Uchovávanie osobných údajov býva v praxi jedna z najčastejších príčin zbytočných rizík. Nie preto, že by firmy nechceli dodržiavať GDPR, ale preto, že údaje sa v systémoch „nejako“ hromadia. A keď sa po rokoch opýtate, prečo ešte stále držíte staré žiadosti, e-maily, logy, záznamy z kamier alebo marketingové databázy, odpoveď znie: „Pre istotu.“
Práve „pre istotu“ je však v GDPR problém. GDPR vyžaduje, aby ste osobné údaje uchovávali len tak dlho, ako je to nevyhnutné vzhľadom na účel spracúvania. To znamená, že potrebujete jasné a obhájiteľné limity uchovávania (retention limits), nastavené podľa procesov, zákonných povinností a reálnych potrieb organizácie.
Tento článok je praktický návod, ako limity nastaviť, zdokumentovať a prevádzkovať v jednotlivých kategóriách informačných systémov.
Čo presne znamená „limit uchovávania“ podľa GDPR
GDPR (čl. 5 ods. 1 písm. e) zavádza zásadu minimalizácie uchovávania: údaje musia byť uchovávané vo forme umožňujúcej identifikáciu dotknutých osôb najviac po dobu nevyhnutnú na účely, na ktoré sa spracúvajú.
V preklade do praxe to znamená tri veci:
- Musíte vedieť, prečo údaje spracúvate (účel).
- Musíte vedieť, ako dlho ich potrebujete (doba uchovávania).
- Musíte mať proces, ktorý po uplynutí doby uchovávania zabezpečí výmaz alebo anonymizáciu.
Ak si z článku máte odniesť jednu vetu, tak túto: retencia nie je dátum v dokumente, retencia je funkčný mechanizmus v procesoch a systémoch.
Prečo nestačí napísať do zásad „uchovávame údaje po dobu nevyhnutnú“
V informačných povinnostiach môžete uviesť aj všeobecnejšie formulácie, ale interne potrebujete konkrétnosť. Pri kontrole alebo incidente sa nehodnotí, či máte pekný text na webe, ale či viete preukázať:
- že doby uchovávania sú viazané na účely,
- že sú odôvodnené zákonom, zmluvou alebo oprávneným záujmom,
- že viete preukázať, čo sa deje po uplynutí lehoty (mazanie, anonymizácia, archivácia),
- že vaše systémy nie sú „dátové sklady bez konca“.
Typický problém je, že organizácia má retenciu popísanú v smer
Ako správne určiť dobu uchovávania: praktický postup
Ako GDPR poradca odporúčam postupovať v logike „účel → právny základ → retencia → akcia po retencii“.
1) Rozdeľte údaje podľa účelov, nie podľa toho, kde ležia
Napríklad „e-mailová komunikácia“ sama o sebe nie je účel. Účel môže byť:
- vybavenie objednávky,
- riešenie reklamácie,
- preukazovanie plnenia zmluvy,
- odpoveď na dopyt pred uzatvorením zmluvy,
- podpora zákazníka.
Jedna schránka teda môže obsahovať viacero účelov a tým pádom aj viacero retenčných pravidiel.
2) Identifikujte zákonné a regulačné lehoty
Najmä účtovníctvo, dane, mzdy a personalistika majú lehoty dané osobitnými predpismi. V týchto oblastiach je retencia často „tvrdá“ a obhájiteľná.
3) Ošetrite premlčacie lehoty a právne nároky
Pri zmluvách, reklamáciách a sporoch býva legitímne držať určité údaje aj po ukončení služby, aby ste vedeli obhájiť právne nároky (typicky oprávnený záujem). Treba však držať len to, čo je potrebné, a mať jasnú lehotu.
4) Zadefinujte „trigger“ začiatku lehoty
Retencia nie je len „5 rokov“. Dôležité je, odkedy sa počíta:
- od ukončenia zmluvy,
- od uzavretia prípadu v helpdesku,
- od poslednej aktivity zákazníka,
- od udelenia súhlasu alebo jeho odvolania,
- od vytvorenia záznamu (napríklad logy).
