Capitolul IIIFurnizarea serviciilor de certificare

Art. 12.

(1) Furnizarea serviciilor de certificare nu este supusă niciunei autorizări prealabile și se desfășoară în concordanță cu principiile concurenței libere și loiale, cu respectarea actelor normative în vigoare.

(2) Furnizarea serviciilor de certificare de către furnizorii stabiliți în statele membre ale Uniunii Europene se face în condițiile prevăzute în Acordul european instituind o asociere între România, pe de o parte, Comunitățile Europene și statele membre ale acestora, pe de altă parte.

Art. 13.

(1) Cu 30 de zile înainte de începerea activităților legate de certificarea semnăturilor electronice persoanele care intenționează să furnizeze servicii de certificare au obligația de a notifica autoritatea de reglementare și supraveghere specializată în domeniu cu privire la data începerii acestor activități.

(2) Odată cu efectuarea notificării prevăzute la alin. (1), furnizorii de servicii de certificare au obligația de a comunica autorității de reglementare și supraveghere specializate în domeniu toate informațiile referitoare la procedurile de securitate și de certificare utilizate, precum și orice alte informații cerute de autoritatea de reglementare și supraveghere specializată în domeniu.

(3) Furnizorii de servicii de certificare au obligația de a comunica autorității de reglementare și supraveghere specializate în domeniu, cu cel puțin 10 zile înainte, orice intenție de modificare a procedurilor de securitate și de certificare, cu precizarea datei și orei la care modificarea intră în vigoare, precum și obligația de a confirma în termen de 24 de ore modificarea efectuată.

(4) În cazurile de urgență, în care securitatea serviciilor de certificare este afectată, furnizorii pot efectua modificări ale procedurilor de securitate și de certificare, urmând să comunice, în termen de 24 de ore, autorității de reglementare și supraveghere specializate în domeniu modificările efectuate și justificarea deciziei luate.

(5) Furnizorii de servicii de certificare sunt obligați să respecte, pe parcursul desfășurării activității, procedurile de securitate și de certificare declarate, potrivit alin. (2), (3) și (4).

Art. 14.

(1) Furnizorul de servicii de certificare va asigura accesul la toate informațiile necesare utilizării corecte și în condiții de siguranță a serviciilor sale. Informațiile respective vor fi furnizate anterior nașterii oricărui raport contractual cu persoana care solicită un certificat sau, după caz, la cererea unui terț care se prevalează de un asemenea certificat.

(2) Informațiile prevăzute la alin. (1) vor fi formulate în scris, într-un limbaj accesibil, și vor fi transmise prin mijloace electronice, în condiții care să permită stocarea și reproducerea lor.

(3) Informațiile prevăzute la alin. (1) vor face referire cel puțin la:

a) procedura ce trebuie urmată în scopul creării și verificării semnăturii electronice;

b) tarifele percepute;

c) modalitățile și condițiile concrete de utilizare a certificatelor, inclusiv limitele impuse utilizării acestora, cu condiția ca aceste limite să poată fi cunoscute de terți;

d) obligațiile care incumbă, potrivit prezentei legi, titularului certificatului și furnizorului de servicii de certificare;

e) existența unei acreditări, dacă este cazul;

f) condițiile contractuale de eliberare a certificatului, inclusiv eventualele limitări ale răspunderii furnizorului de servicii de certificare;

g) căile de soluționare a litigiilor;

h) orice alte informații stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

(4) Furnizorul de servicii de certificare va transmite solicitantului un exemplar al certificatului.

(5) Din momentul acceptării certificatului de către solicitant, furnizorul de servicii de certificare va înscrie certificatul în registrul prevăzut la art. 17.

Art. 15.

(1) Persoanele fizice care prestează, conform legii, în nume propriu, servicii de certificare, precum și personalul angajat al furnizorului de servicii de certificare, persoană fizică sau juridică, sunt obligate să păstreze secretul informațiilor încredințate în cadrul activității lor profesionale, cu excepția celor în legătură cu care titularul certificatului acceptă să fie publicate sau comunicate terților.

(2) Obligația prevăzută la alin. (1) incumbă și personalului autorității de reglementare și supraveghere specializate în domeniu, precum și persoanelor împuternicite de aceasta.

