一家小型代理机构两年前封印了一份客户合同。现在客户来信：合作结束了，请删除我的数据。该机构想这样做。它也想保留这份合同曾以那种形式存在的证明。
两者都可以实现。封印所保存的东西比大多数人想的要少。
封印时什么离开了你的文件夹
只有你文件的指纹被发送出去。文件本身留在你的文件夹里。
你把文件上传到 Swiss Trust Layer 上的一个文件夹。然后门户计算它的加密指纹。指纹，也就是哈希值，是一段只对应那份确切内容的短代码。只有指纹被发送给合格信任服务提供商 Swisscom Trust Services。它用一把从不离开其硬件的密钥对该指纹签名。签名带有符合 RFC 3161 的时间戳。对于 PDF，签名被嵌入 PDF 之中。原始文件从不被改动。
每个封印过的文件夹版本还会获得一份证明证书，它本身是一份签名的 PDF。它列出每个文件的名称、指纹和以 UTC 表示的封印时间。它不包含文件。指纹无法还原成文件。文件的任何改动都会产生不同的指纹，所以改动可以被察觉。文件和它的证明是两个独立的对象。
指纹是个人数据吗？是检验标准，而不是裁决
GDPR 给出了判断什么算个人数据的检验标准。它没有对哈希值作出裁决。
GDPR 第4条第(1)款将个人数据定义为"与已识别或可识别的自然人有关的任何信息"，无论直接还是间接(文本于2026年10月15日在 EUR-Lex 复核)。第4条第(5)款定义了假名化。那是一种处理方式，使数据"在不使用额外信息的情况下不再能归属于特定的数据主体"。这些额外信息必须单独保存。
序言第26条说，判断一个人是否可识别时，"应考虑所有合理可能被使用的手段，例如单独识别，无论是由控制者还是由其他人使用"。
单凭哈希值无法还原成文件。它是否仍然与某个人有关，要按这个检验标准判断。有一种手段是显而易见的：任何持有原始文件的人都可以计算它的指纹并确认匹配。
删除权要求什么
一个人可以要求你删除他的数据。GDPR 列出了这项权利何时适用、何时不适用。
第17条第(1)款赋予一个人要求无不当延迟地删除个人数据的权利。必须满足其中一项理由。例如，数据"就其被收集或以其他方式处理的目的而言不再必要"。或者同意被撤回且不再有其他法律依据。或者数据"被非法处理"。
第17条第(3)款列出这项权利何时不适用，即处理对某项列明的目的是必要的。对证明而言重要的是第(e)项："为提出、行使或抗辩法律主张"。它是否涵盖你的合同，是一个关于你自身情况的问题，而不是关于封印的问题。
实际的设计：删除文件，保留证明
必须删除时就删除文件。保留证书，它不含任何内容。
当删除理由出现且没有例外适用时，删除文件。封印过的 PDF 载有内容，所以它也要删除。保留证明证书：文件名、指纹和时间，而不是内容。日后可能有人问这份合同那一天是否存在。如果对方仍然持有他们的副本，证书上的指纹就能回答。
根据eIDAS 法规第41条第(2)款，合格电子时间戳在其日期和时间方面被推定为准确。与之绑定的数据被推定为未经改动。证书保存的正是这一点：指纹和时间。
在平台上，文件夹可以被删除。门户会警告这无法撤销。账户删除是一项申请。获批后，它会永久删除你的个人资料和每一个上传或封印过的文件。它还会删除签名历史、已签发的证书和账单记录。所以先下载你的数据。你已经下载的副本自身仍然有效。公开验证器 swisstrustlayer.com/validate 只读取 PDF，从不存储文件。你所持有的任何副本的删除义务仍然在你。
文件名对任何持有链接的人都是公开的
验证页面不需要登录。任何持有链接的人都能读到你的文件名。
证书上的二维码会打开门户上的一个验证页面。任何持有链接或扫描二维码的人都可以打开它。他们能看到签名是否有效、签名证书由谁签发、签发给谁、签名日期和到期日。他们还可以下载证书 PDF。那份 PDF 显示账户持有人的姓名、每个文件名和每个指纹。
因此，一个叫"termination-letter-anna-muster.pdf"的文件会出现在为该版本签发的证书上。已签发版本的哈希值从不改变。在封印之前，用一个参考编号给文件命名：案件编号、日期、项目代码。不要用人名。把参考编号与人对应的清单保存在你自己的系统里，在那里你可以删除它。
一个版本可以在身份验证之后封印。那时证书还会显示账户持有人的姓、名、出生日期和国家。护照号码显示为星号。之后的身份变更从不改写已签发的证书。封印本身不需要身份验证。
边界，直白地说
我们解释法律和封印。我们不裁决你的案件。
我们不裁决某个指纹在某个具体案件中是否属于个人数据。我们不裁决第17条第(3)款第(e)项是否涵盖你的记录。这些答案取决于还有谁持有原件、数据用于什么目的，以及哪些主张正在进行中。封印只是让证明保持很小：一个名称、一个指纹、一个时间。小到删除文件不会删除它曾经存在的证据。
本周一步
像陌生人那样读一遍你的文件名。把任何提到人名的文件改名。
打开你最常封印的文件夹。如果某个名称能让你知道某个人是谁，就用参考编号给文件改名。在下一个版本封印之前做好这件事。然后下载一个已封印版本的证书，看看它显示什么：一个名称、文件名、指纹、一个时间。机制见工作原理。更全面的视角见我们的GDPR 与文件封印指南。
在 Swiss Trust Layer 上封印你的第一份文件，保留证明而不保留个人。
