Co to jest ślad audytowy podpisu elektronicznego? Co zawiera i po co jest

Krótka odpowiedź: ślad audytowy to zapisany przez system komplet informacji o okolicznościach podpisania dokumentu: kto go podpisał, kiedy, z jakiego adresu e-mail i IP, czy przeszedł dodatkowe potwierdzenie (kod SMS albo weryfikację dokumentem tożsamości) oraz jaki był skrót kryptograficzny pliku. Sam podpis mówi, że ktoś się zgodził. Ślad audytowy pozwala wykazać, z jakiej skrzynki i w jakich okolicznościach to zrobiono oraz że treść nie zmieniła się później. Dlatego to on, a nie graficzny obrazek podpisu, decyduje o wartości dowodowej podpisanej online umowy.

Co to jest ślad audytowy?

Ślad audytowy (po angielsku audit trail) to chronologiczny, niezmienialny zapis wszystkich zdarzeń związanych z obiegiem dokumentu do podpisu. Obejmuje wysłanie do podpisu, otwarcie linku, złożenie każdego podpisu i finalizację pliku. Każde zdarzenie ma znacznik czasu i przypisanie do konkretnej osoby oraz urządzenia.

W kontekście podpisu elektronicznego ślad audytowy jest odpowiedzią na proste, ale kluczowe pytanie: skąd wiadomo, w jakich okolicznościach i z czyjej skrzynki podpisano ten dokument i że nikt go potem nie zmienił. Papierowa umowa z odręcznym podpisem tego nie pokazuje. Widać na niej podpis, ale nie widać, kiedy powstał ani czy kartkę wymieniono po podpisaniu. Ślad audytowy domyka tę lukę danymi, które da się zweryfikować.

Co zawiera ślad audytowy podpisu elektronicznego?

Dobry ślad audytowy wiąże trzy rzeczy naraz: tożsamość, czas i integralność treści. W podpiszmy.pl przy każdym podpisie zapisujemy komplet, który dokładnie to realizuje:

• Dane podpisującego: imię i nazwisko podane przez nadawcę oraz adres e-mail, na który trafił link do podpisu.
• Adres IP, z którego złożono podpis, jako element potwierdzający okoliczności.
• Znacznik czasu: dokładna data i godzina każdego zdarzenia, w tym samego podpisu.
• Metoda uwierzytelnienia: link z e-maila, a jeśli nadawca je włączył, kod SMS (dostęp do numeru telefonu) albo weryfikacja dokumentem tożsamości ze zdjęciem twarzy.
• Skrót SHA-256 dokumentu: kryptograficzny odcisk pliku liczony przy wgraniu i po finalizacji.
• Łańcuch skrótów: kolejne wpisy audytu są ze sobą powiązane, więc usunięcie albo podmiana jednego z nich jest wykrywalna.

Ten komplet trafia na koniec do jednego pliku. Nie musisz zbierać maili ani zrzutów ekranu z systemu, bo dowód okoliczności jedzie razem z podpisaną umową.

Po co jest ślad audytowy?

Ślad audytowy istnieje po to, żeby w razie sporu udowodnić trzy rzeczy jednocześnie: że oświadczenie złożyła konkretna osoba, że dotyczyło dokładnie tej treści i że treść nie została później podmieniona. Bez tego podpis, nawet ważny, jest trudny do obrony, bo druga strona może zaprzeczyć, że to ona podpisała, albo twierdzić, że dokument wyglądał inaczej.

To ma znaczenie praktyczne w codziennych sytuacjach. Przy reklamacji wady kupujący wskazuje, jaki stan rzeczy strony ustaliły w umowie. Przy sporze o termin liczy się chwila złożenia podpisów, którą znacznik czasu zapisuje co do minuty. Przy zarzucie, że ktoś zmienił kwotę albo zakres prac, porównanie skrótu SHA-256 pokazuje, czy plik jest tym samym plikiem, który podpisano. Ślad audytowy zamienia słowo przeciwko słowu w konkretny, sprawdzalny materiał.

Czym różni się ślad audytowy od samego podpisu?

