Uma pequena agência selou um contrato de cliente há dois anos. Agora o cliente escreve: o trabalho acabou, por favor apaguem os meus dados. A agência quer fazer isso. Também quer prova de que o contrato existiu nessa forma.
Ambas as coisas podem acontecer. O selo contém menos do que a maioria das pessoas pensa.
O que sai da sua pasta quando sela
Só uma impressão digital do seu ficheiro é enviada. O ficheiro em si fica na sua pasta.
Carrega o ficheiro para uma pasta na Swiss Trust Layer. O portal calcula então uma impressão digital criptográfica dele. Uma impressão digital, ou hash, é um código curto único para esse conteúdo exato. Só a impressão digital é enviada à Swisscom Trust Services, o prestador qualificado de serviços de confiança. Esta assina a impressão digital com uma chave que nunca sai do seu hardware. A assinatura traz um selo temporal ao abrigo da RFC 3161. Num PDF, a assinatura é incorporada no PDF. O ficheiro original nunca é alterado.
Cada versão selada da pasta recebe também um certificado de prova, ele próprio um PDF assinado. Ele lista todos os ficheiros com o seu nome, a sua impressão digital e a hora da selagem em UTC. Não contém o ficheiro. Uma impressão digital não pode ser transformada de volta no documento. Qualquer alteração ao ficheiro dá uma impressão digital diferente, por isso uma alteração é detetável. O documento e a sua prova são dois objetos separados.
Uma impressão digital são dados pessoais? O teste, não o veredicto
O RGPD dá um teste para o que conta como dados pessoais. Não decide sobre hashes.
O artigo 4(1) do RGPD define dados pessoais como "informação relativa a uma pessoa singular identificada ou identificável", direta ou indiretamente (texto reverificado no EUR-Lex, 15 de outubro de 2026). O artigo 4(5) define pseudonimização. É o tratamento de modo que os dados "já não possam ser atribuídos a um titular de dados específico sem recorrer a informações suplementares". Essa informação extra tem de ser mantida separadamente.
O considerando 26 diz que, para decidir se uma pessoa é identificável, "importa considerar todos os meios suscetíveis de ser razoavelmente utilizados, tais como a seleção, pelo responsável pelo tratamento ou por outra pessoa".
Um hash, por si só, não pode ser transformado de volta no documento. Se ainda se refere a uma pessoa é avaliado por esse teste. Um meio é evidente: qualquer pessoa que detenha o ficheiro original pode calcular a sua impressão digital e confirmar a correspondência.
O que o direito ao apagamento pede
Uma pessoa pode pedir-lhe que apague os seus dados. O RGPD lista quando esse direito se aplica e quando não se aplica.
O artigo 17(1) dá a uma pessoa o direito a que os dados pessoais sejam apagados sem demora injustificada. Um dos seus fundamentos tem de se aplicar. Por exemplo, os dados "deixaram de ser necessários para a finalidade que motivou a sua recolha ou tratamento". Ou o consentimento é retirado e não resta outro fundamento jurídico. Ou os dados "foram tratados ilicitamente".
O artigo 17(3) lista quando o direito não se aplica, quando o tratamento é necessário para uma finalidade listada. A alínea (e) é a que importa para a prova: "para efeitos de declaração, exercício ou defesa de um direito num processo judicial". Se ela cobre o seu contrato é uma questão sobre a sua situação, não sobre o selo.
O desenho prático: apagar o documento, guardar a prova
Elimine o documento quando tiver de o fazer. Guarde o certificado, que não contém conteúdo.
Quando chega um fundamento de apagamento e nenhuma exceção se aplica, elimine o documento. O PDF selado transporta o conteúdo, por isso também vai. Guarde o certificado de prova: nome do ficheiro, impressão digital e hora, não o conteúdo. Alguém pode mais tarde perguntar se este contrato existia naquele dia. Se a outra parte ainda tiver a sua cópia, a impressão digital no certificado responde a isso.
Ao abrigo do artigo 41(2) do Regulamento eIDAS, presume-se que um selo temporal eletrónico qualificado está correto na sua data e hora. Presume-se que os dados a ele ligados não foram alterados. O certificado preserva exatamente isso: a impressão digital e a hora.
Na plataforma, uma pasta pode ser eliminada. O portal avisa que isto não pode ser desfeito. A eliminação da conta é um pedido. Depois de aprovado, elimina permanentemente o seu perfil e todos os ficheiros carregados ou selados. Elimina também o histórico de assinaturas, os certificados emitidos e os registos de faturação. Por isso, descarregue primeiro os seus dados. As cópias que já descarregou continuam válidas por si só. O validador público em swisstrustlayer.com/validate lê apenas o PDF e nunca guarda o documento. O dever de apagamento de qualquer cópia que detenha fica consigo.
Os nomes dos ficheiros são públicos para qualquer pessoa com a ligação
A página de verificação não precisa de início de sessão. Qualquer pessoa com a ligação pode ler os nomes dos seus ficheiros.
O código QR do certificado abre uma página de verificação no portal. Qualquer pessoa que tenha a ligação ou leia o código pode abri-la. Vê se as assinaturas são válidas, quem emitiu o certificado de assinatura, a quem foi emitido, a data de assinatura e a validade. Pode também descarregar o PDF do certificado. Esse PDF mostra o nome do titular da conta, todos os nomes de ficheiros e todas as impressões digitais.
Um ficheiro chamado "carta-rescisao-anna-muster.pdf" fica por isso num certificado emitido para essa versão. Os hashes de uma versão emitida nunca mudam. Dê aos ficheiros um nome com uma referência antes de os selar: um número de processo, uma data, um código de projeto. Não uma pessoa. Guarde a lista que liga referências a pessoas no seu próprio sistema, onde a pode apagar.
Uma versão pode ser selada depois da verificação de identidade. Nesse caso o certificado mostra também o apelido, o nome, a data de nascimento e o país do titular da conta. O número do passaporte aparece como asteriscos. Uma alteração posterior da identidade nunca reescreve um certificado emitido. A selagem em si não exige verificação de identidade.
O limite, dito com clareza
Explicamos a lei e o selo. Não decidimos o seu caso.
Não decidimos se uma dada impressão digital são dados pessoais num dado caso. Não decidimos se o artigo 17(3)(e) cobre os seus registos. Essas respostas dependem de quem mais detém o original, para que servem os dados e que reivindicações estão ativas. O selo apenas mantém a prova pequena: um nome, uma impressão digital, uma hora. Pequena o suficiente para que apagar o documento não apague a sua prova de que ele existiu.
Um passo esta semana
Leia os nomes dos seus ficheiros como um estranho os leria. Renomeie qualquer um que nomeie uma pessoa.
Abra a pasta que sela mais vezes. Se um nome lhe diz quem é uma pessoa, renomeie o ficheiro com uma referência. Faça-o antes de a próxima versão ser selada. Depois descarregue o certificado de uma versão selada e veja o que ele mostra: um nome, nomes de ficheiros, impressões digitais, uma hora. O mecanismo está em como funciona. A visão mais ampla está no nosso guia sobre RGPD e selagem de documentos.
Sele o seu primeiro documento na Swiss Trust Layer e guarde a prova sem guardar a pessoa.
