Rozporządzenie Ministra Cyfryzacjiz dnia 29 czerwca 2020 r.w sprawie profilu zaufanego i podpisu zaufanego ¹⁾Minister Cyfryzacji kieruje działem administracji rządowej - informatyzacja, na podstawie § 1 ust. 2 rozporządzenia Prezesa Rady Ministrów z dnia 18 listopada 2019 r. w sprawie szczegółowego zakresu działania Ministra Cyfryzacji (Dz. U. poz. 2270).

Osoba wnioskująca o wydanie profilu zaufanego potwierdzanego w punkcie potwierdzającym składa wniosek o potwierdzenie profilu zaufanego w postaci elektronicznej, przy użyciu formularza elektronicznego udostępnionego w systemie, w którym wydawany jest profil zaufany. Formularz elektroniczny, o którym mowa w zdaniu pierwszym, może stanowić element udostępnionej w ePUAP usługi elektronicznej umożliwiającej założenie konta w tym systemie teleinformatycznym.

Jeżeli w terminie 14 dni od dnia złożenia wniosku, o którym mowa w ust. 1, nie dokonano potwierdzenia profilu zaufanego, wniosek ten jest usuwany z systemu, w którym wydawany jest profil zaufany.

W celu potwierdzenia profilu zaufanego w punkcie potwierdzającym osoba wnioskująca zgłasza się do wybranego przez siebie punktu potwierdzającego.

W punkcie potwierdzającym osoba upoważniona do potwierdzania profilu zaufanego stwierdza tożsamość osoby wnioskującej na podstawie okazanego dokumentu tożsamości umożliwiającego jednoznaczne potwierdzenie tożsamości osoby wnioskującej o potwierdzenie profilu zaufanego, posiadającej numer PESEL.

Osoba wnioskująca potwierdza wolę posiadania profilu zaufanego, opatrując podpisem własnoręcznym wydruk wniosku, o którym mowa w § 3 ust. 1, sporządzony w punkcie potwierdzającym przez osobę upoważnioną do potwierdzania profilu zaufanego.

Osoba upoważniona do potwierdzania profilu zaufanego, po pozytywnej weryfikacji tożsamości osoby wnioskującej, potwierdza profil zaufany oraz odnotowuje na wydruku wniosku dokonanie potwierdzenia.

Osoba upoważniona do potwierdzania profilu zaufanego dokonuje potwierdzenia, podpisując profil zaufany osoby wnioskującej:

Osoba wnioskująca o wydanie profilu zaufanego potwierdzanego w sposób, o którym mowa w art. 20ca ustawy, zwanego dalej „tymczasowym profilem zaufanym”, składa wniosek o potwierdzenie tymczasowego profilu zaufanego, wypełniając formularz elektroniczny udostępniony w systemie, w którym wydawany jest profil zaufany.

Formularz elektroniczny, o którym mowa w ust. 1, zapewnia możliwość wyboru daty i czasu transmisji audiowizualnej spośród dostępnych terminów wskazanych przez system, w którym wydawany jest profil zaufany.

Potwierdzenie złożenia wniosku o potwierdzenie tymczasowego profilu zaufanego jest wysyłane automatycznie przez system, w którym wydawany jest profil zaufany, na adres poczty elektronicznej wnioskodawcy podany we wniosku o potwierdzenie tymczasowego profilu zaufanego. Potwierdzenie zawiera wybraną przez wnioskodawcę podczas składania wniosku datę i godzinę transmisji audiowizualnej oraz informacje dotyczące sposobu przeprowadzenia tej transmisji.

Weryfikacja zgodności danych podanych we wniosku o potwierdzenie tymczasowego profilu zaufanego z rejestrem PESEL następuje automatycznie.

Weryfikacja istnienia w Rejestrze Dowodów Osobistych, o którym mowa w ustawie z dnia 6 sierpnia 2010 r. o dowodach osobistych   (Dz. U. z 2020 r. poz. 332, 695 i 875), wizerunku wnioskodawcy, o którym mowa w art. 20ca ust. 5 pkt 1 lit. a ustawy, następuje za pośrednictwem systemu, w którym wydawany jest profil zaufany, poprzez wymianę danych między tym systemem a Rejestrem Dowodów Osobistych.

