Elektronické podatelny
Zavést elektronickou komunikaci mezi občany a orgány veřejné moci rozhodně není jednorázovým úkonem, ke kterému by stačilo vydání konkrétního právního předpisu. Ve skutečnosti to je dlouhodobější proces, který má své milníky - vydání zákona (o elektronickém podpisu), vydání prováděcích vyhlášek (k zákonu o el. podpisu), vydání nařízení vlády (o použití elektronických podpisů u orgánů veřejné moci) - a vyžaduje určité dlouhodobější procesy, jako například šíření osvěty mezi úředníky i mezi občany, tak aby obě strany věděly jak spolu komunikovat elektronickou cestou. Významným prvkem celého procesu je i budování elektronických podatelen orgány veřejné moci.Chceme-li správně pochopit smysl, podstatu a způsob fungování elektronických podatelen, je vhodné se na ně dívat v širším kontextu, jako na jeden z celé řady větších či menších kaménků, zapadajících do širší ucelené mozaiky. Pojďme si proto udělat celistvější obrázek o podstatě celé problematiky, samozřejmě se zaměřením na potřebu vzájemné komunikace mezi občany a orgány elektronické správy.
Podoby elektronické komunikace
Začněme nejprve tím, jak by elektronická komunikace mezi občanem a orgánem veřejné moci mohla v principu probíhat. Jednou z možných forem je to, když se občan fyzicky dostaví na příslušný úřad s určitým podáním, ale to co k němu potřebuje nemá vytištěno na papíře a podepsáno vlastní rukou, ale má to nahrané na disketě (nebo na CD, obecně uloženo na vhodném datovém nosiči). Zde pak není problém v tom, jak orgán veřejné moci zjistí a ověří totožnost občana podávajícího podání (to může učinit naprosto stejně jako u klasických podání "na papíře"). Nová je ale potřeba "zafixovat" obsah elektronického podání, tak aby toto nemohlo být následně změněno a nemohlo být pochyb o tom, co přesně původní podání občana obsahovalo (třeba i pro případ, že by občan následně tvrdil, že ve svém elektronickém podání uvedl něco jiného než tvrdí úřad). Další, co je třeba ošetřit, je to aby elektronické podání (na datovém nosiči) bylo pro úřad čitelné (což je hlavně otázka datových formátů).
Snad nejčastější elektronickou formou komunikace mezi občanem a orgánem veřejné moci však zřejmě bude situace, kdy občan se vůbec fyzicky nedostaví na úřad, ale své podání v elektronické formě doručí jinou cestou, konkrétně elektronickou poštou. V takovém případě platí totéž co v předchozím případě (čitelnost obsahu a potřeba jeho "zafixování"), ale navíc je zde zapotřebí bezpečně určit a ověřit totožnost občana, který podání předkládá. Právě u elektronické pošty je totiž docela snadné vydávat se za někoho jiného. Další odlišností této situace, oproti doručení podání na datovém nosiči, je potřeba ošetřit eventuelní možnost, že by občan podávající podání později chtěl popřít, že tak vůbec učinil.
Co nabízí elektronické podpisy
Mechanismem, který dokáže zajistit výše uvedené požadavky, jsou elektronické podpisy. Pokud bychom se chtěli podrobněji oznámit s principem jejich fungování, bylo by to na dosti dlouhý a nejspíše i značně odborný článek. Přesto si ale můžeme aspoň v základních obrysech naznačit, jak elektronické podpisy vychází vstříc potřebám elektronické komunikace.
Elektronický podpis si v prvním přiblížení můžeme představit jako "kus dat", který vzniká určitým výpočtem ze dvou výchozích komponent:
- ze zprávy, která má být podepsána (resp. samotného podání občana, obecně pak jakéhokoli datového souboru)
- z tzv. privátního klíče, který je unikátní a specifický pro podepisující osobu (která by svůj privátní klíč neměla zpřístupnit nikomu jinému).
Samotný akt "elektronického podepsání" pak fakticky znamená vytvoření takovéhoto "kusu dat" a jeho připojení k původní zprávě (podání) v roli jejího elektronického podpisu. Zdůrazněme si znovu, že takovýto elektronický podpis je závislý jednak na obsahu zprávy (podání), a jednak na privátním klíči podepisující osoby (která by jej neměla nikdy dát z ruky). Proto je také samotný elektronický podpis pro každou zprávu odlišný a explicitně závislý na jejím obsahu (a nelze si jej tudíž jakkoli "pořídit" dopředu, bez znalosti toho, co má být podepsáno).
