Zpět na výpis
Současná doba je typická pro neustálé zdokonalování moderních technologií, které pronikají do všech oblastí našeho života. Tato vlna digitalizace se dotkla i veřejné správy, k jejíž elektronizaci postupně dochází od devadesátých let dvacátého století. Elektronizace veřejné správy zjednodušuje občanům komunikaci s úřady a dalšími subjekty veřejné moci – díky eGovernmentu je komunikace s úřady rychlejší, levnější a efektivnější. Elektronická komunikace je nezbytná při komunikaci podnikajících občanů s orgány Finanční správy ČR, protože existuje povinnost činit konkrétní podání elektronicky.
Zásadními změnami prošel eGovernment v souvislosti s nařízením EU č. 910/2014, o elektronické identifikaci a důvěryhodných službách pro elektronické transakce na vnitřním evropském trhu (eIDAS), jež tvoří společný základ pro elektronickou komunikaci mezi orgány veřejné moci, občany a podnikateli. S problematikou eGovernmentu je spjato téma digitálního (nebo též elektronického) podpisu.
V kontextu problematiky digitálního podpisu je důležitou novela notářského řádu, která vstoupila v platnost dne 1. září 2021 a která umožňuje notářům ověřovat pravost elektronického podpisu. Dne 1. února 2022 pak nabude účinnosti část zákona č. 12/2020 Sb., o právu na digitální služby, která přinese možnost úředního ověření podpisu digitálně.
De lege lata rozeznáváme několik druhů digitálních podpisů. V souvislosti s novelou zákona č. 358/1992 Sb., o notářích a jejich činnosti (notářský řád), prostřednictvím které došlo k digitalizaci notářské činnosti, mohou notáři ověřovat pravost elektronických podpisů. V únoru 2022 nabude účinnosti zákon č. 12/2020 Sb., o právu na digitální služby, který v ustanovení § 6 obsahuje právo na nahrazení úředně ověřeného podpisu nebo uznávaného elektronického podpisu. V současné době je uznávání elektronického podpisu za vlastní prostřednictvím notářského úkonu nadbytečně složité.
Smyslem článku je představit poměrně složitou problematiku digitálního podpisu. V této souvislosti může text sloužit jako přehled o této problematice pro podnikatele, kteří potřebují vést elektronickou komunikaci se správou. Dále je účelem článku seznámit s tématem úředně ověřeného digitálního podpisu a se stavem jeho legislativního řešení.
Hlavním cílem článku je představit problematiku digitálního podpisu, upozornit na nedostatky jeho právní úpravy de lege lata a navrhnout řešení de lege ferenda.
Vedlejším cílem článku je upozornit na zahraniční úpravu elektronických podpisů.
Digitální podpis
Digitální (často též označovaný obecnějším termínem elektronický) popis je jedním z nástrojů bezpečné elektronické komunikace. Je založen na kombinaci kryptografických metod, z nichž nejpodstatnější je asymetrická kryptografie. Bezpečnost elektronického podpisu a tedy i jeho důvěryhodnost závisí na několika faktorech, mezi nejvýznamnější z nich patří délka šifrovacích klíčů užívaných pro asymetrickou kryptografii, typy algoritmů, kvalita nosiče a ochrany klíčů, způsob implementace a další.
Pro tvorbu digitálního podpisu je nutný zejména šifrovací klíč (soukromý nebo také privátní), tedy data pro vytváření elektronického podpisu. Pro ověření podpisu je pak třeba tzv. certifikát, elektronický dokument, považovaný za obdobu průkazu totožnosti v digitálním světě.
Pojmy „elektronický podpis“ a „digitální podpis“ jsou právními laiky často chápány jako synonyma: Někteří autoři tyto termíny vzájemně rozlišují. Jako elektronický podpis chápou veškeré elektronicky vytvořené důkazy o tom, že dokument vytvořila konkrétní osoba nebo konkrétní systém. Digitální popis je pak podpis, který byl vytvořen na základě asymetrické kryptografie. Digitální podpis může sloužit jako důkaz pravosti dokumentu a za určitých podmínek jej lze využít jako náhradu ručního podpisu – takový podpis označujeme jako zaručený elektronický podpis. V této souvislosti je digitální podpis specifickým typem elektronického podpisu.
Druhy elektronického podpisu
Elektronický podpis slouží jako jednoznačné ověření identity osoby, která dokument svým elektronickým podpisem opatřila – tuto záruku přináší v různé míře jistoty dle toho, o jaký druh elektronického podpisu se jedná.
Rozlišujeme tři základní druhy elektronického podpisu – prostý, zaručený (který může být navíc založený na kvalifikovaném certifikátu) a kvalifikovaný. To, jaký druh elektronického podpisu je třeba použít, záleží na závažnosti podepisovaného dokumentu. Příjemce tohoto dokumentu stanoví, jaký typ podpisu je pro něj přijatelný. V konkrétních případech je potřebný druh elektronického podpisu stanoven přímo zákonem. Podrobněji se jednotlivými typy elektronického podpisu budu zabývat v následujících odstavcích.
Prostý elektronický podpis není zákonem explicitně vymezen. Zákon o službách vytvářejících důvěru pro elektronické transakce ve svém ustanovení § 7 konstatuje, že „k podepisování elektronickým podpisem lze použít zaručený elektronický podpis, uznávaný elektronický podpis, případně jiný typ elektronického podpisu“ – právě onen „jiný typ podpisu“ zahrnuje prostý elektronický podpis, jenž je využíván v situacích, stvrzujících právní jednání dvou soukromoprávních osob, kdy není třeba použít přísnější formu elektronické identifikace. V těchto případech tvoří prostý elektronický podpis adekvátní náhradu vlastnoručního podpisu. Označení „prostý elektronický podpis“ není deklarováno zákonem, ale bylo dotvořeno v praxi. Pod tímto typem podpisu můžeme chápat například napsání jména v těle emailu nebo oskenovaný vlastnoruční podpis.
