przetwarzanie danych dłużej niż jest to potrzebne

Przetwarzanie danych dłużej niż jest to potrzebne narusza zasadę ograniczenia przechowywania.

Przetwarzanie danych dłużej niż jest to potrzebne – czym jest to naruszenie

Przetwarzanie danych dłużej niż jest to potrzebne oznacza przechowywanie, wykorzystywanie lub udostępnianie informacji osobowych po upływie okresu, w którym były one rzeczywiście potrzebne do określonego celu. Chodzi nie tylko o pliki zapisane na dysku, lecz także o dokumenty papierowe, kopie zapasowe, wiadomości pocztowe, dane w aplikacjach, historię kontaktów, nagrania, rejestry aktywności i informacje pozostawione w systemach pomocniczych. Sama możliwość technicznego dostępu do danych może oznaczać, że nadal pozostają one w zasobach organizacji.

Zasada ograniczenia przechowywania wymaga, aby dane osobowe były przechowywane przez okres nie dłuższy, niż jest to konieczne do realizacji celu, dla którego zostały zebrane. Nie oznacza to, że wszystkie informacje muszą być usuwane natychmiast po zakończeniu pojedynczej czynności. Dopuszczalne może być dalsze przechowywanie, jeżeli wynika ono z obowiązku prawnego, potrzeby ustalenia lub obrony roszczeń, rozliczeń albo innego jasno określonego uzasadnienia. Konieczne jest jednak wskazanie podstawy, zakresu i terminu takiego przechowywania.

Problem pojawia się wtedy, gdy dane pozostają w zasobach wyłącznie z przyzwyczajenia, przez brak procedury albo dlatego, że usunięcie wymaga dodatkowego działania. Nie wystarczy ogólne stwierdzenie, że informacje mogą kiedyś okazać się przydatne. Potrzeba powinna być konkretna, możliwa do opisania i powiązana z określonym celem. W przeciwnym razie przechowywanie staje się nieproporcjonalne, a organizacja traci kontrolę nad zakresem posiadanych informacji.

Przetwarzanie danych dłużej niż jest to potrzebne w kontekście technicznym

W praktyce dane rzadko znajdują się tylko w jednym miejscu. Informacja wpisana do formularza może zostać powielona w bazie głównej, pliku eksportu, dzienniku zdarzeń, skrzynce pocztowej, pamięci podręcznej, kopii zapasowej i na urządzeniu używanym do obsługi sprawy. Dlatego ocena okresu przechowywania powinna obejmować cały cykl życia danych. Usunięcie rekordu z aplikacji nie zawsze oznacza usunięcie jego kopii z innych zasobów.

Warto odróżnić dane aktywne od danych archiwalnych. Dane aktywne są wykorzystywane w bieżącej pracy, natomiast archiwum może służyć ochronie przed roszczeniami, spełnieniu obowiązku dokumentacyjnego albo odtworzeniu historii określonego zdarzenia. Samo przeniesienie danych do archiwum nie kończy przetwarzania. Nadal konieczne jest ustalenie, kto ma dostęp do archiwum, jak długo jest ono utrzymywane, czy dane są zabezpieczone oraz kiedy nastąpi ich usunięcie lub trwałe zanonimizowanie.

Istotne jest także rozróżnienie usunięcia, anonimizacji i ograniczenia dostępu. Usunięcie powinno pozbawić organizację możliwości dalszego odczytania informacji. Anonimizacja powinna sprawić, że nie można rozsądnie powiązać danych z konkretną osobą. Ograniczenie dostępu zmniejsza zakres użycia, ale nie usuwa danych. Każde z tych działań ma inne skutki i powinno odpowiadać rzeczywistemu celowi oraz wymaganiom dotyczącym bezpieczeństwa.

Porównanie z zasadą minimalizacji pokazuje, że są to dwa powiązane, lecz odrębne zagadnienia. Minimalizacja dotyczy tego, ile danych zbiera się i wykorzystuje. Ograniczenie przechowywania dotyczy tego, jak długo dane pozostają dostępne. Możliwe jest zebranie tylko niezbędnych informacji, a następnie przechowywanie ich przez zbyt długi czas. Możliwa jest również sytuacja odwrotna, w której okres przechowywania został określony, lecz zakres gromadzonych danych jest nadmierny. Prawidłowe postępowanie wymaga kontroli obu elementów.

Przetwarzanie danych dłużej niż jest to potrzebne – typowe problemy

Częstą przyczyną naruszeń jest brak tabeli retencji, czyli uporządkowanego zestawienia rodzajów danych, celów ich użycia, podstawy przechowywania, osoby odpowiedzialnej i terminu przeglądu. Bez takiego zestawienia okresy są ustalane przypadkowo albo pozostają nieokreślone. W dokumentach pojawiają się wtedy sformułowania typu „przez czas potrzebny”, bez wskazania, kto i na jakiej podstawie ocenia, że potrzeba nadal istnieje.

Innym problemem są kopie robocze. Pliki pobierane do przygotowania zestawienia, załączniki zapisywane na komputerze, arkusze tworzone na potrzeby jednorazowej czynności oraz wydruki mogą zawierać te same dane co główny rejestr. Jeżeli nie zostanie ustalony sposób ich przeglądu i usuwania, informacje mogą pozostawać poza podstawowym obiegiem przez wiele miesięcy lub lat.

