Zakon o elektronskoj identifikaciji i uslugama povjerenja

Ovim zakonom propisuju se uslovi pod kojima se pružaju, priznaju i prihvataju sredstva elektronske identifikacije, a naročito i novčanici digitalnog identiteta i pravila za elektronske usluge povjerenja, kako bi se fizičkim i pravnim licima, odnosno organima vlasti omogućilo i olakšalo ostvarivanje prava na bezbjedno učešće u digitalnom društvu i pristup elektronskim uslugama.

Ovaj zakon primjenjuje se na sisteme elektronske identifikacije, novčanike digitalnog identiteta i na davaoce usluga povjerenja koji su registrovani u Crnoj Gori.

Ovaj zakon ne primjenjuje se na pružanje elektronskih usluga povjerenja (u daljem tekstu: usluge povjerenja) koje se koriste isključivo u zatvorenim sistemima između određene grupe učesnika, a koje ne utiču na treća lica, u skladu sa zakonom ili potvrđenim međunarodnim ugovorom.

Ovaj zakon ne utiče na zaključivanje i punovažnost ugovora koji imaju posebne uslove i koji se odnose na formu zaključivanja tih ugovora, u skladu sa zakonom.

Usluge povjerenja, sredstva elektronske identifikacije, novčanik digitalnog identiteta kao i računarska oprema (hardver) ili računarski program (softver) koji se koriste prilikom vršenja tih usluga, dostupni su licima sa invaliditetom.

Podaci o ličnosti koriste se i obrađuju u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti.

Izrazi koji se u ovom zakonu koriste za fizička lica u muškom rodu podrazumijevaju iste izraze u ženskom rodu.

Pružanje usluga povjerenja na području Crne Gore, dozvoljeno je davaocu usluga povjerenja koji je prijavljen u nekoj od država članica Evropske unije.

Proizvodi i usluge povjerenja koji ispunjavaju uslove koje propisuje država članica Evropske unije koriste se slobodno na području Crne Gore.

Upotreba pseudonima koji korisnik izabere u elektronskim transakcijama je dozvoljena, osim ako to zakonom nije zabranjeno.

Izrazi upotrijebljeni u ovom zakonu imaju sljedeća značenja:

1) elektronska identifikacija je postupak korišćenja ličnih identifikacionih podataka u elektronskom obliku koji na jedinstven način predstavljaju fizičko ili pravno lice, odnosno organ vlasti ili fizičko lice koje predstavlja drugo fizičko ili pravno lice, odnosno organ vlasti;

2) sredstvo elektronske identifikacije je materijalno i/ili nematerijalno sredstvo koje sadrži lične identifikacione podatke i koje se koristi za autentifikaciju usluga koje se pružaju preko interneta, ili po potrebi usluga koje se ne pružaju preko interneta;

3) lični podaci su svi podaci koji su definisani kao lični podaci u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti;

4) lični identifikacioni podaci su skup podataka koji se izdaju u skladu sa zakonom i koji omogućavaju utvrđivanje identiteta fizičkog ili pravnog lica, odnosno organa vlasti ili fizičkog lica koje predstavlja drugo fizičko ili pravno lice, odnosno organ vlasti;

5) autentifikacija je elektronski postupak kojim se omogućava potvrda elektronske identifikacije fizičkog ili pravnog lica, odnosno organa vlasti ili potvrda porijekla i integriteta podataka u elektronskom obliku;

6) korisnik je fizičko ili pravno lice, odnosno organ vlasti ili fizičko lice koje predstavlja drugo fizičko ili pravno lice, odnosno organ vlasti koji koristi usluge povjerenja ili sredstva elektronske identifikacije, u skladu sa ovim zakonom;

7) pouzdajuća strana je fizičko ili pravno lice, odnosno organ vlasti koji se pouzdaje u elektronsku identifikaciju, novčanik digitalnog identiteta ili u drugo sredstvo elektronske identifikacije ili u uslugu povjerenja;

