E-podpisy, pieczęcie i usługi zaufania (eIDAS)

Podpisy elektroniczne

Jednym z najważniejszych komponentów cyfrowego obiegu dokumentów są podpisy elektroniczne. To dzięki nim dokumenty elektroniczne mogą uzyskać moc wiążącą – stają się podpisanymi umowami, decyzjami, fakturami. Jak omówiono wcześniej, nie każdy e-podpis jest równoważny własnoręcznemu – kluczowy jest kwalifikowany podpis elektroniczny, który zgodnie z prawem UE i polskim spełnia najwyższe standardy i jest traktowany na równi z podpisem odręcznym​. W praktyce kwalifikowany podpis to podpis składany za pomocą certyfikatu kwalifikowanego wydanego przez zaufanego dostawcę (w Polsce działają m.in. KIR, PWPW, Asseco, Eurocert, Certum i inni – lista jest nadzorowana przez Narodowe Centrum Certyfikacji). Osoba chcąca uzyskać taki podpis musi przejść procedurę identyfikacji (osobiście lub zdalnie przez e-dowód czy bankowość), po czym otrzymuje urządzenie lub dostęp do aplikacji, za pomocą której może podpisywać dokumenty. Technicznie podpis polega na zaszyfrowaniu skrótu dokumentu kluczem prywatnym podpisującego; weryfikacja odbywa się kluczem publicznym z certyfikatu. Certyfikat zawiera dane osoby (imię, nazwisko, czasem PESEL) i informację o wydawcy, a jego ważność można sprawdzić w rejestrze kwalifikowanych certyfikatów online.

Wykorzystanie podpisów kwalifikowanych w biznesie staje się coraz szersze. W Polsce kwalifikowanym e-podpisem można podpisać praktycznie każdy rodzaj dokumentu: od umów handlowych, przez faktury i protokoły, po dokumenty składane do urzędów czy sądów (np. pozew do e-sądu elektronicznego, dokumenty finansowe do KRS itp.)​. Co istotne, podpis kwalifikowany spełnia wymóg formy pisemnej zawsze, gdy prawo tego wymaga (poza oczywiście sytuacjami wymagającymi formy notarialnej). Dlatego jeśli strony mają kwalifikowane podpisy, mogą całkowicie elektronicznie zawrzeć nawet taką umowę, która normalnie dla ważności potrzebuje podpisu własnoręcznego. Przykładowo, umowa sprzedaży udziałów spółki z o.o. co do zasady wymaga formy pisemnej z podpisami notarialnie poświadczonymi – tu e-podpis nie pomoże, bo trzeba notariusza. Ale już zwykła umowa o współpracy handlowej czy umowa pożyczki powyżej 1000 zł (gdzie forma pisemna jest wymagana dla celów dowodowych) może być ważnie zawarta przez internet z użyciem kwalifikowanych podpisów.

 

Pieczęcie elektroniczne

Poza podpisami osób fizycznych, w obiegu dokumentów przydatne są pieczęcie elektroniczne dla firm. Kwalifikowana pieczęć elektroniczna zawiera dane identyfikacyjne organizacji (np. nazwę i NIP spółki) i jest składana podobnie jak podpis, ale przez podmiot prawny​. Za pieczęcią nie stoi imiennie osoba, choć oczywiście ktoś ją technicznie musi użyć – najczęściej jest wykorzystywana w systemach automatycznych. Przykładem zastosowania jest masowe generowanie dokumentów: duża instytucja finansowa może dziennie wystawiać tysiące potwierdzeń transakcji lub wyciągów elektronicznych – zamiast każdorazowo wymagać podpisu pracownika, system automatycznie opatruje każdy dokument pieczęcią kwalifikowaną instytucji. Odbiorca (np. klient banku) otrzymując taki dokument może zweryfikować pieczęć i ma gwarancję, że dokument rzeczywiście pochodzi z banku i nie został zmodyfikowany po wystawieniu​. Prawnie pieczęcie są szczególnie przydatne do zapewnienia integralności i autentyczności dokumentów elektronicznych generowanych przez firmy​, ale nie stanowią podpisu w sensie złożenia oświadczenia woli – raczej są dowodem pochodzenia. Mimo to, w wielu przypadkach to wystarcza (np. faktura elektroniczna nie wymaga podpisu wystawcy, wystarczy że autentyczność pochodzenia i integralność są zagwarantowane – pieczęć kwalifikowana jest jedną z metod zapewnienia tego, obok wymiany EDI czy bezpiecznego e-maila).

