eIDAS rozlišuje tři úrovně elektronického podpisu a liší se hlavně důkazní silou, ne pohodlím. Co která úroveň znamená, kdy v praxi stačí prostý podpis a proč záleží na tom, kde podepsaný dokument skončí.
Smlouva odejde klientovi jako PDF, vrátí se vyfocená mobilem a někdo ji uloží na disk. Za rok nikdo neumí říct, která ze čtyř verzí na disku je ta podepsaná. Vedle toho běží druhá nejistota, kterou si ve firmě nikdo netroufne rozhodnout: jestli to takhle vůbec platí.
Forma a důkaz jsou dvě různé otázky
První otázka je právní: jakou formu to jednání vůbec vyžaduje. Občanský zákoník vychází z volnosti formy - podle § 559 si pro právní jednání můžete zvolit libovolnou formu, pokud vás neomezuje zákon nebo vaše vlastní ujednání. Tam, kde se písemná forma vyžaduje, § 562 uznává i jednání učiněné elektronickými prostředky, pokud umožňují zachytit obsah a určit jednající osobu.
Druhá otázka je důkazní: až druhá strana za dva roky řekne, že nic nepodepsala, čím to vyvrátíte. Tady se úrovně podpisu liší nejvíc a tady se rozhoduje, jestli má smysl platit za tu vyšší. Nařízení eIDAS k tomu říká, že podpisu nelze upřít právní účinek jen proto, že má elektronickou podobu. Neříká ale, že všechny úrovně unesou v případném sporu stejnou váhu.
Dokument, který vznikne z dat a jde rovnou k podpisu
Smlouva se poskládá ze šablony a údajů na záznamu, odejde k podpisu a podepsaná verze se vrátí ke stejnému záznamu. Po cestě nevzniká další kopie v e-mailu.
Tři úrovně, které eIDAS rozlišuje
Prostý elektronický podpis. Definice je široká: data v elektronické podobě připojená k jiným datům, která podepisující osoba používá k podepsání. Spadá sem kliknutí na tlačítko „Souhlasím", jméno pod e-mailem, obrázek podpisu vložený do PDF i podpis prstem na tabletu. Sám o sobě nedokládá nic o tom, kdo ho vytvořil.
Zaručený elektronický podpis. Musí splnit čtyři podmínky: je jednoznačně spojen s podepisující osobou, umožňuje její identifikaci, vzniká prostředky, které má podepisující pod svou výhradní kontrolou, a je k dokumentu připojen tak, aby šla zjistit jakákoli následná změna. V praxi za ním stojí certifikát - buď vlastní, nebo takový, který za vás spravuje podpisová služba.
Kvalifikovaný elektronický podpis. Zaručený podpis založený na kvalifikovaném certifikátu a vytvořený kvalifikovaným prostředkem pro vytváření podpisů. Certifikát vydává kvalifikovaný poskytovatel služeb vytvářejících důvěru; v Česku jsou to První certifikační autorita, eIdentity a PostSignum České pošty. Podle eIDAS má tato úroveň právní účinek rovnocenný vlastnoručnímu podpisu.
| Úroveň podpisu | Jak vzniká | Typické použití |
|---|---|---|
| Prostý | Klik v aplikaci, jméno pod e-mailem, obrázek podpisu v PDF, podpis prstem na tabletu | Objednávky, potvrzení nabídky, předávací protokoly, interní schválení, běžné B2B smlouvy |
| Zaručený | Certifikát pod výhradní kontrolou podepisujícího, obvykle přes podpisovou službu s ověřením identity (SMS kód, bankovní identita, doklad) | Smlouvy s vyšší hodnotou, dokumenty se sporným rizikem, rámcové dodavatelské smlouvy |
| Kvalifikovaný | Kvalifikovaný certifikát od kvalifikovaného poskytovatele plus kvalifikovaný prostředek (čipová karta, token, vzdálený podpis) | Jednání s veřejnoprávním podepisujícím, podání vůči státu, dokumenty, kde je nejvyšší úroveň vyžadována |
Kdy stačí prostý podpis a kde se na něj nespoléhá
Většina běžných obchodních smluv mezi firmami žádnou zvláštní formu ze zákona nemá. Objednávka, potvrzení nabídky, dodatek k termínu, NDA i rámcová smlouva se dají uzavřít i klikem, pokud si strany písemnou formu samy nesjednaly. Proto drtivou většinu toho, co menší firma denně podepisuje, prostý podpis unese.
Opatrnost se vyplatí u tří skupin. Tam, kde zákon vyžaduje úředně ověřený podpis nebo veřejnou listinu - typicky převody nemovitostí, zápisy do obchodního rejstříku, některé plné moci. Tam, kde jednáte s veřejnoprávním podepisujícím, protože pro tyto situace předepisuje zákon o službách vytvářejících důvěru kvalifikovaný podpis. A u části pracovněprávních jednání, kde má zákoník práce vlastní pravidla pro doručování i pro odstoupení od elektronicky uzavřených smluv.
Čtvrté omezení si firmy často nastaví samy. Když máte ve starých vzorech větu, že změny se činí písemně a podepisují se vlastnoručně, zavřeli jste si dveře vlastním ujednáním, ne zákonem. Než začnete podepisovat elektronicky, projděte šablony, které používáte, a tuhle formulaci z nich vyřaďte. U oborů, kde se smluv eviduje hodně a mají svoje lhůty, se to vyplatí projít najednou - třeba u evidence klientů a smluv u finančních poradců.
