Съхранение на Данни от Сигнали: Колко Дълго да ги Пазите и Кога да ги Изтриете

Не съществува единен законов срок за съхранение на сигнали — колко дълго да пазите сигнал зависи от неговия изход, а не от фиксиран брой години. Сигнал, приключен без последствия, изисква различен (обикновено по-кратък) срок на съхранение от сигнал, довел до дисциплинарно производство или до съдебен процес, който все още тече.

Основни изводи

• Няма универсален срок на съхранение за данни от сигнали — правилната продължителност зависи от изхода на случая (без действие, вътрешно дисциплинарно производство, или висящо съдебно производство).
• Член 18 от Директива (ЕС) 2019/1937 изисква записите на сигнали да се съхраняват само "толкова дълго, колкото е необходимо и пропорционално", докато член 5, параграф 1, буква д) от GDPR добавя общия принцип за ограничаване на съхранението, приложим за всички лични данни, събрани чрез канала.
• Практическият календар за съхранение има поне три направления: сигнали, приключени без установени нарушения; сигнали, довели до потвърден дисциплинарен изход; и сигнали, свързани с активен или очакван правен спор.
• Когато срокът за съхранение изтече, идентифициращите данни (имена, координати за връзка, свободен текст, разкриващ самоличност) трябва да бъдат изтрити или необратимо анонимизирани — но агрегираните статистики, използвани за отчитане на съответствието, могат да се съхраняват безсрочно.
• Най-честата грешка при съхранението не е липсата на политика, а липсата на нейното прилагане: писан график, който никой реално не спазва, е първото нещо, което одиторът ще отбележи.

Какво Всъщност Изискват Директивата и GDPR Относно Съхранението

Член 18 от Директивата за защита на лицата, подаващи сигнали, изисква записите на сигнали да се съхраняват "само толкова дълго, колкото е необходимо и пропорционално", за да се спазят изискванията, наложени от самата директива — тя умишлено избягва да определя конкретен брой години, оставяйки тази преценка на организацията и на националното транспониращо законодателство. Към това се добавя член 5, параграф 1, буква д) от GDPR — принципът за ограничаване на съхранението — който изисква всички лични данни, обработвани чрез канала (името на подателя на сигнала, ако е избрал да се идентифицира, данни за посоченото лице, свидетелски показания), да се съхраняват "не по-дълго, отколкото е необходимо за целите, за които се обработват".

Разгледани заедно, тези две разпоредби означават, че платформа за сигнали не може просто да пази всеки сигнал завинаги "за всеки случай", нито може да изтрие всичко веднага след приключване на случая, ако все още тече давностен срок за свързани правни претенции. Срокът за съхранение трябва да бъде обвързан с документирана цел — и тази цел се променя в зависимост от това какво се е случило със сигнала.

Колко Дълго да Съхранявате Всеки Тип Случай

Вместо едно число, защитим календар за съхранение определя различен срок за всеки изход:

1. Сигнали, приключени без установени нарушения или оттеглени от подателя. Те обикновено оправдават най-краткото съхранение — достатъчно време, за да се докаже, че сигналът е бил надлежно разгледан (обикновено от няколко месеца до около две години), след което идентифициращите данни трябва да се изтрият, тъй като обикновено вече няма продължаващо правно основание за тяхното съхранение.
2. Сигнали, довели до потвърдено дисциплинарно или коригиращо действие. Те обикновено трябва да се съхраняват толкова дълго, колкото се съхранява свързаното трудово или дисциплинарно досие съгласно националното трудово право, тъй като сигналът вече е доказателство в подкрепа на това действие — често няколко години, съобразени с приложимия давностен срок за оспорване на дисциплинарното решение.
3. Сигнали, свързани с активни разследвания, съдебни спорове или регулаторни производства. Те трябва да се съхраняват за времетраенето на производството плюс всеки приложим срок за обжалване — "правно задържане", което замества стандартния график и трябва изрично да бъде отбелязано в досието на случая, за да не бъде нищо изтрито преждевременно.

Документирането на тези три направления — заедно със събитието, което задейства всеки срок — превръща неясно твърдение като "изтриваме данни, когато вече не са нужни" в защитима политика, която регулатор или одитор действително може да провери.