8) organ vlasti je državni organ, organ državne uprave, organ lokalne samouprave, odnosno lokalne uprave i pravno lice koje vrši javna ovlašćenja;

9) potpisnik je fizičko lice koje izrađuje elektronski potpis;

10) podaci za izradu elektronskog potpisa su jedinstveni podaci koje potpisnik koristi za izradu elektronskog potpisa;

11) sertifikat za elektronski potpis je elektronska potvrda koja povezuje podatke za validaciju elektronskog potpisa sa fizičkim licem i potvrđuje najmanje ime ili pseudonim tog lica;

12) usluga povjerenja je elektronska usluga koja se obično pruža uz naknadu, a obuhvata jednu od sljedećih usluga:

- izdavanje sertifikata za elektronske potpise, sertifikata za elektronske pečate, sertifikata za provjeru autentičnosti internet stranice ili sertifikata za pružanje drugih usluga povjerenja,

- validaciju sertifikata za elektronske potpise, sertifikata za elektronske pečate, sertifikata za provjeru autentičnosti internet stranice ili sertifikata za pružanje drugih usluga povjerenja,

- izradu elektronskih potpisa ili elektronskih pečata,

- validaciju elektronskih potpisa ili elektronskih pečata,

- čuvanje elektronskih potpisa, elektronskih pečata, sertifikata za elektronske potpise ili sertifikata za elektronske pečate,

- upravljanje sredstvima za izradu elektronskog potpisa na daljinu ili sredstvima za izradu elektronskog pečata na daljinu,

- izdavanje elektronskih potvrda atributa,

- validaciju elektronskih potvrda atributa,

- izradu elektronskih vremenskih pečata,

- validaciju elektronskih vremenskih pečata,

- pružanje usluga elektronske preporučene dostave,

- validaciju podataka koji se prenose putem usluga elektronske preporučene dostave i povezanih dokaza,

- elektronsko arhiviranje elektronskih podataka i elektronskih dokumenata,

- evidentiranje elektronskih podataka u elektronsku evidenciju;

13) tijelo za ocjenjivanje usaglašenosti je pravno lice ili dio pravnog lica koje je u skladu sa zakonom kojim se uređuje akreditacija akreditovano za ocjenjivanje usaglašenosti kvalifikovanih davalaca usluga povjerenja i kvalifikovanih usluga povjerenja koje oni pružaju, kao i za sprovođenje postupka sertifikacije sistema elektronske identifikacije, novčanika digitalnog identiteta ili sredstava elektronske identifikacije;

14) davalac usluga povjerenja je fizičko ili pravno lice, odnosno organ vlasti koji pruža jednu ili više usluga povjerenja, bilo kao kvalifikovane ili nekvalifikovane usluge povjerenja;

15) kvalifikovani davalac usluga povjerenja je davalac usluga povjerenja koji pruža jednu ili više kvalifikovanih usluga povjerenja i kojem je organ državne uprave nadležan za razvoj informacionog društva i elektronske uprave odobrio status kvalifikovanog davaoca usluga povjerenja;

16) nekvalifikovani davalac usluga povjerenja je je davalac usluga povjerenja koji pruža jednu ili više nekvalifikovanih usluga povjerenja;

17) proizvod je hardver ili softver ili odgovarajuće komponente hardvera ili softvera, koji su namijenjeni za upotrebu u svrhu pružanja elektronske identifikacije i usluga povjerenja;

18) hardver je fizička komponenta koja se koristi u obradi informacija;

19) softver je svaki operativni sistem, program, korisnička ili servisna aplikacija;

20) sredstvo za izradu elektronskog potpisa je konfigurisani softver ili hardver koji se koristi za izradu elektronskog potpisa;

21) autor pečata je pravno lice, odnosno organ vlasti koje izrađuje elektronski pečat;

22) podaci za izradu elektronskog pečata su jedinstveni podaci koje autor elektronskog pečata koristi za izradu elektronskog pečata;

