跳转至主要内容
Certyneo
合规指南 2026

电子签署与 GDPR：面向 DPO 的指南

采用电子签署解决方案会引发多个 GDPR 问题：数据存储在何处？谁可以访问？是否存在云法案风险？本指南回答了这些问题，并说明如何为您的组织选择符合 GDPR 的解决方案。

更新于

电子签署解决方案处理哪些个人数据？

电子签署平台处理多个类别的个人数据。

  • 签署人身份：姓名、名字、电子邮件、电话号码
  • 文件内容：可能包含敏感个人数据（工作合同、健康数据、财务数据）
  • 审计跟踪数据：IP 地址、时间戳、用户代理
  • 行为数据：平板电脑上的手写签名轨迹（如果是生物识别 QES）

数据存储在何处，是否存在欧盟外的数据转移？

GDPR 要求个人数据仅在向提供充分保护级别的国家或在适当保障措施（SCC、BCR）下传输时才能传输到欧盟外。对于签署解决方案，这意味着：

  • 欧盟托管 → 本地传输，无需额外手续
  • 美国托管配 SCC → 可行但存在云法案的残余风险
  • 美国实体（云法案）→ 即使在欧盟托管也无法消除的风险

美国云法案是否适用于电子签名？

美国云法案（2018）允许美国当局访问由美国法律下的企业托管的数据，即使这些数据存储在欧洲。DocuSign、Adobe Sign 和 Dropbox Sign 是受云法案约束的美国企业。Certyneo 是一家法国实体，不受此域外适用权约束。

Solution按解决方案的云法案风险级别
Certyneo无风险 — 法国实体
Yousign无风险 — 法国实体
DocuSign残余风险 — 美国实体
Adobe Acrobat Sign残余风险 — 美国实体
Dropbox Sign残余风险 — 美国实体

电子签名的 DPA 和法律基础是什么？

签名解决方案对数据的处理必须基于有效的法律基础（合同、合法权益或同意）。必须与签名服务提供商签订数据处理协议 (DPA)。Certyneo 提供符合 GDPR 的 DPA，可通过电子方式签署，包含 GDPR 第 28 条要求的所有要素。

DPO 的 RGPD 建议有哪些？

  1. 1选择法人实体位于欧盟或英国（英国脱欧后具有充分性决定）的服务提供商
  2. 2验证托管仅在欧盟，不在欧盟外的服务器上复制
  3. 3获取并签署符合 GDPR 第 28 条的 DPA
  4. 4如果在文档中处理敏感数据，请记录影响评估 (AIPD)
  5. 5验证数据保留期限和合同终止时的删除政策

电子签名的 GDPR 问题

电子签名是否涉及个人数据处理？
是的。签署人的电子邮件、姓名和潜在的电话号码被收集。文档内容也可能包含个人数据。签名服务提供商在 GDPR 意义上是数据处理者，受第 28 条义务的约束。
DocuSign 是否符合 GDPR？
DocuSign 声称符合 GDPR 并提供 SCC。但作为美国公司，它仍受云法案约束。法国国家信息委员会 (CNIL) 指出，即使在欧盟，云法案也会对由美国实体托管的欧洲数据造成无法消除的风险。
Certyneo 是否符合 GDPR？
是的。Certyneo 是一家法国实体，托管在欧盟（IONOS），不受云法案约束。数据在传输中（TLS 1.3）和静止状态下都经过加密。Certyneo 提供符合 RGPD 第 28 条的 DPA。
使用签名解决方案是否需要进行 AIPD？
对于标准电子签名，AIPD 不是系统必需的。如果您签署包含敏感数据（健康、包含工会数据的人力资源等）的文档，或者您对签名的使用涉及大规模分析或监控，则需要进行 AIPD。
→ 我们的安全保障 · → 电子签名指南 · → eIDAS 法规

相关指南和解决方案

探索我们电子签名子的相关资源.

符合 GDPR 的签名解决方案

法国实体、欧盟专有托管、提供 DPA、不受云法案影响。

Certyneo 社区

对电子签名有疑问吗？

加入 Certyneo 社区：提出您的问题、分享您的答案，并与数千名用户和我们的团队交流。