Електронний цифровий підпис: правові аспекти використання
На початок січня 2009 року електронний цифровий підпис (ЕЦП) дає змогу перевірити, хто підписав електронний документ і чи змінилися підписані дані. Для підприємства це можливість організувати обмін із партнерами без пересилання паперового примірника в тих випадках, де закон і погоджений порядок роботи дозволяють електронний оригінал. Основу становлять Закон № 851-IV про електронні документи та Закон № 852-IV про ЕЦП. У системі електронного документообігу підписання потрібно поєднати з перевіркою повноважень, погодженням остаточної версії та належним зберіганням.
Що перевіряє електронний цифровий підпис
ЕЦП створюють за допомогою особистого ключа, а перевіряють відкритим ключем. Зображення власноручного підпису, вставлене у файл, не є ЕЦП. Сам цифровий підпис також не приховує зміст документа від сторонніх: конфіденційність потребує окремого захисту. Перевірка підпису допомагає ідентифікувати підписувача та перевірити цілісність даних, але не наділяє працівника повноваженнями укладати договори. Тому одержувач окремо перевіряє підпис, право особи представляти організацію та дотримання вимог до форми конкретного правочину.
Коли ЕЦП прирівнюється до власноручного підпису
Згідно зі статтею 3 Закону № 852-IV, електронний цифровий підпис за правовим статусом прирівнюється до власноручного підпису (печатки) за сукупного дотримання трьох обов’язкових умов:
- підпис підтверджено з використанням посиленого сертифіката ключа за допомогою надійних засобів цифрового підпису;
- чинність сертифіката відкритого ключа на момент накладення підпису, що підтверджується під час перевірки;
- відповідність особистого ключа підписувача відкритому ключу, зазначеному в сертифікаті.
Відсутність посиленого сертифіката сама по собі не робить електронний підпис недійсним. Стаття 5 Закону № 852-IV дозволяє іншим юридичним і фізичним особам, на відміну від перелічених у ній державних суб’єктів, на договірних засадах використовувати сертифікати центрів сертифікації ключів або ЕЦП без сертифіката. Ризики такого обміну сторони розподіляють у договорі. Це не скасовує спеціальних вимог до окремих операцій і не означає, що будь-який файл із позначкою «підписано» рівнозначний паперовому оригіналу.
Окремі правила для державного сектору
Для органів державної влади, місцевого самоврядування, підприємств, установ та організацій державної форми власності діють окремі умови. Порядок, затверджений постановою КМУ № 1452, вимагає надійних засобів ЕЦП та посилених сертифікатів ключів. У редакції, чинній на 5 січня 2009 року, він забороняє цим установам застосовувати ЕЦП для правочинів на суму понад 1 млн грн та для документів, які за законом не можуть бути електронними оригіналами. Ці обмеження не слід автоматично переносити на всі приватні підприємства.
Для органів виконавчої влади постанова КМУ № 1453 визначає порядок електронного документообігу: перевірку підписів, реєстраційно-контрольні картки та повідомлення про прийняття і реєстрацію. Якщо адресат не має потрібних засобів ЕЦП, передбачені відповідні паперові процедури. Готовність одержувача до електронного обміну потрібно з’ясувати до запуску, а не після першого відправлення.
Як організувати обмін документом
Умовний приклад: дві приватні компанії погодили електронний обмін договором, для якого такий спосіб допустимий. Працівник створює проєкт із номером версії, збирає внутрішні погодження і передає остаточний комплект уповноваженому підписувачу. Той перевіряє зміст і додатки та накладає ЕЦП. Одержувач перевіряє підпис, повноваження особи й комплектність та надсилає погоджене сторонами підтвердження отримання. Виправлений документ оформлюють як нову версію і підписують знову: зміна підписаних даних порушує перевірку їх цілісності. Повідомлення про отримання не замінює погодження умов договору чи підпису іншої сторони.
Ключі, повноваження та підготовка працівників
Успішне використання ЕЦП у діяльності підприємства вимагає підготовки внутрішнього середовища та впровадження суворих регламентів безпеки:
- встановлення сумісного програмного забезпечення для накладення та перевірки цифрових підписів;
- забезпечення персональної відповідальності співробітників за збереження таємниці приватного ключа без передачі іншим особам;
- порядок заміщення: окремо уповноважена особа підписує власним ключем, а не ключем відсутнього колеги;
- впровадження процедури негайного блокування чи скасування сертифіката у разі втрати або компрометації ключа;
- перегляд повноважень і доступу після зміни посади чи звільнення та належне скасування відповідних сертифікатів.
Вибір носія ключа залежить від засобів підпису, вимог до конкретного обміну та організації захисту. До початку роботи варто перевірити, чи може партнер відкрити файл, перевірити всі підписи та прочитати додатки. Працівникам потрібна коротка інструкція з прикладами: як перевірити результат підписання, кому повідомляти про втрату носія і як діяти при відмові перевірки. Доступ адміністратора до системи не повинен означати право підписувати документи від імені інших осіб.
Зберігання і користь для замовника
Стаття 13 Закону № 851-IV встановлює, що строк зберігання електронних документів не може бути меншим за строк для відповідних паперових документів. Потрібно забезпечити доступність даних та можливість відтворити документ. Для подальшої перевірки доцільно зберігати підписаний файл із підписами, відповідні сертифікати й відомості про їх статус, підтвердження обміну та документи про повноваження. Склад такого комплекту визначають для конкретного процесу. Роздруківка чи знімок екрана не замінюють електронний оригінал.
Для замовника цінність ЕЦП — у можливості перевіряти підписувача й незмінність документа та скорочувати пересилання паперових примірників там, де електронний обмін допустимий. Результат залежить від повноважень учасників, сумісності засобів і налаштованих процедур.
Почати доцільно з одного виду документів і невеликої групи партнерів. У пілоті вимірюють час від готовності документа до підтвердженого отримання, кількість невдалих перевірок та випадків повторного підписання. Окремо перевіряють пошук збереженого комплекту й відновлення з резервної копії. Це показує, які операції стали простішими для працівника, а де потрібні додаткові налаштування або навчання.
Запитання та відповіді
Чи є відсканований рукописний підпис на документі електронним цифровим підписом?
Ні, графічне зображення підпису не є ЕЦП. Воно не забезпечує криптографічного захисту, не підтверджує цілісність документа та не дає змоги технічно перевірити особу підписувача.
Чи може приватне підприємство обійтися без посиленого сертифіката?
Стаття 5 Закону № 852-IV допускає для недержавних учасників договірні варіанти застосування ЕЦП. Проте спеціальні вимоги до конкретної операції та її учасників потрібно перевіряти окремо.
Яке обмеження діяло для державного сектору на 5 січня 2009 року?
Відповідно до Постанови КМУ № 1452, ЕЦП не застосовується у державному секторі для правочинів на суму понад 1 мільйон гривень та для документів, що за законом не можуть існувати у формі електронного оригіналу.
