De drie soorten elektronische handtekening

De Europese eIDAS-verordening (910/2014) onderscheidt er drie, en het verschil zit in de zekerheid over wie er heeft ondertekend:

• ✦Gewoon. Een getypte naam, een aangevinkt vakje, een krabbel op een scherm, een “akkoord” per e-mail. Er is geen controle op de identiteit van de ondertekenaar.
• ✦Geavanceerd. De handtekening is uniek aan de ondertekenaar verbonden, identificeert hem, komt tot stand met middelen die alleen hij beheert, en is zo aan het document gekoppeld dat een latere wijziging opvalt.
• ✦Gekwalificeerd. Geavanceerd, plus een gekwalificeerd certificaat en een gekwalificeerd middel van een erkende aanbieder. In de praktijk: identificatie met een paspoort of DigiD via een gecertificeerde dienst.

Het misverstand is dat alleen de laatste zou “gelden”. Artikel 25 van eIDAS bepaalt het tegendeel: aan een elektronische handtekening mag het rechtsgevolg en de toelaatbaarheid als bewijs niet worden ontzegd op de enkele grond dat zij elektronisch is, of dat zij niet gekwalificeerd is. Een gewone elektronische handtekening is dus bewijs. Alleen van een gekwalificeerde staat vooraf vast dat zij gelijk is aan een handgeschreven handtekening.

Wat de wet van een handtekening vraagt

Artikel 3:15a BW zet de maatstaf: een elektronische handtekening heeft dezelfde rechtsgevolgen als een handgeschreven handtekening als de gebruikte methode voldoende betrouwbaar is, gelet op het doel waarvoor zij is gebruikt en op alle overige omstandigheden.

Dat is een weging, geen drempel, en de gevolgen zijn praktisch. Voldoende betrouwbaar voor een opdracht van € 4.000 aan een bestaande klant is iets anders dan voldoende betrouwbaar voor een raamovereenkomst van vijf jaar met een partij die je niet kent. De methode mag dus meebewegen met wat er op het spel staat — en dat betekent ook dat een zware ondertekendienst voor elke offerte geen verstandige keuze is, maar een duur reflex.

Waar het bij een geschil op aankomt, is wat je kunt laten zien. Dat is de reden dat het spoor rond de handtekening zwaarder weegt dan de handtekening zelf.

Waar een geschil echt over gaat: welke versie

Meningsverschillen gaan zelden over de vraag of er getekend is. Ze gaan over wat er getekend is.

Een akkoord per e-mail zegt niets over welke optionele onderdelen aan stonden, welk bedrag daarbij hoorde, of welke voorwaarden meegingen. Is het document daarna nog een keer bijgewerkt — een regel toegevoegd, een prijs aangepast, een sjabloon vernieuwd — dan is er niets dat de twee versies uit elkaar houdt. Beide partijen hebben dan een oprechte, verschillende herinnering, en geen van beide kan die onderbouwen.

Dat is het probleem dat online ondertekenen oplost: niet de handtekening, maar het vastleggen van het moment. Niet achteraf reconstrueren welke versie het was, maar op het moment van aanvaarden vastleggen wat er op tafel lag.

Wat je van een akkoord moet kunnen laten zien

Onafhankelijk van welk pakket je gebruikt, is dit wat een bruikbaar spoor bevat:

• ✦De verklaring zelf. De letterlijke tekst waarmee is ingestemd, in de taal van het document. Niet alleen dát er akkoord is gegeven, maar waarmee.
• ✦Wie. Naam en handtekening zoals de ondertekenaar ze heeft opgegeven, plus wat er technisch over de sessie bekend is: IP-adres en browser.
• ✦Wanneer. Datum en tijd tot op de minuut, ook op het document zelf.
• ✦Welke variant. Welke optionele onderdelen aan stonden en, bij een keuze tussen varianten, welke het werd.
• ✦Het bedrag, bevroren. Zoals het op dat moment was berekend. Een latere prijswijziging mag de geschiedenis niet herschrijven.
• ✦Het document. De pdf zoals hij toen was, met de handtekening erin, bewaard en niet opnieuw gegenereerd.

Dat laatste onderscheid is belangrijker dan het lijkt. Een document dat bij het opvragen opnieuw wordt opgebouwd uit de huidige gegevens, is geen bewijsstuk maar een momentopname van vandaag.

Waarom een hashwaarde helpt — en wanneer niet

Van een bestand kun je een vingerafdruk berekenen: een code van 64 tekens (SHA-256) die uit de inhoud volgt. Verandert er één teken in het bestand, dan verandert de code volledig. Daarmee is aantoonbaar dat twee exemplaren van een document identiek zijn, of juist niet.

De valkuil zit in waar die code ligt. Zolang hij alleen in het systeem van de leverancier staat, is het een getal naast een document dat diezelfde leverancier beheert — wie het document zou kunnen aanpassen, zou de code kunnen bijwerken. Een vingerafdruk zegt pas iets als er een exemplaar buiten dat systeem ligt: in de mailbox van de ondertekenaar, bijvoorbeeld, of in de zijne én de jouwe.

Dan zijn er twee onafhankelijke ijkpunten van hetzelfde document, en dat is wat je naast elkaar legt als er discussie over de inhoud ontstaat. Vraag bij een ondertekenoplossing dus niet of er een hashwaarde wordt berekend, maar of die ook bij de ondertekenaar terechtkomt.

Wanneer een gewone handtekening niet genoeg is

Twee gevallen om te herkennen.

De wet schrijft een vorm voor. Bij de levering van onroerend goed is een notariële akte vereist; bij een aantal andere overeenkomsten eist de wet een geschrift of een bepaalde procedure. Gaat het daarover, dan is de vraag niet welke elektronische handtekening je gebruikt, maar of elektronisch ondertekenen überhaupt de juiste route is.

Het belang staat niet in verhouding. Bij een groot financieel belang, een langlopende verbintenis of een tegenpartij die je niet kent, weegt de betrouwbaarheidstoets van artikel 3:15a zwaarder. Dan hoort er een geavanceerde of gekwalificeerde ondertekendienst bij, met echte identificatie van de ondertekenaar. Geen offertepakket vervangt die — het onze niet, en dat van een ander evenmin.

Voor de dagelijkse zakelijke offerte geldt het omgekeerde: daar is een gewone elektronische handtekening met een compleet spoor gebruikelijk, werkbaar en proportioneel.

Hoe smedr dit vastlegt

Ondertekenen in smedr is een gewone elektronische handtekening. Er is geen identiteitscontrole: wie de link heeft, kan tekenen onder een naam. Dat staat hier expliciet, omdat het de grens is die bepaalt waarvoor je het wel en niet gebruikt.

Wat er wordt vastgelegd op het moment van aanvaarden, is de volledige lijst hierboven: de letterlijke akkoordverklaring in de taal van het document, naam en handtekening, datum en tijd tot op de minuut, de gekozen opties en varianten, het bevroren bedrag, IP-adres en browser, een eventuele opmerking van de ondertekenaar, en de ondertekende pdf zoals hij toen was. Dat staat bij elkaar op de offerte, en het document open je met één klik.

De vingerafdruk van dat document komt op de offerte en in de bevestigingsmail die beide partijen krijgen — dus ook buiten ons systeem, wat volgens de vorige paragraaf het punt van zo'n code is. Drie dingen die het spoor verder versterken:

• ✦Stuur de link naar wie mag tekenen. Een offertelink wordt doorgestuurd. Weet je wie tekenbevoegd is, adresseer hem dan meteen aan die persoon.
• ✦Laat de ondertekenaar zijn eigen adres invullen. Bij het accepteren staat daar een optioneel veld voor. Vult hij het in, dan krijgt híj het getekende document en de vingerafdruk ook.
• ✦Bewaar de bevestigingsmail. Dat is jouw exemplaar van het ijkpunt, buiten het systeem dat het document bewaart.

Hoe versturen en ondertekenen er in de praktijk uitzien, staat op Versturen & akkoord; wat er na een akkoord gebeurt in de gids Wanneer mag je factureren, en wanneer moet je klant betalen?

Dit is een algemene uitleg van de hoofdregels en geen juridisch advies. Of een gewone elektronische handtekening voldoende betrouwbaar is voor een bepaalde overeenkomst, en of de wet daar een vorm voorschrijft, beoordeelt je jurist.