eIDAS: rozporządzenie 910/2014, eIDAS 2 i podpis elektroniczny w praktyce

eIDAS jest rozporządzeniem, a nie dyrektywą. Różnica ma znaczenie praktyczne: rozporządzenie stosuje się wprost, bez polskiej ustawy wdrażającej. Hasło „dyrektywa eIDAS” pojawia się z przyzwyczajenia, bo wcześniej podpis elektroniczny regulowała dyrektywa 1999/93/WE. Art. 50 eIDAS uchylił ją z dniem 1 lipca 2016 r.

Rozporządzenie ma dwie części. Pierwsza dotyczy identyfikacji elektronicznej, czyli wzajemnego uznawania krajowych środków logowania do usług publicznych. Druga dotyczy usług zaufania: podpisów i pieczęci elektronicznych, znaczników czasu, usług rejestrowanego doręczenia elektronicznego i certyfikatów uwierzytelniania witryn. Oficjalny tekst, także wersję skonsolidowaną z późniejszymi zmianami, publikuje serwis EUR-Lex.

• Podpis elektroniczny (SES), art. 3 pkt 10: „dane w postaci elektronicznej, które są dołączone lub logicznie powiązane z innymi danymi w postaci elektronicznej, i które użyte są przez podpisującego jako podpis”.
• Zaawansowany podpis elektroniczny (AdES), art. 3 pkt 11: podpis spełniający wymogi z art. 26. Musi być unikalnie przyporządkowany podpisującemu, umożliwiać ustalenie jego tożsamości, być składany przy użyciu danych, których podpisujący może z dużą dozą pewności użyć pod wyłączną swoją kontrolą, oraz być powiązany z danymi tak, że każda późniejsza zmiana jest rozpoznawalna.
• Kwalifikowany podpis elektroniczny (QES), art. 3 pkt 12: podpis zaawansowany składany za pomocą kwalifikowanego urządzenia i oparty na kwalifikowanym certyfikacie.

Poziomy tworzą piramidę: każdy QES jest AdES, każdy AdES jest SES. Porównanie praktyczne, z przykładami dokumentów, zebraliśmy w przewodniku po rodzajach podpisów elektronicznych oraz na stronie o zaawansowanym podpisie elektronicznym.

Art. 25 ust. 1: „Podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że podpis ten ma postać elektroniczną lub że nie spełnia wymogów dla kwalifikowanych podpisów elektronicznych”. Ust. 2: „Kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu”.

Ust. 1 chroni każdy poziom, ale niczego nie przesądza z góry. Sąd musi taki podpis dopuścić jako dowód i oceni jego wiarygodność. Dlatego przy zwykłym podpisie liczy się ślad audytowy. Ust. 2 daje automatyczną równoważność wyłącznie podpisowi kwalifikowanemu.

Po eIDAS 2 zasada, że kwalifikowany podpis wydany w jednym państwie członkowskim jest uznawany we wszystkich pozostałych, znajduje się w art. 24a ust. 1, a dawny art. 25 ust. 3 skreślono. Treść zasady się nie zmieniła.

Rozporządzenie 2024/1183 opublikowano 30 kwietnia 2024 r. i weszło w życie dwudziestego dnia po publikacji. Najważniejsze zmiany:

• Europejski portfel tożsamości cyfrowej (art. 5a). Każde państwo członkowskie zapewnia co najmniej jeden portfel w terminie 24 miesięcy od wejścia w życie aktów wykonawczych. Podstawowe akty wykonawcze weszły w życie 24 grudnia 2024 r., więc termin przypada na koniec 2026 r.
• Bezpłatny podpis kwalifikowany w portfelu. Portfel musi oferować osobom fizycznym składanie podpisów kwalifikowanych domyślnie i nieodpłatnie (art. 5a ust. 5 lit. g). Państwa mogą ograniczyć darmowe użycie do celów innych niż profesjonalne.
• Obowiązek akceptacji portfela przez część prywatnych stron ufających, na przykład w bankowości, energetyce i telekomunikacji, najpóźniej 36 miesięcy od wejścia w życie aktów wykonawczych (art. 5f ust. 2), z wyjątkiem mikro i małych przedsiębiorstw.
• Nowe usługi zaufania: elektroniczne poświadczenie atrybutów, archiwizacja elektroniczna i rejestry elektroniczne, także w wersjach kwalifikowanych.

Czego eIDAS 2 nie zmienia: definicji trzech poziomów podpisu i skutków z art. 25 ust. 1 i 2. Umowa podpisana dziś zwykłym podpisem elektronicznym ma tę samą pozycję co przed nowelizacją. Portfel może za to w przyszłości ułatwić złożenie podpisu kwalifikowanego osobom prywatnym.

eIDAS nie mówi, które umowy wymagają jakiej formy. To robi prawo krajowe. W Polsce łączą się z nim dwa przepisy KC:

Wniosek: gdy ustawa żąda formy pisemnej, elektronicznie spełnisz ją wyłącznie podpisem kwalifikowanym. Gdy formy szczególnej nie ma albo wymagana jest dokumentowa, wystarczy zwykły podpis elektroniczny. Rozwinięcie znajdziesz na stronach moc prawna podpisu elektronicznego i forma dokumentowa.

W podpiszmy.pl składasz podpis zwykły (SES). Gdy każdy sygnatariusz przejdzie kod SMS albo weryfikację tożsamości, dokument osiąga poziom zaawansowany (AdES) i dostaje pieczęć PAdES certyfikatem platformy, który nie jest certyfikatem kwalifikowanym. Oba poziomy są zgodne z eIDAS. Podpisu kwalifikowanego nie oferujemy, bo nie jesteśmy kwalifikowanym dostawcą usług zaufania. Jak złożyć każdy z trzech rodzajów podpisu w praktyce, opisuje poradnik jak podpisać dokument elektronicznie.