Ustawaz dnia 5 września 2016 r.o usługach zaufania oraz identyfikacji elektronicznej 1)Niniejsza ustawa służy stosowaniu rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73). Spis treści Treść ustawy Rozdział 1 - Przepisy ogólne Rozdział 2 - Krajowa infrastruktura zaufania Rozdział 3 - Działalność dostawców usług zaufania Rozdział 4 - Identyfikacja elektroniczna Rozdział 5 - Nadzór nad dostawcami usług zaufania Rozdział 6 - Przepisy karne Rozdział 7 - Przepisy o karach pieniężnych Rozdział 8 - Zmiany w przepisach Rozdział 9 - Przepisy przejściowe Rozdział 10 - Przepisy końcowe Treść ustawy 2)Niniejszą ustawą zmienia się ustawy: ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, ustawę z dnia 23 kwietnia 1964 r. - Kodeks cywilny, ustawę z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego, ustawę z dnia 17 czerwca 1966 r. o postępowaniu egzekucyjnym w administracji, ustawę z dnia 26 maja 1982 r. - Prawo o adwokaturze, ustawę z dnia 6 lipca 1982 r. o radcach prawnych, ustawę z dnia 15 listopada 1984 r. o podatku rolnym, ustawę z dnia 8 marca 1990 r. o samorządzie gminnym, ustawę z dnia 12 stycznia 1991 r. o podatkach i opłatach lokalnych, ustawę z dnia 14 lutego 1991 r. - Prawo o notariacie, ustawę z dnia 6 grudnia 1996 r. o zastawie rejestrowym i rejestrze zastawów, ustawę z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym, ustawę z dnia 21 sierpnia 1997 r. o gospodarce nieruchomościami, ustawę z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa, ustawę z dnia 29 sierpnia 1997 r. - Prawo bankowe, ustawę z dnia 4 września 1997 r. o działach administracji rządowej, ustawę z dnia 5 czerwca 1998 r. o samorządzie powiatowym, ustawę z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych, ustawę z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, ustawę z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym, ustawę z dnia 20 lipca 2000 r. o ogłaszaniu aktów normatywnych i niektórych innych aktów prawnych, ustawę z dnia 15 września 2000 r. - Kodeks spółek handlowych, ustawę z dnia 29 listopada 2000 r. - Prawo atomowe, ustawę z dnia 11 kwietnia 2001 r. o rzecznikach patentowych, ustawę z dnia 22 czerwca 2001 r. o wykonywaniu działalności gospodarczej w zakresie wytwarzania i obrotu materiałami wybuchowymi, bronią, amunicją oraz wyrobami i technologią o przeznaczeniu wojskowym lub policyjnym, ustawę z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych, ustawę z dnia 27 lipca 2001 r. o diagnostyce laboratoryjnej, ustawę z dnia 6 września 2001 r. o transporcie drogowym, ustawę z dnia 6 września 2001 r. - Prawo farmaceutyczne, ustawę z dnia 21 czerwca 2002 r. o materiałach wybuchowych przeznaczonych do użytku cywilnego, ustawę z dnia 18 lipca 2002 r. o świadczeniu usług drogą elektroniczną, ustawę z dnia 30 października 2002 r. o podatku leśnym, ustawę z dnia 28 lutego 2003 r. - Prawo upadłościowe, ustawę z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym, ustawę z dnia 11 kwietnia 2003 r. o kształtowaniu ustroju rolnego, ustawę z dnia 28 listopada 2003 r. o świadczeniach rodzinnych, ustawę z dnia 28 listopada 2003 r. o wspieraniu rozwoju obszarów wiejskich ze środków pochodzących z Sekcji Gwarancji Europejskiego Funduszu Orientacji i Gwarancji Rolnej, ustawę z dnia 29 stycznia 2004 r. - Prawo zamówień publicznych, ustawę z dnia 11 marca 2004 r. o podatku od towarów i usług, ustawę z dnia 19 marca 2004 r. - Prawo celne, ustawę z dnia 20 kwietnia 2004 r. o organizacji rynku mleka i przetworów mlecznych, ustawę z dnia 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy, ustawę z dnia 2 lipca 2004 r. o swobodzie działalności gospodarczej, ustawę z dnia 16 lipca 2004 r. - Prawo telekomunikacyjne, ustawę z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ustawę