Kromě prostého elektronického podpisu rozlišujeme i elektronické podpisy autentizační – zaručené a kvalifikované. Pojem „autentizační“ v tomto případě značí, že digitální objekt (elektronický podpis) autentizuje původ dat. Zaručený elektronický podpis (AdES) je jednoznačně spojen s podepisující osobou a umožňuje zjišťovat její totožnost. Pokročilejší verzí je zaručený elektronický podpis založený na kvalifikovaném certifikátu (AdESqc), který zajišťuje vysokou úroveň zjišťování totožnosti kvalifikovaným poskytovatelem služeb vytvářejících důvěru. Ústavní soud ČR ve svém nálezu sp. zn. IV. ÚS 319/05 ze dne 24. dubna 2006 konstatoval autenticitu uznávaného elektronického podpisu založeného na kvalifikovaném certifikátu pro elektronický podpis. Dále uvedl, že „pokud je uznávaný elektronický podpis užíván v oblasti orgánů veřejné moci, musí kvalifikovaný certifikát obsahovat takové údaje, aby osoba byla jednoznačně identifikovaná“.
Doplním, že název „zaručený elektronický podpis“ vznikl překladem z anglického „advanced electronic signature“ – v doslovném překladu jde tedy o „vyspělý“ nebo „pokročilý“ elektronický podpis v tom smyslu, že jde o vyšší formu než prostý elektronický podpis. I přes adjektivum „zaručený“ však tento druh elektronického podpisu nezaručuje identitu podepsané osoby. Překlad, použitý i v zákoně o službách vytvářejících důvěru pro elektronické transakce, dle mého názoru zbytečně mate uživatele elektronických podpisů. V překladu by se mohl český zákonodárce inspirovat ve slovenském zákoně o dôveryhodných službách pre elektronické transakcie na vnútornom trhu, kde je tento druh elektronického předpisu přeložen jako „zdokonalený elektronický podpis“.
Kvalifikovaný elektronický podpis (QES) upravuje zákon o službách vytvářejících důvěru pro elektronické transakce ve svém ustanovení § 5, kde stanovuje povinnost použít kvalifikovaný elektronický podpis při podpisu takových dokumentů, kterými právně jedná veřejnoprávní podepisující (jedná se například o stát, územně samosprávný celek, právnickou osobu zřízenou zákonem apod.). Nařízení eIDAS kvalifikovaným elektronickým podpisem míní zaručený elektronický podpis, vytvořený kvalifikovaným prostředkem pro vytváření elektronických podpisů, jenž je založen na kvalifikovaném certifikátu pro elektronické podpisy. Podle eIDAS má kvalifikovaný elektronický podpis právní účinek rovnocenný vlastnoručnímu podpisu. Pokud tedy právní předpis některého členského státu EU povoluje elektronickou formu jednání a vyžaduje pro jednání podpis, je možné tento požadavek splnit kvalifikovaným elektronickým podpisem. Podle mého názoru postačuje pro splnění písemné formy i prostý elektronický podpis. K tomuto závěru navádí i v ustanovení odst. 49 preambule nařízení eIDAS, kde je konstatováno, že „elektronickému podpisu by neměly být upírány právní účinky na základě skutečnosti, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis“. Tomuto tématu se budu podrobněji věnovat dále v textu.
1.1.1.1Komparace digitálního a vlastnoručního podpisu
Elektronický i vlastnoruční podpis jsou výsledkem rozhodnutí podepisující osoby, přičemž jejich úkolem je stvrdit její vůli a identitu. Vlastnoruční podpis je výsledkem individuálního a v čase relativně stálého písemného projevu, přičemž je závislý mimo jiné na stupni procvičování, psychickém stavu jedince apod. Ověřování pravosti vlastnoručního podpisu je záležitostí subjektivní, do níž se promítají vlastnosti zúčastněných jedinců.
Vlastnoruční podpis by měl být něčím jedinečným, co je obvyklé pouze pro jednu konkrétní fyzickou osobu. Podpis je něčím, co je možné snadno opakovaně vytvořit dle podpisového vzoru, ale přesto to není možné jednoduše napodobit jinou osobou. To vyžaduje jistou unikátní dovednost, respektive tajemství při vytváření podpisu, které je spojené s konkrétní osobou. Toto tajemství není spojené pouze s křivkou podpisu, ale i se způsobem rukopisu, jenž není možné jednoduše odvodit z otisku na papíře pro možné padělání jinou osobou. Soudní praxe dospěla k závěru, že platnosti podpisu nebrání ani skutečnost, že je podpis nečitelný nebo velmi zjednodušený. Nicméně lze uvažovat o nutnosti, aby i zjednodušený podpis se značnou úrovní důvěry zachovával určitelnost podepsané osoby (její autentizaci a identifikaci), jinak nejde de lege o podpis, ale o tzv. znamení ruky (využívá se pro osoby, které nejsou schopné se podepsat).
Vlastnoruční podpis je nejklasičtější technikou autentizace listin. Můžeme jej členit na vlastnoruční podpis prostý a ověřený. Tento způsob autentizace vůle v listinách je používán již mnoho staletí, přičemž i v dnešních dobách, kdy máme k dispozici více způsobů stvrzení pravosti naší vůle, zůstává pro mnoho jedinců nejspolehlivější jistotou závaznosti dokumentu. Vlastnoruční podpis má více funkcí – kromě ověřovací funkce se jedná o funkci identifikační, uzavírací, varovací, zachovávací a důkazní. Způsob provedení podpisu není zákonem stanoven. Dle domněnky o projevu vůle se z pravosti podpisu odvozuje pravost podepsané písemnosti.
Elektronický podpis je naproti vlastnoručnímu podpisu od svého vytvoření až do ověření pravosti výsledkem technologického procesu, který je objektivní a nezávislý na individuálních charakteristikách zúčastněných osob. V této souvislosti je možnost ověření pravosti elektronického podpisu vyšší než v případě vlastnoručního podpisu. Rovněž identifikace změny obsahu podepisovaného dokumentu je díky elektronickému podpisu zaručena – u listinné podoby je toto řešeno složitými postupy a pravidly. Jako další odlišnost lze uvést to, že vlastnoruční podpis nedisponuje technickou specifikací prostředků.
Princip elektronického podpisu vychází z tajné informace, která je vlastní jen podepisující osobě – jedná se o tzv. soukromý klíč, který lze připodobnit ke schopnosti jedince vytvořit jednoznačně určující vlastnoruční podpis.
