Onko sähköinen allekirjoitus laillisesti pätevä Suomessa?

Kysymys sähköisen allekirjoituksen pätevyydestä nousee esiin lähes joka kerta, kun organisaatio harkitsee siirtymistä paperista sähköiseen prosessiin. Usein taustalla on huoli siitä, hyväksyykö pankki, viranomainen tai sopimuskumppani sähköisesti allekirjoitetun asiakirjan yhtä hyvin kuin käsin allekirjoitetun. Vastaus löytyy kahdesta laista, joita sovelletaan Suomessa suoraan.

eIDAS-asetus on suoraan sovellettavaa EU-oikeutta

Euroopan parlamentin ja neuvoston asetus (EU) N:o 910/2014 sähköisestä tunnistamisesta ja sähköisiin transaktioihin liittyvistä luottamuspalveluista sisämarkkinoilla – tuttavallisemmin eIDAS-asetus – on suoraan sovellettavaa EU-oikeutta kaikissa jäsenvaltioissa, myös Suomessa. Asetuksen keskeinen periaate on yksinkertainen: sähköiseltä allekirjoitukselta ei saa evätä oikeudellista pätevyyttä tai todistusvoimaa oikeudenkäynnissä ainoastaan sillä perusteella, että se on sähköisessä muodossa tai ettei se täytä asetuksen tiukimman tason vaatimuksia.

Tämä tarkoittaa käytännössä, että tuomioistuin ei voi hylätä sähköistä allekirjoitusta pelkkänä muotoseikkana. Sen sijaan arvioidaan, mitä allekirjoitus tosiasiassa todistaa: kuka allekirjoitti, miten hänen henkilöllisyytensä varmistettiin ja onko asiakirjaa muutettu allekirjoituksen jälkeen.

Laki vahvasta sähköisestä tunnistamisesta täydentää eIDAS-asetusta

Laki vahvasta sähköisestä tunnistamisesta ja sähköisestä allekirjoittamisesta (617/2009) säätää, miten vahva sähköinen tunnistaminen järjestetään Suomessa: mitä tunnistusvälineitä pidetään vahvoina (pankkitunnukset, mobiilivarmenne), miten tunnistuspalvelun tarjoajien tulee toimia ja millaisia velvoitteita niillä on. Tämä laki on perusta sille, että suomalainen pankkitunnistautuminen kelpaa eIDAS-asetuksen tarkoittaman kehittyneen sähköisen allekirjoituksen pohjaksi.

Yhdessä nämä kaksi säädöstä muodostavat oikeudellisen perustan, jonka päälle eSinetin kaltainen palvelu rakentaa: allekirjoittaja tunnistetaan lain edellyttämällä tavalla vahvasti, ja tunnistustapahtumasta syntyvä näyttö sidotaan allekirjoitettavaan asiakirjaan.

Mitä "sitova ja pätevä" tarkoittaa käytännössä

Laillinen pätevyys ei tarkoita, että kaikki asiakirjat kelpaisivat sähköisesti allekirjoitettuina kaikissa tilanteissa. Suomen laissa on edelleen joitain harvoja asiakirjatyyppejä, joilta vaaditaan erityinen muoto – esimerkiksi tietyt kiinteistöihin liittyvät asiakirjat edellyttävät kaupanvahvistajan käyttöä. Valtaosalle yritysten ja yhteisöjen arkisista asiakirjoista – pöytäkirjoista, tilinpäätöksistä, sopimuksista ja valtuutuksista – ei kuitenkaan ole tällaista erityistä muotovaatimusta, joten sähköinen allekirjoitus on täysin kelvollinen vaihtoehto.

"Sitova" tarkoittaa, että allekirjoittaja on oikeudellisesti vastuussa allekirjoittamansa asiakirjan sisällöstä samalla tavalla kuin käsin allekirjoitetun asiakirjan kohdalla. "Pätevä" tarkoittaa, että asiakirja täyttää lain muotovaatimukset eikä sitä voida jälkikäteen kiistää pelkän allekirjoitustavan perusteella. Tämä ero on tärkeä ymmärtää: laki ei anna sähköiselle allekirjoitukselle mitään erityisasemaa, vaan asettaa sen samalle viivalle perinteisen allekirjoituksen kanssa.

