Prestarea serviciilor de încredere de către prestatorii de servicii înregistrați în România

Azi

Legea 214/2024 · 4 articole

Articolul 10 — Dobândirea calității de prestator de servicii de încredere

(1) Prestarea serviciilor de încredere se desfășoară în concordanță cu principiile concurenței libere și loiale, cu respectarea actelor normative în vigoare. Acordarea statutului de prestator de servicii de încredere calificate nu poate fi refuzată decât în cazul nerespectării condițiilor prevăzute de Regulamentul (UE) nr. 910/2014.

(2) Persoanele juridice care intenționează să presteze servicii de încredere calificate și necalificate transmit, cu 30 de zile înainte de începerea activității, autorității de reglementare și supraveghere specializate în domeniu o notificare a intenției acestora, în vederea înregistrării în Registrul prestatorilor de servicii de încredere calificate și necalificate prevăzut la art. 21 . În plus, persoanele juridice care intenționează să presteze servicii de încredere calificate vor înainta și un raport de evaluare a conformității, emis de un organism de evaluare a conformității, precum și toate informațiile referitoare la procedurile de securitate și de certificare utilizate.

(3) În termen de 30 de zile de la primirea notificării, autoritatea de reglementare și supraveghere specializată în domeniu transmite persoanelor juridice care intenționează să presteze servicii de încredere necalificate dacă acestea îndeplinesc condițiile legale pentru furnizarea acestor servicii de încredere și înregistrează prestatorul de servicii de încredere necalificate în Registrul prestatorilor de servicii de încredere calificate și necalificate prevăzut la art. 21 . În lipsa unui răspuns, se prezumă că aceste persoane juridice îndeplinesc condițiile prevăzute de Regulamentul (UE) nr. 910/2014 și de prezenta lege pentru a furniza servicii de încredere necalificate și pot începe prestarea acestor servicii.

(4) În termen de 90 de zile de la data intrării în vigoare a prezentei legi, la propunerea Autorității pentru Digitalizarea României, se aprobă, prin ordin al ministrului cercetării, inovării și digitalizării, formatul documentației prevăzute la alin. (2) , procedurile de control și sancționare a prestatorilor de servicii de încredere, procedura de acordare, suspendare și retragere a statutului de prestator de servicii de încredere calificat, precum și normele de aprobare a mecanismelor de validare prevăzute la art. 5 alin. (2) , care se publică în Monitorul Oficial al României, Partea I.

Articolul 11 — Prestarea serviciilor de încredere

(1) Prestatorii de servicii de încredere asigură accesul utilizatorilor la toate informațiile necesare utilizării corecte și în condiții de siguranță a serviciilor oferite, inclusiv prin publicarea pe propria pagină de internet a ofertei de servicii, a tipurilor de servicii de încredere pe care le furnizează, a tipurilor de semnătură electronică pe care le oferă și a efectelor juridice ale fiecăreia dintre acestea, precum și a modului și restricțiilor de utilizare.

(2) Prestatorul de servicii de încredere va aduce la cunoștința oricărui terț, care dorește să verifice o semnătură electronică creată cu un certificat emis de prestator ori un sigiliu electronic, modalitatea prin care terțul poate verifica semnătura electronică și certificatul utilizat pentru crearea ei ori, după caz, sigiliul electronic. La cererea terțului, prestatorul de servicii este obligat să verifice autenticitatea semnăturii electronice efectuate în baza serviciilor prestate de el și să comunice terțului în termen de 30 de zile gradul de încredere al mijloacelor de identificare electronică utilizate pentru emiterea semnăturii, dacă este cazul.

(3) Informațiile prevăzute la alin. (1) conțin cel puțin următoarele elemente în cazul prestatorilor de servicii de încredere care emit certificate:

a) procedura ce trebuie urmată în scopul creării și verificării semnăturii electronice;

b) tarifele percepute, după caz;

c) modalitățile, condițiile și limitele utilizării certificatelor;

d) obligațiile legale ale titularului certificatului și ale prestatorului de servicii de încredere;

e) condițiile contractuale de eliberare a certificatului, cu menționarea expresă a eventualelor limitări ale răspunderii prestatorului de servicii de încredere;

f) condițiile și cazurile în care valabilitatea certificatului poate fi revocată;

g) căile de soluționare a litigiilor;

h) orice alte informații stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

(4) În urma încheierii contractului cu beneficiarul serviciului de încredere, prestatorul de servicii de încredere care emite certificate transmite titularului certificatul, prin canale adecvate din punctul de vedere al securității datelor în tranzit. În urma acceptării certificatului de către titular, prestatorul înscrie certificatul în propriul registru electronic de evidență a certificatelor, potrivit art. 14 .