Osoba upoważniona do potwierdzania tymczasowego profilu zaufanego sprawdza w systemie, w którym wydawany jest profil zaufany, wynik weryfikacji, o której mowa w ust. 1 i 2.

W przypadku stwierdzonej niezgodności weryfikowanych danych z rejestrem PESEL lub braku wizerunku wnioskodawcy w Rejestrze Dowodów Osobistych, wniosek odrzuca się z powodu niezgodności danych.

W przypadku zgodności weryfikowanych danych z rejestrem PESEL oraz stwierdzeniu, że Rejestr Dowodów Osobistych zawiera wizerunek wnioskodawcy, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego w terminie, o którym mowa w § 5 ust. 3, inicjuje połączenie umożliwiające przeprowadzenie transmisji audiowizualnej.

Osoba upoważniona do potwierdzania tymczasowego profilu zaufanego w trakcie transmisji audiowizualnej kolejno:

Osoba upoważniona do potwierdzania tymczasowego profilu zaufanego może w trakcie transmisji audiowizualnej zażądać od wnioskodawcy wykonania gestu, który ułatwi wykrycie działania oprogramowania zakłócającego teletransmisję audiowizualną uniemożliwiającego lub utrudniającego potwierdzenie tożsamości wnioskodawcy.

W trakcie trwania transmisji audiowizualnej osoba upoważniona do potwierdzania tymczasowego profilu zaufanego przeprowadza wideoidentyfikację wnioskodawcy, o której mowa w art. 20ca ust. 5 pkt 1 ustawy, pod warunkiem że jakość transmisji audiowizualnej pozwala na:

Osoba upoważniona do potwierdzania tymczasowego profilu zaufanego po sprawdzeniu, czy zostało sporządzone nagranie, o którym mowa w art. 20ca ust. 7 ustawy, dokonuje potwierdzenia, podpisując profil zaufany osoby wnioskującej:

Sprawdzenie, czy nagranie zostało sporządzone, może odbywać się automatycznie w systemie, w którym wydawany jest profil zaufany.

W przypadku wątpliwości dotyczących porównania wizerunku wnioskodawcy z wizerunkiem wnioskodawcy pobranym z Rejestru Dowodów Osobistych lub wątpliwości dotyczących weryfikacji danych zawartych w warstwie graficznej dowodu osobistego albo paszportu wnioskodawcy okazanego przez wnioskodawcę w czasie rzeczywistym za pośrednictwem transmisji audiowizualnej, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego może zweryfikować tożsamość wnioskodawcy przy wykorzystaniu dodatkowych danych dotyczących wnioskodawcy, podanych przez niego w trakcie trwania procesu weryfikacji, których zgodność może zostać zweryfikowana z danymi zgromadzonymi w rejestrach publicznych lub w systemach teleinformatycznych prowadzonych przez ministra, w szczególności:

W przypadku, o którym mowa w ust. 11, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego weryfikuje zgodność dodatkowych danych z właściwym rejestrem publicznym lub systemem teleinformatycznym i odnotowuje tę czynność w systemie, w którym wydawany jest profil zaufany.

Po pozytywnym zweryfikowaniu danych, o których mowa w ust. 11, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego dokonuje potwierdzenia, podpisując profil zaufany osoby wnioskującej:

W przypadku braku możliwości uzyskania połączenia umożliwiającego transmisję audiowizualną z osobą wnioskującą w terminie, o którym mowa w § 5 ust. 3, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego odnotowuje ten fakt w systemie, w którym wydawany jest profil zaufany, a następnie, z zastrzeżeniem ust. 15, odrzuca wniosek o potwierdzenie tymczasowego profilu zaufanego.

Jeżeli uzyskanie połączenia umożliwiającego transmisję audiowizualną z osobą wnioskującą nie było możliwe w terminie, o którym mowa w § 5 ust. 3, osoba upoważniona do potwierdzania tymczasowego profilu zaufanego może podjąć próbę telefonicznego ustalenia z wnioskodawcą nowego terminu transmisji audiowizualnej. Osoba upoważniona do potwierdzania tymczasowego profilu zaufanego przed rozpoczęciem rozmowy telefonicznej podaje numer wniosku o potwierdzenie tymczasowego profilu zaufanego, którego dotyczy rozmowa.

