Legea nr. 455/2001

Furnizarea serviciilor de certificare nu este supusă nici unei autorizari prealabile și se desfășoară în concordanta cu principiile concurentei libere și loiale, cu respectarea actelor normative în vigoare.

Furnizarea serviciilor de certificare de către furnizorii stabiliți în statele membre ale Uniunii Europene se face în condițiile prevăzute în Acordul european instituind o asociere între România, pe de o parte, Comunitatile Europene și statele membre ale acestora, pe de altă parte.

Cu 30 de zile înainte de începerea activităților legate de certificarea semnaturilor electronice persoanele care intenționează sa furnizeze servicii de certificare au obligația de a notifica autoritatea de reglementare și supraveghere specializată în domeniu cu privire la data începerii acestor activități.

O dată cu efectuarea notificării prevăzute la alin. (1) furnizorii de servicii de certificare au obligația de a comunică autorității de reglementare și supraveghere specializate în domeniu toate informațiile referitoare la procedurile de securitate și de certificare utilizate, precum și orice alte informații cerute de autoritatea de reglementare și supraveghere specializată în domeniu.

Furnizorii de servicii de certificare au obligația de a comunică autorității de reglementare și supraveghere specializate în domeniu, cu cel puțin 10 zile înainte, orice intenție de modificare a procedurilor de securitate și de certificare, cu precizarea datei și orei la care modificarea intră în vigoare, precum și obligația de a confirma în termen de 24 de ore modificarea efectuată.

În cazurile de urgenta, în care securitatea serviciilor de certificare este afectată, furnizorii pot efectua modificări ale procedurilor de securitate și de certificare, urmând sa comunice, în termen de 24 de ore, autorității de reglementare și supraveghere specializate în domeniu modificările efectuate și justificarea deciziei luate.

Furnizorii de servicii de certificare sunt obligați să respecte, pe parcursul desfășurării activității, procedurile de securitate și de certificare declarate, potrivit alin. (2), (3) și (4).

Furnizorul de servicii de certificare va asigura accesul la toate informațiile necesare utilizării corecte și în condiții de siguranță a serviciilor sale. Informațiile respective vor fi furnizate anterior nașterii oricărui raport contractual cu persoana care solicită un certificat sau, după caz, la cererea unui terț care se prevalează de un asemenea certificat.

Informațiile prevăzute la alin. (1) vor fi formulate în scris, într-un limbaj accesibil, și vor fi transmise prin mijloace electronice, în condiții care să permită stocarea și reproducerea lor.

Informațiile prevăzute la alin. (1) vor face referire cel puțin la:

a) procedura ce trebuie urmată în scopul creării și verificării semnăturii electronice;

b) tarifele percepute;

c) modalitățile și condițiile concrete de utilizare a certificatelor, inclusiv limitele impuse utilizării acestora, cu condiția ca aceste limite să poată fi cunoscute de terți;

d) obligațiile care incumba, potrivit prezentei legi, titularului certificatului și furnizorului de servicii de certificare;

e) existenta unei acreditari, dacă este cazul;

f) condițiile contractuale de eliberare a certificatului, inclusiv eventualele limitări ale răspunderii furnizorului de servicii de certificare;

g) căile de soluționare a litigiilor;

h) orice alte informații stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

Furnizorul de servicii de certificare va transmite solicitantului un exemplar al certificatului.

Din momentul acceptării certificatului de către solicitant, furnizorul de servicii de certificare va înscrie certificatul în registrul prevăzut la art. 17.

Persoanele fizice care prestează, conform legii, în nume propriu servicii de certificare, precum și personalul angajat al furnizorului de servicii de certificare, persoana fizica sau juridică, sunt obligate sa păstreze secretul informațiilor încredințate în cadrul activității lor profesionale, cu excepția celor în legătură cu care titularul certificatului accepta să fie publicate sau comunicate terților.