z dnia 25 listopada 2004 r. o zawodzie tłumacza przysięgłego, ustawę z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, ustawę z dnia 8 lipca 2005 r. o Prokuratorii Generalnej Skarbu Państwa, ustawę z dnia 29 lipca 2005 r. o systemie tachografów cyfrowych, ustawę z dnia 25 sierpnia 2006 r. o bezpieczeństwie żywności i żywienia, ustawę z dnia 7 marca 2007 r. o wspieraniu rozwoju obszarów wiejskich z udziałem środków Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich w ramach Programu Rozwoju Obszarów Wiejskich na lata 2007-2013, ustawę z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów, ustawę z dnia 10 lipca 2008 r. o odpadach wydobywczych, ustawę z dnia 3 października 2008 r. o udostępnianiu informacji o środowisku i jego ochronie, udziale społeczeństwa w ochronie środowiska oraz o ocenach oddziaływania na środowisko, ustawę z dnia 25 czerwca 2009 r. o rolnictwie ekologicznym, ustawę z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych, ustawę z dnia 20 maja 2010 r. o wyrobach medycznych, ustawę z dnia 6 sierpnia 2010 r. o dowodach osobistych, ustawę z dnia 5 stycznia 2011 r. o kierujących pojazdami, ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, ustawę z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych, ustawę z dnia 14 grudnia 2012 r. o odpadach, ustawę z dnia 10 stycznia 2014 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw, ustawę z dnia 14 marca 2014 r. o zasadach prowadzenia zbiórek publicznych, ustawę z dnia 11 lipca 2014 r. o zasadach realizacji programów w zakresie polityki spójności finansowanych w perspektywie finansowej 2014-2020, ustawę z dnia 11 lipca 2014 r. o petycjach, ustawę z dnia 28 listopada 2014 r. - Prawo o aktach stanu cywilnego, ustawę z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny, ustawę z dnia 5 lutego 2015 r. o płatnościach w ramach systemów wsparcia bezpośredniego, ustawę z dnia 20 lutego 2015 r. o wspieraniu rozwoju obszarów wiejskich z udziałem środków Europejskiego Funduszu Rolnego na rzecz Rozwoju Obszarów Wiejskich w ramach Programu Rozwoju Obszarów Wiejskich na lata 2014-2020, ustawę z dnia 20 lutego 2015 r. o odnawialnych źródłach energii, ustawę z dnia 15 maja 2015 r. o substancjach zubożających warstwę ozonową oraz o niektórych fluorowanych gazach cieplarnianych, ustawę z dnia 15 maja 2015 r. - Prawo restrukturyzacyjne, ustawę z dnia 12 czerwca 2015 r. o systemie handlu uprawnieniami do emisji gazów cieplarnianych, ustawę z dnia 25 czerwca 2015 r. - Prawo konsularne, ustawę z dnia 9 października 2015 r. o wykonywaniu Umowy między Rządem Rzeczypospolitej Polskiej a Rządem Stanów Zjednoczonych Ameryki w sprawie poprawy wypełniania międzynarodowych obowiązków podatkowych oraz wdrożenia ustawodawstwa FATCA, ustawę z dnia 9 października 2015 r. o zmianie ustawy o systemie informacji w ochronie zdrowia oraz niektórych innych ustaw, ustawę z dnia 28 stycznia 2016 r. - Prawo o prokuraturze, ustawę z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci, ustawę z dnia 13 kwietnia 2016 r. o systemach oceny zgodności i nadzoru rynku, ustawę z dnia 22 czerwca 2016 r. o zmianie ustawy - Prawo zamówień publicznych oraz niektórych innych ustaw oraz uchyla się ustawę z dnia 18 września 2001 r. o podpisie elektronicznym. Rozdział 1 Przepisy ogólne Art. 1. 1. Ustawa określa: 1) krajową infrastrukturę zaufania; 2) działalność dostawców usług zaufania, w tym zawieszanie certyfikatów podpisów elektronicznych i pieczęci elektronicznych; 3) tryb notyfikacji krajowego systemu identyfikacji elektronicznej; 4) nadzór nad dostawcami usług zaufania. 