NAŘÍZENÍ EVROPSKÉHO PARLAMENTU A RADY (EU) č. 910/2014
ze dne 23. července 2014
o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES
EVROPSKÝ PARLAMENT A RADA EVROPSKÉ UNIE,
s ohledem na Smlouvu o fungování Evropské unie, a zejména na článek 114 této smlouvy,
s ohledem na návrh Evropské komise,
po postoupení návrhu legislativního aktu vnitrostátním parlamentům,
s ohledem na stanovisko Evropského hospodářského a sociálního výboru (1),
v souladu s řádným legislativním postupem (2),
vzhledem k těmto důvodům:
(1)
Budování důvěryhodnosti on-line prostředí má pro hospodářský a sociální rozvoj klíčový význam. Nedostatečná důvěra, zejména v důsledku pocitu nedostatku právní jistoty, vede k tomu, že se spotřebitelé, podniky a orgány veřejné moci zdráhají provádět transakce elektronickými prostředky a přijímat nové služby.
(2)
Toto nařízení má zvýšit důvěryhodnost elektronických transakcí na vnitřním trhu tím, že poskytne společný základ pro bezpečnou elektronickou komunikaci mezi občany, podniky, orgány veřejné moci, čímž posílí efektivnost veřejných a soukromých on-line služeb, elektronického podnikání a elektronického obchodu v Unii.
(3)
Směrnice Evropského parlamentu a Rady 1999/93/ES (3) upravovala elektronické podpisy, aniž by poskytovala ucelený přeshraniční a meziodvětvový rámec pro bezpečné, důvěryhodné a snadno použitelné elektronické transakce. Toto nařízení acquis uvedené směrnice posiluje a rozšiřuje.
(4)
Ve sdělení Komise ze dne 26. srpna 2010 s názvem „Digitální agenda pro Evropu“ byly jako hlavní překážky účinného cyklu digitální ekonomiky označeny roztříštěnost digitálního trhu, nedostatečná interoperabilita a nárůst kyberkriminality. Ve své zprávě o občanství EU za rok 2010 s názvem „Odstranit překážky pro výkon práv občanů EU“ dále Komise vyzdvihla potřebu odstranit hlavní problémy, které občanům Unie brání ve využívání výhod jednotného digitálního trhu a přeshraničních digitálních služeb.
(5)
Evropská rada ve svých závěrech ze dnů 4. února 2011 a 23. října 2011 vyzvala Komisi, aby do roku 2015 vytvořila jednotný digitální trh s cílem urychleně pokročit v klíčových oblastech digitálního hospodářství a aby prosazovala plně integrovaný jednotný digitální trh usnadněním přeshraničního využívání on-line služeb a zvláštní pozornost přitom věnovala usnadnění bezpečné elektronické identifikace a autentizace.
(6)
Rada ve svých závěrech ze dne 27. května 2011 Komisi vyzvala, aby přispěla k jednotnému digitálnímu trhu vytvořením vhodných podmínek pro vzájemné přeshraniční uznávání klíčových prvků, jako jsou elektronická identifikace, elektronické dokumenty, elektronické podpisy a služby elektronického doručování, a pro interoperabilní služby elektronické veřejné správy v celé Evropské unii.
(7)
Evropský parlament ve svém usnesení ze dne 21. září 2010 o dotvoření vnitřního trhu pro elektronický obchod (4) zdůraznil význam bezpečnosti elektronických služeb, zejména elektronických podpisů, a nutnost vytvořit na celoevropské úrovni infrastrukturu veřejných klíčů, a vyzval Komisi, aby zřídila portál evropských evidenčních orgánů s cílem zajistit přeshraniční interoperabilitu elektronických podpisů a zvýšit bezpečnost transakcí prováděných po internetu.
(8)
Směrnice Evropského parlamentu a Rady 2006/123/ES (5) vyžaduje, aby členské státy vytvořily jednotná kontaktní místa s cílem zajistit, aby veškeré postupy a formality vztahující se k přístupu k činnosti poskytování služeb a jejímu výkonu mohly být snadno splněny na dálku a pomocí elektronických prostředků, a to prostřednictvím příslušného jednotného kontaktního místa a u příslušných orgánů. Mnoho on-line služeb přístupných prostřednictvím jednotného kontaktního místa vyžaduje elektronickou identifikaci, autentizaci a podpis.
(9)
Ve většině případů nemohou občané svou elektronickou identifikaci využívat k autentizaci v jiném členském státě, neboť vnitrostátní systémy elektronické identifikace v jejich zemi nejsou uznávány v ostatních členských státech. Tato elektronická bariéra znemožňuje poskytovatelům služeb plně využívat výhod vnitřního trhu. Vzájemně uznávané prostředky pro elektronickou identifikaci usnadní přeshraniční poskytování četných služeb na vnitřním trhu a umožní podnikům přeshraniční působení, aniž by se při kontaktech s orgány veřejné moci potýkaly s mnoha překážkami.
(10)
Směrnice Evropského parlamentu a Rady 2011/24/EU (6) zřídila síť vnitrostátních orgánů odpovědných za elektronické zdravotnictví. V zájmu zvýšení bezpečnosti a zajištění kontinuity přeshraniční zdravotní péče je tato síť povinna vypracovat pokyny k přeshraničnímu přístupu k elektronickým zdravotním údajům a službám, mimo jiné podporou „společných opatření pro identifikaci a ověřování za účelem snadnější přenositelnosti údajů v rámci přeshraniční zdravotní péče“. Vzájemné uznávání elektronické identifikace a autentizace je hlavním předpokladem pro to, aby se přeshraniční zdravotní péče stala pro evropské občany skutečností. Pokud občané cestují za účelem lékařského ošetření, musí být údaje o jejich zdravotním stavu dostupné v zemi, v níž je léčba poskytována. To vyžaduje řádný, bezpečný a důvěryhodný rámec pro elektronickou identifikaci.
(11)
Toto nařízení by mělo být uplatňováno v plném souladu se zásadami ochrany osobních údajů podle směrnice Evropského parlamentu a Rady 95/46/ES (7). V tomto směru by se, s ohledem na zásadu vzájemného uznávání stanovenou v tomto nařízení, měla autentizace pro účely on-line služeb týkat zpracování pouze těch identifikačních údajů, které jsou přiměřené, podstatné a rozsahem úměrné pro udělení přístupu k dané on-line službě. Dále by poskytovatelé služeb vytvářejících důvěru a orgány dohledu měly dodržovat požadavky stanovené ve směrnici 95/46/ES týkající se důvěrné povahy a bezpečnosti zpracování.
(12)
Jedním z cílů tohoto nařízení je odstranění stávajících překážek přeshraničního využívání prostředků pro elektronickou identifikaci, které se v členských státech používají k autentizaci, alespoň pro účely veřejných služeb. Toto nařízení nemá za cíl zasahovat do systémů správy elektronické identity a souvisejících infrastruktur zřízených v členských státech. Jeho cílem je zajistit, aby u přístupu k přeshraničním on-line službám poskytovaným členskými státy byla možná bezpečná elektronická identifikace a autentizace.
(13)
Členské státy by měly mít možnost používat nebo zavést prostředky pro účely elektronické identifikace pro přístup k on-line službám. Měly by mít rovněž možnost rozhodnout, zda do poskytování těchto prostředků zapojí soukromý sektor. Členské státy by neměly mít povinnost oznámit své systémy elektronické identifikace Komisi. Je na členských státech, aby si zvolily, zda jí oznámí veškeré systémy elektronické identifikace používané na vnitrostátní úrovni pro přístup alespoň k veřejným on-line službám či zvláštním službám nebo pouze některé z těchto systémů, nebo zda tyto systémy neoznámí.
(14)
V tomto nařízení je nutno stanovit určité podmínky, pokud jde o to, které prostředky pro elektronickou identifikaci musí být uznávány, a způsob oznamování systémů elektronické identifikace. Tyto podmínky by měly členským státům pomoci při budování nezbytné vzájemné důvěry v systémy elektronické identifikace a při vzájemném uznávání prostředků pro elektronickou identifikaci spadajících do jejich oznámených systémů. Zásada vzájemného uznávání by se měla použít, jestliže systém elektronické identifikace oznamujícího členského státu splňuje podmínky pro oznámení a toto oznámení bylo zveřejněno v Úředním věstníku Evropské unie. Zásada vzájemného uznávání by se však měla týkat pouze autentizace pro účely on-line služby. Přístup k těmto on-line službám a jejich skutečné poskytnutí žadateli by měly úzce souviset s právem na obdržení takovýchto služeb za podmínek stanovených ve vnitrostátních právních předpisech.
(15)
Povinnost uznávat prostředky pro elektronickou identifikaci by se měla týkat pouze těch prostředků, jejichž úroveň záruky totožnosti odpovídá úrovni, která je stejná nebo vyšší než úroveň požadovaná pro dotyčnou on-line službu. Kromě toho by tato povinnost měla platit pouze v případě, že dotyčný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky. Členské státy by měly mít možnost uznávat v souladu s právem Unie prostředky pro elektronickou identifikaci, které mají nižší úrovně záruky totožnosti.
(16)
Úrovně záruky by měly vyjadřovat míru spolehlivosti prostředků pro elektronickou identifikaci při určování totožnosti osob, a tím poskytovat záruku, že osoba deklarující konkrétní totožnost je skutečně osobou, s níž je tato totožnost spojena. Úroveň záruky závisí na míře spolehlivosti, kterou daný prostředek pro elektronickou identifikaci u deklarované nebo uváděné totožnosti osoby poskytuje s přihlédnutím k postupům (například prokazování a ověřování totožnosti a autentizace), řídícím činnostem (například subjekt vydávající prostředky pro elektronickou identifikaci a postup vydávání těchto prostředků) a prováděným technickým kontrolám. V důsledku rozsáhlých pilotních projektů financovaných Unií, normalizace a činností v mezinárodním měřítku existují různé technické definice a popisy úrovní záruk. Zejména rozsáhlý pilotní projekt STORK a norma ISO 29115 uvádějí mimo jiné úrovně 2, 3 a 4, které by měly být v maximální míře zohledněny při stanovování minimálních technických požadavků, norem a postupů pro nízkou, značnou a vysokou úroveň záruky ve smyslu tohoto nařízení, a současně by mělo být zajištěno jednotné uplatňování tohoto nařízení, zejména pokud jde o vysokou úroveň záruky v souvislosti s prokazováním totožnosti pro vydávání kvalifikovaných certifikátů. Stanovené požadavky by měly být z technologického hlediska neutrální. Měla by tedy existovat možnost splnit nezbytné bezpečnostní požadavky různými technologiemi.
(17)
Členské státy by měly podporovat soukromý sektor, aby pro účely identifikace, je-li u on-line služeb nebo elektronických transakcí zapotřebí, dobrovolně používal prostředky pro elektronickou identifikaci v rámci oznámeného systému. Možnost používat tyto prostředky pro elektronickou identifikaci by soukromému sektoru umožnila spoléhat se na elektronickou identifikaci a autentizaci, která se již v mnoha členských státech ve značné míře používá přinejmenším u veřejných služeb, a usnadnila by podnikům a občanům přeshraniční přístup k on-line službám. V zájmu snazšího přeshraničního používání těchto prostředků pro elektronickou identifikaci soukromým sektorem by možnost autentizace zajišťovaná kterýmkoli členským státem měla být k dispozici i spoléhajícím se stranám ze soukromého sektoru, které jsou usazeny mimo území daného členského státu, a to za stejných podmínek jako pro spoléhající se strany ze soukromého sektoru, které v daném členském státě usazeny jsou. Oznamující členský stát tak může stanovit podmínky přístupu spoléhajících se stran ze soukromého sektoru k prostředkům pro autentizaci. Tyto podmínky přístupu mohou informovat o tom, zda je prostředek pro autentizaci související s oznámeným systémem v současnosti dostupný spoléhajícím se stranám ze soukromého sektoru.
(18)
Toto nařízení by mělo stanovit odpovědnost oznamujícího členského státu, strany vydávající prostředky pro elektronickou identifikaci a strany provozující postup autentizace za nedodržení příslušných povinností z tohoto nařízení vyplývajících. Mělo by však být uplatňováno v souladu s vnitrostátními pravidly odpovědnosti. Tato vnitrostátní pravidla týkající se například vymezení škod nebo souvisejících platných procesních pravidel, včetně důkazního břemene, jím proto nejsou dotčena.
(19)
Bezpečnost systémů elektronické identifikace je klíčovým předpokladem pro důvěryhodné přeshraniční vzájemné uznávání prostředků pro elektronickou identifikaci. Členské státy by v této souvislosti měly spolupracovat v otázkách bezpečnosti a interoperability systémů elektronické identifikace na úrovni Unie. Ve všech případech, kdy systémy elektronické identifikace vyžadují, aby spoléhající se strany použily na vnitrostátní úrovni zvláštní technické zařízení nebo programové vybavení, je v zájmu přeshraniční interoperability žádoucí, aby tyto členské státy takové požadavky a související náklady neuplatňovaly vůči spoléhajícím se stranám usazeným mimo jejich území. V takovém případě je v mezích rámce interoperability třeba projednat a vyvinout vhodná řešení. Nicméně technické požadavky, které vyplývají z vlastních specifikací vnitrostátních prostředků pro elektronickou identifikaci a mohou mít vliv na držitele těchto elektronických prostředků (například inteligentní karty), jsou nevyhnutelné.
(20)
Spolupráce členských států by měla usnadnit technickou interoperabilitu oznámených systémů elektronické identifikace v zájmu podpory vysoké úrovně důvěryhodnosti a bezpečnosti odpovídající míře rizika. Této spolupráci by měla napomoci výměna informací a sdílení osvědčených postupů mezi členskými státy za účelem jejich vzájemného uznávání.
(21)
Toto nařízení by mělo stanovit rovněž obecný právní rámec pro využívání služeb vytvářejících důvěru. Nemělo by však zakládat obecnou povinnost používat tyto služby ani zřídit přístupový bod pro všechny existující služby vytvářející důvěru. Zejména by se nemělo vztahovat na poskytování služeb, které jsou využívány výhradně uvnitř uzavřených systémů mezi určeným okruhem účastníků a nemají žádný vliv na třetí osoby. Požadavky tohoto nařízení by se neměly například vztahovat na systémy zavedené v podnicích nebo v orgánech veřejné správy za účelem řízení vnitřních postupů využívajících služby vytvářející důvěru. Měly by jim podléhat pouze služby vytvářející důvěru, které jsou poskytovány veřejnosti a které mají vliv na třetí osoby. Toto nařízení by se nemělo vztahovat ani na aspekty související s uzavíráním a platností smluv nebo jiných právních povinností, pokud existují požadavky na formu stanovené vnitrostátním právem nebo právem Unie. Neměly by jím být dotčeny ani vnitrostátní požadavky na formu týkající se veřejných rejstříků, zejména obchodních rejstříků a katastrů nemovitostí.
(22)
Aby se přispělo k obecnému přeshraničnímu využívání služeb vytvářejících důvěru, mělo by být možné použít je ve všech členských státech jako důkaz v soudním a správním řízení. Je na vnitrostátním právu, aby vymezilo právní účinky služeb vytvářejících důvěru, nestanoví-li se v tomto nařízení jinak.
(23)
Pokud toto nařízení ukládá povinnost uznávat určitou službu vytvářející důvěru, může být její uznání odmítnuto pouze v případě, že ji povinný subjekt z technických důvodů, které jsou mimo jeho přímou kontrolu, není schopen přečíst nebo ověřit. Tato povinnost by však sama o sobě neměla znamenat, že veřejný subjekt musí získat technické zařízení a programové vybavení nezbytné pro technickou čitelnost všech existujících služeb vytvářejících důvěru.
(24)
Členské státy mohou v souladu s právem Unie zachovat nebo zavést vnitrostátní předpisy týkající se služeb vytvářejících důvěru, pokud dané služby nejsou tímto nařízením plně harmonizovány. Služby vytvářející důvěru, které vyhovují tomuto nařízení, by se však měly na vnitřním trhu volně pohybovat.
(25)
Členské státy by měly mít možnost stanovit kromě služeb vytvářejících důvěru, jež jsou součástí uzavřeného seznamu služeb vytvářejících důvěru stanoveného v tomto nařízení, i jiné druhy služeb vytvářejících důvěru za účelem jejich uznávání na vnitrostátní úrovni jako kvalifikovaných služeb vytvářejících důvěru.
(26)
Vzhledem k tempu technologických změn by toto nařízení mělo přijmout přístup, který je otevřený inovacím.
(27)
Toto nařízení by mělo být z technologického hlediska neutrální. Právních účinků, které přiznává, by mělo být možné dosáhnout jakýmikoli technickými prostředky, jsou-li splněny požadavky tohoto nařízení.
(28)
Ke zvýšení důvěry zejména malých a středních podniků a spotřebitelů ve vnitřní trh a na podporu používání služeb vytvářejících důvěru a produktů by měly být zavedeny pojmy „kvalifikované služby vytvářející důvěru“ a „kvalifikovaný poskytovatel služeb vytvářejících důvěru“ za účelem stanovení požadavků a povinností, které zajistí vysokou úroveň bezpečnosti všech používaných nebo poskytovaných kvalifikovaných služeb vytvářejících důvěru a produktů.
(29)
V souladu se závazky podle Úmluvy OSN o právech osob se zdravotním postižením, která byla schválena rozhodnutím Rady 2010/48/ES (8), a zejména s jejím článkem 9, by osoby se zdravotním postižením měly mít možnost využívat služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb stejně jako ostatní spotřebitelé. Poskytované služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb by proto měly být dostupné osobám se zdravotním postižením, je-li to proveditelné. Součástí posouzení proveditelnosti by měly být mimo jiné technické a ekonomické aspekty.
(30)
Členské státy by měly určit orgán nebo orgány dohledu, které budou vykonávat činnosti v oblasti dohledu podle tohoto nařízení. Na základě vzájemné dohody s jiným členským státem by členské státy rovněž měly mít možnost rozhodnout, že určí orgán dohledu na území tohoto jiného členského státu.
(31)
Orgány dohledu by měly spolupracovat s orgány pro ochranu údajů, například je informovat o výsledcích auditů kvalifikovaných poskytovatelů služeb vytvářejících důvěru, jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů. Toto poskytování informací by se mělo týkat zejména bezpečnostních incidentů a narušení bezpečnosti osobních údajů.
(32)
Všichni poskytovatelé služeb vytvářejících důvěru by měli mít povinnost uplatňovat řádné bezpečnostní postupy, které jsou přiměřené s ohledem na rizika spojená s jejich činnostmi, aby byla posílena důvěra uživatelů v jednotný trh.
(33)
Ustanovení o používání pseudonymů v certifikátech by neměla členským státům bránit v tom, aby vyžadovaly identifikaci osob podle práva Unie nebo podle vnitrostátního práva.
(34)
Všechny členské státy by měly dodržovat společné základní požadavky na dohled s cílem zajistit srovnatelnou úroveň bezpečnosti kvalifikovaných služeb vytvářejících důvěru. K usnadnění jednotného uplatňování těchto požadavků v celé Unii by členské státy měly přijmout srovnatelné postupy a měly by si vyměňovat informace o svých činnostech v oblasti dohledu a o osvědčených postupech používaných v praxi.
(35)
Požadavky tohoto nařízení, zejména požadavky týkající se bezpečnosti a povinnosti zajistit hloubkovou kontrolu operací a služeb, jejich transparentnost a odpovědnost za ně, by se měly vztahovat na všechny poskytovatele služeb vytvářejících důvěru. S přihlédnutím k druhu služeb, které poskytovatelé služeb vytvářejících důvěru poskytují, je však vhodné rozlišovat v souvislosti s těmito požadavky kvalifikované a nekvalifikované poskytovatele služeb vytvářejících důvěru.
(36)
Zavedení režimu dohledu pro všechny poskytovatele služeb vytvářejících důvěru by zajistilo rovné podmínky pro bezpečnost jejich činností a služeb a odpovědnost za ně, což by přispělo k ochraně uživatelů a k fungování vnitřního trhu. Nekvalifikovaní poskytovatelé služeb vytvářejících důvěru by měli podléhat nezatěžujícím a pružným činnostem následného dohledu, odůvodněným povahou jejich služeb a činností. Orgán dohledu by proto neměl mít obecnou povinnost vykonávat nad nekvalifikovanými poskytovateli služeb dohled. Orgán dohledu by měl jednat pouze v případě, že byl (například samotným nekvalifikovaným poskytovatelem služeb vytvářejících důvěru, jiným orgánem dohledu, na základě oznámení uživatele či obchodního partnera nebo na základě vlastního šetření) informován o tom, že nekvalifikovaný poskytovatel služeb vytvářejících důvěru nesplňuje požadavky tohoto nařízení.
(37)
Toto nařízení by mělo stanovit odpovědnost pro všechny poskytovatele služeb vytvářejících důvěru. Zejména zavádí režim odpovědnosti, podle kterého by všichni poskytovatelé služeb vytvářejících důvěru měli odpovídat za škodu, kterou fyzické nebo právnické osobě způsobí v důsledku nesplnění povinností podle tohoto nařízení. Za účelem snadnějšího posouzení finančního rizika, které poskytovatelé služeb vytvářejících důvěru mohou být nuceni nést nebo které by mělo být kryto jejich pojistnou smlouvou, toto nařízení poskytovatelům služeb vytvářejících důvěru umožňuje stanovit za určitých podmínek omezení týkající se využívání jimi poskytovaných služeb a zprostit se odpovědnosti za škody vyplývající z využívání služeb nad rámec těchto omezení. Zákazníci by měli být o těchto omezeních předem řádně informováni. Tato omezení by měla být rozpoznatelná pro třetí osoby, například tím, že informace o těchto omezeních budou zahrnuty v podmínkách poskytované služby, nebo jinými rozpoznatelnými prostředky. Za účelem účinného uplatňování těchto zásad by se toto nařízení mělo použít v souladu s vnitrostátními pravidly odpovědnosti. Tato vnitrostátní pravidla týkající se například vymezení škody, úmyslu nebo nedbalosti nebo související platná procesní pravidla proto tímto nařízením nejsou dotčena.
(38)
Oznamování narušení bezpečnosti a posuzování bezpečnostních rizik je nezbytné, aby mohly být dotčeným stranám v případě narušení bezpečnosti nebo ztráty integrity poskytnuty náležité informace.
(39)
Aby mohly Komise a členské státy posoudit účinnost mechanismu pro oznamování narušení bezpečnosti, který je zaveden tímto nařízením, měly by orgány dohledu poskytovat souhrnné informace Komisi a Agentuře Evropské unie pro bezpečnost sítí a informací (ENISA).
(40)
Aby mohly Komise a členské státy posoudit účinnost zdokonaleného mechanismu dohledu, který je zaveden tímto nařízením, měly by orgány dohledu podávat zprávy o své činnosti. To by napomohlo při usnadňování výměny osvědčených postupů mezi orgány dohledu a zajistilo ověření toho, zda jsou základní požadavky na dohled ve všech členských státech uplatňovány jednotně a účinně.
(41)
K zajištění udržitelnosti a stálosti kvalifikovaných služeb vytvářejících důvěru a posílení důvěry uživatelů v kontinuitu kvalifikovaných služeb vytvářejících důvěru by orgány dohledu měly ověřovat existenci a správné uplatňování předpisů o plánech ukončení činnosti v případech, kdy kvalifikovaní poskytovatelé služeb vytvářejících důvěru ukončí svou činnost.
(42)
K usnadnění dohledu nad kvalifikovanými poskytovateli služeb vytvářejících důvěru například v případě, že poskytovatel poskytuje své služby na území jiného členského státu a nepodléhá v něm dohledu, nebo pokud se počítače poskytovatele nacházejí na území jiného členského státu, než ve kterém je usazen, by měl být zřízen systém vzájemné pomoci mezi orgány dohledu v členských státech.
(43)
Aby bylo zajištěno, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované služby splňují požadavky stanovené v tomto nařízení, měl by subjekt posuzování shody provádět posuzování shody a kvalifikovaní poskytovatelé služeb vytvářejících důvěru by měli výsledné zprávy o posouzení shody předkládat orgánu dohledu. Kdykoli orgán dohledu požaduje, aby kvalifikovaný poskytovatel služeb vytvářejících důvěru předložil ad hoc zprávu o posouzení shody, měl by tento orgán dohledu dodržovat zejména zásadu řádné správy věcí veřejných, včetně povinnosti zdůvodnit svá rozhodnutí, a dále zásadu proporcionality. Orgán dohledu by tedy měl svá rozhodnutí požadující ad hoc posouzení shody řádně odůvodnit.
(44)
Cílem tohoto nařízení je zajistit soudržný rámec, který by v souvislosti se službami vytvářejícími důvěru zabezpečil vysokou úroveň bezpečnosti a právní jistotu. V tomto směru by při úpravě posuzování shody produktů a služeb měla Komise ve vhodných případech usilovat o synergie se stávajícími příslušnými evropskými a mezinárodními režimy, jako je například nařízení Evropského parlamentu a Rady (ES) č. 765/2008 (9), které stanoví požadavky na akreditaci subjektů posuzování shody a dozor nad trhem s výrobky.
(45)
S cílem umožnit účinný postup pro zahájení poskytování služeb, který by měl vést k zařazení kvalifikovaných poskytovatelů služeb vytvářejících důvěru a jimi poskytovaných kvalifikovaných služeb vytvářejících důvěru na důvěryhodné seznamy, je nutno podporovat předběžné kontakty mezi potencionálními kvalifikovanými poskytovateli služeb vytvářejících důvěru a příslušným orgánem dohledu v zájmu usnadnění hloubkové kontroly vedoucí k poskytování kvalifikovaných služeb vytvářejících důvěru.
(46)
Nezbytnými prvky při budování důvěry mezi tržními subjekty jsou důvěryhodné seznamy, jelikož udávají stav kvalifikace poskytovatele služeb v době dohledu.
(47)
Důvěra v on-line služby a pohodlí, které tyto služby nabízejí, jsou zásadní pro to, aby mohli uživatelé plně využívat elektronických služeb a vědomě se na ně spoléhat. Za tímto účelem by měla být vytvořena značka důvěry EU, jež by označovala kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru. Tato značka důvěry EU pro kvalifikované služby vytvářející důvěru by tyto služby jasně odlišila od ostatních služeb vytvářejících důvěru, a tím by přispěla k transparentnosti na trhu. Používání značky důvěry EU kvalifikovanými poskytovateli služeb vytvářejících důvěru by mělo být dobrovolné a nemělo by vést k uložení žádných jiných požadavků kromě těch, které jsou stanoveny v tomto nařízení.
(48)
Ačkoliv k zajištění vzájemného uznávání elektronických podpisů je zapotřebí vysoká úroveň bezpečnosti, měly by být ve zvláštních případech, například v kontextu rozhodnutí Komise 2009/767/ES (10), přijímány rovněž elektronické podpisy s nižší zárukou bezpečnosti.
(49)
Toto nařízení by mělo zavést zásadu, že elektronickému podpisu by neměly být upírány právní účinky na základě skutečnosti, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis. Právní účinky elektronických podpisů v členských státech by však měly být vymezeny vnitrostátním právem, s výjimkou požadavků stanovených v tomto nařízení, podle něhož by měl mít kvalifikovaný elektronický podpis rovnocenný právní účinek jako podpis vlastnoruční.
(50)
Jelikož v současnosti používají příslušné orgány v členských státech při podepisování svých dokumentů elektronickými prostředky různé formáty zaručených elektronických podpisů, je nutné zajistit, aby členské státy mohly při přijímání dokumentů, které byly podepsány elektronickými prostředky, technicky podporovat alespoň určitý počet formátů zaručených elektronických podpisů. Pokud příslušné orgány v členských státech používají zaručené elektronické pečetě, bude obdobně nutné zajistit, aby podporovaly přinejmenším určitý počet formátů zaručených elektronických pečetí.
(51)
Podepisující osoba by měla mít možnost svěřit kvalifikované prostředky pro vytváření elektronických podpisů do péče třetí straně, pokud jsou zavedeny odpovídající mechanismy a postupy, které zajišťují, že podepisující osoba má výhradní kontrolu nad používáním svých dat pro vytváření elektronických podpisů, a použitím tohoto prostředku jsou splněny požadavky na kvalifikovaný elektronický podpis.
(52)
Vytváření elektronického podpisu na dálku, jehož prostředí spravuje poskytovatel služeb vytvářejících důvěru jménem podepisující osoby, přináší mnohé ekonomické výhody, a bude tedy pravděpodobně stále častější. Aby však bylo zajištěno, že tyto elektronické podpisy budou z právního hlediska uznávány stejně jako elektronické podpisy, které jsou vytvářeny v prostředí spravovaném výlučně uživatelem, měli by poskytovatelé nabízející služby elektronického podpisu na dálku uplatňovat zvláštní postupy pro zajištění bezpečnosti v oblasti řízení a správy a používat důvěryhodné systémy a produkty zahrnující zabezpečené kanály pro elektronickou komunikaci, a zajistit tak spolehlivost prostředí, v němž jsou elektronické podpisy vytvářeny, a zaručit, že je toto prostředí používáno pod výlučnou kontrolou podepisující osoby. V případě kvalifikovaného elektronického podpisu vytvořeného pomocí prostředku pro vytváření elektronických podpisů na dálku by se měly použít požadavky stanovené v tomto nařízení, které jsou použitelné na kvalifikované poskytovatele služeb vytvářejících důvěru.