Příjemce zprávy, ke které je připojen její elektronický podpis, si může pravost tohoto podpisu sám bezpečně ověřit, má-li k dispozici tzv. veřejný klíč podepsané osoby. Toto ověření zajistí:
- tzv. identifikaci a autentizaci: určení osoby, která zprávu podepsala (identifikace), a ověření její identity (autentizace).
- tzv. integritu: zjištění, zda zpráva byla či nebyla jakkoli změněna (od okamžiku svého podepsání)
- tzv. nepopiratelnost: zajištění toho, že podepisující osoba nemůže popřít, že zprávu podepsala.
Tyto vlastnosti jsou právě tím, co je potřeba k zajištění dostatečně důvěryhodné komunikace občana s orgány veřejné moci - snad s výjimkou požadavku na "zafixování" obsahu podání. Zajištění integrity pomocí elektronického podpisu totiž nedokáže zabránit případné změně podepsaného podání. Dokáže ale spolehlivě určit, zda k nějaké změně došlo či nikoliv.
Co jsou certifikáty a certifikační autority?
Vysvětlení způsobu, jakým elektronické podpisy zajišťují právě vyjmenované vlastnosti (identifikaci a autentizace, integritu, nepopiratelnost) je skutečně na dlouhé povídání, navíc vázané na určité znalosti z oboru kryptografie. Přesto však lze alespoň naznačit, bez nároků na úplnost a přesnost, o co se jejich fungování opírá, tak aby laskavý čtenář mohl získat alespoň první orientační představu. Vše je založené na tom, že tzv. privátní klíč a tzv. veřejný klíč "pasují k sobě" a vzájemně spolu souvisí. Jejich vzájemnou vazbu si lze představit také tak, že když se něco "zamkne" jedním z klíčů, lze to "odemknout" právě a pouze druhým z obou klíčů.
V praxi elektronických podpisů však nejde o "zamykání" a "odemykání", ale o "vytvoření podpisu" a "ověření podpisu". Přitom k vytvoření elektronického podpisu je zapotřebí právě ten z dvojice klíčů, který se ne nadarmo nazývá "privátní" - proto, že by jej jeho vlastník neměl dávat z ruky a poskytnout komukoli jinému (jinak hrozí, že se někdo jiný bude moci podepsat "jeho jménem").
Naproti tomu pro ověření pravosti elektronického podpisu se používá druhý ze dvojice "do sebe pasujících" klíčů, příhodně označovaný jako "veřejný". To proto, že může být doslova rozvěšen na každém rohu, resp. umístěn na veřejně přístupných místech a volně šířen (s cílem, aby si kdokoli mohl ověřit pravost podpisu vytvořeného privátním klíčem). Konkrétní realizace obou klíčů a celého mechanismu elektronických podpisů přitom zajišťuje, že ze znalosti jednoho klíče není možné odvodit (vypočítat) druhý klíč. Díky tomu je možné plně zveřejnit veřejný klíč, bez obav o to, že by si z něj někdo mohl odvodit klíč privátní.
S existencí veřejných klíčů a s jejich zveřejněním je spojena jedna významná otázka: najdu-li někde na veřejném místě nějaký veřejný klíč, jak poznám komu patří? Přesněji: kdo je oprávněným majitelem privátního klíče, ke kterému dotyčný veřejný klíč "pasuje"?
Odpověď může být v prvním přiblížení velmi jednoduchá: s veřejným klíčem je spojena visačka (klíčenka), na které je napsáno komu patří. V druhém přiblížení se ale každý musí zeptat: jak mohu věřit tomu, co je na takovéto visačce napsáno? Kdo mi zaručí, že to nikdo nepřepsal, a tím se fakticky začal vydávat za někoho jiného? Právě toto je velmi významný aspekt celého mechanismu elektronických podpisů, který musí být velmi spolehlivě ošetřen - jinak by snad ani nemělo smysl se elektronickými podpisy vůbec zabývat.
Způsob, jakým je příslušnost veřejného klíče ke konkrétní osobě zajištěna, lze popsat následovně: veřejný klíč a pomyslná visačka (klíčenka) dohromady tvoří tzv. certifikát. Lze si jej představit jako celistvý "kus dat", neboli jako jeden celek, který fakticky obsahuje jak samotný veřejný klíč tak i údaje o sobě, které klíč patří. Místo samotných veřejných klíčů se pak volně šíří (veřejně zpřístupňují) právě takovéto certifikáty.