 

Kwalifikowane znaczniki czasu

W ramach usług zaufania są też kwalifikowane znaczniki czasu, które często towarzyszą podpisom. Znacznik czasu to dowód, że dane istniały w danym czasie – przy podpisywaniu dokumentu automatycznie dołącza się taki znacznik z serwera zaufanego, co potwierdza moment podpisu. Ma to znaczenie np. przy terminowym składaniu ofert, wniosków (istotne kto pierwszy podpisał/ofertował) lub przy późniejszych sporach co do daty dokumentu.

 

Podpis zaufany

Na polskim rynku ważną rolę odgrywa także podpis zaufany (profil zaufany ePUAP) – jest to podpis elektroniczny dostępny bezpłatnie dla każdego posiadacza profilu zaufanego, wykorzystywany głównie w kontaktach z administracją publiczną. Profil zaufany można uzyskać potwierdzając tożsamość w systemie ePUAP (np. przez bankowość elektroniczną lub osobiście w urzędzie) – służy on do logowania się do usług administracji oraz do podpisywania pism do urzędów. Podpis zaufany nie jest kwalifikowanym podpisem, ale spełnia wymogi podpisu elektronicznego w rozumieniu eIDAS o zaawansowanym charakterze. Jest on prawnie uznawany w sprawach urzędowych w Polsce – np. wysyłając pismo przez ePUAP i podpisując je profilem zaufanym, skutecznie wnosimy podanie do urzędu. W kontekście biznesowym profil zaufany bywa używany do podpisywania sprawozdań finansowych (ustawodawca dopuścił to alternatywnie wobec podpisu kwalifikowanego)​, a także przez jednoosobowych przedsiębiorców przy załatwianiu spraw w CEIDG, ZUS czy Urzędzie Skarbowym. Jednakże w relacjach czysto komercyjnych (B2B, B2C) profil zaufany jest rzadko używany, bo wymaga posiadania konta ePUAP. Alternatywą stają się komercyjne usługi podpisu elektronicznego w chmurze – firmy takie jak Adobe, DocuSign, polskie Autenti i inne oferują mechanizmy składania zaawansowanego podpisu elektronicznego ważnego w eIDAS (często przez kliknięcie linku i wpisanie kodu SMS, co zapewnia wymaganą identyfikację osoby). Takie podpisy, choć nie kwalifikowane, w większości przypadków wystarczają do ważnego zawarcia umowy w formie dokumentowej. Ich przewagą jest łatwość użycia przez każdą ze stron (nie trzeba posiadania certyfikatu kwalifikowanego ani profilu zaufanego – wystarczy dostęp do e-maila/telefonu). Trzeba jednak pamiętać, że jeżeli wymagana jest forma pisemna, tylko kwalifikowany podpis elektroniczny spełni ten wymóg.

W kontekście automatyzacji, e-podpisy i pieczęcie można integrować w procesy tak, by użytkownik nawet nie odczuwał skomplikowania technologii. Przykładowo, system obiegu dokumentów może automatycznie podpisać dokument pieczęcią firmy, gdy dokument przejdzie wszystkie akceptacje. Albo może wysłać do kontrahenta link, pod którym podpisze on dokument (składając podpis elektroniczny) – a system odbierze ten podpisany plik i archiwizuje go. Wiele nowoczesnych platform oferuje API do podpisu elektronicznego, co pozwala programowo włączać funkcję podpisywania w dowolny przepływ pracy.