Podpisy e-mail a RODO: co platforma podpisów naprawdę robi z danymi osobowymi

Dlaczego platforma podpisów to w ogóle temat RODO

Na pierwszy rzut oka platforma podpisów e-mail wygląda na neutralną dla zgodności: dokleja blok tekstu do wychodzących wiadomości. W świetle RODO neutralna nie jest, bo jej działanie obejmuje dwa odrębne przepływy danych osobowych.

Pierwszy przepływ to dane katalogowe pracowników. Imiona i nazwiska, stanowiska, numery telefonów, adresy biur i zdjęcia to dane osobowe Twoich pracowników. Gdy platforma dostawcy odczytuje je z Microsoft 365, aby zbudować podpisy, dostawca przetwarza dane osobowe w Twoim imieniu — Ty jesteś administratorem, dostawca podmiotem przetwarzającym, a art. 28 RODO wymaga umowy powierzenia, która precyzyjnie określa, co się z tymi danymi dzieje.

Drugi przepływ łatwo przeoczyć: sam e-mail. Platformy nakładające podpisy po stronie serwera zazwyczaj kierują wiadomości przez relay przetwarzający. Cokolwiek jest w tych wiadomościach — dane klientów, sprawy kadrowe, informacje o zdrowiu, warunki umów — technicznie przechodzi przez ten relay. Nawet jeśli dostawca niczego nie zatrzymuje, to architektura decyduje, kto w zasadzie mógłby dotknąć treści wiadomości. Zasada rozliczalności RODO oznacza, że musisz umieć tę architekturę wyjaśnić, a nie tylko jej ufać.

Dwa pytania, które porządkują rynek dostawców podpisów

Większość ocen platform podpisów pod kątem RODO sprowadza się do dwóch pytań architektonicznych.

Dokąd trafia wiadomość? Jeśli podpisy są nakładane w chmurze, wiadomość opuszcza Microsoft 365, odwiedza infrastrukturę dostawcy i wraca. To zgodny z prawem, powszechny model — ale dodaje podmiot przetwarzający na ścieżce Twojej poczty, a wszystko, co dalej (retencja, podpowierzenia, mechanizmy transferu, ekspozycja na incydenty), wynika właśnie z tego faktu.

Co platforma zatrzymuje? Dobrze zaprojektowany relay przetwarza wiadomość w celu nałożenia podpisu i natychmiast ją zwraca, nie utrwalając treści ani załączników. Źle zaprojektowany loguje więcej, niż powinien. W demo produktu tej różnicy nie widać; w ocenie skutków dla ochrony danych (DPIA) jest rozstrzygająca.

Praktyczna checklista do DPIA

Gdy Twój zespół ds. prywatności ocenia dostawcę podpisów, te pytania warto spisać i uzyskać odpowiedzi w umowie powierzenia, a nie na spotkaniu handlowym:

• Które atrybuty katalogu platforma odczytuje i czy zakres można ograniczyć do tego, czego podpisy faktycznie potrzebują?
• Czy treść wiadomości przechodzi przez infrastrukturę dostawcy i w jakim regionie jest przetwarzana?
• Czy treści wiadomości lub załączniki są kiedykolwiek utrwalane — także w logach, kolejkach, zrzutach awaryjnych i narzędziach supportu?
• Jacy podprzetwarzający uczestniczą w przetwarzaniu i czy któryś z nich działa poza EOG?
• Czy istnieje umowa powierzenia zgodna z art. 28 i czy obejmuje prawo audytu oraz terminy zgłaszania naruszeń?
• Czy pracownicy supportu dostawcy mają techniczny dostęp do Twoich danych i czy ten dostęp jest logowany i kontrolowany?

Jak podchodzi do tego SignaGrid — według pakietów

SignaGrid zaprojektowano wokół założenia, że odpowiedzi na powyższe pytania powinny być dobre dzięki architekturze, a nie dzięki obietnicom.

SignaGrid Cloud (Core i Business) używa zarządzanego relaya operowanego przez SignaGrid. Platforma odczytuje wyłącznie atrybuty katalogu potrzebne podpisowi i jest zaprojektowana tak, by nie utrwalać treści wiadomości ani załączników: wiadomość jest przetwarzana w celu nałożenia podpisu i natychmiast wraca do Microsoft 365. SignaGrid powstaje i działa w Unii Europejskiej, a umowa powierzenia zgodna z art. 28 jest częścią subskrypcji. Pakiet Business dodaje mechanizmy, które czynią zgodność operacyjną na dużą skalę — podmioty prawne i disclaimery per kraj, przepływy akceptacji, dzięki którym dział prawny zatwierdza treść przed jej wejściem do produkcyjnej poczty, oraz role ograniczające, kto może zmieniać treści istotne prawnie.

SignaGrid Private odpowiada na pierwsze pytanie inaczej: wiadomość nigdzie nie trafia. Warstwa przetwarzania działa w Twoim własnym środowisku chmurowym, więc treść wiadomości nigdy nie przekracza granicy infrastruktury SignaGrid. Na ścieżce poczty nie ma dodatkowego podmiotu przetwarzającego, co oznacza krótszy łańcuch powierzeń z art. 28, brak nowych pytań o transfery transgraniczne oraz logi przetwarzania, klucze i cache katalogu pozostające własnością klienta. Dla DPIA różnica jest strukturalna: całe kategorie ryzyka zostają usunięte, a nie jedynie ograniczone.

Poza RODO: środowiska regulowane i rządowe

Część organizacji działa pod reżimami ostrzejszymi niż RODO — łańcuchy dostaw sektora obronnego zmierzające do CMMC, firmy pracujące z danymi technicznymi objętymi kontrolą eksportu ITAR/EAR czy instytucje publiczne w rządowych tenantach chmurowych. W takich środowiskach pytanie nie brzmi, czy dostawca jest godny zaufania, lecz czy strona trzecia w ogóle może przetwarzać treść wiadomości.

To dokładnie przypadek, pod który projektowany jest SignaGrid Private: warstwa podpisów pozostaje wewnątrz Twojej granicy akredytacji, a infrastruktura SignaGrid nigdy nie wchodzi na ścieżkę Twojej poczty. Model wdrożenia to nie certyfikat — zakres oceny wyznaczają Twoi audytorzy — ale architektura, którą oceniają, to taka, w której e-mail nigdy nie opuszcza Twojej kontroli. Wdrożenia w tenantach rządowych i suwerennych chmurach oceniamy indywidualnie podczas przeglądu architektury.

To praktyczny przewodnik, nie porada prawna

To, jak RODO stosuje się do Twojej organizacji, zależy od Twoich danych, jurysdykcji i oceny Twoich prawników. Ten artykuł oferuje mapę architektoniczną: wiedz, które dane osobowe platforma podpisów odczytuje, wiedz, którędy płynie Twoja poczta, i wybierz model wdrożenia, dzięki któremu Twoje odpowiedzi będzie łatwo obronić.