5) Určite, čo sa stane po uplynutí lehoty
Možnosti sú najčastejšie:
- bezpečný výmaz,
- anonymizácia (ak chcete štatistiku),
- presun do archívu (ak existuje zákonný archivačný režim),
- obmedzenie spracúvania (napríklad pri prebiehajúcom spore).
Cookies a limity uchovávania: kde firmy najčastejšie zlyhávajú
Pri cookies sa často rieši súhlas, banner a kategórie, ale retencia sa zanedbáva. Ak cookies používate na:
- zlepšenie výkonu webu,
- použiteľnosť,
- analýzu návštevnosti,
- marketing,
tak potrebujete mať kontrolu nad tým, ako dlho sa identifikátory uchovávajú. V praxi to býva kombinácia:
- doby uloženia cookie v prehliadači,
- doby uchovávania dát u poskytovateľa (napr. analytický nástroj),
- doby, počas ktorej ich viete priradiť ku konkrétnej osobe (pri online identifikátoroch).
Odporúčanie: pri analytike a marketingu nastavujte retenciu skôr konzervatívne (mesiace, nie roky), a overte si nastavenia v nástrojoch. Niektoré platformy umožňujú retenciu priamo nakonfigurovať. To, že sa to dá nastaviť, znamená aj to, že sa od vás očakáva, že to nastavíte.
Kategórie informačných systémov a typické lehoty uchovávania (praktická mapa)
Nižšie uvádzam orientačné rámce, ktoré sa v praxi často používajú. Vždy ich prispôsobte konkrétnemu účelu, procesom a právnym povinnostiam vašej organizácie.
1) Personálne a mzdové systémy
Spracúvate údaje zamestnancov, pracovné zmluvy, dochádzku, výplatné pásky, podklady pre odvody a dane.
Typické lehoty: 5 až 10 rokov (podľa typu dokumentu a povinností).
Dôvody: pracovnoprávne a daňové povinnosti, kontrola, dokazovanie.
Praktická poznámka: do personalistiky často „prepadnú“ aj údaje, ktoré tam nepatria dlhodobo (napr. staré e-maily s citlivými informáciami). Retencia musí riešiť aj nestruktúrované prílohy a voľné polia.
2) Účtovné a finančné systémy
Faktúry, účtovné doklady, bankové výpisy, daňové priznania, objednávky a zmluvná dokumentácia viazaná na účtovníctvo.
Typické lehoty: 5 až 10 rokov.
Dôvody: účtovné a daňové predpisy, audit, kontrola finančných tokov.
Tu je dôležité odlíšiť:
- čo je účtovný doklad, ktorý musíte držať,
- a čo je „komfortná“ príloha navyše (napr. rozsiahla komunikácia, ktorá nie je potrebná).
3) CRM a marketingové systémy
Zákaznícke profily, história komunikácie, segmentácia, marketingové súhlasy, newsletter databázy.
Typické lehoty:
- marketingové súhlasy: do odvolania súhlasu (a následne len nevyhnutné minimum na preukázanie, že bol odvolaný),
- údaje pre kampane: po dobu kampane a primerané obdobie na vyhodnotenie,
- zákaznícke kontakty bez aktivity: často „niekoľko rokov“ podľa odôvodnenia (napr. 2 až 3 roky od poslednej interakcie).
Najväčšie riziko v marketingu je „neobmedzené uchovávanie“, lebo databáza je hodnotná. GDPR však vyžaduje, aby ste pravidelne čistili neaktívne kontakty a mali pravidlá, kedy kontakt vymažete alebo anonymizujete.
4) Systémy riadenia zákazníckeho servisu (helpdesk)
Reklamácie, podnety, žiadosti, technická podpora, spätná väzba, ticketing.
Typické lehoty: 2 až 5 rokov po uzavretí prípadu.