Právní úprava digitálního podpisu
V kontextu s problematikou digitálního podpisu jsou relevantní zejména následující právní předpisy České republiky:
- zákon č. 358/1992 Sb., o notářích a jejich činnosti (notářský řád),
- zákon č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce,
- zákon č. 250/2017 Sb., o elektronické identifikaci,
- nařízení vlády č. 317/2021 Sb., o postupu notáře při legalizaci elektronického podpisu,
- zákon č. 12/2020 Sb., o právu na digitální služby a o změně některých zákonů (tento zákon má dělenou účinnost – většina ustanovení je účinná od 1. února 2020, jako celek bude účinný od 1. února 2022).
V kontextu se zákonem o právu na digitální služby zmíním skutečnost, že 1. února 2022 nabude účinnosti část tohoto zákona, která přinese možnost úředního ověření podpisu digitálně. V praxi to znamená, že bude možné úředně ověřit i elektronický dokument. Novela přinese dvě možnosti ověření dokumentu:
- při využití elektronického podpisu na dokumentu nedílně spojeného s kvalifikovaným elektronickým podpisem a kvalifikovaným časovým razítkem subjektu, oprávněného ověřovat pravost podpisu (čímž se přímo provede legalizace podpisu), nebo
- při využití elektronického podpisu na dokumentu nedílně spojeného se záznamem informačního systému veřejné správy, přičemž je nutné, aby došlo k opatření kvalifikovanou pečetí a kvalifikovaným elektronickým razítkem správce tohoto systému (čímž dochází k elektronické identifikaci podepisujícího prostřednictvím kvalifikovaného systému s vysokou úrovní záruky).
Z hlediska unijního je nutné zmínit eIDAS, tedy nařízení EU č. 910/2014 o elektronické identifikaci a důvěryhodných službách pro elektronické transakce na vnitřním evropském trhu. Nařízení lze rozdělit na dvě klíčové oblasti – na oblast elektronické identifikace a oblast služeb vytvářejících důvěru, která obsahuje právě úpravu platnosti elektronických podpisů. S tímto nařízením je spojeno mnoho změn v české legislativě, například zrušení zákona č. 227/2000 Sb., o elektronickém podpisu, terminologické změny (například obsah pojmu „uznávaný elektronický podpis“) a zredukování počtu druhů elektronického podpisu.
Nakonec zmiňme unijní judikaturu, týkající se problematiky elektronických podpisů. Soudní dvůr Evropské unie se ve svých rozsudcích problematice elektronického podpisu často nevěnuje – uveďme tedy alespoň rozsudek Soudního dvora ve věci C-309/19 P ze dne 28. května 2020, který řešil problematiku žaloby s listinnou podobou, opatřenou zdánlivě vlastnoručními podpisy advokátů doplněnými tištěnou poznámkou identifikačními kódy vázanými na jména podepsaných a datem a hodinou, kdy byly kvalifikované elektronické podpisy použity. Soudní dvůr konstatoval, že „bez ohledu na skutečnost, že advokáti navrhovatele mají vnitrostátní osvědčení, která jim umožňují takové podpisy používat“, není možné vzhledem k tomu, že prvopis žaloby má listinnou (a ne elektronickou) podobu, považovat údaje týkající se podpisů za údaje, jež by měly elektronickou povahu. Soudní dvůr uvedl, že tištěnou verzi elektronického dokumentu obsahujícího kvalifikované elektronické podpisy advokátů na listinné podobně dokumentu nelze považovat za splnění podmínky kvalifikovaného elektronického podpisu.
Vytváření a ověřování digitálního podpisu
Základním požadavkem na elektronický podpis je jeho podoba, která musí být elektronická – není tedy možné fyzicky podepsat například technický nosič dat. Elektronický podpis lze vytvořit prostřednictvím technických a programových prostředků, přičemž je nutné zajistit, aby se daná data (soukromý klíč) vyskytovala unikátně a aby bylo důkladně zabezpečeno jejich utajení. Data jsou generována ve dvojici - soukromý klíč společně s klíčem veřejným. Soukromý klíč je výhradním vlastnictvím uživatele a jsou jím označována data sloužící podepisujícímu jedinci k vytvoření elektronického podpisu. Veřejným klíčem jsou data sloužící k ověřování elektronického podpisu. Je vydáván ve formě certifikátu, svazujícího veřejný klíč s identitou podepisujícího jedince. Tento klíč je možné získat od podepisující osoby nebo z veřejného seznamu poskytovatele certifikačních služeb.
Podepisující jedinec využije svůj soukromý klíč k vytvoření šifrované podoby elektronického dokumentu, načež k původnímu dokumentu přiloží šifrovaný dokument a veřejný klíč, což vše zašle jiné osobě. Ověřování elektronického podpisu následně probíhá dešifrováním pomocí veřejného klíče a porovnáním s původním textem. V případě, že jsou oba texty shodné, je dokument elektronicky podepsaný držitelem soukromého klíče.
Požadavky na ověřování platnosti kvalifikovaných elektronických podpisů stanovuje čl. 32 nařízení Evropského parlamentu a Rady č. 910/2014/EU, přičemž dle ustanovení § 12 zákona č. 297/2016 Sb. se ustanovení odst. 1 písm. a) až e), g) a h) použijí na ověřování platnosti zaručeného elektronického podpisu založeného na kvalifikovaném certifikátu pro elektronický podpis použití obdobně.
Digitální podpis v civilním právu hmotném
V následujících podkapitolách se budu zabývat právním jednáním realizovaným v elektronické podobě a dále zachováním jeho písemné formy. V konkrétních zákonem stanovených případech musí mít projev vůle určitou formu, která je předpokladem platnosti tohoto právního jednání. Pokud zákon či individuální ujednání stran nepožadují kvalifikovanou formu právního jednání, dostačuje ústní či konkludentní – tedy neformální jednání.
Písemná forma právního jednání se dělí na formu prostou a kvalifikovanou (například s úředně ověřeným podpisem). Ačkoli se od písemné formy obecně jako od zákonného požadavku ustupuje, v některých případech občanský zákoník stanovuje nutnost písemné formy. Písemná forma právního jednání následně musí mít dvě podstatné náležitosti – písemnost a podpis. Dle § 561 občanského zákoníku je nepodepsané právní jednání stiženo neplatností. Podmínka písemnosti pak předpokládá, že důležité náležitosti právního jednání jsou zaznamenány na relativně trvalém nosiči – právě nosič je kritériem pro rozlišování právního jednání učiněného v listinné a elektronické podobě. Elektronickým právním jednáním je datová zpráva.
