У вас є інтернет-магазин? Дізнайтеся, як довго можуть зберігатися ваші персональні дані!

Регламент про захист даних, широко відомий як RODO, зробив значний внесок у зміни у сфері збору та зберігання персональних даних фізичних осіб. Запроваджене законодавство також регулює, як довго компанія може безкарно зберігати таку інформацію.

Під терміном персональні дані включає будь-яку інформацію, за якою можна ідентифікувати фізичну особу. Як зазначено в регламенті RODO, це стосується не лише основних персональних даних (таких як ім'я, адреса, PESEL, ідентифікаційний номер або контактна інформація), але й іміджу людини, її походження, переконань і навіть членства в профспілці.

Принцип суворого мінімуму

Метою RODO є захист персональних даних. Тому всі положення регламенту регламентують принципи, яких повинні дотримуватися ті, хто бере участь в обробці даних - тобто, в першу чергу, власники бізнесу. Давайте подивимося, що все це означає на практиці.

Незалежно від того, чи стосуються дані, які збираються, працівників, клієнтів або замовників, власник бізнесу повинен збирати від фізичних осіб лише ту інформацію, яка необхідна для досягнення поставленої мети (наприклад, виконання замовлення або найму працівників). Регламент не визначає, які саме дані і в якому обсязі слід збирати, тому власник бізнесу повинен сам вирішити, яка інформація є абсолютно необхідною.

Принцип суворого мінімуму також застосовується до зберігання персональних даних . Тут також немає конкретного положення про те, як довго компанія може зберігати персональні дані фізичної особи. Однак з регламенту зрозуміло, що це не може відбуватися безкінечно.

Інформація, надана в документі, стверджує, що будь-які персональні дані можуть зберігатися лише стільки часу, скільки необхідно для виконання заявлених цілей, для яких вони були отримані. Хоча в документі немає конкретної згадки про термін зберігання, він чітко ілюструє, що він повинен бути мінімальним.

Як ви визначаєте тривалість зберігання даних?

Хоча RODO не встановлює конкретного терміну зберігання даних для підприємств, вони можуть не включати до згоди або інформаційних положень примітку про те, що дані зберігатимуться протягом невизначеного терміну. Порушення положення про суворий мінімум може призвести до юридичних проблем - особливо якщо контролер даних не зможе надати логічного обґрунтування своїх дій.

Період зберігання даних залежить насамперед від виду діяльності, для якої вони були необхідні. Існують також положення, які можуть продовжити, а в деяких випадках навіть скоротити тривалість обробки персональних даних. До них відносяться, наприклад, положення про позовну давність, що регулюються Цивільним кодексом або положеннями Законів про бухгалтерський облік.

Де основа обробка персональних даних є згода фізичної особи, термін зберігання даних діє до моменту відкликання згоди. Після відкликання згоди дані зберігаються до закінчення строку позовної давності за претензіями, як з боку контролера даних, так і тих, що можуть бути пред'явлені фізичній особі. Залежно від типу претензії, цей період триває від 6 місяців до 6 років.

Якщо підставою є виконання договору, то дані будуть оброблятися доти, доки договір не буде виконано. Однак і в цьому випадку строк позовної давності застосовується навіть після закінчення дії договору.

Зберігання даних протягом тривалого часу

Існує три обставини, за яких персональні дані можуть зберігатися довше, ніж передбачено суворим мінімальним правилом. Це в тих випадках, коли вони були отримані для певних цілей:

• проведення наукових та/або історичних досліджень,
• архіви (тільки для загального доступу),
• Статистичні.

Однак слід пам'ятати, що, незважаючи на тривалий період часу, їх зберігання також не дозволяється безстроково. Завданням адміністратора також є забезпечення їх належного захисту протягом усього терміну зберігання.

А як щодо даних до РОДО?

Персональні дані які були зібрані до набрання чинності Законом про RODO, повинні бути приведені у відповідність до чинних правил. Це означає, що підприємець повинен перевірити, чи зібрані дані були отримані відповідно до чинних правил. У випадку, якщо вони суттєво відхиляються від вимог, регламентованих законом про RODO, найкращим рішенням буде їх видалення.

Торговець також повинен переконатися, що він має відповідні згоди від фізичних осіб щодо можливості обробки їхніх персональних даних. Якщо вони втратили юридичну силу, слід подбати про їх оновлення. Дані, отримані до 25 травня 2018 року, також не можуть зберігатися безстроково.