Podpis cyfrowy a podpis elektroniczny: czym się różnią i kiedy potrzebny jest certyfikat

Pojęcia „podpis cyfrowy" i „podpis elektroniczny" bywają używane zamiennie, lecz oznaczają różne rzeczy. Podpis elektroniczny to szerokie pojęcie prawne, zdefiniowane w rozporządzeniu eIDAS, obejmujące trzy poziomy: zwykły, zaawansowany i kwalifikowany. Podpis cyfrowy natomiast to techniczny mechanizm kryptograficzny – konkretna metoda realizacji podpisu elektronicznego. Zrozumienie tej różnicy jest niezbędne przy wyborze właściwego rozwiązania dla danego dokumentu, zwłaszcza gdy przepisy wymagają określonej formy lub gdy dokument ma wartość dowodową w sporze sądowym.

Podpis elektroniczny – pojęcie prawne i jego trzy poziomy

Rozporządzenie eIDAS wprowadza trójstopniowy podział podpisów elektronicznych. Każdy kolejny poziom zapewnia wyższy stopień pewności co do tożsamości podpisującego.

Zwykły podpis elektroniczny (ZPE)

Zwykły podpis elektroniczny to dane w postaci elektronicznej dołączone do dokumentu lub logicznie z nim powiązane, służące do identyfikacji podpisującego. Może to być skan odręcznego podpisu, wpisane imię i nazwisko na końcu wiadomości e-mail lub kliknięcie pola „Akceptuję" w serwisie internetowym. Poziom ten nie wymaga żadnego certyfikatu ani kryptografii. Jego moc dowodowa w przypadku sporu może być ograniczona, choć sam w sobie nie jest pozbawiony skuteczności prawnej przy codziennych czynnościach o niskiej wartości ryzyka.

Zaawansowany podpis elektroniczny (ZaawPE)

Zaawansowany podpis elektroniczny musi spełniać cztery warunki eIDAS: być jednoznacznie przyporządkowany do podpisującego, umożliwiać jego identyfikację, być tworzony na podstawie danych, nad którymi podpisujący sprawuje wyłączną kontrolę, oraz być powiązany z danymi dokumentu w sposób pozwalający wykryć wszelkie późniejsze zmiany. W praktyce zaawansowany podpis elektroniczny zazwyczaj opiera się na mechanizmach kryptograficznych, jednak nie musi korzystać z kwalifikowanego certyfikatu wystawionego przez akredytowane centrum certyfikacji.

Kwalifikowany podpis elektroniczny (KPE)

Kwalifikowany podpis elektroniczny ma na mocy eIDAS taki sam skutek prawny jak własnoręczny podpis odręczny. Wymaga kwalifikowanego certyfikatu wydanego przez dostawcę usług zaufania wpisanego na krajową listę nadzorowaną (w Polsce prowadzoną przez ministra właściwego do spraw informatyzacji). Szerzej o tym rozwiązaniu można przeczytać w artykule o tym, czym jest podpis kwalifikowany i kiedy jest niezbędny.

Podpis cyfrowy – mechanizm techniczny stojący za podpisem elektronicznym

Podpis cyfrowy (ang. digital signature) to kryptograficzna technika potwierdzania autentyczności i integralności danych. Opiera się na asymetrycznej kryptografii klucza publicznego: podpisujący używa swojego klucza prywatnego do wygenerowania unikalnej sygnatury dokumentu, a odbiorca weryfikuje ją przy użyciu odpowiadającego klucza publicznego zawartego w certyfikacie.

Certyfikat – dlaczego jest kluczowy

Certyfikat cyfrowy to plik elektroniczny, który wiąże klucz publiczny z tożsamością jego właściciela. Wydawany jest przez centrum certyfikacji (ang. Certification Authority, CA). To właśnie certyfikat sprawia, że kryptograficzna sygnatura dokumentu nabiera wymiaru prawnego – stanowi dowód, że klucz prywatny należał do konkretnej, zidentyfikowanej osoby. Bez ważnego certyfikatu sama sygnatura kryptograficzna jest technicznie weryfikowalna, lecz nie pozwala jednoznacznie ustalić tożsamości podpisującego. Więcej na temat praktycznej weryfikacji znajdziesz w artykule o tym, jak sprawdzić i ocenić ważność podpisu elektronicznego.

