Закон за Европейския портфейл за цифрова самоличност

От законопроекта не става ясно дали мога едновременно да имам държавен портфейл и портфейл предоставян от доставчик. Във всеки портфейл ли мога да имам безплатен КЕП? Какво се случва ако деинсталирам държания портфейл, удостоверението за КЕП прекратява ли се? Кога ще се издава КЕП, само при поискване или при инсталиране на портфейл задължително имаш и КЕП? В този случай държавата ще заплаща за издаването на удостоверение за КЕП независимо от това дали някога ще бъде използвано. Ако удостоверението ми за КЕП бъде прекратено преди изтичането на 1 година ще имам ли право на друго безплатно? Задължително ли ще бъде в удостоверението за КЕП да има ЕГН?  Ще има ли надзор над държавния портфейл или такъв е предвиден само за другите доставчици на портфейли?  Защо не се споменава в проекта на закона, че националната схема за сертификация ще се замени от европейска, след приемането ѝ? 

Имам следните забележки и въпроси:

·           В член 1 втората т.6 трябва да стане т.7.

·           Навсякъде да бъде изписано „Регламент (ЕС) № 910/2014“ т.к. в проекта го има в няколко варианта.

·           В член 4, алинея 6 „който“ трябва да се замени с „което“.

·     В член 4, алинея 6 - Не става ясно удостоверението винаги ли се издава заедно с портфейла или се заявява, ако има нужда от подписване? Ако се издава по подразбиране с регистрацията на портфейла, а не се ползва – то държавата ще плаща за нещо което няма да се ползва. Като изтече срокът на удостоверението, ново удостоверение ли се издава и за какъв срок и от същия доставчик или може да се избере от друг? Ако портфейлът се прекрати-прекратява ли се автоматично и удостоверението? Не става ясно един човек може ли да има повече от един портфейл?

·           В член 5, точка 4 е разписано „наредбата по чл. 7, ал. 3“, но в цитирания член няма наредба.

·       Предлагам в съответствие с регламента текстът на чл. 8, ал. 1 да стане:  „Доставчикът на портфейл е длъжен на всеки две години да осигури за своя сметка оценка на уязвимостите по смисъла на чл. 5в от Регламент (ЕС) № 910/2014 от орган по оценяване на съответствието“.

·           Никъде не е посочено в проекта схемата на която се основава портфейла с какво ниво на осигуреност трябва да бъде.

·           В чл. 9, ал. 1, т.6 – как се доказва, че дейността не е извършвана една година?

·           В чл. 9, ал. 2, т.3  е посочено „по чл. 5 и чл. 7“, но вероятно се има в предвид „по чл. 5 и чл. 6“?

·           В чл.11, ал.6 текстът е „електронни удостоверения за доставчици“, но не става ясно какви са тези удостоверения и кои доставчици се има предвид.

·       В чл.1 и заглавието на глава шеста не би трябвало да се използва „доверителни списъци“, за да не стане терминологично объркване с доверителния списък по чл.22 от Регламента. Може да бъдат „списъци свързани с портфейла“ или само „списъци“.

·           Предлагам следните корекции в чл.20, т.1-3: „Министърът на електронното управление уведомява Европейската комисия за:

1. всички вписани в списъка по чл. 13, ал.1, т.1 сертифицирани европейски портфейли за цифрова самоличност и за всяка отмяна на статуса на такъв портфейл, включително относно причината за отмяната;

2. органът, отговорен за създаването и поддържането на списъците по чл. 13 и мястото, където тези списъци се съхраняват;

3. органът, отговарящ за предоставянето на европейските портфейли за цифрова самоличност;“

·           В глава трета и навсякъде „доставчик на портфейл“ да стане „доставчик на европейски портфейл за цифрова самоличност“. В противен случай може да се разбира погрешно, че става въпрос за всякакъв портфейл.

·     От проекта не става ясно портфейлите от доставчиците, различни от този на министъра, ще имат ли удостоверение за подпис, от къде ще го взимат, ще е безплатен ли за потребителите?

Предложения за подобрения и критични бележки

1. Редакционни и технически грешки (Спешно за коригиране)

В текста има няколко „бъга“, които трябва да бъдат отстранени преди внасяне:

• Двойно номериране: На страница 12 има два текста, номерирани като Чл. 21. Вторият (за неверни данни) вероятно трябва да е Чл. 23, което би променило цялата следваща номерация.

• Грешна препратка: В Чл. 26 се споменава наказание за неизпълнение на мярка по „чл. 43“. Такъв член в проекта не съществува (законът свършва до чл. 28). Вероятно се има предвид чл. 21 (принудителните м

• Повтарящи се точки: В Чл. 1 точки 6 и 7 са номерирани два пъти като „6“.

2. Дефиниция на „Непрофесионална цел“

В Допълнителните разпоредби (§ 1, т. 2) дефиницията е добра, но на практика границата е тънка.

• Риск: Ако един свободен професионалист (фрилансър) подпише договор за наем на жилище, това „професионална“ цел ли е или „лична“?

• Предложение: Трябва да се уточни, че доставчиците на КЕП не могат да изискват доказване на целта при всяко подписване, за да не се възпрепятства потребителското преживяване.

3. Финансовата компенсация към доставчиците (Чл. 4)

Държавата ще плаща фиксирана сума за всяко издадено удостоверение за 1 година.

• Проблем: Липсва механизъм за „преносимост“. Ако потребител смени своя портфейл или доставчик в рамките на годината, държавата два пъти ли ще плаща?

• Предложение: В методиката на МС трябва да се заложи модел, който да стимулира конкуренцията между доставчиците, а не просто „усвояване“ на компенсации за издадени, но неизползвани подписи.

4. Срокове за интеграция (§ 5, § 6, § 7)

Законът предвижда 3-месечен срок за въвеждане в експлоатация и интеграция.

• Реалистичност: Предвид сложността на държавните системи, 3 месеца е изключително кратък срок за пълна функционалност на Портала за електронно управление и Единния портал за електронно правосъдие.

• Предложение: Постепенно внедряване (пилотен период), за да се избегнат сривове при „голямото включване“.

5. Поверителност и „Zero Knowledge Proof“ (ZKP)

Една от големите идеи на европейския портфейл е да споделяме само доказателство за атрибут (например: „имам над 18 години“), без да разкриваме самата рождена дата.

• Бележка: В закона това е загатнато чрез препратки към Регламента, но би било добре в Чл. 2 или Чл. 6 изрично да се впише принципът за минимизиране на данните и избирателно разкриване, за да се гарантира, че българският портфейл ще е на най-високо технологично ниво по отношение на личните данни.

От предоставената информация не става ясно какво се случва със издадения електронен подпис на физическо лице, след изтичането на едната година валидност. Как ще стане подновяването на този електронен подпис, това ще бъде ли безплатно или физическото лице ще трябва да плаща за КЕП за следващите години. 

При положение, че физическия документ за самоличност се издава от държавата (след като се плати такса) и валидността на документа е 5 или 10 години и не се заплаща абонамент за валидност, според мен е редно държавата да издава и КЕП към този потфейл докато електронния портфейл се използва и е активен при положение, че крайната цел е електронния портфейл да изпълнява функция на идентификационен документ. 

Потенциалните ползи от използването на електронна идентификация от гражданите бих били в пъти по-големи от разходите по издаване на КЕП за физическите лица.