Osoba wnioskująca o wydanie profilu zaufanego może samodzielnie dokonać potwierdzenia profilu zaufanego, odpowiednio:

Profil zaufany potwierdzony w sposób, o którym mowa w ust. 1:

W przypadku samodzielnego potwierdzenia profilu zaufanego:

Zakres danych oraz oświadczenia wymagane we wniosku o potwierdzenie profilu zaufanego określa załącznik nr 1 do rozporządzenia.

Zakres danych wymagany we wniosku o potwierdzenie tymczasowego profilu zaufanego określa załącznik nr 2 do rozporządzenia.

Profil zaufany, oprócz danych, o których mowa w art. 20ad ust. 1 ustawy, zawiera następujące dane:

Raz nadany identyfikator użytkownika nie może być nadany ponownie.

W przypadku potwierdzenia profilu zaufanego:

Uwierzytelnienie z wykorzystaniem profilu zaufanego dokonywane jest w sposób zapewniający średni poziom bezpieczeństwa, przy wykorzystaniu co najmniej dwóch czynników uwierzytelnienia należących do co najmniej dwóch różnych kategorii, o których mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, przy czym:

Zamiast identyfikatora użytkownika, o którym mowa w ust. 4 pkt 1 lit. a, użytkownik może używać adresu poczty elektronicznej lub numeru telefonu komórkowego, pod warunkiem, że w systemie, w którym wydawany jest profil zaufany, z tym adresem poczty elektronicznej lub tym numerem telefonu komórkowego powiązany jest tylko jeden identyfikator.

Uwierzytelnienie przy użyciu profilu zaufanego może następować również:

W przypadku usług online, wymagających uwierzytelnienia użytkownika profilem zaufanym, autoryzacje wymagane w tych usługach dokonywane są przy użyciu drugiego czynnika uwierzytelnienia, o którym mowa w ust. 4 pkt 2, z uwzględnieniem czynników uwierzytelniania, o których mowa w ust. 6 pkt 1, spełniających warunki określone w ust. 4 pkt 2.

Posiadacz profilu zaufanego może dokonać zmiany:

Przepisów ust. 8 nie stosuje się do tymczasowego profilu zaufanego, jeżeli dokonana zmiana wiązałaby się z automatycznym przedłużeniem ważności profilu zaufanego.

Komunikaty związane z funkcjonowaniem konta profilu zaufanego przesyłane są na adres poczty elektronicznej, o którym mowa w ust. 1 pkt 5.

W przypadku użytkownika ePUAP czynniki, o których mowa w ust. 4 pkt 1 lit. a, są tożsame z czynnikami służącymi do identyfikacji i uwierzytelniania tego użytkownika w ePUAP.

System, w którym wydawany jest profil zaufany, wymaga stosowania hasła, o którym mowa w ust. 4 pkt 1 lit. a, które spełnia wymogi w zakresie stopnia złożoności oraz wymaganej częstotliwości zmian, ustalonych przez ministra.

Profil zaufany potwierdza się na okres 3 lat, a jego ważność może być przedłużona na taki sam okres.

Osoba posiadająca profil zaufany może dokonać przedłużenia jego ważności:

W systemie, w którym wydawany jest profil zaufany, gromadzone są dane odzwierciedlające historię kolejnych przedłużeń ważności profilu zaufanego obejmujące w szczególności czas i sposób przedłużenia.

Zakres danych oraz oświadczenia wymagane we wniosku o przedłużenie ważności profilu zaufanego określa załącznik nr 3 do rozporządzenia.

Przepisów ust. 1, 2 i 4 nie stosuje się do tymczasowego profilu zaufanego.

Nie dokonuje się potwierdzenia profilu zaufanego w przypadku:

Niedokonanie potwierdzenia profilu zaufanego w punkcie potwierdzającym osoba upoważniona do potwierdzania profilu zaufanego odnotowuje na wydruku wniosku o potwierdzenie profilu zaufanego wraz z podaniem czasu i przyczyny niedokonania potwierdzenia.

