"Polska w drodze do społeczeństwa informacyjnego" - wystąpienie podczas Światowego Dnia Telekomunikacji w Warszawie 16 maja 2000 roku dotyczące problematyki regulacji prawnych, a w szczególności zagadnienia podpisu elektronicznego".
ŚWIATOWY DZIEŃ TELEKOMUNIKACJI
KONFERENCJA OKRĄGŁEGO STOŁU
Karol Działoszyński
Poseł Sejmu RP
POLSKA W DRODZE DO SPOŁECZEŃSTWA INFORMACYJNEGO
Warszawa, 16 maja 2000 r.
Panie Marszałku ! Szanowni Zebrani !
Rozwój nowej ekonomii społeczeństwa informacyjnego redefiniuje na nowo rolę i miejsce sektora teleinformatycznego. Wielki potencjał rozwoju e-commerce powinien stać się czynnikiem rozwoju polskiej gospodarki. Współuczestnictwo Polski we Wspólnocie Krajów Unii Europejskiej otwiera szansę na transfer usług i innowacji. Niemal co tydzień na polskim rynku powstaje nowy portal internetowy. Współczynnik użytkowników internetu w Polsce przewyższa liczbę użytkowników w krajach UE o większym PKB na głowę mieszkańca - np. w Grecji, czy Portugalii i jest porównywalny z Włochami. To wskazuje, jak duży potencjał znajduje się na polskim rynku. Należy jednak zauważyć, iż paleta transakcji e-commerce jest minimalna.
Problematyka społeczeństwa informacyjnego jest w ostatnich dniach przedmiotem wielu konferencji, seminariów i dyskusji w gronach ekspertów oraz praktyków gospodarczych.
Wspólny mianownik tych dyskusji to diagnoza, iż pierwszoplanowym czynnikiem rozwoju instytucji społeczeństwa informacyjnego w Polsce to problematyka regulacji.
Z perspektywy przedstawiciela Ustawodawcy - Polskiego Parlamentu - to kluczowa diagnoza.
W zeszły piątek został skierowany do Senatu projekt Prawa Telekomunikacyjnego. Projekt w znacznym stopniu liberalizujący podstawowy obszar rynku telekomunikacyjnego. Istotne kwestie dla branży jak: połączenia międzyoperatorskie, orientacja kosztowa taryf, usługi powszechne znajdują w projekcie standardy regulacji europejskich. Projekt, wzorem krajów UE powołuje bardzo istotny dla rynku urząd ds. regulacji, a mianowicie Urząd Regulacji Telekomunikacji. Przy Prezesie URT powołano Radę ds. Telekomunikacji - ciało bardzo istotne z punktu widzenia rozwoju branży. Komisja Transportu i Łączności mając w świadomości tempo rozwoju obszaru teleinformatyki - wprowadziła Rada jako ciało reprezentujące rynek, Rada będzie miała możliwość opiniowania i współuczestniczenia w formułowaniu kierunków regulacji.
Kluczowym aspektem nowego prawa z punktu widzenia przedmiotu obrad dzisiejszego seminarium jest zagadnienie koncesjonowania działalności internetowej. Tu parlamentarzyści postawili na liberalizację znosząc biurokratyczne ramy wprowadzono jedynie procedurę zgłoszenia podmiotu. To ważny punkt w rozwoju typowej formy internetowych podmiotów - tzw. start - up'ów.
Diagnoza rozwiązań regulacyjnych w obszarze e-commerce w krajach UE wskazuje, iż prawo telekomunikacyjne to zaledwie niewielki obszar istotnych uwarunkowań dla boomu rozwoju usług społeczeństwa informacyjnego. Wszystkie czynniki - wzorem krajów UE - w skierowanym przez Sejm do Senatu projekcie zostały uwzględnione.
