Čuvanje Podataka o Prijavama: Koliko Dugo Čuvati i Kada Izbrisati

Ne postoji jedinstveno zakonsko razdoblje čuvanja za prijave — koliko dugo čuvati prijavu ovisi o njezinom ishodu, a ne o fiksnom broju godina. Prijava zatvorena bez daljnjeg postupanja zahtijeva drugačije (obično kraće) razdoblje čuvanja od one koja je dovela do disciplinskog postupka ili sudskog spora koji je još u tijeku.

Ključne poruke

• Ne postoji univerzalno razdoblje čuvanja za podatke o prijavama — ispravno trajanje ovisi o ishodu slučaja (bez daljnjeg postupanja, interni disciplinski postupak, ili sudski postupak u tijeku).
• Članak 18. Direktive (EU) 2019/1937 zahtijeva da se evidencije prijava čuvaju samo "onoliko dugo koliko je potrebno i razmjerno", dok članak 5. stavak 1. točka (e) GDPR-a dodaje opće načelo ograničenja pohrane koje se primjenjuje na sve osobne podatke prikupljene putem kanala.
• Praktični kalendar čuvanja ima najmanje tri toka: prijave zatvorene bez nalaza, prijave koje su dovele do potvrđenog disciplinskog ishoda, i prijave povezane s aktivnim ili očekivanim sporom.
• Kada razdoblje čuvanja istekne, identifikacijski podaci (imena, kontaktni podaci, opisi u slobodnom tekstu koji otkrivaju identitet) trebaju se izbrisati ili nepovratno anonimizirati — no zbirne statistike koje se koriste za izvještavanje o usklađenosti mogu se čuvati neograničeno.
• Najčešća pogreška u čuvanju nije nepostojanje politike, već njezino neprovođenje: pisani raspored koji nitko zapravo ne provodi prvo je što će revizor uočiti.

Što Direktiva i GDPR Doista Zahtijevaju o Čuvanju

Članak 18. Direktive o zaštiti zviždača zahtijeva da se evidencije prijava čuvaju "samo onoliko dugo koliko je potrebno i razmjerno" radi usklađenosti sa zahtjevima koje nameće sama direktiva — namjerno izbjegava određivanje fiksnog broja godina, prepuštajući tu prosudbu organizaciji i nacionalnom zakonu o prenošenju. Uz to, članak 5. stavak 1. točka (e) GDPR-a — načelo ograničenja pohrane — zahtijeva da se svi osobni podaci obrađeni putem kanala (ime prijavitelja ako je odabrao otkriti identitet, podaci o prijavljenoj osobi, izjave svjedoka) čuvaju "u obliku koji omogućuje identifikaciju ispitanika samo onoliko dugo koliko je potrebno u svrhe radi kojih se osobni podaci obrađuju".

Zajedno, ove dvije odredbe znače da platforma za prijave ne može jednostavno čuvati svaku prijavu zauvijek "za svaki slučaj", niti može izbrisati sve odmah nakon zatvaranja slučaja ako još uvijek teče zastarni rok za povezane pravne zahtjeve. Razdoblje čuvanja mora biti vezano uz dokumentiranu svrhu — a ta se svrha mijenja ovisno o tome što se dogodilo s prijavom.

Koliko Dugo Čuvati Svaku Vrstu Slučaja

Umjesto jednog broja, obranjiv kalendar čuvanja dodjeljuje različit rok svakom ishodu:

1. Prijave zatvorene bez nalaza ili povučene od strane prijavitelja. Ove obično opravdavaju najkraće čuvanje — dovoljno vremena da se pokaže da je prijava pravilno obrađena (obično nekoliko mjeseci do otprilike dvije godine), nakon čega bi identifikacijske podatke trebalo izbrisati jer obično više nema pravne osnove za njihovo čuvanje.
2. Prijave koje su dovele do potvrđene disciplinske ili korektivne mjere. Ove se obično moraju čuvati onoliko dugo koliko se čuva pripadajući radni ili disciplinski spis prema nacionalnom radnom pravu, budući da prijava sada služi kao dokaz koji podupire tu mjeru — često nekoliko godina, usklađeno s primjenjivim zastarnim rokom za osporavanje disciplinske odluke.
3. Prijave povezane s aktivnim istragama, sporovima ili regulatornim postupcima. Ove se moraju čuvati tijekom trajanja postupka plus svaki primjenjivi rok za žalbu — "pravno zadržavanje" koje nadjačava zadani raspored i treba biti izričito označeno u spisu slučaja kako se ništa ne bi prerano izbrisalo.

Dokumentiranje ovih triju tokova — s događajem koji pokreće svaki rok — pretvara nejasnu izjavu poput "brišemo podatke kada više nisu potrebni" u obranjivu politiku koju regulator ili revizor doista može provjeriti.

