Rafræn undirritun HR & GDPR: Heildstæður leiðarvísir 2026

Stafræn umbreyting mannauðsstjórnunar hefur flýtt sér töluvert frá 2020: starfssamningar, breytingar, launaseðlar, reglur um upplýsingatækni, samningar um fjarvinnu — nær allir þessir skjöl flytjast nú á stafrænu formi. Engu að síður, stafræn umbreyting merkir ekki að sleppast undan lagalegum skyldum. Þvert á móti: rafræn undirritun HR-skjala GDPR er viðfangsefni með tveimur eftirlitsramma, þar sem það tengir saman eIDAS-rammann um sönnunargild undirskriftar og evrópsku reglugerðina um persónuvernun. Ef ekki er vel stýrt, setur þessi tvöfaldi þvinginn fyrirtækið í hættu vegna lagalegra áhættu og sekta frá CNIL. Þessi leiðarvísir kynnir þér nauðsynlegar reglur, bestu starfsvenjur og mikilvæga athugunarðá sem þú verður að vita árið 2026.

Hvers vegna á GDPR við um rafræna undirritun HR?

Rafræn undirritun afgreiðir endilega persónuupplýsingar

Að undirrita starfssamning á netinu felur í sér að safna, senda og geyma persónuupplýsingar samkvæmt 4. grein GDPR nr. 2016/679: nafn, fornafn, fagleg tölvupóstfang, stundum farsímanúmer, tímastimpill og IP-tala undirskriftar. Í HR-samhengi eru þessar upplýsingar sérstaklega viðkvæmar vegna þess að þær bera beina kenningu á starfsmanni og tengjast hans samningsbundnu sambandi við vinnuveitanda.

Treystilsideyndar sem veitir undirritunarlausnina (PSC) flokkast sem gagnasöfnuð samkvæmt 28. grein GDPR. Vinnuveitandinn helst sem ábyrg aðili. Þessi aðgreining er grundvallaratriði: það er fyrirtækið sem ber ábyrgð fyrir CNIL ef um vanefndir er að ræða, ekki hugbúnaðarveitandinn.

Lagalegir grundvellir sem hægt er að nota í HR-samhengi

Fyrir hverja tegund stafræna HR-skjala verður vinnuveitandinn að bera kennsl á viðeigandi lagalegum grunni fyrir meðhöndlun:

• Framkvæmd samnings (gr. 6.1.b GDPR): undirritun starfssamnings, launabreytingar, samninga um fasta daga. Þetta er traustasti lagalegasti grundvöllur fyrir samningsskjöl.

• Lagaleg skylda (gr. 6.1.c GDPR): stafræn afhending launaseðils (heimiluð frá Macron-lögum 2015 með ákveðnum skilyrðum), starfsmanna- og persónuskrár.

• Lögmæt hagsmunir (gr. 6.1.f GDPR): reglur um tölvutækni, starfskjör, innri stefnuskjöl — með fyrirvara um að standast stærðarprófið.

Tilvikin samþykki (gr. 6.1.a) ætti að forðast í HR-samhengi: CNIL og EDPB telja að undirskipun milli vinnuveitanda og starfsmanns geri samþykki sjaldan frjálst. Starfsmaður sem neitar að undirrita rafrænt gæti haft ótta við fagleg afleiðingar.

Alger skyldur ábyrgs aðila HR

Uppfærðu skrá yfir vinnslustarfsemi (RAT)

1. grein 30 GDPR krefst þess að öll aðili með fleiri en 250 starfsmenn (og lítil og meðalstór fyrirtæki sem meðhöndla viðkvæm gögn í stærri mælikvarða) gangi frá skrá yfir vinnslustarfsemi. Innleiðing undirritunarlausnar fyrir HR-skjöl verður að vera þar með:

• Markmið vinnslu (t.d.: stafræn umbreyting og skjalasafn HR-samningsskjala)

• Flokkar gagna sem meðhöndluð eru (auðkenni, samskiptaupplýsingar, auðkenningargögn)

• Varðveisluseðill (lagaleg varðveislutími starfssamnings: 5 ár eftir starfslok samkvæmt vinnulögum, 1. mgr. L. 1234-20)

• Aðsetur undirverktaka (undirritunarvettvangs)