Kdo a co ale zaručí, že samotný certifikát není nějak zmanipulovaný, zfalšovaný apod.? Odpověď je následující: počítá se s tím, že certifikát vydá dostatečně důvěryhodná třetí strana, která také bude ručit za jeho pravost (a mj. bude muset nést následky, pokud by se prokázal opak). Takovouto třetí stranou vydávající certifikáty, je tzv. certifikační autorita (formálně: poskytovatel certifikačních služeb). Je na ní, aby se dostatečně ujistila o totožnosti osoby, které certifikát vydává.
Certifikační autorita samozřejmě musí ošetřit i to, aby nebylo možné pozměnit (zfalšovat) certifikát, který ona sama vydala. Toho se dosahuje tím, že každý certifikát který vydá také sama podepíše, svým vlastním elektronickým podpisem (a proto si musí o to pečlivěji hlídat svůj vlastní privátní klíč). Pak je skutečně možné takovéto certifikáty volně šířit, doslova "vyvěsit na každém rohu". Pokud by někdo někdy měl pochybnost o pravosti konkrétního certifikátu, může se obrátit na příslušnou certifikační autoritu, přímo od ní získat její certifikát, a s jeho pomocí si ověřit pravost podpisu certifikační autority pod tím certifikátem, o jehož pravosti má jakékoli pochybnosti. Může ale věřit samotné certifikační autoritě (poskytovateli certifikačních služeb)? Může věřit tomu, že ona nevydala nekorektní certifikát, neboli nepodepsala něco co není pravda?
K čemu je zapotřebí zákon?
Na činnost certifikačních autorit (poskytovatelů certifikačních služeb) je skutečně nutné klást velmi přísné požadavky, a také tvrdě vyžadovat jejich dodržování (a kontrolovat je). Vzhledem k závažnosti celé problematiky elektronických podpisů je nutné dát těmto požadavkům váhu zákona. Ten pak může upravovat i další aspekty a záležitosti, nutné k praktickému používání elektronických podpisů - vedle statutu elektronických podpisů zejména celkové "nastavení laťky" pro důvěryhodnost elektronických podpisů a všeho, co s jejich používáním souvisí. Konkrétně se zákon o el. podpisu zabývá zejména:
- postavením elektronických podpisů v našem právním řádu a možností jejich použití (v prvním přiblížení: snaží se dosáhnout zrovnoprávnění elektronických podpisů s "ručními" podpisy na papíře)
- základními požadavky na elektronické podpisy jako takové, na certifikáty, na prostředky a nástroje používané pro práci s elektronickými podpisy
- požadavky na poskytovatele certifikačních služeb
- způsobem dohledu nad poskytovateli certifikačních služeb a jejich fungováním
V ČR byl zákon o elektronickém podpisu vydán již v loňském roce, jako jeden z prvních v celé Evropě. Účinnosti nabyl k 1. říjnu 2000 (jako zákon č. 227/2000 Sb.). Kompetence v oblasti elektronických podpisů, včetně vydávání prováděcích vyhlášek k zákonu a dohledu nad poskytovateli certifikačních služeb, svěřil Úřadu pro ochranu osobních údajů.
Co říká zákon ke komunikaci s orgány veřejné moci?
Pro použití elektronických podpisů při komunikaci mezi občany a úřady má zákon specifické ustanovení (paragraf 11), které říká:
V oblasti orgánů veřejné moci je možné používat pouze zaručené elektronické podpisy a kvalifikované certifikáty vydávané akreditovanými poskytovateli certifikačních služeb.
Pro správné pochopení tohoto požadavku je důležité vysvětlit, co se rozumí pod pojmem "akreditovaný poskytovatel certifikačních služeb" (pojmy "zaručený elektronický podpis" a "kvalifikovaný certifikát" lze chápat jako podpisy a certifikáty ve výše uvedeném smyslu, které splňují požadavky kladené na ně zákonem).
