Zákon 250/2017 Sb.

Předmět úpravy

Tento zákon upravuje v návaznosti na přímo použitelný předpis Evropské unie upravující elektronickou identifikaci¹)

• a) využití elektronické identifikace,
• b) působnost Digitální a informační agentury (dále jen „Agentura“) na úseku elektronické identifikace a
• c) přestupky na úseku elektronické identifikace.

Prokázání totožnosti s využitím elektronické identifikace

Vyžaduje-li právní předpis nebo výkon působnosti prokázání totožnosti, lze umožnit prokázání totožnosti s využitím elektronické identifikace pouze prostřednictvím kvalifikovaného systému elektronické identifikace (dále jen „kvalifikovaný systém“).

Kvalifikovaný systém

• (1) Kvalifikovaným systémem je systém elektronické identifikace,
  • a) který spravuje kvalifikovaný správce systému elektronické identifikace (dále jen „kvalifikovaný správce“),
  • b) který splňuje technické specifikace, normy a postupy alespoň pro jednu z úrovní záruky stanovených přímo použitelným předpisem Evropské unie upravujícím minimální technické specifikace, normy a postupy pro úrovně záruky prostředků pro elektronickou identifikaci²) (dále jen „příslušný předpis Evropské unie“),
  • c) který umožňuje poskytnutí služby národního bodu pro identifikaci a autentizaci (dále jen „národní bod“),
  • d) v jehož rámci jsou osobní identifikační údaje jedinečně identifikující osobu v okamžiku vydání prostředku pro elektronickou identifikaci spojeny s danou osobou v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými příslušným předpisem Evropské unie a
  • e) v jehož rámci je vydáván a používán pouze prostředek pro elektronickou identifikaci, který je spojen s osobou, kterou identifikuje, v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými příslušným předpisem Evropské unie.
• (2) Kvalifikovaným systémem je dále systém elektronické identifikace oznámený podle přímo použitelného předpisu Evropské unie upravujícího elektronickou identifikaci¹), v jehož rámci je vydáván a používán pouze prostředek pro elektronickou identifikaci s úrovní záruky alespoň značnou.

Kvalifikovaný správce

Kvalifikovaným správcem může být pouze

• a) státní orgán, nebo
• b) osoba, které byla udělena akreditace pro správu kvalifikovaného systému (dále jen „akreditovaná osoba“).

• (1) Agentura rozhodne o udělení akreditace pro správu kvalifikovaného systému (dále jen „akreditace“) na základě písemné žádosti.
• (2) Podmínkou pro udělení akreditace je
  • a) skutečnost, že žadatelem o akreditaci vydávaný prostředek pro elektronickou identifikaci a žadatelem o akreditaci spravovaný systém elektronické identifikace splňují technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie,
  • b) bezúhonnost žadatele o akreditaci,
  • c) pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému,
  • d) zpracování plánu ukončení činnosti,
  • e) skutečnost, že systém elektronické identifikace žadatele o akreditaci umožňuje poskytnutí služby národního bodu, a
  • f) skutečnost, že žadatel o akreditaci je způsobilý pro správu kvalifikovaného systému z hlediska veřejného pořádku, bezpečnosti a dodržování práv třetích osob.
• (3) Žadatel o akreditaci k žádosti o akreditaci přikládá
  • a) smlouvu o uzavření pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému,
  • b) doklad o bezúhonnosti, neprokazuje-li se bezúhonnost výpisem z evidence Rejstříku trestů,
  • c) potvrzení, že žadatelem o akreditaci vydávaný prostředek pro elektronickou identifikaci a žadatelem o akreditaci spravovaný systém elektronické identifikace splňují technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, a
  • d) plán ukončení činnosti.
• (4) Agentura je oprávněna při zjišťování skutečnosti podle odstavce 2 písm. f) požádat o informace Policii České republiky, zpravodajskou službu nebo jiný orgán.
• (5) Agentura rozhodne o žádosti o udělení akreditace do 3 měsíců ode dne jejího podání. Splňuje-li žadatel o akreditaci podmínky pro udělení akreditace, Agentura udělí akreditaci. V opačném případě Agentura žádost zamítne.
• (6) Akreditovaná osoba je povinna bez zbytečného odkladu písemně oznámit Agentuře, že přestala splňovat některou z podmínek pro udělení akreditace.

