Czy podpis elektroniczny jest ważny prawnie? Co mówi eIDAS

Krótka odpowiedź: tak, podpis elektroniczny jest ważny prawnie. Zgodnie z art. 25 ust. 1 rozporządzenia eIDAS podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że ma on postać elektroniczną lub że nie spełnia wymogów stawianych kwalifikowanym podpisom elektronicznym. Zwykły e-podpis wystarcza do większości umów w obrocie gospodarczym. Wyjątkiem są czynności, dla których prawo zastrzega formę pisemną pod rygorem nieważności, jak umowa o pracę czy przeniesienie autorskich praw majątkowych. Tam konieczny jest podpis kwalifikowany.

To krótka wersja. Poniżej rozkładamy ją na części, bo w praktyce diabeł tkwi nie w samej ważności, tylko w tym, czy w razie sporu będziesz w stanie cokolwiek udowodnić.

Co dokładnie mówi eIDAS

Podstawą jest rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 w sprawie identyfikacji elektronicznej i usług zaufania, w skrócie eIDAS. Obowiązuje w Polsce bezpośrednio, bez potrzeby wdrażania osobną ustawą, i jest nadrzędne wobec przepisów krajowych w zakresie, który reguluje.

Dla firm najważniejsze są dwa ustępy art. 25.

Art. 25 ust. 1 wprowadza zasadę niedyskryminacji: podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że ma on postać elektroniczną lub że nie spełnia wymogów stawianych kwalifikowanym podpisom elektronicznym. Sąd nie może więc odrzucić Twojej umowy z tego powodu, że podpisano ją elektronicznie, ani z tego powodu, że użyty podpis nie był kwalifikowany.

Art. 25 ust. 2 daje przywilej podpisowi kwalifikowanemu: kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu. To jedyny poziom podpisu, który taką równoważność uzyskuje z mocy prawa.

Zestawienie tych dwóch przepisów daje pełny obraz. Zwykły podpis elektroniczny jest ważny i jest dowodem, ale nie zastępuje podpisu własnoręcznego tam, gdzie prawo wyraźnie wymaga formy pisemnej. Kwalifikowany zastępuje.

Ważność to nie to samo co forma czynności prawnej

Tu powstaje najwięcej nieporozumień, więc warto rozdzielić dwie różne kwestie.

Pierwsza to ważność i dopuszczalność dowodowa. Reguluje ją eIDAS i odpowiedź jest prosta: podpis elektroniczny jest ważny, a dokument nim podpisany jest dopuszczalnym dowodem.

Druga to wymagana forma czynności prawnej. Reguluje ją prawo krajowe, przede wszystkim Kodeks cywilny. Zasadą jest swoboda formy: jeśli przepis nie mówi inaczej, umowę można zawrzeć w dowolny sposób, także ustnie. Forma pisemna pod rygorem nieważności jest wyjątkiem i dotyczy stosunkowo wąskiej grupy czynności.

Jeśli dla danej czynności prawo nie wymaga formy szczególnej, zwykły podpis elektroniczny wystarcza i umowa jest ważna. Jeśli wymaga formy pisemnej, jej elektronicznym odpowiednikiem jest wyłącznie podpis kwalifikowany. A jeśli wymaga formy aktu notarialnego, żaden podpis elektroniczny nie pomoże i trzeba iść do notariusza.

Które umowy podpiszesz ważnie zwykłym e-podpisem

W obrocie gospodarczym to zdecydowana większość dokumentów:

• umowa o świadczenie usług i umowa o współpracy B2B,
• umowa zlecenia,
• umowa o zachowaniu poufności (NDA),
• umowa sprzedaży rzeczy ruchomych,
• umowa najmu zawierana na okres do roku,
• zamówienia, oferty i potwierdzenia zamówień,
• protokoły odbioru i protokoły zdawczo-odbiorcze,
• umowa powierzenia przetwarzania danych osobowych,
• aneksy do umów, które same nie wymagają formy szczególnej.

Jeżeli Twoja firma wysyła te dokumenty kurierem albo prosi klienta o wydrukowanie i odesłanie skanu, robi to z przyzwyczajenia, a nie z powodu przepisów.

Kiedy zwykły podpis elektroniczny nie wystarczy

Uczciwość jest tu ważniejsza niż wygoda, bo błąd oznacza nieważność umowy. Podpisu kwalifikowanego wymagają między innymi:

• umowa o pracę, dla której Kodeks pracy zastrzega formę pisemną,
• przeniesienie autorskich praw majątkowych oraz licencja wyłączna, pod rygorem nieważności,
• czynności, przy których konkretny przepis wprost wymaga formy pisemnej pod rygorem nieważności,
• część postępowań przed sądami i organami oraz zamówienia publiczne.

Osobno: sprzedaż nieruchomości wymaga aktu notarialnego i nie zastąpi go nawet podpis kwalifikowany. Szczegółowe rozróżnienie wszystkich trzech poziomów podpisu opisaliśmy w artykule o tym, czym różni się podpis elektroniczny od kwalifikowanego.

Ważność to jedno, dowód to drugie

I tu dochodzimy do sedna, które umyka większości poradników. Pytanie, które naprawdę zadaje sobie sąd, nie brzmi "czy podpis elektroniczny jest ważny", bo na to odpowiada eIDAS. Brzmi ono: "czy ta konkretna osoba faktycznie podpisała ten konkretny dokument".