2. Przepisów ustawy nie stosuje się do identyfikacji elektronicznej lub świadczenia usług zaufania wykorzystywanych wyłącznie w zamkniętych systemach wynikających z przepisów prawa, porozumień lub umów zawartych przez określoną grupę uczestników. Rozdział 2 Krajowa infrastruktura zaufania Art. 2. Minister właściwy do spraw informatyzacji zapewnia funkcjonowanie krajowej infrastruktury zaufania, która obejmuje: 1) rejestr dostawców usług zaufania, zwany dalej „rejestrem”; 2) zaufaną listę; 3) narodowe centrum certyfikacji. Art. 3. 1. Rejestr jest prowadzony w postaci elektronicznej. 2. Rejestr jest jawny. Każdy ma prawo dostępu do danych zawartych w rejestrze. 3. Do rejestru wpisuje się dostawców usług zaufania, którzy mają siedzibę lub oddział na terytorium Rzeczypospolitej Polskiej, oraz usługi zaufania świadczone przez tych dostawców. 4. Do rejestru wpisuje się: 1) imię i nazwisko lub firmę (nazwę) dostawcy usług zaufania; 2) adres siedziby i miejsca wykonywania działalności; 3) numer w Krajowym Rejestrze Sądowym - w przypadku dostawców usług zaufania podlegających wpisowi do tego rejestru; 4) numer identyfikacji podatkowej; 5) nazwę polityki świadczenia usług; 6) rodzaj świadczonych usług zaufania; 7) datę rozpoczęcia świadczenia usługi zaufania; 8) datę zakończenia świadczenia usługi zaufania; 9) informację o wystawionych certyfikatach, o których mowa w art. 10 ust. 1 pkt 1; 10) nazwę i adres zakładu ubezpieczeń, z którym dostawca usług zaufania zawarł umowę ubezpieczenia, okres, na jaki umowa ta została zawarta, oraz sumę ubezpieczenia; 11) informacje o zamiarze zaprzestania prowadzenia działalności w zakresie świadczenia usług zaufania lub zamiarze ograniczenia zakresu świadczonych usług zaufania; 12) informacje o otwarciu likwidacji dostawcy usług zaufania oraz datę jego likwidacji; 13) informacje o ogłoszeniu upadłości dostawcy usług zaufania lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe (Dz. U. z 2015 r. poz. 233, z późn. zm.3)Zmiany tekstu jednolitego wymienionej ustawy zostały ogłoszone w Dz. U. z 2015 r. poz. 978, 1166, 1259 i 1844 oraz z 2016 r. poz. 615, 996 i 1579.) oraz datę zakończenia postępowania upadłościowego; 14) datę wykreślenia z rejestru dostawcy usług zaufania. Art. 4. 1. Wpis do rejestru: 1) dostawcy usług zaufania, który zamierza świadczyć kwalifikowane usługi zaufania, lub 2) kwalifikowanej usługi zaufania - następuje na wniosek dostawcy usług zaufania. 2. Wniosek o wpis, o którym mowa w ust. 1, zawiera dane i informacje, o których mowa w art. 3 ust. 4 pkt 1-7. 3. Minister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej formularz wniosku o wpis, o którym mowa w ust. 1. 4. Do wniosku o wpis, o którym mowa w ust. 1, dołącza się, w postaci elektronicznej: 1) raport z oceny zgodności, o którym mowa w art. 21 rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego dyrektywę 1999/93/WE (Dz. Urz. UE L 257 z 28.08.2014, str. 73), zwanego dalej „rozporządzeniem 910/2014”, wydany przez jednostkę oceniającą zgodność; 2) politykę świadczenia usług objętych wnioskiem, zgodnie z którą mają być świadczone usługi zaufania; 3) plan zakończenia działalności, o którym mowa w art. 24 ust. 2 lit. i rozporządzenia 910/2014; 4) dane niezbędne do wystawienia certyfikatu, o którym mowa w art. 10 ust. 1 pkt 1. 5. Do wniosku o wpis, o którym mowa w ust. 1, można dołączyć kopie dokumentów, o których mowa w ust. 4 pkt 1-3. 6. Minister właściwy do spraw informatyzacji, po rozpatrzeniu wniosku, o którym mowa w ust. 1, wydaje decyzję o wpisie: 1) dostawcy usług zaufania i świadczonych przez niego usług zaufania do rejestru, jeżeli spełniają wymagania określone w przepisach o usługach zaufania; 2) kwalifikowanej usługi zaufania do rejestru, w przypadku gdy usługa spełnia wymagania określone w przepisach o usługach zaufania. 7. Decyzja o wpisie, o której mowa w ust. 6, zawiera informacje podlegające wpisowi do rejestru. Art. 5. 