Podpis elektroniczny a kwalifikowany: czym się różnią i który jest Ci potrzebny

Krótka odpowiedź: podpis kwalifikowany (QES) to jeden z trzech rodzajów podpisu elektronicznego, a nie coś od niego innego. Rozporządzenie eIDAS wyróżnia podpis zwykły (SES), zaawansowany (AdES) i kwalifikowany (QES). Kwalifikowany jest jedynym, który ma skutek prawny równoważny podpisowi własnoręcznemu, więc jest konieczny tam, gdzie prawo wymaga formy pisemnej pod rygorem nieważności. We wszystkich pozostałych przypadkach, czyli przy zdecydowanej większości umów w obrocie gospodarczym, zwykły podpis elektroniczny ze śladem audytowym jest w pełni wystarczający.

To rozróżnienie kosztuje polskie firmy realne pieniądze. Przedsiębiorcy kupują certyfikaty kwalifikowane, czytniki kart i abonamenty, żeby podpisać umowę o współpracy albo NDA, do których podpis kwalifikowany nigdy nie był potrzebny. Poniżej wyjaśniamy, jak to naprawdę działa.

Rodzaje podpisu elektronicznego według eIDAS

Wszystko wynika z rozporządzenia Parlamentu Europejskiego i Rady (UE) nr 910/2014, znanego jako eIDAS. Obowiązuje ono w Polsce bezpośrednio, bez potrzeby wdrażania ustawą. eIDAS definiuje trzy poziomy podpisu elektronicznego, które różnią się siłą powiązania podpisu z osobą i sposobem jego zabezpieczenia.

Podpis elektroniczny zwykły (SES)

Najszersza kategoria. To dane w postaci elektronicznej, które są dołączone do innych danych elektronicznych lub logicznie z nimi powiązane i których podpisujący używa jako podpisu. Definicja jest celowo pojemna: mieści się w niej kliknięcie przycisku akceptacji, wpisanie imienia i nazwiska w formularzu, narysowanie podpisu palcem na ekranie, a nawet podpis pod treścią e-maila.

Kluczowe jest to, że SES nie wymaga certyfikatu ani żadnego urządzenia. Jego moc dowodowa zależy natomiast całkowicie od tego, jakie dowody towarzyszą podpisowi. Kliknięcie bez żadnego kontekstu jest dowodem słabym. To samo kliknięcie zarejestrowane wraz z adresem e-mail, adresem IP, znacznikiem czasu i skrótem kryptograficznym dokumentu jest dowodem mocnym.

Zaawansowany podpis elektroniczny (AdES)

Podpis, który spełnia cztery dodatkowe wymagania: jest unikalnie przyporządkowany podpisującemu, umożliwia jego identyfikację, jest składany przy użyciu danych, nad którymi podpisujący zachowuje wyłączną kontrolę, oraz jest powiązany z podpisanymi danymi w taki sposób, że każda późniejsza zmiana danych jest rozpoznawalna.

AdES jest więc mocniejszy niż SES, ale nadal nie ma automatycznego skutku równoważnego podpisowi własnoręcznemu. W praktyce w Polsce ten poziom jest najrzadziej używany świadomie, bo rynek dzieli się na tanie rozwiązania SES i drogie QES.

Kwalifikowany podpis elektroniczny (QES)

To zaawansowany podpis elektroniczny złożony przy użyciu kwalifikowanego urządzenia do składania podpisu i oparty na kwalifikowanym certyfikacie wydanym przez kwalifikowanego dostawcę usług zaufania wpisanego na oficjalną listę. W Polsce takich dostawców jest kilku, między innymi KIR (Szafir), Certum, EuroCert czy Asseco.

QES ma jedną cechę, której nie mają pozostałe: zgodnie z art. 25 ust. 2 eIDAS wywołuje skutek prawny równoważny podpisowi własnoręcznemu. To jest cała różnica i jednocześnie jedyny powód, dla którego kiedykolwiek warto za niego zapłacić.

Podpis elektroniczny a kwalifikowany: porównanie

Czy zwykły podpis elektroniczny jest ważny prawnie?

Tak. To najczęstsze nieporozumienie na polskim rynku. Art. 25 ust. 1 eIDAS mówi wprost, że podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że ma on postać elektroniczną lub że nie spełnia wymogów stawianych kwalifikowanym podpisom elektronicznym.