23) sertifikat za elektronski pečat je elektronska potvrda koja povezuje podatke za validaciju elektronskog pečata sa pravnim licem, odnosno organom vlasti i potvrđuje najmanje ime tog lica, odnosno naziv organa vlasti;

24) sredstvo za izradu elektronskog pečata je konfigurisani softver ili hardver koji se koristi za izradu elektronskog pečata;

25) elektronski dokument je skup podataka koji su elektronski oblikovani ili skladišteni na elektronskom, magnetnom, optičkom ili drugom mediju i koji sadrži svojstva pomoću kojih se identifikuje stvaralac, utvrđuje vjerodostojnost sadržaja i dokazuje nepromjenjivost sadržaja u vremenu, a uključuje sve oblike pisanog teksta, podatke, slike, crteže, karte, zvuk, muziku, govor, digitalizovani dokument i slično;

26) podaci za validaciju su podaci koji se koriste za validaciju elektronskog potpisa ili elektronskog pečata;

27) validacija je postupak verifikacije i potvrđivanja da su podaci u elektronskom obliku valjani, u skladu sa ovim zakonom;

28) atribut je karakteristika, kvalitet, pravo ili dozvola fizičkog ili pravnog lica, odnosno organa vlasti ili objekta;

29) autentični izvor je skladište ili sistem koji je u nadležnosti organa vlasti ili pravnog lica, koji sadrži i pruža atribute o fizičkom ili pravnom licu, odnosno organu vlasti ili objektu i koji se smatra primarnim izvorom tih informacija ili je priznat kao autentičan u skladu sa zakonom;

30) pouzdana autentifikacija korisnika je autentifikacija koja se zasniva na upotrebi najmanje dva faktora autentifikacije iz različitih kategorija znanja, odnosno nečega što samo korisnik zna, posjedovanja, odnosno nečega što samo korisnik posjeduje, ili svojstvenosti, odnosno nečega što korisnik jeste, a koji su međusobno nezavisni faktori autentifikacije, tako da narušavanje jednog faktora ne ugrožava pouzdanost drugih i koja je osmišljena na način da zaštiti povjerljivost podataka o autentifikaciji;

31) uparivanje identiteta je postupak u kojem se lični identifikacioni podaci ili sredstva elektronske identifikacije spajaju ili povezuju sa postojećim nalogom, koji pripada istom licu;

32) zapis podataka podrazumijeva elektronske podatke koji su zabilježeni sa povezanim metapodacima i koji podržavaju obradu podataka;

33) metapodaci su podaci koji opisuju karakteristike nekog izvora u digitalnom obliku;

34) režim van mreže podrazumijeva interakciju između korisnika i treće strane na fizičkoj lokaciji, koristeći tehnologije u neposrednoj blizini, pri čemu nije potrebno da novčanik digitalnog identiteta ima pristup sistemima na daljinu putem elektronskih komunikacionih mreža, u svrhu interakcije;

35) interfejs je zajednička dijeljena granica, posredstvom koje dvije ili više komponenti računarskog sistema vrše razmjenu informacija;

36) elektronska transakcija je poslovna aktivnost između dvije ili više strana koja se obavlja elektronskim putem;

37) interoperabilnost je sposobnost dva ili više sistema ili njihovih komponenti da razmjenjuju podatke;

38) ranjivost je slabost, osjetljivost ili nedostatak nekog resursa, sistema, procesa ili kontrole koji sajber prijetnja može iskoristiti;

39) ugrađena politika otkrivanja je skup pravila koja je u elektronsku potvrdu atributa ugradio njen davalac i koja definiše uslove koje pouzdajuća strana novčanika mora ispuniti da bi mogla pristupiti elektronskoj potvrdi atributa.

Novčanik digitalnog identiteta je sredstvo elektronske identifikacije koje korisniku omogućava da bezbjedno skladišti, upravlja i potvrđuje lične identifikacione podatke i elektronske potvrde atributa, u svrhu njihovog pružanja pouzdajućim stranama i drugim korisnicima novčanika digitalnog identiteta, kao i da potpisuje kvalifikovanim elektronskim potpisom.

