Elektrooniline allkiri HR ja GDPR: täielik juhend 2026. aastaks

Inimressursside digitaliseerimine on alates 2020. aastast märkimisväärselt kiirenud: töösopingud, lepingute muudatused, palgalehed, IT-reeglid, kaugtöö kokkulepped — peaaegu kõik need dokumendid liiguvad nüüd digitaalsel kujul. Siiski ei tähenda dematerjaliseerimine seadusliku kohustuse täitmisest loobumist. Vastupidi: elektrooniline allkiri HR dokumendile GDPR on kahesuguste regulatiivsete nõuete teema, kuna see seob eIDAS-e raamistiku allkirja tõendusvoime kohta ja Euroopa isikuandmete kaitse määruse. Kui seda halvasti hallata, avab see ettevõttele juriidilist riski ja CNIL-i sanktsioonid. See juhend esitab teile olulised reeglid, head tavad ja 2026. aastaks absoluutselt teadmiseks vajalikud hoiatuspunktid.

Miks kehtib GDPR elektroonilistele allkirjadele HR-s?

Elektrooniline allkiri töötleb tingimata isikuandmeid

Lepingu allkirjastamine võrguühenduse teel hõlmab GDPR määruse artikli 4 järgi isikuandmete kogumist, edastamist ja ladustamist: nimi, perekonnanimi, töömeili aadress, vahel mobiiltelefooni number, ajatempel ja allkirja IP-aadress. HR kontekstis on need andmed eriti tundlikud, kuna need tuvastab otse töötaja ja on seotud tema kontraktiliste suhetega tööandjaga.

Usaldusteenuste pakkuja (PSC), kes pakub allkirjalahendust, on määratletud andmetöötlejaks GDPR artikli 28 järgi. Tööandja jääb vastutavaks isikuks. See eristamine on põhiline: ettevõte vastutab CNIL-i ees rikumise korral, mitte tarkvara pakkuja.

Juriidiliselt kasutatavad alused HR kontekstis

Iga dematerjaliseeritud HR dokumentide kategooria jaoks peab tööandja välja selgitama kõige sobivama õigusliku aluse töötlemiseks:

• Lepingu täitmine (art. 6.1.b GDPR): töösopingu allkirjastamine, palgaleide muudatus, lepingud. See on lepingudokumentide jaoks usaldusväärseim õiguslik alus.

• Seadusjärgne kohustus (art. 6.1.c GDPR): dematerjaliseeritud palgaleht (lubatud alates Macroni seadusest 2015. aastast tingimustel), personaliregistrid.

• Õigustatud huvi (art. 6.1.f GDPR): IT-reeglid, sisereglementid, siseilise poliitika dokumendid — tingimusel et neid läbib tasakaalutusetuse test.

Nõusolek (art. 6.1.a) tuleb HR kontekstis vältida: CNIL ja EDPB (Euroopa isikuandmete kaitse nõukogu) leiavad, et tööandja ja töötaja vaheline alluva suhe teeb nõusoleku harva vabaks. Töötaja, kes keeldub elektroonilise allkirja andmisest, võib kartus professionaalsetele tagajärgedele.

HR vastutava isiku konkreetsed kohustused

Andmetöötluse tegevusregister (RAT) värskendamine

GDPR artikkel 30 kohustab kõiki üle 250 töötajaga asutusi (ja KKMs, kes töötlevad suurel skaalal tundlikke andmeid) pidama andmetöötluse tegevusregistrit. Elektrooniline allkirjalahendus HR dokumentidele tuleb see kirja panna:

• Töötluse eesmärk (nt HR lepingudokumentide dematerjaliiseerimine ja arhiveerimine)

• Töödeldavate andmete kategooriad (isik, kontaktandmed, autentimisandmed)

• Säilitamise kestus (töösopingu õiguslik säilitamiskestus: 5 aastat pärast lepingu lõppu Tööseaduse art. L. 1234-20 järgi)

• Alamtöötleja koordinaadid (allkirjaplatvormi)

