Obveznosti ponuditelja elektronskega podpisa v Franciji

Uvod

Uvedba rešitve elektronskega podpisa v Franciji se ne sme prepuščati naključju. Za vsakim kvalificiranim ali naprednim podpisom se skriva ducat zakonskih obveznosti, ki jih mora izpolnjevati ponuditelj storitev zaupanja (PSCo). Uredba eIDAS, RGPD, splošni varnostni referenčnik, standardi ETSI… pravni okvir je hkrati obsežen in dinamičen. Za podjetja uporabnika je razumevanje teh zakonskih obveznosti ponuditelja elektronskega podpisa v Franciji eIDAS RGPD nujno potrebno, da izberete skladnega partnerja in se izognete vsem pravnim tveganjem. Ta članek podrobno pojasnjuje, razdelek za razdelek, vse zahteve, ki se uporabljajo za PSCo-je, ki delujejo na francoskem ozemlju.

---

Status ponuditelja kvalificiranih storitev zaupanja

Kaj je PSCo po smislu eIDAS?

Uredba eIDAS št. 910/2014 razlikuje dve kategoriji ponuditeljev: ponuditelje storitev zaupanja, ki niso kvalificirani, in kvalificirane ponuditelje (PSCQ). Prvi lahko nudijo storitve preprostega ali naprednega elektronskega podpisa brez obveznega revidiranjatrije oseb. Drugi — edini pooblaščeni za izdajanje kvalificiranih podpisov po smislu člena 3(15) eIDAS — morajo izpolniti veliko strožje zahteve.

V Franciji je vlogo nadzornega organa (»Supervisory Body«) po členu 17 eIDAS izpolnjuje Nacionalna agencija za varnost informacijskih sistemov (ANSSI). Objavljuje in vzdržuje francoski seznam zaupanja (TSL — Trust Service List), dostopen na uradni spletni strani, ki navaja kvalificirane ponuditelje in njihove storitve.

Postopek kvalifikacije: revizija in skladnost

Če želi PSCo dosegti kvalificirani status, mora nujno:

• Narediti revizijo svojih storitev s strani telesa za oceno skladnosti (CAB — Conformity Assessment Body), ki ga je akreditiralo COFRAC po normi EN ISO/IEC 17065.

• Predložiti poročilo o reviziji ANSSI, ki se odloči o dodelitvi kvalificiranega statusa. Ta status se ponovno oceni najmanj vsakih 24 mesecev (člen 20 §1 eIDAS).

• Obvestiti ANSSI o kakršni koli bistveni spremembi svojih storitev v roku 3 mesecev pred načrtovano spremembo (člen 21 eIDAS).

Nespoštovanje teh korakov ponuditelja izpostavi radiaciji s TSL in izgubi pravnih domnev, ki so povezane s kvalificiranim podpisom. Za poslovna podjetja — stranke, se zateči k PSCo-ju, ki ni nasojen na TSL, pomeni, da ne uživate nobene zakonske domneve zanesljivosti.

> Če želite izvedeti več o različnih ravneh podpisa in njihovih pravnih učinkih, se obrnite na naš .

---

Tehnične in varnostne obveznosti PSCo-jev

Skladnost s standardi ETSI

Kvalificirani ponuditelji morajo biti skladni s skupino evropskih standardov, ki jih je objavil Evropski inštitut za telekomunikacijske standarde (ETSI). Glavne so:

• ETSI EN 319 401: splošne varnostne zahteve, ki se uporabljajo za vse PSCo-je.

• ETSI EN 319 411-1 in 411-2: politike in prakse organov za certificiranje, ki izdajajo certifikate kvalificiranih podpisov.

• ETSI EN 319 132: formati naprednega elektronskega podpisa (XAdES za XML, PAdES za PDF, CAdES za CMS).

• ETSI EN 319 122: format CAdES za kvalificirane podpise.

• ETSI TS 119 431: zahteve za storitve daljinskega ustvarjanja podpisov (QSCD na daljavo).

Ti standardi niso neobvezni: uredba eIDAS (Prilooga II, III in IV) se nanje izrecno sklicuje za opredelitev najmanjših zahtev za kvalificirane certifikate in naprave za ustvarjanje podpisov.

Upravljanje kvalificiranih naprav za ustvarjanje podpisov (QSCD)

Ena od podpornih stebrov kvalificiranega podpisa je uporaba kvalificirane naprave za ustvarjanje podpisa (QSCD — Qualified Signature Creation Device), ki je skladna s Prilogo II eIDAS. Ponuditelj mora zagotoviti, da:

• Zasebni ključ podpisnika ne more biti ustvarjen, shranjen ali kopiran zunaj QSCD-ja.

