Różnice między podpisem elektronicznym prostym, zaawansowanym i kwalifikowanym według eIDAS

Rozporządzenie eIDAS (UE) nr 910/2014 wyróżnia trzy poziomy podpisu elektronicznego: prosty (SES), zaawansowany (AdES) i kwalifikowany (QES). Każdy z nich oferuje inny stopień bezpieczeństwa i wywołuje inne skutki prawne. Podpis prosty to najniższy poziom – wystarczający do codziennych zgód i zamówień online. Podpis zaawansowany zapewnia silniejsze powiązanie z tożsamością podpisującego i jest odporny na manipulację. Podpis kwalifikowany jest najwyżej umocowany prawnie: na mocy eIDAS wywiera skutek prawny równoważny własnoręcznemu podpisowi odręcznemu i jest uznawany we wszystkich państwach członkowskich UE. Wybór odpowiedniego poziomu zależy od rodzaju dokumentu, wymagań prawnych oraz akceptowalnego ryzyka.

Czym jest podpis elektroniczny prosty

Podpis elektroniczny prosty (Simple Electronic Signature, SES) to najszersza kategoria zdefiniowana w eIDAS. Obejmuje każde dane w postaci elektronicznej, które zostały dołączone do innych danych lub są z nimi logicznie powiązane, i które podpisujący używa do złożenia podpisu. W praktyce oznacza to m.in. wpisane imię i nazwisko w treści wiadomości e-mail, zaznaczenie pola wyboru w formularzu internetowym, a nawet zeskanowany obraz odręcznego podpisu wklejony do dokumentu PDF.

Kiedy podpis prosty jest wystarczający

Podpis prosty sprawdza się wszędzie tam, gdzie przepisy nie narzucają szczególnej formy i gdzie ryzyko sporu jest niskie. Typowe zastosowania to: akceptacja regulaminów sklepu internetowego, zamówienia między stałymi kontrahentami dysponującymi historią współpracy, wewnętrzne zatwierdzeń procesów w ramach organizacji, a także szybka wymiana ofert handlowych.

Ograniczenia podpisu prostego

Podpis prosty nie oferuje pewności co do tożsamości osoby podpisującej ani niezmienności dokumentu po złożeniu podpisu. W razie sporu udowodnienie autentyczności i integralności dokumentu opatrzonego jedynie podpisem prostym spoczywa w całości na stronie, która się na niego powołuje. Nie jest on wystarczający w sytuacjach wymagających formy pisemnej lub formy elektronicznej w rozumieniu Kodeksu cywilnego.

Czym jest podpis elektroniczny zaawansowany

Podpis zaawansowany (Advanced Electronic Signature, AdES) spełnia cztery wymagania eIDAS: jest jednoznacznie powiązany z podpisującym; umożliwia identyfikację podpisującego; jest tworzony przy użyciu danych służących do składania podpisu elektronicznego, które podpisujący może stosować z wysokim stopniem pewności wyłącznie pod własną kontrolą; jest powiązany z podpisanymi danymi w taki sposób, że każda późniejsza zmiana danych jest wykrywalna.

Mechanizmy uwierzytelnienia

W praktyce zaawansowany podpis elektroniczny opiera się najczęściej na kryptografii asymetrycznej oraz certyfikacie potwierdzającym tożsamość. Weryfikacja tożsamości może odbywać się różnymi metodami: przez porównanie z dokumentem tożsamości w ramach procesu wideo, za pomocą bankowości elektronicznej czy też przez wcześniejsze założenie zweryfikowanego konta. Poziom zaufania do konkretnego wdrożenia AdES zależy od jakości procesu weryfikacji tożsamości.

Przykładowe dokumenty, do których stosuje się AdES

Podpis zaawansowany jest powszechnie akceptowany przy zawieraniu umów cywilnoprawnych niewymagających szczególnej formy, przy zleceniach, umowach o współpracy B2B oraz przy wielu dokumentach kadrowych. Więcej na temat stosowania podpisu elektronicznego w dokumentacji pracowniczej można przeczytać w artykule dotyczącym formy elektronicznej umowy o pracę.

