Elektronický podpis v HR a GDPR: kompletní průvodce 2026

Digitalizace personálního řízení se od roku 2020 výrazně zrychlila: pracovní smlouvy, dodatky, výplatní pásky, IT charty, dohody o home office — prakticky všechny tyto dokumenty nyní cirkulují v digitální podobě. Dematerializace však neznamená osvobození se od právních povinností. Naopak: elektronický podpis HR dokumentu v souladu s GDPR představuje předmět se dvěma regulačními vstupními body, neboť propojuje rámec eIDAS na probativní hodnotu podpisu a evropský nařízení o ochraně osobních údajů. Pokud není správně zvládnuta, tato dvojí omezení vystavuje podnik právním rizikům a sankcím CNIL. Tento průvodce vám představuje základní pravidla, osvědčené postupy a klíčové body, které musíte absolutně znát v roce 2026.

Proč se GDPR vztahuje na elektronický podpis v HR?

Elektronický podpis nutně zpracovává osobní údaje

Podepsání pracovní smlouvy online znamená shromažďování, přenos a ukládání osobních údajů ve smyslu článku 4 GDPR č. 2016/679: jméno, příjmení, pracovní e-mailová adresa, někdy mobilní číslo, časové razítko a IP adresa podpisu. V kontextu HR jsou tyto údaje obzvlášť citlivé, protože přímo identifikují zaměstnance a souvisejí s jeho smluvním vztahem s zaměstnavatelem.

Poskytovatel služeb důvěry (PSC), který poskytuje řešení podpisu, je kvalifikován jako zpracovatel ve smyslu článku 28 GDPR. Zaměstnavatel zůstává správcem zpracování. Toto rozlišení je zásadní: v případě porušení je to společnost, která odpovídá CNIL, nikoliv dodavatel software.

Právní základy mobilní v kontextu HR

Pro každou kategorii dematerializovaných HR dokumentů musí zaměstnavatel identifikovat nejvhodnější právní základ zpracování:

• Plnění smlouvy (článek 6.1.b GDPR): podepsání pracovní smlouvy, dodatku k platu, dohody na forfait. Toto je nejpevnější právní základ pro smluvní dokumenty.

• Právní povinnost (článek 6.1.c GDPR): dematerializované poskytnutí výplatní pásky (povoleno od zákona Macron z roku 2015 za určitých podmínek), personální registry.

• Oprávněný zájem (článek 6.1.f GDPR): IT charty, vnitřní předpisy, dokumenty k vnitřní politice — za předpokladu splnění testu vyvážení.

Právní základ souhlas (článek 6.1.a) je třeba se vyhnout v kontextu HR: CNIL a EDPB (Evropský výbor pro ochranu údajů) se domnívají, že vztah podřízenosti mezi zaměstnavatelem a zaměstnancem činí souhlas jen zřídka volným. Zaměstnanec, který se odmítne elektronicky podepsat, by se mohl obávat profesních důsledků.

Konkrétní povinnosti správce zpracování v HR

Aktualizace rejstříku aktivit zpracování (RAT)

Článek 30 GDPR ukládá všem subjektům zaměstnávajícím více než 250 zaměstnanců (a malým a středním podnikům zpracovávajícím citlivé údaje ve velkém rozsahu) vést rejstřík aktivit zpracování. Zavedení nástroje pro elektronický podpis pro HR dokumenty se zde musí objevit s:

• Účelem zpracování (např. dematerializace a archivace smluvních HR dokumentů)

• Kategoriemi zpracovávaných údajů (identita, kontaktní údaje, autentizační údaje)

• Dobou uchování (právní lhůta pro uchování pracovní smlouvy: 5 let po skončení smlouvy podle Pracovního zákoníku, článek L. 1234-20)

• Kontakty na zpracovatele (platforma podpisu)

• Bezpečnostními opatřeními

Podepsání DPA (dohody o zpracování údajů) s poskytovatelem

V souladu s článkem 28 GDPR musí být každý recourse ke zpracovateli na zpracování osobních údajů formalizován dohodou o zpracování údajů (DPA). Tato dohoda musí specifikovat:

• Účel a dobu trvání zpracování

• Povahu a účel zpracování

• Typ osobních údajů a kategorie osob, kterých se týká

• Povinnosti a práva správce zpracování

• Umístění údajů (doporučuje se umístění v EU, aby se zabránilo přenosům mimo EEA)

• Bezpečnostní technická a organizační opatření

Seriózní poskytovatel elektronického podpisu systematicky nabízí kompatibilní DPA. Její absence představuje bezprostředně sankcionovatelnou nesoulad.

