Despre durata de stocare a datelor cu caracter personal, fac precizarea că una dintre cele mai frecvente întrebări primite în calitate de specialist GDPR a fost „Și totuși, cât păstrăm datele cu caracter personal?” . Pe scurt, datele cu caracter personal trebuie stocate pe o perioadă minimă pentru a se respecta principiul limitării stocării despre care vom discuta în acest articol. Tot în acest articol, vom prezenta și un scurt ghid despre ce e de făcut concret pentru a se respecta durata de stocarea a datelor personale.
Principiul limitării stocării este unul dintre cele șapte principii esențiale GDPR, printre care legalitatea, echitatea și transparența, reducerea la minimum a datelor, limitări legate de scop, exactitatea, integritate și confidențialitate și responsabilitate. Pentru nerespectarea acestui principiu, GDPR prevede sancțiuni (avertismentul și amenda).
Durata de stocare a datelor personale – privire de ansamblu
- Nu trebuie să păstrați date cu caracter personal pe o perioadă mai mare decât aveți nevoie.
- Trebuie să vă gândiți și să puteți justifica durata de stocare a datelor personale. Acest lucru va depinde de scopurile în care dețineți datele.
- Aveți nevoie de o politică de stabilire a unor perioade standard de păstrare (Politică de retenție) oricând este posibil pentru a vă conforma cu cerințele de întocmire a documentației. O astfel de Politică de retenție se găsește în KIT-ul nostru GDPR Premium, împreună cu celelalte documente obligatorii pentru implementare.
- Ar trebui să revizuiți în mod periodic datele pe care le dețineți și să le ștergeți sau să le anonimizați atunci când nu mai aveți nevoie de ele.
- Trebuie să analizați cu atenție orice contestații privind păstrarea datelor de către dumneavoastră. Persoanele au dreptul la ștergerea datelor dacă nu mai aveți nevoie de datele respective.
- Puteți să păstrați date cu caracter personal pe perioade mai lungi dacă le păstrați doar în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.
Te-ar putea interesa și:
Ce avem de făcut? Pe scurt…
- Știm ce date cu caracter personal deținem și de ce avem nevoie de ele. Pentru a afla ce date prelucrați, puteți utiliza chestionarele din
- KIT-ul nostru GDPR Premium, împreună cu celelalte documente obligatorii pentru implementare.
- Am analizat cu atenție și putem justifica perioada pentru care păstrăm datele cu caracter personal.
- Avem o politică de retenție, acolo unde este posibil, în conformitate cu obligațiile privind documentația.
- Revizuim cu regularitate informațiile pe care le deținem și ștergem sau anonimizăm datele cu caracter personal atunci când nu mai avem nevoie de ele.
- Avem procese adecvate pentru a răspunde cererilor de ștergere ale persoanelor în temeiul „dreptului de a fi uitat”.
- Identificăm în mod clar orice date cu caracter personal pe care trebuie să le păstrăm în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice.
Despre durata de stocare în GDPR…
Articolul 5 alineatul (1) litera (e) din GDPR menționează că:
“1. Datele cu caracter personal sunt:
(e) păstrate într-o formă care permite identificarea persoanelor vizate pe o perioadă care nu depășește perioada necesară îndeplinirii scopurilor în care sunt prelucrate datele; datele cu caracter personal pot fi stocate pe perioade mai lungi în măsura în care acestea vor fi prelucrate exclusiv în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu articolul 89 alineatul (1), sub rezerva punerii în aplicare a măsurilor de ordin tehnic și organizatoric adecvate prevăzute în prezentul regulament în vederea garantării drepturilor și libertăților persoanei vizate („limitări legate de stocare”)”.
KIT GDPR Premium
Așadar, chiar dacă colectați și utilizați date cu caracter personal în mod echitabil și legal, nu puteți să le păstrați pe perioade mai lungi decât aveți într-adevăr nevoie.
Există legături strânse cu principiul reducerii la minim a datelor și cu principiul exactității.
RGPD nu stabilește limite specifice de timp pentru diferitele tipuri de date. Acest lucru depinde de dumneavoastră și va depinde de perioada pentru care aveți nevoie de datele respective în vederea îndeplinirii scopurilor dumneavoastră specificate.
De ce este importantă durata de stocare a datelor cu caracter personal și limitarea acesteia?
A vă asigura că ștergeți sau anonimizați datele cu caracter personal atunci când nu mai aveți nevoie de ele va reduce riscul ca acestea să devină irelevante, excesive, inexacte sau depășite. Pe lângă faptul că acest principiu vă ajută să vă conformați principiilor privind reducerea la minim a datelor și exactitatea, reduce și riscul utilizării eronate a unor astfel de date și vă pune la adăpost de eventualele amenzi GDPR.
