Електронен подпис в общите условия – кога е валиден и кога не е

Потребител маркира checkbox с текст „Приемам общите условия“ и натиска бутон за поръчка. Това действие поражда ли правно обвързващо съгласие? Отговорът зависи от вида електронен подпис, техническата реализация на съгласието и приложимата нормативна уредба.

Какво казва ЗЕДЕУУ за електронния подпис

Законът за електронния документ и електронните удостоверителни услуги (ЗЕДЕУУ) въвежда в българското право рамката на Регламент (ЕС) 910/2014 (eIDAS). Този регламент разделя електронните подписи на три нива с различна доказателствена сила и приложимост. Разбирането на тези нива е от значение за всеки, който публикува общи условия за онлайн магазин и очаква потребителите да ги приемат дистанционно.

Обикновеният електронен подпис (ОЕП) е най-широката категория – данни в електронна форма, които са логически свързани с други данни и служат за идентификация на подписващия. Checkbox, натискане на бутон „Съгласен съм“, дори въвеждане на имейл адрес при регистрация – технически всичко това попада в обхвата на ОЕП. Доказателствената му стойност обаче е ограничена и зависи от контекста.

Усъвършенстван и квалифициран е-подпис – къде минава границата

Усъвършенстваният електронен подпис (УЕП) добавя три допълнителни изисквания: свързан е по уникален начин с подписващия, позволява идентификацията му и е създаден чрез данни, които подписващият контролира с висока степен на сигурност. Промяна в подписаните данни след полагането на УЕП трябва да бъде откриваема. На практика УЕП се използва рядко при приемане на общи условия, защото изисква специализиран софтуер или хардуер от страна на потребителя.

Квалифицираният електронен подпис (КЕП) стои на върха на пирамидата. Той е УЕП, създаден чрез квалифицирано устройство и базиран на квалифицирано удостоверение, издадено от доставчик на удостоверителни услуги. По чл. 13, ал. 4 от ЗЕДЕУУ квалифицираният електронен подпис има значението на саморъчен подпис. Когато закон или договор изисква писмена форма за действителност, само КЕП я замества.

Clickwrap съгласие – защо работи в повечето случаи

Clickwrap е механизмът, при който потребителят активно маркира checkbox или натиска бутон, за да потвърди, че е прочел и приема условията.

Този подход се приема за валидно изразяване на съгласие при онлайн търговия в ЕС и България. Причината е чл. 11 от Директива 2000/31/ЕО (транспонирана чрез Закона за електронната търговия), който изисква доставчикът на услуги да осигури техническа възможност потребителят да идентифицира и коригира грешки преди изпращане на поръчката. Clickwrap изпълнява това изискване. Съдебната практика в множество държави от ЕС последователно признава clickwrap за достатъчен механизъм за обвързване с общи условия, стига пълният текст на условията да е бил достъпен преди момента на съгласието.

При изграждане на онлайн магазин на платформи като WooCommerce, clickwrap обикновено се реализира с checkbox на страницата за поръчка. Ето минимална имплементация с WordPress hook:

add_action('woocommerce_review_order_before_submit', function() {
    wc_get_template('checkout/terms.php');
});

add_action('woocommerce_checkout_process', function() {
    if (!isset($_POST['terms']) || $_POST['terms'] !== '1') {
        wc_add_notice(
            'Трябва да приемете общите условия, за да завършите поръчката.',
            'error'
        );
    }
});

Всеки сайт, който обработва лични данни чрез подобен механизъм, трябва да разполага и с ясна политика за поверителност, достъпна преди финализиране на поръчката.

Browsewrap – рисковият вариант

Browsewrap разчита на пасивно съгласие: условията са публикувани някъде в сайта (обикновено линк в footer-а), а продължаването на използването се тълкува като мълчаливо приемане.

Този подход е проблематичен. Европейската съдебна практика, и по-конкретно решението на Съда на ЕС по дело C-322/14 (El Majdoub), поставя акцент върху възможността потребителят действително да се запознае с условията преди сключване на договора. Browsewrap не гарантира, че потребителят изобщо е видял условията – линкът може да е в долната част на дълга страница, оцветен неразличимо от основния текст.

Българският Закон за защита на потребителите (ЗЗП) допълнително утежнява позицията на търговеца. Чл. 143 от ЗЗП обявява за неравноправни клаузите, които не са индивидуално договорени и водят до значително неравновесие в правата на страните. Ако потребителят не е имал реална възможност да се запознае с условията, клаузите в тях могат да бъдат обявени за неравноправни от съда.

