De juridische waarde van de (digitale) handtekening

Een leuk weetje dat ik vaak deel met niet-juridisch onderlegde personen, is dat een handtekening geen vereiste is voor een geldige overeenkomst. Het maakt voor de geldigheid dus helemaal niks uit of een overeenkomst al dan niet is getekend. Immers, een overeenkomst komt tot stand door aanbod (“Ik bied mijn postzegelcollectie aan, wil je ‘m kopen voor X?”) en aanvaarding (“Prima joh/akkoord/ik stem in met het verwerven van de goederen middels een monetaire transactie”). Dat kan zowel mondeling als schriftelijk worden gedaan. Hier komt een handtekening dus niet aan te pas.

Toen ik dit weetje een tijd terug met een vriend deelde, kreeg ik de vraag waarom handtekeningen dan überhaupt worden gebruikt. Een logische vraag, waar ik op antwoordde dat het gebruik van een handtekening om bewijstechnische redenen relevant is. Door beide partijen een contract te laten tekenen, wordt het een stuk lastiger om achteraf te claimen dat je nooit akkoord bent gegaan met het contract of het nooit hebt gezien. Naast de handgeschreven (of: natte) handtekening raakt de digitale handtekening steeds meer in zwang. Omdat hier nog weleens wat vragen over mogelijke vervalsingen over rijzen, leek me het tijd om eens een blog te schrijven over de juridische waarde van de digitale en handgeschreven handtekening.

De handgeschreven handtekening

Mensen die mij kennen, weten dat ik er enkele geeky hobby’s op nahoud. Eentje waar ik mij zeker niet voor schaam, is mijn voorliefde voor vulpennen. Zo kocht ik met mijn eerste loonstrookje in vast dienstverband, in tegenstelling tot de traditionele keuze voor een nieuwe tv, de limited edition Pilot Black Ice Vanishing Point 2021. Naast dat ik deze pennen er prachtig uit vind zien, zorgen ze er met hun verfijnde penpunten voor dat mijn erbarmelijke hiërogliefenschrift nog enigszins te lezen is. Ook ben ik voorstander van handgeschreven notities om informatie beter te onthouden, waardoor ik al flink wat uren met mijn pennen heb gemaakt. Afijn, ik werk ergens naartoe.

Met mijn vulpennen heb ik inmiddels al aardig wat overeenkomsten getekend. Arbeidsovereenkomst, samenlevingscontract, hypotheekakte, dienstverleneningsovereenkomst, shirts en schoenen van zwijmelende fans. Oké, dat laatste is misschien een leugen. Telkens weer was een handtekening vereist om te erkennen dat ondergetekende de overeenkomst onder ogen heeft gehad en aanvaard (overbodig zoals we nu weten). Eigenlijk heeft een handtekening dus drie functies: authenticatie van de ondertekenaar, instemming met het geschrevene en Onweerlegbaarheid verwijst naar de onmogelijkheid voor een partij om de geldigheid van een verklaring of contract te ontkennen nadat het is ondertekend. In de context van een contract betekent dit dat zodra een persoon het contract ondertekent, hij of zij niet kan ontkennen dat hij of zij het contract heeft gelezen, begrepen en ermee heeft ingestemd. Dit is een cruciale functie van handtekeningen in juridische documenten, omdat het helpt om geschillen en misverstanden te voorkomen.(of: onweerlegbaarheid/onloochenbaarheid). Door voorgaande drie functies wordt veel waarde aan de natte handtekening toegekend in het Nederlands recht, het wordt volgens de wet zelfs als dwingend bewijs beschouwd (art. 157 Rv). Dat het bewijs dwingend is, houdt in dat de rechter de inhoud van de overeenkomst als waar moet aannemen, tenzij er tegenbewijs wordt geleverd dat de inhoud onjuist is.

De digitale handtekening

Waar de traditionele handtekening, in de vorm van een persoonlijk zegel, al rond 3000 v. Chr. In het oude Mesopotamië opdook, is de digitale handtekening een relatief nieuw fenomeen. Deze handtekening vindt zijn oorsprong in de asymmetrische cryptografie en werd voor het eerst gebruikt in software die gebruikmaakte van het RSA-algoritme (Rivest, Shamir en Adleman). Dit algoritme is tegenwoordig nog steeds één van de meest gebruikte methoden om gegevens beveiligd over te dragen. Aangezien een diepgaande beschrijving van asymmetrische cryptografie buiten de reikwijdte van deze blog valt, volgt hier een beknopte omschrijving van het RSA-algoritme in simpele termen. Het is namelijk wel van belang een basale kennis van dit soort cryptografie te hebben om de rest van de blog goed te begrijpen. Zo werkt een digitale handtekening (op basis van RSA):

