Czy mogę udostępnić swój podpis kwalifikowany innej osobie, np. współpracownikowi lub pracownikowi?

Nie. Kwalifikowany certyfikat podpisu jest wydawany konkretnej osobie i podpis bazujący na tym certyfikacie może być składany wyłącznie przez właściciela certyfikatu, którego dane identyfikacyjne znajdują się w certyfikacie. Złożony podpis służy do potwierdzenia tożsamości osoby podpisującej dokument oraz jej zobowiązania za podpisane przez niego oświadczenia woli, a skutki prawne są równoważne skutkom złożenia podpisu własnoręcznego.

Zgodnie z rozporządzeniem eIDAS oraz polskiej “Ustawy o usługach zaufania oraz identyfikacji elektronicznej” dane służące do składania podpisu muszą pozostawać pod wyłączną kontrolą osoby, która jest identyfikowana za pomocą kwalifikowanego certyfikatu podpisu. Obowiązek ten znajduje również odzwierciedlenie w Regulaminie Kwalifikowanych Usług Zaufania Certum, który zobowiązuje subskrybenta (właściciela certyfikatu) do sprawowania wyłącznej kontroli nad kartą cryptoCertum lub komponentem SimplySign oraz do nieudostępniania ich osobom trzecim. Regulamin zabrania również ujawniania kodów PIN i PUK.

Dodatkowo, zgodnie z Polityką Certyfikacji Certum, właściciel certyfikatu jest zobowiązany do ochrony swojego klucza prywatnego w sposób zapobiegający jego utracie, ujawnieniu, modyfikacji lub nieautoryzowanemu użyciu.

Oznacza to, że nie wolno udostępniać innym osobom:

• karty kryptograficznej lub tokena,
• dostępu do usługi SimplySign,
• telefonu wykorzystywanego do autoryzacji podpisu,
• kodów PIN, PUK, haseł lub innych danych uwierzytelniających.

Przekazanie środków służących do składania podpisu, niezależnie od intencji, może prowadzić do podpisania dokumentów bez wiedzy lub zgody właściciela certyfikatu, a tym samym do utraty kontroli nad składanymi oświadczeniami i związanej z nimi odpowiedzialności.

Ponadto należy wziąć pod uwagę również prawny zakaz wyrażony w ustawie o usługach zaufania w art. 40:

“Kto składa kwalifikowany podpis elektroniczny lub zaawansowany podpis elektroniczny z wykorzystaniem danych do składania podpisu elektronicznego przyporządkowanych do innej osoby, podlega grzywnie, karze ograniczenia wolności albo pozbawienia wolności do lat 3.”

Jeżeli dokumenty mają podpisywać różne osoby w organizacji, każda z nich powinna posiadać własny kwalifikowany certyfikat podpisu. Dzięki temu zachowana jest jednoznaczna identyfikacja osoby podpisującej oraz zgodność z wymaganiami bezpieczeństwa i przepisami dotyczącymi usług zaufania.

Przekazanie danych do składania kwalifikowanego podpisu elektronicznego innej osobie jest prawnie zabronione i w żadnym przypadku nie może służyć do umożliwienia innej osobie wykonywania zastępczych czynności technicznych związanych z podpisywaniem dokumentów, a także nie może zastąpić udzielenia przewidzianego w danej sytuacji pełnomocnictwa.