Document 154 - Bill on trust services for electronic transactions – EU

[1/4] Tato část návrhu zákona provádí rozsáhlou adaptaci české legislativy na evropské nařízení eIDAS 2 a zavádí právní rámec pro evropskou peněženku digitální identity, elektronická potvrzení atributů a nové typy služeb vytvářejících důvěru. Zákon ukládá kvalifikovaným poskytovatelům služeb vytvářejících důvěru nové povinnosti, zejména poskytovat statistické údaje Agentuře, řídit se jejími kryptografickými pokyny a plnit rozšířené požadavky na ochranu osobních údajů a bezpečnost služeb. Nově se zavádí možnost prokazování totožnosti a jiných skutečností prostřednictvím elektronických potvrzení atributů a evropské digitální peněženky jak online, tak při fyzické přítomnosti uživatele, přičemž orgány veřejné moci budou povinny tuto formu identifikace postupně akceptovat. Digitální a informační agentura získává nové pravomoci, například vést seznam poskytovatelů kvalifikovaných atributů, vydávat technické pokyny, spravovat registr spoléhajících se stran a provozovat informační systémy podporující digitální peněženku. Zákon rovněž zavádí bezplatné používání kvalifikovaného elektronického podpisu pro fyzické osoby při neprofesionálních úkonech a stanovuje nové správní delikty a vysoké sankce až do výše 130 milionů Kč nebo 1 % celosvětového obratu za porušení pravidel. Součástí úpravy jsou také přechodná ustanovení stanovující postupné zavádění povinné akceptace digitální peněženky mezi lety 2027–2029, změny v systému elektronické identifikace a nové správní poplatky, například zvýšení poplatku za některé žádosti z 25 000 Kč na 50 000 Kč a zavedení poplatku za zápis poskytovatelů kvalifikovaných atributů.

[2/4] Tato část dokumentu analyzuje dopady zavedení evropské peněženky digitální identity (EUDIW) na ochranu soukromí a osobních údajů a konstatuje, že zpracování osobních údajů bude probíhat pouze v nezbytném rozsahu v souladu s principy GDPR, proporcionality a „privacy by design“. Provoz klientské části peněženky může být svěřen soukromému koncesionáři, který bude samostatným správcem osobních údajů, zatímco stát zajistí regulační rámec a dohled prostřednictvím Digitální a informační agentury. Dokument dále hodnotí korupční rizika a uvádí, že navrhovaná úprava je přiměřená, efektivně vymahatelná, jasně vymezuje odpovědné orgány a obsahuje dostatečné kontrolní mechanismy; zároveň nemá dopady na obranu státu, rodiny ani územní samosprávu (s výjimkou finančních aspektů). Velká část textu popisuje implementaci principů digitálně přívětivé legislativy, například „digital by default“, princip „only once“, přístupnost služeb pro osoby se zdravotním postižením, technologickou neutralitu a otevřenost dat. Navrhovaná legislativa adaptuje české právo na nařízení eIDAS 2 a zavádí právní rámec pro elektronická potvrzení atributů, jejichž prostřednictvím bude možné prokazovat různé skutečnosti online nebo při fyzické přítomnosti pomocí digitální peněženky; orgány veřejné moci a některé soukromé subjekty budou mít povinnost tato potvrzení akceptovat. Digitální a informační agentura bude vydávat a spravovat osobní identifikační údaje, provozovat související informační systémy, vést registry poskytovatelů a subjektů spoléhajících se na peněženku a poskytovat aplikace pro ověřování identity či atributů. Novela dále zavádí bezplatný kvalifikovaný elektronický podpis pro fyzické osoby k neprofesionálním účelům, stanovuje nové přestupky a sankce pro poskytovatele služeb vytvářejících důvěru a upravuje registraci subjektů využívajících peněženku. Součástí změn jsou také nové správní poplatky, přechodná období pro povinné přijímání digitální peněženky a postupná účinnost pravidel v letech 2026–2027.