1. Sleutelgeneratie: de persoon die de digitale handtekening wil maken (Billy) maakt een paar sleutels aan, een publieke sleutel en een privésleutel. De publieke sleutel kun je zien als een brievenbus. Iedereen kan er iets in stoppen (een bericht versleutelen of handtekeningen verifiëren). Waar de publieke sleutel een soort brievenbus is, is de privésleutel de sleutel voor die brievenbus. Met deze sleutel (die je geheim moet houden) kun je de berichten die mensen hebben gestuurd lezen (ontcijferen en handtekeningen maken). Deze sleutels zijn in feite lange reeksen cijfers, gemaakt met speciale wiskundige formules.
2. Hashing: Billy neemt het bericht dat hij wil ondertekenen en maakt er een hash van. Een hash is een soort digitale vingerafdruk van het bericht. Het is een unieke reeks cijfers die alleen kan worden gemaakt van dat specifieke bericht. Verandert de inhoud? Dan verandert de hash. Zie mijn blog over anonimiseren en pseudonimiseren voor een uitgebreide uitleg over hashing.
3. Handtekeningcreatie: vervolgens neemt Billy de hash en gebruikt zijn privésleutel om het te versleutelen. Dit betekent dat de hash verandert in een nieuwe reeks cijfers die alleen kan worden ontcijferd (of gelezen) met de juiste sleutel. Dit is de digitale handtekening.
4. Handtekeningverificatie: iemand anders (Bolly) ontvangt Billy’s bericht en digitale handtekening. Bolly gebruikt Billy's publieke sleutel om de digitale handtekening te ontcijferen, waardoor hij de originele hash krijgt. Bolly maakt ook een nieuwe hash van het ontvangen bericht. Als beide hashes hetzelfde zijn, weet Bob dat het bericht echt van Billy komt en niet is veranderd.

De drie soorten handtekening uit de eIDAS-verordening

De eIDAS-verordening (Electronic Identification, Authentication and Trust Services), officieel bekend als Verordening (EU) Nr. 910/2014, was een belangrijke mijlpaal in de digitale geschiedenis van de Europese Unie. Deze verordening, die in 2014 werd aangenomen, heeft een uniform kader gecreëerd voor elektronische identificatie, handtekeningen en zegels, tijdregistratie, documentbezorging en website-authenticatie. Het heeft de juridische erkenning en acceptatie van deze digitale hulpmiddelen in alle EU-lidstaten gestandaardiseerd, waardoor het gemakkelijker is geworden om veilig en efficiënt zaken te doen in de digitale ruimte.

Wellicht het bekendste onderdeel uit de wet, en het relevante stuk voor deze blog, is de erkenning van elektronische (digitale) handtekeningen. In de eIDAS-verordening worden drie soorten handtekeningen gedefinieerd: de gewone, geavanceerde en gekwalificeerde elektronische handtekening. Hieronder ga ik in op de verschillende handtekeningen. Nadat ik dat heb gedaan, leg ik uit waarom het uitmaakt welke van de drie handtekeningen je gebruikt.

De gewone elektronische handtekening

Dit is de meest basale vorm van elektronische handtekeningen. Hierbij kun je denken aan het typen van een naam, een vinkvakje aanklikken of het digitaal tekenen (dus met je computermuis of stylus) van een handtekening. Of iets wat daar ook maar een beetje op lijkt, we kennen allemaal de prachtige creaties die we op het ondertekenapparaat van de postbezorger achterlaten. Er zijn geen specifieke technologische eisen voor dit type handtekening en het biedt het laagste niveau van beveiliging. Daardoor wordt deze handtekening ook als het minst betrouwbaar beschouwd. Deze handtekening wordt niet expliciet gedefinieerd in de eIDAS-verordening, maar wordt impliciet erkend.

Geavanceerde elektronische handtekeningen (advanced electronic signature, of: AES)

Dit is een digitale handtekening die meer beveiligingsfuncties biedt in vergelijking met de gewone elektronische handtekening. Een AES is specifiek gekoppeld aan de persoon die de handtekening maakt (de ondertekenaar), bijvoorbeeld door het gebruik van een privésleutel op basis van RSA of een andere cryptografische techniek. Dit betekent dat het kan worden gebruikt om te bevestigen wie het document heeft ondertekend. Eenmaal geverifieerd, wordt de identiteit van de ondertekenaar gekoppeld aan de AES door middel van een digitaal certificaat. Dit certificaat bevat informatie over de ondertekenaar (zoals hun naam en e-mailadres) en wordt gebruikt om de handtekening te valideren. Het certificaat wordt uitgegeven door een betrouwbare derde partij, bekend als een certificeringsinstantie, die de identiteit van de ondertekenaar heeft gecontroleerd.

