Retencja danych osobowych

Zasada ograniczenia przechowywania danych osobowych

Przetwarzanie danych osobowych, w tym również ich przechowywanie, zgodnie z RODO, podlega kilku kluczowym zasadom. Jedną z nich jest zasada ograniczenia przechowywania danych osobowych, która oznacza, że dane osobowe należy przechowywać przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane.

Celem omawianej zasady jest zapobieganie sytuacjom, w których administratorzy przetwarzają dane osobowe w sposób nieograniczony co do czasu. Ustawodawca unijny wychodzi bowiem z założenia, że czas przetrzymywania danych powinien być ściśle skorelowany z celem, w którym dane zostały zebrane.

O ważkości tej zasady świadczy fragment motywu 39 RODO, zgodnie z którym: „Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu”.

Okres przechowywania danych osobowych

Ustalenie tego, kiedy dane można jeszcze przechowywać, a kiedy już nie, nierzadko okazuje się zadaniem trudnym. Przepisy RODO nie określają bowiem wprost konkretnego czasu, przez który administrator może przechowywać dane osobowe, lecz wskazują jedynie, że czas ten powinien być ograniczony do tego, co niezbędne, aby zrealizować cel, w jakim dane zostały zebrane.

Prawidłowe ustalenie okresu retencji w pierwszej kolejności wymaga zidentyfikowania przepisów prawa, które mogą określać maksymalny czas, przez który dane osobowe będą niezbędne do zrealizowania konkretnego celu. Warto tutaj zauważyć, że mogą to być zarówno przepisy, które kreują po stronie administratora obowiązki, jak i przepisy, które są źródłem uprawnień administratora.

Przykładowo, zgodnie z Kodeksem pracy, każdy pracodawca jest zobowiązany przechowywać dokumentację pracowniczą przez okres 10 lat, licząc od końca roku kalendarzowego, w którym stosunek pracy uległ rozwiązaniu lub wygasł. W tym przypadku okres retencji danych osobowych zgromadzonych w dokumentacji pracowniczej wynika wprost z przepisu prawa i administrator nie powinien go ani skracać, ani wydłużać, chyba że byłby do tego uprawniony na podstawie innych przepisów.

Innym przykładem ściśle określonego okresu retencji, tym razem wynikającego z uprawnienia przysługującego administratorowi, są przepisy regulujące terminy przedawnienia roszczeń. Pozostając na gruncie prawa pracy, można odnieść się np. do terminu przedawnienia roszczeń pracodawcy o naprawienia szkody wyrządzonej przez pracownika wskutek niewykonania lub nienależytego wykonania obowiązków pracowniczych. W tym przypadku termin przedawnienia roszczeń wynosi 1 rok od dnia, w którym pracodawca powziął wiadomość o wyrządzeniu przez pracownika szkody, nie dłużej jednak niż 3 lata od jej wyrządzenia.

Nie zawsze jednak to przepis prawa będzie określał czas niezbędny do realizacji danego celu. Dostrzega to z resztą sam ustawodawca unijny, bowiem w przepisach regulujących obowiązek informacyjnych wskazał wyraźnie, że w przypadku, gdy nie jest możliwe podanie dokładnego okresu retencji danych osobowych, należy podać kryteria ustalania tego okresu.

W każdym przypadku, gdy przepisy prawa nie będą dawały podstawy do ustalenia okresu przechowywania danych, administrator będzie musiał samodzielnie określić okres retencji. Co istotne administrator, mając na uwadze zasadę rozliczalności, powinien również uzasadnić, że długość przyjętego okresu retencji danych jest proporcjonalna do celu, który chce zrealizować.

Przykładowym procesem przetwarzania danych osobowych, który nie ma z góry określonego czasu retencji może być zachowanie CV kandydata na potrzeby przyszłych procesów rekrutacyjnych. W tym przypadku czas retencji aktualnie nie jest określony przez przepisy prawa w związku z tym, to administrator danych będzie zobowiązany samodzielnie określić jaki czas będzie niezbędny do realizacji takiego celu.

Wyjątki

Warto zauważyć, że od zasady ograniczenia przechowywania są przewidziane wyjątki. Dane osobowe można bowiem przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych, lub do celów statystycznych.

Wydłużona retencja danych osobowych jest w tym przypadku uzasadniona szczególnymi celami, mającymi istotne znaczenie z punktu widzenia interesu publicznego. Nie oznacza to jednak, że dłuższy okres retencji danych w takich celach nie je obwarowany dodatkowymi wymogami.

Przetwarzanie danych w ww. celach jest możliwe wyłącznie wtedy, gdy zostaną wprowadzone odpowiednie zabezpieczenia dla praw i wolności osób, których dane dotyczą. Tymi zabezpieczeniami powinny być takie środki techniczne i organizacyjne, które będą zapewniały poszanowanie zasady minimalizacji danych, tj. zasadę w myśl której dane osobowe muszą być adekwatne, stosowne oraz ograniczone do tego, co niezbędne do celów, w których są przetwarzane.

