Podpis elektroniczny a RODO: zgodność, ochrona danych i wybór dostawcy

Podpis elektroniczny RODO to połączenie, które w praktyce biznesowej coraz częściej wymaga precyzyjnej analizy prawnej. Stosowanie podpisu elektronicznego wiąże się z przetwarzaniem danych osobowych – zarówno tożsamości podpisującego, jak i treści samego dokumentu. Organizacje wdrażające elektroniczne podpisywanie dokumentów muszą zatem jednocześnie spełniać wymogi rozporządzenia eIDAS oraz przepisów o ochronie danych osobowych. Poniższy artykuł wyjaśnia, jakie obowiązki z tego wynikają, na co zwrócić uwagę przy wyborze dostawcy oraz jak zaprojektować proces podpisywania tak, by był zgodny z obowiązującym prawem.

Czym jest podpis elektroniczny i jakie dane osobowe przetwarza

Podpis elektroniczny to dane w postaci elektronicznej, które są dołączone do innych danych lub logicznie z nimi powiązane i które są używane przez podpisującego jako podpis. Definicja ta pochodzi z rozporządzenia eIDAS i obejmuje trzy poziomy: podpis zwykły, zaawansowany i kwalifikowany. Różnią się one stopniem pewności co do tożsamości podpisującego – a im wyższy poziom, tym więcej danych osobowych jest zaangażowanych w proces weryfikacji.

Więcej na temat różnic między poszczególnymi rodzajami podpisów można znaleźć w artykule czym różni się podpis cyfrowy od elektronicznego i kiedy wymagany jest certyfikat.

Dane przetwarzane przy podpisie zwykłym

Przy najprostszym rodzaju podpisu przetwarzane są zazwyczaj: adres e-mail podpisującego, znacznik czasu oraz adres IP urządzenia. Mimo że zakres danych wydaje się niewielki, adres e-mail i adres IP są danymi osobowymi w rozumieniu RODO, co oznacza, że ich gromadzenie wymaga podstawy prawnej i odpowiedniej dokumentacji.

Dane przetwarzane przy podpisie zaawansowanym i kwalifikowanym

Podpis zaawansowany może wymagać dodatkowego potwierdzenia tożsamości – np. poprzez kod SMS wysłany na numer telefonu. Podpis kwalifikowany natomiast zawsze opiera się na certyfikacie wystawionym przez kwalifikowany urząd certyfikacji, który identyfikuje podpisującego z imienia i nazwiska, a niekiedy również zawiera numer PESEL lub numer identyfikacyjny. Zakres przetwarzanych danych jest tu znacznie szerszy, co rodzi bardziej rozbudowane obowiązki zarówno po stronie dostawcy podpisu, jak i organizacji, która wdraża to rozwiązanie.

Podstawy prawne przetwarzania danych przy podpisywaniu elektronicznym

Każde przetwarzanie danych osobowych wymaga podstawy prawnej. W kontekście podpisywania elektronicznego najczęściej zastosowanie mają trzy spośród przesłanek wymienionych w RODO.

Niezbędność do wykonania umowy

Gdy podpis elektroniczny służy zawarciu lub wykonaniu umowy – np. umowy o świadczenie usług lub umowy sprzedaży – przetwarzanie danych podpisującego może opierać się na przesłance niezbędności do wykonania umowy, której stroną jest osoba, której dane dotyczą. W praktyce oznacza to, że administrator nie musi odbierać odrębnej zgody na przetwarzanie danych służących wyłącznie do złożenia podpisu.

Uzasadniony interes administratora

W niektórych przypadkach – np. gdy podpisującym jest pracownik lub kontrahent będący osobą fizyczną – podstawą przetwarzania może być uzasadniony interes administratora. Wymaga to jednak przeprowadzenia tzw. testu równowagi interesów i udokumentowania jego wyniku.

Obowiązek prawny

Gdy przepisy szczególne nakazują przechowywanie podpisanych dokumentów przez określony czas – jak ma to miejsce w obszarze dokumentacji pracowniczej regulowanej Kodeksem pracy – przetwarzanie danych wynikające z archiwizacji dokumentów opiera się na przesłance obowiązku prawnego ciążącego na administratorze.

Obowiązek informacyjny wobec podpisującego

Niezależnie od wybranej podstawy prawnej, administrator danych ma obowiązek podać osobie podpisującej określone informacje zgodnie z art. 13 lub art. 14 RODO – odpowiednio w zależności od tego, czy dane zostały zebrane bezpośrednio, czy pozyskane z innego źródła.

