Електронний підпис у сфері управління персоналом та GDPR: повний посібник 2026

Діджиталізація управління персоналом значно прискорилася з 2020 року: трудові договори, додатки, розрахункові листки, інформаційні політики, угоди про телепрацю — майже всі ці документи тепер передаються в цифровому форматі. Однак дематеріалізація не означає ухилення від юридичних зобов'язань. Навпаки: електронний підпис документа РС GDPR є питанням з подвійним нормативним входженням, оскільки він поєднує структуру eIDAS щодо доказової вартості підпису та європейське положення про захист персональних даних. Якщо неправильно керувати цією подвійною обмеженістю, компанія піддається юридичним ризикам та штрафам від CNIL. Цей посібник надає вам основні правила, передові практики та критичні пункти, які потрібно знати абсолютно в 2026 році.

Чому GDPR застосовується до електронного підпису у сфері РС?

Електронний підпис обов'язково обробляє персональні дані

Підписання трудового договору в Інтернеті передбачає збирання, передачу та збереження персональних даних у розумінні статті 4 GDPR №2016/679: ім'я, прізвище, адреса електронної пошти на роботі, іноді мобільний номер телефону, часова позначка та IP-адреса підпису. У контексті РС ці дані є особливо чутливими, оскільки вони безпосередньо ідентифікують працівника та пов'язані з його договірними відносинами з роботодавцем.

Постачальник послуг довіри (ПСД), який надає рішення для підпису, кваліфікується як обробник у розумінні статті 28 GDPR. Роботодавець залишається відповідальною за обробку. Це розрізнення є основоположним: саме компанія відповідає перед CNIL у разі порушення, а не постачальник програмного забезпечення.

Правові основи, які можна використовувати в контексті РС

Для кожної категорії дематеріалізованих документів РС роботодавець повинен визначити найбільш відповідну правову основу обробки:

• Виконання договору (ст. 6.1.b GDPR): підписання трудового договору, зміни зарплати, угод про фіксовану кількість днів. Це найміцніша правова основа для договірних документів.

• Юридичне зобов'язання (ст. 6.1.c GDPR): дематеріалізована передача розрахункового листка (дозволена з 2015 року законом Макрона за умов), реєстри персоналу.

• Правомірна цікавість (ст. 6.1.f GDPR): інформаційні політики, внутрішні положення, документи внутрішньої політики — за умови проходження тесту збалансування.

Основа згода (ст. 6.1.a) має бути уникнута в контексті РС: CNIL та EDPB (Європейський комітет з захисту даних) вважають, що відносини підпорядкування між роботодавцем та працівником роблять згоду рідко вільною. Працівник, який відмовляється підписуватися електронно, може побоюватися професійних наслідків.

Конкретні зобов'язання відповідальної за обробку в управлінні персоналом

Оновлення реєстру діяльності обробки (РДО)

Стаття 30 GDPR зобов'язує будь-яку організацію, що працює з понад 250 співробітниками (і МСП, що обробляють чутливі дані в масштабі), вести реєстр діяльності обробки. Введення інструменту електронного підпису для документів РС повинно включати:

• Мету обробки (напр.: дематеріалізація та архівування договірних документів РС)

• Категорії обробленої інформації (ідентичність, контактні дані, дані автентифікації)

• Тривалість збереження (законодавча тривалість збереження трудового договору: 5 років після завершення договору згідно з Трудовим кодексом, ст. L. 1234-20)

• Координати обробника (платформа підпису)

• Реалізовані заходи безпеки

Підписання DPA (Угода про обробку даних) з постачальником послуг

Відповідно до статті 28 GDPR, будь-який доступ до обробника для обробки персональних даних повинен бути оформлений через контракт обробки даних (DPA). Цей контракт повинен включати:

• Об'єкт та тривалість обробки

• Природу та мету обробки

• Тип персональних даних та категорії учасників

• Зобов'язання та права відповідальної за обробку

• Розташування даних (розміщення в ЄС рекомендується для уникнення передачі поза ЕЕЗ)

• Заходи технічної та організаційної безпеки

Серйозний постачальник електронного підпису систематично пропонує відповідний DPA. Його відсутність є порушенням негайно карним.

