Překlady této stránky:

Časté otázky související s využíváním NIA

Otázky týkající se přihlašování uživatelů do systémů Centrální registr životního prostředí, potažmo Integrovaného systému ohlašovacích povinností. Předání proběhlo přípisy Ministerstva životního prostředí:

  1. ze dne 19. ledna 2024, sp. zn. ZN/MZP/2024/280/6, odpověď DIA byla poskytnuta pod sp. zn. DIA- 2188-2/OPL-2024
  2. ze dne 21. listopadu 2023, sp. zn. MZP/2023/110/787, odpověď DIA byla poskytnuta pod sp. zn. DIA- 16244-2/OHA-2023

Jak je vysvětleno výše, pokud agendový zákon neomezí způsob činit podání, je nutné se řídit obecnou úpravou podání uvedenou ve správním řádu, která je pro elektronické podání upravena zejména v ZoPDS a dalších speciálních předpisech. Informační systém veřejné správy je pouze jednou z možností, jak činit podání vůči orgánu veřejné správy. Pokud je agendovým zákonem stanoveno, že se podání vůči orgánu veřejné správy činí prostřednictvím informačního systému veřejné správy dle § 4 odst. (1) písm. d) ZoPDS, je nutné, aby se fyzická osoba, která za povinný subjekt jedná, přihlásila do informačního systému veřejné správy prostřednictvím identity občana, jak ostatně vyplývá také z § 2 ZoEI. V takovém případě pak není nutné podání ani podepisovat, jelikož se uplatní fikce podpisu dle § 8 zákona č. 365/2000 Sb., o informačních systémech veřejné správy.

V případě, kdy agendový zákon omezí způsob činit podání vůči orgánu veřejné správy pouze na elektronickou podobu (a agendový zákona nijak blíže neurčuje závaznou podobu úkonu a jeho podání), je možné úkon činit nejen za použití informačního systému, ale dále též např. prostřednictvím datové schránky či sítě elektronických komunikací za použití uznávaného elektronického podpisu dle §4 odst. (1) ZoPDS. Fyzická osoba jednající jménem PO není povinna si pořizovat identitu občana. Identita občana, resp. elektronická identifikace, je obecně pouze jednou z možností, jak učinit podání vůči orgánům veřejné moci.

Využití identity občana je pouze jednou z možností, jak činit úkony vůči orgánům veřejné správy. Zajištění potřebných nástrojů pro plnění povinností povinného subjektu vyplývajících z agendových zákonů by mělo být primárně povinností konkrétního subjektu, na který plnění zákonných povinností dopadá. Pokud zaměstnanci povinného subjektu odmítají využívat či si pořídit identitu občana, měl by jim subjekt, za který mají jednat, umožnit užití datové schránky či zprostředkovat vydání certifikátu pro uznávaný elektronický podpis.

Odpovědnost fyzické osoby (FO) za digitální úkony činěné v zastoupení právnické osoby (PO) je shodná, jako v případě úkonů činěných v listinné, nedigitální formě. Pokud FO činí úkon vůči orgánu veřejné moci svým jménem, ale v zastoupení a při plnění povinnosti stanovené PO, tak její odpovědnost za toto právní jednání není neomezená, ale odvíjí se od právního titulu, kterým je FO oprávněna za PO jednat. Ať už se jedná například o jednatele uvedeného v Obchodním rejstříku, zaměstnance pověřeného k určitým úkolům nebo zmocněnce na základě plné moci, odvíjí se odpovědnost této FO od konkrétního právního titulu a způsobené škody.

Není-li nutné prokazovat totožnost, tak není povinnost využívat identitu občana. Komunikace mezi systémy nevyžaduje prokazování totožnosti, ovšem když je potřeba například zřídit danou komunikaci (vystavení či evidence systémového certifikátu) je nutné tuto službu obsloužit s prokázanou totožností, a tedy i využitím identity občana.

Při přihlášení do informačního systému veřejné správy za použití identity občana uživatele přesměruje na Národní bod pro identifikaci a autentizaci (NIA), kde jsou popsány předávané osobní údaje, způsob jejich předání, důvod jejich zpracování, a osoba je vyzvána k udělení trvalého nebo jednorázového souhlasu s jejich zpracováním. Toto řešení je v souladu s právními předpisy upravujícími zpracování osobních údajů. Více informací k této věci konec konců uvádí i MŽP v dokumentu k CRŽP dostupném na tomto odkazu.

Pokud jde o předmětné ustanovení § 2 zákona č. 250/2017 Sb., o elektronické identifikaci, platí, že „Vyžaduje-li právní předpis nebo výkon působnosti prokázání totožnosti, lze umožnit prokázání totožnosti s využitím elektronické identifikace pouze prostřednictvím kvalifikovaného systému elektronické identifikace (dále jen „kvalifikovaný systém“).“ Elektronickou identifikací se podle čl. 3 odst. 1 Nařízení Evropského parlamentu a Rady č. 910/2014, o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (nařízen eIDAS) rozumí mj. postup používání osobních identifikačních údajů v elektronické podobě, které jedinečně identifikují fyzickou osobu zastupující právnickou osobu.