(53)
Pozastavení platnosti kvalifikovaných certifikátů je jedním ze zavedených operativních postupů poskytovatelů služeb vytvářejících důvěru v řadě členských států, který se liší od zneplatnění a znamená dočasnou ztrátu platnosti certifikátu. V zájmu právní jistoty je nezbytné, aby bylo pozastavení platnosti certifikátu vždy jasně vyznačeno. Za tímto účelem by měli být poskytovatelé služeb vytvářejících důvěru odpovědní za jasné vyznačení statusu certifikátu a - v případě jeho pozastavení jeho platnosti - přesné doby, na kterou byla platnost certifikátu pozastavena. Toto nařízení by nemělo poskytovatelům služeb vytvářejících důvěru ani členským státům ukládat povinnost pozastavení platnosti uplatňovat, ale mělo by stanovit transparentní pravidla ohledně toho, kdy a kde je tento postup k dispozici.
(54)
Pro přeshraniční uznávání kvalifikovaných elektronických podpisů jsou předpokladem přeshraniční interoperabilita a uznávání kvalifikovaných certifikátů. Kvalifikované certifikáty by proto neměly podléhat žádným závazným požadavkům, které přesahují požadavky stanovené v tomto nařízení. Na vnitrostátní úrovni by však zahrnutí zvláštních atributů, například jedinečných identifikátorů, do kvalifikovaných certifikátů mělo být povoleno, pokud tyto zvláštní atributy nebrání přeshraniční interoperabilitě a uznávání kvalifikovaných certifikátů a kvalifikovaných elektronických podpisů.
(55)
Certifikace bezpečnosti IT systémů založená na mezinárodních normách, jako jsou ISO 15408 a související hodnotící metody a mechanismy vzájemného uznávání, je důležitým nástrojem ověřování bezpečnosti kvalifikovaných prostředků pro vytváření elektronických podpisů a měla by být podporována. Inovační řešení a služby, jako například podepisování prostřednictvím mobilního telefonu a podepisování v cloudech, se však opírají o technická a organizační řešení pro kvalifikované prostředky pro vytváření elektronických podpisů, pro něž bezpečnostní normy dosud nemusí být k dispozici nebo pro něž první certifikace bezpečnosti IT systémů dosud probíhá. Pouze v případě, že bezpečnostní normy nejsou k dispozici nebo první certifikace bezpečnosti IT systémů probíhá, by mohla být úroveň bezpečnosti těchto kvalifikovaných prostředků pro vytváření elektronických podpisů posouzena alternativními postupy. Tyto postupy by měly být srovnatelné s normami pro certifikaci bezpečnosti IT systémů, pokud jsou jejich úrovně bezpečnosti rovnocenné. Vzájemné hodnocení by mohlo tyto postupy usnadnit.
(56)
Toto nařízení by mělo stanovit požadavky na kvalifikované prostředky pro vytváření elektronických podpisů, které mají zajistit funkčnost zaručených elektronických podpisů. Toto nařízení by nemělo zahrnovat celé systémové prostředí, ve kterém se tyto prostředky využívají. Rozsah certifikace kvalifikovaných prostředků pro vytváření podpisů by proto měl být omezen na technické zařízení a systémové programové vybavení používané pro správu a ochranu dat pro vytváření podpisů, která jsou v prostředku pro vytváření podpisů vytvořena, uložena nebo zpracovávána. Jak je podrobně uvedeno v příslušných normách, měly by být z certifikační povinnosti vyloučeny aplikace pro vytváření podpisů.
(57)
V zájmu zajištění právní jistoty ohledně platnosti podpisu je nezbytné upřesnit prvky kvalifikovaného elektronického podpisu, které by měla posoudit spoléhající se strana, jež provádí ověření platnosti. Upřesnění požadavků na kvalifikované poskytovatele služeb vytvářejících důvěru, kteří mohou poskytovat kvalifikovanou službu ověřování platnosti spoléhajícím se stranám, jež nejsou ochotny nebo schopny provádět ověřování platnosti kvalifikovaných elektronických podpisů samy, by navíc mělo soukromý a veřejný sektor podnítit k investicím do těchto služeb. Oba prvky by měly usnadnit ověřování platnosti kvalifikovaných elektronických podpisů a být vhodné pro všechny strany na úrovni Unie.
(58)
Vyžaduje-li transakce kvalifikovanou elektronickou pečeť právnické osoby, měl by být stejně tak přijatelný kvalifikovaný elektronický podpis oprávněného zástupce této právnické osoby.
(59)
Elektronické pečetě by měly sloužit jako důkaz toho, že elektronický dokument vydala určitá právnická osoba, a poskytovat jistotu o původu a integritě dokumentu.
(60)
Poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty pro elektronické pečetě by měli zavést nezbytná opatření, aby byli schopni určit totožnost fyzické osoby zastupující právnickou osobu, které je kvalifikovaný certifikát pro elektronickou pečeť poskytován, je-li tato identifikace nezbytná na vnitrostátní úrovni v soudním nebo správním řízení.
(61)
Toto nařízení by mělo zajistit dlouhodobé uchovávání informací, aby zajistilo dlouhodobou platnost elektronických podpisů a elektronických pečetí a zaručilo, že mohou být ověřeny bez ohledu na budoucí technologické změny.
(62)
Aby byla zajištěna bezpečnost kvalifikovaných elektronických časových razítek, mělo by toto nařízení vyžadovat použití zaručené elektronické pečeti nebo zaručeného elektronického podpisu nebo jiných rovnocenných metod. Lze předpokládat, že inovace mohou vést ke vzniku nových technologií, jež mohou zajistit rovnocennou úroveň bezpečnosti pro časová razítka. Kdykoli je použita jiná metoda než zaručená elektronická pečeť nebo zaručený elektronický podpis, mělo by být na kvalifikovaném poskytovateli služeb vytvářejících důvěru, aby ve zprávě o posouzení shody prokázal, že daná metoda zajišťuje rovnocennou úroveň bezpečnosti a splňuje povinnosti stanovené v tomto nařízení.
(63)
Elektronické dokumenty jsou důležité pro další rozvoj přeshraničních elektronických transakcí na vnitřním trhu. Toto nařízení by mělo stanovit zásadu, že elektronickému dokumentu nesmějí být upírány právní účinky na základě skutečnosti, že má elektronickou podobu; cílem této zásady je zajistit, aby elektronická transakce nebyla odmítnuta jen z toho důvodu, že dokument má elektronickou podobu.
(64)
Při úpravě formátů zaručených elektronických podpisů a pečetí by Komise měla vycházet ze stávajících postupů, norem a právních předpisů, zejména z rozhodnutí Komise 2011/130/EU (11).
(65)
Vedle ověření pravosti dokumentu vydaného právnickou osobou lze elektronické pečetě použít k autentizaci jakéhokoli digitálního předmětu dotyčné právnické osoby, například softwarového kódu nebo serverů.
(66)
Je nezbytné stanovit právní rámec, který usnadní přeshraniční uznávání služeb elektronického doporučeného doručování mezi stávajícími vnitrostátními právními systémy. Tento rámec by mohl rovněž přinést nové tržní příležitosti pro poskytovatele služeb vytvářejících důvěru z Unie, kteří budou moci nabízet nové panevropské služby elektronického doporučeného doručování.
(67)
Služby autentizace internetových stránek poskytují prostředek, s jehož pomocí se návštěvník určitých internetových stránek může ujistit, že tyto stránky reprezentují skutečný a legitimní subjekt. Tyto služby přispívají k budování důvěryhodnosti a důvěry v on-line obchodování, neboť uživatelé budou mít důvěru v internetové stránky, které byly autentizovány. Poskytování a využívání služeb autentizace internetových stránek je zcela dobrovolné. Aby se však autentizace internetových stránek stala prostředkem pro posílení důvěryhodnosti, zlepšení zkušeností uživatelů a podporu růstu na vnitřním trhu, mělo by toto nařízení stanovit pro poskytovatele a jejich služby minimální povinnosti v oblasti bezpečnosti a odpovědnosti. Za tímto účelem byly zohledněny výsledky dosavadních iniciativ vedených odvětvím, jako například fóra pro certifikační orgány a vyhledávače - fórum CA/B. Kromě toho by toto nařízení nemělo bránit používání jiných prostředků nebo metod pro autentizaci internetových stránek, na které se toto nařízení nevztahuje, ani by nemělo poskytovatelům služeb autentizace internetových stránek pocházejícím ze třetích zemí bránit v tom, aby své služby poskytovali zákazníkům v Unii. Služby autentizace internetových stránek nabízené poskytovatelem ze třetí země by však měly být uznány jako kvalifikované služby podle tohoto nařízení pouze v případě, že byla uzavřena mezinárodní dohoda mezi Unií a zemí, v níž je poskytovatel usazen.
(68)
Pojetí „právnických osob“ podle ustanovení Smlouvy o fungování Evropské unie (dále jen „Smlouva o fungování EU“) týkajících se usazování ponechává hospodářským subjektům možnost volby právní formy, kterou považují za vhodnou pro výkon své činnosti. „Právnickými osobami“ ve smyslu Smlouvy o fungování EU se tedy rozumějí všechny subjekty, které byly založeny podle práva některého členského státu nebo se tímto právem řídí, bez ohledu na jejich právní formu.
(69)
Orgány, instituce a jiné subjekty Unie se vybízejí, aby pro účely správní spolupráce uznávaly elektronickou identifikaci a služby vytvářející důvěru upravené tímto nařízením a využívaly přitom zejména stávajících osvědčených postupů a výsledků probíhajících projektů v oblastech, jichž se toto nařízení týká.
(70)
Za účelem pružného a rychlého doplnění určitých podrobných technických aspektů tohoto nařízení by měla být Komisi svěřena pravomoc přijímat akty v souladu s článkem 290 Smlouvy o fungování EU, pokud jde o kritéria, která musí splňovat subjekty odpovědné za certifikaci kvalifikovaných prostředků pro vytváření elektronických podpisů. Je obzvláště důležité, aby Komise v rámci přípravné činnosti vedla odpovídající konzultace, a to i na odborné úrovni. Při přípravě a vypracování aktů v přenesené pravomoci by Komise měla zajistit, aby byly příslušné dokumenty předány současně, včas a vhodným způsobem Evropskému parlamentu a Radě.
(71)
Za účelem zajištění jednotných podmínek k provedení tohoto nařízení by měly být Komisi svěřeny prováděcí pravomoci, zejména k určení referenčních čísel norem, jejichž použití zakládá předpoklad shody s určitými požadavky stanovenými v tomto nařízení. Tyto pravomoci by měly být vykonávány v souladu s nařízením Evropského parlamentu a Rady (EU) č. 182/2011 (12).
(72)
Při přijímání aktů v přenesené pravomoci nebo prováděcích aktů by Komise měla řádně zohlednit normy a technické specifikace vypracované evropskými a mezinárodními normalizačními organizacemi a subjekty, zejména pak Evropským výborem pro normalizaci (CEN), Evropským ústavem pro telekomunikační normy (ETSI), Mezinárodní organizací pro normalizaci (ISO) a Mezinárodní telekomunikační unií (ITU), s cílem zajistit vysokou úroveň bezpečnosti a interoperability elektronické identifikace a služeb vytvářejících důvěru.
(73)
Z důvodu právní jistoty a jasnosti by měla být směrnice 1999/93/ES zrušena.
(74)
V zájmu zajištění právní jistoty pro tržní subjekty, které již používají kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES, je nutné stanovit dostatečně dlouhou lhůtu pro přechod. Obdobně by měla být stanovena přechodná opatření pro bezpečné prostředky pro vytváření podpisů, jejichž shoda byla zjištěna v souladu se směrnicí 1999/93/ES, a pro ověřovatele, kteří vydávají kvalifikované certifikáty před 1. červencem 2016. V neposlední řadě je rovněž nezbytné umožnit Komisi přijímání prováděcích aktů a aktů v přenesené pravomoci před tímto dnem.
(75)
Dny použitelnosti stanovenými v tomto nařízení nejsou dotčeny stávající povinnosti, které členské státy již mají podle právních předpisů Unie, zejména pak podle směrnice 2006/123/ES.
(76)
Jelikož cílů tohoto nařízení nemůže být dosaženo uspokojivě členskými státy, ale spíše jich, z důvodu rozsahu opatření, může být lépe dosaženo na úrovni Unie, může Unie přijmout opatření v souladu se zásadou subsidiarity stanovenou v článku 5 Smlouvy o Evropské unii. V souladu se zásadou proporcionality stanovenou v uvedeném článku nepřekračuje toto nařízení rámec toho, co je nezbytné pro dosažení těchto cílů.
(77)
Evropský inspektor ochrany údajů byl konzultován v souladu s čl. 28 odst. 2 nařízení Evropského parlamentu a Rady (ES) č. 45/2001 (13) a vydal stanovisko dne 27. září 2012 (14),
PŘIJALY TOTO NAŘÍZENÍ:
KAPITOLA I
OBECNÁ USTANOVENÍ
Článek 1
Předmět
S cílem zajistit řádné fungování vnitřního trhu a současně usilovat o odpovídající úroveň bezpečnosti prostředků pro elektronickou identifikaci a služeb vytvářejících důvěru toto nařízení:
a)
stanoví podmínky, za nichž členské státy uznávají prostředky pro elektronickou identifikaci fyzických a právnických osob, které spadají do oznámeného systému elektronické identifikace jiného členského státu;
b)
stanoví pravidla pro služby vytvářející důvěru, zejména u elektronických transakcí; a
c)
stanoví právní rámec pro elektronické podpisy, elektronické pečetě, elektronická časová razítka, elektronické dokumenty, služby elektronického doporučeného doručování a certifikační služby pro autentizaci internetových stránek.
Článek 2
Oblast působnosti
1. Toto nařízení se vztahuje na systémy elektronické identifikace oznámené členskými státy a na poskytovatele služeb vytvářejících důvěru usazené v Unii.
2. Toto nařízení se nevztahuje na poskytování služeb vytvářejících důvěru, které jsou používány výhradně v rámci uzavřených systémů vyplývajících z vnitrostátního práva nebo z dohod mezi určeným okruhem účastníků.
3. Tímto nařízením není dotčeno vnitrostátní právo ani právo Unie týkající se uzavírání a platnosti smluv či jiných právních nebo procesních povinností týkajících se formy.
Článek 3
Definice
Pro účely tohoto nařízení se rozumí:
1)
„elektronickou identifikací“ postup používání osobních identifikačních údajů v elektronické podobě, které jedinečně identifikují určitou fyzickou či právnickou osobu nebo fyzickou osobu zastupující právnickou osobu;
2)
„prostředkem pro elektronickou identifikaci“ hmotná či nehmotná jednotka obsahující osobní identifikační údaje, která se používá k autentizaci pro účely on-line služby;
3)
„osobními identifikačními údaji“ soubor údajů umožňujících určit totožnost fyzické či právnické osoby nebo fyzické osoby zastupující právnickou osobu;
4)
„systémem elektronické identifikace“ systém pro elektronickou identifikaci, na jehož základě jsou fyzickým či právnickým osobám nebo fyzickým osobám zastupujícím právnické osoby vydávány prostředky pro elektronickou identifikaci;
5)
„autentizací“ elektronický postup, který umožňuje potvrdit elektronickou identifikaci fyzické či právnické osoby nebo původ a integritu dat v elektronické podobě;
6)
„spoléhající se stranou“ fyzická nebo právnická osoba, která se spoléhá na elektronickou identifikaci nebo službu vytvářející důvěru;
7)
„subjektem veřejného sektoru“ státní, regionální nebo místní orgán, veřejnoprávní subjekt, sdružení vytvořené jedním nebo několika takovými orgány nebo jedním nebo několika takovými veřejnoprávními subjekty nebo soukromý subjekt, který byl alespoň jedním z těchto orgánů, subjektů nebo sdružení pověřen poskytovat veřejné služby, jedná-li na základě tohoto pověření;
8)
„veřejnoprávním subjektem“ subjekt vymezený v čl. 2 odst. 1 bodě 4 směrnice Evropského parlamentu a Rady 2014/24/EU (15);
9)
„podepisující osobou“ fyzická osoba, která vytváří elektronický podpis;
10)
„elektronickým podpisem“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena a která podepisující osoba používá k podepsání;
11)
„zaručeným elektronickým podpisem“ elektronický podpis, který splňuje požadavky stanovené v článku 26;
12)
„kvalifikovaným elektronickým podpisem“ zaručený elektronický podpis, který je vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů a který je založen na kvalifikovaném certifikátu pro elektronické podpisy;
13)
„daty pro vytváření elektronických podpisů“ jedinečná data, která podepisující osoba používá k vytváření elektronických podpisů;
14)
„certifikátem pro elektronický podpis“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických podpisů s určitou fyzickou osobou a potvrzuje alespoň jméno nebo pseudonym této osoby;
15)
„kvalifikovaným certifikátem pro elektronický podpis“ certifikát pro elektronický podpis, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze I;
16)
„službou vytvářející důvěru“ elektronická služba, která je zpravidla poskytována za úplatu a spočívá:
a)
ve vytváření, ověřování shody a ověřování platnosti elektronických podpisů, elektronických pečetí nebo elektronických časových razítek, služeb elektronického doporučeného doručování a certifikátů souvisejících s těmito službami nebo
b)
ve vytváření, ověřování shody a ověřování platnosti certifikátů pro autentizaci internetových stránek nebo
c)
v uchovávání elektronických podpisů, pečetí nebo certifikátů souvisejících s těmito službami;
17)
„kvalifikovanou službou vytvářející důvěru“ služba vytvářející důvěru, která splňuje použitelné požadavky stanovené v tomto nařízení;
18)
„subjektem posuzování shody“ subjekt vymezený v čl. 2 bodě 13 nařízení (ES) č. 765/2008, který je v souladu s uvedeným nařízením akreditován jako způsobilý provádět posuzování shody kvalifikovaného poskytovatele služeb vytvářejících důvěru a jím poskytovaných kvalifikovaných služeb vytvářejících důvěru;
19)
„poskytovatelem služeb vytvářejících důvěru“ fyzická nebo právnická osoba, která poskytuje jednu či více služeb vytvářejících důvěru buď jako kvalifikovaný, nebo jako nekvalifikovaný poskytovatel služeb vytvářejících důvěru;
20)
„kvalifikovaným poskytovatelem služeb vytvářejících důvěru“ poskytovatel služeb vytvářejících důvěru, který poskytuje jednu či více kvalifikovaných služeb vytvářejících důvěru a kterému orgán dohledu udělil status kvalifikovaného poskytovatele;
21)
„produktem“ technické zařízení nebo programové vybavení či jejich příslušné součásti, které jsou určeny k používání pro poskytování služeb vytvářejících důvěru;
22)
„prostředkem pro vytváření elektronických podpisů“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických podpisů;
23)
„kvalifikovaným prostředkem pro vytváření elektronických podpisů“ prostředek pro vytváření elektronických podpisů, který splňuje požadavky stanovené v příloze II;
24)
„pečetící osobou“ právnická osoba, která vytváří elektronickou pečeť;
25)
„elektronickou pečetí“ data v elektronické podobě, která jsou připojena k jiným datům v elektronické podobě nebo jsou s nimi logicky spojena s cílem zaručit jejich původ a integritu;
26)
„zaručenou elektronickou pečetí“ elektronická pečeť, která splňuje požadavky stanovené v článku 36;
27)
„kvalifikovanou elektronickou pečetí“ zaručená elektronická pečeť, která je vytvořena pomocí kvalifikovaného prostředku pro vytváření elektronických pečetí a která je založena na kvalifikovaném certifikátu pro elektronickou pečeť;
28)
„daty pro vytváření elektronických pečetí“ jedinečná data, která pečetící osoba používá k vytváření elektronických pečetí;
29)
„certifikátem pro elektronickou pečeť“ elektronické potvrzení, které spojuje data pro ověřování platnosti elektronických pečetí s určitou právnickou osobou a potvrzuje název této osoby;
30)
„kvalifikovaným certifikátem pro elektronickou pečeť“ certifikát pro elektronickou pečeť, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze III;
31)
„prostředkem pro vytváření elektronických pečetí“ konfigurované programové vybavení nebo technické zařízení, které se používá k vytváření elektronických pečetí;
32)
„kvalifikovaným prostředkem pro vytváření elektronických pečetí“ prostředek pro vytváření elektronických pečetí, který přiměřeně splňuje požadavky stanovené v příloze II;
33)
„elektronickým časovým razítkem“ data v elektronické podobě, která spojují jiná data v elektronické podobě s určitým okamžikem a prokazují, že tato jiná data existovala v daném okamžiku;
34)
„kvalifikovaným elektronickým časovým razítkem“ elektronické časové razítko, které splňuje požadavky stanovené v článku 42;
35)
„elektronickým dokumentem“ jakýkoli obsah uchovávaný v elektronické podobě, zejména jako text nebo zvuková, vizuální nebo audiovizuální nahrávka;
36)
„službou elektronického doporučeného doručování“ služba, která umožňuje přenášet data mezi třetími osobami elektronickými prostředky a poskytuje důkazy týkající se nakládání s přenášenými daty, včetně dokladu o odeslání a přijetí dat, a která chrání přenášená data před rizikem ztráty, odcizení, poškození nebo neoprávněných změn;
37)
„kvalifikovanou službou elektronického doporučeného doručování“ služba elektronického doporučeného doručování, která splňuje požadavky stanovené v článku 44;
38)
„certifikátem pro autentizaci internetových stránek“ potvrzení, které umožňuje autentizovat internetové stránky a spojuje je s fyzickou nebo právnickou osobou, jíž je certifikát vydán;
39)
„kvalifikovaným certifikátem pro autentizaci internetových stránek“ certifikát pro autentizaci internetových stránek, který je vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a splňuje požadavky stanovené v příloze IV;
40)
„daty pro ověřování platnosti“ data, která se používají k ověření platnosti elektronického podpisu nebo elektronické pečeti;
41)
„ověřováním platnosti“ postup ověřující shodu a potvrzující platnost elektronického podpisu nebo elektronické pečeti.
Článek 4
Zásada vnitřního trhu
1. Nesmějí existovat žádná omezení týkající se poskytování služeb vytvářejících důvěru na území určitého členského státu poskytovatelem služeb vytvářejících důvěru, který je usazen v jiném členském státě, z důvodů spadajících do oblastí, na něž se vztahuje toto nařízení.
2. Produkty a služby vytvářející důvěru, které vyhovují tomuto nařízení, se mohou volně pohybovat na vnitřním trhu.
Článek 5
Zpracování a ochrana údajů
1. Zpracování osobních údajů se provádí v souladu se směrnicí 95/46/ES.
2. Aniž jsou dotčeny právní účinky, které vnitrostátní právo přiznává pseudonymům, není používání pseudonymů v elektronických transakcích zakázáno.
KAPITOLA II
ELEKTRONICKÁ IDENTIFIKACE
Článek 6
Vzájemné uznávání
1. Pokud se podle vnitrostátního práva nebo správní praxe pro přístup ke službě poskytované on-line subjektem veřejného sektoru v určitém členském státě vyžaduje elektronická identifikace s použitím prostředku pro elektronickou identifikaci a autentizace, je pro účely přeshraniční autentizace pro danou on-line službu uznán v tomto členském státě prostředek pro elektronickou identifikaci vydaný v jiném členském státě, pokud jsou splněny tyto podmínky:
a)
daný prostředek pro elektronickou identifikaci je vydán v rámci systému elektronické identifikace, který je uveden na seznamu zveřejněném Komisí podle článku 9;
b)
úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá stejné úrovni záruky, jako je úroveň záruky požadovaná příslušným subjektem veřejného sektoru v prvním členském státě pro přístup k dané on-line službě, nebo vyšší úrovni, pokud úroveň záruky daného prostředku pro elektronickou identifikaci odpovídá značné nebo vysoké úrovni záruky;
c)
příslušný subjekt veřejného sektoru používá v souvislosti s přístupem k dané on-line službě značnou nebo vysokou úroveň záruky.
K tomuto uznání dojde do dvanácti měsíců od zveřejnění seznamu uvedeného v prvním pododstavci písm. a) Komisí.
2. Pro účely přeshraniční autentizace pro on-line službu poskytovanou subjekty veřejného sektoru mohou tyto subjekty uznat prostředek pro elektronickou identifikaci, který byl vydán v rámci systému elektronické identifikace uvedeného na seznamu zveřejněném Komisí podle článku 9 a který odpovídá nízké úrovni záruky.
Článek 7
Způsobilost systémů elektronické identifikace pro oznámení
Systém elektronické identifikace je způsobilý pro oznámení podle čl. 9 odst. 1, jsou-li splněny všechny tyto podmínky:
a)
prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace:
i)
vydává oznamující členský stát;
ii)
jsou vydávány z pověření oznamujícího členského státu; nebo
iii)
jsou vydávány nezávisle na oznamujícím členském státu a tento členský stát je uznává;
b)
prostředky pro elektronickou identifikaci v rámci daného systému elektronické identifikace lze použít pro přístup k alespoň jedné službě poskytované subjektem veřejného sektoru, u níž se v oznamujícím členském státě vyžaduje elektronická identifikace;
c)
daný systém elektronické identifikace a prostředky pro elektronickou identifikaci v rámci tohoto systému vydávané splňují požadavky alespoň na jednu z úrovní záruky stanovených v prováděcím aktu uvedeném v čl. 8 odst. 3;
d)
oznamující členský stát zajišťuje, aby osobní identifikační údaje jedinečně identifikující danou osobu byly v okamžiku vydání prostředku pro elektronickou identifikaci v rámci daného systému v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3 spojeny s fyzickou nebo právnickou osobou uvedenou v čl. 3 bodě 1;
e)
strana vydávající prostředky pro elektronickou identifikaci v rámci daného systému zajišťuje, aby byl prostředek pro elektronickou identifikaci spojen s osobou uvedenou v písmeni d) tohoto článku v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím aktu uvedeném v čl. 8 odst. 3;
f)
oznamující členský stát zajišťuje dostupnost on-line autentizace tak, aby kterákoli spoléhající se strana usazená na území jiného členského státu byla schopna potvrdit osobní identifikační údaje, které obdržela v elektronické podobě.
V případě jiných spoléhajících se stran než subjektů veřejného sektoru může oznamující členský stát stanovit podmínky přístupu k této autentizaci. Tato přeshraniční autentizace se poskytuje bezplatně, pokud je prováděna v souvislosti s on-line službou poskytovanou subjektem veřejného sektoru.
Členské státy nesmějí spoléhajícím se stranám, které chtějí tuto autentizaci provést, ukládat zvláštní nepřiměřené technické požadavky, které by bránily interoperabilitě oznámených systémů elektronické identifikace nebo by ji významně ztěžovaly;
g)
nejméně šest měsíců před oznámením podle čl. 9 odst. 1 poskytne oznamující členský stát ostatním členským státům pro účely povinnosti stanovené v čl. 12 odst. 5 popis daného systému v souladu s procesními opatřeními stanovenými v prováděcích aktech uvedených v čl. 12 odst. 7;
h)
daný systém elektronické identifikace splňuje požadavky stanovené v prováděcím aktu uvedeném v čl. 12 odst. 8.
Článek 8
Úrovně záruky systémů elektronické identifikace
1. Systém elektronické identifikace oznámený podle čl. 9 odst. 1 uvádí nízkou, značnou nebo vysokou úroveň záruky pro prostředky pro elektronickou identifikaci vydávané v rámci tohoto systému.
2. Nízká, značná a vysoká úroveň záruky musí splňovat tato příslušná kritéria:
a)
nízká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí omezenou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je snížit riziko zneužití nebo změny totožnosti;
b)
značná úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí značnou míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je značně snížit riziko zneužití nebo změny totožnosti;
c)
vysoká úroveň záruky označuje v souvislosti se systémem elektronické identifikace prostředek pro elektronickou identifikaci, který nabízí vyšší míru spolehlivosti u deklarované nebo uváděné totožnosti určité osoby než prostředek pro elektronickou identifikaci se značnou úrovní záruky a je charakterizován pomocí souvisejících technických specifikací, norem a postupů, včetně technických kontrol, jejichž účelem je předejít zneužití nebo změně totožnosti.
3. Do 18. září 2015 Komise prostřednictvím prováděcích aktů s přihlédnutím k příslušným mezinárodním normám a s výhradou odstavce 2 stanoví minimální technické specifikace, normy a postupy, jejichž pomocí jsou pro účely odstavce 1 vymezeny nízká, značná a vysoká úroveň záruky prostředků pro elektronickou identifikaci.
Tyto minimální technické specifikace, normy a postupy se stanoví na základě spolehlivosti a kvality:
a)
postupu prokazování a ověřování totožnosti fyzických nebo právnických osob žádajících o vydání prostředku pro elektronickou identifikaci;
b)
postupu vydávání požadovaných prostředků pro elektronickou identifikaci;
c)
mechanismu autentizace, při níž fyzická nebo právnická osoba používá prostředek pro elektronickou identifikaci k tomu, aby spoléhající se straně potvrdila svou totožnost;
d)
subjektu vydávajícího prostředky pro elektronickou identifikaci;
e)
jakéhokoli jiného subjektu zapojeného do žádosti o vydání prostředku pro elektronickou identifikaci a
f)
technických a bezpečnostních specifikací vydaného prostředku pro elektronickou identifikaci.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 9
Oznámení
1. Oznamující členský stát oznámí Komisi tyto informace a bez zbytečného odkladu i jejich případné následné změny:
a)
popis systému elektronické identifikace, včetně jeho úrovní záruky a vydavatele či vydavatelů prostředků pro elektronickou identifikaci v rámci tohoto systému;
b)
použitelný režim dohledu a informace o režimu odpovědnosti, pokud jde o:
i)
stranu vydávající prostředky pro elektronickou identifikaci a
ii)
stranu provozující postup autentizace;
c)
orgán nebo orgány odpovědné za systém elektronické identifikace;
d)
informace o subjektu či subjektech, které spravují evidenci jedinečných osobních identifikačních údajů;
e)
popis způsobu, jakým jsou plněny požadavky stanovené v prováděcích aktech uvedených v čl. 12 odst. 8;
f)
popis autentizace podle čl. 7 písm. f);
g)
opatření k pozastavení platnosti nebo zrušení oznámeného systému elektronické identifikace nebo autentizace či dotčených ohrožených součástí.