Інформування працівників перед першим підписанням

Стаття 13 GDPR вимагає попередньої інформації осіб, чиї дані збираються. Перед розгортанням електронного підпису для документів РС роботодавець повинен інформувати працівників:

• Про посадову особу, яка є відповідальною за обробку

• Про мету та правову основу

• Про тривалість збереження даних

• Про їхні права (доступ, виправлення, видалення в межах юридичних зобов'язань збереження, портативність)

• Про координати DPO (Делегата з захисту даних), якщо назначений

Ця інформація може бути вбудована в сам процес підпису (інформаційний банер перед підписанням), в оновленого внутрішнього положення, або через записку про послуги, розповсюджену під час розгортання.

Необхідний рівень підпису для документів РС: SES, AES або QES?

Ієрархія рівнів eIDAS

Регламент eIDAS №910/2014 визначає три рівні електронного підпису, кожен з яких пропонує растучу доказову цінність:

• SES (Simple Electronic Signature / Простий електронний підпис): низька доказова цінність, придатна для документів з низькими ставками (підтвердження отримання, внутрішні форми)

• AES (Advanced Electronic Signature / Просунутий електронний підпис): пов'язаний унікально з підписанту, створений на основі даних під його винятковим контролем. Придатна для більшості звичайних документів РС.

• QES (Qualified Electronic Signature / Кваліфікований електронний підпис): найвищий рівень, еквівалентний рукописному підпису згідно зі ст. 25.2 eIDAS. Вимагає посиленої перевірки ідентичності (особисто або відеоідентифікація).

Який рівень для яких документів РС?

Рекомендована картографія в 2026 році, враховуючи позицію французької судової практики та рекомендацій галузей:

| Документ РС | Рекомендований рівень | Обґрунтування | |---|---|---| | Трудовий договір ПНД/ВД | Мінімум AES, рекомендується QES | Висока договірна вартість, ризик трудового спору | | Додаток до договору | Мінімум AES, рекомендується QES | Така ж логіка як основний договір | | Іспитовий термін (поновлення) | AES | Короткий термін, обмежений формалізм | | Політика телепрацю / BYOD | SES або AES | Колективна угода або внутрішнє положення | | Угода про фіксовану кількість днів | Наполегливо рекомендується QES | Вимогливої судової практики | | Розірвання угоди | Обов'язково QES | Форма Cerfa з гомологацією, висока ставка | | Розрахунок за задоволення всіх вимог | AES або QES | Звільняюча вартість, ст. L. 1234-20 КТ |

Для документів з високим ризиком змагання (угода про фіксовану кількість днів, розірвання угоди) QES практично обов'язкова для гарантування протиставляємості перед трудовими судами. Касаційний суд поступово посилював вимоги щодо доказу згоди працівника.

Збереження, архівування та права осіб: пастки, яких слід уникати

Законні тривалості збереження підписаних документів РС

Збереження підписаних електронно документів РС підпорядковується обов'язковим законним термінам. Ці терміни переважають право на видалення GDPR (ст. 17.3.b):

• Трудовий договір: 5 років після завершення договору (позовна давність трудових спорів, ст. L. 1471-1 Трудового кодексу)

• Розрахункові листки: 5 років (позовна давність по заробітній платі), але рекомендується зберігання до ліквідації пенсійних прав працівника

• Документи щодо виробничих травм: 30 років (довгий ризик змагання)

• Професійна підготовка (плани, свідоцтва): 3 роки

• Реєстри персоналу: 5 років після дати, коли працівник залишив установу

Електронне архівування з доказовою цінністю повинно відповідати вимогам стандарту NF Z 42-013 та в ідеалі стандарту ETSI EN 319 162 (довгострокове архівування електронних підписів). Просте сховище на сервері недостатньо: потрібно гарантувати цілісність, читаність та кваліфіковану часову позначку документів протягом усього терміну збереження.

Управління правами працівників без компрометування доказової цінності

Працівник може законно здійснити своє право доступу (ст. 15 GDPR) для отримання копії даних про підпис, які його стосуються. Він також може попросити виправлення неточних даних.

З іншого боку, право на видалення (ст. 17 GDPR) не можна реалізувати на документах РС, підпорядкованих законним зобов'язанням щодо збереження. Роботодавець повинен мати змогу чітко обґрунтувати цю відмову, посилаючись на застосовну правову основу. Документування цих обмінів у реєстрі запитів на права є хорошою практикою, рекомендованою CNIL.

Портативність (ст. 20 GDPR) застосовується до даних, надані працівником на основі згоди або виконання договору. На практиці працівник може попросити свої дані підпису в структурованому форматі — зобов'язання, яке потрібно передбачити при виборі рішення для підпису.