• Rakendatud turvasused

Allkirjastage DPA (andmetöötluse leping) teenusepakkujaga

GDPR artikli 28 kohaselt peab kõik isikuandmete töötlemise alamtöötlejale andamine olema formaliseeritud andmetöötluse lepinguga (DPA). See leping peab täpsustama:

• Töötluse objekti ja kestust

• Töötluse olemust ja eesmärki

• Isikuandmete tüüpe ja puudutatud isikute kategooriaid

• Vastutava isiku kohustusi ja õigusi

• Andmete asukohta (andmebaasi EL-is on soovitatav EEA välisel edastamise riskide vältimiseks)

• Tehnilisi ja organisatsioonilisi turvameetmeid

Tõsine allkirjalahenduse pakkuja pakub süstemaatiliselt GDPR-ga nõuetekohast DPA-d. Selle puudumine on kohe sanktsionieeritav mittevastavus.

Teavitage töötajaid enne esimest allkirjastatamist

GDPR artikkel 13 kohustab eelnevat teavitamist andmete kogumise all olevatest isikutest. Enne allkirjalahenduse juurutamist HR dokumentidele peab tööandja teavitada töötajaid:

• Vastutava isiku identiteedist

• Töötluse eesmärgist ja õiguslikust alusest

• Andmete säilitamise kestusest

• Nende õigustest (juurdepääs, parandamine, kustutamine seadusliku säilitamise piirides, kandeviimatavus)

• Andmekaitseametniku (DPO) kontaktidest, kui ta on määratud

See teave võib olla integreeritud allkirjaprotsessi enese (teabebänner enne allkirjastamist), uuendatud sisereglementeeringu või juurutamise ajal levitatava teenistuse märkuse kaudu.

HR dokumentide jaoks vajalik allkirja tase: SES, AES või QES?

eIDASe tasemete hierarhia

eIDAS määrus 910/2014 määrab kolm elektroonilist allkirja taseme, igaüks pakub kasvavat tõendusvoime:

• SES (Lihtne elektrooniline allkiri): nõrk tõendusvoim, sobib madalamaid riske sisaldavatele dokumentidele (kinnituste vastuvõtmine, sisemised vormid)

• AES (Täiustatud elektrooniline allkiri): seotud ainulaadselt allkirjastajaga, loodud allkirjastaja eksklusiivsete kontrollitavate andmete alusel. Sobib enamike tavapäraste HR dokumentide jaoks.

• QES (Kvalifitseeritud elektrooniline allkiri): kõrgeim tase, samaväärne käsitsi allkirjaga vastavalt eIDASe art. 25.2. Nõuab tugevdatud identiteedi kinnitust (näost näkku või videotuvastus).

Milline tase millistele HR dokumentidele?

Soovituslik kaardistamine 2026. aastaks, arvestades Prantsuse kohtupraktika positsioone ja sektori soovitusi:

| HR dokument | Soovitatav tase | Põhjendus | |---|---|---| | CDI/CDD töösopingud | AES miinimum, QES soovitatav | Tugev lepinguliste väärtus, töösõimise risk | | Lepingute muutmine | AES miinimum, QES soovitatav | Sama loogika kui peamine leping | | Proobeperiood (pikendamine) | AES | Lühike aeg, piiratud formalism | | Kaugtöö / BYOD reeglid | SES või AES | Kollektiivne kokkulepe või sisereglementid | | Koormusmahulepingu konventsioon | QES väga soovitatav | Nõudlik ühiskondlik jurisprudens | | Tavapärane lõpetamine | QES kohustuslik | Kinnistatud Cerfa vorm, kõrge risk | | Ostu kuittung kogu kõigele | AES või QES | Vabastav väärtus, tööseaduse art. L. 1234-20 |

Kõrgelt riskantsetele dokumentidele (koormusmahukonventsioon, tavapärane lõpetamine) on QES tegelikult kohustuslik töökohtuste kohtute ees vastutusevõime tagamiseks. Petsukohus on järk-järgult tugevdanud nõudeid töötaja lepingu tõendile.

