Електронско пословање – регулатива и пракса

Циљ овог текста је кратак осврт на законодавни оквир који регулише електронско пословање у земљи, као и да укаже на неке новине које је донео нови закон који регулише област електронског пословањa у Републици Србији и да се дефинишу и поједноставе основни појмови електронског пословања.

Домаћи законодавни оквир

Законодавни оквир електронског пословања код нас је Закон о електронском документу, електронској идентификацији и услугама од поверења у електронском пословању („Сл. гласник РС”, бр. 94/2017 – у даљем тексту: Закон). Основни циљ Закона је да се омогући и подстакне брже и ефикасније пословање и смањење трошкова пословања, да се развије тржиште услуга од поверења и модернизује и, услед тога, учини ефикаснијим рад органа јавних власти и привредних субјеката, затим да се омогући грађанима лакши и сигурнији приступ услугама органа државне управе и других субјеката и приступ већем броју наведених услуга, као и поуздано чување електронских докумената, што ће допринети смањењу трошкова за чување документације.

Посебни циљеви законског уређивања састоје се у томе да се правним уређењем ове материје отвори простор за интензивније електронско пословање, затим да се створи поверење најшире јавности у употребу и размену електронских докумената и употребу услуга од поверења у електронском пословању, као и да се постигне конкурентност на светским тржиштима.

Основни инструменти и појмови електронског пословања – законске дефиниције и објашњење појмова

– Електронско или е-пословање

Закон дефинише електронско пословање као употребу података у електронском облику, средстава електронске комуникације и електронске обраде података у обављању послова физичких и правних лица.

Док је електронски облик података дефинисан као дигитални запис података погодан за електронску обраду и пренос путем средстава електронске комуникације, електронска трансакција је пословна активност између две или више страна, кoја се обављa електронским путем.

Е-пословање може да се дефинише и као употреба информационих и комуникационих технологија (ICT – Information and Communications Technologies) за извршавање свих елемената пословних активности, односно примену у виду подршке свим пословним активностима.

Е-пословање комбинује технологију, процесе, организацију и другачији начин размишљања, односно укључује технологију како би променило и аутоматизовало постојеће пословне активности. Такође, е-пословање омогућава стварање додатних вредности кроз повезивање пословних процеса, спајање информација, токова података и докумената у јединствену пословну целину, заједно с добављачима и партнерима.

За размену података у моделима е-пословања усвојени су технички стандарди како би се осигурало да различити системи могу међусобно да комуницирају.

– Интегритет, идентитет, аутентичност и претпоставка непорецивости

Интегритет података може да се дефинише као математички алгоритам који формира отисак документа и обезбеђује непроменљивост података, изузев од стране власника податка.

Аутентичност потписа или печата обезбеђује се коришћењем кључева или других криптоалата. Аутентичност гарантује да је извор информације онај учесник у комуникацији који је и потписао исту, односно да је идентитет потписника онај који се и користи за потписивање.

Идентитет потписника односно печатиоца у ствари је електронски сертификат издат потписнику односно печатиоцу.

Претпоставка непорецивости је полазна претпоставка која каже да једино потписник може да активира средство за потписивање. Подаци за форматирање потписа могу да се употребе једино уз помоћ активираног средства за потписивање. Валидан сертификат утврђује тачну везу између података за проверу и идентитет потписника. Употребљени криптографски алгоритам осигурава да потпис може да настане једино употребом података за формирање.

– Време потписивања

Време потписивања је још један електронски документ који потписује издавалац сертификата и повезује податке за проверу потписа са идентитетом. Време потписивања ствара ланац поверења и има рок важења.

Дуготрајно чување је поступак који обезбеђује да валидан потпис задржи своје својство валидности у односу на утврђено време потписивања.

– Аутентикација

Аутентикација је процес провере идентитета правног лица, физичког лица или физичког лица у својству регистрованог субјекта, укључујући проверу интегритета и порекла података за које се претпоставља да их је то лице створило односно послало.

Аутентикација се врши у свим случајевима када се спроводи провера идентитета корисника услуге електронске идентификације (путем корисничког имена и шифре или путем додатне лозинке послате на СМС) и у случајевима провере података које генерише корисник услуга од поверења (електронски потпис, електронски печат, електронска достава, аутентикација веб-сајтова). Дакле, аутентикација се не односи само на аутентикацију веб-сајтова.