Miksi Suomen luottamusverkosto on olennainen osa kokonaisuutta

eIDAS-asetus asettaa yleiset raamit, mutta se ei itsessään määrää, miten yksittäinen jäsenvaltio järjestää tunnistuspalvelunsa. Suomessa tätä varten on rakennettu Suomen luottamusverkosto (Finnish Trust Network), jossa rekisteröidyt tunnistusvälittäjät tarjoavat pankkien ja mobiilivarmenteiden tunnistuspalveluita yhtenäisellä tavalla. Kun palvelu, kuten eSinetti, käyttää tällaista rekisteröityä tunnistuksen välityspalvelua, se hyödyntää valmiiksi luotettavaksi todettua infrastruktuuria sen sijaan, että rakentaisi oman tunnistusjärjestelmän alusta asti. Tämä on olennainen ero verrattuna esimerkiksi pelkkään sähköpostivahvistukseen, jossa tällaista kolmannen osapuolen vahvistamaa tunnistusketjua ei ole lainkaan.

Yritysten ja yhteisöjen erityispiirteet

Yritysten ja yhteisöjen asiakirjoissa – kuten tilinpäätöksissä ja pöytäkirjoissa – kysymys ei ole vain siitä, onko allekirjoitus pätevä, vaan myös siitä, onko allekirjoittajalla ollut oikeus allekirjoittaa juuri kyseisen asiakirjan. Tämä kysymys ratkaistaan pääosin yhteisön omilla säännöillä ja rekisteritiedoilla – esimerkiksi kaupparekisterin nimenkirjoitusoikeustiedoilla – eikä itse allekirjoitustekniikalla. Sähköinen allekirjoitus vastaa vain siihen, kuka asiakirjan tosiasiassa allekirjoitti; sen, kenellä oli oikeus allekirjoittaa, ratkaisee edelleen yhtiöoikeus ja yhteisön omat säännöt.

Mitä tunnistautuminen todistaa

Kun allekirjoittaja tunnistautuu pankkitunnuksilla tai mobiilivarmenteella, tunnistuksen välittäjä vahvistaa henkilöllisyyden ja allekirjoittaa tunnistustapahtuman omalla varmenteellaan. Tämä tunnistustapahtuma tallennetaan osaksi allekirjoituksen todistetta: se sisältää tiedon siitä, kuka tunnistautui, milloin ja millä välineellä. eSinetissä tämä todiste tallennetaan riitatilanteen varalle, ja alkuperäinen tunnistuspalvelun allekirjoittama todiste säilytetään salattuna.

Entä jos allekirjoitusta epäillään väärennetyksi?

Sinetöity ja aikaleimattu asiakirja tekee jälkikäteisistä muutoksista havaittavia: jos tiedostoa yritetään muuttaa allekirjoituksen jälkeen, sinetti paljastaa sen. Yhdessä tunnistustapahtuman todisteen kanssa tämä muodostaa vahvan näytön siitä, että asiakirja on juuri sellainen kuin allekirjoitushetkellä ja että sen allekirjoitti nimenomaan tunnistautunut henkilö. Tarkemmin aitouden todistamisesta riitatilanteessa kerromme erillisessä artikkelissa.

Mitä eIDAS ei ratkaise

On hyvä tunnistaa myös se, mitä eIDAS-asetus ei tee: se ei pakota ketään käyttämään sähköistä allekirjoitusta eikä se poista tarvetta noudattaa muuta lainsäädäntöä, kuten kirjanpitolakia tai osakeyhtiölakia, jotka asettavat omat vaatimuksensa tietyille asiakirjoille. eIDAS-asetus vain varmistaa, ettei sähköistä allekirjoitusta voida sivuuttaa pelkän muotonsa vuoksi silloin, kun muu lainsäädäntö ei erikseen edellytä toisenlaista menettelyä. Tämän vuoksi kannattaa aina tarkistaa, onko juuri kyseiselle asiakirjatyypille olemassa erillinen muotovaatimus, ennen kuin siirtää prosessin kokonaan sähköiseksi.

Mitä tämä tarkoittaa tilitoimistolle tai muulle organisaatiolle

Käytännön kannalta tärkein viesti on, ettei sähköistä allekirjoitusta tarvitse pelätä juridisena riskinä, kunhan valitsee oikean tunnistautumistason asiakirjan merkityksen mukaan. Epävarmoissa tilanteissa kannattaa valita vahva tunnistautuminen kevyen sijaan, koska lisäkustannus on pieni verrattuna siihen riskiin, että allekirjoituksen todistusvoima jäisi myöhemmin puutteelliseksi. Tilitoimistoille tämä tarkoittaa, että tilinpäätökset, pöytäkirjat ja muut viralliset asiakirjat voidaan siirtää sähköiseen allekirjoitukseen ilman, että niiden oikeudellinen pätevyys heikkenee paperiseen verrattuna.

Usein kysytyt kysymykset