Квалифициран електронен подпис на юридическо лице не съществува

Юридическите лица у нас (или по-точно законните им представители) си имат квалифицирани електронни подписи, с които ползват електронни услуги от държавата (и по-рядко – подписват договори, макар че това би било чудесно). Само че такова нещо като квалифициран електронен подпис на юридическо лице няма в правната рамка на електронните подписи. Да цитирам Регламент (ЕС) 910/2014, който урежда материята:

14) „удостоверение за електронен подпис“ означава електронен атестат, който свързва данните за валидиране на електронен подпис с физическо лице и потвърждава най-малко името или псевдонима на това лице

Та, електронните подписи на юридически лица доставчиците ги водят делегирани електронни подписи (или нещо подобно), за да бъдат все пак коректни спрямо законодателството. Но какво всъщност правят – вписват ЕИК (и името) на фирмата в удостоверението за квалифициран електронен подпис. Толкова. Това, обаче е голям проблем. И голяма глупост. Тя е глупост както на администрацията, която изисква ЕИК в удостоверението за електронен подпис, така и на доставчиците, че го издават. Нека да обясня защо.

Вписването на ЕИК в КЕП (наложило се съкращение, значещо „квалифициран електронен подпис“, но реално визиращо удостоверението за квалифициран електронен подпис или по терминологията на eIDAS – квалифицираното удостоверение за електронен подпис) означава едно нещо – този човек, който е приносител на удостоверението, има представителна власт по отношение на дружеството, вписвано в удостоверението. Тази представителна власт (дали в качеството му на управител или упълномощено от управител лице) се проверява в момента на издаването на удостоверението за електронен подпис и се вписва там. Оттам нататък администрациите, предоставящи електронни услуги (напр. НАП), разчитат на вписаното ЕИК в удостоверението. Проблемът идва, когато управител бъде сменен или пълномощно бъде оттеглено преди изтичане на срока на КЕП-а (който може да се издава за три години).

В този момент човек без представителна власт продължава да може да представлява дружеството пред администрацията (а и някои банки) и това ще бъде прието, защото удостоверението е валидно. Какви щети могат да бъдат нанесени така – не съм навлизал в такива хипотези, но най-малкото може да бъде причинено неудобство на новия управител.

А не трябва ли, при смяна на управителя, съдружниците да уведомят всички доставчици на електронни подписи за промяната, за да могат те да прекратят действието на удостоверението? По принцип може, само че надали много хора ще се сетят. Освен това, при единния цифров пазар, това значи уведомяване не само на няколко български доставчици, а на всички доставчици в ЕС. Защото управителят може през това време да си е извадил КЕП в Белгия (ако е успял да убеди белгийския доставчик да впише допълнително поле за ЕИК, така че да работи с е-услугите). Така че трябва да се уведомят всички доставчици в ЕС. Поне ги има на списък от европейската комисия, но задачата става безумна.

Друг вариант би бил доставчиците на електронни подписи да получават всеки ден от търговския регистър променените обстоятелства и ако са издали удостоверение на някой, който вече не е управител (т.е. не са налице обстоятелствата, на база на които е издадено удостоверението), да го прекратят автоматично. Това е възможно, но безмислено, тъй като доставчикът е грешното място да се случва това.

Правилният подход е да няма ЕИК в удостоверението, да няма изобщо различна услуга за юридически лица. С моя личен КЕП трябва да мога да се идентифицирам и заявявам услуги на всички дружества, които представлявам (въпросът дали КЕП трябва да може да се ползва за идентификация е отделен, разгледал съм го тук). В момента на идентификация, без значение дали с КЕП или с друго средство, доставчикът на услугата трябва в реално време да проверява в Търговския регистър или регистъра Булстат дали представлявам съответното дружество. В повечето случаи отговорът се получава еднозначно и нещата могат да продължат автоматизирано. В редки случаи на по-сложна представителна власт (напр. само заедно за определени неща), тъй като Търговският регистър не поддържа номенклатури за такъв тип представителство, се налага ръчна проверка от страна на предоставящия услугата, но това са много малка част от случаите. Когато става въпрос пък за упълномощени лица, автоматичната проверка трябва да работи в за съжаление все още несъществуващия регистър на овластяванията по Закона за електронната идентификация.

Вместо това доставчиците на услуги или изобщо не признават личния КЕП като вариант да се идентифицираш и заявиш услуга като представител на юридическо лице, или изискват да отидеш на място (НАП, вас гледам), за да потвърдиш с декларация, че ти наистина си управител на това дружество (да, НАП искат да се подпишеш, че данните от Търговския регистър са верни, не си го измислям. Сигнализирах на Агенция по вписванията, но мисля, че нищо не направиха по въпроса, даже не ми отговориха). И в крайна сметка администрацията разчита на доставчиците на електронни подписи да са направили необходимите проверки, а не на актуалните данни в Търговския регистър, които са единствените, на които може да се има доверие в реално време. А първичните администратори на данни имат задължение да предоставят данни за представителна власт в реално време (чл. 24б от Закона за електронното управление). И Агенция по вписванията дори го спазва отчасти.

Не знам кой и защо е измислил и приел този начин на работа и дали просто не е е наложил като много по-прост, защото е по-лесно да прочетеш едно поле от удостоверение за електронен подпис, отколкото да правиш връзка с Търговския регистър. Но това е неправилно, незаконно (чл. 27 от ЗЕУ) и създава излишни рискове.

Но както често се случва и тук практиката се разминава от нормативната уредба и от правилния подход. И почти никой не може да каже на администрациите да сменят тази своя практика. Защото те винаги така са го правили. Доставчиците на електронни подписи пък изобщо не се оплакват, че могат да продават на тройна цена същата услуга (с усложнението да направят проверка в Търговския регистър при издаване). И така всичко си тече. Не че това е фатален проблем, но е един от многото проблеми, едно от многото малки неща, които са не баш както трябва. И като се съберат всички тези малки неща, се оказва, че имаме нездрави основи, на които трудно можем да построим смислено електронно управление.