Upozornění: Text přílohy byl získán strojově a nemusí přesně odpovídat originálu. Zejména u strojově nečitelných smluv, kde jsme použili OCR. originál dokumentu stáhnete odsud
Celý záznam ALBSCGREJKPD najdete zde
PAGE
III.
Odůvodnění
A. OBECNÁ ČÁST
1. Vysvětlení nezbytnosti navrhované právní úpravy, odůvodnění jejích hlavních principů
Návrh vyhlášky o pravidlech pro výpočet minimálního limitu pojistného plnění pro pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace je předkládán s ohledem na zmocnění k vydání vyhlášky, které je obsaženo v § 9 odst. 1 zákona č. 250/2017 Sb., o elektronické identifikaci, ve znění zákona č. 12/2020 Sb.
Návrh vyhlášky stanovuje pravidla výpočtu minimálního limitu pojistného plnění pro pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace, a to v závislosti na počtu držitelů prostředků pro elektronickou identifikaci a úrovni záruk prostředků pro elektronickou identifikaci. Základem pro výpočet minimálního limitu pojistného plnění je stanovena částka 25 000 000 Kč.
Návrh vyhlášky si klade za cíl dosažení stavu, kdy minimální limity pojistného plnění sjednaného žadatelem o akreditaci (tj. osobou, která si požádala o udělení akreditace pro správu kvalifikovaného systému elektronické identifikace), respektive osobou, které byla udělena akreditace pro správu kvalifikovaného systému elektronické identifikace, (dále jen „akreditovaná osoba“) budou maximálně odrážet výši možné škody způsobené při správě kvalifikovaného systému elektronické identifikace, která může vzniknout zainteresovaným stranám, zejména držitelům prostředků pro elektronickou identifikaci, těm, kteří umožňují prokázání totožnosti, které vyžaduje právní předpis nebo výkon působnosti, s využitím elektronické identifikace (dále jen „kvalifikovaný poskytovatel“) či státu, a to zejména v případě chybně identifikované a autentizované fyzické osoby. Škoda při správě kvalifikovaného systému elektronické identifikace však může rovněž vzniknout například v důsledku zneužití osobních údajů vedených kvalifikovaným správcem systému elektronické identifikace (například únikem údajů o držitelích prostředků pro elektronickou identifikaci z evidence vydaných prostředků pro elektronickou identifikaci, kterou vede právě kvalifikovaný správce systému elektronické identifikace).
Koncepce povinného pojištění a stanovení minimálního limitu pojistného plnění vyhláškou byla zvolena tak, aby výše pojistné částky byla úměrná možným škodám, které lze v rozumné míře předpokládat při správě kvalifikovaného systému elektronické identifikace. Výše pojistné částky by tak vždy měla zohledňovat skutečný rozsah činnosti akreditované osoby při správě kvalifikovaného systému elektronické identifikace. Akreditovaná osoba je povinna nahradit škodu způsobenou při správě kvalifikovaného systému elektronické identifikace bez ohledu na sjednaný limit pojistného plnění. Akreditované osoby by tak vždy měly přihlédnout k rozsahu jimi vykonávané činnosti a pro tuto činnost se adekvátně pojistit.
Akreditovaná osoba musí splňovat podmínky pro udělení akreditace po celou dobu udělené akreditace, nikoli jen v době vydání rozhodnutí o udělení akreditace. V opačném případě má akreditovaná osoba povinnost oznámit Ministerstvu vnitra skutečnost, že přestala splňovat podmínky pro udělení akreditace (vizte § 5 odst. 7 zákona č. 250/2017 Sb.). Akreditovaná osoba tedy musí přizpůsobit parametry sjednaného limitu pojistného plnění počtu držitelů prostředků pro elektronickou identifikaci a úrovni záruky prostředků pro elektronickou identifikaci.
Minimální výše pojištění byla stanovena v rámci interní analýzy Ministerstva vnitra. S ohledem na povahu škody, která může vzniknout při správě kvalifikovaného systému elektronické identifikace, mohou být poškozeny primárně následující zainteresované strany – kvalifikovaní poskytovatelé (tj. service provideři on-line služeb napojených na národní bod pro identifikaci a autentizaci), držitelé prostředků pro elektronickou identifikaci či stát.