(5) Prestatorii de servicii de încredere sunt obligați să păstreze secretul informațiilor încredințate în cadrul activității lor profesionale, cu excepția celor în legătură cu care titularul certificatului acceptă să fie publicate sau comunicate terților și a celor solicitate de autoritățile competente, potrivit legii. Prestatorii de servicii de încredere răspund pentru îndeplinirea acestei obligații de către personalul angajat sau de către terții cu care colaborează pentru prestarea serviciilor de încredere.

(6) Prestatorii de servicii de încredere colectează date cu caracter personal de la persoana care solicită un certificat și prelucrează aceste date cu respectarea principiilor prevăzute la art. 5 din Regulamentul (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016 privind protecția persoanelor fizice în ceea ce privește prelucrarea datelor cu caracter personal și privind libera circulație a acestor date și de abrogare a Directivei 95/46/CE (Regulamentul general privind protecția datelor).

Articolul 12 — Obligațiile prestatorilor de servicii de încredere

(1) În vederea emiterii certificatelor calificate, prestatorii de servicii de încredere trebuie să îndeplinească cerințele prevăzute la art. 24 din Regulamentul (UE) nr. 910/2014 și normele emise de către autoritatea de reglementare și supraveghere specializată în domeniu.

(2) În vederea emiterii certificatelor pentru semnătura electronică avansată, prestatorii de servicii de încredere trebuie să îndeplinească următoarele condiții:

a) să dispună de mijloace financiare și de resurse materiale, tehnice și umane corespunzătoare pentru garantarea securității, fiabilității și continuității serviciilor de încredere oferite;

b) să asigure operarea rapidă și sigură a înregistrării informațiilor prevăzute la art. 14 alin. (2) , precum și a unui serviciu de suspendare și revocare a certificatelor pentru semnătura electronică avansată;

c) să asigure posibilitatea de a se determina cu precizie data și ora exactă a eliberării, a suspendării sau a revocării unui certificat pentru semnătura electronică avansată;

d) să verifice, cu mijloace corespunzătoare și conforme dispozițiilor legale, identitatea și, dacă este cazul, atributele specifice ale persoanei căreia îi este eliberat certificatul pentru semnătura electronică avansată;

e) să folosească personal cu cunoștințe de specialitate, experiență și calificare, necesare pentru furnizarea serviciilor respective, și, în special, competență în domeniul gestiunii, cunoștințe de specialitate în domeniul tehnologiei semnăturii electronice și o practică suficientă în ceea ce privește procedurile de securitate corespunzătoare;

f) să aplice procedurile administrative și de gestiune adecvate, care corespund standardelor recunoscute;

g) să utilizeze produse asociate semnăturii electronice, cu un înalt grad de fiabilitate, care sunt protejate împotriva modificărilor și care asigură securitatea tehnică și criptografică a desfășurării activităților de certificare a semnăturii electronice;

h) să adopte măsuri împotriva falsificării certificatelor și să garanteze confidențialitatea în cursul procesului de generare a datelor de creare a semnăturilor, în cazul în care prestatorii de servicii de încredere generează astfel de date;

i) să păstreze toate informațiile cu privire la un certificat pentru semnătura electronică avansată pentru o perioadă de minimum 10 ani de la data încetării valabilității certificatului și în conformitate cu dispozițiile art. 24 alin. (2) lit. (h) din Regulamentul (UE) nr. 910/2014;

j) să nu stocheze, să nu reproducă și să nu dezvăluie terților datele de creare a semnăturii, cu excepția cazului în care semnatarul solicită aceasta;

k) să utilizeze sisteme fiabile pentru stocarea certificatelor pentru semnătura electronică avansată, astfel încât: numai persoanele autorizate să poată introduce și modifica informațiile din certificate; exactitatea informației să poată fi verificată; certificatele să poată fi consultate de terți doar în cazul în care există acordul titularului acestora; orice modificare tehnică, care ar putea pune în pericol aceste condiții de securitate, să poată fi identificată de persoanele autorizate;

l) să dețină un plan actualizat pentru cazul încetării serviciului, în vederea asigurării continuității acestuia, plan pe care îl comunică autorității de supraveghere;

m) să asigure un nivel adecvat de securitate cibernetică și fizică a infrastructurii la nivelul căreia se generează și gestionează certificatele și datele cu caracter personal;

n) să dețină un plan de acțiune actualizat, pentru cazul producerii unui incident de securitate cibernetică, în vederea asigurării limitării compromiterii serviciului, plan pe care îl comunică autorității de reglementare și supraveghere specializate în domeniu.

(3) Autoritățile și instituțiile publice care emit certificate digitale pentru crearea semnăturii electronice avansate sunt obligate să parcurgă o procedură de auditare prin care se verifică îndeplinirea tuturor condițiilor prevăzute de prezenta lege pentru emiterea semnăturii electronice avansate. Procedura de auditare va fi stabilită prin ordin al ministrului cercetării, inovării și digitalizării.

