Ustawa z dnia 5 lipca 2018 r. o zmianie ustawy o usługach zaufania oraz identyfikacji elektronicznej oraz niektórych innych ustaw

W ustawie z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650) wprowadza się następujące zmiany

1)

w art. 1 w ust. 1 w pkt 4 kropkę zastępuje się średnikiem i dodaje się pkt 5 i 6 w

brzmieniu

„

5)

krajowy schemat identyfikacji elektronicznej;

6)

nadzór nad krajowym schematem identyfikacji elektronicznej.

”

;

2)

tytuł rozdziału 4 otrzymuje brzmienie

„

Krajowy schemat identyfikacji elektronicznej

”

;

3)

w rozdziale 4 dodaje się art. 21a-21z w brzmieniu

„

Art. 21a.

1.

Krajowy schemat identyfikacji elektronicznej obejmuje

1)

węzeł krajowy identyfikacji elektronicznej, zwany dalej „węzłem krajowym”;

2)

przyłączone do węzła krajowego

a)

systemy identyfikacji elektronicznej, w których wydawane są środki identyfikacji elektronicznej,

b)

systemy teleinformatyczne, w których udostępniane są usługi online;

3)

węzeł wykorzystywany w procesie transgranicznego uwierzytelniania osób, o którym mowa

w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, zwany dalej

„węzłem transgranicznym”.

2.

Węzeł krajowy jest rozwiązaniem organizacyjno-technicznym umożliwiającym uwierzytelnianie

użytkownika systemu teleinformatycznego, korzystającego z usługi online, z wykorzystaniem

środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej

przyłączonym do tego węzła bezpośrednio albo za pośrednictwem węzła transgranicznego.

3.

Wykorzystywanie środka identyfikacji elektronicznej do uwierzytelnienia użytkownika

systemu teleinformatycznego w celu realizacji usługi online świadczonej przez podmiot,

o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne

(Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000 i 1544), lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

jest nieodpłatne.

4.

Uwierzytelnienie użytkownika systemu teleinformatycznego w celu realizacji usługi

online wymaga użycia środka identyfikacji elektronicznej na poziomie bezpieczeństwa

określonym przez podmiot świadczący tę usługę.

5.

Funkcjonowanie węzła krajowego zapewnia minister właściwy do spraw informatyzacji.

6.

Minister właściwy do spraw informatyzacji przetwarza dane osobowe osób, którym wydano

środki identyfikacji elektronicznej, obejmujące

1)

imię (imiona),

2)

nazwisko,

3)

nazwisko rodowe,

4)

numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej,

o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,

5)

datę urodzenia,

6)

miejsce urodzenia,

7)

płeć,

8)

adres zamieszkania

- w celu uwierzytelnienia z wykorzystaniem węzła krajowego.

Art. 21b.

1.

Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji

elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu

siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po

1)

potwierdzeniu spełnienia przez ten system wymagań dla zadeklarowanych poziomów bezpieczeństwa

środków identyfikacji elektronicznej wydawanych w tym systemie, określonych w przepisach

wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;

2)

przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających

interoperacyjność systemów identyfikacji elektronicznej, z uwzględnieniem przepisów

wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014;

3)

zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania,

wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia

systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach

wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

4)

przedstawieniu przez podmiot odpowiedzialny za ten system dokumentu zawierającego

przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej

za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej

wydanych w systemie identyfikacji elektronicznej wnioskodawcy;

5)

przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu

tego podmiotu zgodnie z przepisami o ochronie danych osobowych;

6)

uzyskaniu pozytywnej opinii Szefa Agencji Bezpieczeństwa Wewnętrznego w przypadku,

o którym mowa w art. 21g ust. 6.

2.

Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje pod

warunkiem dostarczenia ministrowi właściwemu do spraw informatyzacji przez podmiot

odpowiedzialny za system identyfikacji elektronicznej, w terminie wskazanym przez

tego ministra, nie krótszym niż 30 dni, kopii umowy ubezpieczenia odpowiedzialności

cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej

wydanych w systemie identyfikacji elektronicznej wnioskodawcy.

3.

Po spełnieniu warunku, o którym mowa w ust. 2, przyłączenie systemu identyfikacji

elektronicznej do węzła krajowego następuje bez zbędnej zwłoki.

Art. 21c.

1.

Ubezpieczeniem, o którym mowa w art. 21b ust. 2, jest objęta odpowiedzialność cywilna

podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkodę wynikającą

z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji

elektronicznej wydanego w systemie identyfikacji elektronicznej, w usłudze online

świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania

w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej.

2.

Ubezpieczenie, o którym mowa w art. 21b ust. 2, nie obejmuje szkód

1)

wyrządzonych przez ubezpieczonego po dniu wydania ostatecznej decyzji o odłączeniu

systemu identyfikacji elektronicznej od węzła krajowego, chyba że szkoda jest następstwem

działania lub zaniechania, które miało miejsce w okresie przyłączenia do węzła krajowego,

2)

polegających na zapłacie kar umownych,

3)

powstałych wskutek siły wyższej

- chyba że w umowie ubezpieczenia zakres ochrony ubezpieczeniowej zostanie rozszerzony

również o szkody wynikające ze zdarzeń wskazanych w pkt 1-3.

3.

Ubezpieczenie, o którym mowa w art. 21b ust. 2, obejmuje wszystkie szkody w zakresie,

o którym mowa w ust. 1 i 2, bez możliwości umownego ograniczenia odpowiedzialności

przez zakład ubezpieczeń.

Art. 21d.

1.

Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym

do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi,

w drodze rozporządzenia, minimalną sumę gwarancyjną ubezpieczenia, o którym mowa w

art. 21b ust. 2, za szkody wynikające z działania lub zaniechania, wyrządzone w związku

z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji

elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. I ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowane przez awarie, przerwy lub błędy systemu lub przez zaciągnięcie zobowiązań

w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, uwzględniając

specyfikę działalności prowadzonej przez podmioty odpowiedzialne za systemy identyfikacji

elektronicznej.

2.

Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym

do spraw informatyzacji określi, w drodze rozporządzenia, wysokość kwot odpowiedzialności

podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkody wynikające

z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji

elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online

świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowane przez awarie, przerwy lub błędy systemu lub za zobowiązanie zaciągnięte

w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, w zależności

od poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie.

Art. 21e.

1.

Osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego, jest obowiązana

1)

korzystać ze środka identyfikacji elektronicznej zgodnie z warunkami określonymi przez

podmiot odpowiedzialny za system identyfikacji elektronicznej, w którym został wydany

ten środek;

2)

zgłaszać niezwłocznie podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej,

w którym został wydany ten środek, utratę, kradzież, przywłaszczenie środka identyfikacji

elektronicznej lub utratę wyłącznej kontroli nad danymi umożliwiającymi identyfikację

przy użyciu tego środka albo stwierdzenie nieuprawnionego użycia środka identyfikacji

elektronicznej.

2.

W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, osoba, której wydano środek

identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym

do węzła krajowego, z chwilą wydania tego środka podejmuje niezbędne działania służące

zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego środka lub danych umożliwiających

identyfikację przy użyciu tego środka.

Art. 21f.

W przypadku zgłoszenia, o którym mowa w art. 21e ust. 1 pkt 2, osoba, której wydano

środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym

do węzła krajowego, po dokonaniu zgłoszenia nie ponosi odpowiedzialności za zobowiązanie

zaciągnięte z wykorzystaniem środka identyfikacji elektronicznej.

Art. 21g.

1.

Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje na

wniosek podmiotu odpowiedzialnego za system identyfikacji elektronicznej.

2.

Wniosek zawiera

1)

imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności,

numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w

Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została

zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został

on nadany, podmiotu odpowiedzialnego za system identyfikacji elektronicznej;

2)

imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności,

numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w

Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została

zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został

on nadany, każdego podmiotu

a)

potwierdzającego tożsamość oraz weryfikującego dane identyfikujące osoby ubiegającej

się o wydanie środka identyfikacji elektronicznej,

b)

wydającego środki identyfikacji elektronicznej,

c)

zapewniającego funkcjonalność pozwalającą na uwierzytelnienie osób, którym wydano

środek identyfikacji elektronicznej

- w przypadku gdy czynności tych nie wykonuje podmiot odpowiedzialny za system identyfikacji

elektronicznej;

3)

nazwę i szczegółowy opis systemu identyfikacji elektronicznej, w tym opis środków

identyfikacji elektronicznej wydawanych w tym systemie z określeniem ich poziomu bezpieczeństwa,

o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014, oraz informacje techniczne

i organizacyjne dotyczące wykorzystania tych środków.

3.

Do wniosku dołącza się

1)

dokument potwierdzający spełnianie wymagań dla zadeklarowanych poziomów bezpieczeństwa

środków identyfikacji elektronicznej, określonych w przepisach wydanych na podstawie

art. 8 ust. 3 rozporządzenia 910/2014, w szczególności

a)

pozytywny wynik audytu systemu zarządzania bezpieczeństwem informacji obejmującego

swym zakresem system identyfikacji elektronicznej, którego dotyczy wniosek, albo

b)

pozytywny wynik audytu, o którym mowa w przepisach wydanych na podstawie art. 8 ust.

3 rozporządzenia 910/2014

- adekwatnie do poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych

w tym systemie;

2)

dokument zawierający przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia

odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków

identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy;

3)

oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art.

39b ust. 1 pkt 3;

4)

oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych.

4.

Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

5.

Minister właściwy do spraw informatyzacji informuje Szefa Agencji Bezpieczeństwa Wewnętrznego

o wpłynięciu wniosku, o którym mowa w ust. 1, w celu umożliwienia Szefowi Agencji

Bezpieczeństwa Wewnętrznego dokonania oceny, czy podmiot odpowiedzialny za system

identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, znajdują się

pod kontrolą korporacyjną, w tym faktycznym wpływem innego państwa, jego podmiotu

lub obywatela tego państwa, a w przypadku znajdowania się pod taką kontrolą, w celu

ustalenia, czy może zagrażać bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu

państwa.

6.

Szef Agencji Bezpieczeństwa Wewnętrznego może przeprowadzić postępowanie w celu dokonania

oceny, o której mowa w ust. 5, o czym informuje ministra właściwego do spraw informatyzacji

w terminie 7 dni od dnia otrzymania informacji o wpłynięciu wniosku.

7.

Kontrolą korporacyjną, o której mowa w ust. 5, są wszelkie formy bezpośredniego lub

pośredniego uzyskania przez podmiot uprawnień, które osobno albo łącznie, przy uwzględnieniu

wszystkich okoliczności prawnych i faktycznych, umożliwiają wywieranie decydującego

wpływu na podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot,

o którym mowa w ust. 2 pkt 2, a w szczególności w przypadku

1)

dysponowania bezpośrednio lub pośrednio większością głosów na zgromadzeniu wspólników

albo na walnym zgromadzeniu, także jako zastawnik albo użytkownik, bądź w zarządzie

innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;

2)

uprawnienia do powoływania lub odwoływania większości członków zarządu lub rady nadzorczej

innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;

3)

gdy członkowie jego zarządu lub rady nadzorczej stanowią więcej niż połowę członków

zarządu innego podmiotu (podmiotu zależnego);

4)

dysponowania bezpośrednio lub pośrednio większością głosów w spółce osobowej zależnej

albo na walnym zgromadzeniu spółdzielni zależnej, także na podstawie porozumień z

innymi osobami;

5)

dysponowania prawem do całego albo do części mienia innego podmiotu (podmiotu zależnego);

6)

umów przewidujących zarządzanie innym podmiotem (podmiotem zależnym) lub przekazywanie

zysku przez taki podmiot.

8.

W przypadku wszczęcia przez Szefa Agencji Bezpieczeństwa Wewnętrznego postępowania

w celu dokonania oceny, o której mowa w ust. 5, minister właściwy do spraw informatyzacji

wzywa podmiot odpowiedzialny za system identyfikacji elektronicznej do przekazania

danych niezbędnych do przeprowadzenia postępowania w stosunku do tego podmiotu lub

podmiotu, o którym mowa w ust. 2 pkt 2.

9.

Podmiot odpowiedzialny za system identyfikacji elektronicznej na żądanie ministra

właściwego do spraw informatyzacji obowiązany jest przekazać dane i dokumenty niezbędne

do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5.

10.

Agencja Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania w celu dokonania

oceny, o której mowa w ust. 5, wydaje pozytywną opinię, jeżeli podmiot odpowiedzialny

za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2

1)

nie znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela

tego państwa, albo

2)

znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela

tego państwa, ale kontrola ta nie zagraża bezpieczeństwu państwa, w tym bezpieczeństwu

ekonomicznemu państwa.

11.

Szef Agencji Bezpieczeństwa Wewnętrznego wydaje negatywną opinię w przypadku niespełnienia

odpowiednio przez podmiot odpowiedzialny za system identyfikacji elektronicznej lub

podmiot, o którym mowa w ust. 2 pkt 2, warunków, o których mowa w ust. 10.

12.

Opinia Szefa Agencji Bezpieczeństwa Wewnętrznego zawiera oddzielnie stanowisko w stosunku

do każdego z ocenianych podmiotów.

13.

Rada Ministrów określi, w drodze rozporządzenia, zakres danych i dokumentów niezbędnych

do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5, mając

na uwadze potrzebę zapewnienia kompletności danych i dokumentów niezbędnych do wydania

opinii oraz zapewnienie sprawności postępowania.

14.

Termin postępowania w sprawie przeprowadzenia oceny, o której mowa w ust. 5, wynosi

30 dni od otrzymania danych i dokumentów niezbędnych do przeprowadzenia postępowania

i może zostać wydłużony o kolejne 30 dni w przypadkach szczególnie uzasadnionych.

Okresu przeprowadzenia postępowania nie wlicza się do terminów przewidzianych na wydanie

decyzji, o której mowa w art. 21b ust. 1.

Art. 21h.

Minister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów

załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których

mowa w art. 21b ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną

w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Art. 21i.

Minister właściwy do spraw informatyzacji informuje podmiot odpowiedzialny za system

identyfikacji elektronicznej na piśmie, w postaci papierowej albo elektronicznej,

o

1)

przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego;

2)

każdej zmianie polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3.

Art. 21j.

W przypadku niespełniania wymagań, o których mowa w art. 21b ust. 1, minister właściwy

do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu identyfikacji

elektronicznej do węzła krajowego.

Art. 21k.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego dostarcza ministrowi właściwemu do spraw informatyzacji

1)

dokumenty potwierdzające spełnianie aktualnych wymagań dla wskazanych we wniosku poziomów

bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 21g ust.

3 pkt 1, w przypadku zmiany przepisów wydanych na podstawie art. 8 ust. 3 rozporządzenia

910/2014, w terminie 14 dni od dnia wejścia w życie zmiany tych przepisów;

2)

kopię kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone

w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie

identyfikacji elektronicznej wnioskodawcy, w terminie 14 dni od dnia jej zawarcia.

Art. 21l.

1.

Ponowne złożenie wniosku, o którym mowa w art. 21g ust. 1, wymagane jest w przypadku

1)

zmiany poziomu bezpieczeństwa środka identyfikacji elektronicznej, wydawanego w systemie

identyfikacji elektronicznej przyłączonym do węzła krajowego;

2)

uruchomienia w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego

środka identyfikacji elektronicznej nieobjętego zakresem wniosku, na podstawie którego

została wydana decyzja o przyłączeniu systemu identyfikacji elektronicznej do węzła

krajowego;

3)

wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku,

o którym mowa w art. 21s ust. 3.

2.

Umożliwienie korzystania za pośrednictwem węzła krajowego ze środków identyfikacji

elektronicznej, o których mowa w ust. 1, następuje po pozytywnym rozpatrzeniu wniosku

i przeprowadzeniu testów integracyjnych.

Art. 21m.

Do węzła krajowego przyłącza się system teleinformatyczny zapewniający obsługę publicznego

systemu identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne.

Art. 21n.

1.

Minister właściwy do spraw informatyzacji prowadzi rejestr systemów identyfikacji

elektronicznej przyłączonych do węzła krajowego, zwany dalej „rejestrem systemów”.

2.

Rejestr systemów jest jawny.

3.

Podstawą do wpisania systemu identyfikacji elektronicznej do rejestru systemów jest

decyzja, o której mowa w art. 21b ust. 1. Wpis jest czynnością materialno-techniczną.

4.

Do rejestru systemów wpisuje się

1)

informacje zawarte we wniosku, o którym mowa w art. 21g ust. 1;

2)

datę przyłączenia systemu identyfikacji elektronicznej do węzła krajowego;

3)

informacje o zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji

elektronicznej wydawanymi w systemie identyfikacji elektronicznej przyłączonym do

węzła krajowego;

4)

informacje o otwarciu likwidacji podmiotu odpowiedzialnego za system identyfikacji

elektronicznej oraz datę jego likwidacji;

5)

informacje o ogłoszeniu upadłości podmiotu odpowiedzialnego za system identyfikacji

elektronicznej lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych

w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe oraz datę zakończenia postępowania upadłościowego;

6)

informacje o zawieszeniu możliwości korzystania z systemu identyfikacji elektronicznej

lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych

w tym systemie;

7)

informacje o przywróceniu możliwości korzystania z systemu identyfikacji elektronicznej

lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych

w tym systemie;

8)

informację o tym, czy system identyfikacji elektronicznej został przyłączony do węzła

transgranicznego;

9)

datę wykreślenia z rejestru systemów podmiotu odpowiedzialnego za system identyfikacji

elektronicznej.

Art. 21o.

1.

Informacje i dane zawarte w dokumentach potwierdzających spełnianie wymagań, o których

mowa w art. 21b ust. 1, których ujawnienie mogłoby narazić na szkodę podmiot odpowiedzialny

za system identyfikacji elektronicznej, objęte są tajemnicą.

2.

Informacje i dane objęte tajemnicą udostępnia się wyłącznie na żądanie

1)

sądu lub prokuratora - w związku z toczącym się postępowaniem;

2)

innych upoważnionych organów - w związku z prowadzonym przez te organy postępowaniem;

3)

Szefa Agencji Bezpieczeństwa Wewnętrznego.

Art. 21p.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego

1)

zarządza systemem identyfikacji elektronicznej oraz ponosi koszty jego utrzymania

i rozwoju;

2)

potwierdza tożsamość oraz weryfikuje dane identyfikujące osoby ubiegającej się o wydanie

środka identyfikacji elektronicznej w sposób adekwatny do poziomu bezpieczeństwa danego

środka identyfikacji elektronicznej, zgodnie z wymaganiami określonymi w przepisach

wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;

3)

wydaje, zawiesza i unieważnia środki identyfikacji elektronicznej;

4)

zapewnia funkcjonalność pozwalającą na uwierzytelnienie osoby, której wydano środek

identyfikacji elektronicznej, z wykorzystaniem tego środka;

5)

zapisuje i zachowuje informacje związane z wydawaniem, zawieszaniem i unieważnianiem

środków identyfikacji elektronicznej oraz zapewnieniem rozliczalności i niezaprzeczalności

działań użytkowników korzystających z tych środków;

6)

stosuje politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt

3;

7)

unieważnia środki identyfikacji elektronicznej wydane przez podmiot, w stosunku do

którego Szef Agencji Bezpieczeństwa Wewnętrznego wydał negatywną opinię w przypadku,

o którym mowa w art. 21s ust. 3.

2.

Czynności, o których mowa w ust. 1 pkt 2-5 i 7, mogą wykonywać podmioty inne niż podmiot

odpowiedzialny za system identyfikacji elektronicznej, spełniające wymogi określone

w art. 21b ust. 1 pkt 1, 3 i 5, o ile posiadają siedzibę na terenie jednego z państw

członkowskich Unii Europejskiej. Odpowiedzialność za czynności wykonywane przez podmioty

inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej ponosi podmiot

odpowiedzialny za system identyfikacji elektronicznej.

3.

Podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej stosują

politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt 3.

Art. 21q.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przetwarza dane osobowe

osób, którym w tym systemie wydano środki identyfikacji elektronicznej, obejmujące

1)

imię (imiona),

2)

nazwisko,

3)

nazwisko rodowe,

4)

numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej,

o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,

5)

datę urodzenia,

6)

miejsce urodzenia,

7)

płeć,

8)

adres zamieszkania

- w celu realizacji zadań, o których mowa w art. 21p ust. 1 pkt 1-5 i 7.

2.

Podmiot, o którym mowa w art. 21p, inny niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego

2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

zapewniając możliwość uwierzytelniania w usługach online, nie może pozyskiwać, przechowywać

oraz przetwarzać danych dotyczących realizacji tych usług, innych niż dane niezbędne

do zrealizowania procesu uwierzytelnienia.

Art. 21r.

1.

W przypadku gdy nastąpi naruszenie bezpieczeństwa systemu identyfikacji elektronicznej

przyłączonego do węzła krajowego lub części środków identyfikacji elektronicznej wydanych

w tym systemie, mogące mieć wpływ na rozliczalność i niezaprzeczalność działań wykonywanych

z wykorzystaniem tego systemu lub części środków identyfikacji elektronicznej wydanych

w tym systemie, podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony

do węzła krajowego niezwłocznie zawiesza możliwość uwierzytelniania z wykorzystaniem

środków identyfikacji elektronicznej, których dotyczy naruszenie bezpieczeństwa.

2.

Po usunięciu naruszenia bezpieczeństwa systemu identyfikacji elektronicznej lub zawieszonej

części środków identyfikacji elektronicznej podmiot odpowiedzialny za system identyfikacji

elektronicznej przyłączony do węzła krajowego przywraca możliwość uwierzytelniania

za pomocą środków identyfikacji elektronicznej, których dotyczyło zawieszenie.

Art. 21s.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego informuje ministra właściwego do spraw informatyzacji o

1)

każdej zmianie dotyczącej systemu identyfikacji elektronicznej przyłączonego do węzła

krajowego mającej wpływ na aktualność danych wpisanych do rejestru systemów - w terminie

14 dni od dnia zmiany tych danych;

2)

zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji elektronicznej

wydawanymi w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego

- w terminie 12 miesięcy przed planowanym zaprzestaniem świadczenia tych usług;

3)

otwarciu jego likwidacji, ogłoszeniu jego upadłości lub oddaleniu wniosku o ogłoszenie

upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe - niezwłocznie;

4)

zawieszeniu możliwości uwierzytelniania z powodu naruszenia bezpieczeństwa, o którym

mowa w art. 21r ust. 1, oraz przywróceniu możliwości uwierzytelniania po usunięciu

naruszenia bezpieczeństwa, o którym mowa w art. 21r ust. 2 - niezwłocznie, nie później

niż w ciągu 24 godzin od momentu odpowiednio wykrycia naruszenia bezpieczeństwa oraz

usunięcia naruszenia bezpieczeństwa.

