Zákon o elektronickom podpise a o zmene a doplnení niektorých zákonov

z 15. marca 2002

Národná rada Slovenskej republiky sa uzniesla na tomto zákone:

Čl. I

§ 1

Predmet zákona

(1)

Tento zákon upravuje vzťahy vznikajúce v súvislosti s vyhotovovaním a používaním elektronického podpisu, práva a povinnosti fyzických osôb a právnických osôb pri používaní elektronického podpisu, hodnovernosť a ochranu elektronických dokumentov podpísaných elektronickým podpisom.

(2)

Tento zákon sa nevzťahuje na vyhotovenie a používanie elektronického podpisu pre utajované skutočnosti podľa osobitného zákona.1)

(3)

Na vyhotovenie a používanie elektronického podpisu v uzavretých systémoch sa tento zákon použije, ak sa účastníci uzavretého systému nedohodnú inak.

§ 2

Vymedzenie niektorých pojmov

Na účely tohto zákona sa rozumie

a)

dokumentom ľubovoľná konečná neprázdna postupnosť znakov,

b)

digitálnym dokumentom číselne kódovaný dokument,

c)

elektronickým dokumentom digitálny dokument uchovávaný na fyzickom nosiči, prenášaný alebo spracúvaný pomocou technických prostriedkov v elektrickej, magnetickej, optickej alebo inej forme,

d)

podpísaným elektronickým dokumentom elektronický dokument, pre ktorý bol vyhotovený elektronický podpis, ak je tento elektronický dokument dostupný spolu s elektronickým podpisom daného dokumentu,

e)

súkromným kľúčom tajná informácia, ktorá slúži na vyhotovenie elektronického podpisu elektronického dokumentu,

f)

verejným kľúčom informácia dostupná overovateľovi, ktorá slúži na overenie správnosti elektronického podpisu vyhotoveného pomocou súkromného kľúča patriaceho k danému verejnému kľúču,

g)

prostriedkom na vyhotovenie elektronického podpisu technické zariadenie alebo programové vybavenie, alebo algoritmy, alebo ich kombinácia, ktorých prostredníctvom môže podpisovateľ vyhotoviť na základe elektronického dokumentu a súkromného kľúča podpisovateľa elektronický podpis elektronického dokumentu,

h)

bezpečným zariadením na vyhotovenie elektronického podpisu prostriedok na vyhotovenie elektronického podpisu, ktorý spĺňa požiadavky tohto zákona a ktorý slúži na vyhotovovanie zaručených elektronických podpisov,

i)

prostriedkom na overenie elektronického podpisu technické zariadenie alebo programové vybavenie, alebo algoritmy, alebo ich kombinácia, ktorých prostredníctvom môže overovateľ na základe podpísaného elektronického dokumentu a verejného kľúča patriaceho k súkromnému kľúču, ktorý bol použitý na vyhotovenie elektronického podpisu, overiť správnosť elektronického podpisu,

j)

uzavretým systémom systém slúžiaci výlučne pre vlastné potreby jeho účastníkov, ktorý vznikol na základe dohody účastníkov systému a ku ktorému majú prístup len účastníci systému,

k)

certifikačnou službou najmä vydávanie certifikátov, zrušovanie platnosti certifikátov, poskytovanie zoznamu zrušených certifikátov, potvrdzovanie existencie a platnosti certifikátov, vyhľadávanie a poskytovanie vydaných certifikátov,

l)

akreditovanou certifikačnou službou najmä vydávanie kvalifikovaných certifikátov, zrušovanie platnosti kvalifikovaných certifikátov, poskytovanie zoznamu zrušených kvalifikovaných certifikátov, potvrdzovanie existencie a platnosti kvalifikovaných certifikátov, vyhľadávanie a poskytovanie vydaných kvalifikovaných certifikátov a vydávanie a overovanie časových pečiatok,

m)

certifikačnou činnosťou poskytovanie certifikačných služieb, prijímanie žiadostí o vydanie certifikátu, vedenie evidencie, prevádzka potrebných technických zariadení a iná činnosť potrebná na zabezpečenie poskytovania certifikačných služieb,

n)

