Ustawaz dnia 5 lipca 2018 r.o zmianie ustawy o usługach zaufania oraz identyfikacji elektronicznej oraz niektórych innych ustaw 1)Niniejszą ustawą zmienia się ustawy: ustawę z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego, ustawę z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego, ustawę z dnia 6 kwietnia 1990 r. o Policji, ustawę z dnia 12 października 1990 r. o Straży Granicznej, ustawę z dnia 21 czerwca 1996 r. o szczególnych formach sprawowania nadzoru przez ministra właściwego do spraw wewnętrznych, ustawę z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty, ustawę z dnia 20 czerwca 1997 r. - Prawo o ruchu drogowym, ustawę z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym, ustawę z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa, ustawę z dnia 4 września 1997 r. o działach administracji rządowej, ustawę z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych, ustawę z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego w razie choroby i macierzyństwa, ustawę z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym, ustawę z dnia 15 września 2000 r. - Kodeks spółek handlowych, ustawę z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych, ustawę z dnia 27 lipca 2001 r. o diagnostyce laboratoryjnej, ustawę z dnia 24 sierpnia 2001 r. o Żandarmerii Wojskowej i wojskowych organach porządkowych, ustawę z dnia 6 września 2001 r. o transporcie drogowym, ustawę z dnia 6 września 2001 r. - Prawo farmaceutyczne, ustawę z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji Wywiadu, ustawę z dnia 21 czerwca 2002 r. o materiałach wybuchowych przeznaczonych do użytku cywilnego, ustawę z dnia 28 lutego 2003 r. - Prawo upadłościowe, ustawę z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym, ustawę z dnia 28 listopada 2003 r. o świadczeniach rodzinnych, ustawę z dnia 19 marca 2004 r. - Prawo celne, ustawę z dnia 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy, ustawę z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych ze środków publicznych, ustawę z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, ustawę z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym, ustawę z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu Wojskowego, ustawę z dnia 8 września 2006 r. o Państwowym Ratownictwie Medycznym, ustawę z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów, ustawę z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych, ustawę z dnia 24 września 2010 r. o ewidencji ludności, ustawę z dnia 5 stycznia 2011 r. o kierujących pojazdami, ustawę z dnia 4 lutego 2011 r. o opiece nad dziećmi w wieku do lat 3, ustawę z dnia 15 kwietnia 2011 r. o systemie informacji oświatowej, ustawę z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia, ustawę z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego przeznaczenia żywieniowego oraz wyrobów medycznych, ustawę z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej, ustawę z dnia 15 lipca 2011 r. o zawodach pielęgniarki i położnej, ustawę z dnia 14 grudnia 2012 r. o odpadach, ustawę z dnia 10 stycznia 2014 r. o zmianie ustawy o informatyzacji działalności podmiotów realizujących zadania publiczne oraz niektórych innych ustaw, ustawę z dnia 14 marca 2014 r. o zasadach prowadzenia zbiórek publicznych, ustawę z dnia 11 lipca 2014 r. o zasadach realizacji programów w zakresie polityki spójności finansowanych w perspektywie finansowej 2014-2020, ustawę z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny, ustawę z dnia 20 lutego 2015 r. o odnawialnych źródłach energii, ustawę z dnia 15 maja 2015 r. - Prawo restrukturyzacyjne, ustawę z dnia 15 maja 2015 r. o substancjach zubożających warstwę ozonową oraz o niektórych fluorowanych gazach cieplarnianych, ustawę z dnia 25 czerwca 2015 r. - Prawo konsularne, ustawę z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci, ustawę z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej, ustawę z dnia 15 grudnia 2016 r. o Prokuratorii Generalnej Rzeczypospolitej Polskiej, ustawę z dnia 24 lutego 2017 r. o uzyskiwaniu tytułu specjalisty w dziedzinach mających zastosowanie w ochronie zdrowia, ustawę z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej, ustawę z dnia 24 listopada 2017 r. o zmianie ustawy o odpadach oraz niektórych innych ustaw, ustawę z dnia 8 grudnia 2017 r. o Służbie Ochrony Państwa oraz ustawę z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy. Treść ustawy Art. 1. W ustawie z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej (Dz. U. poz. 1579 oraz z 2018 r. poz. 650) wprowadza się następujące zmiany: 1) w art. 1 w ust. 1 w pkt 4 kropkę zastępuje się średnikiem i dodaje się pkt 5 i 6 w brzmieniu: „ 5) krajowy schemat identyfikacji elektronicznej; 6) nadzór nad krajowym schematem identyfikacji elektronicznej. ” ; 2) tytuł rozdziału 4 otrzymuje brzmienie: „ Krajowy schemat identyfikacji elektronicznej ” ; 3) w rozdziale 4 dodaje się art. 21a-21z w brzmieniu: „ Art. 21a. 1. Krajowy schemat identyfikacji elektronicznej obejmuje: 1) węzeł krajowy identyfikacji elektronicznej, zwany dalej „węzłem krajowym”; 2) przyłączone do węzła krajowego: a) systemy identyfikacji elektronicznej, w których wydawane są środki identyfikacji elektronicznej, b) systemy teleinformatyczne, w których udostępniane są usługi online; 3) węzeł wykorzystywany w procesie transgranicznego uwierzytelniania osób, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, zwany dalej „węzłem transgranicznym”. 