Informování zaměstnanců před prvním podpisem

Článek 13 GDPR ukládá předchozí informaci osob, jejichž údaje jsou shromažďovány. Před zavedením elektronického podpisu pro HR dokumenty musí zaměstnavatel informovat zaměstnance:

• O totožnosti správce zpracování

• O účelu a právním základu

• O době uchování údajů

• O jejich právech (přístup, oprava, smazání v rámci právních povinností uchování, přenositelnost)

• O kontaktech na DPO (Pověřence pro ochranu osobních údajů), je-li určen

Tyto informace mohou být zahrnuty do samotného procesu podpisu (informační lišta před podpisem), do aktualizovaného vnitřního předpisu nebo prostřednictvím služebního oznámení rozšířeného při zavedení.

Požadovaná úroveň podpisu pro HR dokumenty: SES, AES nebo QES?

Hierarchie úrovní eIDAS

Nařízení eIDAS č. 910/2014 definuje tři úrovně elektronického podpisu, z nichž každá nabízí rostoucí probativní hodnotu:

• SES (Simple Electronic Signature / Jednoduchý elektronický podpis): nízká probativní hodnota, vhodný pro dokumenty s nízkým rizikem (potvrzení příjmu, interní formuláře)

• AES (Advanced Electronic Signature / Pokročilý elektronický podpis): jednoznačně vázán na podepisujícího, vytvořený z údajů pod jeho exkluzivní kontrolou. Vhodný pro većinu běžných HR dokumentů.

• QES (Qualified Electronic Signature / Kvalifikovaný elektronický podpis): nejvyšší úroveň, ekvivalentní ručnímu podpisu podle článku 25.2 eIDAS. Vyžaduje zesílenou ověření identity (osobní setkání nebo video identifikaci).

Kterou úroveň pro které HR dokumenty?

Doporučená kartografie v roce 2026, která zohledňuje pozice francouzské judikatury a doporučení odvětví:

| HR dokument | Doporučená úroveň | Zdůvodnění | |---|---|---| | Pracovní smlouva CDI/CDD | Minimálně AES, doporučuje se QES | Silná smluvní hodnota, riziko pracovněprávního sporu | | Dodatek ke smlouvě | Minimálně AES, doporučuje se QES | Stejná logika jako hlavní smlouva | | Zkušební doba (obnovení) | AES | Krátká lhůta, omezená formalita | | Charta home office / BYOD | SES nebo AES | Kolektivní dohoda nebo vnitřní předpis | | Dohoda o forfaitu | Důrazně se doporučuje QES | Náročná sociální judikatury | | Dohodnutá výpověď | QES povinný | Homologovaný formulář Cerfa, vysoké riziko | | Potvrzení o úhradě všech nároků | AES nebo QES | Osvobozující hodnota, Pracovní zákoník článek L. 1234-20 |

Pro dokumenty s vysokým rizikem sporu (forfait, dohodnutá výpověď) se QES fakticky uplatňuje, aby se zaručila vymahatelnost před pracovněprávním soudem. Soudní dvůr postupně zpřísnil své požadavky na důkaz souhlasu zaměstnance.

Uchování, archivace a práva osob: úskalí k vyhýbání

Právní lhůty pro uchování podepsaných HR dokumentů

Uchování podepsaných HR dokumentů v elektronické podobě se řídí imperativními právními lhůtami. Tyto lhůty mají přednost před právem na smazání podle GDPR (článek 17.3.b):

• Pracovní smlouva: 5 let po skončení smlouvy (lhůta pro spor v pracovním právu, Pracovní zákoník článek L. 1471-1)

• Výplatní pásky: 5 let (lhůta pro mzdy), ale doporučuje se uchování až do splacení důchodových nároků zaměstnance

• Dokumenty týkající se pracovních úrazů: 30 let (dlouhodobé riziko sporu)

• Profesní vzdělání (plány, osvědčení): 3 roky

• Personální registry: 5 let od data, kdy zaměstnanec opustil podnik

Elektronická archivace s probativní hodnotou musí splňovat požadavky normy NF Z 42-013 a ideálně standard ETSI EN 319 162 (dlouhodobá archivace elektronických podpisů). Prosté uložení na serveru nestačí: je nutné zaručit integritu, čitelnost a kvalifikovaného ověření času dokumentů po celou dobu uchování.

Správa práv zaměstnanců bez ohrožení probativní hodnoty

Zaměstnanec může legitimně uplatnit své právo na přístup (článek 15 GDPR), aby získal kopii údajů o podpisu se ho týkajících. Může také požádat opravu nepřesných údajů.

Právo na smazání (článek 17 GDPR) se však nemůže vztahovat na HR dokumenty podléhající právním povinnostem uchování. Zaměstnavatel musí být schopen jasně vysvětlit tento zákaz odkazem na příslušný právní základ. Dokumentování těchto výměn v rejstříku žádostí o práva je dobrá praxe doporučená CNIL.

