Retencja danych a możliwości techniczne

Przeprowadzając inwentaryzację danych osobowych nie można ograniczać się jedynie do identyfikacji rodzaju danych, celu ich przetwarzania i podstawy prawnej. Istotnym elementem jest również ustalenie, w jakiej formie dane są przechowywane. Czy są to dane w formie papierowej, czy może w formie elektronicznej? W przypadku danych elektronicznych należy określić, w jakich systemach informatycznych są one przechowywane i jakie są możliwości techniczne tych systemów w zakresie retencji i usuwania danych.

Wiele firm korzysta z różnorodnych systemów informatycznych do przetwarzania danych osobowych, takich jak systemy CRM, systemy kadrowo-płacowe, czy platformy marketingowe. Każdy z tych systemów może mieć inne możliwości techniczne w zakresie retencji i usuwania danych. Niektóre systemy mogą umożliwiać automatyczne usuwanie danych po upływie określonego czasu, inne mogą wymagać ręcznego usuwania danych przez administratora.

Dlatego ważne jest, aby podczas inwentaryzacji danych osobowych zbadać możliwości techniczne stosowanych systemów informatycznych. Należy ustalić, czy systemy te umożliwiają, po pierwsze, ustawienie automatycznych reguł retencji danych, w szczególności czy można w systemie ustawić automatyczne usuwanie lub anonimizację danych po upływie określonego czasu? Po drugie istotna jest kwestia eksportu danych w przenośnym formacie, w szczególności, czy system umożliwia eksport danych w formacie, który umożliwi ich archiwizację, a następnie usunięcie? I wreszcie niezbędna jest możliwość trwałego usunięcia danych: czy system gwarantuje trwałe usunięcie danych, bez możliwości ich odzyskania?

Jak długo przechowywać dane?

Nie ma uniwersalnej odpowiedzi na pytanie, jak długo przechowywać dane osobowe po zakończeniu umowy. Okres retencji powinien być ustalony indywidualnie dla każdego przypadku. Kończąc relację z klientem należy jednak rozważyć co najmniej dwa obszary, które mogą stanowić podstawę do określenia okresów przechowywania danych, a następnie ich usunięcia.

Po pierwsze, są to obowiązki związane z przechowywaniem dokumentów księgowych i podatkowych. Przykładowo, zgodnie z ustawą o rachunkowości, dokumenty takie jak faktury należy przechowywać przez okres 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku.

Po drugie, mamy do czynienia z potencjalnym dochodzeniem roszczeń. Firma, co do zasady, może przechowywać dane osobowe, by móc dochodzić swoich roszczeń lub bronić się przed roszczeniami klienta (np. w przypadku sporu o zapłatę). W sytuacjach spornych dane osobowe mogą stanowić kluczowy dowód w postępowaniu sądowym lub administracyjnym. W tym akurat obszarze warto przeprowadzić analizę, która powinna obejmować ocenę prawdopodobieństwa wystąpienia roszczeń. Dosyć powszechną praktyką jest bowiem przechowywanie danych osobowych w celu obrony przed potencjalnymi roszczeniami przez wynikający z przepisów prawa cywilnego okres przedawnienia roszczeń. Niestety, Urząd Ochrony Danych Osobowych oraz niektóre sądy administracyjne, wbrew istocie instytucji przedawnienia roszczeń, podważają taką praktykę. Należy to zatem koniecznie wziąć pod uwagę w swoich działaniach.

Bezpieczeństwo danych  

Na koniec należy zwrócić uwagę, że przechowując dane osobowe, tak w trakcie trwającej relacji z klientem, jak i po jej zakończeniu, firma musi zapewnić im odpowiedni poziom bezpieczeństwa, aby uchronić je przed utratą, zniszczeniem, nieuprawnionym dostępem lub ujawnieniem. Zgodnie z zasadą rozliczalności, organizacje muszą nie tylko wdrożyć, ale także stale doskonalić swoje systemy ochrony danych poprzez stosowanie odpowiednich do ustalonego ryzyka środków technicznych i organizacyjnych, w tym:

  • szyfrowanie danych,
  • kontrolę dostępu (należy ją regularnie weryfikować, a także aktualizować uprawnienia),
  • ochronę całej infrastruktury przed złośliwym oprogramowaniem,
  • przyjęcie i regularne aktualizowanie polityki bezpieczeństwa informacji,
  • szkolenia dla pracowników,
  • przeprowadzanie regularnych audytów bezpieczeństwa w celu identyfikacji potencjalnych luk i słabości w systemie ochrony danych.
  
Jakub Pawłowski Jakub Pawłowski  

Autor jest radcą prawnym w zespole LexDigital.