Elektronický podpis: tři úrovně a jen jedna nahradí vlastnoruční

Elektronický podpis má tři úrovně a jen jedna z nich je rovnocenná vlastnoručnímu. Pro jednání s úřady navíc český zákon vyžaduje zvláštní kategorii, která se nejmenuje ani zaručený, ani kvalifikovaný. Rozdíly nejsou akademické: podle nich se pozná, jestli vaše podání platí, nebo jestli ho úřad odmítne. Tenhle text úrovně rozebírá a ukazuje, kdy která stačí.

Ve zkratce

Tabulka shrnuje, co která úroveň znamená a kde se používá. Vychází z evropského nařízení o elektronické identifikaci a ze zákona o službách vytvářejících důvěru.

Prostý podpis	data připojená k dokumentu, žádný požadavek na bezpečnost
Zaručený podpis	jednoznačně spojený s osobou, pod její výhradní kontrolou, odhalí změnu dokumentu
Kvalifikovaný podpis	zaručený plus kvalifikovaný prostředek a kvalifikovaný certifikát
Uznávaný podpis	zaručený na kvalifikovaném certifikátu, nebo kvalifikovaný
Rovnocenný vlastnoručnímu	jen kvalifikovaný
Podání úřadu	uznávaný podpis, nebo datová schránka
Podpis za právnickou osobu	pečeť, ne podpis
Doba platnosti certifikátu	předpis ji nestanoví, určuje ji poskytovatel

Tři úrovně podpisu

Úrovně definuje evropské nařízení a jsou stupňovité, tedy každá vyšší obsahuje požadavky té nižší a přidává další.

Prostý elektronický podpis

Nařízení ho definuje jako data v elektronické podobě připojená k jiným datům nebo s nimi logicky spojená, která podepisující osoba používá k podepsání. Žádný požadavek na bezpečnost ani certifikát tu není. Prostým podpisem je tedy i jméno napsané v patičce e-mailu nebo naskenovaný obrázek podpisu.

Zaručený elektronický podpis

Musí splnit čtyři podmínky současně. Je jednoznačně spojený s podepisující osobou, umožňuje ji identifikovat, je vytvořený pomocí dat, která má osoba s vysokou úrovní důvěry pod výhradní kontrolou, a je k dokumentu připojený tak, že lze zjistit jakoukoli následnou změnu. Poslední podmínka je v praxi nejdůležitější, protože znamená, že se do podepsaného dokumentu nedá nepozorovaně zasáhnout.

Kvalifikovaný elektronický podpis

Je to zaručený podpis, který navíc vznikl kvalifikovaným prostředkem pro vytváření podpisů a je založený na kvalifikovaném certifikátu. Přidává tedy dvě věci naráz. Podepisující osobou je vždy fyzická osoba, nikdy firma.

Uznávaný podpis, čtvrtý pojem

Tady se nejčastěji chybuje, protože uznávaný podpis zní jako další úroveň, ale není.

Co to je

Český zákon jím rozumí buď zaručený elektronický podpis založený na kvalifikovaném certifikátu, nebo rovnou kvalifikovaný elektronický podpis. Je to tedy zastřešující pojem pro dvě z existujících variant, ne pátý stupeň.

Mezistupeň, který nařízení nepojmenovává

Zaručený podpis na kvalifikovaném certifikátu je zvláštní kategorie: má certifikát od kvalifikovaného poskytovatele, ale ne kvalifikovaný prostředek. Evropské nařízení pro něj má vlastní pravidla ověřování platnosti, ale samostatný název mu nedává. Právě proto ho český zákon musel pojmenovat sám.

Proč na tom záleží

Protože pro podání vůči veřejné moci lze použít pouze uznávaný podpis. Prostý ani obyčejný zaručený podpis bez kvalifikovaného certifikátu do této kategorie nespadají, takže s nimi podání neprojde.

Jaké má podpis právní účinky

Nařízení řeší účinky dvěma pravidly, která se často zaměňují.