Přenositelnost (článek 20 GDPR) se vztahuje na údaje poskytnuté zaměstnancem na základě souhlasu nebo plnění smlouvy. Prakticky si zaměstnanec může vyžádat své údaje o podpisu ve strukturovaném formátu — povinnost, kterou je třeba předvídat při výběru řešení podpisu.

Technická a organizační bezpečnost: nezbytná opatření

Technické požadavky na platformu podpisu

V souladu s článkem 32 GDPR musí bezpečnostní opatření být přiměřená riziku. Pro řešení elektronického podpisu HR se to konkrétně promítá do:

• Šifrování údajů při přenosu (minimálně TLS 1.3) a v klidovém stavu (AES-256)

• Vícefaktorové ověření (MFA) pro přístup na platformu

• Auditní záznamy (logy) s časovými razítky a nefalsifikovatelné, zaznamenávajícího každou akci na dokumentu

• Umístění v EU (nebo EEA), aby se zabránilo přenosům mimo EEA bez adekvátních záruk (rozhodnutí o adekvátnosti nebo standardní smluvní doložky)

• Roční testy penetrace a certifikace ISO 27001 poskytovatele

• Plán kontinuity zaručující dostupnost služby a obnovu archivů v případě incidentu

Analýza dopadu (DPIA): kdy je povinná?

Článek 35 GDPR ukládá Analýzu dopadu na ochranu osobních údajů (DPIA), pokud je zpracování schopné vytvořit vysoké riziko. CNIL publikovala seznam typů zpracování vyžadujících DPIA: zpracování v rozsáhlém měřítku údajů týkajících se profesního života je zde zmíněno.

Konkrétně se DPIA doporučuje (nebo je povinná pro velké podniky) při zavádění řešení elektronického podpisu HR dotýkajícího se všech zaměstnanců. Musí identifikovat rizika (ztráta důvěrnosti, falšování identity, změna dokumentů), posoudit jejich závažnost a pravděpodobnost a navrhnout zmírňující opatření. Tato analýza musí být dokumentována a revidována v případě změny zpracování.

Právní rámec platný pro elektronický podpis HR a GDPR

Základní evropské texty

Nařízení eIDAS č. 910/2014 (a jeho revize eIDAS 2.0 v průběhu zavedení): tento text definuje tři úrovně elektronického podpisu (SES, AES, QES) a jejich právní hodnotu ve všech členských státech. Článek 25 stanoví, že QES má právní účinek ekvivalentní ručnímu podpisu. Článek 26 vyjmenovává technické požadavky na pokročilý podpis. Kvalifikovaní poskytovatelé služeb důvěry jsou zapsáni v národních seznamech důvěry (ve Francii seznam spravuje ANSSI).

GDPR č. 2016/679: platné od 25. května 2018, toto nařízení upravuje veškeré zpracování osobních údajů v EU. Články 5 (zásady), 6 (právní základy), 13-14 (informace), 28 (zpracovatelé), 30 (rejstřík), 32 (bezpečnost), 35 (DPIA) a 37-39 (DPO) přímo souvisejí s elektronickým podpisem HR.

Platné francouzské právo

Občanský zákoník, články 1366-1367: článek 1366 stanoví zásadu funkční ekvivalence mezi elektronickým a papírovým zápisem. Článek 1367 uznává elektronický podpis jako způsob důkazu, za předpokladu, že spočívá v spolehlivém procesu identifikace zaručujícím spojení s aktem, k němuž se vztahuje. Spolehlivost se presumuje pro QES, ale může být prokázána pro AES.

Pracovní zákoník: článek L. 1221-1 neukládá žádnou zvláštní formu pracovní smlouvy (s výjimkami: CDD článek L. 1242-12, učňovská smlouva atd.). Zákon Macron z roku 2015 (zákon č. 2015-990) otevřel cestu k elektronické výplatní pásce. Článek L. 3243-2 upravuje její podmínky.

Zákon o informatice a svobodách upravený (zákon č. 78-17 ze 6. ledna 1978): französká transpozice GDPR, poskytuje CNIL její vyšetřovací a sankční pravomoci. Pokuty mohou dosáhnout 20 milionů eur nebo 4 % ročního celosvětového obratu za nejzávažnější porušení.

Technické referenční normy

• ETSI EN 319 132: formát pokročilého elektronického podpisu XAdES, platný pro XML dokumenty

• ETSI EN 319 122: formát CAdES pro elektronické podpisy dokumentů CMS

• ETSI EN 319 162: dlouhodobá archivace elektronických podpisů (ASiC)

• NF Z 42-013 (AFNOR): funkční specifikace systému elektronické archivace s probativní hodnotou

• ISO/IEC 27001: řízení informační bezpečnosti, referenční rámec pro certifikaci poskytovatelů

Právní rizika v případě nedodržení

Hromadění rizik je významné: pracovní smlouva podepsaná s nedostatečnou úrovní podpisu může být napadena před Radou pro pracovněprávní spory, vystavující zaměstnavatele překlasifikaci nebo neplatnosti. Na straně GDPR může absence DPA se zpracovatelem, opomenutí informování zaměstnanců nebo umístění mimo EU bez adekvátních záruk vést k výzvě CNIL nebo dokonce k veřejné správní sankci.

