Rodzaj podpisu opisuje właściwości, nie wygląd dokumentu
Podpisu nie rozpoznaje się po grafice na stronie PDF. Znaczenie mają dane powiązane z dokumentem, sposób identyfikacji sygnatariusza, kontrola nad danymi do składania podpisu, możliwość wykrycia zmian, rodzaj certyfikatu i status usługi. Program walidujący powinien pokazać te elementy w raporcie.
Ogólna kategoria podpisu elektronicznego
eIDAS definiuje podpis elektroniczny szeroko jako dane w postaci elektronicznej dołączone lub logicznie powiązane z innymi danymi, użyte przez podpisującego do podpisania. Rozporządzenie zabrania odmawiania skutku prawnego i dopuszczalności dowodowej wyłącznie dlatego, że podpis jest elektroniczny albo nie spełnia wymagań kwalifikowanych.
Nie oznacza to, że każdy sposób spełnia każdy wymóg formy ani że dowód będzie oceniony tak samo. Kontekst, uzgodnienie stron, wiarygodność metody i przepisy szczególne nadal mają znaczenie. Wklejone imię może być śladem intencji, ale nie daje właściwości podpisu opartego na certyfikacie.
Zaawansowany podpis elektroniczny
Art. 26 eIDAS określa wymagania, między innymi jednoznaczne powiązanie z podpisującym, możliwość jego identyfikacji, użycie danych pod jego kontrolą w warunkach opisanych przepisem oraz wykrywalność późniejszej zmiany podpisanych danych. Ocena, czy konkretne rozwiązanie spełnia te warunki, wymaga analizy technicznej i organizacyjnej, nie samej etykiety producenta.
Zaawansowany podpis może opierać się na certyfikacie, lecz nie każdy certyfikat jest kwalifikowany. Nie nazywaj podpisu kwalifikowanym tylko dlatego, że walidator pokazuje nazwę wystawcy i poprawną integralność.
Kwalifikowany podpis elektroniczny
To zaawansowany podpis tworzony za pomocą kwalifikowanego urządzenia do składania podpisu i oparty na kwalifikowanym certyfikacie. Kwalifikowany certyfikat wydaje kwalifikowany dostawca, a status usługi sprawdza się na zaufanej liście. Wszystkie elementy definicji muszą być spełnione łącznie.
Art. 25 eIDAS nadaje kwalifikowanemu podpisowi skutek prawny równoważny podpisowi własnoręcznemu oraz przewiduje uznawanie kwalifikowanego podpisu opartego na certyfikacie z jednego państwa członkowskiego w pozostałych. Nadal trzeba sprawdzić, czy dana osoba mogła złożyć oświadczenie i czy czynność nie ma dodatkowych wymagań.
Podpis zaufany
Podpis zaufany funkcjonuje w polskim systemie usług publicznych i jest związany z profilem zaufanym. Jego zastosowanie i skutek wynikają z krajowych przepisów oraz konkretnej procedury. Gov.pl udostępnia usługę podpisania i sprawdzania dokumentów, ale system przyjmujący może wymagać określonego formatu lub podpisania bezpośrednio w danej usłudze.
Nie utożsamiaj profilu zaufanego z kwalifikowanym certyfikatem. To odrębne mechanizmy. Instrukcja urzędu powinna wskazać, czy przyjmuje podpis zaufany, osobisty, kwalifikowany albo kilka możliwości.
Podpis osobisty
Podpis osobisty jest zaawansowanym podpisem elektronicznym wykorzystującym certyfikat w e-dowodzie. Certyfikat musi być aktywny, a użytkownik znać kod do składania podpisu. Oficjalny opis gov.pl wskazuje, że wobec podmiotu publicznego podpis osobisty ma skutek jak podpis własnoręczny, natomiast wobec podmiotu innego niż publiczny wymaga zgody obu stron.
Nie myl podpisu osobistego z mDowodem ani samym użyciem e-dowodu do logowania. To odrębna funkcja warstwy elektronicznej. Sprawdź również, jaki format przyjmie odbiorca i czy potrafi zweryfikować taki podpis.
Podpis osoby i pieczęć podmiotu
Podpis elektroniczny składa osoba fizyczna. Pieczęć elektroniczna jest odrębną usługą związaną z osobą prawną i służy innym celom, między innymi wspieraniu pewności pochodzenia i integralności danych. Nie zastępuj podpisu reprezentanta pieczęcią bez sprawdzenia wymagań czynności.
Walidator może pokazać oba obiekty podobnym językiem technicznym. Raport musi jednak określić, czy sprawdzano podpis czy pieczęć, jaki certyfikat je wspierał i jaki status miała usługa.
Mapa wyboru
Najpierw przeczytaj przepis, instrukcję odbiorcy lub uzgodnienie stron. Następnie sprawdź osobę uprawnioną, format i dostępne narzędzie. Na końcu wykonaj próbę walidacji przed terminem. Nie kupuj rozwiązania tylko na podstawie słowa „kwalifikowany” w reklamie; potwierdź usługę i jej status na zaufanej liście.