Moment i sposób przekazania informacji

Obowiązek informacyjny powinien być spełniony najpóźniej w momencie pozyskania danych – czyli przed złożeniem podpisu lub w jego trakcie. W praktyce dostawcy usług podpisywania elektronicznego często umieszczają stosowne informacje w treści zaproszenia do podpisania dokumentu albo na stronie, na której podpisujący składa swój podpis. Organizacja wdrażająca podpis elektroniczny powinna upewnić się, że przyjęty mechanizm faktycznie spełnia ten wymóg, a nie jedynie formalnie odsyła do ogólnej polityki prywatności.

Co powinien zawierać obowiązek informacyjny

Informacja powinna obejmować co najmniej: tożsamość i dane kontaktowe administratora, cel i podstawę prawną przetwarzania, ewentualnych odbiorców danych (w tym dostawcę usługi podpisu), okres przechowywania lub kryteria jego ustalania, a także prawa przysługujące osobie, której dane dotyczą. Jeżeli dostawca usługi jest podmiotem przetwarzającym, jego dane powinny pojawić się w klauzuli informacyjnej jako odbiorca lub podmiot przetwarzający.

Umowa powierzenia przetwarzania danych z dostawcą podpisu elektronicznego

Korzystanie z zewnętrznego dostawcy usługi podpisywania elektronicznego niemal zawsze oznacza powierzenie mu przetwarzania danych osobowych. Wymaga to zawarcia umowy powierzenia przetwarzania danych, tzw. DPA (Data Processing Agreement), spełniającej wymogi art. 28 RODO.

Co powinna regulować umowa powierzenia

Umowa powierzenia powinna określać: przedmiot i czas trwania przetwarzania, charakter i cel przetwarzania, rodzaj danych osobowych i kategorie osób, których dane dotyczą, a także obowiązki i prawa administratora. Szczególną uwagę należy zwrócić na postanowienia dotyczące podpowierzenia – czyli sytuacji, gdy dostawca korzysta z usług podmiotów trzecich (np. dostawców infrastruktury chmurowej).

Przekazywanie danych poza EOG

Jeżeli infrastruktura dostawcy lub jego podwykonawców znajduje się poza Europejskim Obszarem Gospodarczym, konieczne jest zastosowanie odpowiednich mechanizmów transferu danych, takich jak standardowe klauzule umowne zatwierdzone przez Komisję Europejską. Organizacja powinna sprawdzić tę kwestię przed podpisaniem umowy z dostawcą.

Zasady minimalizacji danych i ograniczenia celu

RODO wymaga, by przetwarzane były wyłącznie te dane, które są adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, w których są przetwarzane (zasada minimalizacji danych). W kontekście podpisu elektronicznego oznacza to, że dostawca i organizacja nie powinny zbierać danych wykraczających poza to, co konieczne do potwierdzenia tożsamości i integralności dokumentu.

Praktyczne wskazówki dotyczące tego, jak prawidłowo podpisać dokument z zachowaniem wymagań formalnych, zawiera artykuł jak podpisać dokument elektronicznie krok po kroku.

Ograniczenie celu i wtórne wykorzystanie danych

Dane zebrane w celu złożenia podpisu elektronicznego nie mogą być wtórnie wykorzystywane do innych celów – np. do celów marketingowych – bez odpowiedniej podstawy prawnej i poinformowania osób, których dane dotyczą. Organizacje powinny zadbać o to, by wewnętrzne procedury i polityki jednoznacznie określały, do czego służą dane gromadzone w procesie podpisywania.

Wybór dostawcy podpisu elektronicznego a zgodność z RODO

Wybierając dostawcę usługi podpisu elektronicznego, należy zweryfikować szereg kwestii związanych z ochroną danych, zanim dojdzie do podpisania jakiejkolwiek umowy.

Lista kontrolna przy wyborze dostawcy

Przy ocenie dostawcy warto sprawdzić:

• czy oferuje gotową umowę powierzenia przetwarzania danych spełniającą wymogi RODO;
• gdzie fizycznie lub logicznie przechowywane są dane i dokumenty;
• czy korzysta z podwykonawców spoza EOG i jakie mechanizmy transferu stosuje;
• czy posiada wdrożone procedury reagowania na naruszenia ochrony danych i czy informuje o nich klientów;
• czy umożliwia realizację praw osób, których dane dotyczą (np. prawo do usunięcia danych po zakończeniu współpracy).

Szczegółowe informacje o ofercie i cenach dostępne są na stronie cennika. W przypadku pytań dotyczących zgodności lub specyficznych wymagań organizacji warto skontaktować się z działem sprzedaży.

Weryfikacja autentyczności i integralności podpisów

Aspektem ochrony danych jest również zdolność do wykazania, że dokument nie został zmodyfikowany po podpisaniu. Mechanizmy weryfikacji integralności i autentyczności są integralną częścią systemów podpisywania elektronicznego. Więcej na temat tego, jak sprawdzić ważność złożonego podpisu, opisuje artykuł weryfikacja podpisu elektronicznego – jak sprawdzić jego ważność.