Аутентикација се врши тако што се подаци које креира корисник путем средстава електронске идентификације, односно средстава за креирање електронског потписа, упарују са подацима за валидацију којима се врши провера идентитета корисника.

На пример, када се аутентикујемо за приступ одређеном сајту путем корисничког имена и шифре, повезивањем на систем пружаоца услуга електронске идентификације, подаци за идентификацију (корисничко име/шифра) упарују се са подацима за валидацију које поседује пружалац услуге електронске идентификације. Уколико се подаци слажу, корисник добија могућност приступа систему.

Уколико не користи електронски потпис, већ неке друге идентификационе податке, провера се врши на идентичан начин као код електронског потписа.

На пример, код електронског печата упарују се подаци за печат које је креирао корисник (приватни кључ) са подацима (јавни кључ) које поседује сертификационо тело (пружалац услуге од поверења), након чега сертификационо тело потврђује да је одређени документ отворен од стране лица које поседује електронски печат.

– Идентификациони подаци

Идентификациони подаци представљају скуп података на основу којих је могуће једнозначно утврдити идентитет правног лица, физичког лица или физичког лица у својству регистрованог субјекта.

Идентификациони подаци су подаци који се у оквиру услуге електронске идентификације користе за утврђивање идентитета корисника – име и презиме физичког лица, односно назив правног лица, корисничко име, лозинка и други подаци. Идентитет мора да буде утврђен једнозначно, што значи да је неопходно утврдити да је скуп идентификационих података јединствен за једног корисника.

Пружалац услуге гарантује за поузданост и веродостојност идентификационих података, а обавеза проверавања од стране других учесника није прописана.

Увидом у валидан сертификат други учесник може да прочита идентификационе податке првог учесника, за чију веродостојност и поузданост гарантује пружалац услуге од поверења.

Не постоји обавеза креирања и усвајања интерног акта којим би се утврдили/креирали идентификациони подаци правног лица.

Електронски идентификациони подаци (нпр. корисничко име, шифра, име и презиме, назив фирме) могу да  се користе у шемама електронске идентификације.

– Електронска идентификација

Електронска идентификација је поступак коришћења личних идентификационих података у електронском облику који једнозначно одређују правно лице, физичко лице или физичко лице у својству регистрованог субјекта.

Поступак електронске идентификације врши се тако што се подаци за идентификацију (нпр. корисничко име, шифра, додатна лозинка која се доставља преко СМС-а или лозинка из токена) повезују са одговарајућим подацима које поседује пружалац услуге електронске идентификације, након чега се утврђује идентитет особе која се пријављује на систем.

На пример, када неко жели да изврши плаћање преко портала е-банкарство, потребно му је корисничко име, лозинка и додатна лозинка која се шаље преко СМС-а, на основу које пружалац услуга електронске идентификације (банка или компанија коју је унајмила банка) проверава идентитет лица које користи услугу.

Средство електронске идентификације је материјално односно нематеријално средство које садржи идентификационе податке, којим се доказује идентитет приликом аутентикације.

Примери електронске идентификације су:

– корисничко име;

– корисничко име, шифра и додатна лозинка која се шаље путем СМС-а;

– читач за биометријску аутентикацију (аутентикација путем биометријског потписа, отиска прста и др.);

-„паметне” картице које се употребљавају заједно са читачем картица;

– сим-картице које служе као средство идентификације и др.

– Електронски документ

Електронски документ садржи унутрашњу и спољну форму приказа. Унутрашња форма приказа састоји се од техничко-програмске форме записивања садржине електронског документа. Спољна форма приказа састоји се од визуелног или другог разумљивог приказа садржине електронског документа. Спољна форма може бити приказана на екрану, одштампана на папиру и сл.

Формат записа документа, између осталог, одређује како се од унутрашње форме долази до спољне.

Електронски документ може бити записан чак и на папиру.

Електронски документ је скуп података састављен од слова, бројева, симбола, графичких, звучних и видео материјала, у електронском облику. Електронски облик података је дигитални запис података погодан за електронску обраду и пренос путем средстава електронске комуникације.

