Is een digitale handtekening op een offerte juridisch geldig? Wat is het verschil tussen een eenvoudige, geavanceerde en gekwalificeerde handtekening, wat zegt artikel 25 en wat hoort er in een audit trail? De eIDAS-regels uitgelegd.
Ja, in vrijwel alle gevallen. De basis is de Europese eIDAS-verordening (EU 910/2014), die sinds 2016 in alle lidstaten rechtstreeks geldt en in Nederland is uitgewerkt in artikel 3:15a van het Burgerlijk Wetboek. De kern is dat een elektronische handtekening dezelfde rechtsgevolgen heeft als een handgeschreven handtekening, zolang de gebruikte methode voldoende betrouwbaar is voor het doel waarvoor ze wordt gebruikt. Voor een commerciële offerte tussen twee bedrijven is dat doel overzichtelijk: vastleggen dat de klant akkoord is met de omschreven scope en prijs. Er is dus geen reden om een getekende pdf per post te verwachten. Wat wel uitmaakt, is welk bewijs je in handen hebt als er later discussie ontstaat over wie wanneer met welke versie akkoord ging. Dit artikel legt de drie niveaus van eIDAS uit, wat een audit trail moet bevatten en wanneer je een zwaarder niveau nodig hebt. Het is algemene informatie en geen juridisch advies, raadpleeg bij twijfel een jurist.
eIDAS onderscheidt drie niveaus, elk met eigen eisen. De eenvoudige elektronische handtekening (SES) is elke vorm van elektronische gegevens die aan andere gegevens is gekoppeld en door de ondertekenaar wordt gebruikt om te ondertekenen. Een getypte naam onder een e-mail, een vinkje bij "ik ga akkoord" of een handtekening die je met de muis zet zijn alle drie een SES. De geavanceerde elektronische handtekening (AES) stelt vier extra eisen: hij is op unieke wijze aan de ondertekenaar verbonden, maakt identificatie van de ondertekenaar mogelijk, wordt aangemaakt met middelen die alleen de ondertekenaar in handen heeft, en is zo aan het document gekoppeld dat elke latere wijziging kan worden opgespoord. De gekwalificeerde elektronische handtekening (QES) is een AES die is gemaakt met een gekwalificeerd middel en berust op een gekwalificeerd certificaat van een vertrouwensdienstverlener die onder toezicht staat, in Nederland van de Rijksinspectie Digitale Infrastructuur. Alleen de QES wordt door de wet automatisch gelijkgesteld aan een handgeschreven handtekening. Voor SES en AES beoordeelt de rechter per geval of de methode betrouwbaar genoeg was.
Artikel 25 van eIDAS is het artikel dat je wilt kennen. Lid 1 bepaalt dat het rechtsgevolg en de toelaatbaarheid als bewijs van een elektronische handtekening niet mogen worden ontzegd louter omdat de handtekening elektronisch is of omdat ze niet aan de eisen van een gekwalificeerde handtekening voldoet. Dat betekent dat een rechter een SES niet van tafel mag vegen met het argument dat het "maar" een elektronische handtekening is. Lid 2 geeft de QES het rechtsgevolg van een handgeschreven handtekening. Lid 3 bepaalt dat een QES op basis van een certificaat uit een lidstaat in alle andere lidstaten wordt erkend. In de praktijk komt het erop neer dat je met een SES een geldige handtekening hebt, maar dat je bij een geschil zelf moet aantonen dat de handtekening van de klant afkomstig is en dat het document sindsdien niet is gewijzigd. Daar komt de audit trail om de hoek kijken.
Een audit trail is het logboek rond de handtekening en bepaalt hoe sterk je bewijs is. Een bruikbare audit trail bevat ten minste het volgende. 1. De identiteit van de ondertekenaar: naam en e-mailadres, en de manier waarop die persoon toegang kreeg tot het document, bijvoorbeeld een unieke link die alleen naar dat adres is gestuurd. 2. Het tijdstip van elke gebeurtenis: verzenden, openen, bekijken van secties en ondertekenen, met tijdzone. 3. Het IP-adres en het apparaat waarmee is getekend. 4. Een cryptografische hash van het document op het moment van ondertekenen, zodat je kunt aantonen dat de tekst niet is veranderd. 5. De versie van de offerte die is getekend, want een offerte wordt vaak aangepast na verzending. 6. Een verzegeling van het getekende document en een plek waar de klant of een derde de handtekening kan verifiëren. Proposal Expert levert een SES binnen eIDAS met precies zo'n audit trail: tijdstempel, IP-logging, een verzegeld document en een unieke verificatie-URL per handtekening. Op de pagina over elektronische handtekeningen staat welke velden het bewijsrapport bevat.
Een QES is nodig in een beperkt aantal situaties. Wanneer een wet expliciet een gekwalificeerde handtekening voorschrijft, zoals bij sommige aktes en bij bepaalde processtukken en overheidsprocedures. Wanneer een overeenkomst met een wederpartij of een branchevoorschrift dat niveau eist, wat je vooral ziet bij financiële instellingen en in aanbestedingen. Wanneer de belangen zo groot zijn dat je elke discussie over de identiteit van de ondertekenaar wilt uitsluiten, bijvoorbeeld bij een overname of een langlopend contract met een grote waarde. En wanneer je grensoverschrijdend werkt en zeker wilt weten dat de handtekening in elke lidstaat zonder discussie wordt erkend. Voor een offerte voor een website, een adviestraject of een verbouwing is dat niet aan de orde. Daar volstaat een SES met een goede audit trail, en dat is ook wat Proposal Expert bewust levert.
Een voorbeeld. Een marketingbureau stuurt op maandag een offerte van 14.500 euro naar een klant via een unieke link. Op dinsdag opent de klant de offerte, leest de aanpak en de prijs, en stuurt de link door naar de financieel directeur. Op woensdag tekent de directeur via dezelfde link met een getypte naam en een vinkje bij de voorwaarden. Het bewijsrapport laat dan zien: twee verschillende IP-adressen en apparaten, het tijdstip van elke stap, de hash van versie 2 van de offerte die op dat moment openstond, en de verzegeling na ondertekening. Als de klant drie maanden later stelt dat er een ander bedrag was afgesproken, kun je laten zien welke tekst er op het moment van tekenen stond en dat die sindsdien niet is aangepast. Dat is precies het bewijs dat artikel 25 van je vraagt bij een SES.
Het is een SES en dus in beginsel geldig, maar het bewijs is zwak. Iedereen kan die afbeelding kopiëren en het document kan na ondertekening worden aangepast zonder dat dat zichtbaar is. Je hebt geen tijdstempel, geen logboek en geen verzegeling. Bij een geschil is de vraag wie wat wanneer heeft getekend dan lastig te beantwoorden.
Binnen de EU wel, eIDAS geldt in alle lidstaten. Het Verenigd Koninkrijk heeft na de Brexit een eigen versie van eIDAS gehouden die op hoofdlijnen hetzelfde werkt. Voor klanten buiten Europa, bijvoorbeeld in de Verenigde Staten, gelden andere wetten zoals de ESIGN Act, die elektronische handtekeningen eveneens erkennen. Check bij grote bedragen buiten de EU wat er lokaal geldt.
Dan draait het om je audit trail. Je laat zien dat de link alleen naar het e-mailadres van de klant is gestuurd, vanaf welk IP-adres en apparaat is getekend en op welk moment, en dat het document sindsdien is verzegeld. Bewaar het bewijsrapport samen met de getekende offerte zolang de overeenkomst en de verjaringstermijn lopen.