Wybór polityki retencji

Pytanie leżące pod "jak długo powinniśmy to przechowywać"

Zasada ograniczenia przechowywania z RODO (art. 5 ust. 1 lit. e) mówi, że dane osobowe powinny być przechowywane "w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane". To prawdziwy obowiązek prawny, niezależnie od tego, jaki kanał prowadzisz — ale "niezbędne" nie definiuje się samo, a firma budująca kanał od zera musi przełożyć to na konkretne liczby przed pierwszym dniem, nie po tym, jak zapyta o to audytor. Poniższe ramy pokazują, jak myśleć o tym przełożeniu; sposób, w jaki wdrożył je Provoxis, to jeden przykład, nie jedyna poprawna odpowiedź.

Wynik sprawy powinien decydować o tym, jak długo jest przechowywana, nie jedno jednolite okno

Błędem, którego trzeba unikać, jest wybranie jednego okresu retencji i zastosowanie go do wszystkiego, co wpływa przez kanał. Sprawa, która okazuje się w ogóle nie mieć nic wspólnego z kanałem, nie potrzebuje takiej samej retencji jak potwierdzone ustalenie, a potwierdzone ustalenie, które nadal podlega aktywnemu postępowaniu prawnemu lub dyscyplinarnemu, wymaga znów innego traktowania — usunięcie dowodów, które firma jest prawnie zobowiązana zachować, to znacznie większy problem niż usunięcie ich kilka miesięcy wcześniej niż idealnie. Solidny projekt retencji zaczyna się od pytania, co wynik sprawy faktycznie implikuje dla tego, jak długo dokumentacja nadal ma znaczenie, nie od wybrania jednej liczby dla każdej sprawy.

Rozsądny ogólny kształt, niezależny od konkretnego dostawcy:

• Poza zakresem — sprawa, która tak naprawdę nie była czymś, czym powinien się zajmować ten kanał. Krótka retencja jest uzasadniona; niewiele bieżącego celu spełnia jej długie przechowywanie.
• Zasadna sprawa bez toczącego się postępowania — przechowywana przez znaczące, wieloletnie okno, wystarczająco długie, by być użyteczną jako dokumentacja, jeśli ten sam wzorzec się powtórzy lub później zostanie zgłoszone roszczenie, wystarczająco krótkie, by nie było domyślnie przechowywane bezterminowo.
• Sprawa objęta aktywnym lub racjonalnie przewidywanym postępowaniem prawnym lub dyscyplinarnym — przechowywana bezterminowo, lub przynajmniej do faktycznego zakończenia tego postępowania, i nigdy w tym czasie niepodlegająca automatycznemu usunięciu. To tutaj bezpośrednio istotny staje się wyjątek RODO od prawa do usunięcia dla ustalenia, dochodzenia lub obrony roszczeń (art. 17 ust. 3 lit. e) — zobacz sekcję o zabezpieczeniu prawnym niżej, jak jest to stosowane sprawa po sprawie, ponad harmonogramem, który obowiązuje pozostałe poziomy.

Jak Provoxis wdrożył to dzisiaj

Własne domyślne ustawienia Provoxis podążają dokładnie za tym kształtem. Gdy osoba obsługująca zamyka sprawę, zapisuje wynik (Potwierdzone, Częściowo potwierdzone, Niepotwierdzone lub Przekazane na zewnątrz) oraz, osobno, który okres retencji ma zastosowanie — te dwa elementy są niezależne, więc sprawa Niepotwierdzona może nadal znajdować się w tym samym okresie co Potwierdzona:

• Poza zakresem — przechowywane 60 dni po zamknięciu, następnie kwalifikujące się do automatycznego usunięcia.
• Standardowy — domyślny dla zasadnej sprawy bez toczącego się postępowania. Okres zależy od kraju rejestracji Twojego konta: tam, gdzie prawo krajowe tego kraju wdrażające dyrektywę ustala konkretny okres, Provoxis go stosuje — znaleźliśmy w UE wartości od 3 miesięcy (Cypr) do 5 lat (między innymi Włochy), przy czym Niemcy i Polska mają po 3 lata. Tam, gdzie prawo danego kraju nie ustala konkretnego okresu, domyślnie obowiązuje 5 lat. Tak czy inaczej, po upływie okresu sprawa kwalifikuje się do automatycznego usunięcia.
• Postępowanie dyscyplinarne lub prawne — dla sprawy, w której postępowanie nadal trwa. Przechowywane bezterminowo; nigdy nieusuwane automatycznie. Jedynym sposobem opuszczenia tego okresu jest ponowne otwarcie sprawy przez osobę obsługującą po faktycznym zakończeniu postępowania i wybranie innego okresu przy ponownym zamknięciu.

Okna "Poza zakresem" i "Postępowanie dyscyplinarne lub prawne" są ustalone i obowiązują w ten sam sposób dla każdej firmy korzystającej dziś z Provoxis; okno Standardowe jest natomiast ustalane automatycznie na podstawie kraju rejestracji Twojego konta, zamiast być czymś, co konfigurujesz samodzielnie. To celowe stanowisko wyjściowe, nie luka: domyślne ustawienia — w tym wartość specyficzna dla danego kraju — są zbudowane, by spełniać zasadę ograniczenia przechowywania od chwili uruchomienia kanału, zamiast pozostawiać firmie projektowanie własnego harmonogramu od zera, zanim będzie mogła być zgodna od pierwszego dnia. Jeśli Twoje własne rozumowanie prowadzi gdzie indziej niż te konkretne liczby, to uzasadniony wynik samodzielnego zastosowania powyższych ram — ramy mają większe znaczenie niż dopasowanie się do dokładnych liczb Provoxis.

Nadpisanie, którego potrzebuje każdy schemat: zabezpieczenie prawne

Niezależnie od tego, na jakim harmonogramie się zdecydujesz, automatyczne usuwanie działające bez nadzoru wobec sprawy objętej aktywnym lub racjonalnie przewidywanym postępowaniem prawnym byłoby prawdziwym problemem, nie tylko niedogodnością — a wyjątek RODO z art. 17 ust. 3 lit. e istnieje właśnie po to, by zachowanie danych mogło nadpisać domyślny harmonogram, gdy to nastąpi. W Provoxis administrator ustanawia zabezpieczenie — wymagany jest powód, i zostaje on zalogowany — a sprawa zostaje całkowicie wyłączona z automatycznego usunięcia, niezależnie od tego, w jakim okresie faktycznie się znajduje. Zniesienie zabezpieczenia również wymaga powodu i jest logowane w ten sam sposób; dopiero po jego zniesieniu sprawa ponownie podlega swojemu okresowi retencji.

Osobno, administrator klienta może ręcznie usunąć dane sprawy na żądanie — na przykład, by zrealizować wniosek o usunięcie danych osoby, którego nie obejmuje wyjątek dotyczący roszczeń prawnych. Jest to całkowicie zablokowane, gdy zabezpieczenie prawne jest aktywne: zabezpieczenie musi zostać najpierw wyraźnie zniesione, co samo w sobie jest logowaną czynnością, więc zabezpieczenia nigdy nie da się po cichu obejść ręcznym usunięciem.

Podstawa prawna

• Art. 5 ust. 1 lit. e, RODO — zasada ograniczenia przechowywania: dane osobowe przechowywane nie dłużej, niż jest to niezbędne dla celu, dla którego były przetwarzane.
• Art. 17 ust. 3 lit. e, RODO — wyjątek od prawa do usunięcia dla ustalenia, dochodzenia lub obrony roszczeń, podstawa dla zabezpieczenia prawnego nadpisującego automatyczne usunięcie.