Можно ли подписать NDA электронно: ПЭП, SMS-код и 63-ФЗ
NDA почти всегда нужен срочно: созвон через час, демо завтра, доступ к базе прямо сейчас. Печатать, подписывать, сканировать и ждать встречный скан — процесс на дни. Разбираемся, как подписать соглашение электронно, чтобы это было не «для вида», и почему для этого не нужны ни ЭДО, ни квалифицированная подпись.
Три вида электронной подписи
63-ФЗ выделяет три вида подписи, и разница между ними — не в «надёжности» вообще, а в том, при каких условиях подпись приравнивается к собственноручной.
| Вид | Что нужно | Когда равнозначна бумажной |
|---|---|---|
| Простая (ПЭП) | коды, пароли, иные средства подтверждения | при наличии соглашения сторон (ч. 2 ст. 6) |
| Усиленная неквалифицированная (НЭП) | криптографические ключи | при наличии соглашения сторон |
| Усиленная квалифицированная (КЭП) | сертификат аккредитованного УЦ, носитель | по умолчанию, в силу закона |
КЭП удобна тем, что не требует договорённостей, но требует всего остального: сертификата, токена, продления, подключения к оператору ЭДО. У бухгалтерии юрлица это обычно есть. У фрилансера, ИП, физлица-подрядчика или инвестора-физлица — как правило, нет. А NDA нужно подписать обеим сторонам.
Поэтому для быстрых двусторонних договоров практичнее ПЭП: подписанту нужен только его телефон.
Ключевое условие: соглашение сторон
Вся конструкция ПЭП держится на одной фразе закона: документ, подписанный простой электронной подписью, признаётся равнозначным документу на бумажном носителе, подписанному собственноручной подписью, в случаях, установленных законом или соглашением участников электронного взаимодействия (ч. 2 ст. 6 63-ФЗ).
То есть само по себе «я ввёл код в форму» ничего не значит, пока стороны не договорились считать это подписью. Такое соглашение должно, по ст. 9 63-ФЗ, содержать как минимум:
- правила определения подписанта по его простой электронной подписи — иначе непонятно, чья это подпись;
- обязанность соблюдать конфиденциальность ключа — то есть не передавать код никому.
Соглашение об электронном взаимодействии — публичная оферта, которую каждый пользователь акцептует при регистрации отдельным осознанным действием; система запоминает версию и хеш принятой редакции. Присоединяясь, пользователь признаёт ПЭП не только в отношениях с сервисом, но и в отношениях с другими пользователями — именно это делает возможным подписание NDA между двумя людьми, которые видят друг друга впервые.
Почему код должен быть привязан к документу
Соглашения о ПЭП мало — важно, что именно подписано. Если один и тот же код подтверждает вход, смену настроек и подписание договора, доказательная ценность подписи размывается: непонятно, под чем конкретно человек поставил подпись.
Правильная схема выглядит так:
- Подписант видит полный текст документа (или файл целиком) до того, как запросит код.
- Система считает SHA-256 этой конкретной версии.
- Код выдаётся под этот хеш и в SMS указывается предмет подписания.
- Введённый код засчитывается только для документа с тем же хешем.
Следствие: один код не подписывает «всё подряд», а любая правка текста после отправки на подпись даёт новый хеш — значит, нужна новая версия и переподписание. Подменить документ после подписания невозможно: подпись перестанет сходиться.
Что должно остаться в журнале
Подпись существует ровно настолько, насколько её можно доказать. Минимальный набор, который фиксируется на каждое подписание:
- кто подписал — учётная запись, номер телефона, указанные ФИО;
- когда — точное время;
- откуда — IP-адрес и параметры устройства;
- каким каналом отправлен код и был ли он доставлен (ответ SMS-провайдера);
- хеш подписанной версии документа.
Отдельный вопрос — доверие к самому журналу. Если записи можно отредактировать задним числом, они мало чего стоят. Поэтому журнал делается append-only: записи сцеплены хешами в цепочку, а изменение и удаление запрещены на уровне базы данных. Дополнительная страховка — регулярная публикация якоря цепочки: опубликованное вчера значение невозможно согласовать с переписанной сегодня историей.
Границы: что ПЭП не даёт
Честно о слабом месте. Ввод кода подтверждает контроль над номером телефона, а не личность человека. Сервис не сверяет паспорт — ФИО указывает сам пользователь.
Это смягчается двумя вещами. Во-первых, заверением об обстоятельствах (ст. 431.2 ГК): регистрируясь, пользователь заверяет, что номер принадлежит ему и используется лично, а риск недостоверности заверения несёт он сам. Во-вторых, подписывая от имени организации, человек отдельно заверяет наличие полномочий — при их отсутствии сделка считается заключённой от его собственного имени (ст. 183 ГК).
Для NDA этого уровня, как правило, достаточно: вы и так знаете, с кем ведёте переговоры, а спорным обычно оказывается не «кто подписал», а «что именно было конфиденциальным и что передавалось». Если же на кону сделка, где нужна идентификация по паспорту, — это территория квалифицированной подписи и нотариуса.
Скан — картинка, а не подпись. ПЭП по SMS равнозначна собственноручной подписи при соглашении сторон (ч. 2 ст. 6 63-ФЗ), если код привязан к конкретному документу и его хешу, а обстоятельства подписания попадают в неизменяемый журнал. Всё остальное — детали реализации, но именно они решают спор.
Частые вопросы
Простая электронная подпись — это законно?+
Чем ПЭП отличается от квалифицированной подписи (КЭП)?+
Достаточно ли скана подписанного NDA?+
Что фиксируется при подписании по SMS?+
Подпишите NDA по SMS — обе стороны, за две минуты
xNDA выдаёт код на номер подписанта и привязывает его к хешу конкретного документа. Кто, когда, с какого адреса и что именно подписал — фиксируется в неизменяемом журнале. Первое NDA бесплатно.
Оформить NDA