Kvalificirani elektronički potpis u Europskoj uniji ima jednak pravni učinak kao vlastoručni potpis, no njegova primjena u hrvatskom bankarskom sustavu još nije jednako uređena u svim poslovnim postupcima. Građani i poduzetnici mogu elektronički potpisati dokumentaciju, ali se pri njezinoj predaji bankama nerijetko susreću s različitim zahtjevima i procedurama. Upravo je taj raskorak između pravne valjanosti i praktične primjene bio povod istraživanju ICTbusinessa o prihvaćanju kvalificiranih elektroničkih potpisa u hrvatskim bankama. Nakon odgovora nekoliko banaka i nadležnih institucija stiglo je i očitovanje Raiffeisenbank Austria (RBA).
Banka izričito potvrđuje da prihvaća elektronički potpisane PDF dokumente s kvalificiranim elektroničkim potpisom. Pritom se ne ograničava na certifikate jednog hrvatskog izdavatelja, nego priznaje kvalificirane pružatelje usluga povjerenja iz Europske unije. RBA je objasnila i kako provjerava vjerodostojnost i valjanost potpisa. Ipak, iz odgovora nije moguće zaključiti u kojim se sve bankarskim postupcima takvi dokumenti mogu predati i obraditi.
„Banka posluje sukladno s eIDAS regulativom (Uredba 910/2014, uz praćenje izmjena iz Uredbe 2024/1183) i prihvaća digitalno potpisane PDF dokumente”, navodi RBA u odgovoru ICTbusinessu. Banka potvrđuje prihvaćanje kvalificiranog elektroničkog potpisa, odnosno QES-a, temeljenog na kvalificiranom certifikatu koji je izdao pružatelj usluga povjerenja upisan na europski ili nacionalni pouzdani popis. Izričito spominje Finu, AKD odnosno Certiliju te druge kvalificirane pružatelje iz Europske unije.
Takav je odgovor važan jer potvrđuje da banka prihvaćanje potpisa ne veže uz jednog komercijalnog pružatelja ili određeni nacionalni sustav izdavanja certifikata. Europski pouzdani popisi, poznati kao Trusted Lists, omogućuju provjeru kvalificiranog statusa pružatelja i njegovih usluga. Nacionalne popise objavljuju države članice, dok europska infrastruktura omogućuje njihovu zajedničku provjeru. Time se osigurava da kvalificirani elektronički potpis nije ograničen samo na državu u kojoj je izdan odgovarajući certifikat. Takva je interoperabilnost posebno važna poduzetnicima koji posluju s inozemstvom, ali i korisnicima koji imaju certifikate različitih hrvatskih pružatelja.
RBA je u odgovoru navela i konkretne alate za provjeru potpisa. Validacija se provodi u programima Adobe Acrobat Reader i FINA Validator, pri čemu se provjerava kvalificirani status certifikata i izdavatelja prema pouzdanim popisima, razdoblje valjanosti certifikata, njegov eventualni opoziv ili suspenzija u trenutku potpisivanja, integritet dokumenta te prisutnost vremenskog žiga. Za provjeru statusa certifikata koriste se mehanizmi CRL i OCSP, koji omogućuju utvrđivanje je li certifikat opozvan ili je njegov status na drugi način promijenjen.
Provjera elektroničkog potpisa znatno je više od otvaranja PDF dokumenta i pregleda vidljive oznake potpisa. Kvalificirani elektronički potpis mora ispunjavati propisane uvjete, uključujući uporabu kvalificiranog certifikata i kvalificiranog sredstva za izradu potpisa. Validacijom se utvrđuju identitet potpisnika, odgovarajući status certifikata i pružatelja usluge te činjenica da potpisani sadržaj nije neovlašteno izmijenjen. Pritom je važno razlikovati datum isteka certifikata od valjanosti potpisa nastalog tijekom razdoblja u kojem je certifikat bio valjan. Vremenski žig i dodatni validacijski podaci mogu imati važnu ulogu u dugoročnoj dokazivosti dokumenta, ali sama prisutnost vremenskog žiga nije univerzalan uvjet za pravnu jednakovrijednost svakog kvalificiranog elektroničkog potpisa. RBA nije dodatno pojasnila kako postupa s dokumentima koji nemaju vremenski žig.