• (1) Agentura rozhodne o změně akreditace na základě písemné žádosti akreditované osoby o rozšíření správy kvalifikovaného systému o vydávání a používání dalšího prostředku pro elektronickou identifikaci.
• (2) Akreditovaná osoba je povinna v žádosti podle odstavce 1 doložit splnění podmínky podle § 5 odst. 2 písm. a) ve vztahu k dalšímu prostředku pro elektronickou identifikaci.
• (3) Agentura rozhodne o žádosti podle odstavce 1 do 3 měsíců ode dne jejího podání. Splňuje-li akreditovaná osoba ve vztahu k dalšímu prostředku pro elektronickou identifikaci podmínku podle § 5 odst. 2 písm. a), Agentura změní akreditaci. V opačném případě Agentura žádost zamítne.

• (1) Přestane-li akreditovaná osoba splňovat některou z podmínek pro udělení akreditace, Agentura ji písemně upozorní na možnost odnětí akreditace a zároveň ji vyzve, aby bez zbytečného odkladu zjednala nápravu. Nezjedná-li akreditovaná osoba ani na základě upozornění Agentury nápravu, Agentura jí akreditaci odejme.
• (2) Agentura odejme akreditaci, jestliže o to akreditovaná osoba písemně požádala.

Akreditace zaniká smrtí nebo zánikem akreditované osoby.

Pojištění odpovědnosti za škodu

• (1) Žadatel o akreditaci musí být pojištěn pro případ odpovědnosti za škodu způsobenou při správě kvalifikovaného systému tak, aby výše pojistné částky byla úměrná možným škodám, které lze v rozumné míře předpokládat. Agentura stanoví vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění.
• (2) Akreditovaná osoba je povinna nahradit škodu způsobenou při správě kvalifikovaného systému bez ohledu na sjednaný limit pojistného plnění.

Bezúhonnost

• (1) Za bezúhonnou se pro účely tohoto zákona považuje osoba, která nebyla pravomocně odsouzena pro
  • a) úmyslný trestný čin, nebo
  • b) trestný čin proti pořádku ve věcech veřejných z nedbalosti.
• (2) Za bezúhonnou se pro účely tohoto zákona považuje též osoba, na kterou se hledí, jako by nebyla odsouzena.
• (3) Bezúhonnost fyzických osob se prokazuje
  • a) výpisem z evidence Rejstříku trestů,
  • b) výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů členského státu Evropské unie, jehož je osoba státním příslušníkem, nebo členského státu Evropské unie posledního pobytu, je-li osoba státním příslušníkem jiného členského státu Evropské unie nebo měla-li nebo má bydliště v jiném členském státě Evropské unie,
  • c) výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, jehož je osoba státním příslušníkem, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, jehož je osoba státním příslušníkem,
  • d) výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem posledního pobytu, trvajícího déle než 3 měsíce ve 2 po sobě následujících letech, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu pobytu.
• (4) Bezúhonnost právnických osob se prokazuje
  • a) výpisem z evidence Rejstříku trestů,
  • b) výpisem z evidence Rejstříku trestů s přílohou obsahující informace, které jsou zapsané v evidenci trestů členského státu Evropské unie, na jehož území má osoba sídlo, má-li sídlo v jiném členském státě Evropské unie,
  • c) výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, na jehož území má osoba sídlo, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, na jehož území má osoba sídlo,
  • d) výpisem z evidence trestů nebo rovnocenným dokladem vydaným státem, na jehož území osoba v posledních 2 po sobě následujících letech podnikala, nebo nevydává-li tento stát výpis z evidence trestů nebo rovnocenný doklad, čestným prohlášením o bezúhonnosti učiněným před notářem nebo jiným příslušným orgánem státu, na jehož území osoba podnikala.
• (5) Doklad o bezúhonnosti podle odstavce 3 písm. b) až d) a odstavce 4 písm. b) až d) nesmí být starší 3 měsíců.
• (6) Agentura si vyžádá výpis z evidence Rejstříku trestů za účelem zjištění bezúhonnosti podle zákona o Rejstříku trestů. Žádost o vydání výpisu z evidence Rejstříku trestů a výpis z evidence Rejstříku trestů se předává v elektronické podobě, a to způsobem umožňujícím dálkový přístup.

