Semnarea electronică a actelor de muncă: Ce să le explici angajaților tăi cu privire la procesele de semnare și care sunt eventualele riscuri

Un proces simplu, dar care trebuie explicat

„Semnarea electronică a documentelor de muncă se face cu consimțământul angajatului. Fiind un mod de lucru nou, acesta trebuie informat cu privire la modul de utilizare. Totuși, semnarea electronică a documentelor este un proces simplu, nu este necesară o instruire tehnică elaborată pentru acest proces. Cel mai important este ca angajatul și angajatorul să știe ce fel de semnătură electronică utilizează și cum poate fi validată și demonstrată aceasta, în cazul unui litigiu. 

Riscurile apar în momentul în care angajatorul optează pentru achiziţionarea altui tip de semnătură decât semnătura electronică calificată. Dacă în cazul acesteia, angajatul (şi nu numai) poate verifica foarte simplu validitatea semnăturii aplicate, fără a fi necesare instructaje elaborate sau cunoştinte tehnice avansate, în cazul semnăturii electronice simple şi a celei avansate situaţia se schimbă” a explicat pentru redacția noastră Veronica Mitroi, Director Business Unit Servicii de Încredere, certSIGN.

Întâi de toate, angajații trebuie să înțeleagă că nu orice reprezentare grafică a semnăturii lor din mediul electronic înseamnă același lucru cu semnătura electronică avansată ori calificată - cele la care face trimitere și Codul muncii, în primul alineat dintre cele două citate mai sus. De exemplu, oricare dintre noi putem face o poză semnăturii noastre și utiliza-o în mediul digital, putem desena cu ajutorul cursorului o semnătură sau cu degetul, pe telefonul mobil, într-o aplicație oarecare - dar are această semnătură toate valențele uneia olografe, de mână? Poate fi la fel dovedită, în caz că se ajunge la asta? Cum dovedim că (nu) ne aparține dacă o vedem pusă pe un document și se pune problema validității sale?

Avem trei tipuri de semnătură electronică și iată care sunt diferențele din perspectiva validității lor:

• semnătura calificată: „validitatea se verifică extrem de uşor prin accesarea listelor de încredere care conțin toți prestatorii de servicii de încredere calificați din UE (EUTL), liste inclusiv accesate de aplicaţii cunoscute şi gratuite precum Adobe Acrobat Reader care verifică automat validitatea unui document semnat electronic; în plus, există mecanisme centralizate la nivelul Uniunii Europene care asigură validarea pe termen lung”, explică specialistul certSIGN; practic, există altceva, un mijloc prestabilit, prin care se verifică validitatea; totodată, se va putea face asta și peste mulți ani de zile, ceea ce în privința raporturilor de muncă este extrem de relevant;
  
  
• semnătura simplă și semnătura avansată: „validitatea se verifică prin procese mai complexe, pentru care sunt necesare cunoştinţe tehnice de specialitate sau apelare la expertiza unor specialişti în domeniu, deoarece nu este garantată îndeplnirea celor 4 cerinţe din art. 26 al Regulamentului eIDAS, nu există un mecanism standardizat la nivelul aplicaţiilor software care să permită identificarea automată a acestora ca simple sau avansate, nu există o listă cu tipuri de semnături simple/avansate la nivel european ori naţional, nu se prezumă că aparţin exact persoanei care a semnat; toate aceste aspecte trebuie demonstrate de fiecare dată, ori de câte ori este invocată ca probă, pe termen lung (la scurt timp după semnare sau pe perioade mai lungi de timp – după 10, 20 de ani)”.

Din diferențele tehnice punctate mai sus, angajații pot înțelege că e mai greu de dovedit că o semnătură simplă chiar le aparține sau nu, ori una avansată, decât în cazul uneia calificate.

Prin urmare, angajatorul trebuie să le explice angajaților săi ce tip de semnătură le-a cumpărat - ori, dacă nu o face, salariații ar trebui să se intereseze. E important și pentru că unor angajați le poate scăpa din vedere un principiu important enunțat de Codul muncii: dacă nu vor să semneze electronic, ci doar olograf, o pot face. De aici putem să ne gândim și la faptul că angajații ar putea să refuze tipul de semnătură pe care îl oferă angajatorul, pentru că nu îl consideră suficient de „sigur” sau ușor de verificat.

Ipoteza angajatorului care semnează electronic în locul angajaților săi - posibilă sau nu?