Při uzavírání pojistné smlouvy žadatele o akreditaci nastává situace, kdy není možné určit pojistnou hodnotu a dolní hranice pojistného plnění může být určena limitem pojistného plnění, který je stanoven v návrhu vyhlášky (pojistný limit nesmí být menší, než je určeno vyhláškou). Při určení limitu pojistného plnění se vychází z výše pravděpodobné škody v rámci odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace tak, aby nedošlo k podpojištění. Navrhované limity pojistného plnění jsou stanoveny jako minimální povinné (lze sjednat pojištění s vyšším limitem pojistného plnění). Výše minimálních limitů by měla podléhat pravidelnému přezkumu. Stanovení limitů vychází z vyhodnocení míry níže uvedených rizik.
K určení částky minimálního limitu pojistného plnění byl jako základní prvek zvolen maximální počet držitelů prostředku pro elektronickou identifikaci, neboť škoda bude způsobena primárně právě držitelům prostředku pro elektronickou identifikaci. Skutečná výše škody tedy bude do jisté míry odvislá od toho, kolik bude v rámci škodní události postiženo osob s tím, že akreditovaná osoba je povinna nahradit škodu způsobenou při správě kvalifikovaného systému elektronické identifikace bez ohledu na sjednaný limit pojistného plnění. Smysl a účel stanoveného limitu je spatřován také v zajištění toho, aby akreditovaná osoba byla při správě kvalifikovaného systému elektronické identifikace chráněna před vznikem takové škody, která by pro ni byla likvidační.
Jedním z rizik při přihlášení chybně identifikované osoby k on-line službám je, že tato osoba získá neoprávněně přístup k osobním údajům jiné osoby. Kvalifikovanému poskytovateli může vzniknout zejména škoda v důsledku pokuty udělené ze strany Úřadu pro ochranu osobních údajů. Kvalifikovaný poskytovatel může následně vymáhat tuto škodu po subjektu, který chybu způsobil.
Nařízení Evropského parlamentu a Rady (EU) 2016/679 ze dne 27. dubna 2016 o ochraně fyzických osob v souvislosti se zpracováním osobních údajů a o volném pohybu těchto údajů a o zrušení směrnice 95/46/ES (obecné nařízení o ochraně osobních údajů) – dále jen „nařízení GDPR“ – umožňuje ukládání pokut až do výše 20 000 000 EUR (nebo až do 4% celkového ročního celosvětového obratu, jde-li o podnik) v závislosti na závažnosti porušení ochrany osobních údajů. Sankce musí být ukládány tak, aby byly účinné, přiměřené a odrazující, nikoliv však likvidační. Současně musí být v obdobných případech srovnatelné a nediskriminující.
Dle veřejně přístupných zdrojů byla jednou z nejvyšších pokut, kterou doposud Úřad pro ochranu osobních údajů udělil, pokuta ve výši 3 600 000 Kč za únik osobních dat cca 1 200 000 zákazníků a dále pokuta ve výši 6 000 000 Kč udělená v roce 2020 za šíření nevyžádaných obchodních sdělení. Úřad pro ochranu osobních údajů mezi lety 2018 a 2020 uložil za porušení nařízení GDPR pokuty v celkové výši 2 889 000 Kč. Celková výše uložených pokut ke dni 1. listopadu 2021 za porušení Nařízení GDPR v České republice činila 10 604 000 Kč.
V případě použití on-line služby chybně identifikovanou osobou (pod chybně identifikovanou a autentizovanou fyzickou osobou se má na mysli případ, kdy deklarovaná totožnost identifikované a autentizované fyzické osoby je nepravdivá) mohou vzniknout škody zejména:
· konkrétní fyzické osobě, za kterou se chybně identifikovaná osoba vydávala,
· konkrétní fyzické osobě, která se nemohla elektronicky identifikovat a autentizovat,
· kvalifikovanému poskytovateli,
· státu.
Je obtížné kvalifikovaně odhadnout možnou výši škody, neboť konkrétní výše škody vždy záleží na povaze incidentu a konkrétní způsobené újmě danému subjektu. Právní úprava náhrady újmy (majetkové škody a nemajetkové újmy) je obsažena v zákoně č. 89/2012 Sb., občanský zákoník, ve znění pozdějších předpisů, konkrétně se jedná o část čtvrtou hlavu III. Jak vyplývá z výše uvedeného, existuje předpoklad, že případná škoda způsobená při správě kvalifikovaného systému elektronické identifikace bude újma finanční, případně osobností. Nicméně pokud bychom měli hledat nejvyšší možnou škodu, pak jedna z nejvyšších škod, jaká může obecně vzniknout, kromě finanční újmy, je újma na zdraví, případně ztráta lidského života. Nejvyšší soud vydal v roce 2014 metodiku stanovení odškodného za „zničený život“ dle zákona č. 89/2012 Sb., podle které je cena lidského života odhadována v rozmezí 10 000 000 – 20 000 000 Kč. Hranice 10 000 000 Kč je počítána jako 400 násobek průměrné hrubé měsíční mzdy. Základní náhrada se za určitých okolností může dále navýšit s ohledem na specifické okolnosti tak, že se může rovnat až dvojnásobku základní náhrady, čili cca 20 000 000 Kč. Metodika nemá závazný charakter, je pomůckou k naplnění zásady slušnosti ve smyslu § 2958 zákona č. 89/2012 Sb. Dále je nutné brát rovněž v potaz odškodnění dle § 2959 zákona č. 89/2012 Sb. pro osoby blízké, což mohou být řádově další miliony Kč. Při zohlednění výše uvedeného byla jako základ pro výpočet zvolena částka 25 000 000 Kč.
Další hledisko, které bylo vzato v úvahu v rámci návrhu minimálního limitu pojistného plnění, představovala ochrana osobnosti spojená se zneužitím prostředku pro elektronickou identifikaci. Základem pro výpočet v souvislosti s nízkou úrovní záruky prostředků pro elektronickou identifikaci je částka 25 000 000 Kč v kombinaci s maximálně 100 000 uživateli, což lze z hlediska ochrany osobnosti a potenciální náhrady újmy považovat za realistickou částku. Pro úrovně záruky prostředků pro elektronickou identifikaci značná a vysoká jsou částky navýšeny.
2. Zhodnocení souladu navrhované právní úpravy se zákonem, k jehož provedení je navržena, včetně souladu se zákonným zmocněním k jejímu vydání
Zákon č. 250/2017 Sb., k jehož provedení má být navrhovaná vyhláška vydána, stanoví v § 9 odst. 1 povinnost žadateli o akreditaci být pojištěn pro případ odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace tak, aby výše pojistné částky byla úměrná možným škodám, které lze v rozumné míře předpokládat. Ministerstvo vnitra je v citovaném ustanovení zmocněno stanovit vyhláškou pravidla pro výpočet minimálního limitu pojistného plnění. Navrhovaná vyhláška je v souladu se zákonem i zákonným zmocněním, k jehož provedení má být vydána.
3. Zhodnocení souladu navrhované právní úpravy s předpisy Evropské unie, judikaturou soudních orgánů Evropské unie a obecnými právními zásadami práva Evropské unie
Pro výpočet minimálního limitu pojistného plnění v rámci pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace nejsou v rámci Evropské unie stanovena jednotná pravidla a právní úprava na tomto úseku je plně ponechána v pravomoci jednotlivých členských států.
V rámci přeshraniční elektronické identifikace a autentizace je odpovědnost oznamujícího členského státu, strany vydávající prostředky pro elektronickou identifikaci a strany provozující postup autentizace upravena v čl. 11 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 ze dne 23. července 2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu a o zrušení směrnice 1999/93/ES (dále jen „nařízení eIDAS“).
Oznamující členský stát odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním svých povinností uvedených v čl. 7 písm. d) a f) nařízení eIDAS v přeshraniční transakci tím, že:
· nezajistí, aby osobní identifikační údaje jedinečně identifikující danou osobu byly v okamžiku vydání prostředku pro elektronickou identifikaci v rámci daného systému v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím nařízení Komise (EU) 2015/1502 ze dne 8. září 2015, kterým se stanoví minimální technické specifikace a postupy pro úrovně záruky prostředků pro elektronickou identifikaci podle čl. 8 odst. 3 nařízení Evropského parlamentu a Rady (EU) č. 910/2014 o elektronické identifikaci a službách vytvářejících důvěru pro elektronické transakce na vnitřním trhu, spojeny s fyzickou nebo právnickou osobou,
· nezajistí dostupnost on-line autentizace tak, aby kterákoli spoléhající se strana usazená na území jiného členského státu byla schopna potvrdit osobní identifikační údaje, které obdržela v elektronické podobě.
Subjekt vydávající prostředky pro elektronickou identifikaci v přeshraniční elektronické identifikaci a autentizaci odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nesplněním svých povinností uvedených v čl. 7 písm. e) nařízení eIDAS tím, že nezajistí, aby byl prostředek pro elektronickou identifikaci spojen s osobou v souladu s technickými specifikacemi, normami a postupy pro příslušnou úroveň záruky stanovenými v prováděcím nařízení Komise (EU) 2015/1502.
Subjekt provozující postup autentizace v přeshraniční elektronické identifikaci a autentizaci odpovídá za škodu, kterou úmyslně nebo z nedbalosti způsobí kterékoli fyzické nebo právnické osobě nezajištěním správného fungování autentizace podle čl. 7 písm. f) nařízení eIDAS tím, že nezajistí správné fungování on-line autentizace tak, aby kterákoli spoléhající se strana usazená na území jiného členského státu byla schopna potvrdit osobní identifikační údaje, které obdržela v elektronické podobě.
Návrh vyhlášky není v rozporu s judikaturou soudních orgánů Evropské unie a je v souladu s obecnými zásadami práva Evropské unie (např. zásadou právní jistoty, proporcionality a zákazem diskriminace).
Na základě těchto skutečností je možné návrh vyhlášky hodnotit jako plně slučitelný s právem Evropské unie.
4. Předpokládaný hospodářský a finanční dopad navrhované právní úpravy na státní rozpočet, ostatní veřejné rozpočty, na podnikatelské prostředí České republiky, sociální dopady, včetně dopadů na rodiny a dopadů na specifické skupiny obyvatel, zejména osoby sociálně slabé, osoby se zdravotním postižením a národnostní menšiny, a dopady na životní prostředí
Návrh vyhlášky nepřináší žádné požadavky na státní rozpočet ani ostatní veřejné rozpočty. Návrh nepředpokládá zvýšené hospodářské a finanční dopady na podnikatelské prostředí, konkrétně ani na akreditované osoby či žadatele o akreditaci. Pojištění žadatelů o akreditaci pro případ odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace tak, aby výše pojistné částky byla úměrná možným škodám, které lze v rozumné míře předpokládat, je již za stávajícího právního stavu zákonnou podmínkou pro udělení akreditace. Návrh vyhlášky „pouze“ stanoví pravidla pro výpočet minimálního limitu pojistného plnění.
Návrh vyhlášky nemá negativní dopady na specifické skupiny obyvatel, osoby sociálně slabé, osoby se zdravotním postižením a národnostní menšiny. Návrh vyhlášky rovněž nepředpokládá negativní dopady na životní prostředí.
5. Zhodnocení současného stavu a dopadů navrhovaného řešení ve vztahu k zákazu diskriminace a ve vztahu k rovnosti mužů a žen
Navrhovaná právní úprava nemá vliv na rovnost mužů a žen, ani na zákaz diskriminace jednoho z pohlaví.
6. Zhodnocení dopadů navrhovaného řešení ve vztahu k ochraně soukromí a osobních údajů
Navrhovaná právní úprava nemá oproti stávajícímu právnímu stavu přímé dopady do oblasti ochrany soukromí a osobních údajů.
7. Zhodnocení korupčních rizik
Navrhovaná právní úprava nezakládá žádná korupční rizika.
8. Zhodnocení dopadů na bezpečnost nebo obranu státu
Nebyly identifikovány žádné dopady navrhované právní úpravy na bezpečnost nebo obranu státu.
9. Hodnocení dopadů regulace podle obecných zásad
Hodnocení dopadů regulace (RIA) podle Obecných zásad pro hodnocení dopadů regulace (RIA) je v případě předmětného návrhu vyhlášky zpracováno samostatně.