Ramy prawne

Poniżej omówione są kluczowe akty prawne mające zastosowanie do zagadnienia podpisu elektronicznego w kontekście ochrony danych osobowych.

Rozporządzenie eIDAS (UE) nr 910/2014

Rozporządzenie eIDAS ustanawia jednolite ramy prawne dla usług zaufania i podpisów elektronicznych na terenie całej Unii Europejskiej. Określa definicje podpisu zwykłego, zaawansowanego i kwalifikowanego, a także wymogi wobec kwalifikowanych dostawców usług zaufania, którzy podlegają nadzorowi krajowych organów. Organizacja stosująca podpis elektroniczny powinna upewnić się, że wybrany przez nią poziom podpisu jest adekwatny do wymogów prawnych dotyczących konkretnego rodzaju dokumentu.

Ustawa o usługach zaufania oraz identyfikacji elektronicznej z 5 września 2016 r.

Ustawa ta implementuje rozporządzenie eIDAS do polskiego porządku prawnego, wskazując organ nadzoru – którym jest minister właściwy do spraw informatyzacji – oraz określając zasady działania polskich kwalifikowanych dostawców usług zaufania. Organizacje stosujące podpis kwalifikowany powinny weryfikować, czy wybrany dostawca certyfikatu figuruje na polskiej liście zaufanych dostawców (TSL).

Kodeks cywilny – art. 78 i art. 78¹

Artykuł 78 Kodeksu cywilnego reguluje formę pisemną oświadczenia woli, zaś art. 78¹ wprowadza równoważność elektronicznej formy oświadczenia woli z formą pisemną, pod warunkiem złożenia oświadczenia w postaci elektronicznej i opatrzenia go kwalifikowanym podpisem elektronicznym. Oznacza to, że do czynności prawnych wymagających formy pisemnej pod rygorem nieważności konieczne jest stosowanie podpisu kwalifikowanego, a nie podpisu zwykłego czy zaawansowanego.

RODO i ustawa o ochronie danych osobowych

Rozporządzenie ogólne o ochronie danych (RODO) nakłada na administratorów obowiązek zapewnienia podstawy prawnej przetwarzania, realizacji obowiązku informacyjnego, zawarcia umów powierzenia z podmiotami przetwarzającymi oraz wdrożenia odpowiednich środków technicznych i organizacyjnych. Polska ustawa o ochronie danych osobowych uzupełnia te przepisy, wskazując m.in. kompetencje Prezesa Urzędu Ochrony Danych Osobowych jako krajowego organu nadzorczego. Naruszenie przepisów RODO może skutkować wszczęciem postępowania przez PUODO oraz nałożeniem administracyjnej kary pieniężnej.

Kodeks pracy – dokumentacja pracownicza

Przepisy Kodeksu pracy regulują zasady prowadzenia i przechowywania dokumentacji pracowniczej, w tym dopuszczalność prowadzenia jej w formie elektronicznej. Organizacje stosujące podpis elektroniczny w procesach kadrowych powinny upewnić się, że przyjęty poziom podpisu spełnia wymagania właściwe dla konkretnego rodzaju dokumentu pracowniczego. Więcej informacji na ten temat zawiera artykuł umowa o pracę a podpis elektroniczny – jaka forma jest wymagana.

Przykłady zastosowań

Scenariusz 1: Firma usługowa podpisująca umowy z klientami indywidualnymi

Średniej wielkości firma świadcząca usługi doradcze zawiera umowy z klientami będącymi osobami fizycznymi. Przed wdrożeniem podpisu elektronicznego firma oceniła, jaki poziom podpisu jest wymagany dla stosowanych przez nią typów umów, oraz przygotowała zaktualizowaną klauzulę informacyjną opisującą przetwarzanie danych w procesie podpisywania. Z wybranym dostawcą usługi podpisu zawarto umowę powierzenia przetwarzania danych. Klientom przesyłane jest zaproszenie do podpisania dokumentu zawierające skróconą informację o administratorze danych i celu przetwarzania, a pełna klauzula dostępna jest pod linkiem w treści wiadomości.

Scenariusz 2: Dział HR podpisujący dokumentację pracowniczą

Dział zasobów ludzkich dużego pracodawcy wdrożył podpisywanie elektroniczne dokumentów kadrowych – aneksów do umów o pracę, regulaminów i wniosków urlopowych. Przed wdrożeniem przeprowadzono analizę, które dokumenty mogą być podpisywane podpisem kwalifikowanym, a które dopuszczają niższy poziom. Zidentyfikowano dostawcę usługi z siedzibą na terenie EOG, z którym zawarto stosowną umowę powierzenia. Zaktualizowano wewnętrzną politykę ochrony danych, by obejmowała nowy proces, oraz poinformowano pracowników o sposobie przetwarzania ich danych.

