Podpis cyfrowy a podpis elektroniczny: różnice, moc prawna i jak podpisać PDF

Podpis cyfrowy to technika kryptograficzna, która pozwala sprawdzić dwie rzeczy naraz: że plik nie zmienił się po podpisaniu i że podpis powstał kluczem prywatnym powiązanym z określonym kluczem publicznym. Program liczy skrót dokumentu, szyfruje go kluczem prywatnym, a odbiorca powtarza rachunek po swojej stronie. Zgodność skrótów oznacza, że w pliku nie przestawiono ani jednego bajta.

To bardzo mocne narzędzie, ale odpowiada tylko na pytanie „czy plik jest nienaruszony". Nie odpowiada na pytanie „kto to podpisał", bo klucz prywatny to po prostu plik na czyimś dysku. Za odpowiedź na drugie pytanie odpowiada certyfikat i to, kto go wystawił. Jeśli certyfikat wystawił sobie sam podpisujący, kryptografia działa bez zarzutu, a dowodowo nie wnosi nic.

Dlatego prawo unijne nie reguluje podpisu cyfrowego jako takiego. Reguluje podpis elektroniczny i to, jakie warunki musi spełnić, żeby wywołać określony skutek. Kryptografia jest tam środkiem, nigdy celem. Więcej o samych poziomach znajdziesz na stronie rodzaje podpisów elektronicznych.

Podpis elektroniczny jest kategorią prawną, a podpis cyfrowy kategorią techniczną, więc te dwa pojęcia nie leżą na jednej osi. Popularne zdanie „podpis cyfrowy to bezpieczniejsza odmiana podpisu elektronicznego" jest mylące, bo miesza warstwy. Poprawniej: podpis cyfrowy to mechanizm, którym można zbudować podpis elektroniczny każdego z trzech poziomów, ale można też zbudować podpis elektroniczny zupełnie bez niego.

Najlepiej widać to na przykładach. Kliknięcie „Podpisuję" na platformie po wpisaniu kodu z e-maila to zwykły podpis elektroniczny bez kryptografii po stronie użytkownika, a mimo to zachowuje formę dokumentową. Plik podpisany w Wordzie certyfikatem z SelfCert.exe to pełnoprawny podpis cyfrowy, który również zachowuje co najwyżej formę dokumentową, a przy tym nie pozwala ustalić osoby, bo nikt nie ręczy za ten certyfikat. Podpis kwalifikowany jest jednocześnie podpisem cyfrowym i jedynym podpisem równoważnym własnoręcznemu.

Wniosek jest prosty i wart zapamiętania: o formie prawnej decyduje możliwość ustalenia osoby i rodzaj certyfikatu, a nie siła użytej kryptografii. Zaawansowany podpis elektroniczny (AdES), mimo spełnienia czterech technicznych wymogów z art. 26 eIDAS, daje w polskim prawie cywilnym dokładnie tę samą formę dokumentową co zwykły SES.

Tak, ale ważność wynika z czego innego, niż większość osób zakłada. Art. 25 ust. 1 eIDAS zakazuje odmawiania podpisowi elektronicznemu skutku prawnego i dopuszczalności jako dowodu w postępowaniu sądowym tylko dlatego, że ma postać elektroniczną albo nie spełnia wymogów podpisu kwalifikowanego. Sąd nie może więc odrzucić dokumentu wyłącznie dlatego, że podpisano go elektronicznie.

Osobną sprawą jest forma czynności prawnej. Umowa handlowa, zlecenie, NDA, zamówienie czy umowa o dzieło nie mają zastrzeżonej formy pisemnej, więc obowiązuje swoboda formy z art. 60 KC i podpis dowolnego poziomu je zamyka. Tam, gdzie przepis żąda formy pisemnej pod rygorem nieważności, jedynym wyjściem elektronicznym jest podpis kwalifikowany, bo tylko on wypełnia art. 78(1) § 1 KC. Rozpisaliśmy to szczegółowo na stronie o mocy prawnej podpisu elektronicznego.

Zdarza się też sytuacja odwrotna, o której poradniki milczą. Umowa pożyczki powyżej tysiąca złotych wymaga wprost formy dokumentowej (art. 720 § 2 KC), a wypowiedzenie umowy zawartej na piśmie także tylko dokumentowej (art. 77 § 2 KC). W obu przypadkach zwykły podpis elektroniczny spełnia przepis wprost, a podpis kwalifikowany jest wydatkiem bez żadnej dodatkowej korzyści formalnej.

Drogi są trzy i różnią się tym, kto ręczy za tożsamość podpisującego.

Certyfikatem kwalifikowanym. Kupujesz certyfikat u dostawcy z listy kwalifikowanej (Certum, KIR, EuroCert, Cencert), przechodzisz weryfikację tożsamości, instalujesz aplikację dostawcy i podpisujesz plik w formacie PAdES. Efektem jest jeden PDF z podpisem w środku. Koszt to zwykle od około 150 do 300 zł netto rocznie, a pojedynczy podpis mSzafir kosztuje 15 zł netto. Aktualne stawki zebraliśmy na stronie podpis elektroniczny cena.

Certyfikatem własnym z Adobe Reader lub SelfCert.exe. Technicznie to nadal podpis cyfrowy, ale odbiorca zobaczy ostrzeżenie o niezweryfikowanym podpisie, bo za certyfikat nikt nie ręczy. Nadaje się do testów i do obiegu wewnętrznego, nie nadaje się do umowy z kontrahentem.