Jednym z warunków niezbędnych dla prawidłowego i szybkiego rozwoju handlu elektronicznego jest zapewnienie systemu odpowiednich regulacji prawnych. Stworzenie takiego systemu jest jednak zadaniem bardzo skomplikowanym, min. dlatego, iż dotyczy wielu gałęzi współczesnego systemu prawnego, jak np. prawo cywilne, prawo karne, prawo konkurencji, prawo autorskie, prawo konstytucyjne, prawo prasowe, prawo pracy itd.
Doświadczenia światowe oraz podjęte inicjatywy legislacyjne wskazują, iż pierwszym krokiem w kierunku zbudowania odpowiedniego systemu regulacyjnego jest ustawowe zdefiniowanie instytucji tzw. podpisu cyfrowego.
Podpis elektroniczny jest instrumentem nowoczesnych technik informatycznych pozwalającym na spełnienie szeregu istotnych z prawnego punktu widzenia warunków zabezpieczenia wymiany dokumentów elektronicznych w trakcie obrotu handlowego. Te kluczowe aspekty bezpieczeństwa transakcji elektronicznych (polegających na wymianie komunikatów elektronicznych pomiędzy stronami tej transakcji) to:
- uwierzytelnienie stron transakcji (strony są tymi za kogo się podają);
- integralność (wymieniana wiadomość nie został zmieniony w trakcie jego przesyłania);
- niezaprzeczalność (strona transakcji nie może zaprzeczyć wysłania wiadomości);
- poufność (treść wiadomości oraz informacje o samej transakcji są dostępne tylko dla stron transakcji).
Regulacje dotyczące kwestii elektronicznego podpisu są wprowadzane lub nawet zostały już wprowadzone w systemach prawnych wielu krajów (np. wspomniana niemiecka ustawa z 22 lipca 1997 r.). Ponadto również szereg organizacji międzynarodowych podjęło starania w celu doprowadzenia do stworzenia jednolitych na skalę światową (UNCITRAL i OECD) lub regionalną (Unia Europejska) zasad wykorzystania technologii podpisu cyfrowego w handlu elektronicznym.
Jeśli chodzi o tę ostatnią organizację, to Komisja Europejska opracowała projekt Dyrektywy, która, w celu zapewnienie prawidłowego funkcjonowania mechanizmów podpisu elektronicznego na terenie całego Jednolitego Rynku, proponuje Państwom Członkowskim wprowadzenie w ustawodawstwie krajowym wzorcowych regulacji odnoszących się do kwestii usług certyfikacyjnych i podpisu cyfrowego. Biorąc pod uwagę zachodzący proces harmonizacji polskiego prawa z ustawodawstwem Unii Europejskiej wydaje się, iż projekt polskiej ustawy o elektronicznym podpisie powinien opierać się na rozwiązaniach zaproponowanych w jej ramach. Celem Dyrektywy nie jest szczegółowe uregulowanie wszystkich kwestii związanych z funkcjonowaniem w obiegu handlowym elektronicznego podpisu, a jedynie zdefiniowaniu podstawowych wymogów dotyczących takich certyfikatów oraz świadczenia usług polegających na ich wydawaniu, tak aby zapewnić minimalny poziom bezpieczeństwa oraz ich swobodne stosowanie na terenie całego wewnętrznego rynku. Projekt dyrektywy zakłada, iż podstawy prawne w tej materii muszą być dostatecznie elastyczne, po to aby objąć rozmaite metody autentyfikacji, nie tylko te, które są zbudowane w oparciu o wykorzystanie technik kryptograficznych. Nie ograniczono się zatem, jak ma to miejsce w ustawie niemieckiej, do rozwiązań bazujących na procedurach związanych z posługiwaniem się kluczem publicznym oraz kluczem prywatnym.
Projekt dyrektywy stara się uwzględnić wszelkie podpisy w formie elektronicznej, które są zawarte w danych, towarzyszą danym lub logicznie są z danymi powiązane, oraz są używane przez podpisującego w tym celu, aby potwierdzić, iż on aprobuje on treść tych danych.