• Öryggisaðgerðir sem settar eru á laggirnar

Undirrituðu DPA (Data Processing Agreement) við þjónustuveitandann

Samkvæmt 28. grein GDPR verður allur notkun á undirverktaka til að meðhöndla persónuupplýsingar að vera formlegur með gagnavinnslusamningi (DPA). Þessi samningur verður að tilgreina:

• Markmið og lengd meðhöndlunar

• Eðli og markmið meðhöndlunar

• Tegundir persónuupplýsinga og flokkar einstaklinga

• Skyldur og réttindi ábyrgs aðila

• Staðsetningu gagna (stafræn geymsla innan ESB æskileg til að forðast flutning utan EES)

• Öryggisaðgerðir varðandi tækni og stofnun

Alvarlegur undirritunarveitandi býður kerfisbundið upp á DPA sem farið er eftir reglum. Skortur á henni er tafarlaus ósamræmi sem hægt er að refsa.

Upplýstu starfsmenn fyrir fyrstu undirskrift

1. grein GDPR krefst fyrri upplýsingar til einstaklinga sem gögn þeirra eru söfnuð. Fyrir stafrænu undirritun HR-skjala verður vinnuveitandinn að upplýsa starfsmenn:

• Um auðkenni ábyrgs aðila

• Markmið og lagalega grunn

• Varðveislutíma gagna

• Um réttindi þeirra (aðgangur, leiðrétting, eyðing innan takmarkana lagalegra varðveisluskyldu, flytjanleiki)

• Samskiptaupplýsingum DPO (gagnaverndarkona) ef henni er úthlutað

Þessar upplýsingar geta verið hluti af undirskriftarferlinu (upplýsingaflögg fyrir undirritun), í endurskoðuðu starfskjörum eða í gegnum þjónustuboð sem dreift er við útfærslu.

Undirritunarstig sem krafist er fyrir HR-skjöl: SES, AES eða QES?

Stigveldi eIDAS-stiga

Reglugerð eIDAS nr. 910/2014 skilgreinir þrjú undirritunarstig, hvert með aukinn sönnunargild:

• SES (Simple Electronic Signature / Einföld rafræn undirritun): lág sönnunargild, viðeigandi fyrir skjöl með lágum áhugamálum (kvittanir á móttöku, innri eyðublöð)

• AES (Advanced Electronic Signature / Framhaldin rafræn undirritun): tengd einkvæmt undirritanda, mynduð frá gögnum undir einkalegri stjórn hans. Hentugt fyrir flest venjuleg HR-skjöl.

• QES (Qualified Electronic Signature / Hæf rafræn undirritun): hæsti stiginn, jafngild handritaðri undirskrift samkvæmt 25. grein 2 eIDAS. Krefst aukinna auðkenningaprófunar (andlit-til-andlits eða myndbandauðkenningar).

Hvaða stig fyrir hvaða HR-skjöl?

Ráðlögð kortlagning árið 2026, með tilliti til fyrirliggjandi franskra dóma og sérfræðiábeninganna:

| HR-skjal | Ráðlagt stig | Röksemdaasvörun | |---|---|---| | CDI/CDD starfssamningur | AES lágmark, QES ráðlagt | Sterk samningaverðmæti, pruðhommal áhætta | | Samningabréytingu | AES lágmark, QES ráðlagt | Sama röksemdaasvörun og aðalsamningur | | Prófunartímabil (endurnýjun) | AES | Stutt frestur, takmarkaður formlegir | | Fjarvinnutillaga / BYOD | SES eða AES | Sameiginlegur eða starfskjalir | | Forsvarðir samningur | QES metin mikilvæg | Félagsleg réttarfarsreynsla strangt, hátt markmið | | Samningsbundin rif | QES skylda | Samræmdu Cerfa-eyðublaðið, há áhætta | | Kvittun fyrir öllum fjundum | AES eða QES | Lausanagildi, vinnulög 1. mgr. L. 1234-20 |

Fyrir skjöl með háum deilumálum (forsvarar samningur, samningsbundin rif), QES er í raun nauðsynlegt til að tryggja gagnagildi fyrir pruðhommal dómstóla. Kassakörnun hefur smám saman harðnat kröfur um sönnun um samkomulag starfsmanns.

