eIDAS 2.0 paaiškinimas: ES skaitmeninės tapatybės piniginė ir ką ji keičia elektroniniam pasirašymui

Pradinis eIDAS reglamentas, Reglamentas (ES) Nr. 910/2014, padarė du svarbius dalykus. Jis sukūrė bendrą ES elektroninės atpažinties sistemą (kad vienoje valstybėje narėje pripažintas eID galėtų būti pripažįstamas ir kitose) ir apibrėžė pakopinį patikimumo užtikrinimo paslaugų rinkinį, įskaitant tris elektroninio parašo pakopas, kurias specialistai naudoja iki šiol: paprastą elektroninį parašą (SES), pažangų elektroninį parašą (AES) ir kvalifikuotą elektroninį parašą (QES). Ši struktūra nebuvo panaikinta. eIDAS 2.0 ja remiasi.

eIDAS reglamento atnaujinimas, Reglamentas (ES) 2024/1183, iš dalies keičia 2014 m. tekstą, o ne jį pakeičia. Svarbiausia naujovė yra Europos skaitmeninės tapatybės piniginė – asmeninės tapatybės ir kredencialų programėlė, kurią valstybės narės privalo užtikrinti. Jei pradinis eIDAS tapatybės klausimą daugiausia paliko nacionalinėms sistemoms, apie kurias pranešti nebuvo privaloma ir kurios buvo nevienodai įsisavintos, tai eIDAS 2.0 piniginę paverčia bazine norma visoje Sąjungoje ir įpareigoja tam tikras pasikliaujančiąsias šalis ją priimti.

Praktiškai tai reiškia, kad teisinis elektroninių parašų, antspaudų, laiko žymų ir kvalifikuotų patikimumo užtikrinimo paslaugų pagrindas išlieka, o ant jo pridedamas naujas, vartotojo kontroliuojamas tapatybės sluoksnis. Parašo pakopos (SES, AES, QES) ir jų teisinė reikšmė iš esmės nesikeičia; keičiasi tai, kaip asmuo įrodo, kas jis yra, ir kaip jis gali turėti pasirašymui reikalingus kredencialus.

ES skaitmeninės tapatybės piniginė (dažnai trumpinama EUDI piniginė) yra praktinė eIDAS 2 šerdis. Idėja – viena vyriausybės pripažinta programėlė asmens telefone, galinti saugoti patvirtintą tapatybę bei kitus skaitmeninius atributus ir kredencialus, o paskui pateikti tiksliai tiek informacijos, kiek reikia paslaugai, ne daugiau. Vartotojas gali patvirtinti, kad yra vyresnis nei 18 metų, įrodyti profesinę kvalifikaciją arba autentifikuotis viešojoje paslaugoje, kartu išlaikydamas nesusijusius duomenis privačius. Sumanymo tikslas – vartotojo kontrolė ir duomenų minimizavimas, o ne centrinė visų asmenų veiklos duomenų bazė.

Pasirašymo požiūriu piniginė svarbi todėl, kad ja siekiama leisti piliečiams kurti kvalifikuotus elektroninius parašus. Šiandien norint gauti QES dažnai reikia atskiro kvalifikuoto patikimumo užtikrinimo paslaugų teikėjo ir tapatybės patvirtinimo žingsnio. Piniginė sukurta tam supaprastinti: piniginėje jau saugoma patvirtinta tapatybė gali padėti išduoti ir naudoti kvalifikuotus pasirašymo kredencialus, mažinant kliūtis asmenims, kuriems reikia aukščiausios teisinės pakopos.

Verta atskirti du dalykus. Piniginė yra tapatybės ir kredencialų talpykla, kurią išduoda ir valdo valstybės narės. Patikimumo užtikrinimo paslaugos, pavyzdžiui, kvalifikuoto parašo kūrimas, lieka prižiūrimų kvalifikuotų patikimumo užtikrinimo paslaugų teikėjų sritis. Reglamentas juos susieja, tačiau tai yra skirtingi vaidmenys. Tokia platforma kaip DokDesk nėra nei piniginės išdavėjas, nei kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas; tai yra sutarčių darbo eiga, kurioje eIDAS reikalavimus atitinkančiais metodais sukurti parašai užfiksuojami teismui parengtoje įrodymų bazėje.

Parašų teisinė galia pagal eIDAS yra nustatyta reglamente ir atnaujinimu nesusilpninama. Article 25 nustato, kad kvalifikuotas elektroninis parašas turi lygiavertę ranka rašyto parašo teisinę galią ir kad elektroniniam parašui negali būti atsisakyta teisinės galios vien todėl, kad jis yra elektroninis. Article 26 apibrėžia keturis reikalavimus, kuriuos turi atitikti pažangus elektroninis parašas: jis yra unikaliai susietas su pasirašančiuoju, leidžia nustatyti pasirašančiojo tapatybę, sukurtas naudojant parašo kūrimo duomenis, kuriuos pasirašantysis gali kontroliuoti vienasmeniškai, ir susietas su pasirašytais duomenimis taip, kad būtų galima aptikti bet kokį vėlesnį pakeitimą.