Zákaz odmítnutí

Elektronickému podpisu nesmějí být upírány právní účinky a nesmí být odmítán jako důkaz v soudním ani správním řízení jen proto, že má elektronickou podobu nebo že nesplňuje požadavky na kvalifikovaný podpis. I prostý podpis tedy může být důkazem, jen je slabší.

Rovnocennost

Právní účinek rovnocenný vlastnoručnímu podpisu má výhradně kvalifikovaný elektronický podpis. Zaručený ani uznávaný podpis rovnocennost nemají, i když se to běžně tvrdí. Rozdíl se projeví všude, kde předpis vyžaduje podpis jako takový.

Co nařízení naopak neřeší

Výslovně platí, že nařízením nejsou dotčena pravidla o uzavírání a platnosti smluv ani požadavky na formu podle vnitrostátního práva. O tom, jestli je určitá smlouva platná, tedy nerozhoduje evropské nařízení, ale český předpis pro daný typ jednání.

Písemná forma podle občanského zákoníku

Občanský zákoník k tomu doplňuje důležitou věc: písemná forma je zachována i při jednání učiněném elektronickými nebo jinými technickými prostředky, které umožňují zachytit obsah a určit jednající osobu. To je podstatně volnější požadavek než kvalifikovaný podpis.

Podání vůči úřadu

Nejčastější praktická otázka zní, čím podepsat podání na finanční úřad nebo jiný orgán.

Co vyžaduje daňový řád

Podání lze učinit v listinné podobě, elektronicky nebo ústně do protokolu. Elektronicky pak jen datovou zprávou podepsanou způsobem, se kterým jiný předpis spojuje účinky vlastnoručního podpisu, s ověřenou identitou způsobem, kterým se lze přihlásit do datové schránky, s využitím přístupu se zaručenou identitou, nebo přes daňovou informační schránku.

Který podpis to konkrétně je

Úroveň neurčuje daňový řád, ale zákon o službách vytvářejících důvěru: pro úkon vůči veřejné moci lze použít pouze uznávaný elektronický podpis. Kombinace obou předpisů tedy dává jasnou odpověď.

Cesta bez podpisu

Úkon učiněný prostřednictvím datové schránky má stejné účinky jako úkon učiněný písemně a podepsaný. Kdo má schránku, podpis vůbec nepotřebuje, jak rozebíráme v textu o tom, komu se datová schránka zřizuje.

Když podpis chybí

Podání učiněné jinou datovou zprávou má účinky, jen pokud je do pěti dnů potvrzeno předepsaným způsobem. Tuhle lhůtu nelze prodloužit ani navrátit v předešlý stav, takže zmeškání je nevratné.

Kdy musí kvalifikovaně podepisovat úřad

Povinnost použít kvalifikovaný podpis míří především na druhou stranu. Podepisuje-li elektronický dokument stát, samospráva, právnická osoba zřízená zákonem nebo zřízená či založená státem, případně jiná osoba při výkonu působnosti, musí použít kvalifikovaný elektronický podpis. Občan takovou povinnost nemá, tomu stačí uznávaný podpis.

Úřad musí přidat i časové razítko

Veřejnoprávní podepisující, který dokument podepsal nebo zapečetil, jej musí opatřit kvalifikovaným elektronickým časovým razítkem. Přijde-li vám tedy z úřadu dokument bez razítka, je to vada, které si stojí za to všimnout, protože právě razítko umožní doložit, kdy dokument vznikl.

Podání k soudu

V civilním řízení platí obdobná logika, ale s jinou lhůtou a jiným následkem.

Základní pravidlo

Písemné podání se činí v listinné nebo elektronické podobě. Pokud obsahuje návrh ve věci samé a je učiněné elektronicky, je třeba ho nejpozději do tří dnů doplnit předložením originálu. K podáním, která ve lhůtě doplněna nebyla, soud nepřihlíží.

Kdy doplňovat nemusíte

Doplnění se nevyžaduje u podání podepsaného způsobem, se kterým zvláštní předpis spojuje účinky vlastnoručního podpisu. Opět tedy platí požadavek na uznávaný podpis. Bez něj hrozí, že se k podání vůbec nepřihlédne.

