Sähköinen allekirjoitus mahdollistaa asiakirjojen allekirjoittamisen verkossa ilman tulostamista tai osapuolten tapaamista. Kansainvälisesti käytetään usein lyhennettä eSign, joka tulee sanoista electronic signature.
Olennaisin kysymys on kuitenkin harvoin se, miten allekirjoitus tehdään – vaan se, onko se pätevä. Vastaus riippuu siitä, mitä tasoa käytetään. Tässä artikkelissa käydään läpi EU:n eIDAS-asetuksen kolme tasoa, tekniikan toimintaperiaate ja käytännöt Suomessa.
Mikä sähköinen allekirjoitus on
Sähköinen allekirjoitus ei ole kuva käsin piirretystä nimikirjoituksesta. Tämä on yleisin väärinkäsitys.
Kuvatiedosto nimikirjoituksesta ei sido allekirjoittajaa asiakirjaan millään todennettavalla tavalla, eikä siitä voi havaita, onko asiakirjaa muutettu jälkikäteen. Se on kuva, ei allekirjoitus teknisessä mielessä.
Varsinainen sähköinen allekirjoitus perustuu kryptografiaan. Allekirjoitushetkellä asiakirjasta lasketaan tiiviste, joka salataan allekirjoittajan yksityisellä avaimella. Tuloksena syntyy allekirjoitus, joka on sidottu sekä allekirjoittajaan että kyseiseen asiakirjaversioon.
Käytännön seuraus: jos asiakirjaa muutetaan yhdenkään merkin verran allekirjoittamisen jälkeen, allekirjoitus ei enää täsmää ja muutos on havaittavissa.
eIDAS ja kolme tasoa
Sähköisistä allekirjoituksista säädetään EU:n eIDAS-asetuksessa (EU) 910/2014. Se jakaa allekirjoitukset kolmeen tasoon, joilla on eri oikeudellinen painoarvo.
Sähköinen allekirjoitus (SES)
Perustaso. Käytännössä mikä tahansa sähköisessä muodossa oleva tahdonilmaisu, kuten sähköpostissa hyväksyminen tai ruutuun piirretty nimikirjoitus.
Tämä taso ei edellytä allekirjoittajan luotettavaa tunnistamista. Todistusvoima riitatilanteessa on siksi heikko.
Kehittynyt sähköinen allekirjoitus (AES)
Täyttää eIDAS-asetuksen 26. artiklan vaatimukset. Allekirjoituksen on yksilöitävä allekirjoittaja, allekirjoittajan on voitava käyttää allekirjoitustietoja yksinomaisessa valvonnassaan, ja allekirjoitus on liitettävä asiakirjaan siten, että myöhemmät muutokset voidaan havaita.
Suomessa tämä taso saavutetaan tyypillisesti vahvalla tunnistautumisella: pankkitunnuksilla tai mobiilivarmenteella.
Tämä on käytännössä yleisin taso yritysten arjessa, ja sen todistusvoima riittää useimpiin sopimuksiin.
Hyväksytty sähköinen allekirjoitus (QES)
Korkein taso. Kyseessä on kehittynyt allekirjoitus, joka on luotu hyväksytyllä luontivälineellä ja perustuu hyväksyttyyn varmenteeseen.
eIDAS-asetuksen 25. artiklan mukaan hyväksytyn sähköisen allekirjoituksen oikeusvaikutus vastaa käsin tehtyä allekirjoitusta koko EU:n alueella.
Suomessa QES-tasoinen allekirjoitus edellyttää Digi- ja väestötietoviraston myöntämää kansalais- tai organisaatiovarmennetta, käytännössä sirullista henkilökorttia.
Tärkeä periaate
eIDAS-asetus ei määrää, mitä tasoa missäkin tilanteessa on käytettävä. Se määrittelee tasot ja niiden ominaisuudet.
Asetuksessa todetaan myös, ettei sähköisen allekirjoituksen käyttöä todisteena voi hylätä pelkästään sillä perusteella, että se on sähköisessä muodossa tai ettei se täytä korkeimman tason vaatimuksia.
Käytännössä valinta on siis riskiarvio: mitä suurempi taloudellinen tai oikeudellinen merkitys asiakirjalla on, sitä perustellumpaa on käyttää korkeampaa tasoa.
Valvonta ja luotettu luettelo
Sähköiset luottamuspalvelut ovat säänneltyä toimintaa.