• (1) Prostředek pro elektronickou identifikaci a systém elektronické identifikace posuzuje osoba, která k tomu byla pověřena Agenturou (dále jen „pověřená osoba“).
• (2) Agentura pověří posuzováním prostředku pro elektronickou identifikaci a systému elektronické identifikace na základě žádosti osobu pověřenou k provádění atestací podle zákona o informačních systémech veřejné správy. Pověření k posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace (dále jen „pověření“) nelze převést na jinou osobu.

• (1) Přestane-li pověřená osoba plnit povinnosti stanovené tímto zákonem, Agentura ji písemně upozorní na možnost odnětí pověření a zároveň ji vyzve, aby bez zbytečného odkladu zjednala nápravu. Nezjedná-li pověřená osoba ani na základě upozornění Agentury nápravu, Agentura jí pověření odejme.
• (2) Agentura odejme pověření, jestliže o to pověřená osoba písemně požádala.
• (3) Pověření zaniká, jestliže pověřená osoba pozbyla pověření k provádění atestací podle zákona o informačních systémech veřejné správy.

• (1) Pověřená osoba posuzuje, zda prostředek pro elektronickou identifikaci a systém elektronické identifikace splňuje technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie. Ustanovení § 6d odst. 3 a § 6e zákona o informačních systémech veřejné správy se při posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace použijí obdobně.
• (2) Splňuje-li prostředek pro elektronickou identifikaci a systém elektronické identifikace technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, pověřená osoba písemně potvrdí tuto skutečnost žadateli o posouzení do 3 měsíců ode dne podání žádosti o posouzení.
• (3) Potvrzení podle odstavce 2 obsahuje stanovenou úroveň záruky prostředku pro elektronickou identifikaci podle příslušného předpisu Evropské unie.
• (4) Nesplňuje-li prostředek pro elektronickou identifikaci a systém elektronické identifikace technické specifikace, normy a postupy stanovené příslušným předpisem Evropské unie, pověřená osoba písemně vyrozumí o této skutečnosti žadatele o posouzení do 3 měsíců ode dne podání žádosti o posouzení a sdělí mu důvody nesplnění požadavků.

Není-li posuzováním prostředku pro elektronickou identifikaci a systému elektronické identifikace pověřena žádná osoba, posuzuje prostředek pro elektronickou identifikaci a systém elektronické identifikace Agentura. Ustanovení § 13 se na posuzování prostředku pro elektronickou identifikaci a systému elektronické identifikace Agenturou použije obdobně.

Plán ukončení činnosti

Státní orgán nebo žadatel o akreditaci v plánu ukončení činnosti uvede postupy při ukončení vydávání a používání prostředků pro elektronickou identifikaci a poskytnutí služby autentizace, včetně způsobu, jakým jsou správce národního bodu a držitelé prostředků pro elektronickou identifikaci (dále jen „držitel“) informováni o ukončení činnosti kvalifikovaného správce.