Încălcarea obligației prevăzute la alin. (1) constituie infracțiune de divulgare a secretului profesional, prevăzută și sancționată de art. 196 din Codul penal.

Nu constituie divulgare a secretului profesional comunicarea de informații către o autoritate publică, atunci când aceasta acționează în exercitarea și în limitele competentelor sale legale.

Obligația prevăzută la alin. (1) incumba și personalului autorității de reglementare și supraveghere specializate în domeniu, precum și persoanelor împuternicite de aceasta.

Autoritatea de reglementare și supraveghere specializată în domeniu și furnizorii de servicii de certificare au obligația să respecte dispozițiile legale privitoare la prelucrarea datelor cu caracter personal.

Furnizorii de servicii de certificare nu pot colecta date cu caracter personal decât de la persoana care solicită un certificat sau, cu consimțământul expres al acesteia, de la terți. Colectarea se face doar în măsura în care aceste informații sunt necesare în vederea eliberării și conservării certificatului. Datele pot fi colectate și utilizate în alte scopuri doar cu consimțământul expres al persoanei care solicită certificatul.

Atunci când se utilizează un pseudonim, identitatea reală a titularului nu poate fi divulgată de către furnizorul de servicii de certificare decât cu consimțământul titularului sau în cazurile prevăzute la art. 15 alin. (3).

Furnizorii de servicii de certificare au obligația de a crea și de a menține un registru electronic de evidenta a certificatelor eliberate.

Registrul electronic de evidenta a certificatelor eliberate trebuie să facă mențiune despre:

a) data și ora exactă la care certificatul a fost eliberat;

b) data și ora exactă la care expira certificatul;

c) dacă este cazul, data și ora exactă la care certificatul a fost suspendat sau revocat, inclusiv cauzele care au condus la suspendare sau la revocare.

Registrul electronic de evidenta a certificatelor eliberate trebuie să fie disponibil permanent pentru consultare, inclusiv în regim on-line.

Certificatul calificat va cuprinde următoarele mențiuni:

a) indicarea faptului ca certificatul a fost eliberat cu titlu de certificat calificat;

b) datele de identificare a furnizorului de servicii de certificare, precum și cetățenia acestuia, în cazul persoanelor fizice, respectiv naționalitatea acestuia, în cazul persoanelor juridice;

c) numele semnatarului sau pseudonimul acestuia, identificat ca atare, precum și alte atribute specifice ale semnatarului, dacă sunt relevante, în funcție de scopul pentru care este eliberat certificatul calificat;

d) codul personal de identificare a semnatarului;

e) datele de verificare a semnăturii, care corespund datelor de creare a semnăturii aflate sub controlul exclusiv al semnatarului;

f) indicarea inceputului și sfarsitului perioadei de valabilitate a certificatului calificat;

g) codul de identificare a certificatului calificat;

h) semnatura electronică extinsă a furnizorului de servicii de certificare care eliberează certificatul calificat;

i) dacă este cazul, limitele utilizării certificatului calificat sau limitele valorice ale operațiunilor pentru care acesta poate fi utilizat;

j) orice alte informații stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

Fiecărui semnatar i se va atribui de către furnizorul de servicii de certificare un cod personal care să asigure identificarea unica a semnatarului.

Generarea codului personal de identificare și a codului de identificare a certificatului calificat se va face pe baza reglementărilor stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

La solicitarea titularului furnizorul de servicii de certificare va putea înscrie în certificatul calificat și alte informații decât cele menționate la alin. (1), cu condiția ca acestea sa nu fie contrare legii, bunelor moravuri sau ordinii publice, și numai după o prealabilă verificare a exactitatii acestor informații.

Certificatul calificat va indica în mod expres faptul ca este utilizat un pseudonim, atunci când titularul se identifica printr-un pseudonim.

La eliberarea certificatelor calificate furnizorii de servicii de certificare au obligația de a verifica identitatea solicitanților exclusiv pe baza actelor de identitate.

