Signature électronique RH & RGPD : guide complet 2026

Chữ ký điện tử nhân sự và RGPD : hướng dẫn toàn diện 2026

Quá trình số hóa tài nguyên con người đã tăng tốc đáng kể kể từ năm 2020 : hợp đồng lao động, phụ lục, phiếu lương, quy tắc về công nghệ thông tin, thỏa thuận làm việc từ xa — gần như tất cả những tài liệu này hiện được chuyển giao dưới dạng kỹ thuật số. Tuy nhiên, loại bỏ giấy tờ không có nghĩa là tránh các nghĩa vụ pháp lý. Ngược lại : chữ ký điện tử tài liệu nhân sự RGPD là một chủ đề có hai lỏi đầu vào pháp lý, vì nó liên kết khung eIDAS về giá trị bằng chứng của chữ ký và quy định châu Âu về bảo vệ dữ liệu cá nhân. Nếu không thành thạo, sự cân bằng kép này sẽ khiến doanh nghiệp phải đối mặt với rủi ro pháp lý và các biện pháp trừng phạt từ CNIL. Hướng dẫn này trình bày các quy tắc thiết yếu, các thực tiễn tốt và các điểm cần lưu ý mà bạn nhất định phải biết vào năm 2026.

Tại sao RGPD lại áp dụng cho chữ ký điện tử nhân sự?

Chữ ký điện tử nhất thiết phải xử lý dữ liệu cá nhân

Ký một hợp đồng lao động trực tuyến liên quan đến việc thu thập, truyền và lưu trữ dữ liệu cá nhân theo nghĩa của Điều 4 của RGPD n°2016/679 : tên, họ, địa chỉ email công ty, đôi khi số điện thoại di động, dấu thời gian và địa chỉ IP ký. Trong bối cảnh nhân sự, những dữ liệu này đặc biệt nhạy cảm vì chúng xác định trực tiếp nhân viên và liên quan đến mối quan hệ hợp đồng của họ với nhà tuyển dụng.

Nhà cung cấp dịch vụ tin cậy (PSC) cung cấp giải pháp chữ ký được xem là bên xử lý dữ liệu phụ theo Điều 28 của RGPD. Nhà tuyển dụng vẫn là bên kiểm soát dữ liệu. Sự phân biệt này là cơ bản : công ty phải chịu trách nhiệm trước CNIL nếu có vi phạm, không phải nhà cung cấp phần mềm.

Các cơ sở pháp lý có thể sử dụng trong bối cảnh nhân sự

Đối với mỗi loại tài liệu nhân sự được loại bỏ giấy tờ, nhà tuyển dụng phải xác định cơ sở pháp lý xử lý phù hợp nhất :

• Thực hiện hợp đồng (Điều 6.1.b RGPD) : ký hợp đồng lao động, phụ lục lương, quy ước ngày làm việc tính theo khối lượng công việc. Đây là cơ sở pháp lý mạnh nhất cho các tài liệu hợp đồng.

• Nghĩa vụ pháp lý (Điều 6.1.c RGPD) : cung cấp phiếu lương loại bỏ giấy tờ (được phép kể từ Luật Macron năm 2015 dưới điều kiện nhất định), sổ đăng ký nhân sự.

• Lợi ích hợp pháp (Điều 6.1.f RGPD) : quy tắc về công nghệ thông tin, quy chế nội bộ, tài liệu chính sách nội bộ — miễn là vượt qua bài kiểm tra cân bằng.

Cơ sở sự đồng ý (Điều 6.1.a) nên tránh trong bối cảnh nhân sự : CNIL và CEPD (Ủy ban Châu Âu về bảo vệ dữ liệu) cho rằng mối quan hệ phụ thuộc giữa nhà tuyển dụng và nhân viên hiếm khi tạo ra sự đồng ý tự do. Một nhân viên từ chối ký điện tử có thể sợ có hậu quả cho sự nghiệp của họ.