(3) Încălcarea obligației prevăzute la alin. (1) și (2) constituie infracțiune și se pedepsește cu închisoare de la 3 luni la 2 ani sau cu amendă.

Art. 16.

(1) Autoritatea de reglementare și supraveghere specializată în domeniu și furnizorii de servicii de certificare au obligația să respecte dispozițiile legale privitoare la prelucrarea datelor cu caracter personal.

(2) Furnizorii de servicii de certificare nu pot colecta date cu caracter personal decât de la persoana care solicită un certificat sau, cu consimțământul expres al acesteia, de la terți. Colectarea se face doar în măsura în care aceste informații sunt necesare în vederea eliberării și conservării certificatului. Datele pot fi colectate și utilizate în alte scopuri doar cu consimțământul expres al persoanei care solicită certificatul.

(3) Atunci când se utilizează un pseudonim, identitatea reală a titularului nu poate fi divulgată de către furnizorul de servicii de certificare decât cu consimțământul titularului sau la cererea unei autorități publice competente.

Art. 17.

(1) Furnizorii de servicii de certificare au obligația de a crea și de a menține un registru electronic de evidență a certificatelor eliberate.

(2) Registrul electronic de evidență a certificatelor eliberate trebuie să facă mențiune despre:

a) data și ora exactă la care certificatul a fost eliberat;

b) data și ora exactă la care expiră certificatul;

c) dacă este cazul, data și ora exactă la care certificatul a fost suspendat sau revocat, inclusiv cauzele care au condus la suspendare sau la revocare.

(3) Registrul electronic de evidență a certificatelor eliberate trebuie să fie disponibil permanent pentru consultare, inclusiv în regim on-line.

Art. 18.

(1) Certificatul calificat va cuprinde următoarele mențiuni:

a) indicarea faptului că certificatul a fost eliberat cu titlu de certificat calificat;

b) datele de identificare a furnizorului de servicii de certificare, precum și cetățenia acestuia, în cazul persoanelor fizice, respectiv naționalitatea acestuia, în cazul persoanelor juridice;

c) numele semnatarului sau pseudonimul acestuia, identificat ca atare, precum și alte atribute specifice ale semnatarului, dacă sunt relevante, în funcție de scopul pentru care este eliberat certificatul calificat;

d) codul personal de identificare a semnatarului;

e) datele de verificare a semnăturii, care corespund datelor de creare a semnăturii aflate sub controlul exclusiv al semnatarului;

f) indicarea începutului și sfârșitului perioadei de valabilitate a certificatului calificat;

g) codul de identificare a certificatului calificat;

h) semnătura electronică extinsă a furnizorului de servicii de certificare care eliberează certificatul calificat;

i) dacă este cazul, limitele utilizării certificatului calificat sau limitele valorice ale operațiunilor pentru care acesta poate fi utilizat;

j) orice alte informații stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

(2) Fiecărui semnatar i se va atribui de către furnizorul de servicii de certificare un cod personal care să asigure identificarea unică a semnatarului.

(3) Generarea codului personal de identificare și a codului de identificare a certificatului calificat se va face pe baza reglementărilor stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

(4) La solicitarea titularului furnizorul de servicii de certificare va putea înscrie în certificatul calificat și alte informații decât cele menționate la alin. (1), cu condiția ca acestea să nu fie contrare legii, bunelor moravuri sau ordinii publice, și numai după o prealabilă verificare a exactității acestor informații.

(5) Certificatul calificat va indica în mod expres faptul că este utilizat un pseudonim, atunci când titularul se identifică printr-un pseudonim.

Art. 19.

(1) La eliberarea certificatelor calificate furnizorii de servicii de certificare au obligația de a verifica identitatea solicitanților exclusiv pe baza actelor de identitate.

(2) La eliberarea fiecărui certificat calificat furnizorii au obligația să emită două copii de pe acesta, pe suport de hârtie, dintre care un exemplar este pus la dispoziție titularului, iar celălalt este păstrat de către furnizori o perioadă de 10 ani.

Art. 20.