Dintre toate temerile pe care le-am văzut enunțate până acum pe tema acestor semnături, de la modificarea Codului muncii încoace, această ipoteză a fost cel mai des întâlnită: angajator de rea-credință semnează electronic în locul angajatului, acesta își pierde locul de muncă, se trezește cu o modificare salarială la care n-a consimțit, detașat ș.a.m.d. 

Aici, specialiștii ne spun că, din păcate, ipoteza e posibilă - dar nu în cazul tuturor tipurilor de semnătură electronică. Iar fraudele sunt greu de împiedicat. 

„Atât timp cât se optează pentru o semnătură electronică calificată care include marcă temporală calificată (aceasta garantează existența la un anumit moment de timp a unor date electronice, prevenind antedatarea documentelor), se elimină riscul «afişării» unor elemente temporale eronate de aplicare a semnăturii electronice (oră şi dată) iar identitatea semnatarului este clar cunoscută. Dacă un document a fost semnat cu o semnătură electronică calificată, atunci există garanţia că acesta a fost semnat de cine trebuie! Deoarece un certificat calificat de semnătură electronică este emis de prestatori calificaţi de servicii de încredere DOAR după ce persoana care îl solicită parcurge procedura de dovedire și de verificare a identității - procedură obligatorie prin Regulamentul eIDAS 910/2014. Astfel se asigură garanţia că identitatea electronică a semnatarului este aceeaşi cu identitatea fizică reală.

Nu există o «rețetă» pentru a verifica o semnătură avansată, așa cum nu există o „rețetă” pentru a împiedica fraudarea acesteia. Cum am mai spus, o semnătură simplă poate reprezenta o semnătură scanata copiată într-un document. Acest proces este foarte ușor de reprodus și este deosebit de complicat să fie împiedicate fraudele”, a explicat Veronica Mitroi.

Angajații nu ar trebui să transmită dispozitivul sau datele de utilizare altcuiva

În continuarea ideii de mai sus, da, e posibilă semnarea de către altcineva și atunci când e vorba de o semnătură electronică calificată, dacă angajatul oferă dispozitivul de semnare altcuiva. Aici, firmele ar trebui să fie destul de clare în a le atrage atenția angajaților să nu lase la îndemâna oricui dispozitivele, însoțite de codul PIN unic. 

„Este similar deţinerii şi utilizării unui card bancar – dacă posesorul acestuia oferă atât cardul, cât şi PIN-ul unei alte persoane, nu se pot ridica ulterior pretenţii privind sumele de bani retrase/utilizate în achiziţii. Iar la semnătura electronică calificată în cloud vorbim despre credenţialele de autentificare user şi parolă plus codul unic de autorizare OTP (one-time-password), pe care titularul îl primeşte pe telefon în momentul semnării. Elementele de securitate există, însă trebuie «respectate»”, ne-a explicat reprezentantul certSIGN.

Dacă se folosesc semnături simple sau avansate, salariaților ar trebui să li se explice întregul mecanism tehnic din spate: 

1. care este tehnologia care a fost folosită pentru crearea semnăturilor;

2. cum se asigură că cerințele din art.  26 al Regulamentului eIDAS sunt îndeplinite, atât pentru semnătura creată de salariat, cât și de angajator:

• cum s-a realizat identificarea semnatarului și cum face cu siguranță trimitere la acesta;
• cum se asigură ca altcineva nu are acces la datele de creare a semnăturii, adică modul în care poate fi sigur că nu semnează altcineva în numele său;
• cum se asigură cu informațiile nu pot fi modificate după semnare.

3. cum păstrează aceste informații și le poate folosi, în cazul unui litigiu, pe toata durata de viață a documentelor, ce poate fi și de zeci de ani

Ce poate să facă un angajat care are suspiciuni cu privire la validitatea unei semnături electronice?

Așa cum subliniam mai sus, angajatul ar trebui să cunoască cum anume se verifică aceste semnături. Semnătura calificată se validează în mod automat, fără ca el să facă un efort, deoarece la nivelul Uniunii Europene este creată infrastructura tehnică pentru validarea semnăturilor calificate, subliniază Veronica Mitroi.