Innymi słowy: sąd nie odrzuci Twojej umowy tylko dlatego, że podpisano ją zwykłym e-podpisem. Zwykły podpis elektroniczny jest ważny i jest dowodem. Różnica polega na czymś innym, a mianowicie na tym, kto musi udowodnić autentyczność.

Przy podpisie kwalifikowanym działa domniemanie: przyjmuje się, że podpis złożyła osoba wskazana w certyfikacie, a ciężar obalenia tego spoczywa na tym, kto twierdzi inaczej. Przy podpisie zwykłym takiego domniemania nie ma, więc w razie sporu to Ty pokazujesz dowody: ślad audytowy, adres IP, znacznik czasu, historię dostępu do dokumentu i skrót kryptograficzny potwierdzający, że treść się nie zmieniła. Dlatego jakość śladu audytowego jest przy SES ważniejsza niż cokolwiek innego. Co dokładnie powinien zawierać, rozpisaliśmy w artykule o tym, czym jest ślad audytowy podpisu elektronicznego.

Kiedy naprawdę potrzebujesz podpisu kwalifikowanego

Lista jest krótsza, niż sugerują sprzedawcy certyfikatów. Podpis kwalifikowany jest konieczny wtedy, gdy przepis zastrzega dla czynności formę pisemną, bo tylko QES jest jej elektronicznym odpowiednikiem. W praktyce oznacza to przede wszystkim:

• umowę o pracę, dla której Kodeks pracy zastrzega formę pisemną,
• przeniesienie autorskich praw majątkowych oraz licencję wyłączną, pod rygorem nieważności (co realnie oznacza dla podpisu elektronicznego w agencji),
• czynności, przy których konkretny przepis wprost wymaga formy pisemnej pod rygorem nieważności,
• składanie pism procesowych i wniosków w części postępowań oraz sprawozdań finansowych,
• udział w postępowaniach o zamówienia publiczne, gdzie wymóg QES wynika z przepisów.

Warto dodać jedno zastrzeżenie, o którym łatwo zapomnieć: formy aktu notarialnego nie zastąpi żaden podpis elektroniczny, także kwalifikowany. Sprzedaż nieruchomości wymaga notariusza i tyle.

Jeżeli zatrudniasz pracowników na umowę o pracę, QES jest Ci potrzebny i nie ma od tego wyjątku. Jeśli przy okazji chcesz uporządkować sam proces zatrudniania, to już zupełnie inna sprawa niż podpis: warto po prostu zautomatyzować pozyskiwanie i selekcję kandydatów, zamiast rozwiązywać to arkuszem i skrzynką mailową.

Kiedy podpis kwalifikowany jest zbędnym kosztem

Tu zaczyna się realna oszczędność. Zasadą polskiego prawa cywilnego jest swoboda formy: jeśli przepis nie mówi inaczej, umowę można zawrzeć w dowolnej formie. Forma pisemna pod rygorem nieważności jest wyjątkiem. Dlatego zwykły podpis elektroniczny wystarcza między innymi do:

• umowy o świadczenie usług i umowy o współpracy B2B,
• umowy zlecenia,
• umowy o zachowaniu poufności (NDA),
• umowy sprzedaży rzeczy ruchomych,
• umowy najmu zawieranej na okres do roku,
• zamówień, ofert, protokołów odbioru i zdawczo-odbiorczych,
• umowy powierzenia przetwarzania danych osobowych,
• aneksów do umów, które same nie wymagają formy szczególnej.

To są dokumenty, które w większości firm stanowią 90 procent obiegu. Kupowanie do nich certyfikatu kwalifikowanego dla każdej osoby w zespole jest wydatkiem, który nie daje nic poza wyższym rachunkiem. Więcej o tym, co czym podpiszesz, znajdziesz na stronie o podpisywaniu umów online.

Czym różni się podpis kwalifikowany od profilu zaufanego?

To pytanie wraca bardzo często, bo oba narzędzia bywają mylone. Profil zaufany (podpis zaufany) jest bezpłatnym narzędziem służącym do potwierdzania tożsamości i podpisywania pism w kontaktach z administracją publiczną. Sprawdza się w e-urzędzie, przy wnioskach i pismach do ZUS czy urzędu skarbowego.