Z tego powodu Dyrektywa określa szereg podstawowych elementów, które winny zostać uwzględnione w aktach prawnych regulujących problematykę podpisu elektronicznego krajów członkowskich: prawny status podpisu elektronicznego - Dyrektywa stanowi, iż podpis elektroniczny nie może zostać kwestionowany jedynie na takiej podstawie, iż ma on formę elektroniczną. Jeżeli certyfikat, jego wydawca oraz sam podpis spełniają szereg specyficznych wymogów, to zakłada się, iż prawna ważność takiego podpisu elektronicznego jest taka sama jak w przypadku podpisu złożonego odręcznie. Tym samym może być dowodem w postępowaniu sądowym.
- swobodny obieg - wszystkie produkty oraz usługi związane wystawianiem elektronicznych podpisów powinny znajdować się w swobodnym obiegu i podlegać jurysdykcji i kontroli organów kraju ich pochodzenia. Kraj członkowski nie musi ustanowić obowiązku uzyskania licencji na świadczenie usług związanych z wystawianiem elektronicznych podpisów.
- odpowiedzialność - ustawodawca krajowy powinien określić minimalny zakres odpowiedzialności wystawców certyfikatów, który określałby stopień ich ważności. Takie podejście ma zapewnić swobodny obieg certyfikatów oraz usług związanych z ich wystawianiem, zaufanie klientów oraz zachęcać operatorów do budowy bezpiecznych systemów i podpisów z uniknięciem nadmiernych i nieelastycznych regulacji.
- neutralność technologiczna systemu - system regulacyjny ma zapewniać prawne uznanie i równą ważność różnych technologii tworzenia elektronicznych podpisów (np. podpisów cyfrowych opartych na kluczach asymetrycznych lub metody biometryczne).
- zakres - regulacje winny dotyczyć kwestii publicznej emisji certyfikatów pozwalających na identyfikację nadawców elektronicznych wiadomości. Zachowując jednak zasady autonomiczności stron oraz swobody umów, regulacje winny zezwalać na funkcjonowanie systemów opartych o zawarte umowy (np. korporacyjne sieci intranetowe lub systemy bankowe), gdzie wymagany stopień zaufania już istnieje i gdzie nie ma oczywistej potrzeby regulacji.
- wymiar międzynarodowy - aby wspierać rozwój handlu elektronicznego na skalę globalną, krajowe regulacje winny zawierać mechanizmy kooperacji z innymi krajami na bazie wzajemnego uznawania certyfikatów oraz dwu- i wielostronnych umów.
Zgodnie z Dyrektywą krajowe regulacje dotyczące problematyki podpisu elektronicznego muszą zawierać szereg wymogów szczegółowych dotyczących tzw. kwalifikowanych certyfikatów, podmiotów emitujących takie certyfikaty, urządzeń generujących podpisy elektroniczne oraz procedury weryfikacji podpisów. Pojęcie tzw. kwalifikowanego certyfikatu oznacza elektroniczny atest, który wiąże kryptograficzny klucz publiczny (lub inny kod cyfrowy służący do weryfikacji podpisu elektronicznego) z wystawcą podpisu elektronicznego i pozwalający na jego identyfikację.
Dyrektywa wymaga, aby taki kwalifikowany certyfikat zawierał informację, iż certyfikat został wydany jako kwalifikowany certyfikat, identyfikację emitenta certyfikatu oraz kraju jego siedziby, nazwę lub pseudonim podmiotu składającego podpis, który będzie ją identyfikował, możliwość zawarcia specyficznego atrybuty podmiotu składającego podpis, jeśli taka będzie potrzeba, publiczny klucz kryptograficzny (kod cyfrowy), który będzie korespondował z prywatnym kluczem kryptograficznym znajdującym się pod kontrolę podmiotu składającego podpis elektroniczny, informację na temat początku oraz końca okresu ważności certyfikatu, kod identyfikacyjny certyfikatu, zaawansowany podpis elektroniczny podmiotu emitującego certyfikat, ograniczenia rodzajów zastosować certyfikatu, jeśli takie mają zastosowanie, limit wysokości transakcji, przy realizacji której certyfikat może zostać użyty, jeśli taki ma zastosowanie.
