§ 8. [Zakres profilu zaufanego] 1. Profil zaufany zawiera:

1) dane, o których mowa w art. 20ad ust. 1 ustawy;

2) identyfikator użytkownika;

3) identyfikator profilu zaufanego;

4) czas potwierdzenia;

5) termin ważności;

6) adres poczty elektronicznej;

7) numer telefonu komórkowego;

8) informację o wybranych przez użytkownika czynnikach uwierzytelniania, o których mowa w ust. 3.

2. Raz nadany identyfikator użytkownika nie może być nadany ponownie.

3. W przypadku potwierdzenia profilu zaufanego:

1) w punkcie potwierdzającym – profil zaufany zawiera również oznaczenie punktu potwierdzającego oraz imię i nazwisko osoby upoważnionej do potwierdzania profilu zaufanego;

2) w sposób, o którym mowa w art. 20c ust. 1 pkt 2 ustawy – profil zaufany zawiera również wskazanie, że został potwierdzony przy wykorzystaniu kwalifikowanego podpisu elektronicznego;

3) w sposób, o którym mowa w art. 20c ust. 1 pkt 3 ustawy – profil zaufany zawiera również oznaczenie systemu teleinformatycznego podmiotu niepublicznego, w którym uwierzytelnianie dokonywane jest przy użyciu środka identyfikacji elektronicznej, który posłużył do potwierdzenia profilu zaufanego;

4) [3] w sposób, o którym mowa w art. 20c ust. 1 pkt 4 ustawy – profil zaufany zawiera również wskazanie, że został potwierdzony przy wykorzystaniu profilu osobistego.

4. Uwierzytelnienie z wykorzystaniem profilu zaufanego dokonywane jest w sposób zapewniający średni poziom bezpieczeństwa, przy wykorzystaniu co najmniej dwóch czynników uwierzytelnienia należących do co najmniej dwóch różnych kategorii, o których mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, przy czym:

1) jeden czynnik stanowi:

a) identyfikator użytkownika i hasło do konta profilu zaufanego albo

b) inny czynnik uwierzytelniania wymagający od osoby podlegającej uwierzytelnieniu określonej, znanej tylko tej osobie wiedzy, albo

c) dane posiadacza profilu zaufanego zweryfikowane za pomocą kwalifikowanego certyfikatu podpisu elektronicznego;

2) drugi czynnik stanowi:

a) hasło jednorazowe przesyłane na wskazany przez użytkownika numer telefonu komórkowego albo

b) inny czynnik uwierzytelniania wymagający od posiadacza profilu zaufanego wykazania się posiadaniem ustalonej uprzednio rzeczy lub urządzenia niezbędnego dla wykorzystania tego czynnika.

5. Uwierzytelnienie przy użyciu profilu zaufanego może następować również:

1) z wykorzystaniem czynników uwierzytelniania, spełniających warunki określone w ust. 4, wykorzystywanych w ramach środka identyfikacji elektronicznej, o którym mowa w art. 20c ust. 8 ustawy, stosowanego do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego;

2) wyłącznie przy wykorzystaniu czynnika uwierzytelniania, o którym mowa w ust. 4 pkt 1, jeżeli przepisy prawa regulujące usługę online dopuszczają możliwość uwierzytelnienia użytkownika tej usługi w sposób zapewniający niski poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014.

6. W przypadku usług online, wymagających uwierzytelnienia użytkownika profilem zaufanym, autoryzacje wymagane w tych usługach dokonywane są przy użyciu drugiego czynnika uwierzytelnienia, o którym mowa w ust. 4 pkt 2, z uwzględnieniem czynników uwierzytelniania, o których mowa w ust. 5 pkt 1, spełniających warunki określone w ust. 4 pkt 2.

7. Posiadacz profilu zaufanego może dokonać zmiany:

1) adresu poczty elektronicznej lub numeru telefonu komórkowego – samodzielnie w systemie, w którym wydawany jest profil zaufany, autoryzując tę czynność w sposób, o którym mowa ust. 6, albo w punkcie potwierdzającym profil zaufany;

2) środka identyfikacji elektronicznej lub czynników uwierzytelniania, o których mowa w ust. 5 pkt 1 – samodzielnie w systemie podmiotu niepublicznego;

3) czynników uwierzytelniania – samodzielnie w systemie, w którym wydawany jest profil zaufany, albo w systemie teleinformatycznym podmiotu niepublicznego, o ile w systemie tym udostępniono taką możliwość.

8. Komunikaty związane z funkcjonowaniem konta profilu zaufanego przesyłane są na adres poczty elektronicznej, o którym mowa w ust. 1 pkt 6.

9. Struktura danych profilu zaufanego oraz podpisu zaufanego udostępniane są przez ministra w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.

10. W przypadku użytkownika ePUAP czynniki, o których mowa w ust. 4 pkt 1 lit. a, są tożsame z czynnikami służącymi do identyfikacji i uwierzytelniania tego użytkownika w ePUAP.

11. System, w którym wydawany jest profil zaufany, dopuszcza stosowanie wyłącznie hasła, o którym mowa w ust. 4 pkt 1 lit. a, które spełnia wymogi w zakresie stopnia złożoności oraz wymaganej częstotliwości zmian, ustalonych przez ministra.

