Rodzaje podpisów elektronicznych: zwykły, zaawansowany i kwalifikowany

Rodzaje podpisów elektronicznych są trzy i wynikają wprost z rozporządzenia eIDAS: zwykły, zaawansowany i kwalifikowany. Tworzą hierarchię, w której każdy kolejny poziom zawiera w sobie poprzedni. Zaawansowany podpis to podpis elektroniczny spełniający dodatkowe wymogi, a kwalifikowany to podpis zaawansowany z dwoma dalszymi warunkami.

Warto zauważyć rzecz, która zaskakuje najczęściej: zarówno zwykły, jak i zaawansowany podpis elektroniczny prowadzą w polskim prawie cywilnym do tej samej formy, czyli dokumentowej. Skok jakościowy następuje dopiero przy podpisie kwalifikowanym. Z punktu widzenia formy czynności prawnej AdES nie daje więc nic ponad SES, a kosztuje i wymaga certyfikatu. Jego przewagą jest siła dowodowa, nie forma.

Osobno warto odsiać pojęcie, które nie należy do tej hierarchii. „Podpis cyfrowy" to termin techniczny z kryptografii, a nie jeden z poziomów eIDAS, więc bywa nazwą i dla zwykłego podpisu, i dla kwalifikowanego. Rozdzieliliśmy warstwę techniczną od prawnej na stronie o tym, czym różni się podpis cyfrowy od podpisu elektronicznego.

Jeśli po tym zestawieniu wiesz już, że potrzebujesz certyfikatu, sprawdź, jak uzyskać podpis elektroniczny: kto może go wystawić, ile kosztuje i ile trwa weryfikacja tożsamości.

Podobnie odsiej „podpis biometryczny”, czyli podpis złożony rysikiem na tablecie. To również nie jest osobny szczebel hierarchii eIDAS, tylko sposób złożenia podpisu, który przecina ją w poprzek: w zależności od tego, co zapisuje urządzenie, bywa zwykłym podpisem elektronicznym albo samą grafiką. Wygląda jak podpis odręczny, ale polskie orzecznictwo nie uznało go za podpis własnoręczny z art. 78 § 1 KC, więc pewnie zachowuje wyłącznie formę dokumentową. Rozstrzygnięcie razem z obowiązkami z RODO opisaliśmy na stronie o tym, czy podpis biometryczny zastępuje formę pisemną.

Zwykły podpis elektroniczny różni się od kwalifikowanego jedną rzeczą o realnym znaczeniu: kwalifikowany zastępuje podpis własnoręczny, a zwykły nie. Art. 25 ust. 2 eIDAS mówi wprost, że „kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu”. Takiego zdania nie ma przy żadnym innym poziomie i to jest cała różnica prawna.

Nie oznacza to jednak, że zwykły podpis elektroniczny jest słabszy „w sądzie”. Art. 25 ust. 1 eIDAS chroni każdy podpis elektroniczny: nie można mu odmówić skutku prawnego ani dopuszczalności jako dowodu wyłącznie z tego powodu, że ma postać elektroniczną lub że nie spełnia wymogów dla podpisów kwalifikowanych. Sąd musi taki dowód dopuścić. Oceni tylko jego wiarygodność, tak jak ocenia każdy inny dokument prywatny.

Praktyczna konsekwencja jest taka, że przy zwykłym podpisie elektronicznym cała gra toczy się o dowody. Podpis kwalifikowany przynosi je ze sobą w certyfikacie. Zwykły podpis musi je zebrać wokół siebie, a robi to ślad audytowy: znacznik czasu, adres IP, potwierdzony adres e-mail, historia otwarć dokumentu i skrót kryptograficzny treści. Dokładnie z tego składa się Karta Podpisów doklejana do każdego pliku podpisanego u nas.

Kwalifikowany podpis elektroniczny to zaawansowany podpis elektroniczny z dwoma dodatkowymi warunkami. Musi być składany za pomocą kwalifikowanego urządzenia do składania podpisu i musi opierać się na kwalifikowanym certyfikacie wydanym przez kwalifikowanego dostawcę usług zaufania. Tak stanowi art. 3 pkt 12 eIDAS. Każdy podpis kwalifikowany jest więc zaawansowany, ale nie odwrotnie.

Różnica jest istotna, bo wiele narzędzi reklamuje się jako „bezpieczny podpis elektroniczny” albo „podpis z certyfikatem”, spełniając wymogi art. 26, ale nie dokładając kwalifikowanego certyfikatu. Taki podpis pozostaje zaawansowany i w polskim prawie cywilnym zachowuje formę dokumentową, a nie pisemną. Dla umowy o pracę albo przeniesienia autorskich praw majątkowych to za mało.

Jeżeli po tej tabeli zostaje pytanie, czy w ogóle warto dopłacać do poziomu zaawansowanego, odpowiedź w typowej firmie brzmi: rzadko. Albo forma pisemna jest wymagana i wtedy potrzebujesz QES, albo nie jest wymagana i wtedy SES z porządnym śladem audytowym załatwia sprawę bez kupowania certyfikatów przez obie strony.