Proč je to důležité u dluhů

Nejcitlivější je to u odporu proti platebnímu rozkazu, kde běží krátká lhůta a chyba ve formě znamená, že rozkaz nabude právní moci. Souvislosti popisuje text o nákladech sporu o dluh.

Smlouvy mezi soukromými stranami

Mimo jednání s veřejnou mocí je právní úprava výrazně volnější, což překvapí každého, kdo čeká přísná pravidla.

Volba formy

Zákon o službách vytvářejících důvěru říká, že pro soukromoprávní jednání lze použít zaručený podpis, uznávaný podpis, případně jiný typ elektronického podpisu. Občanský zákoník k tomu dodává, že každý má právo zvolit si pro právní jednání libovolnou formu, není-li ve volbě omezen ujednáním nebo zákonem.

Spotřebitelský úvěr

Smlouva o spotřebitelském úvěru vyžaduje písemnou formu a musí obsahovat předepsané informace. Zákon ale žádnou úroveň elektronického podpisu nepředepisuje, a navíc výslovně stanoví, že nesplnění písemné formy nemá za následek neuzavření ani neplatnost smlouvy. Co všechno ve smlouvě být musí, rozebírá průvodce spotřebitelským úvěrem.

Kde je zákon přísnější

U smlouvy o zprostředkování spotřebitelského úvěru, pokud z ní pro spotřebitele plyne povinnost, je sankce tvrdší a smlouva je bez písemné formy neplatná. Rozdíl mezi oběma typy smluv tedy není formální.

Změna a výpověď

Vyžaduje-li zákon pro jednání určitou formu, lze jeho obsah změnit projevem vůle v téže nebo přísnější formě. Pokud formu vyžaduje jen dohoda stran, jde ji změnit i jinak, nevylučuje-li to samo ujednání. Konkrétní úroveň podpisu pro výpověď žádný obecný předpis nestanoví, rozhoduje typ smlouvy a to, co jste si sjednali.

Kdy je forma podmínkou platnosti

U spotřebitelského úvěru zákon výslovně říká, že nedodržení písemné formy neplatnost nezpůsobuje. Není to ale pravidlo pro všechno. U smlouvy o zprostředkování spotřebitelského úvěru, plyne-li z ní pro spotřebitele povinnost, zákon naopak stanoví, že bez písemné formy je smlouva neplatná. Dva velmi podobné typy smluv tedy mají opačný následek a při posuzování elektronicky uzavřené smlouvy je nutné vědět, který z nich máte před sebou.

Pečeť není podpis

Firmy se elektronicky nepodepisují, ale pečetí, a záměna obou pojmů vede k neplatným dokumentům.

Kdo pečetí

Pečetící osobou je podle nařízení právnická osoba, zatímco podepisující osobou vždy fyzická osoba. Pečeť má zaručit původ a integritu dat, ne vyjádřit vůli konkrétního člověka.

Jaké má účinky

U kvalifikované elektronické pečeti platí domněnka integrity dat a správnosti jejich původu. Je to tedy vyvratitelná domněnka, ne rovnocennost s vlastnoručním podpisem, kterou má jen kvalifikovaný podpis.

Kde na to narazíte

Pečeť potkáte u dokumentů vydávaných úřady i u výpisů ze systémů státu. Samotný digitální stejnopis průkazu v aplikaci eDoklady je opatřený zaručenou elektronickou pečetí založenou na kvalifikovaném certifikátu.

Uznávaná pečeť a kdy se používá

Vedle uznávaného podpisu zavádí český zákon i pojem uznávaná elektronická pečeť. Veřejnoprávní podepisující a další právnické osoby při výkonu působnosti musí dokument opatřit kvalifikovanou pečetí tam, kde se nevyžaduje podpis konkrétního člověka. Pro příjemce to znamená, že úřední dokument bez podpisu není vadný, pokud nese pečeť.