Säilitamine, arhiveerimine ja isikute õigused: väldimisele kuuluvad lõksud

HR dokumentide säilitamise õiguslikud kestused elektroonikal kujul

Elektroonisel kujul allkirjastatud HR dokumentide säilitamine järgib kohustuslikke õiguslikke kestusi. Need kestused on prioriteetsed GDPR kustutamise õiguste ees (art. 17.3.b):

• Töösopingud: 5 aastat pärast lepingu lõppu (pruudi-hoida aegumiskestus, Tööseaduse art. L. 1471-1)

• Palgalehed: 5 aastat (palkade aegumiskestus), kuid säilitamine on soovitatav kuni pensioni oiguste realiseerimiseni

• Tööõnnetuste dokumendid: 30 aastat (pikaajaline sisukohturisiko)

• Kutseharidus (plaanid, sertifikaadid): 3 aastat

• Personalid registrid: 5 aastat pärast päeva, mil töötaja lahkus asutusest

Elektrooniline arhiveerimine tõendusvoimes peab vastama NF Z 42-013 normi nõuetele ja ideaalis ETSI EN 319 162 standardile (pikaajaline elektroonilist allkirja arhiveerimine). Lihtsalt serverisse säilitamine ei piisa: tuleb tagada dokumentide terviklus, loetavus ja ajatempel kogu säilitamise aja jooksul.

Töötajate õiguste juhtimine ilma tõendusvoime kahjustamiseta

Töötaja võib õigustatud nõuda juurdepääsuõigust (art. 15 GDPR) tema kohta olevate allkirjaandmete koopia saamiseks. Ta võib nõuda ka ebatäpaste andmete parandamist.

Seevastu kustutamise õigus (art. 17 GDPR) ei kehti kohustuslikule säilitamise perioodi kuuluvatele HR dokumentidele. Tööandja peab olema võimeline selgelt seda keeldumist selgitama, viidates kohaldatavale õiguslikule alusele. Nende vahetuste dokumenteerimine õiguste nõuete registris on CNIL poolt soovitatav hea tava.

Kandeviimatavus (art. 20 GDPR) kehtib nõusoleku või lepingu täitmise alusel töötaja antud andmetele. Praktiliselt võib töötaja nõuda oma allkirjaandmeid struktureeritud kujul — kohustus, mida tuleb ette valmistada allkirjalahenduse valimisel.

Tehniline ja organisatsiooniline turvalisus: asendamatu mõõtmised

Allkirjaplatvormi tehnilised nõuded

GDPR artikli 32 kohaselt peavad turvameetmed olema riskiga proportsionaalsed. HR elektrooniline allkirjalahendus tähendab teiste hulgas:

• Andmete krüptimine siiretes (vähemalt TLS 1.3) ja puhkamisel (AES-256)

• Mitmeteguriline autentimine (MFA) platvormi juurde pääsemiseks

• Auditi logid ajatembliga ja võltsimiskaitsega, jälgides iga toimingut dokumendiga

• Andmebaas EL-is (või EEA-s) EEA välisel edastamisel riskide vältimiseks (piisavus otsus või lepingulised lepingu mudelid)

• Sissetungitestid aastas ja pakkuja ISO 27001 sertifitseerimiseks

• Jätkuvuse plaan teenuse kättesaadavuse ja arhiivide taastamise garanteerimiseks intsidentide korral

Mõjuhinnang (DPIA): millal on see kohustuslik?

GDPR artikkel 35 kohustab isikuandmete kaitse mõjuhinnangu (DPIA) juhtudel, kui töötlemine võib kaasa tuua kõrge riski. CNIL avaldas töötlemiste loendi, mis nõuavad DPIA-d: suuremahuline töötlemiste liigid, mis seisavad tööel. Praktiliselt on DPIA soovitatav (või kohustuslik suurettevõtete jaoks) HR elektroonilist allkirjalahendust juurutades kogu töötajabaasi jaoks. See peab tuvastama riskid (konfidentsiaalsuse kaotus, identiteedi vargus, dokumentide muutmine), hinnata nende raskust ja tõenäosust ning pakkuda riskide vähendamise meetmeid. Analüüs peab olema dokumenteeritud ja revideeritud töötlemise muutumise korral.

