Код из СМС, пароль от личного кабинета или подтверждение в приложении могут не просто открывать доступ к сервису. При правильно выстроенном порядке они образуют «простую электронную подпись (ПЭП)» и связывают действие с конкретным пользователем.
Сам по себе введенный код еще не делает любой файл подписанным. Система должна определить человека, связать подтверждение с конкретным документом и сохранить сведения об операции.
Ну а сегодня мы посмотрим, когда ПЭП заменяет собственноручную подпись и что для этого нужно закрепить в правилах. Кроме того, выясним, чем она отличается от усиленных подписей и как подтвердить ее использование при споре.
О понятии
Итак, простая электронная подпись — это способ подтвердить, что электронное действие совершил определенный человек. Для этого система использует известный или доступный ему идентификатор: например, пароль либо одноразовый код.
Обращаясь к первоисточнику, определение закреплено в части 2 статьи 5 Федерального закона от 6 апреля 2011 года № 63-ФЗ «Об электронной подписи». По норме ПЭП посредством кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом.
Проще говоря, ПЭП отвечает прежде всего на вопрос: кто подтвердил действие в системе. Однако она не обязана выглядеть как рукописный автограф и обычно не отображается на документе отдельной картинкой.
Пример ситуации
Допустим, клиент вошел в личный кабинет, открыл заявление и подтвердил его кодом из СМС. Если правила сервиса связывают этот код с клиентом и конкретной версией заявления, действие может считаться подписанием ПЭП.
Вместе с тем обычный вход в аккаунт не всегда означает подписание. Значение имеет не внешний вид действия, а заранее установленный порядок.
Что может выступать простой подписью
Закон не ограничивает ПЭП одним техническим способом. Участники могут использовать постоянный пароль, одноразовый код, подтверждение через приложение или другую комбинацию идентификаторов.
Однако средство должно не только пропустить пользователя внутрь. Кроме того, оно должно показать, от чьего имени создан или отправлен конкретный документ.
По части 1 статьи 9 Закона № 63-ФЗ подпись может содержаться в самом документе. Либо ключ ПЭП применяют по правилам оператора системы, а в документе сохраняют сведения о лице, от имени которого он создан или отправлен.
Кстати, на нашем сайте мы раскрыли общую схему обмена цифровыми документами в материале про электронный документооборот. В свою очередь, все три вида подписи мы сравнили в отдельной статье о видах электронных подписей.
Таким образом, пароль, код и кнопка работают не по отдельности. Юридическое значение им придает вся процедура целиком.
Когда ПЭП равна собственноручной подписи
Простая подпись не получает такую силу автоматически для любых отношений. Сначала нужно найти основание, которое разрешает использовать именно этот вид ЭП.
Согласно части 2 статьи 6 Закона № 63-ФЗ, равнозначность может установить федеральный закон, нормативный акт, акт Банка России, правило платежной системы или соглашение участников. Если такого основания нет, одного кода может оказаться недостаточно.
Кроме того, статья 160 ГК РФ допускает совершение письменной сделки электронными или иными техническими средствами. Однако содержание сделки должно воспроизводиться без изменений, а выбранный способ — достоверно определять лицо, которое выразило волю.
ПЭП и собственноручная подпись равнозначны только в пределах установленного порядка. Согласие на оплату в одном сервисе не дает тому же коду универсальную силу для любых других документов.
Пользователь может принять правила при регистрации и затем подтверждать заказы одноразовым кодом. В таком случае правила вместе с техническими журналами образуют основу для признания документов подписанными.
Что закрепить в соглашении
Минимальные требования названы в части 2 статьи 9 Закона № 63-ФЗ. Во-первых, соглашение должно объяснять, как по ПЭП определяется подписант. Во-вторых, пользователь обязан сохранять ключ подписи в тайне.
Впрочем, для устойчивой работы стоит описать и дополнительные условия:
- порядок регистрации и проверки пользователя;
- вид ключа ПЭП и способ его получения;
- документы и действия, которые можно подтверждать;
- момент подписания, отправки и получения;
- хранение версий и журналов событий;
- действия при утрате пароля, телефона или почты;
- порядок прекращения использования ПЭП.
Правила должны связывать один код с одним действием. Если текст документа меняется, прежнее подтверждение не должно распространяться на новую редакцию.
Отметим, что на нашем сайте размещено соглашение об электронном документообороте между юридическими лицами. Однако его нужно адаптировать: отдельно перечислить допустимые подписи, документы и правила идентификации.
