OK-knap, touch-underskrift eller eID: Hvad er den juridiske forskel?

De tre signaturmetoder i hverdagen

I den digitale verden møder vi dagligt vidt forskellige måder at "skrive under" på. Når vi handler på nettet, klikker vi på en "Accepter betingelser"-knap. Når vi modtager en pakke fra et fragtfirma, tegner vi en krusedulle med fingeren på en håndholdt terminal. Og når vi underskriver en ansættelseskontrakt eller en bankaftale, logger vi ind med vores personlige MitID.

Selvom alle tre handlinger i daglig tale kaldes for digitale underskrifter, er der en verden til forskel på deres tekniske opbygning, sikkerhed og retsvirkning, hvis parterne efterfølgende ender i en juridisk tvist ved domstolene.

eIDAS-forordningen skelner mellem simple, avancerede og kvalificerede signaturer. At forstå, hvorfor en tegnet underskrift på en skærm blot er en simpel signatur (SES), er afgørende for at beskytte virksomhedens værdier og kontrakter mod indsigelser.

Aftalelovens formfrihed og dens grænser

Dansk aftaleret bygger på det grundlæggende princip om formfrihed, der stammer helt tilbage fra Danske Lov af 1683 og er stadfæstet i Aftalelovens § 1. Det betyder, at en aftale som udgangspunkt er lige så juridisk bindende, uanset om den er indgået mundtligt, ved et håndtryk, via en SMS, ved et klik på en hjemmeside eller på et stykke papir med blæk.

Hertil kommer eIDAS-forordningens artikel 25, stk. 1, som udtrykkeligt fastslår, at en elektronisk underskrift ikke må nægtes retsvirkning eller afvises som bevis ved en domstol, udelukkende fordi den har elektronisk form eller ikke opfylder kravene til en kvalificeret signatur.

Men selvom en aftale i teorien er bindende ved et simpelt klik, er der et gigantisk gab mellem materiel gyldighed og processuel beviskraft. Hvis modparten hævder: "Det var ikke mig, der klikkede på den knap", er det formfriheden, der kollapser mod virkelighedens beviskrav.

Bevisbyrden i retten: Hvem skal bevise hvad?

Hvis en debitor nægter at have underskrevet en gældsforpligtelse eller en kontrakt, følger bevisbyrden efter dansk retspleje det klare udgangspunkt: Den, der påstår en rettighed eller en fordring, bærer bevisbyrden for, at aftalen er gyldigt indgået af modparten.

Ved brug af OK-knap eller touch-underskrift er bevisbyrden ekstremt tung at løfte for kreditor. En tegnet krusedulle på en skærm indeholder ingen biometriske data (såsom pennetryk, vinkel eller hastighed), og et billede af en underskrift kan let kopieres fra ét dokument til et andet. IP-adresser og e-mail-bekræftelser kan sandsynliggøre, at nogen på en given adresse modtog linket, men det beviser ikke, hvilken person i husstanden eller på kontoret der trykkede.

Ved brug af stærk eID som MitID er situationen en ganske anden. MitID er baseret på to-faktor-autentifikation og en personlig hemmelighed. Domstolene lægger til grund, at når en handling er godkendt med MitID, formodes handlingen at være foretaget af certifikatindehaveren, medmindre indehaveren kan godtgøre, at MitID har været udsat for misbrug under omstændigheder, der ikke kan lægges vedkommende til last.

Teknisk sammenligning: Fra pixel-billede til kryptografisk hash

Forskellene bliver endnu tydeligere, når man ser på den tekniske implementering bag de tre metoder:

1. OK-knap / Checkbox: Genererer blot en logpost i en database. Hvis databasen slettes eller manipuleres, er beviset borte. Dokumentet og accepten er ikke uløseligt bundet sammen.

2. Touch-underskrift (PNG/SVG overlejring): Et rent visuelt billede placeres oven på en PDF. Hvis PDF-filen ikke er kryptografisk forseglet, kan teksten i PDF-filen ændres efterfølgende, uden at underskriftsbilledet forsvinder.

3. eID med PAdES-forsegling (KvikSign-metoden): Dokumentets indhold beregnes til et matematisk fingeraftryk (SHA-256 hash). Ved signering med MitID krypteres dette fingeraftryk med et OCES3-certifikat og forsegles med et officielt tidsstempel. Ændres blot ét komma i dokumentet efter underskrift, vil signaturen øjeblikkeligt fremstå som brudt og ugyldig.

Risikomatrix: Vælg den rigtige signeringsmetode

Virksomheder bør have en klar politik for, hvilke aftaler der må underskrives med simple metoder, og hvilke der kræver stærk eID:

Lav risiko (SES acceptabel): Modtagelse af pakker, interne frokostordninger, nyhedsbrevstilmeldinger, simple samtykker uden økonomisk forpligtelse.

Mellem- og høj risiko (MitID / eID påkrævet): Ansættelseskontrakter, fratrædelsesaftaler, B2B-leverandørkontrakter, lånedokumenter, fortrolighedsaftaler (NDA), overdragelse af immaterielle rettigheder, leasingaftaler og bestyrelsesreferater.

• Lav risiko: Simpel klik-accept kan være acceptabel af hensyn til minimal friktion.
• Høj risiko: Kræv altid MitID eller MitID Erhverv for at sikre uigendrivelig beviskraft.
• Grænseoverskridende: Kræv eIDAS-kompatibel eID eller QES for aftaler med udenlandske modparter.

Konklusion: Hvorfor stærk eID bør være din virksomheds standard

I en tid med stigende digital svindel, phishing og identitetstyveri er simple touch-underskrifter og usikre klik-løsninger en unødvendig risiko for professionelle virksomheder. Det tager ikke længere tid for en kunde eller medarbejder at swipe i MitID-appen end at tegne en ulæselig streg på en skærm, men forskellen i juridisk tryghed er enorm.

Med KvikSign får du en fuldautomatiseret platform, der integrerer MitID direkte i ethvert aftaleflow, sikrer automatisk PAdES-forsegling og genererer en uafhængig, revisionsklar auditlog.