Elektronisk signatur och GDPR: så uppfyller du dataskyddskraven

Att använda elektronisk signatur är effektivt och juridiskt giltigt i Sverige – men det innebär också att personuppgifter behandlas. Signeringsprocessen fångar upp namn, e-postadresser, IP-adresser och i vissa fall mer känslig identifieringsinformation. Det gör GDPR direkt tillämplig. Enkelt uttryckt: du måste kunna visa att hela signeringsflödet, från inbjudan till arkivering, uppfyller dataskyddsförordningens krav. Den här artikeln förklarar exakt vilka krav som gäller, vad du behöver kontrollera hos din leverantör och hur du bygger upp ett GDPR-säkert signeringsflöde.

Varför GDPR är relevant vid elektronisk signatur

Varje gång ett dokument skickas ut för digital signering behandlas personuppgifter. Avsändarens och mottagarens namn och e-postadress registreras, tidsstämplar kopplade till individer skapas och i många system loggas även enhets- och nätverksinformation. Allt detta är personuppgifter enligt GDPR:s vida definition.

Personuppgiftsansvarig och personuppgiftsbiträde

När ditt företag initierar en signeringsprocess är ni personuppgiftsansvarig. Signeringstjänstens leverantör agerar som personuppgiftsbiträde – de behandlar uppgifterna på era instruktioner. GDPR kräver att ett skriftligt personuppgiftsbiträdesavtal (PBA) finns på plats innan behandlingen börjar. Utan ett sådant avtal bryter ni mot förordningen, oavsett hur säker den tekniska lösningen är.

Rättslig grund för behandlingen

Ni måste kunna peka på en rättslig grund för att behandla de personuppgifter som signeringen genererar. I de flesta affärssituationer är grunden antingen fullgörande av avtal (när den person vars uppgifter behandlas är part i det avtal som signeras) eller berättigat intresse (när exempelvis en anställd signerar ett internt dokument som en tredje part berörs av). Det är ni som personuppgiftsansvarig som avgör och dokumenterar vilken grund som gäller.

Transparens mot de registrerade

Den person som bjuds in att signera ett dokument är registrerad och har rätt till information enligt GDPR. Det innebär att ni – inte bara er leverantör – måste säkerställa att den registrerade vet varför uppgifterna samlas in, hur länge de lagras och vem de kan delas med.

Vad du ska kontrollera hos din signeringsleverantör

Valet av leverantör är ett av de viktigaste dataskyddsbesluten ni fattar. En tekniskt kompetent leverantör som inte uppfyller GDPR:s krav gör er ansvariga för överträdelsen.

Personuppgiftsbiträdesavtal

Kontrollera att leverantören erbjuder ett standardiserat och fullständigt PBA. Avtalet ska reglera ändamålsbegränsning, säkerhetsåtgärder, anlitande av underbiträden, stöd vid incidenthantering och vad som händer med uppgifterna när avtalet upphör. Saknas något av dessa moment är avtalet ofullständigt.

Dataöverföringar utanför EES

Om leverantörens servrar eller underbiträden befinner sig utanför Europeiska ekonomiska samarbetsområdet (EES) krävs ett giltigt överföringsverktyg – exempelvis standardavtalsklausuler (SCC) antagna av EU-kommissionen eller ett beslut om adekvat skyddsnivå för det aktuella landet. Be alltid om dokumentation om var data lagras och bearbetas, och kontrollera om tredjelandsöverföringar förekommer i leverantörens kedja av underbiträden.

Lagringstider och radering

GDPR kräver att personuppgifter inte lagras längre än nödvändigt för det ändamål de samlades in för. För signerade avtal innebär det en balansgång: ni behöver bevara det signerade dokumentet tillräckligt länge för att kunna bevisa att avtalet ingåtts och uppfyllts, men inte i all oändlighet. Klargör med leverantören vilka lagringstider de tillämpar och om ni som kund kan styra raderingen.

