Podpis niekwalifikowany: podpis kwalifikowany a niekwalifikowany i zwykły podpis elektroniczny

Podpis niekwalifikowany to każdy podpis elektroniczny, który nie spełnia wymogów kwalifikowanego podpisu elektronicznego z rozporządzenia eIDAS. Nazwa jest potoczna. Rozporządzenie eIDAS zna trzy poziomy: podpis elektroniczny (SES), zaawansowany podpis elektroniczny (AES) i kwalifikowany podpis elektroniczny (QES). „Niekwalifikowany” to po prostu worek na dwa pierwsze.

Z praktycznego punktu widzenia ta jedna nazwa opisuje bardzo różne rzeczy. Imię i nazwisko wpisane pod mailem jest podpisem elektronicznym w rozumieniu eIDAS i jest niekwalifikowane. Podpis złożony na platformie, z weryfikacją adresu e-mail, znacznikiem czasu i skrótem kryptograficznym dokumentu, też jest niekwalifikowany. Dowodowo dzieli je przepaść, a etykieta jest ta sama. Dlatego przy wyborze narzędzia pytanie „czy to jest kwalifikowane?” jest mniej użyteczne niż pytanie „co dokładnie zapisuje ślad audytowy?”.

Warto też odróżnić dwa różne pytania, które ludzie zadają tym samym zdaniem. Pierwsze brzmi: czy ten podpis jest ważny. Drugie: czy ten podpis spełnia narzuconą przez przepis formę. To nie to samo i mylenie ich jest źródłem większości nieporozumień wokół e-podpisu w Polsce.

Tak. Art. 25 ust. 1 eIDAS zakazuje odmawiania podpisowi elektronicznemu skutku prawnego i dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że ma postać elektroniczną lub nie spełnia wymogów podpisu kwalifikowanego. To przepis unijny stosowany bezpośrednio, więc polski sąd nie może odrzucić dokumentu tylko dlatego, że podpis nie był kwalifikowany.

Osobną kwestią jest forma czynności prawnej. Zgodnie z art. 78(1) § 1 Kodeksu cywilnego formę elektroniczną, równoważną formie pisemnej, daje wyłącznie kwalifikowany podpis elektroniczny. Podpis niekwalifikowany złożony na platformie spełnia formę dokumentową z art. 77(2) KC, czyli oświadczenie woli w postaci dokumentu, w sposób umożliwiający ustalenie osoby składającej oświadczenie.

Dla ogromnej większości umów w obrocie gospodarczym forma dokumentowa w zupełności wystarcza, bo prawo nie zastrzega dla nich żadnej formy szczególnej. Problem pojawia się dopiero tam, gdzie przepis wprost mówi „pod rygorem nieważności”. Szerzej rozkładamy to na stronie o mocy prawnej podpisu elektronicznego.

Pod hasłem „podpis niekwalifikowany” kryją się dwa poziomy z eIDAS i mylenie ich prowadzi do złych decyzji zakupowych.

Zwykły podpis elektroniczny (SES) to, zgodnie z art. 3 pkt 10 eIDAS, dane w postaci elektronicznej dołączone lub logicznie powiązane z innymi danymi, których podpisujący używa jako podpisu. Definicja jest celowo szeroka. Mieści się w niej kliknięcie przycisku, wpisane nazwisko i podpis złożony palcem na ekranie telefonu.

Zaawansowany podpis elektroniczny (AES) musi spełnić cztery warunki z art. 26 eIDAS jednocześnie: być unikalnie przyporządkowany podpisującemu, umożliwiać ustalenie jego tożsamości, być składany przy użyciu danych, nad którymi podpisujący ma wyłączną kontrolę, i być powiązany z podpisanymi danymi tak, że każda późniejsza zmiana jest rozpoznawalna. Opisujemy go osobno na stronie o zaawansowanym podpisie elektronicznym.

Oba są niekwalifikowane i oba dają formę dokumentową. Różnica jest dowodowa, nie formalna: przy AES trudniej podważyć, kto podpisał, bo mechanizm techniczny sam odpowiada na to pytanie. Pełne zestawienie trzech poziomów znajdziesz na stronie o rodzajach podpisów elektronicznych.

Decyzja sprowadza się do jednego pytania: czy przepis zastrzega dla tej czynności formę pisemną lub elektroniczną pod rygorem nieważności. Jeśli nie, podpis niekwalifikowany wystarczy. Poniżej najczęstsze dokumenty w polskim obrocie.