Povinnosti kvalifikovaného správce

• (1) Kvalifikovaný správce
  • a) zajistí dostupnost jím spravovaného kvalifikovaného systému pro spoléhající se stranu způsobem umožňujícím dálkový přístup prostřednictvím národního bodu a pro národní bod způsobem umožňujícím dálkový přístup,
  • b) vede evidenci jím vydaných prostředků pro elektronickou identifikaci,
  • c) před prvním použitím prostředku pro elektronickou identifikaci v rámci kvalifikovaného systému ověří totožnost držitele prostřednictvím národního bodu,
  • d) zapíše identifikátor jím vydaného prostředku pro elektronickou identifikaci a úroveň záruky tohoto prostředku do národního bodu,
  • e) aktualizuje údaje v evidenci vydaných prostředků pro elektronickou identifikaci na základě upozornění správce národního bodu na změny údajů,
  • f) po ukončení své činnosti předá evidenci vydaných prostředků pro elektronickou identifikaci Agentuře,
  • g) bez zbytečného odkladu zneplatní prostředek pro elektronickou identifikaci držitele, o kterém se prokazatelně dozvěděl, že zemřel, nebo byl prohlášen za mrtvého,
  • h) bez zbytečného odkladu zneplatní prostředek pro elektronickou identifikaci na základě žádosti držitele, nebo na základě ohlášení držitele o zneužití nebo hrozícím nebezpečí zneužití prostředku pro elektronickou identifikaci,
  • i) při ukončení své činnosti zneplatní jím vydané prostředky pro elektronickou identifikaci,
  • j) oznámí správci národního bodu zneplatnění prostředku pro elektronickou identifikaci podle písmen g) až i),
  • k) vede a aktualizuje plán ukončení činnosti a
  • l) při ukončení své činnosti postupuje podle plánu ukončení činnosti.
• (2) Kvalifikovaný správce zajistí, aby řídící činnosti při správě kvalifikovaného systému vykonávaly fyzické osoby, které získaly vysokoškolské vzdělání v rámci akreditovaného bakalářského nebo magisterského studijního programu a mají praxi v oblasti informačních technologií v délce nejméně 3 let, nebo fyzické osoby, které získaly středoškolské vzdělání a mají praxi v oblasti informačních technologií v délce nejméně 5 let.
• (3) Kvalifikovaný správce zajistí, aby fyzické osoby, které vykonávají řídící činnosti při správě kvalifikovaného systému, a fyzické osoby, které ověřují totožnost držitele, byly bezúhonné.

Povinnosti držitele

Držitel

• a) ověří správnost údajů zapsaných v prostředku pro elektronickou identifikaci při převzetí tohoto prostředku,
• b) zachází s prostředkem pro elektronickou identifikaci s náležitou péčí tak, aby minimalizoval možnost jeho zneužití,
• c) bez zbytečného odkladu ohlásí kvalifikovanému správci zneužití nebo hrozící nebezpečí zneužití prostředku pro elektronickou identifikaci.

Povinnosti kvalifikovaného poskytovatele

• (1) Ten, kdo umožňuje prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace (dále jen „kvalifikovaný poskytovatel“), vyrozumí o této skutečnosti správce národního bodu, a to bez zbytečného odkladu poté, co nastala. Kvalifikovaný poskytovatel ve vyrozumění uvede on-line službu nebo jinou činnost, při nichž prokázání totožnosti s využitím elektronické identifikace umožňuje, a úroveň záruky prostředku pro elektronickou identifikaci, kterou při prokázání totožnosti s využitím elektronické identifikace požaduje.
• (2) Ten, kdo přestal umožňovat prokázání totožnosti způsobem podle odstavce 1, vyrozumí o této skutečnosti bez zbytečného odkladu správce národního bodu.
• (3) Vyrozumění podle odstavce 1 nebo 2 se činí prostřednictvím elektronické aplikace spravované správcem národního bodu.