Czym jest podpis elektroniczny kwalifikowany

Podpis kwalifikowany (Qualified Electronic Signature, QES) to podpis zaawansowany, który jest tworzony za pomocą kwalifikowanego urządzenia do składania podpisu elektronicznego i opiera się na kwalifikowanym certyfikacie podpisu elektronicznego wydanym przez dostawcę usług zaufania wpisanego na tzw. listę zaufania (Trusted List) prowadzoną przez właściwy organ krajowy. W Polsce nadzór sprawuje Ministerstwo Cyfryzacji, a listę kwalifikowanych dostawców prowadzi Narodowe Centrum Certyfikacji (NCCert).

Skutek prawny równoważny podpisowi odręcznemu

Zgodnie z eIDAS kwalifikowany podpis elektroniczny wywiera skutek prawny równoważny podpisowi własnoręcznemu i jest uznawany we wszystkich państwach członkowskich UE bez konieczności spełniania dodatkowych wymogów. Polskie przepisy – w tym ustawa o usługach zaufania oraz identyfikacji elektronicznej i art. 78¹ Kodeksu cywilnego – potwierdzają, że oświadczenie woli złożone w formie elektronicznej przy użyciu kwalifikowanego podpisu elektronicznego jest równoważne oświadczeniu woli złożonemu w formie pisemnej.

Kiedy QES jest wymagany lub zalecany

Kwalifikowany podpis elektroniczny jest wymagany lub silnie zalecany przy dokumentach o szczególnym znaczeniu prawnym, takich jak niektóre umowy zawierane z podmiotami publicznymi, postępowania sądowe i administracyjne prowadzone drogą elektroniczną, a także dokumenty wymagające formy pisemnej pod rygorem nieważności, gdy strony chcą korzystać z postaci elektronicznej. W kontekście zgodności z przepisami dotyczącymi danych osobowych warto zapoznać się z treścią artykułu o podpisie elektronicznym a RODO.

Porównanie trzech poziomów – kluczowe kryteria wyboru

Decyzja o wyborze poziomu podpisu powinna uwzględniać kilka czynników jednocześnie: wymagania prawne dla danej kategorii dokumentów, wartość transakcji i ryzyko sporu, koszty i wygodę procesu weryfikacji tożsamości, a także akceptację po stronie drugiej strony umowy lub instytucji.

Wymagania prawne i ryzyko sporu

Jeżeli przepis prawa lub postanowienie umowne wymaga formy pisemnej albo formy elektronicznej, a strony chcą skorzystać z postaci cyfrowej, konieczny jest co najmniej kwalifikowany podpis elektroniczny. Przy umowach, dla których przepisy nie przewidują szczególnej formy, zastosowanie podpisu zaawansowanego lub prostego jest prawnie dopuszczalne – jednak w razie sporu sądowego jakość dowodowa dokumentu opatrzonego QES będzie znacznie wyższa.

Koszty i dostępność

Uzyskanie kwalifikowanego podpisu wymaga weryfikacji tożsamości u kwalifikowanego dostawcy i najczęściej wiąże się z cykliczną opłatą za certyfikat. Podpis zaawansowany jest zazwyczaj łatwiej dostępny i tańszy, a podpis prosty – praktycznie bezkosztowy. Szczegółowe zestawienie rozwiązań dostępnych w ramach platformy można sprawdzić na stronie cennika. Aby lepiej zrozumieć różnicę między podpisem elektronicznym a podpisem cyfrowym w ujęciu technicznym, pomocny będzie artykuł o różnicach między podpisem cyfrowym a elektronicznym.

Praktyczny wybór dla firm

Wiele przedsiębiorstw stosuje podejście wielopoziomowe: dla rutynowych transakcji wewnętrznych – podpis prosty; dla umów handlowych B2B – podpis zaawansowany; dla dokumentów o skutkach formalnoprawnych lub dotyczących organów publicznych – podpis kwalifikowany. Jeśli proces podpisywania dokumentów odbywa się po raz pierwszy, przydatny będzie poradnik jak podpisać dokument elektronicznie krok po kroku.

Ramy prawne

Poniżej omówiono przepisy regulujące stosowanie podpisów elektronicznych w Polsce. Każde z przywołanych źródeł wyznacza konkretne obowiązki lub ryzyko dla podmiotów korzystających z podpisu elektronicznego.

