przetwarzanie danych po zakończeniu celu

Przetwarzanie danych po zakończeniu celu jest niedopuszczalne bez odrębnej podstawy prawnej.

Przetwarzanie danych po zakończeniu celu – znaczenie pojęcia

Przetwarzanie danych po zakończeniu celu oznacza sytuację, w której dane osobowe nadal są zbierane, przechowywane, porządkowane, kopiowane, udostępniane albo wykorzystywane, mimo że zadanie uzasadniające ich użycie zostało już wykonane. Sam fakt, że dane znajdują się w urządzeniu, programie, dokumentacji lub archiwum, nie tworzy jeszcze prawa do dalszego korzystania z nich. Konieczne jest ustalenie, czy nadal istnieje konkretny i zgodny z prawem powód przetwarzania.

Cel powinien być określony przed rozpoczęciem operacji na danych. Może nim być na przykład realizacja umowy, obsługa zgłoszenia, prowadzenie rozliczeń, wykonanie obowiązku prawnego albo zabezpieczenie roszczeń. Gdy taki cel ustaje, należy ponownie ocenić podstawę przechowywania informacji. Jeżeli nie ma już uzasadnienia dla dalszego przetwarzania, dane powinny zostać usunięte, zanonimizowane albo objęte innym prawidłowo opisanym procesem. Nie wystarcza ogólne stwierdzenie, że dane mogą przydać się w przyszłości.

Odrębnej oceny wymaga sytuacja, w której ten sam zbiór informacji może być potrzebny do kilku różnych zadań. Zakończenie jednego celu nie musi automatycznie oznaczać końca wszystkich celów, ale każdy z nich powinien mieć własne uzasadnienie, zakres i okres przechowywania. Nie można też wykorzystywać danych zebranych w jednym celu do dowolnych, nowych działań bez sprawdzenia zgodności takiej zmiany z zasadami ochrony danych.

Przetwarzanie danych po zakończeniu celu a podstawa prawna

Najważniejsza zasada jest prosta: po zakończeniu pierwotnego celu dalsze operacje na danych wymagają odrębnej podstawy prawnej. Może nią być przepis nakazujący przechowanie określonych dokumentów, konieczność ustalenia albo obrony przed roszczeniami, zgoda osoby, której dane dotyczą, lub inna przesłanka przewidziana w przepisach. Podstawa powinna być rzeczywista i możliwa do wskazania, a nie dopasowana dopiero po fakcie do już podjętej decyzji.

Przykładowo, dane przekazane przy jednorazowym zgłoszeniu serwisowym mogą być potrzebne do wykonania konkretnej usługi i kontaktu w sprawie jej realizacji. Po zakończeniu tych czynności nie oznacza to automatycznie prawa do wykorzystywania numeru telefonu w reklamie, dodawania adresu poczty elektronicznej do newslettera ani tworzenia profilu klienta. Każde takie działanie wymaga osobnego sprawdzenia celu, podstawy i zakresu.

Inaczej należy traktować dane, które muszą być przechowywane ze względu na obowiązek prawny. W takim przypadku zakres informacji powinien być ograniczony do tego, co jest wymagane, a dostęp do dokumentacji powinien być kontrolowany. Samo przeniesienie plików do folderu nazwanego „archiwum” nie rozwiązuje problemu. Archiwizacja nadal może być formą przetwarzania, jeżeli dane pozostają dostępne, są porządkowane, przeglądane lub wykorzystywane w określonych działaniach.

Warto rozróżnić także usunięcie od anonimizacji. Usunięcie polega na trwałym pozbyciu się danych w sposób odpowiedni do rodzaju nośnika i ryzyka odzyskania. Anonimizacja prowadzi natomiast do takiej zmiany informacji, aby nie można było rozsądnie przypisać ich konkretnej osobie. Zwykłe ukrycie imienia, zmiana nazwy pliku albo przeniesienie dokumentu do mniej widocznego miejsca nie musi prowadzić do anonimizacji.

Przetwarzanie danych po zakończeniu celu – problemy techniczne i porównania

W praktyce zakończenie celu nie zawsze jest widoczne na pierwszy rzut oka. Dane mogą pozostać w kopiach roboczych, załącznikach wiadomości, folderach tymczasowych, historii programu, pamięci urządzenia, automatycznych kopiach zapasowych albo na nośnikach przekazanych do naprawy. Dlatego ocena zgodności powinna obejmować nie tylko główny dokument, lecz także miejsca, w których mogły powstać jego kopie.

Istotne jest porównanie trzech sytuacji. Pierwsza dotyczy danych nadal potrzebnych do realizacji aktualnego celu, na przykład do zakończenia uzgodnionej czynności. Druga obejmuje dane przechowywane z powodu jasno wskazanego obowiązku prawnego lub potrzeby zabezpieczenia roszczeń. Trzecia to dane pozostawione bez decyzji, ponieważ nikt nie ustalił, co powinno się z nimi stać po zakończeniu sprawy. To właśnie trzeci przypadek wiąże się z największym ryzykiem, ponieważ brak działania bywa mylony z neutralnym stanem technicznym.