Rozkładamy tę różnicę na czynniki pierwsze, razem z pełnym brzmieniem art. 26 eIDAS i listą przepisów, które w Polsce faktycznie dopuszczają ten stopień, na osobnej stronie o tym, czym jest zaawansowany podpis elektroniczny i kiedy jest wymagany.

Nie. Ani podpis zaufany, ani podpis osobisty nie jest kwalifikowanym podpisem elektronicznym, mimo że oba pochodzą od państwa i oba bywają nazywane „oficjalnym podpisem elektronicznym”. To najczęstsze nieporozumienie w całym temacie i regularnie kończy się nieważną umową.

Podpis osobisty ma tu status najbardziej jednoznaczny, bo rozstrzyga go definicja ustawowa. Art. 2 pkt 9 ustawy z 6 sierpnia 2010 r. o dowodach osobistych określa go jako zaawansowany podpis elektroniczny w rozumieniu art. 3 pkt 11 eIDAS, weryfikowany certyfikatem podpisu osobistego. Ustawodawca sam zaklasyfikował go więc jako AdES. Serwis gov.pl dodaje dwie informacje, które w praktyce znaczą najwięcej: podpis osobisty „wywołuje dla podmiotu publicznego taki sam skutek prawny jak podpis własnoręczny” oraz „może być wykorzystywany również w kontaktach z podmiotami innymi niż publiczne, ale tylko jeżeli obie strony wyrażą na to zgodę”.

Ta druga część jest kluczowa dla firm. Równoważność z podpisem własnoręcznym dotyczy relacji z urzędem, a nie umowy z kontrahentem. W obrocie prywatnym podpis osobisty działa na zasadzie umowy stron, a nie z mocy prawa. Podobnie podpis zaufany: w sprawach administracyjnych zastępuje podpis własnoręczny, a w prawie cywilnym daje formę dokumentową.

Sam podpis osobisty ma zresztą ustawową kwalifikację, o której mało kto wie: art. 2 pkt 9 ustawy o dowodach osobistych nazywa go wprost zaawansowanym podpisem elektronicznym. Co z tego wynika w umowie z firmą, wyjaśniamy w tekście podpis osobisty a podpis kwalifikowany.

Wybór rodzaju podpisu wynika z tego, jakiej formy prawo wymaga dla konkretnej czynności, a nie z tego, jak ważna wydaje się umowa. Umowa na sto tysięcy złotych może nie wymagać żadnej formy szczególnej, a aneks do umowy o pracę na dwieście złotych podwyżki będzie wymagał podpisu kwalifikowanego.

Ostatni wiersz jest wart podkreślenia, bo bywa źródłem rozczarowania: aktu notarialnego nie zastąpi nawet podpis kwalifikowany. Jeżeli przepis wymaga formy notarialnej, jedyną drogą pozostaje wizyta u notariusza. Podobnie działa pełnomocnictwo, które na mocy art. 99 KC musi mieć formę wymaganą dla samej czynności.

Rozpoznanie rodzaju podpisu na otrzymanym pliku zajmuje minutę i warto to robić przed podpisaniem czegokolwiek w drugą stronę. Otwórz PDF w Adobe Reader i zobacz, czy u góry pojawia się panel podpisu. Jeżeli program pokazuje zielony pasek i nazwę wystawcy certyfikatu, którego można znaleźć na europejskiej liście zaufanej, masz do czynienia z podpisem kwalifikowanym. Jeżeli pokazuje ostrzeżenie o niezweryfikowanym podpisie, to jeszcze nic nie przesądza: certyfikat może być niekwalifikowany albo Reader po prostu nie ma go w swoim magazynie zaufania. Co dokładnie znaczy taki komunikat i kiedy podpis niekwalifikowany wystarczy zamiast kwalifikowanego, rozkładamy na osobnej stronie.

Jeżeli panelu podpisu nie ma w ogóle, a na końcu dokumentu widnieją bloki podpisów i strona podsumowująca, dostałeś dokument podpisany zwykłym podpisem elektronicznym. Wtedy dowodem jest właśnie ta strona: kto podpisał, z jakiego adresu e-mail, o której godzinie, z jakiego adresu IP i pod jakim skrótem SHA-256 oryginalnego pliku. Skrót porównuje się z plikiem, żeby sprawdzić, czy treść nie zmieniła się po podpisaniu.

Jest jeszcze przypadek trzeci, najsłabszy: wklejony obrazek podpisu odręcznego albo skan. To nie jest podpis elektroniczny w rozumieniu eIDAS, tylko grafika w dokumencie, i nie niesie żadnych danych o podpisującym. Rozwijamy ten wątek osobno przy pytaniu, czy skan podpisanej umowy jest ważny.