Техническа реализация, която издържа правна проверка

Самото наличие на checkbox не е достатъчно. За да бъде clickwrap механизмът устойчив при евентуален спор, трябва да се спазват конкретни технически и правни изисквания.

Checkbox-ът не трябва да бъде предварително маркиран – активното съгласие по GDPR и ЗЗП изисква потребителят сам да извърши действието. Линкът към пълния текст на общите условия трябва да е видим, кликаем и да води към актуалната версия на документа. Бутонът за завършване на поръчката трябва да е неактивен, докато checkbox-ът не бъде маркиран.

В базата данни е препоръчително да се записва timestamp на съгласието, IP адресът на потребителя, версията на общите условия и конкретният текст, който е бил показан. Примерна структура за WordPress:

function log_terms_acceptance($order_id) {
    $order = wc_get_order($order_id);
    $order->update_meta_data('_terms_accepted_at', current_time('mysql'));
    $order->update_meta_data('_terms_version', get_option('terms_version', '1.0'));
    $order->update_meta_data('_terms_ip', WC_Geolocation::get_ip_address());
    $order->save();
}
add_action('woocommerce_checkout_order_processed', 'log_terms_acceptance');

Тази информация служи като доказателство при спор пред Комисията за защита на потребителите или съда. Разликата между документирано и недокументирано съгласие е често границата между спечелена и загубена жалба.

Кога обикновеният е-подпис не е достатъчен

Съществуват хипотези, при които закон или специален нормативен акт изисква квалифициран електронен подпис.

Договори за прехвърляне на недвижими имоти например изискват нотариална форма и КЕП не ги замества. Подаване на документи към НАП, НОИ или Търговския регистър изисква КЕП. Споразумения, за които Търговският закон предвижда писмена форма за действителност (например запис на заповед), също не могат да бъдат сключени с обикновен е-подпис.

За общи условия и политики за поверителност на уебсайт или онлайн магазин обаче законът не изисква квалифициран подпис. Clickwrap с обикновен електронен подпис е достатъчен, стига да е правилно имплементиран.

Версиониране на общите условия и повторно съгласие

Общите условия не са статичен документ.

При всяка промяна потребителите трябва да бъдат уведомени и да изразят ново съгласие с актуализираната версия. Чл. 147b от ЗЗП дава право на потребителя да се откаже от договора, ако промените влошават условията. Технически това означава, че при обновяване на общите условия системата трябва да деактивира стария consent запис и да изиска нов clickwrap от потребителя при следващото му посещение или поръчка. Съхранявайте всяка версия на документа с дата на публикуване и уникален идентификатор.

Ако управлявате онлайн магазин, запознайте се с пълния списък законови изисквания за онлайн магазини в България, за да не пропуснете и другите задължителни елементи.

GDPR и съгласие за обработка на лични данни – отделен механизъм

Приемането на общи условия и даването на съгласие за обработка на лични данни по GDPR са два различни правни акта и не трябва да се смесват в един checkbox.

Регламент (ЕС) 2016/679 (GDPR) изисква съгласието за обработка на лични данни да бъде свободно дадено, конкретно, информирано и недвусмислено. Чл. 7, параграф 2 от GDPR изрично забранява обвързването на съгласието за обработка на данни с приемането на общи условия, когато обработката не е необходима за изпълнение на договора. На практика това означава два отделни checkbox-а: един за общите условия и един за маркетинг комуникации или допълнителна обработка на данни. Подробно описание на изискванията към тези документи е налично в ръководството за съдържанието на политиката за защита на лични данни.

Глобите по GDPR достигат до 4% от годишния оборот или 20 млн. евро – което от двете е по-голямо. КЗЛД в България също налага санкции, макар и по-ниски по размер.

Практически checklist за валиден clickwrap

Checkbox без предварителна маркировка, свързан с пълния текст на условията. Бутонът за поръчка е неактивен без маркиран checkbox. Timestamp, IP и версия на условията се записват при всяко съгласие. Отделен checkbox за GDPR consent, когато обработката надхвърля изпълнението на договора. Версиониране на документа и механизъм за повторно съгласие при промяна. Линк към условията отваря пълния текст, а не съкратено описание.

Този механизъм покрива изискванията на ЗЕДЕУУ, ЗЗП и GDPR едновременно и минимизира риска от оспорване на съгласието.

Често задавани въпроси