2. Jeden rok ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8 zveřejní Komise v Úředním věstníku Evropské unie seznam systémů elektronické identifikace, které byly oznámeny podle odstavce 1 tohoto článku, a základní informace o těchto systémech.
3. Obdrží-li Komise oznámení po uplynutí lhůty uvedené v odstavci 2, zveřejní změny v seznamu podle uvedeného odstavce v Úředním věstníku Evropské unie do dvou měsíců od obdržení daného oznámení.
4. Členský stát může Komisi požádat o vyškrtnutí systému elektronické identifikace, který oznámil, ze seznamu uvedeného v odstavci 2. Do jednoho měsíce od obdržení žádosti členského státu zveřejní Komise odpovídající změny v seznamu v Úředním věstníku Evropské unie.
5. Komise může prostřednictvím prováděcích aktů stanovit okolnosti, formáty a postupy pro oznamování podle odstavce 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 10
Narušení bezpečnosti
1. Je-li bezpečnost systému elektronické identifikace oznámeného v souladu s čl. 9 odst. 1 či autentizace uvedené v čl. 7 písm. f) narušena nebo částečně ohrožena způsobem, který ovlivňuje spolehlivost přeshraniční autentizace tohoto systému, oznamující členský stát bezodkladně pozastaví nebo zruší tuto přeshraniční autentizaci nebo dotčené ohrožené součásti a uvědomí o tom ostatní členské státy a Komisi.
2. Pokud bylo narušení nebo ohrožení bezpečnosti uvedené v odstavci 1 napraveno, oznamující členský stát přeshraniční autentizaci obnoví a bez zbytečného odkladu o tom uvědomí ostatní členské státy a Komisi.
3. Pokud k nápravě narušení nebo ohrožení bezpečnosti uvedeného v odstavci 1 nedojde do tří měsíců od pozastavení či zrušení, oznámí oznamující stát ostatním členským státům a Komisi stažení systému elektronické identifikace.
Komise bez zbytečného odkladu zveřejní v Úředním věstníku Evropské unie odpovídající změny v seznamu uvedeném v čl. 9 odst. 2.
Článek 11
Odpovědnost za škodu
1. Oznamující členský stát odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním svých povinností uvedených v čl. 7 písm. d) a f) v přeshraniční transakci.
2. Strana vydávající prostředky pro elektronickou identifikaci odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním povinnosti uvedené v čl. 7 písm. e) v přeshraniční transakci.
3. Strana provozující postup autentizace odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nezajištěním správného fungování autentizace podle čl. 7 písm. f) v přeshraniční transakci.
4. Odstavce 1, 2 a 3 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
5. Odstavci 1, 2 a 3 není dotčena odpovědnost za škodu, kterou podle vnitrostátního práva nesou účastníci transakce, při níž jsou použity prostředky pro elektronickou identifikaci spadající do systému elektronické identifikace oznámeného podle čl. 9 odst. 1.
Článek 12
Spolupráce a interoperabilita
1. Vnitrostátní systémy elektronické identifikace oznámené podle čl. 9 odst. 1 musí být interoperabilní.
2. Pro účely odstavce 1 se zavede rámec interoperability.
3. Rámec interoperability musí splňovat tato kritéria:
a)
usiluje o to, aby byl z technologického hlediska neutrální, a v rámci členského státu nerozlišuje mezi žádnými zvláštními vnitrostátními technickými řešeními elektronické identifikace;
b)
je-li to možné, řídí se evropskými a mezinárodními normami;
c)
usnadňuje uplatňování zásady ochrany soukromí již od návrhu; a
d)
zajišťuje, aby osobní údaje byly zpracovávány v souladu se směrnicí 95/46/ES.
4. Rámec interoperability sestává z:
a)
odkazu na minimální technické požadavky týkající se úrovní záruky stanovených v článku 8;
b)
mapování vnitrostátních úrovní záruky oznámených systémů elektronické identifikace podle úrovní záruky stanovených v článku 8;
c)
odkazu na minimální technické požadavky pro interoperabilitu;
d)
odkazu na minimální soubor osobních identifikačních údajů jedinečně identifikujících fyzickou nebo právnickou osobu, který je v systémech elektronické identifikace k dispozici;
e)
procesních pravidel;
f)
opatření pro řešení sporů; a
g)
společných norem provozní bezpečnosti.
5. Členské státy spolupracují ohledně:
a)
interoperability systémů elektronické identifikace oznámených podle čl. 9 odst. 1 a systémů elektronické identifikace, jež členské státy hodlají oznámit; a
b)
bezpečnosti systémů elektronické identifikace.
6. Spolupráce mezi členskými státy zahrnuje:
a)
výměnu informací, zkušeností a osvědčených postupů v oblasti systémů elektronické identifikace, a zejména v oblasti technických požadavků týkajících se interoperability a úrovní záruky;
b)
výměnu informací, zkušeností a osvědčených postupů v oblasti práce s úrovněmi záruky systémů elektronické identifikace podle článku 8;
c)
vzájemné hodnocení systémů elektronické identifikace, které spadají do oblasti působnosti tohoto nařízení; a
d)
posouzení relevantního vývoje v odvětví elektronické identifikace.
7. Komise do 18. března 2015 prostřednictvím prováděcích aktů stanoví nezbytná procesní opatření pro usnadnění spolupráce mezi členskými státy podle odstavců 5 a 6 v zájmu podpory vysoké úrovně důvěryhodnosti a bezpečnosti odpovídající míře rizika.
8. Do 18. března 2015 Komise pro účely stanovení jednotných podmínek pro provádění požadavku podle odstavce 1, s výhradou kritérií stanovených v odstavci 3 a s přihlédnutím k výsledkům spolupráce mezi členskými státy, přijme prováděcí akty týkající se rámce interoperability stanoveného v odstavci 4.
9. Prováděcí akty uvedené v odstavcích 7 a 8 tohoto článku se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA III
SLUŽBY VYTVÁŘEJÍCÍ DŮVĚRU
ODDÍL 1
Obecná ustanovení
Článek 13
Odpovědnost za škodu a důkazní břemeno
1. Aniž je dotčen odstavec 2, poskytovatelé služeb vytvářejících důvěru odpovídají za škodu, kterou úmyslně nebo z nedbalosti způsobí fyzické nebo právnické osobě nesplněním povinností podle tohoto nařízení.
Důkazní břemeno, pokud jde o úmysl nebo nedbalost nekvalifikovaného poskytovatele služeb vytvářejících důvěru, nese fyzická nebo právnická osoba uplatňující nárok na náhradu škody podle prvního pododstavce.
V případě kvalifikovaného poskytovatele služeb vytvářejících důvěru se úmysl nebo nedbalost předpokládá, pokud daný kvalifikovaný poskytovatel služeb vytvářejících důvěru neprokáže, že škoda podle prvního pododstavce nastala bez jeho úmyslu nebo nedbalosti.
2. Pokud poskytovatelé služeb vytvářejících důvěru své zákazníky předem řádně informují o omezeních týkajících se využívání jimi poskytovaných služeb a tato omezení jsou rozpoznatelná pro třetí osoby, neodpovídají poskytovatelé služeb vytvářejících důvěru za škody způsobené využíváním služeb nad rámec uvedených omezení.
3. Odstavce 1 a 2 se použijí v souladu s vnitrostátními pravidly upravujícími odpovědnost za škodu.
Článek 14
Mezinárodní aspekty
1. Služby vytvářející důvěru poskytované poskytovateli služeb vytvářejících důvěru usazenými ve třetí zemi se uznávají jako právně rovnocenné kvalifikovaným službám vytvářejícím důvěru poskytovaným kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii, pokud jsou služby vytvářející důvěru pocházející ze třetí země uznány na základě dohody uzavřené mezi Unií a dotyčnou třetí zemí nebo mezinárodní organizací v souladu s článkem 218 Smlouvy o fungování EU.
2. Dohody uvedené v odstavci 1 zejména zajistí, aby:
a)
poskytovatelé služeb vytvářejících důvěru v třetí zemi nebo mezinárodní organizaci, s níž je dohoda uzavřena, a jimi poskytované služby vytvářející důvěru splňovali požadavky vztahující se na kvalifikované poskytovatele služeb vytvářejících důvěru usazené v Unii a jimi poskytované kvalifikované služby vytvářející důvěru;
b)
kvalifikované služby vytvářející důvěru poskytované kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými v Unii byly uznány jako právně rovnocenné službám vytvářejícím důvěru poskytovaným poskytovateli služeb vytvářejících důvěru v třetí zemi nebo mezinárodní organizaci, s níž je dohoda uzavřena.
Článek 15
Přístupnost pro osoby se zdravotním postižením
Je-li to proveditelné, měly by být poskytované služby vytvářející důvěru a konečné uživatelské produkty používané při poskytování těchto služeb dostupné osobám se zdravotním postižením.
Článek 16
Sankce
Členské státy stanoví pravidla pro ukládání sankcí za porušení tohoto nařízení. Stanovené sankce musí být účinné, přiměřené a odrazující.
ODDÍL 2
Dohled
Článek 17
Orgán dohledu
1. Členské státy určí orgán dohledu usazený na jejich území nebo po vzájemné dohodě s jiným členským státem orgán dohledu usazený v tomto jiném členském státě. Tento orgán odpovídá za plnění úkolů v oblasti dohledu v členském státě, který provedl určení.
Orgánům dohledu musí být uděleny nezbytné pravomoci a odpovídající zdroje pro plnění jejich úkolů.
2. Členské státy sdělí Komisi názvy a adresy jimi určených orgánů dohledu.
3. Orgán dohledu má tyto úlohy:
a)
vykonávat dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru usazenými na území členského státu, který provedl určení, s cílem zajistit prostřednictvím činností předběžného a následného dohledu, aby tito kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jimi poskytované kvalifikované služby vytvářející důvěru splňovali požadavky stanovené v tomto nařízení;
b)
v případě potřeby přijmout prostřednictvím činností následného dohledu opatření ve vztahu k nekvalifikovaným poskytovatelům služeb vytvářejících důvěru usazeným na území členského státu, který provedl určení, pokud je informován, že tito nekvalifikovaní poskytovatelé služeb vytvářejících důvěru nebo jimi poskytované služby vytvářející důvěru údajně nesplňují požadavky stanovené v tomto nařízení.
4. Pro účely odstavce 3 a s výhradou omezení stanovených v uvedeném odstavci patří mezi úkoly orgánu dohledu zejména tyto činnosti:
a)
spolupracovat s ostatními orgány dohledu a poskytovat jim pomoc v souladu s článkem 18;
b)
provádět analýzu zpráv o posouzení shody uvedených v čl. 20 odst. 1 a čl. 21 odst. 1;
c)
informovat ostatní orgány dohledu a veřejnost o případech narušení bezpečnosti nebo ztráty integrity v souladu s čl. 19 odst. 2;
d)
podávat Komisi zprávy o svých hlavních činnostech v souladu s odstavcem 6 tohoto článku;
e)
provádět audity kvalifikovaných poskytovatelů služeb vytvářejících důvěru nebo požadovat, aby subjekt posuzování shody provedl posouzení shody těchto poskytovatelů v souladu s čl. 20 odst. 2;
f)
spolupracovat s orgány pro ochranu údajů, zejména je bez zbytečného odkladu informovat o výsledcích auditů kvalifikovaných poskytovatelů služeb vytvářejících důvěru, jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů;
g)
udělovat poskytovatelům služeb vytvářejících důvěru a jimi poskytovaným službám status kvalifikovaného poskytovatele nebo kvalifikované služby a odnímat tento status v souladu s články 20 a 21;
h)
informovat subjekt odpovědný za vnitrostátní důvěryhodný seznam podle čl. 22 odst. 3 o svých rozhodnutích udělit nebo odejmout status kvalifikovaného poskytovatele nebo kvalifikované služby, pokud tento subjekt není rovněž orgánem dohledu;
i)
ověřovat existenci a správné uplatňování předpisů o plánech ukončení činnosti v případech, kdy kvalifikovaný poskytovatel služeb vytvářejících důvěru ukončí svou činnost, včetně způsobu zpřístupňování informací v souladu s čl. 24 odst. 2 písm. h);
j)
požadovat, aby poskytovatelé služeb vytvářejících důvěru napravili případné neplnění požadavků stanovených v tomto nařízení.
5. Členské státy mohou vyžadovat, aby orgán dohledu zavedl, udržoval a aktualizoval důvěryhodnou infrastrukturu v souladu s podmínkami stanovenými vnitrostátním právem.
6. Do 31. března každého roku předloží každý orgán dohledu Komisi zprávu o svých hlavních činnostech v předchozím kalendářním roce, spolu se shrnutím oznámení o narušení bezpečnosti, která obdržel od poskytovatelů služeb vytvářejících důvěru v souladu s čl. 19 odst. 2.
7. Výroční zprávu uvedenou v odstavci 6 Komise zpřístupní členským státům.
8. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy pro podávání zpráv podle odstavce 6. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 18
Vzájemná pomoc
1. Orgány dohledu vzájemně spolupracují za účelem výměny osvědčených postupů.
Po obdržení odůvodněné žádosti jiného orgánu dohledu poskytne orgán dohledu danému orgánu pomoc, aby bylo možné zajistit jednotný výkon činností orgánů dohledu. Vzájemná pomoc může zahrnovat zejména žádosti o informace a opatření v oblasti dohledu, například žádosti o provedení prověrek v souvislosti se zprávami o posouzení shody podle článků 20 a 21.
2. Orgán dohledu, jemuž byla podána žádost o pomoc, může tuto žádost zamítnout z kteréhokoliv z těchto důvodů:
a)
orgán dohledu není k poskytnutí požadované pomoci příslušný;
b)
požadovaná pomoc je nepřiměřená činnostem v oblasti dohledu, které daný orgán dohledu vykonává v souladu s článkem 17;
c)
poskytnutí požadované pomoci by nebylo slučitelné s tímto nařízením.
3. Členské státy mohou svým příslušným orgánům dohledu případně povolit provádět společná šetření, na nichž se podílejí pracovníci orgánů dohledu z ostatních členských států. Ujednání a postupy pro tyto společné akce dohodnou a zavedou dotčené členské státy v souladu se svými vnitrostátními právními předpisy.
Článek 19
Bezpečnostní požadavky vztahující se na poskytovatele služeb vytvářejících důvěru
1. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru přijmou vhodná technická a organizační opatření k řízení rizik ohrožujících bezpečnost jimi poskytovaných služeb vytvářejících důvěru. S ohledem na nejnovější technologický vývoj musí tato opatření zajišťovat úroveň bezpečnosti, která je přiměřená míře rizika. Zejména musí být přijata opatření k zabránění bezpečnostním incidentům, k minimalizaci jejich dopadů a k informování zúčastněných stran o nepříznivých dopadech těchto incidentů.
2. Kvalifikovaní a nekvalifikovaní poskytovatelé služeb vytvářejících důvěru vyrozumí orgán dohledu a případné další příslušné subjekty, jako jsou příslušný vnitrostátní orgán pro bezpečnost informací nebo orgán pro ochranu údajů, o každém narušení bezpečnosti nebo ztrátě integrity, jež mají významný dopad na poskytovanou službu vytvářející důvěru nebo na uchovávané osobní údaje, a to bez zbytečného odkladu a v každém případě do 24 hodin od okamžiku, kdy toto narušení zjistili.
Může-li mít narušení bezpečnosti nebo ztráta integrity nepříznivý dopad na fyzickou nebo právnickou osobu, jíž byla služba vytvářející důvěru poskytnuta, vyrozumí poskytovatel služeb vytvářejících důvěru o daném narušení bezpečnosti nebo dané ztrátě integrity bez zbytečného odkladu také tuto fyzickou nebo právnickou osobu.
Je-li to vhodné, zejména týká-li se narušení bezpečnosti nebo ztráta integrity dvou nebo více členských států, uvědomí vyrozuměný orgán dohledu orgány dohledu v ostatních dotčených členských státech a ENISA.
Vyrozuměný orgán dohledu informuje veřejnost nebo požádá, aby tak učinil poskytovatel služeb vytvářejících důvěru, pokud rozhodne, že zveřejnění informací o narušení bezpečnosti nebo ztrátě integrity je ve veřejném zájmu.
3. Orgán dohledu poskytne ENISA jednou ročně shrnutí oznámení o narušení bezpečnosti a ztrátě integrity, která od poskytovatelů služeb vytvářejících důvěru obdržel.
4. Komise může prostřednictvím prováděcích aktů:
a)
dále upřesnit opatření uvedená v odstavci 1 a
b)
stanovit formáty a postupy, včetně lhůt, použitelné pro účely odstavce 2.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 3
Kvalifikované služby vytvářející důvěru
Článek 20
Dohled nad kvalifikovanými poskytovateli služeb vytvářejících důvěru
1. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru se na vlastní náklady alespoň jednou za 24 měsíců podrobí auditu ze strany subjektu posuzování shody. Účelem auditu je potvrzení toho, že kvalifikovaní poskytovatelé služeb vytvářejících důvěru i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru předloží výslednou zprávu o posouzení shody do tří pracovních dnů od jejího obdržení orgánu dohledu.
2. Aniž je dotčen odstavec 1, může orgán dohledu u kvalifikovaných poskytovatelů služeb vytvářejících důvěru na jejich náklady kdykoli provést audit nebo požádat subjekt posuzování shody o provedení posouzení shody za účelem potvrzení, že oni sami i jimi poskytované kvalifikované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení. Jestliže podle všeho došlo k porušení pravidel týkajících se ochrany osobních údajů, sdělí orgán dohledu výsledky svých auditů orgánům pro ochranu údajů.
3. Pokud orgán dohledu požaduje, aby kvalifikovaný poskytovatel služeb vytvářejících důvěru napravil neplnění požadavků podle tohoto nařízení, a tento poskytovatel ve lhůtě případně stanovené orgánem dohledu neučiní příslušné kroky, může orgán dohledu zejména s přihlédnutím k rozsahu, délce trvání a důsledkům daného neplnění odejmout danému poskytovateli a jím poskytované dotčené službě status kvalifikovaného poskytovatele nebo kvalifikované služby a informovat o této skutečnosti subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1. Orgán dohledu vyrozumí daného kvalifikovaného poskytovatele služeb vytvářejících důvěru o odnětí statusu kvalifikovaného poskytovatele nebo kvalifikované služby.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro:
a)
akreditaci subjektů posuzování shody a pro zprávy o posouzení shody podle odstavce 1;
b)
pravidla auditu, podle nichž budou subjekty posuzování shody provádět posuzování shody kvalifikovaných poskytovatelů služeb vytvářejících důvěru podle odstavce 1.
Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 21
Zahájení poskytování kvalifikované služby vytvářející důvěru
1. Pokud mají poskytovatelé služeb vytvářejících důvěru bez statusu kvalifikovaného poskytovatele v úmyslu začít poskytovat kvalifikované služby vytvářející důvěru, předloží orgánu dohledu oznámení o svém úmyslu společně se zprávou o posouzení shody vydanou subjektem posuzování shody.
2. Orgán dohledu ověří, zda poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky stanovené v tomto nařízení, zejména požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru a na jimi poskytované kvalifikované služby vytvářející důvěru.
Dojde-li orgán dohledu k závěru, že poskytovatel služeb vytvářejících důvěru a jím poskytované služby vytvářející důvěru splňují požadavky uvedené v prvním pododstavci, udělí orgán dohledu tomuto poskytovateli služeb vytvářejících důvěru a jím poskytovaným službám vytvářejícím důvěru status kvalifikovaného poskytovatele nebo kvalifikované služby a uvědomí o tom subjekt uvedený v čl. 22 odst. 3 za účelem aktualizace důvěryhodných seznamů podle čl. 22 odst. 1, a to do tří měsíců od obdržení oznámení podle odstavce 1 tohoto článku.
Není-li ověření dokončeno do tří měsíců od oznámení, vyrozumí orgán dohledu poskytovatele služeb vytvářejících důvěru a uvede důvody prodlení a dobu, v níž bude ověřování dokončeno.
3. Kvalifikovaní poskytovatelé služeb vytvářejících důvěru mohou začít danou kvalifikovanou službu vytvářející důvěru poskytovat poté, co byl status kvalifikovaného poskytovatele nebo kvalifikované služby vyznačen v důvěryhodných seznamech uvedených v čl. 22 odst. 1.
4. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy pro účely odstavců 1 a 2. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 22
Důvěryhodné seznamy
1. Každý členský stát zřizuje, udržuje a zveřejňuje důvěryhodné seznamy obsahující informace týkající se kvalifikovaných poskytovatelů služeb vytvářejících důvěru v jeho působnosti spolu s informacemi o jimi poskytovaných kvalifikovaných službách vytvářejících důvěru.
2. Členské státy zřizují ve formě vhodné pro automatické zpracování, udržují a zabezpečeným způsobem zveřejňují důvěryhodné seznamy uvedené v odstavci 1, které jsou opatřeny elektronickým podpisem nebo elektronickou pečetí.
3. Členské státy bez zbytečného odkladu sdělí Komisi informace o subjektu odpovědném za zřízení, udržování a zveřejnění vnitrostátních důvěryhodných seznamů a poskytnou informace o místě zveřejnění těchto seznamů, o certifikátech použitých k opatření důvěryhodných seznamů elektronickým podpisem nebo pečetí a o jejich případných změnách.
4. Informace uvedené v odstavci 3 Komise bezpečnou cestou zpřístupní veřejnosti ve formě opatřené elektronickým podpisem nebo pečetí a vhodné pro automatické zpracování.
5. Do 18. září 2015 Komise prostřednictvím prováděcích aktů upřesní informace uvedené v odstavci 1 a stanoví technické specifikace a formáty pro důvěryhodné seznamy, které se použijí pro účely odstavců 1 až 4. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 23
Značka důvěry EU pro kvalifikované služby vytvářející důvěru
1. Po vyznačení statusu kvalifikovaného poskytovatele nebo kvalifikované služby podle čl. 21 odst. 2 druhého pododstavce v důvěryhodném seznamu uvedeném v čl. 22 odst. 1 mohou kvalifikovaní poskytovatelé služeb vytvářejících důvěru pomocí značky důvěry EU jednoduchým, rozpoznatelným a jasným způsobem označovat jimi poskytované kvalifikované služby vytvářející důvěru.
2. Pokud kvalifikovaní poskytovatelé služeb vytvářejících důvěru používají pro kvalifikované služby vytvářející důvěru uvedené v odstavci 1 značku důvěry EU, zajistí, aby byl na jejich internetových stránkách k dispozici odkaz na příslušný důvěryhodný seznam.
3. Do 1. července 2015 Komise prostřednictvím prováděcích aktů stanoví specifikace týkající se podoby, a zejména formátu, uspořádání, velikosti a vzhledu značky důvěry EU pro kvalifikované služby vytvářející důvěru. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 24
Požadavky na kvalifikované poskytovatele služeb vytvářejících důvěru
1. Při vydávání kvalifikovaného certifikátu pro službu vytvářející důvěru ověří kvalifikovaný poskytovatel služeb vytvářejících důvěru pomocí vhodných prostředků a v souladu s vnitrostátním právem totožnost a případně zvláštní znaky fyzické nebo právnické osoby, jíž je kvalifikovaný certifikát vydáván.
Kvalifikovaný poskytovatel služeb vytvářejících důvěru ověří informace uvedené v prvním pododstavci přímo nebo tím, že se v souladu s vnitrostátním právem spolehne na třetí osobu:
a)
na základě fyzické přítomnosti fyzické osoby nebo oprávněného zástupce právnické osoby; nebo
b)
na dálku s využitím prostředku pro elektronickou identifikaci, u něhož byla před vydáním kvalifikovaného certifikátu zajištěna fyzická přítomnost fyzické osoby nebo oprávněného zástupce právnické osoby a jenž splňuje požadavky stanovené v článku 8, pokud jde o značnou nebo vysokou úroveň záruky; nebo
c)
pomocí certifikátu kvalifikovaného elektronického podpisu nebo kvalifikované elektronické pečeti, vydaného v souladu s písmenem a) nebo b); nebo
d)
pomocí jiných identifikačních metod uznávaných na vnitrostátní úrovni, které poskytují záruku spolehlivosti rovnocennou fyzické přítomnosti. Tuto rovnocennou záruku musí potvrdit subjekt posuzování shody.
2. Kvalifikovaný poskytovatel služeb vytvářejících důvěru poskytující kvalifikované služby vytvářející důvěru:
a)
oznámí orgánu dohledu případné změny v poskytování svých kvalifikovaných služeb vytvářejících důvěru a záměr ukončit své činnosti;
b)
zaměstnává pracovníky a případně subdodavatele, kteří mají potřebné odborné znalosti, zkušenosti a kvalifikace, jsou spolehliví a absolvovali odpovídající odbornou přípravu týkající se bezpečnosti a pravidel ochrany osobních údajů, a používá správní a řídicí postupy, které odpovídají evropským nebo mezinárodním normám;
c)
vzhledem k riziku odpovědnosti za škody v souladu s článkem 13 udržuje dostatečné finanční prostředky nebo uzavřel vhodné pojištění odpovědnosti v souladu s vnitrostátním právem;
d)
před uzavřením smluvního vztahu informuje jasným a srozumitelným způsobem osobu, která chce využít kvalifikovanou službu vytvářející důvěru, o přesných podmínkách používání této služby, včetně případných omezení jejího využívání;
e)
používá důvěryhodné systémy a produkty, které jsou chráněny proti pozměnění, a zajišťuje technickou bezpečnost a spolehlivost procesů, které podporují;
f)
používá důvěryhodné systémy k uchovávání dat, která jsou mu poskytnuta, v ověřitelné podobě, aby:
i)
byla veřejně přístupná pro účely vyhledávání pouze se souhlasem osoby, jíž se data týkají,
ii)
záznamy a změny v uložených datech mohly provádět pouze oprávněné osoby,
iii)
bylo možno ověřit pravost dat;
g)
přijímá vhodná opatření proti padělání a odcizení dat;
h)
po přiměřenou dobu, i poté, co ukončil svou činnost kvalifikovaného poskytovatele služeb vytvářejících důvěru, eviduje a zpřístupňuje veškeré příslušné informace týkající se dat, která vydal a obdržel, zejména pro účely poskytnutí důkazů v soudním a správním řízení a pro účely zajištění kontinuity služby. Tato evidence může mít elektronickou podobu;
i)
má k dispozici aktualizovaný plán ukončení činnosti k zajištění kontinuity služby v souladu s předpisy ověřenými orgánem dohledu podle čl. 17 odst. 4 písm. i);
j)
zajišťuje zákonné zpracovávání osobních údajů v souladu se směrnicí 95/46/ES;
k)
pokud se jedná o kvalifikovaného poskytovatele služeb vytvářejících důvěru vydávajícího kvalifikované certifikáty, vede a aktualizuje databázi certifikátů.
3. Jestliže se kvalifikovaný poskytovatel služeb vytvářejících důvěru vydávající kvalifikované certifikáty rozhodne určitý certifikát zneplatnit, zaeviduje toto zneplatnění ve své databázi certifikátů a zneplatnění certifikátu včas a v každém případě do 24 hodin od obdržení žádosti zveřejní. Zneplatnění nabývá účinku okamžitě po zveřejnění.
4. Pokud jde o odstavec 3, kvalifikovaní poskytovatelé služeb vytvářejících důvěru vydávající kvalifikované certifikáty poskytnou kterékoli spoléhající se straně informace o platnosti nebo o zneplatnění kvalifikovaných certifikátů, které vydali. Tyto informace se poskytnou alespoň na základě certifikátu, a to kdykoli i po skončení doby platnosti certifikátu, automatizovaným způsobem, který je spolehlivý, bezplatný a účinný.
5. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro důvěryhodné systémy a produkty, které splňují požadavky podle odst. 2 písm. e) a f) tohoto článku. Pokud důvěryhodné systémy a produkty vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v tomto článku. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 4
Elektronický podpis
Článek 25
Právní účinky elektronických podpisů
1. Elektronickému podpisu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické podpisy.
2. Kvalifikovaný elektronický podpis má právní účinek rovnocenný vlastnoručnímu podpisu.
3. Kvalifikovaný elektronický podpis založený na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaný elektronický podpis ve všech ostatních členských státech.
Článek 26
Požadavky na zaručené elektronické podpisy
Zaručený elektronický podpis musí splňovat tyto požadavky:
a)
je jednoznačně spojen s podepisující osobou;
b)
umožňuje identifikaci podepisující osoby;
c)
je vytvořen pomocí dat pro vytváření elektronických podpisů, která podepisující osoba může s vysokou úrovní důvěry použít pod svou výhradní kontrolou; a
d)
je k datům, která jsou tímto podpisem podepsána, připojen takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
Článek 27
Elektronické podpisy ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis, uznává zaručené elektronické podpisy, zaručené elektronické podpisy založené na kvalifikovaném certifikátu pro elektronické podpisy a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručený elektronický podpis založený na kvalifikovaném certifikátu, uznává zaručené elektronické podpisy založené na kvalifikovaném certifikátu a kvalifikované elektronické podpisy alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronický podpis s vyšší zárukou bezpečnosti než kvalifikovaný elektronický podpis.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické podpisy. Pokud zaručený elektronický podpis vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické podpisy uvedenými v odstavcích 1 a 2 tohoto článku a v článku 26. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických podpisů nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 28
Kvalifikované certifikáty pro elektronické podpisy
1. Kvalifikované certifikáty pro elektronické podpisy musí splňovat požadavky stanovené v příloze I.
2. Kvalifikované certifikáty pro elektronické podpisy nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze I.
3. Kvalifikované certifikáty pro elektronické podpisy mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických podpisů.