Časové razítko a životnost dokumentu

Tohle je nejpodceňovanější část celého tématu a projeví se až po letech, kdy se s tím nedá nic dělat.

K čemu razítko slouží

Elektronické časové razítko spojuje dokument s určitým okamžikem a prokazuje, že v tu chvíli existoval. U kvalifikovaného časového razítka platí domněnka správnosti data a času i integrity dat.

Proč to rozhoduje o platnosti podpisu

Postup ověření kvalifikovaného podpisu potvrdí platnost jen tehdy, byl-li certifikát v okamžiku podpisu kvalifikovaný a platný. Po vypršení certifikátu tedy podpis nezaniká, ale musí být doložitelné, kdy vznikl. Bez časového razítka ten okamžik nikdo neprokáže.

Dlouhodobé uchování

Pro dokumenty, které mají vydržet roky, existuje kvalifikovaná služba uchovávání podpisů. Smí ji poskytovat jen kvalifikovaný poskytovatel a jejím smyslem je udržet důvěryhodnost podpisu i po uplynutí technické platnosti použitých prostředků.

Jak dlouho certifikát platí

Ani nařízení, ani český zákon maximální dobu platnosti nestanoví. Určuje ji poskytovatel a bývá to rok nebo několik let. Zneplatněný certifikát ovšem ztrácí platnost okamžikem zneplatnění a jeho stav se už nemůže vrátit zpět.

Jak se ověřuje mezistupeň

Pro zaručený podpis založený na kvalifikovaném certifikátu má evropská úprava vlastní pravidla ověřování platnosti, oddělená od těch pro podpis kvalifikovaný. Je to praktický důsledek toho, že tahle varianta stojí někde mezi: certifikát má, kvalifikovaný prostředek ne. Kdo tedy ověřuje cizí podpis, musí nejdřív poznat, kterou z variant před sebou má.

Co ještě může přijít

Evropská úprava počítá s tím, že Komise posoudí, zda vydat prováděcí akty s referenčními normami pro zaručené elektronické podpisy a pro zaručené elektronické pečeti. Dnes u nich žádný závazný technický standard neexistuje, což je jeden z důvodů, proč se výklad zaručeného podpisu mezi poskytovateli liší.

Kde certifikát pořídit

Kvalifikované certifikáty vydávají kvalifikovaní poskytovatelé služeb vytvářejících důvěru a jejich seznam vede a zveřejňuje státní agentura.

Kdo je na seznamu

Mezi zapsanými jsou certifikační autority, státní podnik zajišťující poštovní služby, správa základních registrů i jedna z velkých bank. Ne všichni ovšem vydávají certifikáty, část poskytuje jen ověřování platnosti nebo uchovávání.

Jak se certifikát získává

Prvotní vydání vyžaduje ověření totožnosti, takže se člověk musí dostavit osobně, typicky na pobočku poskytovatele. Následný certifikát už bývá možné vyžádat elektronicky.

Jak dlouho se údaje uchovávají

Kvalifikovaný poskytovatel uchovává dokumenty související s vydáváním certifikátů deset let a po jejich uplynutí ještě patnáct let údaje, na jejichž základě ověřil totožnost žadatele. Je to podstatné, pokud by se někdy řešilo, kdo certifikát skutečně dostal.

Co s dokumentem, který dostanete

Přijde-li vám podepsaný nebo zapečetěný dokument, uložte si ho i s podpisem, ne jen jeho vytištěnou podobu. Tisk totiž o podpisu nic nedokládá a pro doložení, kdo a kdy dokument vydal, je potřeba původní soubor. Převést ho do papíru s právními účinky lze jedině autorizovanou konverzí.

Co se chystá

Evropská úprava se posouvá k takzvané peněžence digitální identity a to se českého prostředí dotkne.

Peněženka digitální identity

Nařízení ukládá každému členskému státu poskytnout alespoň jednu evropskou peněženku digitální identity, a to ve lhůtě odvozené od vstupu prováděcích předpisů v platnost. Ty byly vyhlášeny na konci roku 2024, takže lhůta vychází na konec roku 2026.

