Pieczęć elektroniczna jest bardzo dobrym narzędziem budowania zaufania. Jej podstawowa funkcja jest jednak prosta: ma potwierdzać, że dane pochodzą od określonego podmiotu oraz że po opieczętowaniu nie zostały zmienione. Tak rozumie ją eIDAS. Definicja pieczęci elektronicznej mówi o danych elektronicznych dołączonych lub logicznie powiązanych z innymi danymi po to, aby zapewnić pochodzenie i integralność tych danych, a kwalifikowana pieczęć korzysta z domniemania prawnego integralności danych i autentyczności ich pochodzenia. To bardzo dużo, ale nie wszystko.
Pieczęć elektroniczna a zasady bezpieczeństwa
Pieczęć nie jest podpisem osoby fizycznej. Nie mówi, kto konkretnie podjął tę decyzję. Nie potwierdza, że dana osoba była członkiem zarządu, pełnomocnikiem, pracownikiem działu finansów lub administratorem systemu. Nie zastępuje też oświadczenia woli składanego przez osobę uprawnioną do reprezentacji. Ten podstawowy podział jest dobrze widoczny w praktycznym opisie pieczęci: służy ona zapewnieniu autentyczności pochodzenia i integralności dokumentu, ale nie zastępuje podpisu elektronicznego przy składaniu oświadczenia woli w imieniu osoby fizycznej.
Dlatego trzeba bardzo ostrożnie podchodzić do przepisów, które nadają pieczęci elektronicznej nowe skutki prawne. Jeżeli przepis mówi, że dokument opatrzony pieczęcią organu administracji publicznej pochodzi od tego organu, jest to zrozumiałe. Kodeks postępowania administracyjnego dopuszcza pisma elektroniczne opatrzone kwalifikowaną pieczęcią elektroniczną organu, ze wskazaniem osoby opatrującej pismo pieczęcią, a także pisma generowane automatycznie i opatrzone pieczęcią organu. W takim przypadku przepisy dotyczące konieczności podpisu pracownika organu nie mają zastosowania.
To jest szczególny model urzędowy. Organ działa w ramach swojej ustawowej kompetencji, w swoim systemie i w ramach procedury administracyjnej. Pieczęć potwierdza urzędowe pochodzenie pisma. Można z tym dyskutować, ale przynajmniej wiadomo, że chodzi o dokument wychodzący z systemu organu.
Problem zaczyna się, gdy ustawodawca zaczyna traktować każdą pieczęć elektroniczną podmiotu jako samodzielny dowód prawa do działania za ten podmiot. Wtedy pieczęć przestaje być narzędziem zabezpieczenia dokumentu, a zaczyna działać jak cyfrowy klucz do systemów państwowych.
Pieczęć elektroniczna a KSeF
Najbardziej wyrazistym przykładem jest KSeF. Rozporządzenie w sprawie korzystania z Krajowego Systemu e-Faktur przewiduje, że uwierzytelnianie podmiotów może następować przy użyciu danych weryfikowanych za pomocą kwalifikowanej pieczęci elektronicznej, jeżeli pozwalają one na identyfikację i uwierzytelnienie wymagane do korzystania z KSeF. Jednocześnie uprawnienia do korzystania z KSeF obejmują m.in. nadawanie i odbieranie uprawnień oraz wystawianie lub dostęp do wystawionych faktur, przy czym co do zasady przysługują one podatnikowi.
W praktyce oznacza to, że pieczęć z identyfikatorem podmiotu może stać się narzędziem wejścia do systemu i zarządzania uprawnieniami. Ten mechanizm pokazuje odwrócenie logiki: pieczęć nie jest już tylko dowodem pochodzenia dokumentu, ale zaczyna pełnić funkcję administracyjnego wejścia do konta firmy, w krytycznym systemie państwowym.
Pieczęć elektroniczna a e-Doręczenia
Podobny kierunek widać w przepisach o doręczeniach elektronicznych. Wniosek o utworzenie adresu do doręczeń elektronicznych dla podmiotu niepublicznego, niebędącego osobą fizyczną może być opatrzony kwalifikowaną pieczęcią elektroniczną podmiotu albo podpisem osoby uprawnionej do złożenia wniosku. Co istotne, dokument potwierdzający reprezentację albo pełnomocnictwo trzeba dołączyć, jeżeli wniosek nie został opatrzony kwalifikowaną pieczęcią elektroniczną. To oznacza, że pieczęć zaczyna zastępować element kontroli reprezentacji i stanowi oświadczenie o uprawnieniach.
Z punktu widzenia bezpieczeństwa jest to niebezpieczne. Jedna z podstawowych zasad bezpieczeństwa, zasada minimalnych uprawnień, mówi, że użytkownik, proces albo system powinien mieć tylko takie uprawnienia, które są konieczne do wykonania danego zadania. Normy bezpieczeństwa definiują ją właśnie jako ograniczenie uprawnień użytkowników lub procesów do minimum potrzebnego do realizacji powierzonych zadań.
Pieczęć elektroniczna używana jako uniwersalne uwierzytelnienie działa w sposób odwrotny. Jest to jedno narzędzie przypisane do całej organizacji. Nie rozróżnia działu księgowości, działu kadr, administratora systemu, członka zarządu i pełnomocnika. Nie mówi, czy czynność dotyczy tylko wysłania dokumentu, czy już zarządzania dostępem, pobrania certyfikatu, utworzenia konta albo nadania kolejnych uprawnień. W takim modelu jedno narzędzie zaczyna otwierać wszystkie drzwi.
To nie znaczy, że pieczęć elektroniczna nie powinna być używana w procesach publicznych. Powinna, ale zgodnie ze swoją funkcją. Może potwierdzać, że dokument, komunikat techniczny albo żądanie pochodzi od określonego podmiotu i nie zostało zmienione. Nie powinna jednak sama przesądzać, że podmiot skutecznie udzielił pełnomocnictwa, wskazał administratora, nadał uprawnienie albo autoryzował operację wysokiego ryzyka.
Do takich celów potrzebny jest osobny nośnik uprawnień. W nowym modelu eIDAS 2.0 takim narzędziem może być elektroniczne poświadczenie atrybutu. Już teraz taki atrybut mógłby potwierdzać, że określona osoba albo określony system działa w danej roli, w danym zakresie i wobec konkretnej usługi. Pieczęć nadal potwierdzałaby pochodzenie komunikatu od organizacji, ale samo uprawnienie wynikałoby z poświadczenia atrybutu.
Największy błąd polega więc nie na używaniu pieczęci elektronicznej. Polega na nadawaniu jej, przez przepisy, nowych domniemań i uprawnień każdej kwalifikowanej pieczęci elektronicznej. eIDAS stworzył pieczęć jako narzędzie do zabezpieczania dokumentów udostępnianych przez podmioty prawne w trakcie realizacji własnych usług biznesowych. Jeżeli ustawodawca zaczyna z niej robić narzędzie reprezentacji, logowania, tworzenia kont, zarządzania dostępem i autoryzowania czynności, to zmienia sens tego instrumentu i osłabia bezpieczeństwo całego modelu zaufania.
Pieczęć elektroniczna powinna pozostać narzędziem potwierdzającym pochodzenie i integralność danych i dokumentów. Uprawnienia powinny wynikać z zapisu rejestru, pełnomocnictwa albo elektronicznego poświadczenia atrybutu i nie mogą być przypisane do narzędzia powszechnego zastosowania.
Michał Tabor
Data publikacji 16.07.2026