Електронском документу не може да се оспори пуноважност, доказна снага, као ни писана форма, само зато што је у електронском облику.

Електронски документ који има истоветан дигитални запис оригиналном електронском документу сматра се оригиналом.

Копија електронског документа на папиру израђује се штампањем спољне форме електронског документа.

Електронски документ који је настао дигитализацијом изворног документа чија форма није електронска, сматра се копијом изворног документа.

Оригинални електронски документ јесте онај електронски документ који је изворно сачињен у електронском облику употребом информационе технологије (на пример у Word-у).

Електронски документ не мора обавезно да буде оригиналан електронски документ.

На пример, електронски документ може да буде сачињен тако што се дигитализује (скенира) папирни документ и тада се дигитализовани примерак папирног документа сматра копијом (уколико није оверен у складу са Законом).

Уколико је електронски документ направљен у Word-у на пример и подложан је измени, односно његов садржај није закључан, ради се о електронском документу, а чињеница да свако може да га измени, односно да такав документ није довољно поуздан у смислу поверења у идентитет особе која га је сачинила, није од значаја за одређивање поменутог документа као електронског.

Електронски документ не мора да садржи идентификационе податке. С друге стране, када корисник жели да буде идентификован или када је неопходно да буде идентификован у електронском пословању, користе се одговарајуће шеме електронске идентификације, односно услуге од поверења.

Одредбама члана 50. и 51. Закона уређена су правна дејства квалификованог електронског потписа, односно печата. Електронски документ може да садржи само идентификационе податке, али у случајевима када се тражи потпис или печат на одређеном документу, такав документ нема исто правно дејство као документ са квалификованим електронским потписом и квалификованим електронским печатом. Међутим, када се потпис и печат не траже као обавезни елементи документа (на пример чланом 25. став 4. Закона о привредним друштвима („Сл. гласник РС”, бр. 125/2004, 36/2011 – др. закон, 5/15, 44/18) прописано је да од 1. октобра 2018. године не постоји обавеза привредног друштва да употребљава печат у пословним писмима и другим документима друштва), електронски документ може да садржи само идентификационе податке, без електронског потписа или печата.

Одредба Закона која каже да се „електронски документ који има истоветан дигитални запис оригиналном електронском документу сматра оригиналом” указује на чињеницу да оригинални електронски документ може да има више примерака (на пример тако што се копира или шаље другом лицу). Услед тога предвиђено је да сваки оригинални електронски документ има исту правну снагу.

На пример, када се оригинални електронски документ пренесе на УСБ и када се примерак оригиналног електронског документа након тога налази и на рачунару и на УСБ-у, оба документа сматрају се оригиналима.

Потврда о пријему електронског документа може да буде дата одговорном примаоцу електронске поруке (мејла), али и аутоматским одговором путем сервера, односно путем услуге електронске доставе.

– Електронски потпис

Пре објашњења појма електронског потписа може бити користан осврт на основне појмове и методе које се баве очувањем тајности информација, а све у циљу бољег разумевања дефиниције потписника, дате у члану 2. Закона, која гласи: „Потписник је физичко лице које је креирало електронски потпис и чији су идентификациони подаци наведени у сертификату на основу кога је креиран тај електронски потпис, то јест сертификату којим се потврђује веза између идентитета тог потписника и података за валидацију електронског потписа који одговарају подацима за креирање електронског потписа које је потписник користио при креирању тог електронског потписа.”

У наредном делу текста биће објашњени неки од основних појмова који се користе у науци која се назива криптографија и бави се методама очувања тајности информација.

Шифра и дигитални потпис су криптографске технике које се користе да би се имплементирали безбедносни сервиси. Основни елемент који се користи назива се шифарски систем или алгоритам шифровања. Сваки шифарски систем обухвата пар трансформација података, које се називају шифровање и дешифровање. Шифровање је процедура која трансформише оригиналну информацију (отворени текст) у шифроване податке (шифрат). Обрнут процес, дешифровање, реконструише отворени текст на основу шифрата. Приликом шифровања се, поред отвореног текста, користи и једна независна вредност која се назива кључ шифровања. Слично томе, трансформација за дешифровање користи кључ дешифровања. Број симбола који представљају кључ (дужина кључа) зависи од шифарског система и представља један од параметара сигурности тог система.