Przy podpisie kwalifikowanym działa domniemanie oparte na certyfikacie: przyjmuje się, że podpis złożyła osoba w nim wskazana, a kto twierdzi inaczej, musi to obalić. Przy zwykłym podpisie elektronicznym takiego domniemania nie ma. To Ty przedstawiasz dowody.

Dlatego przy SES cała wartość leży w śladzie audytowym. Mocny ślad audytowy zawiera:

• adres e-mail, na który wysłano link do podpisu,
• tożsamość podaną przez podpisującego i metodę uwierzytelnienia,
• adres IP, z którego złożono podpis,
• znacznik czasu z dokładną datą i godziną,
• historię zdarzeń: kiedy dokument wysłano, kiedy go otwarto, kiedy podpisano,
• skrót kryptograficzny SHA-256 dokumentu, liczony przy wgraniu i po finalizacji.

Skrót SHA-256 jest tu kluczowy. Jeśli ktokolwiek zmieni w podpisanej umowie choćby jeden znak, skrót przestanie się zgadzać i będzie to natychmiast widoczne. Gdy dodatkowo wpisy audytu tworzą łańcuch, w którym każdy zawiera skrót poprzedniego, nie da się też po cichu usunąć fragmentu historii. Taki log jest odporny na manipulację i to on stanowi realną siłę zwykłego podpisu elektronicznego.

Dlaczego skan podpisu jest słabym dowodem

Najpopularniejszą metodą "podpisu elektronicznego" w polskich firmach wciąż jest wydruk, podpis długopisem, skan i odesłanie mailem. Formalnie może to wystarczyć do zawarcia umowy, dla której nie zastrzeżono formy pisemnej. Jako dowód jest jednak słabe.

Skan to obraz. Nie mówi nic o tym, kto go wykonał, kiedy ani z jakiego urządzenia. Podpis widoczny na skanie można wyciąć z dowolnego innego dokumentu i wkleić. Treść umowy można zmienić i zeskanować ponownie. W sporze udowodnienie, że druga strona podpisała dokładnie tę wersję dokumentu, bywa bardzo trudne, bo nie ma żadnego niezależnego zapisu zdarzenia.

Podpis elektroniczny ze śladem audytowym rozwiązuje dokładnie ten problem. Nie chodzi w nim o ładniejszy obrazek podpisu, tylko o to, że powstaje weryfikowalny zapis: kto, kiedy, skąd i pod czym.

Jak archiwizować podpisane dokumenty

Dowód jest wart tyle, ile jego dostępność za kilka lat. Zapisuj finalny PDF razem z Kartą Podpisów, czyli stroną z listą sygnatariuszy, metodą podpisu, datą, godziną, adresem IP, identyfikatorem dokumentu i jego skrótem. Dzięki temu dowód podróżuje w tym samym pliku co umowa i nie zgubi się przy przenoszeniu między dyskami.

Trzymaj kopię w co najmniej dwóch miejscach. Jeśli przechowujesz dokumenty firmowe i dane osobowe kontrahentów, warto też zwrócić uwagę, gdzie fizycznie leżą Twoje pliki: dla wielu firm prościej jest wykazać zgodność z RODO, gdy dane zostają na serwerach w Polsce, zamiast wędrować przez kilka jurysdykcji.

Najczęstsze pytania

Czy podpis elektroniczny jest ważny w Polsce?

Tak. Rozporządzenie eIDAS obowiązuje w Polsce bezpośrednio i zakazuje odmawiania podpisowi elektronicznemu skutku prawnego oraz dopuszczalności dowodowej tylko dlatego, że jest elektroniczny. Do umów, dla których prawo nie zastrzega formy pisemnej, zwykły podpis elektroniczny jest w pełni skuteczny.

Czy umowa podpisana elektronicznie obroni się w sądzie?

Tak, jest dopuszczalnym dowodem. Jej siła zależy jednak od śladu audytowego. Dokument z pełnym logiem podpisu, adresem IP, znacznikiem czasu i skrótem SHA-256 jest dużo mocniejszym dowodem niż skan podpisu odesłany mailem, bo pozwala wykazać, kto i kiedy podpisał oraz że treść nie została później zmieniona.

Czy potrzebuję podpisu kwalifikowanego do umowy B2B?

Nie. Umowa o współpracy między przedsiębiorcami nie wymaga formy pisemnej pod rygorem nieważności, więc zwykły podpis elektroniczny ze śladem audytowym w zupełności wystarcza. Podpis kwalifikowany jest potrzebny głównie przy umowie o pracę i przeniesieniu autorskich praw majątkowych.

Czy e-mail z akceptacją to podpis elektroniczny?

W świetle szerokiej definicji z eIDAS wiadomość e-mail z wyraźną akceptacją może być uznana za zwykły podpis elektroniczny. Jej moc dowodowa jest jednak niska, bo nie wiąże akceptacji z konkretną wersją dokumentu i nie chroni jego treści przed zmianą. Dlatego do umów lepiej użyć narzędzia, które generuje ślad audytowy i skrót dokumentu.

Czy podpis elektroniczny jest ważny za granicą?

W całej Unii Europejskiej obowiązuje to samo rozporządzenie eIDAS, więc zasada niedyskryminacji podpisu elektronicznego działa we wszystkich państwach członkowskich. Przy kontrahentach spoza UE warto sprawdzić prawo miejscowe, choć większość dużych rynków, w tym Stany Zjednoczone i Wielka Brytania, uznaje podpisy elektroniczne w obrocie gospodarczym.