Az elektronikus aláírás hatályos szabályai (Dr. Juhász László)

Az elektronikus aláírás szabályai nem újak, a hatályos szabályozás mégsem eléggé ismert. Emiatt indokolt áttekinteni az elektronikus aláírásra vonatkozó előírásokat, melyeket a Dáptv., s a legrészletesebben a digitális szolgáltatások, a digitális állampolgárság szolgáltatások és támogató szolgáltatások részletes műszaki követelményeiről szóló 322/2024. (XI. 6.) Korm. rendelet (DápVhr3) tartalmaz.

Az elektronikus aláírás fogalma:

Az elektronikus aláírás fogalmát sok forrásból szerezhetjük be. Beidézzük a Közszolgálat Online lexikon, valamint a Wikipédia fogalom meghatározását, melyek az eIDAS rendelet szabályainak a felhasználásával születtek. Az utóbbi sokkal részletesebb fogalmakat ad az elektronikus aláírások típusairól.

Az elektronikus aláírás a Közszolgálati Online Lexikon alapján
Közszolgálati Online Lexikon: Az elektronikus aláírás olyan elektronikus adat, amelyet más elektronikus adatokhoz csatolnak, illetve logikailag hozzárendelnek, és amelyet az aláíró aláírásra használ. Létrehozásához szükség van egy kulcspárra. Az e-aláírásnak több fajtája van:

• minősített e-aláírás és
• minősített tanúsítványon alapuló fokozott biztonságú e-aláírás.
• fokozott biztonságú e-aláírás,
• egyszerű e-aláírás,

Az egyszerű elektronikus aláírások semmiféle technológiai biztonságot nem nyújtanak, az aláíró személyét csak alig valószínűsítik, a dokumentum tartalmára pedig egyáltalán nem utalnak.
E-ügyintézéshez legalább fokozott biztonságú és közigazgatási követelményeknek megfelelő e-aláírás szükséges. Az elektronikus aláírás – mint eljárás – egy hitelesítési folyamat, amely során az elektronikusan aláíró személy az adott dokumentum tekintetében az adott időpontban aláírásával igazolja a dokumentum tartalmának valódiságát. Ezután a dokumentum – a hitelesség megóvása érdekében – megváltoztathatatlan állapotba kerül.

Az elektronikus aláírás a Wikipédia alapján
Az elektronikus aláírás fogalma Wikipédia: Az elektronikus aláírás olyan kriptográfiai eljárás, amelynek segítségével joghatás kiváltására alkalmas, akár a kézzel írott aláírással vagy a közjegyző előtt tett aláírással egyenértékű bizonyító erejű dokumentum hozható létre a hatályos jogszabályok – elsősorban az eIDAS rendelet és a Dáptv. – szerint. Az elektronikus aláírás a digitális aláíráshoz hasonló fogalom, ám míg a digitális aláírás elsősorban a technológiát, az elektronikus aláírás a technológia mellett a jogi fogalmat is jelenti.
Az eIDAS rendelet – elődjével ellentétben – nem kizárólag elektronikus aláírásokról, hanem úgynevezett bizalmi szolgáltatásokról rendelkezik, amelyek egyike az elektronikus aláírás. A rendelet a bizalmi szolgáltatásokat három fő kategóriába sorolja:

• elektronikus aláírások, elektronikus bélyegzők vagy elektronikus időbélyegzők, ajánlott elektronikus kézbesítési szolgáltatások, valamint az ilyen szolgáltatásokhoz kapcsolódó tanúsítványok létrehozása, ellenőrzése és érvényesítése;
• weboldal-hitelesítő tanúsítványok létrehozása, ellenőrzése és érvényesítése;
• elektronikus aláírások, bélyegzők vagy az ilyen szolgáltatásokhoz kapcsolódó tanúsítványok megőrzése;

Az elektronikus aláírások típusai

• Minősített elektronikus aláírás
• Minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás
• Fokozott biztonságú elektronikus aláírás 
• Egyszerű elektronikus aláírás

Minősített elektronikus aláírás
Az eIDAS rendelet meghatározása szerint a minősített elektronikus aláírás olyan fokozott biztonságú elektronikus aláírás, amely minősített tanúsítványon alapul, és amelyet minősített aláírást létrehozó eszköz (pl. egy speciális minősítésű intelligens kártya avagy chipkártya) segítségével hoztak létre. A minősített elektronikus aláírás a legmagasabb biztonsági szintű elektronikus aláírás, műszaki hátterét tekintve minden esetben kriptográfiai technológiákra – jellemzően nyilvános kulcsú infrastruktúrára (PKI) és X.509 tanúsítványokra – épül. Minősített tanúsítványt kizárólag minősített bizalmi szolgáltató bocsáthat ki. Ennek kapcsán az eIDAS rendelet egyik fontos követelménye, hogy a szolgáltató megfelelő eszközökkel (pl. személyes jelenlét útján) és a nemzeti jogszabályokkal összhangban ellenőrizze annak a személynek az azonosságát, akinek a részére a minősített tanúsítványt kibocsátja. Ha a minősített hitelesítés szolgáltató hibát követ el a tanúsítvány kibocsátása vagy menedzsmentje során, felelős az ebből eredő károkért. Ha egy dokumentumon minősített elektronikus aláírás szerepel, vélelmezni kell, hogy

• a dokumentum tartalma az aláírás készítése óta nem változott meg, és
• a biztonságos aláírást létrehozó eszköz (és a rajta lévő aláírás-létrehozó adat / magánkulcs) az aláírás készítésének pillanatában az aláíró kizárólagos befolyása alatt volt.