Pravna osnova prihvaćanja kvalificiranih elektroničkih potpisa uređena je Uredbom (EU) br. 910/2014, poznatom kao eIDAS. Njezin članak 25. stavak 2. propisuje da kvalificirani elektronički potpis ima jednak pravni učinak kao vlastoručni potpis. Prvi stavak istog članka određuje da se elektroničkom potpisu ne smiju uskratiti pravni učinak i dopuštenost kao dokaza u sudskom postupku samo zato što je u elektroničkom obliku ili zato što ne ispunjava zahtjeve za kvalificirani potpis. Članak 46. dodatno štiti pravne učinke elektroničkih dokumenata. To ne znači da jednostavni ili napredni elektronički potpisi automatski imaju istu pravnu snagu kao kvalificirani, nego da se elektronički oblik sam po sebi ne može koristiti kao razlog za uskraćivanje pravnog učinka.
Uredba eIDAS izravno se primjenjuje u državama članicama Europske unije, uključujući Hrvatsku, a njezin je okvir proširen Uredbom (EU) 2024/1183 o uspostavi europskog okvira za digitalni identitet. Izmjene dodatno uređuju usluge povjerenja i stvaraju temelje za Europsku lisnicu za digitalni identitet, koja će omogućiti elektroničku identifikaciju i korištenje potvrđenih digitalnih podataka te kvalificirano elektroničko potpisivanje. Međutim, pravna jednakovrijednost potpisa ne ukida posebne propise o sklapanju ugovora, obveze identifikacije klijenata, sprječavanja pranja novca ili provjere zastupničkih ovlasti. Jednako tako, ona ne znači da je svaka banka obvezna omogućiti predaju svake vrste dokumentacije bilo kojim komunikacijskim kanalom. Valjanost potpisa i organizacija konkretnog bankarskog postupka dva su povezana, ali različita pitanja.
U ranijim odgovorima ICTbusinessu Ministarstvo pravosuđa, uprave i digitalne transformacije naglasilo je da pravna jednakovrijednost kvalificiranog elektroničkog i vlastoručnog potpisa nije stvar poslovnog izbora, nego standard utvrđen europskim pravom. Hrvatska narodna banka istodobno je pojasnila da ne propisuje jedinstveno tehnološko rješenje kojim kreditne institucije moraju provjeravati kvalificirane potpise. Ipak, HNB je izričito upozorio da činjenica što određeno područje nije u njegovoj nadležnosti ne oslobađa banke poštovanja propisa čiju primjenu nadziru druga nadležna tijela. To je posebno važno pri razlikovanju legitimnih zahtjeva za provjerom identiteta, ovlasti i sigurnosti poslovanja od osporavanja pravnog učinka valjanog kvalificiranog potpisa.
Odgovori banaka prikupljeni tijekom istraživanja pokazuju različitu razinu operativne primjene elektroničkog potpisa. OTP banka potvrdila je prihvaćanje kvalificiranih potpisa različitih izdavatelja, uz napomenu da validacija još nije jednako automatizirana u svim poslovnim procesima. Erste banka navela je da prihvaća i koristi kvalificirane potpise u postupcima u kojima su za to ispunjeni tehnički, pravni i proceduralni uvjeti. Addiko je opisao višegodišnju primjenu elektroničkog potpisivanja u određenim bankarskim uslugama, dok je Hrvatska poštanska banka potvrdila da priprema infrastrukturu za prihvaćanje kvalificirano elektronički potpisanih dokumenata. RBA-in odgovor dodatno potvrđuje da se kvalificirani potpisi europskih pružatelja mogu provjeravati i prihvaćati u bankarskom poslovanju.
Ipak, nekoliko pitanja o RBA-inoj praksi ostaje otvoreno. Banka nije dostavila popis postupaka u kojima je moguće predati prethodno elektronički potpisani PDF dokument, niti je precizirala razlikuje li se njihovo zaprimanje za građane, obrtnike i pravne osobe. Nisu navedeni ni dopušteni kanali predaje, eventualne iznimke kod pojedinih vrsta ugovora i bankarskih proizvoda te postupanje s dokumentima koje potpisuje više osoba. Iz odgovora se također ne može utvrditi prihvaća li banka, i u kojim slučajevima, elektroničke potpise koji nemaju kvalificirani status.
Unatoč tim otvorenim pitanjima, odgovor RBA-e donosi jasnu potvrdu prihvaćanja kvalificirano elektronički potpisanih PDF dokumenata i opis načina njihove provjere u skladu s europskim sustavom usluga povjerenja. Za hrvatske banke i njihove klijente sljedeće je važno pitanje koliko je takvo prihvaćanje dostupno u svakodnevnom poslovanju. Prava vrijednost elektroničkog potpisa dolazi do izražaja kada građanin ili poduzetnik može dovršiti konkretan bankarski postupak bez ispisa dokumentacije, vlastoručnog potpisivanja i ponovnog skeniranja već valjano potpisanih elektroničkih dokumenata.