Davalac novčanika digitalnog identiteta je pravno lice ili organ vlasti koji pruža uslugu novčanika digitalnog identiteta.

Davalac novčanika digitalnog identiteta obezbjeđuje da izvorni kod aplikativnih softverskih komponenti koje su instalirane na korisničkom uređaju mora biti licenciran u otvorenom kodu.

Izuzetno od stava 3 ovog člana, izvorni kod ne mora da bude licenciran u otvorenom kodu, za komponente koje nijesu instalirane na korisničkom uređaju, ako za to postoje opravdani razlozi.

Integritet i funkcionalnost novčanika digitalnog identiteta omogućavaju korisniku da na njemu prilagođen, transparentan i sljedeći način:

1) bezbjedno zahtijeva, pribavlja, bira, kombinuje, čuva, briše, dijeli i predstavlja, pod isključivom kontrolom korisnika, lične identifikacione podatke i da se, prema potrebi, u kombinaciji sa elektronskim potvrdama atributa, autentifikuje pouzdajućim stranama na internetu a, gdje je primjenjivo, u režimu van mreže radi pristupa elektronskim uslugama, uz obezbjeđivanje mogućnosti selektivnog otkrivanja podataka;

2) generiše pseudonime i čuva ih lokalno u kriptovanom obliku u novčaniku digitalnog identiteta;

3) bezbjedno izvrši autentifikaciju novčanika digitalnog identiteta drugog lica, kao i da prima i dijeli lične identifikacione podatke i elektronske potvrde atributa, na bezbjedan način između dva novčanika digitalnog identiteta;

4) pristupi evidenciji svih transakcija izvršenih preko novčanika digitalnog identiteta putem zajedničke kontrolne table koja omogućava korisniku da:

- pregleda ažuriranu listu pouzdajućih strana sa kojima je korisnik uspostavio vezu, i gdje je primjenjivo, sve razmijenjene podatke,

- na jednostavan način zahtijeva od pouzdajuće strane brisanje ličnih podataka, u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti,

- na jednostavan način prijavi pouzdajuću stranu nadležnom organu za zaštitu podataka o ličnosti, u slučaju kad se dobije nezakonit ili sumnjiv zahtjev za dobijanje ličnih podataka;

5) potpisuje kvalifikovanim elektronskom potpisom, odnosno pečatira kvalifikovanim elektronskim pečatom;

6) preuzme, u mjeri u kojoj je to tehnički izvodljivo, podatke korisnika, elektronske potvrde atributa i konfiguracije;

7) koristi pravo na prenosivost podataka.

Bliža pravila o utvrđivanju integriteta i funkcionalnosti novčanika digitalnog identiteta, kao i druga pitanja od značaja za funkcionisanje novčanika digitalnog identiteta propisuje organ državne uprave nadležan za razvoj informacionog društva i elektronske uprave (u daljem tekstu: Ministarstvo).

Novčanik digitalnog identiteta naročito treba da:

1) podržava zajedničke protokole i interfejse za:

- izdavanje ličnih identifikacionih podataka, kvalifikovanih i nekvalifikovanih elektronskih potvrda atributa ili kvalifikovanih i nekvalifikovanih sertifikata za novčanik digitalnog identiteta;

- pouzdajuće strane kako bi im se omogućilo da zahtijevaju i potvrde lične identifikacione podatke i elektronske potvrde atributa,

- dijeljenje i predstavljanje pouzdajućim stranama ličnih identifikacionih podataka, elektronske potvrde atributa ili selektivno otkrivenih povezanih podataka na internetu, i po potrebi, u režimu van mreže,

- omogućavanje interakcije korisnika sa novčanikom digitalnog identiteta,

- sigurno uključivanje korisnika upotrebom postojećeg sredstva elektronske identifikacije visokog stepena sigurnosti ili sredstva elektronske identifikacije srednjeg stepena sigurnosti u kombinaciji sa dodatnim postupcima na daljinu koji zajedno ispunjavaju zahtjeve za visok stepen sigurnosti,