Приликом симетричне енкрипције користи се исти кључ и за шифровање и за дешифровање. Баш због тога је разноврсност, а самим тим и сигурност алгоритама овакве енкрипције велика. Битан фактор је и брзина – симетрична енкрипција је веома брза. Поред свих предности које има на пољу сигурности и брзине алгоритма, постоји и један велики недостатак наведене енкрипције. Како пренети тајни кључ? Проблем је у томе што, ако се тајни кључ пресретне, порука може да се прочита. Зато се овај тип енкрипције најчешће користи приликом заштите података које не делимо са другима (шифру зна само једна особа и њу није потребно слати другоме).

На пример, закључавање једног Word документа коришћењем лозинке којом се документ закључава и откључава представља симетричну криптографију, односно документ је могуће отворити само уношењем лозинке односно кључа. Симетрична криптографија може да се представи и на следећи начин:

– ја и она знамо кључ и нико други не сме да га зна (где је кључ лозинка која отвара Word документ);

– само она може да откључа оно што сам ја закључао;

– само сам ја могао да закључам оно што је она откључала (аутентичност и идентитет).

За разлику од симетричне, асиметрична криптографија користи два кључа — јавни и приватни. Принцип је следећи: у исто време праве се приватни и одговарајући јавни кључ. Јавни кључ се даје особама које шаљу шифроване податке. Помоћу њега те особе шифрују поруку коју желе да пошаљу. Када прималац добије шифрат, дешифрује га помоћу свог приватног кључа. На тај начин сваки прималац има свој приватни кључ, а јавни може да се дâ било коме пошто се користи само за шифровање, а не и дешифровање.

Предност овог начина шифровања је у томе што не мора да се брине о случају да неко пресретне јавни кључ, јер помоћу њега може само да шифрује податке. Такође, програми са оваквим начином шифровања имају опцију да потписују електронске документе.

На пример, асиметрична криптографија може да се представи и на следећи начин:

– свој приватни кључ знам само ја и чувам га да га нико други не сазна;

– свој јавни кључ дајем другима, они треба да су сигурни чији је јавни кључ који имају;

– ако је закључано једним кључем, откључава се другим кључем;

– закључавањем јавним кључем и откључавањем приватним кључем постиже се тајност (само ја могу да откључам оно што су други закључали мојим јавним кључем и тиме наменили само мени да могу да видим);

– закључавањем приватним кључем и откључавањем јавним кључем постиже се интегритет и аутентичност (само сам ја могао да закључам оно што други могу да откључају мојим јавним кључем).

Отисак прста закључан приватним кључем представља електронски потпис. Отисак прста документа добија се применом хеш-алгоритма. Ако отисак прста није промењен, практично се може бити сигуран да ни документ није промењен. За проверу електронског потписа користи се јавни кључ: када се потпис откључа јавним кључем, треба да се добије отисак прста датог документа.

Да би ико имао информацију о пошиљаоцу потписаног документа, треба да зна коме припада јавни кључ, односно од сваког ко му шаље потписане документе претходно поузданим каналом мора да добије његов јавни кључ.

Одређено лице од сертификационог тела добија електронски сертификат, који је потврда да одређени јавни кључ припада одређеном лицу које поседује приватни кључ. Ако се верује сертификационом телу, не мора са сваким појединачно да се размењују јавни кључеви.

– Електронско потписивање и печатирање „у облаку”

Посебна новина у нашој регулативи је тзв. електронски печат/потпис „у облаку”, који се издајe путем услуге управљања квалификованим средством за креирање електронског потписа, односно печата.

Услуга управљања квалификованим средством за креирање електронског потписа/печата дефинисана је чланом 46. став 3: „Квалификовано средство за креирање електронског потписа, односно печата корисник квалификоване услуге од поверења може да користи путем услуге управљања квалификованим средством за креирање електронског потписа, односно печата, што такође представља квалификовану услугу од поверења.”

То практично значи да се средство за креирање електронског потписа/печата налази код пружаоца услуге или, како је данас то модерно рећи, „у облаку”. Дакле, корисник не мора ништа да инсталира на свом рачунару, већ користи апликацију пружаоца услуге у којој треба довољно поуздано да се идентификује.