Datele cu caracter personal păstrate pentru prea mult timp vor deveni, prin definiție, inutile. Este puțin probabil să aveți un temei juridic pentru o astfel de păstrare.
Dintr-o perspectivă mai practică, este ineficient să păstrați mai multe date cu caracter personal decât aveți nevoie și pot exista costuri inutile asociate cu stocarea și securitatea datelor respective.
Rețineți că trebuie, de asemenea, să răspundeți la solicitările de acces ale persoanei vizate la orice date cu caracter personal pe care le dețineți. Acest lucru poate fi îngreunat dacă dețineți date vechi pe o perioadă mai lungă decât aveți nevoie.
O bună practică în privința limitărilor legate de stocare, cu politici clare privind perioadele de păstrare și ștergere, poate reduce povara necesității tratării unor întrebări referitoare la păstrarea datelor și a solicitărilor individuale de ștergere a acestora.
De ce avem nevoie de o Politică de retenție?
Politicile de retenție enumeră tipurile de evidențe sau informațiile pe care le dețineți, scopurile în care le utilizați și perioada pentru care intenționați să le păstrați. Aceste politici vă ajută să stabiliți și să documentați perioadele standard de păstrare pentru diferite categorii de date cu caracter personal.
Pentru a vă conforma cerințelor de întocmire a documentației, trebuie să stabiliți și să consemnați perioadele standard de păstrare pentru diferitele categorii de informații pe care le dețineți, ori de câte ori este posibil. De asemenea, este recomandabil să aveți un sistem pentru a vă asigura că organizația dumneavoastră respectă aceste perioade de păstrare în practică și pentru a revizui perioadele de păstrare la intervale de timp adecvate. Mai mult, politica dumneavoastră trebuie să fie suficient de flexibilă pentru a permite ștergerea timpurie, dacă este cazul. De exemplu, dacă nu folosiți efectiv o înregistrare, atunci ar trebui să reevaluați necesitatea păstrării acesteia.
O astfel de Politică de retenție se găsește în KIT-ul nostru GDPR Premium, împreună cu celelalte documente obligatorii pentru implementare.
Cum ar trebui să stabilim durata de stocare a datelor cu caracter personal?
RGPD nu prevede perioada pentru care ar trebui să păstrați datele cu caracter personal. Justificarea acestei perioade depinde de dumneavoastră, în funcție de scopurile dumneavoastră de prelucrare. Vă aflați în cea mai bună poziție pentru a hotărî perioada pentru care aveți nevoie de datele respective.
De asemenea, trebuie să fiți în măsură să justificați de ce aveți nevoie să păstrați datele cu caracter personal într-o formă care permite identificarea persoanelor. Dacă nu trebuie să identificați persoanele, atunci ar trebui să anonimizați datele astfel încât identificarea să nu mai fie posibilă.
De exemplu:
- Ar trebui să vă evaluați scopurile declarate pentru prelucrarea datelor cu caracter personal. Puteți să păstrați aceste date cât timp scopurile precizate sunt valabile, dar nu ar trebui să păstrați datele pe o durată nedeterminată „doar în caz că” sau doar dacă există o mică posibilitate de a le utiliza în viitor.
Exemplu: O bancă deține date cu caracter personal despre clienții săi. Acestea includ detalii despre fiecare client privind adresele, datele de naștere și numele de fată al mamei. Banca utilizează aceste informații ca parte din procedurile sale de securitate. Este indicat ca banca să păstreze aceste date pe perioada în care clientul are un cont la banca respectivă. Chiar și după închiderea contului, banca ar putea fi nevoită să păstreze în continuare unele dintre aceste informații din motive legale sau operaționale pentru o perioadă suplimentară de timp.
Exemplu: O bancă ar putea fi nevoită să păstreze imagini de la un sistem CCTV instalat pentru a preveni frauda la un bancomat pe o perioadă de mai multe săptămâni, având în vedere că o tranzacție suspectă ar putea să nu fie identificată înainte ca victima să primească extrasul de cont. În schimb, un bar ar putea fi nevoit să păstreze imagini de la sistemul CCTV pentru o perioadă mai scurtă de timp, întrucât incidentele vor fi descoperite foarte repede. Cu toate acestea, dacă o infracțiune este raportată poliției, barul va trebui să păstreze imaginile pe o perioadă suficientă pentru ca poliția să le poată colecta.