1. Decyzja, o której mowa w art. 4 ust. 6, jest podstawą do wydania certyfikatu, o którym mowa w art. 10 ust. 1 pkt 1, oraz dokonania wpisu na zaufaną listę i oznacza nadanie statusu kwalifikowanego dostawcy usług zaufania lub świadczonej przez niego usłudze. 2. Minister właściwy do spraw informatyzacji prowadzi zaufaną listę. Art. 6. 1. Wpis do rejestru: 1) niekwalifikowanego dostawcy usług zaufania lub 2) niekwalifikowanej usługi zaufania - następuje na podstawie zgłoszenia przesłanego w postaci elektronicznej przez dostawcę usług zaufania. 2. Niekwalifikowany dostawca usług zaufania w zgłoszeniu, o którym mowa w ust. 1, zgłasza co najmniej informacje, o których mowa w art. 3 ust. 4 pkt 1-6. Art. 7. Dostawca usług zaufania wpisany do rejestru jest obowiązany informować ministra właściwego do spraw informatyzacji o: 1) każdej zmianie danych wpisanych do rejestru - w terminie 14 dni od zmiany tych danych; 2) zamiarze zaprzestania świadczenia kwalifikowanych usług zaufania, otwarciu jego likwidacji, ogłoszeniu jego upadłości lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe - niezwłocznie. Art. 8. 1. Minister właściwy do spraw informatyzacji wykreśla kwalifikowanego dostawcę usług zaufania lub świadczoną przez niego kwalifikowaną usługę zaufania z rejestru w drodze decyzji. 2. Decyzja o wykreśleniu z rejestru kwalifikowanego dostawcy usług zaufania oznacza odebranie statusu kwalifikowanego temu dostawcy. 3. Decyzja o wykreśleniu z rejestru kwalifikowanej usługi zaufania oznacza odebranie tej usłudze statusu kwalifikowanego. 4. Minister właściwy do spraw informatyzacji wydaje decyzję o wykreśleniu z rejestru kwalifikowanego dostawcy usług zaufania lub świadczonej przez niego kwalifikowanej usługi zaufania w przypadku: 1) złożenia przez tego dostawcę wniosku o wykreślenie z rejestru; 2) wykorzystywania certyfikatów, o których mowa w art. 10 ust. 1 pkt 1, w sposób wykraczający poza zakres ich stosowania; 3) o którym mowa w art. 20 ust. 3 rozporządzenia 910/2014; 4) zaprzestania działalności przez kwalifikowanego dostawcę usług zaufania. 5. Decyzja o wykreśleniu, o której mowa w ust. 1, jest podstawą wykreślenia dostawcy usług zaufania z zaufanej listy oraz może być podstawą do unieważnienia certyfikatów, o których mowa w art. 10 ust. 1 pkt 1. 6. Minister właściwy do spraw informatyzacji wykreśla niekwalifikowanego dostawcę usług zaufania z rejestru w przypadku ustalenia, że zaprzestał on świadczenia usług zaufania. Art. 9. 1. Decyzja o wykreśleniu kwalifikowanego dostawcy usług zaufania z rejestru oraz decyzja o wykreśleniu wpisu kwalifikowanej usługi zaufania z rejestru podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi (Dz. U. z 2016 r. poz. 718, 846 i 996) nie stosuje się. 2. W przypadku wykreślenia dostawcy usług zaufania z rejestru w rejestrze pozostawia się informacje o dostawcy i świadczonych przez niego usługach. Art. 10. 1. Narodowe centrum certyfikacji: 1) tworzy i wydaje kwalifikowanym dostawcom usług zaufania certyfikaty służące do weryfikacji zaawansowanych podpisów elektronicznych lub pieczęci elektronicznych, o których mowa w załączniku I lit. g, załączniku III lit. g i załączniku IV lit. h do rozporządzenia 910/2014, oraz certyfikatów służących do weryfikacji innych usług zaufania świadczonych przez kwalifikowanych dostawców, zwanych dalej „certyfikatami dostawcy usług zaufania”; 2) publikuje certyfikaty, o których mowa w pkt 1; 3) publikuje listy unieważnionych certyfikatów, o których mowa w pkt 1; 4) tworzy dane do opatrywania pieczęcią elektroniczną certyfikatów, o których mowa w pkt 1, oraz certyfikatów do weryfikacji tych pieczęci, zwanych dalej „certyfikatami narodowego centrum certyfikacji”. 2. Narodowe centrum certyfikacji realizuje zadania, o których mowa w ust. 1, zgodnie z polityką certyfikacji. Art. 11. 