Dôvody: riešenie sťažností, preukazovanie plnenia, právne nároky, zlepšovanie služieb.
Odporúčam doplniť pravidlo, že ak ticket obsahuje citlivé údaje, máte proces, ako ich minimalizovať. Často sa do ticketu prilepia doklady, rodné čísla, zdravotné informácie, fotografie a podobne bez potreby.
5) Prístupové a bezpečnostné systémy
Prístupové logy, záznamy o vstupe, evidencie prístupových kariet, CCTV záznamy, bezpečnostné incidenty.
Typické lehoty: niekoľko mesiacov až 2 roky podľa účelu a rizikovosti.
Dôvody: prevencia, vyšetrovanie incidentov, ochrana majetku a osôb, preukazovanie porušenia pravidiel.
V praxi je dôležité:
- nastaviť krátku retenciu pre bežné záznamy,
- mať výnimku pre incidenty, kde sa záznam vyčlení a drží dlhšie, lebo je súčasťou vyšetrovania.
6) Archívne a dokumentačné systémy
Dlhodobé uchovávanie dokumentov na archívne, výskumné alebo štatistické účely.
Typické lehoty: dlhodobé, niekedy aj trvalé (ak to vyplýva zo zákona alebo verejného záujmu).
Dôvody: zákonné archivačné povinnosti, verejný záujem, výskum, štatistika.
Pozor: „archivácia“ nie je univerzálna výhovorka. Ak nie ste archívna inštitúcia alebo nemáte jasný zákonný rámec, často je správne skôr anonymizovať.
Ako to celé udržať pod kontrolou: register aktív a prepojenie na RoPA
V praxi odporúčam postaviť retenciu na dvoch pilieroch:
1) Information Asset Register (Register informačných aktív)
Jednoduchá tabuľka alebo nástroj, kde máte pri každom systéme a dátovej sade:
- kategórie osobných údajov,
- dotknuté osoby,
- účely spracúvania,
- právne základy,
- retenčné lehoty a „trigger“,
- miesto uloženia (systém, modul, úložisko, e-mail),
- príjemcov a prenosy,
- popis výmazu/anonymizácie.
2) Prepojenie na RoPA (Záznamy o spracovateľských činnostiach)
RoPA je povinnosť pre mnohé organizácie a zároveň najlepší „kostrový“ dokument, ktorý vám pomôže udržať prehľad. Register aktív a RoPA by si nemali protirečiť. Ak zmeníte proces, zavádzate nový systém alebo meníte účel, musíte aktualizovať aj retenciu.
Prakticky: ak máte v RoPA „Zákaznícka podpora“, ale helpdesk drží dáta 10 rokov, je to nesúlad, ktorý je ľahko napadnuteľný.
Automatizácia: bez nej bude retencia len na papieri
Retenčné pravidlá často zlyhajú na tom, že sú závislé od človeka. Preto odporúčam zaviesť:
- automatické upozornenia na koniec retenčnej doby,
- automatizované mazanie (ak je bezpečné a auditovateľné),
- proces schvaľovania výnimiek (napr. „legal hold“ pri spore),
- bezpečný výmaz alebo anonymizáciu vrátane záloh, ak je to primerané.
Dôležité je aj logovanie mazania: vedieť preukázať, že sa mazanie vykonalo, kedy, v akom rozsahu a podľa akého pravidla.
Pravidelná revízia: lebo zákony, procesy aj systémy sa menia
Retencia nie je jednorazový projekt. Minimálne raz ročne (alebo pri významnej zmene) si prejdite:
- legislatívne zmeny a odporúčania dozorného orgánu,
- nové systémy a integrácie,
- zmeny v účeloch spracúvania,
- incidenty a zistenia z auditov,
- či sa mazanie reálne vykonáva.
Ak pri revízii zistíte, že retencia je nastavená „veľkoryso“, upravte ju. Z pohľadu rizika je lepšie mať konzervatívnejšie doby a kvalitný proces výnimiek, než držať všetko roky.
