Pranešimų Duomenų Saugojimas: Kiek Laiko Saugoti ir Kada Ištrinti

Nėra vieno teisinio saugojimo termino pranešimams — kiek laiko saugoti pranešimą, priklauso nuo jo baigties, o ne nuo fiksuoto metų skaičiaus. Pranešimui, uždarytam be tolesnių veiksmų, reikalingas kitoks (paprastai trumpesnis) saugojimo terminas nei tam, kuris lėmė drausminę procedūrą arba dar teisme nagrinėjamą bylą.

Pagrindinės išvados

• Nėra vieno visiems tinkančio saugojimo termino pranešimų duomenims — teisinga trukmė priklauso nuo bylos baigties (jokių veiksmų, vidinė drausminė procedūra, arba vykstantis teismo procesas).
• Direktyvos (ES) 2019/1937 18 straipsnis reikalauja, kad pranešimų įrašai būtų saugomi tik "tiek, kiek būtina ir proporcinga", o BDAR 5 straipsnio 1 dalies e punktas prideda bendrąjį saugojimo apribojimo principą, taikomą bet kokiems asmens duomenims, surinktiems per kanalą.
• Praktiniame saugojimo kalendoriuje yra bent trys kryptys: pranešimai, uždaryti be pažeidimų nustatymo, pranešimai, lėmę patvirtintą drausminę baigtį, ir pranešimai, susiję su aktyviu ar numatomu ginču.
• Kai saugojimo terminas baigiasi, identifikuojanti informacija (vardai, kontaktiniai duomenys, laisvo teksto aprašymai, atskleidžiantys tapatybę) turėtų būti ištrinti arba negrįžtamai anonimizuoti — tačiau apibendrinta statistika, naudojama atitikties ataskaitoms, gali būti saugoma neribotą laiką.
• Dažniausia saugojimo klaida yra ne politikos nebuvimas, o jos nesilaikymas: rašytinis grafikas, kurio niekas iš tikrųjų nesilaiko, yra pirmas dalykas, kurį pastebės auditorius.

Ką Iš Tiesų Reikalauja Direktyva ir BDAR Dėl Saugojimo

Informatorių apsaugos direktyvos 18 straipsnis reikalauja, kad pranešimų įrašai būtų saugomi "tik tiek, kiek būtina ir proporcinga", siekiant laikytis pačios direktyvos nustatytų reikalavimų — ji sąmoningai vengia nustatyti konkretų metų skaičių, palikdama šį sprendimą organizacijai ir nacionaliniam perkėlimo įstatymui. Be to, BDAR 5 straipsnio 1 dalies e punktas — saugojimo apribojimo principas — reikalauja, kad visi per kanalą tvarkomi asmens duomenys (pranešėjo vardas, jei jis nusprendė identifikuotis, duomenys apie asmenį, dėl kurio pranešta, liudytojų parodymai) būtų saugomi "ne ilgiau, nei tai yra būtina tais tikslais, kuriais asmens duomenys yra tvarkomi".

Kartu skaitant, šios dvi nuostatos reiškia, kad pranešimų platforma negali tiesiog saugoti kiekvieno pranešimo amžinai "dėl viso pikto", tačiau ji taip pat negali visko ištrinti, vos uždarius bylą, jei vis dar galioja susijusių teisinių reikalavimų senaties terminas. Saugojimo terminas turi būti susietas su dokumentuotu tikslu — ir šis tikslas keičiasi priklausomai nuo to, kas nutiko su pranešimu.

Kiek Laiko Saugoti Kiekvieną Bylos Tipą

Vietoj vieno skaičiaus, ginamas saugojimo kalendorius kiekvienai baigčiai priskiria skirtingą terminą:

1. Pranešimai, uždaryti be pažeidimų nustatymo arba atšaukti pranešėjo. Šie paprastai pateisina trumpiausią saugojimą — pakanka laiko įrodyti, kad pranešimas buvo tinkamai išnagrinėtas (paprastai nuo kelių mėnesių iki maždaug dvejų metų), po to identifikuojantys duomenys turėtų būti ištrinti, nes paprastai jau nebelieka teisinio pagrindo juos saugoti.
2. Pranešimai, lėmę patvirtintą drausminį ar taisomąjį veiksmą. Šiuos paprastai reikia saugoti tiek, kiek pagal nacionalinę darbo teisę saugoma susijusi darbo ar drausminė byla, nes pranešimas dabar yra įrodymas, patvirtinantis šį veiksmą — dažnai kelerius metus, suderinus su taikomu senaties terminu drausminio sprendimo ginčijimui.
3. Pranešimai, susiję su aktyviais tyrimais, teisminiais ginčais ar reguliavimo institucijų procedūromis. Šie turi būti saugomi tol, kol tęsiasi procesas, plius bet koks taikomas apeliacijos terminas — "teisinis saugojimo įpareigojimas", kuris pakeičia numatytąjį grafiką ir turėtų būti aiškiai pažymėtas bylos dokumentuose, kad niekas nebūtų ištrinta per anksti.

Šių trijų krypčių dokumentavimas — kartu su įvykiu, kuris paleidžia kiekvieną terminą — paverčia neaiškų teiginį, pavyzdžiui, "mes ištriname duomenis, kai jų nebereikia", ginamos politikos, kurią reguliuotojas ar auditorius gali iš tikrųjų patikrinti.