Ministerstvo životního prostředí, jak sám uvádíte, je správcem obou zmíněných informačních systémů veřejné správy, správa zmíněných informačních systémů je tedy součástí výkonu jeho působnosti. Ke správě informačních systémů veřejné správy nepochybně patří též řízení přístupu k informačním systémům, které probíhá mj. požadavkem na prokázání totožnosti osob, které k těmto informačním systémům přistupují. Prokázání totožnosti je tedy vyžadováno v rámci výkonu působnosti Ministerstva životního prostředí jakožto orgánu veřejné moci a není nutné, aby bylo uvedeno v právním předpisu explicitně. Postup zjišťování totožnosti v rámci přístupu ke zmíněným informačním systémům odpovídá výše uvedené definici elektronické identifikace uvedené v nařízen eIDAS, toto nařízení zároveň počítá s tím, že svou totožnost prokazuje fyzická osoba mj. při zastupování právnické osoby.

Shrnuji, že pokud požadavek na prokázání totožnosti vyplývá z výkonu působnosti a je činěn s využitím elektronické identifikace, lze jej umožnit pouze prostřednictvím kvalifikovaného systému elektronické identifikace (označovaný též jako NIA, identita občana, atd.), nikoliv jiným způsobem, jak uvádí závěrečná část výše zmíněného zákonného ustanovení.

S ohledem na uvedené považuje Digitální a informační agentura postup Ministerstva životního prostředí za souladný s právní předpisy upravujícími elektronickou identifikaci.

Pokud jde o jednání při zastupování právnické osoby, je vhodné zmínit, že pokud jde fyzické prokazování totožnosti při jednání za právnickou osobu, je používání fyzických dokladů, které nepochybně nejsou vydány jen pro jednání za právnickou osobu, naprosto běžné. Např. pokud jednatel společnosti s ručením omezeným nebo jiný její zástupce jedná vůči orgánu veřejné moci za tuto společnost osobně nebo činí za tuto společnost písemné právní jednání vyžadující úředně ověřený podpis, prokáže vůči orgánu veřejné moci svou totožnost občanským průkazem nebo např. cestovním pasem, nikoliv dokladem vydaným jen pro kontext zastupování právnické osoby. Digitální a informační agentura neshledává používání kvalifikovaných prostředků elektronické identifikace v těchto situacích od používání fyzických dokladů totožnosti zásadně odlišným. V této souvislosti lze pro úplnost poukázat na to, že je rovněž běžné, že osoby, které nejsou statutárními orgány právnické osoby, ale jde o zmocněné zaměstnance či jiné zmocněné osoby, sdělují v rámci svého zastupování právnické osoby řadu osobních údajů, které se následně objevují např. ve sbírce listin obchodního rejstříku, např. datum narození nebo adresu trvalého pobytu takového zmocněnce.

Pokud jde o autentizaci, tedy o spojení totožnosti určité fyzické osoby s jejím oprávněním jednat za právnickou osobu, a s rozsahem tohoto oprávnění, je toto záležitostí nastavení předmětných informačních systémů a legislativy je upravující. Lze v tomto směru odkázat na analogii např. s nastavením přihlašování k informačnímu systému datových schránek, kdy relevantní právní úprava odlišuje osoby mající primární oprávnění přihlašovat se do datové schránky, tj. v případě právnické osoby její statutární orgán nebo členy statutárního orgánu (srov. § 8 odst. 3 zákona č. 300/2008 Sb., o elektronických úkonech a autorizované konverzi dokumentů) od osob majících odvozené oprávnění přihlašovat se do datové schránky, tj. tzv. pověřených osob (srov. § 8 odst. 6 písm. b) zákona o elektronických úkonech a autorizované konverzi dokumentů). Rovněž právní úprava přihlašování k informačním systémům v působnosti orgánů Finanční správy rozlišuje mezi primárně oprávněnými přihlašujícími se osobami a odvozeně oprávněnými přihlašujícími se osobami (zde např. daňový poradce). Používání kvalifikovaných prostředků elektronické identifikace tedy nebrání společnosti ORLEN Unipetrol RPA s.r.o., aby oprávnění k přístupu k předmětným informačním systémům udělovala a odnímala sama.