Exemplu: O agenție de localizare deține date cu caracter personal despre un debitor pentru a putea identifica acea persoană în numele unui creditor. Odată ce a găsit persoana și a raportat-o creditorului, s-ar putea să nu mai fie nevoită să păstreze informațiile despre debitor, iar agenția ar trebui să o elimine din sistemele sale, cu excepția cazului în care are motive întemeiate să le păstreze. Astfel de motive ar putea să includă și situația în care agenția a fost solicitată să colecteze și datoria sau aceasta este autorizată să folosească informațiile pentru a localiza debitorii în numele altor creditori.
KIT GDPR Premium
!Ar trebui să evaluați dacă aveți nevoie să păstrați o evidență a relației contractuale cu o persoană odată ce respectiva relație încetează. S-ar putea să nu fiți nevoiți să ștergeți toate datele cu caracter personal atunci când relația contractuală încetează. Este posibil să fiți nevoiți să păstrați unele informații astfel încât să puteți confirma faptul că relația a existat și că aceasta a încetat, precum și câteva din detaliile acestei relații. De asemenea, este posibil să aveți nevoie de acest date în eventualitate unui litigiu, de aceea este recomandat să le păstrați cel puțin 3 ani (termenul general de prescripție)
Exemplu: O societate ar putea fi nevoită să păstreze unele date cu caracter personal privind un client anterior pentru a putea trata eventuale plângeri pe care clientul respectiv le-ar putea formula privind serviciile pe care aceasta le-a furnizat.
Exemplu: Un angajator ar trebui să revizuiască datele cu caracter personal pe care le deține despre un angajat atunci când acesta părăsește organizația. Acesta va fi nevoit să păstreze suficiente date pentru a permite organizației să trateze, de exemplu, solicitări de recomandări sau referitoare la pensii. Cu toate acestea, organizația ar trebui să șteargă datele cu caracter personal de care este puțin probabil să mai aibă nevoie, precum datele de contact în caz de urgență, adresele anterioare sau detaliile privind beneficiarul indemnizației de deces la locul de muncă.
Exemplu: O societate primește o notificare din partea unui fost client prin care i se solicită să înceteze prelucrarea datelor personale ale acelui client pentru activități de marketing direct. Este indicat pentru acea societate să păstreze suficiente informații despre fostul client pentru ca aceasta să înceteze includerea persoanei respective în activitățile viitoare de marketing direct.
!!!Ar trebui să analizați dacă aveți nevoie să păstrați informații pentru a apărarea în cazul unor eventuale viitoare reclamații în justiție. Cu toate acestea, ați putea șterge informațiile care nu ar putea fi relevante unei astfel de reclamații. Cu excepția cazului în care există un alt motiv pentru păstrarea lor, datele cu caracter personal ar trebui șterse atunci când o astfel de reclamație nu ar mai putea să intervină (de exemplu, s-a împlinit termenul de prescripție în care puteați fi acționat în instanță).
Exemplu: Un angajator primește mai multe candidaturi pentru un loc de muncă vacant. Cu excepția cazului în care există un motiv comercial clar, angajatorul nu ar trebui să păstreze evidențele de recrutare în privința candidaților respinși peste perioada legală în care poate fi formulată o reclamație privind procesul de recrutare.
Ar trebui să analizați orice cerințe legale sau de reglementare. Există diferite cerințe legale privind păstrarea anumitor tipuri de evidențe, de exemplu, în scopuri fiscale, contabile sau de dreptul muncii. Dacă păstrați date cu caracter personal pentru a respecta o astfel de cerință legală, nu se va considera că ați păstrat informațiile cu depășirea perioadei necesare
Trebuie să vă gândiți să adoptați o abordare proporțională, punând în balanță nevoile dumneavoastră și impactul păstrării asupra vieții private a persoanelor. Nu uitați că păstrarea de către dumneavoastră a datelor trebuie, de asemenea, să fie întotdeauna echitabilă și legală.
Când trebuie să revizuim durata de stocare a datelor personale?
Ar trebui să examinați dacă aveți nevoie în continuare de datele cu caracter personal la sfârșitul oricărei perioade standard de păstrare și să le ștergeți sau să le anonimizați, cu excepția cazului în care există o justificare clară pentru păstrarea lor pentru mai mult timp. Sistemele automate pot marca evidențele care trebuie revizuite sau pot șterge informații după o perioadă de timp prestabilită. Acestea sunt utile în special dacă dețineți mai multe evidențe de același tip.
De asemenea, este o bună practică să examinați păstrarea datelor cu caracter personal la intervale regulate de timp înainte, mai ales dacă perioada standard de păstrare este îndelungată sau există posibilitatea unui impact semnificativ asupra persoanelor.
Dacă nu ați stabilit o perioadă de păstrare pentru datele cu caracter personal, trebuie să efectuați o analiză periodică asupra necesității păstrării lor.