Juriidiline raamistik, mis kehtib HR elektroonilistele allkirjadele ja GDPR-le

Euroopa põhilised õigusaktid

eIDAS määrus 910/2014 (ja selle revisjoni eIDAS 2.0 juurutamine käib) määratleb kolm elektroonilist allkirja taset (SES, AES, QES) ja nende õigusvoime kogu EL liikmesriikide ulatuses. Artikkel 25 sätestate, et QES samaväärne käsitsi allkirjale. Artikkel 26 loetleb täiustatud allkirja tehnilised nõuded. Kvalifitseeritud usaldusteenuste pakkujad on kantud riiklikel usaldusse nimeraamide (Prantsusmaal kannab ANSSI)

GDPR 2016/679: kehtiv alates 25. maist 2018, see määrus reguleerib kõiki isikuandmete töötlemisi EL ulatuses. Artiklid 5 (põhimõtted), 6 (õiguslikud alused), 13-14 (teave), 28 (alamtöötlejad), 30 (register), 32 (turvalisus), 35 (DPIA) ja 37-39 (DPO) on otseselt asjakohased HR elektroonilistele allkirjadele.

Prantsuse õigus

Kodeks 1366-1367: artikkel 1366 seisab põhimõtte funktsionaalse samaväärsuse vahel kirjalikus elektroonikas ja paberis. Artikkel 1367 tunnustab elektroonilist allkirja tõenduse modaalsusena, tingimusel et see koosneb usaldusväärsest identifitseerimisviisist, mis garanteerib seose dokumentiga. Usaldusväärsust loetakse QES jaoks, kuid AES jaoks saab tõestada.

Tööseadus: artikkel L. 1221-1 ei nõua lepingule mingit erityist vormi (v.a erandeid: CDD art. L. 1242-12, õppevahetajate leping jne). Macroni seadus 2015. aastast (seadus 2015-990) avas tee elektroonilise palgaleheotsa. Artikkel L. 3243-2 reguleerib selle modaalsusi.

Teabeseadus ja vabadused muudetud (seadus 78-17 6. jaanuarist 1978): GDPR prantsuse transponeeritav, annab CNIL uurimise ja sanktsioneerimise volitused. Trahvid võivad jõuda 20 miljoni euroni või 4 protsendini aastase maailma käibest kõige raskemate rikuste korral.

Tehnilised standardid

• ETSI EN 319 132: elektrooniline täiustatud allkiri XAdES formaat, XML dokumentidele kohaldatav

• ETSI EN 319 122: CAdES vorming CMS dokumendide elektrooniliste allkirjade jaoks

• ETSI EN 319 162: pikaajaline elektroonilistest allkirjadest arhiveerimine (ASiC)

• NF Z 42-013 (AFNOR): elektrooniline arhiveerimine süsteem funktsionaalspetsifikatsioonid

• ISO/IEC 27001: teabeturva juhtimine, pakkujate sertifikaadi osapoolealus

Õiguslikud riskid mittevastavuse korral

Riskide kumuleeritus on märkimisväärsed: lepingudokument, mis on allkirjastatud allkirja tasemel ebapiisav, võidakse vaidlustada Tööhõive nõukogus, mis avab tööandjale requalicateerimise või nullistatuse ohu. GDPR poolel võib DPA puudumine teenusepakkujaga, teavituse alaealuse jätmine töötajatele või andmete paigutamine EL väljaspool piisavaid garantiisid viia CNIL hoiatusele, isegi halva halvemal korral.

Kasutamise stsenaariumid: elektrooniline allkiri HR GDPR järgi vastavuse kohaselt

1. stsenaarium: 600 töötajaga tööstuslik ETI digitaliseeri oma töösopingud

Tööstuse keskmise suurusega ettevõte, jaotatud nelja saiti Prantsusmaal, käitles igal aastal umbes 180 CDI/CDD palkamist, mille tulemuseks oli sama palju paberifaile printimiseks, allkirjastamise jaoks kaksikeksamplaaris, skannimiseks ja arhiveerimiseks. Erinevusi palkamise lubaduse ja sopingu allkirja saamisest jõudis keskmiselt 8 tööpäevani.