Rozporządzenie eIDAS (UE) nr 910/2014

Rozporządzenie eIDAS stanowi bezpośrednio obowiązujące prawo we wszystkich państwach UE i definiuje trzy poziomy podpisu elektronicznego (prosty, zaawansowany i kwalifikowany) oraz zasady wzajemnego uznawania kwalifikowanych podpisów między państwami członkowskimi. Jedynie kwalifikowany podpis elektroniczny oparty na kwalifikowanym certyfikacie wydanym przez dostawcę z listy zaufania wywiera skutek równoważny podpisowi własnoręcznemu.

Ustawa o usługach zaufania oraz identyfikacji elektronicznej z 5 września 2016 r.

Polska ustawa implementuje eIDAS i reguluje krajowy nadzór nad dostawcami usług zaufania, w tym kwalifikowanymi dostawcami podpisów. Określa obowiązki dostawców i zasady odpowiedzialności, a także warunki, na jakich usługi zaufania mogą być świadczone na terytorium RP. Podmioty korzystające z usług niekwalifikowanych dostawców ponoszą wyższe ryzyko braku uznania dokumentu przez organy administracji lub sądy.

Kodeks cywilny – art. 78 i art. 78¹

Art. 78 Kodeksu cywilnego wymaga własnoręcznego podpisu dla zachowania formy pisemnej. Art. 78¹ przewiduje, że oświadczenie woli złożone w formie elektronicznej opatrzone kwalifikowanym podpisem elektronicznym jest równoważne oświadczeniu w formie pisemnej. Podpis zaawansowany lub prosty nie zaspokaja wymogu formy pisemnej, o ile przepis szczególny lub umowa nie dopuszczają wyraźnie inaczej.

Kodeks pracy w zakresie dokumentacji pracowniczej

Przepisy Kodeksu pracy określają wymagania formalne dotyczące dokumentów pracowniczych. Pewne kategorie dokumentów wymagają szczególnej formy lub co najmniej zachowania postaci umożliwiającej ich późniejsze utrwalenie i odtworzenie. Pracodawca stosujący podpis elektroniczny powinien każdorazowo weryfikować, jaki poziom podpisu jest wymagany dla danego rodzaju dokumentu kadrowego, gdyż skutki zastosowania niewystarczającego poziomu mogą obejmować nieważność czynności lub trudności dowodowe.

RODO i ustawa o ochronie danych osobowych

Procesy weryfikacji tożsamości niezbędne do uzyskania podpisów zaawansowanego i kwalifikowanego wiążą się z przetwarzaniem danych osobowych. Administrator danych jest zobowiązany posiadać odpowiednią podstawę prawną przetwarzania, spełniać obowiązki informacyjne wobec osób podpisujących i zapewnić odpowiednie środki techniczne oraz organizacyjne ochrony tych danych. Wybór dostawcy podpisu powinien obejmować weryfikację jego polityki ochrony danych i ewentualną umowę powierzenia przetwarzania danych.

Przykłady zastosowań

Scenariusz 1: Firma usługowa podpisująca umowy z klientami B2B

Średniej wielkości spółka doradcza zawiera kilkadziesiąt umów o świadczenie usług miesięcznie z klientami z różnych województw. Umowy te nie wymagają formy pisemnej pod rygorem nieważności, ale mają istotną wartość finansową i są podstawą do wystawiania faktur. Dział prawny rekomenduje stosowanie podpisu zaawansowanego – zapewnia on wystarczający poziom bezpieczeństwa i identyfikacji stron, eliminuje konieczność wymiany papierowej dokumentacji oraz skraca czas obiegu umów z kilku dni do kilkudziesięciu minut. W przypadku ewentualnego sporu zaawansowany podpis elektroniczny stanowi silniejszy dowód niż skan dokumentu podpisanego odręcznie.

Scenariusz 2: Dział kadr przedsiębiorstwa produkcyjnego

Dział HR dużego zakładu produkcyjnego prowadzi dokumentację pracowniczą w postaci elektronicznej. Specjaliści HR weryfikują, które dokumenty wymagają kwalifikowanego podpisu elektronicznego po stronie pracodawcy lub pracownika, a które mogą być podpisywane na niższym poziomie. W efekcie stosują podejście mieszane: dla dokumentów wymagających formy pisemnej – QES, dla wewnętrznych potwierdzeń i wniosków urlopowych – podpis zaawansowany. Pozwala to zoptymalizować koszty przy zachowaniu pełnej zgodności z przepisami prawa pracy.