Rodzaje certyfikatów

Certyfikaty dzieli się przede wszystkim na kwalifikowane i niekwalifikowane. Kwalifikowane certyfikaty są wydawane wyłącznie przez dostawców wpisanych na listy zaufanych usług (tzw. listy TSL) prowadzone przez państwa członkowskie UE i podlegają ścisłemu nadzorowi. Niekwalifikowane certyfikaty mogą być wydawane przez komercyjne centra certyfikacji i wystarczają do tworzenia zaawansowanych podpisów elektronicznych, lecz nie nadają dokumentowi skutku równoważnego podpisowi własnoręcznemu z mocy prawa.

Kluczowe różnice między podpisem cyfrowym a podpisem elektronicznym

Podstawowa różnica ma charakter pojęciowy: podpis elektroniczny to kategoria prawna, podpis cyfrowy – kategoria techniczna. Nie każdy podpis elektroniczny jest podpisem cyfrowym (np. wpisane imię w treści e-maila nim nie jest), natomiast każdy podpis cyfrowy stanowi formę podpisu elektronicznego.

• Charakter pojęcia — Podpis elektroniczny: Prawny ; Podpis cyfrowy: Techniczny
• Podstawa prawna — Podpis elektroniczny: eIDAS, ustawa o usługach zaufania ; Podpis cyfrowy: Normy techniczne (np. PKCS, XAdES, PAdES)
• Wymagany certyfikat — Podpis elektroniczny: Tylko na poziomie zaawansowanym/kwalifikowanym ; Podpis cyfrowy: Zawsze (jest elementem składowym)
• Moc prawna równa podpisowi własnoręcznemu — Podpis elektroniczny: Tylko kwalifikowany ; Podpis cyfrowy: Zależy od poziomu podpisu elektronicznego

Formaty techniczne podpisu cyfrowego

W Polsce i UE najczęściej stosowane są formaty: PAdES (dla plików PDF), XAdES (dla plików XML) oraz CAdES (dla dowolnych typów plików). Wybór formatu zależy od rodzaju dokumentu i wymagań systemu, do którego jest składany. Warto zapoznać się z przewodnikiem dotyczącym podpisywania dokumentów elektronicznie krok po kroku, aby uniknąć błędów technicznych.

Praktyczny wybór: kiedy stosować który rodzaj

Wybór poziomu podpisu elektronicznego powinien być adekwatny do ryzyka i wymogów prawnych danej czynności. Codzienna korespondencja biznesowa, zamówienia o niskiej wartości czy wewnętrzne akceptacje mogą korzystać ze zwykłego podpisu elektronicznego. Umowy o współpracy, zlecenia usługowe czy dokumenty kadrowe wymagają zazwyczaj co najmniej zaawansowanego poziomu. Czynności wymagające formy pisemnej pod rygorem nieważności lub wywołujące określone skutki w stosunkach z urzędami i sądami wymagają podpisu kwalifikowanego lub podpisu zaufanego.

Warto też pamiętać, że podpis zaufany różni się od kwalifikowanego pod względem zakresu zastosowania i procedury uzyskania.

Wybór rozwiązania dla przedsiębiorcy

Przedsiębiorcy, którym zależy na sprawnym obiegu dokumentów przy zachowaniu odpowiedniego poziomu bezpieczeństwa prawnego, powinni zacząć od analizy typów dokumentów w swojej organizacji. Dobrym punktem wyjścia jest strona produktu z opisem usługi podpisu elektronicznego – pozwala zorientować się w dostępnych opcjach przed podjęciem decyzji. Jeśli potrzeby organizacji są złożone, warto skonsultować się z działem sprzedaży, który pomoże dobrać właściwe rozwiązanie.

Ramy prawne

Regulacje dotyczące podpisu elektronicznego i podpisu cyfrowego w Polsce tworzą spójny system złożony z prawa unijnego i krajowego. Poniżej omówiono najważniejsze źródła normatywne mające bezpośrednie znaczenie dla stosowania podpisów w obrocie prawnym.

Rozporządzenie eIDAS (UE) nr 910/2014

Rozporządzenie eIDAS obowiązuje bezpośrednio w całej Unii Europejskiej, w tym w Polsce, i stanowi podstawę prawną dla trzech poziomów podpisu elektronicznego: zwykłego, zaawansowanego i kwalifikowanego. Wyłącznie kwalifikowany podpis elektroniczny korzysta z domniemania równoważności z podpisem własnoręcznym. Rozporządzenie określa też wymagania dla kwalifikowanych dostawców usług zaufania i certyfikatów, a jego naruszenie rodzi odpowiedzialność cywilną i regulacyjną.

Ustawa o usługach zaufania oraz identyfikacji elektronicznej z 5 września 2016 r.