- komunikaciju između novčanika digitalnih identiteta dva lica radi bezbjednog primanja, potvrđivanja ispravnosti i dijeljenja ličnih identifikacionih podataka i elektronskih potvrda atributa,

- autentifikaciju i identifikaciju pouzdajućih strana primjenom mehanizma autentifikacije u skladu sa članom 23 ovog zakona,

- pouzdajuće strane kako bi se omogućila provjera autentičnosti i validnosti novčanika digitalnog identiteta,

- slanje zahtjeva pouzdajućoj strani za brisanje ličnih podataka, u skladu sa zakonom kojim se uređuje zaštita podataka o ličnosti,

- prijavu pouzdajuće strane nadležnom organu za zaštitu podataka o ličnosti ako je primljen nezakonit ili sumnjiv zahtjev za dobijanje ličnih podataka,

- izradu kvalifikovanih elektronskih potpisa, odnosno kvalifikovanih elektronskih pečata pomoću kvalifikovanih sredstava za izradu elektronskih potpisa, odnosno kvalifikovanih sredstava za izradu elektronskih pečata;

2) ne pruža informacije davaocima usluga povjerenja za elektronske potvrde atributa o korišćenju tih elektronskih potvrda;

3) obezbjeđuje da se pouzdajuća strana može autentifikovati i identifikovati primjenom zajedničkog mehanizma autentifikacije u skladu sa članom 23 ovog zakona;

4) ispunjava uslove iz člana 35 ovog zakona, u pogledu visokog stepena sigurnosti, posebno u pogledu zahtjeva za dokazivanje i potvrdu identiteta, kao i za upravljanje sredstvima elektronske identifikacije i autentifikacije;

5) obezbjeđuje da se u slučaju elektronske potvrde atributa sa ugrađenim politikama otkrivanja primjenjuje odgovarajući mehanizam za obavještavanje korisnika da pouzdajuća strana ili korisnik novčanika digitalnog identiteta koji zahtijeva elektronsku potvrdu atributa ima dozvolu za pristup toj potvrdi;

6) obezbjeđuje da lični identifikacioni podaci kojima raspolaže sistem elektronske identifikacije, u skladu sa kojim se obezbjeđuje novčanik digitalnog identiteta na nedvosmislen način predstavljaju fizičko ili pravno lice, odnosno organ vlasti ili fizičko lice koje zastupa drugo fizičko ili pravno lice, odnosno organ vlasti i da su lični identifikacioni podaci povezani sa tim novčanikom digitalnog identiteta;

7) fizičkim licima pruži mogućnost korišćenja besplatnog kvalifikovanog elektronskog potpisa.

Bliža pravila za zajedničke protokole i interfejse, kao i način izdavanja elektronskih potvrda atributa i ličnih identifikacionih podataka koji se izdaju za potrebe novčanika digitalnog identiteta iz stava 1 tač. 5 i 6 ovog člana, kao i druga pitanja od značaja za izdavanje elektronskih potvrda atributa i ličnih identifikacionih podataka, propisuje Ministarstvo.

Novčanik digitalnog identiteta može da ima dodatne funkcionalnosti, uključujući interoperabilnost sa sredstvima elektronske identifikacije koja su prijavljena u registar iz člana 37 ovog zakona, ako su te funkcionalnosti u skladu sa ovim zakonom.

Validacija novčanika digitalnog identiteta vrši se na besplatan način, kako bi se:

1) obezbijedilo da se autentičnost i validnost novčanika digitalnog identiteta mogu provjeriti;

2) korisnicima omogućilo da provjere autentičnost i validnost identiteta pouzdajućih strana koje su upisane u registar iz člana 21 ovog zakona.

Bliži način vršenja validacije iz stava 1 tačka 1 ovog člana propisuje Ministarstvo.