Všichni poskytovatelé certifikačních služeb, kteří chtějí vydávat tzv. kvalifikované certifikáty (neboli certifikáty s náležitostmi stanovenými zákonem), musí splnit určité podmínky na svou vlastní existenci a fungování. Rozdíl mezi akreditovanými a neakreditovanými poskytovateli přitom není v přísnosti či rozsahu těchto podmínek (ty jsou stejné), ale ve způsobu ověření toho, zda jsou splněny. Neakreditovanému poskytovateli stačí tyto podmínky splnit, oznámit začátek svého fungování Úřadu pro ochranu osobních údajů (s předstihem 30 dnů), a může začít certifikáty vydávat - s tím, že Úřad pro ochranu osobních údajů může kdykoli dodatečně ověřit splnění příslušných podmínek kladených na poskytovatele. Naproti tomu akreditovaný poskytovatel musí takovýmto ověřením úspěšně projít (a získat o tom doklad, tzv. akreditaci) ještě předtím, než začne své certifikáty vydávat.
Zákon tedy explicitně požaduje, aby "v oblasti orgánů veřejné moci" byly používány výhradně certifikáty od poskytovatelů, kteří již prošli atestací (apriorní kontrolou toho, zda splňují všechny podmínky na ně kladené).
K čemu je nutná prováděcí vyhláška?
Zákon o elektronickém podpisu sice stanovuje podmínky kladené na poskytovatele certifikačních služeb (akreditované i neakreditované), ale činí tak v určité základní rovině, bez zabíhání do konkrétních technických detailů. Důvodem je zejména to, aby zákon nemusel být často novelizován díky vývoji ve světě technologií. Konkrétní detaily jsou proto upraveny prováděcí vyhláškou, k jejímuž vydání byl zmocněn Úřad pro ochranu osobních údajů.
Příprava této vyhlášky zabrala celý rok, kvůli velké náročnosti celé problematiky, nutnosti koordinovat technické řešení s probíhajícím vývojem v EU, i kvůli nutnosti vyřešit některé ryze formální překážky (například to, že Úřad na ochranu osobních údajů nebyl původně oprávněn vydávat obecně závazné vyhlášky ve Sbírce zákonů).
Prováděcí vyhlášku se podařilo dokončit a vydat až v říjnu t.r., účinnosti nabyla svým vyhlášením ve Sbírce dne 10.10.2001 (v částce 138/2001 jako č. 366/2001 Sb.).
Samotný obsah této vyhlášky se zabývá tím,
- jaké konkrétní podmínky mají splňovat poskytovatelé certifikačních služeb (par. 6 zákona), kteří chtějí vydávat tzv. kvalifikované certifikáty, včetně způsobu dokládání jejich splnění
- jaké požadavky splňovat musí nástroje elektronického podpisu, včetně postupu a způsobu vyhodnocování shody s těmito požadavky ("nástrojem" je to, co používá poskytovatel služeb)
- jaké konkrétní podmínky musí splňovat prostředky pro bezpečné vytváření a ověřování zaručeného elektronického podpisu (par. 17 zákona), včetně způsobu dokládání jejich splnění ("prostředkem" se rozumí to, co používá uživatel/zákazník)
Nabytím účinnosti této vyhlášky se otevřela cesta k tomu, aby poskytovatelé certifikačních služeb mohli začít vydávat tzv. kvalifikované certifikáty (certifikáty s náležitostmi dle zákona) - zde stačí oznámení Úřadu s 30-denním předstihem před vydáním prvního certifikátu. Seznam takovýchto poskytovatelů bude průběžně zveřejňován mj. na WWW serveru Úřadu, na adrese http://www.uoou.cz/ep_poskytovatele.php3 (a také ve věstníku Úřadu).
Stejně tak účinnost vyhlášky umožnila odstartovat celý proces akreditace poskytovatelů certifikačních služeb. V době psaní tohoto článku (počátkem listopadu) již nejméně jeden zájemce podal žádost o akreditaci, ale celým procesem akreditace dosud nikdo neprošel. Seznam akreditovaných poskytovatel certifikačních služeb bude průběžně zveřejňován na WWW serveru Úřadu, na adrese http://www.uoou.cz/ep_akreditace.php3 (a také ve věstníku Úřadu).
K čemu je nařízení vlády?