Ustawa ta transponuje na grunt krajowy przepisy eIDAS i uzupełnia je o specyficzne regulacje polskie, w tym o zasady nadzoru nad krajowymi dostawcami usług zaufania, prowadzenie listy kwalifikowanych dostawców oraz skutki prawne poszczególnych rodzajów podpisów w polskim porządku prawnym. Ustawa reguluje również kwestie odpowiedzialności dostawcy wobec podpisującego i osoby ufającej w przypadku wadliwego certyfikatu lub błędu w usłudze.

Kodeks cywilny – art. 78 i art. 78¹

Artykuł 78 Kodeksu cywilnego określa wymagania formy pisemnej oświadczenia woli, a art. 78¹ ustanawia formę elektroniczną oświadczenia woli, wskazując że jej zachowanie wymaga złożenia oświadczenia w postaci elektronicznej i opatrzenia go kwalifikowanym podpisem elektronicznym. Forma elektroniczna jest równoważna formie pisemnej, chyba że przepis szczególny stanowi inaczej. Niezachowanie wymaganej formy może skutkować nieważnością czynności prawnej lub utratą możliwości powołania się na treść dokumentu w postępowaniu dowodowym.

Kodeks pracy – dokumentacja pracownicza

W zakresie dokumentacji pracowniczej przepisy Kodeksu pracy dopuszczają elektroniczną postać dokumentów kadrowych, w tym oświadczeń i umów, pod warunkiem zachowania odpowiedniej formy podpisu wymaganej dla danego rodzaju dokumentu. Niektóre dokumenty pracownicze wymagają formy pisemnej lub elektronicznej z kwalifikowanym podpisem – szczegółowe wymagania należy weryfikować dla każdego rodzaju dokumentu odrębnie, gdyż przepisy w tym obszarze podlegały zmianom.

RODO i ustawa o ochronie danych osobowych

Korzystanie z podpisu elektronicznego, a zwłaszcza z certyfikatu kwalifikowanego, wiąże się z przetwarzaniem danych osobowych. Zarówno RODO, jak i krajowa ustawa o ochronie danych osobowych nakładają obowiązki dotyczące podstawy prawnej przetwarzania, obowiązku informacyjnego wobec podpisujących oraz zasad retencji danych. Dostawca usługi podpisu elektronicznego pełni zazwyczaj rolę procesora, a podmiot korzystający z usługi – administratora, co wymaga zawarcia umowy powierzenia przetwarzania danych.

Przykłady zastosowań

Scenariusz 1: Biuro rachunkowe obsługujące klientów zdalnie

Biuro rachunkowe świadczące usługi na rzecz kilkudziesięciu małych przedsiębiorstw zdecydowało się wdrożyć obieg dokumentów oparty na podpisie elektronicznym. Umowy o świadczenie usług księgowych, pełnomocnictwa do reprezentowania klientów przed urzędem skarbowym oraz korekty deklaracji są podpisywane przy użyciu kwalifikowanego podpisu elektronicznego, który na mocy art. 78¹ Kodeksu cywilnego jest równoważny podpisowi własnoręcznemu. Dzięki temu biuro wyeliminowało konieczność fizycznego spotkania z klientami, a jednocześnie zachowało pełną moc prawną dokumentacji. Weryfikacja podpisów odbywa się przy każdej archiwizacji dokumentu, co zapewnia możliwość wykazania autentyczności dokumentu w razie kontroli.

Scenariusz 2: Dział HR firmy zatrudniającej pracowników zdalnych

Dział kadr przedsiębiorstwa zatrudniającego pracowników w trybie zdalnym w kilku województwach stanął przed wyzwaniem sprawnego zawierania i zmieniania umów o pracę bez konieczności organizowania osobistych wizyt. Po analizie wymagań prawnych dotyczących formy dokumentów kadrowych wdrożono rozwiązanie oparte na zaawansowanym podpisie elektronicznym dla dokumentów niższego ryzyka oraz kwalifikowanym podpisie elektronicznym dla umów wymagających formy pisemnej. Certyfikaty pracownicze są wydawane jednorazowo przy onboardingu. Proces skrócił czas obiegu dokumentów z kilku dni do kilku godzin i ograniczył koszty logistyczne.

Scenariusz 3: Kancelaria prawna podpisująca pisma procesowe i umowy

Kancelaria prawna obsługująca klientów korporacyjnych regularnie sporządza umowy, pełnomocnictwa i inne dokumenty wymagające pewności co do tożsamości podpisującego. Prawnicy kancelarii posługują się kwalifikowanymi podpisami elektronicznymi opartymi na certyfikatach kwalifikowanych, co pozwala na składanie dokumentów w systemach e-Sąd i ePUAP bez dodatkowej weryfikacji. Klienci kancelarii podpisują dokumenty przy użyciu zaawansowanego podpisu elektronicznego generowanego w usłudze chmurowej po zdalnej weryfikacji tożsamości. Wszystkie podpisy są weryfikowane pod kątem ważności certyfikatu przed archiwizacją w systemie zarządzania sprawami.