• Ustvarjanje ključa poteka izključno v certificiranem okolju (certifikacija Common Criteria EAL 4+ ali enakovredno).

• Avtentifikacija podpisnika pred katerim koli podpisnim dejanjem temelji na najmanj dveh dejavnikih avtentifikacije.

V kontekstu daljinskega podpisa — čedalje bolj razširjen v okoljih SaaS — se te zahteve uporabljajo za strežnik HSM (Hardware Security Module), ki gosti ključe. ANSSI je objavila posebne profile zaščite (PP-0075, PP-0076), ki opredelijo standarde varnosti, ki jih je treba doseči.

Politika zagotavljanja kontinuitete in obveščanja o incidentih

Člen 19 eIDAS nalagata vsakemu ponuditelju storitev zaupanja (kvalificiranemu ali ne), da:

• Obvesti nadzorni organ (ANSSI) in po potrebi organ za varstvo podatkov (CNIL) v 24 urah po odkritju varnostnega kršenja, ki bi lahko vplivalo na zanesljivost storitve.

• Ima dokumentiran in redno testiran načrt zagotavljanja kontinuitete poslovanja.

• Ima formalizirano politiko varnosti informacij, ki pokriva predvsem upravljanje tveganj, upravljanje incidentov in varnostno politiko za varnostno kopiranje.

Te zahteve se deloma prekrivajo s tistimi iz direktive NIS2 (2022/2555/EU), prenesene v francosko pravo z zakonom št. 2023-703 z dne 1. avgusta 2023, ki uvrsti PSCo-je občutljive velikosti med pomembne ali bistvene subjekte, podvržene okrepljenimi obveznostmi kibernetske varnosti.

> Odkrijte, kako je treba umestiti ta omejenja v svoje dokumentarne tokove.

---

Posebne obveznosti RGPD za PSCo-je

PSCo kot odgovoren za obdelavo podatkov ali naročnik?

Klasifikacija RGPD ponuditelja je odvisna od narave nudene storitve:

• Kadar PSCo direktno izdaja kvalificirane certifikate v imenu podpisnika in določa namene obdelave osebnih podatkov (identiteta, biometrični podatki za avtentifikacijo), deluje kot odgovoren za obdelavo podatkov po smislu člena 4(7) RGPD.

• Kadar svoji programski vmesnik vključi na platformo poslovnega stranke in obdeluje osebne podatke le po navodilih tega stranke, prevzame vlogo naročnika (člen 4(8) RGPD) in mora obvezno skleniti DPA (Data Processing Agreement) skladen s členom 28 RGPD.

V praksi večina PSCo SaaS rešitev omogoča obe vogi: odgovoren za upravljanje lastne infrastrukture certificiranja, naročnik za obdelavo dokumentov in metapodatkov podpisnikov.

Posebne obveznosti v zvezi z biometričnimi podatki in podatki o identiteti

Identifikacija in avtentifikacija podpisnika — obvezni korak za izdajanje kvalificiranega certifikata — pogosto vključuje obdelavo občutljivih podatkov: skeniranje osebnega dokumenta, video selfie, biometrični podatki za prepoznavo obraza. Ti podatki so osebni podatki, podvrženi RGPD, včasih tudi biometrični podatki po členu 9 RGPD (posebne kategorije).

Obveznosti PSCo-ja vključujejo:

• Pravna osnova: izrecna privolitev (člen 9§2a) ali v nekaterih primerih pravna obveznost (člen 9§2b) za obdelavo biometričnih podatkov.

• Omejena doba hranjenja: po usmerjevanju CNIL morajo biti podatki o identifikaciji hranjeni le kolikor je to nujno potrebno, običajno usklajeno s trajanjem veljavnosti certifikata + zakonska doba dokazovanja (pogosto 10 let za zasebne akte, člen 2224 Kodeksa civilnega prava).

• Obvezna analiza vpliva (AIPD) (člen 35 RGPD), če je obdelava tvegana za tveganje — kar je sistematično primer za biometrijo.

• Register obdelav (člen 30 RGPD), ki se redno posodablja in dokumentira vsako kategorijo obdelave.

Mednarodne izmenjave podatkov

Številni PSCo-ji svoj infrastrukturo ali njen del nahajajo izven Evropskega gospodarskega območja (EGO). V tem primeru se uporabljajo ustrezne zaščite, ki jih zahteva poglavje V RGPD: odločitev o ustreznosti, tipske zbirne klavzule (SCCs) Evropske komisije ali zavezujoča pravila podjetja (BCR). Sodba Schrems II (SODISCE, C-311/18, 16. julij 2020) je spomnila, da izmenjave s Skladom Združenih držav zahtevajo predhodno analizo tveganja države.