Totuși, nu există nicio normă strictă în privința regularității acestor revizuiri. Un factor relevant în acest caz ar putea fi reprezentat de resursele dumneavoastră, alături de riscul la adresa vieții private a persoanelor. Aspectul important de reținut este că trebuie să fiți în măsură să justificați păstrarea, precum și regularitatea cu care o revizuiți.
De asemenea, trebuie să examinați dacă aveți nevoie în continuare de datele cu caracter personal dacă persoana vă solicită ștergerea lor. Persoanele au dreptul absolut la ștergerea datelor cu caracter personal de care nu mai aveți nevoie în scopurile dumneavoastră specificate.
Ce ar trebui să facem cu datele cu caracter personal de care nu mai avem nevoie?
Puteți fie să le ștergeți, fie să le anonimizați.
Trebuie să rețineți că există o diferență importantă între ștergerea permanentă a datelor cu caracter personal și mutarea lor offline. Dacă datele cu caracter personal sunt stocate offline, acest lucru ar trebui să le reducă disponibilitatea și riscul unei utilizări necorespunzătoare sau al unei greșeli. Cu toate acestea, dumneavoastră prelucrați în continuare date cu caracter personal. Ar trebui să le stocați doar offline (mai degrabă decât să le ștergeți) dacă puteți să justificați în continuare deținerea lor. Trebuie să fiți pregătiți să răspundeți solicitărilor de acces ale persoanelor vizate la datele cu caracter personal stocate offline și trebuie să respectați în continuare toate principiile și drepturile.
Termenul „ștergere” poate însemna mai multe lucruri în legătură cu datele electronice și admitem că nu este întotdeauna posibil ca toate urmele datelor să fie șterse. Problema esențială este asigurarea că nu mai folosiți datele respective. Dacă este indicat să ștergeți datele cu caracter personal dintr-un sistem în timp real, ar trebui să le ștergeți și din orice copii de rezervă ale informațiilor din sistemul respectiv.
În mod alternativ, puteți să anonimizați datele astfel încât acestea să nu mai fie „într-o formă care să permită identificarea persoanelor vizate”.
Datele cu caracter personal care au fost pseudonimizate, de exemplu date codificate la sursă, vor permite, de regulă, identificarea în continuare. Pseudonimizarea poate fi un instrument util pentru conformarea cu celelalte principii, precum reducerea la minim a datelor și securitatea, dar principiul limitărilor legate de stocare se aplică în continuare.
Cum se aplică durata de stocare schimbului de date?
Dacă faceți schimb de date cu caracter personal cu alte organizații, ar trebui să conveniți împreună asupra procedurii de urmat în cazul în care nu mai sunteți nevoiți să comunicați acele date. În unele cazuri, ar putea fi mai bine să înapoiați datele partajate organizației care le-a furnizat fără a păstra o copie a acestora. În alte cazuri, toate organizațiile implicate ar trebui să-și șteargă copiile datelor cu caracter personal.
Exemplu: Datele cu caracter personal despre clienții societății A sunt comunicate societății B, care desfășoară negocieri pentru a cumpăra afacerea societății A. Societățile convin ca societatea B să păstreze informațiile confidențiale și să le utilizeze doar în legătură cu tranzacția propusă. Vânzarea nu are loc și societatea B înapoiază informațiile despre clienți societății A fără a păstra o copie a acestora.
Organizațiile implicate într-o inițiativă de schimb de informații pot să-și stabilească fiecare propriile perioade standard de păstrare deoarece unele dintre ele pot avea motive întemeiate să păstreze datele cu caracter personal pe perioade mai lungi decât altele. Totuși, dacă toate organizațiile păstrează datele în scopurile inițiativei de schimb de date și aceste date nu mai sunt necesare pentru îndeplinirea inițiativei respective, atunci toate organizațiile care dețin copii ale acestor informații ar trebui să le șteargă.
Sursa: ICO
Vrei să te aliniezi la GPPR? Cum te putem ajuta:
- Consultanță și implementare GDPR. Află mai multe aici.
- KIT complet de documente prin care îți faci singur implementarea, cu suportul nostru juridic. Află mai multe aici
Te-ar putea interesa și:
Vrei să înveți cum să implementezi corect GDPR? Îți recomandăm cursul nostru online cu 28 de module care acoperă integral, teoretic și practic, materia. La finalul cursului vei obține certificatul de absolvire și documentația GDPR (șabloane editabile în Word și Excel) pentru a implementa cu succes. Află mai multe aici
[Conținutul prezentului articol nu reprezintă o consultație juridică în temeiul Legii nr. 51/1995 privind organizarea și exercitarea profesiei de avocat, iar site-ul nu își asumă răspunderea pentru conținutul publicat de autori, editori și colaboratori.]