În vederea emiterii certificatelor calificate furnizorii de servicii de certificare trebuie să îndeplinească următoarele condiții:

a) să dispună de mijloace financiare și de resurse materiale, tehnice și umane corespunzătoare pentru garantarea securității, fiabilității și continuității serviciilor de certificare oferite;

b) să asigure operarea rapidă și sigură a înregistrării informațiilor prevăzute la art. 17, în special operarea rapidă și sigură a unui serviciu de suspendare și revocare a certificatelor calificate;

c) să asigure posibilitatea de a se determina cu precizie data și ora exactă a eliberării, a suspendării sau a revocării unui certificat calificat;

d) să verifice, cu mijloace corespunzătoare și conforme dispozițiilor legale, identitatea și, dacă este cazul, atributele specifice ale persoanei căreia îi este eliberat certificatul calificat;

e) să folosească personal cu cunoștințe de specialitate, experiență și calificare, necesare pentru furnizarea serviciilor respective, și, în special, competență în domeniul gestiunii, cunoștințe de specialitate în domeniul tehnologiei semnăturii electronice și o practică suficientă în ceea ce privește procedurile de securitate corespunzătoare; de asemenea, să aplice procedurile administrative și de gestiune adecvate și care corespund standardelor recunoscute;

f) să utilizeze produse asociate semnăturii electronice, cu un înalt grad de fiabilitate, care sunt protejate împotriva modificărilor și care asigură securitatea tehnică și criptografică a desfășurării activităților de certificare a semnăturii electronice;

g) să adopte măsuri împotriva falsificării certificatelor și să garanteze confidențialitatea în cursul procesului de generare a datelor de creare a semnăturilor, în cazul în care furnizorii de servicii de certificare generează astfel de date;

h) să păstreze toate informațiile cu privire la un certificat calificat pentru o perioadă de minimum 10 ani de la data încetării valabilității certificatului, în special pentru a putea face dovada certificării în cadrul unui eventual litigiu;

i) să nu stocheze, să nu reproducă și să nu dezvăluie terților datele de creare a semnăturii, cu excepția cazului în care semnatarul solicită aceasta;

j) să utilizeze sisteme fiabile pentru stocarea certificatelor calificate, astfel încât: numai persoanele autorizate să poată introduce și modifica informațiile din certificate; exactitatea informației să poată fi verificată; certificatele să poată fi consultate de terți doar în cazul în care există acordul titularului acestora; orice modificare tehnică, care ar putea pune în pericol aceste condiții de securitate, să poată fi identificată de persoanele autorizate;

k) orice alte condiții stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

Art. 21.

Furnizorii de servicii de certificare calificată sunt obligați să folosească numai dispozitive securizate de creare a semnăturii electronice.

Art. 22.

(1) Furnizorul de servicii de certificare calificată trebuie să dispună de resurse financiare pentru acoperirea prejudiciilor pe care le-ar putea cauza cu prilejul desfășurării activităților legate de certificarea semnăturilor electronice.

(2) Asigurarea se realizează fie prin subscrierea unei polițe de asigurare la o societate de asigurări, fie prin intermediul unei scrisori de garanție din partea unei instituții financiare de specialitate, fie printr-o altă modalitate stabilită prin decizie a autorității de reglementare și supraveghere specializate în domeniu.

(3) Suma asigurată și suma acoperită prin scrisoarea de garanție sunt stabilite de autoritatea de reglementare și supraveghere specializată în domeniu.

Art. 23.

(1) Orice furnizor de servicii de certificare are obligația de a suspenda certificatul în termen de 24 de ore din momentul în care a luat cunoștință sau trebuia și putea să ia cunoștință despre apariția oricăruia dintre următoarele cazuri:

a) la cererea semnatarului, după o prealabilă verificare a identității acestuia;

b) în cazul în care o hotărâre judecătorească dispune suspendarea;

c) în cazul în care informațiile conținute în certificat nu mai corespund realității, dacă nu se impune revocarea certificatului;

d) în orice alte situații care constituie cazuri de suspendare a certificatelor eliberate, potrivit procedurilor de securitate și de certificare declarate de furnizor în baza art. 13.

