Przechowuj dane klientów tylko przez wymagany okres (zgodnie z RODO).

Dane klientów należy przechowywać wyłącznie przez okres niezbędny do celu przetwarzania, zgodnie z zasadą minimalizacji RODO.

Przechowuj dane klientów tylko przez wymagany okres

Zasada przechowywania danych klientów przez wymagany okres oznacza, że informacje identyfikujące osobę, dane kontaktowe, historię zgłoszeń, ustalenia dotyczące naprawy oraz dokumenty związane z obsługą nie powinny pozostawać w systemach dłużej, niż jest to uzasadnione konkretnym celem. Sam fakt, że dane zostały kiedyś pozyskane zgodnie z prawem, nie daje podstawy do zachowania ich bezterminowo. Każdy rodzaj informacji powinien mieć określony cel, wskazany początek przechowywania oraz moment przeglądu albo usunięcia.

W praktyce konieczne jest rozdzielenie danych potrzebnych do bieżącej realizacji usługi od informacji, które mogą być wymagane do rozliczeń, obsługi reklamacji, obrony przed roszczeniami lub wykazania prawidłowości działania. Inny okres może dotyczyć formularza kontaktowego, inny historii zlecenia, a jeszcze inny dokumentu księgowego. Nie oznacza to jednak, że cała kartoteka klienta powinna być zachowywana tak długo jak jeden dokument. Po ustaniu danego celu należy usunąć zbędne informacje albo trwale je zanonimizować, jeżeli dalsze utrzymywanie danych w postaci pozwalającej na identyfikację nie jest potrzebne.

Wymagany okres a zgodnie z RODO w praktyce

RODO nie ustanawia jednego, uniwersalnego terminu dla wszystkich danych klientów. Okres retencji powinien wynikać z celu przetwarzania, podstawy prawnej, rodzaju dokumentacji oraz obowiązków, które mogą mieć zastosowanie do konkretnej działalności. Przy ustalaniu terminu należy odpowiedzieć na kilka pytań: po co informacja jest potrzebna, kto z niej korzysta, jakie ryzyko wiąże się z jej utratą, czy istnieje obowiązek prawny dalszego przechowywania oraz kiedy można uznać, że cel został osiągnięty.

Dane wykorzystywane do odpowiedzi na zapytanie mogą być potrzebne jedynie do czasu zakończenia kontaktu i wyjaśnienia sprawy. Informacje związane z realizacją zlecenia powinny być dostępne tak długo, jak jest to potrzebne do obsługi usługi, późniejszych ustaleń lub rozpatrzenia zgłoszenia. Dokumentacja rozliczeniowa może wymagać przechowywania przez okres wynikający z przepisów podatkowych i rachunkowych. W przypadku sporu uzasadnione może być zachowanie wybranych danych do czasu upływu terminu dochodzenia roszczeń, lecz także wtedy zakres informacji powinien być ograniczony do niezbędnego minimum.

Istotne jest odróżnienie obowiązku przechowania dokumentu od prawa do przechowywania pełnego zestawu danych. Jeżeli do celów rozliczeniowych potrzebny jest dokument zawierający określone informacje, nie musi to oznaczać zachowania wszystkich wiadomości, notatek roboczych, kopii identyfikatorów czy dodatkowych danych kontaktowych. Retencja powinna obejmować tylko te elementy, które rzeczywiście wspierają wskazany cel.

Zgodnie z RODO: dane klientów, cele i porównania

Najłatwiej ocenić poprawność okresu retencji, porównując kilka typowych sytuacji. Dane osoby, która wysłała jednorazowe pytanie, nie powinny automatycznie trafiać do stałej bazy marketingowej. Dane wykorzystane do przygotowania i obsługi zlecenia mogą wymagać szerszego kontekstu niż sam formularz kontaktowy, ale po zakończeniu sprawy nie każda wiadomość musi pozostawać dostępna dla wszystkich pracowników. Dokumenty związane z rozliczeniem mogą być przechowywane dłużej z uwagi na obowiązki formalne, podczas gdy kopie pomocnicze powinny zostać usunięte, gdy nie są już potrzebne.

Różnica występuje także między aktywną bazą a archiwum o ograniczonym dostępie. Przeniesienie danych do archiwum nie jest równoznaczne z usunięciem. Jeżeli informacje nadal pozwalają rozpoznać konkretną osobę, nadal pozostają danymi osobowymi i powinny być objęte zabezpieczeniami, kontrolą dostępu oraz ustalonym terminem przeglądu. Archiwizacja może ograniczyć ryzyko przypadkowej zmiany lub szerokiego wykorzystania danych, lecz nie zwalnia z obowiązku ich usunięcia po upływie uzasadnionego okresu.

