Weryfikacja tożsamości podpisującego umowę online: podpis elektroniczny ze zdjęciem dowodu i twarzy

To pytanie ma dwie warstwy i mieszanie ich jest źródłem większości nieporozumień. Pierwsza warstwa to prawo karne, druga to ochrona danych osobowych.

Ustawa z 22 listopada 2018 r. o dokumentach publicznych wprowadziła sankcję za repliki. Art. 58 brzmi:

Kto wytwarza, oferuje, zbywa lub przechowuje w celu zbycia replikę dokumentu publicznego, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 2.

Kluczowa jest jednak definicja repliki z art. 2 ust. 1 pkt 6 tej ustawy:

odwzorowanie lub kopię wielkości od 75% do 120% oryginału o cechach autentyczności dokumentu publicznego lub blankietu dokumentu publicznego, z wyłączeniem kserokopii lub wydruku komputerowego dokumentu publicznego wykonanych do celów urzędowych, służbowych lub zawodowych określonych na podstawie odrębnych przepisów lub na użytek osoby, dla której dokument publiczny został wydany.

Zwykła kserokopia albo skan zrobiony do celów służbowych nie jest więc repliką i sam w sobie nie wypełnia znamion przestępstwa. Przepis celuje w podróbki wyglądające jak autentyczny dokument, a nie w czarno-biały wydruk. Ta część mitu, powtarzana od 2019 roku, jest po prostu nieprawdziwa.

Druga warstwa jest tą, która naprawdę uderza w wynajmującego i w firmę. RODO w art. 5 ust. 1 lit. c wymaga, żeby dane były adekwatne, stosowne oraz ograniczone do tego, co niezbędne. Do zawarcia umowy najmu potrzebujesz danych, które i tak wpisujesz w jej treść. Nie potrzebujesz obrazu dokumentu z jego wzorem graficznym, zdjęciem twarzy, numerem seryjnym i datą ważności. Zbierając skan, bierzesz na siebie obowiązki administratora wobec zestawu danych, którego nigdy nie użyjesz, i ryzyko, że ten plik wypłynie z Twojej skrzynki.

Wyjątki istnieją i są wąskie. Najważniejszy dotyczy instytucji obowiązanych w rozumieniu ustawy o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu. Art. 34 ust. 4 tej ustawy stanowi:

Instytucje obowiązane na potrzeby stosowania środków bezpieczeństwa finansowego mogą przetwarzać informacje zawarte w dokumentach tożsamości klienta i osoby upoważnionej do działania w jego imieniu oraz sporządzać ich kopie.

Jeżeli jesteś biurem rachunkowym, kancelarią prowadzącą określone czynności, pośrednikiem w obrocie nieruchomościami albo kantorem, ten przepis daje Ci podstawę do sporządzenia kopii, bo art. 34 ust. 1 pkt 1 nakłada na Ciebie obowiązek identyfikacji klienta oraz weryfikacji jego tożsamości. Prywatny wynajmujący i zwykła firma podpisująca umowę B2B takiej podstawy nie mają.

Wartość weryfikacji tożsamości jest dowodowa. Zwykły podpis elektroniczny jest ważny i dopuszczalny jako dowód, co przesądza art. 25 ust. 1 rozporządzenia eIDAS:

Podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że podpis ten ma postać elektroniczną lub że nie spełnia wymogów dla kwalifikowanych podpisów elektronicznych.

Spór o umowę podpisaną elektronicznie rzadko dotyczy tego, czy podpis „się liczy”. Prawie zawsze dotyczy tego, czy druga strona faktycznie ją zawarła. Kontrahent mówi: to nie ja, ktoś użył mojego adresu. Wtedy liczy się to, co potrafisz pokazać. Sam adres e-mail i adres IP to niewiele. Adres e-mail, adres IP, znacznik czasu, skrót SHA-256 dokumentu oraz zapis, że ta sama osoba w tym samym przebiegu okazała dokument tożsamości i twarz zgodną ze zdjęciem w dokumencie, to zupełnie inna sytuacja procesowa.

Trzeba jednak powiedzieć wprost, czego weryfikacja nie zmienia. Nie zamienia zwykłego podpisu elektronicznego w kwalifikowany. Skutek równoważny podpisowi własnoręcznemu daje wyłącznie podpis kwalifikowany, na mocy art. 25 ust. 2 eIDAS, a my go nie wystawiamy. Nie zastępuje też formy pisemnej pod rygorem nieważności ani aktu notarialnego tam, gdzie przepis ich wymaga. Umowa najmu okazjonalnego pozostaje poza zasięgiem, bo oświadczenie najemcy o poddaniu się egzekucji musi mieć formę aktu notarialnego.