2.

Minister właściwy do spraw informatyzacji po otrzymaniu danych, o których mowa w ust.

1, przekazuje je Szefowi Agencji Bezpieczeństwa Wewnętrznego, jeżeli istnieją uzasadnione

przesłanki pozwalające wnioskować, iż zmiany tych danych mogą mieć wpływ na bezpieczeństwo

publiczne, bezpieczeństwo państwa lub zagrażają w sposób bezpośredni bezpieczeństwu

systemów teleinformatycznych państwa.

3.

Szef Agencji Bezpieczeństwa Wewnętrznego, w przypadku powzięcia informacji o okolicznościach

prawnych lub faktycznych dotyczących struktury właścicielskiej podmiotu odpowiedzialnego

za system identyfikacji elektronicznej lub podmiotu, o którym mowa w art. 21g ust.

2 pkt 2, które mogą zagrozić bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu

państwa, przeprowadza postępowanie w tej sprawie. Do postępowania stosuje się odpowiednio

przepisy art. 21g ust. 5-13.

4.

Szef Agencji Bezpieczeństwa Wewnętrznego przeprowadza postępowanie, o którym mowa

w ust. 3, również na polecenie Prezesa Rady Ministrów lub ministra członka Rady Ministrów

właściwego do spraw koordynowania działalności służb specjalnych.

5.

Szef Agencji Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania przekazuje

opinię ministrowi właściwemu do spraw informatyzacji.

6.

Minister właściwy do spraw informatyzacji przekazuje opinię podmiotowi odpowiedzialnemu

za system identyfikacji elektronicznej.

Art. 21t.

1.

Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu do węzła krajowego

systemu teleinformatycznego, w którym udostępniane są usługi online, po

1)

zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania,

wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia

systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach

wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

2)

przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających

interoperacyjność tego systemu z węzłem krajowym;

3)

przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu

tego podmiotu zgodnie z przepisami o ochronie danych osobowych;

4)

wskazaniu interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego

- w przypadku podmiotu innego niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014.

2.

Ocena interesu faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo

i interes publiczny.

Art. 21u.

1.

Przyłączenie systemu, o którym mowa w art. 21t ust. 1, do węzła krajowego następuje

na wniosek podmiotu odpowiedzialnego za ten system.

2.

Wniosek zawiera nazwę podmiotu odpowiedzialnego za system albo jego imię i nazwisko

oraz wskazanie adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej

albo adresu zamieszkania.

3.

Do wniosku dołącza się

1)

oświadczenie o zapewnieniu przez podmiot odpowiedzialny za ten system opracowania,

ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania

i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi

w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

2)

oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art.

39b ust. 1 pkt 3;

3)

listę usług online udostępnianych w tym systemie wraz z określeniem dla każdej z tych

usług wymaganych poziomów bezpieczeństwa środków identyfikacji elektronicznej, o których

mowa w art. 8 ust. 2 rozporządzenia 910/2014, niezbędnych dla realizacji tych usług;

4)

oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych;

5)

uzasadnienie interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego

- w przypadku podmiotu innego niż podmiot, o których mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014.

4.

Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

Art. 21v.

Minister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów

załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których

mowa w art. 21t ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną

w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Art. 21w.

Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi

online, przyłączony do węzła krajowego, niezwłocznie informuje ministra właściwego

do spraw informatyzacji o każdej zmianie danych zawartych w liście usług, o której

mowa w art. 21u ust. 3 pkt 3.

Art. 21x.

Minister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej

na swojej stronie podmiotowej informację o przyłączonych do węzła krajowego systemach

teleinformatycznych, w którym udostępniane są usługi online.

Art. 21y.

W przypadku niespełniania wymagań, o których mowa w art. 21t ust. 1, minister właściwy

do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu teleinformatycznego,

w którym udostępniane są usługi online, do węzła krajowego.

Art. 21z.

Do węzła krajowego przyłącza się elektroniczną platformę usług administracji publicznej.

”

;

4)

w art. 22

a)

ust. 1 otrzymuje brzmienie

„

1.

Minister właściwy do spraw informatyzacji zapewnia funkcjonowanie węzła transgranicznego,

zgodnie z rozporządzeniem 910/2014.

”

,

b)

uchyla się ust. 2,

c)

dodaje się ust. 3 i 4 w brzmieniu

„

3.

Do notyfikacji, o której mowa w art. 9 rozporządzenia 910/2014, mogą być zgłaszane

wyłącznie systemy identyfikacji elektronicznej przyłączone do węzła krajowego, jeżeli

zostało potwierdzone spełnienie warunków, o których mowa w art. 7 tego rozporządzenia.

4.

Notyfikowany system identyfikacji elektronicznej jest przyłączany do węzła transgranicznego

za pośrednictwem węzła krajowego.

”

;

5)

w art. 24

a)

ust. 1 otrzymuje brzmienie

„

1.

Wniosek o notyfikowanie systemu identyfikacji elektronicznej w Komisji Europejskiej

składa do ministra właściwego do spraw informatyzacji podmiot odpowiedzialny za ten

system.

”

,

b)

ust. 3 i 4 otrzymują brzmienie

„

3.

Minister właściwy do spraw informatyzacji może zgłosić system identyfikacji elektronicznej

do przeprowadzenia wzajemnej oceny, o której mowa w art. 12 ust. 6 lit. c rozporządzenia

910/2014, po pozytywnym zweryfikowaniu wniosku, o którym mowa w ust. 1, biorąc pod

uwagę warunki kwalifikowania się systemu do notyfikowania wskazane w art. 7 tego rozporządzenia

oraz politykę państwa w zakresie identyfikacji elektronicznej.

4.

Minister właściwy do spraw informatyzacji zgłasza system identyfikacji elektronicznej

do notyfikacji, o której mowa w art. 9 rozporządzenia 910/2014, biorąc pod uwagę wynik

wzajemnej oceny, o której mowa w przepisach wykonawczych wydanych na podstawie art.

12 ust. 7 tego rozporządzenia.

”

;

6)

art. 25 otrzymuje brzmienie

„

Art. 25.

Podmioty odpowiedzialne za systemy teleinformatyczne, w których udostępniane są usługi

online, przyłączane do węzła krajowego określają wymagane poziomy bezpieczeństwa środków

identyfikacji elektronicznej, o których mowa w art. 8 ust. 2 rozporządzenia 910/2014,

niezbędne dla realizacji tych usług.

”

;

7)

w art. 26 ust. 2 otrzymuje brzmienie

„

2.

Informacje dotyczące naruszenia bezpieczeństwa notyfikowanego systemu identyfikacji

elektronicznej albo uwierzytelnienia, o którym mowa w art. 10 rozporządzenia 910/2014,

podmiot odpowiedzialny za ten system przekazuje niezwłocznie, nie później niż w ciągu

24 godzin od momentu wykrycia naruszenia, drogą elektroniczną, ministrowi właściwemu

do spraw informatyzacji.

”

;

8)

po rozdziale 5 dodaje się rozdział 5a w brzmieniu

„

Rozdział 5a

Nadzór nad krajowym schematem identyfikacji elektronicznej

Art. 39a.

Nadzór nad krajowym schematem identyfikacji elektronicznej sprawuje minister właściwy

do spraw informatyzacji.

Art. 39b.

1.

W ramach nadzoru minister właściwy do spraw informatyzacji

1)

prowadzi kontrole

a)

spełniania przez systemy identyfikacji elektronicznej przyłączone do węzła krajowego

wymagań, o których mowa w art. 21b ust. 1,

b)

spełniania przez systemy teleinformatyczne, w których udostępniane są usługi online,

przyłączone do węzła krajowego wymagań, o których mowa w art. 21t ust. 1;

2)

prowadzi działania zapobiegające naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji

elektronicznej, w szczególności dokonuje systematycznego szacowania ryzyka wystąpienia

incydentów w krajowym schemacie identyfikacji elektronicznej;

3)

określa i udostępnia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej

politykę bezpieczeństwa węzła krajowego;

4)

uczestniczy w inicjatywach krajowych i międzynarodowych mających na celu podnoszenie

bezpieczeństwa węzła krajowego, węzła transgranicznego oraz systemów identyfikacji

elektronicznej;

5)

współpracuje z organem właściwym do spraw ochrony danych osobowych.

2.

W ramach działań zapobiegających naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji

elektronicznej minister właściwy do spraw informatyzacji

1)

prowadzi systematyczne szacowanie ryzyka wystąpienia incydentów, przez które rozumie

się każde zdarzenie, które ma lub może mieć niekorzystny wpływ na poufność danych

albo rozliczalność działań dokonywanych w ramach świadczonych usług w krajowym schemacie

identyfikacji elektronicznej, w tym za pośrednictwem węzła krajowego;

2)

wdraża, rozwija i upowszechnia stosowanie środków technicznych i organizacyjnych uwzględniających

najnowszy stan wiedzy, odpowiednich i proporcjonalnych do zidentyfikowanych ryzyk,

zapewniających bezpieczeństwo systemów teleinformatycznych wykorzystywanych do świadczenia

usług za pośrednictwem węzła krajowego;

3)

po dostrzeżeniu podatności lub zagrożeń naruszających lub mogących naruszać poufność,

integralność, dostępność i autentyczność danych przetwarzanych w systemach teleinformatycznych

działających w ramach krajowego schematu identyfikacji elektronicznej niezwłocznie

podejmuje działania zaradcze.

Art. 39c.

1.

W przypadku naruszenia polityki bezpieczeństwa węzła krajowego lub niespełniania wymagań,

o których mowa w art. 21b ust. 1, dotyczących systemu identyfikacji elektronicznej

przyłączonego do węzła krajowego, w zakresie mającym wpływ na wiarygodność uwierzytelnienia

z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie, minister

właściwy do spraw informatyzacji wydaje decyzję o zawieszeniu

1)

możliwości korzystania z tego systemu, jeżeli naruszenie dotyczy całego systemu, albo

2)

możliwości korzystania z części środków identyfikacji elektronicznej wydanych w tym

systemie, jeżeli naruszenie dotyczy części środków identyfikacji elektronicznej i

zawieszenie takie jest możliwe technicznie.

2.

Minister właściwy do spraw informatyzacji wydaje decyzję o przywróceniu możliwości

korzystania z systemu identyfikacji elektronicznej lub zawieszonej części środków

identyfikacji elektronicznej niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego

za system identyfikacji elektronicznej potwierdzenia usunięcia naruszenia, które było

podstawą do zawieszenia, o którym mowa w ust. 1.

3.

Decyzja, o której mowa w ust. 1, podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia

30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.

Art. 39d.

Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu identyfikacji

elektronicznej od węzła krajowego i odłącza ten system od węzła krajowego w przypadku

1)

złożenia przez podmiot odpowiedzialny za system identyfikacji elektronicznej wniosku

o odłączenie od węzła krajowego;

2)

zaprzestania prowadzenia działalności przez podmiot odpowiedzialny za system identyfikacji

elektronicznej;

3)

nieusunięcia przyczyny zawieszenia możliwości uwierzytelniania, o której mowa w art.

21r ust. 1, lub możliwości korzystania z systemu, o której mowa w art. 39c ust. 1,

w terminie 3 miesięcy od dnia jego zawieszenia;

4)

nieprzedstawienia kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody

wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych

w systemie identyfikacji elektronicznej;

5)

wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku,

o którym mowa w art. 21s ust. 3, w stosunku do podmiotu odpowiedzialnego za system

identyfikacji elektronicznej.

Art. 39e.

1.

Decyzja o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego jest

podstawą do wykreślenia tego systemu z rejestru systemów.

2.

Decyzja podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami

administracyjnymi nie stosuje się.

Art. 39f.

Podmiot odpowiedzialny za system identyfikacji elektronicznej, na żądanie ministra

właściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego,

z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie

chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które

są bezpośrednio związane z funkcjonowaniem systemu identyfikacji elektronicznej, w

tym dotyczą naruszeń, o których mowa w art. 21r ust. 1 lub art. 39c ust. 1.

Art. 39g.

1.

W przypadku naruszenia polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt

3, lub niespełniania wymagań, o których mowa w art. 21t ust. 1, dotyczących systemu

teleinformatycznego, w którym udostępniane są usługi online, przyłączonego do węzła

krajowego, w zakresie mającym wpływ na bezpieczeństwo uwierzytelnienia z wykorzystaniem

węzła krajowego, minister właściwy do spraw informatyzacji zawiesza w tym systemie

możliwość uwierzytelniania z wykorzystaniem węzła krajowego.

2.

Minister właściwy do spraw informatyzacji przywraca możliwość uwierzytelniania z wykorzystaniem

węzła krajowego w systemie teleinformatycznym, w którym udostępniane są usługi online,

niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za ten system potwierdzenia

usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1.

Art. 39h.

Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu teleinformatycznego,

w którym udostępniane są usługi online, i odłącza ten system od węzła krajowego w

przypadku

1)

złożenia przez podmiot odpowiedzialny za ten system wniosku o odłączenie systemu od

węzła krajowego;

2)

zaprzestania udostępniania usług online w tym systemie;

3)

nieusunięcia przyczyny zawieszenia tego systemu, o której mowa w art. 39g ust. 1,

w terminie 3 miesięcy od dnia jego zawieszenia.

Art. 39i.

Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi

online, na żądanie ministra właściwego do spraw informatyzacji oraz Szefa Agencji

Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych

i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz

udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem tego systemu,

w tym dotyczą naruszeń, o których mowa w art. 39g ust. 1.

Art. 39j.

1.

Kontrola, o której mowa w art. 39b ust. 1 pkt 1, jest przeprowadzana przez osoby upoważnione

przez ministra właściwego do spraw informatyzacji.

2.

Osoby, o których mowa w ust. 1, są uprawnione do

1)

wstępu do obiektów i pomieszczeń podmiotu odpowiedzialnego za system identyfikacji

elektronicznej lub podmiotu wydającego środek identyfikacji elektronicznej w tym systemie;

2)

wglądu do dokumentów zawierających dane dotyczące funkcjonowania systemu identyfikacji

elektronicznej oraz wydanych w tym systemie środków identyfikacji elektronicznej;

3)

przetwarzania danych osobowych w zakresie objętym przedmiotem kontroli;

4)

przeprowadzania oględzin obiektów oraz innych składników majątkowych związanych z

funkcjonowaniem systemu identyfikacji elektronicznej, a także sprawdzania przebiegu

czynności związanych z wydawaniem środków identyfikacji elektronicznej oraz oceny

technicznej środków identyfikacji elektronicznej;

5)

żądania udzielenia ustnych lub pisemnych wyjaśnień od pracowników podmiotu odpowiedzialnego

za system identyfikacji elektronicznej, podmiotu wydającego środek identyfikacji elektronicznej

oraz przeprowadzającego procedurę uwierzytelniania w tym systemie;

6)

zabezpieczania dokumentów i innych materiałów, z zachowaniem przepisów o ochronie

informacji niejawnych i innych informacji prawnie chronionych.

Art. 39k.

W przypadku gdy wyniki kontroli wykażą niezgodność z przepisami ustawy, minister właściwy

do spraw informatyzacji, po zapoznaniu się z zastrzeżeniami oraz wyjaśnieniami zgłoszonymi

przez podmiot kontrolowany, może wydać decyzję nakładającą obowiązek usunięcia stwierdzonych

niezgodności w terminie nie krótszym niż 14 dni.

Art. 39l.

W sprawach nieuregulowanych w ustawie, do przeprowadzenia kontroli, o której mowa

w art. 39b ust. 1 pkt 1, stosuje się odpowiednio przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców

(Dz. U. poz. 646 i 1479).

”

;

9)

po art. 40 dodaje się art. 40a w brzmieniu

„

Art. 40a.

Kto posługuje się cudzym środkiem identyfikacji elektronicznej, wydawanym w systemie

identyfikacji elektronicznej przyłączonym do węzła krajowego, w celu uzyskania nieuprawnionego

dostępu do usługi online,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

”

;

10)

po art. 41 dodaje się art. 41a w brzmieniu

„

Art. 41a.

Kto bez uprawnienia kopiuje lub przechowuje nieprzyporządkowane do niego dane pozwalające

na identyfikowanie się z wykorzystaniem środka identyfikacji elektronicznej, wydawanym

w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

”

;

11)

art. 44 otrzymuje brzmienie

„

Art. 44.

Kto wydaje środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego osobie nieuprawnionej,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

”

;

12)

w art. 47 ust. 1 otrzymuje brzmienie

„

1.

Kary pieniężne, o których mowa w art. 46, art. 47a i art. 47b, nakłada, w drodze decyzji,

minister właściwy do spraw informatyzacji.

”

;

13)

po art. 47 dodaje się art. 47a i art. 47b w brzmieniu

„

Art. 47a.

Kto w sposób nieuprawniony gromadzi, przetwarza lub powiela dane dotyczące wykorzystania

środka identyfikacji elektronicznej, wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego,

podlega karze pieniężnej w wysokości do 1 000 000 zł.

Art. 47b.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego, który w wyniku świadomego działania lub zaniechania dopuścił w swoim systemie

identyfikacji elektronicznej do uwierzytelnienia z wykorzystaniem środka identyfikacji

elektronicznej, co do którego posiada wiedzę, że nie pozostaje on pod wyłączną kontrolą

osoby, której ten środek wydano,

podlega karze pieniężnej w wysokości do 1 000 000 zł.

”

;

14)

w art. 96 w pkt 4 uchyla się lit. a;

15)

w art. 137 dotychczasową treść oznacza się jako ust. 1 i dodaje się ust. 2 w brzmieniu

„

2.

Dostawcy usług zaufania, producenci oprogramowania oraz podmioty publiczne obowiązani

są do odpowiedniego dostosowania oprogramowania oraz systemów teleinformatycznych

do zmian i terminu określonych w ust. 1.

”

;

16)

art. 142 otrzymuje brzmienie

„

Art. 142.

Ustawa wchodzi w życie po upływie 7 dni od dnia ogłoszenia, z wyjątkiem art. 22 oraz

art. 24-26, które wchodzą w życie z dniem 29 września 2018 r.

”

.

W ustawie z dnia 14 czerwca 1960 r. - Kodeks postępowania administracyjnego

(Dz. U. z 2017 r. poz. 1257 oraz z 2018 r. poz. 149 i 650) w art. 33 w § 2a i w § 3a w zdaniu pierwszym, w art. 63 w § 3a w pkt 1, w art. 76a

w § 2a w zdaniu pierwszym oraz w art. 220 w § 3 użyte w różnym przypadku wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

W ustawie z dnia 17 listopada 1964 r. - Kodeks postępowania cywilnego

(Dz. U. z 2018 r. poz. 1360, 1467 i 1499) w art. 126 w § 5 oraz w art. 694„podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 6 kwietnia 1990 r. o Policji

(Dz. U. z 2017 r. poz. 2067, z późn. zm. w art. 20a

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych policjanci mogą posługiwać się

środkami identyfikacji elektronicznej zawierającymi dane inne niż dane identyfikujące

policjanta.

”

;

2)

ust. 3 otrzymuje brzmienie

„

3.

W szczególnie uzasadnionych przypadkach przepisy ust. 2 i 2a mogą mieć zastosowanie

do osób, o których mowa w art. 22 ust. 1.

”

;

3)

w ust. 3a

a)

pkt 1-4 otrzymują brzmienie

„

1)

kto poleca sporządzenie lub kieruje sporządzeniem dokumentów lub wydawaniem środków

identyfikacji elektronicznej, o których mowa w ust. 2, 2a i 3;

2)

kto sporządza dokumenty lub wydaje środki identyfikacji elektronicznej, o których

mowa w ust. 2, 2a i 3;

3)

kto udziela pomocy w sporządzeniu dokumentów lub wydawaniu środków identyfikacji elektronicznej,

o których mowa w ust. 2, 2a i 3;

4)

policjant lub osoba wymieniona w ust. 3, jeżeli dokumentami lub środkami identyfikacji

elektronicznej, o których mowa w ust. 2, 2a i 3, posługują się przy wykonywaniu czynności

operacyjno-rozpoznawczych;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, policjantowi

albo osobom, o których mowa w ust. 3, lub dopuszcza do uwierzytelnienia z wykorzystaniem

takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji elektronicznej.

”

.

W ustawie z dnia 12 października 1990 r. o Straży Granicznej

(Dz. U. z 2017 r. poz. 2365, z późn. zm. w art. 9c

1)

po ust. 2a dodaje się ust. 2b i 2c w brzmieniu

„

2b.

Przy wykonywaniu czynności operacyjno-rozpoznawczych funkcjonariusze mogą posługiwać

się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane identyfikujące

funkcjonariusza.

2c.

Nie popełnia przestępstwa

1)

kto poleca sporządzenie lub kieruje sporządzeniem dokumentów lub wydawaniem środków

identyfikacji elektronicznej, o których mowa w ust. 2 i 2b;

2)

kto sporządza dokumenty lub wydaje środki identyfikacji elektronicznej, o których

mowa w ust. 2 i 2b;

3)

kto udziela pomocy w sporządzeniu dokumentów lub wydawaniu środków identyfikacji elektronicznej,

o których mowa w ust. 2 i 2b;

4)

funkcjonariusz, jeżeli dokumentami lub środkami identyfikacji elektronicznej, o których

mowa w ust. 2 i 2b, posługuje się przy wykonywaniu czynności operacyjno-rozpoznawczych;

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2b, funkcjonariuszowi,

lub dopuszcza do uwierzytelnienia z wykorzystaniem takiego środka identyfikacji elektronicznej

w swoim systemie identyfikacji elektronicznej.

”

.

W ustawie z dnia 21 czerwca 1996 r. o szczególnych formach sprawowania nadzoru przez

ministra właściwego do spraw wewnętrznych

(Dz. U. poz. 491, z późn. zm. w art. 11u

1)

po ust. 1 dodaje się ust. 1a w brzmieniu

„

1a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych inspektorzy Biura mogą posługiwać

się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane identyfikujące

inspektora Biura.

”

;

2)

ust. 2 otrzymuje brzmienie

„

2.

W szczególnie uzasadnionych przypadkach przepisy ust. 1 i 1a mogą mieć zastosowanie

do osób, o których mowa w art. 11z ust. 1.