Anonimizacja stanowi odrębne rozwiązanie. Polega na takim przekształceniu informacji, aby nie można było racjonalnie ustalić, której osoby dotyczą, ani bezpośrednio, ani przez połączenie z innymi dostępnymi zasobami. Samo usunięcie imienia z dokumentu nie zawsze wystarcza, jeżeli pozostały numer telefonu, adres, numer zlecenia lub szczegółowy opis pozwalający łatwo wskazać klienta. Do celów statystycznych warto więc wykorzystywać dane zagregowane albo odpowiednio zanonimizowane.

Dane klientów tylko na czas: praktyczne wskazówki retencyjne

Pomocne jest stworzenie prostej tabeli retencji obejmującej kategorię danych, cel przetwarzania, podstawę prawną, miejsce przechowywania, osoby uprawnione, termin przeglądu oraz sposób usunięcia. Nie trzeba tworzyć rozbudowanego dokumentu dla każdej pojedynczej wiadomości. Wystarczająco precyzyjne kategorie pozwalają jednak uniknąć sytuacji, w której wszystkie informacje są zatrzymywane na wszelki wypadek.

• W formularzach i systemach należy oznaczać, jaki cel uzasadnia zebranie poszczególnych danych.
• Warto oddzielić dane konieczne do obsługi zlecenia od danych używanych wyłącznie do dobrowolnej komunikacji.
• Należy ustalić cykliczne przeglądy rekordów, zamiast liczyć na ręczne usuwanie pojedynczych wpisów.
• Po upływie terminu trzeba usunąć dane z aktywnych baz, skrzynek, załączników, kopii roboczych i innych miejsc, w których mogły zostać zapisane.
• Jeżeli pełne usunięcie z kopii zapasowych następuje dopiero w ramach naturalnego cyklu nadpisywania, powinno być opisane w procedurze, a dostęp do takich kopii należy ograniczyć.
• Usunięcie powinno być możliwe do wykazania, na przykład przez rejestr operacji, protokół albo informację o wykonaniu automatycznej reguły retencji.

Okres przechowywania powinien być zrozumiały również dla osób, których dane dotyczą. W klauzuli informacyjnej należy wyjaśnić, jak długo dane będą przechowywane albo według jakich kryteriów termin jest ustalany. Sformułowanie „tak długo, jak będzie to konieczne” może być zbyt ogólne, jeżeli nie towarzyszy mu opis celu, rodzaju dokumentu lub zdarzenia kończącego przechowywanie. Przejrzysta informacja pomaga ograniczyć późniejsze pytania i ułatwia realizację prawa do uzyskania informacji o danych.

Kiedy zgłosić się do serwisu i przejrzeć okres przechowywania danych klientów

Przegląd zasad retencji warto wykonać przy zmianie programu do obsługi zgłoszeń, wdrożeniu nowego formularza, rozpoczęciu współpracy z zewnętrznym dostawcą, zmianie sposobu archiwizacji albo po stwierdzeniu, że stare rekordy są nadal łatwo dostępne mimo zakończenia spraw. Sygnałem ostrzegawczym jest również brak wiedzy, kto może otwierać dane, brak ustalonego terminu usuwania oraz przechowywanie wielu kopii tych samych dokumentów w skrzynkach pocztowych i katalogach roboczych.

W serwisie komputerowym analiza retencji może zostać połączona z przeglądem organizacji dokumentów, formularzy kontaktowych i danych przypisanych do zleceń. Warszawskie Pogotowie Komputerowe 24/7 może być naturalnym punktem kontaktu dla osoby, która chce uporządkować sposób przechowywania informacji związanych z obsługą serwisu i ograniczyć dostęp do danych do zakresu potrzebnego przy konkretnych zadaniach. Zakres takiego przeglądu powinien obejmować nie tylko główny system, lecz także pocztę, pliki eksportowane, wydruki, nośniki oraz kopie zapasowe.

W razie wątpliwości nie należy usuwać dokumentów bez rozpoznania ich funkcji. Najpierw trzeba ustalić, czy dane są potrzebne do realizacji celu, spełnienia obowiązku prawnego albo ochrony przed roszczeniem. Następnie można określić zakres i termin dalszego przechowywania, ograniczyć dostęp oraz zaplanować usunięcie. Takie podejście pozwala zachować informacje rzeczywiście potrzebne, a jednocześnie zmniejsza ryzyko nadmiernego gromadzenia danych klientów.