Zagrebačka banka planira zadržati vlastiti sustav kvalificiranog elektroničkog potpisivanja i nakon uvođenja Europske lisnice za digitalni identitet. U odgovoru na pitanja ICTbusinessa banka objašnjava da pravna jednakovrijednost kvalificiranog elektroničkog i vlastoručnog potpisa ne znači i obvezu banaka da potpise svih pružatelja omoguće u svakom postupku online ugovaranja. Njezino je rješenje već integrirano u digitalne usluge banke. No odgovor nije razjasnio može li klijent dostaviti dokument koji je prethodno kvalificirano potpisao izvan bankina sustava. To je bitna razlika: jedno je odabrati tehnologiju kojom se ugovor potpisuje unutar bankarske aplikacije, a drugo zaprimiti i obraditi dokument koji nosi pravno valjan potpis drugog pružatelja.
„Iako je kvalificirani elektronički potpis (QES) sukladno Uredbi eIDAS pravno izjednačen s vlastoručnim potpisom, ne postoji opća obveza prema kojoj bi banke morale omogućiti korištenje kvalificiranih elektroničkih potpisa drugih pružatelja u svim svojim poslovnim i digitalnim procesima”, navode iz Zagrebačke banke. Zbog toga banka u postupcima online ugovaranja proizvoda koristi vlastito rješenje za kvalificirani elektronički potpis, integrirano u postojeće digitalne kanale.
Zagrebačka banka pritom nije samo korisnik tehnologije elektroničkog potpisivanja. Kroz vlastitu infrastrukturu Zaba QPKI djeluje i kao kvalificirani pružatelj usluga povjerenja. Sustav obuhvaća izdavanje kvalificiranih certifikata za elektronički potpis, udaljeno potpisivanje i kvalificirane vremenske žigove. Banka ga koristi za ugovaranje određenih proizvoda i usluga s građanima i poslovnim korisnicima, kao i za potpisivanje poslovne dokumentacije ovlaštenih zaposlenika. Tako može voditi postupak potpisivanja unutar svojih digitalnih kanala, bez oslanjanja isključivo na vanjske pružatelje.
Takav model može pojednostavniti ugovaranje jer banka kontrolira postupak izdavanja certifikata i potpisivanja u vlastitom sustavu. Istodobno ostaje otvoreno pitanje prihvaćanja potpisa koje klijenti već koriste u drugim poslovnim odnosima. Primjerice, poduzetnik koji raspolaže kvalificiranim certifikatom Fine ili Certilije njime može potpisivati poslovnu dokumentaciju, ali iz bankina odgovora nije jasno može li tim certifikatom potpisati ugovor unutar njezina digitalnog postupka, odnosno može li banci predati već potpisan dokument. Ta su dva pitanja povezana, ali nisu ista.
Raiffeisenbank Austria u svojem je ranijem odgovoru ICTbusinessu izričito potvrdila prihvaćanje PDF dokumenata kvalificirano elektronički potpisanih certifikatima različitih kvalificiranih pružatelja iz Europske unije. Navela je i alate za provjeru potpisa, uključujući Adobe Acrobat Reader i FINA Validator. To ne znači da RBA dopušta uporabu vanjskih potpisa u svakom postupku ugovaranja. Jednako tako, iz odgovora Zagrebačke banke ne proizlazi da ona unaprijed odbija takve dokumente. Razlika je u informacijama koje su banke dostavile: RBA je potvrdila prihvaćanje određene vrste već potpisane dokumentacije, a Zagrebačka banka opisala je prvenstveno vlastiti način digitalnog ugovaranja.
Uredba eIDAS, odnosno Uredba (EU) br. 910/2014, u članku 25. određuje da kvalificirani elektronički potpis ima jednak pravni učinak kao vlastoručni. Nakon izmjena europskog okvira iz 2024. prekogranično priznavanje kvalificiranih potpisa uređeno je člankom 24.a: kvalificirani potpis temeljen na kvalificiranom certifikatu iz jedne države članice priznaje se kao kvalificirani potpis u ostalim državama članicama. To pravno priznavanje ipak nije isto što i tehnička obveza da svaki bankarski sustav omogući svaki vanjski certifikat u svakom postupku ugovaranja. Banke pritom moraju poštovati i pravila o identifikaciji klijenata, provjeri njihovih ovlasti i sigurnosti transakcija. Zato je za klijente posebno važno znati kako banka postupa s dokumentom koji je već valjano potpisan.
Na razliku između pravnog učinka potpisa i načina njegove uporabe upozorila su i tijela kojima se ICTbusiness ranije obratio. Ministarstvo pravosuđa, uprave i digitalne transformacije potvrdilo je da jednakovrijednost kvalificiranog elektroničkog i vlastoručnog potpisa proizlazi iz europskog prava. Hrvatska narodna banka navela je da ne propisuje jedinstvenu tehnologiju provjere tih potpisa, ali da banke moraju poštovati sve primjenjive propise bez obzira na to koje tijelo nadzire njihovu provedbu.
Drugi dio odgovora Zagrebačke banke odnosi se na Europsku lisnicu za digitalni identitet (EUDI Wallet), koja se uvodi u okviru izmijenjene uredbe eIDAS, poznate kao eIDAS 2.0. Banka se priprema za primjenu novog europskog sustava, ali pritom ne najavljuje zamjenu vlastite infrastrukture za kvalificirano potpisivanje.
„U planu je omogućiti iniciranje procesa digitalnog potpisivanja putem korisnikova EUDI Walleta, nakon čega bi se potpisivanje provodilo korištenjem postojećeg rješenja banke za kvalificirani elektronički potpis”, navode iz Zagrebačke banke. Prema njezinu obrazloženju, takav pristup trebao bi proširiti mogućnosti digitalnog potpisivanja uz zadržavanje sigurnosti i jednostavnosti korištenja.
Prema tom planu, europska lisnica bila bi dio korisničkog postupka, dok bi se kvalificirani potpis izrađivao postojećim bankinim rješenjem. Banka nije objavila rok takve integracije niti precizirala hoće li se njome omogućiti i korištenje kvalificiranih potpisa drugih europskih pružatelja. Ni najavljena povezanost s lisnicom zato sama po sebi ne daje odgovor na pitanje prihvaćanja već potpisane dokumentacije.
Uredba (EU) 2024/1183 predviđa da države članice do kraja 2026. osiguraju europske lisnice za digitalni identitet. One će građanima omogućiti dokazivanje identiteta, razmjenu potvrđenih podataka i izradu kvalificiranih elektroničkih potpisa. Za određene privatne pružatelje usluga, uključujući banke kada su ispunjeni uvjeti vezani uz snažnu autentifikaciju, predviđeno je prihvaćanje lisnice na dobrovoljan zahtjev korisnika. Prema provedbenom rasporedu Europske komisije, ta se obveza očekuje do kraja 2027. godine. No obveza prihvaćanja lisnice za autentifikaciju ne može se izjednačiti s obvezom omogućavanja svih vanjskih potpisa u svakom postupku ugovaranja.
Zagrebačka banka, dakle, potvrdila je kojim se rješenjem služi pri online ugovaranju i kako ga namjerava povezati s europskom digitalnom lisnicom. Nije, međutim, odgovorila u kojim postupcima i putem kojih kanala prihvaća dokumente prethodno kvalificirano potpisane izvan bankina sustava. Upravo je ta informacija važna građanima i poduzetnicima koji već imaju kvalificirani elektronički potpis i žele ga koristiti u poslovanju s bankom.