4. Pokud byl kvalifikovaný certifikát pro elektronické podpisy po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronický podpis s výhradou těchto podmínek:
a)
je-li platnost kvalifikovaného certifikátu pro elektronický podpis dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b)
doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro elektronický podpis. Pokud kvalifikovaný certifikát pro elektronický podpis vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze I. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 29
Požadavky na kvalifikované prostředky pro vytváření elektronických podpisů
1. Kvalifikované prostředky pro vytváření elektronických podpisů musí splňovat požadavky stanovené v příloze II.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované prostředky pro vytváření elektronických podpisů. Pokud kvalifikovaný prostředek pro vytváření elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze II. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 30
Certifikace kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Shodu kvalifikovaných prostředků pro vytváření elektronických podpisů s požadavky stanovenými v příloze II certifikují příslušné veřejné nebo soukromé subjekty, které určily členské státy.
2. Členské státy sdělí Komisi názvy a adresy veřejných nebo soukromých subjektů uvedených v odstavci 1. Komise tyto informace zpřístupní členským státům.
3. Certifikace podle odstavce 1 je založena na jednom z těchto postupů:
a)
postupu posouzení bezpečnosti, který byl proveden v souladu s některou z norem pro posuzování bezpečnosti produktů informačních technologií uvedených na seznamu sestaveném v souladu s druhým pododstavcem tohoto odstavce; nebo
b)
jiném postupu, než je postup uvedený v písmenu a), za podmínky, že používá srovnatelné úrovně bezpečnosti a že veřejný nebo soukromý subjekt uvedený v odstavci 1 daný postup oznámí Komisi. Tento postup může být použit pouze v případě, že normy uvedené v písmenu a) neexistují nebo že postup posouzení bezpečnosti podle písmene a) dosud probíhá.
Komise prostřednictvím prováděcích aktů sestaví seznam norem pro posuzování bezpečnosti produktů informačních technologií uvedený v prvním pododstavci písm. a). Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
4. Komise je zmocněna k přijímání aktů v přenesené pravomoci v souladu s článkem 47, pokud jde o stanovení zvláštních kritérií, která mají splňovat určené subjekty uvedené v odstavci 1 tohoto článku.
Článek 31
Zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů
1. Členské státy bez zbytečného odkladu a nejpozději jeden měsíc po ukončení certifikace oznámí Komisi informace o kvalifikovaných prostředcích pro vytváření elektronických podpisů, které byly certifikovány subjekty uvedenými v čl. 30 odst. 1. Bez zbytečného odkladu a nejpozději jeden měsíc po zrušení certifikace Komisi rovněž oznámí informace o prostředcích pro vytváření elektronických podpisů, které již nebudou certifikovány.
2. Na základě obdržených informací Komise zřizuje, zveřejňuje a udržuje seznam certifikovaných kvalifikovaných prostředků pro vytváření elektronických podpisů.
3. Komise může prostřednictvím prováděcích aktů stanovit formáty a postupy použitelné pro účely odstavce 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 32
Požadavky na ověřování platnosti kvalifikovaných elektronických podpisů
1. Postup ověření platnosti kvalifikovaného elektronického podpisu potvrdí platnost kvalifikovaného elektronického podpisu, pokud:
a)
certifikát, na němž je podpis založen, byl v okamžiku podpisu kvalifikovaným certifikátem pro elektronický podpis, jenž je v souladu s přílohou I;
b)
kvalifikovaný certifikát byl vydán kvalifikovaným poskytovatelem služeb vytvářejících důvěru a v okamžiku podpisu byl platný;
c)
data pro ověřování platnosti podpisu odpovídají datům poskytnutým spoléhající se straně;
d)
spoléhající se straně je řádně poskytnut jedinečný soubor dat identifikujících podepisující osobu v certifikátu;
e)
pokud byl v okamžiku podpisu použit pseudonym, je jeho použití jednoznačně sděleno spoléhající se straně;
f)
elektronický podpis byl vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů;
g)
nebyla ohrožena integrita podepsaných dat;
h)
v okamžiku podpisu byly splněny požadavky stanovené v článku 26.
2. Systém použitý k ověření platnosti kvalifikovaného elektronického podpisu musí poskytovat spoléhající se straně řádný výsledek postupu ověření platnosti a umožňovat jí zjistit jakékoli problémy týkající se bezpečnosti.
3. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro ověřování platnosti kvalifikovaných elektronických podpisů. Pokud ověřování platnosti kvalifikovaných elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 33
Kvalifikovaná služba ověřování platnosti kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu ověřování platnosti kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který:
a)
zajišťuje ověřování platnosti v souladu s čl. 32 odst. 1 a
b)
umožňuje, aby spoléhající se strany obdržely výsledek postupu ověření platnosti automatizovaným způsobem, který je spolehlivý, účinný a je opatřen zaručeným elektronickým podpisem nebo zaručenou elektronickou pečetí poskytovatele kvalifikované služby ověřování platnosti.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikovanou službu ověřování platnosti uvedenou v odstavci 1. Pokud služba ověřování platnosti kvalifikovaných elektronických podpisů vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 34
Kvalifikovaná služba uchovávání kvalifikovaných elektronických podpisů
1. Kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů může poskytovat pouze kvalifikovaný poskytovatel služeb vytvářejících důvěru, který používá postupy a technologie, jež jsou s to zajistit důvěryhodnost kvalifikovaného elektronického podpisu i po uplynutí doby technické platnosti.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů. Pokud postupy pro kvalifikovanou službu uchovávání kvalifikovaných elektronických podpisů vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 5
Elektronické pečetě
Článek 35
Právní účinky elektronických pečetí
1. Elektronické pečeti nesmějí být upírány právní účinky a nesmí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické pečetě.
2. U kvalifikované elektronické pečeti platí domněnka integrity dat a správnosti původu těch dat, s nimiž je kvalifikovaná elektronická pečeť spojena.
3. Kvalifikovaná elektronická pečeť založená na kvalifikovaném certifikátu vydaném v jednom členském státě se uznává jako kvalifikovaná elektronická pečeť ve všech ostatních členských státech.
Článek 36
Požadavky na zaručené elektronické pečetě
Zaručená elektronická pečeť musí splňovat tyto požadavky:
a)
je jednoznačně spojena s pečetící osobou;
b)
umožňuje identifikaci pečetící osoby;
c)
je vytvořena pomocí dat pro vytváření elektronických pečetí, která může pečetící osoba s vysokou úrovní důvěry použít k vytváření elektronické pečeti pod svou kontrolou; a
d)
je k datům, ke kterým se vztahuje, připojena takovým způsobem, že je možné zjistit jakoukoliv následnou změnu dat.
Článek 37
Elektronické pečetě ve veřejných službách
1. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť, uznává zaručené elektronické pečetě, zaručené elektronické pečetě založené na kvalifikovaném certifikátu pro elektronické pečetě a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
2. Pokud členský stát pro využití určité on-line služby, která je poskytována subjektem veřejného sektoru nebo jeho jménem, požaduje zaručenou elektronickou pečeť založenou na kvalifikovaném certifikátu, uznává zaručené elektronické pečetě založené na kvalifikovaném certifikátu a kvalifikované elektronické pečetě alespoň ve formátech nebo s použitím metod stanovených v prováděcích aktech uvedených v odstavci 5.
3. Členské státy nesmějí v případě přeshraničního využívání on-line služby poskytované subjektem veřejného sektoru vyžadovat elektronickou pečeť s vyšší zárukou bezpečnosti než kvalifikovanou elektronickou pečeť.
4. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro zaručené elektronické pečetě. Pokud zaručená elektronická pečeť vyhovuje těmto normám, předpokládá se shoda s požadavky na zaručené elektronické pečetě uvedenými v odstavcích 1 a 2 tohoto článku a v článku 36. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
5. Do 18. září 2015 Komise s přihlédnutím ke stávajícím postupům, normám a právním aktům Unie stanoví prostřednictvím prováděcích aktů referenční formáty zaručených elektronických pečetí nebo referenční metody, jsou-li používány alternativní formáty. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 38
Kvalifikované certifikáty pro elektronické pečetě
1. Kvalifikované certifikáty pro elektronické pečetě musí splňovat požadavky stanovené v příloze III.
2. Kvalifikované certifikáty pro elektronické pečetě nepodléhají žádným závazným požadavkům, které přesahují požadavky stanovené v příloze III.
3. Kvalifikované certifikáty pro elektronické pečetě mohou obsahovat další zvláštní atributy, které nejsou povinné. Těmito atributy nesmějí být dotčeny interoperabilita a uznávání kvalifikovaných elektronických pečetí.
4. Pokud byl kvalifikovaný certifikát pro elektronickou pečeť po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho status se nemůže v žádném případě změnit zpět.
5. Členské státy mohou stanovit vnitrostátní pravidla dočasného pozastavení platnosti kvalifikovaných certifikátů pro elektronické pečetě s výhradou těchto podmínek:
a)
je-li platnost kvalifikovaného certifikátu pro elektronickou pečeť dočasně pozastavena, pozbývá tento certifikát na dobu pozastavení platnosti;
b)
doba pozastavení platnosti je jasně vyznačena v databázi certifikátů a pozastavení platnosti je po svou dobu viditelné ve službě poskytující informace o statusu certifikátu.
6. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro elektronické pečetě. Pokud kvalifikovaný certifikát pro elektronickou pečeť vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze III. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
Článek 39
Kvalifikované prostředky pro vytváření elektronických pečetí
1. Na kvalifikované prostředky pro vytváření elektronických pečetí se použije přiměřeně článek 29.
2. Na certifikaci kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 30.
3. Na zveřejnění seznamu certifikovaných kvalifikovaných prostředků pro vytváření elektronických pečetí se použije přiměřeně článek 31.
Článek 40
Ověřování platnosti a uchovávání kvalifikovaných elektronických pečetí
Na ověřování platnosti a uchovávání kvalifikovaných elektronických pečetí se použijí přiměřeně články 32, 33 a 34.
ODDÍL 6
Elektronická časová razítka
Článek 41
Právní účinek elektronických časových razítek
1. Elektronickému časovému razítku nesmějí být upírány právní účinky a nesmí být odmítáno jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikované elektronické časové razítko.
2. U kvalifikovaného elektronického časového razítka platí domněnka správnosti data a času, které udává, a integrity dat, s nimiž jsou toto datum a tento čas spojeny.
3. Kvalifikované elektronické časové razítko vydané v jednom členském státě se uznává jako kvalifikované elektronické časové razítko ve všech členských státech.
Článek 42
Požadavky na kvalifikovaná elektronická časová razítka
1. Kvalifikované elektronické časové razítko musí splňovat tyto požadavky:
a)
spojuje datum a čas s daty takovým způsobem, aby byla přiměřeně zamezena možnost nezjistitelné změny dat;
b)
je založeno na zdroji přesného času, který je spojen s koordinovaným světovým časem; a
c)
je podepsáno s použitím zaručeného elektronického podpisu, opatřeno zaručenou elektronickou pečetí kvalifikovaného poskytovatele služeb vytvářejících důvěru nebo označeno jinou rovnocennou metodou.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro spojování data a času s daty a pro zdroje přesného času. Pokud spojení data a času s daty a zdroj přesného času vyhovují těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 7
Služba elektronického doporučeného doručování
Článek 43
Právní účinek služby elektronického doporučeného doručování
1. Datům odeslaným a přijatým prostřednictvím služby elektronického doporučeného doručování nesmějí být upírány právní účinky a nesmějí být odmítána jako důkaz v soudním a správním řízení pouze z toho důvodu, že mají elektronickou podobu nebo že nesplňují požadavky na kvalifikovanou službu elektronického doporučeného doručování.
2. U dat odeslaných a přijatých prostřednictvím kvalifikované služby elektronického doporučeného doručování platí domněnka integrity dat, odeslání těchto dat identifikovaným odesílatelem, jejich přijetí identifikovaným příjemcem a správnosti data a času odeslání a přijetí, jež jsou u kvalifikované služby elektronického doporučeného doručování uvedeny.
Článek 44
Požadavky na kvalifikované služby elektronického doporučeného doručování
1. Kvalifikované služby elektronického doporučeného doručování musí splňovat tyto požadavky:
a)
jsou poskytovány jedním či více kvalifikovanými poskytovateli služeb vytvářejících důvěru;
b)
s vysokou úrovní spolehlivosti zajišťují identifikaci odesílatele;
c)
zajišťují identifikaci příjemce před doručením dat;
d)
odesílání a přijímání dat je zabezpečeno prostřednictvím zaručeného elektronického podpisu nebo zaručené elektronické pečeti kvalifikovaného poskytovatele služeb vytvářejících důvěru tak, aby byla vyloučena možnost nezjistitelné změny dat;
e)
odesílatel a příjemce dat jsou jednoznačně vyrozuměni o případných změnách dat potřebných za účelem odeslání nebo přijetí dat;
f)
datum a čas odeslání, přijetí a případná změna dat jsou označeny prostřednictvím kvalifikovaného elektronického časového razítka.
V případě přenosu dat mezi dvěma či více kvalifikovanými poskytovateli služeb vytvářejících důvěru se požadavky uvedené v písm. a) až f) vztahují na všechny tyto kvalifikované poskytovatele služeb vytvářejících důvěru.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro postupy odesílání a přijímání dat. Pokud postup odesílání a přijímání dat vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v odstavci 1. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
ODDÍL 8
Autentizace internetových stránek
Článek 45
Požadavky na kvalifikované certifikáty pro autentizaci internetových stránek
1. Kvalifikované certifikáty pro autentizaci internetových stránek musí splňovat požadavky stanovené v příloze IV.
2. Komise může prostřednictvím prováděcích aktů určit referenční čísla norem pro kvalifikované certifikáty pro autentizaci internetových stránek. Pokud kvalifikovaný certifikát pro autentizaci internetových stránek vyhovuje těmto normám, předpokládá se shoda s požadavky stanovenými v příloze IV. Tyto prováděcí akty se přijímají přezkumným postupem podle čl. 48 odst. 2.
KAPITOLA IV
ELEKTRONICKÉ DOKUMENTY
Článek 46
Právní účinky elektronických dokumentů
Elektronickému dokumentu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním a správním řízení pouze z toho důvodu, že má elektronickou podobu.
KAPITOLA V
PŘENESENÍ PRAVOMOCI A PROVÁDĚCÍ USTANOVENÍ
Článek 47
Výkon přenesené pravomoci
1. Pravomoc přijímat akty v přenesené pravomoci je svěřena Komisi za podmínek stanovených v tomto článku.
2. Pravomoc přijímat akty v přenesené pravomoci uvedené v čl. 30 odst. 4 je svěřena Komisi na dobu neurčitou ode dne 17. září 2014.
3. Evropský parlament nebo Rada mohou přenesení pravomoci uvedené v čl. 30 odst. 4 kdykoli zrušit. Rozhodnutím o zrušení se ukončuje přenesení pravomoci v něm blíže určené. Rozhodnutí nabývá účinku dnem následujícím po zveřejnění rozhodnutí v Úředním věstníku Evropské unie nebo k pozdějšímu dni, který je v něm upřesněn. Nedotýká se platnosti již platných aktů v přenesené pravomoci.
4. Přijetí aktu v přenesené pravomoci Komise neprodleně oznámí současně Evropskému parlamentu a Radě.
5. Akt v přenesené pravomoci přijatý podle čl. 30 odst. 4 vstoupí v platnost, pouze pokud proti němu Evropský parlament nebo Rada nevysloví námitky ve lhůtě dvou měsíců ode dne, kdy jim byl tento akt oznámen, nebo pokud Evropský parlament i Rada před uplynutím této lhůty informují Komisi o tom, že námitky nevysloví. Z podnětu Evropského parlamentu nebo Rady se tato lhůta prodlouží o dva měsíce.
Článek 48
Postup projednávání ve výboru
1. Komisi je nápomocen výbor. Tento výbor je výborem ve smyslu nařízení (EU) č. 182/2011.
2. Odkazuje-li se na tento odstavec, použije se článek 5 nařízení (EU) č. 182/2011.
KAPITOLA VI
ZÁVĚREČNÁ USTANOVENÍ
Článek 49
Přezkum
Do 1. července 2020 přezkoumá Komise uplatňování tohoto nařízení a podá zprávu Evropskému parlamentu a Radě. Komise zejména vyhodnotí, zda je s přihlédnutím ke zkušenostem s uplatňováním tohoto nařízení a k technologickému, tržnímu a právnímu vývoji vhodné upravit oblast působnosti tohoto nařízení nebo jeho konkrétní ustanovení, včetně článku 6, čl. 7 písm. f) a článků 34, 43, 44 a 45.
Ke zprávě uvedené v prvním pododstavci se případně připojí legislativní návrhy.
Vedle toho Komise každé čtyři roky od předložení zprávy uvedené v prvním pododstavci předloží Evropskému parlamentu a Radě zprávu o pokroku v dosahování cílů tohoto nařízení.
Článek 50
Zrušení
1. Směrnice 1999/93/ES se zrušuje s účinkem ode dne 1. července 2016.
2. Odkazy na zrušenou směrnici se považují za odkazy na toto nařízení.
Článek 51
Přechodná opatření
1. Prostředky pro bezpečné vytváření podpisu, jejichž shoda byla stanovena podle čl. 3 odst. 4 směrnice 1999/93/ES, se považují za kvalifikované prostředky pro vytváření elektronických podpisů podle tohoto nařízení.
2. Kvalifikovaná osvědčení vydaná fyzickým osobám podle směrnice 1999/93/ES se považují za kvalifikované certifikáty pro elektronické podpisy podle tohoto nařízení až do doby skončení jejich platnosti.
3. Ověřovatel vydávající kvalifikovaná osvědčení podle směrnice 1999/93/ES předloží orgánu dohledu co nejdříve, nejpozději však 1. července 2017, zprávu o posouzení shody. Do předložení této zprávy o posouzení shody a dokončení jejího hodnocení orgánem dohledu se ověřovatel považuje za kvalifikovaného poskytovatele služeb vytvářejících důvěru podle tohoto nařízení.
4. Nepředloží-li ověřovatel vydávající kvalifikovaná osvědčení podle směrnice 1999/93/ES orgánu dohledu zprávu o posouzení shody ve lhůtě uvedené v odstavci 3, nepovažuje se tento ověřovatel od 2. července 2017 za kvalifikovaného poskytovatele služeb vytvářejících důvěru podle tohoto nařízení.
Článek 52
Vstup v platnost
1. Toto nařízení vstupuje v platnost dvacátým dnem po vyhlášení v Úředním věstníku Evropské unie.
2. Toto nařízení se použije ode dne 1. července 2016, s těmito výjimkami:
a)
čl. 8 odst. 3, čl. 9 odst. 5, čl. 12 odst. 2 až 9, čl. 17 odst. 8, čl. 19 odst. 4, čl. 20 odst. 4, čl. 21 odst. 4, čl. 22 odst. 5, čl. 23 odst. 3, čl. 24 odst. 5, čl. 27 odst. 4 a 5, čl. 28 odst. 6, čl. 29 odst. 2, čl. 30 odst. 3 a 4, čl. 31 odst. 3, čl. 32 odst. 3, čl. 33 odst. 2, čl. 34 odst. 2, čl. 37 odst. 4 a 5, čl. 38 odst. 6, čl. 42 odst. 2, čl. 44 odst. 2, čl. 45 odst. 2 a články 47 a 48 se použijí ode dne 17. září 2014;
b)
článek 7, čl. 8 odst. 1 a 2, články 9, 10 a 11 a čl. 12 odst. 1 se použijí ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8;
c)
článek 6 se použije od uplynutí tří let ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8.
3. Pokud je oznámený systém elektronické identifikace na seznamu, který Komise zveřejní podle článku 9, uveden přede dnem uvedeným v odst. 2 písm. c) tohoto článku, dojde k uznání prostředků pro elektronickou identifikaci v rámci tohoto systému podle článku 6 nejpozději dvanáct měsíců po zveřejnění tohoto systému, avšak nejdříve ke dni uvedenému v odst. 2 písm. c) tohoto článku.
4. Bez ohledu na odst. 2 písm. c) tohoto článku může členský stát rozhodnout, že prostředky pro elektronickou identifikaci v rámci systému elektronické identifikace, který jiný členský stát oznámil podle čl. 9 odst. 1, se v prvním členském státě uznávají ode dne použitelnosti prováděcích aktů uvedených v čl. 8 odst. 3 a čl. 12 odst. 8. Dotyčné členské státy informují Komisi. Komise tyto informace zveřejní.
Toto nařízení je závazné v celém rozsahu a přímo použitelné ve všech členských státech.
V Bruselu dne 23. července 2014.
NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) č. 910/2014
z 23. júla 2014
o elektronickej identifikácii a dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zrušení smernice 1999/93/ES
EURÓPSKY PARLAMENT A RADA EURÓPSKEJ ÚNIE,
so zreteľom na Zmluvu o fungovaní Európskej únie, a najmä na jej článok 114,
so zreteľom na návrh Európskej komisie,
po postúpení návrhu legislatívneho aktu národným parlamentom,
so zreteľom na stanovisko Európskeho hospodárskeho a sociálneho výboru (1),
konajúc v súlade s riadnym legislatívnym postupom (2),
keďže:
(1)
Budovanie dôvery v prostredí online je kľúčom k hospodárskemu a sociálnemu rozvoju. V dôsledku nedostatku dôvery spôsobeného najmä pociťovaným nedostatkom právnej istoty spotrebitelia, podniky a orgány verejnej správy váhajú s realizáciou elektronických transakcií a prijímaním nových služieb.
(2)
Cieľom tohto nariadenia je posilniť dôveru pri elektronických transakciách na vnútornom trhu zabezpečením spoločného základu pre bezpečné elektronické interakcie medzi občanmi, podnikmi a orgánmi verejnej správy, čím sa zvýši účinnosť verejných a súkromných služieb online, elektronického podnikania a elektronického obchodu v Únii.
(3)
Smernica Európskeho parlamentu a Rady 1999/93/ES (3) sa vzťahovala na elektronické podpisy bez toho, aby poskytla komplexný cezhraničný a medziodvetvový rámec pre bezpečné, dôveryhodné a ľahko použiteľné elektronické transakcie. Týmto nariadením sa posilňuje a rozširuje acquis uvedenej smernice.
(4)
V oznámení Komisie z 26. augusta 2010 s názvom Digitálna agenda pre Európu sa ako najväčšie prekážky pozitívneho kolobehu digitálneho hospodárstva identifikovali fragmentácia digitálneho trhu, nedostatočná interoperabilita a nárast počítačovej kriminality. Komisia v správe o občianstve EÚ za rok 2010 s názvom Odstránenie prekážok vykonávania práv občanov Únie ďalej zdôraznila potrebu vyriešiť hlavné problémy, ktoré bránia občanom Únie vo využívaní výhod jednotného digitálneho trhu a cezhraničných digitálnych služieb.
(5)
Európska rada vo svojich záveroch zo 4. februára 2011 a 23. októbra 2011 vyzvala Komisiu, aby do roku 2015 vytvorila jednotný digitálny trh s cieľom dosiahnuť rýchly pokrok v kľúčových oblastiach digitálneho hospodárstva a podporiť v plnej miere integrovaný jednotný digitálny trh uľahčením cezhraničného používania služieb online a venovala pritom osobitnú pozornosť uľahčeniu bezpečnej elektronickej identifikácii a autentifikácii.
(6)
Rada vo svojich záveroch z 27. mája 2011 vyzvala Komisiu, aby prispela k jednotnému digitálnemu trhu vytvorením vhodných podmienok pre vzájomné uznávanie kľúčových cezhraničných prostriedkov, ako sú elektronická identifikácia, elektronické dokumenty, elektronické podpisy a elektronické doručovacie služby, a pre interoperabilné služby elektronickej verejnej správy v celej Európskej únii.
(7)
Európsky parlament vo svojom uznesení z 21. septembra 2010 o dobudovaní vnútorného trhu v oblasti elektronického obchodu (4) zdôraznil význam bezpečnosti elektronických služieb, najmä elektronických podpisov, a potreby vytvoriť infraštruktúru verejných kľúčov na celoeurópskej úrovni, pričom vyzval Komisiu, aby vytvorila portál európskych orgánov overovania platnosti s cieľom zabezpečiť cezhraničnú interoperabilitu elektronických podpisov a zvýšiť bezpečnosť transakcií realizovaných prostredníctvom internetu.
(8)
Smernica Európskeho parlamentu a Rady 2006/123/ES (5) vyžaduje, aby členské štáty vytvorili „miesta jednotného kontaktu“ s cieľom zabezpečiť, aby bolo možné ľahko splniť všetky postupy a formálne náležitosti vzťahujúce sa na prístup k činnostiam v oblasti služieb a na ich vykonávanie, a to na diaľku a elektronickými prostriedkami prostredníctvom príslušného miesta jednotného kontaktu a v súčinnosti s príslušnými orgánmi. Mnohé služby online prístupné prostredníctvom miest jednotného kontaktu si vyžadujú elektronickú identifikáciu, autentifikáciu a podpis.
(9)
Vo väčšine prípadov občania nemôžu využívať svoju elektronickú identifikáciu na vlastnú autentifikáciu v inom členskom štáte, pretože vnútroštátne schémy elektronickej identifikácie v ich krajine nie sú uznané v iných členských štátoch. Táto elektronická bariéra bráni poskytovateľom služieb využívať výhody vnútorného trhu v plnej miere. Vzájomne uznávané prostriedky elektronickej identifikácie uľahčia cezhraničné poskytovanie početných služieb na vnútornom trhu a umožnia podnikom pôsobiť na cezhraničnom základe bez toho, aby čelili mnohým prekážkam pri interakcii s orgánmi verejnej správy.
(10)
Smernicou Európskeho parlamentu a Rady 2011/24/EÚ (6) sa vytvára sieť vnútroštátnych orgánov zodpovedných za elektronické zdravotníctvo. S cieľom posilniť bezpečnosť a plynulosť cezhraničnej zdravotnej starostlivosti sa od tejto siete vyžaduje, aby vypracovala usmernenia pre cezhraničný prístup k elektronickým zdravotným údajom a službám, a to aj prostredníctvom podpory spoločných opatrení na identifikáciu a autentifikáciu s cieľom uľahčiť prenosnosť údajov v cezhraničnej zdravotnej starostlivosti. Vzájomné uznávanie elektronickej identifikácie a autentifikácie je kľúčom k realizácii cezhraničnej zdravotnej starostlivosti pre európskych občanov. Keď ľudia cestujú za ošetrením, ich zdravotné údaje musia byť prístupné v krajine ošetrenia. To si vyžaduje pevný, bezpečný a dôveryhodný rámec elektronickej identifikácie.
(11)
Toto nariadenie by sa malo uplatňovať v úplnom súlade so zásadami týkajúcimi sa ochrany osobných údajov ustanovenými v smernici Európskeho parlamentu a Rady 95/46/ES (7). Z tohto hľadiska a so zreteľom na zásadu vzájomného uznávania ustanovenú v tomto nariadení by sa autentifikácia služby online mala týkať len spracúvania tých identifikačných údajov, ktoré sú primerané, relevantné a nie sú nadbytočné na účely poskytnutia prístupu k danej službe online. Okrem toho by poskytovatelia dôveryhodných služieb a orgány dohľadu mali rešpektovať požiadavky smernice 95/46/ES, ktoré sa týkajú dôvernosti a bezpečnosti spracovania údajov.
(12)
Jedným z cieľov tohto nariadenia je odstrániť existujúce prekážky cezhraničného využívania prostriedkov elektronickej identifikácie, ktoré sa v členských štátoch používajú na autentifikáciu aspoň v prípade verejných služieb. Cieľom tohto nariadenia nie je zasahovať do oblasti systémov správy elektronickej identity a súvisiacich infraštruktúr vytvorených v členských štátoch. Cieľom tohto nariadenia je zabezpečiť, aby bola možná bezpečná elektronická identifikácia a autentifikácia pri prístupe k cezhraničným službám online, ktoré ponúkajú členské štáty.
(13)
Členské štáty by mali mať na účely elektronickej identifikácie naďalej možnosť používať alebo zaviesť prostriedky umožňujúce prístup k službám online. Mali by tiež mať možnosť rozhodovať o tom, či do poskytovania týchto prostriedkov zapoja súkromný sektor. Členské štáty by nemali byť povinné oznamovať svoje schémy elektronickej identifikácie Komisii. Členské štáty sa môžu rozhodnúť, či oznámia Komisii všetky, niektoré alebo neoznámia žiadne schémy elektronickej identifikácie používané na vnútroštátnej úrovni na prístup aspoň k verejným službám online alebo ku konkrétnym službám.
(14)
V tomto nariadení je potrebné stanoviť určité podmienky, pokiaľ ide o to, ktoré prostriedky elektronickej identifikácie sa majú uznávať a ako by sa mali schémy elektronickej identifikácie oznamovať. Uvedené podmienky by členským štátom mali pomôcť pri budovaní potrebnej vzájomnej dôvery, pokiaľ ide o schémy elektronickej identifikácie, a pri vzájomnom uznávaní prostriedkov elektronickej identifikácie v rámci ich oznámených schém. Zásada vzájomného uznávania by sa mala uplatňovať vtedy, keď schéma elektronickej identifikácie oznamujúceho členského štátu spĺňa podmienky oznámenia a oznámenie bolo uverejnené v Úradnom vestníku Európskej únie. Zásada vzájomného uznávania by sa však mala týkať len autentifikácie služby online. Prístup k týmto službám online a ich konečné poskytnutie žiadateľovi by mali byť úzko spojené s právom na využívanie takýchto služieb na základe podmienok stanovených vo vnútroštátnych právnych predpisoch.