Nie twierdzimy również, że sama weryfikacja czyni podpis zaawansowanym. Art. 26 lit. b eIDAS wymaga, żeby podpis „umożliwiał ustalenie tożsamości podpisującego”, i ten warunek weryfikacja realnie adresuje, ale pozostałe trzy warunki z art. 26 dotyczą sposobu składania podpisu, a nie sprawdzenia dokumentu. Rozkładamy to szczegółowo na osobnej stronie o zaawansowanym podpisie elektronicznym.

Porównanie twarzy ze zdjęciem w dokumencie w celu jednoznacznej identyfikacji osoby to przetwarzanie danych biometrycznych, czyli szczególnej kategorii danych z art. 9 RODO. Nie da się tego zrobić „przy okazji”. Dlatego ekran weryfikacji zaczyna się od wyraźnej zgody sygnatariusza, opartej na art. 9 ust. 2 lit. a RODO, a moment jej udzielenia jest zapisywany razem z wynikiem.

Zakres przetwarzania jest celowo minimalny. Model dostaje trzy zdjęcia i imię oraz nazwisko podane w zaproszeniu, a w instrukcji ma zapisane wprost, żeby nie przepisywać numeru dokumentu, numeru PESEL ani adresu. Odpowiedź, która wraca, zawiera typ dokumentu, odczytane imię i nazwisko, ocenę zgodności danych, ocenę zgodności twarzy, poziom pewności oraz listę uwag. Zdjęcia są kasowane bezpośrednio po ocenie.

Analiza odbywa się w usłudze Google Gemini działającej jako podmiot przetwarzający, co jest opisane w naszej polityce prywatności. Sygnatariusz widzi tę informację przed wysłaniem zdjęć, a nie po fakcie. Jeśli nie wyrazi zgody, po prostu nie przechodzi tej ścieżki, a Ty decydujesz, czy podpisać umowę bez weryfikacji, czy spotkać się osobiście.

Włączanie jej przy każdej umowie jest błędem. Dodatkowy krok kosztuje sygnatariusza minutę i trochę zaufania, więc warto go rezerwować dla sytuacji, w których stawka to uzasadnia.

Ma sens, gdy nigdy nie widziałeś drugiej strony i nie masz jej z czego rozpoznać: pierwszy najem mieszkania osobie z ogłoszenia, pożyczka prywatna zawierana na odległość, sprzedaż droższego sprzętu na odległość, przyjęcie klienta, wobec którego ciążą na Tobie obowiązki identyfikacyjne. Ma sens także wtedy, gdy umowa ma długi horyzont i realną wartość, bo wtedy rośnie prawdopodobieństwo, że kiedyś będziesz musiał udowodnić, kto ją zawarł.

Nie ma sensu przy aneksie do umowy z kontrahentem, z którym pracujesz od trzech lat, przy protokole odbioru, przy wewnętrznych dokumentach zespołu ani przy umowie ze współpracownikiem, którego znasz osobiście. Tam wystarczy zwykły link i pełny ślad audytowy. Dlatego wymóg ustawia się osobno przy każdej osobie, a nie globalnie dla konta.

Osobna kategoria to dokumenty, których nie zamkniesz zwykłym podpisem niezależnie od weryfikacji. Zebraliśmy je w zestawieniu umów, które można podpisać elektronicznie, razem z podstawą prawną każdego wyjątku.

Uczciwa lista ograniczeń, żeby nikt nie kupił czegoś innego, niż dostaje.

• Nie sprawdza wypłacalności. Nie odpytujemy BIK ani KRD i nie oceniamy dochodu. Weryfikacja odpowiada na pytanie „kto to jest”, a nie „czy zapłaci”.
• Nie jest pełnym programem AML. Nie sprawdzamy list sankcyjnych, statusu PEP ani beneficjenta rzeczywistego. Instytucja obowiązana wciąż potrzebuje własnych procedur z art. 34 i następnych.
• Nie wystawia podpisu kwalifikowanego ani certyfikatu. Nie jesteśmy kwalifikowanym dostawcą usług zaufania i nigdzie tego nie sugerujemy.
• Nie sprawdza dokumentu w rejestrze państwowym. Ocena opiera się na zdjęciach, nie na odpytaniu bazy unieważnionych dokumentów.
• Nie jest nieomylna. Ocena automatyczna może odrzucić prawdziwy dokument przy złym świetle albo przy mocno zmienionym wyglądzie. Stąd trzy próby i konkretny komunikat o powodzie.
• Nie zastępuje spotkania tam, gdzie prawo go wymaga. Akt notarialny i forma pisemna pod rygorem nieważności zostają poza zasięgiem, o czym piszemy przy umowie najmu.