Geymsla, skjalasafn og réttindi einstaklinga: gildrurnar til að forðast

Lagalegir varðveislutímar fyrir undirritað HR-skjöl

Varðveisla undirritaðra HR-skjala hlýðir bindandi lagalegum varðveislutíma. Þessir tímar hafa forgang umfram rétt til eyðingar samkvæmt GDPR (gr. 17.3.b):

• Starfssamningur: 5 ár eftir starfslok (pruðhommal frestur, gr. L. 1471-1 vinnulögum)

• Launaseðlar: 5 ár (frestur fyrir launum), en varðveisla æskileg þar til afturköllun lífeyris starfsmanns

• Skjöl um slys á vinnustað: 30 ár (langtíma deilumálsáhætta)

• Fagleg þjálfun (áætlanir, vottorð): 3 ár

• Starfsmannaskrár: 5 ár eftir því að starfsmaðurinn yfirgaf stofnunina

Stafræn skjalasafn með sönnunargaldi verður að uppfylla kröfur NF Z 42-013 staðals og helst ETSI EN 319 162 (langtíma skjalasafn rafrænna undirskrifta). Einföld geymsla á netþjóni dugar ekki: þú verður að tryggja heilleika, læsileika og hæfs tímastimpla skjala á allri varðveislutímabilinu.

Stjórnaðu réttindum starfsmanna án þess að skerða sönnunargild

Starfsmaður getur með sannarlega framhaldið réttinum sínum til aðgangs (gr. 15 GDPR) til að fá afrit af undirritun gagna sem varða hann. Hann getur einnig óskað eftir leiðréttingu ónæmra gagna.

Hins vegar, réttur til eyðingar (gr. 17 GDPR) getur ekki nýst á HR-skjölum sem eru háð lagalegum varðveisluskyldum. Vinnuveitandinn verður að geta útskýrt þennan synjun með skýrri hætti, með því að vitna í gildandi lagalegum grunni. Að skjalfesta þessa samskipti í skrá yfir beiðnir um réttindi er góð venja sem CNIL leggur til.

Flytjanleiki (gr. 20 GDPR) á við um gögn sem starfsmaðurinn veitir á grundvelli samþykkis eða framkvæmdar samnings. Í raun getur starfsmaður beðið um undirritunargögn hans á skipulögðu sniði — skylda sem á að gera ráð fyrir við val á undirritunarlausn.

Tæknilegt og skipuleggt öryggi: nauðsynlegar aðgerðir

Tæknilegar kröfur undirritunarvettvangs

Samkvæmt 32. grein GDPR verða öryggisaðgerðir að vera þeim hættu sem til greina kemur viðeigandi. Fyrir rafræna undirritunarlausn HR þýðir það sérstaklega:

• Dulkóðun gagna í flutningi (TLS 1.3 lágmark) og í orði (AES-256)

• Fjölþátta auðkenning (MFA) fyrir aðgang að vettvangi

• Endurskoðunarskrár (logs) með tímastimpli og óbreytilegir, sem rekja hverja aðgerð á skjalinu

• Geymsla innan ESB (eða EES) til að forðast flutning utan EES án fullnægjandi tryggininga (ákvarðan um fullnægjandi eða samningsbundnar gerðar)

• Prófunir innbrotats árlega og ISO 27001 vottun undirverktaka

• Áætlun um viðhald sem tryggir aðgengi til þjónustu og endurheimt gagna ef um atvika er að ræða

Áhrifagreining (DPIA): hvenær er hún nauðsynleg?

1. grein GDPR krefst áhrifagreiningar á gagnavernd (DPIA) þegar meðhöndlun skapar há áhættu. CNIL gaf út lista yfir tegundir meðhöndlunar sem krefst DPIA: meðhöndlun í stærri mælikvarða á faglegu gögnum eru þar nefnd.

Í rauninni, DPIA er ráðlögð (jafnvel skylda fyrir stór fyrirtæki) við útfærslu undirritunarlausnar HR sem snertir alla samstarfsmenn. Hún ætti að bera kennsl á áhættu (tap á trúnaðarsamtali, persónuauðkenning, skjalaskipti), meta alvarleika þeirra og líkur á því, og gefa tillögur um endalok aðgerðir. Þessi greining verður að vera skjalfest og endurskoðuð ef meðhöndlun breytist.

