Co to jest eIDAS?

Rozporządzenie eIDAS ustanowiło nowy system bezpiecznych interakcji elektronicznych pomiędzy przedsiębiorstwami, obywatelami i władzami publicznymi w całej UE. Chociaż zakres wprowadzonych regulacji prawnych jest bardzo szeroki, z punktu widzenia biznesu kluczowe są zwłaszcza zapisy dotyczące podpisów elektronicznych, w tym podpisów kwalifikowanych.

Czym jest rozporządzenie eIDAS?

Skrót eIDAS (ang. electronic IDentification, Authentication and trust Services) oznacza rozporządzenie Parlamentu Europejskiego i Rady (UE) nr 910/2014 z dnia 23 lipca 2014 r. w sprawie identyfikacji elektronicznej i usług zaufania w odniesieniu do transakcji elektronicznych na rynku wewnętrznym. Dokument obowiązuje w całej Unii Europejskiej od 1 lipca 2016 roku i jest stosowany bezpośrednio w polskim porządku prawnym. Celem rozporządzenia eIDAS jest zwiększenie zaufania do transakcji elektronicznych poprzez ramy prawne, które gwarantują ich bezpieczeństwo na poziomie europejskim.

Czego dotyczy rozporządzenie eIDAS?

Rozporządzenie eIDAS dotyczy dwóch ogólnych kwestii:

1. Systemów identyfikacji elektronicznej;

2. Usług zaufania.

W tym pierwszy przypadku chodziło przede wszystkim o określenie warunków uznawania przez państwa UE środków identyfikacji elektronicznej osób fizycznych i prawnych stosowanych w innych krajach członkowskich. Ułatwiło to między innymi prowadzenie transakcji pomiędzy przedsiębiorstwami i podmiotami publicznymi (np. przedsiębiorstwo z Portugalii może teraz w prosty sposób złożyć ofertę przetargową w ramach zamówienia na usługi publiczne w Szwecji i rozliczać się w całości online). Ta część przepisów zaczęła obowiązywać później, bo od 28 września 2018 roku.

Rozporządzenie eIDAS już wcześniej wprowadziło też nowe ramy prawne dla szeregu usług zaufania. Oprócz podpisów elektronicznych, w tym podpisów kwalifikowanych, obejmują one:

• Pieczęci elektroniczne (w odróżnieniu od podpisów elektronicznych są składane przez osoby prawne oraz zapewniają autentyczność pochodzenia i integralność danych, które zostały opatrzone pieczęcią);

• Elektroniczne znaczniki czasu (czyli dane w postaci elektronicznej, które wiążą inne dane w postaci elektronicznej z określonym czasem, stanowiąc dowód na to, że te inne dane istniały w danym czasie);

• Usługi rejestrowanego doręczenia elektronicznego (umożliwiają otrzymywanie i wysyłanie oficjalnej korespondencji drogą elektroniczną tak, by zapewnić dowód wysłania i otrzymania danych, chroniąc je jednocześnie przed ryzykiem utraty, kradzieży, uszkodzenia lub nieupoważnionej zmiany);

• Certyfikaty uwierzytelniania witryn internetowych.

Rozporządzenie eIDAS i podpis elektroniczny

W rozporządzeniu eIDAS „podpis elektroniczny oznacza dane w postaci elektronicznej, które są dołączone lub logicznie powiązane z innymi danymi w postaci elektronicznej, i które użyte są przez podpisującego jako podpis” (artykuł 3, punkt 10). Podpisujący musi być też osobą fizyczną (art. 3, pkt 9). Innymi słowy, dokument dopuszcza jako podpis elektroniczny różnego rodzaju dane, o ile zostały one świadomie użyte do podpisania jakiejś treści w postaci elektronicznej i można wykazać ich związek z podpisywaną treścią. 

Ponadto „podpisowi elektronicznemu nie można odmówić skutku prawnego ani dopuszczalności jako dowodu w postępowaniu sądowym wyłącznie z tego powodu, że podpis ten ma postać elektroniczną lub że nie spełnia wymogów dla kwalifikowanych podpisów elektronicznych” (art. 25, pkt 1 eIDAS). W praktyce oznacza to, że w przypadku większości umów występujących w obrocie gospodarczym można zastosować dowolny typ podpisu elektronicznego, także taki, który nie spełnia dodatkowych warunków oprócz tych wymienionych powyżej.

Czym jest podpis kwalifikowany w świetle rozporządzenia eIDAS?

Rozporządzenie eIDAS definiuje też, czym jest tak zwany podpis kwalifikowany, czyli szczególna forma zaawansowanego podpisu elektronicznego. Artykuł 26 dokumentu stwierdza, że „zaawansowany podpis elektroniczny musi spełniać następujące wymogi:

1. jest unikalnie przyporządkowany podpisującemu;

2. umożliwia ustalenie tożsamości podpisującego;

3. jest składany przy użyciu danych służących do składania podpisu elektronicznego, których podpisujący może, z dużą dozą pewności, użyć pod wyłączną swoją kontrolą; oraz

4. jest powiązany z danymi podpisanymi w taki sposób, że każda późniejsza zmiana danych jest rozpoznawalna.”

Dodatkowo kwalifikowany podpis elektroniczny jest składany za pomocą kwalifikowanego urządzenia do składania podpisu elektronicznego i opiera się na kwalifikowanym certyfikacie podpisu elektronicznego (art. 13, pkt 12). Certyfikat jest wydawany na czas określony, wyłącznie kwalifikowanych dostawców zaufania – takich jak współpracujący kwalifikowani partnerzy Autenti – po weryfikacji tożsamość osoby, która się o niego ubiega. Podobnie jak „zwykły” podpis elektroniczny na platformie Autenti, podpisy kwalifikowane również można jednak uzyskać całkowicie online – dzięki wideoweryfikacji. 

Z racji na dodatkowe wymagania, które musi spełniać, podpis kwalifikowany ma natomiast szerszy zakres zastosowań niż pozostałe podpisy elektroniczne. Wedle eIDAS, „kwalifikowany podpis elektroniczny ma skutek prawny równoważny podpisowi własnoręcznemu” (art. 25, pkt 2).

Oznacza to, że możesz nim podpisać także dokumenty, które wymagają zachowania formy pisemnej pod rygorem nieważności (np. umowę o pracę, wszystkie umowy z przeniesieniem autorskich praw majątkowych, umowę prowadzenia rachunku bankowego, leasingową czy pełnomocnictwo ogólne). Podpis kwalifikowany jest również często wymagany przez organy administracji państwowej i samorządowej.

Z kolei punkt 3 artykułu 25 eIDAS głosi, że „kwalifikowany podpis elektroniczny oparty na kwalifikowanym certyfikacie wydanym w jednym państwie członkowskim jest uznawany za kwalifikowany podpis elektroniczny we wszystkich pozostałych państwach członkowskich”. Podpis kwalifikowany wydany w Polsce obowiązuje więc na terenie całej Unii Europejskiej.