Kaip pasirašyti dokumentą elektroniniu parašu: žingsnis po žingsnio naudojant Smart-ID ir Mobile-ID

Visi elektroniniai parašai ES patenka į eIDAS (Reglamentas (ES) Nr. 910/2014) sistemą, kuri apibrėžia tris lygius. Paprastas elektroninis parašas (SES) — bet koks elektroninis sutikimo žymuo: įrašytas vardas, paspaudimas, pirštu nupieštas parašas. Pažangusis elektroninis parašas (AES) turi atitikti keturis 26 straipsnio reikalavimus: jis unikaliai susietas su pasirašančiuoju, leidžia jį identifikuoti, sukurtas tik pasirašančiajam prieinamomis priemonėmis ir susietas su pasirašytu turiniu taip, kad bet koks vėlesnis pakeitimas būtų aptinkamas. Kvalifikuotas elektroninis parašas (QES) — tai AES, paremtas kvalifikuotu sertifikatu ir kvalifikuotu parašo kūrimo įtaisu; pagal 25 straipsnį jis visoje ES turi tokią pačią teisinę galią kaip ranka rašytas parašas.

Lygį rinkitės pagal vieną klausimą: kas nutiks, jei parašas vėliau bus ginčijamas? Mažos rizikos, dideliais kiekiais pasirašomiems dokumentams — vidiniams patvirtinimams, įprastiems sutikimams — paprastai pakanka SES. Tikroms verslo sutartims bazinis lygis turėtų būti AES, nes sutarties vertė — galimybė įrodyti, kas pasirašė ir kad tekstas po to nepasikeitė, o nacionaline eID priemone paremtas AES suteikia būtent tokį tapatybės susiejimą ir apsaugą nuo klastojimo. Kvalifikuotą elektroninį parašą rinkitės ten, kur nacionalinė teisė reikalauja ranka rašyto parašo atitikmens arba kur rizika pateisina tvirčiausią pagrindą. Išsamesnį sprendimo modelį rasite gide SES, AES ar QES — kurio parašo jums reikia.

Prieš standartizuodami procesą įsidėmėkite: formos reikalavimai yra nacionaliniai. eIDAS užtikrina parašų galiojimą visoje ES, tačiau kiekviena valstybė narė pati sprendžia, kuriems dokumentų tipams reikia rašytinės formos, kvalifikuoto parašo ar notaro. Baltijos šalyse dauguma komercinių dokumentų ramiai pasirašomi AES lygiu nacionaline eID priemone, tačiau nekilnojamojo turto, paveldėjimo ir kai kurie įmonių teisės dokumentai dažnai lieka už įprasto e. pasirašymo ribų. Tai bendra informacija, ne teisinė konsultacija — dėl konkretaus dokumento tipo reikiamą lygį pasitikslinkite pas kvalifikuotą teisininką.

Baltijos šalyse pasirašyti dokumentą galite keliomis priemonėmis. Smart-ID — programėlė telefone, naudojama Estijoje, Latvijoje ir Lietuvoje. Mobile-ID, Lietuvoje dažnai vadinamas mobiliuoju parašu (m. parašu), laiko jūsų sertifikatus specialioje SIM kortelėje. Asmens tapatybės kortele pasirašoma per skaitytuvą ir kompiuterio programą, o Latvijoje papildomai veikia eParaksts mobile programėlė. Visos šios priemonės gali sukurti stiprų parašą; praktiniai skirtumai — patogumas ir, svarbiausia, už jų esantis paskyros ar sertifikato lygis, nes būtent jis apriboja, kuo jūsų parašas gali teisiškai būti.

Ne visos eID paskyros lygios. Smart-ID turi du lygius: kvalifikuotą Smart-ID paskyrą, registruotą pagal asmens dokumentą atlikus biometrinę arba gyvą tapatybės patikrą, ir Smart-ID Basic, paprastai registruotą per internetinį banką be šio patikros žingsnio. Kvalifikuoto lygio parašus gali kurti tik kvalifikuota paskyra; Basic paskyra to padaryti negali, kad ir ko reikalautų dokumentas. Jei ketinate pasirašinėti sutartis, programėlės nustatymuose pasitikrinkite, kokią paskyrą iš tiesų turite, prieš ateinant pasirašymo terminui — atnaujinimas trunka kelias minutes, bet jam reikės jūsų asmens dokumento.

Mobile-ID sertifikatai išduodami per mobiliojo ryšio operatorių kartu su specialia SIM kortele, o asmens tapatybės kortelės sertifikatai — kartu su pačia kortele. Abiem atvejais saugokite PIN kodus ir įsiminkite jų paskirtį: PIN1 skirtas tapatybei patvirtinti, PIN2 — pasirašyti. PIN2 įvedimas yra teisiškai reikšmingas veiksmas, todėl saugokite jį kaip savo parašą — nes tai jis ir yra. Kaip šios dvi priemonės veikia iš vidaus, skaitykite gide Smart-ID ir Mobile-ID: pasirašymas nacionaline eID.

Šiuolaikinis pasirašymas prasideda nuo saugios nuorodos. DokDesk pasirašymo procese kita šalis nuorodą gauna el. paštu ir jokios paskyros kurti nereikia — nuoroda atveria dokumentą naršyklėje, kompiuteryje ar telefone. Pirmiausia perskaitykite galutinį tekstą. Už nuorodos esanti versija yra vienintelė, gyva ir autoritetinga, todėl tai, ką matote, yra būtent tai, ką pasirašote. Jei kas nors negerai, sakykite dabar — po pasirašymo pakeitimai reiškia naują pasirašymo ratą, o ne tylų pataisymą.