Co zůstává beze změny

Zákon o službách vytvářejících důvěru nemá k dnešnímu dni vyhlášené žádné budoucí znění a jeho poslední změna je z roku 2023. Popsané úrovně podpisu i požadavek uznávaného podpisu vůči úřadům tedy platí dál.

Co je teprve v přípravě

Novela, kterou se má české právo přizpůsobit evropské úpravě peněženky, zatím není vyhlášená a je v legislativním procesu. Do doby, než vyjde, nemá smysl podle ní nic měnit.

Podání ve správním řízení

Vedle daňového a soudního řízení má vlastní pravidla i běžné jednání s úřady a je ze všech tří nejvolnější.

Tři cesty

Podání lze učinit písemně, ústně do protokolu, anebo v elektronické podobě. Elektronická cesta přitom zahrnuje jak dokument s uznávaným podpisem, tak podání z datové schránky.

Bez podpisu s pětidenním potvrzením

Správní řád navíc připouští podání pomocí jiných technických prostředků bez použití podpisu, ovšem za podmínky, že je do pěti dnů potvrzeno nebo doplněno některým z řádných způsobů. Prakticky to znamená, že e-mail bez certifikátu sám o sobě nestačí, ale otevírá lhůtu, ve které se dá věc dorovnat.

Proč se na to nespoléhat

Pětidenní lhůta běží bez ohledu na to, jestli si na doplnění vzpomenete, a její zmeškání znamená, že podání nemá účinky. Kdo má datovou schránku, má proto jednodušší cestu, jak popisuje text o účincích úkonu ze schránky.

Značka důvěry a jak poznat kvalifikovanou službu

Rozeznat kvalifikovaného poskytovatele od obyčejného je v praxi důležitější než znát definice, protože právě na tom závisí, jestli váš podpis obstojí.

K čemu značka slouží

Evropská úprava zavádí značku důvěry, kterou lze označit kvalifikované služby vytvářející důvěru. Je to vizuální signál, že poskytovatel prošel posouzením a je zapsaný v důvěryhodném seznamu, ne jen že se tak nazývá.

Zneužití je pokutované

Užití značky v rozporu s nařízením je v Česku přestupkem s horní hranicí pokuty v řádu milionů korun. Není to tedy dekorace, kterou by si směl na web dát kdokoli.

Kde poskytovatele ověřit

Důvěryhodné seznamy kvalifikovaných poskytovatelů zveřejňuje státní agentura a vede i seznam certifikátů. Před nákupem certifikátu se vyplatí do seznamu podívat, protože jen ten je závazný.

Nová služba na obzoru

Evropská úprava nově vyjmenovává mezi službami vytvářejícími důvěru i elektronickou archivaci dat a dokumentů. Pro dlouhodobé uchování podepsaných smluv to bude podstatné, protože dnes se to řeší kombinací časových razítek a služby uchovávání podpisů.

Než certifikát vyprší

Konec platnosti certifikátu překvapí každého, kdo ho používá jednou za rok při daňovém přiznání.

Upozornění dopředu

Poskytovatelé na blížící se konec platnosti upozorňují e-mailem, typicky několik týdnů a pak ještě několik dnů předem. Vyplatí se ohlídat, aby ta adresa byla funkční, protože jiné upozornění nepřijde.

Zneplatnění je nevratné

Byl-li kvalifikovaný certifikát po počáteční aktivaci zneplatněn, ztrácí okamžikem zneplatnění platnost a jeho stav se už v žádném případě nemůže vrátit zpět. Členské státy přitom mohou upravit i dočasné pozastavení platnosti, které nevratné není, ale to je jiný institut.

Obnova bývá jednodušší než první vydání

Prvotní certifikát vyžaduje ověření totožnosti, tedy osobní návštěvu. Následný certifikát už bývá možné vyžádat elektronicky, takže kdo lhůtu nepropásne, ušetří si cestu. Kdo ji propásne, začíná znovu od začátku.