Nie każde usunięcie pliku oznacza jego natychmiastowe i nieodwracalne zniknięcie. W zależności od zastosowanego rozwiązania może pozostać w koszu, indeksie wyszukiwania, kopii synchronizacyjnej lub na innym nośniku. Z drugiej strony nie każda kopia zapasowa powinna być traktowana tak samo jak aktywna baza danych. Należy ustalić, czy kopia jest używana do bieżących operacji, kto może ją odtworzyć, jak długo jest utrzymywana i czy istnieje procedura ograniczająca dostęp po zakończeniu celu.

Pomocne jest rozdzielenie nośnika od informacji. Przekazanie urządzenia do sprawdzenia technicznego nie usuwa danych osobowych, a naprawa programu nie rozstrzyga sama w sobie, czy dalsze przechowywanie plików jest dopuszczalne. Przed przekazaniem laptopa można uporządkować dokumenty, wylogować konta, usunąć zbędne kopie i jasno określić, jakie dane są niezbędne do wykonania czynności. Jeżeli urządzenie zawiera informacje innych osób, warto sprawdzić również, czy zakres przekazywanych danych jest ograniczony do minimum.

Praktyczne zasady dla przetwarzania danych po zakończeniu celu

Prawidłowe postępowanie powinno zaczynać się od spisu celów i kategorii danych. Dla każdej grupy warto ustalić, po czym rozpoznaje się zakończenie celu, jaki jest dalszy los informacji oraz kto podejmuje decyzję o usunięciu, anonimizacji albo przechowaniu. Takie zasady mogą być zapisane w procedurze, instrukcji obsługi dokumentacji lub rejestrze czynności. Ważne, aby były zrozumiałe dla osób, które faktycznie pracują z danymi.

• Przed usunięciem należy sprawdzić, czy nie istnieje inny, niezależny cel wymagający dalszego przechowania.
• Jeżeli dalsze przechowanie jest konieczne, należy wskazać jego podstawę, zakres oraz przewidywany termin ponownej oceny.
• Dane niepotrzebne do dalszych działań powinny zostać usunięte albo skutecznie zanonimizowane.
• Dostęp do informacji przechowywanych wyjątkowo powinien być ograniczony i możliwy do zweryfikowania.
• Kopie zapasowe, foldery tymczasowe i załączniki powinny być uwzględnione w procedurze, a nie pomijane jako elementy techniczne.
• Każda decyzja o pozostawieniu danych powinna mieć krótkie uzasadnienie, aby można było później odtworzyć tok postępowania.

Przydatne jest wprowadzenie okresowych przeglądów. Podczas takiego przeglądu sprawdza się, czy cel nadal istnieje, czy zakres danych nie jest zbyt szeroki i czy wyznaczony okres przechowywania nie minął. Warto też rozważyć oznaczanie dokumentów datą zakończenia sprawy albo statusem wskazującym na konieczność usunięcia. Automatyzacja może pomóc, ale nie zastępuje oceny prawnej. Reguła ustawiona bez zrozumienia celu może usunąć dane potrzebne do spełnienia obowiązku albo pozostawić informacje zbyt długo.

W razie wątpliwości należy przeanalizować cały przebieg danych: skąd zostały pozyskane, gdzie były wykorzystywane, komu je przekazano, jakie kopie powstały i kto ma do nich dostęp. Taki przegląd pozwala odróżnić rzeczywiste przechowanie od pozornego usunięcia oraz ustalić, czy problem dotyczy urządzenia, programu, dokumentacji czy przyjętej procedury.

Kiedy zgłosić przetwarzanie danych po zakończeniu celu do serwisu

Do serwisu warto zgłosić się wtedy, gdy nie ma pewności, gdzie znajdują się pozostałości danych po zakończeniu sprawy, gdy urządzenie nie uruchamia się, gdy potrzebna jest kontrola nośnika albo gdy występują trudności z bezpiecznym usunięciem informacji. Dotyczy to także sytuacji, w której przed przekazaniem sprzętu trzeba ograniczyć zakres danych dostępnych osobom wykonującym czynności techniczne. W takim przypadku powinno się najpierw ustalić, jakie działania są konieczne i czy wymagają dostępu do całej zawartości urządzenia.

Warszawskie Pogotowie Komputerowe 24/7 może być punktem kontaktu przy technicznej ocenie laptopa lub komputera PC, gdy potrzebne jest uporządkowanie danych, sprawdzenie nośnika albo przygotowanie urządzenia do dalszego użytkowania. Sama czynność techniczna nie zastępuje decyzji o podstawie prawnej, dlatego zakres prac powinien wynikać z wcześniej ustalonego celu i potrzebnej dokumentacji.

Przed zleceniem działania warto przygotować krótką informację: jakie dane mają zostać zachowane, jakie powinny zostać usunięte, czy istnieją kopie oraz czy urządzenie może zawierać informacje osób trzecich. Należy również wskazać, czy chodzi o odzyskanie dostępu, kopiowanie, usunięcie, anonimizację czy wyłącznie ocenę stanu technicznego. Precyzyjne określenie zadania ogranicza zakres dostępu i ułatwia późniejsze wykazanie, że dane nie były wykorzystywane poza ustalonym celem.

Jeżeli po zakończeniu usługi pozostaje dokumentacja, powinna zostać poddana tej samej ocenie co inne dane. Nie należy przechowywać jej bezterminowo tylko dlatego, że została kiedyś użyta do obsługi zgłoszenia. Każde dalsze wykorzystanie wymaga odrębnego uzasadnienia, a brak takiego uzasadnienia powinien prowadzić do usunięcia lub skutecznej anonimizacji informacji.