Lagalegur rammi sem gildir um rafræna undirritun HR og GDPR

Grundvallar evrópsk textar

Reglugerð eIDAS nr. 910/2014 (og endurskoðun hennar eIDAS 2.0 sem nú er í gangi): þessi texti skilgreinir þrjú undirritunarstig (SES, AES, QES) og löglegt gildi þeirra um alla aðildarlöndu. 25. grein segir að QES hafi löglegt gildi jafnt og jafnt handritaðri undirskrift. 26. grein tilgreinir tæknilegar kröfur undirskriftar. Traustir þjónustuveitendur eru skráðir á traustalista þjóða (í Frakklandi er listinn stýrt af ANSSI).

GDPR nr. 2016/679: gildandi frá 25. maí 2018, þessi reglugerð stjórnar allri meðhöndlun persónuupplýsinga innan ESB. Greinarnar 5 (meginreglur), 6 (lagalegir grunnar), 13-14 (upplýsingar), 28 (undirverktakar), 30 (skrá), 32 (öryggi), 35 (DPIA) og 37-39 (DPO) eru beinlínis mikilvægar fyrir rafræna undirritun HR.

Frönsk lög sem gilda

Borgaralög, greinar 1366-1367: 1366. grein setur fram meginregluna um jafngilda starfrækslu milli rafrænnar og pappírsskrinar. 1367. grein viðurkennir rafræna undirritun sem sönnunargátun, með því skilyrði að hún samanstandi af áreiðanlegri auðkenningsaðferð sem tryggir tenginguna við skjalið. Áreiðanleiki er fyrirsæl fyrir QES, en getur verið sannað fyrir AES.

Vinnulög: 1. mgr. L. 1221-1 krefst ekki sérstakrar myndunar fyrir starfssamning (nema undantekningar: CDD gr. L. 1242-12, iðnmenntunarsamningu, osfrv.). Macron-lögin frá 2015 (lög nr. 2015-990) opnuðu veginn fyrir rafafræn launaseðil. 2. mgr. L. 3243-2 stjórnar kjörunum.

Lög um upplýsingatækni og friðhelgi endurskoðuð (lög nr. 78-17 frá 6. janúar 1978): framkvæmd GDPR í Frakklandi, það gefur CNIL vald til rannsóknar og refsa. Sektir geta náð 20 milljónum evra eða 4% af árlegri heildarveltu fyrir alvarlegustu brot.

Tæknilegar viðmiðsstaðalkrair

• ETSI EN 319 132: snið undirritaðrar rafrænnar undirskriftar XAdES, gildandi fyrir XML-skjöl

• ETSI EN 319 122: snið CAdES fyrir undirritun rafrænnar undirritunar CMS-skjala

• ETSI EN 319 162: langtíma skjalasafn rafrænna undirskrifta (ASiC)

• NF Z 42-013 (AFNOR): starfræknilegar kröfur fyrir stafrænt skjalasafrið með sönnunargaldi

• ISO/IEC 27001: stöðvun upplýsingatrygginga, tilvisunar stöðlun undirverktaka

Lagaleg áhætta vegna ósamræmis

Tiltekin margir áhættuflokkar eru verulegir: starfssamningur sem undirritaður er með ótilhlýðilegu undirritunsstigi getur verið mótmælt fyrir pruðhommal dómstóli, sem gerir vinnuveitandann hættulegri fyrir endurflokkunar eða ógildi. Á GDPR-flokknum getur skortur á DPA við undirverktaka, vanræksla á upplýsingum starfsmanna eða geymsla utan ESB án fullnægjandi trygginga leitt til tilhagningar frá CNIL, jafnvel opinberrar stjórnsýslurefselar.

Notkunarsvið: rafræn undirritun HR sem samræmist GDPR

Atburðarás 1: 600 starfsmanna iðnfyrirtæki stafrænar undirritun starfssamnings

Meðalstór iðnfyrirtæki með fjóra stafi í Frakklandi meðhöndlaði um það bil 180 CDI/CDD ábúðir á hverju ári, sem mynduðu jafn margar pappírsmöppur til að prenta, undirrita í tvöföldu eintaki, stafrænt skanna og skrá. Frestur milli atvinnutilboðs og raunverulegrar starfssamningsundirskriftar náði að meðaltali 8 virkum dögum.