La eliberarea fiecărui certificat calificat furnizorii au obligația sa emita doua copii de pe acesta, pe suport de hârtie, dintre care un exemplar este pus la dispoziție titularului, iar celălalt este păstrat de către furnizori o perioadă de 10 ani.

Furnizorul de servicii de certificare calificată trebuie să dispună de resurse financiare pentru acoperirea prejudiciilor pe care le-ar putea cauza cu prilejul desfășurării activităților legate de certificarea semnaturilor electronice.

Asigurarea se realizează fie prin subscrierea unei polițe de asigurare la o societate de asigurări, fie prin intermediul unei scrisori de garanție din partea unei instituții financiare de specialitate, fie printr-o alta modalitate stabilită prin decizie a autorității de reglementare și supraveghere specializate în domeniu.

Suma asigurata și suma acoperită prin scrisoarea de garanție sunt stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

Orice furnizor de servicii de certificare are obligația de a suspenda certificatul în termen de 24 de ore din momentul în care a luat cunoștința sau trebuia și putea sa ia cunoștința despre apariția oricăruia dintre următoarele cazuri:

a) la cererea semnatarului, după o prealabilă verificare a identității acestuia;

b) în cazul în care o hotărâre judecătorească dispune suspendarea;

c) în cazul în care informațiile conținute în certificat nu mai corespund realității, dacă nu se impune revocarea certificatului;

d) în orice alte situații care constituie cazuri de suspendare a certificatelor eliberate, potrivit procedurilor de securitate și de certificare declarate de furnizor în baza art. 13.

Orice furnizor de servicii de certificare are obligația de a revoca certificatul în termen de 24 de ore din momentul în care a luat cunoștința sau trebuia și putea sa ia cunoștința despre apariția oricăruia dintre următoarele cazuri:

a) la cererea semnatarului, după o prealabilă verificare a identității acestuia;

b) la decesul sau punerea sub interdicție a semnatarului;

c) în cazul în care o hotărâre judecătorească irevocabilă dispune revocarea;

d) dacă se dovedește în mod neîndoielnic ca certificatul a fost emis în baza unor informații eronate sau false;

e) în cazul în care informațiile esențiale conținute în certificat nu mai corespund realității;

f) atunci când confidențialitatea datelor de creare a semnăturii a fost incalcata;

g) în cazul în care certificatul a fost utilizat în mod fraudulos;

h) în orice alte situații care constituie cazuri de revocare a certificatelor eliberate, potrivit procedurilor de securitate și de certificare declarate de furnizor în baza art. 13.

Furnizorul de servicii de certificare îl va informa de urgenta pe titular despre suspendarea sau revocarea certificatului, împreună cu motivele care au stat la baza deciziei sale.

Furnizorul de servicii de certificare va înscrie mențiunea de suspendare sau de revocare a certificatului în registrul electronic de evidenta a certificatelor eliberate prevăzut la art. 17, în termen de 24 de ore din momentul în care a luat cunoștința sau trebuia și putea sa ia cunoștința despre adoptarea deciziei respective.

Suspendarea sau revocarea va deveni opozabilă terților de la data înscrierii sale în registrul electronic de evidenta a certificatelor.

În cazul în care furnizorul de servicii de certificare intenționează sa înceteze activitățile legate de certificarea semnaturilor electronice sau afla ca va fi în imposibilitate de a continua aceste activități, el va informa, cu cel puțin 30 de zile înainte de încetare, autoritatea de reglementare și supraveghere specializată în domeniu despre intenția sa, respectiv despre existenta și natura împrejurării care justifica imposibilitatea de continuare a activităților.

