Cum stabilești politica de retenție a documentelor conform GDPR?

Politica de retenție înseamnă un termen scris pentru fiecare tip de document și o ștergere care chiar se întâmplă.

Răspuns scurt

Faci inventarul tipurilor de documente care conțin date personale.
Pentru fiecare tip stabilești un termen de păstrare și temeiul lui: obligație legală sau interes legitim documentat.
Când termenul expiră, documentul se marchează pentru ștergere sau anonimizare și un responsabil confirmă, nu „când își amintește cineva".
Fiecare ștergere se consemnează, ca să poți dovedi respectarea principiului limitării stocării.

Regulamentul (UE) 2016/679, art. 5(1)(e) — limitarea stocării: datele personale se păstrează doar cât este necesar scopului.
Regulamentul (UE) 2016/679, art. 17 — dreptul la ștergere; nu se aplică atunci când păstrarea este impusă de o obligație legală.
Legea 82/1991: cele 10 ani pentru registre și documente justificative și cele 50 de ani pentru statele de salarii se aplică peste o cerere de ștergere.
OMFP 2634/2015: pentru o parte dintre documentele financiar-contabile termenul este de 5 ani.
Legea 16/1996: nomenclatorul arhivistic este documentul în care se scriu efectiv aceste termene.

CV-urile candidaților respinși: termen scurt stabilit de firmă, frecvent 6–12 luni, cu informarea prealabilă a candidatului.
Un fost angajat cere ștergerea datelor: dosarul nu poate fi șters integral, pentru că statul de salarii are termen legal de 50 de ani.
Registrul de acces la sediu: termen de câteva luni, apoi ștergere după confirmarea unui responsabil.
O firmă cu 300 de tipuri de documente reduce lista la 42 de categorii cu termen distinct și automatizează restul.

Politica există pe hârtie, dar nicio ștergere efectivă nu s-a făcut vreodată.
Se acceptă orice cerere de ștergere, inclusiv pentru documente cu termen legal obligatoriu.
Copiile de siguranță rămân cu datele deja șterse din sistemul principal.
Nu se păstrează nicio dovadă a ștergerii, deci nu poate fi demonstrată conformitatea.
Termenele sunt stabilite „din prudență" la 30 de ani pentru tot, ceea ce încalcă principiul limitării stocării.

Termen de păstrare configurat pe fiecare tip de document, cu temeiul lui notat alături.
Alertă înainte de expirare, ca ștergerea să fie verificată de un responsabil.
Ștergere sau anonimizare la termen, consemnată în registru, inclusiv pentru fișierele atașate.
Registrul ștergerilor rămâne ca dovadă pentru autoritatea de supraveghere.