Säkerhet och åtkomstkontroll

GDPR artikel 32 kräver lämpliga tekniska och organisatoriska säkerhetsåtgärder. För signeringstjänster innebär det bland annat kryptering av dokument och kommunikation, rollbaserad åtkomstkontroll och loggning av vem som har haft tillgång till ett dokument. Begär leverantörens säkerhetsdokumentation och verifiera att den stämmer överens med era egna riskbedömningar.

eIDAS och GDPR – två regelverk som samverkar

eIDAS-förordningen ((EU) 910/2014) reglerar giltigheten och tillförlitligheten hos elektroniska signaturer, medan GDPR reglerar hur personuppgifter som uppstår i processen får behandlas. De två regelverken är komplementära, inte konkurrerande.

Signaturnivåer och personuppgifter

Skillnaden mellan enkel, avancerad och kvalificerad elektronisk signatur påverkar mängden personuppgifter som behandlas. En kvalificerad signatur (QES) kräver identitetsverifiering via ett kvalificerat certifikat, vilket innebär att mer känsliga identitetsuppgifter hanteras. En enkel elektronisk signatur samlar normalt in färre uppgifter. Välj signaturnivå utifrån både det juridiska krav som gäller för dokumenttypen och den dataminimeringsprincip som GDPR föreskriver.

Auditlogg och bevisvärde

eIDAS kräver att det finns tillförlitliga spår som bekräftar signeringens integritet. Dessa spår – tidsstämplar, hashvärden, signeringsloggar – innehåller per definition personuppgifter och ska behandlas i enlighet med GDPR. Auditloggen är också central för bevisvärdet vid en eventuell tvist; hur ett signerat dokument hanteras vid domstolsprövning beror till stor del på att dessa uppgifter är fullständiga och oförvanskade.

Praktiska steg för ett GDPR-säkert signeringsflöde

Att uppfylla GDPR handlar inte bara om teknik – det handlar om process och dokumentation.

Registervård och behandlingsregister

Enligt GDPR ska organisationer med mer än 250 anställda föra ett register över behandlingsaktiviteter. Men även mindre organisationer bör dokumentera sin signeringsprocess: vilka kategorier av registrerade berörs, vilken rättslig grund som tillämpas och vilka tekniska skyddsåtgärder som används. Detta register är ert viktigaste verktyg vid en tillsynsmyndighets granskning.

Integritetspolicy och information till signerare

Om ni bjuder in externa parter – kunder, leverantörer, hyresgäster – att signera dokument digitalt, behöver ni ge dem information om behandlingen. Det kan ske via en länk till er integritetspolicy i signeringsinbjudan eller via en kortfattad informationstext i e-postmeddelandet. Hur detta ser ut i praktiken vid exempelvis ett hyresavtal beror på vilken relation ni har till den som signerar.

Åtgärder vid personuppgiftsincident

Om ett signeringssystem drabbas av ett dataintrång eller en obehörig åtkomst, är det ni som personuppgiftsansvarig som ansvarar för att anmäla incidenten till Integritetsskyddsmyndigheten (IMY) inom 72 timmar om det finns risk för skada för de registrerade. Kontrollera att er leverantör är skyldig att utan dröjsmål informera er om incidenter, och att detta är reglerat i PBA:t.

Avtalets löptid och raderingsrutin

När ett anställningsförhållande eller ett affärsförhållande avslutas ska ni se till att personuppgifter som samlats in enbart för signeringsändamål raderas eller anonymiseras, om de inte längre behövs. Exempelvis kan ett digitalt signerat anställningsavtal behöva bevaras under hela anställningen och en period därefter för att uppfylla arbetsrättsliga skyldigheter, men signeringsloggar för dokument utan fortsatt relevans bör gallras i enlighet med er gallringsrutin.

Du kan komma igång och testa hur ett dataskyddsmedvetet signeringsflöde fungerar i praktiken – skapa ett gratiskonto och se hur processen ser ut från avsändare till arkiv.