Ką Ištrinti (ir Kas Gali Likti), Kai Baigiasi Saugojimo Terminas

Kai baigiasi saugojimo terminas, tikslas yra pašalinti tai, kas identifikuoja asmenis, kartu išsaugant tai, ko organizacijai teisėtai reikia atitikties priežiūrai:

• Ištrinti arba negrįžtamai anonimizuoti: pranešėjo vardą ir kontaktinius duomenis (jei žinomi), asmens, dėl kurio pranešta, vardą, laisvo teksto laukus, kurie gali atskleisti tapatybę, ir bet kokius priedus su asmens duomenimis.
• Gali būti saugoma neribotą laiką, apibendrinta forma: per laikotarpį gautų pranešimų skaičius, suskirstymas pagal kategoriją/tipą, vidutinis laikas iki patvirtinimo, ir baigties statistika — nė vienam iš jų nereikia identifikuojančių duomenų, kad liktų naudingi tendencijų ataskaitoms arba įrodant reguliuotojui, kad kanalas veikia.
• Anonimizavimas turi būti tikras, o ne vien vardo lauko pašalinimas, kai unikalus darbuotojo ID ar labai konkretus pasakojimas vis dar leidžia asmenį atpažinti — kontrolinis punktas, kurį pranešimų kanalo DPIA jau turėtų patikrinti diegimo etape.

Dažnos Saugojimo Klaidos, Keliančios Grėsmę Auditui

• "Byla uždaryta" traktavimas kaip "iškart viską ištrinti" — nepatikrinus, ar vis dar galioja nacionalinis senaties terminas susijusiems darbo ar civiliniams reikalavimams, o tai gali kelti riziką organizacijai, jei vėliau prireiks įrodymo, kurio nebėra.
• Visiškas rašytinio saugojimo kalendoriaus nebuvimas, paliekant sprendimą tam, kas tą savaitę atsitiktinai tvarko bylą — nenuoseklus saugojimas tarp bylų savaime yra pastebėjimas, kurį auditorius atkreips dėmesį.
• Rašytinis grafikas, kuris iš tikrųjų nėra vykdomas — senos bylos, likusios sistemoje metų metus po dokumentuoto saugojimo termino, nes niekas neatsako už ištrynimo žingsnį.
• Duomenų, susijusių su aktyviu teisiniu saugojimo įpareigojimu, ištrynimas, nes automatiškai suveikė bendra saugojimo taisyklė, sunaikinant įrodymus, kurių vėliau pareikalaus teismas ar reguliuotojas.

Kaip Vaelo Tai Sprendžia

Saugojimo politika yra tik tiek gera, kiek gera jos vykdymo priežiūra, ir būtent čia rašytinis grafikas praktikoje dažniausiai žlunga — niekas neprisimena imtis veiksmų, kai byla jau metų senumo. „Vaelo“ bylų valdymo skydelis leidžia atitikties komandoms bylos uždarymo metu priskirti kiekvienai bylai saugojimo kryptį (jokių pažeidimų, drausminė baigtis, ar teisinis saugojimo įpareigojimas), o tada automatiškai pažymi bylas, artėjančias prie dokumentuotos ištrynimo datos, kad niekas netyčia neliktų ilgiau nei pagrįstas saugojimo terminas. Teisiniai saugojimo įpareigojimai gali būti taikomi kiekvienai bylai atskirai, kad pakeistų numatytąjį terminą, neprivalant atsiminti, kurios bylos yra išimtys, o kai saugojimo terminas iš tikrųjų baigiasi, identifikuojančius laukus galima pašalinti, kol anonimizuota statistika, reikalinga atitikties ataskaitoms ir audito pėdsakams, lieka visiškai nepaliesta.

Dažnai užduodami klausimai

Ar yra įstatyme nustatytas metų skaičius pranešimams saugoti? Nėra vieno skaičiaus, galiojančio visoje ES. Direktyvos 18 straipsnis reikalauja, kad įrašai būtų saugomi "tik tiek, kiek būtina ir proporcinga", o BDAR saugojimo apribojimo principas taiko tą patį standartą pranešime esantiems asmens duomenims — faktinė trukmė priklauso nuo bylos baigties ir nuo taikomo nacionalinio perkėlimo įstatymo ar senaties terminų.

Ar pranešimai be nustatytų pažeidimų turėtų būti ištrinami iškart po uždarymo? Ne iškart, tačiau paprastai anksčiau nei bylos su patvirtinta baigtimi — turi praeiti pakankamai laiko, kad būtų įrodyta, jog pranešimas buvo tinkamai išnagrinėtas (paprastai nuo kelių mėnesių iki maždaug dvejų metų), po to identifikuojančių duomenų saugojimas paprastai nebeturi teisinio pagrindo.

Kas atsitinka su pranešimais, susijusiais su teismo byla ar reguliuojančios institucijos tyrimu? Jie turėtų būti sulaikyti pagal teisinį saugojimo įpareigojimą ("legal hold"), kuris sustabdo numatytąjį saugojimo kalendorių, kol baigsis procesas — ir bet koks apeliacijos terminas — nes įrodymų, susijusių su aktyviu ginču, ištrynimas gali sukelti organizacijai atskirą teisinę riziką.

Ar galime saugoti pranešimų statistiką ištrynę pagrindinius bylos duomenis? Taip — apibendrinta, neidentifikuojanti statistika (pranešimų kiekis, kategorijos, vidutinis atsakymo laikas) gali būti saugoma neribotą laiką atitikties ataskaitoms ir tendencijų analizei, kai tik atskiros bylos identifikuojantys duomenys yra ištrinti arba anonimizuoti.