Okresy retencji w klauzulach informacyjnych

Ustalenie okresów retencji danych jeszcze przed przystąpieniem do planowanego przetwarzania danych osobowych jest istotne z kilku względów. Przede wszystkim ustalenie okresów przechowywania danych ma znaczenie w związku z obowiązkiem przekazania osobie, której dane dotyczą informacji na temat przetwarzania jej danych oraz prawem dostępu do danych.

Zgodnie z RODO, zarówno wówczas, gdy dane osobowe zostały zebrane bezpośrednio od osoby, której dane dotyczą (at. 13 RODO), jak również w sytuacji, gdy dane osobowe zostały pozyskane w inny sposób (art. 14 RODO) administrator, spełniając obowiązek informacyjnych, jest zobowiązany podać okres, przez który dane osobowe będą przechowywane, a gdy nie jest to możliwe, kryteria ustalania tego okresu.

Podobnie jest w przypadku realizacji prawa dostępu do danych. Osoba, której dane dotyczą w każdym przypadku, gdy dane jej dotyczące są przetwarzane, ma prawo uzyskać informacje o planowanym okresie przechowywania danych osobowych, a gdy nie jest to możliwe, o kryteriach ustalania tego okresu.

Warto zwrócić uwagę, że przepisy RODO nakładające obowiązek poinformowania o czasie retencji danych dopuszczają możliwość wskazania kryteriów ich ustalania. Nie oznacza to jednak, że administrator ma w tym zakresie dowolność. Wskazanie samych kryteriów, zamiast konkretnego okresu jest dopuszczalne wyjątkowo, tj. tylko wówczas, gdy konkretny okres nie jest możliwy do ustalenia.

Minimalizacja ryzyka

Prawidłowa retencja danych osobowych jest istotna nie tylko ze względu na opisane powyżej obowiązki informacyjne administratora, czy prawo dostępu. Rzetelnie ustalone i egzekwowane okresy retencji przyczyniają się bowiem do zmniejszenia ryzyka naruszenia przepisów dotyczących ochrony danych osobowych.

Rzetelnie stosowana polityka retencji minimalizuje podstawowe ryzyko związane z naruszeniem samej zasady ograniczonego przechowywania danych. Idąc jednak dalej, przechowywanie danych osobowych w ograniczony sposób zgodnie z RODO, w tym usunięcie danych w odpowiednim momencie, pozwala w znacząco zmniejszyć ryzyko związane z ewentualnym naruszeniem ochrony danych osobowych polegającym np. na utraceniu lub nieuprawnionym ujawnieniu danych. Tutaj działa bowiem prosta zależność: im mniej danych, tym lepiej.

Retencja danych a anonimizacja i pseudonimizacja

W kontekście okresów retencji danych osobowych często pojawiają się takie pojęcia jak anonimizacja i pseudonimizacja. Niejednokrotnie bowiem okazuje się, że pomimo realizacji celu, w jakim dane zostały zebrane, mogą one być przydatne dla administratora w innym celu, np. na potrzeby analizy rentowności lub jakości świadczonych usług. W takich sytuacjach firmy często zastanawiają się, czy anonimizując lub pseudonimizując dane mogą je dalej wykorzystywać, jednocześnie zapewniając zgodność z wymogami dotyczącymi retencji.

Rozstrzygnięcie ww. dylematu wymaga wyraźnego rozróżnienia pomiędzy pojęciem anonimizacji i pseudonimizacji, które nierzadko są mylnie utożsamiane ze sobą.

Anonimizacja jest procesem, który w sposób trwały i nieodwracalny prowadzi do pozbawienia danych osobowych cech pozwalających na zidentyfikowanie, choćby potencjalne, osoby fizycznej. Co istotne, dane anonimowe z racji tego, że nie pozwalają zidentyfikować osoby fizycznej, nie podlegają przepisom RODO, o czym wyraźnie przesądza motyw 26.

Pseudonimizacja z kolei jest de facto środkiem ochrony danych osobowych, który oznacza przetworzenie danych osobowych w taki sposób, by nie można ich było już przypisać konkretnej osobie, której dane dotyczą, bez użycia dodatkowych informacji, pod warunkiem, że takie dodatkowe informacje są przechowywane osobno i są objęte środkami technicznymi i organizacyjnymi uniemożliwiającymi ich przypisanie zidentyfikowanej lub możliwej do zidentyfikowania osobie fizycznej. Co istotne dane speudonimizowane są nadal danymi osobowymi i podlegają wszystkim regułom i zasadom wynikającym z RODO.

W świetle powyższego jedynym rozwiązaniem, które można rozważyć w kontekście zapewnienia prawidłowej retencji danych osobowych, jest anonimizacja. Skoro bowiem dane osobowe na skutek anonimizacji przestają być danymi osobowymi, to można uznać, że z momentem przeprowadzenia anonimizacji administrator przestaje je przetwarzać jako dane osobowe i w ten sposób, o ile zrobi to w odpowiednim momencie, zapewnia realizację zasady ograniczenia przechowywania. Warto przy tym podkreślić, że stosując mechanizmy anonimizujące, administrator musi pamiętać o tym, że proces ten musi być nieodwracalny. Jeżeli w jakikolwiek sposób proces będzie możliwy do odwrócenia, to wówczas będzie to pseudonimizacja.

Autorem artykułu jest radca prawny: Jakub Pawłowski.