Čl. 41 eIDAS: co kvalifikované časové razítko presumuje a co už ne

Stručná odpověď

U kvalifikovaného elektronického časového razítka se presumuje, že ukazuje správné datum a čas a že data, ke kterým je vázáno, se od té chvíle nezměnila. To je celá presumpce podle čl. 41 odst. 2 nařízení (EU) č. 910/2014 (eIDAS).

Nepresumuje se, že obsah je pravdivý, kdo ho vytvořil, ani že zachycená webová stránka ukazuje vše, co viděl návštěvník. Tyto otázky řeší důkaz, který kolem razítka postavíte: metoda zachycení, artefakty a dokumentace.

Co článek 41 skutečně říká

Článek 41 má tři odstavce a každý dělá něco jiného:

• Čl. 41 odst. 1: elektronickému časovému razítku nelze upřít právní účinek ani přípustnost jako důkazu jen proto, že je elektronické nebo není kvalifikované. Prosté razítko tedy není bezcenné, jen nemá zákonnou presumpci.
• Čl. 41 odst. 2: u kvalifikovaného elektronického časového razítka platí presumpce správnosti data a času, které uvádí, a integrity dat, k nimž se toto datum a čas vážou.
• Čl. 41 odst. 3: kvalifikované elektronické časové razítko vydané v jednom členském státě se uznává jako kvalifikované ve všech členských státech.

Novela, nařízení (EU) 2024/1183 označované jako eIDAS 2, tento právní účinek nepřepsala. Mění dohled nad kvalifikovanými službami vytvářejícími důvěru a jejich technickou specifikaci, ne to, co kvalifikované razítko presumuje.

Co presumpce pokrývá

Čtěte text pozorně. Presumpce se váže jen ke dvěma věcem:

• Čas: datum a čas v tokenu se presumují jako správné. Článek 42 vyžaduje zdroj času navázaný na koordinovaný světový čas (UTC).
• Integrita: data vázaná k tomuto času, v praxi hash souboru nebo sady souborů, se presumují jako nezměněná od vydání razítka.
• Přeshraniční účinek: díky čl. 41 odst. 3 platí stejný kvalifikovaný status před soudy a úřady ve všech členských státech, bez dalšího uznávání.

Co presumpce nepokrývá

Tady vzniká nejvíc přehánění. Kvalifikované razítko samo o sobě neříká nic o:

• Pravdivosti obsahu: u orazítkovaného pomlouvačného příspěvku se presumuje, že v té podobě v tu dobu existoval, ne že je pravdivý.
• Autorství a totožnosti: token neříká, kdo obsah napsal nebo kdo účet ovládal.
• Úplnosti záznamu webu: zda záznam ukazuje, co viděl konkrétní návštěvník, závisí na metodě zachycení, ne na razítku.
• Událostech před razítkem: prokazuje, že data existovala nejpozději v orazítkovaném čase. Neprokazuje, kdy byla data poprvé vytvořena nebo zveřejněna.

Presumpce je tedy silná v otázce kdy a zda se to změnilo, a mlčí v otázce co to znamená. Berte ji jako kotvu důkazního balíčku, ne jako celý balíček.

Kvalifikované, nebo ne: co požaduje článek 42

Presumpci podle čl. 41 odst. 2 má jen kvalifikované elektronické časové razítko. Požadavky stanoví článek 42:

• Váže datum a čas k datům tak, aby byla rozumně vyloučena možnost nezjistitelné změny dat.
• Vychází z přesného zdroje času navázaného na koordinovaný světový čas.
• Je podepsané zaručeným elektronickým podpisem nebo zapečetěné zaručenou elektronickou pečetí kvalifikovaného poskytovatele, případně rovnocennou metodou.
• Vydává ho kvalifikovaný poskytovatel služeb vytvářejících důvěru s kvalifikovaným statusem pro časová razítka, což ověříte v důvěryhodných seznamech EU.

V praxi kvalifikovaná razítka vycházejí z RFC 3161 a norem ETSI pro časová razítka (EN 319 421 a EN 319 422). Razítko z nekvalifikované služby, serverový log nebo transakce na blockchainu mohou být důkazem podle čl. 41 odst. 1, soud je ale hodnotí volně, bez presumpce.