Suomessa niitä valvoo Liikenne- ja viestintävirasto Traficomin Kyberturvallisuuskeskus, joka myös myöntää palveluille hyväksytyn statuksen. Hyväksytyt palveluntarjoajat löytyvät kansallisesta luotetusta luettelosta, joka on voimassa kaikissa EU:n jäsenvaltioissa.
Hyväksytyn statuksen saaminen edellyttää akkreditoidun arviointilaitoksen tekemää vaatimustenmukaisuuden arviointia ja viranomaisen hyväksyntää ennen toiminnan aloittamista. Valvonta jatkuu toiminnan aikana.
Allekirjoituksen tason voi tarkistaa jälkikäteen. Digi- ja väestötietovirasto tarjoaa validointipalvelun, jossa allekirjoitetun asiakirjan tekniset tiedot ja taso voidaan todentaa.
Milloin sähköinen allekirjoitus ei riitä
Tämä osio puuttuu monista aihetta käsittelevistä artikkeleista, mutta se on käytännössä olennainen.
Kaikkia oikeustoimia ei voi tehdä vapaamuotoisesti sähköisesti. Osa edellyttää määrämuotoa, joka on säädetty erikseen: esimerkiksi tietyt kiinteistöoikeudelliset toimet, osa perhe- ja perintöoikeudellisista asiakirjoista sekä eräät viranomaisprosessit.
Näissä tapauksissa vaaditaan joko erikseen määrättyä menettelyä, todistajia tai viranomaisen vahvistus. Käytettävissä voi olla erillinen sähköinen järjestelmä, mutta tavallinen allekirjoituspalvelu ei korvaa sitä.
Jos asiakirjalla on merkittävää taloudellista arvoa tai siihen liittyy määrämuotovaatimuksia, muotovaatimukset kannattaa varmistaa ennen allekirjoittamista. Tämä artikkeli ei ole oikeudellinen neuvo.
Käyttöönotto ja palvelun valinta
Sähköisen allekirjoituksen käyttöönotto tapahtuu yleensä palveluntarjoajan kautta. Palvelut eroavat toisistaan merkittävästi.
Keskeisin valintakriteeri on tuettu taso: tarjoaako palvelu AES- vai QES-tasoisia allekirjoituksia, ja millä tunnistautumismenetelmillä.
Muita huomioitavia asioita ovat tunnistautumistavat, jäljitysketjun eli audit trailin kattavuus, asiakirjojen säilytyspaikka ja -aika, aikaleimat sekä integraatiot olemassa oleviin järjestelmiin.
Yritysten hallinto-ohjelmistoista kerromme lisää Procountoria käsittelevällä sivullamme ja muista ohjelmistoista tietokoneohjelmistot-sivullamme.
Allekirjoituspalvelun valinta – tarkistuslista
- Mitä eIDAS-tasoa palvelu tukee? AES riittää useimpiin tarpeisiin, QES vaaditaan tiukimmin säännellyissä tapauksissa.
- Tunnistautumistavat – pankkitunnukset, mobiilivarmenne, varmennekortti?
- Onko palveluntarjoaja luotetussa luettelossa? Traficom ylläpitää kansallista listaa.
- Jäljitysketju (audit trail) – mitä tapahtumia kirjataan ja miten ne todennetaan?
- Aikaleimat – todennetaanko allekirjoitushetki luotettavasti?
- Säilytys – missä asiakirjat säilytetään, kuinka kauan ja kuka niihin pääsee?
- Tietosuoja – onko henkilötietojen käsittelysopimus kunnossa?
- Integraatiot – toimiiko palvelu käytössä olevien järjestelmien kanssa?
Allekirjoituksen tason voi tarkistaa jälkikäteen Digi- ja väestötietoviraston validointipalvelussa.
Tietoturva ja tietosuoja
Allekirjoituspalvelu käsittelee usein arkaluontoisia sopimuksia ja henkilötietoja, joten tietosuoja on olennainen osa valintaa.
Selvitettäviä asioita ovat, missä asiakirjoja säilytetään, kuinka kauan, kuka niihin pääsee käsiksi ja miten ne voidaan poistaa. Myös palveluntarjoajan rooli henkilötietojen käsittelijänä ja tarvittava käsittelysopimus on hyvä varmistaa.