Furnizorului de servicii de certificare îi revine obligația ca, în situația în care se afla în imposibilitate de a continua activitățile legate de certificarea semnaturilor electronice și nu a putut prevedea aceasta situație cu cel puțin 30 de zile înainte ca încetarea activităților să se producă, sa informeze autoritatea de reglementare și supraveghere specializată în domeniu, în termen de 24 de ore din momentul în care a luat cunoștința sau trebuia și putea sa ia cunoștința despre imposibilitatea continuării activităților. Informarea trebuie să se refere la existenta și natura împrejurării care justifica imposibilitatea de continuare a activităților.

Furnizorul de servicii de certificare poate transfera, în tot sau în parte, activitățile sale unui alt furnizor de servicii de certificare. Transferul va opera potrivit următoarelor condiții:

a) furnizorul de servicii de certificare va înștiința fiecare titular de certificate neexpirate, cu cel puțin 30 de zile înainte, despre intenția sa de transferare a activităților legate de certificarea semnaturilor electronice către un alt furnizor de servicii de certificare;

b) furnizorul de servicii de certificare va menționa identitatea furnizorului de servicii de certificare căruia intenționează sa îi transfere activitățile sale;

c) furnizorul de servicii de certificare va face cunoscute fiecărui titular de certificat posibilitatea de a refuza acest transfer, precum și termenul și condițiile în care refuzul poate fi exercitat; în lipsa unei acceptări exprese a titularului, în termenul precizat de furnizorul de servicii de certificare, certificatul va fi revocat de către acesta din urma.

Furnizorul de servicii de certificare, aflat în unul dintre cazurile prevăzute la alin. (1) și (2), ale cărui activități nu sunt preluate de un alt furnizor de servicii de certificare, va revoca certificatele în termen de 30 de zile de la data înștiințării titularilor de certificate și va lua măsurile necesare pentru asigurarea conservării arhivelor sale, precum și pentru asigurarea prelucrării datelor personale, în condițiile legii.

Sunt considerate cazuri de imposibilitate de continuare a activităților legate de certificarea semnaturilor electronice, în înțelesul prezentului articol, dizolvarea sau lichidarea, voluntara ori judiciară, falimentul, precum și orice alta cauza de încetare a activității, cu excepția aplicării sancțiunilor prevăzute la art. 33 alin. (2) și (3).

În termen de cel mult 18 luni de la data publicării legii în Monitorul Oficial al României, Partea I, se va înființa autoritatea publică specializată, cu atribuții de reglementare și de supraveghere în domeniu, în sensul prezentei legi.

Până la înființarea autorității menționate la alin. (1) atribuțiile acesteia, în sensul prezentei legi, revin Ministerului Comunicațiilor și Tehnologiei Informatiei.

La data intrării în vigoare a prezentei legi se înființează Registrul furnizorilor de servicii de certificare, denumit în continuare Registru, care se constituie și se actualizează de către autoritatea de reglementare și supraveghere specializată în domeniu. De la data infiintarii autorității publice specializate prevăzute la art. 26 Registrul va fi preluat și actualizat de aceasta autoritate.

Registrul constituie evidenta oficială:

a) a furnizorilor de servicii de certificare care au sediul în România;

b) a furnizorilor de servicii de certificare cu sediul sau domiciliul în alt stat, ale căror certificate calificate sunt recunoscute conform art. 40.

Registrul are rolul de a asigura, prin efectuarea înregistrărilor prevăzute de prezenta lege, stocarea datelor de identificare și a unor informații legate de activitatea furnizorilor de servicii de certificare, precum și informarea publicului cu privire la datele și informațiile stocate.

Conținutul și structura Registrului se stabilesc, prin reglementări, de către autoritatea de reglementare și supraveghere specializată în domeniu.

Înregistrarea în Registrul prevăzut la art. 28 a datelor de identificare și a informațiilor necesare cu privire la activitatea furnizorilor de servicii de certificare menționați la art. 28 alin. (2) se efectuează pe bază de cerere individuală, care trebuie introdusă la autoritatea de reglementare și supraveghere specializată în domeniu, cel mai târziu la data începerii activității furnizorului.