1. Na wniosek Prezesa Narodowego Banku Polskiego, minister właściwy do spraw informatyzacji może upoważnić Narodowy Bank Polski do realizacji zadań, o których mowa w art. 10, jak również do prowadzenia rejestru i zaufanej listy. 2. W przypadku upoważnienia do realizacji zadań, o których mowa w art. 10, polityka certyfikacji narodowego centrum certyfikacji podlega uzgodnieniu z ministrem właściwym do spraw informatyzacji. 3. W przypadku upoważnienia do realizacji zadań, o których mowa w art. 10, minister właściwy do spraw informatyzacji przekazuje do Narodowego Banku Polskiego kopie dokumentów stanowiących podstawę wpisu do rejestru lub wykreślenia z rejestru albo zmian wpisów w rejestrze. Art. 12. Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia: 1) wymagania organizacyjno-techniczne krajowej infrastruktury zaufania, 2) szczegółową treść wpisów w rejestrze oraz sposób ich dokonywania, 3) tryb wydawania i unieważniania certyfikatów dostawcy usług zaufania oraz certyfikatów narodowego centrum certyfikacji, 4) wymagania dla polityki certyfikacji narodowego centrum certyfikacji, 5) wymagania bezpieczeństwa krajowej infrastruktury zaufania - uwzględniając konieczność zapewnienia ochrony tajemnicy przedsiębiorstwa i interesów odbiorców usług zaufania oraz interoperacyjność systemów stosowanych przez dostawców usług zaufania oraz krajową infrastrukturę zaufania. Rozdział 3 Działalność dostawców usług zaufania Art. 13. 1. Kwalifikowany dostawca usług zaufania jest obowiązany zawrzeć umowę ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone odbiorcom usług zaufania powstałe w okresie świadczenia usług zaufania, w terminie 30 dni od dnia dokonania wpisu kwalifikowanej usługi zaufania do rejestru, nie później niż jeden dzień przed dniem rozpoczęcia świadczenia tej usługi. 2. Kwalifikowany dostawca usług zaufania jest obowiązany, w terminie 30 dni od dnia doręczenia decyzji o wpisie do rejestru, przekazać ministrowi właściwemu do spraw informatyzacji, drogą elektroniczną, kopię umowy, o której mowa w ust. 1. 3. Kwalifikowany dostawca usług zaufania jest obowiązany, w terminie 7 dni od dnia upływu okresu ubezpieczenia, przekazać ministrowi właściwemu do spraw informatyzacji, drogą elektroniczną, kopię kolejnej umowy ubezpieczenia. 4. Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, szczegółowy zakres ubezpieczenia, o którym mowa w ust. 1, oraz minimalną sumę gwarancyjną, uwzględniając specyfikę działalności prowadzonej przez kwalifikowanych dostawców usług zaufania. Art. 14. Kwalifikowany dostawca usług zaufania, wydając kwalifikowany certyfikat podpisu elektronicznego, jest obowiązany: 1) uzyskać od osoby ubiegającej się o certyfikat potwierdzenie przyporządkowania do niej danych służących do weryfikacji podpisu elektronicznego, które są zawarte w wydanym certyfikacie; 2) poinformować osobę ubiegającą się o certyfikat o procedurze zgłaszania żądań unieważnienia kwalifikowanego certyfikatu. Art. 15. 1. Informacje i dane związane ze świadczeniem usług zaufania, których ujawnienie mogłoby narazić na szkodę dostawcę usług zaufania lub odbiorcę usług zaufania, w szczególności dane do składania podpisów elektronicznych lub pieczęci elektronicznych, są objęte tajemnicą. 2. Tajemnicą, o której mowa w ust. 1, nie są objęte informacje o naruszeniach przepisów o usługach zaufania przez dostawcę usług zaufania oraz informacje o naruszeniach bezpieczeństwa i utracie integralności, o których mowa w art. 19 ust. 2 rozporządzenia 910/2014. 3. Do zachowania tajemnicy, o której mowa w ust. 1, są obowiązane: 1) osoby pozostające z dostawcą usług zaufania w stosunku pracy, zlecenia lub innym stosunku prawnym o podobnym charakterze; 2) osoby pozostające z podmiota