> Če želite razumeti učinke teh pravil na vaše podjetje, se obrnite na naš .

---

Obveznosti transparentnosti in obveščanja uporabnikov

Politika certificiranja (PC) in izjava o praktikah certificiranja (DPC)

Vsak PSCo, ki izdaja certifikate, mora objaviti Politiko certificiranja (PC) in Izjavo o praktikah certificiranja (DPC), skladno s standardom ETSI EN 319 411. Ta javno dostopna dokumenta podrobno pojasnjujeta:

• Postopke identifikacije in registracije podpisnikov.

• Fizične in logične varnostne ukrepe, ki so vpeljani.

• Pogoje preklic certifikatov in povezane roke.

• Odgovornost in omejitve odgovornosti PSCo-ja.

Odsotnost ali nepopolnost teh dokumentov predstavlja neskladnost, ki jo je mogoče ugotoviti med revizijo ponovno kvalifikacije s strani akreditiranega organa.

Predpogodbeno in pogodbeno obveščanje strank

Poleg čisto tehničnih obveznosti članek 13 RGPD nalagata PSCo-ju, da posreduje vsaki osebi, katere podatki se zbirajo, jasne in dostopne informacije o:

• Istovetnosti odgovornega za obdelavo podatkov in stike DPO (obvezno za PSCo-je, ki obdelujejo v velikem obsegu občutljive podatke, člen 37 RGPD).

• Namen in pravno osnovo vsake obdelave.

• Pravice oseb (dostop, popravka, izbris, prenosljivost, nasprotovanje).

• Morebitne prejemnike podatkov (naročnike, oblasti).

Te informacije morajo biti vključene v politiko zasebnosti storitve, v splošne pogoje rabe in po potrebi v DPA, sklenjen s poslovnimi strankami.

Kvalificiran časovni žig in revidirani podatki

Če želijo zagotoviti dolgoročno dokazno vrednost podpisov, resnih PSCo-jev sistematično povezuje kvalificirani elektronski časovni žig (člen 42 eIDAS) z vsakim podpisanim dejanjem. Ta časovni žig je zakonsko domneval obstoj podatka na navedeni datum. Ohranitev revidirane piste (dnevniki identifikacije, prstni odtis dokumenta, podatki o podpisu) je praksa, ki je potrebna, da omogoči nadaljnje sodno preverjanje.

> Primerjajte tržne rešitve po teh merilih v naši .

---

eIDAS 2.0: nove obveznosti na obzorju 2026–2027

Uredba eIDAS 2.0 (EU) 2024/1183

Objavljena v Uradnem listu EU 30. aprila 2024 uredba (EU) 2024/1183 »eIDAS 2.0« bistveno krepí obveznosti PSCo-jev okrog treh osi:

• Evropski denarnica digitalne identitete (EUDI Wallet): države članice morajo do 2. novembra 2026 zagotoviti sertificiran denarnico digitalne identitete. PSCo-ji bodo morali integrirati svojo storitev s to denarnico, da nudijo kvalificirane podpise preko identitete eIDAS 2.0.

• Upravljanje preverenih atributov: eIDAS 2.0 uvaja kvalificirane potrdila o atributih (QEAAs), izdana s strani kvalificiranih ponuditeljev potrdil. Veljale bodo nove revizijske in kvalifikacijske procedure.

• Krepitev nadzora: nacionalni nadzorni organi (ANSSI za Francijo) dobivajo razširjena pooblastila, zlasti sposobnost, da naročijo napovedane revizije in napnejo obvezujoče korektivne ukrepe v krajših rokih.

Praktični učinki za trenutne ponuditelje

PSCo-ji, ki so že kvalificirani po eIDAS 1.0, morajo postopno izvesti skladnost pred rokami, bepačnimi z izvršilnimi akti Komisije (objavljeni ali v postopku objave). Glavne prilagoditve se osredotočajo na:

• Pretvorbo infrastrukture identifikacije za podporo EUDI Wallet-a kot sredstva avtentifikacije.

• Posodobitev PC/DPC za integracijo novih vrst certifikatov in potrdil.

• Krepitev varnostnih zahtev za QSCD-je na daljavo s pripravami novega zaščitnega profila.

Za poslovna podjetja — stranke, to pomeni, da zdaj preverite, da ima njihov ponuditelj dokumentirano in preverjivo vozni red skladnosti eIDAS 2.0.