Eftir útfærslu framhaldinnar rafrænnar undirritunarlausnar (AES) sem tengd var SIRH-heild hans, með DPA samræmis GDPR undirritaðri við undirverktaka og skjalfestri DPIA, fækkaði fyrirtækið þessum frestur í innan við 24 klst. Hlutfall óheilla dóma fór niður um 34% (heimild: ANDRH 2024 atvinnusvið). Geymsla gagna í Frakklandi var valin sem samningsbundin skilyrði, sem útilokaði hættu á flutningi utan EES. Starfsmenn eru upplýstir um meðhöndlun í gegnum upplýsingaflögg innan undirskriftarferils, tryggt samræmi við 13. grein GDPR.

Atburðarás 2: smásölufranch-net setur upp QES-undirritun fyrir forsvarðasamning

Dreifingarnet sem sérhæfir sig í því og hefur um 60 verslanir og 100 stjórnendur á forsvarðum dögum stóð frammi fyrir aukinni pruðhommal áhættu sem löggeil hans hafði greint: margir forsvarðsamningar gátu aðeins sannað með pappírskópum sem lélegir eru í gæðum. Kassakörnun harðnaði kröfur um sönnun á þessari tegund samnings, og áhættan á deilumálum var metin á nokkur hundruð þúsund evra.

Netið fór í útfærslu hæfs undirritunarlausnar (QES) fyrir alla nýja samkváma og bauð stjórnendum sem eru til staðar að endurundirrita sína núverandi samkomulag. Auðkenning um myndbandauðkenningu var valin. Skrá yfir vinnslustarfsemi var uppfærð, og ytri DPO staðfesti GDPR-samræmi undirskriftarferlisins. Innan 6 mánaða hafði heill forsvarðarsamningsbirgðir verið tryggð. Kostnaður við framboðið (um 15 til 25 € fyrir hverja QES-undirritun samkvæmt vettvangsveitu markaðarins) var talinn margfaldan minni en deilumálaáhættan sem félagslegur var.

Atburðarás 3: sveitarfélag stafrænar breytingar og fjarvinnutillögur

Sveitarfélag með um 1.200 ástæðu starfsmenn vildi stafrænt stjórna fjarvinnutillögum sínum eftir þjóðlega rammarsamning um fjarvinnu frá 2021. Magn til meðhöndlunar var um 400 skjöl á ári, með sérstökum þvingunum: starfsmennirnir eru opinberir aðilar sem gögn þeirra eru háð sérstaklega stýrðri meðhöndlun.

Sveitarfélagið kaus framhaldin undirritun (AES), með ríkisstyrkja geymslu hjá viðurkenndum undirverktaka SecNumCloud frá ANSSI. DPIA var lögð fyrir DPO sveitarfélagsins fyrir útfærslu. Starfsmenn voru upplýstir um þjónustuboð sem birt var á innriti og upplýsingaflögg innan stafrænnar framvindu. HR-þjónusta átti eftir að meta hagnað upp á 3 ETP-daga á mánuði við stjórnun breytinganna, jafnvægi sem samsvarar um 35.000 € árlegum beinum kostnaði, sem er í samræmi við birtum bilum frá Áhersluathugun á stafrænni umbreytingu sveitarfélaga (2025).

Niðurstöður

GDPR-samræmi rafrænnar undirskriftar fyrir HR-skjöl er ekki sannarlega val: það skilyrðir bæði löglegt gildi aðgerða þinna og verndun réttinda starfsmanna þinna. Árið 2026 standa fyrirtæki sem hafa ekki ennþá uppfært skrá yfir meðhöndlun, undirritað DPA við undirverktaka sinn og aðlagað undirritunarstig á hverri tegund skjals frammi fyrir tvöfaldri áhættu — pruðhommal og stjórnsýslu — sem fjárlegrar afleiðingum geta verið umtalsverðar.

Góðu fréttirnar: vel valin og stillt lausn gerir þér kleift að samræma rekstur flæði, eIDAS-samræmi og GDPR-samræmi án núnings fyrir HR-teymi eða starfsmenn.

Certyneo fylgir þér í þessari framför: eIDAS-samræmi vettvangur, DPA tiltækt, evrópsk geymsla og undirskriftarferli hugsaður fyrir HR. Finndu okkar lausn sem tileinkuð HR eða reiknaðu ROI þess að flytja í fullt stafrænt form á nokkrum smellum.