Ani samotný zákon o elektronickém podpisu, ani jeho prováděcí vyhláška explicitně neřeší konkrétní postupy při používání elektronických podpisů u orgánů veřejné moci (kromě požadavku na použití certifikátů od akreditovaných poskytovatelů). Tato problematika si vyžádala podrobnější rozpracování, jehož závěry bylo nutné "naordinovat" veřejné správě formou nařízení vlády. Jeho příprava se ukázala být podstatně náročnější než se původně očekávalo, a tak výsledné nařízení vlády (č. 304/2001) mohlo nabýt účinnosti až k 1.10.2001, tj. jen deset dní před prováděcí vyhláškou.
Zřejmě největší problém, se kterým se autoři vládního nařízení museli vyrovnat, byl "zpětný kanál", neboli komunikace směrem od orgánu veřejné správy k občanovi. V prvním návrhu vládního nařízení sice již bylo obsaženo doručování směrem k občanům (umožňující zaslat občanům výsledky jejich podání elektronickou cestou) a dokonce také předvolávání (i do vlastních rukou), ale nakonec musela být celá tato oblast z nařízení vyjmuta. Ukázalo se totiž, že je ve sporu s aktuálním zněním mnoha právních norem vyšší síly (zákonů), které explicitně vyžadují tradiční formu doručování a předvolávání - a vládní nařízení nemůže tyto jiné zákony vykládat, natož pak novelizovat. Místo toho musel být iniciován náročný proces novelizace příslušných zákonů, který nutně potrvá určitou dobu (kterou je těžké dopředu odhadnout).
V mezidobí, než se podaří tuto novelizaci dokončit, bylo nutné "ořezat" vládní nařízení tak, aby umožňovalo alespoň jednosměrnou komunikaci, směrem od občana k orgánům veřejné moci. V praxi to znamená, že po uvedení tohoto nařízení do života mohou občané zaslat svá podání na úřady v elektronické podobě, ale jejich výsledky budou občanům doručovány stále klasickou cestou, tj. na papíře.
Co jsou elektronické podatelny?
Nařízení vlády č. 304/2001 se kvůli omezení jen na jeden směr komunikace zaměřilo především na způsob, jakým mají konkrétní orgány veřejné moci přijímat podání občanů v elektronické formě. Konkrétně na zřizování tzv. elektronických podatelen, kterým nařízení vlády předepisuje konkrétní náležitosti co do jejich vybavení i fungování.
Mj. požaduje:
- aby podání zasílaná občany byla opatřena zaručeným elektronickým podpisem, vytvořeným s využitím kvalifikovaného certifikátu
- aby provozovatel (orgán veřejné moci) pověřil konkrétní své zaměstnance ověřováním zaručených el. podpisů, a tyto své zaměstnance vybavil kvalifikovanými certifikáty od akreditovaného poskytovatele
- aby bylo možné přejímat podání v elektronické formě i na nosiči dat
- zveřejnit datové formáty, které je podatelna schopna přijímat
Co tedy vlastně je taková elektronická podatelna? Rozhodně to nemusí být žádná nová budova, nová skupina úředníků, nový odbor atd. Elektronická podatelna vůbec nemusí být "hmotná", v tom smyslu že by bylo možné si na ni sáhnout, nebo někde najít její fyzické umístění - na rozdíl od klasické (papírové) podatelny, která musí být někde umístěna. Nejlépe je si představit, že podstatou elektronické podatelny je určité zdokonalení (zkvalitnění) způsobu, jakým úřad dosud pracuje s elektronickou poštou - říká totiž především to, jaké zásilky má přijímat a co a jak s nimi má dělat.
Z vnějšího pohledu, neboli z pohledu občana, se zřízení elektronické podatelny konkrétního orgánu veřejné moci může redukovat na zveřejnění určitých konkrétních údajů (mj. emailové adresy podatelny, jmen pracovníků pověřených ověřováním el. podpisů, výčtem přijímaných datových formátů, a místem a časem pro příjem podání na nosiči dat).
Obsah vládního nařízení však přináší i některé více či méně otevřené otázky. Proberme si je postupně, čímž získáme lepší přehled i o tom, co vlastně elektronické podatelny jsou a co naopak nejsou.
Kdo má zřizovat elektronické podatelny?
Vládní nařízení č. 304/2001 ve svém úvodu explicitně uvádí, na koho se povinnost zřídit a provozovat elektronickou podatelnu vztahuje:
- na ty subjekty, kterým zvláštní předpisy (mj. o správě daní a poplatků, o správním řízení a další) ukládají jako povinnost přijímat podání občanů elektronickou cestou, a dále
- na ty subjekty, kterým zvláštní předpis umožňuje činit úkony v elektronické podobě, podepsané elektronicky.
