Minimalizácia uchovávania

Čo to znamená

Minimalizácia uchovávania, nazývaná aj obmedzenie uchovávania, je zásada GDPR, podľa ktorej sa osobné údaje uchovávajú vo forme umožňujúcej identifikáciu len tak dlho, ako je nevyhnutné na účel spracúvania. Potom sa musia vymazať alebo anonymizovať.

Zásada nezakazuje dlhé uchovávanie, ak ho vyžaduje zákon. Účtovné doklady sa musia uchovávať desať rokov, mzdové listy a údaje potrebné pre dôchodkové poistenie ešte dlhšie a daňové doklady počas lehoty na vyrubenie dane. Tieto povinnosti majú prednosť pred požiadavkou na vymazanie.

Problémom je skôr opačná situácia, keď firma uchováva údaje bez dôvodu, napríklad životopisy neúspešných uchádzačov roky po výberovom konaní, staré zálohy či kontakty z dávno ukončených zákaziek. Každý takýto údaj je zbytočným rizikom pri úniku dát.

Ako to funguje v praxi

Firma by mala mať plán uchovávania, ktorý pre každý typ údajov určuje dobu, dôvod a spôsob vymazania. Pomáha prepojenie s registratúrou a pravidlami archivácie dokladov, ktoré už určujú lehoty pre účtovné a personálne dokumenty.

Na konci lehoty sa údaje vymažú alebo anonymizujú. Pri papierových dokladoch to znamená skartáciu, pri elektronických vymazanie zo systémov vrátane kópií. Zálohy sa riešia tak, že sa po uplynutí ich životnosti prepíšu a pri obnove sa vymazané údaje znovu neobnovia.

Pri žiadosti dotknutej osoby o vymazanie firma posúdi, či niektoré údaje nemusí uchovávať zo zákona. Údaje, ktoré už nie sú potrebné, vymaže a pri ostatných vysvetlí, prečo ich uchováva a dokedy, napríklad kvôli lehote na archiváciu účtovných dokladov.

Na čo si dať pozor

Neurčité lehoty, napríklad uchovávame, kým je to potrebné, nestačia. Dozorný orgán očakáva konkrétnu dobu alebo kritériá, podľa ktorých sa určí. Aj v informáciách pre dotknuté osoby treba uvádzať, ako dlho sa ich údaje budú uchovávať.

Vymazanie v jednom systéme nestačí, ak údaje zostávajú v e-mailoch, zdieľaných priečinkoch či u sprostredkovateľov. Pri plánovaní mazania treba myslieť na všetky miesta, kde údaje ležia, a od sprostredkovateľov vyžadovať potvrdenie o vymazaní po skončení zmluvy.