Polityka usuwania danych, która działa bez inspektora ochrony danych

Art. 5 ust. 1 lit. e RODO wymaga, żeby dane osobowe przechowywać w formie umożliwiającej identyfikację nie dłużej, niż jest to niezbędne do celu. To zasada ograniczenia przechowywania i jest jedynym obowiązkiem z zakresu ochrony danych, który narusza się sam z siebie: kto nie robi nic, narusza go z każdym dniem odrobinę bardziej.

Do tego dochodzi art. 5 ust. 2, czyli rozliczalność. Zgodność trzeba nie tylko osiągnąć, ale też umieć wykazać. Jedno z drugim daje dokładnie to, czym jest polityka usuwania danych: pisemną odpowiedź na pytanie, kiedy które dane i dlaczego znikają. Poniższa budowa jest orientacją — jakie terminy obowiązują na twoim rynku i jak nakładają się w konkretnym przypadku, wyjaśni Prezes Urzędu Ochrony Danych Osobowych, biuro rachunkowe albo porada prawna.

W większości małych firm istnieje faktyczna reguła usuwania, tyle że nigdzie nie zapisana: usuwa się przy zmianie systemu, gdy folder robi się za pełny albo gdy ktoś wyraźnie o to poprosi. Wszystkie trzy wyzwalacze mają ten sam problem — nie mają nic wspólnego z celem danych.

Cel jest jedynym zegarem, który rozporządzenie zna. Art. 17 ust. 1 lit. a ujmuje to jako obowiązek usunięcia: jeżeli dane nie są już niezbędne do celów, w których zostały zebrane, należy je niezwłocznie usunąć. Obowiązek istnieje niezależnie od tego, czy ktoś o to pyta. Prawo do usunięcia jest jego drugą stroną, a nie warunkiem.

Właśnie dlatego polityka usuwania nie jest formalizmem, tylko odciążeniem. Odpowiada raz na to, co inaczej dyskutuje się od nowa przy każdym przypadku, i daje się pokazać. Jedna strona wystarczy. Ma cztery kolumny i po jednym wierszu na rodzaj danych.

Czego tam nie ma: opinii o tym, jak długo „się tak robi”. Każdy wiersz potrzebuje powodu, a powodem jest albo cel, który potrafisz nazwać, albo obowiązek, który ktoś może sprawdzić.

Tak wygląda ta strona. Przykładowe wiersze pasują do firmy usługowej; terminy drugiej grupy wynikają z polskiego prawa podatkowego i rachunkowego i są opisane w tekście o okresach przechowywania.

Trzecia kolumna robi pracę, czwarta robi różnicę. Zegar bez wyzwalacza nigdy nie rusza: „trzy lata” staje się regułą dopiero wtedy, gdy stoi obok, od kiedy. A wyzwalacz musi być zdarzeniem widocznym w twoich danych — ostatnia wizyta stoi w kalendarzu, koniec współpracy natomiast nigdzie. Dlatego „ostatnia wizyta plus termin” jest sformułowaniem praktyczniejszym.

Ktoś prosi o usunięcie. Kartotekę klienta możesz usunąć — faktur nie, bo biegnie dla nich termin przechowywania z prawa podatkowego i rachunkowego. Co teraz?

Rozporządzenie ten przypadek przewidziało. Art. 17 ust. 3 lit. b wyłącza spod obowiązku usunięcia przetwarzanie w zakresie, w jakim jest ono niezbędne do wywiązania się z obowiązku prawnego, któremu podlegasz. Lit. e wyłącza dodatkowo to, co jest potrzebne do ustalenia, dochodzenia lub obrony roszczeń. Odpowiedź nie brzmi więc „nie da się”, tylko: dla tego jednego celu zostaje, dla wszystkich pozostałych nie.

Praktyczna nazwa tego to ograniczenie przetwarzania. Art. 4 pkt 3 definiuje je jako oznaczenie przechowywanych danych w celu ograniczenia ich przyszłego przetwarzania. Motyw 67 wymienia drogi: przeniesienie do innego systemu, uniemożliwienie dostępu użytkownikom, czasowe usunięcie ze strony internetowej — oraz wymóg, żeby ograniczenie było w systemie jednoznacznie rozpoznawalne.