Toliau — tapatybės patvirtinimas. Pasirenkate priemonę (Smart-ID ar Mobile-ID), įvedate asmens kodą, ir ekrane pasirodo kontrolinis kodas — trumpas skaičius, kuris privalo sutapti su kodu jūsų programėlėje ar telefone. Prieš ką nors įvesdami patikrinkite, ar kodai sutampa: šis paprastas įprotis apsaugo nuo visos klasės sesijos pakeitimo sukčiavimų. Tada patvirtinkite PIN1 kodu. Nuo šios akimirkos platforma eID lygio patikimumu žino, kad prie klaviatūros esate būtent jūs, ir šis patvirtinimas užfiksuojamas kaip įrodymų dalis.

Tada — pats parašas. Platforma pateikia pasirašymo užklausą; programėlėje ar telefone pasirodo naujas kontrolinis kodas; patikrinate, ar jis sutampa, ir įvedate PIN2. Techniškai jūsų įrenginys privačiuoju raktu pasirašo dokumento santrauką — nieko nepiešiate, o pritaikote raktą, kurį valdote tik jūs. Kai tą patį padaro visos šalys, platforma suformuoja pasirašytą konteinerį, užbaigia ratą, ir kiekviena pusė gauna galutinį dokumentą kartu su jo įrodymais. Visa eiga vienam pasirašančiajam paprastai trunka vos kelias minutes.

Tikras eID parašas nesukuria „PDF su paveikslėliu“. Jis sukuria parašo konteinerį — Baltijos šalyse dažniausiai ASiC-E failą, pavyzdžiui, .asice, taip pat nacionalinius formatus: .adoc Lietuvoje, .edoc Latvijoje, arba PAdES formatu pasirašytą PDF. Konteineryje yra pirminis dokumentas, jūsų sertifikatas (kuris jus identifikuoja), kriptografinis parašas, susietas su dokumento turiniu, laiko žyma ir galiojimo patikros duomenys. Bet koks vėlesnis dokumento pakeitimas matematiškai sulaužo parašą — būtent tai praktikoje reiškia apsauga nuo klastojimo. Šiuos failus galima patikrinti nemokamomis nacionalinėmis patikros priemonėmis, nepriklausomai nuo to, kas juos sukūrė — būtent to ir norisi iš formato, kuris turi pergyventi patį sandorį.

Aplink konteinerį geras procesas prideda antrą sluoksnį — įrodymų bazę. DokDesk fiksuoja, kas buvo pakviestas, kas atidarė ir peržiūrėjo dokumentą, kokia tapatybės priemone pasirašė kiekvienas dalyvis ir tikslų kiekvieno žingsnio laiką — nuoseklią, teismui tinkamą įrodymų seką, atsakančią į klausimus, kuriuos iš tiesų užduotų ginčas; duomenys laikomi ES pagal GDPR. Šią vertę saugo du įpročiai: išsaugokite originalų konteinerį, ne tik spaudinį ar „suplokštintą“ kopiją, ir laikykite jį patikimoje vietoje. Konteineris yra teisiškai reikšmingas artefaktas; visa kita — tik jo nuotrauka.

Dažniausia klaidinga nuostata — kad nupieštas ar nuskenuotas parašo paveikslėlis yra „elektroninis parašas“ stipriąja prasme. Teisiškai jis dažniausiai laikomas tik SES — priimtinas kaip įrodymas, bet pats savaime beveik nieko neįrodo. Paveikslėlį galima nukopijuoti iš bet kurio dokumento į bet kurį kitą, jis nieko kriptografiškai neidentifikuoja ir nieko nepasako apie tai, ar tekstas po pasirašymo nepasikeitė. Jei susitarimas svarbus, pasirašykite jį eID priemone: įrodomosios galios skirtumas tarp įklijuoto paveikslėlio ir Smart-ID ar Mobile-ID paremto AES — tai skirtumas tarp teiginio ir įrodymo.

Antra klasikinė klaida — spausdinimas ir skenavimas. Vos tik skaitmeniškai pasirašytas dokumentas atspausdinamas, parašas dingsta: popierius negali pernešti kriptografijos, o to popieriaus skenas vėl tėra paveikslėlis. Tas pats galioja patogumo dėlei eksportuotiems „suplokštintiems“ PDF failams. Dalinkitės ir archyvuokite originalų pasirašytą konteinerį, o tie, kam reikia tikrumo, tegul tikrina patį failą, o ne pasitiki spaudiniu.

Galiausiai — versijų painiava. Kai juodraščiai skraido el. paštu kaip priedai, pavojingai lengva pasirašyti ne tą — o nepriekaištingas parašas ant ne to teksto vis tiek yra ne ta sutartis. Darbas iš daugkartinių šablonų ir derybos dėl vienos gyvos versijos pašalina dviprasmybę: tekstas už saugios nuorodos yra tas tekstas, kurį pasirašo visi. Pridėkite elementarią PIN higieną — niekada neatskleiskite PIN2 ir niekada jo neįveskite, jei kontroliniai kodai nesutampa, — ir jūsų parašai bus tokie stiprūs, kokius tik leidžia technologija.