Электронная подпись, кем подписан документ?
Электронная подпись решает три задачи:
- идентификация лица, подписавшего документ;
- заверение содержания электронного документа;
- защита информации от несанкционированного доступа.
С решением второй и третьей задачи, как правило, проблем не возникает, а вот с идентификацией - возникают. В основном две проблемы - с идентификацией самого владельца подписи и с установлением его полномочий.
В целях идентификации владельца электронной подписи используется ключ проверки (п. 6 ст. 2 Федерального закона от 06.04.2011 N 63-ФЗ "Об электронных подписях"), который можно получить от оператора информационной системы или в удостоверяющем центре.
В зависимости от способа получения ключа проверки подразделяются информационные системы, в рамках которых используется электронная подпись.
Примечание. Несмотря на то что электронные подписи еще недостаточно распространены в хозяйственной деятельности, проблем с их использованием возникает предостаточно. Эта статья пригодится как тем, кто уже использует ЭП, так и тем, кто только собирается ее использовать.
Закрытая система
Закрытая информационная система объединяет или контрагентов (пример - система "Банк-Клиент"), или заранее определенный ограниченный круг лиц (пример - электронные торговые площадки).
Предоставление ключа электронной подписи связано с предварительной идентификацией лица. Для идентификации применяются традиционные, бумажные, документы: заявления, учредительные документы, свидетельства, приказы о назначении и т.д.
Электронная подпись в закрытой системе используется на основании соглашения между участниками системы.
К слову, соглашение о порядке использования электронной подписи следует заключать в бумажной форме, потому что если такое соглашение в рамках закрытой системы представляет собой электронный документ и подписано простой или неквалифицированной электронной подписью, то оно силы не имеет.
На момент проставления в нем электронной подписи стороны еще не договорились об электронном взаимодействии и о равнозначности электронной подписи собственноручной.
Поскольку закрытые системы создаются для решения определенных задач и заключения конкретных сделок, то известно заранее, какая информация должна раскрываться.
Открытая система
В рамках открытой информационной системы лицо, использующее электронную подпись, идентифицируется удостоверяющим центром. Он же хранит информацию о владельцах электронных подписей и предоставляет эту информацию заинтересованным лицам вместе с ключом проверки.
В открытой системе участники не определены заранее, и им не может быть отказано в использовании этой системы (п. 13 ст. 2 Закона N 63-ФЗ).
Удостоверяющий центр получает минимум информации о владельце электронной подписи. Статья 18 Закона N 63-ФЗ устанавливает перечень документов, которые необходимо представить для получения сертификата ключа квалифицированной подписи. Применительно к юридическому лицу это:
- учредительные документы;
- выписка из ЕГРЮЛ;
- свидетельство о постановке на налоговый учет;
- доверенность или иной документ, удостоверяющий полномочия заявителя действовать от лица компании.
Очевидно, что этой информации недостаточно для полноценной идентификации контрагента, и потенциальные партнеры, как правило, обмениваются дополнительными информацией и документами. В этом обмене удостоверяющий центр уже не участвует.
Впрочем, удостоверяющий центр не может нести серьезной ответственности как за достоверность представленных данных, так и за возможные нарушения. Это, по сути, не более чем посредник.
Конечно, в Законе присутствует норма об ответственности удостоверяющих центров (ч. 3 ст. 13 Закона N 63-ФЗ), и удостоверяющий центр несет ответственность за вред, причиненный третьим лицам в результате:
- неисполнения или ненадлежащего исполнения обязательств, вытекающих из договора оказания услуг удостоверяющим центром;
- неисполнения или ненадлежащего исполнения обязанностей, предусмотренных законом.
В то же время минимальные требования к чистым активам, установленные для аккредитованных удостоверяющих центров, составляют 1 млн руб., а в отношении финансового обеспечения ответственности за убытки - 1,5 млн руб. (п. п. 1, 2 ч. 3 ст. 16 Закона N 63-ФЗ).
Очевидно, что формально удостоверяющий центр за что-то отвечает, но на деле его средств может оказаться недостаточно.
Очевидно, что если удостоверяющий центр в добровольном порядке не предоставит обеспечение в большем объеме, то риск не получить своего для его клиентов возрастает в разы.
Кто подписал, тот и имел право
Исходя из этих соображений, участники делового оборота предпочитают использовать электронные подписи исключительно в закрытых системах. Что, впрочем, не исключает проблем с подписанием документов неуполномоченным лицом, которое правомерно или неправомерно получило доступ к ключу подписи.
Если владелец электронной подписи - фирма, то предполагается, что эта подпись создана уполномоченным лицом, т.е. тем, кто вправе действовать от имени фирмы.
