Kaip nustatyti dokumentų saugojimo politiką pagal BDAR?

Saugojimo politika reiškia parašytą terminą kiekvienai dokumentų rūšiai ir šalinimą, kuris iš tikrųjų įvyksta.

Trumpas atsakymas

Sudarykite inventorių dokumentų rūšių, kuriose yra asmens duomenų.
Kiekvienai rūšiai nustatykite saugojimo terminą ir jo teisinį pagrindą: teisinę pareigą arba pagrįstą teisėtą interesą.
Pasibaigus terminui dokumentas pažymimas šalinimui arba anonimizavimui, o atsakingas asmuo patvirtina — ne „kai kas nors prisimena".
Kiekvienas šalinimas įrašomas, kad galėtumėte įrodyti ribojimo principo laikymąsi.

BDAR (GDPR) 5 straipsnio 1 dalies e punktas — saugojimo ribojimas: asmens duomenys saugomi tik tiek, kiek reikia tikslui.
BDAR (GDPR) 17 straipsnis — teisė reikalauti ištrinti duomenis; ji netaikoma, kai saugoti privalu pagal teisinę pareigą.
Buhalteriniams ir darbo dokumentams taikomi teisės aktų terminai; jie pirmauja prieš prašymus ištrinti. Konkrečius terminus patikrinkite e-tar.lt.
Dokumentų ir archyvų įstatymas: archyvo klasifikavimo sąraše užrašomi terminai, pagal kuriuos vyksta šalinimas.

Atmestų kandidatų gyvenimo aprašymai: įmonės nustatytas trumpas terminas, dažnai keli mėnesiai, su išankstiniu kandidato informavimu.
Buvęs darbuotojas prašo ištrinti duomenis: visos bylos ištrinti negalima, nes žiniaraščiai turi teisinį saugojimo terminą.
Patekimo į patalpas registras: kelių mėnesių terminas, po to ištrinamas patvirtinus atsakingam asmeniui.
Įmonė su 300 dokumentų rūšių sumažina sąrašą iki 42 kategorijų su atskirais terminais ir automatizuoja likusius.

Politika egzistuoja popieriuje, bet tikras šalinimas niekada nevykdomas.
Priimamas bet koks prašymas ištrinti, įskaitant dokumentus, kurių saugojimas teisiškai privalomas.
Atsarginės kopijos išlieka su jau pašalintais duomenimis.
Nesaugomas joks šalinimo įrodymas, todėl atitikties neįmanoma pademonstruoti.
Terminai nustatomi „dėl visa ko" ilgiems laikotarpiams visiems dokumentams, o tai pažeidžia saugojimo ribojimo principą.

Kiekvienai rūšiai nustatytas saugojimo terminas, o jo teisinis pagrindas užrašomas šalia.
Įspėjimas prieš terminą, kad šalinimą patikrintų atsakingas asmuo.
Šalinimas arba anonimizavimas pasibaigus terminui, įrašomas registre, įskaitant prisegtus failus.
Šalinimų registras lieka kaip įrodymas priežiūros institucijai.