Kwalifikowany podpis elektroniczny

Kwalifikowany podpis elektroniczny to najwyższy poziom podpisu elektronicznego. Powstaje przy użyciu kwalifikowanego urządzenia do składania podpisu, opiera się na kwalifikowanym certyfikacie wydanym przez akredytowanego dostawcę usług zaufania i ma taką samą moc prawną jak podpis własnoręczny. Wszystko poniżej niego również jest ważnym podpisem elektronicznym, tylko z innym ciężarem dowodu, jeśli ktoś go zakwestionuje.

I to właśnie ten ciężar stanowi całą praktyczną różnicę. Przy zwykłym podpisie firma, która się na nim opiera, musi udowodnić, że dana osoba naprawdę podpisała. Przy kwalifikowanym podpis uznaje się za prawdziwy, a udowodnić przeciwieństwo musi ten, kto go kwestionuje. Większość problemów z podpisem elektronicznym w HR bierze się nie z samego korzystania z e-podpisu, tylko z użycia niewłaściwego poziomu do dokumentu, który prawnie wymagał wyższego.

Trzy poziomy podpisu

• Zwykły podpis elektroniczny. Wpisane imię i nazwisko, skan podpisu, zaznaczone pole „akceptuję”. Ważny w wielu zastosowaniach wewnętrznych, łatwy do podważenia i w zupełności wystarczający do potwierdzenia zapoznania się ze zaktualizowanym regulaminem dla pracowników.
• Zaawansowany podpis elektroniczny. Jednoznacznie przypisany podpisującemu, umożliwiający jego identyfikację, składany środkami pod jego wyłączną kontrolą i powiązany z dokumentem tak, że każda późniejsza zmiana jest wykrywalna. Zwykle wspiera się weryfikacją tożsamości, często numerem telefonu i kodem jednorazowym.
• Kwalifikowany podpis elektroniczny. Podpis zaawansowany plus kwalifikowany certyfikat i kwalifikowane urządzenie. To jedyny poziom automatycznie zrównany z podpisem własnoręcznym w całej Unii i jedyny akceptowany tam, gdzie prawo wymaga formy pisemnej.

Które dokumenty kadrowe wymagają którego poziomu

W Polsce sprawa jest ostrzejsza niż w większości krajów: dokumentacja pracownicza prowadzona elektronicznie wymaga kwalifikowanego podpisu elektronicznego albo kwalifikowanej pieczęci elektronicznej pracodawcy, więc firma, która chce przenieść akta osobowe do systemu, zaczyna od pytania o certyfikaty, a nie o oprogramowanie. Umowa o pracę, aneksy do warunków istotnych, wypowiedzenie i wszystko, co tworzy zobowiązanie finansowe, idą na najwyższym poziomie. Potwierdzenia zapoznania się z politykami, wnioski wewnętrzne, zgody urlopowe, protokoły przekazania sprzętu i większość tego, co przechodzi przez onboarding i offboarding, spokojnie mieszczą się na poziomie zwykłym lub zaawansowanym. Zrób tę mapę raz i trzymaj ją tam, gdzie reszta zasad zarządzania dokumentacją kadrową.

Jak to działa na różnych rynkach

W Unii Europejskiej ramy wyznacza eIDAS, który definiuje trzy poziomy i sprawia, że podpis kwalifikowany wydany w jednym kraju członkowskim jest ważny we wszystkich pozostałych. W Polsce certyfikat kwalifikowany kupuje się u akredytowanego dostawcy i najczęściej przypisany jest do konkretnej osoby, co przy większym zespole staje się osobną pozycją w budżecie. Na Ukrainie odpowiednikiem jest kwalifikowany podpis wydawany na podstawie ustawy o elektronicznych usługach zaufania, przy czym większość osób ma go już za darmo przez aplikację Diia albo portal id.gov.ua. Argentyna działa na podstawie ustawy 25.506, która oddziela firma digital, opartą na certyfikacie licencjonowanego podmiotu i objętą domniemaniem autorstwa, od słabszej firma electrónica.

Co sprawdzić przed wdrożeniem

• Moc prawna dla każdego kraju i każdego typu dokumentu, potwierdzona przez prawnika, a nie wzięta ze strony dostawcy.
• Sposób weryfikacji tożsamości. Skąd system wie, że podpisuje właściwa osoba, i czy ta metoda jest lokalnie uznawana.
• Archiwizacja i długoterminowa weryfikacja. Certyfikaty wygasają, a podpis musi pozostać weryfikowalny latami po tym fakcie.
• Kto uzyskuje i finansuje certyfikaty. Jeśli potrzebuje ich każdy pracownik, to pozycja kosztów i krok onboardingu, a nie pole do zaznaczenia.
• Ścieżka zapasowa. Część osób nie będzie miała podpisu pierwszego dnia, więc ustal z góry, co wtedy, zamiast improwizować podczas preboardingu.

Podpis elektroniczny w PeopleForce

Dokumenty podpisuje się wewnątrz PeopleForce, zamiast eksportować je, wysyłać i skanować z powrotem. Za jednym interfejsem stoi kilku dostawców, więc właściwego wybiera się pod dokument i pod kraj. Dla Polski działa integracja z Autenti, która obsługuje podpis podstawowy, zaawansowany i kwalifikowany, przy czym wariant zaawansowany wymaga zweryfikowanego numeru telefonu podpisującego. PeopleSign obsługuje proste podpisywanie wewnętrzne, dla Ukrainy dostępne są Diia i id.gov.ua, a dla reszty Unii Signaturit. Podpisane dokumenty zostają w kartotece pracownika w Core HR z zapisanym typem podpisu, a eksport transakcji e-podpisu daje ślad audytowy, gdy trzeba wykazać, jakim poziomem podpisano konkretny dokument.