Uwaga! Nie każdy podpis elektroniczny można uznać za kwalifikowany

Początkiem stosowania kwalifikowanych podpisów elektronicznych w zamówieniach był rozpoczęty wraz z 18 kwietnia 2018 r. obowiązek składania jednolitego europejskiego dokumentu zamówienia (JEDZ) w formie elektronicznej. Rozszerzenie zakresu dokumentów podpisywanych takim podpisem nastąpiło 18 października 2018 r. Od tego momentu wszystkie postępowania powyżej tzw. progów unijnych są prowadzone elektronicznie. Składane w nich oferty lub wnioski o dopuszczenie do udziału w postępowaniu oraz JEDZ muszą być sporządzone pod rygorem nieważności, w postaci elektronicznej i opatrzone kwalifikowanym podpisem elektronicznym. Nieprawidłowe złożenie podpisu na ofercie będzie skutkowało jej odrzuceniem i brakiem możliwości uzyskania zamówienia.

Nie każdy podpis elektroniczny można uznać za kwalifikowany. Zwróciła na to uwagę Krajowa Izba Odwoławcza w wyroku z 8 stycznia 2019 r. (sygn. akt KIO 2639/18). Zapoznanie się z nim pomoże uniknąć błędów przy składaniu podpisów elektronicznych.

Przepisy ustawy Pzp obowiązujące w momencie wszczęcia postępowania wskazywały, że kwalifikowanym podpisem elektronicznym należało podpisać jedynie JEDZ. Jeden z wykonawców wraz z ofertą nie złożył jednolitych europejskich dokumentów zamówienia. Wezwany na podstawie art. 26 ust. 3 ustawy Pzp uzupełnił dokumenty. Zamawiający stwierdził, że dwa spośród trzech złożonych JEDZ zostały podpisane w sposób, który uniemożliwiał walidację (weryfikację pod względem ważności) podpisu elektronicznego. W konsekwencji uznał, że oświadczenia nie zostały właściwie podpisane. Z racji tego, że dokumenty były złożone w trybie art. 26 ust. 3 ustawy Pzp, zamawiający wykluczył odwołującego z postępowania z uwagi na brak wykazania spełniania warunków udział w postępowaniu. W ocenie zamawiającego niewłaściwe podpisanie JEDZ wynikało z tego, że dokumenty zostały podpisane za pomocą oprogramowania MS Word firmy Microsoft Corp. Prawidłowy podpis powinien zostać złożony przy wykorzystaniu programu Szafir udostępnionego przez dostawcę usług (Krajową Izbę Rozliczeniową S.A.), u którego wykonawca kupił podpis elektroniczny.

Zamawiający próbował zweryfikować podpisy, którymi opatrzone były JEDZ, również za pomocą programów innych dostawców usług: ProCertum Smartsign (dostawca usługi zaufania: Assecco Data Systems S.A.) oraz Cencert Pem-Heart (dostawca usługi zaufania: ENIGMA Systemy Ochrony Informacji Sp. z o.o.). Walidacja okazała się jednak niemożliwa. Oprócz tego zamawiający (…) zwrócił się do Działu Obsługi Klienta Departamentu Kontaktu z Klientami i Operacji KIR z prośbą o pomoc w ustaleniu prawidłowości złożonych podpisów na ww. JEDZ-ach, ale również w tym przypadku uzyskał informację, że nie można stwierdzić, czy dokument został prawidłowo podpisany, gdyż w ogóle się nie weryfikuje jako dokument prawidłowo podpisany.

Wykonawca uznał, że jego wykluczenie było bezpodstawne. W konsekwencji wniósł odwołanie, w którym zarzucił zamawiającemu m.in. naruszenie:

• art. 7 ust. 1 ustawy Pzp poprzez niezastosowanie zasady równego traktowania wykonawców, tj. wykluczenie Odwołującego i odrzucenie jego oferty w pakietach I, III, IV, pomimo że jego JEDZ zostały złożone i podpisane kwalifikowanym podpisem elektronicznym przez wykonawcę w sposób prawidłowy i zgodny z obowiązującymi przepisami,
• art. 10a ust. 5 ustawy Pzp poprzez błędne uznanie, że dokumenty JEDZ nie spełniają wymogu w zakresie prawidłowego podpisu elektronicznego.

Odwołujący, prezentując swoje stanowisko „(…) zaprzeczył twierdzeniu Zamawiającego zawartym w piśmie z dnia 13 grudnia 2018 r., że Odwołujący podpisali dokumenty JEDZ za pomocą programu Word Office i wskazał, że należy odróżnić wpisywanie w programie Word − odbywające się za pomocą klawiatury, od złożenia podpisu w aplikacji kwalifikowanego podpisu elektronicznego. Tak wykonany podpis zawiera nie tylko litery, ale w przypadku pliku podpisu elektronicznego wszytego do dokumentu Word przez Odwołującego ma on również certyfikację, czas obowiązywania certyfikatu czy potwierdzenie zgodności z obowiązującymi przepisami prawa”.