(15)
Povinnosť uznať prostriedky elektronickej identifikácie by sa mala týkať len tých prostriedkov, ktorých úroveň zabezpečenia totožnosti zodpovedá rovnakej alebo vyššej úrovni, ako je úroveň požadovaná pre predmetnú službu online. Okrem toho by sa táto povinnosť mala uplatňovať len vtedy, keď dotknutý subjekt verejného sektora používa na prístup k danej službe online úrovne zabezpečenia „pokročilá“ alebo „vysoká“. Členským štátom by sa v súlade s právom Únie malo umožniť uznávať prostriedky elektronickej identifikácie s nižšími úrovňami zabezpečenia totožnosti.
(16)
Úrovne zabezpečenia by mali charakterizovať stupeň dôveryhodnosti prostriedkov elektronickej identifikácie pri určovaní totožnosti osoby, čím by poskytovali záruku, že osoba hlásiaca sa k nejakej totožnosti, je naozaj osobou, ku ktorej bola daná totožnosť priradená. Úroveň zabezpečenia závisí od stupňa dôveryhodnosti, ktorý poskytuje daný prostriedok elektronickej identifikácie, pokiaľ ide o údajnú alebo uvádzanú totožnosť osoby, pričom sa zohľadňujú používané procesy (napríklad preukazovanie totožnosti a overovanie a autentifikácia), riadiace činnosti (napríklad subjekt vydávajúci prostriedky elektronickej identifikácie a postup ich vydávania) a technické kontroly. Výsledkom rozsiahlych pilotných projektov financovaných prostriedkami Únie a normalizačných a medzinárodných činností sú rôzne technické vymedzenia a opisy úrovní zabezpečenia. Konkrétne, v rozsiahlom pilotnom projekte STORK a norme ISO 29115 sa okrem iného odkazuje na úrovne 2, 3 a 4, ktoré by sa mali pri vypracúvaní minimálnych technických požiadaviek, noriem a postupov pre úrovne zabezpečenia „nízka“, „pokročilá“ a „vysoká“ v zmysle tohto nariadenia v čo najväčšej miere zohľadňovať, pričom by sa malo zabezpečiť konzistentné uplatňovanie tohto nariadenia, najmä pokiaľ ide o úroveň zabezpečenia „vysoká“ týkajúcu sa preukazovania totožnosti na vydávanie kvalifikovaných certifikátov. Vypracované požiadavky by mali byť technologicky neutrálne. Dosiahnutie potrebných bezpečnostných požiadaviek by malo byť možné prostredníctvom rôznych technológií.
(17)
Členské štáty by mali súkromný sektor nabádať, aby na účely identifikácie, ak je potrebná pri službách online alebo elektronických transakciách, dobrovoľne používal prostriedky elektronickej identifikácie z oznámenej schémy. Možnosť používať takéto prostriedky elektronickej identifikácie by súkromnému sektoru umožnila spoliehať sa na elektronickú identifikáciu a autentifikáciu, ktoré sa už vo veľkej miere používajú v mnohých členských štátoch prinajmenšom v rámci verejných služieb, a podnikom a občanom by uľahčila prístup k ich službám online naprieč hranicami. Na uľahčenie cezhraničného využívania takýchto prostriedkov elektronickej identifikácie súkromným sektorom by možnosť autentifikácie poskytovaná akýmkoľvek členským štátom mala byť dostupná pre spoliehajúce sa strany zo súkromného sektora, ktoré sú usadené mimo územia daného členského štátu, a to za rovnakých podmienok, aké platia pre spoliehajúce sa strany zo súkromného sektora, ktoré sú usadené v danom členskom štáte. Následne môže oznamujúci členský štát vymedziť v súvislosti so spoliehajúcimi sa stranami zo súkromného sektora podmienky prístupu k prostriedkom autentifikácie. Takéto podmienky prístupu môžu obsahovať informácie o tom, či sú prostriedky autentifikácie súvisiace s oznámenou schémou v súčasnosti dostupné pre spoliehajúce sa strany zo súkromného sektora.
(18)
V tomto nariadení by sa mala ustanoviť zodpovednosť oznamujúceho členského štátu, strany vydávajúcej prostriedky elektronickej identifikácie a strany realizujúcej postup autentifikácie za nesplnenie príslušných povinností podľa tohto nariadenia. Toto nariadenie by sa však malo uplatňovať v súlade s vnútroštátnymi normami o zodpovednosti. Preto ním nie sú dotknuté uvedené vnútroštátne normy, napríklad o vymedzení pojmu škoda alebo príslušné uplatniteľné procesné normy vrátane dôkazného bremena.
(19)
Bezpečnosť schém elektronickej identifikácie je kľúčom k dôveryhodnému cezhraničnému vzájomnému uznávaniu prostriedkov elektronickej identifikácie. V tomto kontexte by členské štáty mali na úrovni Únie spolupracovať v súvislosti s bezpečnosťou a interoperabilitou schém elektronickej identifikácie. Ak by si schémy elektronickej identifikácie vyžadovali, aby spoliehajúce sa strany na vnútroštátnej úrovni použili konkrétny hardvér alebo softvér, zo zásady cezhraničnej interoperability pre tieto členské štáty vyplýva, že nesmú takéto požiadavky a znášanie súvisiacich nákladov ukladať spoliehajúcim sa stranám usadeným mimo ich územia. V takomto prípade by sa v medziach rámca interoperability mali prerokovať a vypracovať primerané riešenia. Nemožno sa však vyhnúť technickým požiadavkám vyplývajúcim z inherentných špecifikácií vnútroštátnych prostriedkov elektronickej identifikácie, ktoré budú mať pravdepodobne vplyv na držiteľov takýchto elektronických prostriedkov (napr. čipových kariet).
(20)
Spolupráca členských štátov by mala uľahčovať technickú interoperabilitu oznámených schém elektronickej identifikácie s cieľom podporiť vysokú mieru dôvery a bezpečnosti, primeranú stupňu rizika. Takejto spolupráci by mala pomáhať výmena informácií a najlepších postupov medzi členskými štátmi s cieľom zabezpečiť vzájomné uznávanie.
(21)
Týmto nariadením by sa ďalej mal stanoviť všeobecný právny rámec pre používanie dôveryhodných služieb. Nemala by sa ním však stanoviť všeobecná povinnosť používať tieto služby, ani zriadiť prístupový bod pre všetky existujúce dôveryhodné služby. Predovšetkým by sa nemalo vzťahovať na poskytovanie služieb, ktoré sa používajú výhradne v uzatvorených systémoch medzi vymedzenými skupinami účastníkov a ktoré nemajú žiaden vplyv na tretie strany. Požiadavky tohto nariadenia by sa napríklad nemali týkať systémov, ktoré zriadili podniky alebo orgány verejnej správy na riadenie vnútorných postupov a v rámci ktorých sa využívajú dôveryhodné služby. Požiadavky tohto nariadenia by mali spĺňať len dôveryhodné služby poskytované verejnosti, ktoré majú vplyv na tretie strany. Toto nariadenie by sa nemalo vzťahovať ani na aspekty súvisiace s uzatváraním a platnosťou zmlúv alebo iných právnych záväzkov, pri ktorých existujú požiadavky na formu stanovené vo vnútroštátnom práve alebo práve Únie. Nemalo by mať ani vplyv na vnútroštátne požiadavky na formu v súvislosti s verejnými registrami, a to konkrétne obchodným registrom a katastrom nehnuteľností.
(22)
S cieľom prispieť k všeobecnému cezhraničnému používaniu dôveryhodných služieb by malo byť možné používať ich ako dôkazy v súdnom konaní vo všetkých členských štátoch. Pokiaľ sa v tomto nariadení neustanovuje inak, vymedzenie právneho účinku dôveryhodných služieb sa ponecháva na vnútroštátne právo.
(23)
Pokiaľ sa v tomto nariadení ustanovuje povinnosť uznávať dôveryhodnú službu, takúto dôveryhodnú službu je možné odmietnuť len vtedy, ak ju nie je adresát povinnosti schopný prečítať alebo overiť z technických dôvodov, na ktoré nemá adresát bezprostredný dosah. Táto povinnosť by však sama osebe nemala znamenať pre verejný subjekt požiadavku, aby zabezpečil potrebný hardvér a softvér na technickú čitateľnosť všetkých existujúcich dôveryhodných služieb.
(24)
Členské štáty môžu v súlade s právom Únie zachovať alebo zaviesť vnútroštátne ustanovenia týkajúce sa dôveryhodných služieb, pokiaľ tieto služby nie sú plne harmonizované týmto nariadením. Na vnútornom trhu by však mal byť možný voľný obeh dôveryhodných služieb, ktoré sú v súlade s týmto nariadením.
(25)
Členské štáty by mali mať možnosť voľne definovať ďalšie druhy dôveryhodných služieb popri tých, ktoré sú súčasťou uzavretého dôveryhodného zoznamu služieb ustanoveného v tomto nariadení, na účely ich uznania na vnútroštátnej úrovni ako kvalifikovaných dôveryhodných služieb.
(26)
Vzhľadom na rýchlosť technologických zmien by sa v rámci tohto nariadenia mal prijať prístup, ktorý je otvorený inovácii.
(27)
Toto nariadenie by malo byť technologicky neutrálne. Právne účinky, ktoré zaručuje, by malo byť možné dosiahnuť akýmikoľvek technickými prostriedkami za predpokladu, že sa splnia požiadavky uvedené v tomto nariadení.
(28)
S cieľom posilniť najmä dôveru malých a stredných podnikov (ďalej len „MSP“) a spotrebiteľov vo vnútorný trh a podporiť používanie dôveryhodných služieb a produktov by sa mali zaviesť pojmy kvalifikované dôveryhodné služby a kvalifikovaný poskytovateľ dôveryhodných služieb na účel uvedenia požiadaviek a povinností, ktoré zabezpečia vysokú úroveň bezpečnosti akýchkoľvek používaných alebo poskytovaných kvalifikovaných dôveryhodných služieb a produktov.
(29)
V súlade so záväzkami podľa Dohovoru Organizácie Spojených národov o právach osôb so zdravotným postihnutím, schváleného rozhodnutím Rady 2010/48/ES (8), a najmä článku 9 dohovoru, by osoby so zdravotným postihnutím mali mať možnosť využívať dôveryhodné služby a produkty pre koncových používateľov používané pri poskytovaní týchto služieb za rovnakých podmienok ako iní spotrebitelia. Poskytované dôveryhodné služby a produkty pre koncových používateľov používané pri poskytovaní týchto služieb by preto mali byť vždy, keď je to uskutočniteľné, prístupné osobám so zdravotným postihnutím. Posúdenie uskutočniteľnosti by malo okrem iného obsahovať technické a ekonomické zretele.
(30)
Členské štáty by mali určiť orgán dohľadu alebo orgány dohľadu na vykonávanie činností dohľadu podľa tohto nariadenia. Členské štáty by mali tiež mať možnosť na základe vzájomnej dohody s iným členským štátom rozhodnúť o určení orgánu dohľadu na území tohto iného členského štátu.
(31)
Orgány dohľadu by mali spolupracovať s orgánmi na ochranu osobných údajov, napríklad prostredníctvom ich informovania o výsledkoch auditov kvalifikovaných poskytovateľov dôveryhodných služieb v prípade podozrenia z porušenia predpisov o ochrane osobných údajov. Poskytovanie informácií by sa malo vzťahovať najmä na bezpečnostné incidenty a narušenia bezpečnosti osobných údajov.
(32)
Povinnosťou všetkých poskytovateľov dôveryhodných služieb by malo byť uplatňovanie osvedčeného bezpečnostného postupu primeraného rizikám súvisiacim s ich činnosťami s cieľom posilniť dôveru používateľov v jednotný trh.
(33)
Ustanovenia o používaní pseudonymov v certifikátoch by nemali členským štátom brániť v tom, aby vyžadovali identifikáciu osôb podľa práva Únie alebo vnútroštátneho práva.
(34)
Všetky členské štáty by mali dodržiavať spoločné základné požiadavky v oblasti dohľadu s cieľom zabezpečiť porovnateľnú úroveň bezpečnosti kvalifikovaných dôveryhodných služieb. S cieľom uľahčiť konzistentné uplatňovanie týchto požiadaviek v celej Únii by členské štáty mali prijať porovnateľné postupy a mali by si vymieňať informácie o svojich činnostiach dohľadu a najlepších postupoch v tejto oblasti.
(35)
Požiadavky tohto nariadenia, najmä požiadavky týkajúce sa bezpečnosti a povinnosti zaistiť náležitú starostlivosť, transparentnosť a zodpovednosť za svoje operácie a služby by sa mali vzťahovať na všetkých poskytovateľov dôveryhodných služieb. Vzhľadom na druh služieb, ktoré poskytujú poskytovatelia dôveryhodných služieb, je v súvislosti s týmito požiadavkami vhodné rozlišovať medzi kvalifikovanými a nekvalifikovanými poskytovateľmi dôveryhodných služieb.
(36)
Vytvorením režimu dohľadu pre všetkých poskytovateľov dôveryhodných služieb by sa mali zabezpečiť rovnaké podmienky pre bezpečnosť a zodpovednosť ich operácií a služieb, čím by sa prispelo k ochrane používateľov a fungovaniu vnútorného trhu. Na nekvalifikovaných poskytovateľov dôveryhodných služieb by sa mali vzťahovať mierne a reaktívne následné činnosti dohľadu, odôvodnené povahou ich služieb a operácií. Orgán dohľadu by preto nemal mať žiadnu všeobecnú povinnosť dohliadať na nekvalifikovaných poskytovateľov služieb. Orgán dohľadu by preto mal konať len v prípade, ak získa informácie (napríklad od samotného nekvalifikovaného poskytovateľa dôveryhodných služieb, iného orgánu dohľadu, prostredníctvom oznámenia od používateľa alebo obchodného partnera, alebo na základe vlastného vyšetrovania), že nekvalifikovaný poskytovateľ dôveryhodných služieb nespĺňa požiadavky tohto nariadenia.
(37)
V tomto nariadení by sa mala ustanoviť zodpovednosť všetkých poskytovateľov dôveryhodných služieb. Predovšetkým sa v ňom ustanovuje režim zodpovednosti, v rámci ktorého by mali všetci poskytovatelia dôveryhodných služieb zodpovedať za škody spôsobené akejkoľvek fyzickej alebo právnickej osobe z dôvodu nesplnenia si povinnosti podľa tohto nariadenia. Na uľahčenie posudzovania finančného rizika, ktoré by asi poskytovatelia dôveryhodných služieb museli znášať alebo ktoré by mali vykrývať poistením, im toto nariadenia umožňuje stanovovať za určitých podmienok obmedzenia týkajúce sa používania služieb, ktoré poskytujú, a nezodpovedať za škody, ktoré vyplynú z používania služieb presahujúcich takéto obmedzenia. Zákazníci by mali byť o takýchto obmedzeniach vopred riadne informovaní. Uvedené obmedzenia by mala byť schopná pochopiť aj tretia strana, napríklad prostredníctvom začlenenia informácií o týchto obmedzeniach do podmienok poskytovania danej služby alebo prostredníctvom iných pochopiteľných prostriedkov. Na účely nadobudnutia účinnosti týchto zásad by sa malo toto nariadenie uplatňovať v súlade s vnútroštátnymi normami o zodpovednosti. Preto týmto nariadením nie sú dotknuté uvedené vnútroštátne normy, napríklad o vymedzení pojmu škoda, úmysel, nedbanlivosť, alebo príslušné uplatniteľné procesné normy.
(38)
Oznamovanie narušení bezpečnosti a posúdení bezpečnostných rizík je zásadné pre poskytnutie primeraných informácií zúčastneným stranám v prípade narušenia bezpečnosti alebo integrity.
(39)
Aby Komisia a členské štáty mohli posúdiť efektívnosť mechanizmu oznamovania narušenia zavedeného týmto nariadením, malo by sa vyžadovať, aby orgány dohľadu poskytovali Komisii a Agentúre Európskej únie pre sieťovú a informačnú bezpečnosť (ENISA) súhrnné informácie.
(40)
Aby Komisia a členské štáty mohli posúdiť efektívnosť rozšíreného mechanizmu dohľadu zavedeného týmto nariadením, malo by sa vyžadovať, aby orgány dohľadu podávali správy o svojich činnostiach. Bolo by to dôležité pre uľahčenie výmeny osvedčených postupov medzi orgánmi dohľadu a zabezpečilo by sa tým overenie konzistentného a účinného vykonávania základných požiadaviek dohľadu vo všetkých členských štátoch.
(41)
S cieľom zabezpečiť trvalú udržateľnosť a trvácnosť kvalifikovaných dôveryhodných služieb a posilniť dôveru používateľov v kontinuitu kvalifikovaných dôveryhodných služieb by orgány dohľadu mali overovať existenciu a správne uplatňovanie ustanovení o plánoch ukončenia činnosti v prípade, že kvalifikovaní poskytovatelia dôveryhodných služieb prestanú vykonávať svoju činnosť.
(42)
S cieľom uľahčiť dohľad nad kvalifikovanými poskytovateľmi dôveryhodných služieb, napríklad keď poskytovateľ poskytuje svoje služby na území iného členského štátu, kde nepodlieha dohľadu, alebo keď sa počítače poskytovateľa nachádzajú na území iného členského štátu ako toho, v ktorom je usadený, by sa mal vytvoriť systém vzájomnej pomoci medzi orgánmi dohľadu v členských štátoch.
(43)
S cieľom zabezpečiť, aby kvalifikovaní poskytovatelia dôveryhodných služieb a služby, ktoré poskytujú, spĺňali požiadavky stanovené v tomto nariadení, by mal orgán posudzovania zhody vykonávať posúdenia zhody a následne by kvalifikovaní poskytovatelia dôveryhodných služieb mali orgánu dohľadu zasielať správy o takomto posúdení. Vždy keď orgán dohľadu požiada kvalifikovaného poskytovateľa dôveryhodnej služby o poskytnutie ad hoc správy o posúdení zhody, mal by orgán dohľadu rešpektovať najmä zásady dobrej správy vecí verejných vrátane povinnosti odôvodniť svoje rozhodnutia, ako aj zásadu primeranosti. Preto by orgán dohľadu mal náležite odôvodniť svoje rozhodnutie, ktorým požaduje predloženie ad hoc správy o posúdení zhody.
(44)
Cieľom tohto nariadenia je zabezpečiť koherentný rámec so zámerom poskytnúť vysokú úroveň bezpečnosti a právnej istoty pri dôveryhodných službách. Z tohto hľadiska by sa Komisia pri riešení posudzovania zhody produktov a služieb mala v relevantných prípadoch usilovať o synergie s existujúcimi príslušnými európskymi a medzinárodnými schémami, ako napríklad nariadením Európskeho parlamentu a Rady (ES) č. 765/2008 (9), ktorým sa stanovujú požiadavky akreditácie orgánov posudzovania zhody a dohľadu nad trhom s výrobkami.
(45)
S cieľom umožniť účinný iniciačný proces, ktorý by mal viesť k začleneniu kvalifikovaných poskytovateľov dôveryhodných služieb a kvalifikovaných dôveryhodných služieb, ktoré poskytujú, do dôveryhodných zoznamov, by sa mali podporiť predbežné interakcie medzi potenciálnymi kvalifikovanými poskytovateľmi dôveryhodných služieb a príslušným orgánom dohľadu, aby sa uľahčila náležitá starostlivosť vedúca k poskytovaniu kvalifikovaných dôveryhodných služieb.
(46)
Dôveryhodné zoznamy sú podstatnými prvkami pre vybudovanie dôvery medzi trhovými subjektmi, pretože určujú kvalifikovaný štatút poskytovateľa služieb v čase dohľadu.
(47)
Aby mohli používatelia naplno využívať elektronické služby a uvedomovali si, že sa na ne môžu spoľahnúť, je nevyhnutné, aby služby online boli dôveryhodné a ich používanie pohodlné. Na tento účel by sa mala zaviesť značka dôvery EÚ, ktorou sa budú označovať kvalifikované dôveryhodné služby poskytované kvalifikovanými poskytovateľmi dôveryhodných služieb. Takouto značkou dôvery EÚ pre kvalifikované dôveryhodné služby by sa jasne rozlišovalo medzi kvalifikovanými dôveryhodnými službami a ostatnými dôveryhodnými službami, čím by sa prispelo k transparentnosti na trhu. Používanie značky dôvery EÚ zo strany kvalifikovaných poskytovateľov dôveryhodných služieb by malo byť dobrovoľné a nemalo by viesť k žiadnym dodatočným požiadavkám okrem tých, ktoré sú stanovené v tomto nariadení.
(48)
Hoci na zabezpečenie vzájomného uznávania elektronických podpisov v osobitných prípadoch, ako napríklad v kontexte rozhodnutia Komisie 2009/767/ES (10), je potrebná vysoká úroveň bezpečnosti, mali by sa akceptovať aj elektronické podpisy s nižšou zárukou bezpečnosti.
(49)
Týmto nariadením by sa mala ustanoviť zásada, že elektronickému podpisu by sa nemal odopierať právny účinok z dôvodu, že je v elektronickej forme alebo že nespĺňa požiadavky na kvalifikovaný elektronický podpis. Ponecháva sa však na vnútroštátne právo, aby vymedzilo právny účinok elektronických podpisov s výnimkou požiadavky stanovenej v tomto nariadení, podľa ktorej má kvalifikovaný elektronický podpis rovnocenný právny účinok ako vlastnoručný podpis.
(50)
Keďže príslušné orgány v členských štátoch v súčasnosti používajú rozdielne formáty zdokonalených elektronických podpisov na elektronické podpisovanie svojich dokumentov, je nevyhnutné zabezpečiť, aby členské štáty po prijatí elektronicky podpísaných dokumentov mohli technicky podporovať aspoň niekoľko formátov zdokonalených elektronických podpisov. Podobne, keď príslušné orgány v členských štátoch používajú zdokonalené elektronické pečate, bolo by potrebné zabezpečiť, aby podporovali aspoň niektoré formáty zdokonalených elektronických pečatí.
(51)
Podpisovateľ by mal mať možnosť zveriť kvalifikované zariadenia na vyhotovenie elektronického podpisu do starostlivosti tretej strany za predpokladu, že sa zavedú vhodné mechanizmy a postupy, ktorými sa zabezpečí, že podpisovateľ bude mať výlučnú kontrolu nad používaním svojich údajov na vyhotovenie elektronického podpisu a že pri používaní zariadenia budú splnené požiadavky na kvalifikovaný elektronický podpis.
(52)
Vyhotovovanie elektronických podpisov na diaľku, keď rámec vyhotovovania elektronických podpisov riadi poskytovateľa dôveryhodných služieb v mene podpisovateľa, bude narastať vzhľadom na mnohé ekonomické výhody, ktoré prináša. Aby sa však zabezpečilo, že takéto elektronické podpisy budú z právneho hľadiska uznávané rovnako ako elektronické podpisy, ktoré sa vyhotovujú v rámci riadenom výlučne používateľom, poskytovatelia služby elektronického podpisu na diaľku by mali uplatňovať osobitné bezpečnostné postupy riadenia a správy a využívať dôveryhodné systémy a produkty zahŕňajúce zabezpečené kanály pre elektronickú komunikáciu, aby sa zabezpečila dôveryhodnosť rámca, v ktorom sa elektronické podpisy vyhotovujú, a aby sa zaručilo, že tento rámec sa používa pod výlučnou kontrolou podpisovateľa. Ak sa kvalifikovaný elektronický podpis vyhotovil pomocou zariadenia na vyhotovenie elektronického podpisu na diaľku, mali by sa uplatňovať požiadavky stanovené v tomto nariadení, ktoré sa vzťahujú na kvalifikovaných poskytovateľov dôveryhodných služieb.
(53)
Pozastavovanie kvalifikovaných certifikátov je tradičnou prevádzkovou praxou poskytovateľov dôveryhodných služieb vo viacerých členských štátoch a odlišuje sa od zrušenia a vyznačuje sa dočasnou stratou platnosti certifikátu. V záujme právnej istoty je nevyhnutné, aby bol štatút pozastavenia certifikátu vždy jasne uvedený. Poskytovatelia dôveryhodných služieb by preto mali niesť zodpovednosť za jasné uvedenie štatútu certifikátu, a ak je tento pozastavený, presného obdobia, počas ktorého je certifikát pozastavený. Týmto nariadením by sa nemalo poskytovateľom dôveryhodných služieb alebo členským štátom ukladať, aby pozastavovanie využívali, ale mali by sa ním ustanoviť pravidlá transparentnosti v prípadoch, keď sa takýto postup využíva.
(54)
Cezhraničná interoperabilita a uznávanie kvalifikovaných certifikátov je predpokladom pre cezhraničné uznávanie kvalifikovaných elektronických podpisov. Kvalifikované certifikáty by preto nemali podliehať žiadnym povinným požiadavkám prekračujúcim požiadavky stanovené v tomto nariadení. Na vnútroštátnej úrovni by sa však malo povoliť začlenenie konkrétnych atribútov, akými sú napríklad jedinečné identifikátory, do kvalifikovaných certifikátov, a to za predpokladu, že tieto konkrétne atribúty nebudú prekážkou pre cezhraničnú interoperabilitu ani uznávanie kvalifikovaných certifikátov a elektronických podpisov.
(55)
Dôležitým nástrojom overovania bezpečnosti kvalifikovaných zariadení na vyhotovenie elektronických podpisov je bezpečnostná certifikácia IT založená na medzinárodných normách, ako napríklad norma ISO 15408 a súvisiace metódy hodnotenia a pravidlá v oblasti vzájomného uznávania, a mala by sa podporovať. Inovatívne riešenia a služby, ako napríklad podpisovanie cez mobilné zariadenia a cloud, však spočívajú na technických a organizačných riešeniach pre kvalifikované zariadenia na vyhotovenie elektronických podpisov, pre ktoré ešte nemusia byť bezpečnostné normy k dispozícii alebo pri ktorých prebieha prvá bezpečnostná certifikácia IT. Úroveň bezpečnosti takýchto kvalifikovaných zariadení na vyhotovenie elektronických podpisov by sa mohla hodnotiť prostredníctvom používania alternatívnych procesov len vtedy, ak takéto bezpečnostné normy nie sú k dispozícii, alebo ak prebieha prvá bezpečnostná certifikácia IT. Uvedené procesy by mali byť v prípade ich rovnocenných úrovní bezpečnosti porovnateľné s normami bezpečnostnej certifikácie IT. Uvedené procesy by sa mohli uľahčiť prostredníctvom partnerského preskúmania.
(56)
Toto nariadenie by malo stanoviť požiadavky na kvalifikované zariadenie na vyhotovenie elektronických podpisov s cieľom zabezpečiť funkčnosť zdokonalených elektronických podpisov. Toto nariadenie by sa nemalo vzťahovať na celé systémové prostredie, v ktorom uvedené zariadenia pracujú. Preto by sa mal rozsah certifikácie kvalifikovaných zariadení na vyhotovenie podpisov obmedziť na hardvér a systémový softvér používaný na správu a ochranu údajov na vyhotovenie podpisu, ktoré sa tvoria, uchovávajú alebo spracúvajú v zariadení na vyhotovenie podpisov. Ako sa podrobne opisuje v príslušných normách, z rozsahu certifikačnej povinnosti by sa mali vylúčiť aplikácie na vyhotovenie podpisov.
(57)
Na zabezpečenie právnej istoty v súvislosti s platnosťou podpisu je nevyhnutné určiť zložky kvalifikovaného elektronického podpisu, ktoré by mala posúdiť spoliehajúca sa strana vykonávajúca validáciu. Navyše určenie požiadaviek na kvalifikovaných poskytovateľov dôveryhodných služieb, ktorí môžu poskytovať kvalifikovanú službu validácie spoliehajúcim sa stranám, ktoré nechcú alebo nemôžu samy vykonávať validáciu kvalifikovaných elektronických podpisov, by malo stimulovať súkromný a verejný sektor, aby investoval do takýchto služieb. Oba prvky by mali všetkým stranám na úrovni Únie uľahčiť a zjednodušiť validáciu kvalifikovaných elektronických podpisov.
(58)
Keď sa pri transakcii vyžaduje kvalifikovaná elektronická pečať právnickej osoby, rovnako akceptovateľný by mal byť aj kvalifikovaný elektronický podpis splnomocneného zástupcu právnickej osoby.
(59)
Elektronické pečate by mali slúžiť ako dôkaz, že elektronický dokument vydala právnická osoba, a zabezpečujú istotu, pokiaľ ide o pôvod a integritu dokumentu.
(60)
Poskytovatelia dôveryhodných služieb, ktorí vydávajú kvalifikované certifikáty pre elektronické pečate, by mali zaviesť potrebné opatrenia na to, aby mohli určiť totožnosť fyzickej osoby zastupujúcej právnickú osobu, ktorej sa poskytol kvalifikovaný certifikát pre elektronickú pečať, a to v prípade, ak je takáto identifikácia potrebná na vnútroštátnej úrovni v kontexte súdneho alebo správneho konania.
(61)
Týmto nariadením by sa malo zaručiť dlhodobé uchovávanie informácií, aby sa zabezpečila právna platnosť elektronických podpisov a elektronických pečatí počas dlhších období, a aby sa zaručilo, že sa môžu validovať bez ohľadu na budúce technologické zmeny.