Các nghĩa vụ cụ thể của bên kiểm soát dữ liệu nhân sự

Cập nhật sổ đăng ký các hoạt động xử lý (RAT)

Điều 30 của RGPD yêu cầu bất kỳ tổ chức nào sử dụng quá 250 nhân viên (và các doanh nghiệp nhỏ và vừa xử lý dữ liệu nhạy cảm quy mô lớn) phải giữ sổ đăng ký các hoạt động xử lý. Việc giới thiệu một công cụ chữ ký điện tử cho các tài liệu nhân sự phải được ghi lại với :

• Mục đích xử lý (ví dụ : loại bỏ giấy tờ và lưu trữ các tài liệu hợp đồng nhân sự)

• Các loại dữ liệu được xử lý (danh tính, dữ liệu liên hệ, dữ liệu xác thực)

• Thời hạn lưu giữ (thời hạn pháp lý lưu giữ hợp đồng lao động : 5 năm sau khi hợp đồng kết thúc theo Bộ Luật Lao động, Điều L. 1234-20)

• Địa chỉ liên lạc của bên xử lý dữ liệu phụ (nền tảng chữ ký)

• Các biện pháp bảo mật được áp dụng

Ký DPA (Thỏa thuận Xử lý Dữ liệu) với nhà cung cấp

Phù hợp với Điều 28 của RGPD, bất kỳ sử dụng bên xử lý dữ liệu phụ để xử lý dữ liệu cá nhân đều phải được chính thức hóa bằng hợp đồng xử lý dữ liệu (DPA). Hợp đồng này phải chỉ định :

• Đối tượng và thời hạn xử lý

• Bản chất và mục đích xử lý

• Loại dữ liệu cá nhân và các loại người liên quan

• Nghĩa vụ và quyền của bên kiểm soát dữ liệu

• Vị trí dữ liệu (lưu trữ trong EU được khuyến khích để tránh chuyển dữ liệu ra ngoài EEE)

• Các biện pháp bảo mật kỹ thuật và tổ chức

Một nhà cung cấp chữ ký điện tử đáng tin cậy thường xuyên đề xuất một DPA phù hợp. Sự vắng mặt của nó là một sự không tuân thủ có thể bị trừng phạt ngay lập tức.

Thông báo cho nhân viên trước khi ký lần đầu tiên

Điều 13 của RGPD yêu cầu thông báo trước cho những người có dữ liệu được thu thập. Trước khi triển khai chữ ký điện tử cho các tài liệu nhân sự, nhà tuyển dụng phải thông báo cho nhân viên :

• Danh tính của bên kiểm soát dữ liệu

• Mục đích và cơ sở pháp lý

• Thời hạn lưu giữ dữ liệu

• Các quyền của họ (truy cập, sửa đổi, xóa trong giới hạn các nghĩa vụ pháp lý lưu giữ, tính di động)

• Địa chỉ liên lạc của DPO (Cán bộ Bảo vệ Dữ liệu) nếu được chỉ định

Thông tin này có thể được tích hợp vào quy trình ký (biểu ngữ thông tin trước khi ký), trong quy chế nội bộ được cập nhật hoặc qua một lưu ý dịch vụ được phân phối khi triển khai.

Mức độ chữ ký bắt buộc cho các tài liệu nhân sự : SES, AES hay QES?

Hệ thống phân cấp các mức chữ ký eIDAS

Quy định eIDAS n°910/2014 định nghĩa ba mức chữ ký điện tử, mỗi mức cung cấp giá trị bằng chứng ngày càng tăng :

• SES (Chữ ký Điện tử Đơn giản) : giá trị bằng chứng yếu, phù hợp với các tài liệu có mức độ rủi ro thấp (biên lai xác nhận, biểu mẫu nội bộ)

• AES (Chữ ký Điện tử Nâng cao) : được liên kết duy nhất với người ký, được tạo từ dữ liệu dưới quyền kiểm soát độc quyền của họ. Phù hợp với hầu hết các tài liệu nhân sự thông thường.

• QES (Chữ ký Điện tử Được Phê duyệt) : mức cao nhất, tương đương với chữ ký viết tay theo Điều 25.2 eIDAS. Yêu cầu xác minh danh tính được tăng cường (trực tiếp hoặc xác minh qua video).

Mức nào cho những tài liệu RH nào?