Scénáře použití: elektronický podpis HR v souladu s GDPR

Scénář 1: průmyslový střední podnik se 600 zaměstnanci digitalizuje své pracovní smlouvy

Průmyslový podnik střední velikosti, rozšířený na čtyři místa ve Francii, řešil přibližně 180 náboru CDI/CDD ročně, což generovalo stejný počet papírových složek k vytisknutí, podepsání v dvouprůzvučné podobě, naskenování a archivaci. Čekací doby mezi nabídkou práce a efektivním podpisem smlouvy dosáhly průměrně 8 pracovních dnů.

Po zavedení pokročilého řešení elektronického podpisu (AES) integrovaného do svého HRIS, s kompatibilní DPA se zpracovatelem a dokumentovanou DPIA, podnik snížil tuto lhůtu na méně než 24 hodin. Míra neúplných složek klesla o 34 % (zdroje: benchmarky odvětví ANDRH 2024). Umístění údajů ve Francii bylo zvoleno jako smluvní kritérium, které eliminuje veškeré riziko přenosu mimo EEA. Zaměstnanci jsou informováni o zpracování prostřednictvím informačního boxu integrovaného do procesu podpisu, což zaručuje soulad s článkem 13 GDPR.

Scénář 2: síť franšízí v maloobchodě zavádí QES podpis pro dohody o forfaitu

Síť specializované distribuce počítající přibližně šedesát prodejních míst a stovku vedoucích pracovníků na forfaitu čelila identifikovanému pracovněprávnímu riziku: několik dohod o forfaitu bylo možné prokázat pouze pomocí kopií papírovového dokumentu špatné kvality. Vzhledem k tomu, že Soudní dvůr zpřísnil své požadavky na důkaz v tomto typu dohody, bylo riziko sporu odhadováno na několik set tisíc eur.

Síť zavedla kvalifikované řešení podpisu (QES) pro všechny nové dohody a nabídla vedoucím pracovníkům v pozici re-podepsání jejich stávajících dohod. K ověření identity byla zvolena videa-identifikace. Rejstřík aktivit zpracování byl aktualizován a externí DPO validoval soulad GDPR procesu. Během 6 měsíců byla celá portfolio dohod o forfaitu zabezpečena. Náklady na iniciativu (přibližně 15 až 25 EUR na podpis QES podle poskytovatelů na trhu) byly považovány za výrazně nižší než pokryté riziko sporu.

Scénář 3: místní orgán dematerializuje své dodatky a charty home office

Místní orgán s přibližně 1 200 trvalými zaměstnanci si přál dematerializovat správu svých dodatků home office po celoevropské dohodě z roku 2021 o home office ve veřejné správě. Objem k řešení byl přibližně 400 dokumentů ročně s zvláštními omezeními: zaměstnanci jsou osobami veřejného sektoru, jejichž údaje podléhají obzvlášť upravenému zpracování.

Místní orgán se rozhodl pro pokročilé podpisy (AES) s umístěním v suverenním poskytovateli certifikovaném ANSSI SecNumCloud. DPIA byla podrobena DPO místního orgánu před zavedením. Zaměstnanci byli informováni prostřednictvím oznámení zveřejněného na intranetu a informačního boxu v digitálním procesu. Oddělení HR odhadlo zisk 3 FTE dní měsíčně na administrativní správě dodatků, což představuje roční hospodářské úspory ekvivalentní přibližně 35 000 EUR na přímých nákladech, které jsou shodné se rozpětími zveřejněnými Observatorem digitální transformace místních orgánů (2025).

Závěr

Soulad GDPR elektronického podpisu pro HR dokumenty není volbou: podmiňuje jak právní hodnotu vašich aktů, tak ochranu práv vašich zaměstnanců. V roce 2026 se podniky, které ještě neaktualizovaly svůj rejstřík zpracování, nepodepsaly DPA se svým poskytovatelem a nepřizpůsobily úroveň podpisu každému typu dokumentu, vystavují dvojitému riziku — pracovněprávnímu a správnímu — jehož finanční důsledky mohou být významné.

Dobrá zpráva: správně zvolené a konfigurované řešení umožňuje sladění operační plynulosti, souladu eIDAS a respektu GDPR bez tření pro HR týmy ani zaměstnance.

Certyneo vás v tomto procesu doprovází: platforma v souladu s eIDAS, dostupný DPA, evropské umístění a procesy podpisu navržené pro HR. nebo během několika kliknutí.