Pravni okvir, ki se uporabljajo za obveznosti ponuditeljev elektronskega podpisa

Normativna veriga, ki se uporablja za ponuditelje elektronskega podpisa, ki delujejo v Franciji, se strukturira na nekaterih ravneh hierarhije komplementarnosti.

Francoski državljanski zakonik — Členi 1366 in 1367

Člen 1366 Kodeksa civilnega prava priznava elektronski dokument kot enakovreden način dokazovanja pisanju na papirju, pod pogojem, da je »oseba, iz katere izhaja, primerno identificirana in je vzpostavljena ter ohranjena na način, ki zagotavlja njenega celovitosti«. Člen 1367 pojasnjuje, da je elektronski podpis »uporaba zanesljivega postopka identifikacije, ki zagotavlja njeno povezanost z dejanjem, ki ga spremlja«. Domnevajo zanesljivosti koristi kvalificiranim podpisom po smislu eIDAS, pri čemer se torek dokazovanja premakne v prid podpisniku.

Uredba eIDAS št. 910/2014/EU

Ta uredba, ki se neposredno uporablja v vseh državah članicah, določa pravni okvir storitev zaupanja. Njen člen 26 opredeljuje pogoje za napredni elektronski podpis; člen 28 zahteve za kvalificirane certifikate; njegova Prilog I podrobno pojasnjuje obvezno vsebino teh certifikatov. Kvalificirani PSCo-ji uživajo domnevo skladnosti s tehničnimi in pravnimi zahtevami uredbe (člen 19§2), kar pomeni precejšnjo prednost v primeru spora.

Uredba eIDAS 2.0 — (EU) 2024/1183

Objavljena 30. aprila 2024, ta spremenjena uredba uvaja nove vrste storitev zaupanja (kvalificirana potrdila o atributih, kvalificirane storitve arhiviranja) in krepí obveznosti nadzora. Delno razveljavlja in nadomešča uredbo 910/2014, z progresivno uporabnostjo glede na izvršilne akte Evropske komisije.

RGPD — Uredba (EU) 2016/679

RGPD se uporablja za vsako obdelavo osebnih podatkov, izvedeno v okviru storitve elektronskega podpisa. Členi 5 (načela zakonitosti), 6 (pravna osnova), 9 (občutljivi podatki), 13-14 (obveščanje), 28 (naročništvo), 32 (varnost), 33-34 (obveščanje o kršenju), 35 (AIPD) in 37 (DPO) predstavljajo največkrat uporabljena določila. CNIL je pristojni nadzorni organ v Franciji in lahko izreka kazni do 20 milijonov evrov ali 4% letnega svetovnega proračuna (člen 83§5 RGPD).

Direktiva NIS2 — (EU) 2022/2555

Prenesena v francoski pravo z zakonom št. 2023-703 z dne 1. avgusta 2023, direktiva NIS2 uvršča značilne PSCo-je med pomembne ali bistvene subjekte, podvržene obveznostim upravljanja kibernetskih tveganj in obveščanja incidentov ANSSI v 24 urah (zgodnje opozorilo) nato 72 ur (celovito obveščanje).

Standardi ETSI

Skupek standardov EN 319 401, EN 319 411-1/2, EN 319 132, EN 319 122 in TS 119 431 je obvezna tehnična referenca za revizijo kvalifikacije. Njihovo nespoštovanje ima za posledico nemogoče je dobiti ali ohraniti kvalificirani status.

Pravna tveganja v primeru neskladnosti

Neskladen ponuditelj je izpostavljen: radiaciji s francoske TSL, zavezanosti glede pogodbenike in izvenpogodbenike odgovornosti, upravnim sankcijam CNIL, kazni NIS2, ki lahko dosegajo do 10 milijonov evrov ali 2% svetovnega proračuna za pomembne subjekte in 20 milijonov ali 4% svetovnega proračuna za bistvene subjekte, kot tudi pravni zahtevkom strank, ki so utrpele škodo zaradi neveljavnih podpisov.

Scenariji uporabe: kako podjetja preverijo skladnost svojega PSCo

Scenarij 1 — Industrijski holding, ki upravlja 3 000 pogodb dobaviteljev letno

Industrijski holdings srednje velikosti (ETI), delujoč v proizvodnji mehanskih naprav, demateririzira vse svoje pogodbe dobaviteljev preko SaaS platforme za elektronski podpis. Med interno revizijo, sproži revizijo po regulativni spremembi, pravna pisarna ugotovi, da je izbrani ponuditelj — na splošno izbran po ceni — ni nasoljen na francoski TSL ali kateri koli drugi TSL. Izdani podpisi so vrste »preprosti« brez mehanizma trdnega prepoznavanja podpisnika.