Platformą do podpisu online. Wgrywasz PDF, wpisujesz adresy e-mail sygnatariuszy, każdy potwierdza kodem jednorazowym. Otrzymujesz podpisany plik oraz Kartę Podpisów ze śladem audytowym. Formalnie jest to zwykły podpis elektroniczny, który zachowuje formę dokumentową i przy większości umów wystarcza. Krok po kroku opisaliśmy to w poradniku jak podpisać umowę elektronicznie.

Podpis kwalifikowany jest podpisem cyfrowym, ale nie każdy podpis cyfrowy jest kwalifikowany. Różnicę robią dwa elementy wskazane w art. 3 pkt 12 eIDAS: kwalifikowany certyfikat oraz kwalifikowane urządzenie do składania podpisu. To one przenoszą podpis z warstwy technicznej do warstwy prawnej, bo dopiero wtedy działa art. 25 ust. 2 eIDAS i podpis staje się równoważny podpisowi własnoręcznemu.

Praktyczna wskazówka przy zakupie: dopłata do poziomu zaawansowanego (AdES) nie daje żadnej przewagi formalnej nad zwykłym podpisem, bo oba kończą na formie dokumentowej. Przewagę daje dopiero skok do QES. Jeśli więc ktoś oferuje „mocniejszy podpis cyfrowy", warto zapytać wprost, czy jest to podpis kwalifikowany w rozumieniu eIDAS. Jeżeli nie, formalnie kupujesz to samo, co masz w każdej platformie do podpisu.

Odwrotna pułapka też istnieje. Podpis kwalifikowany nie daje daty pewnej. Daje ją dopiero kwalifikowany elektroniczny znacznik czasu (art. 81 § 2 pkt 3 KC), który można dołożyć nawet do zwykłego podpisu. Rozdzieliliśmy te dwie sprawy na stronie o znaczniku czasu w podpisie elektronicznym.

W ogromnej większości przypadków komunikat Adobe Reader „podpis nie został zweryfikowany" albo „podpis cyfrowy jest nieprawidłowy" nie oznacza, że z dokumentem jest coś nie tak. Reader domyślnie sprawdza certyfikat wobec listy AATL, którą prowadzi firma Adobe. Unijne listy zaufane (EUTL) prowadzą państwa członkowskie i są to dwa niezależne zbiory. Dokument z w pełni kwalifikowanym podpisem może więc dostać ostrzeżenie, a dokument z zielonym paskiem nie musi być kwalifikowany.

Cztery najczęstsze przyczyny w praktyce: certyfikat wystawiony samodzielnie (SelfCert), certyfikat spoza listy AATL mimo obecności na liście unijnej, plik zmodyfikowany po podpisaniu (choćby przez ponowne zapisanie w innym programie) oraz podpis XAdES zewnętrzny, w którym drugi plik z rozszerzeniem .xades albo .xml został zgubiony po drodze. Pierwsze dwie przyczyny są niegroźne, dwie kolejne oznaczają realny problem.

Rozstrzygający test jest jeden: zweryfikuj plik walidatorem, który sprawdza unijne listy zaufane, a nie listę Adobe. Opisaliśmy trzy sposoby w artykule jak zweryfikować podpis elektroniczny w PDF.

Cena zależy wyłącznie od poziomu podpisu, nigdy od miasta, bo cenniki dostawców są ogólnopolskie. Zwykły podpis elektroniczny na platformie kosztuje tyle, ile abonament platformy, a u nas darmowe demo obejmuje 3 dokumenty na próbę bez karty płatniczej. Certyfikat kwalifikowany na rok to wydatek rzędu 219 do 299 zł netto u polskich dostawców, a jednorazowy podpis mSzafir kosztuje 15 zł netto i jest ważny 15 minut na jeden plik PDF do 10 MB.

Warto policzyć to od strony potrzeby, a nie cennika. Jeżeli podpisujesz umowy handlowe, zlecenia i NDA, forma dokumentowa wystarcza i certyfikat kwalifikowany niczego w tych umowach nie poprawi. Jeżeli raz w roku składasz sprawozdanie finansowe albo podpisujesz umowę o pracę, podpis kwalifikowany jest niezbędny i wtedy najtańszy bywa podpis jednorazowy. Pełne zestawienie stawek czterech dostawców znajdziesz na stronie cena podpisu elektronicznego.

To trzy różne rzeczy, które w wyszukiwarce trafiają pod jedno hasło. Podpis osobisty z warstwy elektronicznej e-dowodu jest, zgodnie z art. 2 pkt 9 ustawy o dowodach osobistych, zaawansowanym podpisem elektronicznym w rozumieniu art. 3 pkt 11 eIDAS. Nie jest podpisem kwalifikowanym. Gov.pl podaje wprost, że wywołuje on skutek podpisu własnoręcznego dla podmiotu publicznego, a w kontaktach z firmą działa tylko wtedy, gdy obie strony wyrażą na to zgodę.

Podpis zaufany, dostępny przez profil zaufany, mObywatela i ePUAP, w sprawach urzędowych zastępuje podpis własnoręczny, ale w prawie cywilnym daje formę dokumentową. Umowa podpisana profilem zaufanym nie jest więc umową w formie pisemnej i nie zamknie czynności zastrzeżonej pod rygorem nieważności.

Dla firmy oznacza to jedną rzecz praktyczną: podpis państwowy z e-dowodu albo z mObywatela nie daje w umowie z kontrahentem nic więcej niż zwykły podpis elektroniczny z porządnym śladem audytowym, a bywa trudniejszy w obiegu, bo wymaga czytnika albo aplikacji po obu stronach. Porównanie obu ścieżek znajdziesz w artykule podpis elektroniczny a profil zaufany.