Как се определя политика за съхранение съгласно GDPR?

Как се определя политика за съхранение на документите съгласно GDPR?

Политиката за съхранение означава писан срок за всеки вид документ и изтриване, което наистина се извършва.

Кратък отговор

Правите инвентар на видовете документи, които съдържат лични данни.
За всеки вид определяте срок за съхранение и основанието за него: законово задължение или документиран законен интерес.
Когато срокът изтече, документът се маркира за изтриване или анонимизиране и отговорно лице потвърждава — не „когато някой се сети".
Всяко изтриване се записва, за да можете да докажете спазването на принципа за ограничение на съхранението.

Регламент (ЕС) 2016/679, чл. 5, параграф 1, буква д) — ограничение на съхранението: личните данни се пазят само колкото е необходимо за целта.
Регламент (ЕС) 2016/679, чл. 17 — право на изтриване; не се прилага, когато съхранението е наложено от законово задължение.
Законът за счетоводството определя сроковете за съхранение на счетоводните документи; те се прилагат и когато има искане за изтриване.
Номенклатурата на фирмата е документът, в който тези срокове се записват на практика.

CV-та на кандидати, които не са избрани: кратък срок, определен от фирмата, често няколко месеца, с предварително уведомяване на кандидата.
Бивш служител иска изтриване на данните си: досието не може да се изтрие изцяло, защото ведомостта за заплати има законов срок за съхранение.
Регистърът за достъп до офиса: срок от няколко месеца, след което се изтрива след потвърждение от отговорно лице.
Фирма с 300 вида документи свежда списъка до 42 категории с отделен срок и автоматизира останалите.

Политиката съществува на хартия, но никога не е извършено реално изтриване.
Приема се всяко искане за изтриване, включително за документи със задължителен законов срок.
Резервните копия запазват данни, които вече са изтрити от основната система.
Не се пази доказателство за изтриването, така че съответствието не може да се докаже.
Сроковете се определят „за всеки случай" на 30 години за всичко, което нарушава принципа за ограничение на съхранението.

Срок за съхранение, зададен за всеки вид документ, с посоченото основание.
Предупреждение преди изтичане, за да може изтриването да бъде проверено от отговорно лице.
Изтриване или анонимизиране в срок, записано в регистър, включително за прикачените файлове.
Регистърът на изтриванията остава като доказателство за надзорния орган.