Náležitosti digitálního podpisu
Dle § 562 odst. 1 občanského zákoníku je stanoveno, že písemná forma je zachování i u právního jednání realizovaného elektronickými či jinými technickými prostředky, umožňujícími zachytit obsah tohoto právního jednání a definovat jednající osobu. Použít elektronickou formu pro písemné právní jednání je tedy možné za předpokladu způsobilosti elektronické formy nahradit listinnou formu. V případě datové zprávy odeslané elektronickou poštou je požadavek na zachycení obsahu právního jednání splněn bez dalšího.
Ohledně požadavku na určení jednající osoby není v řadách odborné právní veřejnosti jednotný názor – zejména se jedná o to, jestli je nezbytné pro zachování písemnosti formy právního jednání datovou zprávu opatřit elektronickým podpisem, nebo jestli postačuje jiný způsob identifikace jednající osoby – například podle emailové adresy. Někteří právníci se přiklánějí k názoru, že není nutný elektronický podpis, protože požadavek je kladen na požadavek pouhé možnosti určitelnosti jednající osoby, která však neznamená spolehlivou identifikaci. Doplňují, že i v případech listinné podoby právního jednání je identifikace konkrétního jedince mnohdy nesnadná. Naopak Nejvyšší soud konstatoval, že pro zachování písemné formy právního jednání je nutné opatřit zprávu elektronickým podpisem – v tomto kontextu posoudil soud jako neplatnou smlouvu, jejíž návrh byl odeslán emailem bez elektronického podpisu. Podrobnosti ohledně podepisování dokumentu elektronickým podpisem stanovuje zákon č. 297/2016 Sb. ve svých ustanoveních § 5, § 6 a § 7, kde konstatuje, kde lze využít kvalifikovaný, uznávaný a zaručený elektronický podpis. Dle usnesení Ústavního soudu sp. zn. II. ÚS 2250/14 ze dne 3. února 2015 je k dodržení písemné formy právního jednání nutný zaručený elektronický podpis. Dle mého názoru by však mohl postačovat i prostý elektronický podpis, a to například v souvislosti s nařízením Evropského parlamentu a Rady č. 910/2014/EU, kde je v odst. 49 preambule „elektronickému podpisu by neměly být upírány právní účinky na základě skutečnosti, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný elektronický podpis“.
Další důležitou otázkou je v této souvislosti to, jestli je možné považovat pro platnost písemného právního jednání za prostý elektronický podpis považovat i uvedení jména v emailové zprávě. Vyskytují se názory, že i email s uvedením jména v textu je možné považovat za elektronicky podepsaný. Dle mého názoru pouhé napsání jména na klávesnici neposkytuje dostatečnou možnost ověření .
Úředně ověřený digitální podpis
Zákon v některých případech požaduje vyšší formu podpisu – jde o úředně ověřený podpis, u nějž dochází k ověřování pravosti, tedy k legalizaci. Obecně je legalizace podpisu prováděna dle zákona č. 21/2006 Sb., o ověřování shody opisu nebo kopie s listinou a o ověřování pravosti podpisu (zákon o ověřování), který ve svém ustanovení § 10 konstatuje, že „legalizací se ověřuje, že žadatel listinu před ověřující osobou vlastnoručně podepsal nebo podpis na listině uznal za vlastní“. V ustanovení § 13 písm. g) tento právní předpis dále uvádí, že „legalizace se neprovede, jde-li o legalizaci elektronického podpisu“.
Dalším relevantním právním předpisem v souvislosti s ověřováním podpisů je zákon č. 358/1992 Sb., o notářích a jejich činnosti (notářský řád). Dodejme, že legalizace podpisu se provádí dvěma způsoby:
- ověřením, že žadatel před ověřující osobou listinu vlastnoručně podepsal,
- ověřením, že podpis na listině žadatel uznal za vlastní.
Některé zákony staví elektronický podpis na úroveň úředně ověřeného podpisu – přesněji řečeno umožňují použít uznávaný elektronický podpis namísto ověřeného podpisu. Konkrétně se jedná například o ustanovení § 22 odst. 3 zákona č. 304/2013 Sb., o veřejných rejstřících právnických a fyzických osob. Podle Lechnera by měl uznávaný elektronický podpis mít váhu úředně ověřeného podpisu, protože v elektronické podobě ověření osoby probíhá prostřednictvím procesu vydání kvalifikovaného certifikátu, stejně jako je tomu v případě legalizace listinné podoby dokumentu. Jiný názor má Ministerstvo vnitra ČR, podle kterého „zaručený elektronický podpis nenahrazuje úřední ověření podpisu“ podle zákona o ověřování.
V této souvislosti je důležitou novela notářského řádu, která vstoupila v platnost dne 1. září 2021 a která umožňuje notářům ověřovat pravost elektronického podpisu. Díky tomu má takto ověřený elektronický podpis stejnou váhu jako ručně psaný úředně ověřený podpis, jenž je nutný například k podepsání smlouvy o převodu nemovitosti. Havelka konstatuje, že v praxi stačí doručit dokument notáři a prohlásit jej za svůj (podle autora tak může podepisující jedinec jak osobně před notářem, tak na dálku například během videokonference po prokázání identity dokladem totožnosti s fotografií nebo biometrickými údaji) – tím je podpis úředně ověřen.
V notářském řádu je v této souvislosti relevantním zejména ustanovení § 35m odst. 2, které konstatuje, že „jde-li o uznání elektronického podpisu za vlastní, jsou v Evidenci ověřených podpisů evidovány tyto údaje:
- pořadové číslo přidělené evidencí,
- jméno, příjmení, datum narození a pobyt osoby, jejíž podpis byl legalizován,
- číslo a druh průkazu, kterým byla prokázána totožnost osoby […], nebo jiný způsob, jak byla prokázána její totožnost,
- údaj o tom, že osoba […] prohlásila, že dokument sama podepsala k němu připojeným elektronickým podpisem, který uznává za vlastní,
- stručné označení dokumentu, na němž došlo k legalizaci podpisu,
- datum legalizace,
- jméno, příjmení a funkce ověřujícího.“
Na závěr dodejme, že dne 1. února 2022 nabude účinnosti zákon č. 12/2020 Sb., o právu na digitální služby, který přinese možnost úředního ověření podpisu digitálně.