2. Węzeł krajowy jest rozwiązaniem organizacyjno-technicznym umożliwiającym uwierzytelnianie użytkownika systemu teleinformatycznego, korzystającego z usługi online, z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej przyłączonym do tego węzła bezpośrednio albo za pośrednictwem węzła transgranicznego. 3. Wykorzystywanie środka identyfikacji elektronicznej do uwierzytelnienia użytkownika systemu teleinformatycznego w celu realizacji usługi online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne (Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000 i 1544), lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, jest nieodpłatne. 4. Uwierzytelnienie użytkownika systemu teleinformatycznego w celu realizacji usługi online wymaga użycia środka identyfikacji elektronicznej na poziomie bezpieczeństwa określonym przez podmiot świadczący tę usługę. 5. Funkcjonowanie węzła krajowego zapewnia minister właściwy do spraw informatyzacji. 6. Minister właściwy do spraw informatyzacji przetwarza dane osobowe osób, którym wydano środki identyfikacji elektronicznej, obejmujące: 1) imię (imiona), 2) nazwisko, 3) nazwisko rodowe, 4) numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej, o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, 5) datę urodzenia, 6) miejsce urodzenia, 7) płeć, 8) adres zamieszkania - w celu uwierzytelnienia z wykorzystaniem węzła krajowego. Art. 21b. 1. Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po: 1) potwierdzeniu spełnienia przez ten system wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie, określonych w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014; 2) przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających interoperacyjność systemów identyfikacji elektronicznej, z uwzględnieniem przepisów wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014; 3) zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne; 4) przedstawieniu przez podmiot odpowiedzialny za ten system dokumentu zawierającego przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy; 5) przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu tego podmiotu zgodnie z przepisami o ochronie danych osobowych; 6) uzyskaniu pozytywnej opinii Szefa Agencji Bezpieczeństwa Wewnętrznego w przypadku, o którym mowa w art. 21g ust. 6. 2. Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje pod warunkiem dostarczenia ministrowi właściwemu do spraw informatyzacji przez podmiot odpowiedzialny za system identyfikacji elektronicznej, w terminie wskazanym przez tego ministra, nie krótszym niż 30 dni, kopii umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy. 3. Po spełnieniu warunku, o którym mowa w ust. 2, przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje bez zbędnej zwłoki. Art. 21c. 1. Ubezpieczeniem, o którym mowa w art. 21b ust. 2, jest objęta odpowiedzialność cywilna podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkodę wynikającą z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej, w usłudze online świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej. 2. Ubezpieczenie, o którym mowa w art. 21b ust. 2, nie obejmuje szkód: 1) wyrządzonych przez ubezpieczonego po dniu wydania ostatecznej decyzji o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego, chyba że szkoda jest następstwem działania lub zaniechania, które miało miejsce w okresie przyłączenia do węzła krajowego, 2) polegających na zapłacie kar umownych, 3) powstałych wskutek siły wyższej - chyba że w umowie ubezpieczenia zakres ochrony ubezpieczeniowej zostanie rozszerzony również o szkody wynikające ze zdarzeń wskazanych w pkt 1-3. 3. Ubezpieczenie, o którym mowa w art. 21b ust. 2, obejmuje wszystkie szkody w zakresie, o którym mowa w ust. 1 i 2, bez możliwości umownego ograniczenia odpowiedzialności przez zakład ubezpieczeń. Art. 21d. 1. Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi, w drodze rozporządzenia, minimalną sumę gwarancyjną ubezpieczenia, o którym mowa w art. 21b ust. 2, za szkody wynikające z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. I ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowane przez awarie, przerwy lub błędy systemu lub przez zaciągnięcie zobowiązań w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, uwzględniając specyfikę działalności prowadzonej przez podmioty odpowiedzialne za systemy identyfikacji elektronicznej. 2. Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym do spraw informatyzacji określi, w drodze rozporządzenia, wysokość kwot odpowiedzialności podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkody wynikające z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014, spowodowane przez awarie, przerwy lub błędy systemu lub za zobowiązanie zaciągnięte w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, w zależności od poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie. Art. 21e. 1. Osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, jest obowiązana: 1) korzystać ze środka identyfikacji elektronicznej zgodnie z warunkami określonymi przez podmiot odpowiedzialny za system identyfikacji elektronicznej, w którym został wydany ten środek; 2) zgłaszać niezwłocznie podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej, w którym został wydany ten środek, utratę, kradzież, przywłaszczenie środka identyfikacji elektronicznej lub utratę wyłącznej kontroli nad danymi umożliwiającymi identyfikację przy użyciu tego środka albo stwierdzenie nieuprawnionego użycia środka identyfikacji elektronicznej. 