HG nr. 1129/2008
privind procedura de autorizare a furnizorilor de servicii publice de autentificare electronică
prezumat în vigoare
Legături cu alte acte
Ce face acest act
Are ca temei 1
- Constituția din 1991 21 noiembrie 1991 (prevederi anume) CONSTITUȚIE din 21 noiembrie 1991
În temeiul art. 108 din Constituția României, republicată, și având în vedere prevederile art. 2 și ale
art. 8 alin. (1) lit. b) din Legea nr. 677/2001
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, cu modificările și completările ulterioare,
Guvernul României adoptă prezenta hotărâre.
Articolul 1
În sensul prezentei hotărâri, termenii și expresiile de mai jos au următoarele semnificații:
a) HTTP - protocol de transfer al informațiilor prin internet, folosit pe larg pentru navigarea pe web;
b) HTTPS - protocol HTTP securizat, folosit pentru criptarea transferului de informații;
c) identificare fizică - procesul de recunoaștere unică a unei persoane în baza informațiilor cu caracter personal din documentele sale de identitate valabile, emise de autoritățile competente conform legii;
d) identificare electronică - procesul de recunoaștere a unei persoane, prin mijloace electronice, în baza informațiilor cu caracter personal deținute de un furnizor de servicii;
e) mijloc de identificare electronică - ansamblul de informații și dispozitivul sau procedura informatică prin care se poate face la distanță dovada identității unei persoane în vederea oferirii unui acces la informații sau servicii electronice;
f) autentificare electronică - procedeul folosit de aplicații software de recunoaștere la distanță a identității unei persoane, prin tehnici și mijloace de identificare electronică, în vederea obținerii anumitor drepturi în cadrul aplicației în baza identității acesteia;
g) solicitant - persoana fizică ce accesează prin internet, prin intermediul unui sistem informatic, informații publice, servicii comerciale sau administrative;
h) furnizor de servicii publice de autentificare electronică - furnizorul unui serviciu de autentificare electronică efectuat în mod obișnuit contra unei remunerații, la distanță, prin intermediul echipamentului electronic și al unor servicii de prelucrare, inclusiv comprimarea numerică, precum și stocarea datelor necesare autentificării, la cererea destinatarului serviciilor;
i) consumator de identitate electronică - aplicația informatică ce rulează pe echipamentele de calcul ale instituțiilor care oferă informații publice și servicii electronice și care primesc cereri din partea solicitanților, persoane fizice, autentificate electronic de către terți furnizori de servicii;
j) adresă MAC - adresa fizică, reprezentând un șir de caractere numerice, ce identifică în mod unic un echipament de comunicație într-o rețea;
k) identificatorul solicitantului - șirul de caractere alfanumerice care este asociat în mod unic de către un furnizor de servicii de autentificare electronică unui solicitant.
Articolul 2
În vederea asigurării accesului eficient al cetățenilor la informații și servicii destinate publicului și furnizate prin mijloace electronice, se pot autoriza în calitate de furnizor de servicii publice de autentificare electronică acele persoane juridice care, în virtutea desfășurării activității pentru care au fost autorizate în condițiile legii, operează cu baze de date ce conțin date personale, în următoarele condiții:
a) furnizorul deține calitatea de operator de date cu caracter personal în conformitate cu
pentru protecția persoanelor cu privire la prelucrarea datelor cu caracter personal și libera circulație a acestor date, cu modificările și completările ulterioare;
b) furnizorul utilizează în realizarea serviciului un sistem informatic în măsură să asigure securitatea sistemelor comunicațiilor, tranzacțiilor și datelor personale, în conformitate cu certificatul BS ISO/IEC 27001:2005 pentru sistemul de management al securității sistemului informatic;
c) furnizorul deține datele de identificare ale persoanelor, obținute cu acordul acestora, în condițiile legii, și o copie de pe un act de identitate care a fost confruntată cu originalul în cadrul procesului de identificare fizică;
d) furnizorul oferă serviciul de autentificare folosind protocolul deschis, public, gratuit, descentralizat și securizat, cunoscut în literatura de specialitate sub denumirea OpenID;
e) autentificarea electronică se realizează folosindu-se simultan minimum două dintre metodele de verificare prevăzute la alin. (2);
f) schimbul de date realizat în momentul autentificării între solicitant, consumatorii de identitate electronică și furnizorii serviciului îndeplinește cerințe-standard de integritate și confidențialitate (protocol HTTPS);
g) furnizorul menține un registru electronic cu un istoric pentru minimum 12 luni al tuturor solicitărilor de autentificare electronică, indiferent de rezultatul procesului de autentificare, în care se vor trece date minimale;
h) furnizorul asigură sincronizarea ceasului sistemelor de calcul la un sistem unic de referință, care este ora exactă a României furnizată de serverul de timp oficial timp.mcti.ro
Metodele de verificare prin intermediul cărora se realizează autentificarea electronică sunt:
a) metodă care necesită cunoașterea unei informații (pereche nume utilizator și parolă sau cod PIN);
b) metodă care necesită deținerea fizică a unui dispozitiv (token, certificat digital PKI, telefon mobil, smartcard, generator de parole unice, alt sistem de comunicații) simultan cu verificarea posesiei acestuia la momentul autentificării;
c) metodă care implică verificarea datelor biometrice (amprentă, scanare iris, semnătură, amprentă vocală sau altele) ale persoanei la momentul autentificării.
Datele minimale care trebuie înregistrate potrivit alin. (1) lit. g) sunt:
a) data și ora la care a fost solicitat serviciul de autentificare;
b) adresa de internet a serverului care a solicitat serviciul de autentificare;
c) numele serviciului electronic (aplicației) care a făcut solicitarea;
d) adresa de internet și, în măsura în care este disponibil tehnic, adresa MAC sau alt identificator unic al dispozitivului de cuplare în rețea a solicitantului;
e) identificatorul solicitantului;
f) rezultatul procesului de autentificare (succes sau eșec).