Adesea, utilizatorii de semnături electronice se trezesc cu tot felul de erori pe aplicațiile cu care deschid documentele electronice. Aici, pentru cei care nu folosesc semnătura calificată, erorile ar trebui cunoscute - altfel spus, utilizatorii ar trebui să știe ce presupune un mesaj de eroare și ce presupune un alt avertisment, care sunt erorile „bune”, care sunt cele care ar trebui să le trezească suspiciuni ș.a.m.d.. Aici vorbim deja de un risc crescut de securitate, pentru că unii angajați ar putea fi superficiali în cunoașterea acestor diferențe ori insuficient instruiți. De la un anumit punct, practic, tehnologia poate deveni destul de complicată de înțeles și de navigat.

„În funcție de cine a fost implicat în crearea acestei semnături, el poate cere ajutorul. Primul care trebuie să îi dea informațiile este angajatorul dar, dacă acestea nu sunt suficiente sau le-a pierdut, poate fi necesară expertiză tehnică.

Ţinând cont de riscurile care pot să apară în cazul optării pentru semnătura electronică simplă sau avansată, inclusiv Inspectoratul Teritorial de Muncă ar trebui să cunoască metodele de verificare a semnăturilor electronice. În cazul semnăturii electronice calificate, validarea se poate realiza foarte uşorde către oricine, în Adobe Acrobat Reader:

• Se verifică integritatea documentului – faptul că nu a fost modificat după semnare (aplicaţia va semnaliza acest aspect)
• Se verifică certificatul utilizat pentru crearea semnăturii - informațiile cu privire la certificat (cui i-a fost emis, cine l-a emis, daca este certificat calificat sau nu) se găsesc în interiorul certificatului. Pe baza acestor informații, se verifică în lista de încredere de la nivelul UE dacă certificatul a fost într-adevăr emis de un prestator de servicii de încredere calificat. Dacă toate informațiile sunt corecte, aplicația cu care se face validarea semnăturii va anunța că totul este în regulă. De exemplu, Adobe Acrobat Reader afișează o bifă verde, precizează a fost folosit un certificat calificat și că validarea a fost realizată folosind informații din lista de încredere a UE”, explică Veronica Mitroi.

Procedurile interne pe care ar trebui să și le stabilească firmele

E cert că folosirea semnăturii electronice ar trebui cuprinsă în documentele firmei, alături de principiul clar stabilit, pentru toată lumea, că doar cine vrea să o folosească o folosește, iar cei care nu (mai) vor, nu o (mai) folosesc și nu pot fi sancționați sau discriminați pentru asta. 

„Procedura privind semnarea electronică a actelor sau documentelor din domeniu relațiilor de muncă va fi stabilită de angajator, în cadrul regulamentului intern, cu consultarea organizației sindicale reprezentative sau a reprezentanților salariaților. 

În situația în care nu există nici un sindicat reprezentativ și nici nu au fost aleși reprezentanții salariaților, procedura va fi stabilită de angajator, iar modificările aduse regulamentului intern vor fi aduse la cunoștința salariaților, conform dispozițiilor art. 243 din Codul muncii”, explica acum câteva luni Dan Năstase, consilier juridic specializat în relații de muncă, amintind totodată că salariații pot oricând să conteste prevederile din regulament care le încalcă drepturile recunoscute de lege.

Totodată, în procedurile de implementare nu se pot regăsi condiționări în privința furnizorului de servicii privind semnătura electronică, pentru că legea nu lasă loc unei atare conduite din partea angajatorului. 

Dincolo de asta, trebuie să ne gândim și la momentul ceva mai avansat în timp: să zicem că firm cumpără în 2022 angajaților săi semnătură electronică, dar până la final de an unii dintre salariații săi, utilizatori de astfel de semnătură la muncă, pleacă din firmă. Cum ar trebui să procedeze angajatorul?

„Angajatorii pot opta încă de la început pentru emiterea unor certificate de semnătură electronică pe termen scurt (de la câteva minute la câteva zile), astfel încât angajaţii să utilizeze acest instrument punctual, doar la semnarea documentelor specifice în momentul apariţiei necesităţii semnării lor. 

În cazul în care angajatorul a optat pentru un certificat calificat de semnătura electronică cu o valabilitate extinsă - de exemplu, trei ani, - iar angajatul părăseşte compania până la atingerea acestui termen - după doar câteva luni, să zicem - angajatorul poare revoca certificatul cu uşurinţă”, a explicat pentru avocatnet.ro Veronica Mitroi, Director Business Unit Servicii de Încredere, certSIGN.