Dyrektywa określa też szereg wymogów, jakie ustawodawstwo krajowe winno stawiać względem emitentów kwalifikowanych certyfikatów. Zakłada się swobodny dostęp podmiotów do rynku usług certyfikacyjnych, a więc bez potrzeby ubiegania się o zgodę ze strony władz państwowych. Kraje członkowskie mogą jednak wprowadzić lub utrzymać tzw. systemy akredytacyjne, według których wspomniane jednostki mogłyby być licencjonowane, jeśli będą spełniać określone, w projekcie dyrektywy, kryteria.
Tak więc emitent certyfikatów winien:
- demonstrować wiarygodność niezbędną dla świadczenia tego rodzaju usług,
- zapewniać sprawne i bezpieczne operowanie bazą wydanych certyfikatów oraz
- możliwość ich bezpiecznego i niezwłocznego anulowania,
- zapewnić, iż data i czas wydania i anulowania certyfikatu może zostać dokładnie określona,
- weryfikować, za pomocą środków zgodnych z prawem krajowym, tożsamość oraz specyficzne atrybuty podmiotu, dla którego kwalifikowany certyfikat został wydany,
- zatrudniać pracowników posiadających ekspercką wiedzę, doświadczenie oraz kwalifikacje niezbędne dla świadczenia tego rodzaju usług,
- używać wiarygodnych systemów oraz produktów, które są zabezpieczone przez modyfikacjami oraz zapewniać techniczne oraz kryptograficzne bezpieczeństwo procesów, które one wspierają,
- podjąć środki przeciwko fałszowaniu certyfikatów oraz, w przypadkach, gdy emitent certyfikatów generuje klucze prywatne gwarantować poufność procesu ich tworzenia,
- utrzymywania wystarczających środków finansowych dla działania w sposób zgodny z wymogami zawartymi w Dyrektywie, a w szczególności dla ponoszenia ciężaru ryzyka związanego z odpowiedzialnością za świadczone usługi np. poprzez uzyskanie odpowiedniej ochrony ubezpieczeniowej,
- gromadzić wszelkie istotne informacje dotyczące kwalifikowanych certyfikatów przez stosowny okres, w szczególności w celu zapewnienia dowodów na potrzeby postępowania sądowego. Takie gromadzenie może być dokonywane w formie elektronicznej.
- nie przechowywać lub kopiować kluczy prywatnych osoby, dla których emitent certyfikatów świadczy usługi zarządzania kluczami,
- przed zawarciem umowy z podmiotem pragnącym uzyskać certyfikat dla jego elektronicznego podpisu, poinformować go o dokładnych warunkach korzystania z takiego certyfikatu, w szczególności: ograniczeń zastosowania, procedur składania zażaleń oraz rozwiązywania sporów. Taka informacja, która może być dostarczona elektronicznie, musi być przedstawiona w formie pisemnej i w zrozumiałym języku. Stosowne części takiej informacji muszą być również dostępne na życzenie stron trzecich polegających na certyfikacie.
- wykorzystywać wiarygodne systemy do przechowywania certyfikatów w formie dającej się weryfikować, tak aby:
- jedynie autoryzowane osoby posiadały dostęp do certyfikatów oraz mogły dokonywać zmian,
- informacja mogła być poddana autentyzacji,
- certyfikaty były publicznie dostępne do odzyskania tylko wówczas, gdy posiadacz certyfikatu wyraził na to zgodę,
- jakiekolwiek techniczne zmiany dotyczące powyższych wymogów bezpieczeństwa były widoczne dla operatora.