[3/4] Tato část zákona podrobně upravuje dohled Digitální a informační agentury nad službami vytvářejícími důvěru, zejména nad kvalifikovanými poskytovateli certifikátů, elektronických podpisů a elektronických potvrzení atributů. Agentura může například nařídit zneplatnění kvalifikovaného certifikátu nebo elektronického potvrzení atributů, pokud existuje podezření na padělání, vydání na základě nepravdivých údajů nebo použití technicky nedostatečných prostředků pro vytváření podpisu či pečetí. Zákon zároveň zavádí možnost bezplatného použití kvalifikovaného elektronického podpisu pro fyzické osoby prostřednictvím digitální peněženky, a to pro neprofesionální účely; tuto službu musí zajistit kvalifikovaný správce peněženky a Agentura. Zřizuje se také nová státní příspěvková organizace Správa státních služeb vytvářejících důvěru, která bude poskytovat tyto služby pro stát a zajišťovat provoz bezplatného podepisování.

Významná část ustanovení vymezuje rozsáhlý systém přestupků a sankcí pro poskytovatele služeb vytvářejících důvěru, včetně porušení bezpečnostních povinností, nedostatečné evidence, nesplnění auditních povinností nebo nesprávného nakládání s osobními údaji. Za nejzávažnější porušení mohou být uloženy pokuty až do výše 130 milionů Kč nebo až 1 % celosvětového ročního obratu podnikatelského subjektu. Dokument dále komplexně upravuje systém elektronické identifikace v České republice, včetně podmínek akreditace správců identifikačních systémů, jejich povinností, vedení evidencí a provozu národního bodu pro elektronickou identifikaci. Zákon zároveň implementuje evropské předpisy eIDAS a zavádí pravidla pro využívání evropské peněženky digitální identity, registraci subjektů spoléhajících se na tuto peněženku a vedení souvisejících informačních systémů a databází. Stanovuje také technické, bezpečnostní a organizační požadavky na správu identifikačních prostředků, uchovávání dat, ověřování atributů a dlouhodobou evidenci transakcí a identifikačních údajů.

[4/4] Tato část dokumentu upravuje zejména implementaci evropského rámce digitální identity do českého práva a stanoví pravidla pro fungování evropských peněženek digitální identity, kvalifikovaných služeb vytvářejících důvěru a jejich poskytovatelů. Digitální a informační agentura je určena jako orgán dohledu, který vede seznam poskytovatelů kvalifikovaných atributů, registr stran spoléhajících se na digitální peněženku a provozuje informační systémy podporující identifikaci, autentizaci a vydávání elektronických potvrzení atributů. Zákon zavádí povinnost poskytovatelů služeb vytvářejících důvěru poskytovat statistická data o fungování digitálních peněženek a dodržovat technické a bezpečnostní standardy včetně kryptografických postupů; zároveň stanoví detailní postupy pro registraci subjektů, certifikaci peněženek a ověřování atributů vůči autentickým zdrojům veřejné správy.

Dále se stanoví pravidla pro bezplatné používání kvalifikovaného elektronického podpisu fyzickými osobami pro neprofesionální účely prostřednictvím digitální peněženky. Zákon upravuje evidenci osobních identifikačních údajů a elektronických potvrzení atributů, jejich uchovávání až po dobu 10 let a jejich bezpečnostní zpracování v rámci informačního systému veřejné správy. Rozšiřují se také přestupky a sankce za porušení povinností poskytovatelů služeb vytvářejících důvěru, poskytovatelů peněženek či internetových prohlížečů, přičemž maximální pokuty mohou dosahovat až 130 milionů Kč nebo 1 % celosvětového ročního obratu právnické osoby. Součástí je rovněž změna zákona o správních poplatcích, která stanovuje konkrétní poplatky za akreditace, autorizace, uznání kvalifikací, registrace poskytovatelů důvěryhodných služeb či zápisy do registrů souvisejících s elektronickou identitou.