– Услуге од поверења, сертификација, страна којој сви верују

Приликом издавања електронских сертификата кључно је да сви верују издаваоцу сертификата, тако да не морају да се познају да би веровали електронским потписима на документима које размењујемо. Концепт да постоји страна којој сви верујемо примењује се и у другим услугама које уређује Закон:

– приликом електронске доставе сви верују посреднику у достави када се потврђује да ли је достава извршена;

– када је у питању електронски временски жиг, сви верују издаваоцу да је време тачно и да су подаци постојали у то време.

Дефиниција из члана 2. Закона гласи: „Услуга од поверења је електронска услуга која олакшава пословну активности између две или више страна, при чему се заснива на томе да пружалац услуге странама гарантује веродостојност појединих података, која је као таква одређена овим законом.”

– Квалификоване услуге од поверења

Пружалац квалификоване услуге од поверења и сама услуга морају да испуњавају строже законске услове, а с друге стране, то што се на крају добије, Законом има утврђено правно дејство или доказну снагу.

Неформално говорећи, за квалификоване пружаоце услуга од поверења Закон је утврдио да треба да им се верује.

Сви квалификовани пружаоци услуга од поверења уписани су у регистар који води надлежно министарство и податке из регистра објављује у форми Јавне листе квалификованих услуга од поверења.

Значајан део Закона односи се на уређивање рада пружаоца услуга од поверења.

– Квалификована валидација електронског потписа и печата

Услуга квалификоване валидације квалификованих електронских потписа и квалификованих електронских печата дефинисана је чланом 49. Закона, према коме пружалац услуге квалификоване валидације квалификованих електронских потписа, односно печата обезбеђује:

– валидацију квалификованог електронског потписа, односно печата, у складу са чланом 48. овог закона;

– да поуздајућа страна, која користи услугу, добије резултат поступка валидације електронским путем на аутоматизован начин, који је поуздан и ефикасан;

– да је резултат поступка валидације из тачке 2) овог става печатиран напредним електронским печатом или потписан напредним електронским потписом пружаоца услуге.

– Квалификовани временски жиг

Дефиниција из члана 2. став 2. тачка 39) Закона: „Електронски временски жиг је званично време придружено подацима и електронском облику којим се потврђује да су подаци постојали у том временском тренутку.”

У одредбама члана 48. Закона каже се да је за валидност квалификованог електронског потписа потребно утврдити да је сертификат који прати електронски потпис у тренутку потписивања представљао квалификовани електронски сертификат.

Да би електронски потпис био употребљен као доказ мора се бити у могућности да се докаже његова валидност. Уколико је сертификат у међувремену истекао или је опозван, без доказа да је потпис настао у време када је сертификат био на снази не може се доказати валидност електронског потписа.

Типична примена квалификованог временског жига је да нам пружи такав доказ.

– Квалификована електронска достава

За податке из електронске поруке, послате или примљене путем услуге квалификоване електронске доставе, важи правна претпоставка интегритета података, слања података од назначеног пошиљаоца, пријема од стране назначеног примаоца, поузданости датума и времена слања и примања.

Пружалац услуге квалификоване електронске доставе издаје пошиљаоцу електронске поруке:

– потврду пријема електронске поруке од стране пружаоца услуге;

– потврду доставе електронске поруке примаоца.

Потврде пријема и доставе пружалац услуге доставља аутоматски у електронском облику, при чему су потписане напредним електронским печатом, а на захтев може да их изда у електронском или папирном облику.

Потврда пријема сматра се доставницом у електронском облику у смислу закона којим се уређује управни поступак.

– Квалификовано електронско чување документа

Услуга квалификованог електронског чувања документа обухвата више случајева:

– документа која у изворном облику садрже квалификован електронски печат или потпис;

– документа која се налазе у електронском облику погодном за чување, али не садрже квалификовани електронски потпис или печат;

– документа која су у електронском облику, али ће бити потребно да се конвертују у облик погодан за чување;

– документа која треба дигитализовати.

У првом случају документ изворно садржи инструмент потврђивања интегритета и само треба правовремено освежавати временске жигове.

У осталим случајевима пружалац услуге својим квалификованим електронским потписом или печатом обезбеђује потврду интегритета и порекло.

