التوقيع الإلكتروني والـ GDPR: دليل لمسؤولي حماية البيانات

ما البيانات الشخصية التي تعالجها حل التوقيع الإلكتروني؟

تعالج منصة التوقيع الإلكتروني عدة فئات من البيانات الشخصية.

• هوية الموقع: الاسم والبريد الإلكتروني ورقم الهاتف
• محتوى المستندات: قد تحتوي على بيانات شخصية حساسة (عقود العمل وبيانات الصحة والبيانات المالية)
• بيانات سجل التدقيق: عنوان IP والطابع الزمني و user-agent
• البيانات السلوكية: نمط التوقيع اليدوي على الجهاز اللوحي (إذا كان QES حيوياً)

أين يتم استضافة البيانات وهل هناك تحويلات خارج الاتحاد الأوروبي؟

يفرض GDPR عدم نقل البيانات الشخصية خارج الاتحاد الأوروبي إلا إلى دول توفر مستوى حماية كافٍ أو تحت ضمانات مناسبة (SCCs, BCRs). بالنسبة لحلول التوقيع الإلكتروني، هذا يعني:

• الاستضافة في الاتحاد الأوروبي → نقل محلي، بدون إجراءات إضافية
• الاستضافة في الولايات المتحدة مع SCCs → ممكن لكن مع مخاطر متبقية من Cloud Act
• كيان أمريكي (Cloud Act) → مخاطر لا يمكن إزالتها حتى مع الاستضافة في الاتحاد الأوروبي

هل ينطبق قانون Cloud Act الأمريكي على التوقيع الإلكتروني؟

يسمح قانون Cloud Act (2018) للسلطات الأمريكية بالوصول إلى البيانات المستضافة من قبل شركات أمريكية الجنسية، حتى لو كانت هذه البيانات مخزنة في أوروبا. DocuSign و Adobe Sign و Dropbox Sign هي شركات أمريكية تخضع لـ Cloud Act. Certyneo هو كيان فرنسي، غير خاضع لهذه الولاية الخارجية.

ما توصيات RGPD لمسؤولي حماية البيانات؟

1. 1اختاروا مزوداً كيانه القانوني يقع في الاتحاد الأوروبي أو المملكة المتحدة (بعد البريكست مع قرار الكفاية)
2. 2تحققوا من أن الاستضافة حصراً في الاتحاد الأوروبي، بدون نسخ على خوادم خارج الاتحاد الأوروبي
3. 3احصلوا على اتفاقية DPA متوافقة مع المادة 28 من GDPR وقعوها
4. 4وثقوا تقييم التأثير (AIPD) إذا كنتم تعالجون بيانات حساسة في وثائقكم
5. 5تحققوا من مدة الاحتفاظ بالبيانات والسياسة الخاصة بالحذف عند نهاية العقد

أسئلة شائعة حول GDPR والتوقيع الإلكتروني

هل يترتب على التوقيع الإلكتروني معالجة البيانات الشخصية؟

نعم. يتم جمع البريد الإلكتروني والاسم والرقم المحتمل للموقّع. قد يحتوي محتوى الوثائق أيضاً على بيانات شخصية. يعتبر مزود التوقيع الإلكتروني معالجاً بموجب GDPR، ويخضع لالتزامات المادة 28.

هل DocuSign متوافق مع GDPR؟

تؤكد DocuSign توافقها مع GDPR وتقدم SCCs. لكن بصفتها شركة أمريكية، تظل خاضعة لـ Cloud Act. أذكرت CNIL أن Cloud Act يخلق مخاطر لا يمكن إزالتها للبيانات الأوروبية المستضافة من قبل كيانات أمريكية، حتى في الاتحاد الأوروبي.

هل Certyneo متوافق مع GDPR؟

نعم. Certyneo هو كيان فرنسي، مستضاف في الاتحاد الأوروبي (IONOS )، غير خاضع لـ Cloud Act. البيانات مشفرة أثناء النقل (TLS 1.3) وفي الراحة. يقدم Certyneo اتفاقية DPA متوافقة مع المادة 28 من GDPR.

هل من الضروري إجراء AIPD لاستخدام حل التوقيع الإلكتروني؟

لا تكون AIPD مطلوبة بشكل منهجي للتوقيع الإلكتروني القياسي. تصبح إلزامية إذا وقعتم على وثائق تحتوي على بيانات حساسة (صحة، موارد بشرية ببيانات نقابية، إلخ) أو إذا كان استخدامكم للتوقيع ينطوي على تصنيف ملفات أو مراقبة على نطاق واسع.

المرجعيات والحلول المرتبطة

استكشف الموارد ذات الصلة في نESTATION الخاصة بنا للتوقيع الإلكتروني.

• دليل التوقيع الإلكتروني
• دليل eIDAS — SES و AES و QES
• القيمة القانونية للتوقيع الإلكتروني
• دليل الاحتفاظ الإلكتروني
• التوقيع في المؤسسة