Najczęściej zadawane pytania

Czy podpis cyfrowy i podpis elektroniczny to to samo?

Nie. Podpis cyfrowy to technika kryptograficzna – konkretny mechanizm tworzenia i weryfikacji sygnatury dokumentu przy użyciu klucza prywatnego i certyfikatu. Podpis elektroniczny to pojęcie prawne, które obejmuje różne metody identyfikacji elektronicznej, od prostego wpisania imienia w e-mailu po zaawansowane rozwiązania kryptograficzne. Każdy podpis cyfrowy jest podpisem elektronicznym, ale nie każdy podpis elektroniczny jest podpisem cyfrowym.

Czy do każdego podpisu elektronicznego potrzebny jest certyfikat?

Nie. Certyfikat jest wymagany tylko na poziomie zaawansowanym i kwalifikowanym. Zwykły podpis elektroniczny, np. podpisanie dokumentu wpisanym imieniem i nazwiskiem lub kliknięcie pola akceptacji, nie wymaga żadnego certyfikatu. Im wyższy poziom podpisu i im ważniejszy dokument, tym bardziej konieczne staje się posiadanie certyfikatu potwierdzającego tożsamość podpisującego, bo to on nadaje podpisowi moc prawną i wartość dowodową.

Czy podpis kwalifikowany zawsze zastępuje podpis własnoręczny?

Co do zasady tak – na mocy eIDAS kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu we wszystkich państwach członkowskich UE. Istnieją jednak wyjątki: przepisy krajowe mogą wymagać szczególnej formy dla wybranych czynności prawnych (np. formy aktu notarialnego), której nie zastąpi żaden podpis elektroniczny. W razie wątpliwości co do wymagań formalnych konkretnej czynności prawnej należy każdorazowo sprawdzić przepisy szczególne lub skonsultować się z prawnikiem.

Jak sprawdzić, czy podpis elektroniczny na dokumencie jest ważny?

Weryfikacja polega na sprawdzeniu, czy certyfikat był ważny w chwili składania podpisu, czy został wydany przez zaufane centrum certyfikacji oraz czy dokument nie był modyfikowany po jego podpisaniu. Służą do tego dedykowane narzędzia walidacyjne udostępniane przez dostawców oprogramowania i organy nadzoru. W Polsce można korzystać z narzędzi rekomendowanych przez Ministerstwo Cyfryzacji. Dokładny opis procesu weryfikacji znajdziesz w dedykowanym artykule na stronie Certyneo.

Czy zaawansowany podpis elektroniczny wystarczy do podpisania umowy cywilnoprawnej?

To zależy od rodzaju umowy i wymagań co do jej formy. Wiele umów cywilnoprawnych nie wymaga szczególnej formy i może być zawieranych przy użyciu zaawansowanego, a nawet zwykłego podpisu elektronicznego. Umowy, dla których Kodeks cywilny lub przepisy szczególne przewidują formę pisemną pod rygorem nieważności, wymagają kwalifikowanego podpisu elektronicznego, jeśli mają być zawarte w formie elektronicznej. Przed wyborem poziomu podpisu warto zweryfikować wymagania dla danego rodzaju umowy.

Podsumowanie

Podpis cyfrowy i podpis elektroniczny to pojęcia powiązane, lecz nieidentyczne. Podpis elektroniczny jest kategorią prawną obejmującą trzy poziomy o różnej mocy dowodowej i różnych wymaganiach formalnych. Podpis cyfrowy to techniczny mechanizm kryptograficzny, który stanowi podstawę zaawansowanych i kwalifikowanych podpisów elektronicznych. Certyfikat – kwalifikowany lub niekwalifikowany – jest elementem łączącym technikę z prawem: wiąże klucz publiczny z tożsamością podpisującego i decyduje o wartości dowodowej dokumentu.

Przy wyborze odpowiedniego rozwiązania kluczowe jest dopasowanie poziomu podpisu do wymogów prawnych konkretnego dokumentu i akceptowalnego ryzyka. Dla codziennej działalności biznesowej, dokumentacji pracowniczej czy obsługi klientów sprawdzone rozwiązania są dostępne online. Aby rozpocząć bez zbędnych formalności, można założyć bezpłatne konto w Certyneo i przetestować usługę we własnym zakresie, a szczegółowy cennik jest dostępny na stronie z cennikiem.