Podepsat je snadné, prokázat je ta těžší část
Prostý podpis není slabý proto, že by byl neplatný, ale proto, že o něm sám dokument nic nedokládá. Rozdíl mezi nástroji je právě v tom, co k podpisu přibalí: časové razítko, čas a IP adresu jednotlivých kroků, e-mail a telefon podepisujícího, ověření identity přes SMS kód nebo bankovní identitu a otisk dokumentu, ze kterého je vidět, že se od podpisu nezměnil.
Tenhle balík se obvykle jmenuje protokol o podpisu nebo audit trail a v případném sporu je rozhodující on, ne obrázek podpisu na poslední stránce. Když si vybíráte nástroj, nechte si ho ukázat na hotové smlouvě - ne jako odstavec na webu, ale jako soubor, který dostanete do ruky. Rozdíly mezi službami jsou tady větší než v ceníku.
Vestavěný podpis a samostatná služba řeší jiný kus cesty
Samostatné podpisové služby - DocuSign, Adobe Acrobat Sign, z českých Signi - jsou postavené kolem samotného aktu podpisu. Umí víc způsobů ověření identity, zvládnuté vyšší úrovně podpisu, pořádek v protokolech a pořadí podepisujících u vícestranných dokumentů. Když podepisujete hodně a s různými typy protistran, je to nejrychlejší cesta k tomu mít podpis vyřešený pořádně.
Podpis vestavěný do systému, ve kterém už zakázka žije, řeší tu část před podpisem a po něm. Dokument se nevypisuje ručně, ale poskládá se ze šablony a dat na záznamu, odejde k podpisu jako krok procesu a podepsaná verze se vrátí tam, odkud vyšla. Odpadá přepisování údajů, přeposílání a dohledávání, protože v systému je vidět, kdo má co podepsat a jak dlouho to leží. Tak s e-podpisem pracuje například Apexloop, kde je podpis krokem automatizace nad stejnými daty, ze kterých se dokument vygeneroval - stejná logika jako u nabídky generované z dat místo z Wordu.
Volba nemusí být binární. Část firem používá vestavěný podpis na běžný provoz - objednávky, předávací protokoly, potvrzení nabídek - a samostatnou službu tam, kde potřebuje kvalifikovaný podpis nebo silnější ověření identity. Rozhodující je, aby si obě cesty předávaly hotový dokument, a ne aby vedle sebe žily bez propojení jako tři systémy, které spolu nemluví.
Kde podepsaný dokument skončí, se ukáže až za rok
Podpis je jednorázová událost, ale dokument s vámi zůstane roky. Praktické otázky přijdou později: kdo k němu má přístup, jak rychle ho najdete podle klienta nebo zakázky, jestli vám systém sám připomene výpovědní lhůtu, a co si odnesete, když se službou skončíte.
Když podepsaný soubor žije jen v podpisové službě a ve firmě po něm zbyde odkaz v e-mailu, máte tři místa pravdy: schránku, službu a disk. To je stejná past, jakou popisuje článek o nákladech roztříštěných nástrojů. Ptejte se proto předem na tři věci: jestli se podepsaná verze umí vrátit k záznamu klienta, jestli jde stáhnout hromadně a jestli export obsahuje i protokoly o podpisu, ne jen PDF.
Jak vypadá generování smlouvy z dat místo přepisování ve Wordu, popisuje průvodce generováním smluv a nabídek z dat. Kde podepsané dokumenty žijí a jak se vážou k záznamu klienta, řeší dokumenty a stránky, na kdo co uvidí navazuje nastavení přístupových práv a viditelnosti dat. Co si od dodavatele odnesete, až budete odcházet, rozebírá vendor lock-in ve firemním softwaru, a na co máte nárok při exportu osobních údajů, export dat z CRM a GDPR.
Tohle je obecný přehled, ne právní poradenství. U konkrétní smlouvy se vyplatí formu jednání i potřebnou úroveň podpisu ověřit u právníka.
Časté otázky k elektronickému podpisu
Je elektronický podpis právně platný?
Ano, podpisu nelze podle eIDAS upřít právní účinek jen proto, že má elektronickou podobu. Otázka není platnost, ale to, jakou formu dané jednání vyžaduje a jak silně umíte podpis v případném sporu prokázat.
Stačí naskenovaný podpis vložený do PDF?
Z pohledu eIDAS jde o prostý elektronický podpis, takže u jednání bez předepsané formy obvykle projde. Nedokládá ale, kdo ho do dokumentu vložil ani že se dokument od té chvíle nezměnil - proti popření je to nejslabší varianta ze všech.
Jaký je rozdíl mezi zaručeným a kvalifikovaným podpisem?
Zaručený podpis musí být jednoznačně spojen s podepisujícím, vzniknout pod jeho výhradní kontrolou a odhalit následnou změnu dokumentu. Kvalifikovaný je totéž navíc s certifikátem od kvalifikovaného poskytovatele a kvalifikovaným prostředkem, a má účinek vlastnoručního podpisu.
Potřebuju kvalifikovaný podpis na běžné smlouvy s klienty?
U běžných obchodních smluv mezi firmami obvykle ne, protože zákon pro ně zvláštní formu nepředepisuje. Kvalifikovaný podpis se řeší hlavně u jednání s veřejnoprávním podepisujícím a tam, kde je nejvyšší úroveň výslovně vyžadována.