”

;

3)

w ust. 3

a)

pkt 1-4 otrzymują brzmienie

„

1)

kto poleca sporządzenie lub kieruje sporządzeniem dokumentów lub wydawaniem środków

identyfikacji elektronicznej, o których mowa w ust. 1, 1a i 2;

2)

kto sporządza dokumenty lub wydaje środki identyfikacji elektronicznej, o których

mowa w ust. 1, 1a i 2;

3)

kto udziela pomocy w sporządzeniu dokumentów lub wydawaniu środków identyfikacji elektronicznej,

o których mowa w ust. 1, 1a i 2;

4)

inspektor Biura lub osoba wymieniona w ust. 2, jeżeli dokumentami lub środkami identyfikacji

elektronicznej, o których mowa w ust. 1, 1a i 2, posługują się przy wykonywaniu czynności

operacyjno-rozpoznawczych;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 1a, inspektorowi

Biura albo osobom, o których mowa w ust. 2, lub dopuszcza do uwierzytelnienia z wykorzystaniem

takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji elektronicznej.

”

.

W ustawie z dnia 5 grudnia 1996 r. o zawodach lekarza i lekarza dentysty

(Dz. U. z 2018 r. poz. 617, 650, 697, 1515 i 1532) w art. 3 w ust. 7 w pkt 1 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 20 czerwca 1997 r. - Prawo o ruchu drogowym

(Dz. U. z 2017 r. poz. 1260, z późn. zm. w art. 80c w ust. 5 w zdaniu pierwszym, w art. 80cc w ust. 2 w zdaniu pierwszym,

w art. 80cd w ust. 2 w zdaniu pierwszym, w art. 80ce w ust. 2, w art. 100ah w ust.

4 w zdaniu pierwszym, w art. 100ak w ust. 2 w zdaniu pierwszym, w art. 100al w ust.

2 w zdaniu pierwszym oraz w art. 100am w ust. 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 20 sierpnia 1997 r. o Krajowym Rejestrze Sądowym

(Dz. U. z 2018 r. poz. 986) w art. 19 w ust. 2b oraz w art. 19e w ust. 2 w zdaniu pierwszym i w zdaniu drugim

wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 29 sierpnia 1997 r. - Ordynacja podatkowa

(Dz. U. z 2018 r. poz. 800, z późn. zm. wprowadza się następujące zmiany

1)

w art. 3f § 1 otrzymuje brzmienie

„

§ 1.

Uwierzytelnianie podatników, płatników, inkasentów, ich następców prawnych oraz osób

trzecich na portalu podatkowym wymaga użycia danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, profilu zaufanego albo innego środka identyfikacji

elektronicznej, wydanego w systemie identyfikacji elektronicznej przyłączonym do węzła

krajowego identyfikacji elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w portalu podatkowym.

”

;

2)

w art. 14c w § 4, w art. 138a w § 3 i w § 5 w zdaniu pierwszym, w art. 144b w § 1

i w § 2 w pkt 1, w art. 159 w § 2, w art. 168 w § 3a w pkt 1, w art. 194a w § 2a w

zdaniu pierwszym, w art. 210 w § 1 w pkt 8, w art. 217 w § 1 w pkt 7, w art. 282b

w § 4 w pkt 6 oraz w art. 306d w § 3 użyte w różnym przypadku wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

W ustawie z dnia 4 września 1997 r. o działach administracji rządowej

(Dz. U. z 2018 r. poz. 762, 810, 1090 i 1467) w art. 12a w ust. 1 po pkt 13 dodaje się pkt 13a w brzmieniu

„

13a)

identyfikacji elektronicznej;

”

.

W ustawie z dnia 13 października 1998 r. o systemie ubezpieczeń społecznych

(Dz. U. z 2017 r. poz. 1778, z późn. zm.wart. 39a w ust. 1 we wprowadzeniu do wyliczenia wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 25 czerwca 1999 r. o świadczeniach pieniężnych z ubezpieczenia społecznego

w razie choroby i macierzyństwa

(Dz. U. z 2017 r. poz. 1368 oraz z 2018 r. poz. 1076) w art. 54 w ust. 1, w art. 55 w ust. 1, w art. 55a w ust. 7 w zdaniu pierwszym i

w ust. 9 w zdaniu drugim, w art. 58a w ust. 1 w części wspólnej i w ust. 2, w art.

59 w ust. 9 w zdaniu pierwszym oraz w art. 61b w ust. 1 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

Podmioty publiczne, o których mowa w art. 2 ust. 1, służby specjalne w rozumieniu

art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji

Wywiadu, Kancelaria Sejmu, Kancelaria Senatu, Kancelaria Prezydenta Rzeczypospolitej Polskiej,

Narodowy Bank Polski, agencje wykonawcze w rozumieniu art. 18 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych

(Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62, 1000 i 1366) oraz podmioty, o których mowa w art. 2 ust. 4, niewskazane wprost w art. 2 ust. 1,

uprawnione do wykonywania praw majątkowych do programu komputerowego stworzonego przez

pracowników w ramach wykonywania obowiązków ze stosunku pracy świadczonej na rzecz

tych podmiotów, mogą umożliwić sobie wzajemnie nieodpłatne korzystanie z tego programu

komputerowego.

W ustawie z dnia 24 maja 2000 r. o Krajowym Rejestrze Karnym

(Dz. U. z 2018 r. poz. 1218) wprowadza się następujące zmiany

1)

w art. 6 w ust. 1 w pkt 7

a)

po wyrazach „Straży Marszałkowskiej” skreśla się wyraz „i” oraz dodaje się przecinek,

b)

po wyrazach „Centralnemu Biuru Antykorupcyjnemu” dodaje się wyrazy „i Biuru Nadzoru Wewnętrznego”;

2)

w art. 19 w ust. 2c i w ust. 3a wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 15 września 2000 r. - Kodeks spółek handlowych

(Dz. U. z 2017 r. poz. 1577 oraz z 2018 r. poz. 398 i 650) wprowadza się następujące zmiany

1)

w art. 4 w § 1 uchyla się pkt 13;

2)

w art. 10 w § 4 w zdaniu drugim, w art. 23„podpisem zaufanym”.

1.

Podmiot publiczny może udostępnić dane gromadzone w prowadzonym rejestrze publicznym

lub w systemie teleinformatycznym innemu podmiotowi publicznemu lub podmiotowi, o

którym mowa w art. 19c ust. 1, z uwzględnieniem zasad przewidzianych w przepisach

szczególnych dotyczących odpowiednio tego rejestru lub danych gromadzonych w tym systemie

teleinformatycznym, wyłącznie na potrzeby usługi online, która jest świadczona na

rzecz osoby albo podmiotu przy użyciu systemu teleinformatycznego.

2.

Udostępnienie danych, o których mowa w ust. 1, następuje na każdorazowy wniosek osoby

albo podmiotu, na rzecz których świadczona jest usługa online i których te dane dotyczą,

po ich uwierzytelnieniu w sposób, o którym mowa w art. 20a ust. 1. Osobie lub podmiotowi,

których dane są udostępniane, zapewnia się wgląd do udostępnionych danych.

3.

Jeżeli podmiot świadczący usługę online, o której mowa w ust. 1, posiada dostęp do

danych osoby albo podmiotu, na rzecz których świadczona jest usługa online, zgromadzonych

w rejestrze publicznym lub systemie teleinformatycznym wynikający

1)

z jawności tych danych lub

2)

z przepisów szczególnych uprawniających ten podmiot do dostępu do tych danych

- a dostęp ten może być realizowany w sposób, o którym mowa w ust. 4, udostępnienie

tych danych jest realizowane bez konieczności składania wniosku.

4.

Udostępnienie danych, o których mowa w ust. 1, następuje za pośrednictwem usług sieciowych

między systemem teleinformatycznym, z którego udostępniane są dane, a systemem teleinformatycznym,

przy użyciu którego świadczona jest usługa online.

5.

Warunki udostępniania danych, o których mowa w ust. 1, określa się w porozumieniu,

z uwzględnieniem przepisów szczególnych regulujących funkcjonowanie rejestrów lub

systemów teleinformatycznych, z których wnioskowane dane pochodzą.

6.

Udostępnienie usług sieciowych, o których mowa w ust. 4, następuje w terminie określonym

w porozumieniu, nie dłuższym jednak niż 12 miesięcy od zawarcia tego porozumienia.

7.

Udostępniane dane, o których mowa w ust. 1, są wykorzystywane wyłącznie do realizacji

usługi online świadczonej na rzecz osoby albo podmiotu, o których mowa w ust. 2, w

celu

1)

uzupełnienia zakresu użytkowego dokumentu elektronicznego wymaganego w związku ze

świadczoną usługą online;

2)

potwierdzenia faktów lub stanu prawnego wymaganego w związku ze świadczoną usługą

online.

W ustawie z dnia 27 lipca 2001 r. - Prawo o ustroju sądów powszechnych

(Dz. U. z 2018 r. poz. 23, z późn. zm. wprowadza się następujące zmiany

1)

w art. 57 § 5 otrzymuje brzmienie

„

§ 5.

Uwierzytelnienie w systemie teleinformatycznym wymaga użycia profilu zaufanego, innego

środka identyfikacji elektronicznej, wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo otrzymanego w sądzie identyfikatora

wskazującego na tożsamość kandydata.

”

;

2)

w art. 57 w § 6 oraz w art. 57aa w § 1 i w § 2 w zdaniu pierwszym wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 27 lipca 2001 r. o diagnostyce laboratoryjnej

(Dz. U. z 2016 r. poz. 2245, z 2017 r. poz. 1524 oraz z 2018 r. poz. 650) w art. 2a w ust. 3 w pkt 1 oraz w art. 30b w ust. 4 we wprowadzeniu do wyliczenia

w zdaniu pierwszym użyte w różnym przypadku wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

W ustawie z dnia 24 sierpnia 2001 r. o Żandarmerii Wojskowej i wojskowych organach porządkowych

(Dz. U. z 2018 r. poz. 430 i 650) w art. 40 po ust. 2 dodaje się ust. 2a-2c w brzmieniu

„

2a.

Wykonując czynności operacyjno-rozpoznawcze, żołnierze Żandarmerii Wojskowej mogą

posługiwać się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane

identyfikujące żołnierza Żandarmerii Wojskowej.

2b.

W szczególnie uzasadnionych przypadkach przepisy ust. 2 i 2a mogą mieć zastosowanie

do osób, o których mowa w art. 36 ust. 1.

2c.

Nie popełnia przestępstwa

1)

kto poleca sporządzenie lub kieruje sporządzeniem dokumentów, o których mowa w ust.

2;

2)

kto sporządza lub wydaje dokumenty, o których mowa w ust. 2, lub wydaje środki identyfikacji

elektronicznej, o których mowa w ust. 2a, lub dopuszcza w swoim systemie do uwierzytelnienia

z wykorzystaniem takich środków;

3)

kto udziela pomocy w sporządzeniu dokumentów, o których mowa w ust. 2, lub wydaniu

środków identyfikacji elektronicznej, o których mowa w ust. 2a;

4)

żołnierz Żandarmerii Wojskowej lub osoba wymieniona w art. 36 ust. 1 posługująca się

przy wykonywaniu czynności operacyjno-rozpoznawczych dokumentami, o których mowa w

ust. 2, lub środkami identyfikacji elektronicznej, o których mowa w ust. 2a.

”

.

Wniosek o wpis do rejestru może być złożony w postaci elektronicznej. Wniosek składany

w postaci elektronicznej zawiera dane w ustalonym formacie elektronicznym, zawarte

we wzorze wniosku, o którym mowa w art. 19k. Wniosek w postaci elektronicznej składany

jest z wykorzystaniem systemu, o którym mowa w art. 4 ust. 1 pkt 8, po zastosowaniu

zapewnionych w systemie sposobów potwierdzenia pochodzenia oraz integralności przesłanych

danych.

W ustawie z dnia 6 września 2001 r. o transporcie drogowym

(Dz. U. z 2017 r. poz. 2200, z późn. zm. wprowadza się następujące zmiany

1)

w art. 82i ust. 3 i 4 otrzymują brzmienie

„

3.

W przypadku przekazywania danych za pośrednictwem elektronicznej skrzynki podawczej

Głównego Inspektora Transportu Drogowego przekazywane dane powinny być podpisane przy

użyciu kwalifikowanego podpisu elektronicznego albo podpisu zaufanego.

4.

Dane przekazywane są do Rejestru przy użyciu formularzy elektronicznych udostępnionych

na stronie internetowej Głównego Inspektoratu Transportu Drogowego lub za pośrednictwem

elektronicznej platformy usług administracji publicznej.

”

;

2)

w art. 82j ust. 6 otrzymuje brzmienie

„

6.

Wniosek, o którym mowa w ust. 3, składany za pośrednictwem elektronicznej skrzynki

podawczej Głównego Inspektora Transportu Drogowego powinien być podpisany przy użyciu

kwalifikowanego podpisu elektronicznego albo podpisu zaufanego.

”

.

1.

Minister właściwy do spraw informatyzacji może zawrzeć porozumienie w sprawie udostępniania

usług na ePUAP lub korzystania z usług sieciowych pozwalających na wykorzystanie profilu

zaufanego z

1)

podmiotami, o których mowa w art. 2 ust. 3, realizującymi zadania publiczne,

2)

innymi podmiotami realizującymi zadania publiczne lub wspierającymi świadczenie tych

zadań w celu realizacji strategii i programów przyjętych przez Radę Ministrów lub

strategii rozwoju, programów i dokumentów programowych w rozumieniu ustawy z dnia 6 grudnia 2006 r. o zasadach prowadzenia polityki rozwoju

(Dz. U. z 2018 r. poz. 1307)

- jeżeli wykażą interes faktyczny w udostępnianiu usług na ePUAP lub w korzystaniu

z usług sieciowych pozwalających na wykorzystanie profilu zaufanego; ocena interesu

faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo i interes

publiczny.

2.

W porozumieniu określa się sposób udostępniania usług na ePUAP oraz ich zakres lub

warunki korzystania z usług sieciowych pozwalających na wykorzystanie profilu zaufanego.

1.

Minister właściwy do spraw informatyzacji udostępnia oraz zapewnia rozwój oprogramowania

przeznaczonego dla urządzeń mobilnych, zwanego dalej „publiczną aplikacją mobilną”,

pozwalającego w szczególności na

1)

pobranie, przechowywanie i prezentację dokumentów elektronicznych, o których mowa

w ust. 2, a także przekazywanie tych dokumentów między urządzeniami mobilnymi;

2)

weryfikację integralności i pochodzenia dokumentu elektronicznego.

2.

Minister właściwy do spraw informatyzacji zapewnia działanie systemu teleinformatycznego,

który pozwala, przy użyciu publicznej aplikacji mobilnej, na pobranie dokumentu elektronicznego

1)

zawierającego dane osobowe użytkownika publicznej aplikacji mobilnej pobrane z rejestrów

publicznych w zakresie określonym w ust. 3 i 4;

2)

zawierającego dane dotyczące sytuacji prawnej użytkownika publicznej aplikacji mobilnej

lub praw mu przysługujących;

3)

zawierającego dane umożliwiające identyfikację rzeczy związanej z użytkownikiem publicznej

aplikacji mobilnej;

4)

stanowiącego kopię dokumentu urzędowego, który wydawany jest w postaci innej niż postać

elektroniczna.

3.

Użytkownik publicznej aplikacji mobilnej, po uwierzytelnieniu w sposób określony w

art. 20a ust. 1, może pobrać z

1)

Rejestru Dowodów Osobistych aktualne dane, o których mowa w art. 56 pkt 1, 2 i 4 lit. a-c ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych

(Dz. U. z 2017 r. poz. 1464 oraz z 2018 r. poz. 730);

2)

rejestru PESEL aktualne dane, o których mowa w art. 8 pkt 1-3, 4-6, 9-11, 14 i 22 ustawy z dnia 24 września 2010 r. o ewidencji ludności

(Dz. U. z 2018 r. poz. 1382).

4.

Minister właściwy do spraw informatyzacji zapewnia stosowanie mechanizmów, które pozwalają

na potwierdzenie integralności i pochodzenia danych dokumentu elektronicznego.

1.

Użytkowanie publicznej aplikacji mobilnej

1)

jest bezpłatne i dobrowolne;

2)

oznacza wyrażenie zgody na przetwarzanie przez ministra właściwego do spraw informatyzacji

danych osobowych użytkownika aplikacji mobilnej w zakresie, o którym mowa w art. 19h.

2.

Użytkowanie publicznej aplikacji mobilnej jest możliwe po uprzednim uwierzytelnieniu

użytkownika w systemie teleinformatycznym, o którym mowa w art. 19e, w sposób, o którym

mowa w art. 20a ust. 1, o ile przepisy szczególne lub porozumienie, o którym mowa

w art. 19g, nie stanowią inaczej.

3.

Użytkownik aplikacji mobilnej może w każdej chwili zrezygnować z korzystania z publicznej

aplikacji mobilnej oraz wycofać zgodę na przetwarzanie danych osobowych.

1.

Minister właściwy do spraw informatyzacji zawiera porozumienie w sprawie wykorzystywania

publicznej aplikacji mobilnej i systemu teleinformatycznego, o których mowa w art.

19e, z podmiotem, o którym mowa w art. 2, na potrzeby zadań realizowanych przez ten

podmiot.

2.

Minister właściwy do spraw informatyzacji może zawrzeć porozumienie w sprawie wykorzystywania

publicznej aplikacji mobilnej i systemu teleinformatycznego, o których mowa w art.

19e, z podmiotem niebędącym podmiotem publicznym na potrzeby zadań realizowanych przez

ten podmiot.

3.

Porozumienie określa warunki wykorzystywania publicznej aplikacji mobilnej oraz systemu

teleinformatycznego, o których mowa w art. 19e, a w szczególności zawiera

1)

określenie dokumentu elektronicznego oraz zakres zawartych w nim danych;

2)

cel i zakres wykorzystywania publicznej aplikacji mobilnej oraz systemu teleinformatycznego;

3)

warunki organizacyjne i techniczne wykorzystania publicznej aplikacji mobilnej oraz

systemu teleinformatycznego.

Minister właściwy do spraw informatyzacji przetwarza w systemie teleinformatycznym,

o którym mowa w art. 19e, dane osobowe użytkowników publicznej aplikacji mobilnej

w zakresie niezbędnym do obsługi dokumentów elektronicznych, o których mowa w art.

19e, oraz zapewnienia bezpieczeństwa teleinformatycznego i bezpieczeństwa obrotu prawnego.

Minister właściwy do spraw informatyzacji w Biuletynie Informacji Publicznej na swojej

stronie podmiotowej zamieszcza oraz niezwłocznie aktualizuje informacje o

1)

aktywnych i nieaktywnych, w tym czasowo zawieszonych, funkcjonalnościach publicznej

aplikacji mobilnej;

2)

stosowanych mechanizmach zapewniających możliwość potwierdzenia integralności i pochodzenia

dokumentów elektronicznych oraz procedurach uzyskania takiego potwierdzenia;

3)

adresach elektronicznych, pod którymi są udostępnione

a)

regulamin korzystania z publicznej aplikacji mobilnej,

b)

informacja o wymaganiach technicznych dotyczących korzystania z publicznej aplikacji

mobilnej.

Minister właściwy do spraw informatyzacji w uzgodnieniu z ministrem właściwym do spraw

wewnętrznych określi, w komunikacie ogłaszanym w Dzienniku Urzędowym Rzeczypospolitej

Polskiej „Monitor Polski”, termin uruchomienia usługi, o której mowa w art. 19e ust.

2 pkt 1, mając na względzie konieczność zapewnienia bezpieczeństwa tej usługi.

W ustawie z dnia 6 września 2001 r. - Prawo farmaceutyczne

(Dz. U. z 2017 r. poz. 2211 oraz z 2018 r. poz. 650, 697, 1039, 1375 i 1515) wprowadza się następujące zmiany

1)

w art. 96a w pkt 3 w lit. e tiret pierwsze otrzymuje brzmienie

„

-

w postaci elektronicznej - kwalifikowany podpis elektroniczny, podpis zaufany albo

z wykorzystaniem sposobu potwierdzania pochodzenia oraz integralności danych dostępnego

w systemie teleinformatycznym udostępnionym bezpłatnie przez Zakład Ubezpieczeń Społecznych

albo

”

;

2)

w art. 107a w ust. 4 we wprowadzeniu do wyliczenia w zdaniu pierwszym oraz w art.

107f w ust. 5 w pkt 1 użyte w różnym przypadku wyrazy „podpisu potwierdzonego profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisu zaufanego”.

Minister właściwy do spraw informatyzacji odpowiada za funkcjonowanie systemu teleinformatycznego,

który

1)

zapewnia obsługę publicznego systemu identyfikacji elektronicznej, w którym wydawany

jest profil zaufany;

2)

umożliwia podmiotom publicznym

a)

uwierzytelnienie osoby fizycznej przy użyciu środka identyfikacji elektronicznej,

o którym mowa w pkt 1,

b)

zapewnienie osobie fizycznej możliwości opatrzenia dokumentu elektronicznego podpisem

zaufanym.

Minister właściwy do spraw informatyzacji

1)

zarządza publicznym systemem identyfikacji elektronicznej;

2)

zapisuje i zachowuje informacje związane z zapewnieniem rozliczalności i niezaprzeczalności

działań użytkownika korzystającego ze środka identyfikacji elektronicznej wydanego

w publicznym systemie identyfikacji elektronicznej.

1.

Minister właściwy do spraw informatyzacji jest administratorem danych przetwarzanych

w systemie, o którym mowa w art. 20aa.

2.

W systemie przetwarza się następujące dane

1)

osoby, której wydano środek identyfikacji elektronicznej, obejmujące

a)

imię (imiona),

b)

nazwisko,

c)

numer PESEL,

d)

datę urodzenia osoby,

e)

adres poczty elektronicznej,

f)

numer telefonu komórkowego;

2)

dotyczące środka identyfikacji elektronicznej obejmujące

a)

identyfikator,

b)

czas wydania,

c)

termin ważności;

3)

o których mowa w art. 20ab pkt 2.

3.

Dane przetwarzane są w celu zapewnienia uwierzytelnienia osób fizycznych przy użyciu

środków identyfikacji elektronicznej wydawanych w tym systemie oraz możliwości opatrzenia

dokumentu elektronicznego podpisem zaufanym.

4.

W systemie przetwarza się również dane osób uczestniczących w procesie potwierdzania

profilu zaufanego obejmujące

1)

imię (imiona);

2)

nazwisko;

3)

numer PESEL.

1.