Jak presumpce funguje ve sporu

Presumpce přesouvá důkazní břemeno. Když předložíte data s platným kvalifikovaným razítkem, nemusíte dokazovat, že čas sedí a že soubor od té doby nikdo nezměnil. Strana, která to zpochybňuje, musí přinést něco konkrétního, například doklad, že poskytovatel v té době neměl kvalifikovaný status nebo že ověření selhává.

Z toho plynou dva praktické důsledky. Za prvé, ověření musí zvládnout soudce, znalec i protistrana, ideálně bez nutnosti věřit dodavateli, který důkaz vytvořil. Za druhé, spor se jen přesune jinam: k tomu, jak byl obsah zachycen, zda něco nechybí a zda jde o relevantní stránku. Právě tato slabá místa musí uzavřít vaše dokumentace.

Česká praxe: volné hodnocení důkazů

Tento odstavec se týká českého práva. V českém civilním řízení soud hodnotí důkazy podle své úvahy (§ 132 občanského soudního řádu, zákon č. 99/1963 Sb.). Nařízení eIDAS platí přímo, takže presumpce podle čl. 41 odst. 2 se na kvalifikovaná razítka uplatní jako taková, zatímco vše mimo ni, tedy metodu zachycení, úplnost a kontext, soud hodnotí volně. Dobře zdokumentovaný záznam je proto stejně důležitý jako samotné razítko.

Checklist: aby presumpce u důkazu z webu fungovala

• Použijte kvalifikované razítko od poskytovatele z důvěryhodného seznamu EU a uchovejte samotný token razítka, ne jen PDF, které ho zmiňuje.
• Orazítkujte hashe všech relevantních artefaktů (screenshot, HTML, síťový záznam, video), ne jen obrázek.
• Zaznamenejte, jak záznam vznikl: prohlížeč, nastavení, kliknutí na cookie lištu, případné vizuální zásahy.
• Dejte přednost záznamu z nezávislé infrastruktury nebo zdokumentovanému forenznímu postupu před screenshotem z vlastního zařízení.
• Umožněte ověření offline: přiložte data důvěryhodného seznamu a způsob ověření nezávislý na dodavateli.
• Zachyťte obsah dřív, než ho nahlásíte nebo pošlete výzvu. Jakmile je protistrana varovaná, obsah se často změní nebo zmizí.

Kde pomůže GetProofAnchor

GetProofAnchor váže každý artefakt záznamu (screenshot, HTML, MHTML, HAR, video, TLS certifikáty a metadata zachycení) přes SHA-256 do kvalifikovaného elektronického časového razítka (RFC 3161) od SK ID Solutions, kvalifikovaného poskytovatele služeb vytvářejících důvěru v EU. Jakoukoli změnu zapečetěného artefaktu po vydání razítka lze odhalit offline open-source nástrojem gpa-verify s pomocí snímku důvěryhodného seznamu EU, který je součástí evidence ZIP. Tři způsoby použití:

• Webová aplikace: zachycení na serveru podle URL, u plánů Enterprise a Business i rozšíření prohlížeče pro stránky za přihlášením (zachyceno na vašem zařízení, zapečetěno při přijetí); od 9 € bez DPH za 3 důkazy (10,89 € s DPH) nebo měsíční plány od 19 € bez DPH (22,99 € s DPH).
• Forensic Browser: aplikace pro Windows na vícestránkové relace i obsah za přihlášením, výstupem je PAdES PDF, které se ověří v Adobe Acrobat Readeru, nebo ZIP pro znalce; roční licence od 290 € bez DPH (350,90 € s DPH).
• Assisted Capture: URL zachytíme za vás a balík důkazů pošleme e-mailem; od 49 € bez DPH (59,29 € s DPH), varianta Rush s garancí 60 minut.

Nic z toho nezaručuje, jak soud rozhodne. Získáte presumpci podle čl. 41 odst. 2 pro čas a integritu a k tomu zdokumentovanou metodu zachycení pro vše, co presumpce nepokrývá.

Časté dotazy

Zdroje

• Nařízení (EU) č. 910/2014 (eIDAS), články 41 a 42
• Nařízení (EU) 2024/1183, kterým se mění eIDAS
• Důvěryhodné seznamy EU (Evropská komise)
• RFC 3161: Time-Stamp Protocol (TSP)
• Občanský soudní řád, zákon č. 99/1963 Sb., § 132