Od 9 czerwca każdy będziemy mogli przesyłać do urzędów dokumenty elektronicznego bez kwalifikowanego podpisu elektronicznego. Umożliwi to profil zaufany ePUAP.

W ten sposób większość obywateli będzie mogła w końcu uzyskać dostęp do elektronicznych usług administracji publicznej o rząd wielkości łatwiej niż dotychczas. Profil zaufany wymaga jednorazowej wizyty w urzędzie w celu potwierdzenia tożsamości. Będzie to usługa bezpłatna, świadczona początkowo przez 400 a docelowo 800 urzędów w całej Polsce. Posiadacze ważnego certyfikatu kwalifikowanego nie będą musieli odwiedzać urzędów bo ePUAP umożliwia im samodzielne poświadczenie swojego profilu zaufanego certyfikatem.

Zobacz również:

• Trwa atak na ePUAP
• Pilne! Atak rosyjskich hakerów na Polskę. Celem giełda, banki i Profil Zaufany
• Rząd Ghany pracuje nad regulacjami dotyczącymi AI

Od 2005 roku główną barierą był przeforsowany w Kodeksie Postępowania Administracyjnego przepis, który dopuszczał składanie pism elektronicznych w sprawach administracyjnych jedynie z podpisem kwalifikowanym. Certyfikaty kwalifikowane w szczytowym okresie posiadało jednak jedynie ok. 1% obywateli, a i to przeważnie dlatego, że do ich zakupu zmusiła ich inna ustawa. Oczywiście ich posiadacze będą mogli nadal wykorzystywać je do podpisywania dokumentów elektronicznych także wszędzie tam gdzie wystarczy podpis profilem zaufanym ePUAP . Certyfikaty kwalifikowane będą nadal niezbędne przy podpisywaniu przez urzędników decyzji administracyjnych, postanowień, zaświadczeń i informacji o sposobach załatwienia skargi.

Z punktu widzenia użytkownika korzystanie z profilu zaufanego (PZ) przypomina metody uwierzytelniania stosowane powszechnie w bankach czy serwisach aukcyjnych. Operacja podpisu odbywa się w przeglądarce. Nie są wymagane zewnętrzne urządzenia (karta, czytnik) ani specjalne sterowniki czy zewnętrzne aplikacje. Profil powinien działać tak samo pod dowolnym systemem operacyjnym i w każdej w miarę nowej przeglądarce.

Korzystanie z PZ jest dodatkowo autoryzowane za pomocą kodu jednorazowego przesyłanego emailem. Poczta elektroniczna jest obecnie jedyną metodą autoryzacji profilu zaufanego wymienioną wprost w rozporządzeniu ale w przyszłości mogą to być dowolne inne środki komunikacji elektronicznej - na przykład SMS. Po stronie systemu podpis PZ jest dodatkowo poświadczany certyfikatem systemowym ePUAP.

Podpis profilem zaufanym nie musi być realizowany wyłącznie z poziomu strony ePUAP jako takiej. System udostępnia podpis jako usługę webową (web service), która może być wywoływana z zewnętrznych aplikacji za pomocą standardowych protokołów i formatów (SOAP, WS-Security). Oczywiście ePUAP udostępnia również w analogiczny sposób usługę weryfikacji podpisu złożonego przy pomocy profilu zaufanego. Od strony technicznej usługi są zgodne ze standardem OASIS Digital Signature Service (DSS), a na stronie ePUAP można znaleźć odpowiednie specyfikacje interfejsowe WSDL.

Profil zaufany, jak już pisaliśmy, można potwierdzić samemu mając certyfikat kwalifikowany. Ale przedłużyć go o kolejne 3 lata można za pomocą samego profilu zanim wygaśnie.

Elektroniczna korespondencja

Poza profilem zaufanym nowa wersja ePUAP udostępnia także szereg usług towarzyszących elektronicznemu obiegowi dokumentów. Przesłanie dokumentu do urzędu może wymagać wniesienia opłaty - jest to możliwe bezpośrednio z poziomu ePUAP, a wnioskodawca otrzyma w takim przypadku Elektroniczne Poświadczenie Opłaty (EPO).

System wystawia również inne rodzaje potwierdzeń, przeznaczone dla poszczególnych stron, i zapewniające każdej z nich niezaprzeczalność wykonania określonych czynności - na przykład złożenia dokumentu (klient urzędu) i udzielenia nań odpowiedzi (urząd). Potwierdzenia te noszą zbiorczą nazwę Urzędowych Poświadczeń Odbioru (UPO). Gdy dokument składa klient, otrzymuje Urzędowe Poświadczenie Przedłożenia (UPP). Gdy urząd na to pismo odpowie klient otrzyma informację, że odpowiedź oczekuje na niego w systemie ePUAP. W celu odebrania odpowiedzi klient musi złożyć swój podpis (np. profilem zaufanym), który stanowi dla urzędu Urzędowe Poświadczenie Doręczenia (UPD). Całość funkcjonuje więc jak znane z korespondencji na papierze "żółte karteczki" (pocztowe poświadczenia odbioru), zapewniając obu stronom komunikacji ochronę przed tłumaczeniami, że "nie doszło" lub "nie dostałem". Tyle, że szybciej i bez papieru.

SSO

System ePUAP może również występować jako dostawca usług tożsamości (identityprovider) w protokole federacji tożsamości. W braku spójnej terminologii jest to określane jako SSO (single sign-on) i w praktyce jest prostsze niż to wynika z opisu.

