3 tygodni temu
Niemal każda firma przetwarza dane osobowe swoich klientów, takie jak imię, nazwisko, czy powiązane z nimi adres e-mail, numer telefonu komórkowego, a nieraz także numer PESEL, numer dowodu osobistego, czy wręcz dane dotyczące zdrowia lub dane biometryczne, jak rysy twarzy.
Zbierane i przetwarzane dane osobowe muszą być ograniczone do tego, co niezbędne do celów, w których są przetwarzane oraz przechowywane mogą być przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane – co wynika z zasad minimalizacji danych i ograniczenia przechowywania danych, zapisanych obok innych zasad przetwarzania danych osobowych w art. 5 Ogólnego rozporządzenia o ochronie danych (RODO). Oznacza to, iż dane osobowe mogą być przechowywane tylko w maksymalnie niezbędnym czasie. Okres przechowywania danych osobowych nazywany jest „okresem retencji” tych danych.
Z pewnością niezbędne jest przechowywanie danych osobowych w trakcie i w związku z wykonywaną usługą na rzecz klienta. Jak długo jednak możemy przechowywać jego dane po tym, jak już usługa zostanie wykonana?
Poza zasadami ogólnymi RODO nie wskazuje żadnego minimalnego ani maksymalnego okresu przechowywania danych osobowych klientów po realizacji usługi. Mogą taki okres wskazywać szczególne przepisy sektorowe, jak przykładowo okres przechowywania danych telekomunikacyjnych lub okres przechowywania danych przez banki. Co do zasady wskazówką jest jednak cel, dla jakiego przetwarzane są dane, oczywiście w kontekście specyfiki prowadzonej działalności. Może okazać się, iż niezbędny czas dalszego przechowywania danych po zakończeniu usługi będzie inny w przypadku sprzedaży prowadzonej przez sklep internetowy, inny dla biura projektowego, a jeszcze inny dla szkoły języków obcych.
W praktyce możemy wskazać przykładowe okresy, wynikające z konkretnych celów przetwarzania danych. W przypadku sprzedaży towarów, powinniśmy uwzględnić okres, w którym klient może zgłosić reklamację w ramach rękojmi lub gwarancji – a więc co do zasady 2 lata od wydania towaru, ale okres ten może być wydłużony jeżeli sprzedawca udzieli dłuższej gwarancji. Takie wydłużenie czasu przechowywania danych osobowych jest na korzyść klienta, który ma więcej czasu w złożenie reklamacji. Należy jednak uważać, bo zasada ta nie zawsze działa w obie strony. Prezes Urzędu Ochrony Danych Osobowych, a za nim także sądy administracyjne, niejednokrotnie zwracały uwagę, iż przedsiębiorca nie może przetwarzać danych osobowych klientów „na wszelki wypadek”, tłumacząc to własnym interesem zabezpieczenia się przez ewentualnymi roszczeniami z umowy.
Innym okresem granicznym przechowywania części danych osobowych jest okres przedawnienia zobowiązań podatkowych – dokumenty księgowe, takie jak faktury, muszą być przechowywane przez okres 5 lat od końca roku, w którym powstał obowiązek podatkowy. Mamy zatem obowiązek przechowywania danych zawartych na fakturze przez ten czas.
Czas przechowywania danych klientów po zakończeniu usługi może być też uwarunkowany zgodą samego klienta. o ile uprzednio zakomunikowanym celem przetwarzania danych jest marketing albo prowadzenie newslettera, na które klient wyraził zgodę, to przetwarzanie jego danych niezbędnych do realizacji tych celów będzie uzasadnione. W takim przypadku jednak klient w każdym czasie ma prawo do odwołania zgody i nie może mu to być utrudnione. Po odwołaniu zgody dalsze przetwarzanie danych nie będzie już możliwe, chyba iż istnieje inna podstawa i cel takiego przetwarzania.
Warto pamiętać, iż okres, przez który dane będą przechowywane (a gdy nie jest to możliwe, to kryteria ustalania tego okresu) musimy wskazać już w treści klauzul informacyjnych udostępnianych klientom na temat zasad przetwarzania ich danych osobowych.
Dlaczego ważne jest, aby nie tylko zdefiniować okresy przetwarzania danych, ale również w praktyce się do nich stosować. Z całą pewnością sprawdzi to inspektor Urzędu Ochrony Danych Osobowych, o ile w naszej firmie będzie miała miejsce kontrola. Czas „zalegania” danych osobowych odegra też niebagatelną rolę w przypadku wycieku danych – łatwo wyobrazić sobie skalę tych danych, które nie były porządkowane i regularnie usuwane od 10 czy 15 lat. W takim wypadku narażamy się na dotkliwą karę administracyjną ze strony Prezesa UODO, kosztowny proces naprawiania skutków wycieku oraz wzrost prawdopodobieństwa roszczeń cywilnoprawnych osób, których dane wyciekły. Trzymanie się okresu retencji i regularne usuwanie „przestarzałych” danych ogranicza zatem skalę negatywnych skutków ewentualnych naruszeń.
Warto zatem wdrożyć w swojej firmie odpowiednie mechanizmy pozwalające na takie uporządkowanie danych, które umożliwi ich weryfikację pod kątem konieczności ich regularnego usuwania po upływie niezbędnego okresu. O ile przy tym stosunkowo łatwo wyodrębnić i przekazać do utylizacji „stare” dokumenty księgowe (przykładowo na początku każdego roku księgowego), to nie należy zapominać, iż dane osobowe byłych klientów mogą krążyć w wielu innych miejscach i na różnego typu nośnikach – serwerach, kopiach zapasowych, poczcie e-mail naszych pracowników czy wydrukach dokumentacji.
Artykuł autorstwa: adw. Piotr Gamian
W razie pytań, a także pomysłów tematów na kolejne wydania Newsletter’a zapraszamy do kontaktu:
kontakt@sobotajachira.pl