Profil zaufany zawiera dane identyfikujące osobę fizyczną obejmujące

1)

imię (imiona);

2)

nazwisko;

3)

datę urodzenia;

4)

numer PESEL.

2.

W procedurze potwierdzania profilu zaufanego dane, o których mowa w ust. 1, są weryfikowane

automatycznie z danymi zawartymi w rejestrze PESEL.

3.

W przypadku zmiany w rejestrze PESEL danych, o których mowa w ust. 1 pkt 1-3, dokonywana

jest automatyczna aktualizacja tych danych zawartych w profilu zaufanym.

4.

Aktualizacja danych zawartych w profilu zaufanym, o której mowa w ust. 3, nie powoduje

unieważnienia profilu zaufanego.

5.

Profil zaufany może zawierać inne dane niż wymienione w ust. 1, w szczególności identyfikator

oraz dane wykorzystywane w procesach uwierzytelniania i autoryzacji realizowanych

przy użyciu profilu zaufanego.

1.

Podpis zaufany wywołuje skutki prawne, jeżeli został utworzony lub złożony w okresie

ważności środka identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1.

2.

Dane w postaci elektronicznej opatrzone podpisem zaufanym są równoważne pod względem

skutków prawnych dokumentowi opatrzonemu podpisem własnoręcznym, chyba że przepisy

odrębne stanowią inaczej.

3.

Nie można odmówić ważności i skuteczności podpisowi zaufanemu tylko na tej podstawie,

że istnieje w postaci elektronicznej.

Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, warunki

1)

wydawania, przedłużania ważności, wykorzystywania i unieważniania profilu zaufanego,

w tym

a)

okres ważności profilu zaufanego,

b)

zbiór danych zawartych w profilu zaufanym, o których mowa w art. 20ad ust. 5,

c)

przypadki, w których nie dokonuje się potwierdzenia profilu zaufanego,

d)

przypadki, w których profil zaufany traci ważność,

e)

warunki przechowywania oraz archiwizowania dokumentów i danych bezpośrednio związanych

z potwierdzeniem profilu zaufanego,

f)

dane i dokumenty wymagane w procedurze potwierdzania, przedłużania ważności i unieważnienia

profilu zaufanego,

g)

warunki, które powinien spełniać punkt potwierdzający profil zaufany,

h)

warunki organizacyjne i techniczne potwierdzenia profilu zaufanego oraz uwierzytelnień

i autoryzacji przy nieodpłatnym wykorzystaniu środka identyfikacji elektronicznej

stosowanego do uwierzytelniania w systemie teleinformatycznym banku krajowego lub

innego przedsiębiorcy,

i)

sposób potwierdzania spełniania warunków, o których mowa w lit. h,

2)

składania podpisu zaufanego

- biorąc pod uwagę konieczność zapewnienia bezpieczeństwa i pewności w procesie uwierzytelnienia

i składania podpisu oraz poufności kluczowych elementarnych czynności.

1.

Przyłączenie systemu teleinformatycznego, w którym udostępniane są usługi online,

do systemu, o którym mowa w art. 20aa, w celu wykorzystywania podpisu zaufanego następuje

na wniosek podmiotu odpowiedzialnego za ten system.

2.

Do wniosku dołącza się oświadczenie o zapoznaniu się z polityką bezpieczeństwa udostępnioną

przez ministra właściwego do spraw informatyzacji w Biuletynie Informacji Publicznej

na jego stronie podmiotowej.

3.

Wniosek oraz oświadczenie, o których mowa w ust. 2, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

Minister właściwy do spraw informatyzacji wydaje zgodę na przyłączenie systemu teleinformatycznego

podmiotu publicznego, w którym udostępniane są usługi online, do systemu, o którym

mowa w art. 20aa, po przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym,

potwierdzających interoperacyjność tego systemu z systemem, o którym mowa w art. 20aa.

Do systemu, o którym mowa w art. 20aa, przyłącza się elektroniczną platformę usług

administracji publicznej.

W ustawie z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji

Wywiadu

(Dz. U. z 2017 r. poz. 1920 i 2405 oraz z 2018 r. poz. 138, 650, 723 i 730) w art. 35

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych funkcjonariusze Agencji mogą

posługiwać się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane

identyfikujące funkcjonariusza Agencji.

”

;

2)

ust. 3 otrzymuje brzmienie

„

3.

Osoby udzielające Agencji pomocy przy wykonywaniu czynności operacyjno-rozpoznawczych

mogą posługiwać się dokumentami, o których mowa w ust. 2, oraz odpowiednio środkami

identyfikacji elektronicznej, o których mowa w ust. 2a.

”

;

3)

po ust. 4 dodaje się ust. 4a w brzmieniu

„

4a.

ABW prowadzi centralny rejestr środków identyfikacji elektronicznej, o których mowa

w ust. 2a.

”

;

4)

w ust. 6

a)

pkt 4 otrzymuje brzmienie

„

4)

funkcjonariusz Agencji lub osoba wymieniona w ust. 3, posługujący się przy wykonywaniu

czynności operacyjno-rozpoznawczych dokumentami, o których mowa w ust. 2 i 3, lub

środkami identyfikacji elektronicznej, o których mowa w ust. 2a;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, funkcjonariuszowi

Agencji albo osobom, o których mowa w ust. 3, lub dopuszcza do uwierzytelnienia z

wykorzystaniem takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji

elektronicznej.

”

.

1.

Krajowy schemat identyfikacji elektronicznej obejmuje

1)

węzeł krajowy identyfikacji elektronicznej, zwany dalej „węzłem krajowym”;

2)

przyłączone do węzła krajowego

a)

systemy identyfikacji elektronicznej, w których wydawane są środki identyfikacji elektronicznej,

b)

systemy teleinformatyczne, w których udostępniane są usługi online;

3)

węzeł wykorzystywany w procesie transgranicznego uwierzytelniania osób, o którym mowa

w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014, zwany dalej

„węzłem transgranicznym”.

2.

Węzeł krajowy jest rozwiązaniem organizacyjno-technicznym umożliwiającym uwierzytelnianie

użytkownika systemu teleinformatycznego, korzystającego z usługi online, z wykorzystaniem

środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej

przyłączonym do tego węzła bezpośrednio albo za pośrednictwem węzła transgranicznego.

3.

Wykorzystywanie środka identyfikacji elektronicznej do uwierzytelnienia użytkownika

systemu teleinformatycznego w celu realizacji usługi online świadczonej przez podmiot,

o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne

(Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000 i 1544), lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

jest nieodpłatne.

4.

Uwierzytelnienie użytkownika systemu teleinformatycznego w celu realizacji usługi

online wymaga użycia środka identyfikacji elektronicznej na poziomie bezpieczeństwa

określonym przez podmiot świadczący tę usługę.

5.

Funkcjonowanie węzła krajowego zapewnia minister właściwy do spraw informatyzacji.

6.

Minister właściwy do spraw informatyzacji przetwarza dane osobowe osób, którym wydano

środki identyfikacji elektronicznej, obejmujące

1)

imię (imiona),

2)

nazwisko,

3)

nazwisko rodowe,

4)

numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej,

o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,

5)

datę urodzenia,

6)

miejsce urodzenia,

7)

płeć,

8)

adres zamieszkania

- w celu uwierzytelnienia z wykorzystaniem węzła krajowego.

1.

Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu systemu identyfikacji

elektronicznej do węzła krajowego podmiotowi odpowiedzialnemu za ten system posiadającemu

siedzibę na terenie jednego z państw członkowskich Unii Europejskiej po

1)

potwierdzeniu spełnienia przez ten system wymagań dla zadeklarowanych poziomów bezpieczeństwa

środków identyfikacji elektronicznej wydawanych w tym systemie, określonych w przepisach

wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;

2)

przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających

interoperacyjność systemów identyfikacji elektronicznej, z uwzględnieniem przepisów

wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014;

3)

zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania,

wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia

systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach

wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

4)

przedstawieniu przez podmiot odpowiedzialny za ten system dokumentu zawierającego

przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia odpowiedzialności cywilnej

za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej

wydanych w systemie identyfikacji elektronicznej wnioskodawcy;

5)

przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu

tego podmiotu zgodnie z przepisami o ochronie danych osobowych;

6)

uzyskaniu pozytywnej opinii Szefa Agencji Bezpieczeństwa Wewnętrznego w przypadku,

o którym mowa w art. 21g ust. 6.

2.

Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje pod

warunkiem dostarczenia ministrowi właściwemu do spraw informatyzacji przez podmiot

odpowiedzialny za system identyfikacji elektronicznej, w terminie wskazanym przez

tego ministra, nie krótszym niż 30 dni, kopii umowy ubezpieczenia odpowiedzialności

cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej

wydanych w systemie identyfikacji elektronicznej wnioskodawcy.

3.

Po spełnieniu warunku, o którym mowa w ust. 2, przyłączenie systemu identyfikacji

elektronicznej do węzła krajowego następuje bez zbędnej zwłoki.

1.

Ubezpieczeniem, o którym mowa w art. 21b ust. 2, jest objęta odpowiedzialność cywilna

podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkodę wynikającą

z działania lub zaniechania, wyrządzoną w związku z wykorzystaniem środka identyfikacji

elektronicznej wydanego w systemie identyfikacji elektronicznej, w usłudze online

świadczonej przez podmiot, o którym mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowaną przez awarię, przerwę lub błąd systemu lub przez zaciągnięcie zobowiązania

w wyniku nieuprawnionego wykorzystania tego środka identyfikacji elektronicznej.

2.

Ubezpieczenie, o którym mowa w art. 21b ust. 2, nie obejmuje szkód

1)

wyrządzonych przez ubezpieczonego po dniu wydania ostatecznej decyzji o odłączeniu

systemu identyfikacji elektronicznej od węzła krajowego, chyba że szkoda jest następstwem

działania lub zaniechania, które miało miejsce w okresie przyłączenia do węzła krajowego,

2)

polegających na zapłacie kar umownych,

3)

powstałych wskutek siły wyższej

- chyba że w umowie ubezpieczenia zakres ochrony ubezpieczeniowej zostanie rozszerzony

również o szkody wynikające ze zdarzeń wskazanych w pkt 1-3.

3.

Ubezpieczenie, o którym mowa w art. 21b ust. 2, obejmuje wszystkie szkody w zakresie,

o którym mowa w ust. 1 i 2, bez możliwości umownego ograniczenia odpowiedzialności

przez zakład ubezpieczeń.

1.

Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym

do spraw informatyzacji, po zasięgnięciu opinii Polskiej Izby Ubezpieczeń, określi,

w drodze rozporządzenia, minimalną sumę gwarancyjną ubezpieczenia, o którym mowa w

art. 21b ust. 2, za szkody wynikające z działania lub zaniechania, wyrządzone w związku

z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemie identyfikacji

elektronicznej, w usługach online świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. I ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowane przez awarie, przerwy lub błędy systemu lub przez zaciągnięcie zobowiązań

w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, uwzględniając

specyfikę działalności prowadzonej przez podmioty odpowiedzialne za systemy identyfikacji

elektronicznej.

2.

Minister właściwy do spraw instytucji finansowych w porozumieniu z ministrem właściwym

do spraw informatyzacji określi, w drodze rozporządzenia, wysokość kwot odpowiedzialności

podmiotu odpowiedzialnego za system identyfikacji elektronicznej za szkody wynikające

z działania lub zaniechania, wyrządzone w związku z wykorzystaniem środków identyfikacji

elektronicznej wydanych w systemie identyfikacji elektronicznej, w usługach online

świadczonych przez podmioty, o których mowa w art. 2 lub art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmioty sektora publicznego, o których mowa w art. 3 pkt 7 rozporządzenia 910/2014,

spowodowane przez awarie, przerwy lub błędy systemu lub za zobowiązanie zaciągnięte

w wyniku nieuprawnionego wykorzystania środka identyfikacji elektronicznej, w zależności

od poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych w tym systemie.

1.

Osoba, której wydano środek identyfikacji elektronicznej w systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego, jest obowiązana

1)

korzystać ze środka identyfikacji elektronicznej zgodnie z warunkami określonymi przez

podmiot odpowiedzialny za system identyfikacji elektronicznej, w którym został wydany

ten środek;

2)

zgłaszać niezwłocznie podmiotowi odpowiedzialnemu za system identyfikacji elektronicznej,

w którym został wydany ten środek, utratę, kradzież, przywłaszczenie środka identyfikacji

elektronicznej lub utratę wyłącznej kontroli nad danymi umożliwiającymi identyfikację

przy użyciu tego środka albo stwierdzenie nieuprawnionego użycia środka identyfikacji

elektronicznej.

2.

W celu spełnienia obowiązku, o którym mowa w ust. 1 pkt 1, osoba, której wydano środek

identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym

do węzła krajowego, z chwilą wydania tego środka podejmuje niezbędne działania służące

zapobieżeniu naruszeniu indywidualnych zabezpieczeń tego środka lub danych umożliwiających

identyfikację przy użyciu tego środka.

W przypadku zgłoszenia, o którym mowa w art. 21e ust. 1 pkt 2, osoba, której wydano

środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej przyłączonym

do węzła krajowego, po dokonaniu zgłoszenia nie ponosi odpowiedzialności za zobowiązanie

zaciągnięte z wykorzystaniem środka identyfikacji elektronicznej.

1.

Przyłączenie systemu identyfikacji elektronicznej do węzła krajowego następuje na

wniosek podmiotu odpowiedzialnego za system identyfikacji elektronicznej.

2.

Wniosek zawiera

1)

imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności,

numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w

Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została

zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został

on nadany, podmiotu odpowiedzialnego za system identyfikacji elektronicznej;

2)

imię i nazwisko lub firmę (nazwę), adres siedziby i miejsca wykonywania działalności,

numer w Krajowym Rejestrze Sądowym, a w przypadku gdy podmiot nie posiada numeru w

Krajowym Rejestrze Sądowym, wskazanie organu, któremu działalność podmiotu została

zgłoszona, lub właściwego rejestru oraz podanie numeru identyfikacyjnego, jeżeli został

on nadany, każdego podmiotu

a)

potwierdzającego tożsamość oraz weryfikującego dane identyfikujące osoby ubiegającej

się o wydanie środka identyfikacji elektronicznej,

b)

wydającego środki identyfikacji elektronicznej,

c)

zapewniającego funkcjonalność pozwalającą na uwierzytelnienie osób, którym wydano

środek identyfikacji elektronicznej

- w przypadku gdy czynności tych nie wykonuje podmiot odpowiedzialny za system identyfikacji

elektronicznej;

3)

nazwę i szczegółowy opis systemu identyfikacji elektronicznej, w tym opis środków

identyfikacji elektronicznej wydawanych w tym systemie z określeniem ich poziomu bezpieczeństwa,

o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014, oraz informacje techniczne

i organizacyjne dotyczące wykorzystania tych środków.

3.

Do wniosku dołącza się

1)

dokument potwierdzający spełnianie wymagań dla zadeklarowanych poziomów bezpieczeństwa

środków identyfikacji elektronicznej, określonych w przepisach wydanych na podstawie

art. 8 ust. 3 rozporządzenia 910/2014, w szczególności

a)

pozytywny wynik audytu systemu zarządzania bezpieczeństwem informacji obejmującego

swym zakresem system identyfikacji elektronicznej, którego dotyczy wniosek, albo

b)

pozytywny wynik audytu, o którym mowa w przepisach wydanych na podstawie art. 8 ust.

3 rozporządzenia 910/2014

- adekwatnie do poziomu bezpieczeństwa środków identyfikacji elektronicznej wydawanych

w tym systemie;

2)

dokument zawierający przyrzeczenie zakładu ubezpieczeń zawarcia umowy ubezpieczenia

odpowiedzialności cywilnej za szkody wyrządzone w związku z wykorzystywaniem środków

identyfikacji elektronicznej wydanych w systemie identyfikacji elektronicznej wnioskodawcy;

3)

oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art.

39b ust. 1 pkt 3;

4)

oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych.

4.

Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

5.

Minister właściwy do spraw informatyzacji informuje Szefa Agencji Bezpieczeństwa Wewnętrznego

o wpłynięciu wniosku, o którym mowa w ust. 1, w celu umożliwienia Szefowi Agencji

Bezpieczeństwa Wewnętrznego dokonania oceny, czy podmiot odpowiedzialny za system

identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2, znajdują się

pod kontrolą korporacyjną, w tym faktycznym wpływem innego państwa, jego podmiotu

lub obywatela tego państwa, a w przypadku znajdowania się pod taką kontrolą, w celu

ustalenia, czy może zagrażać bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu

państwa.

6.

Szef Agencji Bezpieczeństwa Wewnętrznego może przeprowadzić postępowanie w celu dokonania

oceny, o której mowa w ust. 5, o czym informuje ministra właściwego do spraw informatyzacji

w terminie 7 dni od dnia otrzymania informacji o wpłynięciu wniosku.

7.

Kontrolą korporacyjną, o której mowa w ust. 5, są wszelkie formy bezpośredniego lub

pośredniego uzyskania przez podmiot uprawnień, które osobno albo łącznie, przy uwzględnieniu

wszystkich okoliczności prawnych i faktycznych, umożliwiają wywieranie decydującego

wpływu na podmiot odpowiedzialny za system identyfikacji elektronicznej lub podmiot,

o którym mowa w ust. 2 pkt 2, a w szczególności w przypadku

1)

dysponowania bezpośrednio lub pośrednio większością głosów na zgromadzeniu wspólników

albo na walnym zgromadzeniu, także jako zastawnik albo użytkownik, bądź w zarządzie

innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;

2)

uprawnienia do powoływania lub odwoływania większości członków zarządu lub rady nadzorczej

innego podmiotu (podmiotu zależnego), także na podstawie porozumień z innymi osobami;

3)

gdy członkowie jego zarządu lub rady nadzorczej stanowią więcej niż połowę członków

zarządu innego podmiotu (podmiotu zależnego);

4)

dysponowania bezpośrednio lub pośrednio większością głosów w spółce osobowej zależnej

albo na walnym zgromadzeniu spółdzielni zależnej, także na podstawie porozumień z

innymi osobami;

5)

dysponowania prawem do całego albo do części mienia innego podmiotu (podmiotu zależnego);

6)

umów przewidujących zarządzanie innym podmiotem (podmiotem zależnym) lub przekazywanie

zysku przez taki podmiot.

8.

W przypadku wszczęcia przez Szefa Agencji Bezpieczeństwa Wewnętrznego postępowania

w celu dokonania oceny, o której mowa w ust. 5, minister właściwy do spraw informatyzacji

wzywa podmiot odpowiedzialny za system identyfikacji elektronicznej do przekazania

danych niezbędnych do przeprowadzenia postępowania w stosunku do tego podmiotu lub

podmiotu, o którym mowa w ust. 2 pkt 2.

9.

Podmiot odpowiedzialny za system identyfikacji elektronicznej na żądanie ministra

właściwego do spraw informatyzacji obowiązany jest przekazać dane i dokumenty niezbędne

do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5.

10.

Agencja Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania w celu dokonania

oceny, o której mowa w ust. 5, wydaje pozytywną opinię, jeżeli podmiot odpowiedzialny

za system identyfikacji elektronicznej lub podmiot, o którym mowa w ust. 2 pkt 2

1)

nie znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela

tego państwa, albo

2)

znajduje się pod kontrolą korporacyjną innego państwa, jego podmiotu lub obywatela

tego państwa, ale kontrola ta nie zagraża bezpieczeństwu państwa, w tym bezpieczeństwu

ekonomicznemu państwa.

11.

Szef Agencji Bezpieczeństwa Wewnętrznego wydaje negatywną opinię w przypadku niespełnienia

odpowiednio przez podmiot odpowiedzialny za system identyfikacji elektronicznej lub

podmiot, o którym mowa w ust. 2 pkt 2, warunków, o których mowa w ust. 10.

12.

Opinia Szefa Agencji Bezpieczeństwa Wewnętrznego zawiera oddzielnie stanowisko w stosunku

do każdego z ocenianych podmiotów.

13.

Rada Ministrów określi, w drodze rozporządzenia, zakres danych i dokumentów niezbędnych

do przeprowadzenia postępowania w celu dokonania oceny, o której mowa w ust. 5, mając

na uwadze potrzebę zapewnienia kompletności danych i dokumentów niezbędnych do wydania

opinii oraz zapewnienie sprawności postępowania.

14.

Termin postępowania w sprawie przeprowadzenia oceny, o której mowa w ust. 5, wynosi

30 dni od otrzymania danych i dokumentów niezbędnych do przeprowadzenia postępowania

i może zostać wydłużony o kolejne 30 dni w przypadkach szczególnie uzasadnionych.

Okresu przeprowadzenia postępowania nie wlicza się do terminów przewidzianych na wydanie

decyzji, o której mowa w art. 21b ust. 1.

Minister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów

załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których

mowa w art. 21b ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną

w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Minister właściwy do spraw informatyzacji informuje podmiot odpowiedzialny za system

identyfikacji elektronicznej na piśmie, w postaci papierowej albo elektronicznej,

o

1)

przyłączeniu systemu identyfikacji elektronicznej do węzła krajowego;

2)

każdej zmianie polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt 3.

W przypadku niespełniania wymagań, o których mowa w art. 21b ust. 1, minister właściwy

do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu identyfikacji

elektronicznej do węzła krajowego.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego dostarcza ministrowi właściwemu do spraw informatyzacji

1)

dokumenty potwierdzające spełnianie aktualnych wymagań dla wskazanych we wniosku poziomów

bezpieczeństwa środków identyfikacji elektronicznej, o których mowa w art. 21g ust.

3 pkt 1, w przypadku zmiany przepisów wydanych na podstawie art. 8 ust. 3 rozporządzenia

910/2014, w terminie 14 dni od dnia wejścia w życie zmiany tych przepisów;

2)

kopię kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody wyrządzone

w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych w systemie

identyfikacji elektronicznej wnioskodawcy, w terminie 14 dni od dnia jej zawarcia.

1.

Ponowne złożenie wniosku, o którym mowa w art. 21g ust. 1, wymagane jest w przypadku

1)

zmiany poziomu bezpieczeństwa środka identyfikacji elektronicznej, wydawanego w systemie

identyfikacji elektronicznej przyłączonym do węzła krajowego;

2)

uruchomienia w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego

środka identyfikacji elektronicznej nieobjętego zakresem wniosku, na podstawie którego

została wydana decyzja o przyłączeniu systemu identyfikacji elektronicznej do węzła

krajowego;

3)

wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku,

o którym mowa w art. 21s ust. 3.

2.

