Podpis kwalifikowany: co go wyróżnia, jakie przepisy go regulują i do czego służy

Regulacją unijną w tym zakresie jest rozporządzenie eIDAS. Wskazuje ono, jakie wymagania techniczne i organizacyjne muszą spełniać dostawcy usług zaufania, oraz przypisuje skutki prawne poszczególnym rodzajom podpisów elektronicznych. Polskim aktem regulującym te zagadnienia jest ustawa o usługach zaufania oraz identyfikacji elektronicznej.

Form uwierzytelniania w obrocie elektronicznym jest kilka i nie są sobie równe. Szczególną pozycję podpisu kwalifikowanego buduje domniemanie zgodności z podpisem własnoręcznym. Przy zwykłym podpisie elektronicznym, na przykład przy skanie podpisu albo sygnaturze umieszczonej w dokumencie tekstowym, brakuje pewności zarówno co do tożsamości podpisującego, jak i co do integralności dokumentu.

Na platformie ePUAP administracja publiczna posługuje się trzema głównymi technikami uwierzytelniania: loginem i hasłem, podpisem elektronicznym oraz profilem zaufanym [1]. Z tego zestawu najmocniejszy skutek daje podpis kwalifikowany - wymaga bowiem certyfikatu wydanego przez kwalifikowanego dostawcę usług zaufania oraz urządzenia zgodnego z określonymi normami bezpieczeństwa.

Zastosowanie znajduje wszędzie tam, gdzie prawo zastrzega formę pisemną pod rygorem nieważności, a więc przy:

• umowach cywilnoprawnych, gdy stronom zależy na zachowaniu formy pisemnej,
• dokumentach kierowanych do Krajowego Rejestru Sądowego,
• fakturach elektronicznych w zamówieniach publicznych,
• dokumentacji kadrowej i księgowej prowadzonej w firmach,
• pismach procesowych w sprawach sądowych.

Bezpieczeństwo systemów informacyjnych administracji publicznej wymaga elektronicznego uwierzytelniania, ponieważ dokument uwierzytelniony ma znaczenie prawne [1]. Skuteczne złożenie podpisu w rozumieniu prawa cywilnego zakłada, że tożsamość osoby składającej oświadczenie woli daje się wiarygodnie ustalić.

Aby otrzymać podpis kwalifikowany, trzeba przejść weryfikację tożsamości u kwalifikowanego dostawcy usług zaufania. Składa się na to wniosek, potwierdzenie danych osobowych i wydanie nośnika zawierającego certyfikat wraz z danymi do składania podpisu. Poszczególni dostawcy realizują to technicznie na własny sposób, jednak sama procedura wygląda podobnie.

Nie każdy musi w tym celu odwiedzać punkt stacjonarny. Zdalne potwierdzenie tożsamości - wideorozmową albo przez bankowość elektroniczną - udostępnia coraz większa grupa dostawców. Więcej szczegółów zawiera tekst o tym, od czego zacząć starania o certyfikat.

W działalności gospodarczej używa się także kwalifikowanej pieczęci elektronicznej. Infrastruktura techniczna jest w obu przypadkach podobna, ale zadania się różnią. Tożsamość osoby fizycznej potwierdza podpis kwalifikowany; pieczęć elektroniczna wskazuje natomiast organizację i dowodzi, że dokument wyszedł od określonego podmiotu.

Przy projektowaniu konkretnego procesu ta różnica przekłada się na wybór narzędzia. Szersze omówienie zawiera porównanie obu rozwiązań.

Podpis kwalifikowany od lat ma umocowanie w polskim porządku prawnym, a mimo to administracja publiczna używa go w ograniczonym zakresie. W I kwartale 2014 roku wykorzystanie narzędzi elektronicznego uwierzytelniania w administracji publicznej w Polsce dotyczyło średnio 6,16% dokumentacji wysyłanej z urzędu oraz 5,31% dokumentacji otrzymywanej przez urząd [1]. Z tych liczb wynika, że kontakt obywatela z urzędem nie opierał się wtedy standardowo na elektronicznym uwierzytelnianiu.

Powodów jest więcej niż jeden. Wśród barier napotykanych przez użytkowników systemów elektronicznego uwierzytelniania wymienia się brak wiedzy na temat możliwości systemu, brak kompleksowości, brak formularzy elektronicznych oraz brak wewnętrznych zmian w urzędach [1]. Wiele z nich wynika z organizacji procesów w instytucjach publicznych, a nie z właściwości samego podpisu kwalifikowanego.