Elektronické dokumenty v obchodním právu
Situace kolem šíření onemocnění covid-19 postihla i obchodní vztahy – častěji než dříve je kontakt s klienty či obchodními partnery přesouván do oblasti internetu. Stejně tak smlouvy jsou mnohem frekventovaněji uzavírány „na dálku“. Jelikož písemná forma právního jednání je dodržena i v elektronické podobě, jak jsem konstatoval, může kupříkladu smlouva existovat pouze v elektronické podobě.
Jak jsem již uvedl, dne 1. září 2021 nabyla účinnosti novela zákona notářského řádu, která přinesla významné změny i do obchodních vztahů. Podstatou novely je především možnost sepisování elektronických notářských zápisů s obchodní povahou bez osobní přítomnosti notáře a založení Sbírky listin a evidence elektronických podpisů, kde si každý může ověřit pravost notářského zápisu a ověření podpisu dle QR kódu či pořadového čísla. Nově je tedy možné například založit obchodní společnost online. Jistou komplikací, co se rychlosti tohoto procesu týče, je to, že ohlásit živnost zatím není možné online – to by však mělo být změněno k červnu roku 2022.
Zahraniční právní úprava digitálního podpisu
V následujících odstavcích představím zahraniční právní úpravu elektronického podpisu ve vybraných zemích.
Na Slovensku uzavření smlouvy až na výjimky nevyžaduje písemnou formu, přičemž při dodržení písemné formy je doporučován kvalifikovaný elektronický podpis. Alternativou ověřeného podpisu je kvalifikovaný elektronický podpis s kvalifikovaným elektronickým razítkem. Elektronický podpis je upraven v zákoně č. 272/2016 Z. z., o dôveryhodných službách pre elektronické transakcie na vnútornom trhu a o zmene a doplnení niektorých zákonov (zákon o dôveryhodných službách), který v ustanovení § 17 odst. 2 písm. a) rozumí zaručeným elektronickým podpisem kvalifikovaný elektronický podpis. Na základě ustanovení § 40 odst. 5 zákona č. 40/1964 Z. z., občiansky zákonník, je zaručený elektronický podpis doplněný o časové razítko postaven na roveň podpisu vlastnoručnímu úředně ověřenému.
Ve Švýcarsku upravuje podmínky, za nichž mohou poskytovatelé služeb používat certifikační služby s elektronickým podpisem, federální zákon VZertES. Tento zákon dále vytváří rámec povinností a práv poskytovatele certifikačních služeb. VZertES má podobnou strukturu i právní sílu jako eIDAS. Poskytuje několik úrovní zajištění – nejvyšší úroveň představuje kvalifikovaný elektronický podpis, který je ekvivalentem vlastnoručního podpisu. V řadě úředních dokumentů je požadováno, aby byly používané elektronické podpisy na této úrovni elektronického podpisu.
Dle VZertES musí zaručený elektronický podpis (Fortgeschrittene elektronische Podpis) splňovat určité zákonné požadavky, které prokazují jeho pravost – zejména jde o vytvoření jedinečného odkazu na jeho signatáře a o schopnost identifikovat jeho signatáře nebo držitele. Dále musí být elektronický podpis vytvořen prostřednictvím softwaru, který je pod výhradní kontrolou signatáře, a musí být možné identifikovat, jestli data či dokument, jež jsou k elektronickému podpisu připojeny, byly po podpisu pozměněny či s nimi bylo manipulováno.
Ve Španělsku je institut elektronického podpisu upraven zákonem 6/2020, reguladora de determinados aspectos de los servicios electrónicos de confianza (zákon upravující některé aspekty elektronických služeb vytvářejících důvěru), který reagoval na přijetí eIDAS. Zákon konstatuje respekt k zásadě přednosti práva Evropské unie a z tohoto důvodu nereprodukuje stěžejní ustanovení eIDAS. Uvádí, že funkcí zákona je doplnit jej v konkrétních aspektech, jež nařízení Evropské unie neharmonizovalo. Dále zákon konstatuje právní rovnocennost mezi kvalifikovaným elektronickým podpisem a vlastnoručním podpisem, nicméně umožňuje členským státům Evropské unie určit účinky jiných elektronických podpisů vytvářejících důvěru. Zákon v Preambuli v čl. IV uvádí, že k elektronickému podepisování jsou způsobilé pouze fyzické osoby, nepředpokládá tedy vydávání certifikátů pro elektronický podpis ve prospěch právnických osob nebo subjektů bez právní subjektivity, pro které jsou vyhrazeny elektronické pečetě, umožňující zaručit pravost a integritu dokumentů, jako jsou například elektronické faktury.
V Německu splňují požadavky na elektronickou formu dle ustanovení § 126a německého občanského zákoníku (BGB, Bürgerliches Gesetzbuch) jen kvalifikované elektronické podpisy, které jsou způsobilé nahradit zákonem požadovanou písemnou formu. Rovněž jen elektronické dokumenty opatřené kvalifikovaným elektronickým podpisem mají totožnou důkazní hodnotu jako „papírové“ dokumenty. V německém právu jsou dle eIDAS rozlišovány (prostý) elektronický podpis, zaručený elektronický podpis a kvalifikovaný elektronický podpis. V případě neformálních smluv, které ze zákona nevyžadují písemnou formu, ale jsou na bázi dobrovolnosti sepsány písemně, mohou smluvní strany dohodnout i jinou formu elektronického podpisu („prostý“ či zaručený elektronický podpis).
Ve Spojených státech amerických tvoří právní rámec elektronických podpisů a elektronických kontraktů dvojice právních předpisů – Federální zákon o elektronickém podpisu v globálním a národním obchodu (E-Sign Act) a Jednotný zákon o elektronických transakcích (UETA). E-Sign Act se vztahuje na mezistátní obchod. Tento zákon umožňuje široký výklad pojmu mezistátní obchod. UETA poskytuje jednotlivým státům právní rámec pro uzákonění státního práva týkajícího se vymahatelnosti elektronických podpisů. Nějakou formu UETA již přijalo čtyřicet sedm států – New York, Illinois a Washington sice UETA nepřijaly, ale uzákonily legislativu, která je mu podobná.
