Audit Trail, tõendid ja GDPR-i säilitamine elektroonilises allkirjas

Elektroonilise allkirja auditeerimislogi on digitaalne tõend selle kohta, kes allkirjastas, millal ja kuidas. See on kriitiline osa allkirja kehtivusest ja vaidluste lahendamisest. Selles artiklis vaatleme, mida auditeerimislogi sisaldab, kuidas GDPR mõjutab andmete säilitamist ja kuidas väikeettevõte saab oma arhiivi korraldada.

Mis on Auditeerimislogi?

Auditeerimislogi on automaatselt kogutud kirje allkirjastamissündmusest. See salvestab iga sammu algusest lõpuni. Auditeerimislogi on elektroonilise allkirja tõendusväärtuse oluline osa. Ilma selleta on elektrooniline allkiri praktikas vaid piksel ekraanil – auditeerimislogi teeb sellest õiguslikult olulise.

Millist teavet Auditeerimislogi sisaldab?

Põhjalik auditeerimislogi sisaldab järgmist teavet:

Allkirjastaja nimi ja e-posti aadress
Kasutatud tuvastusmeetod (pangalingid, mobiil-ID, e-posti kinnitus)
Ajaline tempel (kuupäev ja kellaaeg, ajavöönd)
IP-aadress, kust allkirjastamine toimus
Seadme ja brauseri teave
Dokumendi krüptograafiline räsi (hash) – tõendab, et dokumenti pole muudetud
Allkirjastamistaotlus saatmise aeg ja avamise aeg
Allkirja valmimise aeg

Mida see praktikas tähendab: kui klient vaidlustab lepingu allkirjastamise, siis auditeerimislogi näitab, et konkreetne isik avas dokumendi konkreetselt IP-aadressilt, autentis end pangatunnustega ja allkirjastas dokumendi konkreetsel ajal.

GDPR ja elektrooniliste allkirjade säilitamine

Auditeerimislogi sisaldab isikuandmeid, mistõttu GDPR (EL-i isikuandmete kaitse üldmäärus) määratleb, kuidas neid töödelda ja säilitada. Peamised GDPR-i põhimõtted auditeerimislogi seisukohalt:

Eesmärgipõhisus: andmeid tohib koguda ainult kindlal eesmärgil (allkirja tõendamine)
Andmete minimeerimine: kogutakse ainult vajalikud andmed
Säilitamise piiramine: andmeid säilitatakse ainult nii kaua, kui see on vajalik
Terviklikkus ja konfidentsiaalsus: andmed tuleb tehniliselt kaitsta

Praktikas sõltub allkirjade ja nendega seotud auditeerimislogi andmete säilitamise aeg lepingu iseloomust:

Dokumendi tüüp	Soovitatav säilitamisaeg	Põhjendus
Ärileping	6–10 aastat lepingu lõppemisest	Aegumistähtaeg (üldine 3 a, äriseadustik 5 a)
Tööleping	10 aastat töösuhte lõppemisest	Töösuhte nõuete aegumine
Raamatupidamisdokumendid	6 aastat majandusaasta lõppemisest	Raamatupidamise seadus 2:10
Kinnisvaratehing	Püsivalt või vähemalt 10 aastat	Maakaare nõuded

Väikeettevõtte arhiveerimise mudel

Väikeettevõte saab elektrooniliste allkirjade arhiivi korraldada lihtsalt järgmiselt:

Kasutage allkirjastamisteenust (nagu EpicSign), mis arhiveerib allkirjastatud dokumendid ja auditeerimislogid automaatselt
Määrake säilitusajad dokumenditüüpide järgi (vt ülaltoodud tabelit)
Eksportige olulisemad lepingud ka oma varundussüsteemi
Kontrollige kord aastas, kas on vananenud dokumente, mida saab GDPR-i kohaselt kustutada
Dokumenteerige oma säilituspõhimõtted registrikirjelduseks

Praktiline näide: raamatupidamisbüroo ja kliendilepingud

Tamperes asuv raamatupidamisbüroo läks paberdokumentidelt üle EpicSignile. Varem olid dokumentid mapid – osa kontoris, osa klientide juures. Keegi polnud kindel, kus viimane versioon asub. Pärast elektrooniline allkiri kasutuselevõttu olukord muutus:

Kõik dokumendid on leitavad elektroonilisest arhiivist otsingufunktsiooni abil
Auditeerimislogi tõestab, kes alla kirjutas ja millal
GDPR-i andmekaitseteadet uuendati, et see hõlmaks allkirjaandmete säilitamist
Vanad dokumendid kustutatakse automaatselt pärast säilitustähtaja möödumist

Korduma kippuvad küsimused

Kui kaua tuleks auditeerimislogi säilitada?

Säilitusaeg sõltub dokumendi tüübist. Äridokumentide puhul tavaliselt 6–10 aastat, töölepingute puhul 10 aastat pärast töösuhte lõppemist.

Kas auditeerimislogi sisaldab isikuandmeid?

Jah. Allkirjastaja nimi, e-posti aadress ja IP-aadress on GDPR-i kohaselt isikuandmed. Neid tuleb töödelda vastavalt andmekaitsenõuetele.

Kas auditeerimislogi saab tagantjärele muuta?

Ei. Krüptograafiline räsi (hash) tagab, et andmeid ei saa märkamatult muuta. See on auditeerimislogi põhinõue.

Mida GDPR tähendab allkirjaandmete säilitamise seisukohalt?

GDPR nõuab, et andmeid säilitataks ainult vajaliku aja. Kui säilitusaeg lõpeb, tuleb andmed kustutada või anonüümseks muuta.

Kas EpicSign salvestab auditeerimislogi automaatselt?

Jah. EpicSign loob automaatselt iga allkirjastamissündmuse kohta põhjaliku auditeerimislogi.

Allikad

See artikkel on üldise iseloomuga ja ei ole juriidiline nõuanne.