Okruh povinných subjektů je přitom ještě upřesněn tak, že jde o:
….. orgány veřejné moci, včetně územních samosprávných celků provádějících výkon státní správy v rámci přenesené působnosti ….
Jde tedy o vymezení nepřímé, které se odvolává na okruh působnosti jiných zákonů a nařízení. V současné době se ukazuje stále zřetelněji, že povinnost zřídit a provozovat elektronickou podatelnu se týká zřejmě úplně všech orgánů veřejné moci, včetně nejmenších obcí (např. již z titulu toho, že jsou účastny správního řízení). Otázkou ovšem je, zda jsou právě ty nejmenší obce a správní celky na něco takového připraveny.
Jak jsme si již naznačili výše, zřízení a provozování elektronické podatelny nemusí být nijak významněji náročné, ani na investice ani na personální zajištění - alespoň pro ty subjekty, které již používají elektronickou poštu a mají tudíž i nějaké připojení k Internetu. Právě to ale může být kámen úrazu pro nejmenší subjekty z oblasti veřejné správy, které elektronickou poštu nepoužívají a připojení k Internetu dosud nemají. Zde jim nařízení vlády takovéto připojení a používání elektronické pošty fakticky nařizuje.
Jaký typ certifikátu potřebuje občan?
Jinou zajímavou otázkou je to, jaký typ certifikátu potřebuje občan, pokud chce poslat své podání orgánu veřejné moci v elektronické podobě. V úvahu připadají dvě možnosti:
- kvalifikovaný certifikát
- kvalifikovaný certifikát vydaný akreditovaným poskytovatelem certifikačních služeb
Vládní nařízení č. 304/2001 v tomto ohledu explicitně neříká, který typ certifikátu je nutný resp. možný - zda stačí kvalifikovaný, nebo zda musí být navíc vydán akreditovaným poskytovatelem. Popisuje však způsob vyhodnocování přijímaných podání, kde hovoří pouze o kvalifikovaném certifikátu a nikoli o certifikátu od akreditovaného poskytovatele:
Orgány veřejné moci … organizují práce v elektronické podatelně tak, aby bylo zajištěno přijímání a odesílání datových zpráv a neprodlená kontrola, zejména zda přijaté podání v elektronické podobě je čitelné, zda je podepsala osoba uvedená na kvalifikovaném certifikátu a zda je certifikát platný;
Z toho (alespoň podle mé interpretace) vyplývá, že pro komunikaci směrem od občanů k orgánům veřejné moci nejsou nutné kvalifikované certifikáty vydané akreditovanými poskytovateli, ale postačují "obyčejné" kvalifikované certifikáty. To nutně souvisí s interpretací výše zmiňovaného paragrafu 11 zákona o el. podpisu, který říká že:
V oblasti orgánů veřejné moci je možné používat pouze zaručené elektronické podpisy a kvalifikované certifikáty vydávané akreditovanými poskytovateli certifikačních služeb.
Ze signálů, které se mi podařilo získat, vyplývá že autoři vládního nařízení hledali výklad termínu "v oblasti orgánů veřejné moci" a dospěli k závěru, že jde jen o přímý výkon této moci, do které spadá pouze komunikace směrem od orgánu k občanovi, a nikoli již obráceně, od občana k orgánu veřejné moci. Tomuto závěru pak odpovídá skutečnost, že pro úspěšné přijetí podání od občana není vyžadován podpis vytvořený s pomocí kvalifikovaného certifikátu od akreditovaného poskytovatele, ale stačí pouze "obyčejný" kvalifikovaný certifikát.
Praktické důsledky jsou takové, že občané budou mít větší volnost ve výběru poskytovatele, od kterého si pořídí certifikát. Lze totiž očekávat, že okruh poskytovatelů certifikačních služeb (certifikačních autorit) vydávajících "pouze" kvalifikované certifikáty bude širší než okruh akreditovaných poskytovatelů. Současně s tím je možné očekávat i výhodnější ekonomické podmínky pro občana (nižší náklady na certifikát). V neposlední řadě možnost vystačit s "obyčejným" kvalifikovaným certifikátem dává občanům možnost komunikovat s orgány státní správy ještě dříve, než vůbec skončí akreditace prvního poskytovatele a ten začne vydávat své certifikáty.
Jaký typ certifikátu potřebuje úřad?
