המסמך תקף. השאלה היא אם תוכלו להוכיח מי חתם.
חתימה אלקטרונית תקפה ברוב סוגי המסמכים — ומה שקובע אינו הפורמט אלא מה שאפשר להוכיח. מסמך חתום ששמור לבדו הוא ראיה חלשה; מסמך ששמורים לצדו מי חתם, מתי, מאיזה מכשיר, ואיך זהותו אומתה — חזק בהרבה. האימות הוא לב העניין, ולכן שליחת קוד חד-פעמי לטלפון או למייל שינה את מה שאפשר לעשות בלי נוטריון.
הסבר כללי ולא ייעוץ משפטי.
מהפשוטה ביותר ועד המאושרת.
| פשוטה | מתקדמת | מאושרת | |
|---|---|---|---|
| מה נדרש | פעולה שמסמנת הסכמה | אימות זהות ורישום ראיות | דרישות מחמירות יותר |
| כמה קל להוכיח | קשה | טוב | הגבוה ביותר |
| שימוש טיפוסי | אישור קצר | הסכם מול לקוח | מסמכים בעלי דרישת צורה |
החלוקה הזו מבלבלת כי שלוש הרמות אינן שלושה מוצרים אלא שלוש דרגות של ראיה. אותה פעולה בדיוק — לחיצה על כפתור — יכולה ליפול לכל אחת מהן, תלוי במה נשמר סביבה.
הרמה הפשוטה היא כל דבר שמסמן הסכמה: סימון תיבה, לחיצה על "אני מאשר", או ציור חתימה על מסך. היא קלה להפעלה, וכשמישהו מכחיש אין הרבה מה להציג מולו.
הרמה המתקדמת מוסיפה את מה שחסר: אימות זהות לפני החתימה, ורישום של מה שקרה סביבה. זה ההבדל בין לדעת שמישהו לחץ לבין לדעת מי.
והרמה המאושרת שמורה למקרים שדורשים אותה, והיא כרוכה בדרישות נוספות. רוב מה שעסק קטן חותם מולו לקוחות אינו נמצא שם, וגם אינו צריך להיות.
מה שחשוב להבין הוא שהמעבר בין הרמות אינו קופצני. אותה מערכת יכולה לתת חתימה חלשה או חזקה, והבדל היחיד הוא מה היא ביקשה לפני ומה שמרה אחרי.
לא "האם יש חתימה" אלא "האם אפשר לקשור אותה לאדם".
זו הנקודה שמסדרת את כל השאר. איש אינו מתווכח על כך שיש חתימה על המסמך — היא שם, אפשר לראות אותה. השאלה היחידה היא מה קושר אותה לאדם מסוים.
ולכן מסמך חתום לבדו הוא ראיה חלשה. הוא מראה שמשהו קרה ואינו מראה מי עשה אותו, ומי שמכחיש אינו צריך לעבוד קשה כדי להטיל ספק.
מה שמחזק אותו נמצא סביבו ולא בתוכו. הזמן, אמצעי האימות, והפרטים הטכניים של הפעולה הם מה שהופך אותו מטענה למשהו שאפשר לבדוק.
וזה משנה איך כדאי לחשוב על הכלי. השאלה אינה אם הוא מייצר מסמך יפה, אלא מה הוא שומר לצידו ומה יודע להראות אחר כך.
ההבדל מורגש רק כשמשהו משתבש, ולכן קל לדחות אותו. כל עוד אף אחד אינו מכחיש, מסמך חלש ומסמך חזק נראים זהים לחלוטין ומשרתים אותו דבר.
וזו בדיוק הסיבה שכדאי להחליט מראש. אין דרך לחזק בדיעבד מסמך שנחתם — מה שלא נשמר אז אינו קיים, וההזדמנות היחידה לאסוף אותו כבר עברה.
קוד חד-פעמי הוא מה שהופך "מישהו לחץ" ל"אדם מסוים אישר".
הקוד עצמו פשוט, וההיגיון מאחוריו חזק: כדי להשלים את החתימה צריך גישה לטלפון או לתיבה של אותו אדם. זה אינו מוחלט, והוא הרבה מעבר ללחיצה בלבד.
זמן, אמצעי אימות, וכתובת שממנה נחתם, ורצוי גם דרך ציבורית לאמת שהמסמך לא שונה.
הזמן הוא הפרט הבסיסי, והוא מאפשר לקשור את החתימה לרצף אירועים. מתי נשלח, מתי נפתח, ומתי נחתם — שלושתם יחד מספרים סיפור שקשה להמציא.
אמצעי האימות מעיד על הזהות, ולכן חשוב לשמור לא רק שהוא בוצע אלא גם לאן נשלח. קוד שהגיע למספר מסוים מקשר את הפעולה לאותו מספר.
