Prostý, zaručený a kvalifikovaný elektronický podpis: rozdíly srozumitelně

Když se řekne „elektronický podpis“, většina lidí si představí jednu věc. Nařízení eIDAS ale rozlišuje tři úrovně, které se liší tím, jak pevně je podpis svázán s konkrétním člověkem a jak snadno se to dá prokázat. A české právo k nim přidává ještě čtvrtý pojem, „uznávaný podpis“, který v nařízení vůbec nenajdete.

Tento článek vysvětluje, co každá úroveň technicky i právně znamená, jaké nástroje ji vytvářejí a pro které dokumenty se hodí. Bez paragrafové mlhy, ale s odkazy na konkrétní ustanovení, abyste si vše mohli ověřit.

Prostý elektronický podpis (SES)

Prostý podpis definuje čl. 3 odst. 10 eIDAS jako data v elektronické podobě připojená k jiným datům, která podepisující osoba používá k podepsání. Nařízení neklade žádné technické požadavky – prostým podpisem je nakreslený podpis prstem na displeji, kliknutí na tlačítko „Podepsat“ po zadání SMS kódu, ale teoreticky i jméno napsané pod e-mail.

Právě tato šíře je jeho silnou i slabou stránkou. Silnou, protože ho zvládne každý bez certifikátu, karty nebo aplikace. Slabou, protože samotný podpis nenese důkaz o tom, kdo ho vytvořil. Důkazní hodnotu prostému podpisu dodává až okolí: ověření příjemce před podpisem, záznam o průběhu (auditní stopa) a ochrana dokumentu proti změně.

V soukromoprávních vztazích je prostý podpis podle § 7 zákona č. 297/2016 Sb. přípustný jako „jiný typ elektronického podpisu“. Městský soud v Praze to potvrdil v rozsudku 54 Co 217/2024 s dovětkem, že strana musí identitu a vůli podepisujícího pozitivně prokázat.

Zaručený elektronický podpis (AdES)

Zaručený podpis (čl. 3 odst. 11 eIDAS) musí splnit čtyři požadavky uvedené v čl. 26 nařízení:

• je jednoznačně spojen s podepisující osobou,
• umožňuje identifikaci podepisující osoby,
• je vytvořen pomocí dat pro vytváření elektronických podpisů, která může podepisující osoba s vysokou úrovní důvěry použít pod svou výhradní kontrolou,
• je k podepsaným datům připojen tak, že je možné zjistit jakoukoliv následnou změnu dat.

V praxi to znamená kryptografický podpis soukromým klíčem, k němuž existuje certifikát s identitou podepisujícího. Certifikát ale nemusí být kvalifikovaný. Typickým příkladem v Česku je Bank iD SIGN: po přihlášení do banky vydá systém Bankovní identity jednorázový certifikát a podepíše jím PDF. Podle veřejně dostupných rozborů (lupa.cz, Jiří Peterka) jde o zaručený podpis s komerčním, nikoli kvalifikovaným certifikátem – dostačující pro soukromoprávní jednání podle § 7, nikoli pro jednání s úřady podle § 6.

Zaručený podpis tedy není „skoro kvalifikovaný“. Je to samostatná úroveň, jejíž hlavní přínos je, že identitu podepisujícího ověřila důvěryhodná třetí strana (banka) a podpis je kryptograficky svázán s dokumentem.

Kvalifikovaný elektronický podpis (QES)

Kvalifikovaný podpis (čl. 3 odst. 12 eIDAS) je zaručený podpis, který splňuje dvě další podmínky: je vytvořen kvalifikovaným prostředkem pro vytváření elektronických podpisů (QSCD – čipová karta, token nebo certifikovaný HSM u poskytovatele vzdáleného podepisování) a zakládá se na kvalifikovaném certifikátu vydaném kvalifikovaným poskytovatelem služeb vytvářejících důvěru (QTSP). V Česku jsou to První certifikační autorita (I.CA), PostSignum (Česká pošta) a eIdentity.

Jen kvalifikovanému podpisu přiznává čl. 25 odst. 2 eIDAS stejné právní účinky jako vlastnoručnímu podpisu, a to ve všech členských státech EU. Daň za to je praktická: musíte si certifikát obstarat (obvykle s osobním ověřením totožnosti), udržovat ho platný a mít po ruce kartu, token nebo mobilní aplikaci poskytovatele.

Pozor na jeden detail, na který upozorňují odborníci: klíč musí být vygenerován přímo na kvalifikovaném prostředku. Certifikát importovaný na kartu zvenčí dává jen uznávaný, nikoli kvalifikovaný podpis.

Uznávaný podpis: česká specialita

Zákon č. 297/2016 Sb. v § 6 odst. 2 zavádí pojem uznávaný elektronický podpis: je to zaručený elektronický podpis založený na kvalifikovaném certifikátu, nebo podpis kvalifikovaný. Rozdíl oproti QES je v tom, že u uznávaného podpisu nemusí být klíč na kvalifikovaném prostředku – stačí certifikát od QTSP uložený třeba v operačním systému počítače.

Uznávaný podpis je minimem pro jednání vůči úřadům a soudům (§ 6) a vyžaduje ho i zákoník práce u elektronicky doručovaných jednostranných písemností zaměstnavatele (§ 335). Mimo Česko ale tento pojem neexistuje, takže pro přeshraniční použití počítejte s kvalifikovaným podpisem.

Který podpis pro který dokument

Zjednodušená mapa pro každodenní praxi. U sporných případů se poraďte s advokátem.

• Prostý podpis s ověřením a auditní stopou: obchodní smlouvy, objednávky, cenové nabídky, smlouvy o dílo, nájemní a rezervační smlouvy, dvoustranné pracovněprávní dokumenty (pracovní smlouva, DPP, DPČ), souhlasy a protokoly.
• Zaručený podpis (např. Bank iD): tam, kde chcete mít identitu podepisujícího ověřenou bankou – úvěrové a pojistné smlouvy, smlouvy s vyšší hodnotou, jednání s klienty, které jste nikdy neviděli.
• Uznávaný podpis: jednostranné HR dokumenty doručované elektronicky (výpověď, mzdový výměr), podání na úřady a soudy, elektronické vklady do katastru.
• Kvalifikovaný podpis: jednání vyžadující plnou náhradu vlastnoručního podpisu v celé EU, podpis veřejnoprávních subjektů (§ 5), přeshraniční smlouvy s formálními požadavky.

Kde v tom stojí OneKlik

OneKlik dnes dodává prostý elektronický podpis posílený ověřením e-mailem nebo SMS kódem, auditní stopou s otisky SHA-256 a doručením výsledku všem stranám. To pokrývá většinu dokumentů, které firmy a živnostníci podepisují s klienty. Výsledný dokument nese elektronickou pečeť s certifikátem od I.CA a časové razítko. Zaručený podpis přes Bank iD a kvalifikovaná časová razítka jsou v plánu – jakmile budou dostupné, bude je možné zapnout u příjemce stejně jednoduše jako dnes ověření SMS.