Soočeni z pravnim tveganjem — celovitost vseh podpisanih pogodb bi lahko izpodbijala njihova dokazna vrednost v primeru spora — podjetje začne selitev na kvalificiran PSCo ANSSI. Nova rešitev vključuje napredni podpis s kvalificiranim certifikatom, kvalificirani časovni žig in izvozljivo revidirano pot. Selitev, izvedena v manj kot 8 tednov, omogoči sprotno zavarovanje novih dejanj in vzpostavitev skladne politike dokumentacije. Pravne ekipe ocenjujejo, da je tveganje spora, povezano s starimi pogodbami, marginalno, ker so bila izvršena brez nasprotovanja, toda vsak novi podpis je sedaj zavarovan.

Opaženi prihodki: zmanjšanje za 60 % potencialnih sporov, povezanih z avtentičnostjo podpisov, in pridobitev 3,5 dni povprečnega časovnega prihranka za podpis kompleksnih pogodb zahvaljujoč avtomatizaciji delovnega toka validacije.

Scenarij 2 — Odvetniška pisarna z 25 sodelavci, specializirana za poslovni pravo

Odvetniška pisarna, želela digitalizirati podpis mandatov, posvetov in procesnih dejanj, izvede evalvacijo več ponuditeljev. Njena analitična mreža vključuje naslednja merila: prisotnost na TSL, objavo dostopne PC/DPC, obstoj skladnega DPA po RGPD, razpoložljivost dosegljive DPO in sertifikacijo QSCD-jev na daljavo.

Od petih ocenjenih ponuditeljev le dva izpolnjujeta vse merilne. Pisarna nazadnje izbere PSCo, ki nudijo naravno kvalificirani podpis preko QSCD-ja na daljavo, kar zagotavlja domnevo zanesljivosti člena 1367 Kodeksa civilnega prava. Implementacija se opravi v 3 tednih, usposabljanje vključno. Rezultat: 75 % mandatov je sedaj podpisanih v manj kot 24 ur v primerjavi s 5 do 7 dni prej (pošiljanje pošte), in pisarna lahko svojim strankam utemelji raven pravne varnosti, ki jo nudi rešitev — diferencialni argument v svojih trgovskih predlogih.

Scenarij 3 — Bolnišnični konsorcij z približno 1 200 posteljami

Bolnišnični konsorcij, javna institucija, želi dematerizizirat pogodbe o zaposlitvi, konvencije o praksi in sporazume o partnerstvu s partnerskimi zdravstvenimi ustanovami. Občutljivost obdelanih podatkov (podatki o zdravju zdravstvenega osebja, podatki o kadru) nalaga posebno pazljivost glede obveznosti RGPD PSCo-ja.

DSI in DPO institucije zahtevajo: nastanitev podatkov v Franciji pri izvajalcu podatkov o zdravju, certificiranem HDS (Hébergeur de Données de Santé, sertifikacija predvidena s členom L.1111-8 Zakonika o javnem zdravju), odsotnost mednarodnih izmenjav zunaj EGO, dokumentirana AIPD za obdelavo identifikacije podpisnikov in podpisan DPA pred kakršno koli proizvodnjo.

Po izbiri PSCo-ja, ki izpolnjuje ta merila, se uvedba osredotoča na pogodbe RH (približno 800 dejanj letno). Povprečni čas za podpis pogodb za določen čas se spremeni iz 9 dni na manj kot 48 ur, kar osvobodi zmogljivost za kadrovske ekipe. Institucija ima poleg tega celovito sledljivost zbranih privoljenj, letno revidirano s strani svojega DPO.

Zaključek

Obveznosti, ki se nanašajo na ponuditelje elektronskega podpisa v Franciji, tvorijo zahtevno normativno telo: kvalifikacija eIDAS, skladnost RGPD, spoštovanje standardov ETSI, obveznosti NIS2 in neposredna prilagoditev eIDAS 2.0. Za poslovna podjetja — uporabnike, zagotavljanje skladnosti svojega PSCo-ja ni neobvezna — je pogoj sine qua non za dokazno vrednost podpisanih dejanj in varstvo osebnih podatkov podpisnikov.

Certyneo je ponuditelj elektronskega podpisa zasnovan za odzivanje na vse te zahteve: skladnost eIDAS, RGPD z zasnovo, suvereni nastanitev in dokumentirani vozni red eIDAS 2.0. Ali ste pripravljeni zavarirati svoje podpise v celoti skladnosti? in uživajte osebne podpore od prvega dneva.