Bảng so sánh được khuyến nghị vào năm 2026, tính đến các vị trí của tư pháp Pháp và các khuyến nghị ngành :

| Tài liệu nhân sự | Mức được khuyến nghị | Lý do | |---|---|---| | Hợp đồng lao động CDI/CDD | AES tối thiểu, QES được khuyến khích | Giá trị hợp đồng mạnh, rủi ro tranh chấp lao động | | Phụ lục hợp đồng | AES tối thiểu, QES được khuyến khích | Cùng logic với hợp đồng chính | | Thời gian thử việc (gia hạn) | AES | Thời gian ngắn, hình thức hạn chế | | Quy tắc làm việc từ xa / BYOD | SES hoặc AES | Thỏa thuận tập thể hoặc quy chế nội bộ | | Quy ước ngày làm việc tính theo khối lượng công việc | QES được khuyến khích mạnh mẽ | Tư pháp lao động đòi hỏi | | Chấm dứt thỏa thuận | QES bắt buộc | Biểu mẫu Cerfa được phê duyệt, mức độ rủi ro cao | | Biên lai thanh toán toàn bộ | AES hoặc QES | Giá trị giải phóng, Điều L. 1234-20 Bộ Luật Lao động |

Đối với các tài liệu có rủi ro tranh chấp cao (quy ước ngày làm việc, chấm dứt thỏa thuận), QES áp dụng thực tế để đảm bảo khả năng thực hiện trước các tòa án lao động. Tòa án Cấp cao Pháp đã dần dần tăng cường các yêu cầu về bằng chứng sự đồng ý của nhân viên.

Lưu giữ, lưu trữ và quyền của cá nhân : những bẫy cần tránh

Thời hạn pháp lý lưu giữ các tài liệu nhân sự ký

Lưu giữ các tài liệu nhân sự ký điện tử tuân theo các thời hạn pháp lý bắt buộc. Những thời hạn này có ưu tiên hơn quyền xóa dữ liệu của RGPD (Điều 17.3.b) :

• Hợp đồng lao động : 5 năm sau khi hợp đồng kết thúc (quy định thời hiệu về lao động, Điều L. 1471-1 Bộ Luật Lao động)

• Phiếu lương : 5 năm (quy định thời hiệu về lương), nhưng nên lưu giữ cho đến khi nhân viên được giải quyết quyền hưởng lương hưu

• Tài liệu liên quan đến tai nạn lao động : 30 năm (rủi ro tranh chấp lâu dài)

• Đào tạo chuyên nghiệp (kế hoạch, chứng chỉ) : 3 năm

• Sổ đăng ký nhân sự : 5 năm sau ngày nhân viên rời khỏi cơ sở

Lưu trữ điện tử có giá trị bằng chứng phải tuân theo yêu cầu của tiêu chuẩn NF Z 42-013 và lý tưởng nhất là tiêu chuẩn ETSI EN 319 162 (lưu trữ dài hạn của chữ ký điện tử). Việc chỉ lưu trữ trên máy chủ không đủ : cần đảm bảo tính toàn vẹn, khả năng đọc và dấu thời gian được phê duyệt của các tài liệu trong toàn bộ thời hạn lưu giữ.

Quản lý các quyền của nhân viên mà không ảnh hưởng đến giá trị bằng chứng

Một nhân viên có thể hợp pháp yêu cầu quyền truy cập (Điều 15 RGPD) để lấy bản sao dữ liệu ký liên quan đến họ. Họ cũng có thể yêu cầu sửa lại dữ liệu không chính xác.

Mặt khác, quyền xóa dữ liệu (Điều 17 RGPD) không thể thực hiện được trên các tài liệu nhân sự phải tuân theo nghĩa vụ pháp lý về lưu giữ. Nhà tuyển dụng phải có khả năng giải thích rõ ràng lý do từ chối này, trích dẫn cơ sở pháp lý áp dụng. Ghi chép các cuộc trao đổi này trong sổ đăng ký yêu cầu quyền là một thực tiễn tốt được CNIL khuyến cáo.

Tính di động (Điều 20 RGPD) áp dụng cho dữ liệu được cung cấp bởi nhân viên trên cơ sở sự đồng ý hoặc thực hiện hợp đồng. Cụ thể, một nhân viên có thể yêu cầu dữ liệu ký của họ ở định dạng có cấu trúc — nghĩa vụ cần được tính trước khi chọn giải pháp chữ ký.