Scenariusz 3: Instytucja finansowa obsługująca klientów zdalnie

Instytucja finansowa umożliwia klientom zdalne podpisywanie umów produktowych przy użyciu podpisu zaawansowanego z weryfikacją tożsamości. Proces weryfikacji wiąże się z przetwarzaniem danych biometrycznych lub danych z dokumentu tożsamości, co stanowi przetwarzanie szczególnej kategorii danych lub danych wymagających dodatkowej staranności. Instytucja przeprowadziła ocenę skutków dla ochrony danych (DPIA) przed uruchomieniem procesu, udokumentowała jej wyniki i wdrożyła dodatkowe środki minimalizujące ryzyko dla praw i wolności klientów.

Najczęściej zadawane pytania

Czy podpis elektroniczny zawsze wiąże się z przetwarzaniem danych osobowych?

Tak. Każdy podpis elektroniczny – nawet najprostszy – zawiera co najmniej adres e-mail lub adres IP osoby podpisującej, które są danymi osobowymi w rozumieniu RODO. Organizacje stosujące podpisywanie elektroniczne muszą zadbać o odpowiednią podstawę prawną przetwarzania i spełnienie obowiązku informacyjnego niezależnie od wybranego poziomu podpisu.

Czy muszę podpisywać umowę powierzenia z dostawcą usługi podpisu elektronicznego?

W przeważającej większości przypadków tak. Jeżeli dostawca przetwarza dane osobowe w imieniu organizacji – co ma miejsce przy przechowywaniu dokumentów, danych podpisujących czy dzienników audytu – jest podmiotem przetwarzającym w rozumieniu RODO. Zawarcie umowy powierzenia przetwarzania danych jest wówczas obowiązkiem prawnym administratora. Brak takiej umowy stanowi naruszenie przepisów RODO i może skutkować interwencją organu nadzorczego.

Jaki poziom podpisu elektronicznego jest wymagany dla ważności umów?

Odpowiedź zależy od rodzaju czynności prawnej. Dla czynności wymagających formy pisemnej pod rygorem nieważności Kodeks cywilny wymaga podpisu kwalifikowanego. Dla pozostałych umów cywilnoprawnych wystarczający może być podpis zwykły lub zaawansowany – jednak warto każdorazowo weryfikować wymogi właściwe dla danego rodzaju dokumentu, ponieważ przepisy szczególne mogą ustanawiać dodatkowe wymagania formalne.

Gdzie powinny być przechowywane podpisane dokumenty z perspektywy RODO?

RODO nie narzuca konkretnej lokalizacji geograficznej przechowywania danych wewnątrz EOG, ale transfer danych do państw trzecich wymaga zastosowania odpowiednich zabezpieczeń. Organizacja powinna wiedzieć, gdzie dostawca przechowuje dane i dokumenty, oraz upewnić się, że umowa powierzenia obejmuje postanowienia dotyczące lokalizacji przetwarzania i ewentualnych podwykonawców spoza Europejskiego Obszaru Gospodarczego.

Czy osoba, która podpisała dokument elektronicznie, może żądać jego usunięcia?

Prawo do usunięcia danych (tzw. prawo do bycia zapomnianym) nie jest bezwzględne. Jeżeli dokument jest przechowywany w wykonaniu obowiązku prawnego lub w celu ustalenia, dochodzenia lub obrony roszczeń, administrator może odmówić usunięcia danych. Organizacja powinna określić okresy przechowywania podpisanych dokumentów adekwatne do celów przetwarzania i udokumentować je w rejestrze czynności przetwarzania.

Podsumowanie

Zgodność podpisu elektronicznego z RODO nie jest kwestią jednorazową – wymaga przemyślanego projektowania procesu, starannego doboru dostawcy i utrzymywania aktualnej dokumentacji ochrony danych. Kluczowe obszary to: identyfikacja danych przetwarzanych przy podpisywaniu, dobór właściwej podstawy prawnej, spełnienie obowiązku informacyjnego wobec podpisujących oraz zawarcie umowy powierzenia z dostawcą usługi. Równie istotne jest zrozumienie, jaki poziom podpisu jest wymagany dla konkretnych kategorii dokumentów, by nie narażać organizacji na ryzyko nieważności czynności prawnej.

Organizacje, które chcą wdrożyć podpisywanie elektroniczne w zgodzie z obowiązującymi przepisami, mogą rozpocząć od zapoznania się z ofertą Certyneo – usługi umożliwiającej elektroniczne podpisywanie dokumentów. Bezpłatne konto można założyć bezpośrednio na stronie Certyneo i przetestować proces w praktyce.