(62)
Na zaistenie bezpečnosti kvalifikovaných elektronických časových pečiatok by sa týmto nariadením malo vyžadovať používanie zdokonalenej elektronickej pečate alebo zdokonaleného elektronického podpisu, alebo iných rovnocenných metód. Predpokladá sa, že inovácia môže viesť k novým technológiám, ktoré môžu zaistiť rovnocennú úroveň bezpečnosti časových pečiatok. Ak sa použije iná metóda ako zdokonalená elektronická pečať alebo zdokonalený elektronický podpis, kvalifikovaný poskytovateľ dôveryhodných služieb by mal v súlade s posúdením zhody preukázať, že táto metóda zaručuje rovnocennú úroveň bezpečnosti a je v súlade s povinnosťami stanovenými v tomto nariadení.
(63)
Elektronické dokumenty sú dôležité pre ďalší rozvoj cezhraničných elektronických transakcií na vnútornom trhu. Týmto nariadením by sa mala ustanoviť zásada, že elektronickému dokumentu by sa nemal odopierať právny účinok z dôvodu, že je v elektronickej forme, aby sa zabezpečilo, že elektronický transakcia nebude odmietnutá len z dôvodu, že dokument je v elektronickej forme.
(64)
Pri riešení formátu zdokonalených elektronických podpisov a pečatí by Komisia mala vychádzať z existujúcich postupov, noriem a právnych predpisov, a to najmä z rozhodnutia Komisie 2011/130/EÚ (11).
(65)
Popri autentifikácii dokumentu vydaného právnickou osobou sa elektronické pečate môžu používať aj na autentifikáciu akéhokoľvek digitálneho majetku právnickej osoby, napríklad softvérového kódu alebo serverov.
(66)
Je dôležité, aby sa ustanovil právny rámec na uľahčenie cezhraničného uznávania elektronických doručovacích služieb pre registrované zásielky medzi jednotlivými vnútroštátnymi právnymi systémami. Uvedený rámec by tiež mohol otvoriť nové trhové príležitosti pre poskytovateľov dôveryhodných služieb z Únie, aby mohli poskytovať nové celoeurópske elektronické doručovacie služby pre registrované zásielky.
(67)
Služby autentifikácie webových sídiel umožňujú návštevníkom, aby sa uistili, že za daným webovým sídlom stojí skutočný a legitímny subjekt. Uvedené služby prispievajú k budovaniu dôvery a istoty v súvislosti s podnikaním online, keďže používatelia budú dôverovať autentifikovanému webovému sídlu. Poskytovanie a využívanie služieb autentifikácie webových sídiel je úplne dobrovoľné. Aby sa však autentifikácia webových sídiel stala prostriedkom na zvyšovanie dôvery, poskytovanie lepšej skúsenosti pre používateľa a podporu rastu na vnútornom trhu, mali by sa v tomto nariadení ustanoviť minimálne povinnosti týkajúce sa bezpečnosti a zodpovednosti poskytovateľov a ich služieb. Na tento účel sa zohľadnili výsledky existujúcich iniciatív vedených príslušným odvetvím, napríklad Certification Authorities/Browsers Forum - CA/B Forum. Okrem toho by toto nariadenie nemalo byť prekážkou pri využívaní iných prostriedkov alebo metód autentifikácie webových sídiel, ktoré nepatria do jeho rozsahu pôsobnosti, ani by sa ním nemalo brániť poskytovateľom služieb autentifikácie webových sídiel z tretích krajín, aby svoje služby poskytovali zákazníkom z Únie. Poskytovateľovi z tretej krajiny by sa však jeho služby autentifikácie webových sídiel mohli podľa tohto nariadenia uznať za kvalifikované len v prípade, ak sa uzavrela medzinárodná dohoda medzi Úniou a krajinou, v ktorej je tento poskytovateľ usadený.
(68)
Pojem „právnické osoby“ podľa ustanovení Zmluvy o fungovaní Európskej únie (ZFEÚ) týkajúcich sa usadenia ponecháva subjektom voľnosť zvoliť si právnu formu, ktorú považujú za vhodnú na výkon svojej činnosti. „Právnické osoby“ sú teda v zmysle ZFEÚ všetky subjekty, ktoré boli zriadené podľa práva členského štátu alebo sa ním spravujú, a to bez ohľadu na ich právnu formu.
(69)
Inštitúcie, orgány, úrady a agentúry Únie sa nabádajú, aby uznávali elektronickú identifikáciu a dôveryhodné služby, na ktoré sa vzťahuje toto nariadenie, na účely administratívnej spolupráce a využívali najmä existujúce osvedčené postupy a výsledky prebiehajúcich projektov v oblastiach, na ktoré sa vzťahuje toto nariadenie.
(70)
S cieľom doplniť určité podrobné technické aspekty tohto nariadenia pružným a rýchlym spôsobom by sa mala na Komisiu delegovať právomoc prijímať akty v súlade s článkom 290 ZFEÚ, pokiaľ ide o kritériá, ktoré majú splniť subjekty zodpovedné za certifikáciu kvalifikovaných zariadení na vyhotovenie elektronických podpisov. Je osobitne dôležité, aby Komisia počas prípravných prác uskutočnila príslušné konzultácie, a to aj na úrovni expertov. Pri príprave a vypracúvaní delegovaných aktov by Komisia mala zabezpečiť, aby sa dokumenty súčasne, vo vhodnom čase a vhodným spôsobom postúpili Európskemu parlamentu a Rade.
(71)
S cieľom zabezpečiť jednotné podmienky vykonávania tohto nariadenia by sa mali na Komisiu preniesť vykonávacie právomoci, najmä pokiaľ ide o špecifikovanie referenčných čísel noriem, ktorých použitie by zakladalo domnienku súladu s určitými požiadavkami stanovenými v tomto nariadení. Uvedené právomoci by sa mali vykonávať v súlade s nariadením Európskeho parlamentu a Rady (EÚ) č. 182/2011 (12).
(72)
Pri prijímaní delegovaných alebo vykonávacích aktov by Komisia mala náležite zohľadňovať normy a technické špecifikácie vypracované európskymi a medzinárodnými normalizačnými organizáciami a subjektmi, a to najmä Európskym výborom pre normalizáciu (CEN), Európskym inštitútom pre telekomunikačné normy (ETSI), Medzinárodnou organizáciou pre normalizáciu (ISO) a Medzinárodnou telekomunikačnou úniou (ITU), aby sa zaistila vysoká úroveň bezpečnosti a interoperability pri elektronickej identifikácii a dôveryhodných službách.
(73)
Z dôvodu právnej istoty a jasnosti by sa mala zrušiť smernica 1999/93/ES.
(74)
S cieľom zabezpečiť právnu istotu pre trhové subjekty, ktoré už používajú kvalifikované certifikáty vydané fyzickým osobám v súlade so smernicou 1999/93/ES, je nevyhnutné stanoviť dostatočné prechodné obdobie. Obdobne by sa mali ustanoviť prechodné opatrenia pre bezpečné zariadenia na vyhotovenie podpisu, ktorých zhoda bola potvrdená v súlade so smernicou 1999/93/ES, ako aj pre poskytovateľov certifikačných služieb, ktorí vydávajú kvalifikované certifikáty pred 1. júlom 2016. Napokon je tiež nevyhnutné, aby sa Komisii umožnilo prijať vykonávacie akty a delegované akty pred uvedeným dátumom.
(75)
Dátumy začiatku uplatňovania stanovené v tomto nariadení nemajú vplyv na existujúce povinnosti, ktoré už členské štáty majú podľa práva Únie, najmä podľa smernice 2006/123/ES.
(76)
Keďže ciele tohto nariadenia nie je možné uspokojivo dosiahnuť na úrovni samotných členských štátov, ale z dôvodu rozsahu činnosti ich možno lepšie dosiahnuť na úrovni Únie, môže Únia prijať opatrenia v súlade so zásadou subsidiarity podľa článku 5 Zmluvy o Európskej únii. V súlade so zásadou proporcionality podľa uvedeného článku toto nariadenie neprekračuje rámec nevyhnutný na dosiahnutie týchto cieľov.
(77)
Európsky dozorný úradník pre ochranu údajov bol konzultovaný v súlade s článkom 28 ods. 2 nariadenia Európskeho parlamentu a Rady (ES) č. 45/2001 (13) a vydal stanovisko 27. septembra 2012 (14),
PRIJALI TOTO NARIADENIE:
KAPITOLA I
VŠEOBECNÉ USTANOVENIA
Článok 1
Predmet úpravy
S cieľom zabezpečiť riadne fungovanie vnútorného trhu a so zameraním na primeranú úroveň bezpečnosti prostriedkov elektronickej identifikácie a dôveryhodných služieb sa týmto nariadením:
a)
stanovujú podmienky, za ktorých členské štáty uznávajú prostriedky elektronickej identifikácie fyzických a právnických osôb, ktoré patria do oznámenej schémy elektronickej identifikácie iného členského štátu;
b)
stanovujú pravidlá pre dôveryhodné služby, najmä elektronické transakcie, a
c)
vytvára právny rámec pre elektronické podpisy, elektronické pečate, elektronické časové pečiatky, elektronické dokumenty, elektronické doručovacie služby pre registrované zásielky a certifikačné služby pre autentifikáciu webových sídiel.
Článok 2
Rozsah pôsobnosti
1. Toto nariadenie sa vzťahuje na schémy elektronickej identifikácie, ktoré boli oznámené členskými štátmi a na poskytovateľov dôveryhodných služieb, ktorí sú usadení v Únii.
2. Toto nariadenie sa nevzťahuje na poskytovanie dôveryhodných služieb, ktoré sa používajú výhradne v uzavretých systémoch na základe vnútroštátneho práva alebo dohôd medzi vymedzenou skupinou účastníkov.
3. Toto nariadenie nemá vplyv na vnútroštátne právo ani právo Únie súvisiace s uzatváraním a platnosťou zmlúv alebo iných právnych či procesných záväzkov týkajúcich sa formy.
Článok 3
Vymedzenie pojmov
Na účely tohto nariadenia sa uplatňujú tieto vymedzenia pojmov:
1.
„elektronická identifikácia“ je proces používania osobných identifikačných údajov v elektronickej forme, ktoré jedinečne reprezentujú fyzickú osobu alebo právnickú osobu alebo fyzickú osobu zastupujúcu právnickú osobu;
2.
„prostriedok elektronickej identifikácie“ je hmotná jednotka a/alebo nehmotná jednotka obsahujúca osobné identifikačné údaje, ktorá sa používa na autentifikáciu pre služby online;
3.
„osobné identifikačné údaje“ sú súbor údajov, ktorý umožňuje určiť totožnosť fyzickej osoby alebo právnickej osoby alebo fyzickej osoby zastupujúcej právnickú osobu;
4.
„schéma elektronickej identifikácie“ je systém na elektronickú identifikáciu, v rámci ktorého sa fyzickým osobám alebo právnickým osobám alebo fyzickým osobám zastupujúcim právnické osoby vydávajú prostriedky elektronickej identifikácie;
5.
„autentifikácia“ je elektronický proces, ktorý umožňuje potvrdiť elektronickú identifikáciu fyzickej osoby alebo právnickej osoby alebo pôvod a integritu údajov v elektronickej forme;
6.
„spoliehajúca sa strana“ je fyzická osoba alebo právnická osoba, ktorá sa spolieha na elektronickú identifikáciu alebo dôveryhodnú službu;
7.
„subjekt verejného sektora“ je ústredný, regionálny alebo miestny orgán, verejnoprávny subjekt alebo združenie tvorené jedným alebo viacerými takýmito orgánmi alebo jedným či viacerými takýmito verejnoprávnymi subjektmi, alebo súkromný subjekt, ktorý aspoň jeden z takýchto orgánov, subjektov alebo združení poveril poskytovaním verejných služieb, keď koná na základe takéhoto poverenia;
8.
„verejnoprávny subjekt“ je subjekt v zmysle článku 2 ods. 1 bodu 4 smernice Európskeho parlamentu a Rady 2014/24/EÚ (15);
9.
„podpisovateľ“ je fyzická osoba, ktorá vyhotovuje elektronický podpis;
10.
„elektronický podpis“ sú údaje v elektronickej forme, ktoré sú pripojené alebo logicky pridružené k iným údajom v elektronickej forme a ktoré podpisovateľ používa na podpisovanie;
11.
„zdokonalený elektronický podpis“ je elektronický podpis, ktorý spĺňa požiadavky stanovené v článku 26;
12.
„kvalifikovaný elektronický podpis“ je zdokonalený elektronický podpis vyhotovený s použitím kvalifikovaného zariadenia na vyhotovenie elektronického podpisu a založený na kvalifikovanom certifikáte pre elektronické podpisy;
13.
„údaje na vyhotovenie elektronického podpisu“ sú jedinečné údaje, ktoré podpisovateľ používa na vyhotovenie elektronického podpisu;
14.
„certifikát pre elektronický podpis“ je elektronické osvedčenie, ktoré spája údaje na validáciu elektronického podpisu s fyzickou osobou a potvrdzuje aspoň jej meno alebo pseudonym;
15.
„kvalifikovaný certifikát pre elektronický podpis“ je certifikát pre elektronický podpis, ktorý vydáva kvalifikovaný poskytovateľ dôveryhodných služieb a ktorý spĺňa požiadavky stanovené v prílohe I;
16.
„dôveryhodná služba“ je elektronická služba, ktorá sa spravidla poskytuje za odplatu a spočíva:
a)
vo vyhotovovaní, overovaní a validácii elektronických podpisov, elektronických pečatí alebo elektronických časových pečiatok, elektronických doručovacích služieb pre registrované zásielky a certifikátov, ktoré s týmito službami súvisia, alebo
b)
vo vyhotovovaní, overovaní a validácii certifikátov pre autentifikáciu webových sídiel, alebo
c)
v uchovávaní elektronických podpisov, pečatí alebo certifikátov, ktoré s týmito službami súvisia;
17.
„kvalifikovaná dôveryhodná služba“ je dôveryhodná služba, ktorá spĺňa uplatniteľné požiadavky stanovené v tomto nariadení;
18.
„orgán posudzovania zhody“ je orgán vymedzený v článku 2 bode 13 nariadenia (ES) č. 765/2008, ktorý je v súlade s uvedeným nariadením akreditovaný ako orgán príslušný na posudzovanie zhody kvalifikovaných poskytovateľov dôveryhodných služieb a kvalifikovaných dôveryhodných služieb, ktoré poskytujú;
19.
„poskytovateľ dôveryhodných služieb“ je fyzická alebo právnická osoba poskytujúca jednu alebo viacero dôveryhodných služieb buď ako kvalifikovaný alebo nekvalifikovaný poskytovateľ dôveryhodných služieb;
20.
„kvalifikovaný poskytovateľ dôveryhodných služieb“ je poskytovateľ dôveryhodných služieb, ktorý poskytuje jednu alebo viacero kvalifikovaných dôveryhodných služieb a ktorému orgán dohľadu udelil kvalifikovaný štatút;
21.
„produkt“ je hardvér alebo softvér alebo príslušné zložky hardvéru alebo softvéru určené na používanie pri poskytovaní dôveryhodných služieb;
22.
„zariadenie na vyhotovenie elektronického podpisu“ je nakonfigurovaný softvér alebo hardvér používaný na vyhotovenie elektronického podpisu;
23.
„kvalifikované zariadenie na vyhotovenie elektronického podpisu“ je zariadenie na vyhotovenie elektronického podpisu, ktoré spĺňa požiadavky stanovené v prílohe II;
24.
„pôvodca pečate“ je právnická osoba, ktorá vyhotovuje elektronickú pečať;
25.
„elektronická pečať“ sú údaje v elektronickej forme, ktoré sú pripojené alebo logicky pridružené k iným údajom v elektronickej forme s cieľom zabezpečiť pôvod a integritu týchto pridružených údajov;
26.
„zdokonalená elektronická pečať“ je elektronická pečať, ktorá spĺňa požiadavky stanovené v článku 36;
27.
„kvalifikovaná elektronická pečať“ je zdokonalená elektronická pečať vyhotovená pomocou kvalifikovaného zariadenia na vyhotovenie elektronickej pečate a založená na kvalifikovanom certifikáte pre elektronickú pečať;
28.
„údaje pre vyhotovenie elektronickej pečate“ sú jedinečné údaje, ktoré používa pôvodca elektronickej pečate na vyhotovenie elektronickej pečate;
29.
„certifikát pre elektronickú pečať“ je elektronické osvedčenie, ktoré spája údaje na validáciu elektronickej pečate s právnickou osobou a potvrdzuje jej názov;
30.
„kvalifikovaný certifikát pre elektronickú pečať“ je certifikát pre elektronickú pečať, ktorý vydáva kvalifikovaný poskytovateľ dôveryhodných služieb a ktorý spĺňa požiadavky stanovené v prílohe III;
31.
„zariadenie na vyhotovenie elektronickej pečate“ je nakonfigurovaný softvér alebo hardvér používaný na vyhotovenie elektronickej pečate;
32.
„kvalifikované zariadenie na vyhotovenie elektronickej pečate“ je zariadenie na vyhotovenie elektronickej pečate, ktoré primerane spĺňa požiadavky stanovené v prílohe II;
33.
„elektronická časová pečiatka“ sú údaje v elektronickej forme, ktoré viažu iné údaje v elektronickej forme s konkrétnym časom, čím tvoria dôkaz o existencii týchto iných údajov v danom čase;
34.
„kvalifikovaná elektronická časová pečiatka“ je elektronická časová pečiatka, ktorá spĺňa požiadavky stanovené v článku 42;
35.
„elektronický dokument“ je akýkoľvek obsah uložený v elektronickej forme, najmä text alebo zvukový, obrazový či audiovizuálny záznam;
36.
„elektronická doručovacia služba pre registrované zásielky“ je služba, ktorá umožňuje posielanie údajov elektronickými prostriedkami medzi tretími stranami a poskytuje dôkaz týkajúci sa nakladania s odoslanými údajmi vrátane potvrdenia o odoslaní a doručení údajov a ktorá chráni odosielané údaje pred rizikom straty, krádeže, poškodenia alebo akýchkoľvek neoprávnených úprav;
37.
„kvalifikovaná elektronická doručovacia služba pre registrované zásielky“ je elektronická doručovacia služba pre registrované zásielky, ktorá spĺňa požiadavky stanovené v článku 44;
38.
„certifikát pre autentifikáciu webového sídla“ je osvedčenie, ktoré umožňuje autentifikáciu webového sídla a spája toto webové sídlo s fyzickou alebo právnickou osobou, ktorej bol certifikát vydaný;
39.
„kvalifikovaný certifikát pre autentifikáciu webového sídla“ je certifikát pre autentifikáciu webového sídla, ktorý vydáva kvalifikovaný poskytovateľ dôveryhodných služieb a ktorý spĺňa požiadavky stanovené v prílohe IV;
40.
„validačné údaje“ sú údaje, ktoré sa používajú na validáciu elektronického podpisu, alebo elektronickej pečate;
41.
„validácia“ je proces overenia a potvrdenia, že elektronický podpis alebo elektronická pečať sú platné.
Článok 4
Zásada vnútorného trhu
1. Poskytovanie dôveryhodných služieb na území členského štátu poskytovateľom dôveryhodných služieb usadeným v inom členskom štáte nemožno obmedziť z dôvodov, ktoré patria do oblastí, na ktoré sa vzťahuje toto nariadenie.
2. Na vnútornom trhu je povolený voľný obeh produktov a dôveryhodných služieb, ktoré sú v súlade s týmto nariadením.
Článok 5
Spracúvanie a ochrana údajov
1. Spracúvanie osobných údajov sa vykonáva v súlade so smernicou 95/46/ES.
2. Bez toho, aby bol dotknutý právny účinok pseudonymov podľa vnútroštátneho práva, nie je ich používanie pri elektronických transakciách zakázané.
KAPITOLA II
ELEKTRONICKÁ IDENTIFIKÁCIA
Článok 6
Vzájomné uznávanie
1. Keď sa podľa vnútroštátneho práva alebo administratívnej praxe na prístup k službe, ktorú poskytuje subjekt verejného sektora online v jednom členskom štáte, vyžaduje elektronická identifikácia pomocou prostriedkov elektronickej identifikácie a autentifikácia, prostriedky elektronickej identifikácie vydané v inom členskom štáte sa v prvom členskom štáte uznávajú na účely cezhraničnej autentifikácie pre danú službu online, ak sú splnené tieto podmienky:
a)
prostriedky elektronickej identifikácie sa vydali v rámci schémy elektronickej identifikácie, ktorá je uvedená na zozname, ktorý Komisia uverejňuje podľa článku 9;
b)
úroveň zabezpečenia prostriedkov elektronickej identifikácie zodpovedá úrovni zabezpečenia, ktorá je rovnaká alebo vyššia ako úroveň zabezpečenia, ktorú vyžaduje príslušný subjekt verejného sektora na prístup k danej službe online v prvom členskom štáte, za predpokladu, že úroveň zabezpečenia daných prostriedkov elektronickej identifikácie zodpovedá úrovni zabezpečenia „pokročilá“ alebo „vysoká“;
c)
príslušný subjekt verejného sektora používa vo vzťahu k prístupu k danej službe online úroveň zabezpečenia „pokročilá“ alebo „vysoká“.
Takéto uznávanie sa začne najneskôr 12 mesiacov po tom, ako Komisia uverejní zoznam uvedený v písmene a) prvého pododseku.
2. Prostriedky elektronickej identifikácie vydané v rámci schémy elektronickej identifikácie, ktorá je uvedená na zozname, ktorý Komisia uverejňuje podľa článku 9, a ktoré zodpovedajú úrovni zabezpečenia „nízka“, môžu subjekty verejného sektora uznávať na účely cezhraničnej autentifikácie v prípade služieb, ktoré poskytujú online.
Článok 7
Podmienky pre oznamovanie schém elektronickej identifikácie
Schéma elektronickej identifikácie sa oznamuje podľa článku 9 ods. 1 za predpokladu, že sú splnené všetky tieto podmienky:
a)
prostriedky elektronickej identifikácie v rámci schémy elektronickej identifikácie:
i)
vydáva oznamujúci členský štát;
ii)
sa vydávajú na základe poverenia oznamujúceho členského štátu alebo
iii)
sa vydávajú nezávisle od oznamujúceho členského štátu, ktorý ich uznáva;
b)
prostriedky elektronickej identifikácie v rámci schémy elektronickej identifikácie sa môžu použiť na prístup aspoň k jednej službe, ktorú poskytuje subjekt verejného sektora a ktorá vyžaduje elektronickú identifikáciu v oznamujúcom členskom štáte;
c)
schéma elektronickej identifikácie a prostriedky elektronickej identifikácie, ktoré sa v rámci nej vydávajú, spĺňajú požiadavky pre aspoň jednu z úrovní zabezpečenia stanovených vo vykonávacom akte uvedenom v článku 8 ods. 3;
d)
oznamujúci členský štát zabezpečuje, že osobné identifikačné údaje, ktoré jedinečne identifikujú dotknutú osobu, sa priraďujú v súlade s technickými špecifikáciami, normami a postupmi pre príslušnú úroveň zabezpečenia stanovenými vo vykonávacom akte uvedenom v článku 8 ods. 3 fyzickej alebo právnickej osobe uvedenej v článku 3 bode 1 v čase, keď sú prostriedky elektronickej identifikácie v rámci danej schémy vydané;
e)
strana vydávajúca prostriedky elektronickej identifikácie v rámci danej schémy zabezpečuje, že prostriedky elektronickej identifikácie sa priradia osobe uvedenej v písmene d) tohto článku v súlade s technickými špecifikáciami, normami a postupmi pre príslušnú úroveň zabezpečenia stanovenými vo vykonávacom akte uvedenom v článku 8 ods. 3;
f)
oznamujúci členský štát zabezpečuje dostupnosť autentifikácie online, aby ktorákoľvek spoliehajúca sa strana usadená na území iného členského štátu mohla potvrdiť osobné identifikačné údaje doručené v elektronickej forme.
Pre spoliehajúce sa strany, ktoré nie sú subjektmi verejného sektora, môže oznamujúci členský štát stanoviť podmienky prístupu k takejto autentifikácii. Cezhraničná autentifikácia sa poskytuje bezplatne, ak sa vykonáva vo vzťahu k službe online, ktorú poskytuje subjekt verejného sektora.
Členské štáty nesmú spoliehajúcim sa stranám, ktoré chcú vykonať takúto autentifikáciu, ukladať žiadne konkrétne neprimerané technické požiadavky, ak takéto požiadavky bránia alebo podstatne sťažujú interoperabilitu oznámených schém elektronickej identifikácie;
g)
oznamujúci členský štát aspoň šesť mesiacov pred oznámením podľa článku 9 ods. 1 poskytne ostatným členským štátom na účely povinnosti podľa článku 12 ods. 5 opis danej schémy v súlade s dojednaniami o postupe stanovenými vo vykonávacích aktoch uvedených v článku 12 ods. 7;
h)
schéma elektronickej identifikácie spĺňa požiadavky stanovené vo vykonávacom akte uvedenom v článku 12 ods. 8.
Článok 8
Úrovne zabezpečenia schém elektronickej identifikácie
1. Schéma elektronickej identifikácie oznámená podľa článku 9 ods. 1 obsahuje špecifikácie úrovní zabezpečenia „nízka“, „pokročilá“ a/alebo „vysoká“ pre prostriedky elektronickej identifikácie vydávané v rámci danej schémy.
2. Úrovne zabezpečenia „nízka“, „pokročilá“ a „vysoká“ spĺňajú tieto kritériá:
a)
úroveň zabezpečenia „nízka“ sa vzťahuje na prostriedok elektronickej identifikácie v kontexte schémy elektronickej identifikácie, ktorý poskytuje obmedzený stupeň dôveryhodnosti, pokiaľ ide o údajnú alebo uvádzanú totožnosť osoby, a je charakterizovaný odkazom na technické špecifikácie, normy a postupy vrátane technických kontrol, ktoré s ním súvisia a ktorých účelom je znížiť riziko zneužitia alebo pozmenenia totožnosti;
b)
úroveň zabezpečenia „pokročilá“ sa vzťahuje na prostriedok elektronickej identifikácie v kontexte schémy elektronickej identifikácie, ktorý poskytuje pokročilý stupeň dôveryhodnosti, pokiaľ ide o údajnú alebo uvádzanú totožnosť osoby, a je charakterizovaný odkazom na technické špecifikácie, normy a postupy vrátane technických kontrol, ktoré s ním súvisia a ktorých účelom je podstatne znížiť riziko zneužitia alebo pozmenenia totožnosti;
c)
úroveň zabezpečenia „vysoká“ sa vzťahuje na prostriedok elektronickej identifikácie v kontexte schémy elektronickej identifikácie, ktorý poskytuje vyšší stupeň dôveryhodnosti ako prostriedok elektronickej identifikácie s úrovňou zabezpečenia „pokročilá“, pokiaľ ide o údajnú alebo uvádzanú totožnosť osoby, a je charakterizovaný odkazom na technické špecifikácie, normy a postupy vrátane technických kontrol, ktoré s ním súvisia a ktorých účelom je zabrániť zneužitiu alebo pozmeneniu totožnosti.
3. S výhradou odseku 2 Komisia do 18. septembra 2015 prostredníctvom vykonávacích aktov stanoví minimálne technické špecifikácie, normy a postupy, na ktoré sa na účely odseku 1 odkazuje pri špecifikácii úrovní zabezpečenia „nízka“, „pokročilá“ a „vysoká“ pre prostriedky elektronickej identifikácie, pričom zohľadní relevantné medzinárodné normy.
Uvedené minimálne technické špecifikácie, normy a postupy sa stanovia odkazom na spoľahlivosť a kvalitu týchto prvkov:
a)
postup na preukázanie a overenie totožnosti fyzických alebo právnických osôb, ktoré žiadajú o vydanie prostriedku elektronickej identifikácie;
b)
postup na vydanie požadovaného prostriedku elektronickej identifikácie;
c)
mechanizmus autentifikácie, prostredníctvom ktorého fyzická alebo právnická osoba za použitia prostriedku elektronickej identifikácie potvrdzuje svoju totožnosť spoliehajúcej sa strane;
d)
subjekt vydávajúci prostriedky elektronickej identifikácie;
e)
akýkoľvek iný subjekt podieľajúci sa na žiadosti o vydanie prostriedku elektronickej identifikácie a
f)
technické a bezpečnostné špecifikácie vydávaného prostriedku elektronickej identifikácie.
Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 9
Oznámenie
1. Oznamujúci členský štát oznámi Komisii nasledovné informácie a bez zbytočného odkladu všetky ich následné zmeny:
a)
opis schémy elektronickej identifikácie vrátane jej úrovní zabezpečenia a vydavateľa alebo vydavateľov prostriedkov elektronickej identifikácie v schéme;
b)
uplatniteľný režim dohľadu a informácie o režime zodpovednosti v súvislosti:
i)
so stranou vydávajúcou prostriedky elektronickej identifikácie a
ii)
so stranou realizujúcou postup autentifikácie;
c)
orgán alebo orgány zodpovedné za schému elektronickej identifikácie;
d)
informácie o subjekte alebo subjektoch, ktoré spravujú registráciu jedinečných osobných identifikačných údajov;
e)
opis spôsobu plnenia požiadaviek stanovených vo vykonávacích aktoch uvedených v článku 12 ods. 8;
f)
opis autentifikácie uvedenej v článku 7 písm. f);
g)
dojednania týkajúce sa pozastavenia alebo zrušenia buď oznámenej schémy elektronickej identifikácie, alebo autentifikácie, alebo príslušných skompromitovaných častí.