Dla twojej firmy znaczy to konkretnie: rekord opuszcza aktywną kartotekę. Nie pojawia się już w wyszukiwaniu wizyt, nie w newsletterze, nie w statystyce. Leży w archiwum faktur, dostępny dla księgowości i na wypadek kontroli, i zostaje usunięty, gdy termin upłynie. To rozdzielenie jest rdzeniem działającej polityki usuwania danych.

Od tego trzeba odróżnić art. 18 RODO: tam sama osoba, której dane dotyczą, ma prawo żądać ograniczenia w czterech wskazanych przypadkach — na przykład w czasie, gdy sprawdzana jest prawidłowość zakwestionowanych danych. To prawo drugiej strony, a nie zastępstwo dla twojego własnego obowiązku usuwania. Jedno i drugie korzysta z tego samego środka technicznego, tyle że z innego powodu.

Usunięcie, które sięga tylko głównej bazy, nie jest usunięciem. Cztery miejsca są regularnie pomijane:

1. Papier. Karty przyjęcia, kartki przy recepcji, wydrukowane listy wizyt. Podlegają tym samym regułom i potrzebują własnego wyzwalacza.
2. Kopie w systemach pobocznych. Lista do newslettera, arkusz do kartek świątecznych, eksport, który ktoś kiedyś wyciągnął do zestawienia.
3. Kopie zapasowe. Nie da się ich sensownie czyścić punktowo. Zwykła droga: usunięcie działa natychmiast w systemie produkcyjnym, a kopia zapasowa wypada przez własny cykl przechowywania — i ten cykl jest w polityce nazwany.
4. Usługodawcy. Kto przetwarza dla ciebie, musi usunięcie wykonać razem z tobą. Art. 28 ust. 3 lit. g wymaga dokładnie tego w umowie: po zakończeniu świadczenia usunąć albo zwrócić, wraz z istniejącymi kopiami.

Słowo o anonimizacji, bo bywa wskazywana jako wyjście. Jeżeli rekord zostanie zmieniony tak, że żadnej osoby nie da się już przypisać, przestaje być daną osobową — rozporządzenie już go nie obejmuje, a zestawienia pozostają możliwe. To czysta droga dla statystyk. Wymaga jednak rzeczywistego braku możliwości przypisania; usunięte nazwisko przy zachowanym numerze klienta jest pseudonimizacją (art. 4 pkt 5) i pozostaje daną osobową.

Tam, gdzie faktury i tak są archiwizowane systemowo, punkt trzeci listy załatwia się prawie samoczynnie — oprogramowanie dla warsztatu samochodowego na przykład rozdziela zlecenie i archiwum faktur, zamiast trzymać jedno i drugie w tym samym widoku.

Polityka usuwania danych, która tylko istnieje, jest dokumentem. Polityka, która działa, potrzebuje trzech rzeczy — i żadna z nich nie jest pracochłonna.

Terminu. Raz w roku, najlepiej powiązanego z czynnością, która i tak się odbywa. Godzina wystarczy: przejść wiersze, usunąć wymagalne rodzaje danych, zanotować datę. Ta data jest twoim dowodem z art. 5 ust. 2.

Odpowiedzialności. Wskazana osoba, a nie „zespół”. W firmie pięcioosobowej jest to zwykle osoba, która zarządza także oprogramowaniem.

Reguły dla nowych pozycji. Każdy nowy rodzaj danych dostaje przy zakładaniu wiersz w polityce — nie później. To jest punkt, w którym polityki się starzeją: nie przez błędy, tylko przez nowe pola, których nikt nie dopisał.

Tam, gdzie twoje oprogramowanie zna terminy samo, korzystaj z tego. Automatyczne usunięcie bije regułę, o której ktoś musi pamiętać. Tam, gdzie go brakuje, godzina raz w roku jest uczciwym zamiennikiem — wyraźnie lepszym niż postanowienie „sprzątania na bieżąco”, którego w praktyce nikt nie dotrzymuje.