Kako odrediti politiku čuvanja dokumenata prema GDPR-u?
Politika čuvanja znači zapisan rok za svaku vrstu dokumenta i brisanje koje se stvarno provodi.
Kratki odgovor
- Napravite popis vrsta dokumenata koji sadrže osobne podatke.
- Za svaku vrstu odredite rok čuvanja i njegovu osnovu: zakonska obveza ili dokumentirani legitimni interes.
- Kad rok istekne, dokument se označava za brisanje, a odgovorna osoba potvrđuje — ne „kad se netko sjeti".
- Svako brisanje se bilježi, kako biste mogli dokazati poštovanje načela ograničenja pohrane.
Što kaže zakonodavstvo (ukratko)
- Opća uredba o zaštiti podataka (EU) 2016/679, čl. 5. st. 1. t. (e): ograničenje pohrane — osobni podaci čuvaju se samo onoliko dugo koliko je potrebno svrsi.
- Opća uredba o zaštiti podataka (EU) 2016/679, čl. 17.: pravo na brisanje; ne primjenjuje se ako je pohrana potrebna radi zakonske obveze.
- Zakon o računovodstvu (čl. 10. i 13.): poslovne knjige i knjigovodstvene isprave čuvaju se najmanje 11 godina; u tom roku zahtjev za brisanje ustupa pred tom obvezom. Isplatne liste imaju posebne rokove (čl. 10. st. 2.).
- Zakon o arhivskom gradivu i arhivima (NN 61/18 i izmjene): popis gradiva s rokovima čuvanja je dokument u kojem se ti rokovi stvarno zapisuju.
Praktični primjeri
- Životopisi kandidata koji nisu primljeni: kratak rok koji odredi tvrtka, uz prethodno obavještavanje kandidata.
- Bivši zaposlenik traži brisanje podataka: dosje se ne može obrisati u cijelosti, jer obračunske i isplatne liste imaju zakonski rok čuvanja.
- Registar ulaska u poslovne prostore: rok od nekoliko mjeseci, zatim brisanje nakon potvrde odgovorne osobe.
- Tvrtka s 300 vrsta dokumenata svodi popis na 42 kategorije s posebnim rokom i automatizira ostalo.
Česte greške
- Politika postoji na papiru, ali nikad nije provedeno nijedno stvarno brisanje.
- Prihvaća se svaki zahtjev za brisanje, uključujući dokumente sa zakonskom obvezom čuvanja.
- Sigurnosne kopije zadržavaju podatke koji su već obrisani iz glavnog sustava.
- Ne bilježi se nikakav dokaz brisanja, pa se usklađenost ne može dokazati.
- Rokovi se postave „za svaki slučaj" na 30 godina za sve, što krši načelo ograničenja pohrane.
Kako vam pomaže 4docs
- Rok čuvanja za svaku vrstu dokumenta, s naznakom osnove uz njega.
- Upozorenje prije isteka, da brisanje provjeri odgovorna osoba.
- Brisanje po isteku, zabilježeno u registru, uključujući priložene datoteke.
- Registar brisanja ostaje kao dokaz za nadzornu agenciju (AZOP).