Profil zaufany nie jest jednak podpisem kwalifikowanym i nie wywołuje skutku równoważnego podpisowi własnoręcznemu w obrocie cywilnoprawnym. Nie podpiszesz nim skutecznie umowy o pracę ani przeniesienia praw autorskich. Jego zakres to relacja obywatel lub firma z administracją, a nie umowy między przedsiębiorcami. Zestawienie obu narzędzi znajdziesz we wpisie o tym, jak ma się podpis elektroniczny do profilu zaufanego.

Jak wybrać podpis dla swojej firmy

Sprowadza się to do jednego pytania: czy podpisujesz dokumenty, dla których przepis wymaga formy pisemnej?

Jeśli tak, czyli zatrudniasz na umowę o pracę, kupujesz lub sprzedajesz prawa autorskie albo startujesz w przetargach publicznych, potrzebujesz podpisu kwalifikowanego od kwalifikowanego dostawcy usług zaufania. Nie ma tu drogi na skróty i żadne narzędzie SES tego nie zastąpi.

Jeśli nie, a Twój obieg dokumentów to umowy B2B, zlecenia, NDA, zamówienia i protokoły, wystarczy zwykły podpis elektroniczny. Warunek jest jeden: musi mieć porządny ślad audytowy, bo to on stanowi Twój dowód. Szukaj narzędzia, które przy każdym podpisie zapisuje tożsamość, adres e-mail, adres IP, znacznik czasu i metodę uwierzytelnienia, a treść dokumentu zabezpiecza skrótem kryptograficznym.

Wiele firm potrzebuje obu rozwiązań naraz: certyfikatu kwalifikowanego dla jednej osoby w dziale kadr i zwykłego e-podpisu dla całej reszty organizacji. Jak połączyć je w jednym dokumencie, tłumaczymy we wpisie o tym, czy można podpisać umowę dwoma różnymi podpisami. To zwykle najtańszy i najrozsądniejszy układ.

Najczęstsze pytania

Czy podpis kwalifikowany to to samo co podpis elektroniczny?

Nie do końca. Podpis kwalifikowany jest jednym z trzech rodzajów podpisu elektronicznego zdefiniowanych w eIDAS, obok zwykłego i zaawansowanego. Każdy podpis kwalifikowany jest podpisem elektronicznym, ale nie każdy podpis elektroniczny jest kwalifikowany.

Czy zwykły podpis elektroniczny wystarczy do umowy zlecenia?

Tak. Kodeks cywilny nie zastrzega dla umowy zlecenia formy pisemnej pod rygorem nieważności, więc zwykły podpis elektroniczny ze śladem audytowym jest wystarczający. Nie należy mylić umowy zlecenia z umową o pracę, która formy pisemnej wymaga.

Ile kosztuje podpis kwalifikowany?

Aktualne stawki zebraliśmy w zestawieniu tego, ile kosztuje podpis elektroniczny. Certyfikat kwalifikowany u polskich dostawców to zwykle koszt rzędu kilkuset złotych rocznie na osobę, do tego dochodzi karta kryptograficzna z czytnikiem lub abonament na podpis w chmurze. Koszt rośnie liniowo z liczbą osób w firmie, dlatego przy większych zespołach warto najpierw sprawdzić, ile dokumentów naprawdę wymaga QES.

Czy podpis elektroniczny można podrobić?

Sam obrazek podpisu można skopiować, dlatego nie on stanowi dowód. Dowodem jest ślad audytowy: powiązanie czynności podpisania z konkretnym adresem e-mail, adresem IP i momentem w czasie, plus skrót kryptograficzny dokumentu, który wykrywa każdą późniejszą zmianę treści. Podpis kwalifikowany dodatkowo opiera się na certyfikacie i urządzeniu, nad którym podpisujący ma wyłączną kontrolę.

Czy umowa podpisana zwykłym e-podpisem obroni się w sądzie?

Tak, jest dopuszczalna jako dowód i sąd nie może jej odrzucić z powodu formy elektronicznej. Jej siła zależy od jakości śladu audytowego. Dokument z pełnym logiem podpisu, adresem IP, znacznikiem czasu i skrótem SHA-256 jest znacznie mocniejszym dowodem niż skan podpisu odesłany mailem.