Как устроено подписание документов через SMS

Подписание документов SMS-кодом — довольно распространённая механика. Каждый, кто хоть раз подтверждал операцию в банке кодом из сообщения, уже пользовался этим инструментом. Однако далеко не все пользователи знают, как именно работает SMS-подписание. Непонятно, на чём основана юридическая сила подписи и что произойдёт, если кто-то захочет оспорить операцию через суд. 

В статье расскажу, как подписывать кодом из SMS документы, как правильно внедрить такое подписание в бизнес-процессы, какие риски и ограничения нужно учитывать. 

Что такое подписание документов по SMS

Российское законодательство выделяет три вида электронной подписи: простую (ПЭП), усиленную неквалифицированную (НЭП) и усиленную квалифицированную (УКЭП).

Юридически SMS-подпись является одним из способов реализации простой электронной подписи: «Простой электронной подписью является электронная подпись, которая посредством использования кодов, паролей или иных средств подтверждает факт формирования электронной подписи определенным лицом» (63-ФЗ ст.5 п.2).

Механика реализации довольно проста: как правило, пользователь получает на свой номер телефона одноразовый код, вводит его в форму на сайте или в приложении и это действие приравнивается к проставлению подписи под документом.

Технически ключом простой электронной подписи выступает связка «номер телефона + одноразовый код». Сама подпись подтверждает не столько личность человека, сколько факт того, что действие совершено с использованием конкретного номера. 

В отличие от других видов ЭП, SMS-подпись не защищает документ от последующих изменений и не использует криптографические ключи. Она лишь фиксирует, что определённое действие (согласие, подтверждение, отправка формы) было совершено с привязкой к идентифицируемому номеру телефона. 

Как это работает с точки зрения закона

Простая электронная подпись не имеет юридической силы «по умолчанию». В отличие от УКЭП, которая признаётся равнозначной собственноручной подписи автоматически, для ПЭП закон требует выполнения дополнительных условий. 

Согласно ст.9 63-ФЗ, документ, подписанный SMS-кодом, приравнивается к бумажному документу с собственноручной подписью при соблюдении двух условий: 

1. Стороны заранее договорились об этом. Между компанией и пользователем (или между двумя компаниями) должно быть заключено соглашение об использовании простой электронной подписи. 
2. Соблюдается конфиденциальность ключа ПЭП. Если компания не может доказать, что код был отправлен именно на номер подписанта, и что доступ к этому номеру был только у него, то подпись можно оспорить. 

В соглашении обязательно прописывают правила, по которым можно однозначно определить, что конкретное лицо подписало документ, а также фиксируют  обязанность пользователя сохранять конфиденциальность кода и номера, и порядок действий на случай утраты доступа к номеру. 

Без предварительного соглашения подписание по SMS юридической силы не имеет. Проще говоря, если пользователь просто ввёл код без предварительного согласия на признание такого способа подписания, то будет крайне сложно доказать в суде, что он тем самым подписал договор. 

Где можно применять SMS-подпись

На практике SMS-подпись применяют для операций с относительно невысокими юридическими рисками. Это ситуации, когда скорость и удобство важнее максимальной защиты от оспаривания. Например, подтверждение операций в банковских приложениях, заключение договоров страхования онлайн, согласие на обработку персональных данных, подписание типовых договоров с физлицами, внутренний документооборот компании. 

Для отдельных категорий документов закон прямо ограничивает применение простой и неквалифицированной подписи (ст.6 63-ФЗ). Например, для документов, требующих нотариального удостоверения, некоторых сделок с недвижимостью, ряда государственных и банковских операций нужна только УКЭП. 

Если задача заключается только в том, чтобы снизить риск оспаривания при среднем уровне значимости документа (например, длительные договоры с корпоративными клиентами), стоит присмотреться к усиленной неквалифицированной подписи (НЭП). Она даёт более надёжную идентификацию подписанта и защиту от изменений документа, оставаясь при этом проще и дешевле УКЭП. 

Общий принцип в том, что чем выше цена ошибки и чем больше сумма или значимость сделки, тем меньше оснований ограничиваться простой подписью. В целом, SMS-подпись стоит рассматривать как решение для операций с низким и средним юридическим риском.

Как реализовать подписание по SMS

Внедрение SMS-подписи требует правильной юридической подготовки. Процесс включает в себя несколько шагов. 

Шаг 1: оценить, подходит ли подпись по SMS для документов

Прежде всего, нужно убедиться, что закон не требует для конкретных типов сделок усиленной подписи. Так способ подходит для внутреннего документооборота, согласий на обработку персональных данных, подтверждения заявок, договоров с физлицами на типовые услуги. А вот для сделок с недвижимостью, крупных корпоративных договоров, документов, требующих нотариальной формы, — нет.

