Digitaalne allkirjastamine: Smart-ID, Mobiil-ID ja e-allkiri

Mis on Eestis digiallkiri

Id.ee määratleb mõiste „digitaalne allkiri“ nii, et see tähistab ainult sellist signeerimisviisi, mis on seaduslikult kehtiv ja juriidiliselt võrdne omakäelise allkirjaga. Seega ei ole iga elektrooniline allkiri digiallkiri selles mõttes, mida ettevõte vajab lepingu või dokumendi puhul. Sama PDF võib olla allkirjastatud mitmel moel: lihtsa pildi või Wordi märgiga, ID-kaardiga, Mobiil-ID-ga või Smart-ID-ga, ja need annavad erineva tulemuse.

Euroopa Liidus reguleerib elektroonilist identifitseerimist ja usaldusteenuseid määrus (EL) nr 910/2014, mida tuntakse eIDAS-ena. Eesti õiguses on digiallkirja määratlus e-identimise ja e-tehingute usaldusteenuste seaduse § 24 lõikes 1: digitaalallkiri loetakse e-allkirjaks, mis vastab eIDAS-i artikli 3 punktis 12 sätestatud kvalifitseeritud e-allkirja nõuetele. Praktikas tähendab see, et küsimus ei ole, kas allkirjastada elektrooniliselt, vaid millise vahendiga ja kas dokumendi vastuvõtja seda vahendit tunnustab.

Kolm vahendit kõrvuti

Tabel võtab kokku, mis vahend on ja mida ta eeldab. Oluline on eeldus: millist seadet, kaarti või rakendust allkirjastaja peab kasutama.

Tabelist näeb kaks asja. Esiteks on kõigil kolmel vahendil sama loogika: allkiri on seotud isikutunnistusega, mitte ainult dokumendiga. Teiseks ei ole vahendid asendatavad ilma, et see oleks dokumendi kohta kokku lepitud. Kui vastuvõtja nõuab konkreetset vahendit, ei aita sinu enda valik.

Smart-ID: tasuta tavakasutus ja mahupiir

Id.ee Smart-ID lehe järgi on see viis e-teenustesse turvaliselt siseneda ja allkirjastada. Sisselogimiseks vajad PIN1, allkirjastamiseks PIN2. Smart-ID kasutamine ei ole seotud SIM-kaartide ega mobiilioperaatoriga, seega vajad ainult internetiühendust ja nutiseadet.

Dokumentide allkirjastamine Smart-ID-ga on id.ee lehe järgi tasuta tavakasutuse ulatuses DigiDoc4 ja RIA DigiDoc mobiilirakenduses. Id.ee järgi on tasuta teatud hulk digiallkirju igas kalendrikuus; numbrilist piiri lehel ei ole, seega küsi seda oma kasutusjuhule. Mahupiirang rakendub isikukoodi põhiselt ja kehtib ainult dokumentidele antavatele allkirjadele neis rakendustes. Internetipankade ja eesti.ee allkirjadele piirang ei laiene.

Id.ee lehel on ka kaks piirangut, mida sageli unustatakse. Smart-ID-l puudub vanusepiirang, aga alla 18-aastase konto peab autoriseerima lapsevanem. Lisaks on allkirjastamise aknas vaikimisi näidisisikukood, mis ei ole kasutaja andmed. See kaob, kui sisestad oma isikukoodi.

Mobiil-ID: SIM-kaart ja sertifikaat

Mobiil-ID on id.ee järgi SIM-kaardi põhine isikutunnistus, mis on riikliku garantiiga. Sertifikaate väljastab Politsei- ja Piirivalveamet. Mobiil-ID abil saab siseneda e-teenustesse, kinnitada pangaülekandeid, allkirjastada dokumente ja siseneda riiklikesse registritesse. Liitumisel on vanusepiir vähemalt 15 aastat. Täpsemad tingimused tuleb küsida mobiilsideoperaatorilt.

Mobiil-ID tähendab ettevõttes seda, et allkirjastaja ei pea kaasas kandma ID-kaarti ega kaardilugejat. Allkirjastamine arvutis käib DigiDoc4 kaudu: valid Mobiil-ID, sisestad oma andmed ja kinnitad allkirjastamise telefonis. Kui allkirjastaja on telefoniga liikvel, on see mugavam kui kaardilugeja, aga telefonis tuleb kinnitus alati teha ise.

ID-kaart: uue kaardi PIN2

ID-kaardi puhul on üks detail, mis tekitab kõige rohkem probleeme. Id.ee juhendi järgi tuleb alates 17.11.2025 väljastatud ID-kaardi puhul enne esmast digiallkirjastamist muuta väljastatud PIN2-kood DigiDoc4 rakenduses. Enne PIN2 muutmist ei ole kaardiga digiallkirjastamine võimalik. See on eraldi samm, mida sageli ei tehta, sest kaarti on tavaliselt kasutatud ainult sisselogimiseks.