2. Rok po dni začiatku uplatňovania vykonávacích aktov uvedených v článku 8 ods. 3 a článku 12 ods. 8 Komisia v Úradnom vestníku Európskej únie uverejní zoznam schém elektronickej identifikácie oznámených podľa odseku 1 tohto článku a základné informácie o nich.
3. Ak sa Komisii doručí oznámenie po uplynutí lehoty uvedenej v odseku 2, uverejní v Úradnom vestníku Európskej únie zmeny zoznamu uvedeného v odseku 2 do dvoch mesiacov odo dňa doručenia daného oznámenia.
4. Členský štát môže Komisii predložiť žiadosť o vypustenie schémy elektronickej identifikácie, ktorú oznámil, zo zoznamu uvedeného v odseku 2. Komisia uverejní v Úradnom vestníku Európskej únie príslušné zmeny zoznamu do jedného mesiaca odo dňa doručenia žiadosti členského štátu.
5. Komisia môže prostredníctvom vykonávacích aktov vymedziť okolnosti, formáty a postupy oznámení podľa odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 10
Narušenie bezpečnosti
1. Keď sa schéma elektronickej identifikácie oznámená podľa článku 9 ods. 1 alebo autentifikácia uvedená v článku 7 písm. f) naruší alebo čiastočne skompromituje spôsobom, ktorý ovplyvní spoľahlivosť cezhraničnej autentifikácie danej schémy, oznamujúci členský štát danú cezhraničnú autentifikáciu alebo dotknuté skompromitované časti bezodkladne pozastaví alebo zruší a informuje o tom ostatné členské štáty a Komisiu.
2. Po náprave narušenia alebo skompromitovania uvedeného v odseku 1 oznamujúci členský štát cezhraničnú autentifikáciu opätovne zavedie a bez zbytočného odkladu o tom informuje ostatné členské štáty a Komisiu.
3. Ak sa narušenie alebo skompromitovanie uvedené v odseku 1 neodstráni v lehote troch mesiacov od pozastavenia alebo zrušenia, oznamujúci členský štát informuje ostatné členské štáty a Komisiu o stiahnutí schémy elektronickej identifikácie.
Komisia bez zbytočného odkladu uverejní zodpovedajúce zmeny v zozname uvedenom v článku 9 ods. 2 v Úradnom vestníku Európskej únie.
Článok 11
Zodpovednosť
1. Oznamujúci členský štát je zodpovedný za škodu, ktorú spôsobí úmyselne alebo z nedbanlivosti akejkoľvek fyzickej alebo právnickej osobe tým, že pri cezhraničnej transakcii nesplní svoje povinnosti uvedené v článku 7 písm. d) a f).
2. Strana vydávajúca prostriedky elektronickej identifikácie je zodpovedná za škodu, ktorú spôsobí úmyselne alebo z nedbanlivosti akejkoľvek fyzickej alebo právnickej osobe tým, že pri cezhraničnej transakcii nesplní svoju povinnosť uvedenú v článku 7 písm. e).
3. Strana realizujúca postup autentifikácie je zodpovedná za škodu, ktorú spôsobí úmyselne alebo z nedbanlivosti akejkoľvek fyzickej alebo právnickej osobe tým, že pri cezhraničnej transakcii nezabezpečí správnu realizáciu autentifikácie uvedenú v článku 7 písm. f).
4. Odseky 1, 2 a 3 sa uplatňujú v súlade s vnútroštátnymi predpismi o zodpovednosti.
5. Odsekmi 1, 2 a 3 nie je dotknutá zodpovednosť strán transakcie podľa vnútroštátneho práva, pri ktorej sa používajú prostriedky elektronickej identifikácie patriace do schémy elektronickej identifikácie podľa článku 9 ods. 1.
Článok 12
Spolupráca a interoperabilita
1. Vnútroštátne schémy elektronickej identifikácie oznámené podľa článku 9 ods. 1 sú interoperabilné.
2. Na účely odseku 1 sa zavádza rámec interoperability.
3. Rámec interoperability musí spĺňať tieto kritériá:
a)
jeho cieľom je technologická neutralita a neznevýhodňuje žiadne konkrétne vnútroštátne technické riešenie elektronickej identifikácie v rámci členského štátu;
b)
podľa možností je v súlade s európskymi a medzinárodnými normami;
c)
uľahčuje uplatňovanie zásady ochrany súkromia už v štádiu návrhu a
d)
zabezpečuje sa ním, že osobné údaje sa spracúvajú v súlade so smernicou 95/46/ES.
4. Súčasťou rámca interoperability je:
a)
odkaz na minimálne technické požiadavky týkajúce sa úrovní zabezpečenia podľa článku 8;
b)
mapovanie vnútroštátnych úrovní zabezpečenia oznámených schém elektronickej identifikácie na úrovne zabezpečenia podľa článku 8;
c)
odkaz na minimálne technické požiadavky týkajúce sa interoperability;
d)
odkaz na minimálny súbor osobných identifikačných údajov reprezentujúcich jedinečným spôsobom fyzickú alebo právnickú osobu, ktoré sú dostupné v schémach elektronickej identifikácie;
e)
procedurálne predpisy;
f)
mechanizmus urovnávania sporov a
g)
spoločné normy prevádzkovej bezpečnosti.
5. Členské štáty spolupracujú, pokiaľ ide:
a)
o interoperabilitu schém elektronickej identifikácie oznámených podľa článku 9 ods. 1 a schém elektronickej identifikácie, ktoré členské štáty zamýšľajú oznámiť, a
b)
o bezpečnosť schém elektronickej identifikácie.
6. Spolupráca medzi členskými štátmi spočíva:
a)
vo výmene informácií, skúseností a osvedčených postupov, pokiaľ ide o schémy elektronickej identifikácie, a najmä technické požiadavky týkajúce sa interoperability a úrovní zabezpečenia;
b)
vo výmene informácií, skúseností a osvedčených postupov, pokiaľ ide o prácu s úrovňami zabezpečenia schém elektronickej identifikácie podľa článku 8;
c)
v partnerskom preskúmaní schém elektronickej identifikácie, na ktoré sa vzťahuje toto nariadenie, a
d)
v skúmaní príslušného vývoja v oblasti elektronickej identifikácie.
7. Komisia do 18. marca 2015 prostredníctvom vykonávacích aktov stanoví dojednania o postupoch potrebné na uľahčenie spolupráce medzi členskými štátmi uvedenej v odsekoch 5 a 6 s cieľom podporiť vysokú úroveň dôvery a bezpečnosti primeranú stupňu rizika.
8. Komisia na účely stanovenia jednotných podmienok vykonávania požiadavky podľa odseku 1, za splnenia kritérií stanovených v odseku 3 a zohľadňujúc výsledky spolupráce medzi členskými štátmi, prijme do 18. septembra 2015 vykonávacie akty o rámci interoperability, ako je stanovené v odseku 4.
9. Vykonávacie akty uvedené v odsekoch 7 a 8 tohto článku sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
KAPITOLA III
DÔVERYHODNÉ SLUŽBY
ODDIEL 1
Všeobecné ustanovenia
Článok 13
Zodpovednosť a dôkazné bremeno
1. Bez toho, aby bol dotknutý odsek 2, sú poskytovatelia dôveryhodných služieb zodpovední za škodu, ktorú spôsobia úmyselne alebo z nedbanlivosti akejkoľvek fyzickej alebo právnickej osobe tým, že nesplnia svoje povinnosti podľa tohto nariadenia.
Dôkazné bremeno týkajúce sa preukázania úmyslu alebo nedbanlivosti nekvalifikovaného poskytovateľa dôveryhodných služieb spočíva na fyzickej alebo právnickej osobe, ktorá žiada o náhradu škody uvedenej v prvom pododseku.
V prípade kvalifikovaného poskytovateľa dôveryhodných služieb sa škoda uvedená v prvom pododseku považuje za spôsobenú úmyselne alebo z nedbanlivosti, pokiaľ tento kvalifikovaný poskytovateľ dôveryhodných služieb nepreukáže opak.
2. Ak poskytovatelia dôveryhodných služieb svojim zákazníkom vopred riadne oznámia obmedzenia týkajúce sa využívania služieb, ktoré poskytujú, a ak tieto obmedzenia sú rozpoznateľné tretími stranami, poskytovatelia dôveryhodných služieb nenesú zodpovednosť za škody spôsobené využívaním služieb, ktorým sa takéto oznámené obmedzenia prekročili.
3. Odseky 1 a 2 sa uplatňujú v súlade s vnútroštátnymi predpismi o zodpovednosti.
Článok 14
Medzinárodné aspekty
1. Dôveryhodné služby, ktoré poskytujú poskytovatelia dôveryhodných služieb usadení v tretej krajine, sa uznávajú za právne rovnocenné s kvalifikovanými dôveryhodnými službami, ktoré poskytujú kvalifikovaní poskytovatelia dôveryhodných služieb usadení v Únii, ak sú dôveryhodné služby s pôvodom z tretej krajiny uznané dohodou uzavretou medzi Úniou a dotknutou treťou krajinou alebo medzinárodnou organizáciou v súlade s článkom 218 ZFEÚ.
2. Dohodami uvedenými v odseku 1 sa zabezpečuje najmä, že:
a)
poskytovatelia dôveryhodných služieb z tretej krajiny alebo medzinárodné organizácie, s ktorými sa dohoda uzatvára, ako aj dôveryhodné služby, ktoré poskytujú, spĺňajú požiadavky uplatniteľné na kvalifikovaných poskytovateľov dôveryhodných služieb usadených v Únii a kvalifikované dôveryhodné služby, ktoré poskytujú;
b)
kvalifikované dôveryhodné služby, ktoré poskytujú kvalifikovaní poskytovatelia dôveryhodných služieb usadení v Únii, sa uznávajú ako právne rovnocenné s dôveryhodnými službami, ktoré poskytujú poskytovatelia dôveryhodných služieb z tretích krajín alebo medzinárodné organizácie, s ktorými sa dohoda uzatvára.
Článok 15
Prístupnosť pre osoby so zdravotným postihnutím
Poskytované dôveryhodné služby a produkty pre koncových používateľov používané pri poskytovaní týchto služieb sú vždy, keď je to uskutočniteľné, prístupné osobám so zdravotným postihnutím.
Článok 16
Sankcie
Členské štáty stanovia pravidlá týkajúce sa sankcií uplatniteľných v prípade porušenia tohto nariadenia. Stanovené sankcie musia byť účinné, primerané a odrádzajúce.
ODDIEL 2
Dohľad
Článok 17
Orgán dohľadu
1. Členské štáty určia orgán dohľadu usadený na ich území alebo po vzájomnej dohode s iným členským štátom orgán dohľadu usadený v danom inom členskom štáte. Tento orgán je zodpovedný za úlohy dohľadu v určujúcom členskom štáte.
Orgánom dohľadu sa poskytnú potrebné právomoci a primerané zdroje na výkon ich úloh.
2. Členské štáty oznámia Komisii názvy a adresy svojich určených orgánov dohľadu.
3. Orgán dohľadu plní túto úlohu:
a)
dohliada na kvalifikovaných poskytovateľov dôveryhodných služieb usadených na území určujúceho členského štátu s cieľom zaručiť prostredníctvom dohľadu ex ante a ex post, aby títo kvalifikovaní poskytovatelia dôveryhodných služieb a kvalifikované dôveryhodné služby, ktoré poskytujú, spĺňali požiadavky stanovené v tomto nariadení;
b)
podľa potreby koná prostredníctvom dohľadu ex post vo vzťahu k nekvalifikovaným poskytovateľom dôveryhodných služieb usadeným na území určujúceho členského štátu, ak má informácie, že títo nekvalifikovaní poskytovatelia dôveryhodných služieb alebo dôveryhodné služby, ktoré poskytujú, údajne nespĺňajú požiadavky stanovené v tomto nariadení.
4. Na účely odseku 3 a s výhradou obmedzení, ktoré sú v ňom ustanovené, medzi úlohy orgánu dohľadu patrí najmä:
a)
spolupracovať s ostatnými orgánmi dohľadu a poskytovať im pomoc v súlade s článkom 18;
b)
analyzovať správy o posudzovaní zhody uvedené v článku 20 ods. 1 a článku 21 ods. 1;
c)
informovať ostatné orgány dohľadu a verejnosť o narušení bezpečnosti alebo integrity v súlade s článkom 19 ods. 2;
d)
podávať Komisii správy o svojich hlavných činnostiach v súlade s odsekom 6 tohto článku;
e)
vykonávať audity alebo žiadať orgán posudzovania zhody o posúdenie zhody týkajúce sa kvalifikovaných poskytovateľov dôveryhodných služieb v súlade s článkom 20 ods. 2;
f)
spolupracovať s orgánmi pre ochranu osobných údajov a najmä ich bez zbytočného odkladu informovať o výsledkoch auditov kvalifikovaných poskytovateľov dôveryhodných služieb v prípade podozrenia z porušenia predpisov o ochrane osobných údajov;
g)
udeľovať poskytovateľom dôveryhodných služieb a službám, ktoré poskytujú, kvalifikovaný štatút a odnímať ho v súlade s článkami 20 a 21;
h)
informovať orgán zodpovedný za národný dôveryhodný zoznam uvedený v článku 22 ods. 3 o svojich rozhodnutiach týkajúcich sa udeľovania alebo odnímania kvalifikovaného štatútu, pokiaľ tento orgán nie je aj orgánom dohľadu;
i)
overovať existenciu a správne uplatňovanie ustanovení o plánoch ukončenia činnosti v prípade, že kvalifikovaný poskytovateľ dôveryhodných služieb prestane vykonávať svoju činnosť, a to aj pokiaľ ide o spôsob, ako zachovať prístupnosť informácií v súlade s článkom 24 ods. 2 písm. h);
j)
vyžadovať, aby poskytovatelia dôveryhodných služieb napravili akékoľvek nesplnenie požiadaviek stanovených v tomto nariadení.
5. Členské štáty môžu vyžadovať, aby orgán dohľadu zriadil, udržiaval a aktualizoval dôveryhodnú infraštruktúru v súlade s podmienkami podľa vnútroštátneho práva.
6. Všetky orgány dohľadu každoročne do 31. marca predložia Komisii správu o svojich hlavných činnostiach za predchádzajúci kalendárny rok spolu so súhrnom oznámení o narušeniach, ktoré dostali od poskytovateľov dôveryhodných služieb v súlade s článkom 19 ods. 2.
7. Komisia sprístupní výročnú správu uvedenú v odseku 6 členským štátom.
8. Komisia môže prostredníctvom vykonávacích aktov vymedziť formáty a postupy týkajúce sa správy uvedenej v odseku 6. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 18
Vzájomná pomoc
1. Orgány dohľadu navzájom spolupracujú s cieľom vymieňať si osvedčené postupy.
Orgán dohľadu poskytuje inému orgánu dohľadu na jeho odôvodnenú žiadosť pomoc, aby sa mohli činnosti orgánov dohľadu vykonávať konzistentným spôsobom. Vzájomná pomoc môže zahŕňať najmä žiadosti o informácie a opatrenia dohľadu, ako sú žiadosti o vykonanie inšpekcií súvisiacich so správami o posúdení zhody podľa článkov 20 a 21.
2. Orgán dohľadu, ktorému je adresovaná žiadosť o pomoc, môže túto žiadosť zamietnuť z ktoréhokoľvek z týchto dôvodov:
a)
orgán dohľadu nie je na poskytnutie požadovanej pomoci príslušný;
b)
požadovaná pomoc nie je primeraná činnostiam dohľadu, ktoré orgán dohľadu vykonáva v súlade s článkom 17;
c)
poskytnutie požadovanej pomoci by nebolo v súlade s týmto nariadením.
3. Ak je to vhodné, členské štáty môžu oprávniť svoje orgány dohľadu na vykonávanie spoločných vyšetrovaní, do ktorých sa zapojí personál orgánov dohľadu z iných členských štátov. Dotknuté členské štáty dohodnú a ustanovia dojednania a postupy týkajúce sa takýchto spoločných akcií v súlade so svojím vnútroštátnym právom.
Článok 19
Bezpečnostné požiadavky uplatniteľné na poskytovateľov dôveryhodných služieb
1. Kvalifikovaní a nekvalifikovaní poskytovatelia dôveryhodných služieb prijmú vhodné technické a organizačné opatrenia na riadenie rizík ohrozujúcich bezpečnosť dôveryhodných služieb, ktoré poskytujú. So zreteľom na najnovší technologický vývoj sa uvedenými opatreniami musí zaistiť úroveň bezpečnosti primeraná stupňu rizika. Prijmú sa najmä opatrenia na prevenciu a minimalizáciu vplyvu bezpečnostných incidentov a na oznámenie nepriaznivých účinkov všetkých takýchto incidentov zainteresovaným stranám.
2. Kvalifikovaní a nekvalifikovaní poskytovatelia dôveryhodných služieb bez zbytočného odkladu, najneskôr však do 24 hodín, odkedy sa dozvedeli o akomkoľvek narušení bezpečnosti alebo integrity s významným vplyvom na poskytovanú dôveryhodnú službu alebo osobné údaje uchovávané v rámci nej, oznámia túto skutočnosť orgánu dohľadu a prípadne iným príslušným orgánom, ako je napríklad vnútroštátny orgán zodpovedný za informačnú bezpečnosť alebo orgán pre ochranu údajov.
Ak môže narušenie bezpečnosti alebo integrity negatívne ovplyvniť fyzickú alebo právnickú osobu, ktorej sa dôveryhodná služba poskytovala, poskytovateľ dôveryhodných služieb bez zbytočného odkladu oznámi narušenie bezpečnosti alebo integrity aj tejto fyzickej či právnickej osobe.
Ak je to vhodné, a najmä keď sa narušenie bezpečnosti alebo integrity týka dvoch alebo viacerých členských štátov, informovaný orgán dohľadu o veci informuje orgány dohľadu v ostatných dotknutých členských štátoch a agentúru ENISA.
Ak informovaný orgán dohľadu usúdi, že zverejnenie narušenia bezpečnosti alebo integrity je vo verejnom záujme, informuje o ňom verejnosť, alebo o to požiada poskytovateľa dôveryhodných služieb.
3. Orgán dohľadu poskytuje agentúre ENISA raz ročne súhrn oznámení o narušeniach bezpečnosti a integrity, ktoré mu oznámili poskytovatelia dôveryhodných služieb.
4. Komisia môže prostredníctvom vykonávacích aktov:
a)
ďalej špecifikovať opatrenia uvedené v odseku 1 a
b)
vymedziť formáty a postupy vrátane lehôt uplatniteľné na účely odseku 2.
Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
ODDIEL 3
Kvalifikované dôveryhodné služby
Článok 20
Dohľad nad kvalifikovanými poskytovateľmi dôveryhodných služieb
1. Orgán posudzovania zhody vykonáva aspoň každých 24 mesiacov audity kvalifikovaných poskytovateľov dôveryhodných služieb na ich vlastné náklady. Účelom auditu je potvrdiť, že kvalifikovaní poskytovatelia dôveryhodných služieb a kvalifikované dôveryhodné služby, ktoré poskytujú, spĺňajú požiadavky stanovené v tomto nariadení. Kvalifikovaní poskytovatelia dôveryhodných služieb predložia výslednú správu o posúdení zhody orgánu dohľadu v lehote troch pracovných dní od jej doručenia.
2. Bez toho, aby bol dotknutý odsek 1, môže orgán dohľadu kedykoľvek vykonať audit kvalifikovaných poskytovateľov dôveryhodných služieb alebo požiadať orgán posudzovania zhody, aby vykonal posúdenie zhody týkajúce sa kvalifikovaných poskytovateľov dôveryhodných služieb, a to na náklady týchto poskytovateľov dôveryhodných služieb, s cieľom potvrdiť, že títo poskytovatelia a kvalifikované dôveryhodné služby, ktoré poskytujú, spĺňajú požiadavky stanovené v tomto nariadení. Ak sa zdá, že boli porušené predpisy týkajúce sa ochrany osobných údajov, orgán dohľadu informuje o výsledkoch svojho auditu orgány pre ochranu údajov.
3. Ak orgán dohľadu vyžaduje od kvalifikovaného poskytovateľa dôveryhodných služieb nápravu akéhokoľvek nesplnenia požiadaviek podľa tohto nariadenia a ak tento poskytovateľ tak neurobí a ani počas prípadnej lehoty stanovenej orgánom dohľadu, orgán dohľadu pri zohľadnení najmä rozsahu, trvania a následkov takéhoto nesplnenia môže tomuto poskytovateľovi alebo dotknutej službe, ktorú poskytuje, odňať kvalifikovaný štatút a informovať o tom orgán uvedený v článku 22 ods. 3 na účely aktualizácie dôveryhodných zoznamov uvedených v článku 22 ods. 1. Orgán dohľadu informuje kvalifikovaného poskytovateľa dôveryhodných služieb o odňatí jeho kvalifikovaného štatútu alebo kvalifikovaného štatútu dotknutej služby.
4. Komisia môže prostredníctvom vykonávacích aktov stanoviť referenčné číslo týchto noriem:
a)
akreditácia orgánov posudzovania zhody a správa o posúdení zhody uvedená v odseku 1;
b)
pravidlá auditu, podľa ktorých orgány posudzovania zhody budú vykonávať posudzovanie zhody kvalifikovaných poskytovateľov dôveryhodných služieb podľa odseku 1.
Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 21
Začatie poskytovania kvalifikovanej dôveryhodnej služby
1. Ak poskytovatelia dôveryhodných služieb bez kvalifikovaného štatútu zamýšľajú začať poskytovať kvalifikované dôveryhodné služby, predložia orgánu dohľadu oznámenie o svojom zámere spolu so správou o posúdení zhody, ktorú vydal orgán posudzovania zhody.
2. Orgán dohľadu overí, či poskytovateľ dôveryhodných služieb a dôveryhodné služby, ktoré poskytuje, spĺňajú požiadavky stanovené v tomto nariadení, a to najmä požiadavky na kvalifikovaných poskytovateľov dôveryhodných služieb a kvalifikované dôveryhodné služby, ktoré poskytujú.
Ak orgán dohľadu usúdi, že poskytovateľ dôveryhodných služieb a dôveryhodné služby, ktoré poskytuje, spĺňajú požiadavky uvedené v prvom pododseku, udelí tomuto poskytovateľovi dôveryhodných služieb a dôveryhodným službám, ktoré poskytuje, kvalifikovaný štatút a informuje orgán uvedený v článku 22 ods. 3 na účely aktualizácie dôveryhodných zoznamov uvedených v článku 22 ods. 1, a to najneskôr do troch mesiacov po oznámení v súlade s odsekom 1 tohto článku.
Ak sa overovanie neukončí do troch mesiacov od oznámenia, orgán dohľadu o tom informuje poskytovateľa dôveryhodných služieb a oznámi mu dôvody omeškania a lehotu, v ktorej sa overovanie má ukončiť.
3. Kvalifikovaní poskytovatelia dôveryhodných služieb môžu začať poskytovať kvalifikovanú dôveryhodnú službu po tom, čo sa kvalifikovaný štatút uvedie v dôveryhodných zoznamoch uvedených v článku 22 ods. 1.
4. Komisia môže prostredníctvom vykonávacích aktov vymedziť formáty a postupy na účely odsekov 1 a 2. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 22
Dôveryhodné zoznamy
1. Každý členský štát vytvorí, vedie a uverejňuje dôveryhodné zoznamy vrátane informácií týkajúcich sa kvalifikovaných poskytovateľov dôveryhodných služieb, pre ktorých je príslušný, spolu s informáciami týkajúcimi sa kvalifikovaných dôveryhodných služieb, ktoré poskytujú.
2. Členské štáty zabezpečeným spôsobom vytvoria, vedú a uverejňujú elektronicky podpísané alebo zapečatené dôveryhodné zoznamy uvedené v odseku 1 vo forme vhodnej na automatizované spracovanie.
3. Členské štáty poskytnú Komisii bez zbytočného odkladu informácie o orgáne zodpovednom za vytvorenie, vedenie a uverejňovanie národných dôveryhodných zoznamov, ako aj údaje o tom, kde sa tieto zoznamy uverejňujú, informácie o certifikátoch použitých na podpísanie alebo zapečatenie dôveryhodných zoznamov a oznámia jej všetky ich zmeny.
4. Komisia prostredníctvom zabezpečeného kanálu sprístupňuje verejnosti informácie uvedené v odseku 3 v elektronicky podpísanej alebo zapečatenej forme vhodnej na automatizované spracovanie.
5. Komisia do 18. septembra 2015 prostredníctvom vykonávacích aktov spresní informácie uvedené v odseku 1 a vymedzí technické špecifikácie a formáty pre dôveryhodné zoznamy uplatniteľné na účely odsekov 1 až 4. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 23
Značka dôvery EÚ pre kvalifikované dôveryhodné služby
1. Kvalifikovaní poskytovatelia dôveryhodných služieb môžu značku dôvery EÚ používať na jednoduché, rozpoznateľné a jasné označenie kvalifikovaných dôveryhodných služieb, ktoré poskytujú po tom, čo sa kvalifikovaný štatút uvedený v článku 21 ods. 2 druhom pododseku uvedie v dôveryhodnom zozname uvedenom v článku 22 ods. 1.
2. Kvalifikovaní poskytovatelia dôveryhodných služieb pri používaní značky dôvery EÚ pre kvalifikované dôveryhodné služby uvedenej v odseku 1 zaručia, aby sa na ich webovom sídle uvádzal odkaz na príslušný dôveryhodný zoznam.
3. Komisia do 1. júla 2015 prostredníctvom vykonávacích aktov stanoví špecifikácie týkajúce sa formy, a najmä prezentáciu, kompozíciu, veľkosť a dizajn značky dôvery EÚ pre kvalifikované dôveryhodné služby. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 24
Požiadavky na kvalifikovaných poskytovateľov dôveryhodných služieb
1. Kvalifikovaný poskytovateľ dôveryhodných služieb pri vydávaní kvalifikovaného certifikátu pre dôveryhodnú službu vhodnými prostriedkami a v súlade s vnútroštátnym právom overuje totožnosť a prípadne akékoľvek osobitné atribúty fyzickej alebo právnickej osoby, ktorej vydáva kvalifikovaný certifikát.
Informácie uvedené v prvom pododseku overuje kvalifikovaný poskytovateľ dôveryhodných služieb buď priamo, alebo prostredníctvom spoľahnutia sa na tretiu stranu v súlade s vnútroštátnym právom:
a)
na základe fyzickej prítomnosti fyzickej osoby alebo splnomocneného zástupcu právnickej osoby, alebo
b)
na diaľku prostredníctvom prostriedkov elektronickej identifikácie, pre ktoré sa pred vydaním kvalifikovaného certifikátu zabezpečila fyzická prítomnosť fyzickej osoby alebo splnomocneného zástupcu právnickej osoby a ktoré spĺňajú požiadavky stanovené v článku 8, pokiaľ ide o úroveň zabezpečenia „pokročilá“ alebo „vysoká“, alebo
c)
prostredníctvom certifikátu pre kvalifikovaný elektronický podpis alebo kvalifikovanú elektronickú pečať vydaného v súlade s písmenom a) alebo b), alebo
d)
prostredníctvom použitia iných metód identifikácie uznávaných na vnútroštátnej úrovni, ktorými sa poskytuje rovnocenné zabezpečenie, pokiaľ ide o spoľahlivosť, ako pri fyzickej prítomnosti. Rovnocenné zabezpečenie potvrdzuje orgán posudzovania zhody.
2. Kvalifikovaný poskytovateľ dôveryhodných služieb, ktorý poskytuje kvalifikované dôveryhodné služby:
a)
informuje orgán dohľadu o všetkých zmenách pri poskytovaní svojich kvalifikovaných dôveryhodných služieb a o zámere ukončiť tieto činnosti;
b)
zamestnáva personál a prípadne subdodávateľov s potrebnou odbornosťou, spoľahlivosťou, skúsenosťami, kvalifikáciou a vhodnou odbornou prípravou týkajúcou sa predpisov v oblasti bezpečnosti a ochrany osobných údajov a uplatňuje administratívne a riadiace postupy, ktoré zodpovedajú európskym alebo medzinárodným normám;
c)
v súvislosti s rizikom zodpovednosti za škodu v súlade s článkom 13 udržiava postačujúce finančné prostriedky a/alebo uzatvára vhodné poistenie zodpovednosti za škodu v súlade s vnútroštátnym právom;
d)
pred uzavretím zmluvného vzťahu jednoznačne a vyčerpávajúco informuje každú osobu, ktorá chce využívať kvalifikovanú dôveryhodnú službu, o presných podmienkach využívania tejto služby vrátane obmedzení jej využívania;
e)
používa dôveryhodné systémy a produkty chránené proti pozmeneniu a zabezpečí technickú bezpečnosť a spoľahlivosť procesov, ktoré podporujú;
f)
používa dôveryhodné systémy na uchovávanie jemu poskytnutých údajov v overiteľnej forme tak, aby:
i)
údaje boli verejne prístupné na vyhľadanie iba po získaní súhlasu osoby, ktorej sa týkajú;
ii)
údaje mohli zadávať a uchovávané údaje meniť iba oprávnené osoby;
iii)
údaje bolo možné skontrolovať z hľadiska ich pravosti;
g)
prijíma vhodné opatrenia proti falšovaniu a krádeži údajov;
h)
zaznamenáva a po primeranú dobu, a to aj po ukončení činností kvalifikovaného poskytovateľa dôveryhodných služieb, uchováva prístupné všetky relevantné informácie týkajúce sa údajov, ktoré kvalifikovaný poskytovateľ dôveryhodných služieb vydal a prijal, najmä na účely predloženia dôkazov v súdnom konaní a na účely zabezpečenia kontinuity služby. Takéto zaznamenávanie sa môže vykonať elektronicky;
i)
má aktualizovaný plán ukončenia činností na zabezpečenie kontinuity služby v súlade s ustanoveniami overenými orgánom dohľadu podľa článku 17 ods. 4 písm. i);
j)
zabezpečí spracúvanie osobných údajov v súlade s právnymi predpismi podľa smernice 95/46/ES;
k)
v prípade kvalifikovaných poskytovateľov dôveryhodných služieb, ktorí vydávajú kvalifikované certifikáty, zriaďuje a aktualizuje databázu certifikátov.