Pokud jde o vyjádření pověřence pro ochranu osobních údajů Ministerstva životního prostředí, k tomu uvádíme, že přechod z tzv. proprietární (tj. jen pro konkrétní informační systém vytvořené) elektronické identifikace je procesem postupným a nelze tedy vyloučit, že proprietární identifikace je k přístupu k některým informačním systémům stále využívána do doby zavedení přístupu výlučně prostřednictvím kvalifikovaného systému elektronické identifikace. Vyjádření pověřence pro ochranu osobních údajů Ministerstva životního prostředí je tedy vyjádřením popisu praktické implementace již účinné právní úpravy, nikoliv popis právní úpravy účinné v budoucnu.

Pokud jde o důvody, proč není postupováno stejně jako v případě úřední osoby, platí, že autentizační informační systém (JIP/KAAS) podle § 56a zákona č. 111/2009 Sb., o základních registrech, je zřízen pro ztotožnění fyzických osob, které vykonávají činnosti v agendách jako tzv. nositelé rolí. Cílem je nejen řádná autentizace těchto fyzických osob, ale též vedení řádných záznamů o využívání údajů obsažených v informačních systémech veřejné správy, a to až na úroveň konkrétní fyzické osoby, která údaje využila. Na rozdíl od elektronické identifikace určuje konkrétní fyzické osoby jakožto nositelé rolí přímo orgán veřejné moci, tyto údaje se zapisují do základního registru práv a povinností. S ohledem na výše uvedené je JIP/KAAS určen pro ztotožnění úředníků, kteří jménem orgánu veřejné moci jednají, tj. pro státní zaměstnance, zaměstnance nebo jiné osoby v podobném vztahu k orgánu. Pro úplnost dodávám, že právnická osoba nemůže být nositelem role.

Právní úprava postupu pro případy technických poruch není ve vztahu k elektronické identifikaci zavedena, je nicméně vhodné doplnit, že právní úprava postupu pro případy technických poruch není zavedena ve valné většině případů ani např. ve vztahu např. k technické poruše informačních systémů veřejné správy nebo datových schránek a není mi známo, že by úprava postupu pro případy technických poruch byla zavedena ve vztahu k technické poruše dosud používaných identifikačních nástrojů vůči informačním systémům zmíněným v přípisu. Právní úprava počítá s tím, že tyto nástroje budou dostupné. V případě potřeby je možné využít zmírňujících institutů podle příslušných právních předpisů, v tomto doporučujeme konzultaci s Ministerstvem životního prostředí. Upozorňuje, že v případě využití prostředku elektronické identifikace, jejichž vydavatelem je banka (tzv. bankovní identita nebo bankID), může nastat technická porucha též na straně konkrétní vydávající banky.

V tomto doporučujeme konzultaci s Ministerstvem životního prostředí.

, 2024/04/30 17:50
Dobrý den, mám pročtenou IKČR a navazující legislativu a chtěl bych si k tématu povinností při autentizaci sesumarizovat informace, které z velmi nepřehledné legislativy, pravidel a nařízení vyplývají.

Uživatele, kteří se do AIS přihlašují lze rozdělit do 3 hlavních pomyslných kategorií.

1. Klient veřejné správy
Uživatel, který se do AIS přihlašuje z důvodu, aby veřejnou správu požádal o nějaký úkon.

2. Zaměstnanec veřejné správy
Uživatel, který se do AIS přihlašuje z důvodu, aby úkon o který klient žádá řešil.

3. Správce AIS
Uživatel, který se do AIS přihlašuje z důvodu jeho správy, údržby, řešení vad a změn a výkonu podpory.

Dle toho, co jsem si pročetl tak pro tyto kategorie (které ale takto explicitně nikde popsány nejsou) neplatí pro autentizaci stejná pravidla.
Nicméně lze je opět dovodit z dostupných informací.

1. Klient veřejné správy dle zákona č. 250/2017 Sb., o elektronické identifikaci, §2 má povinnost provádět prokázání totožnosti s využitím elektronické identifikace pouze prostřednictvím kvalifikovaného systému elektronické identifikace. V reálné praxi to znamená, že se musí autentizovat prostřednictvím NIA pomocí libovolného elektronického identifikačního prostředku, který si vybere.

2. Zaměstnanec veřejné správy má povinnost se autentizovat prostřednictvím JIP/KAAS v budoucnu CAAIS. Nicméně pokud již vezmu v potaz budoucí CAAIS, tak do CAAIS se lze dostat jen dvěma způsoby. Buď prostřednictvím NIA nebo tvz. CAAIS IdP (což je jméno + heslo + certifikát).
V reálné praxi to tedy znamená primárně využívat NIA. Nicméně zde narážíme na úskalí, kde zaměstnanec odmítne využití NIA pro pracovní účely. Zbývá tedy využití CAAIS IdP. Ovšem certifikáty které jsou potřeba, vydává komerční subjekt a jsou placené. Tzn. stát je musí zaplatit.
Chová se tedy pak stát s péčí řádného hospodáře, když existuje alternativa, která je zdarma, ale stát si ji nedokáže po svých zaměstnancích vynutit?