והדרך הציבורית לאמת פותרת בעיה אחרת: איך יודעים שהמסמך שמוצג היום זהה למה שנחתם. בלעדיה כל צד מחזיק עותק וטוען שהוא הנכון.
המסקנה המעשית היא לשמור הכל במקום אחד. מסמך בתיקייה אחת ועדויות במערכת אחרת נפרדים בדיוק כשצריך אותם יחד — מקום אחד שבו הכל נשמר פותר בעיקר את זה.
וכדאי לבדוק פעם אחת מה בדיוק נשמר אצלכם. הרבה כלים אוספים יותר ממה שהם מציגים, ואחרים מציגים מסמך יפה ואינם שומרים דבר מעבר אליו.
הבדיקה פשוטה: לחתום על מסמך ניסיון, ולבקש לראות מה נשמר לצידו. מה שמופיע שם הוא כל מה שיהיה בידיכם ביום שבו תזדקקו לו.
תמונה של חתימה שהודבקה על מסמך אינה חתימה אלקטרונית — אין בה שום דבר שקושר אותה לאדם או לזמן. היא בדיוק אותה תמונה בכל מסמך אחר.
זו הטעות הנפוצה ביותר, והיא נראית סבירה לגמרי. המסמך יוצא עם חתימה, הוא נראה חתום, ומי שמסתכל עליו מניח שמשהו קרה — בעוד שהתמונה יכלה להגיע מכל מקום.
והבעיה מחריפה כשהתמונה נשמרת אצלכם. מרגע שיש קובץ של החתימה, אפשר להדביק אותו על כל מסמך — ולכן היא מעידה על עצמה פחות מכל ראיה אחרת.
אותו היגיון חל על מסמך סרוק. סריקה מוכיחה שמישהו הדפיס, חתם וסרק, והיא אינה נושאת דבר מעבר לזה — לא זמן שאפשר לאמת ולא זהות שנבדקה.
מה שכן — שתי הדרכים האלה עדיפות על כלום, והן פשוט אינן מה שנדרש כשמשהו במחלוקת. ההבדל מורגש רק ברגע אחד, וזה הרגע היחיד שבו הוא חשוב.
ויש גם מקרה ביניים שקל להתבלבל בו: מסמך שנשלח במייל ואושר בתשובה. הוא חזק יותר מתמונה, כי יש בו רצף שאפשר להראות, והוא עדיין חלש ממסמך שאומת.
מה שמבדיל אותו הוא שאין בו אימות זהות. תיבת דואר יכולה להיות פתוחה בפני אחרים, ולכן התשובה מעידה על הגישה לתיבה ולא בהכרח על האדם.
יש מסמכים שהחוק דורש עבורם צורה מיוחדת. כשמדובר בהתחייבות משמעותית — שווה לבדוק.
רוב מה שעסק קטן חותם מול לקוחות — הצעות, הסכמי שירות, אישורי הזמנה — אינו נמצא בקטגוריה הזו. ולכן החתימה האלקטרונית מתאימה לו בלי סיבוך מיוחד.
יש עם זאת סוגי מסמכים שהדין מתייחס אליהם אחרת, ובהם הצורה עצמה חלק מהתוקף. אלה מקרים מוגדרים, והם אינם משהו שנתקלים בו במהלך העבודה הרגילה.
הכלל המעשי הוא לפי המשקל. כשההתחייבות גדולה, ארוכת טווח, או כרוכה בסכום משמעותי — שווה לשאול לפני, ולא לגלות אחרי.
וכדאי לשאול את השאלה הזו לפני שמתחילים ולא אחרי שנחתם. ברוב המקרים התשובה תהיה שאין בעיה, והזמן שהושקע בבדיקה קצר בהרבה מהזמן שדורש תיקון בדיעבד.
ומה שבטוח בכל המקרים הוא שהמסמך צריך להיות קריא. קובץ שמציג את הטקסט בעברית כפי שנחתם, בלי תלות במכשיר שפותח אותו, הוא תנאי בסיסי לכל השאר.
וזה נכון במיוחד בעברית. קובץ שמסתמך על גופן שאינו קיים אצל מי שפותח אותו עלול להציג טקסט שבור, ומסמך שאי אפשר לקרוא אינו משרת איש.
המסקנה הכללית של כל המאמר קצרה: החתימה עצמה היא החלק הקל. מה שקובע הוא מה נאסף סביבה, והאם הוא יהיה שם כשיחפשו אותו.
ככה עושים את זה ידנית.
וככה זה נראה כשהמערכת עושה את זה בשבילך.