Niedokonanie potwierdzenia tymczasowego profilu zaufanego osoba upoważniona do potwierdzania tymczasowego profilu zaufanego odnotowuje w systemie, w którym wydawany jest profil zaufany, podając przyczynę niedokonania potwierdzenia.

Informacja o niedokonaniu potwierdzenia tymczasowego profilu zaufanego oraz o przyczynie niedokonania potwierdzenia, o której mowa w ust. 3, jest automatycznie wysyłana na adres poczty elektronicznej wnioskodawcy podany we wniosku o potwierdzenie tymczasowego profilu zaufanego.

Profil zaufany traci ważność w przypadku:

W przypadku zmiany adresu poczty elektronicznej, numeru telefonu komórkowego albo środka identyfikacji elektronicznej stosowanego do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego profil zaufany jest unieważniany, a w jego miejsce automatycznie tworzony jest nowy profil zaufany powiązany z dotychczasowym kontem profilu zaufanego.

Osoba posiadająca profil zaufany może samodzielnie dokonać unieważnienia swojego profilu zaufanego w systemie, w którym wydawany jest profil zaufany, albo wystąpić z wnioskiem o unieważnienie profilu zaufanego.

W celu unieważnienia profilu zaufanego na wniosek osoba posiadająca profil zaufany składa wniosek w wybranym przez siebie punkcie potwierdzającym, w którym osoba upoważniona do potwierdzania profilu zaufanego unieważnia profil zaufany, stwierdzając uprzednio tożsamość osoby wnioskującej na podstawie okazanego dokumentu tożsamości.

Zakres danych oraz oświadczenia wymagane we wniosku o unieważnienie profilu zaufanego określa załącznik nr 4 do rozporządzenia.

Profil zaufany może być unieważniony przez ministra bez udziału jego posiadacza, w przypadku:

W przypadku uzasadnionego podejrzenia nieprawidłowości, o których mowa w ust. 1, dopuszcza się dokonywanie przez ministra czynności sprawdzających mających na celu potwierdzenie lub zaprzeczenie istnienia tych nieprawidłowości.

W toku czynności, o których mowa w ust. 2, dopuszcza się możliwość żądania od posiadacza profilu zaufanego dokonania czynności lub przekazania danych, które pozwolą na zaprzeczenie istnienia nieprawidłowości.

Złożenie podpisu zaufanego jest możliwe w okresie ważności użytego do złożenia podpisu środka identyfikacji elektronicznej, o którym mowa w art. 20aa pkt 1 ustawy.

Czynność złożenia podpisu zaufanego wymaga autoryzacji, po której następuje opatrzenie podpisywanych danych w postaci elektronicznej pieczęcią elektroniczną ministra wykorzystywaną do zapewnienia integralności podpisanych danych oraz autentyczności złożonego podpisu.

Autoryzacja, o której mowa w ust. 2, dokonywana jest, odpowiednio do użytego środka identyfikacji elektronicznej:

Weryfikacja integralności danych podpisanych przy użyciu podpisu zaufanego oraz autentyczności tego podpisu dokonywana jest za pomocą certyfikatu pieczęci elektronicznej udostępnionego przez ministra pod adresem elektronicznym wskazanym w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.

Osoba podejmująca czynności zmierzające do złożenia podpisu zaufanego, przed faktycznym złożeniem tego podpisu elektronicznego, informowana jest w drodze komunikatu udostępnianego w interfejsie użytkownika oprogramowania umożliwiającego złożenie takiego podpisu, że dokonuje czynności złożenia podpisu zaufanego.

Podmioty, o których mowa w art. 20c ust. 3 ustawy, mogą pełnić funkcję punktu potwierdzającego profil zaufany po spełnieniu wymagań w zakresie opracowywania i ustanawiania, wdrażania i eksploatowania monitorowania i przeglądania oraz utrzymywania i doskonalenia systemu zarządzania bezpieczeństwem informacji spełniającego wymagania, o których mowa w przepisach wydanych na podstawie art. 18 ustawy, w zakresie, w jakim dotyczyć to będzie uprawnień i czynności osób upoważnionych do potwierdzania profilu zaufanego.

Punkt potwierdzający stale zapewnia spełnienie wymagań, o których mowa w ust. 1.