správou certifikátov vydávanie, overovanie platnosti, zrušovanie, archivovanie certifikátov a certifikačné činnosti s tým spojené,

o)

produktmi pre elektronický podpis technické zariadenia a programové vybavenie alebo ich relevantné časti, ktoré sú určené pre poskytovateľov certifikačných služieb na vykonávanie certifikačných činností alebo sú určené na vyhotovovanie a overovanie elektronických podpisov,

p)

poskytovateľom certifikačných služieb fyzická osoba alebo právnická osoba, ktorá vykonáva certifikačné služby,

q)

certifikačnou autoritou poskytovateľ certifikačných služieb, ktorý spravuje certifikáty podľa písmena n),

r)

akreditovanou certifikačnou autoritou certifikačná autorita, ktorá poskytuje akreditované certifikačné služby podľa tohto zákona a ktorá má na poskytovanie týchto služieb akreditáciu Národného bezpečnostného úradu2) (ďalej len „úrad"),

s)

registračnou autoritou poskytovateľ certifikačných služieb, ktorý v mene certifikačnej autority vykonáva vybrané certifikačné činnosti a sprostredkúva služby certifikačnej autority držiteľom certifikátov a žiadateľom o vydanie certifikátu,

t)

podpisovateľom fyzická osoba, ktorá je držiteľom súkromného kľúča a je schopná pomocou tohto kľúča vyhotoviť elektronický podpis elektronického dokumentu,

u)

vydavateľom certifikátu certifikačná autorita alebo úrad,

v)

držiteľom certifikátu

1.

fyzická osoba, ktorej bol certifikačnou autoritou na základe tohto zákona vydaný certifikát,

2.

certifikačná autorita,

3.

úrad,

w)

overovateľom elektronického podpisu fyzická osoba alebo právnická osoba, ktorá pomocou prostriedku na overenie elektronického podpisu, verejného kľúča, podpísaného elektronického dokumentu a elektronického podpisu tohto dokumentu môže overiť platnosť daného elektronického podpisu,

x)

bezpečnostným zariadením na vyhotovovanie časovej pečiatky technické zariadenie a programové vybavenie, ktoré spĺňa požiadavky tohto zákona a prostredníctvom ktorého možno na základe časového údaja, elektronického dokumentu a na tento účel určeného súkromného kľúča vyhotoviť časovú pečiatku daného elektronického dokumentu.

§ 3

Elektronický podpis

(1)

Elektronický podpis je informácia pripojená alebo inak logicky spojená s elektronickým dokumentom, ktorá musí spĺňať tieto požiadavky:

a)

nemožno ju efektívne vyhotoviť bez znalosti súkromného kľúča a elektronického dokumentu,

b)

na základe znalosti tejto informácie a verejného kľúča patriaceho k súkromnému kľúču použitému pri jej vyhotovení možno overiť, že elektronický dokument, ku ktorému je pripojená alebo s ním inak logicky spojená, je zhodný s elektronickým dokumentom použitým na jej vyhotovenie.

(2)

Podpisovateľ vyhotoví elektronický podpis elektronického dokumentu tak, že na základe svojho súkromného kľúča a elektronického dokumentu vyhotoví nový údaj, ktorý spĺňa podmienky podľa odseku 1.

§ 5

Používanie elektronického podpisu

(2)

Overovateľ overuje elektronický podpis pro-striedkami na overovanie elektronického podpisu využitím podpísaného elektronického dokumentu a verejného kľúča patriaceho udávanému podpisovateľovi.

(3)

Pri overovaní elektronického podpisu overovateľ môže požadovať overenie pravosti verejného kľúča, to znamená toho, že verejný kľúč patrí podpisovateľovi. Na tento účel môže použiť certifikát verejného kľúča podpisovateľa.

§ 6

Certifikát verejného kľúča

(1)

Certifikát verejného kľúča (ďalej len „certifikát") je elektronický dokument, ktorým vydavateľ certifikátu potvrdzuje, že v certifikáte uvedený verejný kľúč patrí osobe, ktorej je certifikát vydaný (ďalej len „držiteľ certifikátu").