Identyfikację elektroniczną można przeprowadzić na kilka sposobów i podpis kwalifikowany nie zawsze będzie wyborem optymalnym. W licznych sprawach urzędowych wystarcza profil zaufany, dostępny na platformie ePUAP - zapewnia on wystarczający poziom bezpieczeństwa, a jego uzyskanie jest prostsze i tańsze [1]. Gdy jednak przepisy wymagają najwyższego poziomu pewności co do tożsamości podpisującego, alternatywy dla podpisu kwalifikowanego nie ma.

Osobnym wątkiem jest biometria: metody biometryczne są coraz popularniejsze i uznawane za najbardziej bezpieczne w świecie wirtualnym [1]. Ich rola sprowadza się jednak głównie do uwierzytelniania dostępu, a nie do składania oświadczeń woli o skutkach prawnych, więc szybkiego zastąpienia podpisu kwalifikowanego nie należy oczekiwać.

[[GRAFIKA: Schemat decyzyjny pokazujący, jak rodzaj sprawy przesądza o wyborze między profilem zaufanym a podpisem kwalifikowanym]]

Podpisu kwalifikowanego nie widać w dokumencie tak, jak widać podpis złożony ręcznie. Potwierdzenie przynosi weryfikacja techniczna pliku, wykonana choćby w programie obsługującym dokumenty PDF lub w dedykowanej aplikacji dostawcy. Osobny artykuł tłumaczy, na co zwrócić uwagę przy takim sprawdzeniu.

Sprawdzeniu podlegają ważność certyfikatu, integralność dokumentu oraz tożsamość podpisującego. Pewność co do prawidłowego złożenia podpisu kwalifikowanego i braku modyfikacji dokumentu po tym fakcie daje dopiero komplet tych trzech ustaleń.

Procesy biznesowe i urzędowe coraz częściej odbywają się online. Umowy, wnioski i inne dokumenty da się dzięki podpisowi kwalifikowanemu sfinalizować bez wydruku, odręcznego podpisu i skanowania. Jeśli podpisów wymaga kilka stron, narzędzia do zdalnego podpisu pilnują ustalonej kolejności i zachowują pełną dokumentację procesu.

Opisuje je artykuł o tym, jak przeprowadzić całą procedurę przez internet. Największą przewagę dają wtedy, gdy osoby podpisujące przebywają w różnych lokalizacjach.

Jak długo obowiązuje podpis kwalifikowany?

Nie jest bezterminowy. Stoi za nim certyfikat z określonym terminem ważności. Po upływie tego terminu wcześniej złożony podpis zachowuje ważność pod warunkiem opatrzenia dokumentu znacznikiem czasu, a kolejne podpisy można składać dopiero po odnowieniu certyfikatu.

Czy podpisem kwalifikowanym podpiszę dokument dla podmiotu z innego kraju UE?

Tak. Na mocy rozporządzenia eIDAS podpis kwalifikowany wydany w jednym państwie członkowskim jest uznawany w pozostałych państwach UE.

Na jaki wydatek trzeba się przygotować?

O cenie decydują dostawca, okres ważności certyfikatu oraz forma nośnika. Brak danych w źródłach pozwalających na podanie konkretnych kwot.

Czy do złożenia podpisu kwalifikowanego wystarczy telefon?

U części dostawców tak - udostępniają oni aplikacje mobilne. Warunkiem pozostaje wydany wcześniej certyfikat i aktywna usługa.

Który wybrać: podpis kwalifikowany czy profil zaufany?

Profil zaufany jest bezpłatnym narzędziem do potwierdzania tożsamości w kontaktach z administracją publiczną, natomiast podpis kwalifikowany ma szersze zastosowanie i wywołuje skutki prawne równoważne podpisowi własnoręcznemu w obrocie cywilnoprawnym [1].

Następny krok: ustal, do czego dokładnie podpis kwalifikowany ma posłużyć - do umów z kontrahentami czy do pism kierowanych do urzędu - i sprawdź, czy przepisy dla tego rodzaju dokumentu żądają właśnie tej formy, czy dopuszczają profil zaufany. Wynik takiego sprawdzenia wyznacza dalszą ścieżkę: wybór dostawcy i uzyskanie certyfikatu.

Źródła

1. Justyna Adamus-Kowalska (2015) Techniki elektronicznej identyfikacji użytkowników i ich rola we współczesnej komunikacji z instytucjami systemu administracyjnego. https://doi.org/10.36702/zin.339