Omdat een identiteit aan de handtekening van één afzender wordt gekoppeld en bij verzending van de handtekening bepaalde gegevens worden vastgelegd, is deze handtekening lastig te vervalsen. Dat heeft ook te maken met het feit dat, als een getekend document na ondertekening wordt gewijzigd, de handtekening ongeldig wordt doordat de hash wijzigt. Dit helpt om te bevestigen dat het document niet is gewijzigd nadat het is ondertekend. Ter volledigheid noem ik de vier formele eisen waar een AES volgens art. 26 eIDAS aan moet voldoen:

1. De handtekening moet uniek verbonden zijn met de ondertekenaar.
2. Het moet de identiteit van de ondertekenaar kunnen identificeren
3. Het moet worden gecreëerd met gegevens voor het aanmaken van elektronische handtekeningen die de ondertekenaar, met een hoog vertrouwensniveau, onder zijn uitsluitende controle kan gebruiken.
4. Het moet zo zijn gekoppeld aan de gegevens waaraan het inherent is dat elke daaropvolgende wijziging van de gegevens kan worden opgespoord.

Gekwalificeerde elektronische handtekeningen (qualified electronic signature, of: QES)

Dit is de meest beveiligde vorm van elektronische handtekeningen en het digitaal equivalent van de handgeschreven handtekening. Een QES is net als een AES, maar het heeft een extra laag van beveiliging en verificatie. Een QES is bijvoorbeeld niet alleen gekoppeld aan de persoon die de handtekening maakt, maar het wordt ook gemaakt met een speciaal apparaat dat extra beveiliging biedt. Dit apparaat wordt een Zie art. 3 lid 23 eIDAS.(zoals een smartcard of PKI-tokens) genoemd. Waarom worden nooit termen gebezigd die je niet buiten adem achterlaten nadat je ze in een presentatie hebt genoemd? Het zorgt ervoor dat de handtekening nog moeilijker te vervalsen is.

Bovendien is een QES gebaseerd op een Zie art. 3 lid 15 eIDAS.Dit is een soort digitaal paspoort dat wordt uitgegeven door een vertrouwde organisatie (een certificeringsinstantie) die de identiteit van de persoon heeft gecontroleerd. Door deze factoren is een QES, ten tijde van dit schrijven, het meest betrouwbare middel voor digitale handtekeningen.

De grote lettertjes

Leuk die verschillende handtekeningen, maar waarom maakt het uit welke van de drie je gebruikt? Dat is van belang wanneer de authenticatie/instemming/onweerlegbaarheid van een handtekening wordt betwist. In artikel 3:15a van het Burgerlijk Wetboek is de elektronische handtekening namelijk gelijkgesteld aan de natte handtekening. Dat betekent dat het dus ook als dwingend bewijs wordt aangemerkt in een rechtszaak. Maar, dan moet de handtekening wel voldoende betrouwbaar zijn. En die betrouwbaarheid is makkelijk aan te tonen door te voldoen aan de eisen uit eIDAS-verordening.

Wanneer je voldoet aan de eisen omtrent een geavanceerde handtekening of een gekwalificeerde handtekening wordt de handtekening resp. in de meeste gevallen en vrijwel altijd als betrouwbaar beschouwd. Het is dan aan de wederpartij om aan te tonen dat die handtekening niet betrouwbaar is. Bij de gewone elektronische handtekening is het juist de verdedigende partij die moet aantonen dat wél betrouwbaar is, omdat die in beginsel als onbetrouwbaar wordt beschouwd.

In beginsel is de AES dus, net als de QES, gelijkgesteld met een natte handtekening. Voorwaarde voor die gelijkstelling is wel dat de geavanceerde handtekening op betrouwbare wijze tot stand is gekomen. In sommige gevallen is door de rechter namelijk geoordeeld dat een methode van tekenen niet als AES, maar als gewone handtekening aangemerkt diende te worden. Dat gebeurde bijvoorbeeld in een zaak waar een sms met een verificatiecode was verstuurd naar de wederpartij, de overeenkomst werd getekend en het bestand via Adobe Sign werd verzegeld (met een hash). Vervolgens claimde de wederpartij helemaal niet te hebben getekend, waarna de rechter niet kon vaststellen dat de zakelijke telefoon enkel door de ondertekenaar werd gebruikt. Ergo, de tekenmethode was niet voldoende betrouwbaar omdat deze niet zeker aan één persoon kon worden gekoppeld en de geavanceerd gewaande handtekening werd als gewoon bestempeld. Daardoor was het aan de andere partij om aan te tonen dat die handtekening wel door de ontvanger was gezet.

Let daarom goed op dat je een betrouwbare methode gebruikt als je met het digitaal tekenen van overeenkomsten te maken hebt. Als je dat doet en één van de vele gerenommeerde online tekendiensten gebruikt, zul je in de praktijk een handtekening hebben gezet/ontvangen die vergelijkbaar is met een traditionele handtekening. Dat scheelt een hoop gedoe in de rechtszaal als de wederpartij claimt niks af te weten van een massale bestelling voor opblaasbare flamingo’s voor het bedrijfsfeest. Dan is, tenzij je uiterst belangrijke documenten tekent, een QES doorgaans overkill.