Jeśli chodzi o wymogi dotyczące urządzeń generujących bezpieczne podpisy poprzez zastosowanie prywatnych kluczy kryptograficznych (które to pojęcie obejmuje zarówno urządzenia typu software, jak i hardware), Dyrektywa stwierdza, iż za pomocą właściwych środków technicznych i proceduralnych, muszą one, co najmniej zapewniać, że:
- prywatny klucz kryptograficzny (kod cyfrowy) służący generacji podpisu elektronicznego zostanie użyty tylko raz, a jego tajność będzie odpowiednio zabezpieczona,
- prywatny klucz kryptograficzny (kod cyfrowy) służący generacji podpisu elektronicznego nie może, przy zachowaniu rozsądnego poziomu zabezpieczeń, zostać podrobiony a podpis elektroniczny będzie zabezpieczony z wykorzystaniem obecnie dostępnej technologii,
- prywatny klucz kryptograficzny (kod cyfrowy) służący generacji podpisu elektronicznego będzie zabezpieczony przez legitymowanego użytkownika przed użyciem innych podmiotów.
Urządzenia generujące bezpieczne podpisy nie mogą zmieniać wiadomości, które mają zostać zabezpieczone podpisem, ani uniemożliwiać prezentacji tych wiadomości jej podpisującemu przed rozpoczęciem procesu generacji podpisu.
Wymogi względem procedury weryfikacji podpisu elektronicznego określone w Dyrektywie stanowią, iż w trakcie procesu weryfikacji podpisu elektronicznego powinna zostać zachowana pewność, iż:
- dane służące do weryfikacji podpisu korespondują z danymi przedstawianymi podmiotowi weryfikującemu podpis, który będzie wiarygodnie zweryfikowany, a rezultat weryfikacji prawidłowo przedstawiony,
- podmiot weryfikujący może, gdy zajdzie taka potrzeba, wiarygodnie ustalić zawartość danych zabezpieczonych podpisem,
- autentyczność oraz ważności certyfikatu wymaganego podczas weryfikacji podpisu będzie wiarygodnie weryfikowalna,
- rezultat weryfikacji oraz tożsamość podpisującego będzie wiarygodnie przedstawiona,
- zastosowanie pseudonimu przez składającego podpis zostało jasno zaznaczone,
- wszelkie istotne dla bezpieczeństwa zmiany będą łatwo identyfikowalne.
Jak już powiedziano wcześniej, z uwagi na proces integracji Polski z Unią Europejską, wydaje się, iż polski akt prawny regulujący kwestię podpisu cyfrowego winien być zgodny ze wytycznymi zawartymi we wspomnianym projekcie Dyrektywy UE.
Boom gospodarki elektronicznej to nie tylko sfera ekonomii to również postęp cywilizacyjny. Społeczeństwo coraz częściej dzieli się na tych z ery komputerów (są to osoby posługujące się komputerami) oraz tych z przed ery komputerów. Róbmy wszystko, aby Polska była z ery komputerów.
Dla wagi problematyki społeczeństwa informacyjnego oraz tempa rozwoju nowej ekonomii niezbędnym jest podjęcie przez Sejm RP specjalnej Uchwały obligującej rząd do szybkiego wprowadzenia pod obrady Sejmu Strategii E - POLSKA - strategii obejmującej zagadnienia zarówno rozwoju handlu elektronicznego, jak i rozwoju instytucji społeczeństwa informacyjnego, obszaru kultury i edukacji.
Strategia powinna zawierać projekt ustawy o elektronicznym podpisie oraz nowelizacji niezbędnych dla rozwoju społeczeństwa informacyjnego aktów prawnych. Strategia wprowadzenia Polski w obszar społeczeństwa informacyjnego powinna stać się przedmiotem specjalnych obrad Sejmu.
Patrząc na tempo rozwoju nowej ekonomii - gdzie trzy miesiące w internecie dają jeden rok rzeczywisty - Uchwałę Sejmu należy podjąć jak najszybciej. Polski, polskich przedsiębiorców, konsumentów - społeczeństwo nie stać na opóźnienia w tym zakresie.
Uchwała powinna zostać podjęta do końca maja b.r.
(Zapraszam do obejrzenia prezentacji na powyższy temat przygotowanej na konferencję pt. "Uwarunkowania prawne rozwoju gospodarki elektronicznej w Polsce", która odbyła się 6 kwietnia 2000 r. w Warszawie)