(2)

Certifikát sa skladá z tela certifikátu a z elektronického podpisu tela certifikátu.

(3)

Telo certifikátu je elektronický dokument, ktorý obsahuje najmä

a)

identifikačné údaje vydavateľa certifikátu,

b)

identifikačné číslo certifikátu,

c)

identifikačné údaje držiteľa certifikátu,

d)

dátum a čas začiatku a konca platnosti certifikátu,

e)

verejný kľúč držiteľa certifikátu,

f)

identifikáciu algoritmov, pre ktoré je uvedený verejný kľúč určený,

g)

identifikáciu algoritmov použitých pri vyhotovení elektronického podpisu tela certifikátu.

(4)

Elektronický podpis tela certifikátu vyhotoví vydavateľ certifikátu použitím súkromného kľúča, ktorý je na to určený.

(5)

Ako identifikačný údaj držiteľa certifikátu podľa odseku 3 písm. c) možno použiť aj pseudonym, ale len ak na základe údajov, ktoré certifikačná autorita pri podávaní žiadosti o vydanie certifikátu od žiadateľa získala, možno jednoznačne určiť totožnosť držiteľa certifikátu. Certifikačná autorita v certifikáte výslovne uvedie, že sa v ňom ako identifikačný údaj držiteľa certifikátu uvádza pseudonym.

(6)

Krížový certifikát je certifikát, ktorý vydá certifikačná autorita na verejný kľúč inej certifikačnej autority. Vydaním krížového certifikátu umožňuje certifikačná autorita overovať elektronické podpisy založené na certifikátoch, ktoré iná certifikačná autorita vydala a podpísala pomocou súkromného kľúča patriaceho k verejnému kľúču, ktorý je uvedený v krížovom certifikáte.

§ 8

Zoznam zrušených certifikátov

(1)

Zoznam zrušených certifikátov je elektronický dokument, ktorým vydavateľ certifikátov, ktorý spravuje tieto certifikáty, oznamuje predčasné ukončenie ich platnosti.

(2)

Zoznam zrušených certifikátov sa skladá z tela zoznamu zrušených certifikátov a z elektronického podpisu tela zoznamu zrušených certifikátov.

(3)

Telo zoznamu zrušených certifikátov je elektronický dokument, ktorý obsahuje najmä

a)

identifikačné údaje vydavateľa certifikátov, ktorý spravuje tieto certifikáty,

b)

dátum a čas vydania zoznamu zrušených certifikátov,

c)

dátum a čas najneskoršieho vydania ďalšieho zoznamu zrušených certifikátov,

d)

zoznam identifikačných čísiel certifikátov, ktoré boli zrušené spolu s dátumom a časom ich zrušenia.

(4)

Elektronický podpis tela zoznamu zrušených certifikátov je vyhotovený vydavateľom certifikátov, ktorý spravuje tieto certifikáty, použitím na to určeného súkromného kľúča.

§ 10

Úrad

(1)

Ústredným orgánom štátnej správy pre elektronický podpis je úrad.

(2)

Úrad plní tieto úlohy:

f)

eviduje certifikačné autority pôsobiace v Slovenskej republike,

i)

vedie register zahraničných certifikačných autorít, ktorých certifikáty boli úradom uznané na použitie v Slovenskej republike,

j)

certifikuje produkty pre elektronický podpis, najmä bezpečné zariadenia na vyhotovovanie elektronického podpisu a bezpečné zariadenia na vyhotovovanie časových pečiatok, vydáva odporúčania, štandardy a smernice z oblasti elektronického podpisu,

k)

plní ďalšie úlohy, ktoré mu vyplývajú z tohto zákona; na plnenie svojich úloh môže požiadať o spoluprácu aj iné štátne orgány a ďalšie fyzické osoby a právnické osoby.

§ 12

(1)

Certifikačná autorita je poskytovateľ certifikačných služieb, ktorý spravuje certifikáty a vykonáva certifikačnú činnosť.

(2)

Poskytovanie certifikačných služieb je podnikaním.4)

(3)

Na vykonávanie certifikačných činností a poskytovanie certifikačných služieb podľa tohto zákona sa povolenie nevyžaduje.