Izba po zapoznaniu się z dokumentacją oraz stanowiskami stron oddaliła odwołanie. KIO uznała, że „(…) istotą sporu, a w konsekwencji zarzutów naruszenia wskazanych w odwołaniu przepisów, jest natomiast to, czy zakwestionowane przez Zamawiającego JEDZ-e zostały podpisane kwalifikowanym podpisem elektronicznym zgodnie z wymogami SIWZ i obowiązującymi przepisami prawa, jak twierdzi Odwołujący, czy innym podpisem, na co zdaniem Zamawiającego wskazuje brak możliwości ich walidacji zgodnie z art. 33 ust. 1 Rozporządzenia Parlamentu Europejskiego i Rady (UE) Nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym oraz uchylającego Dyrektywę 1999/93/WE (Rozporządzenie eIDAS)”.

Izba ustaliła, że kwestionowane podpisy nie zostały złożone przy użyciu programu dostarczonego przez dostawcę kwalifikowanego podpisu elektronicznego. Odwołujący użył do podpisania JEDZ oprogramowania MS Word.

Doprowadziło to KIO do wniosku, że „(…) brak przeprowadzenia przez Zamawiającego walidacji spornych podpisów nie jest skutkiem tego, jak twierdził Odwołujący na rozprawie, iż Zamawiający nie poradził sobie z walidacją, a skutki braku umiejętności przerzucił na Odwołującego, lecz wynika z tego, iż podpis został złożony nieprawidłowo złożony i w związku z tym nie jest możliwe przeprowadzenie jego walidacji zgodnie z art. 33 ust. 1 rozporządzenia eIDAS”.

Dowodami, które przekonały Izbę, że podpisy zostały złożone w nieprawidłowy sposób były „(…) zamieszczone w odpowiedzi na odwołanie »zrzuty« z ekranu z próby weryfikacji podpisów w aplikacji MS Word oraz załączniki do odpowiedzi na odwołanie, którym Odwołujący nie przedstawił przeciwdowodu, w tym notatka służbowa z dnia 30 listopada 2018 r. oraz Stanowisko Dyrektora Linii Biznesowej Podpis Elektroniczny Krajowej Izby Rozliczeniowej S.A. oraz Departamentu Cyberbezpieczeństwa Ministerstwa Cyfryzacji przesłane pocztą elektroniczną w dniu 18 grudnia 2018 r., który stwierdził m.in., że sprawdził podpis w referencyjnej usłudze walidacji rozwijanej na zlecenie UE przez firmę Nowina i nie udało mu się go zweryfikować oraz przedstawił odpowiedź tej firmy, z której wynika, że problemy z obsługą podpisów z aplikacji MS prawdopodobnie mogą leżeć po stronie Microsoftu”.

Wydając rozstrzygnięcie, KIO przeanalizowała również załączoną do odwołania opinię techniczną dotyczącą sposobu złożenia spornych podpisów. Izba dostrzegła, że „(…) w konkluzji autor podał, m.in. iż »przedstawione pliki w formacie Word firmy Microsoft, zostały podpisane bezpośrednio w aplikacji Office bez użycia dodatkowych programów do podpisywania dokumentów za pomocą elektronicznego podpisu w związku z tym nie można ich za pomocą tych wyspecjalizowanych aplikacji zweryfikować«.”.

W ocenie KIO „(…) treść tej opinii wskazuje, że podpisy złożone przez J... W... oraz G... G... są podpisami elektronicznymi, jednak nie są kwalifikowanymi podpisami elektronicznymi [podkreślenie autora], bowiem jednym z elementów kwalifikowanego podpisu elektronicznego jest możliwość jego walidacji przez niezależną instytucję, wydającą kwalifikowane certyfikaty i potwierdzającą przynależność uprawnień wynikających z tych certyfikatów do konkretnych osób, tj. przez figurującego w rejestrze dostawcę usług zaufania”.

Podsumowując swoją argumentację, Izba wyjaśniła, że „(…) celem wymogu złożenia kwalifikowanego podpisu elektronicznego na JEDZ jest to, aby można było taki podpis traktować tak samo, jak podpis złożony własnoręcznie. Skoro tylko kwalifikowany podpis elektroniczny jest równoważny podpisowi własnoręcznemu, to nie można zgodzić się ze stanowiskiem Odwołującego zaprezentowanym w odwołaniu, z którego wynika, że podpis elektroniczny inny niż kwalifikowany należy traktować analogicznie, jak skrót podpisu, który jest »godłem« podpisu, i przypisywać mu takiego samego skutku, jak kwalifikowanemu podpisowi elektronicznemu”.