Kui kaardi sertifikaadid ei ole kehtivad, ei saa ID-kaardiga sisse logida ega digiallkirjastada. Id.ee rõhutab, et kehtivuse saab kontrollida DigiDoc4 avamisel. Kui allkirjastaja on ilma kaardita, on Smart-ID või Mobiil-ID varuvariant, aga see peab olema kirjas sinu sisemises protsessis, mitte ainult kellegi meeles.

Wordi ja PDF-i signeerimine: miks see ei ole sama

Siin läheb ettevõtetel kõige sagedamini valesti. Microsoft Word, OpenOffice, Adobe Acrobat ja Thunderbird pakuvad kõik digitaalse signeerimise võimalust. Id.ee vastuses sellele küsimusele on öeldud, et sellised allkirjad ei pruugi olla Eesti mõistes käsitsi kirjutatud allkirjaga võrdsed, kui allkirjastamisel ei ole kasutatud ajatempliteenust. Ajatempel fikseerib, millal allkiri anti, ja see on oluline, kui allkirja kehtivust tuleb hiljem tõendada.

Praktiline järeldus on lihtne. Kui dokument on lepingu, pakkumise või maksekohustuse alus, ära eelda, et Wordi või Acrobati signeering on piisav. Küsi vastuvõtjalt, millist allkirja ta aktsepteerib. Kui vastus ei ole selge, vali riiklik vahend, mis on kõigile tuttav. Lihtsa kinnituse kohta, mis ei ole leping, võib sobida ka e-kiri, aga seda ei tohi segada digiallkirjaga.

Vastuvõtja kontroll on sama oluline kui allkirjastamine. Enne kui allkirjastatud dokumendi saadad, ava see teises arvutis ja vaata, kas allkiri kuvatakse. Kui vastuvõtja tarkvara ei näita allkirja või kuvab sertifikaadi tundmatuna, ei ole allkiri talle kasutatav, olenemata sellest, kui kehtiv see on sinu jaoks. Sama kehtib, kui dokument läbib mitu süsteemi, näiteks dokumendihalduse või e-kirja, mis võib faili muuta. Kontrolli seda pärast iga ülekannet, mitte ainult esimesel korral.

Millist vahendit millisele dokumendile

Valiku aluseks on dokumendi tüüp ja see, kes allkirja vastu võtab. Allpool on kolm tavalist juhtu, mida ettevõtted küsivad, ja kuidas neid lähenemist mõtestada. Iga konkreetne dokument tuleb siiski üle vaadata juristiga, sest see sõltub lepingu sisust ja vastuvõtja nõuetest.

Leping, mis tekitab kohustuse, on tavaliselt see, kus allkiri peab olema riiklikult kehtiv. Kui vastaspool ei kasuta Eesti ID-kaarti, Mobiil-ID-d ega Smart-ID-d, lepi enne kokku, millise vahendiga ta allkirjastab. Sinu valik ei kehti talle automaatselt.

Dokument, mis on teave, mitte kohustus, näiteks hinnakiri või tutvustus, ei vaja alati riiklikku allkirja. Siin on küsimus pigem selles, kas dokumendi alusel keegi midagi teeb või maksab. Kui jah, siis kasuta riiklikku vahendit. Kui ei, piisab sageli kirjalikust kinnitusest e-kirjas, kus on selge saatja ja kuupäev.

E-kiri ei ole digiallkiri, aga võib olla tõend, kui sisu ja saatja on selged ja kiri on arhiveeritud. See sobib kiireks kinnituseks, näiteks tellimuse üle, mille kohta lepingut ei ole. Kui kiri peaks hiljem tõendama kohustust, on sellest vähe. Seepärast ära vormista lepingut e-kirja tekstina.

Kulu: tasuta tavakasutus ja tarkvarasse ehitatud allkiri

Smart-ID tavakasutuse allkiri on id.ee järgi tasuta. Mobiil-ID ja ID-kaardi allkirjade hinda ei ole selles artiklis kinnitatud, seega neid siin ei hinnata. Kulu tekib siis, kui allkirjastamine on osa tarkvarast, mis saadab kutseid ja hoiab dokumente. Näiteks Directo hinnakirjas on allkirjastamine hinnastatud kutsete arvu järgi.