Технічна та організаційна безпека: невід'ємні заходи

Технічні вимоги платформи підпису

Відповідно до статті 32 GDPR, заходи безпеки повинні бути відповідні ризику. Для рішення електронного підпису РС це особливо перекладається на:

• Шифрування даних під час передачі (мінімум TLS 1.3) та у спокою (AES-256)

• Багатофакторна аутентифікація (MFA) для доступу до платформи

• Журнали аудиту (логи) з часовою позначкою та невідмінні, відстежуючи кожну дію над документом

• Розміщення в ЄС (або ЕЕЗ) для уникнення передачі поза ЕЕЗ без адекватних гарантій (рішення про адекватність або типові договірні положення)

• Тести на проникнення щорічно та сертифікація ISO 27001 постачальника

• План безперервності гарантуючи доступність послуг та відновлення архівів у разі інциденту

Аналіз впливу (AIPD): коли це обов'язково?

Стаття 35 GDPR вимагає Аналізу впливу на захист даних (AIPD), коли обробка може спричинити високий ризик. CNIL опублікувала список типів обробок, що вимагають AIPD: обробка у великому масштабі даних про професійну діяльність там згадується.

На практиці AIPD рекомендується (або навіть обов'язково для великих компаній) під час розгортання рішення електронного підпису РС для всіх співробітників. Вона повинна визначити ризики (втрата конфіденційності, присвоєння ідентичності, змінення документів), оцінити їхню серйозність та ймовірність, і запропонувати заходи пом'якшення. Цей аналіз повинен бути задокументований та переглянутий у разі зміни обробки.

Застосовуваний правовий режим для електронного підпису РС та GDPR

Основоположні європейські тексти

Регламент eIDAS №910/2014 (та його перегляд eIDAS 2.0, що розгортається): цей текст визначає три рівні електронного підпису (SES, AES, QES) та їхню юридичну цінність у всіх держав-членах. Стаття 25 встановлює, що QES має юридичну цінність еквівалентну рукописному підпису. Стаття 26 перераховує технічні вимоги просунутого підпису. Провайдери кваліфікованих послуг довіри включені до національних реєстрів довіри (у Франції реєстр керується ANSSI).

GDPR №2016/679: застосовується з 25 травня 2018 року, цей регламент регулює будь-яку обробку персональних даних у межах ЄС. Статті 5 (принципи), 6 (правові основи), 13-14 (інформація), 28 (обробники), 30 (реєстр), 32 (безпека), 35 (AIPD) та 37-39 (DPO) безпосередньо відповідають електронному підпису РС.

Застосовуване французьке право

Цивільний кодекс, статті 1366-1367: стаття 1366 встановлює принцип функціональної еквівалентності між електронним та паперовим текстом. Стаття 1367 визнає електронний підпис як спосіб доказу за умови, що він складається з надійної процедури ідентифікації, гарантуючи зв'язок з актом, до якого він прилаштовується. Надійність передбачається для QES, але може бути продемонстрована для AES.

Трудовий кодекс: стаття L. 1221-1 не накладає особливої форми для трудового договору (крім винятків: ВД ст. L. 1242-12, контракт учнівства тощо). Закон Макрона 2015 року (закон №2015-990) відкрив шлях електронному розрахунковому листку. Стаття L. 3243-2 регулює його умови.

Закон про інформатику та вільність, змінений (закон №78-17 від 6 січня 1978 року): французька транспозиція GDPR, вона надає CNIL її повноваження щодо розслідування та санкцій. Штрафи можуть досягати 20 мільйонів євро або 4% світового щорічного доходу за найбільш серйозні порушення.

Технічні стандарти довідки

• ETSI EN 319 132: формат просунутого електронного підпису XAdES, застосовний до документів XML

• ETSI EN 319 122: формат CAdES для електронних підписів документів CMS

• ETSI EN 319 162: довгострокове архівування електронних підписів (ASiC)

• NF Z 42-013 (AFNOR): функціональні специфікації системи електронного архівування з доказовою цінністю

• ISO/IEC 27001: управління безпекою інформації, стандарт сертифікації очікується від постачальників послуг

Юридичні ризики у разі недотримання

Накопичення ризиків є значним: трудовий договір, підписаний з недостатнім рівнем підпису, може бути оспорений перед Радою з трудових спорів, піддаючи роботодавця перекваліфікації або недійсності. На боці GDPR, відсутність DPA з постачальником послуг, пропуск інформування працівників або розміщення поза ЄС без адекватних гарантій можуть привести до письмової вимоги CNIL, навіть до адміністративного штрафу.