Oba výše zmíněné předpisy definují elektronický podpis jako elektronický zvuk, symbol nebo proces připojený k záznamu nebo s ním logicky spojený a provedený či přijatý osobou s úmyslem podepsat záznam, který byl vytvořen, generován, odeslán, sdělován, přijímán nebo uchováván elektronickými prostředky. UETA a E-sign Act stanovují, že elektronickému podpisu či elektronickému dokumentu nesmí být odepírána právní účinnost nebo vymahatelnost jen z toho důvodu, že má elektronickou podobu. Obdobně smlouvě nemůže být odepřen právní účinek či možnost vymahatelnosti jen z toho důvodu, že byl při jejím vytvoření použit elektronický záznam. Pokud zákon vyžaduje písemnou formu záznamu, je vyhovujícím i elektronický záznam. Analogicky pokud zákon vyžaduje podpis, vyhovuje i elektronický podpis.
Legalizace digitálních podpisů
Legalizovat elektronický podpis je možné prostřednictvím notáře. Postup notáře při legalizaci elektronického podpisu upravuje nařízení vlády č. 317/2021 Sb. Toto nařízení v ustanovení § 2 odst. konstatuje, že legalizován může být pouze dokument ve formátu PDF verze 1.3 a vyšší nebo ve formátu PDF/A, který notář či jeho pracovník pověřený dle notářského řádu přijme prostřednictvím datového úložiště elektronické aplikace Centrálního informačního systému Notářské komory ČR, elektronické pošty, nebo datové schránky. Nařízení zakazuje, aby notář přijal dokument prostřednictvím přenosného technického nosiče dat, například flash disku nebo externího disku. Ačkoli zákaz využívání přenosných technických nosičů dat osobně považuji za zbytečně omezující, lze pochopit, že se jedná o prevenci zanesení malware do Centrálního informačního systému Notářské komory ČR anebo na programové vybavení notáře provádějícího legalizaci.
Postup provádění legalizace na dokumentu v elektronické podobně je pak dle ustanovení § 3 nařízení vlády č. 317/2021 Sb. následující: k dokumentu, který splňuje podmínky dle § 2 nařízení vlády č. 317/2021 Sb., notář připojí ověřovací doložku, kterou podepíše kvalifikovaným elektronickým podpisem notáře, a připojí kvalifikované elektronické časové razítko. Ověřovací doložku notář spojí s elektronicky podepsaným dokumentem prostřednictvím kontejneru ve formátu ASiC-E tak, aby nedošlo k porušení integrity dokumentu, na němž je elektronický podpis legalizován. Dokument následně notář předá žadateli prostřednictvím elektronické pošty či datové schránky (ne však na přenosném technickém nosiči dat).
Výše popsaný postup považuji za zbytečně složitý – v souvislosti s tím se vytrácí rychlost a „bezprostřednost“, která je s elektronickými podpisy často spojována.
Notářský řád ve svém ustanovení § 35m odst. 2 počítá s legalizací jakéhokoli elektronického podpisu (ne jen pouze zaručeného) – tedy i takového, který nevypovídá nic o identitě podepisujícího jedince. Ačkoli toto by mohlo být částečně řešeno dynamickými biometrickými podpisy, po nich zase není požadována žádná jednoznačná spojitost mezi podpisem a podepisovaným dokumentem, která by bránila změně či úplné záměně podepisovaného obsahu. Jinak řečeno mohou být prosté elektronické podpisy „využity“ u různých dokumentů, což lze považovat za důležitý problém v dokazování toho, co bylo prostřednictvím prostého podpisu podepsáno.
Zaručené elektronické podpisy sice tento problém se spojením podpisu s podepisovaným obsahem nemají (každá změna podepisovaného obsahu musí být spolehlivě rozpoznatelná), přetrvává však potíž se zaručením identity podepsané osoby. Nicméně tento problém řeší ověření identity podepsané osoby ze strany notáře. Nejméně problematické jsou v tomto kontextu kvalifikované elektronické podpisy – v jejich případě dochází k jednoznačné identifikaci podepisujícího jedince při vydávání kvalifikovaného certifikátu. S tím však souvisí otázka, proč je tedy vlastně nutné opakování důkladné a jednoznačné identifikace podepisujícího v rámci legalizace elektronického podpisu. Problematické je, že v kvalifikovaném certifikátu často nejsou obsaženy údaje, jež by jednoznačně identifikovaly jeho držitele – dle eIDAS je nutné pouze jméno a příjmení, další údaje jsou nepovinné.
Dalším problémem, který v souvislosti s nařízením eIDAS vyvstává, je skutečnost, že toto nařízení klade nejvyšší formu elektronického podpisu (QES, tedy kvalifikovaný elektronický podpis) na roveň jen vlastnoručnímu podpisu. Podle mého názoru tím eIDAS nevyužil možnosti, které vyšší formy elektronického podpisu nabízejí nad rámec toho, co z právního hlediska dokážou vlastnoruční podpisy. Například nařízení eIDAS nezavedlo presumpci pravosti kvalifikovaných elektronických podpisů. Nedostatkem je dle mého názoru i to, že eIDAS nevyžaduje jednoznačnou identifikaci podepisované osoby v případě nejvyšší formy elektronických podpisů.
Nakonec upozorním na to, že z právního řádu mizí případy, kdy je v listinné podobě vyžadován úředně ověřený podpis, přičemž v elektronické podobě bylo možné použít uznávaný elektronický podpis. Skončila například možnost požádat o výpis z rejstříku trestů elektronicky, kdy bylo možné žádost podepsat uznávaným elektronickým podpisem. Důvodová zpráva k zákonu č. 297/2016 Sb., o službách vytvářejících důvěru pro elektronické transakce konstatuje, že je to z toho důvodu, že uznávaný elektronický podpis nebude mít v období platnosti zákona o službách vytvářejících důvěru pro elektronické transakce takové vlastnosti, aby umožňoval jednoznačně identifikovat podepisující osobu.
Problémy při využívání kvalifikovaných elektronických podpisů v praxi
Ve firemní praxi se některé společnosti brání používání kvalifikovaných elektronických podpisů – důvodem je dle mé zkušenosti zejména to, že tyto firmy nechtějí investovat nemalé finanční prostředky do pořízení kvalifikovaných prostředků pro uchování certifikátů elektronického podpisu. Obzvláště patrný byl tento problém v situaci, kdy z důvodu „proticovidových“ opatření pracovalo mnoho zaměstnanců v režimu „home office“ – jak jsem sám zjistil, mnoho firem nutilo chodit odpovědné manažery do jejich kanceláří jen kvůli podepisování dokumentů, ačkoli by v tomto případě mohlo být podepisování řešeno elektronicky.