Conținutul obligatoriu al cererii prevăzute la alin. (1) și documentația necesară se stabilesc prin reglementări de către autoritatea de reglementare și supraveghere specializată în domeniu.

Registrul este public și se actualizează permanent.

Condițiile ținerii Registrului, accesul efectiv la informațiile pe care le conține, informațiile care pot fi oferite solicitanților și modul de actualizare a acestuia se stabilesc prin normele tehnice și metodologice emise de autoritatea de reglementare și supraveghere specializată în domeniu.

Autoritatea de reglementare și supraveghere specializată în domeniu va putea, din oficiu sau la solicitarea oricărei persoane interesate, sa verifice sau sa dispună verificarea conformitatii activităților unui furnizor de servicii de certificare cu dispozițiile prezentei legi sau cu reglementări emise de către autoritatea de reglementare și supraveghere specializată în domeniu.

Atribuțiile de control ce revin autorității de reglementare și supraveghere specializate în domeniu, potrivit alin. (1), sunt exercitate de personalul anume împuternicit în acest sens.

În vederea exercitării controlului, personalul cu atribuții de control este autorizat:

a) să aibă acces liber, permanent, în orice loc în care se afla echipamentele necesare furnizarii de servicii de certificare, în condițiile legii;

b) să solicite orice document sau informație necesară în vederea realizării controlului;

c) sa verifice punerea în aplicare a oricăror proceduri de securitate sau de certificare utilizate de furnizorul de servicii de certificare supus controlului;

d) sa sigileze orice echipamente necesare furnizarii de servicii de certificare sau sa retina orice document ce are legătură cu aceasta activitate, pe o perioadă care nu poate depăși 15 zile, dacă această măsură se impune;

e) sa ia orice alte asemenea măsuri, în limitele legii.

Personalul cu atribuții de control este obligat:

a) sa nu dezvaluie datele de care a luat cunoștința cu ocazia exercitării atribuțiilor sale;

b) sa păstreze confidențialitatea surselor de informații în legătură cu sesizările sau plângerile primite.

Furnizorii de servicii de certificare au obligația de a facilita exercitarea atribuțiilor de control de către personalul anume împuternicit în acest sens.

În cazul neîndeplinirii obligației prevăzute la alin. (1), în afară de aplicarea sancțiunii prevăzute la art. 44 lit. c), autoritatea de reglementare și supraveghere specializată în domeniu va putea sa suspende activitatea furnizorului până la data la care acesta va coopera cu personalul de control.

Dacă în urma controlului efectuat se constata nerespectarea dispozițiilor prezentei legi și a reglementărilor emise de autoritatea de reglementare și supraveghere specializată în domeniu, aceasta va solicita furnizorului de servicii de certificare să se conformeze, în termenul pe care îl va stabili, dispozițiilor legale. În acest caz, autoritatea de reglementare și supraveghere specializată în domeniu poate dispune suspendarea activității furnizorului.

Neîndeplinirea în termenul stabilit a obligației de conformare prevăzute la alin. (1) constituie motiv pentru autoritatea de reglementare și supraveghere specializată în domeniu de a dispune încetarea activității furnizorului de servicii de certificare și radierea acestuia din Registru.

În cazul în care se constata o încălcare grava a dispozițiilor legale, autoritatea de reglementare și supraveghere specializată în domeniu poate dispune direct și imediat încetarea activității furnizorului de servicii de certificare și radierea acestuia din Registru.

În cazul în care dispune încetarea activității unui furnizor de servicii de certificare, autoritatea de reglementare și supraveghere specializată în domeniu va asigura fie revocarea certificatelor furnizorului de servicii de certificare și ale semnatarilor, fie preluarea activității sau cel puțin a registrului electronic de evidenta a certificatelor eliberate și a serviciului de revocare a acestora de către un alt furnizor de servicii de certificare, cu acordul acestuia.