Umożliwienie korzystania za pośrednictwem węzła krajowego ze środków identyfikacji

elektronicznej, o których mowa w ust. 1, następuje po pozytywnym rozpatrzeniu wniosku

i przeprowadzeniu testów integracyjnych.

Do węzła krajowego przyłącza się system teleinformatyczny zapewniający obsługę publicznego

systemu identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów

realizujących zadania publiczne.

1.

Minister właściwy do spraw informatyzacji prowadzi rejestr systemów identyfikacji

elektronicznej przyłączonych do węzła krajowego, zwany dalej „rejestrem systemów”.

2.

Rejestr systemów jest jawny.

3.

Podstawą do wpisania systemu identyfikacji elektronicznej do rejestru systemów jest

decyzja, o której mowa w art. 21b ust. 1. Wpis jest czynnością materialno-techniczną.

4.

Do rejestru systemów wpisuje się

1)

informacje zawarte we wniosku, o którym mowa w art. 21g ust. 1;

2)

datę przyłączenia systemu identyfikacji elektronicznej do węzła krajowego;

3)

informacje o zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji

elektronicznej wydawanymi w systemie identyfikacji elektronicznej przyłączonym do

węzła krajowego;

4)

informacje o otwarciu likwidacji podmiotu odpowiedzialnego za system identyfikacji

elektronicznej oraz datę jego likwidacji;

5)

informacje o ogłoszeniu upadłości podmiotu odpowiedzialnego za system identyfikacji

elektronicznej lub oddaleniu wniosku o ogłoszenie upadłości z przyczyn wskazanych

w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe oraz datę zakończenia postępowania upadłościowego;

6)

informacje o zawieszeniu możliwości korzystania z systemu identyfikacji elektronicznej

lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych

w tym systemie;

7)

informacje o przywróceniu możliwości korzystania z systemu identyfikacji elektronicznej

lub uwierzytelniania z wykorzystaniem środków identyfikacji elektronicznej wydanych

w tym systemie;

8)

informację o tym, czy system identyfikacji elektronicznej został przyłączony do węzła

transgranicznego;

9)

datę wykreślenia z rejestru systemów podmiotu odpowiedzialnego za system identyfikacji

elektronicznej.

1.

Informacje i dane zawarte w dokumentach potwierdzających spełnianie wymagań, o których

mowa w art. 21b ust. 1, których ujawnienie mogłoby narazić na szkodę podmiot odpowiedzialny

za system identyfikacji elektronicznej, objęte są tajemnicą.

2.

Informacje i dane objęte tajemnicą udostępnia się wyłącznie na żądanie

1)

sądu lub prokuratora - w związku z toczącym się postępowaniem;

2)

innych upoważnionych organów - w związku z prowadzonym przez te organy postępowaniem;

3)

Szefa Agencji Bezpieczeństwa Wewnętrznego.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego

1)

zarządza systemem identyfikacji elektronicznej oraz ponosi koszty jego utrzymania

i rozwoju;

2)

potwierdza tożsamość oraz weryfikuje dane identyfikujące osoby ubiegającej się o wydanie

środka identyfikacji elektronicznej w sposób adekwatny do poziomu bezpieczeństwa danego

środka identyfikacji elektronicznej, zgodnie z wymaganiami określonymi w przepisach

wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014;

3)

wydaje, zawiesza i unieważnia środki identyfikacji elektronicznej;

4)

zapewnia funkcjonalność pozwalającą na uwierzytelnienie osoby, której wydano środek

identyfikacji elektronicznej, z wykorzystaniem tego środka;

5)

zapisuje i zachowuje informacje związane z wydawaniem, zawieszaniem i unieważnianiem

środków identyfikacji elektronicznej oraz zapewnieniem rozliczalności i niezaprzeczalności

działań użytkowników korzystających z tych środków;

6)

stosuje politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt

3;

7)

unieważnia środki identyfikacji elektronicznej wydane przez podmiot, w stosunku do

którego Szef Agencji Bezpieczeństwa Wewnętrznego wydał negatywną opinię w przypadku,

o którym mowa w art. 21s ust. 3.

2.

Czynności, o których mowa w ust. 1 pkt 2-5 i 7, mogą wykonywać podmioty inne niż podmiot

odpowiedzialny za system identyfikacji elektronicznej, spełniające wymogi określone

w art. 21b ust. 1 pkt 1, 3 i 5, o ile posiadają siedzibę na terenie jednego z państw

członkowskich Unii Europejskiej. Odpowiedzialność za czynności wykonywane przez podmioty

inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej ponosi podmiot

odpowiedzialny za system identyfikacji elektronicznej.

3.

Podmioty inne niż podmiot odpowiedzialny za system identyfikacji elektronicznej stosują

politykę bezpieczeństwa węzła krajowego, o której mowa w art. 39b ust. 1 pkt 3.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przetwarza dane osobowe

osób, którym w tym systemie wydano środki identyfikacji elektronicznej, obejmujące

1)

imię (imiona),

2)

nazwisko,

3)

nazwisko rodowe,

4)

numer PESEL lub niepowtarzalny identyfikator środka identyfikacji elektronicznej,

o którym mowa w przepisach wydanych na podstawie art. 12 ust. 8 rozporządzenia 910/2014,

5)

datę urodzenia,

6)

miejsce urodzenia,

7)

płeć,

8)

adres zamieszkania

- w celu realizacji zadań, o których mowa w art. 21p ust. 1 pkt 1-5 i 7.

2.

Podmiot, o którym mowa w art. 21p, inny niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego

2005 r. o informatyzacji działalności podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014,

zapewniając możliwość uwierzytelniania w usługach online, nie może pozyskiwać, przechowywać

oraz przetwarzać danych dotyczących realizacji tych usług, innych niż dane niezbędne

do zrealizowania procesu uwierzytelnienia.

1.

W przypadku gdy nastąpi naruszenie bezpieczeństwa systemu identyfikacji elektronicznej

przyłączonego do węzła krajowego lub części środków identyfikacji elektronicznej wydanych

w tym systemie, mogące mieć wpływ na rozliczalność i niezaprzeczalność działań wykonywanych

z wykorzystaniem tego systemu lub części środków identyfikacji elektronicznej wydanych

w tym systemie, podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony

do węzła krajowego niezwłocznie zawiesza możliwość uwierzytelniania z wykorzystaniem

środków identyfikacji elektronicznej, których dotyczy naruszenie bezpieczeństwa.

2.

Po usunięciu naruszenia bezpieczeństwa systemu identyfikacji elektronicznej lub zawieszonej

części środków identyfikacji elektronicznej podmiot odpowiedzialny za system identyfikacji

elektronicznej przyłączony do węzła krajowego przywraca możliwość uwierzytelniania

za pomocą środków identyfikacji elektronicznej, których dotyczyło zawieszenie.

1.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego informuje ministra właściwego do spraw informatyzacji o

1)

każdej zmianie dotyczącej systemu identyfikacji elektronicznej przyłączonego do węzła

krajowego mającej wpływ na aktualność danych wpisanych do rejestru systemów - w terminie

14 dni od dnia zmiany tych danych;

2)

zamiarze zaprzestania świadczenia usług związanych ze środkami identyfikacji elektronicznej

wydawanymi w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego

- w terminie 12 miesięcy przed planowanym zaprzestaniem świadczenia tych usług;

3)

otwarciu jego likwidacji, ogłoszeniu jego upadłości lub oddaleniu wniosku o ogłoszenie

upadłości z przyczyn wskazanych w art. 13 ustawy z dnia 28 lutego 2003 r. - Prawo upadłościowe - niezwłocznie;

4)

zawieszeniu możliwości uwierzytelniania z powodu naruszenia bezpieczeństwa, o którym

mowa w art. 21r ust. 1, oraz przywróceniu możliwości uwierzytelniania po usunięciu

naruszenia bezpieczeństwa, o którym mowa w art. 21r ust. 2 - niezwłocznie, nie później

niż w ciągu 24 godzin od momentu odpowiednio wykrycia naruszenia bezpieczeństwa oraz

usunięcia naruszenia bezpieczeństwa.

2.

Minister właściwy do spraw informatyzacji po otrzymaniu danych, o których mowa w ust.

1, przekazuje je Szefowi Agencji Bezpieczeństwa Wewnętrznego, jeżeli istnieją uzasadnione

przesłanki pozwalające wnioskować, iż zmiany tych danych mogą mieć wpływ na bezpieczeństwo

publiczne, bezpieczeństwo państwa lub zagrażają w sposób bezpośredni bezpieczeństwu

systemów teleinformatycznych państwa.

3.

Szef Agencji Bezpieczeństwa Wewnętrznego, w przypadku powzięcia informacji o okolicznościach

prawnych lub faktycznych dotyczących struktury właścicielskiej podmiotu odpowiedzialnego

za system identyfikacji elektronicznej lub podmiotu, o którym mowa w art. 21g ust.

2 pkt 2, które mogą zagrozić bezpieczeństwu państwa, w tym bezpieczeństwu ekonomicznemu

państwa, przeprowadza postępowanie w tej sprawie. Do postępowania stosuje się odpowiednio

przepisy art. 21g ust. 5-13.

4.

Szef Agencji Bezpieczeństwa Wewnętrznego przeprowadza postępowanie, o którym mowa

w ust. 3, również na polecenie Prezesa Rady Ministrów lub ministra członka Rady Ministrów

właściwego do spraw koordynowania działalności służb specjalnych.

5.

Szef Agencji Bezpieczeństwa Wewnętrznego po przeprowadzeniu postępowania przekazuje

opinię ministrowi właściwemu do spraw informatyzacji.

6.

Minister właściwy do spraw informatyzacji przekazuje opinię podmiotowi odpowiedzialnemu

za system identyfikacji elektronicznej.

1.

Minister właściwy do spraw informatyzacji wydaje decyzję o przyłączeniu do węzła krajowego

systemu teleinformatycznego, w którym udostępniane są usługi online, po

1)

zapewnieniu przez podmiot odpowiedzialny za ten system opracowania, ustanawiania,

wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania i doskonalenia

systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi w przepisach

wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

2)

przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym, potwierdzających

interoperacyjność tego systemu z węzłem krajowym;

3)

przedstawieniu przez podmiot odpowiedzialny za ten system oświadczenia o działaniu

tego podmiotu zgodnie z przepisami o ochronie danych osobowych;

4)

wskazaniu interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego

- w przypadku podmiotu innego niż podmiot wskazany w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014.

2.

Ocena interesu faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo

i interes publiczny.

1.

Przyłączenie systemu, o którym mowa w art. 21t ust. 1, do węzła krajowego następuje

na wniosek podmiotu odpowiedzialnego za ten system.

2.

Wniosek zawiera nazwę podmiotu odpowiedzialnego za system albo jego imię i nazwisko

oraz wskazanie adresu jego siedziby, adresu miejsca prowadzenia działalności gospodarczej

albo adresu zamieszkania.

3.

Do wniosku dołącza się

1)

oświadczenie o zapewnieniu przez podmiot odpowiedzialny za ten system opracowania,

ustanawiania, wdrażania, eksploatowania, monitorowania, przeglądania, utrzymywania

i doskonalenia systemu zarządzania bezpieczeństwem informacji zgodnie z wymogami określonymi

w przepisach wydanych na podstawie art. 18 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne;

2)

oświadczenie o zapewnieniu stosowania polityki bezpieczeństwa, o której mowa w art.

39b ust. 1 pkt 3;

3)

listę usług online udostępnianych w tym systemie wraz z określeniem dla każdej z tych

usług wymaganych poziomów bezpieczeństwa środków identyfikacji elektronicznej, o których

mowa w art. 8 ust. 2 rozporządzenia 910/2014, niezbędnych dla realizacji tych usług;

4)

oświadczenie o działaniu podmiotu zgodnie z przepisami o ochronie danych osobowych;

5)

uzasadnienie interesu faktycznego w uwierzytelnianiu z wykorzystaniem węzła krajowego

- w przypadku podmiotu innego niż podmiot, o których mowa w art. 2 i art. 19c ust. 1 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne, lub podmiot sektora publicznego, o którym mowa w art. 3 pkt 7 rozporządzenia 910/2014.

4.

Wniosek oraz dokumenty, o których mowa w ust. 3, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

Minister właściwy do spraw informatyzacji po dokonaniu oceny wniosku oraz dokumentów

załączonych do wniosku wyznacza termin przeprowadzenia testów integracyjnych, o których

mowa w art. 21t ust. 1 pkt 2, i przeprowadza testy zgodnie z procedurą udostępnioną

w Biuletynie Informacji Publicznej na swojej stronie podmiotowej.

Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi

online, przyłączony do węzła krajowego, niezwłocznie informuje ministra właściwego

do spraw informatyzacji o każdej zmianie danych zawartych w liście usług, o której

mowa w art. 21u ust. 3 pkt 3.

Minister właściwy do spraw informatyzacji udostępnia w Biuletynie Informacji Publicznej

na swojej stronie podmiotowej informację o przyłączonych do węzła krajowego systemach

teleinformatycznych, w którym udostępniane są usługi online.

W przypadku niespełniania wymagań, o których mowa w art. 21t ust. 1, minister właściwy

do spraw informatyzacji wydaje decyzję o odmowie przyłączenia systemu teleinformatycznego,

w którym udostępniane są usługi online, do węzła krajowego.

Do węzła krajowego przyłącza się elektroniczną platformę usług administracji publicznej.

W ustawie z dnia 21 czerwca 2002 r. o materiałach wybuchowych przeznaczonych do użytku

cywilnego

(Dz. U. z 2017 r. poz. 283 oraz z 2018 r. poz. 138, 398, 650 i 1338) w art. 25a, w art. 37 w ust. 6, w art. 62ze w ust. 1 w pkt 17, w art. 62zf w ust.

1 w pkt 16 oraz w art. 62zm w ust. 7 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 28 lutego 2003 r. - Prawo upadłościowe

(Dz. U. z 2017 r. poz. 2344 i 2491 oraz z 2018 r. poz. 398 i 685) w art. 216a w ust. 1 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 27 marca 2003 r. o planowaniu i zagospodarowaniu przestrzennym

(Dz. U. z 2017 r. poz. 1073 i 1566 oraz z 2018 r. poz. 1496) w art. 18 w ust. 3 w pkt 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

Podmioty odpowiedzialne za systemy teleinformatyczne, w których udostępniane są usługi

online, przyłączane do węzła krajowego określają wymagane poziomy bezpieczeństwa środków

identyfikacji elektronicznej, o których mowa w art. 8 ust. 2 rozporządzenia 910/2014,

niezbędne dla realizacji tych usług.

W ustawie z dnia 28 listopada 2003 r. o świadczeniach rodzinnych

(Dz. U. z 2017 r. poz. 1952, z późn. zm. w art. 23

1)

ust. 3b otrzymuje brzmienie

„

3b.

Wniosek i załączniki do wniosku określone w ust. 4 w postaci elektronicznej mogą być

składane za pomocą

1)

systemu, o którym mowa w ust. 6a, po zastosowaniu zapewnionych w systemie sposobów

potwierdzenia pochodzenia oraz integralności przesłanych danych;

2)

systemu teleinformatycznego wskazanego w informacji zamieszczonej na stronie podmiotowej

Biuletynu Informacji Publicznej ministra właściwego do spraw rodziny po uzgodnieniu

z ministrem właściwym do spraw informatyzacji, po opatrzeniu ich kwalifikowanym podpisem

elektronicznym albo podpisem zaufanym.

”

;

2)

w ust. 6a zdanie drugie otrzymuje brzmienie

„

Uwierzytelnianie użytkowników w systemie teleinformatycznym wymaga użycia profilu

zaufanego, innego środka identyfikacji elektronicznej wydanego w systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym

mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

”

.

W ustawie z dnia 19 marca 2004 r. - Prawo celne

(Dz. U. z 2018 r. poz. 167) w art. 10b w ust. 1 i 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach rynku pracy

(Dz. U. z 2018 r. poz. 1265 i 1149) wprowadza się następujące zmiany

1)

w art. 4

a)

w ust. 1 pkt 8 otrzymuje brzmienie

„

8)

wprowadzanie i rozwijanie w publicznych służbach zatrudnienia systemów teleinformatycznych

zapewniających spójny system obsługi rynku pracy, w tym systemu teleinformatycznego

umożliwiającego wnoszenie wniosków w postaci elektronicznej do publicznych służb zatrudnienia,

oraz prowadzenie i udostępnianie internetowej bazy ofert pracy.

”

,

b)

dodaje się ust. 9 w brzmieniu

„

9.

Uwierzytelnianie użytkowników w systemie teleinformatycznym umożliwiającym wnoszenie

wniosków w postaci elektronicznej do publicznych służb zatrudnienia wymaga użycia

profilu zaufanego, innego środka identyfikacji elektronicznej wydanego w systemie

identyfikacji elektronicznej przyłączonym do węzła krajowego identyfikacji elektronicznej,

o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

”

;

2)

art. 18f otrzymuje brzmienie

„

Art. 18f.

Wniosek o wpis do rejestru może być złożony w postaci elektronicznej. Wniosek składany

w postaci elektronicznej zawiera dane w ustalonym formacie elektronicznym, zawarte

we wzorze wniosku, o którym mowa w art. 19k. Wniosek w postaci elektronicznej składany

jest z wykorzystaniem systemu, o którym mowa w art. 4 ust. 1 pkt 8, po zastosowaniu

zapewnionych w systemie sposobów potwierdzenia pochodzenia oraz integralności przesłanych

danych.

”

;

3)

w art. 36b ust. 6 otrzymuje brzmienie

„

6.

Wniosek o udzielenie akredytacji może być złożony w postaci elektronicznej. Wniosek

w postaci elektronicznej składany jest z wykorzystaniem systemu, o którym mowa w art.

4 ust. 1 pkt 8, po zastosowaniu zapewnionych w systemie sposobów potwierdzenia pochodzenia

oraz integralności przesłanych danych.

”

.

W ustawie z dnia 27 sierpnia 2004 r. o świadczeniach opieki zdrowotnej finansowanych

ze środków publicznych

(Dz. U. z 2018 r. poz. 1510, 1515 i 1532) w art. 95e w ust. 2, w art. 95g w ust. 2 w pkt 9 oraz w art. 95i w ust. 3 we wprowadzeniu

do wyliczenia w zdaniu pierwszym i w ust. 8 w pkt 8 użyte w różnym przypadku wyrazy

„podpisem elektronicznym potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

W ustawie z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne

(Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000) wprowadza się następujące zmiany

1)

w art. 1 po pkt 9 dodaje się pkt 9a i 9b w brzmieniu

„

9a)

funkcjonowania publicznego systemu identyfikacji elektronicznej,

9b)

świadczenia usługi podpisu zaufanego

”

;

2)

w art. 3

a)

pkt 14 otrzymuje brzmienie

„

14)

profil zaufany - środek identyfikacji elektronicznej zawierający zestaw danych identyfikujących

i opisujących osobę fizyczną, który został wydany w sposób, o którym mowa w art. 20c;

”

,

b)

po pkt 14 dodaje się pkt 14a w brzmieniu

„

14a)

podpis zaufany - podpis elektroniczny, którego autentyczność i integralność są zapewniane

przy użyciu pieczęci elektronicznej ministra właściwego do spraw informatyzacji, zawierający

a)

dane identyfikujące osobę, ustalone na podstawie środka identyfikacji elektronicznej

wydanego w systemie, o którym mowa w art. 20aa pkt 1, obejmujące

-

imię (imiona),

-

nazwisko,

-

numer PESEL,

b)

identyfikator środka identyfikacji elektronicznej, przy użyciu którego został złożony,

c)

czas jego złożenia;

”

,

c)

uchyla się pkt 15,

d)

pkt 25 i 26 otrzymują brzmienie

„

25)

formularz elektroniczny - oprogramowanie służące do przygotowania i wygenerowania

dokumentu elektronicznego zgodnego z odpowiadającym mu wzorem dokumentu elektronicznego,

mogące stanowić część usługi udostępnionej na ePUAP lub w innym systemie teleinformatycznym;

26)

zakres użytkowy dokumentu elektronicznego - dane zawarte w dokumencie elektronicznym

niezbędne do załatwienia określonego rodzaju spraw za pośrednictwem usługi udostępnionej

na ePUAP lub w innym systemie teleinformatycznym;

”

;

3)

art. 13a otrzymuje brzmienie

„

Art. 13a.

Podmioty publiczne, o których mowa w art. 2 ust. 1, służby specjalne w rozumieniu

art. 11 ustawy z dnia 24 maja 2002 r. o Agencji Bezpieczeństwa Wewnętrznego oraz Agencji

Wywiadu, Kancelaria Sejmu, Kancelaria Senatu, Kancelaria Prezydenta Rzeczypospolitej Polskiej,

Narodowy Bank Polski, agencje wykonawcze w rozumieniu art. 18 ustawy z dnia 27 sierpnia 2009 r. o finansach publicznych

(Dz. U. z 2017 r. poz. 2077 oraz z 2018 r. poz. 62, 1000 i 1366) oraz podmioty, o których mowa w art. 2 ust. 4, niewskazane wprost w art. 2 ust. 1,

uprawnione do wykonywania praw majątkowych do programu komputerowego stworzonego przez

pracowników w ramach wykonywania obowiązków ze stosunku pracy świadczonej na rzecz

tych podmiotów, mogą umożliwić sobie wzajemnie nieodpłatne korzystanie z tego programu

komputerowego.

”

;

4)

po art. 15 dodaje się art. 15a w brzmieniu

„

Art. 15a.

1.

Podmiot publiczny może udostępnić dane gromadzone w prowadzonym rejestrze publicznym

lub w systemie teleinformatycznym innemu podmiotowi publicznemu lub podmiotowi, o

którym mowa w art. 19c ust. 1, z uwzględnieniem zasad przewidzianych w przepisach

szczególnych dotyczących odpowiednio tego rejestru lub danych gromadzonych w tym systemie

teleinformatycznym, wyłącznie na potrzeby usługi online, która jest świadczona na

rzecz osoby albo podmiotu przy użyciu systemu teleinformatycznego.

2.

Udostępnienie danych, o których mowa w ust. 1, następuje na każdorazowy wniosek osoby

albo podmiotu, na rzecz których świadczona jest usługa online i których te dane dotyczą,

po ich uwierzytelnieniu w sposób, o którym mowa w art. 20a ust. 1. Osobie lub podmiotowi,

których dane są udostępniane, zapewnia się wgląd do udostępnionych danych.

3.