Rättsligt ramverk

eIDAS-förordningen (EU) 910/2014

Förordningen fastställer rättslig status och tekniska krav för elektroniska signaturer inom EU. Den skapar tre signaturnivåer – enkel, avancerad och kvalificerad – med stigande krav på identitetsverifiering och teknisk säkerhet. Kvalificerade signaturer har samma rättsverkan som en handskriven namnteckning i hela EU.

Lag (2016:561) med kompletterande bestämmelser till eIDAS-förordningen

Lagen preciserar hur eIDAS genomförs i svensk rätt och anger IMY som behörig tillsynsmyndighet för vissa frågor kopplade till betrodda tjänster. Den kompletterar förordningen utan att ändra dess grundläggande krav på signaturnivåer och bevisvärde.

GDPR och dataskyddslagen (2018:218)

GDPR är direkt tillämplig i Sverige och ställer krav på laglig grund, transparens, dataminimering, lagringstidsbegränsning och tekniska säkerhetsåtgärder för all personuppgiftsbehandling – inklusive den som uppstår vid elektronisk signering. Dataskyddslagen (2018:218) kompletterar GDPR på nationell nivå och ger IMY befogenhet att utöva tillsyn och besluta om administrativa sanktionsavgifter. Organisationer som brister i sina skyldigheter som personuppgiftsansvarig riskerar sådana avgifter.

Avtalslagen (1915:218)

Avtalslagen bygger på principerna om avtalsfrihet och formfrihet, vilket innebär att avtal som huvudregel kan ingås i valfri form – inklusive digitalt. Vissa kontraktstyper är undantagna och kräver specifik form enligt speciallagstiftning. Det är alltid den personuppgiftsansvariges ansvar att kontrollera vilka formkrav som gäller för det specifika dokument som ska signeras.

Rättegångsbalken (fri bevisprövning)

Svensk processrätt tillämpar principen om fri bevisprövning, vilket innebär att domstolen värderar all bevisning – inklusive digitala signeringsloggar och auditspår – utifrån dess trovärdighet och relevans. Det finns inget absolut krav på handskriven signatur för att ett avtal ska kunna åberopas i domstol, men kvaliteten på det tekniska bevisunderlaget påverkar bevisvärdet.

Användningsfall

Fastighetsbolag som hanterar hyresavtal med privatpersoner

Ett medelstort fastighetsbolag skickar ut hyresavtal för digital signering till ett stort antal hyresgäster varje år. Eftersom hyresgästerna är privatpersoner behandlas deras personuppgifter i egenskap av konsumenter, vilket innebär att kraven på transparens och tydlig information är extra viktiga. Bolaget upprättar ett personuppgiftsbiträdesavtal med sin signeringsleverantör, inkluderar en länk till integritetspolicyn i varje signeringsinbjudan och definierar tydliga lagringstider för signerade avtal respektive signeringsloggar. Eftersom hyresavtal kan ha lång löptid och tvister kan uppstå flera år efter att avtalet ingåtts, säkerställer bolaget att auditloggar bevaras under hela avtalets löptid.

HR-avdelning vid ett teknikföretag

En HR-avdelning hanterar onboarding av nya medarbetare och skickar anställningsavtal, sekretessförbindelser och policydokument för digital signering. Personuppgiftsbehandlingen är i detta fall grundad på fullgörande av det anställningsavtal som håller på att ingås. HR-avdelningen kartlägger vilka kategorier av uppgifter som behandlas i signeringsplattformen, dokumenterar detta i behandlingsregistret och kontrollerar att leverantörens underbiträden befinner sig inom EES eller att korrekta överföringsverktyg används. När en anställd slutar säkerställer avdelningen att enbart de dokument som krävs för arbetsrättsliga ändamål behålls.