3. Ak sa kvalifikovaný poskytovateľ dôveryhodných služieb vydávajúci kvalifikované certifikáty rozhodne certifikát zrušiť, zaznamená takéto zrušenie vo svojej databáze certifikátov a štatút zrušenia certifikátu uverejní čo najskôr, a v každom prípade do 24 hodín od doručenia žiadosti. Zrušenie je účinné ihneď po jeho uverejnení.
4. Pokiaľ ide o odsek 3, kvalifikovaní poskytovatelia dôveryhodných služieb, ktorí vydávajú kvalifikované certifikáty, každej spoliehajúcej sa strane poskytnú informácie o štatúte platnosti alebo zrušenia kvalifikovaných certifikátov, ktoré vydali. Tieto informácie sa poskytujú aspoň, pokiaľ ide o jednotlivé certifikáty, kedykoľvek, a to aj po uplynutí doby platnosti certifikátu, automatizovaným spôsobom, ktorý je spoľahlivý, bezplatný a efektívny.
5. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre dôveryhodné systémy a produkty, ktoré sú v súlade s požiadavkami podľa odseku 2 písm. e) a f) tohto článku. Ak dôveryhodné systémy a produkty spĺňajú uvedené normy, má sa za to, že sú v súlade s požiadavkami stanovenými v tomto článku. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
ODDIEL 4
Elektronické podpisy
Článok 25
Právne účinky elektronických podpisov
1. Právny účinok elektronického podpisu a jeho prípustnosť ako dôkazu v súdnom konaní sa nesmie odmietnuť výlučne z toho dôvodu, že má elektronickú formu alebo že nespĺňa požiadavky pre kvalifikované elektronické podpisy.
2. Kvalifikovaný elektronický podpis má právny účinok rovnocenný s vlastnoručným podpisom.
3. Kvalifikovaný elektronický podpis založený na kvalifikovanom certifikáte vydanom v jednom členskom štáte sa uznáva ako kvalifikovaný elektronický podpis vo všetkých ostatných členských štátoch.
Článok 26
Požiadavky na zdokonalené elektronické podpisy
Zdokonalený elektronický podpis musí spĺňať tieto požiadavky:
a)
je jedinečne spojený s podpisovateľom;
b)
umožňuje určenie totožnosti podpisovateľa;
c)
je vyhotovený pomocou údajov na vyhotovenie elektronického podpisu, ktoré môže podpisovateľ s vysokou mierou dôveryhodnosti používať pod svojou výlučnou kontrolou, a
d)
je prepojený s údajmi, ktoré sa ním podpisujú, takým spôsobom, že každú dodatočnú zmenu údajov možno zistiť.
Článok 27
Elektronické podpisy vo verejných službách
1. Ak členský štát na využívanie služby online, ktorú ponúka subjekt verejného sektora alebo ktorá sa ponúka v jeho mene, vyžaduje zdokonalený elektronický podpis, uznáva tento členský štát zdokonalené elektronické podpisy, zdokonalené elektronické podpisy založené na kvalifikovanom certifikáte pre elektronické podpisy a kvalifikované elektronické podpisy, a to aspoň tie, ktoré sú vo formátoch alebo ktoré používajú metódy vymedzené vo vykonávacích aktoch uvedených v odseku 5.
2. Ak členský štát na využívanie služby online, ktorú ponúka subjekt verejného sektora alebo ktorá sa ponúka v jeho mene, vyžaduje zdokonalený elektronický podpis založený na kvalifikovanom certifikáte, uznáva tento členský štát zdokonalené elektronické podpisy založené na kvalifikovanom certifikáte a kvalifikované elektronické podpisy, a to aspoň tie, ktoré sú vo formátoch alebo ktoré používajú metódy vymedzené vo vykonávacích aktoch uvedených v odseku 5.
3. Členské štáty nesmú vyžadovať na cezhraničné využívanie služby online, ktorú ponúka subjekt verejného sektora, elektronický podpis vyššej úrovne bezpečnosti ako kvalifikovaný elektronický podpis.
4. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre zdokonalené elektronické podpisy. Ak zdokonalený elektronický podpis spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami na zdokonalené elektronické podpisy uvedenými v odsekoch 1 a 2 tohto článku a v článku 26. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
5. Komisia do 18. septembra 2015 prostredníctvom vykonávacích aktov vymedzí referenčné formáty zdokonalených elektronických podpisov alebo referenčné metódy pre prípady, keď sa používajú alternatívne formáty, pričom zohľadní existujúcu prax, normy a právne akty Únie. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 28
Kvalifikované certifikáty pre elektronické podpisy
1. Kvalifikované certifikáty pre elektronické podpisy musia spĺňať požiadavky stanovené v prílohe I.
2. Kvalifikované certifikáty pre elektronické podpisy nesmú podliehať žiadnym povinným požiadavkám nad rámec požiadaviek stanovených v prílohe I.
3. Kvalifikované certifikáty pre elektronické podpisy môžu obsahovať nepovinné dodatočné osobitné atribúty. Uvedené atribúty nesmú mať vplyv na interoperabilitu a uznávanie kvalifikovaných elektronických podpisov.
4. Ak sa po počiatočnej aktivácii kvalifikovaný certifikát pre elektronické podpisy zruší, stráca svoju platnosť okamihom jeho zrušenia a jeho štatút sa za žiadnych okolností nezmení na pôvodný.
5. Členské štáty môžu ustanoviť vnútroštátne predpisy o dočasnom pozastavení kvalifikovaného certifikátu pre elektronický podpis, a to za týchto podmienok:
a)
ak sa kvalifikovaný certifikát pre elektronický podpis dočasne pozastaví, certifikát stráca platnosť na obdobie pozastavenia;
b)
obdobie pozastavenia sa jasne uvedie v databáze certifikátov a štatút pozastavenia musí byť počas obdobia pozastavenia viditeľný zo služby, ktorou sa poskytujú informácie o štatúte certifikátu.
6. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikované certifikáty pre elektronický podpis. Ak kvalifikovaný certifikát pre elektronický podpis spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v prílohe I. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 29
Požiadavky na kvalifikované zariadenia na vyhotovenie elektronických podpisov
1. Kvalifikované zariadenia na vyhotovenie elektronických podpisov musia spĺňať požiadavky stanovené v prílohe II.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikované zariadenia na vyhotovenie elektronických podpisov. Ak kvalifikované zariadenie na vyhotovenie elektronického podpisu spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v prílohe II. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 30
Certifikácia kvalifikovaných zariadení na vyhotovenie elektronických podpisov
1. Zhodu kvalifikovaných zariadení na vyhotovenie elektronických podpisov s požiadavkami stanovenými v prílohe II certifikujú príslušné verejné alebo súkromné subjekty určené členskými štátmi.
2. Členské štáty oznámia Komisii názvy a adresy verejných alebo súkromných subjektov, ktoré sú uvedené v odseku 1. Komisia sprístupní tieto informácie členským štátom.
3. Certifikácia uvedená v odseku 1 je založená na:
a)
procese hodnotenia bezpečnosti, ktorý sa vykoná v súlade s niektorou z noriem posudzovania bezpečnosti produktov informačných technológií zaradených do zoznamu vypracovaného v súlade s druhým pododsekom, alebo
b)
inom procese ako procese uvedenom v písmene a), ak sa v rámci neho používajú porovnateľné úrovne bezpečnosti a ak verejný alebo súkromný subjekt uvedený v odseku 1 tento proces oznámi Komisii. Tento proces možno použiť, len ak neexistujú normy uvedené v písmene a) alebo ak prebieha proces hodnotenia bezpečnosti uvedený v písmene a).
Komisia prostredníctvom vykonávacích aktov vypracuje zoznam noriem posudzovania bezpečnosti produktov informačných technológií uvedený v písmene a). Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
4. Komisia je splnomocnená prijímať delegované akty v súlade s článkom 47, pokiaľ ide o stanovenie osobitných kritérií, ktoré musia splniť určené subjekty uvedené v odseku 1 tohto článku.
Článok 31
Zverejňovanie zoznamu certifikovaných kvalifikovaných zariadení na vyhotovenie elektronických podpisov
1. Členské štáty bez zbytočného odkladu a najneskôr do jedného mesiaca po ukončení certifikácie poskytnú Komisii informácie o kvalifikovaných zariadeniach na vyhotovenie elektronických podpisov, ktoré certifikovali subjekty uvedené v článku 30 ods. 1. Rovnako bez zbytočného odkladu a najneskôr do jedného mesiaca po zrušení certifikácie poskytnú Komisii informácie o zariadeniach na vyhotovenie elektronických podpisov, ktoré už nie sú certifikované.
2. Komisia na základe získaných informácií vytvorí, zverejňuje a vedie zoznam certifikovaných kvalifikovaných zariadení na vyhotovenie elektronických podpisov.
3. Komisia môže prostredníctvom vykonávacích aktov vymedziť formáty a postupy uplatniteľné na účely odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 32
Požiadavky na validáciu kvalifikovaných elektronických podpisov
1. Procesom validácie kvalifikovaného elektronického podpisu sa potvrdí platnosť kvalifikovaného elektronického podpisu, ak:
a)
certifikát, ktorý potvrdzuje podpis, bol v čase podpísania kvalifikovaným certifikátom pre elektronický podpis v súlade s prílohou I;
b)
kvalifikovaný certifikát vydal kvalifikovaný poskytovateľ dôveryhodných služieb a v čase podpísania bol platný;
c)
údaje na validáciu podpisu zodpovedajú údajom poskytnutým spoliehajúcej sa strane;
d)
sa jedinečný súbor údajov reprezentujúcich podpisovateľa v certifikáte správne poskytol spoliehajúcej sa strane;
e)
sa použitie pseudonymu jasne oznámilo spoliehajúcej sa strane v prípade, že sa v čase podpísania použil pseudonym;
f)
bol elektronický podpis vyhotovený kvalifikovaným zariadením na vyhotovenie elektronického podpisu;
g)
nebola narušená integrita podpísaných údajov;
h)
v čase podpísania boli dodržané požiadavky stanovené v článku 26.
2. Systém použitý na validáciu kvalifikovaného elektronického podpisu poskytuje spoliehajúcej sa strane správny výsledok procesu validácie a umožňuje spoliehajúcej sa strane odhaliť akékoľvek problémy súvisiace s bezpečnosťou.
3. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre validáciu kvalifikovaných elektronických podpisov. Ak validácia kvalifikovaných elektronických podpisov spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 33
Kvalifikovaná služba validácie kvalifikovaných elektronických podpisov
1. Kvalifikovanú službu validácie kvalifikovaných elektronických podpisov môže poskytovať iba kvalifikovaný poskytovateľ dôveryhodných služieb, ktorý:
a)
poskytuje validáciu v súlade s článkom 32 ods. 1 a
b)
spoliehajúcim sa stranám umožňuje získať výsledok procesu validácie automatizovaným spôsobom, ktorý je spoľahlivý, efektívny a ktorý obsahuje zdokonalený elektronický podpis alebo zdokonalenú elektronickú pečať poskytovateľa kvalifikovanej služby validácie.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikovanú službu validácie uvedenú v odseku 1. Ak služba validácie kvalifikovaných elektronických podpisov spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 34
Kvalifikovaná služba uchovávania kvalifikovaných elektronických podpisov
1. Kvalifikovanú službu uchovávania kvalifikovaných elektronických podpisov môže poskytovať iba kvalifikovaný poskytovateľ dôveryhodných služieb, ktorý používa postupy a technológie, ktoré umožňujú predĺžiť dôveryhodnosť kvalifikovaného elektronického podpisu aj na obdobie po uplynutí technologickej platnosti.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikovanú službu uchovávania kvalifikovaných elektronických podpisov. Ak dojednania o kvalifikovanej službe uchovávania kvalifikovaných elektronických podpisov spĺňajú uvedené normy, má sa za to, že sú v súlade s požiadavkami stanovenými v odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
ODDIEL 5
Elektronické pečate
Článok 35
Právne účinky elektronických pečatí
1. Právny účinok elektronickej pečate a jej prípustnosť ako dôkazu v súdnom konaní sa nesmie odmietnuť výlučne z dôvodu, že má elektronickú formu alebo že nespĺňa požiadavky pre kvalifikované elektronické pečate.
2. Pri kvalifikovanej elektronickej pečati platí domnienka integrity údajov a správnosti pôvodu tých údajov, s ktorými je kvalifikovaná elektronická pečať spojená.
3. Kvalifikovaná elektronická pečať založená na kvalifikovanom certifikáte vydanom v jednom členskom štáte sa uznáva ako kvalifikovaná elektronická pečať vo všetkých ostatných členských štátoch.
Článok 36
Požiadavky na zdokonalené elektronické pečate
Zdokonalená elektronická pečať musí spĺňať tieto požiadavky:
a)
je jedinečne spojená s pôvodcom pečate;
b)
umožňuje určenie totožnosti pôvodcu pečate;
c)
je vyhotovená pomocou údajov na vyhotovenie elektronickej pečate, ktoré môže pôvodca pečate s vysokou mierou dôveryhodnosti pod jeho kontrolou používať na vyhotovenie elektronickej pečate, a
d)
je prepojená s údajmi, na ktoré sa vzťahuje, takým spôsobom, že každú dodatočnú zmenu údajov možno zistiť.
Článok 37
Elektronické pečate vo verejných službách
1. Ak členský štát na využívanie služby online, ktorú ponúka subjekt verejného sektora alebo ktorá sa ponúka v mene tohto subjektu, vyžaduje zdokonalenú elektronickú pečať, uznáva tento členský štát zdokonalené elektronické pečate, zdokonalené elektronické pečate založené na kvalifikovanom certifikáte pre elektronické pečate a kvalifikované elektronické pečate, a to aspoň tie, ktoré sú vo formátoch alebo ktoré používajú metódy vymedzené vo vykonávacích aktoch uvedených v odseku 5.
2. Ak členský štát na využívanie služby online, ktorú ponúka subjekt verejného sektora alebo ktorá sa ponúka v mene tohto subjektu, vyžaduje zdokonalenú elektronickú pečať založenú na kvalifikovanom certifikáte, uznáva tento členský štát zdokonalené elektronické pečate založené na kvalifikovanom certifikáte a kvalifikované elektronické pečate, a to aspoň tie, ktoré sú vo formátoch alebo ktoré používajú metódy vymedzené vo vykonávacích aktoch uvedených v odseku 5.
3. Členské štáty nesmú vyžadovať na cezhraničné využívanie služby online, ktorú ponúka subjekt verejného sektora, elektronickú pečať vyššej úrovne bezpečnosti ako kvalifikovaná elektronická pečať.
4. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre zdokonalené elektronické pečate. Ak zdokonalená elektronická pečať spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami na zdokonalené elektronické pečate uvedenými v odsekoch 1 a 2 tohto článku a v článku 36. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
5. Komisia do 18. septembra 2015 vymedzí prostredníctvom vykonávacích aktov referenčné formáty zdokonalených elektronických pečatí alebo referenčné metódy pre prípady, keď sa používajú alternatívne formáty, pričom zohľadní existujúcu prax, normy a právne akty Únie. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 38
Kvalifikované certifikáty pre elektronické pečate
1. Kvalifikované certifikáty pre elektronické pečate musia spĺňať požiadavky stanovené v prílohe III.
2. Kvalifikované certifikáty pre elektronické pečate nesmú podliehať žiadnym povinným požiadavkám nad rámec požiadaviek stanovených v prílohe III.
3. Kvalifikované certifikáty pre elektronické pečate môžu obsahovať nepovinné dodatočné osobitné atribúty. Týmito atribútmi sa neovplyvní interoperabilita a uznávanie kvalifikovaných elektronických pečatí.
4. Ak sa po počiatočnej aktivácii kvalifikovaný certifikát pre elektronickú pečať zruší, stráca svoju platnosť okamihom zrušenia a jeho štatút sa za žiadnych okolností nezmení na pôvodný.
5. Členské štáty môžu ustanoviť vnútroštátne predpisy o dočasnom pozastavení kvalifikovaných certifikátov pre elektronické pečate, a to za týchto podmienok:
a)
ak sa kvalifikovaný certifikát pre elektronickú pečať dočasne pozastaví, tento certifikát stráca platnosť na obdobie pozastavenia;
b)
obdobie pozastavenia sa jasne uvedie v databáze certifikátov a štatút pozastavenia musí byť počas obdobia pozastavenia viditeľný zo služby, ktorou sa poskytujú informácie o štatúte certifikátu.
6. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikované certifikáty pre elektronické pečate. Ak kvalifikovaný certifikát pre elektronickú pečať spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v prílohe III. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
Článok 39
Kvalifikované zariadenia na vyhotovenie elektronických pečatí
1. Článok 29 sa primerane uplatňuje na požiadavky na kvalifikované zariadenia na vyhotovenie elektronických pečatí.
2. Článok 30 sa primerane uplatňuje na certifikáciu kvalifikovaných zariadení na vyhotovenie elektronických pečatí.
3. Článok 31 sa primerane uplatňuje na uverejňovanie zoznamu certifikovaných kvalifikovaných zariadení na vyhotovenie elektronických pečatí.
Článok 40
Validácia a uchovávanie kvalifikovaných elektronických pečatí
Články 32, 33 a 34 sa uplatňujú primerane na validáciu a uchovávanie kvalifikovaných elektronických pečatí.
ODDIEL 6
Elektronické časové pečiatky
Článok 41
Právny účinok elektronických časových pečiatok
1. Právny účinok elektronickej časovej pečiatky a jej prípustnosť ako dôkazu v súdnom konaní sa nesmie odmietnuť výlučne z toho dôvodu, že má elektronickú formu alebo že nespĺňa požiadavky kvalifikovanej elektronickej časovej pečiatky.
2. Pri kvalifikovanej elektronickej časovej pečiatke platí domnienka správnosti dátumu a času, ktorý uvádza, a integrity údajov, s ktorými je dátum a čas spojený.
3. Kvalifikovaná elektronická časová pečiatka vydaná v jednom členskom štáte sa uznáva ako kvalifikovaná elektronická časová pečiatka vo všetkých členských štátoch.
Článok 42
Požiadavky na kvalifikované elektronické časové pečiatky
1. Kvalifikovaná elektronická časová pečiatka spĺňa tieto požiadavky:
a)
spája dátum a čas s údajmi spôsobom, ktorý v rozumnej miere zamedzuje možnosť nezistiteľnej zmeny údajov;
b)
je založená na presnom zdroji času prepojenom s koordinovaným svetovým časom a
c)
je podpísaná zdokonaleným elektronickým podpisom alebo zapečatená zdokonalenou elektronickou pečaťou kvalifikovaného poskytovateľa dôveryhodných služieb alebo rovnocennou metódou.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre spojenie dátumu a času s údajmi a pre presné zdroje času. Ak spojenie dátumu a času s údajmi a presným zdrojom času spĺňajú uvedené normy, má sa za to, že sú v súlade s požiadavkami stanovenými v odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
ODDIEL 7
Elektronické doručovacie služby pre registrované zásielky
Článok 43
Právny účinok elektronickej doručovacej služby pre registrované zásielky
1. Právny účinok údajov, ktoré sa odošlú a doručia prostredníctvom elektronickej doručovacej služby pre registrované zásielky, a ich prípustnosť ako dôkazu v súdnom konaní sa nesmie odmietnuť výlučne z dôvodu, že majú elektronickú formu alebo že nespĺňajú požiadavky na kvalifikovanú elektronickú doručovaciu službu pre registrované zásielky.
2. Pri údajoch, ktoré sa odošlú a doručia prostredníctvom kvalifikovanej elektronickej doručovacej služby pre registrované zásielky, platí domnienka ich integrity, odoslania údajov identifikovaným odosielateľom a ich doručenia identifikovanému adresátovi a správnosti dátumu a času ich odoslania a doručenia uvedených v kvalifikovanej elektronickej doručovacej službe pre registrované zásielky.
Článok 44
Požiadavky na kvalifikované elektronické doručovacie služby pre registrované zásielky
1. Kvalifikované elektronické doručovacie služby pre registrované zásielky musia spĺňať tieto požiadavky:
a)
poskytuje ich jeden alebo viacerí kvalifikovaní poskytovatelia dôveryhodných služieb;
b)
zabezpečujú identifikáciu odosielateľa s vysokou úrovňou spoľahlivosti;
c)
zabezpečujú identifikáciu adresáta pred doručením údajov;
d)
odosielanie a doručovanie údajov je zabezpečené zdokonaleným elektronickým podpisom alebo zdokonalenou elektronickou pečaťou kvalifikovaného poskytovateľa dôveryhodných služieb spôsobom, ktorým sa zamedzí možnosti nezistiteľnej zmeny údajov;
e)
akákoľvek zmena údajov potrebná na účel odoslania alebo doručenia údajov sa jasne oznámi odosielateľovi a adresátovi údajov;
f)
dátum a čas odoslania, doručenia a akejkoľvek zmeny údajov je označený kvalifikovanou elektronickou časovou pečiatkou.
V prípade prenosu údajov medzi dvomi alebo viacerými kvalifikovanými poskytovateľmi dôveryhodných služieb sa požiadavky uvedené v písmenách a) až f) vzťahujú na všetkých kvalifikovaných poskytovateľov dôveryhodných služieb.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre procesy odosielania a doručovania údajov. Ak proces odosielania a doručovania údajov spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v odseku 1. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
ODDIEL 8
Autentifikácia webových sídiel
Článok 45
Požiadavky na kvalifikované certifikáty pre autentifikáciu webových sídiel
1. Kvalifikované certifikáty pre autentifikáciu webových sídiel musia spĺňať požiadavky stanovené v prílohe IV.
2. Komisia môže prostredníctvom vykonávacích aktov určiť referenčné čísla noriem pre kvalifikované certifikáty pre autentifikáciu webových sídiel. Ak kvalifikovaný certifikát pre autentifikáciu webových sídiel spĺňa uvedené normy, má sa za to, že je v súlade s požiadavkami stanovenými v prílohe IV. Uvedené vykonávacie akty sa prijmú v súlade s postupom preskúmania uvedeným v článku 48 ods. 2.
KAPITOLA IV
ELEKTRONICKÉ DOKUMENTY
Článok 46
Právne účinky elektronických dokumentov
Právny účinok elektronického dokumentu a jeho prípustnosť ako dôkazu v súdnom konaní sa nesmie odmietnuť výlučne z dôvodu, že má elektronickú formu.
KAPITOLA V
DELEGOVANIE PRÁVOMOCI A VYKONÁVACIE USTANOVENIA
Článok 47
Vykonávanie delegovania právomoci
1. Komisii sa udeľuje právomoc prijímať delegované akty za podmienok stanovených v tomto článku.
2. Právomoc prijímať delegované akty uvedené v článku 30 ods. 4 sa Komisii udeľuje na dobu neurčitú od 17. septembra 2014.
3. Delegovanie právomocí uvedené v článku 30 ods. 4 môže Európsky parlament alebo Rada kedykoľvek odvolať. Rozhodnutím o odvolaní sa ukončuje delegovanie právomoci, ktoré sa v ňom uvádza. Rozhodnutie nadobúda účinnosť dňom nasledujúcim po jeho uverejnení v Úradnom vestníku Európskej únie alebo k neskoršiemu dátumu, ktorý je v ňom určený. Nie je ním dotknutá platnosť delegovaných aktov, ktoré už nadobudli účinnosť.
4. Komisia oznamuje delegovaný akt hneď po prijatí súčasne Európskemu parlamentu a Rade.
5. Delegovaný akt prijatý podľa článku 30 ods. 4 nadobudne účinnosť, len ak Európsky parlament alebo Rada voči nemu nevzniesli námietku v lehote dvoch mesiacov odo dňa oznámenia uvedeného aktu Európskemu parlamentu a Rade alebo ak pred uplynutím uvedenej lehoty Európsky parlament a Rada informovali Komisiu o svojom rozhodnutí nevzniesť námietku. Na podnet Európskeho parlamentu alebo Rady sa táto lehota predĺži o dva mesiace.
Článok 48
Postup výboru
1. Komisii pomáha výbor. Uvedený výbor je výborom v zmysle nariadenia (EÚ) č. 182/2011.
2. Ak sa odkazuje na tento odsek, uplatňuje sa článok 5 nariadenia (EÚ) č. 182/2011.
KAPITOLA VI
ZÁVEREČNÉ USTANOVENIA
Článok 49
Preskúmanie
Komisia preskúma uplatňovanie tohto nariadenia a podá o ňom správu Európskemu parlamentu a Rade najneskôr 1. júla 2020. Komisia vyhodnotí najmä, či je vhodné zmeniť rozsah pôsobnosti tohto nariadenia alebo jeho konkrétne ustanovenia vrátane článku 6, článku 7 písm. f) a článkov 34, 43, 44 a 45, pričom sa zohľadnia skúsenosti získané počas uplatňovania tohto nariadenia, ako aj vývoj v oblasti technológií, trhu a práva.
K správe uvedenej v prvom odseku sa v prípade potreby priložia legislatívne návrhy.
Komisia okrem toho každé štyri roky po správe uvedenej v prvom odseku podáva Európskemu parlamentu a Rade správu o pokroku pri plnení cieľov tohto nariadenia.
Článok 50
Zrušenie
1. Smernica 1999/93/ES sa zrušuje s účinnosťou od 1. júla 2016.
2. Odkazy na zrušenú smernicu sa považujú za odkazy na toto nariadenie.
Článok 51
Prechodné opatrenia
1. Bezpečné zariadenia na vyhotovenie podpisu, ktorých zhoda sa určila v súlade s článkom 3 ods. 4 smernice 1999/93/ES, sa podľa tohto nariadenia považujú za kvalifikované zariadenia na vyhotovenie elektronických podpisov.
2. Kvalifikované certifikáty vydané fyzickým osobám podľa smernice 1999/93/ES sa považujú za kvalifikované certifikáty pre elektronické podpisy podľa tohto nariadenia do uplynutia ich platnosti.
3. Poskytovateľ certifikačných služieb vydávajúci kvalifikované certifikáty podľa smernice 1999/93/ES čo najskôr, najneskôr však 1. júla 2017 predloží orgánu dohľadu správu o posúdení zhody. Do predloženia takejto správy o posúdení zhody a dokončenia jej posudzovania zo strany orgánu dohľadu sa takýto poskytovateľ certifikačných služieb považuje za kvalifikovaného poskytovateľa dôveryhodných služieb podľa tohto nariadenia.
4. Ak poskytovateľ certifikačných služieb vydávajúci kvalifikované certifikáty podľa smernice 1999/93/ES nepredloží orgánu dohľadu správu o posúdení zhody v lehote uvedenej v odseku 3, takýto poskytovateľ certifikačných služieb sa od 2. júla 2017 nebude považovať za kvalifikovaného poskytovateľa dôveryhodných služieb podľa tohto nariadenia.
Článok 52
Nadobudnutie účinnosti
1. Toto nariadenie nadobúda účinnosť dvadsiatym dňom po jeho uverejnení v Úradnom vestníku Európskej únie.
2. Toto nariadenie sa uplatňuje od 1. júla 2016 okrem týchto ustanovení:
a)
článok 8 ods. 3, článok 9 ods. 5, článok 12 ods. 2 až 9, článok 17 ods. 8, článok 19 ods. 4, článok 20 ods. 4, článok 21 ods. 4, článok 22 ods. 5, článok 23 ods. 3, článok 24 ods. 5, článok 27 ods. 4 a 5, článok 28 ods. 6, článok 29 ods. 2, článok 30 ods. 3 a 4, článok 31 ods. 3, článok 32 ods. 3, článok 33 ods. 2, článok 34 ods. 2, článok 37 ods. 4 a 5, článok 38 ods. 6, článok 42 ods. 2, článok 44 ods. 2, článok 45 ods. 2 a články 47 a 48 sa uplatňujú od 17. septembra 2014;
b)
článok 7, článok 8 ods. 1 a 2, články 9, 10 a 11 a článok 12 ods. 1 sa uplatňujú odo dňa začiatku uplatňovania vykonávacích aktov uvedených v článku 8 ods. 3 a článku 12 ods. 8;
c)
článok 6 sa uplatňuje po uplynutí troch rokov od dátumu začiatku uplatňovania vykonávacích aktov uvedených v článku 8 ods. 3 a článku 12 ods. 8.
3. Ak je oznámená schéma elektronickej identifikácie uvedená na zozname, ktorý uverejnila Komisia podľa článku 9 pred dátumom uvedeným v odseku 2 písm. c) tohto článku, prostriedky elektronickej identifikácie v rámci tejto schémy sa uznajú podľa článku 6 najneskôr do 12 mesiacov po uverejnení uvedenej schémy, nie však skôr ako v deň uvedený v odseku 2 písm. c) tohto článku.
4. Členský štát sa môže bez ohľadu na odsek 2 písm. c) tohto článku rozhodnúť, že na jeho území sa prostriedky elektronickej identifikácie v rámci schémy elektronickej identifikácie oznámenej zo strany iného členského štátu podľa článku 9 ods. 1 uznajú odo dňa začiatku uplatňovania vykonávacích aktov uvedených v článku 8 ods. 3 a článku 12 ods. 8. Dotknuté členské štáty informujú Komisiu. Komisia tieto informácie zverejní.
Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.
V Bruseli 23. júla 2014