Une petite agence a scellé un contrat client il y a deux ans. Aujourd'hui le client écrit: le travail est terminé, merci d'effacer mes données. L'agence veut le faire. Elle veut aussi garder la preuve que le contrat a existé sous cette forme.
Les deux sont possibles. Le sceau contient moins que la plupart des gens le pensent.
Ce qui quitte votre dossier quand vous scellez
Seule une empreinte de votre fichier est envoyée. Le fichier lui-même reste dans votre dossier.
Vous téléversez le fichier dans un dossier sur Swiss Trust Layer. Le portail en calcule alors une empreinte cryptographique. Une empreinte, ou hash, est un court code unique à ce contenu exact. Seule l'empreinte est envoyée à Swisscom Trust Services, le prestataire de services de confiance qualifié. Il signe l'empreinte avec une clé qui ne quitte jamais son matériel. La signature porte un horodatage conforme à la RFC 3161. Pour un PDF, la signature est intégrée dans le PDF. Le fichier d'origine n'est jamais modifié.
Chaque version de dossier scellée reçoit aussi un certificat de preuve, lui-même un PDF signé. Il liste chaque fichier avec son nom, son empreinte et l'heure de scellement en UTC. Il ne contient pas le fichier. Une empreinte ne peut pas être retransformée en document. Toute modification du fichier donne une empreinte différente, donc une modification est détectable. Le document et sa preuve sont deux objets séparés.
Une empreinte est-elle une donnée personnelle? Le test, pas le verdict
Le RGPD donne un test pour savoir ce qui compte comme donnée personnelle. Il ne tranche pas sur les empreintes.
L'article 4, point 1, du RGPD définit les données personnelles comme «toute information se rapportant à une personne physique identifiée ou identifiable», directement ou indirectement (texte revérifié sur EUR-Lex le 15 octobre 2026). L'article 4, point 5, définit la pseudonymisation. C'est un traitement fait de telle façon que les données «ne puissent plus être attribuées à une personne concernée précise sans avoir recours à des informations supplémentaires». Ces informations supplémentaires doivent être conservées séparément.
Le considérant 26 dit que pour déterminer si une personne est identifiable, «il convient de prendre en considération l'ensemble des moyens raisonnablement susceptibles d'être utilisés, tels que le ciblage, soit par le responsable du traitement, soit par une autre personne».
Une empreinte seule ne peut pas être retransformée en document. Savoir si elle se rapporte encore à une personne se juge avec ce test. Un moyen est évident: quiconque détient le fichier d'origine peut calculer son empreinte et confirmer la correspondance.
Ce que demande le droit à l'effacement
Une personne peut vous demander d'effacer ses données. Le RGPD liste quand ce droit s'applique et quand il ne s'applique pas.
L'article 17, paragraphe 1, donne à une personne le droit d'obtenir l'effacement de ses données personnelles dans les meilleurs délais. L'un de ses motifs doit s'appliquer. Par exemple, les données «ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées ou traitées d'une autre manière». Ou le consentement est retiré et il n'existe pas d'autre fondement juridique. Ou les données «ont fait l'objet d'un traitement illicite».
L'article 17, paragraphe 3, liste les cas où le droit ne s'applique pas, lorsque le traitement est nécessaire à une finalité listée. La lettre e) est celle qui compte pour la preuve: «à la constatation, à l'exercice ou à la défense de droits en justice». Savoir si elle couvre votre contrat est une question sur votre situation, pas sur le sceau.
La conception pratique: effacer le document, garder la preuve
Supprimez le document quand vous devez. Gardez le certificat, qui ne contient aucun contenu.
Quand un motif d'effacement arrive et qu'aucune exception ne s'applique, supprimez le document. Le PDF scellé porte le contenu, donc il part aussi. Gardez le certificat de preuve: nom de fichier, empreinte et heure, pas le contenu. Quelqu'un peut demander plus tard si ce contrat existait ce jour-là. Si l'autre partie détient encore sa copie, l'empreinte sur le certificat y répond.
Selon l'article 41, paragraphe 2, du règlement eIDAS, un horodatage électronique qualifié est présumé exact quant à sa date et à son heure. Les données qui lui sont liées sont présumées inchangées. Le certificat conserve exactement cela: l'empreinte et l'heure.
Sur la plateforme, un dossier peut être supprimé. Le portail avertit que cela ne peut pas être annulé. La suppression de compte est une demande. Après approbation, elle supprime définitivement votre profil et chaque fichier téléversé ou scellé. Elle supprime aussi l'historique de signature, les certificats émis et les données de facturation. Téléchargez donc vos données d'abord. Les copies que vous avez déjà téléchargées restent valides par elles-mêmes. Le validateur public sur swisstrustlayer.com/validate ne lit que le PDF et ne conserve jamais le document. Le devoir d'effacement pour toute copie que vous détenez reste le vôtre.
Les noms de fichiers sont publics pour quiconque a le lien
La page de vérification n'exige aucune connexion. Quiconque a le lien peut lire vos noms de fichiers.
Le code QR du certificat ouvre une page de vérification sur le portail. Quiconque détient le lien ou scanne le code peut l'ouvrir. Il voit si les signatures sont valides, qui a émis le certificat de signature, à qui il a été délivré, la date de signature et l'expiration. Il peut aussi télécharger le PDF du certificat. Ce PDF montre le nom du titulaire du compte, chaque nom de fichier et chaque empreinte.
Un fichier appelé «lettre-de-licenciement-anna-muster.pdf» figure donc sur un certificat émis pour cette version. Les empreintes d'une version émise ne changent jamais. Nommez les fichiers avec une référence avant de les sceller: un numéro de dossier, une date, un code projet. Pas une personne. Gardez la liste qui relie les références aux personnes dans votre propre système, où vous pouvez l'effacer.
Une version peut être scellée après une vérification d'identité. Le certificat montre alors aussi le nom, le prénom, la date de naissance et le pays du titulaire du compte. Le numéro de passeport apparaît sous forme d'astérisques. Un changement d'identité ultérieur ne réécrit jamais un certificat émis. Le scellement lui-même n'exige pas de vérification d'identité.
La limite, dite clairement
Nous expliquons la loi et le sceau. Nous ne tranchons pas votre cas.
Nous ne décidons pas si une empreinte donnée est une donnée personnelle dans un cas donné. Nous ne décidons pas si l'article 17, paragraphe 3, lettre e), couvre vos documents. Ces réponses dépendent de qui d'autre détient l'original, de la finalité des données et des prétentions en cours. Le sceau ne fait que garder la preuve petite: un nom, une empreinte, une heure. Assez petite pour qu'effacer le document n'efface pas votre preuve qu'il a existé.
Une étape cette semaine
Lisez vos noms de fichiers comme le ferait un inconnu. Renommez tous ceux qui nomment une personne.
Ouvrez le dossier que vous scellez le plus souvent. Si un nom vous dit qui est une personne, renommez le fichier avec une référence. Faites-le avant que la prochaine version soit scellée. Puis téléchargez le certificat d'une version scellée et regardez ce qu'il montre: un nom, des noms de fichiers, des empreintes, une heure. Le mécanisme est décrit dans comment ça marche. La vue d'ensemble est dans notre guide RGPD et scellement de documents.
Scellez votre premier document sur Swiss Trust Layer et gardez la preuve sans garder la personne.