Jsem sice optimistický v odhadu počtu podnikajících fyzických osob, které budou ochotné aktivovat si potřebné elektronické prostředky, bez kterých nelze práva na digitální služby realizovat. Na druhou stranu přistupuji spíše pesimisticky k odpovědi na otázku, zda budou běžní zájemci o digitální služby schopni orientovat se v liteře příslušného zákona. Podle Matese je zákon o právu na digitální služby „uživatelsky nevlídný“, což klade do souvislosti s používanou IT terminologií. Sociální účinnost tohoto právního předpisu tedy může být v praxi vzdálena jeho účinnosti formální. Autor dále upozorňuje, že v aplikační praxi budou pravděpodobně odhaleny různé problémové pasáže zákona – například za kterých podmínek bude uplatnění konkrétních práv deklarovaných zákonem záviset na aktivitě uživatele služeb.
V souvislosti s touto problematikou doplním, že zákon o právu na digitální služby nestanovuje prostředky, prostřednictvím kterých by bylo možné vymáhat stanovená práva. Pokud se tedy bude jedinec domáhat služby, na kterou má dle zákona o právu na digitální služby právo, přičemž orgán veřejné moci mu odepře její poskytnutí, bude se muset pravděpodobně obrátit na správní soud prostřednictvím zásahové žaloby (zákon o právu na digitální služby totiž nepředpokládá, že bude vydáváno rozhodnutí o odepření služby). To může pro oprávněného uživatele služby znamenat vzhledem ke standardní délce jednání soudů nemalou komplikaci.
Skutečností při využívání kvalifikovaných elektronických podpisů v praxi je, že firma, která se rozhodne podepisovat prostřednictvím kvalifikovaného elektronického podpisu, si musí opatřit tokeny, skrze které může odpovědný pracovník použít certifikát elektronického podpisu. Nevýhodou je, že token může být ztracen nebo odcizen. Pracovník jej navíc musí mít ve chvíli podepisování u sebe včetně zařízení, k němuž je možné token připojit. Uložení certifikátu na firemním serveru nebo na cloudu je problematické v kontextu s nutností zabezpečení, přičemž i tak může být certifikát blokován při kyberútoku. Aby tedy firma mohla efektivně využívat výhody kvalifikovaného elektronického podpisu, musí investovat nemalé prostředky do software, hardware i do personálního zabezpečení.
Legalizace digitálních podpisů
V předchozích odstavcích jsem upozornil na několik problémů, které souvisí s legalizací elektronických podpisů, a na které se nyní budu snažit reagovat ve svých návrzích de lege ferenda. Předně lze konstatovat, že ačkoli možnost legalizace digitálních podpisů, implementovanou prostřednictvím novely notářského řádu, vnímám jako pozitivní krok, soudím, že současná úprava je příliš složitá. V případě kvalifikovaných elektronických podpisů, u kterých dochází k jednoznačné identifikaci podepisujícího jedince při vydávání kvalifikovaného certifikátu, lze doporučit zrovnoprávnění s ověřeným podpisem bez dalšího. V tomto případě vidím proces legalizace prostřednictvím notáře jako nadbytečný.
V legislativním řešení tohoto nedostatku by se český zákonodárce mohl inspirovat u zákonodárce slovenského, kde je na základě ustanovení § 40 odst. 5 zákona č. 40/1964 Z. z., občiansky zákonník, zaručený elektronický podpis doplněný o časové razítko postaven na roveň podpisu vlastnoručnímu úředně ověřenému. Je však nutné upozornit na skutečnost, že slovenský zaručený elektronický podpis není to samé, co stejnojmenný institut v České republice. V případě českého zaručeného elektronického podpisu není žádný požadavek ohledně kvality certifikátu – naopak zaručený elektronický podpis na Slovensku vyžaduje kvalifikovaný certifikát, který vydává certifikační autorita. V tomto kontextu odpovídá slovenský zaručený elektronický podpis spíše českému uznávanému elektronickému podpisu, ačkoli i mezi těmito instituty nalezneme rozdíly.
S výše uvedeným návrhem souvisí další doporučení, a sice vložit do certifikátu vhodný identifikátor, z nějž by bylo možné zjistit identitu jeho držitele. Alternativním řešením mohou být atributové certifikáty, které jsou schopné dodat další údaj (tzv. atribut) nezbytný k jednoznačné identifikaci. Tento atributový certifikát by byl díky svému sériovému číslu unikátní a poskytoval by tak potřebnou míru jednoznačnosti identifikace. V praxi je však problémem, že atributové certifikáty se u nás zatím příliš nevyužívají a ani nevydávají.
V současné době sice potenciálně stačí kvalifikovaný certifikát k tomu, aby jednoznačně identifikoval podepisující osobu – autorita, která certifikát vydala, totiž identitu držitele tohoto certifikátu zná. Problémem však je, že certifikační autorita může identitu držitele sdělit pouze soudům a orgánům činným v trestním řízení.
Podání, která jsou učiněná s pomocí zaručeného elektronického podpisu, jsou doručena s jednodenním až dvoudenním zpožděním – to považuji v současné době, kdy je elektronická komunikace vyzdvihována zejména pro svou bezprostřednost, za zbytečně zdlouhavé. Navrhuji tedy podniknout takové legislativní kroky, které by směřovaly k odstranění tohoto zpoždění.
Další mé návrhy jsou spíše organizačního rázu. Mnoho českých občanů od zřízení elektronického podpisu odrazuje představa, že jeho zřízení je komplikované, přičemž někteří čeští občané mají pochyby o důvěryhodnosti elektronického podpisu. Soudím, že tyto postoje jsou způsobeny nedostatečnou informovaností – lze proto doporučit, aby byly elektronické podpisy propagovány i v řadách neodborné veřejnosti a aby bylo pořádáno více školení, která by zainteresované subjekty seznamovala s principy elektronických podpisů.