(5)

Certifikačná autorita je povinná ešte pred začatím poskytovania služieb bezplatne zverejniť

a)

certifikačný poriadok, ktorý obsahuje najmä informácie pre koho a za akých podmienok poskytuje služby, typy vydávaných certifikátov, práva a povinnosti používateľov svojich služieb, vzor žiadostí o poskytnutie služby, pravidlá používania a zrušovania certifikátov,

b)

technické špecifikácie, formáty, normy a štandardy používané pri vykonávaní činností,

c)

cenník svojich platených služieb a zoznam bezplatne poskytovaných služieb,

d)

obmedzenia pri poskytovaní svojich služieb, ak také existujú,

e)

spôsob overenia totožnosti žiadateľa o poskytnutie svojich služieb,

f)

informácie o svojej akreditácii.

(6)

Certifikačná autorita je ďalej povinná

a)

zverejňovať svoje identifikačné údaje a informácie o svojich certifikátoch,

b)

oznámiť úradu začiatok svojej činnosti minimálne 30 dní vopred.

(7)

V oznámení o začiatku činnosti je certifikačná autorita povinná uviesť obchodné meno, sídlo a identifikačné údaje žiadateľa, doklad o oprávnení na vykonávanie podnikateľskej činnosti, v prípade právnických osôb výpis z obchodného registra nie starší ako tri mesiace a informácie určené na zverejnenie podľa tohto zákona.

(8)

Údaje podľa odseku 5 a odseku 6 písm. a) je certifikačná autorita povinná zverejňovať elektronicky na voľne prístupnej internetovej stránke.

§ 14

Povinnosti certifikačnej autority a akreditovanej certifikačnej autority pri poskytovaní certifikačných služieb a akreditovaných certifikačných služieb

(1)

Certifikačná autorita je povinná

a)

mať vypracované bezpečnostné pravidlá a pravidlá na výkon certifikačných činností,

b)

dodržiavať svoje bezpečnostné pravidlá a pravidlá na výkon certifikačných činností počas celej doby poskytovania svojich služieb,

c)

vykonávať certifikačné činnosti tak, aby nebolo možné vyhotovovať kópie súkromných kľúčov alebo uchovávať údaje o súkromných kľúčoch používateľov jej služieb; to sa netýka tých súkromných kľúčov, ktoré certifikačná autorita používa na vykonávanie svojich vlastných certifikačných činností,

d)

najneskôr do 30 dní oznámiť úradu zmeny v obsahu a rozsahu certifikačných služieb, ktoré poskytuje,

e)

vydávať certifikáty žiadateľom na základe zmluvy, ktorá je

1.

písomná s vlastnoručným podpisom, alebo

2.

v podobe elektronického dokumentu, ktorý je podpísaný zaručeným elektronickým podpisom oboch zmluvných strán,

f)

ešte pred uzavretím zmluvy písomne alebo elektronicky podrobne a zrozumiteľne informovať žiadateľa o svojej bezpečnostnej politike a o pravidlách poskytovania certifikačných služieb a také informácie poskytovať aj na požiadanie inej fyzickej osoby alebo právnickej osoby, ktorá preukáže o ne oprávnený záujem,

g)

poskytnúť žiadateľovi o vydanie certifikátu informáciu o produktoch pre elektronický podpis a procedúrach, ktoré sú vhodné na vyhotovovanie a overovanie elektronického podpisu,

h)

informovať držiteľa certifikátu o možných právnych dôsledkoch používanej procedúry na vyhotovenie elektronického podpisu, o povinnostiach držiteľa certifikátu a zodpovednosti certifikačnej autority,

i)

počas vykonávania certifikačných činností zabezpečovať

1.

vydávanie certifikátov, ktoré budú obsahovať všetky náležitosti ustanovené týmto zákonom,

2.

v prípade, ak ňou vydávané certifikáty majú ľubovoľné obmedzenia, že tieto obmedzenia budú zrejmé a rozpoznateľné pre tretie strany,

3.

službu zrušenia ňou vydaného certifikátu,

4.

zverejňovanie zoznamu zrušených certifikátov,

5.