Bảo mật kỹ thuật và tổ chức : các biện pháp bắt buộc

Yêu cầu kỹ thuật của nền tảng chữ ký

Phù hợp với Điều 32 của RGPD, các biện pháp bảo mật phải phù hợp với rủi ro. Đối với giải pháp chữ ký điện tử nhân sự, điều này được dịch thành đặc biệt :

• Mã hóa dữ liệu trong quá trình truyền (TLS 1.3 tối thiểu) và khi lưu trữ (AES-256)

• Xác thực đa yếu tố (MFA) để truy cập nền tảng

• Nhật ký kiểm toán (logs) được dấu thời gian và không thể giả mạo, theo dõi mỗi hành động trên tài liệu

• Lưu trữ trong EU (hoặc EEE) để tránh các chuyển dữ liệu ra ngoài EEE mà không có các đảm bảo đầy đủ (quyết định tương đương hoặc điều khoản hợp đồng tiêu chuẩn)

• Kiểm tra xâm nhập hàng năm và chứng chỉ ISO 27001 của nhà cung cấp

• Kế hoạch liên tục đảm bảo tính sẵn có của dịch vụ và phục hồi lưu trữ trong trường hợp sự cố

Phân tích Tác động (AIPD) : khi nào bắt buộc?

Điều 35 của RGPD yêu cầu Phân tích Tác động về Bảo vệ Dữ liệu (AIPD) khi xử lý có khả năng gây ra rủi ro cao. CNIL đã công bố danh sách các loại xử lý yêu cầu AIPD : xử lý quy mô lớn của dữ liệu liên quan đến đời sống chuyên nghiệp được đề cập.

Cụ thể, AIPD được khuyến cáo (thậm chí bắt buộc đối với các doanh nghiệp lớn) khi triển khai giải pháp chữ ký điện tử nhân sự ảnh hưởng đến tất cả các cộng tác viên. Nó phải xác định các rủi ro (mất tính bảo mật, mạo danh, sửa đổi tài liệu), đánh giá mức độ nghiêm trọng và xác suất của chúng, và đề xuất các biện pháp giảm thiểu. Phân tích này phải được ghi chép lại và được xem xét lại nếu có thay đổi trong xử lý.

Khung pháp lý áp dụng cho chữ ký điện tử nhân sự và RGPD

Các văn bản sáng lập châu Âu

Quy định eIDAS n°910/2014 (và sửa đổi eIDAS 2.0 đang được triển khai) : văn bản này định nghĩa ba mức chữ ký điện tử (SES, AES, QES) và giá trị pháp lý của chúng trên toàn bộ các Thành viên của Liên minh Châu Âu. Điều 25 quy định rằng QES có tác dụng pháp lý tương đương với chữ ký viết tay. Điều 26 liệt kê các yêu cầu kỹ thuật của chữ ký nâng cao. Các nhà cung cấp dịch vụ tin cậy được phê duyệt được ghi danh trên các danh sách tin cậy quốc gia (ở Pháp, danh sách do ANSSI quản lý).

RGPD n°2016/679 : áp dụng kể từ ngày 25 tháng 5 năm 2018, quy định này điều chỉnh bất kỳ xử lý dữ liệu cá nhân nào trong EU. Các Điều 5 (nguyên tắc), 6 (cơ sở pháp lý), 13-14 (thông tin), 28 (bên xử lý dữ liệu phụ), 30 (sổ đăng ký), 32 (bảo mật), 35 (AIPD) và 37-39 (DPO) liên quan trực tiếp đến chữ ký điện tử nhân sự.

Luật Pháp áp dụng

Bộ Luật Dân sự, các Điều 1366-1367 : Điều 1366 nêu nguyên tắc tương đương chức năng giữa văn bản điện tử và văn bản giấy. Điều 1367 công nhận chữ ký điện tử là phương thức chứng minh, miễn là nó bao gồm một quy trình đáng tin cậy để xác định đảm bảo liên kết với tài liệu mà nó gắn liền. Sự đáng tin cậy được giả định đối với QES, nhưng có thể được chứng minh đối với AES.