Působnost na úseku elektronické identifikace

Agentura

• a) plní úkoly podle čl. 9 a 10 přímo použitelného předpisu Evropské unie upravujícího elektronickou identifikaci¹),
• b) plní úkoly jednotného kontaktního místa podle přímo použitelného předpisu Evropské unie upravujícího procesní opatření pro spolupráci mezi členskými státy v oblasti elektronické identifikace³),
• c) kontroluje kvalifikované správce, kvalifikované poskytovatele a pověřené osoby,
• d) vede evidenci udělených akreditací a jejich změn a zveřejňuje ji na svých internetových stránkách,
• e) uchovává údaje vedené v evidenci vydaných prostředků pro elektronickou identifikaci kvalifikovaného správce, který ukončil činnost, a tyto údaje zpřístupní tomu, kdo osvědčí právní zájem na jejich zpřístupnění, nebo stanoví-li to zákon,
• f) na základě vyrozumění kvalifikovaného poskytovatele umožní poskytnutí služby národního bodu,
• g) upozorňuje kvalifikovaného správce na změny údajů v evidenci vydaných prostředků pro elektronickou identifikaci a
• h) je kvalifikovaným správcem, který vydává prostředek pro elektronickou identifikaci.

• (1) Národní bod je informační systém veřejné správy podporující proces elektronické identifikace a autentizace prostřednictvím kvalifikovaného systému.
• (2) Správcem národního bodu je Agentura.
• (3) Samostatná součást národního bodu plní úlohu uzlu podle přímo použitelného předpisu Evropské unie upravujícího rámec interoperability⁴).
• (4) Správce národního bodu zajistí, aby národní bod splňoval požadavky stanovené přímo použitelným předpisem Evropské unie upravujícím rámec interoperability⁴).

• (1) V národním bodu se vede
  • a) identifikátor prostředku pro elektronickou identifikaci a údaj o úrovni záruky tohoto prostředku,
  • b) agendový identifikátor držitele pro agendu autentizace,
  • c) identifikátor držitele v rámci kvalifikovaného systému a
  • d) identifikátor držitele v rámci on-line služby nebo jiné činnosti splňující požadavky stanovené přímo použitelným předpisem Evropské unie upravujícím rámec interoperability⁴).
• (2) V národním bodu se jako provozní údaj vede alespoň
  • a) datum prvotního zápisu údaje do národního bodu,
  • b) datum poslední změny údaje vedeného v národním bodu a
  • c) záznam o využití údaje z národního bodu.
• (3) V národním bodu se dále mohou vést údaje, které poskytne držitel.
• (4) Údaje podle odstavce 1 písm. b) až d) a odstavce 2 zapisuje do národního bodu správce národního bodu. Údaje podle odstavce 3 zapisuje do národního bodu držitel.
• (5) Údaje podle odstavců 1 a 2 se v národním bodu uchovávají po dobu 15 let od skončení platnosti prostředku pro elektronickou identifikaci. Údaje podle odstavce 3 se v národním bodu uchovávají po dobu platnosti prostředku pro elektronickou identifikaci, nevymaže-li je dříve držitel.
• (6) Údaje, které se vedou v uzlu podle čl. 9 odst. 3 přímo použitelného předpisu Evropské unie upravujícího rámec interoperability⁴), se uchovávají po dobu 15 let od jejich prvotního zápisu.

