Una piccola agenzia ha sigillato un contratto con un cliente due anni fa. Ora il cliente scrive: il lavoro è finito, per favore cancellate i miei dati. L'agenzia vuole farlo. Vuole anche la prova che il contratto è esistito in quella forma.
Entrambe le cose sono possibili. Il sigillo contiene meno di quanto la maggior parte delle persone pensi.
Che cosa esce dalla vostra cartella quando sigillate
Viene inviata solo un'impronta del vostro file. Il file stesso resta nella vostra cartella.
Caricate il file in una cartella su Swiss Trust Layer. Il portale ne calcola poi un'impronta crittografica. Un'impronta, o hash, è un codice breve unico per quel contenuto esatto. Solo l'impronta viene inviata a Swisscom Trust Services, il prestatore di servizi fiduciari qualificato. Questo firma l'impronta con una chiave che non lascia mai il suo hardware. La firma porta una marca temporale secondo RFC 3161. Per un PDF, la firma è incorporata nel PDF. Il file originale non viene mai alterato.
Ogni versione sigillata della cartella riceve anche un certificato di prova, a sua volta un PDF firmato. Elenca ogni file con il suo nome, la sua impronta e l'ora di sigillatura in UTC. Non contiene il file. Un'impronta non può essere ritrasformata nel documento. Qualsiasi modifica al file dà un'impronta diversa, quindi una modifica è rilevabile. Il documento e la sua prova sono due oggetti separati.
Un'impronta è un dato personale? Il test, non il verdetto
Il GDPR dà un test per decidere che cosa conta come dato personale. Non si pronuncia sugli hash.
L'articolo 4, punto 1, del GDPR definisce dato personale "qualsiasi informazione riguardante una persona fisica identificata o identificabile", direttamente o indirettamente (testo ricontrollato su EUR-Lex il 15 ottobre 2026). L'articolo 4, punto 5, definisce la pseudonimizzazione. È un trattamento tale che i dati "non possano più essere attribuiti a un interessato specifico senza l'utilizzo di informazioni aggiuntive". Quelle informazioni aggiuntive devono essere conservate separatamente.
Il considerando 26 dice che, per decidere se una persona è identificabile, "si dovrebbe prendere in considerazione l'insieme dei mezzi di cui il titolare del trattamento o un terzo può ragionevolmente avvalersi, come l'individuazione".
Un hash da solo non può essere ritrasformato nel documento. Se riguardi ancora una persona si giudica con quel test. Un mezzo è evidente: chiunque possieda il file originale può calcolarne l'impronta e confermare la corrispondenza.
Che cosa chiede il diritto alla cancellazione
Una persona può chiedervi di cancellare i suoi dati. Il GDPR elenca quando quel diritto si applica e quando no.
L'articolo 17, paragrafo 1, dà a una persona il diritto di ottenere la cancellazione dei dati personali senza ingiustificato ritardo. Deve ricorrere uno dei suoi motivi. Per esempio, i dati "non sono più necessari rispetto alle finalità per le quali sono stati raccolti o altrimenti trattati". Oppure il consenso è revocato e non resta altra base giuridica. Oppure i dati "sono stati trattati illecitamente".
L'articolo 17, paragrafo 3, elenca quando il diritto non si applica, cioè quando il trattamento è necessario per uno scopo elencato. La lettera e) è quella che conta per la prova: "per l'accertamento, l'esercizio o la difesa di un diritto in sede giudiziaria". Se copra il vostro contratto è una domanda sulla vostra situazione, non sul sigillo.
La soluzione pratica: cancellare il documento, conservare la prova
Cancellate il documento quando dovete. Conservate il certificato, che non contiene alcun contenuto.
Quando arriva un motivo di cancellazione e nessuna eccezione si applica, cancellate il documento. Il PDF sigillato porta il contenuto, quindi va cancellato anche quello. Conservate il certificato di prova: nome del file, impronta e orario, non il contenuto. Qualcuno potrebbe chiedere più tardi se questo contratto esisteva quel giorno. Se la controparte ha ancora la sua copia, l'impronta sul certificato risponde.
Ai sensi dell'articolo 41, paragrafo 2, del regolamento eIDAS, una marca temporale elettronica qualificata gode della presunzione di accuratezza della data e dell'ora. I dati a essa legati sono presunti inalterati. Il certificato conserva esattamente questo: l'impronta e l'orario.
Sulla piattaforma, una cartella può essere eliminata. Il portale avverte che l'operazione non può essere annullata. L'eliminazione dell'account è una richiesta. Dopo l'approvazione elimina in modo permanente il vostro profilo e ogni file caricato o sigillato. Elimina anche la cronologia delle firme, i certificati emessi e i dati di fatturazione. Quindi scaricate prima i vostri dati. Le copie che avete già scaricato restano valide da sole. Il validatore pubblico su swisstrustlayer.com/validate legge solo il PDF e non conserva mai il documento. Il dovere di cancellazione per ogni copia che tenete resta a voi.
I nomi dei file sono pubblici per chiunque abbia il link
La pagina di verifica non richiede alcun accesso. Chiunque abbia il link può leggere i nomi dei vostri file.
Il codice QR sul certificato apre una pagina di verifica sul portale. Chiunque abbia il link o scansioni il codice può aprirla. Vede se le firme sono valide, chi ha emesso il certificato di firma, a chi è stato emesso, la data della firma e la scadenza. Può anche scaricare il PDF del certificato. Quel PDF mostra il nome del titolare dell'account, ogni nome di file e ogni impronta.
Un file chiamato "lettera-licenziamento-anna-muster.pdf" finisce quindi su un certificato emesso per quella versione. Gli hash di una versione emessa non cambiano mai. Date ai file un nome con un riferimento prima di sigillarli: un numero di pratica, una data, un codice di progetto. Non una persona. Tenete la lista che collega i riferimenti alle persone nel vostro sistema, dove potete cancellarla.
Una versione può essere sigillata dopo la verifica dell'identità. Allora il certificato mostra anche cognome, nome, data di nascita e paese del titolare dell'account. Il numero di passaporto appare come asterischi. Un cambiamento successivo dell'identità non riscrive mai un certificato emesso. La sigillatura in sé non richiede la verifica dell'identità.
Il limite, detto chiaramente
Spieghiamo la legge e il sigillo. Non decidiamo il vostro caso.
Non decidiamo se una data impronta sia un dato personale in un dato caso. Non decidiamo se l'articolo 17, paragrafo 3, lettera e), copra i vostri documenti. Quelle risposte dipendono da chi altro possiede l'originale, a che cosa servono i dati e quali pretese sono in corso. Il sigillo tiene solo la prova piccola: un nome, un'impronta, un orario. Abbastanza piccola perché cancellare il documento non cancelli la vostra prova che è esistito.
Un passo per questa settimana
Leggete i nomi dei vostri file come farebbe un estraneo. Rinominate quelli che indicano una persona.
Aprite la cartella che sigillate più spesso. Se un nome vi dice chi è una persona, rinominate il file con un riferimento. Fatelo prima che la prossima versione venga sigillata. Poi scaricate il certificato di una versione sigillata e guardate che cosa mostra: un nome, nomi di file, impronte, un orario. Il meccanismo è su come funziona. Il quadro più ampio è nella nostra guida al GDPR e alla sigillatura dei documenti.
Sigillate il vostro primo documento su Swiss Trust Layer e conservate la prova senza conservare la persona.