Jestliže se nařízení vlády č. 304/2001 nezabývá komunikací směrem od orgánu veřejné moci k občanovi, pak se ani nemusí explicitně zabývat tím že úředníci potřebují kvalifikované certifikáty od akreditovaných poskytovatelů. Přesto ale je v nařízení následující explicitní požadavek:
Orgán veřejné moci …. pověří v souladu se svým organizačním řádem nebo jiným vnitřním organizačním opatřením zaměstnance vytvářením a ověřováním zaručených elektronických podpisů a vybaví je k tomu potřebnými prostředky a kvalifikovaným certifikátem vydaným akreditovaným poskytovatelem certifikačních služeb
Orgán veřejné moci …. zveřejní …. seznam kvalifikovaných certifikátů příslušných zaměstnanců nebo elektronické adresy, na nichž se kvalifikované certifikáty nacházejí
Zde tedy již je požadavek na certifikát od akreditovaného poskytovatele explicitně uveden, a je vhodné si vysvětlit, proč tomu tak je. Souvisí to jednak s budoucí komunikací obráceným směrem (od orgánu veřejné moci směrem k občanovi), ale svůj význam to má již dnes, při komunikaci směrem od občana k orgánu veřejné moci.
Když jsme si popisovali vlastnosti elektronického podpisu, chybělo mezi nimi zajištění důvěrnosti, neboli toho, že nikdo kromě oprávněného příjemce si nebude moci přečíst obsah zprávy (zde: podání občana, určené orgánu veřejné moci). Pravdou je, že elektronický podpis sám o sobě nic takového nezajišťuje. Nicméně technologie, na kterých je sám založen, to dokáží, vhodným zašifrováním zprávy. Podrobnější popis by byl opět na velmi dlouhé povídání, ale v prvním přiblížení lze vyjít z následující představy: potřebuje-li odesílající zašifrovat zprávu tak, aby ji nemohl dešifrovat nikdo jiný než oprávněný příjemce, jakoby ji "uzamkne", s použitím veřejného klíče příjemce. Díky vzájemné korespondenci veřejného a privátního klíče pak takto "zamknutá" (zašifrovaná) zpráva půjde "odemknout" (odšifrovat) pouze s příslušným privátním klíčem, ve výhradním držení oprávněného příjemce. Je to tedy v jistém smyslu přesně opačné než při elektronickém podepisování, kdy se odesílaná zpráva "uzamyká" privátním klíčem odesilatele (a odemyká veřejným klíčem odesilatele) - při šifrování se "uzamyká" veřejným klíčem příjemce, a "odemyká" privátním klíčem příjemce.
Jak to ale může fungovat v praxi? Je k tomu nutné, aby občan odesílající své podání v zašifrované podobě mohl získat veřejný klíč úředníka, který bude jeho podání přijímat. Tento klíč získá jako součást certifikátu příslušného úředníka - proto je každá elektronická podatelna musí zveřejnit.
Právě tento požadavek, tedy požadavek na zveřejnění certifikátů od akreditovaných poskytovatelů, však ve vládním nařízení poněkud předběhl dobu a způsobil jisté komplikace. Nařízení totiž platí od 1. října a ukládá příslušných subjektům zřizovat elektrické podatelny od tohoto data. Nicméně k 1. 10. 2001 ještě žádný akreditovaný poskytovatel certifikačních služeb neexistoval (kvůli absenci prováděcí vyhlášky, která nabyla účinnosti 10.10.2001, a kvůli dosud nedokončenému procesu akreditace). Proto některé subjekty veřejné moci své elektronické podatelny nezřídily vůbec, zatímco jiné je sice zřídily, ale ve zvláštně modifikované podobě (například zcela bez možnosti používat elektronické podpisy).
Co říká standard ÚVIS?
Vládní nařízení č. 304/2001 počítá také s tím, že fungování elektronických podatelen upřesní ještě specifický standard který vydá ÚVIS (Úřad pro veřejné informační systémy). Tento standard je zatím k dispozici jen v návrhu (lze jej nalézt např. na adrese http://www.epodatelna.cz). Jediné, co tento návrh fakticky přináší navíc oproti požadavkům samotného zákona a nařízení vlády, je konkrétní postup podatelny při příjmu elektronicky podepsané zásilky. Pokud je tato přinesena na datovém nosiči, elektronická podatelna vystaví doručiteli potvrzení o převzetí v papírové podobě. Pokud je nosič zaslán běžnou listovní poštou, je toto potvrzení zasláno zpět také listovní poštou. U podání doručených elektronickou poštou je příslušné potvrzení zasláno zpět elektronickou poštou (pokud si odesilatel nezvolil jinak), a to s elektronickým podpisem pracovníka podatelny. K tomu ale již je zapotřebí, aby pracovník elektronické podatelny byl vybaven kvalifikovaným certifikátem od akreditovaného poskytovatele certifikačních služeb.