Jeżeli podmiot świadczący usługę online, o której mowa w ust. 1, posiada dostęp do

danych osoby albo podmiotu, na rzecz których świadczona jest usługa online, zgromadzonych

w rejestrze publicznym lub systemie teleinformatycznym wynikający

1)

z jawności tych danych lub

2)

z przepisów szczególnych uprawniających ten podmiot do dostępu do tych danych

- a dostęp ten może być realizowany w sposób, o którym mowa w ust. 4, udostępnienie

tych danych jest realizowane bez konieczności składania wniosku.

4.

Udostępnienie danych, o których mowa w ust. 1, następuje za pośrednictwem usług sieciowych

między systemem teleinformatycznym, z którego udostępniane są dane, a systemem teleinformatycznym,

przy użyciu którego świadczona jest usługa online.

5.

Warunki udostępniania danych, o których mowa w ust. 1, określa się w porozumieniu,

z uwzględnieniem przepisów szczególnych regulujących funkcjonowanie rejestrów lub

systemów teleinformatycznych, z których wnioskowane dane pochodzą.

6.

Udostępnienie usług sieciowych, o których mowa w ust. 4, następuje w terminie określonym

w porozumieniu, nie dłuższym jednak niż 12 miesięcy od zawarcia tego porozumienia.

7.

Udostępniane dane, o których mowa w ust. 1, są wykorzystywane wyłącznie do realizacji

usługi online świadczonej na rzecz osoby albo podmiotu, o których mowa w ust. 2, w

celu

1)

uzupełnienia zakresu użytkowego dokumentu elektronicznego wymaganego w związku ze

świadczoną usługą online;

2)

potwierdzenia faktów lub stanu prawnego wymaganego w związku ze świadczoną usługą

online.

”

;

5)

w art. 16a

a)

ust. 3-5 otrzymują brzmienie

„

3.

Formularz elektroniczny udostępniony na ePUAP lub w innym systemie teleinformatycznym,

którego funkcjonowanie zapewnia minister właściwy do spraw informatyzacji, spełnia

standardy określone dla formularzy elektronicznych przez ministra właściwego do spraw

informatyzacji, opublikowane w Biuletynie Informacji Publicznej na jego stronie podmiotowej.

4.

W przypadku gdy formularz elektroniczny nie spełnia standardów, o których mowa w ust.

3, minister właściwy do spraw informatyzacji może wezwać organ do dostosowania, we

wskazanym terminie, formularza elektronicznego do tych standardów.

5.

W przypadku niedostosowania we wskazanym terminie formularza elektronicznego do standardów,

o których mowa w ust. 3, minister właściwy do spraw informatyzacji może usunąć formularz

elektroniczny z systemu albo po zasięgnięciu opinii organu, który udostępnił formularz

elektroniczny, dokonać jego modyfikacji.

”

,

b)

dodaje się ust. 6-8 w brzmieniu

„

6.

W celu poprawienia funkcjonalności usługi minister właściwy do spraw informatyzacji

może, po zasięgnięciu opinii organu właściwego do określenia wzoru dokumentu oraz

w uzasadnionych przypadkach organów, w których właściwości pozostają sprawy związane

z określonym w tym wzorze zakresem użytkowym dokumentu elektronicznego, udostępnić

na ePUAP lub w innym systemie teleinformatycznym formularz elektroniczny.

7.

Jeżeli organ właściwy do określenia wzoru dokumentu nie określił wzoru dokumentu elektronicznego,

minister właściwy do spraw informatyzacji może, po zasięgnięciu opinii organu właściwego

do określenia wzoru dokumentu oraz w uzasadnionych przypadkach organów, w których

właściwości pozostają sprawy związane z określonym w tym wzorze zakresem użytkowym

dokumentu elektronicznego, określić wzór dokumentu elektronicznego.

8.

W przypadku określenia wzoru dokumentu elektronicznego przez ministra właściwego do

spraw informatyzacji ust. 1 pkt 1-3 stosuje się odpowiednio.

”

;

6)

w art. 16b ust. 1 otrzymuje brzmienie

„

1.

W przypadku gdy w przepisach prawa nie został wskazany organ właściwy do określenia

wzoru dokumentu, wzór dokumentu elektronicznego może przekazać do centralnego repozytorium

wzorów dokumentów elektronicznych organ, w którego właściwości pozostają sprawy związane

z określonym w tym wzorze zakresem użytkowym dokumentów elektronicznych, lub minister

właściwy do spraw informatyzacji po zasięgnięciu w uzasadnionych przypadkach opinii

organów, w których właściwości pozostają sprawy związane z określonym w tym wzorze

zakresem użytkowym dokumentu elektronicznego.

”

;

7)

art. 19c otrzymuje brzmienie

„

Art. 19c.

1.

Minister właściwy do spraw informatyzacji może zawrzeć porozumienie w sprawie udostępniania

usług na ePUAP lub korzystania z usług sieciowych pozwalających na wykorzystanie profilu

zaufanego z

1)

podmiotami, o których mowa w art. 2 ust. 3, realizującymi zadania publiczne,

2)

innymi podmiotami realizującymi zadania publiczne lub wspierającymi świadczenie tych

zadań w celu realizacji strategii i programów przyjętych przez Radę Ministrów lub

strategii rozwoju, programów i dokumentów programowych w rozumieniu ustawy z dnia 6 grudnia 2006 r. o zasadach prowadzenia polityki rozwoju

(Dz. U. z 2018 r. poz. 1307)

- jeżeli wykażą interes faktyczny w udostępnianiu usług na ePUAP lub w korzystaniu

z usług sieciowych pozwalających na wykorzystanie profilu zaufanego; ocena interesu

faktycznego dokonywana jest z uwzględnieniem jego wpływu na bezpieczeństwo i interes

publiczny.

2.

W porozumieniu określa się sposób udostępniania usług na ePUAP oraz ich zakres lub

warunki korzystania z usług sieciowych pozwalających na wykorzystanie profilu zaufanego.

”

;

8)

po art. 19d dodaje się art. 19e-19j w brzmieniu

„

Art. 19e.

1.

Minister właściwy do spraw informatyzacji udostępnia oraz zapewnia rozwój oprogramowania

przeznaczonego dla urządzeń mobilnych, zwanego dalej „publiczną aplikacją mobilną”,

pozwalającego w szczególności na

1)

pobranie, przechowywanie i prezentację dokumentów elektronicznych, o których mowa

w ust. 2, a także przekazywanie tych dokumentów między urządzeniami mobilnymi;

2)

weryfikację integralności i pochodzenia dokumentu elektronicznego.

2.

Minister właściwy do spraw informatyzacji zapewnia działanie systemu teleinformatycznego,

który pozwala, przy użyciu publicznej aplikacji mobilnej, na pobranie dokumentu elektronicznego

1)

zawierającego dane osobowe użytkownika publicznej aplikacji mobilnej pobrane z rejestrów

publicznych w zakresie określonym w ust. 3 i 4;

2)

zawierającego dane dotyczące sytuacji prawnej użytkownika publicznej aplikacji mobilnej

lub praw mu przysługujących;

3)

zawierającego dane umożliwiające identyfikację rzeczy związanej z użytkownikiem publicznej

aplikacji mobilnej;

4)

stanowiącego kopię dokumentu urzędowego, który wydawany jest w postaci innej niż postać

elektroniczna.

3.

Użytkownik publicznej aplikacji mobilnej, po uwierzytelnieniu w sposób określony w

art. 20a ust. 1, może pobrać z

1)

Rejestru Dowodów Osobistych aktualne dane, o których mowa w art. 56 pkt 1, 2 i 4 lit. a-c ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych

(Dz. U. z 2017 r. poz. 1464 oraz z 2018 r. poz. 730);

2)

rejestru PESEL aktualne dane, o których mowa w art. 8 pkt 1-3, 4-6, 9-11, 14 i 22 ustawy z dnia 24 września 2010 r. o ewidencji ludności

(Dz. U. z 2018 r. poz. 1382).

4.

Minister właściwy do spraw informatyzacji zapewnia stosowanie mechanizmów, które pozwalają

na potwierdzenie integralności i pochodzenia danych dokumentu elektronicznego.

Art. 19f.

1.

Użytkowanie publicznej aplikacji mobilnej

1)

jest bezpłatne i dobrowolne;

2)

oznacza wyrażenie zgody na przetwarzanie przez ministra właściwego do spraw informatyzacji

danych osobowych użytkownika aplikacji mobilnej w zakresie, o którym mowa w art. 19h.

2.

Użytkowanie publicznej aplikacji mobilnej jest możliwe po uprzednim uwierzytelnieniu

użytkownika w systemie teleinformatycznym, o którym mowa w art. 19e, w sposób, o którym

mowa w art. 20a ust. 1, o ile przepisy szczególne lub porozumienie, o którym mowa

w art. 19g, nie stanowią inaczej.

3.

Użytkownik aplikacji mobilnej może w każdej chwili zrezygnować z korzystania z publicznej

aplikacji mobilnej oraz wycofać zgodę na przetwarzanie danych osobowych.

Art. 19g.

1.

Minister właściwy do spraw informatyzacji zawiera porozumienie w sprawie wykorzystywania

publicznej aplikacji mobilnej i systemu teleinformatycznego, o których mowa w art.

19e, z podmiotem, o którym mowa w art. 2, na potrzeby zadań realizowanych przez ten

podmiot.

2.

Minister właściwy do spraw informatyzacji może zawrzeć porozumienie w sprawie wykorzystywania

publicznej aplikacji mobilnej i systemu teleinformatycznego, o których mowa w art.

19e, z podmiotem niebędącym podmiotem publicznym na potrzeby zadań realizowanych przez

ten podmiot.

3.

Porozumienie określa warunki wykorzystywania publicznej aplikacji mobilnej oraz systemu

teleinformatycznego, o których mowa w art. 19e, a w szczególności zawiera

1)

określenie dokumentu elektronicznego oraz zakres zawartych w nim danych;

2)

cel i zakres wykorzystywania publicznej aplikacji mobilnej oraz systemu teleinformatycznego;

3)

warunki organizacyjne i techniczne wykorzystania publicznej aplikacji mobilnej oraz

systemu teleinformatycznego.

Art. 19h.

Minister właściwy do spraw informatyzacji przetwarza w systemie teleinformatycznym,

o którym mowa w art. 19e, dane osobowe użytkowników publicznej aplikacji mobilnej

w zakresie niezbędnym do obsługi dokumentów elektronicznych, o których mowa w art.

19e, oraz zapewnienia bezpieczeństwa teleinformatycznego i bezpieczeństwa obrotu prawnego.

Art. 19i.

Minister właściwy do spraw informatyzacji w Biuletynie Informacji Publicznej na swojej

stronie podmiotowej zamieszcza oraz niezwłocznie aktualizuje informacje o

1)

aktywnych i nieaktywnych, w tym czasowo zawieszonych, funkcjonalnościach publicznej

aplikacji mobilnej;

2)

stosowanych mechanizmach zapewniających możliwość potwierdzenia integralności i pochodzenia

dokumentów elektronicznych oraz procedurach uzyskania takiego potwierdzenia;

3)

adresach elektronicznych, pod którymi są udostępnione

a)

regulamin korzystania z publicznej aplikacji mobilnej,

b)

informacja o wymaganiach technicznych dotyczących korzystania z publicznej aplikacji

mobilnej.

Art. 19j.

Minister właściwy do spraw informatyzacji w uzgodnieniu z ministrem właściwym do spraw

wewnętrznych określi, w komunikacie ogłaszanym w Dzienniku Urzędowym Rzeczypospolitej

Polskiej „Monitor Polski”, termin uruchomienia usługi, o której mowa w art. 19e ust.

2 pkt 1, mając na względzie konieczność zapewnienia bezpieczeństwa tej usługi.

”

;

9)

w art. 20a

a)

ust. 1 otrzymuje brzmienie

„

1.

Uwierzytelnienie użytkownika systemu teleinformatycznego podmiotu publicznego, w którym

udostępniane są usługi online, wymaga użycia

1)

środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), lub

2)

środka identyfikacji elektronicznej wydanego w notyfikowanym systemie identyfikacji

elektronicznej, lub

3)

danych weryfikowanych za pomocą kwalifikowanego certyfikatu podpisu elektronicznego,

jeżeli te dane pozwalają na identyfikację i uwierzytelnienie wymagane w celu realizacji

usługi online.

”

,

b)

po ust. 1 dodaje się ust. 1a w brzmieniu

„

1a.

Uwierzytelnianie z wykorzystaniem środków identyfikacji elektronicznej, o których

mowa w ust. 1 pkt 1 i 2, zapewnia się adekwatnie do wymaganego poziomu bezpieczeństwa,

o którym mowa w art. 25 ustawy z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej.

”

,

c)

ust. 2 otrzymuje brzmienie

„

2.

Podmiot publiczny, który używa do realizacji zadań publicznych systemu teleinformatycznego,

może umożliwiać użytkownikowi uwierzytelnienie w tym systemie także przez zastosowanie

innych technologii.

”

,

d)

w ust. 3 uchyla się pkt 2;

10)

po art. 20a dodaje się art. 20aa-20ae w brzmieniu

„

Art. 20aa.

Minister właściwy do spraw informatyzacji odpowiada za funkcjonowanie systemu teleinformatycznego,

który

1)

zapewnia obsługę publicznego systemu identyfikacji elektronicznej, w którym wydawany

jest profil zaufany;

2)

umożliwia podmiotom publicznym

a)

uwierzytelnienie osoby fizycznej przy użyciu środka identyfikacji elektronicznej,

o którym mowa w pkt 1,

b)

zapewnienie osobie fizycznej możliwości opatrzenia dokumentu elektronicznego podpisem

zaufanym.

Art. 20ab.

Minister właściwy do spraw informatyzacji

1)

zarządza publicznym systemem identyfikacji elektronicznej;

2)

zapisuje i zachowuje informacje związane z zapewnieniem rozliczalności i niezaprzeczalności

działań użytkownika korzystającego ze środka identyfikacji elektronicznej wydanego

w publicznym systemie identyfikacji elektronicznej.

Art. 20ac.

1.

Minister właściwy do spraw informatyzacji jest administratorem danych przetwarzanych

w systemie, o którym mowa w art. 20aa.

2.

W systemie przetwarza się następujące dane

1)

osoby, której wydano środek identyfikacji elektronicznej, obejmujące

a)

imię (imiona),

b)

nazwisko,

c)

numer PESEL,

d)

datę urodzenia osoby,

e)

adres poczty elektronicznej,

f)

numer telefonu komórkowego;

2)

dotyczące środka identyfikacji elektronicznej obejmujące

a)

identyfikator,

b)

czas wydania,

c)

termin ważności;

3)

o których mowa w art. 20ab pkt 2.

3.

Dane przetwarzane są w celu zapewnienia uwierzytelnienia osób fizycznych przy użyciu

środków identyfikacji elektronicznej wydawanych w tym systemie oraz możliwości opatrzenia

dokumentu elektronicznego podpisem zaufanym.

4.

W systemie przetwarza się również dane osób uczestniczących w procesie potwierdzania

profilu zaufanego obejmujące

1)

imię (imiona);

2)

nazwisko;

3)

numer PESEL.

Art. 20ad.

1.

Profil zaufany zawiera dane identyfikujące osobę fizyczną obejmujące

1)

imię (imiona);

2)

nazwisko;

3)

datę urodzenia;

4)

numer PESEL.

2.

W procedurze potwierdzania profilu zaufanego dane, o których mowa w ust. 1, są weryfikowane

automatycznie z danymi zawartymi w rejestrze PESEL.

3.

W przypadku zmiany w rejestrze PESEL danych, o których mowa w ust. 1 pkt 1-3, dokonywana

jest automatyczna aktualizacja tych danych zawartych w profilu zaufanym.

4.

Aktualizacja danych zawartych w profilu zaufanym, o której mowa w ust. 3, nie powoduje

unieważnienia profilu zaufanego.

5.

Profil zaufany może zawierać inne dane niż wymienione w ust. 1, w szczególności identyfikator

oraz dane wykorzystywane w procesach uwierzytelniania i autoryzacji realizowanych

przy użyciu profilu zaufanego.

Art. 20ae.

1.

Podpis zaufany wywołuje skutki prawne, jeżeli został utworzony lub złożony w okresie

ważności środka identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1.

2.

Dane w postaci elektronicznej opatrzone podpisem zaufanym są równoważne pod względem

skutków prawnych dokumentowi opatrzonemu podpisem własnoręcznym, chyba że przepisy

odrębne stanowią inaczej.

3.

Nie można odmówić ważności i skuteczności podpisowi zaufanemu tylko na tej podstawie,

że istnieje w postaci elektronicznej.

”

;

11)

uchyla się art. 20b;

12)

w art. 20c

a)

ust. 1 otrzymuje brzmienie

„

1.

Potwierdzenia profilu zaufanego, które polega na weryfikacji zgodności danych zawartych

we wniosku o jego wydanie ze stanem faktycznym, oraz unieważnienia profilu zaufanego

dokonuje

1)

punkt potwierdzający profil zaufany na podstawie

a)

dowodu osobistego albo paszportu zawierającego

-

imię (imiona),

-

nazwisko,

-

numer PESEL, albo

b)

innego dokumentu tożsamości, jeżeli umożliwia on jednoznaczne potwierdzenie tożsamości

osoby wnioskującej o potwierdzenie profilu zaufanego posiadającej numer PESEL;

2)

samodzielnie osoba fizyczna przy wykorzystaniu kwalifikowanego podpisu elektronicznego,

w przypadku gdy kwalifikowany certyfikat podpisu elektronicznego zawiera dane obejmujące

co najmniej

a)

imię (imiona),

b)

nazwisko,

c)

numer PESEL;

3)

samodzielnie osoba fizyczna przy nieodpłatnym wykorzystaniu środka identyfikacji elektronicznej

stosowanego do uwierzytelniania w systemie teleinformatycznym banku krajowego lub

innego przedsiębiorcy spełniającym warunki, o których mowa w art. 20d pkt 1, o ile

środek ten potwierdza dane obejmujące co najmniej

a)

imię (imiona),

b)

nazwisko,

c)

numer PESEL.

”

,

b)

po ust. 1 dodaje się ust. 1a w brzmieniu

„

1a.

Przedłużenie ważności profilu zaufanego może nastąpić w sposób, o którym mowa w ust.

1 pkt 1 i 2, albo przy wykorzystaniu profilu zaufanego.

”

,

c)

w ust. 3 w pkt 4 kropkę zastępuje się średnikiem i dodaje się pkt 5 w brzmieniu

„

5)

spółdzielcza kasa oszczędnościowo-kredytowa, o której mowa w ustawie z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych

(Dz. U. z 2017 r. poz. 2065, z późn. zm..

”

,

d)

w ust. 4, 6, 7, 9 i 10 wyrazy „art. 20a ust. 3 pkt 2” zastępuje się wyrazami „art. 20d pkt 1”,

e)

ust. 8 otrzymuje brzmienie

„

8.

Minister właściwy do spraw informatyzacji, na wniosek banku krajowego lub innego przedsiębiorcy,

udziela zgody na nieodpłatne wykorzystywanie środków identyfikacji elektronicznej

stosowanych do uwierzytelniania w systemie teleinformatycznym banku krajowego lub

innego przedsiębiorcy do potwierdzania profilu zaufanego w sposób, o którym mowa w

ust. 1 pkt 3, oraz do uwierzytelnień i autoryzacji związanych z jego wykorzystaniem

po spełnieniu przez bank krajowy lub innego przedsiębiorcę warunków, o których mowa

w przepisach wydanych na podstawie art. 20d pkt 1.

”

;

13)

po art. 20c dodaje się art. 20d-20g w brzmieniu

„

Art. 20d.

Minister właściwy do spraw informatyzacji określi, w drodze rozporządzenia, warunki

1)

wydawania, przedłużania ważności, wykorzystywania i unieważniania profilu zaufanego,

w tym

a)

okres ważności profilu zaufanego,

b)

zbiór danych zawartych w profilu zaufanym, o których mowa w art. 20ad ust. 5,

c)

przypadki, w których nie dokonuje się potwierdzenia profilu zaufanego,

d)

przypadki, w których profil zaufany traci ważność,

e)

warunki przechowywania oraz archiwizowania dokumentów i danych bezpośrednio związanych

z potwierdzeniem profilu zaufanego,

f)

dane i dokumenty wymagane w procedurze potwierdzania, przedłużania ważności i unieważnienia

profilu zaufanego,

g)

warunki, które powinien spełniać punkt potwierdzający profil zaufany,

h)

warunki organizacyjne i techniczne potwierdzenia profilu zaufanego oraz uwierzytelnień

i autoryzacji przy nieodpłatnym wykorzystaniu środka identyfikacji elektronicznej

stosowanego do uwierzytelniania w systemie teleinformatycznym banku krajowego lub

innego przedsiębiorcy,

i)

sposób potwierdzania spełniania warunków, o których mowa w lit. h,

2)

składania podpisu zaufanego

- biorąc pod uwagę konieczność zapewnienia bezpieczeństwa i pewności w procesie uwierzytelnienia

i składania podpisu oraz poufności kluczowych elementarnych czynności.

Art. 20e.

1.

Przyłączenie systemu teleinformatycznego, w którym udostępniane są usługi online,

do systemu, o którym mowa w art. 20aa, w celu wykorzystywania podpisu zaufanego następuje

na wniosek podmiotu odpowiedzialnego za ten system.

2.

Do wniosku dołącza się oświadczenie o zapoznaniu się z polityką bezpieczeństwa udostępnioną

przez ministra właściwego do spraw informatyzacji w Biuletynie Informacji Publicznej

na jego stronie podmiotowej.

3.

Wniosek oraz oświadczenie, o których mowa w ust. 2, składa się w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym.

Art. 20f.

Minister właściwy do spraw informatyzacji wydaje zgodę na przyłączenie systemu teleinformatycznego

podmiotu publicznego, w którym udostępniane są usługi online, do systemu, o którym

mowa w art. 20aa, po przeprowadzeniu testów integracyjnych zakończonych wynikiem pozytywnym,

potwierdzających interoperacyjność tego systemu z systemem, o którym mowa w art. 20aa.

Art. 20g.

Do systemu, o którym mowa w art. 20aa, przyłącza się elektroniczną platformę usług

administracji publicznej.

”

.

W ustawie z dnia 9 czerwca 2006 r. o Centralnym Biurze Antykorupcyjnym

(Dz. U. z 2017 r. poz. 1993 i 2405 oraz z 2018 r. poz. 138, 650 i 730) w art. 24

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych funkcjonariusze CBA mogą posługiwać

się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane identyfikujące

funkcjonariusza CBA.

”

;

2)

ust. 3 otrzymuje brzmienie

„

3.