Ryzyko zwiększa się również przy zmianie aplikacji, dostawcy usługi albo sposobu organizacji pracy. Podczas migracji często powstają stare kopie baz, pliki testowe i tymczasowe eksporty. Po zakończeniu przenoszenia danych powinno zostać sprawdzone, czy niepotrzebne kopie zostały usunięte, a dostęp do pozostałych zasobów został ograniczony. Należy zwrócić uwagę także na kosze usuniętych plików, foldery współdzielone, nośniki wymienne i urządzenia przekazywane do naprawy lub wycofane z użycia.

Do typowych błędów należy także przechowywanie całej historii kontaktów bez rozróżnienia spraw zakończonych i trwających, zachowywanie danych kandydatów po zakończeniu rekrutacji bez podstawy, pozostawianie nagrań dłużej niż przewidziano w procedurze oraz utrzymywanie kont użytkowników, którzy nie korzystają już z danej usługi. Każdy przypadek powinien być oceniany według celu, podstawy prawnej, ryzyka i rzeczywistej przydatności informacji.

Przetwarzanie danych dłużej niż jest to potrzebne – praktyczne wskazówki

Pierwszym krokiem powinno być wykonanie spisu miejsc, w których znajdują się dane osobowe. Warto uwzględnić aplikacje, dyski, foldery, pocztę elektroniczną, dokumentację papierową, kopie zapasowe, urządzenia przenośne i zasoby pozostające u podmiotów przetwarzających dane. Następnie dla każdego zbioru należy opisać cel, kategorię osób, zakres danych, podstawę przechowywania oraz zdarzenie rozpoczynające bieg terminu.

Termin powinien być możliwie konkretny. Może być liczony od zakończenia umowy, zamknięcia sprawy, upływu okresu rozliczeniowego albo ustania obowiązku prawnego. Jeżeli nie da się wskazać jednej daty, należy ustalić regularny przegląd, podczas którego sprawdza się, czy dalsze przechowywanie jest nadal uzasadnione. Sam kalendarz nie wystarczy, jeżeli nie wiadomo, kto ma wykonać przegląd i w jaki sposób udokumentować decyzję.

Usuwanie danych powinno być zaplanowanym procesem, a nie pojedynczą czynnością wykonywaną doraźnie. Przydatne może być automatyczne oznaczanie rekordów przeznaczonych do przeglądu, ograniczenie uprawnień do archiwów, oddzielenie danych aktywnych od zamkniętych oraz prowadzenie rejestru usunięć. W rejestrze nie trzeba zachowywać usuniętej treści; wystarczy odnotowanie zakresu czynności, daty, odpowiedzialnej osoby i zastosowanej procedury.

W przypadku kopii zapasowych należy ustalić, jak długo są przechowywane i czy podlegają rotacji. Pełne usunięcie pojedynczej informacji z każdej historycznej kopii może być technicznie trudne, dlatego należy przyjąć rozwiązanie zgodne z możliwościami danego środowiska, poziomem ryzyka i zasadami bezpieczeństwa. Ważne jest, aby stare kopie nie były używane jako pretekst do bezterminowego zachowywania danych w aktywnych zasobach.

Przydatne jest również szkolenie osób, które tworzą dokumenty, eksportują dane albo korzystają z folderów współdzielonych. Należy wyjaśnić, że kopia robocza również podlega zasadom ochrony danych. Wskazane jest ograniczenie lokalnego zapisywania informacji, stosowanie nazw plików niewskazujących nadmiernego zakresu danych oraz regularne sprawdzanie, czy niepotrzebne materiały zostały usunięte w bezpieczny sposób.

Kiedy zgłosić przetwarzanie danych dłużej niż jest to potrzebne do serwisu

Wsparcie techniczne może być potrzebne, gdy problem dotyczy nadmiarowych plików pozostawionych na urządzeniu, nieuporządkowanych kopii zapasowych, trudności z bezpiecznym usuwaniem danych albo konieczności przygotowania sprzętu do przekazania innej osobie. Przed wykonaniem czynności warto ustalić, jakie informacje mają zostać zachowane, jakie powinny zostać usunięte oraz czy istnieje obowiązek sporządzenia kopii na potrzeby postępowania lub rozliczenia.

W sytuacji, w której dane osobowe znajdują się na laptopie lub komputerze używanym przez wiele osób, powinno się sprawdzić konta użytkowników, foldery współdzielone, pliki tymczasowe, kopie synchronizowane oraz nośniki podłączane okresowo. Istotne jest także potwierdzenie, czy po usunięciu danych nie pozostają łatwo dostępne kopie. Przy przekazywaniu sprzętu do serwisu należy przekazać tylko informacje potrzebne do wykonania uzgodnionej czynności i ograniczyć dostęp do pozostałej zawartości.

W Warszawie takie zagadnienia można skonsultować z firmą Warszawskie Pogotowie Komputerowe 24/7, gdy potrzebne jest uporządkowanie danych na urządzeniu, przygotowanie sprzętu do dalszego użycia albo bezpieczne usunięcie zbędnych plików. Przed rozpoczęciem prac powinno zostać jasno określone, jaki jest zakres czynności, czy dane mają być kopiowane oraz w jaki sposób zostanie potwierdzone zakończenie usuwania.

Do zgłoszenia warto przygotować opis urządzeń, rodzaj problemu, informację o tym, czy występują kopie zapasowe, oraz wskazanie danych, których nie wolno usuwać. Jeżeli nie ma pewności, czy określone informacje mogą zostać skasowane, decyzję powinno się uzgodnić z osobą odpowiedzialną za dokumentację lub ochronę danych. Takie rozdzielenie odpowiedzialności zmniejsza ryzyko przypadkowego usunięcia materiałów potrzebnych do realizacji celu, a jednocześnie pomaga ograniczyć przechowywanie informacji, które nie mają już uzasadnienia.