Što Izbrisati (a Što Može Ostati) Kada Istekne Razdoblje Čuvanja

Kada razdoblje čuvanja istekne, cilj je ukloniti ono što identificira ljude, a zadržati ono što je organizaciji legitimno potrebno za nadzor usklađenosti:

• Izbrisati ili nepovratno anonimizirati: ime i kontaktne podatke prijavitelja (ako su poznati), ime prijavljene osobe, polja slobodnog teksta koja vjerojatno otkrivaju identitet, i sve privitke s osobnim podacima.
• Može se čuvati neograničeno, u zbirnom obliku: broj primljenih prijava po razdoblju, raščlambe po kategoriji/vrsti, prosječno vrijeme do potvrde primitka, i statistike ishoda — ništa od toga ne zahtijeva identifikacijske podatke da bi ostalo korisno za izvještavanje o trendovima ili za dokazivanje regulatoru da kanal funkcionira.
• Anonimizacija mora biti stvarna, a ne samo uklanjanje polja imena dok jedinstveni ID zaposlenika ili vrlo specifičan opis i dalje čini osobu ponovno prepoznatljivom — kontrolna točka koju bi DPIA za kanal za prijave već trebala provjeravati u fazi postavljanja.

Česte Pogreške u Čuvanju Koje Ugrožavaju Reviziju

• Tretiranje "slučaj zatvoren" kao "odmah izbriši sve" — bez provjere teče li još uvijek nacionalni zastarni rok za povezane radne ili građanske zahtjeve, što može izložiti organizaciju ako je dokaz kasnije potreban, a više ne postoji.
• Uopće nema pisanog kalendara čuvanja, prepuštajući odluku onome tko slučajno obrađuje slučaj tog tjedna — nedosljedno čuvanje među slučajevima samo je po sebi nalaz koji će revizor uočiti.
• Pisani raspored koji se zapravo ne provodi — stari slučajevi ostaju u sustavu godinama nakon dokumentiranog razdoblja čuvanja jer nitko nije odgovoran za korak brisanja.
• Brisanje podataka povezanih s aktivnim pravnim zadržavanjem jer se generičko pravilo čuvanja automatski aktiviralo, uništavajući dokaze koje će sud ili regulator kasnije zatražiti.

Kako Vaelo Rješava Ovo

Politika čuvanja vrijedi onoliko koliko vrijedi njezina provedba, a upravo je tu gdje pisani raspored u praksi najčešće zakaže — nitko se ne sjeti djelovati kada slučaj već ima godinu dana. Nadzorna ploča za upravljanje slučajevima tvrtke Vaelo omogućuje timovima za usklađenost da pri zatvaranju svakom slučaju dodijele put čuvanja (bez nalaza, disciplinski ishod, ili pravno zadržavanje), a zatim automatski označava slučajeve koji se približavaju dokumentiranom datumu brisanja, tako da ništa slučajno ne ostane nakon opravdanog razdoblja čuvanja. Pravna zadržavanja mogu se primijeniti po slučaju kako bi nadjačala zadani rok bez potrebe pamćenja koji su slučajevi izuzeti, a kada razdoblje čuvanja doista istekne, identifikacijska polja mogu se ukloniti dok anonimizirane statistike potrebne za izvještavanje o usklađenosti i revizijske tragove ostaju potpuno netaknute.

Često postavljana pitanja

Postoji li zakonski propisan broj godina za čuvanje prijava? Ne postoji jedinstvena brojka koja vrijedi u cijeloj EU. Članak 18. direktive zahtijeva da se evidencije čuvaju „samo onoliko dugo koliko je potrebno i razmjerno“, a načelo ograničenja pohrane GDPR-a primjenjuje isti standard na osobne podatke u prijavi — stvarno trajanje ovisi o ishodu slučaja i o primjenjivom nacionalnom zakonu o prenošenju ili zastarnim rokovima.

Trebaju li se prijave bez utvrđenih nalaza izbrisati odmah nakon zatvaranja? Ne odmah, ali općenito ranije nego slučajevi s potvrđenim ishodom — mora proći dovoljno vremena kako bi se dokazalo da je prijava pravilno obrađena (obično nekoliko mjeseci do otprilike dvije godine), nakon čega čuvanje identifikacijskih podataka obično više nema pravnu osnovu.

Što se događa s prijavama povezanima sa sudskim postupkom ili regulatornom istragom? One trebaju biti stavljene pod pravno zadržavanje ("legal hold") koje suspendira zadani kalendar čuvanja do zaključenja postupka — i svakog roka za žalbu — jer brisanje dokaza povezanih s aktivnim sporom može izložiti organizaciju zasebnom pravnom riziku.

Možemo li zadržati statistiku prijava nakon brisanja temeljnih podataka slučaja? Da — zbirna, neidentificirajuća statistika (obujam prijava, kategorije, prosječno vrijeme odgovora) može se čuvati neograničeno za potrebe izvještavanja o usklađenosti i analize trendova, nakon što se identifikacijski podaci pojedinačnog slučaja izbrišu ili anonimiziraju.