(4) Prestatorii de servicii de încredere sunt obligați să folosească numai dispozitive securizate de creare a semnăturii electronice sau tehnologii securizate care pot fi gestionate la distanță de către aceștia pentru emiterea de certificate calificate și să respecte pe parcursul desfășurării activității procedurile de securitate și de certificare declarate.

(5) Atunci când se utilizează un pseudonim, identitatea reală a titularului nu poate fi divulgată de către prestatorul de servicii de încredere decât cu consimțământul titularului sau la cererea unei autorități sau instituții publice competente.

(6) Prestatorii de servicii de încredere care emit certificate calificate sunt obligați să încheie o asigurare de răspundere profesională prin subscrierea unei polițe de asigurare la o societate de asigurări pentru acoperirea prejudiciilor pe care le-ar putea cauza cu prilejul desfășurării activităților legate de prestarea serviciilor de încredere. Suma asigurată este stabilită prin ordinul prevăzut la art. 10 alin. (4) .

(7) Prestatorii de servicii de încredere au obligația de a facilita exercitarea atribuțiilor de control de către autoritatea de reglementare și supraveghere specializată în domeniu.

(8) Prestatorii de servicii de încredere au obligația de a se integra cu Platforma națională de interoperabilitate reglementată de Legea nr. 242/2022 privind schimbul de date între sisteme informatice și crearea Platformei naționale de interoperabilitate, pentru a valida actele de identitate prezentate de cetățenii români care solicită certificate calificate sau certificate emise de către o autoritate sau instituție publică.

Articolul 13 — Încetarea activității prestatorului de servicii de încredere

(1) În cazul în care prestatorul de servicii de încredere intenționează să înceteze desfășurarea activităților legate de prestarea acestor servicii, informează autoritatea de reglementare și supraveghere specializată în domeniu despre intenția sa cu cel puțin 30 de zile înainte de încetare.

(2) Prestatorul de servicii de încredere are obligația ca, în situația în care se află în imposibilitatea de a continua activitățile legate de prestarea acestor servicii și nu a putut prevedea această situație cu cel puțin 30 de zile înainte de încetarea activităților, să informeze autoritatea de reglementare și supraveghere specializată în domeniu în termen de 24 de ore din momentul în care a luat cunoștință despre imposibilitatea continuării activităților.

(3) Prestatorul de servicii de încredere poate transfera în tot sau în parte activitățile sale unui alt prestator de servicii de încredere. Transferul operează în următoarele condiții:

a) prestatorul de servicii de încredere înștiințează toți deținătorii de certificate valabile, cu cel puțin 30 de zile înainte, despre intenția sa de transferare a activităților legate de prestarea serviciilor de încredere către un alt prestator de servicii de încredere, cu menționarea datelor de identificare ale acestuia;

b) prestatorul de servicii de încredere oferă fiecărui titular de certificat posibilitatea de a refuza acest transfer, precum și informații privind termenul și condițiile în care refuzul poate fi exercitat. În lipsa unei acceptări exprese din partea titularului, în termenul precizat de prestatorul de servicii de încredere, certificatul este revocat de către acesta din urmă.

(4) Prestatorul de servicii de încredere aflat în unul dintre cazurile prevăzute la alin. (1) și (2) , ale cărui activități nu sunt preluate de un alt prestator de servicii de încredere, revocă certificatele în termen de 30 de zile de la data înștiințării titularilor de certificate și ia măsurile necesare pentru asigurarea conservării arhivelor proprii, cu respectarea prevederilor Regulamentului (UE) 2016/679 al Parlamentului European și al Consiliului din 27 aprilie 2016. Autoritatea de reglementare și supraveghere specializată în domeniu va stabili măsurile minime necesare pentru asigurarea conservării arhivelor prestatorilor de servicii de încredere care și-au încetat activitatea și nu au transferat-o către un alt prestator de servicii de încredere.

(5) Sunt considerate cazuri de imposibilitate de continuare a activităților legate de prestarea serviciilor de încredere, în înțelesul prezentului articol, dizolvarea, lichidarea, falimentul și radierea persoanei juridice prestatoare de servicii de încredere.

(6) În urma verificării existenței planurilor de încetare a serviciului și a aplicării corecte a dispozițiilor referitoare la aceste planuri, potrivit art. 17 alin. (4) lit. (i) din Regulamentul (UE) nr. 910/2014, autoritatea de reglementare și supraveghere specializată în domeniu efectuează radierea prestatorului de servicii de încredere din Registrul prestatorilor de servicii de încredere calificate și necalificate.

(7) Radierea se efectuează din oficiu de către autoritatea de reglementare și supraveghere specializată în domeniu, în situația în care aceasta constată, printr-o modalitate distinctă de cea prevăzută la alin. (6) , că prestatorul și-a încetat activitatea.