I takt med att allt fler processer digitaliseras växer behovet av att kunna underteckna dokument digitalt. Men alla digitala underskrifter är inte lika. Enligt EU-förordningen eIDAS finns tre nivåer: enkel, avancerad och kvalificerad. Skillnaden ligger i hur säkert och verifierbart det är att rätt person faktiskt har undertecknat dokumentet – och vilka krav som ställs på tekniken bakom.
Den enkla elektroniska underskriften är just det – enkel. Ett namn i ett e-postmeddelande eller en kryssruta på en webbplats kan räcka. Den är snabb, men ger låg juridisk tyngd.
En avancerad elektronisk underskrift (AdES) har alltid namnet på personen som skrivit under i certifikatet, och vid elektronisk validering enligt standarder visas namnet på den fysiska person som skrivit under vilket också är juridiskt bindande. Den är även kopplad till en person på ett unikt sätt, och ändringar i dokumentet efter underskrift gör underskriften ogiltig. Den bygger ofta på någon form av autentisering, vanligtvis i Sverige till exempel BankID och Freja eID.
Det är vanligt att avancerade elektroniska underskrifter och avancerade elektroniska stämplar blandas ihop. När en organisations namn står i certifikatet är det en organisationsstämpel. Vid validering enligt standarder kommer därmed namnet på organisationen att visas och räknas inte som underskrivet av en faktisk person. Även om en sista sida är ifylld med namn på personer som påstås ha skrivit under dokumentet så är dokumentet juridiskt fortfarande endast stämplat av en organisation. Som underskrift räknas avancerade elektroniska stämplar därför som enkel.
Samma princip gäller även kvalificerade organisationsstämplar, det är inga personliga underskrifter även om stämplingscertifikatet för organisationen är kvalificerat.
En metod som ibland används för att försöka efterlikna en personlig signatur är att kombinera en avancerad företagsstämpel med en identifiering via BankID. Resultatet blir att dokumentet kan visa en grön bock i exempelvis Adobe Acrobat, förutsatt att företagsstämpeln finns upptagen i Adobe Approved Trust List, AATL. Personnumret kan finnas med i dokumentinformationen men behöver inte göra det. Detta räknas dock inte heller som en en avancerad personlig signatur och än mindre en kvalificerad underskrift. Det är ett sätt att delvis kringgå otydliga regler, där leverantören förlitar sig på att ytan ser trovärdig ut snarare än att underskriften uppfyller formella krav. För mottagare och granskare kan detta skapa en falsk känsla av trygghet – men ur ett rättsligt perspektiv är det mycket osäkert. Det går inte att enligt standarder elektroniskt validera vem som har skrivit under och heller inte vad.
För offentlig sektor, där krav på kvalificerade underskrifter ofta följer lagar, förordningar eller föreskrifter, kan detta kännas både krångligt och tekniskt komplext. Verktygen kan upplevas som svåranvända, och det är inte alltid tydligt vilken nivå som faktiskt krävs i varje enskilt fall. Men att förstå dessa skillnader är centralt för att göra rätt – och för att skapa rättsligt hållbara digitala processer. Med rätt stöd och verktyg går det att införa kvalificerade underskrifter som både följer lagkrav och fungerar smidigt i vardagen.
Välkommen att höra av dig till mig om du vill fördjupa din kunskap i de olika nivåerna på digitala underskrifter!