bezodkladné informovanie držiteľa certifikátu o zrušení jeho certifikátu, a to elektronickou alebo písomnou formou,

j)

viesť prevádzkovú dokumentáciu o certifikačných činnostiach; obsah a rozsah prevádzkovej dokumentácie ustanoví všeobecne záväzný právny predpis, ktorý vydá úrad,

k)

archivovať súvisiacu dokumentáciu s vydávanými certifikátmi podľa osobitného zákona.6)

§ 15

Zrušovanie certifikátov

(1)

Certifikačná autorita je povinná zrušiť certifikát, ktorý spravuje, ak

a)

zistí, že pri vydaní certifikátu neboli splnené požiadavky podľa tohto zákona,

b)

zistí, že certifikát bol vydaný na základe nepravdivých údajov,

c)

o zrušenie certifikátu certifikačnú autoritu požiada držiteľ certifikátu alebo osoba, ktorej údaje sú uvedené v certifikáte,

d)

certifikačnej autorite zrušenie certifikátu nariadi súd,

e)

zistí, že držiteľ certifikátu, ak ide o fyzickú osobu, zomrel, alebo ak ide o právnickú osobu, zanikol,

f)

zistí, že súkromný kľúč patriaci k verejnému kľúču uvedenému v certifikáte pozná iná osoba, než osoba uvedená v certifikáte.

(2)

Pri zrušení certifikátu podľa odseku 1 je certifikačná autorita povinná zrušiť certifikát najneskôr v lehote, ktorú si určí v certifikačnom poriadku.

(3)

Certifikát sa považuje za zrušený od okamihu vydania prvého zoznamu zrušených certifikátov, ktorý tento certifikát obsahuje. Platnosť zrušeného certifikátu nemožno obnoviť.

(4)

Certifikačná autorita je povinná viesť dokumentáciu o žiadostiach a podnetoch na zrušenie certifikátov. V dokumentácii zaznamená najmä rok, mesiac, deň, hodinu, minútu a sekundu prijatia žiadosti o zrušenie certifikátu alebo zistenia dôvodu na zrušenie certifikátu, dôvod na zrušenie certifikátu a údaje umožňujúce určiť totožnosť osoby, ktorá o zrušenie certifikátu požiadala, alebo určiť inštitúciu a osobu, ktorá dala podnet na jeho zrušenie.

§ 16

Povinnosti certifikačnej autority pri správe certifikátov

(1)

Certifikačná autorita vydaním certifikátu verejného kľúča potvrdzuje pravosť predloženého verejného kľúča a skutočnosť, že držiteľ certifikátu disponuje súkromným kľúčom, ku ktorému patrí predložený verejný kľúč.

(2)

Certifikačná autorita potvrdzuje pravosť verejného kľúča držiteľa certifikátu tak, že po overení potrebných náležitostí vydá žiadateľovi certifikát, ktorý certifikačná autorita podpíše elektronickým podpisom využitím svojho súkromného kľúča.

(3)

Overenie potrebných náležitostí žiadateľa o vydanie certifikátu (dokladov, vlastníctva súkromného kľúča patriaceho k predloženému verejnému kľúču) realizuje certifikačná autorita priamo alebo prostredníctvom registračnej autority konajúcej v mene certifikačnej autority.

(4)

Certifikačná autorita je povinná vytvoriť podmienky, ktoré umožnia overovateľovi overiť platnosť certifikátu, ktorý certifikačná autorita vydala. Na ten účel je certifikačná autorita povinná zabezpečiť, aby jej verejný kľúč bol pre overovateľa dostupný z viacerých informačných zdrojov.

§ 17

Uznávanie zahraničných certifikátov

(1)

Certifikát alebo kvalifikovaný certifikát, ktorý vydala certifikačná autorita so sídlom v zahraničí (ďalej len „zahraničná certifikačná autorita"), ktorého platnosť možno overiť v Slovenskej republike, možno uznať v Slovenskej republike, ak

a)

zahraničná certifikačná autorita, ktorá vydala certifikát, je evidovaná úradom, alebo zahraničná certifikačná autorita, ktorá vydala kvalifikovaný certifikát, je akreditovaná v Slovenskej republike,

b)