Otázka datových formátů
Pro fungování elektronických podatelen je nesmírně důležité, aby dokázaly přečíst obsah konkrétních podání, která skrz ně občané podávají. Zde se přitom nejedná zdaleka jen o "čitelnost" v technickém slova smyslu (např. o to, aby obsah diskety vůbec bylo možné načíst), ale zejména o to, aby příjemce dokázal správně interpretovat obsah souboru, který mu je zaslán či předán. Za tímto účelem nařízení vlády č. 304/2001 požaduje, aby každá podatelna zveřejnila seznam datových formátů, která je schopna/ochotna přijímat.
Dosud zřízené podatelny jsou nejčastěji ochotny přijímat formáty MS Wordu a MS Excelu, a kromě nich například i čisté texty bez formátování či formát PDF a další. Na Internetu se však po prvních oznámeních rozproudila živá diskuse o tom, zda právě formáty MS Wordu a MS Excelu jsou pro tento účel vhodné. Jejich vnitřní struktura sice není utajována, ale její specifikace nejsou snadno dostupné. Hlavně ale tyto formáty mohou obsahovat značné množství redundantních a skrytých informací (například zbytků po dřívějších editacích, již smazaný text apod.), u kterých nemusí být jasné zda mají tvořit součást "řádného obsahu" a mají být příjemcem reflektovány či nikoli. Z obdobného důvodu je problematická například otázka neviditelného textu (bílého písma na bílém pozadí atd.).
Osobně se domnívám, že otázka datových formátů je zralá na důkladnou diskusi.
Provozní doba elektronických podatelen
U elektronických podatelen nemá z principiálních důvodů smysl mluvit o provozní době, resp. o otevírací a zavírací době - elektronické podatelny jsou schopny přijímat zprávy elektronické pošty trvale, 24 hodin denně, 7 dní v týdnu, 365 dnů v roce. To se ale týká doručování zpráv do elektronické poštovní schránky, která odpovídá elektronické podatelně. Jinou otázkou je výběr této schránky a zpracování došlých zpráv. Zde již může záležet na konkrétní pracovní době konkrétních úředníků. Proto zde nařízení vlády stanovuje jako minimální požadavek vybírání takovéto schránky a odeslání připravených zásilek alespoň dvakrát denně (nejméně na počátku a před koncem pracovní doby).
Co s podáním na nosiči dat?
Provozní doba se sice netýká podávání elektronických podání elektronickou poštou, ale týká se již případu, kdy se občan rozhodne doručit své podání na datovém nosiči (například na disketě, na CD apod.). V takovém případě potřebuje vědět, kam má nosič doručit (a také kdy je tak možné učinit). Zřizovatelé elektronických podatelen by tedy měli příslušné místo a provozní dobu zveřejnit.
Jak vypadá elektronická podatelna?
Jak jsme si již naznačili výše, z pohledu orgánu veřejné správy nemusí být zřízení elektronické podatelny příliš složité a náročné, neboť v zásadě jde "jen" o přechod na používání elektronických podpisů v rámci elektronické pošty. To může vyžadovat určitý upgrade používaného programového vybavení, získání potřebných certifikátů, a v neposlední řadě (spíše v první řadě) zaškolení personálu. Může se však jednat i o rozsáhlejší změny a investice, například pokud si orgán veřejné moci současně pořídí i nějakou agendu na další zpracování takto přijatých podání.
Z druhé strany, z pohledu občanů, jsou elektronické podatelny "viditelné" zejména jako emailové adresy, na které mají uživatelé posílat své podání v elektronické podobě - plus určité dodatečné informace typu přijímaných datových formátů atd., viz výše. Takže vše, co je "zvenku" vidět o konkrétní elektrické podatelně, může být jen poměrně strohá informační www stránka s potřebnými údaji - viz obrázek (sem vložit odkaz na ilustrační WWW stránky).