Osoby udzielające CBA pomocy przy wykonywaniu czynności operacyjno-rozpoznawczych

mogą posługiwać się dokumentami, o których mowa w ust. 2, oraz odpowiednio środkami

identyfikacji elektronicznej, o których mowa w ust. 2a.

”

;

3)

w ust. 4

a)

pkt 4 otrzymuje brzmienie

„

4)

funkcjonariusz CBA lub osoba wymieniona w ust. 3, posługujący się przy wykonywaniu

czynności operacyjno-rozpoznawczych dokumentami, o których mowa w ust. 2, lub środkami

identyfikacji elektronicznej, o których mowa w ust. 2a;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, funkcjonariuszowi

CBA albo osobom, o których mowa w ust. 3, lub dopuszcza do uwierzytelnienia z wykorzystaniem

takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji elektronicznej.

”

.

W ustawie z dnia 9 czerwca 2006 r. o Służbie Kontrwywiadu Wojskowego oraz Służbie Wywiadu

Wojskowego

(Dz. U. z 2017 r. poz. 1978 i 2405 oraz z 2018 r. poz. 650) w art. 39

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych funkcjonariusze SKW i SWW mogą

posługiwać się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane

identyfikujące odpowiednio funkcjonariusza SKW albo SWW.

”

;

2)

ust. 3 otrzymuje brzmienie

„

3.

Osoby udzielające SKW i SWW pomocy przy wykonywaniu czynności operacyjno-rozpoznawczych

mogą posługiwać się dokumentami, o których mowa w ust. 2, oraz odpowiednio środkami

identyfikacji elektronicznej, o których mowa w ust. 2a.

”

;

3)

po ust. 4 dodaje się ust. 4a w brzmieniu

„

4a.

SWW prowadzi centralny rejestr środków identyfikacji elektronicznej, o których mowa

w ust. 2a.

”

;

4)

w ust. 6

a)

pkt 4 otrzymuje brzmienie

„

4)

funkcjonariusz SKW, SWW, żołnierz zawodowy wyznaczony na stanowisko służbowe w SKW

albo SWW lub osoba wymieniona w ust. 3, posługujący się przy wykonywaniu czynności

operacyjno-rozpoznawczych dokumentami, o których mowa w ust. 2 i 3, lub środkami identyfikacji

elektronicznej, o których mowa w ust. 2a;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, funkcjonariuszowi

SKW, SWW albo osobom, o których mowa w ust. 3, lub dopuszcza do uwierzytelnienia z

wykorzystaniem takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji

elektronicznej.

”

.

W ustawie z dnia 8 września 2006 r. o Państwowym Ratownictwie Medycznym

(Dz. U. z 2017 r. poz. 2195 oraz z 2018 r. poz. 650 i 1115) w art. 10b w ust. 5 w pkt 1 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów

(Dz. U. z 2018 r. poz. 554, 650 i 1000) w art. 15

1)

ust. 3b otrzymuje brzmienie

„

3b.

Wniosek i załączniki do wniosku określone w ust. 4 w postaci elektronicznej mogą być

składane za pomocą

1)

systemu, o którym mowa w ust. 11, po zastosowaniu zapewnionych w systemie sposobów

potwierdzenia pochodzenia oraz integralności przesłanych danych;

2)

systemu teleinformatycznego wskazanego w informacji zamieszczonej na stronie podmiotowej

Biuletynu Informacji Publicznej ministra właściwego do spraw rodziny po uzgodnieniu

z ministrem właściwym do spraw informatyzacji, po opatrzeniu ich kwalifikowanym podpisem

elektronicznym albo podpisem zaufanym.

”

;

2)

w ust. 11 zdanie drugie otrzymuje brzmienie

„

Uwierzytelnianie użytkowników w systemie teleinformatycznym wymaga użycia profilu

zaufanego, innego środka identyfikacji elektronicznej wydanego w systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym

mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

”

.

W ustawie z dnia 5 listopada 2009 r. o spółdzielczych kasach oszczędnościowo-kredytowych

(Dz. U. z 2017 r. poz. 2065, z późn. zm. w art. 3 dodaje się ust. 4 w brzmieniu

„

4.

Kasy mogą świadczyć na rzecz swoich członków usługi zaufania oraz wydawać swoim członkom

środki identyfikacji elektronicznej w rozumieniu przepisów o usługach zaufania oraz

identyfikacji elektronicznej.

”

.

W ustawie z dnia 24 września 2010 r. o ewidencji ludności

(Dz. U. z 2018 r. poz. 1382) wprowadza się następujące zmiany

1)

w art. 32 w ust. 5 w zdaniu drugim wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”;

2)

w art. 46 w ust. 2 w pkt 3 kropkę zastępuje się średnikiem i dodaje się pkt 4 w brzmieniu

„

4)

podmiotom odpowiedzialnym za system identyfikacji elektronicznej oraz podmiotom wydającym

środki identyfikacji elektronicznej w systemie identyfikacji elektronicznej zgodnie

z ustawą z dnia 5 września 2016 r. o usługach zaufania oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544) w celu wydania środka identyfikacji elektronicznej.

”

;

3)

w art. 49 po ust. 2a dodaje się ust. 2b w brzmieniu

„

2b.

Podmiotom, o których mowa w art. 46 ust. 2 pkt 4, udostępnia się, w sposób i na warunkach

określonych w ust. 1, dane obejmujące numer PESEL, datę urodzenia, miejsce urodzenia,

płeć, imię (imiona), nazwisko, nazwisko rodowe.

”

;

4)

w art. 53 pkt 1 i 2 otrzymują brzmienie

„

1)

dla podmiotów, o których mowa w art. 46 ust. 1, art. 46 ust. 2 pkt 4, oraz ministra

właściwego do spraw wewnętrznych - nieodpłatnie;

2)

dla podmiotów, o których mowa w art. 46 ust. 2 pkt 1-3 - odpłatnie.

”

.

W ustawie z dnia 5 stycznia 2011 r. o kierujących pojazdami

(Dz. U. z 2017 r. poz. 978, z późn. zm. wprowadza się następujące zmiany

1)

w art. 27 w ust. 6 wyrazy „podpisu potwierdzonego profilem zaufanym ePUAP” zastępuje się wyrazami „podpisu zaufanego”;

2)

w art. 136 w ust. 1-4 wyrazy „art. 12 ust. 2” zastępuje się wyrazami „art. 13 ust. 2”.

W ustawie z dnia 4 lutego 2011 r. o opiece nad dziećmi w wieku do lat 3

(Dz. U. z 2018 r. poz. 603 i 650) wprowadza się następujące zmiany

1)

w art. 35b ust. 3 otrzymuje brzmienie

„

3.

Wniosek jest składany za pomocą systemu teleinformatycznego, o którym mowa w art.

62a, po zastosowaniu zapewnionych w tym systemie sposobów potwierdzenia pochodzenia

oraz integralności przesłanych danych w postaci elektronicznej. Uwierzytelnianie użytkowników

w tym systemie wymaga użycia profilu zaufanego, innego środka identyfikacji elektronicznej

wydanego w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego identyfikacji

elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

”

;

2)

w art. 46b ust. 4 otrzymuje brzmienie

„

4.

Wniosek jest składany za pomocą systemu teleinformatycznego, o którym mowa w art.

62a, po zastosowaniu zapewnionych w tym systemie sposobów potwierdzenia pochodzenia

oraz integralności przesłanych danych w postaci elektronicznej. Uwierzytelnianie użytkowników

w tym systemie wymaga użycia profilu zaufanego, środka identyfikacji elektronicznej

wydanego w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego identyfikacji

elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej, adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

”

.

W ustawie z dnia 15 kwietnia 2011 r. o systemie informacji oświatowej

(Dz. U. z 2017 r. poz. 2159 i 2203) w art. 71 w ust. 3 wyrazy „podpisu potwierdzonego profilem zaufanym ePUAP” zastępuje się wyrazami „podpisu zaufanego”.

W ustawie z dnia 28 kwietnia 2011 r. o systemie informacji w ochronie zdrowia

(Dz. U. z 2017 r. poz. 1845 oraz z 2018 r. poz. 697 i 1515) wprowadza się następujące zmiany

1)

w art. 2 w pkt 6 wprowadzenie do wyliczenia otrzymuje brzmienie

„

elektroniczna dokumentacja medyczna - dokumenty wytworzone w postaci elektronicznej

opatrzone kwalifikowanym podpisem elektronicznym, podpisem zaufanym albo z wykorzystaniem

sposobu potwierdzania pochodzenia oraz integralności danych dostępnego w systemie

teleinformatycznym udostępnionym bezpłatnie przez Zakład Ubezpieczeń Społecznych

”

;

2)

w art. 8 ust. 2 otrzymuje brzmienie

„

2.

Do rejestrów medycznych i systemów teleinformatycznych używanych do prowadzenia rejestrów

medycznych stosuje się odpowiednio przepisy art. 14 ust. 1 i art. 15-16 ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności

podmiotów realizujących zadania publiczne i przepisy wydane na ich podstawie oraz przepisy wydane na podstawie art. 18 tej

ustawy.

”

;

3)

w art. 17 w ust. 3 wprowadzenie do wyliczenia otrzymuje brzmienie

„

Pracownik medyczny używa kwalifikowanego podpisu elektronicznego, podpisu zaufanego

albo wykorzystuje sposób potwierdzania pochodzenia oraz integralności danych dostępny

w systemie teleinformatycznym udostępnionym bezpłatnie przez Zakład Ubezpieczeń Społecznych

do podpisywania

”

.

Nadzór nad krajowym schematem identyfikacji elektronicznej sprawuje minister właściwy

do spraw informatyzacji.

1.

W ramach nadzoru minister właściwy do spraw informatyzacji

1)

prowadzi kontrole

a)

spełniania przez systemy identyfikacji elektronicznej przyłączone do węzła krajowego

wymagań, o których mowa w art. 21b ust. 1,

b)

spełniania przez systemy teleinformatyczne, w których udostępniane są usługi online,

przyłączone do węzła krajowego wymagań, o których mowa w art. 21t ust. 1;

2)

prowadzi działania zapobiegające naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji

elektronicznej, w szczególności dokonuje systematycznego szacowania ryzyka wystąpienia

incydentów w krajowym schemacie identyfikacji elektronicznej;

3)

określa i udostępnia w Biuletynie Informacji Publicznej na swojej stronie podmiotowej

politykę bezpieczeństwa węzła krajowego;

4)

uczestniczy w inicjatywach krajowych i międzynarodowych mających na celu podnoszenie

bezpieczeństwa węzła krajowego, węzła transgranicznego oraz systemów identyfikacji

elektronicznej;

5)

współpracuje z organem właściwym do spraw ochrony danych osobowych.

2.

W ramach działań zapobiegających naruszeniom bezpieczeństwa w krajowym schemacie identyfikacji

elektronicznej minister właściwy do spraw informatyzacji

1)

prowadzi systematyczne szacowanie ryzyka wystąpienia incydentów, przez które rozumie

się każde zdarzenie, które ma lub może mieć niekorzystny wpływ na poufność danych

albo rozliczalność działań dokonywanych w ramach świadczonych usług w krajowym schemacie

identyfikacji elektronicznej, w tym za pośrednictwem węzła krajowego;

2)

wdraża, rozwija i upowszechnia stosowanie środków technicznych i organizacyjnych uwzględniających

najnowszy stan wiedzy, odpowiednich i proporcjonalnych do zidentyfikowanych ryzyk,

zapewniających bezpieczeństwo systemów teleinformatycznych wykorzystywanych do świadczenia

usług za pośrednictwem węzła krajowego;

3)

po dostrzeżeniu podatności lub zagrożeń naruszających lub mogących naruszać poufność,

integralność, dostępność i autentyczność danych przetwarzanych w systemach teleinformatycznych

działających w ramach krajowego schematu identyfikacji elektronicznej niezwłocznie

podejmuje działania zaradcze.

1.

W przypadku naruszenia polityki bezpieczeństwa węzła krajowego lub niespełniania wymagań,

o których mowa w art. 21b ust. 1, dotyczących systemu identyfikacji elektronicznej

przyłączonego do węzła krajowego, w zakresie mającym wpływ na wiarygodność uwierzytelnienia

z wykorzystaniem środków identyfikacji elektronicznej wydanych w tym systemie, minister

właściwy do spraw informatyzacji wydaje decyzję o zawieszeniu

1)

możliwości korzystania z tego systemu, jeżeli naruszenie dotyczy całego systemu, albo

2)

możliwości korzystania z części środków identyfikacji elektronicznej wydanych w tym

systemie, jeżeli naruszenie dotyczy części środków identyfikacji elektronicznej i

zawieszenie takie jest możliwe technicznie.

2.

Minister właściwy do spraw informatyzacji wydaje decyzję o przywróceniu możliwości

korzystania z systemu identyfikacji elektronicznej lub zawieszonej części środków

identyfikacji elektronicznej niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego

za system identyfikacji elektronicznej potwierdzenia usunięcia naruszenia, które było

podstawą do zawieszenia, o którym mowa w ust. 1.

3.

Decyzja, o której mowa w ust. 1, podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia

30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami administracyjnymi nie stosuje się.

Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu identyfikacji

elektronicznej od węzła krajowego i odłącza ten system od węzła krajowego w przypadku

1)

złożenia przez podmiot odpowiedzialny za system identyfikacji elektronicznej wniosku

o odłączenie od węzła krajowego;

2)

zaprzestania prowadzenia działalności przez podmiot odpowiedzialny za system identyfikacji

elektronicznej;

3)

nieusunięcia przyczyny zawieszenia możliwości uwierzytelniania, o której mowa w art.

21r ust. 1, lub możliwości korzystania z systemu, o której mowa w art. 39c ust. 1,

w terminie 3 miesięcy od dnia jego zawieszenia;

4)

nieprzedstawienia kolejnej umowy ubezpieczenia odpowiedzialności cywilnej za szkody

wyrządzone w związku z wykorzystywaniem środków identyfikacji elektronicznej wydanych

w systemie identyfikacji elektronicznej;

5)

wydania przez Szefa Agencji Bezpieczeństwa Wewnętrznego negatywnej opinii w przypadku,

o którym mowa w art. 21s ust. 3, w stosunku do podmiotu odpowiedzialnego za system

identyfikacji elektronicznej.

1.

Decyzja o odłączeniu systemu identyfikacji elektronicznej od węzła krajowego jest

podstawą do wykreślenia tego systemu z rejestru systemów.

2.

Decyzja podlega natychmiastowemu wykonaniu. Przepisu art. 61 § 2 pkt 1 ustawy z dnia 30 sierpnia 2002 r. - Prawo o postępowaniu przed sądami

administracyjnymi nie stosuje się.

Podmiot odpowiedzialny za system identyfikacji elektronicznej, na żądanie ministra

właściwego do spraw informatyzacji oraz Szefa Agencji Bezpieczeństwa Wewnętrznego,

z zachowaniem przepisów o ochronie informacji niejawnych i innych informacji prawnie

chronionych, jest obowiązany udzielać informacji oraz udostępniać dokumenty, które

są bezpośrednio związane z funkcjonowaniem systemu identyfikacji elektronicznej, w

tym dotyczą naruszeń, o których mowa w art. 21r ust. 1 lub art. 39c ust. 1.

1.

W przypadku naruszenia polityki bezpieczeństwa, o której mowa w art. 39b ust. 1 pkt

3, lub niespełniania wymagań, o których mowa w art. 21t ust. 1, dotyczących systemu

teleinformatycznego, w którym udostępniane są usługi online, przyłączonego do węzła

krajowego, w zakresie mającym wpływ na bezpieczeństwo uwierzytelnienia z wykorzystaniem

węzła krajowego, minister właściwy do spraw informatyzacji zawiesza w tym systemie

możliwość uwierzytelniania z wykorzystaniem węzła krajowego.

2.

Minister właściwy do spraw informatyzacji przywraca możliwość uwierzytelniania z wykorzystaniem

węzła krajowego w systemie teleinformatycznym, w którym udostępniane są usługi online,

niezwłocznie po otrzymaniu od podmiotu odpowiedzialnego za ten system potwierdzenia

usunięcia naruszenia, które było podstawą do zawieszenia, o którym mowa w ust. 1.

Minister właściwy do spraw informatyzacji wydaje decyzję o odłączeniu systemu teleinformatycznego,

w którym udostępniane są usługi online, i odłącza ten system od węzła krajowego w

przypadku

1)

złożenia przez podmiot odpowiedzialny za ten system wniosku o odłączenie systemu od

węzła krajowego;

2)

zaprzestania udostępniania usług online w tym systemie;

3)

nieusunięcia przyczyny zawieszenia tego systemu, o której mowa w art. 39g ust. 1,

w terminie 3 miesięcy od dnia jego zawieszenia.

Podmiot odpowiedzialny za system teleinformatyczny, w którym udostępniane są usługi

online, na żądanie ministra właściwego do spraw informatyzacji oraz Szefa Agencji

Bezpieczeństwa Wewnętrznego, z zachowaniem przepisów o ochronie informacji niejawnych

i innych informacji prawnie chronionych, jest obowiązany udzielać informacji oraz

udostępniać dokumenty, które są bezpośrednio związane z funkcjonowaniem tego systemu,

w tym dotyczą naruszeń, o których mowa w art. 39g ust. 1.

1.

Kontrola, o której mowa w art. 39b ust. 1 pkt 1, jest przeprowadzana przez osoby upoważnione

przez ministra właściwego do spraw informatyzacji.

2.

Osoby, o których mowa w ust. 1, są uprawnione do

1)

wstępu do obiektów i pomieszczeń podmiotu odpowiedzialnego za system identyfikacji

elektronicznej lub podmiotu wydającego środek identyfikacji elektronicznej w tym systemie;

2)

wglądu do dokumentów zawierających dane dotyczące funkcjonowania systemu identyfikacji

elektronicznej oraz wydanych w tym systemie środków identyfikacji elektronicznej;

3)

przetwarzania danych osobowych w zakresie objętym przedmiotem kontroli;

4)

przeprowadzania oględzin obiektów oraz innych składników majątkowych związanych z

funkcjonowaniem systemu identyfikacji elektronicznej, a także sprawdzania przebiegu

czynności związanych z wydawaniem środków identyfikacji elektronicznej oraz oceny

technicznej środków identyfikacji elektronicznej;

5)

żądania udzielenia ustnych lub pisemnych wyjaśnień od pracowników podmiotu odpowiedzialnego

za system identyfikacji elektronicznej, podmiotu wydającego środek identyfikacji elektronicznej

oraz przeprowadzającego procedurę uwierzytelniania w tym systemie;

6)

zabezpieczania dokumentów i innych materiałów, z zachowaniem przepisów o ochronie

informacji niejawnych i innych informacji prawnie chronionych.

W przypadku gdy wyniki kontroli wykażą niezgodność z przepisami ustawy, minister właściwy

do spraw informatyzacji, po zapoznaniu się z zastrzeżeniami oraz wyjaśnieniami zgłoszonymi

przez podmiot kontrolowany, może wydać decyzję nakładającą obowiązek usunięcia stwierdzonych

niezgodności w terminie nie krótszym niż 14 dni.

W sprawach nieuregulowanych w ustawie, do przeprowadzenia kontroli, o której mowa

w art. 39b ust. 1 pkt 1, stosuje się odpowiednio przepisy rozdziału 5 ustawy z dnia 6 marca 2018 r. - Prawo przedsiębiorców

(Dz. U. poz. 646 i 1479).

W ustawie z dnia 12 maja 2011 r. o refundacji leków, środków spożywczych specjalnego

przeznaczenia żywieniowego oraz wyrobów medycznych

(Dz. U. z 2017 r. poz. 1844 oraz z 2018 r. poz. 650, 697 i 1515) w art. 19 w ust. 3, w art. 24 w ust. 6a, w art. 32a w ust. 8, w art. 38 w ust. 5

w pkt 3 w lit. e w tiret pierwszym, w ust. 5a w pkt 9 w lit. a oraz w ust. 6 w pkt

7 w lit. a użyte w różnym przypadku wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

Kto posługuje się cudzym środkiem identyfikacji elektronicznej, wydawanym w systemie

identyfikacji elektronicznej przyłączonym do węzła krajowego, w celu uzyskania nieuprawnionego

dostępu do usługi online,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

W ustawie z dnia 9 czerwca 2011 r. o wspieraniu rodziny i systemie pieczy zastępczej

(Dz. U. z 2018 r. poz. 998 i 1076) w art. 187a dodaje się ust. 5 w brzmieniu

„

5.

Wniosek i załączniki do wniosku o przyznanie świadczeń na podstawie programu, o którym

mowa w ust. 1, mogą być składane drogą elektroniczną za pomocą systemów teleinformatycznych

banków krajowych oraz spółdzielczych kas oszczędnościowo-kredytowych, świadczących

usługi składania drogą elektroniczną wniosków o ustalenie prawa do świadczenia wychowawczego,

na podstawie art. 13 ust. 5 pkt 3 ustawy z dnia 11 lutego 2016 r. o pomocy państwa

w wychowywaniu dzieci

(Dz. U. z 2017 r. poz. 1851 oraz z 2018 r. poz. 107, 138, 650, 1000 i 1076).

”

.

Kto bez uprawnienia kopiuje lub przechowuje nieprzyporządkowane do niego dane pozwalające

na identyfikowanie się z wykorzystaniem środka identyfikacji elektronicznej, wydawanym

w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

W ustawie z dnia 15 lipca 2011 r. o zawodach pielęgniarki i położnej

(Dz. U. z 2018 r. poz. 123, 650, 1000 i 1515) w art. 67 w ust. 4d w pkt 1, w art. 76 w ust. 1b w pkt 1 i w art. 80 w ust. 8 w pkt

1 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 14 grudnia 2012 r. o odpadach

(Dz. U. z 2018 r. poz. 992, 1000 i 1479) w art. 65 w ust. 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

Kto wydaje środek identyfikacji elektronicznej w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego osobie nieuprawnionej,

podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.

W ustawie z dnia 10 stycznia 2014 r. o zmianie ustawy o informatyzacji działalności

podmiotów realizujących zadania publiczne oraz niektórych innych ustaw

(Dz. U. poz. 183, z 2015 r. poz. 1311, z 2016 r. poz. 1579 oraz z 2018 r. poz. 696) w art. 4 w pkt 3 w art. 37 w § 1a, w pkt 4 w art. 37a, w pkt 5 w art. 46 w § 2a,

w pkt 7 w art. 48 w § 3a w zdaniu pierwszym i w pkt 12 w art. 74a w § 3 w pkt 2 użyte

w różnym przypadku wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiednim przypadku wyrazami „podpisem zaufanym”.