Z punktu widzenia użytkownika SSO polega na tym, że może się on zalogować do serwisu dowolnego urzędu (np. ZUS) za pomocą konta ePUAP. W praktyce może to wyglądać w ten sposób, że na stronie ZUS wyświetlany będzie przycisk logowania z logiem ePUAP. Po kliknięciu na niego użytkownik zostanie na chwilę przekierowany na stronę ePUAP, gdzie wpisze swój login i hasło, a po poprawnym zalogowaniu zostanie przekierowany z powrotem na stronę ZUS, tym razem już jako zalogowany użytkownik. Wiele osób zna ten mechanizm z serwisów społecznościowych, które umożliwiają np. zalogowaniem się kontem "z Facebooka".

Zaletą SSO z punktu widzenia administracji publicznej jest brak konieczności przechowywania lokalnych rejestrów osobowych, weryfikacji ich poprawności, obsługi haseł i tak dalej. Wszystkie obowiązki związane z zarządzaniem tożsamością spadają w tym przypadku na ePUAP. Użytkownik posługuje się zawsze tym samym mechanizmem uwierzytelnienia i nie musi wciąż wprowadzać tych samych danych osobowych w różnych serwisach urzędów.

Od strony technicznej system SSO jest oparty o standard Security Assertions Markup Language (SAML) a konkretne struktury danych są udokumentowane na stronie ePUAP. Umożliwia on przekazywanie między użytkownikiem, aplikacją urzędu i ePUAP nie tylko informacji uwierzytelniających ale też rozbudowanych zapytań np. o uprawnienia do konkretnych aplikacji.

Równocześnie użycie otwartych interfejsów opartych o SAML i SOAP umożliwia szerokie rozbudowywanie funkcjonalności aplikacji zewnętrznych w zakresie usług udostępnianych przez ePUAP. A nie ograniczają się one tylko do uwierzytelniania i autoryzacji - system udostępnia również dane rejestrowe (np. nazwy miast, urzędów) w postaci list-słowników, które można wykorzystać we własnych aplikacjach.

PZ to nie koniec, to początek

Profil zaufany nie kończy ponad dziesięcioletniego błądzenia polskiej administracji po meandrach informatyzacji, w którym obywatele wydawali się być niespecjalnie istotnym kwiatkiem do kożucha. Po pierwsze, do tworzenia wzorów konkretnych wnosków niezbędnych do realizacji większości procedur są uprawnieni poszczególni ministrowie wskazani w róznych ustawach. Jeśłi nie określą wzorów elektronicznych to nie będzie można realizować tych procedur.

Po drugie, żeby przez ePUAP można było złożyć np. wniosek o pozwolenie na budowę w Tarnowie dziś jest konieczne jest nie tylko aby wzór elektroniczny takiego wniosku określony przez Ministra Infrastruktury znalazł się w centralnym repozytorium wzorów dokumentów elektorniczznych, ale taże by odpowiedni organ lokalny udostępnił formularz umożliwiający stworzenie wniosku zgodnego w tym wzorem i adres elektroniczny umożliwiający jego złożenie.

Na niedawnej konferencji ePUAP w Krakowie można było zobaczyć kilka pionierskich projektów przełamujących kulturę resortowości i dostrzegających obywatela jako uczestnika procesu administracyjnego. O integracji z ePUAP mówili m.in. przedstawiciele Ministerstwa Środowiska, Gospodarki, ZUS i Ministerstwa Finansów. Integrację systemu rekrutacyjnego z ePUAP zapowiedział także Uniwersytet Jagielloński i szereg urzędów samorządowych.

Problemem polskiego sektora publicznego podkreślanym w licznych raportach jest jednak nie tyle brak nowoczesnych technologii w ogóle, co bardzo nierówny poziom wykorzystanie ich przez urzędy przekładający się na nierówny poziom świadczonych usług. Obok urzędów sprawnych i nowoczesnych mamy urzędy będące w istocie organizacyjnymi skansenami przedsiębiorstwa z lat osiemdziesiątych gdy telefaks uznawany był za nowoczesny środek komunikacji. Co ciekawe, i jedne i drugie działają na podstawie tego samego prawa. Efektem jest to że jeśli w całym łańcuszku urzędów procedujących jakiś proces niezbędne będzie uzyskanie jednego zaświadczenia w tradycyjnej postaci papierowej - praktycznie cały proces zostanie w tym miejscu zatrzymany.

Na konferencji w Krakowie zwrócono także uwagę na to, że nawet najnowocześniejszy urząd i nowoczesny obywatel wyposażony w profil zaufany ePUAP nic na to nie poradzą jeśli przepisy prawa będą wymagały od nich wymiany dokumentów w postaci papierowej odręcznie podpisanych. A tak cięgle interpetuje się często stosowane wymaganie zachowania formy pisemnej.

Pomimo wprowadzenia profilu zaufanego nie będzie więc rewolucji w dostępie obywateli do usług elektronicznych bez jednolitych standardów zarządzania administracją publiczną oraz usunięcia ciągnących się od lat kazuistycznych sporów np. co do znaczenia słowa "pisemny", dzięki którym w XXI wieku mogą w administracji istnieć całe enklawy, które po prostu nie przyjmują do wiadomości istnienia nowoczesnych środków komunikacji.

Jednak profil zaufany stwarzając nowe możliwości zapewne przybliży nas do tych usług, ponieważ zniknie podnoszony często argument że nie ma po co tworzyć usług elektronicznych skoro tak mało osób ma kosztowny podpis elektroniczny umożliwiający korzystanie z nich.