Articolul 3
Persoana juridică interesată de dobândirea calității de furnizor de servicii publice de autentificare electronică notifică Ministerul Comunicațiilor și Tehnologiei Informației în termen de 10 zile de la data implementării sistemului de autentificare electronică, conform formularului al cărui model se aprobă prin ordin al ministrului comunicațiilor și tehnologiei informației în termen de 30 de zile de la intrarea în vigoare a prezentei hotărâri. Dosarul de autorizare va cuprinde cererea de autorizare, copie a certificatului de înregistrare fiscală, copii ale documentelor care atestă calitatea de operator de date cu caracter personal, copie a certificatului BS ISO/IEC 27001:2005 pentru sistemul de management al securității sistemului informatic, descrierea soluțiilor tehnice folosite pentru implementarea serviciului.
Ministerul Comunicațiilor și Tehnologiei Informației verifică îndeplinirea de către persoana juridică a condițiilor tehnice de implementare a sistemului de furnizare a serviciului de autentificare electronică, precum și respectarea condițiilor prevăzute la art. 2 și autorizează furnizarea serviciilor publice de autentificare electronică de către solicitant, în termen de 15 zile de la notificarea prevăzută la alin. (1).
Autorizarea prevăzută la alin. (2) se realizează de Ministerul Comunicațiilor și Tehnologiei Informației prin emiterea unui certificat-tip, al cărui model se aprobă prin ordin al ministrului comunicațiilor și tehnologiei informației în termen de 30 de zile de la intrarea în vigoare a prezentei hotărâri.
Certificatul-tip se comunică furnizorului de servicii publice de autentificare electronică în termen de cel mult 5 zile de la emitere și conferă acestuia dreptul de a începe furnizarea serviciilor de acest tip. Certificatul este valabil pentru 3 ani.
Ministerul Comunicațiilor și Tehnologiei Informației publică pe pagina de internet proprie, într-o secțiune dedicată, lista furnizorilor de servicii publice de autentificare electronică autorizați.
Articolul 4
În cadrul procesului de autentificare electronică, după efectuarea cu succes a identificării prin internet, furnizorul de servicii publice de autentificare electronică are obligația de a afișa solicitantului datele personale ale acestuia pe care furnizorul le deține în baza sa de date și care urmează a fi transmise, denumirea consumatorului de identitate electronică și denumirea serviciului electronic ce va prelucra datele personale ale solicitantului și va cere în mod explicit atât confirmarea veridicității datelor personale, cât și acordul pentru transmiterea lor în vederea accesării serviciilor electronice pentru care a fost solicitată autentificarea.
Responsabilitatea pentru exactitatea datelor transmise către consumatorul de identitate electronică cade exclusiv în sarcina solicitantului. Furnizorul de servicii publice de autentificare electronică nu răspunde pentru datele personale care s-au schimbat ulterior procesului identificării fizice sau care au fost preluate greșit în cadrul acestui proces, fără culpa furnizorului de servicii publice de autentificare electronică.
În cazul în care datele personale ale solicitantului aflate în baza de date a furnizorului de servicii publice de autentificare electronică nu concordă cu datele reale sau în cazul în care solicitantul nu este de acord cu transmiterea datelor sale personale în forma deținută de către furnizor către consumatorul de identitate electronică, solicitantul trebuie să aibă posibilitatea de a refuza continuarea operațiunii de autentificare și de a informa furnizorul de servicii publice de autentificare electronică despre această situație. În acest caz, procedura de autentificare este oprită și datele personale ale solicitantului nu vor mai fi transmise către consumatorul de identitate electronică.
Consumatorul de identitate electronică poate cere solicitantului, prin intermediul furnizorului de servicii publice de identificare electronică, acele date personale strict necesare rezolvării cererii acestuia transmise în formă electronică, fără a exceda numărul și tipul datelor personale care sunt cerute solicitantului prin procedura clasică, stabilită prin acte normative specifice.
Solicitanții persoane fizice au dreptul de acces, intervenție și opoziție asupra datelor personale stocate pe serverele proprii ale consumatorului de identitate electronică, precum și celelalte drepturi prevăzute de
Legea nr. 677/2001 , cu modificările și completările ulterioare.
Solicitantul poate cere în orice moment furnizorului de servicii publice de autentificare electronică întreruperea furnizării serviciului de autentificare electronică aferent identității sale sau reluarea procesului de identificare fizică și de actualizare a bazelor de date ale furnizorului în cazul în care datele sale personale s-au schimbat.
Articolul 5
Este interzisă stocarea pe serverele proprii ale consumatorului de identitate electronică a datelor personale ale solicitantului pentru utilizarea acestora în alte scopuri decât acelea pentru care solicitantul a apelat la serviciile electronice.
La îndeplinirea scopurilor urmărite sau la expirarea termenelor legale de arhivare datele vor fi șterse.
PRIM-MINISTRU CĂLIN POPESCU-TĂRICEANU Contrasemnează: p. Ministrul comunicațiilor și tehnologiei informației, Constantin Teodorescu, secretar de stat Președintele Autorității Naționale de Supraveghere a Prelucrării Datelor cu Caracter Personal, Georgeta Basarabescu Ministrul economiei și finanțelor, Varujan Vosganian București, 18 septembrie 2008. Nr. 1.129.
Textul este prelucrat automat din sursa indicată; numerotarea și legăturile pot conține erori. Referințele subliniate duc la actele citate, așa cum au fost identificate de noi.