Podpis to oświadczenie woli, czyli zgoda na treść dokumentu. Ślad audytowy to dowód okoliczności, w jakich ta zgoda powstała. Można mieć podpis bez wiarygodnego śladu audytowego, na przykład gdy ktoś wkleja do PDF obrazek swojego podpisu. Taki obrazek da się skopiować z innego pliku i nie mówi nic o tym, kto i kiedy go umieścił.

Różnica jest widoczna właśnie w sporze. Skan podpisanej kartki albo akceptacja mailem zwykle wystarczają do zawarcia umowy, ale jako dowód są słabe, bo nie pokazują tożsamości ani niezmienności treści. Rozwijamy ten wątek w osobnym tekście o tym, czy skan podpisanej umowy jest ważny. Podpis elektroniczny ze śladem audytowym rozwiązuje to inaczej: dowód nie leży w skrzynce pocztowej, tylko w samym pliku.

Jak ślad audytowy chroni przed manipulacją treścią?

Kluczem jest skrót kryptograficzny SHA-256. To funkcja, która z dowolnego pliku wylicza krótki, stały ciąg znaków będący jego unikalnym odciskiem. Zmiana choćby jednego znaku w dokumencie daje zupełnie inny skrót, więc dowolna ingerencja w treść jest natychmiast widoczna.

Skrót liczymy dwa razy: w chwili wgrania dokumentu (ten skrót oryginału widnieje na Karcie Podpisów) i po jego finalizacji z podpisami. Skrót oryginału pozwala wykazać, że podpisano dokładnie wgrany plik, a skrót pliku finalnego pozwala w walidatorze sprawdzić, czy gotowy PDF nie został później zmieniony. Dodatkowo kolejne wpisy śladu audytowego tworzą łańcuch, w którym każdy odwołuje się do poprzedniego. Usunięcie jednego zdarzenia albo cofnięcie się w historii dokumentu rozspójnia łańcuch i staje się wykrywalne. To ta sama zasada, na której opiera się integralność w wielu systemach bezpieczeństwa: nie da się cicho zmienić przeszłości.

Co to jest Karta Podpisów?

Karta Podpisów to strona dołączana na końcu finalnego PDF, na której ślad audytowy jest przedstawiony w czytelnej formie. Zawiera listę sygnatariuszy, metodę podpisu, datę i godzinę każdego podpisu, adresy IP, identyfikator dokumentu oraz jego skrót. Dzięki temu komplet dowodowy widać gołym okiem, bez logowania się do żadnego systemu.

To rozwiązanie ma praktyczną zaletę: podpisany dokument pozostaje samowystarczalny. Możesz go wydrukować do wydziału komunikacji, dołączyć do dokumentacji księgowej albo przekazać drugiej stronie, a dowód okoliczności podpisu jedzie razem z nim. Więcej o tym, jak zabezpieczamy dokumenty, opisaliśmy na stronie o bezpieczeństwie i śladzie audytowym.

Czy ślad audytowy jest dowodem w sądzie?

Tak. Zgodnie z art. 25 ust. 1 rozporządzenia eIDAS podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym tylko dlatego, że ma postać elektroniczną albo że nie jest podpisem kwalifikowanym. Ślad audytowy jest częścią tego dowodu i im pełniejszy, tym mocniejsza pozycja strony, która się na niego powołuje.

Warto pamiętać o granicy. Zwykły podpis elektroniczny ze śladem audytowym świetnie sprawdza się przy umowach, dla których prawo nie wymaga formy szczególnej, na przykład umowach B2B, zleceniach, NDA czy sprzedaży rzeczy ruchomych. Tam, gdzie przepis żąda formy pisemnej pod rygorem nieważności albo aktu notarialnego, sama jakość śladu audytowego tego nie zastąpi. Jeśli nie masz pewności, jaka forma obowiązuje w Twoim przypadku, dobrze jest sprawdzić to przed wysłaniem dokumentu do podpisu, a przy czynnościach wymagających formy notarialnej od razu umówić wizytę u notariusza.

W codziennej pracy najważniejsze jest jednak to, że ślad audytowy zamienia niepewność w konkret. Zamiast zastanawiać się, czy da się wykazać, kto podpisał i kiedy, masz odpowiedź zapisaną w pliku. Wyślij dokument do podpisu i sprawdź, jak wygląda gotowa Karta Podpisów na końcu Twojej umowy.