Začnu rozborem dotazu. Nyní zkouším studenty z předmětu Bezpečnost informačních systémů. Když někdo použije pojem „důvěryhodnost certifikátu“, tak mu odeberu třetinu možných bodů ze zkoušky. Důvěryhodná (trusted) může být instituce – důvěřujeme VŠE, že diplom či eDiplom vydá jen osobě, která splnila podmínky a že na diplomu jsou uvedeny správné údaje. A že VŠE je oprávněna vydávat diplomy. Škola je uvedena v zákoně o vysokých školách (je oprávněna vydávat), jednotlivé programy prochází akreditací a její kontrolou, tj. i třetí strana ověří, že škola vydává diplomy po splnění podmínek uvedených v akreditaci.

U eDiplomu by se mělo mluvit o jeho platnosti (validity). Tj. zda ten, vůči komu se absolvent prokáže, může akceptovat eDiplom jako důkaz o tom, že někdo absolvoval školu (studijní program) a získal titul. Ověření platnosti se skládá z několika částí:

• Zda byl vydán důvěryhodnou organizací oprávněnou vydávat diplomy – z eDiplomu lze pouze zjistit, že byl vydán VŠE. Zda je škola oprávněna vydávat diplomy a jak je důvěryhodná musí příjemce ověřovat jinak.
• Zda není podvodně vytvořen - eDiplom obsahuje dva kvalifikované podpisy, pro podepsání se použijí kvalifikované certifikáty. V certifikátu jsou uvedena jména a příslušnost k Vysoké škole ekonomické. Certifikáty jsou vydány dle nařízení eIDAS, tj. stát garantuje, že údaje v certifikátu jsou správné a při vydání byly poměrně přísně ověřena totožnost osoby. Někdo by mohl vznést pochybnosti, zda dotyčná osoba byla v době podpisu oprávněna podepisovat eDiplomy – v případě sporu to škola musí být schopna prokázat.
• Zda nebyl pozměněn – při ověření podpisu se automaticky zkontroluje, že nedošlo ke změně dokumentu od doby podpisu.
• Zda nebyl eDiplom odvolán – na eDiplomu je uvedeno URL pro ověření, že je stále platný. Při odebrání titulu se na uvedené stránce zobrazí příslušné upozornění.

V rámci EU by měly státy akceptovat eDiplom. To je teorie, praxe může být odlišná, což může být dáno i právním řádem v jednotlivých zemích. V ČR např. vysoké školy vykonávají správní činnosti za stát, a tudíž musí akceptovat dokumenty s kvalifikovanými podpisy. Střední školy správní činnosti za stát nevykonávají, a tudíž eDokumenty akceptovat nemusí (ale mohou a akceptují). Postavení soukromých vysokých škol je nejasné, z obvyklého čtení zákonů by eDiplomy měly akceptovat povinně, ale před více roky MŠMT vydalo výnos, že nemusí používat kvalifikované podpisy (možná ho již odvolalo, nevím).

V praxi v ČR s akceptací elektronicky podepsaných dokument nejsou problémy, i ti co nemusí je obvykle akceptují. Jiná situace je u zahraničních univerzit – některé ignorují digitální podpis a vyžadují URL pro ověření platnosti (toto je jeden z důvodů, proč je na digitálně podepsaných dokladech z InSIS ověřovací URL uvedeno).

Autor dotazu nejspíše naráží na dlouhodobé ověřování platnosti vzhledem k tomu, že certifikáty a časová razítka použitá při podepsání eDiplomu mají omezenou platnost. Vezmu nyní eDiplom vydaný na FMV.

• Doc. Jiránková má certifikát platný do 5. února 2027
• Doc. Dvořák má certifikát platný do 15. září 2027
• Podpisy jsou doplněny časovým razítkem – třetí strana (PostSignum časová autorita) potvrzuje čas podpisu. PostSignum časová autorita též splňuje požadavky nařízení eIDAS, tj. je důvěryhodná pro vydávání časových razítek pro státy EU. Certifikát časové autority je do 13. října 2030.
• Součástí podpisů jsou i údaje, že v době podpisu nebyly příslušné certifikáty revokovány.

Po 13.10.2030 eDiplom je stálé použitelný, stále s ním lze prokazovat získání titulu. Jenže nemusí projít validátory podpisů, neboť skončí platnost všech použitých certifikátů a příjemci jej akceptovat nemusí, popř. mohou chtít další důkazy (např. použijí ověření přes uvedené URL). Do 13. 10. 2030 jej musí akceptovat státy s výhradami uvedenými výše.

V teorii se uvádí, že by mohl být takový pokrok v kryptoanalýze, že by někdo mohl vytvořit podvodný eDiplom s platnými podpisy z dřívější doby. Popř. upravit dokument tak, že by podpisy byly stále platné. Nevěřím, že v průběhu deseti či dvaceti let bude technicky možné takový podvod zrealizovat s přijatelnými náklady. Mnohem jednodušší a levnější bude padělat papírový diplom či podvodně vylákat vydání duplikátu diplomu na neexistujícího absolventa.

Myslím si, že většina organizací bude eDiplom akceptovat i po 13.10.2030. Ale uznávám, že úřady s velmi přísnými kontrolami budou moci eDiplom odmítat. A absolvent nebude mít chuť se pouštět do právních sporů. Řešení je více:

• absolvent zažádá a škola vydá duplikát eDiplomu,
• absolvent zažádá a škola vydá nový eDiplom. Je to obdoba občanského průkazu – když skončí jeho platnost, tak se nevydává duplikát, ale nový OP.
• škola před vypršením doplní na všechny stávající eDiplomy další časové razítko a tím prodlouží platnost – zatím s tímto řešením nepočítáme,
• absolvent si sám nechá doplnit časové razítko, toto by měla zajišťovat služba pro dlouhodobé ukládání elektronických dokumentů, se kterou počítá poslední verze nařízení eIDAS.

Právníci nemají v řešeních jasno, zatím není ustálená praxe, k poslední verzi nařízení eIDAS ještě nebyly vydány upřesnění týkající se dlouhodobého uchovávání elektronických dokumentů. Škola je nyní připravena na první dvě varianty, technicky lze realizovat i třetí variantu. Vydávání eDiplomů ještě může ovlivnit implementace evropské digitální peněženky.

V předchozím textu jsem vynechal jeden problém - někdo předloží cizí platný eDiplom.

Na eDiplomu jsou uvedeny následující údaje:

• jméno,
• příjmení,
• datum narození,
• místo narození,

Dle zákona č 111/2009 Sb. o základních registrech je tato kombinace postačující pro identifikaci osoby. U osob narozených v zahraničí by měl být uveden i stát narození.

Pro vyloučení podvodu s předložením cizího platného diplomu instituce obvykle vyžaduje i doklad vydaný státem (občanka, pas, …) se stejnými údaji o osobě a fotografii.

Příjmení či jméno se mohou změnit v čase, proto je důležitý i datum absolvování či datum vydání. V tomto případě by předkládající měl doložit i změnu příjmení či jména.

Jinou otázkou je, jak škola jako vydávající instituce může prokázat platnost eDiplomu, že eDiplom vydala či že eDiplom nevydala. To si nechám na jiný text.