W ustawie z dnia 14 marca 2014 r. o zasadach prowadzenia zbiórek publicznych

(Dz. U. z 2017 r. poz. 1223) w art. 9 w ust. 2, w art. 11 w ust. 2 i w art. 18 w ust. 3 użyte w różnej liczbie

wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się użytymi w odpowiedniej

liczbie wyrazami „podpisem zaufanym”.

W ustawie z dnia 11 lipca 2014 r. o zasadach realizacji programów w zakresie polityki

spójności finansowanych w perspektywie finansowej 2014-2020

(Dz. U. z 2018 r. poz. 1431) art. 70 otrzymuje brzmienie

„

Art. 70.

1.

Uwierzytelnianie beneficjenta lub osoby fizycznej, która zgodnie z postanowieniami

umowy o dofinansowanie projektu lub decyzji o dofinansowaniu projektu jest upoważniona

do reprezentowania beneficjenta w zakresie czynności związanych z realizacją projektu

w centralnym systemie teleinformatycznym, wymaga wykorzystania profilu zaufanego,

innego środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, albo danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online.

2.

W przypadku gdy z powodów technicznych wykorzystanie profilu zaufanego nie jest możliwe,

uwierzytelnianie w centralnym systemie teleinformatycznym podmiotu, o którym mowa

w ust. 1, następuje przez wykorzystanie loginu i hasła wygenerowanego przez ten system.

”

.

W ustawie z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny

(Dz. U. z 2017 r. poz. 1832 i 2161) wprowadza się następujące zmiany

1)

w art. 2 pkt 2 otrzymuje brzmienie

„

2)

realizowanym przy użyciu oprogramowania dedykowanego dla urządzeń mobilnych, udostępnionego

przez ministra właściwego do spraw rodziny, zawierającego usługi ułatwiające korzystanie

z przyznanych uprawnień, lub publicznej aplikacji mobilnej, o której mowa w art. 19e ustawy z dnia 17 lutego 2005 r. o informatyzacji działalności podmiotów realizujących

zadania publiczne

(Dz. U. z 2017 r. poz. 570 oraz z 2018 r. poz. 1000 i 1544), na podstawie porozumienia pomiędzy ministrem właściwym do spraw rodziny a ministrem

właściwym do spraw informatyzacji, zwanym dalej „kartą elektroniczną”.

”

;

2)

w art. 10 ust. 9a i 10 otrzymują brzmienie

„

9a.

Wniosek i dokumenty, o których mowa w ust. 4 i 5, mogą być składane drogą elektroniczną

wyłącznie za pomocą systemu teleinformatycznego utworzonego przez ministra właściwego

do spraw rodziny. Uwierzytelnianie użytkowników w tym systemie wymaga użycia profilu

zaufanego, innego środka identyfikacji elektronicznej wydanego w systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym

mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie.

10.

Wniosek o przyznanie Karty lub wydanie duplikatu Karty składany jest z wykorzystaniem

systemu, o którym mowa w ust. 9a, po zastosowaniu zapewnionych w tym systemie sposobów

potwierdzenia pochodzenia oraz integralności przesłanych danych w postaci elektronicznej.

”

.

Kto w sposób nieuprawniony gromadzi, przetwarza lub powiela dane dotyczące wykorzystania

środka identyfikacji elektronicznej, wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego,

podlega karze pieniężnej w wysokości do 1 000 000 zł.

Podmiot odpowiedzialny za system identyfikacji elektronicznej przyłączony do węzła

krajowego, który w wyniku świadomego działania lub zaniechania dopuścił w swoim systemie

identyfikacji elektronicznej do uwierzytelnienia z wykorzystaniem środka identyfikacji

elektronicznej, co do którego posiada wiedzę, że nie pozostaje on pod wyłączną kontrolą

osoby, której ten środek wydano,

podlega karze pieniężnej w wysokości do 1 000 000 zł.

W ustawie z dnia 20 lutego 2015 r. o odnawialnych źródłach energii

(Dz. U. z 2018 r. poz. 1269 i 1276) w art. 79 w ust. 4, w art. 138 w ust. 5 w pkt 2 i w art. 147 w ust. 5 w pkt 2 wyrazy

„podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 15 maja 2015 r. - Prawo restrukturyzacyjne

(Dz. U. z 2017 r. poz. 1508 oraz z 2018 r. poz. 149 i 398) w art. 203 w ust. 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 15 maja 2015 r. o substancjach zubożających warstwę ozonową oraz o

niektórych fluorowanych gazach cieplarnianych

(Dz. U. z 2017 r. poz. 1951 oraz z 2018 r. poz. 650 i 1479) w art. 6 w ust. 2 we wprowadzeniu do wyliczenia, w art. 8 w ust. 5 w zdaniu drugim,

w art. 9 w ust. 4 i 6, w art. 25 w ust. 4 w zdaniu drugim i w ust. 6 w zdaniu drugim,

w art. 27 w ust. 2 w zdaniu drugim i w ust. 4 w zdaniu drugim, w art. 37 w ust. 7

w zdaniu drugim i w ust. 9 w zdaniu drugim oraz w art. 41 w ust. 5 w zdaniu drugim

wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 25 czerwca 2015 r. - Prawo konsularne

(Dz. U. z 2017 r. poz. 1545 i 2361 oraz z 2018 r. poz. 398) w art. 75 w ust. 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu dzieci

(Dz. U. z 2017 r. poz. 1851 oraz z 2018 r. poz. 107, 138, 650, 1000 i 1076) w art. 13

1)

w ust. 5 pkt 1 otrzymuje brzmienie

„

1)

utworzonego przez ministra właściwego do spraw rodziny; uwierzytelnianie użytkowników

w systemie wymaga użycia profilu zaufanego, innego środka identyfikacji elektronicznej

wydanego w systemie identyfikacji elektronicznej przyłączonym do węzła krajowego identyfikacji

elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online, albo innych technologii, jeżeli zostaną

udostępnione w tym systemie;

”

;

2)

ust. 7 otrzymuje brzmienie

„

7.

Wniosek i załączniki do wniosku określone w ust. 4 składane są w postaci elektronicznej

za pomocą

1)

systemu teleinformatycznego, o którym mowa w ust. 5 pkt 1, po zastosowaniu zapewnionych

w tym systemie sposobów potwierdzenia pochodzenia oraz integralności przesłanych danych

w postaci elektronicznej;

2)

systemów teleinformatycznych, o których mowa w ust. 5 pkt 2 i 4; opatruje się je kwalifikowanym

podpisem elektronicznym albo podpisem zaufanym lub uwierzytelnia w sposób zapewniający

możliwość potwierdzenia pochodzenia oraz integralności weryfikowanych danych w postaci

elektronicznej.

”

;

3)

w ust. 11 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 16 listopada 2016 r. o Krajowej Administracji Skarbowej

(Dz. U. z 2018 r. poz. 508, 650, 723, 1000, 1039 i 1499) w art. 131

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Funkcjonariusze wykonujący czynności operacyjno-rozpoznawcze przy wykonywaniu tych

czynności mogą posługiwać się środkami identyfikacji elektronicznej zawierającymi

dane inne niż dane identyfikujące funkcjonariusza.

”

;

2)

ust. 3 otrzymuje brzmienie

„

3.

Osoby udzielające pomocy przy wykonywaniu czynności operacyjno-rozpoznawczych mogą

posługiwać się dokumentami, o których mowa w ust. 2, oraz środkami identyfikacji elektronicznej,

o których mowa w ust. 2a.

”

;

3)

w ust. 4

a)

pkt 4 i 5 otrzymują brzmienie

„

4)

funkcjonariusz wykonujący czynności operacyjno-rozpoznawcze posługujący się przy wykonywaniu

tych czynności dokumentami, o których mowa w ust. 2, lub środkami identyfikacji elektronicznej,

o których mowa w ust. 2a;

5)

osoba, o której mowa w ust. 3, posługująca się dokumentami, o których mowa w ust.

2, lub środkami identyfikacji elektronicznej, o których mowa w ust. 2a;

”

,

b)

dodaje się pkt 6 w brzmieniu

„

6)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, funkcjonariuszowi

albo osobie, o której mowa w ust. 3, lub dopuszcza do uwierzytelnienia z wykorzystaniem

takiego środka identyfikacji elektronicznej w swoim systemie identyfikacji elektronicznej.

”

.

W ustawie z dnia 15 grudnia 2016 r. o Prokuratorii Generalnej Rzeczypospolitej Polskiej

(Dz. U. poz. 2261 oraz z 2018 r. poz. 723) w art. 36 w ust. 2 wyrazy „podpisu potwierdzonego profilem zaufanym ePUAP” zastępuje się wyrazami „podpisu zaufanego”.

W ustawie z dnia 24 lutego 2017 r. o uzyskiwaniu tytułu specjalisty w dziedzinach mających

zastosowanie w ochronie zdrowia

(Dz. U. poz. 599) w art. 6 w ust. 4, w art. 9 w ust. 3 w pkt 1 i w art. 61 w ust. 3 w pkt 1 wyrazy

„podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 27 października 2017 r. o podstawowej opiece zdrowotnej

(Dz. U. poz. 2217 oraz z 2018 r. poz. 1000) w art. 10 w ust. 1 w pkt 2 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

W ustawie z dnia 24 listopada 2017 r. o zmianie ustawy o odpadach oraz niektórych innych

ustaw

(Dz. U. poz. 2422) w art. 1 w pkt 9 w lit. e w ust. 5 wyrazy „podpisu potwierdzonego profilem zaufanym ePUAP” zastępuje się wyrazami „podpisu zaufanego”.

W ustawie z dnia 8 grudnia 2017 r. o Służbie Ochrony Państwa

(Dz. U. z 2018 r. poz. 138, 650 i 730) w art. 63

1)

po ust. 2 dodaje się ust. 2a w brzmieniu

„

2a.

Przy wykonywaniu czynności operacyjno-rozpoznawczych funkcjonariusze mogą posługiwać

się środkami identyfikacji elektronicznej zawierającymi dane inne niż dane identyfikujące

funkcjonariusza.

”

;

2)

w ust. 3

a)

pkt 1-4 otrzymują brzmienie

„

1)

kto poleca sporządzenie lub kieruje sporządzeniem dokumentów lub wydawaniem środków

identyfikacji elektronicznej, o których mowa w ust. 2 i 2a;

2)

kto sporządza dokumenty lub wydaje środki identyfikacji elektronicznej, o których

mowa w ust. 2 i 2a;

3)

kto udziela pomocy w sporządzeniu dokumentów lub wydawaniu środków identyfikacji elektronicznej,

o których mowa w ust. 2 i 2a;

4)

funkcjonariusz, jeżeli dokumentami lub środkami identyfikacji elektronicznej, o których

mowa w ust. 2 i 2a, posługuje się przy wykonywaniu czynności operacyjno-rozpoznawczych;

”

,

b)

dodaje się pkt 5 w brzmieniu

„

5)

kto wydaje środki identyfikacji elektronicznej, o których mowa w ust. 2a, funkcjonariuszowi,

lub dopuszcza do uwierzytelnienia z wykorzystaniem takiego środka identyfikacji elektronicznej

w swoim systemie identyfikacji elektronicznej.

”

;

3)

w ust. 6 po wyrazach „ust. 2” dodaje się wyrazy „i 2a”.

W ustawie z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji o Działalności

Gospodarczej i Punkcie Informacji dla Przedsiębiorcy

(Dz. U. poz. 647) w art. 8 w ust. 4 i w ust. 8 w zdaniu drugim, w art. 10 w ust. 7 i w art. 52 w ust.

4 wyrazy „podpisem potwierdzonym profilem zaufanym ePUAP” zastępuje się wyrazami „podpisem zaufanym”.

1.

Elektroniczna platforma usług administracji publicznej zapewnia możliwość uwierzytelnienia

użytkowników z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemach

identyfikacji elektronicznej przyłączonych do węzła krajowego identyfikacji elektronicznej

z dniem wejścia w życie ustawy.

2.

Systemy teleinformatyczne, o których mowa

1)

w art. 23 ust. 3a ustawy z dnia 28 listopada 2003 r. o świadczeniach rodzinnych,

2)

w art. 4 ust. 1 pkt 8 ustawy z dnia 20 kwietnia 2004 r. o promocji zatrudnienia i instytucjach

rynku pracy,

3)

w art. 15 ust. 11 ustawy z dnia 7 września 2007 r. o pomocy osobom uprawnionym do alimentów,

4)

w art. 62a ustawy z dnia 4 lutego 2011 r. o opiece nad dziećmi w wieku do lat 3,

5)

w art. 9a ustawy z dnia 5 grudnia 2014 r. o Karcie Dużej Rodziny,

6)

w art. 13 ust. 5 pkt 1 ustawy z dnia 11 lutego 2016 r. o pomocy państwa w wychowywaniu

dzieci,

7)

w art. 2 oraz w art. 51 ustawy z dnia 6 marca 2018 r. o Centralnej Ewidencji i Informacji

o Działalności Gospodarczej i Punkcie Informacji dla Przedsiębiorcy

- zapewnią możliwość uwierzytelnienia użytkowników z wykorzystaniem środków identyfikacji

elektronicznej wydanych w systemach identyfikacji elektronicznej przyłączonych do

węzła krajowego identyfikacji elektronicznej nie później niż w terminie 3 miesięcy

od dnia wejścia w życie ustawy.

3.

System teleinformatyczny, w którym na dzień 31 grudnia 2017 r. uwierzytelnienie użytkowników

odbywało się z wykorzystaniem profilu zaufanego ePUAP, zapewnia możliwość uwierzytelnienia

z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemach identyfikacji

elektronicznej przyłączonych do węzła krajowego identyfikacji elektronicznej, najpóźniej

od dnia 1 stycznia 2020 r.

4.

System teleinformatyczny podmiotu publicznego inny niż systemy wymienione w ust. 1-3,

w którym udostępniane są usługi online, funkcjonujący w dniu wejścia w życie ustawy

lub uruchomiony przed dniem 1 stycznia 2021 r., zapewnia możliwość uwierzytelnienia

użytkowników z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemach

identyfikacji elektronicznej przyłączonych do węzła krajowego identyfikacji elektronicznej,

najpóźniej od dnia 1 stycznia 2022 r.

5.

System teleinformatyczny podmiotu publicznego, w którym udostępniane są usługi online,

uruchomiony po dniu 31 grudnia 2020 r., zapewnia możliwość uwierzytelnienia użytkowników

z wykorzystaniem środków identyfikacji elektronicznej wydanych w systemach identyfikacji

elektronicznej przyłączonych do węzła krajowego identyfikacji elektronicznej, z dniem

jego uruchomienia.

Dotychczasowe przepisy wykonawcze wydane na podstawie art. 20a ust. 3 pkt 1 i 2 ustawy

zmienianej w art. 29 zachowują moc do dnia wejścia w życie przepisów wykonawczych

wydanych odpowiednio na podstawie art. 20a ust. 3 pkt 1 i art. 20d pkt 1 ustawy zmienianej

w art. 29 w brzmieniu nadanym niniejszą ustawą, jednak nie dłużej niż 18 miesięcy

od dnia wejścia w życie niniejszej ustawy.

Profil zaufany ePUAP potwierdzony przed dniem wejścia w życie niniejszej ustawy, zgodnie

z przepisami ustawy zmienianej w art. 29 w brzmieniu dotychczasowym staje się profilem

zaufanym w rozumieniu art. 3 pkt 14 ustawy zmienianej w art. 29 w brzmieniu nadanym

niniejszą ustawą.

Podpis potwierdzony profilem zaufanym ePUAP w rozumieniu art. 3 pkt 15 ustawy zmienianej

w art. 29 w brzmieniu dotychczasowym uznaje się za podpis zaufany w rozumieniu art.

3 pkt 14a ustawy zmienianej w art. 29 w brzmieniu nadanym niniejszą ustawą.

Zgody udzielone przez ministra właściwego do spraw informatyzacji na podstawie art.

20c ust. 3 i 8 ustawy zmienianej w art. 29 pozostają w mocy.

1.

Banki krajowe oraz spółdzielcze kasy oszczędnościowo-kredytowe mogą wykonywać czynności

związane z umożliwieniem składania drogą elektroniczną wniosków i załączników do wniosków

o przyznanie świadczeń na podstawie programu, o którym mowa w art. 187a ustawy zmienianej

w art. 41 w brzmieniu nadanym niniejszą ustawą.

2.

Banki krajowe oraz spółdzielcze kasy oszczędnościowo-kredytowe umożliwiające składanie

drogą elektroniczną wniosków i załączników do wniosków o przyznanie świadczeń na podstawie

programu, o którym mowa art. 187a ustawy zmienianej w art. 41 w brzmieniu nadanym

niniejszą ustawą, są obowiązane dostosować statuty do przepisów art. 187a ust. 5 ustawy

zmienianej w art. 41 w brzmieniu nadanym niniejszą ustawą w terminie 12 miesięcy od

dnia wejścia w życie niniejszej ustawy.

1.

Od dnia 1 marca 2019 r. minister właściwy do spraw wewnętrznych w ramach kompetencji

wynikających z ustawy z dnia 6 sierpnia 2010 r. o dowodach osobistych

(Dz. U. z 2017 r. poz. 1464 oraz z 2018 r. poz. 730) wydaje środek identyfikacji elektronicznej w publicznym systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego.

2.

Dokonanie zakupu w 2018 r. urządzeń służących do obsługi środka identyfikacji elektronicznej

wydawanego przez ministra właściwego do spraw wewnętrznych w publicznym systemie identyfikacji

elektronicznej przyłączonym do węzła krajowego jest zadaniem zleconym gminy z zakresu

administracji rządowej.

3.

Środki na zakup przez gminy urządzeń, o których mowa w ust. 2, w 2018 r. pochodzą

z rezerwy celowej budżetu państwa. Podziału rezerwy celowej na realizację zadań dokonuje

minister właściwy do spraw finansów publicznych w porozumieniu z ministrem właściwym

do spraw wewnętrznych.

4.

Minister właściwy do spraw wewnętrznych najpóźniej do dnia 30 września 2018 r. określi

i udostępni na swojej stronie podmiotowej w Biuletynie Informacji Publicznej wymagania

techniczne dla urządzeń, o których mowa w ust. 2.

5.

Organy gmin dokonają zakupu urządzeń, o których mowa w ust. 2, zgodnie z wymaganiami

technicznymi określonymi przez ministra właściwego do spraw wewnętrznych.

Publiczny system identyfikacji, o którym mowa w art. 20aa ustawy zmienianej w art.

29, notyfikuje Komisji Europejskiej minister właściwy do spraw informatyzacji.

1.

W latach 2018-2027 maksymalny limit wydatków budżetu państwa będących skutkiem finansowym

niniejszej ustawy w poszczególnych latach wynosi w

1)

2018 r. - 0 mln zł;

2)

2019 r. - 18,227 mln zł;

3)

2020 r. - 18,443 mln zł;

4)

2021 r. - 16,573 mln zł;

5)

2022 r. - 17,034 mln zł;

6)

2023 r. - 17,854 mln zł;

7)

2024 r. - 17,794 mln zł;

8)

2025 r. - 17,794 mln zł;

9)

2026 r. - 17,794 mln zł;

10)

2027 r. - 17,794 mln zł.

2.

Minister właściwy do spraw informatyzacji nadzoruje wykorzystanie limitu wydatków,

o których mowa w ust. 1, i dokonuje oceny wykorzystania tego limitu według stanu na

koniec każdego kwartału, a w przypadku IV kwartału - według stanu na dzień 20 listopada

danego roku oraz wdraża mechanizm korygujący, o którym mowa w ust. 3.

3.

W przypadku gdy wielkość wydatków, o których mowa w ust. 1, po trzech kwartałach wyniesie

łącznie więcej niż 75% limitu przewidzianego na ten rok, wielkość wydatków w IV kwartale

obniża się o kwotę przekroczenia, określając zakres ograniczeń dla poszczególnych

zadań realizowanych na podstawie ustawy.

Ustawa wchodzi w życie po upływie miesiąca od dnia ogłoszenia, z wyjątkiem

1)

art. 1 pkt 4-7 oraz art. 29 w zakresie art. 20a ust. 1 pkt 2, które wchodzą w życie

z dniem 29 września 2018 r.;

2)

art. 10 pkt 1, art. 16 pkt 1, art. 46 oraz art. 57, które wchodzą w życie z dniem

1 stycznia 2020 r.;

3)

art. 25, art. 27, art. 33, art. 37, art. 47 oraz art. 52 pkt 1 i 2, które wchodzą

w życie po upływie 4 miesięcy od dnia ogłoszenia;

4)

art. 41 oraz art. 65, które wchodzą w życie z dniem ogłoszenia z mocą od dnia 1 lipca

2018 r.;

5)

art. 44, który wchodzi w życie z dniem 31 maja 2019 r.;

6)

art. 66, który wchodzi w życie z dniem następującym po dniu ogłoszenia.

1.

Uwierzytelnianie beneficjenta lub osoby fizycznej, która zgodnie z postanowieniami

umowy o dofinansowanie projektu lub decyzji o dofinansowaniu projektu jest upoważniona

do reprezentowania beneficjenta w zakresie czynności związanych z realizacją projektu

w centralnym systemie teleinformatycznym, wymaga wykorzystania profilu zaufanego,

innego środka identyfikacji elektronicznej wydanego w systemie identyfikacji elektronicznej

przyłączonym do węzła krajowego identyfikacji elektronicznej, o którym mowa w art. 21a ust. 1 pkt 2 lit. a ustawy z dnia 5 września 2016 r. o usługach zaufania

oraz identyfikacji elektronicznej

(Dz. U. poz. 1579 oraz z 2018 r. poz. 650 i 1544), adekwatnie do poziomu bezpieczeństwa środka identyfikacji elektronicznej wymaganego

dla usług świadczonych w tym systemie, albo danych weryfikowanych za pomocą kwalifikowanego

certyfikatu podpisu elektronicznego, jeżeli te dane pozwalają na identyfikację i uwierzytelnienie

wymagane w celu realizacji usługi online.

2.

W przypadku gdy z powodów technicznych wykorzystanie profilu zaufanego nie jest możliwe,

uwierzytelnianie w centralnym systemie teleinformatycznym podmiotu, o którym mowa

w ust. 1, następuje przez wykorzystanie loginu i hasła wygenerowanego przez ten system.

Ustawa wchodzi w życie po upływie 7 dni od dnia ogłoszenia, z wyjątkiem art. 22 oraz

art. 24-26, które wchodzą w życie z dniem 29 września 2018 r.