§ 8. [Zakres profilu zaufanego] 1. Profil zaufany zawiera:

1) dane, o których mowa w art. 20ad ust. 1 ustawy;

2) identyfikator użytkownika;

3) identyfikator profilu zaufanego;

4) czas potwierdzenia;

5) termin ważności;

6) adres poczty elektronicznej;

7) numer telefonu komórkowego;

8) informację o wybranych przez użytkownika czynnikach uwierzytelniania, o których mowa w ust. 3.

2. Raz nadany identyfikator użytkownika nie może być nadany ponownie.

3. W przypadku potwierdzenia profilu zaufanego:

1) w punkcie potwierdzającym – profil zaufany zawiera również oznaczenie punktu potwierdzającego oraz imię i nazwisko osoby upoważnionej do potwierdzania profilu zaufanego;

2) w sposób, o którym mowa w art. 20c ust. 1 pkt 2 ustawy – profil zaufany zawiera również wskazanie, że został potwierdzony przy wykorzystaniu kwalifikowanego podpisu elektronicznego;

3) w sposób, o którym mowa w art. 20c ust. 1 pkt 3 ustawy – profil zaufany zawiera również oznaczenie systemu teleinformatycznego podmiotu niepublicznego, w którym uwierzytelnianie dokonywane jest przy użyciu środka identyfikacji elektronicznej, który posłużył do potwierdzenia profilu zaufanego.

4. Uwierzytelnienie z wykorzystaniem profilu zaufanego dokonywane jest w sposób zapewniający średni poziom bezpieczeństwa, przy wykorzystaniu co najmniej dwóch czynników uwierzytelnienia należących do co najmniej dwóch różnych kategorii, o których mowa w przepisach wydanych na podstawie art. 8 ust. 3 rozporządzenia 910/2014, przy czym:

1) jeden czynnik stanowi:

a) identyfikator użytkownika i hasło do konta profilu zaufanego albo

b) inny czynnik uwierzytelniania wymagający od osoby podlegającej uwierzytelnieniu określonej, znanej tylko tej osobie wiedzy, albo

c) dane posiadacza profilu zaufanego zweryfikowane za pomocą kwalifikowanego certyfikatu podpisu elektronicznego;

2) drugi czynnik stanowi:

a) hasło jednorazowe przesyłane na wskazany przez użytkownika numer telefonu komórkowego albo

b) inny czynnik uwierzytelniania wymagający od posiadacza profilu zaufanego wykazania się posiadaniem ustalonej uprzednio rzeczy lub urządzenia niezbędnego dla wykorzystania tego czynnika.

5. Uwierzytelnienie przy użyciu profilu zaufanego może następować również:

1) z wykorzystaniem czynników uwierzytelniania, spełniających warunki określone w ust. 4, wykorzystywanych w ramach środka identyfikacji elektronicznej, o którym mowa w art. 20c ust. 8 ustawy, stosowanego do uwierzytelniania w systemie teleinformatycznym podmiotu niepublicznego;

2) wyłącznie przy wykorzystaniu czynnika uwierzytelniania, o którym mowa w ust. 4 pkt 1, jeżeli przepisy prawa regulujące usługę online dopuszczają możliwość uwierzytelnienia użytkownika tej usługi w sposób zapewniający niski poziom bezpieczeństwa, o którym mowa w art. 8 ust. 2 rozporządzenia 910/2014.

6. W przypadku usług online, wymagających uwierzytelnienia użytkownika profilem zaufanym, autoryzacje wymagane w tych usługach dokonywane są przy użyciu drugiego czynnika uwierzytelnienia, o którym mowa w ust. 4 pkt 2, z uwzględnieniem czynników uwierzytelniania, o których mowa w ust. 5 pkt 1, spełniających warunki określone w ust. 4 pkt 2.

7. Posiadacz profilu zaufanego może dokonać zmiany:

1) adresu poczty elektronicznej lub numeru telefonu komórkowego – samodzielnie w systemie, w którym wydawany jest profil zaufany, autoryzując tę czynność w sposób, o którym mowa ust. 6, albo w punkcie potwierdzającym profil zaufany;

2) środka identyfikacji elektronicznej lub czynników uwierzytelniania, o których mowa w ust. 5 pkt 1 – samodzielnie w systemie podmiotu niepublicznego;

3) czynników uwierzytelniania – samodzielnie w systemie, w którym wydawany jest profil zaufany, albo w systemie teleinformatycznym podmiotu niepublicznego, o ile w systemie tym udostępniono taką możliwość.

8. Komunikaty związane z funkcjonowaniem konta profilu zaufanego przesyłane są na adres poczty elektronicznej, o którym mowa w ust. 1 pkt 6.

9. Struktura danych profilu zaufanego oraz podpisu zaufanego udostępniane są przez ministra w Biuletynie Informacji Publicznej na stronie podmiotowej ministra.

10. W przypadku użytkownika ePUAP czynniki, o których mowa w ust. 4 pkt 1 lit. a, są tożsame z czynnikami służącymi do identyfikacji i uwierzytelniania tego użytkownika w ePUAP.

11. System, w którym wydawany jest profil zaufany, dopuszcza stosowanie wyłącznie hasła, o którym mowa w ust. 4 pkt 1 lit. a, które spełnia wymogi w zakresie stopnia złożoności oraz wymaganej częstotliwości zmian, ustalonych przez ministra.