Dwa akty prawne, na których wszystko się opiera
Podstawą jest unijne rozporządzenie eIDAS. Przypisuje ono skutki prawne poszczególnym rodzajom podpisów elektronicznych i stawia dostawcom usług zaufania wymagania techniczne oraz organizacyjne. Krajowe przepisy w tym obszarze zawiera ustawa o usługach zaufania oraz identyfikacji elektronicznej.
Z tych regulacji wynika najważniejsza cecha podpisu kwalifikowanego: domniemanie, że odpowiada on podpisowi własnoręcznemu. Pod dokumentem podpisanym w ten sposób nie trzeba już potwierdzać tożsamości osobiście w urzędzie ani u notariusza. Unijne pochodzenie przepisów ma jeszcze jedną konsekwencję. Podpis kwalifikowany wydany w jednym państwie członkowskim jest uznawany w pozostałych krajach Unii, więc sprawdzi się także przy dokumentach dla partnerów zza granicy.
Trzy formy, które łatwo ze sobą pomylić
Na platformie ePUAP tożsamość potwierdza się na trzy główne sposoby: loginem i hasłem, podpisem elektronicznym albo profilem zaufanym . W codziennych rozmowach wszystkie te rozwiązania bywają nazywane „e-podpisem”, choć ich moc jest zupełnie różna.
|
Rodzaj |
Czym jest |
Poziom pewności i skutek prawny |
|---|---|---|
|
Zwykły podpis elektroniczny |
Na przykład skan podpisu albo podpis wpisany w dokumencie tekstowym |
Nie daje pewności co do tożsamości podpisującego ani integralności dokumentu |
|
Profil zaufany |
Bezpłatne narzędzie do potwierdzania tożsamości w kontaktach z administracją publiczną |
Wystarczający w wielu sprawach urzędowych |
|
Podpis kwalifikowany |
Podpis oparty na kwalifikowanym certyfikacie, składany na bezpiecznym urządzeniu |
Najwyższy; skutek równoważny podpisowi własnoręcznemu, również w obrocie cywilnoprawnym |
Gdzie przepisy nie zostawiają wyboru
Gdy prawo wymaga formy pisemnej pod rygorem nieważności, w wersji elektronicznej potrzebny jest podpis kwalifikowany. Dotyczy to między innymi pism procesowych w sprawach sądowych oraz dokumentów składanych do Krajowego Rejestru Sądowego. Po tę formę sięga się także przy fakturach elektronicznych w zamówieniach publicznych, przy firmowej dokumentacji kadrowej i księgowej oraz przy umowach cywilnoprawnych, jeśli strony chcą zachować formę pisemną.
Skąd tak wysokie wymagania? Dokument uwierzytelniony ma znaczenie prawne, dlatego bezpieczne systemy informacyjne administracji nie mogą się obejść bez elektronicznego uwierzytelniania . Prawo cywilne kieruje się podobną logiką. Podpis jest skuteczny, gdy tożsamość osoby składającej oświadczenie woli da się rzetelnie potwierdzić.
Jak powstaje podpis kwalifikowany
Wszystko zaczyna się od sprawdzenia, kim jest wnioskodawca. Robi to kwalifikowany dostawca usług zaufania. Po złożeniu wniosku i potwierdzeniu danych osobowych dostawca wydaje nośnik, na którym znajdują się certyfikat i dane do składania podpisu. Technika bywa różna, ale sam schemat jest u wszystkich dostawców zbliżony.
Wizyta w punkcie stacjonarnym nie jest już jedyną opcją. Coraz więcej firm pozwala potwierdzić tożsamość zdalnie, przez wideorozmowę albo bankowość elektroniczną. Niektórzy dostawcy udostępniają też aplikacje mobilne, które pozwalają podpisywać dokumenty na telefonie, gdy certyfikat zostanie już wydany, a usługa aktywowana.
