Vihjeandmete Säilitamine: Kui Kaua Neid Hoida ja Millal Kustutada

Vihjeteadete jaoks ei ole ühte kindlat seaduslikku säilitamisaega — kui kaua vihjeteadet hoida, sõltub selle tulemusest, mitte kindlast aastate arvust. Ilma jätkutoiminguteta suletud teade vajab teistsugust (tavaliselt lühemat) säilitamisaega kui teade, mis viis distsiplinaarmenetluseni või siiani kohtus lahendamist ootava kohtuasjani.

Peamised järeldused

• Vihjeandmetele ei ole ühte kõigile sobivat säilitamisaega — õige kestus sõltub juhtumi tulemusest (tegevust ei järgnenud, sisemine distsiplinaarmenetlus, või pooleliolev kohtumenetlus).
• Direktiivi (EL) 2019/1937 artikkel 18 nõuab, et teadete andmeid säilitataks ainult "nii kaua, kui on vajalik ja proportsionaalne", samas kui GDPR-i artikkel 5 lõike 1 punkt e lisab üldise säilitamise piiramise põhimõtte, mis kehtib kõigile kanali kaudu kogutud isikuandmetele.
• Praktilisel säilitamiskalendril on vähemalt kolm rada: tulemusteta suletud teated, kinnitatud distsiplinaartulemusega lõppenud teated, ning aktiivse või oodatava vaidlusega seotud teated.
• Kui säilitamisaeg lõpeb, tuleks tuvastamist võimaldavad andmed (nimed, kontaktandmed, identiteeti paljastavad vabatekstilised kirjeldused) kustutada või pöördumatult anonüümida — kuid vastavusaruandluses kasutatavat koondstatistikat võib säilitada tähtajatult.
• Kõige levinum säilitamisviga ei ole poliitika puudumine, vaid selle rakendamata jätmine: kirjalik ajakava, mida keegi tegelikult ei järgi, on esimene asi, mille audiitor märkab.

Mida Direktiiv ja GDPR Säilitamise Kohta Tegelikult Nõuavad

Rikkumisest teatajate kaitse direktiivi artikkel 18 nõuab, et teadete andmeid säilitataks "ainult nii kaua, kui on vajalik ja proportsionaalne", et täita direktiivi enda kehtestatud nõudeid — see väldib teadlikult kindla aastate arvu määramist, jättes selle otsuse organisatsiooni ja riikliku ülevõtmisõiguse hooleks. Sellele lisandub GDPR-i artikkel 5 lõike 1 punkt e — säilitamise piiramise põhimõte —, mis nõuab, et kõiki kanali kaudu töödeldavaid isikuandmeid (teataja nimi, kui ta otsustas end tuvastada, andmed süüdistatava isiku kohta, tunnistajate ütlused) säilitataks "kujul, mis võimaldab andmesubjekte tuvastada ainult seni, kuni see on vajalik selle otstarbe täitmiseks, milleks isikuandmeid töödeldakse".

Koos lugedes tähendavad need kaks sätet, et vihjeplatvorm ei saa lihtsalt hoida iga teadet igavesti "kindluse mõttes", kuid ei tohi ka kõike kustutada kohe pärast juhtumi lõpetamist, kui seotud õigusnõuete aegumistähtaeg alles kestab. Säilitamisaeg peab olema seotud dokumenteeritud eesmärgiga — ja see eesmärk muutub sõltuvalt sellest, mis teatega juhtus.

Kui Kaua Iga Juhtumitüüpi Säilitada

Ühe arvu asemel määrab kaitstav säilitamiskalender igale tulemusele erineva tähtaja:

1. Tulemusteta suletud või teataja poolt tagasi võetud teated. Need õigustavad tavaliselt kõige lühemat säilitamist — piisavalt aega, et tõendada teate nõuetekohast menetlemist (tavaliselt mõni kuu kuni umbes kaks aastat), pärast mida tuleks tuvastamist võimaldavad andmed kustutada, kuna nende säilitamiseks üldjuhul enam õiguslikku alust ei ole.
2. Kinnitatud distsiplinaar- või parandusmeetmeni viinud teated. Neid tuleb üldjuhul säilitada nii kaua, kui säilitatakse vastavat personali- või distsiplinaartoimikut riikliku tööõiguse alusel, kuna teade on nüüd tõend, mis seda meedet toetab — sageli mitu aastat, vastavuses distsiplinaarotsuse vaidlustamise suhtes kohaldatava aegumistähtajaga.
3. Aktiivsete uurimiste, kohtuasjade või järelevalvemenetlustega seotud teated. Neid tuleb säilitada menetluse kestuse ja mis tahes kohaldatava edasikaebetähtaja jooksul — "õiguslik säilitamiskohustus", mis tühistab vaikimisi kalendri ja tuleks juhtumitoimikus selgesõnaliselt märkida, et miski ei kustutataks enneaegselt.

Nende kolme raja dokumenteerimine — koos iga tähtaja käivitava sündmusega — muudab ebamäärase väite "kustutame andmed, kui neid enam ei vajata" kaitstavaks poliitikaks, mida järelevalveasutus või audiitor saab tegelikult kontrollida.