Kuluarvutus nõuab ühte eeldust, mida Directo leht ei anna: lehel ei ole öeldud, mida üks kutse loeb. Eeldame, et iga allkirjastaja saab eraldi kutse, ja see tuleb müügist üle küsida. Selle eeldusega: kui firma sõlmib kuus 20 lepingut ja igal lepingul on kaks allkirjastajat, kellest üks on klient, kes Directot ei kasuta, läheb kutseid kuus 20 × 2 = 40. Kuna 30-kutseline pakett ei piisa, vajad 100-kutselist paketti, mis maksab 49 € kuus ehk 588 € aastas. Kui lepinguid on kuus 10, siis 10 × 2 = 20 kutset mahub 30-kutselisse paketti, mis maksab 15 € kuus ehk 180 € aastas. Kulu on seotud dokumentide mahuga, mitte tarkvara enda hinnaga.

Liidestamine: kui allkiri peab olema sinu tarkvaras

Kui ettevõttel on oma portaal või tellimusvoog, mis peab dokumendid allkirjastamiseks saatma, ei piisa lõppkasutaja vahendist. Id.ee-l on selleks arendajale mõeldud rubriik ja DigiDoc teekide leht. Need on hea algus, kui sa ei soovi kasutada valmis tarkvara kutseid. Arendaja tee on tavaliselt pikem, sest tuleb hallata sertifikaate, ajatemplit ja dokumendi formaati. See on eraldi projekt, mitte üks sammuke.

Kui liidestus on osa suuremast süsteemist, näiteks e-arve või raamatupidamise protsess, vaata enne, mis on sinu praegune tööriist. E-arve saatmise kohta vaata artiklit e-arveldaja liidestamine, ja laiema pildi kohta API integratsioonide artikkel. Kui vajad ise arendust, vaata tarkvaraarenduse lehte.

Kontrolltest: viis sammu enne kasutuselevõttu

Enne kui valid vahendi tiimile, tee see test. See võtab ühe tunni ja näitab, kas allkiri on kehtiv ja kas vastuvõtja saab seda kontrollida.

1. Allkirjasta test-PDF kõigi kolme vahendiga

   Allkirjasta sama dokument ID-kaardiga, Mobiil-ID-ga ja Smart-ID-ga DigiDoc4 kaudu. Vaata, kas kõik kolm allkirja kuvatakse kehtivatena.

2. Kontrolli, kas allkiri püsib dokumendis

   Ava dokument teises arvutis või teise kasutajana. Kui allkiri ei kuvata või sertifikaat on tundmatu, ei ole see sinu dokumendiprotsessis piisav.

3. Proovi Wordi või PDF-i signeerimist

   Allkirjasta sama dokument Wordi või Acrobatiga ja küsi partnerilt, kas ta seda aktsepteerib. Kui vastus sõltub ajatemplist, on see signaal, et seda vahendit ei saa tavalises lepingus kasutada.

4. Mõõda kutsete maht

   Loe, kui palju dokumente kuus saadetakse välistele osapooltele, ja arvuta, millises paketis see mahub. Kui maht on lähedal paketi piirile, küsi enne ostu müügilt, mis maksab ületamine ja mida üks kutse loeb.

5. Kirjuta protsess paberile

   Kes allkirjastab, millise vahendiga, mis juhul kui kaart ei tööta ja kes kontrollib kehtivust. Kui protsess on kirjas, ei pea allkirjastaja vahetumisel otsast alustama.

Levinud vead

• Lepingule on lisatud pildifail allkirjast ja arvatud, et see on digiallkiri. Id.ee määratluse järgi on digiallkiri ainult seaduslikult kehtiv signeerimisviis, pilt ei ole selle hulgas. See on tuletatud id.ee mõiste „digitaalne allkiri“ definitsioonist, mitte id.ee otsene väide.
• Uus ID-kaart on kasutusele võetud, aga PIN2 ei ole muudetud. Kuni seda ei tehta, ei saa kaarti dokumendi allkirjastamiseks kasutada.
• Smart-ID mahupiiri on eeldatud lõpmatuks, ilma et oleks küsitud, mis on kasutusjuhu maht.
• Alla 18-aastase allkirjastaja konto ei ole lapsevanema poolt autoriseeritud, aga allkiri on tehtud.
• Vahend on valitud ainult selle järgi, mis on tasuta, ja vastuvõtja seda ei tunnusta.

Kuidas valida

Kui dokumentide maht on väike ja allkirjastajatel on Smart-ID või ID-kaart, on riiklik tee tasuta ja piisav. Kui allkirjad peavad sündima tarkvaras ja saadetakse välistele osapooltele, on kulu kutsete arvu järgi, ja see tuleb arvesse võtta enne tarkvara valikut. Kui sul on arendaja, tee kindlaks, kas liidestus on päriselt vajalik. Enamasti piisab, et ühes kohas oleks kirjas, kuidas allkiri tehakse, kes seda kontrollib ja mis juhtub, kui kaart ei tööta.

Kui valid vahendi ja vajad selle ümber töövoogu, vaata tarkvaraarenduse lehte, kus kirjeldatakse, kuidas portaalid ja integratsioonid ettevõttele kokku pannakse.