Doplňme, že Evropská komise již zveřejnila svůj návrh revize eIDAS, jemuž se začalo říkat eIDAS 2.0 a který reaguje na nejpalčivější problémy současného znění nařízení, které brání frekventovanějšímu užívání systému elektronické identifikace. Jedná se například o relativně odlišnou vnitrostátní úpravu, o omezení elektronické identifikace na veřejný sektor apod. Nastávající úprava zavádí institut tzv. evropské peněženky digitální identity, která by měla mít podobu aplikace do mobilních telefonů a dalších obdobných zařízení, přičemž by měla být založena na národní elektronické identitě. Evropská peněženka digitální identity nebude vytvářet novou elektronickou identitu, ale bude zajišťovat přeshraniční uznávání národních elektronických identit. Jinými slovy řečeno by měla tato „peněženka“ vytvářet evropskou digitální identitu, která by sloužila jako nejdůvěryhodnější digitální průkaz totožnosti s vysokou úrovní záruky dle eIDAS. Nařízení eIDAS i eIDAS 2.0 deklarují možnost elektronické identifikace právnických osob, která nebyla na úrovni České republiky dosud implementována.
Problémy při využívání kvalifikovaných elektronických podpisů v praxi
V předchozí části jsem konstatoval, že mnoho firem se brání využívání kvalifikovaného elektronického podpisu z toho důvodu, že se obávají nemalých finančních výdajů na softwarové, hardwarové i personální zabezpečení celého procesu. Soudím, že tyto obavy jsou zčásti způsobeny nedostatečnou informační kampaní týkající se elektronických podpisů ze strany státu.
Ve firemní praxi lze využít hotových řešení kvalifikovaných elektronických podpisů, které jsou několika společnostmi nabízeny jako služby na klíč, které jsou v konsensu s nařízením eIDAS. Firmě tedy odpadá nutnost řešit tokeny a zabezpečení certifikátu elektronických podpisů – vše řeší poskytovatel, který zároveň přebírá zodpovědnost za zabezpečení celého procesu. Ze své vlastní praxe mám s tímto způsobem řešení pozitivní zkušenost. V tomto kontextu navrhuji, aby bylo ze strany státu důkladněji informováno o různých možnostech, kterými mohou firmy elektronické podepisování řešit – soudím, že potenciálně by mohlo dojít k frekventovanějšímu využívání elektronických podpisů.
Závěrem
Tento článek se zabývala problematikou digitálního (elektronického) podpisu v českém právním prostředí. Jejím hlavním cílem bylo představit problematiku digitálního podpisu, upozornit na nedostatky jeho právní úpravy de lege lata a navrhnout řešení de lege ferenda. V závěru lze konstatovat, že tento cíl byl splněn. Níže stručně shrnu nedostatky, které jsem de lege lata identifikoval, a návrhy na jejich eliminaci či odstranění de lege ferenda.
Dle mého názoru je aktuálně legalizace elektronického podpisu notářem zbytečně složitá, proto jsem v případě kvalifikovaných elektronických podpisů, u kterých dochází k jednoznačné identifikaci podepisujícího jedince při vydávání kvalifikovaného certifikátu, doporučil zrovnoprávnění s ověřeným podpisem bez dalšího. Český zákonodárce by se mohl inspirovat například ve slovenské právní úpravě elektronického podpisu, kde je dle občianského zákonníku zaručený elektronický podpis doplněný o časové razítko postaven na roveň vlastnoručnímu úředně ověřenému podpisu.
Dále jsem upozornil na skutečnost, že notářský řád počítá s legalizací jakéhokoli elektronického podpisu, tedy i takového, který nic nevypovídá o identitě podepisujícího jedince. V případě zaručeného elektronického podpisu toto řeší ověření identity podepsané osoby notářem. U kvalifikovaných elektronických podpisů dochází k jednoznačné identifikaci podepisujícího jedince při vydávání kvalifikovaného certifikátu – v této souvislosti je otázkou, zda není legalizace elektronického podpisu vlastně nadbytečná. Za problematické nicméně považuji, že podle eIDAS je nutné v kvalifikovaném certifikátu uvést pouze jméno a příjmení – další údaje nejsou povinné.
S výše jmenovaným nedostatkem souvisí moje další doporučení, a sice vložit do certifikátu vhodný identifikátor, ze kterého by bylo možné zjistit identitu jeho držitele. Alternativním řešením mohou být atributové certifikáty, které jsou schopné dodat další údaj (tzv. atribut) nezbytný k jednoznačné identifikaci. Tento atributový certifikát by byl díky svému sériovému číslu unikátní a poskytoval by tak potřebnou míru jednoznačnosti identifikace – nicméně v praxi u nás nejsou atributové certifikáty příliš využívány a ani vydávány.
Představení nedostatků právní úpravy elektronických podpisů de lege lata doplním konstatováním, že dle mého názoru nebyl šťastně zvolen název „zaručený elektronický podpis“, který vznikl překladem z anglického „advanced electronic signature“. Doslovně bychom mohli toto sousloví přeložit jako „vyspělý“ nebo „pokročilý“ elektronický podpis v tom smyslu, že se jedná o vyšší formu než prostý elektronický podpis. I přesto, že je označován jako „zaručený“, však tento druh elektronického podpisu nezaručuje identitu podepsané osoby. Překlad, který je v relevantním právním předpise použitý, dle mého názoru zbytečně mate uživatele elektronických podpisů.
Vedlejším cílem článku bylo upozornit na úpravu elektronických podpisů v zahraničí – v této souvislosti jsem se orientoval nejen na země, které se nacházejí v Evropské unii a které implementovaly eIDAS (Slovensko, Španělsko a Německo), ale zaměřil jsem se i na země mimo Evropskou unii, konkrétně na Švýcarsko a Spojené státy. Ve Švýcarsku upravuje podmínky využívání certifikační služby s elektronickým podpisem federální zákon VZertES, který vytváří rámec pro poskytovatele certifikačních služeb. Tento zákon má obdobnou strukturu jako eIDAS a stejně jako v tomto nařízení je nejvyšší úroveň zabezpečení připsána kvalifikovanému elektronickému podpisu, který je postaven na roveň podpisu vlastnoručního. Ve Spojených státech tvoří právní rámec elektronického podpisu E-Sign Act a UETA.
V samém závěru konstatuji, že nařízení eIDAS podle mého názoru nevyužívá plný potenciál elektronického podpisu, když kvalifikovaný elektronický podpis klade na roveň pouze vlastnoručnímu podpisu.