Semnatarii vor fi informati imediat de autoritatea de reglementare și supraveghere specializată în domeniu despre încetarea activității furnizorului, precum și despre revocarea certificatelor sau preluarea acestora de către un alt furnizor.

Dacă activitatea furnizorului de servicii de certificare nu este preluată de către un alt furnizor, furnizorul de servicii de certificare este obligat să asigure revocarea tuturor certificatelor eliberate de el. Autoritatea de reglementare și supraveghere specializată în domeniu va revoca certificatele, pe cheltuiala furnizorului, dacă acesta nu își îndeplinește obligația.

Autoritatea de reglementare și supraveghere specializată în domeniu va prelua și va menține arhivele și registrul electronic de evidenta a certificatelor eliberate de furnizorul de servicii de certificare a cărui activitate nu a fost preluată de către un alt furnizor.

Radierea furnizorilor de servicii de certificare din Registru se efectuează pe baza comunicării făcute de către furnizor autorității de reglementare și supraveghere specializate în domeniu cu cel puțin 30 de zile înainte de data încetării activității sale.

Radierea se poate efectua și din oficiu de către autoritatea de reglementare și supraveghere specializată în domeniu, în situația în care aceasta constata pe orice alta cale ca furnizorul și-a încetat activitatea.

În scopul asigurării unui grad sporit de securitate a operațiunilor și al protejării corespunzătoare a drepturilor și intereselor legitime ale beneficiarilor de servicii de certificare, furnizorii de servicii de certificare care doresc să își desfășoare activitatea ca furnizori acreditați pot solicita obținerea unei acreditari din partea autorității de reglementare și supraveghere specializate în domeniu.

Condițiile și procedura acordării, suspendării și retragerii deciziei de acreditare, conținutul acestei decizii, durata ei de valabilitate, precum și efectele suspendării și ale retragerii deciziei se stabilesc de autoritatea de reglementare și supraveghere specializată în domeniu, prin reglementări, cu respectarea principiilor obiectivitatii, transparenței, proportionalitatii și tratamentului nediscriminatoriu.

Furnizorii de servicii de certificare acreditați în condițiile prezentei legi au dreptul de a folosi o mențiune distinctiva care să se refere la aceasta calitate în toate activitățile pe care le desfășoară, legate de certificarea semnaturilor.

Furnizorii de servicii de certificare acreditați în condițiile prezentei legi sunt obligați să solicite efectuarea unei mențiuni în acest sens în Registru.

Conformitatea dispozitivelor securizate de creare a semnăturii electronice cu prevederile prezentei legi se verifica de către agenții de omologare, persoane juridice de drept public sau de drept privat, agreate de autoritatea de reglementare și supraveghere specializată în domeniu, în condițiile stabilite prin reglementări emise de aceasta.

În urma îndeplinirii procedurii de verificare se emite certificatul de omologare a dispozitivului securizat de creare a semnăturii electronice. Certificatul poate fi retras în cazul în care agenția de omologare constata ca dispozitivul securizat de creare a semnăturii electronice nu mai îndeplinește una dintre condițiile prevăzute în prezenta lege.

Condițiile și procedura de agreare a agentiilor de omologare se stabilesc prin reglementări de către autoritatea de reglementare și supraveghere specializată în domeniu.

(3) Condițiile și procedura de agreare a agentiilor de omologare se stabilesc prin reglementări de către autoritatea de reglementare și supraveghere specializată în domeniu.

Autoritatea de reglementare și supraveghere specializată în domeniu veghează la respectarea, de către agențiile de omologare, a prevederilor prezentei legi, a reglementărilor emise, precum și a dispozițiilor cuprinse în decizia de agreare.

Prevederile art. 31-32 se aplică în mod corespunzător controlului exercitat de autoritatea de reglementare și supraveghere specializată în domeniu asupra activității agentiilor de omologare.