3. Správce AIS
Zde se může jednat o uživatele různých subjektů. Např. o Správce ISVS, což jsou opět zaměstnanci veřejné správy nebo i komerční subjekty jako je provozovatel AIS nebo jeho poskytovatel.
Z dostupných informací není úplně jasné, jakou povinnost by měla tato kategorie uživatelů při autentizaci a přihlášení do AIS splňovat.
Aktuálně to vypadá, že žádnou. Respektive je pouze na Správci AIS (ISVS) jak si zpracuje provozní dokumentaci a do ní způsob přihlašování těchto uživatelů specifikuje.
Je tomu tak nebo z nějakých informací vyplývají i pravidla pro autentizaci této kategorie uživatelů?

Prosím o vyjádření, zda jsou tyto mé úvahy správné nebo případně o upřesnění. Děkuji.
S pozdravem
Radek Prusík
Analytik IAM a ITSM procesů
MMR
, 2024/04/30 22:42
Dobrý den,

Vaše úvahy jsou správné, respektive směřují správným směrem. Co se týče klientů, tak bez připomínek. U zaměstnanců je důležité zmínit, že zaměstnaneckých prostředků může být více, včetně třeba druhého faktoru jako kódu v aplikaci. Nastavení je uživatelské, tedy v režii zaměstnance. Pokud ale zaměstnanec chce, je dostupná i NIA pro přihlášení do JIP/KAAS, ale nemůže být do toho nucen.
Správce AIS nevykonává roli, tedy nekoná činnost v agendě a tedy není důvod vyžadovat JIP/KAAS, zároveň se ani nejedná o výkon působnosti, tedy není vyžadována ani NIA.

Pokud by Vám chyběla nějaká souhrnná stránka s těmito informacemi, dejte mi vědět a zařadím ji do wishlistu.

Děkuji.

Tomáš Šedivec
, 2024/05/02 17:23
Dobrý den, moc děkuji za informace.

Ještě k tomu zaměstnanci. Zde jsem vycházel z konkrétní zkušenosti u nás na MMR. Přístup do JIPu byl řešen prostřednictvím certifikátu, kde tento certifikát zajišťovalo MMR a nikoliv samotný zaměstnanec.
Nicméně v případě správy našeho AIS se již orientujeme na CAAIS, jelikož JIP implementovaný z různých důvodů nemáme. Aktuálně pro přístup zaměstnanců používáme ADFS (jméno + heslo a v nejbližší budoucnosti bude ještě druhý faktor buď aplikace nebo SMS).
A ve chvíli, kdy bude CAAIS oficiálně spuštěn, tak ho začneme postupně implementovat do našich procesů IAM. A zde právě zjišťuji jaké jsou možnosti, abych mohl navrhnout úpravu našich IAM procesů.
Píšete, že "U zaměstnanců je důležité zmínit, že zaměstnaneckých prostředků může být více, včetně třeba druhého faktoru jako kódu v aplikaci. Nastavení je uživatelské, tedy v režii zaměstnance."
Zde mám ještě trochu nejasnosti. Pokud si představím konkrétní use case, tak my budeme při registraci do našeho AIS vyžadovat po zaměstnanci autentizaci prostřednictvím CAAIS. Ovšem CAAIS nabízí jen NIA a CAAIS IdP. Ano, NIA pak dále nabízí celou řadu elektronických identifikačních prostředků, ale stejně jdou všechny přes NIA. Čili zaměstnanec NIA nemůže obejít, respektive může jen prostřednictvím CAAIS IdP, kde CAAIS IdP dle dostupných informací bude jen jméno, heslo a certifikát jako druhý faktor. Pokud by uměl třeba i jméno, heslo a druhý faktor aplikaci nebo SMS, tak ano. Potom by tam mohli být další možnosti jak NIA obejít, ale tyto možnosti jsem v dostupných informací k CAAIS nedohledal.

Co se týče souhrnné stránky tak zapřemýšlím. Možná, že by to bylo užitečné i pro ostatní kolegy, kteří řeší implementaci zákona č. 250/2017 Sb., o elektronické identifikaci.

Děkuji.
S pozdravem
Radek Prusík
, 2024/05/02 20:34
Dobrý den,

přiznám se, že u CAAIS jsem vycházel z toho, že nabídne stejné prostředky jako JIP/KAAS, kde certifikát i kód z aplikace jdou nastavit a to uživatelsky do svého účtu.
CAAIS měl být také připraven o rozšíření o další IdP, které by splnily požadavky, z řad prostředků spravovaných orgány veřejné správy.

Až posbírám dostatek informací, vytvořím stránku pro CAAIS a upravím pravidla identifikace do IS.

S pozdravem,
Tomáš Šedivec
Vložte svůj komentář: