Začneme tím, že se na nařízení eIDAS podíváme pěkně s odstupem. Tak, abychom viděli více než jen nařízení č. 910/2014. Tak, abychom viděli celého slona.

Na úvod seriálu odbočíme k oboru, který nemá s IT a evropským právním řádem příliš společného – k poezii, k legendě o šesti slepých mužích a slonovi zpracované Johnem Godfreyem Saxem. V této legendě šest slepců zjišťuje, jak vypadá slon. Přistoupí ke slonovi a začnou šmátrat kolem sebe. Jeden chytí slona za nohu a řekne: „Slon vypadá jako strom!“. Další zatahá slona za ocas a řekne: „Slon vypadá jako provaz!“. Třetí chytí slona za chobot a řekne: „Slon vypadá jako had!“. A tak každý viděl pouze část slona a žádný z nich neviděl slona celého.

Právní úhel pohledu

Otázka tedy zní: Je nařízení eIDAS slonem nebo pouze částí slona? Zrekapitulujme si co je předmětem nařízení – jsou to oblasti elektronické identifikace (eID), elektronického podpisu (eSignature), elektronického doporučeného doručování (eDelivery) a elektronických dokumentů (eDocument). A co je samotný eIDAS? Je to nařízení, součást sekundárního práva EU a výsledek evropského legislativního procesu – je to právní uchopení výše uvedených oblastí. Předmětem nařízení eIDAS je jednotné právní ukotvení základních konceptů a pravidel využívání uvedených oblastí na jednotném digitálním trhu napříč členskými státy EU.

Přijměme tedy vzhledem k zaměření seriálu předpoklad, že nařízení eIDAS je pouze právním úhlem pohledu, tj. částí slona. Jaké jsou další části slona – jiné úhly pohledu na výše uvedené oblasti? Rozdělme si je na strategický, praktický a standardizační.

Strategický úhel pohledu

Impulzem ke zpracování nařízení eIDAS byl požadavek na přepracování směrnice 1999/93/ES a zpracování návrhu na vzájemné uznávání e-ID Evropskou komisí v rámci její strategie Evropa 2020 jako součást iniciativy „Digital agenda for Europe“.

Přepracování směrnice 1999/93/ES bylo požadováno Evropskou komisí v rámci prvního pilíře „Digital single Market“ iniciativy „Digital agenda for Europe“. Proč právě DIGITAL Single Market? Ubereme-li jedno slovo z názvu tohoto pilíře, dostaneme „Sigle market“ a jeho zásadu volného pohybu zboží, osob, služeb a kapitálu na vnitřním trhu jakožto jeden ze základních stavebních kamenů EU. Aby volný přeshraniční pohyb fungoval také v digitálním světě, je nutné zajistit několik, dnes již notoricky známých, podmínek – určitý stupeň interoperability (tj. možnosti využívat své eID pro všechny on-line služby veřejné správy v EU), harmonizace a důvěry mezi jednotlivými účastníky a jimi využívaných služeb (tj. rovnocenného postavení služeb vytvářejících důvěru).

Otázka „jak“ zařídit, aby to v praxi fungovalo, aby jednotliví účastníci jednoznačně věděli, s kým komunikují, aby si mohli navzájem důvěřovat a provádět právně závazné úkony v digitálním světě, nás přivádí zpět k nařízení eIDAS, které tuto odpověď pokrývá z právního úhlu pohledu.

Praktický úhel pohledu

Samotná právní úprava však nestačí. Je potřeba konkrétních nástrojů. A EU nespí ani v této oblasti.

Za hlavní stream aktivit můžeme označit několik vzájemně navazujících projektů. Od roku 2008 probíhaly tzv. Large scale pilots projekty (LSPs), tj. vytvoření a ověření pilotních řešení v rámci několika zapojených členských států – jednalo se o projekty STORK, e-CODEX, epSOS, SPOCS a PEPPOL.

Projekt STORK se zabýval přeshraničním uznáváním a interoperability eID občanů z jiných členských států a to primárně v oblasti využívání služeb veřejné správy. Jeho následník STORK 2.0 pak rozšířil záběr také o právnické osoby a vytvořené řešení otestoval v tzv. „business doménách“ eLearning, eBanking, Academic qualification a Services for Business and eHealth. Z projektu STORK vychází také nařízení eIDAS v oblasti nastavení „úrovní záruky“, tj. důvěryhodnosti a bezpečnosti elektronické identifikace. Projekt e-CODEX byl zaměřený na přeshraniční spolupráci a přístup ke službám soudů, projekt epSOS zabývající se přeshraničním sdílením zdravotních záznamů pacientů, projekt SPOCS zřizující point-of-single-contact místa v členských státech, které zprostředkují informace a kontakt mezi lokální veřejnou správou a společnostmi z jiných členských států a projekt PEPPOL, umožňující zapojit se zájemcům z jiných členských států do veřejných zakázek.

Výstupy LSPs projektů od roku 2013 konsoliduje projekt e-SENS. V roce 2014 byl spuštěn program Connecting Europe Facility (CEF) jehož část „Digital Service Infrastructure“, která spadá do jedné ze tří hlavních oblastí programu CEF, konkrétně do CEF Telecom, by měla tyto výstupy připravit k nasazení do praxe a pomoci s jejich zavedením v členských státech. Podrobnější informace včetně dostupných výstupů naleznete na webových stránkách jednotlivých projektů.

Standardizační úhel pohledu

Vzhledem ke skutečnosti, že řešení připravovaná výše uvedenými projekty pravděpodobně nebudou pro nikoho závazná, hrozilo riziko, že si každý členský stát (resp. každý zapojený subjekt) bude vytvářet svoje vlastní řešení. To už na první pohled nevypadá jako zcela ideální cesta k interoperabilní a harmonizované digitální Evropě. Určitý stupeň centrální standardizace bude nutné zajistit. Za tímto účelem byl zadán standardizační mandát M/460.

Standardizační mandát M/460 má za cíl vytvořit set standardů pro oblasti řešené nařízením eIDAS. Samotný „standardizační mandát“ je nástrojem, kterým Evropská komise pověřuje skupinu organizací European Standards Organizations (ESOs) k vytvoření a zavedení evropského standardu pro podporu evropského práva. Tyto standardy jsou samy o sobě dobrovolné. Mohou však být právně ukotveny např. prostřednictvím dodatečných prováděcích aktů a stát se tak závaznými pro všechny členské státy EU. Tím se zamezí, aby si standardy vytvářely jednotlivé členské státy a prohlubovaly tak vzájemnou nekompatibilitu.

Mandát M/460 aktualizuje existující standardy v oblasti eSignature. Za účelem harmonizace napříč členskými státy vytvoří jednotný rámec pro elektronické podpisy a „další související a navazující služby“, pod kterými se skrývá řada témat souvisejících se službami vytvářejícími důvěru řešených v nařízení eIDAS. Mandát se zabývá standardy v šesti různých oblastech od šifrování, přes tvorbu a ověřování elektronických podpisů až po požadavky na poskytovatele aplikačních služeb vytvářejících důvěru. Samotné standardy jsou v přípravě, aktuální verze draftů si lze prohlédnout na stránkách organizace ETSI.

Současná představa o aplikaci standardů není jednoznačná. Například z článku „eIDAS Regulation: eID – Opportunities and Risks“ vyplývá, že pro oblast eID nebudou referencovány konkrétní standardy, ale že veškeré náležitosti budou uvedeny přímo v prováděcích aktech k nařízení eIDAS.

Komplexní svět eIDAS

Je tedy patrné, že nařízení eIDAS bylo vytvořeno jako součást ambiciózního plánu Evropské unie na jednotnou digitální Evropu. Byla podniknuta řada aktivit v právní, strategické, praktické i standardizační rovině a teprve v kontextu všech těchto aktiv je zřejmé, jak rozsáhlé téma eIDASu vlastně je. Doufejme tedy, že všechny části slona do sebe hladce zapadnou a že se tak přiblížíme ke skutečnému jednotnému digitálnímu trhu.

Michal Ureš Autor článku pracuje ve společnosti Deepview, která se odborně zabývá přípravou a implementací nařízení eIDAS a poskytuje v této oblasti poradenské služby.