Bộ Luật Lao động : Điều L. 1221-1 không áp đặt bất kỳ hình thức cụ thể nào cho hợp đồng lao động (ngoại trừ các ngoại lệ : CDD Điều L. 1242-12, hợp đồng học việc, v.v.). Luật Macron năm 2015 (Luật n°2015-990) đã mở đường cho phiếu lương điện tử. Điều L. 3243-2 quy định các phương thức của nó.

Luật Thông tin và Tự do sửa đổi (Luật n°78-17 ngày 6 tháng 1 năm 1978) : chuyển vị pháp lý của RGPD, nó trao cho CNIL quyền hạn điều tra và trừng phạt. Các mức phạt có thể lên đến 20 triệu euro hoặc 4% doanh thu hàng năm toàn cầu đối với những vi phạm nghiêm trọng nhất.

Tiêu chuẩn kỹ thuật tham khảo

• ETSI EN 319 132 : định dạng chữ ký điện tử nâng cao XAdES, áp dụng cho các tài liệu XML

• ETSI EN 319 122 : định dạng CAdES cho chữ ký điện tử của các tài liệu CMS

• ETSI EN 319 162 : lưu trữ dài hạn của chữ ký điện tử (ASiC)

• NF Z 42-013 (AFNOR) : đặc tả chức năng của hệ thống lưu trữ điện tử được chứng minh

• ISO/IEC 27001 : quản lý bảo mật thông tin, kerataan chứng chỉ được mong đợi từ các nhà cung cấp

Rủi ro pháp lý trong trường hợp không tuân thủ

Sự kết hợp của các rủi ro là đáng kể : một hợp đồng lao động được ký với mức độ chữ ký không đủ có thể bị tranh cãi trước Hội đồng Lao động, khiến nhà tuyển dụng phải đối mặt với sự phân loại lại hoặc vô hiệu hóa. Về phương diện RGPD, việc không có DPA với nhà cung cấp, bỏ sót thông báo cho nhân viên hoặc lưu trữ bên ngoài EU mà không có các đảm bảo đầy đủ có thể dẫn đến yêu cầu của CNIL, thậm chí là biện pháp trừng phạt hành chính công khai.

Các kịch bản sử dụng : chữ ký điện tử nhân sự tuân thủ RGPD

Kịch bản 1 : một công ty công nghiệp vừa (ETI) có 600 nhân viên số hóa các hợp đồng lao động

Một công ty công nghiệp vừa, nằm rải rác trên bốn trang trại ở Pháp, mỗi năm xử lý khoảng 180 lần tuyển dụng CDI/CDD, tạo ra cùng lượng hồ sơ giấy cần in, ký hai bản, quét và lưu trữ. Thời gian trung bình giữa lời hứa tuyển dụng và ký hợp đồng có hiệu lực đạt khoảng 8 ngày làm việc.

Sau khi triển khai giải pháp chữ ký điện tử nâng cao (AES) được tích hợp vào SIRH của nó, với DPA tuân thủ RGPD được ký với nhà cung cấp và AIPD được ghi chép, công ty đã giảm thời gian này xuống dưới 24 giờ. Tỷ lệ hồ sơ không hoàn chỉnh đã giảm 34% (nguồn : các tiêu chí so sánh ngành ANDRH 2024). Lưu trữ dữ liệu tại Pháp được chọn làm tiêu chí hợp đồng, loại bỏ mọi rủi ro chuyển dữ liệu ra ngoài EEE. Nhân viên được thông báo về xử lý qua một nội dung thông tin được tích hợp vào quy trình ký, đảm bảo tuân thủ Điều 13 của RGPD.

Kịch bản 2 : một mạng lưới nhượng quyền bán lẻ triển khai ký QES cho các quy ước ngày làm việc tính theo khối lượng công việc

Một mạng lưới phân phối chuyên biệt với khoảng sáu mươi điểm bán lẻ và một trăm quản lý làm việc theo ngày làm việc tính theo khối lượng công việc đã phải đối mặt với một rủi ro lao động được xác định bởi các chuyên gia pháp lý của nó : một số quy ước ngày làm việc chỉ có thể được chứng minh bằng các bản sao giấy chất lượng kém. Tòa án Cấp cao Pháp đã tăng cường các yêu cầu về bằng chứng đối với loại quy ước này, rủi ro tranh chấp được