Если условия размещены в пользовательском соглашении, системе важно сохранить принятую редакцию. Иначе позднее будет трудно доказать, с какими правилами согласился человек.
Как проходит подписание
Конкретные экраны различаются, но процедура обычно состоит из нескольких связанных действий:
- Система идентифицирует пользователя установленным способом.
- Затем она показывает документ, сумму или другое подтверждаемое действие.
- Пользователь вводит код, пароль либо нажимает кнопку.
- В результате подтверждение связывается с человеком и версией документа.
- После этого система сохраняет дату, время и сведения для проверки.
Такой порядок позволяет отделить обычный вход в систему от волеизъявления по конкретному тексту.
Пример с договором
Представим, что сервис показал клиенту договор займа на 50 000 рублей и направил код. Клиент ввел его, после чего система сохранила текст договора и время операции. При изменении суммы до 70 000 рублей потребуется новое подтверждение.
Поэтому надежная система хранит не только факт нажатия кнопки. Система также сохраняет тот текст, который видел пользователь.
Чем ПЭП отличается от усиленной подписи
Главное различие связано с техническими признаками и правилами признания.
| Критерий | ПЭП | Усиленная подпись |
|---|---|---|
| Основа | Код, пароль или другое средство идентификации | Криптографическое преобразование информации |
| Изменения документа | Выявление изменений не является обязательным признаком | Подпись позволяет обнаружить изменения после подписания |
| Сертификат | Обычно не требуется | Для КЭП обязателен квалифицированный сертификат |
| Равнозначность | Зависит от закона, акта или соглашения | Для КЭП действует общее правило, кроме установленных исключений |
Таким образом, ПЭП удобна для массовых действий в известной системе. Однако она не дает встроенной криптографической гарантии неизменности документа.
В свою очередь, усиленная неквалифицированная подпись позволяет определить подписанта и обнаружить последующие изменения. Квалифицированная подпись опирается на квалифицированный сертификат и специальные средства.
Где ПЭП применяют и когда ее недостаточно
Область применения зависит от закона и договоренности участников. Например, ПЭП используют в личных кабинетах, платежных системах, корпоративных порталах и сервисах дистанционного обслуживания.
Для первичных учетных документов часть 5 статьи 9 Закона № 402-ФЗ допускает электронную форму с электронной подписью. Вместе с тем конкретный вид ЭП выбирают с учетом обязательных правил и соглашения участников.
В кадровом ЭДО границы заданы подробнее. По статье 22.3 ТК РФ работник может применять ПЭП в системе работодателя для документов, не включенных в специальный перечень. Однако для трудового договора, заявления об увольнении и ряда других документов нужны усиленные подписи.
Кроме того, особенности таких процессов мы подробно разобрали в нашей статье про кадровый ЭДО. До запуска системы нужно разделить документы по допустимым видам подписи.
Простая подпись также не подойдет, если закон требует КЭП, документ должен существовать только на бумаге либо система не позволяет определить подписанта. Кроме того, часть 4 статьи 9 Закона № 63-ФЗ запрещает ПЭП для документов с государственной тайной и в системах с такими сведениями.
Скан автографа, имя в конце письма и галочка под формой не становятся ПЭП автоматически. Сначала должен существовать порядок, который определяет подписанта и значение его действия.
Поэтому перед запуском ПЭП нужно проверить не название кнопки, а весь путь от идентификации до хранения результата.
Как подтвердить подписание при споре
В спорной ситуации одной отметки «успешно подписано» может не хватить. Суду важно понять, как создали учетную запись, кому принадлежал ключ и какой текст подтвердил пользователь.
Поэтому оператору полезно хранить версию документа, принятую редакцию правил, дату и время операции, сведения об отправке кода и журналы учетной записи. Пригодятся и уведомления, направленные пользователю после подтверждения.
Впрочем, IP-адрес или номер телефона по отдельности не всегда доказывают личное действие владельца. В итоге значение имеет совокупность данных и соблюдение собственного регламента.
Если пароль раскрыт или телефон потерян, пользователь должен быстро сообщить оператору и заблокировать старый ключ. Однако смена пароля не отменяет прежние документы автоматически: сначала нужно установить, кто совершил спорное действие и какие правила действовали в тот момент.
В таком случае после восстановления доступа стоит проверить активные устройства, контакты и историю операций. В результате можно обнаружить не только спорный документ, но и момент компрометации учетной записи.