(2) Orice furnizor de servicii de certificare are obligația de a revoca certificatul în termen de 24 de ore din momentul în care a luat cunoștință sau trebuia și putea să ia cunoștință despre apariția oricăruia dintre următoarele cazuri:

a) la cererea semnatarului, după o prealabilă verificare a identității acestuia;

b) la decesul sau instituirea tutelei speciale cu privire la semnatar;

(la 18-08-2022, Litera b) din Alineatul (2) , Articolul 23 , Sectiunea a 3-a , Capitolul III a fost modificată de Articolul 11, Capitolul III din LEGEA nr. 140 din 17 mai 2022, publicată în MONITORUL OFICIAL nr. 500 din 20 mai 2022 )

c) în cazul în care o hotărâre judecătorească definitivă dispune revocarea;

d) dacă se dovedește în mod neîndoielnic că certificatul a fost emis în baza unor informații eronate sau false;

e) în cazul în care informațiile esențiale conținute în certificat nu mai corespund realității;

f) atunci când confidențialitatea datelor de creare a semnăturii a fost încălcată;

g) în cazul în care certificatul a fost utilizat în mod fraudulos;

h) în orice alte situații care constituie cazuri de revocare a certificatelor eliberate, potrivit procedurilor de securitate și de certificare declarate de furnizor în baza art. 13.

(3) Furnizorul de servicii de certificare îl va informa de urgență pe titular despre suspendarea sau revocarea certificatului, împreună cu motivele care au stat la baza deciziei sale.

(4) Furnizorul de servicii de certificare va înscrie mențiunea de suspendare sau de revocare a certificatului în registrul electronic de evidență a certificatelor eliberate prevăzut la art. 17, în termen de 24 de ore din momentul în care a luat cunoștință sau trebuia și putea să ia cunoștință despre adoptarea deciziei respective.

(5) Suspendarea sau revocarea va deveni opozabilă terților de la data înscrierii sale în registrul electronic de evidență a certificatelor.

Art. 24.

(1) În cazul în care furnizorul de servicii de certificare intenționează să înceteze activitățile legate de certificarea semnăturilor electronice sau află că va fi în imposibilitate de a continua aceste activități, el va informa, cu cel puțin 30 de zile înainte de încetare, autoritatea de reglementare și supraveghere specializată în domeniu despre intenția sa, respectiv despre existența și natura împrejurării care justifică imposibilitatea de continuare a activităților.

(2) Furnizorului de servicii de certificare îi revine obligația ca, în situația în care se află în imposibilitate de a continua activitățile legate de certificarea semnăturilor electronice și nu a putut prevedea această situație cu cel puțin 30 de zile înainte ca încetarea activităților să se producă, să informeze autoritatea de reglementare și supraveghere specializată în domeniu, în termen de 24 de ore din momentul în care a luat cunoștință sau trebuia și putea să ia cunoștință despre imposibilitatea continuării activităților. Informarea trebuie să se refere la existența și natura împrejurării care justifică imposibilitatea de continuare a activităților.

(3) Furnizorul de servicii de certificare poate transfera, în tot sau în parte, activitățile sale unui alt furnizor de servicii de certificare. Transferul va opera potrivit următoarelor condiții:

a) furnizorul de servicii de certificare va înștiința fiecare titular de certificate neexpirate, cu cel puțin 30 de zile înainte, despre intenția sa de transferare a activităților legate de certificarea semnăturilor electronice către un alt furnizor de servicii de certificare;

b) furnizorul de servicii de certificare va menționa identitatea furnizorului de servicii de certificare căruia intenționează să îi transfere activitățile sale;

c) furnizorul de servicii de certificare va face cunoscute fiecărui titular de certificat posibilitatea de a refuza acest transfer, precum și termenul și condițiile în care refuzul poate fi exercitat; în lipsa unei acceptări exprese a titularului, în termenul precizat de furnizorul de servicii de certificare, certificatul va fi revocat de către acesta din urmă.

(4) Furnizorul de servicii de certificare, aflat în unul dintre cazurile prevăzute la alin. (1) și (2), ale cărui activități nu sunt preluate de un alt furnizor de servicii de certificare, va revoca certificatele în termen de 30 de zile de la data înștiințării titularilor de certificate și va lua măsurile necesare pentru asigurarea conservării arhivelor sale, precum și pentru asigurarea prelucrării datelor personale, în condițiile legii.

(5) Sunt considerate cazuri de imposibilitate de continuare a activităților legate de certificarea semnăturilor electronice, în înțelesul prezentului articol, dizolvarea sau lichidarea, voluntară ori judiciară, falimentul, precum și orice altă cauză de încetare a activității, cu excepția aplicării sancțiunilor prevăzute la art. 33 alin. (2) și (3).