U smislu
Pravilnika o izradi elektroničkog potpisa, uporabi sredstava za izradu elektroničkog potpisa, općim i posebnim uvjetima poslovanja za davatelje usluga izdavanja vremenskog žiga i certifikata, certifikat je potvrda u elektroničkom obliku izdana od davatelja usluge koja povezuje podatke za verificiranje elektroničkog potpisa s nekom osobom i potvrđuje identitet te osobe. Kvalificirani certifikat uz sve to, mora udovoljavati i zahtjevima iz
članka 11. Zakona o elektroničkom potpisu. Provjerom elektroničkog potpisa smatra se postupak pouzdajuće strane za provjeru valjanosti certifikata i vremenskog žiga potpisnika kod davatelja usluge. Pouzdajuća strana je primatelj elektroničkog zapisa koji se pouzdaje u elektronički zapis potpisan elektroničkim potpisom ili naprednim elektroničkim potpisom.
Pravne ili fizičke osobe koje daju usluge izdavanja vremenskog žiga i/ili usluge certificiranja (davatelji usluga) moraju primjenjivati informacijsku tehnologiju u skladu s važećim međunarodnim normama, a posebice onima koje se odnose na opća pravila davanja usluga certificiranja/izdavanja vremenskog žiga, obrazac certifikata, sigurnost kriptografskih modula te sigurnost sustava.
Sam postupak izrade elektroničkog potpisa ne smije izmijeniti podatke koji se potpisuju niti spriječiti prikaz tih podataka potpisniku prije čina potpisivanja (
članak 5.). Potpisnik je osoba koja posjeduje sredstvo za izradu elektroničkog potpisa kojim se potpisuje, a koja djeluje u svoje ime ili u ime fizičke ili pravne osobe koju predstavlja.
Pravila uporabe potpisa sadrže opis postupka potpisivanja u čitljivom obliku s najmanje sljedećim skupom podataka:
- upozorenje - sadržaj pravnih i drugih činjenica povezanih s potpisivanjem, koji mora biti iskazan prije čina potpisivanja
- izjavu potpisnika - o prihvaćanju pravila uporabe potpisa i saznanju o sadržaju koji potpisuje i
- potpisni skup podataka - dio je elektroničkog potpisa, a sadrži ime potpisnika, vrijeme i mjesto potpisivanja
Potpisnik i pouzdajuća strana moraju koristiti ista pravila uporabe potpisa radi postizanja jednakog tumačenja valjanosti potpisa, ako su ona određena (
članak 7. stavak 3.). Za potrebe automatskog obrađivanja elektroničkog potpisa nužno je izraditi pravila uporabe i u formatiranom obliku za potrebe izravnog preuzimanja od strane računalnih programa. Kod programa koje koriste velik broj istorodnih dokumenata s jednim pravilom uporabe potpisa dopušteno je unaprijed definirati ugradnju tih pravila u elektronički potpis ili računalnu aplikaciju.
Pouzdajuća strana prilikom provjere elektroničkog potpisa mora biti u mogućnosti kod davatelja usluga certificiranja provjeriti je li certifikat na listi opozvanih certifikata, kao i podatke o potpisniku, davatelju usluga certificiranja, roku valjanosti i nepostojanju u registru opozvanih certifikata (
članak 9.).
Davatelj usluga može obavljati i usluge izdavanja vremenskog žiga i/ili naprednog vremenskog žiga, ali je dužan osigurati rizik od odgovornosti za štete koje nastanu obavljanjem tih usluga. Najniži iznos obveznog osiguranja za odgovornost za štetu iznosi 2 milijuna kuna (
članak 18.). Samo izdavanje mora obavljati isključivo osoba koja je za to ovlaštena i zaposlena kod davatelja usluga. Bitno je znati da osobe koje rade na poslovima upravljanja računalnim sustavom ne mogu raditi poslove izdavanja i opoziva certifikata, a zaposleni ne smiju biti u radnom odnosu s drugim davateljima usluga.
Davatelji usluga dužni su izraditi jedinstveni sustav zaštite i sigurnosti (
članak 28.). U slučaju neovlaštenog pristupa informacijskom sustavu, davatelj usluga mora zaustaviti normalan rad i provoditi mjere predviđene za rad u izvanrednim situacijama sve do potpunog otkrivanja uzroka te otklanjanja mogućih šteta.
Prije početka pružanja usluga, davatelj usluga mora izraditi dokument, čiji obavezni sadržaj obuhvaća naziv dionice, uvodne oznake i temeljne podatke, opće odredbe, identifikaciju i potvrđivanje identiteta potpisnika, osnovne zahtjeve u radu s certifikatima, kontrolu sigurnosti opreme, postupaka i osoblja, tehničke sigurnosti rada sustava, sadržaj certifikata i listu opozvanih te postupanje s dokumentacijom (
članak 35.). Također, moraju izraditi i dopunska pravila kojima se osigurava ispravno provođenje zaštitnih i sigurnosnih mjera u sustavu certificiranja.
Potpisnik koji traži uslugu certificiranja ili vremenskog žiga, zahtjev podnosi osobno, poštom ili na drugi posredan način, u prijavnoj službi davatelja usluge. On pravno i materijalno odgovara za točnost i ispravnost danih podataka. Davatelj usluga može drugoj pravnoj osobi ugovorom povjeriti obavljanje poslova provjere identiteta i prikupljanja zahtjeva (
članak 42.).
Podaci iz urednih zahtjeva upisuju se i arhiviraju u informacijskom sustavu davatelja usluga. Sadržaj se upisuje se u Registar izdanih i opozvanih certifikata, a izdavanje mora obavljati isključivo osoba koja je za to ovlaštena. Davatelj usluga utvrđuje vremenski period valjanosti izdanog certifikata odnosno rok do kada se priznaje važenje izdanog certifikata u pravnom prometu. Rok za kvalificirane certifikate mora se utvrditi u trajanju najviše do pet godina od dana izdavanja.
Opoziv je prestanak važenja prije isteka roka valjanosti. Opozvani certifikat ne može se reaktivirati ili obnoviti, a upisuje se u listu opozvanih sa statusom „opozvan“. Lista opozvanih certifikata mora biti stalno, on-ine dostupna pouzdajućim stranama (
članak 46.).
Izdani certifikati mogu se opozvati na zahtjev: potpisnika, osobe ovlaštene za zastupanje potpisnika, izdavatelja certifikata ako se utvrdi da podatak u certifikatu nije točan ili potpun, izdavatelja certifikata ako je primljena službena obavijest o gubitku poslovne sposobnosti potpisnika fizičke osobe, izdavatelja certifikata koji primi službeni obavijest o smrti fizičke osobe potpisnika, izdavatelja certifikata otvaranjem stečajnog postupka nad pravnom osobom.
Podaci o potpisnicima, izdani certifikati, liste opozvanih certifikata, kao i tehnički podaci nastali bilježenjem rada sustava certificiranja i izdavanja vremenskih žigova moraju se arhivirati na medije koji osiguravaju trajnost zapisa od najmanje 20 godina. Arhivirani podaci moraju se čuvati i zaštititi od neovlaštenog pristupa i mogućih gubitaka u zapisu. Također se moraju izraditi i sigurnosne kopije koje se čuvaju na drugoj lokaciji (
članak 49.).
Davatelji usluga dužni su svojim općim pravilima predvidjeti način postupanja u slučajevima prigovora u vezi odstupanja sadržaja usluga u odnosu na ugovoreno. Za slučajeve prigovora, u okviru ugovora o pružanju usluga može se predvidjeti i arbitražna klauzula.
Pripremio: Renato Podbojec, dipl. iur.