Evidence vydaných prostředků pro elektronickou identifikaci

• (1) V evidenci vydaných prostředků pro elektronickou identifikaci se vede
  • a) jméno, popřípadě jména, a příjmení držitele,
  • b) adresa místa trvalého pobytu držitele, popřípadě adresa místa bydliště mimo území České republiky, pokud držitel nemá trvalý pobyt na území České republiky,
  • c) datum narození držitele,
  • d) identifikátor prostředku pro elektronickou identifikaci,
  • e) identifikátor držitele v rámci kvalifikovaného systému,
  • f) údaj o způsobu ověření totožnosti žadatele o vydání prostředku pro elektronickou identifikaci, a byla-li totožnost ověřena průkazem totožnosti, rovněž číslo a druh průkazu totožnosti,
  • g) datum a čas vydání prostředku pro elektronickou identifikaci a datum a čas jeho zneplatnění,
  • h) doba platnosti prostředku pro elektronickou identifikaci a
  • i) datum a čas přijetí žádosti o zneplatnění prostředku pro elektronickou identifikaci nebo oznámení držitele o zneužití nebo hrozícím nebezpečí zneužití prostředku pro elektronickou identifikaci.
• (2) Údaje podle odstavce 1 se v evidenci vydaných prostředků pro elektronickou identifikaci uchovávají po dobu 15 let od skončení platnosti prostředku pro elektronickou identifikaci.
• (3) Kvalifikovaný správce zpřístupní údaje podle odstavce 1 tomu, kdo osvědčí právní zájem na jejich zpřístupnění, nebo stanoví-li to zákon.

Seznam kvalifikovaných správců a kvalifikovaných poskytovatelů

• (1) Agentura vede seznam kvalifikovaných správců usazených v České republice spolu s jimi vydanými prostředky pro elektronickou identifikaci a seznam kvalifikovaných poskytovatelů usazených v České republice spolu s on-line službami nebo jinými činnostmi, při nichž umožňují prokázání totožnosti s využitím elektronické identifikace.
• (2) Agentura zveřejňuje seznam podle odstavce 1 na svých internetových stránkách.

• (1) Akreditovaná osoba se dopustí přestupku tím, že
  • a) nezajistí dostupnost jí spravovaného kvalifikovaného systému podle § 16 odst. 1 písm. a),
  • b) nevede evidenci jí vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. b),
  • c) neověří totožnost držitele prostřednictvím národního bodu podle § 16 odst. 1 písm. c),
  • d) nezapíše identifikátor vydaného prostředku pro elektronickou identifikaci a úroveň záruky tohoto prostředku do národního bodu podle § 16 odst. 1 písm. d),
  • e) neaktualizuje údaje v evidenci vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. e),
  • f) nepředá Agentuře evidenci vydaných prostředků pro elektronickou identifikaci podle § 16 odst. 1 písm. f),
  • g) nezneplatní prostředek pro elektronickou identifikaci podle § 16 odst. 1 písm. g) až i),
  • h) neoznámí zneplatnění prostředku pro elektronickou identifikaci podle § 16 odst. 1 písm. j),
  • i) v rozporu s § 16 odst. 1 písm. k) nevede nebo neaktualizuje plán ukončení činnosti,
  • j) nepostupuje podle plánu ukončení činnosti podle § 16 odst. 1 písm. l),
  • k) nezajistí, aby řídící činnosti při správě kvalifikovaného systému vykonávaly fyzické osoby splňující předpoklady podle § 16 odst. 2, nebo
  • l) v rozporu s § 16 odst. 3 nezajistí, aby řídící činnosti při správě kvalifikovaného systému a ověření totožnosti prováděly bezúhonné fyzické osoby.
• (2) Za přestupek lze uložit pokutu do
  • a) 1 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. k) nebo l), nebo
  • b) 2 000 000 Kč, jde-li o přestupek podle odstavce 1 písm. a) až j).

Přestupky podle tohoto zákona projednává Agentura.

Přechodná ustanovení

• (1) Ten, kdo umožňoval prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace přede dnem nabytí účinnosti tohoto zákona a umožňuje toto prokázání totožnosti i ode dne nabytí účinnosti tohoto zákona, vyrozumí o této skutečnosti správce národního bodu do 6 měsíců ode dne nabytí účinnosti tohoto zákona. Ustanovení § 18 odst. 3 se použije obdobně.
• (2) Po dobu 2 let ode dne nabytí účinnosti tohoto zákona lze umožnit prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace, při kterém se nepoužije kvalifikovaný systém.

Účinnost

Tento zákon nabývá účinnosti dnem 1. července 2018.