Pärast täiustatud elektroonilist allkirjalahenduse (AES) juurutamist tema SIRH-i ja GDPR-ga nõuetekohase DPA allkirjastamist ning dokumenteeritud DPIA-d on ettevõte vähendanud seda viivitust vähem kui 24 tunniga. Mittetäielike dokumentide määr langes 34% võrra (allikad: ANDRH sektori võrdlusmäärused 2024). Andmebaasi asukoht Prantsusmaal valiti lepinguliseks kriteeriumiks, välistades kõik EEA välisel edastamisel riskid. Töötajaid teavitatakse töötlemisest teabebänneriga, mis on integreeritud allkirjaprotsessi, garanteerides GDPR artikli 13 nõuete täitmise.

2. stsenaarium: jaemüügi franchise võrk juurutab QES allkirjad koormusmahulepingu konventsioonidele

Jaotuse spetsialiseeritud võrk, mis sisaldab kuuskümmend jaemüügipunkti ja sada koormusmahulepingule kuuluvat juhatajat, seisab silmitsi pruudi-hoida ohuga, mille tema juristid on tuvastanud: mitmed koormusmahulepingu konventsioonid olid tõestatud ainult kesisest kvaliteedi paberkoopiate kaudu. Petsukohus on tugevdanud tõenduses nõudeid selle lepingu tüübi jaoks, mis hindas sisukohturisiko mitme sajatuhande euroni.

Võrk juurutas kõikidele uutele konventsioonidele kvalifitseeritud allkirja (QES) ja pakkus kohapeal olevatele juhatajatele oma olemasolevaid konventsioone uuesti allkirjastamist. Videotuvastus valiti identiteedi kinnitamise jaoks. Andmetöötluse tegevusregister uuendati ja väline DPO kinnitas GDPR vastavust. Kuue kuu jooksul oli kogu koormusmahulepingu pargi turvalisus tagatud. Kulude (umbes 15-25 € allkirja QES kohta olenevalt turupakkujatest) hinnangul oli see märkimisväärselt madalam katvataava sisukohtu riskist.

3. stsenaarium: omavalitsuse territoorium dematerjaliseerib oma muutused ja kaugtöö reegleid

Umbes 1 200 püsiva töötajaga omavalitsuslik territoorium soovib dematerjaliseerida oma kaugtöö muutuste haldamist pärast riiklikke kaugtöö raamlepingut 2021. aastal. Käidelda oli umbes 400 dokumenti aastas, konkreetne piirangud: töötajad on avalikud isikud, kelle andmete töötlemine on eriti reguleeritud.

Territoorium valis täiustatud allkirjad (AES), kusjuures andmekeskus oli ANSSi poolt kvalifitseeritud SecNumCloud pakkuja juures. DPIA esitati territooriumi DPO-le enne juurutamist. Töötajaid teavitati teenistuse märkuse kaudu intranetis avaldatud ja teabebänneriga digitaalses kulgemises. HR teenus hindas kasumi 3 ETP-päevaks kuus, millest aastas kokkuvõttes umbes 35 000 € otseste kulude säästule vastab omavalitsuslike digitaalteisenduse vaatlusest (2025).

Kokkuvõte

GDPR vastavus HR dokumentidele elektroonilistele allkirjadele pole valik: see määrab nii teie toimingute õigusvoime kui ka teie töötajate õiguste kaitse. 2026. aastaks avab ettevõtetes, kes pole oma andmetöötluse registrit, DPA teenusepakkujaga allkirjastanud ja allkirja taseme kohandanud dokumendiliigiga, kahekordset riski — pruudi-hoida ja haldusliku — mille rahalised tagajärjed võivad olla märkimisväärsed.

Heaolu uudis: hea valitud ja konfigureeritud lahendus võimaldab juhtida operatiivset sujuvust, eIDASe nõuete täitmist ja GDPR järgimist HR meeskondade ega töötajate puhul.

Certyneo teid sellis demarkuse saatisest: eIDAS nõuetekohane platvorm, DPA saadaval, Euroopa andmekeskus ja allkirjaprotsess, mis on mõeldud HR jaoks. Avastage meie inimressursside jaoks mõeldud lahendust või arvutage oma digitaalülemineku ROI mõne klikiga.