Revisionsbyrå som hanterar uppdragsavtal med företagskunder

En revisionsbyrå ingår uppdragsavtal med ett stort antal företagskunder och väljer elektronisk signering för att effektivisera processen. Eftersom kundkontakterna ofta är fysiska personer – verkställande direktörer eller firmatecknare – behandlas deras personuppgifter. Byrån identifierar berättigat intresse som rättslig grund, genomför en intresseavvägning och dokumenterar denna. Man kontrollerar även att signeringsleverantören erbjuder möjlighet att gallra data efter att uppdraget avslutats, och att det tydligt framgår av PBA:t hur länge data bevaras hos leverantören.

Vanliga frågor

Måste vi ha ett personuppgiftsbiträdesavtal med vår signeringsleverantör?

Ja. Enligt GDPR är ett skriftligt personuppgiftsbiträdesavtal obligatoriskt när ni anlitar en extern part som behandlar personuppgifter på era instruktioner. En signeringsleverantör behandlar alltid personuppgifter – åtminstone namn, e-postadresser och signeringsloggar – och faller därmed under kravet. Saknas avtalet är ni som personuppgiftsansvarig i brott mot förordningen, oavsett om den tekniska lösningen i övrigt är säker.

Vilken rättslig grund ska vi använda för att behandla signerarnas personuppgifter?

Det beror på relationen till den som signerar. Om signeraren är part i det avtal som skapas är fullgörande av avtal en naturlig grund. I andra situationer, till exempel när en anställd signerar ett internt policydokument, kan berättigat intresse vara lämpligare. Ni behöver bedöma varje situation separat och dokumentera er bedömning. Samtycke är sällan lämpligt i ett affärssammanhang eftersom det ska vara frivilligt och enkelt att återkalla.

Vad händer om vår leverantör lagrar data utanför EU?

Om data bearbetas eller lagras utanför EES krävs ett giltigt rättsligt verktyg för överföringen, exempelvis EU-kommissionens standardavtalsklausuler eller ett beslut om adekvat skyddsnivå. Utan ett sådant verktyg är överföringen otillåten enligt GDPR. Be alltid leverantören om dokumentation om var data faktiskt lagras, inklusive hos eventuella underbiträden, och verifiera att rätt skyddsåtgärder finns på plats.

Hur länge får vi spara signeringsloggar och signerade dokument?

GDPR kräver att personuppgifter inte lagras längre än nödvändigt för ändamålet. För signerade avtal innebär det att ni behöver väga behovet av att kunna bevisa avtalets innehåll mot principen om lagringsminimering. Lagringstiden varierar beroende på dokumenttyp och tillämpliga regler. Upprätta en gallringsrutin och säkerställ att er leverantör kan stödja er i att radera data när lagringstiden löpt ut.

Kan IMY granska hur vi använder elektroniska signaturer?

Ja. Integritetsskyddsmyndigheten (IMY) är tillsynsmyndighet för GDPR i Sverige och kan granska hur personuppgifter behandlas i samband med elektronisk signering, precis som i andra sammanhang. Vid en tillsyn förväntas ni kunna visa upp behandlingsregister, personuppgiftsbiträdesavtal, dokumenterade rättsliga grunder och rutiner för hantering av de registrerades rättigheter. God dokumentation är ert starkaste skydd.

Sammanfattning

Elektronisk signatur och GDPR är inte motstridiga krav – de kan uppfyllas parallellt om ni arbetar strukturerat. Det viktigaste är att identifiera er roll som personuppgiftsansvarig, säkerställa att ett fullständigt personuppgiftsbiträdesavtal finns med er leverantör, dokumentera rättsliga grunder och lagringstider, samt kontrollera att inga otillåtna tredjelandsöverföringar sker i leverantörens infrastruktur. Ju bättre ni förstår flödet av personuppgifter i signeringsprocessen, desto enklare är det att möta både GDPR:s krav och IMY:s eventuella frågor.

Vill ni se hur en dataskyddsmedveten signeringstjänst fungerar i praktiken kan ni skapa ett gratiskonto hos Certyneo och testa signeringsflödet utan kostnad. Har ni specifika frågor om er organisations behov är ni välkomna att kontakta vårt säljteam.