Certyfikat ma datę ważności
Podpis kwalifikowany nie działa bezterminowo, bo stoi za nim certyfikat wydany na określony czas. Wygaśnięcie certyfikatu nie unieważnia jednak podpisów złożonych wcześniej, jeżeli dokument opatrzono znacznikiem czasu. Do składania nowych podpisów trzeba certyfikat odnowić.
Od długości tego okresu zależy też cena. Obok niego koszt kształtują dostawca i rodzaj nośnika, dlatego oferty warto porównywać właśnie pod tymi trzema względami.
Trzy rzeczy, które sprawdza weryfikacja
Na wydruku podpisu kwalifikowanego nie zobaczymy. To, czy plik został nim opatrzony, ustala się technicznie, na przykład w programie obsługującym dokumenty PDF albo w aplikacji dostawcy. Program sprawdza, czy certyfikat jest ważny, czy dokument pozostał nienaruszony i kto go podpisał. Pozytywny wynik we wszystkich trzech punktach oznacza, że podpis złożono poprawnie, a treści nikt później nie zmienił.
Osoba czy organizacja?
W firmach obok podpisu kwalifikowanego używa się kwalifikowanej pieczęci elektronicznej. Oba narzędzia działają na podobnej infrastrukturze technicznej, ale odpowiadają na inne pytanie. Podpis mówi, który człowiek złożył oświadczenie. Pieczęć wskazuje organizację i potwierdza, że dokument wyszedł od niej.
Przy planowaniu procesu dokumentowego ta różnica decyduje o wyborze narzędzia.
Podpisywanie na odległość
Umowy, wnioski i inne dokumenty coraz częściej powstają i obiegają strony wyłącznie online. Podpis kwalifikowany pozwala je zamknąć bez drukowania, podpisywania ręką i skanowania. Jeżeli podpisów potrzeba kilku, narzędzia do zdalnego podpisu ustalają ich kolejność i zapisują pełną historię procesu. To szczególnie wygodne, gdy podpisujący przebywają w różnych miejscach.
Dlaczego administracja długo podchodziła do e-podpisu z rezerwą
Chociaż podpis kwalifikowany od lat ma podstawę w polskim prawie, urzędy przez długi czas używały go niewiele. Dane z I kwartału 2014 r. pokazują, że narzędzia elektronicznego uwierzytelniania dotyczyły wtedy średnio 6,16% dokumentacji wysyłanej przez urzędy i 5,31% dokumentacji przez nie otrzymywanej .
Przyczyn było kilka. Użytkownikom brakowało wiedzy o możliwościach systemu, rozwiązania nie były kompleksowe, nie było formularzy elektronicznych, a urzędy nie zmieniały swojej wewnętrznej organizacji . Źródło problemu tkwiło więc raczej w funkcjonowaniu instytucji niż w samym podpisie.
Profil zaufany i biometria: konkurencja czy uzupełnienie?
Podpis kwalifikowany nie musi być odpowiedzią na każdą potrzebę. Profil zaufany, dostępny na ePUAP, w wielu sprawach urzędowych daje wystarczające bezpieczeństwo, a jego uzyskanie jest prostsze i tańsze . Gdy jednak przepisy wymagają najwyższej pewności co do tożsamości podpisującego, podpis kwalifikowany pozostaje jedynym właściwym wyborem.
Osobno warto spojrzeć na biometrię. Metody biometryczne zyskują popularność i uznaje się je za najbezpieczniejsze w świecie wirtualnym . Ich głównym zadaniem jest jednak kontrola dostępu, a nie składanie oświadczeń woli ze skutkami prawnymi, więc raczej uzupełniają podpis kwalifikowany, niż go zastępują.
Zanim wybierzesz rozwiązanie
Dobry wybór zaczyna się od dokumentu, a nie od oferty dostawcy. Najpierw warto sprawdzić, czy przepisy dla danego pisma wymagają podpisu kwalifikowanego, czy dopuszczają profil zaufany. Jeśli podpis ma służyć umowom z kontrahentami lub dokumentom w formie pisemnej, odpowiedź będzie zwykle jednoznaczna. Dopiero potem ma sens porównywanie dostawców, nośników i okresów ważności certyfikatu.