Даже если спор об использовании электронной подписи неуполномоченным лицом дойдет до суда, то, скорее всего, попытки доказать, что подпись применило лицо неуполномоченное, будут неудачными.
Суды исходят из того, что если документ скреплен электронной подписью, принадлежащей фирме, то ее контрагент имеет полное право рассчитывать на то, что документ подписан уполномоченным лицом (Определение ВАС РФ от 28.02.2011 N ВАС-18440/10).
Таким образом, любое лицо, получившее доступ к ключу подписи, может действовать от имени фирмы или гражданина.
Какую подпись выбрать?
Электронную подпись в договорных отношениях стоит использовать, но не всякую и не всегда. Известно, что Закон допускает использование трех видов электронных подписей: простой, неквалифицированной и квалифицированной.
Простая подпись используется, как правило, лишь физическими лицами. Закон (ч. 3 ст. 6 Закона N 63-ФЗ) устанавливает, что только усиленная (т.е. неквалифицированная и квалифицированная) электронная подпись признается равнозначной документу, заверенному печатью (если по закону или по обычаю документ должен быть заверен печатью, а это 99,9% случаев).
Удобство использования квалифицированной подписи сводится на нет необходимостью обращаться к посреднику - удостоверяющему центру. Это всегда трата времени и денег.
Вывод напрашивается в пользу неквалифицированной электронной подписи, которая:
- обеспечивает высокую степень защиты криптографическими средствами;
- позволяет обходиться без сертификата ключа проверки подписи;
- может быть получена без посредника в лице удостоверяющего центра.
Именно поэтому в большинстве закрытых информационных систем применяется неквалифицированная электронная подпись, тем более что участники закрытой системы более свободны в определении правил применения подписи.
Рекомендации по безопасности
Однако и эту свободу надо использовать с оглядкой на правила безопасности.
При использовании электронной подписи в закрытых системах правила взаимодействия определяются на основании соглашения участников либо устанавливаются оператором этой системы (ч. 1 ст. 3 Закона N 63-ФЗ).
Это может быть двусторонний или многосторонний договор или присоединение к правилам, уже установленным оператором информационной системы (договор присоединения), т.е. лицом, создающим и контролирующим соответствующую информационную систему. Это же лицо, как правило, является и участником системы. Например, банк в системе "Банк-Клиент" одновременно и оператор, и участник.
Конечно, правила закрытых систем часто сформулированы в интересах оператора и распределяют ответственность невыгодным образом. Однако у участника такой системы больше возможностей определить условия взаимодействия.
Примечание. При разработке внутрифирменного положения об условиях применения электронной подписи целесообразно установить определенные рамки ее использования и ограничить общие суммы договоров, заверяемых электронной подписью. Оговорить, к примеру, что если сумма договора превышает оговоренную в положении, то необходимые документы представляются исключительно в бумажном виде.
Так, при применении электронной подписи внутри фирмы необходимо обеспечить передачу ключа подписи только тем лицам, которые имеют соответствующие корпоративные полномочия (единоличному исполнительному органу и уполномоченным доверенностью лицам).
Кроме того, положительно зарекомендовало себя разделение подписи между двумя лицами, когда для заверения документа создаются две электронные подписи, которые находятся у разных лиц. Очевидно, что получить доступ к двум ключам - задача более сложная.
Кроме того, необходимо обеспечить контроль над тем, у кого конкретно в данный момент находится ключ.
Как уже было сказано, предполагается, что тот, кто использовал электронную подпись, имел на это право. Аналогичным образом считается, что продавец или кассир вправе действовать от лица владельца магазина (абз. 2 п. 1 ст. 182 ГК РФ). Однако злоупотребление, которое может допустить тот же продавец или кассир, как правило, несопоставимо с тем, которое может допустить человек, завладевший ключом электронной подписи.
Следовательно, важной задачей является обеспечить контроль над ключами. А именно: все факты передачи ключей должны быть зафиксированы, причем с указанием даты и времени. Только тогда возможно будет установить, у кого находился ключ подписи в конкретный момент.
Наконец, необходимо детально проработать вопрос распределения ответственности. Эти положения обязательно должны присутствовать в соглашении об условиях применения электронной подписи в закрытой системе.
Должны быть регламентированы:
- вопросы ответственности при несанкционированном использовании электронной подписи;
- основания и порядок признания недействительной операции с использованием электронной подписи;
- порядок разрешения спорных ситуаций.
К.Рамазанова
Юрист
правовой компании "Фемида"
Подписано в печать
12.08.2014
Источник http://www.pbu.ru/pbu/article/1863#.V1gXh9SLTGg