10. Zhodnocení souladu navrhované právní úpravy se zásadami digitálně přívětivé legislativy
a) Budování přednostně digitálních služeb (princip digital by default)
Návrh vyhlášky upravuje výlučně požadavky na parametry soukromoprávního smluvního vztahu – minimální limity pojistného plnění u pojištění odpovědnosti za škodu. Návrh vyhlášky není se zásadou v rozporu.
b) Maximální opakovatelnost a znovupoužitelnost údajů a služeb
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
c) Budování služeb přístupných a použitelných pro všechny, včetně osob se zdravotním postižením (princip governance accessibility)
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
d) Sdílené služby veřejné správy
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
e) Konsolidace a propojování informačních systémů veřejné správy
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
f) Mezinárodní interoperabilita – budování služeb propojitelných a využitelných v evropském prostoru
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
g) Ochrana osobních údajů v míře umožňující kvalitní služby (princip GDPR)
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
h) Otevřenost a transparentnost včetně otevřených dat a služeb (princip open government)
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
i) Technologická neutralita
Navrhované řešení je technologicky neutrální, zásady se žádným způsobem netýká, není s ní v rozporu.
j) Uživatelská přívětivost
Návrh vyhlášky se zásady žádným způsobem netýká, není s ní v rozporu.
B. ZVLÁŠTNÍ ČÁST
K § 1
Ustanovení stanoví způsob výpočtu minimálního limitu pojistného plnění sjednaného pro žadatele o akreditaci nebo akreditovanou osobu jako násobek základu pro výpočet v závislosti na počtu držitelů prostředku pro elektronickou identifikaci a úrovni záruky prostředku pro elektronickou identifikaci.
Ustanovení odstavců 1 až 4 definují minimální limit pojistného plnění sjednaného pro žadatele o akreditaci nebo akreditovanou osobou vydávající prostředek pro elektronickou identifikaci dle úrovní záruk (nízká/značná/vysoká) v závislosti na počtu držitelů prostředku pro elektronickou identifikaci.
Povinností akreditované osoby je zajistit, aby v aktuálním čase výše minimální pojistné částky odpovídala počtu držitelů prostředků pro elektronickou identifikaci. Za tímto účelem je žádoucí, aby akreditovaná osoba počítala dopředu s odpovídajícím počtem držitelů pro elektronickou identifikaci, respektive počítala s případným navýšením počtu držitelů pro elektronickou identifikaci a měla uzavřené pojištění s odpovídajícím minimálním limitem pojistného plnění.
Návrh vyhlášky stanovuje minimální limit pojistného plnění, nic nebrání žadateli o akreditaci nebo akreditované osobě sjednat si pojištění s vyšším limitem pojistného plnění (tj. ne pouze stanovený minimální limit) za účelem vyšší ochrany. Podle § 9 odst. 2 zákona č. 250/2017 Sb. je totiž akreditovaná osoba povinna nahradit škodu způsobenou při správě kvalifikovaného systému elektronické identifikace bez ohledu na sjednaný limit pojistného plnění. Lze tedy doporučit, aby si žadatel o akreditaci nebo akreditovaná osoba sjednali pojištění na vyšší částku.
V odstavci 5 se řeší situace, kdy žadatel o akreditaci nebo akreditovaná osoba bude vydávat prostředky pro elektronickou identifikaci co do úrovně záruky různé. V takovém případě bude minimální limit pojistného plnění stanoven na základě nejvyšší částky vypočtené podle pravidel pro výpočet minimálního limitu pojistného plnění uvedených v předchozích odstavcích.
Odstavec 6 upravuje základ pro výpočet minimálního pojistného plnění pro pojištění odpovědnosti za škodu způsobenou při správě kvalifikovaného systému elektronické identifikace.
K § 2
Účinnost vyhlášky se navrhuje dnem 1. ledna 2023, a to s ohledem na respektování institutu tzv. jednotných dnů právní účinnosti a dále z důvodu zajištění adekvátního období k seznámení se s obsahem vyhlášky ze strany adresátů této vyhlášky.
7