За документ који се чува у оквиру услуге квалификованог електронског чувања документа важи правна претпоставка верности изворном документу, о чему пружалац услуге квалификованог електронског чувања документа издаје потврду.

Ако се документ чува у оквиру услуге квалификованог електронског чувања документа, тако да период чувања предвиђен том услугом обухвата прописани период чувања датог документа, изворни документ може да буде уништен, осим ако није другачије прописано.

– Шема електронске идентификације

Шема електронске идентификације је систем издавања средства електронске идентификације правном лицу, физичком лицу или физичком лицу у својству регистрованог субјекта. Дефинишу се сви потребни параметри идентификације не само у оквиру једне земље, већ се остварују услови техничке интероперабилности и на међународном нивоу. Надлежно министарство пријављује Европској комисији регистроване шеме електронске идентификације. Од септембра 2018. године све земље чланице имају обавезу да међусобно прихватају електронске идентификационе документе. Ово је уједно и један од битних елемената новог закона у том смислу.

Услуга електронске идентификације је услуга која омогућава коришћење одређене шеме електронске идентификације у електронским трансакцијама, при чему се у оквиру те услуге пружају гаранције да идентификациони подаци из средстава електронске идентификације одговарају лицу коме је средство издато.

– Ниво поузданости шема електронске идентификације

Шеме основног нивоа поузданости – довољан је један фактор аутентикације, на пример лозинка, и није неопходно физичко присуство приликом регистрације корисника

Шеме средњег нивоа поузданости – неопходна су два разнородна фактора аутентикације, на пример лозинка и једнократни код послат СМС-ом, а приликом регистрације корисника потребно је физичко присуство ради иницијалне провере идентитета.

Шеме високог нивоа поузданости – за сада су то само шеме засноване на квалификованом електронском потпису.

– Регистроване шеме електронске идентификације

За утврђивање идентитета у електронском пословању могу да се користе шеме електронске идентификације које су уписане у регистар из члана 19. Закона, као и шеме електронске идентификације које нису уписане у наведени регистар.

Исказ воље не може да се оспори само зато што су, уместо потписа, коришћене шеме електронске идентификације.

Регистрована шема електронске идентификације може да се користи за утврђивање идентитета странке у општењу са органом јавне власти.

У општењу странке са органима јавне власти идентитет странке, утврђен на основу регистроване шеме електронске идентификације високог нивоа поузданости, замењује потпис странке на поднеску, а може да се пропише да је прихватљив и средњи или нижи ниво поузданости.

– Инспекцијски надзор и казнене одредбе

Прописане су прилично ригорозне казне за прекршај за одговорно лице, односно правно лице у државном органу или органу јавне власти, које у оквиру својих овлашћења оспори или не призна пуноважност или доказну снагу електронском документу.

Новчане казне су прописане од 50.000 до 2.000.000 динара.

 

Пример:

Издавање и књижење рачуна у папирном и електронском облику, без употребе печата – извод из Објашњења Министарства финансија, бр. 401-00-4169/2017-16 од 12. 12. 2017. године, у вези са издавањем и књижењем рачуна (фактура) у папирном и електронском облику, без употребе печата и потписа:

„У циљу разјашњења недоумица које су се појавиле у пракси, а односе се начин на који се издају и књиже фактуре у пословним књигама правних лица и предузетника, настале у папирном или електронском облику, указујемо на следеће:

– Законом о рачуноводству омогућено је правним лицима и предузетницима да своје фактуре издају у папирном или електронском облику.

– Законом о рачуноводству није прописано да фактура која је изворно настала у папирном облику мора да садржи печат и потпис одговорног лица, већ је довољно да иста садржи „идентификациону ознаку” која упућује на одговорно лице, односно лице које је овлашћено за издавање те фактуре, а којом потврђује веродостојност исте у смислу члана 9. тог закона.

– Фактура која је изворно настала у електронском облику, као и фактура настала дигитализацијом (конверзијом документа из папирног у електронски облик, нпр. скенирана фактура), такође не мора бити потписана (електронским) потписом, већ је довољно да иста садржи поменуту „идентификациону ознаку”.

– Правна лица и предузетници немају обавезу да фактуру која је изворно настала у електронском облику штампају нити да се на тако одштампан документ ставља отисак печата како би исти био сматран валидним.