2. W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, z chwilą wydania tego środka podejmuje niezbędne działania służące zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego środka lub danych umożliwiających identyfikację przy użyciu tego środka. Art. 21f. W przypadku zgłoszenia, o którym mowa w art. 21e ust. 1 pkt 2, osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego, po dokonaniu zgłoszenia nie ponosi odpowiedzialności za zobowiązanie zaciągnięte z wykorzystaniem środka identyfikacji elektronicznej. Art. 21g. 1. Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje na wniosek podmiotu odpowiedzialnego za system identyfikacji elektronicznej. 2. Wniosek zawiera: 1) imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności, numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został on nadany, podmiotu odpowiedzialnego za system identyfikacji elektronicznej; 2) imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności, numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został on nadany, każdego podmiotu: a) potwierdzającego tożsamość oraz weryfikującego dane identyfikujące osoby ubiegającej się o wydanie środka identyfikacji elektronicznej, b) wydającego środki identyfikacji elektronicznej, c) zapewniającego funkcjonalność pozwalającą na uwierzytelnienie osób, którym wydano środek identyfikacji elektronicznej - w przypadku gdy czynności tych nie wykonuje podmiot odpowiedzialny za system identyfikacji elektronicznej; 3) nazwę i szczegółowy opis systemu identyfikacji elektronicznej, w tym opis środków identyfikacji elektronicznej wydawanych w tym systemie z określeniem ich poziomu bezpieczeństwa, o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014, oraz informacje techniczne i organizacyjne dotyczące wykorzystania tych środków. 3. Do wniosku dołącza się: 1) dokument potwierdzający spełnianie wymagań dla zadeklarowanych poziomów bezpieczeństwa środków identyfikacji elektronicznej, określonych w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, w szczególności: a) pozytywny wynik audytu systemu zarządzania bezpieczeństwem informacji obejmującego swym zakresem system identyfikacji elektronicznej, którego dotyczy wniosek, albo b) pozytywny wynik audytu, o którym mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014 - adekwatnie do poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie; 2) dokument zawierający przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy; 3) oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3; 4) oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych. 4. Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej opatrzone kwalifikowanym podpisem elektronicznym. 5. Minister właściwy do spraw informatyzacji informuje Szefa Agencji Bezpieczeństwa Wewnętrznego o wpłynięciu wniosku, o którym mowa w ust. 1, w celu umożliwienia Szefowi Agencji Bezpieczeństwa Wewnętrznego dokonania oceny, czy podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, znajdują się pod kontrolą korporacyjną, w tym faktycznym wpływem innego państwa, jego podmiotu lub obywatela tego państwa, a w przypadku znajdowania się pod taką kontrolą, w celu ustalenia, czy może zagrażać bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu państwa. 6. Szef Agencji Bezpieczeństwa Wewnętrznego może przeprowadzić postępowanie w celu dokonania oceny, o której mowa w ust. 5, o czym informuje ministra właściwego do spraw informatyzacji w terminie 7 dni od dnia otrzymania informacji o wpłynięciu wniosku. 7. Kontrolą korporacyjną, o której mowa w ust. 5, są wszelkie formy bezpośredniego lub pośredniego uzyskania przez podmiot uprawnień, które osobno albo łącznie, przy uwzględnieniu wszystkich okoliczności prawnych i faktycznych, umożliwiają wywieranie decydującego wpływu na podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, a w szczególności w przypadku: 1) dysponowania bezpośrednio lub pośrednio większością głosów na zgromadzeniu wspólników albo na walnym zgromadzeniu, także jako zastawnik albo użytkownik, bądź w zarządzie innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami; 2) uprawnienia do powoływania lub odwoływania większości członków zarządu lub rady nadzorczej innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami; 3) gdy członkowie jego zarządu lub rady nadzorczej stanowią więcej niż połowę członków zarządu innego podmiotu (podmiotu zależnego); 4) dysponowania bezpośrednio lub pośrednio większością głosów w spółce osobowej zależnej albo na walnym zgromadzeniu spółdzielni zależnej, także na podstawie porozumień z innymi osobami; 5) dysponowania prawem do całego albo do części mienia innego podmiotu (podmiotu zależnego); 6) umów przewidujących zarządzanie innym podmiotem (podmiotem zależnym) l