Какво да Изтриете (и Какво Може да Остане) При Изтичане на Срока за Съхранение

Когато срокът за съхранение изтече, целта е да се премахне това, което идентифицира хората, като същевременно се запази това, от което организацията законно се нуждае за надзор на съответствието:

• За изтриване или необратимо анонимизиране: името и координатите за връзка на подателя на сигнала (ако са известни), името на посоченото лице, полетата със свободен текст, които вероятно разкриват самоличност, и всякакви прикачени файлове с лични данни.
• Може да се съхранява безсрочно, в агрегирана форма: броят получени сигнали за период, разбивката по категория/тип, средното време до потвърждение на получаването, и статистиките за изходите — нито едно от тях не изисква идентифициращи данни, за да остане полезно за отчитане на тенденции или за да се докаже пред регулатор, че каналът функционира.
• Анонимизацията трябва да е истинска, а не просто премахване на поле за име, докато уникален идентификатор на служител или много специфичен разказ все още прави лицето разпознаваемо — контролна точка, която ОВЗД за канал за сигнали вече трябва да проверява при първоначалното изграждане.

Чести Грешки в Съхранението, Които Застрашават Одит

• Третиране на "приключен случай" като "изтрий всичко веднага" — без проверка дали все още тече национален давностен срок за свързани трудови или граждански претенции, което може да изложи организацията на риск, ако по-късно е нужно доказателство, което вече не съществува.
• Липса на изобщо писан график за съхранение, оставяйки решението на този, който случайно обработва случая тази седмица — непоследователното съхранение между случаите само по себе си е констатация, която одиторът ще отбележи.
• Писан график, който реално не се прилага — стари случаи, останали в системата години след документирания срок за съхранение, защото никой не носи отговорност за стъпката на изтриване.
• Изтриване на данни, свързани с активно правно задържане, защото общо правило за съхранение се е задействало автоматично, унищожавайки доказателства, които съд или регулатор ще поиска по-късно.

Как Vaelo Решава Това

Политиката за съхранение струва колкото прилагането ѝ, и именно тук писаният график обикновено се проваля на практика — никой не помни да действа, когато случаят вече е на една година. Таблото за управление на случаи на Vaelo позволява на екипите по съответствие да зададат направление за съхранение (без установени нарушения, дисциплинарен изход, или правно задържане) на всеки случай при приключването му, след което автоматично отбелязва случаите, приближаващи се към документираната дата на изтриване, така че нищо да не остане случайно след оправдания срок на съхранение. Правните задържания могат да се прилагат за всеки отделен случай, за да заменят стандартния срок, без да е нужно да се помни кои случаи са изключени, а когато срок за съхранение действително изтече, идентифициращите полета могат да бъдат изчистени, докато анонимизираните статистики, необходими за отчитане на съответствието и одитни следи, остават напълно непокътнати.

Често задавани въпроси

Има ли законово задължителен брой години за съхранение на сигнали? Няма единна цифра, валидна в целия ЕС. Член 18 от директивата изисква записите да се съхраняват „само толкова дълго, колкото е необходимо и пропорционално“, а принципът за ограничаване на съхранението на GDPR прилага същия стандарт към личните данни в сигнала — реалната продължителност зависи от изхода на случая и от приложимото национално транспониращо законодателство или давностни срокове.

Трябва ли сигналите без установени нарушения да се изтриват веднага след приключване? Не веднага, но обикновено по-рано от случаите с потвърден изход — трябва да мине достатъчно време, за да се докаже, че сигналът е бил обработен правилно (обикновено няколко месеца до около две години), след което съхранението на идентифициращи данни обикновено вече няма законово основание.

Какво се случва със сигнали, свързани със съдебно дело или регулаторно разследване? Те трябва да бъдат поставени под правно задържане ("legal hold"), което спира стандартния график за съхранение до приключване на производството — и на всеки срок за обжалване — тъй като изтриването на доказателства, свързани с активен спор, може да изложи организацията на самостоятелен правен риск.

Можем ли да запазим статистиката за сигналите след изтриване на основните данни за случая? Да — агрегирани, неидентифициращи статистики (обем на сигналите, категории, средно време за отговор) могат да се съхраняват безсрочно за целите на отчитане на съответствието и анализ на тенденциите, след като идентифициращите данни за отделния случай са изтрити или анонимизирани.