Pět věcí, které si ověřte

Body níž pokrývají chyby, na které se v praxi naráží nejčastěji.

1. Kterou úroveň podpisu skutečně máte. Certifikát od kvalifikovaného poskytovatele ještě neznamená kvalifikovaný podpis, chybět může kvalifikovaný prostředek.
2. Že podání úřadu nese uznávaný podpis. Prostý ani obyčejný zaručený podpis nestačí a podání se pak nemusí považovat za učiněné.
3. Jestli nemáte datovou schránku. Přes ni má úkon stejné účinky jako podepsaná písemnost a certifikát vůbec nepotřebujete.
4. Že máte na dokumentu časové razítko. Bez něj po vypršení certifikátu nedoložíte, kdy podpis vznikl.
5. Jestli má dokument nést podpis, nebo pečeť. Za právnickou osobu se pečetí, podepisuje se vždy člověk.

Nejčastější otázky

Který elektronický podpis nahrazuje vlastnoruční

Jen kvalifikovaný elektronický podpis. Evropské nařízení mu přiznává právní účinek rovnocenný vlastnoručnímu podpisu. Zaručený ani uznávaný podpis tuto rovnocennost nemají, i když se to běžně tvrdí.

Co je uznávaný elektronický podpis

Není to samostatná úroveň, ale zastřešující pojem českého zákona pro dvě varianty: zaručený podpis založený na kvalifikovaném certifikátu a kvalifikovaný podpis. Právě uznávaný podpis je nutný pro podání vůči veřejné moci.

Čím podepsat podání na finanční úřad

Uznávaným elektronickým podpisem, nebo podání poslat z datové schránky, kde má úkon stejné účinky jako podepsaná písemnost. Podání jinou datovou zprávou platí, jen když je do pěti dnů potvrzeno předepsaným způsobem, a tuhle lhůtu nelze prodloužit.

Musí být smlouva o úvěru podepsaná kvalifikovaným podpisem

Zákon o spotřebitelském úvěru žádnou úroveň podpisu nepředepisuje. Vyžaduje písemnou formu a předepsané informace, ale zároveň výslovně stanoví, že nesplnění písemné formy nemá za následek neplatnost smlouvy.

Platí podpis i po vypršení certifikátu

Ano, protože se posuzuje platnost certifikátu v okamžiku podpisu, ne dnes. Problém je doložit, kdy podpis vznikl. K tomu slouží kvalifikované časové razítko, u kterého platí domněnka správnosti data a času.

Jaký je rozdíl mezi podpisem a pečetí

Podepisuje se vždy fyzická osoba, pečetí právnická. Pečeť má zaručit původ a integritu dat, ne vyjádřit vůli konkrétního člověka. U kvalifikované pečeti platí domněnka integrity a správnosti původu, nikoli rovnocennost s vlastnoručním podpisem.

Je podpis v e-mailu k něčemu platný

Je to prostý elektronický podpis a účinky mu nelze upírat jen proto, že je elektronický nebo že nesplňuje požadavky na kvalifikovaný podpis. Jako důkaz tedy použitelný je, ale je nejslabší z existujících variant a pro jednání s úřady nestačí.

Co se stane, když certifikát zneplatním

Zneplatnění je nevratné. Certifikát ztrácí platnost okamžikem zneplatnění a jeho stav se už nemůže vrátit zpět. Podpisy vytvořené dřív zůstávají platné, ale jen tehdy, když jde doložit, že vznikly v době platnosti, k čemuž slouží kvalifikované časové razítko.

Další krok: Jak se přihlásit ke službám státu bez certifikátu, ukazuje text o přihlášení přes banku, a proč se dokumentu doručenému do schránky nevyhnete, rozebírá článek o fikci doručení.

Zdroje: evropské nařízení o elektronické identifikaci, zákon o službách vytvářejících důvěru pro elektronické transakce, občanský zákoník, daňový řád, občanský soudní řád, zákon o spotřebitelském úvěru a seznam kvalifikovaných poskytovatelů.