Сценарії використання: електронний підпис РС у відповідності з GDPR

Сценарій 1: середньовелика промислова компанія з 600 працівниками діджиталізує свої трудові договори

Промислова компанія середнього розміру, розташована на чотирьох майданчиках у Франції, обробляла щороку близько 180 найнять ПНД/ВД, генеруючи стільки ж папірових файлів для друку, підписання в двох копіях, сканування та архівування. Затримки між обіцянкою про найняття та фактичним підписанням договору становили в середньому 8 робочих днів.

Після розгортання просунутого рішення електронного підпису (AES), інтегрованого в її HRMS, з відповідним GDPR DPA, підписаним з постачальником послуг, та задокументованою AIPD, компанія скоротила цей термін менш ніж до 24 годин. Відсоток неповних файлів впав на 34% (джерела: ANDRH 2024 орієнтири галузі). Розміщення даних у Франції було прийнято як договірний критерій, усуваючи будь-який ризик передачі поза ЕЕЗ. Працівники інформуються про обробку через інформаційний банер, вбудований у процес підпису, гарантуючи відповідність статті 13 GDPR.

Сценарій 2: мережа франшизного роздрібної торгівлі розгортає QES для угод про фіксовану кількість днів

Мережа розподільчих спеціальностей з близько шістдесяти магазинів і сотнею керівників на фіксованій кількості днів стикалася з визначеним трудовим ризиком: кілька угод про фіксовану кількість днів не могли бути доведені іншим чином, ніж копіями паперу низької якості. Касаційний суд посилив вимоги щодо доказу цього типу угод, ризик змагання оцінювався у кілька сотень тисяч євро.

Мережа розгорнула кваліфіковане рішення підпису (QES) для всіх нових угод і запропонувала керівникам на місцях переписати свої існуючі угоди. Перевірка ідентичності через відеоідентифікацію була обрана. Реєстр діяльності обробки було оновлено, і зовнішній DPO затвердив відповідність GDPR процесу. За 6 місяців вся парк угод про фіксовану кількість днів була захищена. Вартість підходу (близько 15-25 € за підпис QES залежно від постачальників на ринку) вважалася значно нижче від покритого ризику змагання.

Сценарій 3: територіальна громада дематеріалізує свої додатки та політики телепрацю

Територіальна громада близько 1 200 постійних агентів бажала дематеріалізувати управління своїми додатками телепрацю після національної рамкової угоди 2021 року з приводу телепрацю у державній службі. Обсяг обробки становив близько 400 документів на рік, з особливими обмеженнями: агенти є публічними особами, дані яких підпорядковуються особливо нормативній обробці.

Громада обрала просунуті підписи (AES), з суверенним розміщенням у постачальника, кваліфікованого SecNumCloud від ANSSI. AIPD було передано DPO громади перед розгортанням. Агентам надана інформація через записку про послуги, опубліковану в інтранеті, та інформаційний банер у цифровому процесі. Служба РС оцінила економію 3 еквівалентів-днів ETP на місяць з управління адміністративними додатками, що становить річну економію близько 35 000 € у прямих витратах, що узгоджується з діапазонами, опублікованими Обсерваторією цифрової трансформації громад (2025).

Висновок

Відповідність GDPR електронного підпису для документів РС — це не опція: вона обумовлює як юридичну цінність ваших актів, так і захист прав ваших працівників. У 2026 році компанії, які ще не оновили свій реєстр обробок, не підписали DPA зі своїм постачальником послуг і не адаптували рівень підпису до кожного типу документа, піддаються подвійному ризику — трудовому та адміністративному — фінансові наслідки яких можуть бути значними.

Хороша новина: правильно обране та налаштоване рішення дозволяє узгодити операційну плинність, відповідність eIDAS та дотримання GDPR без тертя для команд РС чи для працівників.

Certyneo супроводжує вас у цьому підході: платформа відповідна eIDAS, DPA доступна, європейське розміщення та процес підпису, розроблений для РС. Дізнайтеся про нашу спеціалізовану рішення для управління персоналом або розрахуйте ROI вашого переходу на повну діджиталізацію за кілька кліків.