A polgári perrendtartásról szóló törvény szerint a minősített elektronikus aláírással hitelesített okirat teljes bizonyító erejű magánokirat. Amennyiben a minősített aláírást közokirat kiállítására jogosult fél készítette, és teljesülnek a közokiratra vonatkozó követelmények, akkor a minősített elektronikus aláírással ellátott dokumentum közokirat.

Pp. 323. § [A közokirat] 
(1) A közokirat olyan papír alapú vagy elektronikus okirat, amelyet bíróság, közjegyző vagy más hatóság, illetve közigazgatási szerv ügykörén belül, a jogszabályi rendelkezéseknek megfelelő módon állított ki.
(2) A közokiratot az ellenkező bizonyításáig valódinak kell tekinteni, a bíróság azonban az okirat kiállítóját hivatalból is felhívhatja nyilatkozattételre az okirat valódisága tekintetében.
(3a) Az elektronikus közokirat teljes bizonyító erővel bizonyítja a közokirat aláírása pillanatában a kiállító személynek a Dáptv. szerinti szerepkörét, ha a szerepkört a szerepkör-tanúsító szolgáltató szerepkör-tanúsítványban igazolta.
(3b) Elektronikus közokirat esetében jogszabály a (3a) bekezdéstől eltérő módon is lehetővé teheti a Dáptv. szerinti szerepkör teljes bizonyító erejű igazolását.
(4) Elektronikus közokirat kiállításához az is szükséges, hogy a közokirat kiállítására jogosult az elektronikus okiraton – ha jogszabály eltérően nem rendelkezik – minősített vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírást vagy bélyegzőt, és amennyiben jogszabály így rendelkezik időbélyegzőt helyezzen el.

Pp. 325. § [A teljes bizonyító erejű magánokirat]
(1) Teljes bizonyító erejű a magánokirat, ha
f) az elektronikus okiraton az aláíró a minősített vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírását vagy bélyegzőjét helyezte el, és – amennyiben jogszabály úgy rendelkezik – azon időbélyegzőt helyez el,
h)  olyan, törvényben vagy kormányrendeletben meghatározott szolgáltatás, vagy zárt rendszerben alkalmazott, tanúsított bizalmi szolgáltatás keretében jött létre, ahol a szolgáltató az okiratot a kiállító azonosításán keresztül a kiállító személyéhez rendeli és a személyhez rendelést a kiállító saját kezű aláírására egyértelműen visszavezethető adattal együtt vagy az alapján hitelesen igazolja; továbbá a szolgáltató az egyértelmű személyhez rendelésről kiállított igazolást elektronikus dokumentumba kapcsolt, elválaszthatatlan záradékba foglalja és azt az okirattal együtt legalább minősített tanúsítványon alapuló fokozott biztonságú elektronikus bélyegzővel és minősített időbélyegzővel látja el,
i)  – törvény eltérő rendelkezése hiányában – a kiállító szóbeli nyilatkozatát a Dáptv. szerinti elektronikus ügyintézést biztosító szerv vagy a szolgáltatás használatára jogosult egyéb szerv a Kormány rendeletében meghatározottak szerint mesterséges intelligenciával támogatott szolgáltatás szerint írásbeli formátumba alakította, az írásbeli formátumba alakított nyilatkozat tervezetét a kiállító jóváhagyta, és dokumentum a Kormány rendeletében meghatározottak szerint hitelesítve lett,
j) a dokumentumot Dáptv. szerinti digitális szolgáltatás nyújtása során a digitális állampolgárság szolgáltató hitelesítette.
(3) A teljes bizonyító erejű magánokirat az ellenkező bizonyításáig teljes bizonyító erővel bizonyítja, hogy az okirat aláírója az abban foglalt nyilatkozatot megtette, illetve elfogadta vagy magára kötelezőnek ismerte el.

A minősített elektronikus aláírás az Európai Unió teljes területén elfogadott, ugyanis az eIDAS rendelet kimondja, hogy: „a valamely tagállamban kibocsátott minősített tanúsítványon alapuló minősített elektronikus aláírást az összes többi tagállamban el kell ismerni minősített elektronikus aláírásként”, valamint azt is, hogy „a minősített elektronikus aláírás a saját kezű aláírással azonos joghatású”.

Minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás
Ez az e-aláírás típus a fent ismertetett minősített elektronikus aláírás és a következő pontban leírt fokozott biztonságú e-aláírás „között” helyezkedik el. Erősségét alapvetőn az adja, hogy ez is minősített tanúsítványon alapul (amit csak a legszigorúbb követelményeket teljesítő minősített szolgáltatók bocsáthatnak ki), ennyiben hasonlít a minősített aláírásra. Különbség viszont, hogy ehhez az aláíráshoz nem szükséges minősített aláírást létrehozó eszköz használata (ahogy a fokozott biztonságú e-aláíráshoz sem).
Ez az e-aláírás típus az eIDAS rendeletben is megjelenik, de a rendelet nem fűz hozzá lényegi joghatást, ellentétben a hazai jogrenddel, ahol viszont ugyanolyan erős joghatása van, mint a minősített e-aláírásnak. A polgári perrendtartásról szóló törvény ugyanis úgy fogalmaz, hogy a „minősített, vagy minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírással hitelesített okirat teljes bizonyító erejű magánokiratnak minősül”. Megjegyzendő ugyanakkor, hogy ez a jogszabályi rendelkezés kizárólag Magyarországon belülre vonatkozik, azaz a minősített tanúsítványon alapuló fokozott biztonságú elektronikus aláírás csak itthon egyenértékű a minősített e-aláírással; az EU-ban továbbra is csak a minősített e-aláírást fogadják el a kézi aláírással egyenértékűnek.

Fokozott biztonságú elektronikus aláírás
A fokozott biztonságú elektronikus aláírás a minősítettnél alacsonyabb biztonsági szintet képvisel, sokkal kevesebb szabály vonatkozik rá. Például, egy fokozott biztonságú elektronikus aláírás esetén:

• nem feltétlenül történt személyes azonosítás,
• az aláírást létrehozó adatot nem feltétlenül védi intelligens kártya,
• a bizalmi szolgáltató nem feltétlenül vállal felelősséget a tanúsítványért stb.

Az eIDAS rendelet szerint a fokozott biztonságú elektronikus aláírás olyan elektronikus aláírás, amely megfelel az alábbi követelményeknek:

• kizárólag az aláíróhoz köthető
• alkalmas az aláíró azonosítására
• olyan, elektronikus aláírás létrehozásához használt adatok felhasználásával hozzák létre, amelyeket az aláíró nagy megbízhatósággal kizárólag saját maga használhat
• olyan módon kapcsolódik azokhoz az adatokhoz, amelyeket aláírtak vele, hogy az adatok minden későbbi változása nyomon követhető

A fokozott biztonságú aláírás is általában kriptográfiai megoldásokra épül, és a szükséges követelmények műszaki szempontból akár PGP segítségével is teljesíthetők, ugyanakkor az eIDAS rendelet értelmezése alapján a fokozott biztonsági elektronikus aláírás is bizalmi szolgáltatóhoz köthető (a fokozott biztonságú e-aláíráshoz kapcsolódó tanúsítványt csak bizalmi szolgáltató állíthat ki).
A fokozott biztonságú elektronikus aláírással hitelesített dokumentum megfelel az írásba foglaltság követelményeinek, de nem kapcsolódik hozzá a minősített szolgáltatásokra megállapított fenti vélelem.
Nem közismert a PGP fogalma, ezért beidézem a Wikipédia által írtakat: A PGP (Pretty Good Privacy) egy számítógépes program, ami titkosításra és hitelesítésre egyaránt használható. A program első verzióját Philip R. Zimmermann készítette el 1991-ben. Ma a PGP a világon az egyik legnépszerűbb mód arra, hogy adatainkat megvédjük a kíváncsi szemek elől. A PGP alapján később létrehozták az OpenPGP előírásokat a kódoláshoz és a dekódoláshoz így ma már számos szoftver kínál ilyen szolgáltatást. Ilyenek például: Patrick Townsend & Associates, Authora Inc., EasyByte Cryptocx, Veridis, és a GNU Privacy Guard(wd).

„Egyszerű” elektronikus aláírás
Az eIDAS rendelet szerint létezhet olyan elektronikus aláírás is, amely nem felel meg a fokozott biztonságú aláírás követelményeinek sem. A rendelet szerint az elektronikus aláírás „olyan elektronikus adat, amelyet más elektronikus adatokhoz csatolnak, illetve logikailag hozzárendelnek, és amelyet az aláíró aláírásra használ”. Látható, hogy a jogszabályi meghatározás alapján az „egyszerű” elektronikus aláíráshoz nincs szükség semmilyen speciális eszközre, sem pedig szolgáltató igénybe vételére, így ennek bármi megfelelhet, pl. az is, hogy az email végére egyszerűen odaírjuk a nevünket. Ennek megfelelően az egyszerű elektronikus aláírásnak lényegében semmilyen joghatása nincs, erről a rendelet mindössze annyit állít, hogy a bíróság nem utasíthatja el önmagában azért, mert elektronikus formában létezik.

 

Az elektronikus aláírás hatályos szabályai (dr. Juhász László)