4 misverstanden over rechtsgeldig digitaal ondertekenen

De gewone elektronische handtekening is zo eenvoudig als een afbeelding van de handtekening van een persoon onder een document.

De afbeelding van een natte handtekening is een concrete interpretatie hiervan. Maar het laat ook ruimte voor de vastlegging dat een geidentificeerde gebruiker op een akkoord-knop heeft geklikt. Als de gebruiker maar betrouwbaar teruggeleid kan worden naar een persoon en het proces waarbinnen de gebruiker op de knop klikt gecontroleerd is.

Aan de gewone elektronische handtekening zijn van nature geen of weinig waarborgen verbonden. Wanneer de ondertekening betwist wordt is het aan de partij die over de ondertekening beschikt om aan te tonen dat de handtekening is gezet door de bedoelde persoon. Dat betekent dat deze vorm van ondertekenen vooral toegepast kan worden binnen omgevingen waar personen en processen onder controle zijn. In de praktijk dus binnen een organisatie. Wanneer de ondertekening organisatie-overstijgend aangetoond moet worden en het belang van de ondertekening groot is, dan wordt gebruik van de gewone elektronische handtekening afgeraden.

De geavanceerde elektronische handtekening is een toepassing van digitale certificaten. Digitale certificaten zijn cryptografische sleutels in de vorm van een bestand. Deze bestanden worden uitgegeven in een gecontroleerd proces dat “public key infrastructure” (PKI) wordt genoemd.

Binnen een public key infrastructure worden sleutels uitgegeven door een vertrouwde partij. De vertrouwde partij geeft de sleutel uit aan een persoon wat wie zij tot op zekere hoogte de identiteit vaststelt. De uitgegeven sleutel is (direct of indirect) ondertekend door de vertrouwde partij, zodat een keten van vertrouwen ontstaat. De uitgegeven sleutel is in feite een set van twee sleutels; de public key en de private key. De private key is het bestand dat strikt persoonlijk is voor de persoon. Bij het ondertekenen wordt de public key aan de gegevens gehecht. Via de public key wordt duidelijk wie de gegevens heeft ondertekend, met welke private key en door welke keten de keys worden vertrouwd.

Naast identificatie van personen is een ander element van het op deze manier tekenen van gegevens dat de integriteit van de gegevens wordt vastgesteld. Bij het ondertekening wordt een afgeleid controlegegeven (een hash) bewaard. Wanneer de ondertekende gegevens niet meer leiden tot dit controlegegeven, dan is direct duidelijk dat de gegevens zijn gemanipuleerd ten opzichte van het moment waarop werd ondertekend.

In de eis onder punt C wordt de toevoeging gemaakt “met een hoog vertrouwensniveau”. Hiermee wordt bedoeld dat de eis specifiek is voor elektronische handtekeningen die direct worden vertrouwd. Dit bespreken we verder in de volgende paragraaf.

De gekwalificeerde elektronische handtekening is een geavanceerde elektronische handtekening waarbij de certificaten onder aanvullende voorwaarden zijn uitgegeven en worden gebruikt. De aanvullende voorwaarden worden per 1 juli 2016 gesteld door de Europese verordening eIDAS (deel vertrouwensdiensten). Als de certificaten zijn uitgegeven door gekwalificeerde dienstverleners van vertrouwensdiensten, dan wordt gesproken over een gekwalificeerde elektronische handtekening (met een hoog vertrouwensniveau).

Als aan deze eisen is voldaan, dan worden de ondertekende gegevens daadwerkelijk als ondertekend beschouwd. Dit hoeft niet verder bewezen te worden. In plaats daarvan zou het omgekeerde bewezen moeten worden.

Een eis uit de eIDAS verordening gaat niet zozeer in op de instantie die de certificaten uitgeeft en de manier waarop zij dit doet, maar op hoe het certificaat door de betreffende persoon wordt gebruikt. Het gaat hier om het zinsdeel “elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken”. Hiermee wordt bedoeld dat het certificaat daadwerkelijk persoonlijk wordt geacht te zijn. In de praktijk wordt hier bedoeld dat het certificaat gebruikt moet worden vanaf een fysiek “token”. Een appataat of een smartcard waarop het private deel van de sleutel wordt bewaard.