On myös syytä suhtautua varauksella yleisiin väitteisiin siitä, että pilvipalvelu olisi automaattisesti turvallisempi kuin paperiarkisto. Turvallisuus riippuu toteutuksesta, ei tallennusmuodosta. Ohjelmistojen tietoturvasta kerromme lisää virustorjuntaa käsittelevässä artikkelissamme.
Yhteenveto
Sähköinen allekirjoitus perustuu kryptografiaan, ei nimikirjoituksen kuvaan. Se sitoo allekirjoittajan tiettyyn asiakirjaversioon niin, että myöhemmät muutokset ovat havaittavissa.
EU:n eIDAS-asetus jakaa allekirjoitukset kolmeen tasoon. Suomessa arjen käytössä yleisin on kehittynyt allekirjoitus (AES), joka perustuu vahvaan tunnistautumiseen. Korkein taso (QES) rinnastuu käsin tehtyyn allekirjoitukseen koko EU:ssa.
Kaikkia oikeustoimia ei voi kuitenkaan tehdä vapaamuotoisesti sähköisesti, joten määrämuotovaatimukset kannattaa varmistaa erikseen.
Lähteet
- EUR-Lex – eIDAS-asetus (EU) 910/2014 (artiklat 25 ja 26)
- Traficom / Kyberturvallisuuskeskus – Sähköinen allekirjoitus ja eIDAS-palvelut
- Digi- ja väestötietovirasto – Allekirjoituksen validointipalvelu
- Digi- ja väestötietovirasto – Kansalais- ja organisaatiovarmenteet
- Euroopan komissio – EU Trusted List Browser
Sähköisen allekirjoituksen pätevyys yksittäisessä tilanteessa riippuu käytetystä tasosta, asiakirjatyypistä ja sovellettavasta lainsäädännöstä. Osa oikeustoimista edellyttää määrämuotoa, todistajia tai viranomaisen vahvistusta, eikä tavallinen allekirjoituspalvelu korvaa näitä.
Jos asiakirjalla on merkittävää taloudellista arvoa tai siihen liittyy epäselvyyttä muotovaatimuksista, käänny lakiasiantuntijan puoleen. Ajantasaista viranomaistietoa löydät Traficomin Kyberturvallisuuskeskuksesta ja Digi- ja väestötietovirastosta.
Usein kysytyt kysymykset
Mikä on sähköinen allekirjoitus?
Se on kryptografiaan perustuva menetelmä, jolla allekirjoittaja sidotaan tiettyyn asiakirjaversioon. Kuva käsin piirretystä nimikirjoituksesta ei ole tässä mielessä sähköinen allekirjoitus.
Onko sähköinen allekirjoitus laillisesti pätevä?
Riippuu tasosta. EU:n eIDAS-asetus määrittelee kolme tasoa, joista hyväksytyllä sähköisellä allekirjoituksella (QES) on sama oikeusvaikutus kuin käsin tehdyllä allekirjoituksella.
Mitä eroa on AES- ja QES-tasoilla?
Kehittynyt allekirjoitus (AES) perustuu vahvaan tunnistautumiseen, kuten pankkitunnuksiin. Hyväksytty allekirjoitus (QES) edellyttää lisäksi hyväksyttyä luontivälinettä ja varmennetta, ja se rinnastuu käsin tehtyyn allekirjoitukseen.
Mitä tasoa Suomessa käytetään yleisimmin?
Kehittynyttä allekirjoitusta (AES), joka toteutetaan tyypillisesti pankkitunnuksilla tai mobiilivarmenteella. Sen todistusvoima riittää useimpiin sopimuksiin.
Kuka valvoo allekirjoituspalveluita Suomessa?
Traficomin Kyberturvallisuuskeskus valvoo luottamuspalveluita ja myöntää hyväksytyn statuksen. Hyväksytyt palveluntarjoajat löytyvät kansallisesta luotetusta luettelosta.
Voiko allekirjoituksen tason tarkistaa jälkikäteen?
Kyllä. Digi- ja väestötietovirasto tarjoaa validointipalvelun, jossa allekirjoitetun asiakirjan taso ja tekniset tiedot voidaan todentaa.
Voiko kaiken allekirjoittaa sähköisesti?
Ei. Osa oikeustoimista edellyttää määrämuotoa, todistajia tai viranomaisen vahvistusta. Muotovaatimukset kannattaa varmistaa etukäteen.