Który podpis wybrać? Zacznij od dokumentu i odbiorcy
Trzy narzędzia mogą podpisać plik, lecz nie są zamienne. Sprawdź formę czynności, odbiorcę, format oraz osobę uprawnioną.
Najłatwiejszy dostęp do aplikacji nie przesądza, że powstały podpis spełni wymóg. Podpis zaufany, osobisty i kwalifikowany wywodzą się z różnych mechanizmów. Zanim otworzysz narzędzie, znajdź instrukcję konkretnej usługi, przepis albo uzgodnienie stron i zapisz akceptowane rozwiązania.
Pierwsze pytanie: jaka forma jest potrzebna
W sprawie prywatnej przeanalizuj wymogi czynności oraz treść umowy. W sprawie urzędowej przeczytaj aktualną kartę usługi i wymagania systemu. W postępowaniu formalnym nie opieraj się na poradniku sprzed kilku lat ani doświadczeniu z innym formularzem. Ten sam urząd może przyjmować różne podpisy w różnych procedurach.
Jeżeli stawką jest ważność oświadczenia, termin, nieruchomość, zamówienie lub inna czynność o istotnych skutkach, skonsultuj wymóg z właściwym prawnikiem lub organem. Ogólna równoważność kwalifikowanego podpisu z własnoręcznym nie usuwa form szczególnych ani wymogu reprezentacji.
Podpis zaufany — przede wszystkim usługi publiczne
Profil zaufany pozwala utworzyć podpis zaufany w ramach krajowego systemu. Gov.pl udostępnia usługę podpisania i sprawdzenia pliku, lecz instrukcja konkretnej sprawy może prowadzić przez własny formularz. Sprawdź format, wielkość, sposób dołączenia załączników i to, czy kilka osób może podpisać ten sam dokument.
Nie nazywaj podpisu zaufanego kwalifikowanym. Jego skutek i zakres stosowania wynikają z polskich przepisów. Zagraniczny odbiorca może nie znać tego mechanizmu albo nie mieć narzędzia do weryfikacji.
Podpis osobisty — funkcja e-dowodu
Podpis osobisty jest zaawansowanym podpisem elektronicznym. Wymaga e-dowodu z aktywnym certyfikatem podpisu osobistego i właściwego kodu. Samo posiadanie e-dowodu nie gwarantuje, że certyfikat został w nim zamieszczony i jest gotowy do użycia.
Gov.pl wskazuje, że podpis osobisty wobec podmiotu publicznego ma skutek podpisu własnoręcznego, a wobec innych podmiotów działa z takim skutkiem, gdy obie strony wyrażą zgodę. Przed użyciem prywatnym uzgodnij także format i sposób walidacji, aby odbiorca nie dostał pliku, którego nie potrafi otworzyć.
Podpis kwalifikowany — warunki z eIDAS
Kwalifikowany podpis wymaga kwalifikowanego certyfikatu, kwalifikowanego urządzenia do składania podpisu i spełnienia wymagań zaawansowanego podpisu. Weryfikuj dostawcę oraz konkretną usługę w zaufanej liście. Nazwa „certyfikat cyfrowy” albo zgodność z normą techniczną nie przesądzają kwalifikowanego statusu.
Podpis kwalifikowany ma w UE skutek równoważny własnoręcznemu i jest uznawany transgranicznie na zasadach eIDAS. To nie zwalnia z ustalenia, czy osoba ma umocowanie i czy dokument jest kompletny.
Drugie pytanie: jaki format przyjmie odbiorca
Podpis może być osadzony w PDF, zapisany przy XML albo utworzony jako oddzielny plik. System odbiorcy może mieć ograniczoną listę formatów i profili. Nie konwertuj dokumentu już po podpisaniu tylko po to, aby pasował do formularza. Wróć do wersji źródłowej i podpisz ponownie w akceptowany sposób.
Wykonaj próbę przed terminem. Sprawdź, czy wszystkie osoby mogą podpisać tę samą wersję, czy usługa tworzy kontener i jakie pliki należy wysłać. Zachowaj oryginał po każdym etapie.
Trzecie pytanie: kto ma podpisać
Podpis pracownika nie zawsze wiąże organizację. Zweryfikuj reprezentację w rejestrze, pełnomocnictwo i zasadę współdziałania. Jeśli dokument wymaga dwóch osób, przygotuj proces, w którym drugi podpis nie unieważnia pierwszego i obie osoby widzą tę samą treść.
Nie udostępniaj tokenu, karty, kodu ani urządzenia do autoryzacji innej osobie. Podpis ma być tworzony przez sygnatariusza pod jego kontrolą. W sytuacji awaryjnej używa się właściwej reprezentacji lub pełnomocnictwa, nie pożyczonego certyfikatu.
Podpis zdalny i karta mogą prowadzić do tego samego poziomu
Kwalifikowane dane do składania podpisu mogą być zarządzane w urządzeniu fizycznym użytkownika albo w kwalifikowanym rozwiązaniu zdalnym spełniającym wymagania. Sam brak karty w czytniku nie oznacza więc, że podpis jest niekwalifikowany. O poziomie decyduje cały mechanizm, certyfikat, urządzenie i status usługi, a nie wygląd aplikacji.
Przed wyborem zdalnej usługi sprawdź proces identyfikacji, autoryzacji każdego podpisu, odzyskania dostępu i działania po utracie telefonu. Nie zatwierdzaj powiadomienia, jeśli dokument, skrót lub opis operacji nie odpowiada temu, co zamierzasz podpisać. Po wykonaniu pobierz rezultat i od razu zweryfikuj go niezależnym narzędziem.
Końcowa karta wyboru
Zapisz wymóg formy, akceptowany rodzaj, format, odbiorcę, sygnatariuszy, termin i narzędzie walidacji. Jeżeli wszystkie pola są potwierdzone, wybierz rozwiązanie spełniające je bez nadmiarowych funkcji. Po podpisaniu przejdź od razu do niezależnej kontroli pliku.