Scenariusz 3: Freelancer podpisujący umowy zlecenia

Niezależny specjalista IT współpracuje jednocześnie z kilkoma zleceniodawcami. Dla umów zlecenia, które nie wymagają formy pisemnej pod rygorem nieważności, stosuje podpis zaawansowany poprzez platformę elektroniczną. Zleceniodawcy akceptują tę formę, a specjalista oszczędza czas poświęcany wcześniej na drukowanie, podpisywanie i skanowanie dokumentów. W sytuacjach, gdy zleceniodawca jest podmiotem publicznym i wymaga kwalifikowanego podpisu, specjalista korzysta z certyfikatu kwalifikowanego uzyskanego u akredytowanego dostawcy.

Najczęściej zadawane pytania

Czy podpis elektroniczny prosty ma moc prawną?

Tak, podpis elektroniczny prosty jest prawnie skuteczny, jednak jego moc dowodowa jest najniższa spośród trzech poziomów. Nie jest równoważny podpisowi własnoręcznemu i nie spełnia wymogu formy pisemnej w rozumieniu Kodeksu cywilnego. W razie sporu strona powołująca się na dokument opatrzony podpisem prostym musi sama udowodnić jego autentyczność i integralność innymi środkami dowodowymi.

Czy podpis zaawansowany wystarczy do podpisania umowy o pracę?

Zależy to od konkretnych wymagań formalnych dla danego dokumentu pracowniczego. Niektóre dokumenty wymagają formy pisemnej lub określonej formy elektronicznej, co może oznaczać konieczność zastosowania kwalifikowanego podpisu elektronicznego. Pracodawcy i pracownicy powinni każdorazowo weryfikować obowiązujące przepisy lub skonsultować się z prawnikiem specjalizującym się w prawie pracy.

Co to jest kwalifikowany certyfikat podpisu elektronicznego?

Jest to certyfikat wydany przez kwalifikowanego dostawcę usług zaufania wpisanego na krajową listę zaufania, spełniający wymagania techniczne i organizacyjne określone w eIDAS. Certyfikat ten potwierdza tożsamość posiadacza i jest niezbędnym elementem kwalifikowanego podpisu elektronicznego. Bez kwalifikowanego certyfikatu podpis – nawet oparty na kryptografii – nie może być uznany za kwalifikowany w rozumieniu prawa UE.

Czy kwalifikowany podpis elektroniczny jest uznawany za granicą?

Tak. Jedną z kluczowych zasad eIDAS jest wzajemne uznawanie kwalifikowanych podpisów elektronicznych między wszystkimi państwami członkowskimi Unii Europejskiej. Oznacza to, że kwalifikowany podpis złożony przez podmiot polski będzie uznany przez organy administracji i sądy w innych krajach UE bez potrzeby spełniania dodatkowych wymogów krajowych.

Jak wybrać odpowiedni poziom podpisu dla konkretnej umowy?

Kluczowe pytania to: czy przepis prawa wymaga szczególnej formy dla tej kategorii umów; jaka jest wartość i ryzyko sporu związanego z umową; czy druga strona lub instytucja akceptuje dany poziom podpisu. W przypadku wątpliwości zawsze bezpieczniej jest wybrać wyższy poziom. W sprawach dotyczących konkretnych rodzajów umów zalecana jest konsultacja z radcą prawnym lub adwokatem.

Podsumowanie

Trzy poziomy podpisu elektronicznego – prosty, zaawansowany i kwalifikowany – różnią się zasadniczo pod względem wymagań technicznych, mocy prawnej i zastosowań. Podpis prosty jest dostępny i bezkosztowy, ale oferuje minimalną pewność prawną. Podpis zaawansowany zapewnia silniejszą identyfikację podpisującego i wystarczy dla większości umów cywilnoprawnych. Podpis kwalifikowany jest jedynym, który na mocy eIDAS wywiera skutek równoważny podpisowi własnoręcznemu i jest niezbędny wszędzie tam, gdzie przepisy wymagają formy pisemnej w postaci elektronicznej. Dobór właściwego poziomu powinien zawsze uwzględniać wymagania prawne, rodzaj dokumentu i profil ryzyka. Zachęcamy do zapoznania się z ofertą Certyneo – platformy do podpisu elektronicznego oraz do założenia bezpłatnego konta, aby samodzielnie przetestować dostępne funkcje bez zobowiązań.