Punkt potwierdzający, o którym mowa w art. 20c ust. 3 pkt 2-5 ustawy, w przypadku gdy nie posiada instrukcji określającej zasady i tryb postępowania z dokumentacją wydanej na podstawie ustawy z dnia 14 lipca 1983 r. o narodowym zasobie archiwalnym i archiwach   (Dz. U. z 2020 r. poz. 164), zapewnia wdrożenie instrukcji określającej zasady i tryb postępowania z dokumentacją związaną z potwierdzaniem, przedłużaniem ważności i unieważnianiem profilu zaufanego oraz przedkłada ministrowi kopię tego dokumentu.

Osoby realizujące czynności związane z potwierdzaniem profilu zaufanego działają zgodnie z procedurami zarządzania profilami zaufanymi oraz nadawania uprawnień do potwierdzania, przedłużania ważności i unieważniania profilu zaufanego zamieszczonymi w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.

Punkt potwierdzający przechowuje i archiwizuje dokumenty w postaci papierowej w zakresie potwierdzania, przedłużania i unieważniania profilu zaufanego w warunkach zapewniających:

Dokumenty oraz dane w postaci elektronicznej w zakresie potwierdzania, przedłużania i unieważniania profilu zaufanego, z zachowaniem warunków określonych w ust. 1, przechowuje oraz archiwizuje minister.

Obowiązek przechowania dokumentów oraz danych, o których mowa w ust. 1 i 2, trwa przez okres 20 lat od chwili potwierdzenia albo przedłużenia ważności profilu zaufanego lub od chwili odmowy jego potwierdzenia albo odmowy przedłużenia ważności bądź od chwili jego unieważnienia, z wyłączeniem nagrania, o którym mowa w art. 20ca ust. 7 ustawy, które przechowuje się przez 6 lat.

Organ lub jednostka organizacyjna przejmująca zadania, funkcje i dokumenty punktu potwierdzającego, którego działalność ustała, zapewnia spełnienie warunków, o których mowa w ust. 1 i 3. W przypadku braku następcy prawnego punktu potwierdzającego spełnienie warunków, o których mowa w ust. 1 i 3, zapewnia minister.

Wykorzystanie środków identyfikacji elektronicznej stosowanych do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego do potwierdzania profilu zaufanego, uwierzytelnienia oraz autoryzacji wymaga:

Wymagania, o których mowa w ust. 1 pkt 1-4, uznaje się za spełnione w przypadku przedstawienia przez podmiot niepubliczny:

Wymaganie, o którym mowa w ust. 1 pkt 5, uznaje się za spełnione w przypadku przedstawienia pozytywnego wyniku testów integracyjnych.

Podmiot niepubliczny przedstawia dokumenty, o których mowa w § 19 ust. 2 i 3, na żądanie ministra.

W przypadku gdy do potwierdzenia profilu zaufanego wykorzystano środek identyfikacji elektronicznej stosowany do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego wydany przez ten podmiot niepubliczny w procesie, w którym okazanie dokumentu tożsamości nastąpiło w trakcie transmisji audiowizualnej, o której mowa w § 19 ust. 1 pkt 4 lit. a, podmiot ten przechowuje nagranie tej transmisji audiowizualnej przez okres 6 lat, chyba że przepisy odrębne wymagają dłuższego okresu przechowywania.

Minister co najmniej raz na 2 lata dokonuje sprawdzenia mającego na celu ustalenie kont nieużywanych w celu ich usunięcia.

W przypadku ustalenia konta nieużywanego dokonuje się dwukrotnego powiadomienia użytkownika tego konta na adres poczty elektronicznej powiązany z tym kontem profilu zaufanego, w odstępie 30 dni, o zamiarze jego usunięcia.

Powiadomienie, o którym mowa w ust. 2, zawiera informację dotyczącą czynności, jakich posiadacz konta profilu zaufanego może dokonać na potwierdzenie woli dalszego korzystania z wskazanego konta nieużywanego.

W przypadku niepodjęcia przez użytkownika konta profilu zaufanego czynności, o których mowa w ust. 3, w terminie 30 dni od przesłania drugiego powiadomienia, konto nieużywane jest usuwane.