby datum a čas s uvedením hodiny, minuty a sekundy, kdy je certifikát vydaný jako kvalifikovaný vydán nebo zneplatněn, mohly být přesně určeny,

h) nepřijetím odpovídajících opatření proti zneužití a padělání certifikátů vydaných jako kvalifikované ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

i) nesplní informační povinnost podle § 6a odst. 1 písm. i),

j) nezajistí soulad a utajení dat podle § 6a odst. 2, pokud tato data pro podepisující nebo označující osobu vytváří,

k) kopíruje a uchovává data podle § 6a odst. 2, pokud tato data pro podepisující nebo označující osobu vytváří, nebo

l) nezneplatní certifikát podle § 6a odst. 3 a 4.

(3) Kvalifikovaný poskytovatel certifikačních služeb, který vydává kvalifikovaná časová razítka, se dopustí přestupku tím, že

a) nezajistí, aby časová razítka jím vydávaná jako kvalifikovaná obsahovala všechny náležitosti stanovené v § 12b,

b) nezajistí, aby časový údaj vložený do kvalifikovaného časového razítka odpovídal hodnotě koordinovaného světového času při vytváření kvalifikovaného časového razítka,

c) nezajistí, aby data v elektronické podobě, která jsou předmětem žádosti o vydání kvalifikovaného časového razítka, odpovídala datům v elektronické podobě obsaženým ve vydaném kvalifikovaném časovém razítku,

d) nepřijme odpovídající opatření proti padělání kvalifikovaných časových razítek, a tím ohrozí bezpečnost poskytovaných kvalifikovaných certifikačních služeb,

e) nesplní informační povinnost podle § 6b odst. 1 písm. e), nebo

f) nevydá kvalifikované časové razítko neprodleně po přijetí žádosti o jeho vydání.

(4) Kvalifikovaný poskytovatel certifikačních služeb, který vydává prostředky pro bezpečné vytváření elektronických podpisů, se dopustí přestupku tím, že

a) nevydá prostředky pro bezpečné vytváření elektronických podpisů bezpečně podle § 17 odst. 3, nebo

b) nevytvoří v těchto prostředcích nebo nepřidá do těchto prostředků data pro vytváření elektronických podpisů důvěryhodným způsobem podle § 17 odst. 3.

(5) Fyzická osoba se dopustí přestupku tím, že poruší povinnost mlčenlivosti podle § 6 odst. 7.

(6) Za přestupky podle odstavců 1 až 4 lze uložit pokutu do výše 10 000 000 Kč.

(7) Za přestupek podle odstavce 5 lze uložit pokutu do výše 250 000 Kč.“.

53. § 19 včetně nadpisu a poznámky pod čarou č. 8) zní:

(1) Právnická osoba za správní delikt neodpovídá, jestliže prokáže, že vynaložila veškeré úsilí, které bylo možno požadovat, aby porušení právní povinnosti zabránila.

(2) Při určení výměry pokuty právnické osobě se přihlédne k závažnosti správního deliktu, zejména ke způsobu jeho spáchání a jeho následkům a k okolnostem, za nichž bylo spácháno.

(3) Odpovědnost právnické osoby za správní delikt zaniká, jestliže správní orgán o něm nezahájil řízení do 1 roku ode dne, kdy se o něm dozvěděl, nejpozději však do 3 let ode dne, kdy byl spáchán.

(4) Správní delikty podle tohoto zákona v prvním stupni projednává ministerstvo.

(5) Na odpovědnost za jednání, k němuž došlo při podnikání fyzické osoby8) nebo v přímé souvislosti s ním, se vztahují ustanovení zákona o odpovědnosti a postihu právnické osoby.

(6) Pokuty vybírá a vymáhá místně příslušný územní finanční úřad. Výnos z pokut je příjmem státního rozpočtu.

8) § 2 odst. 2 zákona č. 513/1991 Sb., obchodní zákoník, ve znění pozdějších předpisů.“.

54. § 20 včetně nadpisu zní:

(1) Ministerstvo stanoví prováděcím právním předpisem způsob splnění informační povinnosti podle § 6 odst. 1 písm. a) a f) a odst. 3, kvalifikační požadavky podle § 6 odst. 1 písm. b), požadavky na bezpečné systémy a bezpečné nástroje podle § 6 odst. 1 písm. c) a d), způsob uchovávání informací a dokumentace podle § 6 odst. 5 a 6 a způsob, jakým se splnění těchto požadavků dokládá.

(2) Ministerstvo stanoví prováděcím právním předpisem způsob ověření souladu dat podle § 6a odst. 1 písm. d), způsob zajištění bezpečnosti seznamů podle § 6a odst. 1 písm. e) a f), určení data a času podle § 6a odst. 1 písm. g), náležitosti opatření podle § 6a odst. 1 písm. h), způsob splnění informační povinnosti podle § 6a odst. 1 písm. i), způsob ochrany a zajištění souladu dat podle § 6a odst. 2, způsob zneplatnění certifikátů podle § 6a odst. 3 a 4 a způsob, jakým se splnění těchto požadavků dokládá.

(3) Ministerstvo stanoví prováděcím právním předpisem způsob zajištění přesnosti času při vytváření kvalifikovaného časového razítka podle § 6b odst. 1 písm. b), způsob zajištění souladu dat podle § 6b odst. 1 písm. c), náležitosti opatření podle § 6b odst. 1 písm. d), způsob splnění informační povinnosti podle § 6b odst. 1 písm. e) a způsob, jakým se splnění těchto požadavků dokládá.

(4) Ministerstvo stanoví prováděcím právním předpisem strukturu údajů, na základě kterých je možné osobu jednoznačně identifikovat, a postupy orgánů veřejné moci uplatňované při přijímání a odesílání datových zpráv prostřednictvím elektronické podatelny podle § 11 odst. 3.

(5) Ministerstvo stanoví prováděcím právním předpisem způsob zajištění postupů, které musí podporovat prostředky pro bezpečné vytváření a ověřování elektronických podpisů při ochraně dat pro vytváření elektronických podpisů podle § 17 a prostředky pro vytváření elektronických značek při ochraně dat pro vytváření elektronických značek podle § 17a, a způsob, jakým se splnění těchto požadavků dokládá.“.

Čl. II

Poskytovatelé certifikačních služeb, kterým byla udělena akreditace k působení jako akreditovaný poskytovatel certifikačních služeb přede dnem nabytí účinnosti tohoto zákona, jsou povinni přizpůsobit službu vydávání kvalifikovaných certifikátů zákonu č. 227/2000 Sb., o elektronickém podpisu a o změně některých dalších zákonů (zákon o elektronickém podpisu), ve znění čl. I tohoto zákona, do 1. července 2005.

Čl. III

Předseda vlády se zmocňuje, aby ve Sbírce zákonů vyhlásil úplné znění zákona č. 227/2000 Sb., o elektronickém podpisu a o změně některých dalších zákonů (zákon o elektronickém podpisu), jak vyplývá ze zákonů jej měnících.

Čl. IV

Tento zákon nabývá účinnosti dnem jeho vyhlášení.

Zaorálek v. r.

Klaus v. r.

Špidla v. r.