Jeśli dokument trafił do prawej kolumny z odpowiedzią „nie”, żadna platforma z podpisem niekwalifikowanym tego nie obejdzie. Wtedy potrzebny jest certyfikat kwalifikowany, ewentualnie Profil Zaufany tam, gdzie przepis go dopuszcza.

Certyfikat niekwalifikowany to certyfikat wydany przez dostawcę, który nie przeszedł procedury kwalifikacji i nie figuruje na unijnej liście zaufania. Kosztuje od kilkudziesięciu złotych rocznie, a bywa wydawany za darmo, na przykład przy okazji zakupu innej usługi. Sprzedają je między innymi Certum, EuroCert i KIR.

Tu jest jednak haczyk, który wielu firmom umyka: do złożenia podpisu niekwalifikowanego na platformie e-podpisu certyfikat po stronie podpisującego nie jest w ogóle potrzebny. Kontrahent klika link, weryfikuje adres e-mail i podpisuje. Certyfikat osobisty kupuje się wtedy, gdy chce się podpisywać samodzielnie w Adobe Acrobat albo szyfrować pocztę, a nie wtedy, gdy chce się wysłać umowę do podpisu.

Porównanie kosztów wygląda tak. Kwalifikowany podpis elektroniczny startuje u polskich dostawców od około 239 zł netto za rok i wymaga weryfikacji tożsamości każdej osoby. Certyfikat niekwalifikowany jest tańszy, ale nie daje formy elektronicznej z art. 78(1) KC, więc płaci się za coś, co formalnie stoi tam, gdzie darmowy podpis z linku. Pełne zestawienie stawek zebraliśmy na stronie podpis elektroniczny cena.

Przy otwieraniu podpisanego PDF-a Adobe Acrobat Reader potrafi pokazać komunikat „Poprawność podpisu jest nieznana” albo „Tożsamość autora podpisu jest nieznana”. Ludzie czytają to jako „podpis jest zły”, a znaczy to coś innego.

Reader sprawdza dwie rzeczy osobno. Pierwsza: czy dokument został zmieniony po podpisaniu. Druga: czy wystawca certyfikatu znajduje się na liście zaufanych wystawców w programie. Certyfikat niekwalifikowany zwykle nie jest na listach AATL i EUTL, więc druga odpowiedź brzmi „nie wiem”, mimo że pierwsza brzmi „dokument jest nienaruszony”. Komunikat mówi o zaufaniu do wystawcy, nie o integralności pliku.

Rozwiązanie po stronie odbiorcy sprowadza się do aktualizacji list zaufanych certyfikatów w preferencjach Adobe Acrobat Reader. Warto najpierw zainstalować dostępne aktualizacje samego programu, bo listy przychodzą razem z nimi. Jeżeli chcesz sprawdzić podpis niezależnie od Readera, opisujemy to w tekście o tym, jak zweryfikować podpis elektroniczny w PDF.

W praktyce dla umowy podpisanej na platformie ten komunikat ma niewielkie znaczenie, bo dowodem nie jest ikonka w Readerze, tylko ślad audytowy dołączony do dokumentu.

Zwykły podpis elektroniczny nie musi wyglądać jak odręczny zawijas. Prawo nie narzuca mu żadnej postaci graficznej, bo podpisem są dane, a nie obrazek. W praktyce na PDF-ie z naszej platformy widać blok z imieniem i nazwiskiem podpisującego, adresem e-mail, datą i godziną złożenia podpisu oraz identyfikatorem dokumentu.

Do pliku dołączamy Kartę Podpisów, czyli osobną stronę ze śladem audytowym. Zawiera kolejność zdarzeń: kiedy dokument został wysłany, kiedy otwarty, kiedy podpisany, z jakiego adresu IP i po weryfikacji jakiego adresu e-mail. To ta strona, a nie graficzna wizualizacja podpisu, jest właściwym materiałem dowodowym, gdyby druga strona kiedykolwiek zaprzeczyła, że podpisała.

Więcej przykładów pokazujemy w tekście o tym, jak wygląda podpis elektroniczny.

W podpiszmy.pl płaci wyłącznie osoba, która wysyła dokument do podpisu. Kontrahent nie płaci nic i niczego nie kupuje.

Dla porównania: kwalifikowany podpis elektroniczny to koszt rzędu 239 zł netto rocznie na osobę plus weryfikacja tożsamości każdego podpisującego. Przy umowie zlecenia z pięcioma osobami różnica jest oczywista, o ile dokument nie należy do tych, które formy kwalifikowanej faktycznie wymagają.