Mida Kustutada (ja Mis Võib Alles Jääda), Kui Säilitamisaeg Lõpeb

Kui säilitamisaeg lõpeb, on eesmärk eemaldada see, mis inimesi tuvastab, säilitades samal ajal selle, mida organisatsioon vastavuse järelevalveks õiguspäraselt vajab:

• Kustutada või pöördumatult anonüümida: teataja nimi ja kontaktandmed (kui teada), süüdistatava isiku nimi, vabatekstiväljad, mis tõenäoliselt paljastavad identiteedi, ning kõik isikuandmeid sisaldavad manused.
• Võib säilitada tähtajatult koondkujul: perioodi kohta saabunud teadete arv, kategooria/tüübi järgi jaotus, keskmine aeg kinnituseni, ja tulemuste statistika — ükski neist ei vaja tuvastamist võimaldavaid andmeid, et jääda kasulikuks trendiaruandluses või tõendamaks järelevalveasutusele, et kanal toimib.
• Anonüümimine peab olema tõeline, mitte lihtsalt nimevälja eemaldamine, samas kui unikaalne töötaja ID või väga spetsiifiline kirjeldus muudab isiku endiselt tuvastatavaks — kontrollpunkt, mida vihjekanali mõjuhinnang peaks juba seadistamisel kontrollima.

Levinud Säilitamisvead, Mis Ohustavad Auditit

• "Juhtum suletud" käsitlemine kui "kustuta kõik kohe" — kontrollimata, kas seotud töö- või tsiviilõiguslike nõuete riiklik aegumistähtaeg alles kestab, mis võib organisatsiooni ohtu seada, kui hiljem on vaja tõendit, mida enam ei eksisteeri.
• Kirjaliku säilitamiskalendri täielik puudumine, jättes otsuse selle hooleks, kes juhtumit sel nädalal juhtub menetlema — ebajärjekindel säilitamine juhtumite lõikes on iseenesest tähelepanek, mille audiitor esile toob.
• Kirjalik kalender, mida tegelikult ei rakendata — vanad juhtumid jäävad süsteemi aastaid pärast dokumenteeritud säilitamisaega, kuna keegi ei vastuta kustutamisetapi eest.
• Aktiivse õigusliku säilitamiskohustusega seotud andmete kustutamine, kuna üldine säilitamisreegel käivitus automaatselt, hävitades tõendid, mida kohus või järelevalveasutus hiljem küsib.

Kuidas Vaelo Seda Lahendab

Säilitamispoliitika on nii hea, kui hea on selle rakendamine, ja just seal kipub kirjalik kalender praktikas kõige rohkem läbi kukkuma — keegi ei mäleta tegutseda, kui juhtum on juba aastane. Vaelo juhtumihalduse töölaud võimaldab vastavusmeeskondadel määrata igale juhtumile selle sulgemisel säilitamisraja (tulemusteta, distsiplinaartulemus, või õiguslik säilitamiskohustus) ning märgib seejärel automaatselt juhtumid, mis lähenevad oma dokumenteeritud kustutamiskuupäevale, nii et miski ei jää kogemata põhjendatud säilitamisajast kauemaks alles. Õiguslikke säilitamiskohustusi saab rakendada juhtumipõhiselt, et tühistada vaikimisi tähtaeg ilma vajaduseta meeles pidada, millised juhtumid on erandiks, ning kui säilitamisaeg tegelikult lõpeb, saab tuvastamist võimaldavad väljad kustutada, samas kui vastavusaruandluseks ja auditijälgedeks vajalik anonüümitud statistika jääb täielikult puutumatuks.

Korduma kippuvad küsimused

Kas vihjeteadete säilitamiseks on seadusega ette nähtud kindel aastate arv? Kogu ELi hõlmavat ühtset arvu ei ole. Direktiivi artikkel 18 nõuab, et andmeid säilitatakse "ainult nii kaua, kui on vajalik ja proportsionaalne", ning GDPR-i säilitamise piiramise põhimõte kohaldab sama standardit vihjeteates sisalduvatele isikuandmetele — tegelik kestus sõltub juhtumi tulemusest ning kohaldatavast riiklikust ülevõtmisõigusest või aegumistähtaegadest.

Kas tulemusteta vihjeteated tuleks kustutada kohe pärast juhtumi lõpetamist? Mitte kohe, kuid üldjuhul varem kui kinnitatud tulemusega juhtumid — peab mööduma piisavalt aega tõendamaks, et vihjeteadet menetleti nõuetekohaselt (tavaliselt mõni kuu kuni umbes kaks aastat), pärast mida ei ole tuvastamist võimaldavate andmete säilitamisel üldjuhul enam õiguslikku alust.

Mis saab vihjeteadetest, mis on seotud kohtuasja või järelevalvemenetlusega? Need tuleks panna õigusliku säilitamiskohustuse ("legal hold") alla, mis peatab vaikimisi säilitamiskalendri kuni menetluse — ja mis tahes edasikaebetähtaja — lõppemiseni, kuna aktiivse vaidlusega seotud tõendite kustutamine võib organisatsiooni panna eraldiseisvasse õiguslikku riski.

Kas saame säilitada vihjeteadete statistikat pärast aluseks olevate juhtumiandmete kustutamist? Jah — koondatud, mitteidentifitseerivat statistikat (teadete maht, kategooriad, keskmine vastamisaeg) võib säilitada tähtajatult vastavusaruandluse ja trendianalüüsi jaoks, kui üksikjuhtumi tuvastamist võimaldavad andmed on kustutatud või anonüümitud.