Limity pre uchovávanie osobných údajov podľa GDPR sa musia stanovovať nielen podľa účelu spracúvania, právnych či obchodných požiadaviek, ale aj podľa kategórií informačných systémov, v ktorých sú údaje spracúvané. Každý typ informačného systému vyžaduje špecifický prístup k nastavovaniu lehôt uchovávania, pričom tieto lehoty musia byť jasne zdokumentované a pravidelne revidované.
Kategórie informačných systémov a limity uchovávania údajov
- Personálne a mzdové systémy
- Uchovávanie osobných údajov zamestnancov, pracovných zmlúv, mzdových listov a dochádzky.
- Typické lehoty: 5–10 rokov podľa pracovnoprávnych a daňových predpisov.
- Dôvod: Povinnosť uchovávať dokumentáciu pre účely kontroly zo strany úradov a pre prípad právnych sporov.
- Účtovné a finančné systémy
- Spracúvanie faktúr, účtovných dokladov, daňových priznaní, bankových výpisov.
- Typické lehoty: 5–10 rokov podľa zákona o účtovníctve a daňových zákonov.
- Dôvod: Zákonná povinnosť archivácie pre účely auditu a daňových kontrol.
- CRM a marketingové systémy
- Uchovávanie údajov o zákazníkoch, kontaktných osobách, histórii komunikácie, marketingových súhlasoch.
- Typické lehoty: do odvolania súhlasu alebo do naplnenia účelu (napr. ukončenie kampane), maximálne však niekoľko rokov.
- Dôvod: Po skončení marketingovej kampane alebo odvolaní súhlasu je potrebné údaje vymazať alebo anonymizovať.
- Systémy správy zákazníckych služieb
- Uchovávanie údajov o reklamáciách, požiadavkách, podpore a spätnej väzbe.
- Typické lehoty: 2–5 rokov po uzavretí prípadu.
- Dôvod: Riešenie reklamácií, právne nároky, zlepšovanie služieb.
- Systémy na správu prístupov a bezpečnosti
- Evidencia prístupov do priestorov, logy prístupov do IT systémov, kamerové záznamy.
- Typické lehoty: niekoľko mesiacov až 2 roky, podľa účelu a bezpečnostných požiadaviek.
- Dôvod: Prevencia a vyšetrovanie incidentov, ochrana majetku a osôb.
- Archívne a dokumentačné systémy
- Dlhodobé uchovávanie dokumentov na účely archívu, výskumu alebo štatistiky.
- Typické lehoty: podľa osobitných právnych predpisov alebo do anonymizácie údajov.
- Dôvod: Výskum, historická dokumentácia, verejný záujem.
Praktické odporúčania pre správu limitov v informačných systémoch
- Viesť register informačných aktív (Information Asset Register), kde budú evidované všetky kategórie údajov, účely spracúvania a lehoty uchovávania.
- Prepojiť register s evidenciou spracovateľských činností (RoPA) a pravidelne ho aktualizovať pri každej zmene procesu alebo systému.
- Zaviesť automatizované procesy na upozorňovanie na uplynutie lehoty uchovávania a bezpečné vymazávanie alebo anonymizáciu údajov.
- Pravidelne revidovať a aktualizovať lehoty uchovávania podľa legislatívnych zmien, odporúčaní dozorných orgánov a interných potrieb.
Správne nastavenie a dodržiavanie limitov uchovávania osobných údajov v jednotlivých kategóriách informačných systémov je základom GDPR súladu. Každý systém by mal mať jasne definované pravidlá, dokumentované lehoty a procesy na bezpečné vymazanie údajov po uplynutí stanovenej doby, pričom tieto pravidlá musia byť pravidelne kontrolované a aktualizované.