Pagal šią sistemą trys pakopos ir toliau atitinka riziką. Paprastas elektroninis parašas (SES) tinka mažos rizikos, didelės apimties susitarimams. Pažangus elektroninis parašas (AES) suteikia Article 26 numatytas tapatybės susiejimo ir apsaugos nuo klastojimo garantijas, todėl jis dažnai naudojamas komercinėms sutartims. Kvalifikuotas elektroninis parašas (QES) yra AES, paremtas kvalifikuotu sertifikatu ir kvalifikuotu parašo kūrimo įrenginiu, ir jis turi Article 25 numatytą lygiavertiškumą ranka rašytam parašui. eIDAS 2.0 šių pakopų nepanaikina; jis suteikia daugiau žmonių lengvesnį kelią į aukštesnes pakopas per piniginę.

Baltijos šalims tai natūraliai tinka. Estija, Latvija ir Lietuva jau turi subrendusias nacionalines eID ekosistemas, o piliečiai įpratę naudoti tvirtą elektroninę tapatybę pasirašymui ir autentifikavimui. Piniginė skirta sąveikai tarp valstybių, todėl vienoje valstybėje narėje išduotas kredencialas turėtų būti tinkamas naudoti kreipiantis į paslaugą kitoje valstybėje, o tai svarbu tarpvalstybinei prekybai. Tai yra bendro pobūdžio gairės; kiek teisinės galios reikia konkrečiam dokumentui, sprendžia jūsų pačių teisės patarėjai.

eIDAS 2.0 įsigaliojo 2024 m., tačiau reglamento įsigaliojimas nereiškia, kad piniginės jau yra kiekvieno kišenėje. Sistema nustato valstybėms narėms pareigą sudaryti piliečiams ir gyventojams galimybę naudotis pinigine, o tai paremta įgyvendinimo ir techninių specifikacijų rinkiniu, apibrėžiančiu, kaip piniginės, išdavėjai ir pasikliaujančiosios šalys sąveikauja tarpusavyje. Šis detalus lygmuo dar kuriamas ir tobulinamas, todėl tikslios prieinamumo datos skiriasi priklausomai nuo šalies ir vis dar kinta.

Sąžiningai vertinant, tai yra laipsniškas, kelerių metų diegimas, o ne vienkartinis įjungimas. Valstybės narės siekia, kad nacionalinės piniginės taptų prieinamos, plataus masto bandomieji projektai išbandė realaus pasaulio naudojimo atvejus, o iš tam tikrų kategorijų pasikliaujančiųjų šalių ilgainiui tikimasi, kad jos priims piniginę, kai vartotojas nuspręs ją pateikti. Užuot įsikibusios į konkrečią kalendorinę datą, įmonės turėtų sekti savo nacionalinį įgyvendinimą, nes būtent ten bus patvirtintas laikas ir praktinės detalės.

Strateginė išvada yra judėjimo kryptis, o ne galutinis terminas. ES juda link plačiai prieinamos, valstybės remiamos tapatybės piniginės, kuri palaiko tarpvalstybinį atpažinimą ir lengvesnę prieigą prie kvalifikuoto pasirašymo. Laikyti tai neišvengiamybe, kuriai reikia pasirengti, o ne data, kurios reikia laukti, yra naudingesnė pozicija bet kuriai organizacijai, pasirašančiai dokumentus dideliu mastu.

Pirmasis pasirengimo žingsnis yra koncepcinis: ir toliau derinkite parašo pakopas prie sandorio rizikos. eIDAS 2.0 nereikalauja, kad viskas būtų kvalifikuota. Daugumai įprastų susitarimų puikiai tinka SES arba AES, o pagrindinis piniginės poveikis pasirašymui – padaryti tvirtesnį tapatybės užtikrinimą lengviau prieinamą tada, kai dokumentas to tikrai reikalauja. Aiški vidaus politika, nustatanti, kuri pakopa taikoma kuriam dokumento tipui, išlieka vertingiausias dalykas, kurį galite įdiegti, ir šią politiką verta suderinti su savo teisės patarėjais.

Antrasis – įrodymai. Kad ir koks parašo metodas būtų naudojamas, ginče svarbiausia tai, ką galite įrodyti: kas pasirašė, kada, kurią tikslią versiją ir kad dokumentas nuo to laiko nepasikeitė. Sutarčių darbo eiga, kuri derybas sutelkia į vieną gyvą versiją ir sukuria išsamią, nuo klastojimo apsaugotą įrodymų bazę, yra tai, kas leidžia vėliau apginti parašą. Ši vertė galioja jau šiandien pagal esamas eIDAS pakopas ir išlieka aktuali, kai pinigine paremtas pasirašymas tampa vis labiau paplitęs.

Trečiasis – pasirinkti įrankius, kurie sukurti atsižvelgiant į tai, kur juda reglamentas. DokDesk šiandien palaiko SES ir AES pasirašymą naudojant nacionalines eID priemones, tokias kaip Smart-ID ir Mobile-ID, duomenis laikant ES pagal GDPR, ir yra architektūriškai parengtas QES, t. y. suprojektuotas taip, kad galėtų prisijungti kvalifikuoti patikimumo užtikrinimo paslaugų teikėjai ir įrenginiai. Tiksliau: pats DokDesk nėra kvalifikuotas patikimumo užtikrinimo paslaugų teikėjas ir QES neišduoda. Pasirinkus darbo eigą su tokiu sumanymu jau dabar, esate pasirengę piniginių erai, nepriklausomai nuo vienos konkrečios diegimo datos.