Ako správne zdokumentovať retenčné pravidlá v každom systéme
Aby to bolo obhájiteľné, v dokumentácii by som očakával:
- konkrétnu dobu uchovávania pre každú dátovú sadu,
- jasný účel a právny základ,
- spúšťač plynutia lehoty,
- popis, čo sa deje po uplynutí lehoty,
- zodpovednosť (kto to kontroluje),
- technické nastavenie (kde sa to v systéme nastavuje),
- riešenie výnimiek.
Ak máte viac systémov, robte to jednotne. Najhoršia kombinácia je, keď jedna smernica hovorí jedno, RoPA druhé a systém v skutočnosti nerobí nič.
Zhrnutie: dobré limity uchovávania sú kombinácia práva, praxe a techniky
Limity pre uchovávanie osobných údajov nie sú o tom, aby ste „niečo napísali do GDPR dokumentácie“. Sú o tom, aby ste vedeli:
- prečo údaje držíte,
- dokedy ich držíte,
- a ako zabezpečíte, že po uplynutí lehoty prestanete spracúvať to, čo už nepotrebujete.
Ak chcete rýchly, praktický štart, začnite tromi krokmi:
- urobte register informačných aktív a doplňte retencie,
- prepojte ho s RoPA a reálnymi procesmi,
- nastavte automatizované mazanie alebo aspoň upozornenia a pravidelnú revíziu.
To je cesta, ako mať retenciu, ktorá dáva zmysel biznisu a zároveň obstojí pri kontrole.
Často kladené otázky
Čo znamená limit uchovávania osobných údajov podľa GDPR?
Limit uchovávania podľa GDPR znamená, že osobné údaje musia byť uchovávané len po dobu nevyhnutnú na účely, na ktoré sa spracúvajú. To zahŕňa jasné určenie účelu spracovania, dobu uchovávania a proces výmazu alebo anonymizácie po uplynutí tejto doby.
Prečo nestačí uviesť vo firemných zásadách len všeobecné vyjadrenie o uchovávaní údajov „po dobu nevyhnutnú“?
Všeobecné formulácie nestačia, pretože GDPR vyžaduje preukázateľnosť. Organizácia musí vedieť preukázať, že doby uchovávania sú viazané na konkrétne účely, sú odôvodnené zákonom alebo oprávneným záujmom a že existuje proces na výmaz alebo anonymizáciu údajov po uplynutí lehoty.
Ako správne určiť dobu uchovávania osobných údajov v praxi?
Odporúča sa postupovať podľa logiky: najprv definovať účel spracovania údajov, potom identifikovať právny základ, následne stanoviť konkrétnu dobu uchovávania (retenciu) a nakoniec zabezpečiť akciu po uplynutí tejto doby ako výmaz alebo anonymizáciu.
Prečo je dôležité rozdeliť údaje podľa účelov spracovania a nie podľa ich uloženia?
Účel spracovania určuje, ako dlho a za akým účelom sa údaje môžu uchovávať. Napríklad jedna e-mailová schránka môže obsahovať údaje s rôznymi účelmi (reklamácie, objednávky), ktoré majú rôzne retenčné pravidlá. Preto je potrebné údaje klasifikovať podľa účelu, nie podľa miesta uloženia.
Aké sú príklady zákonných lehôt pre uchovávanie osobných údajov?
Zákonné lehoty sa často vzťahujú na oblasti ako účtovníctvo, dane, mzdy či personalistika. Tieto lehoty sú stanovené osobitnými predpismi a predstavujú tzv. tvrdé lehoty retencie, ktoré organizácia musí dodržiavať.
Čo by mal obsahovať funkčný mechanizmus retencie osobných údajov?
Funkčný mechanizmus retencie by mal zahŕňať jasne definované limity uchovávania údajov viazané na účely spracovania, procesy zabezpečujúce výmaz alebo anonymizáciu po uplynutí doby uchovávania a dokumentáciu týchto procesov v rámci informačných systémov organizácie.