Шаг 2: подготовить соглашение об использовании ПЭП

Без соглашения механизм просто не работает. В документе нужно зафиксировать:

• что стороны признают SMS-код равнозначным собственноручной подписи;
• каким образом номер телефона идентифицирует конкретное лицо (например, номер указан в анкете, привязан к личному кабинету, подтверждён ранее);
• порядок хранения и использования кода, обязанность не передавать его третьим лицам;
• последствия компрометации номера и порядок уведомления об этом. 

Соглашение может быть отдельным документом, офертой на сайте, пунктом в договоре или пользовательском соглашении. Форма не так важна, как содержание и факт того, что пользователь с ним ознакомился и согласился. Обычно согласие фиксируется отдельным чек-боксом или действием до отправки кода. 

Шаг 3: выбрать техническое решение

Здесь возможны два пути:

1. Подключить собственный SMS-шлюз через API и реализовать логику генерации, отправки и проверки кодов самостоятельно. 
2. Использовать готовый сервис электронного документооборота с поддержкой ПЭП, где механизм подписания уже встроен и покрыт нужными доказательными атрибутами. 

Для бизнеса с высокой частотой подписаний (страховые, финтех, маркетплейсы) собственная интеграция через API обычно выгоднее по стоимости на операцию. Однако внедрение требует ресурсов на разработку и поддержку. 

Шаг 4: настроить процесс привязки кода к конкретному документу

Важно, чтобы SMS-код относился не к абстрактному «подтверждению действия», а к конкретной версии документа. Для этого: 

• формируется хэш документа (или его уникальный идентификатор) в момент отправки кода; 
• код и хэш связываются в системе так, чтобы позже можно было доказать, что именно этот код подтверждал именно эту версию файла; 
• при вводе кода фиксируется факт подписания именно этого документа, а не любого другого. 

Само по себе получение кода без привязки к документу не считается подписанием. 

Шаг 5: организовать хранение доказательной базы

Доказательства необходимы на случай спора — для предъявления их в суде. Нужно логировать: 

• номер телефона; 
• время отправки и время ввода кода; 
• IP-адрес, с которого было выполнено действие; 
• идентификатор документа; 
• факт согласия с соглашением об ПЭП. 

Чем полнее лог, тем проще подтвердить факт подписания.

Шаг 6: предусмотреть сценарии сбоя

Важно заранее определить порядок действий на случай, если код не пришёл, если номер сменился, если пользователь ввёл код с опозданием, если SIM-карта была переоформлена на другое лицо. Эти сценарии нужно прописать в регламенте, чтобы не решать их в разгар спора. 

Плюсы и минусы подписания по SMS

Как и любой инструмент, SMS-подпись имеет свои преимущества и недостатки. 

Зная о недостатках SMS-подписи, можно уменьшить их влияние и предотвратить негативные последствия.

Как минимизировать риски

Ответственность сторон. В соглашении об использовании ПЭП необходимо предусмотреть последствия компрометации. Нужно чётко прописать, кто несёт ответственность, если номер оказался скомпрометирован не по вине компании. Без этого пункта в случае спора ответственность может быть возложена на организацию, предоставившую сервис подписания. 

Ограниченность применения. Нельзя игнорировать требования закона относительно усиленной подписи. Попытка сэкономить на интеграции с УКЭП там, где она необходима, делает документ ничтожным независимо от того, насколько хорошо выстроен процесс подписания SMS-кодом. 

Уязвимость SMS-подписи. Важно учесть в регламенте все вероятные сценарии. Например, SIM-карту можно перевыпустить по поддельным документам, номер можно временно перехватить через уязвимости у оператора связи, а сам код можно получить с помощью социальной инженерии. В целях безопасности целесообразно ограничить срок действия кода и уведомлять пользователя о каждом факте подписания на резервный канал связи. 

Сложность доказуемости в спорах. SMS-подпись в суде доказывается совокупностью косвенных данных — логов, соглашения, поведения пользователя. Это делает процесс оспаривания более вероятным и требует от компании особой тщательности в хранении доказательств. 

SMS-подпись является удобным и во многих случаях достаточным инструментом. Однако она работает лишь при соблюдении правил. Бизнес должен трезво оценивать,  для каких документов способ подходит, а для каких — нет. Также важно выстроить юридическую базу в виде соглашения между сторонами и предусмотреть возможные нюансы.