Source: https://przewodnikporodo.pl/article/komentarze-eksperckie/systemy-informatyczne/zasady-brakowania-i-archiwizacji-danych-osobowych/
Timestamp: 2018-09-23 15:59:47
Legal References Found: art. 17
 art. 76
 art. 18
 art. 17
 art. 6
 art. 9

Document Content:
Zasady brakowania i archiwizacji danych osobowych - Portal Przewodnik po RODO
Skoro RODO nie definiuje, czym jest usuwanie danych, wydaje się, że można posłużyć się dawną polską ustawą o ochronie danych osobowych, w której przez usunięcie danych rozumiało się „zniszczenie danych osobowych lub taką ich modyfikację, która nie pozwoli na ustalenie tożsamości osoby, której dane dotyczą”.
Wszystkie sytuacje, w których należy usuwać dane osobowe, rozporządzenie wymienia w art. 17. Ciekawe, że w większości nie wprowadza się nowych zasad usuwania danych osobowych, a raczej w tym artykule powtarza się te,
które zostały określone przez inne zapisy rozporządzenia. Przykładowo, możliwość żądania usunięcia danych przetwarzanych niezgodnie z prawem jest w zasadzie oczywistością – administrator nawet bez żądania nie ma prawa takich danych przetwarzać i powinien je usunąć sam, z własnej inicjatywy. Podobnie ma się rzecz z danymi, które nie są już niezbędne do celu przetwarzania, w jakim zostały zebrane – administrator danych zobowiązany jest takie dane usunąć, nie czekając na żądanie osoby, której dane dotyczą. W zasadzie jedynym nowym prawem jest możliwość żądania usunięcia danych, gdy „zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego”.
Dwa przypadki usuwania danych będą najczęściej występować u administratorów danych:
· dane osobowe przestały być niezbędne do celów, w których zostały zebrane (art. 17 ust. 1 lit a),
· dane były przetwarzane na podstawie zgody, która została odwołana (art. 17 ust. 1 lit b).
Oba przypadki mogą zostać „zmodyfikowane” przez sytuację, gdy dane mogą być niezbędne do „ustalenia, dochodzenia lub obrony roszczeń” (art. 17 ust. 3 lit e) oraz gdy dane trzeba przetwarzać, aby zapewnić zgodność z prawem (art. 17 ust. 3 lit b).
Kiedy usuwać dane
Jeśli dane przetwarzane są w celu realizacji umowy, to cel „w którym dane zostały zebrane lub w inny sposób przetwarzane” kończy się wraz z zakończeniem umowy. Jednak jeszcze w wielu przypadkach dane będą przetwarzane
po zakończeniu umowy.
Przykładowo, ustawa z dnia 29 września 1994 r. o rachunkowości (art. 74) wymaga, aby większość dokumentów księgowych przechowywana była przez 5 lat, licząc od początku roku następującego po roku obrotowym, którego dane dotyczą, czyli maksymalnie do 6 lat. Również do 6 lat będzie trzeba przechowywać dane osobowe, jeśli w grę wchodzą transakcje dokonywane przez klientów. Na podstawie ustawy z dnia 16 listopada 2000 r. o przeciwdziałaniu praniu pieniędzy oraz finansowaniu terroryzmu (art. 8a ust. 2):
„1. Instytucje obowiązane prowadzą bieżącą analizę przeprowadzanych transakcji. Wyniki analiz powinny być dokumentowane w formie papierowej lub elektronicznej.
2. Wyniki analiz przechowywane są przez okres 5 lat, licząc od pierwszego dnia roku następującego po roku, w którym zostały przeprowadzone. W przypadku likwidacji, połączenia, podziału oraz przekształcenia instytucji obowiązanej do przechowywania dokumentacji stosuje się odpowiednio przepisy art. 76 ustawy z dnia 29 września 1994 r. o rachunkowości”.
Zapisy tej ustawy dotyczą głównie instytucji finansowych, w tym biur rachunkowych, ale dotyczą także przedsiębiorców, o ile przyjmują płatności za towary w gotówce o wartości równej lub przekraczającej równowartość 15 tys. EUR, również gdy należność za określony towar jest dokonywana w drodze więcej niż jednej operacji.
Dane w zakresie uzasadnionym ze względu na ewentualny spór z tytułu niewykonania lub nienależytego wykonania umowy mogą być przechowywane do czasu wygaśnięcia roszczeń z tytułu umowy. W działalności gospodarczej będą to najczęściej 3 lata (art. 118 Kodeksu cywilnego):
Jak widać, czas przechowywania danych osobowych można podzielić na:
· aktywne przetwarzanie (w celu, w którym zostały zebrane),
· bierne przetwarzanie (przechowywanie i używanie tylko w sytuacji przymusu).
Jak ograniczać przetwarzanie danych
Słownik języka polskiego definiuje termin „archiwum”: „uporządkowany zbiór dokumentów, akt lub informacji zapisanych na innych nośnikach (np. kase­tach, dyskach), niesłużących bieżącemu użytkowi, ale mogących okazać się ważne współcześnie”. Przenosząc to na grunt danych osobowych, można powiedzieć, że dane zarchiwizowane, to takie dane, które przechowuje się „na wszelki wypadek” lub z innych przyczyn, ale co do zasady tych danych nie używa się.
Przykładowo, w zakładach ubezpieczeń archiwizuje się dokumenty polis ubezpieczeniowych, tj. dokumentom nadaje się numery i przewozi do innej, najczęściej tańszej lokalizacji. Niekiedy dokumenty są skanowane. Kiedy dokument okaże się potrzebny, trzeba go „zamówić”, wówczas archiwum dostarcza go za jakiś czas.
Takie postępowanie odpowiadałoby temu, co zostało określone w motywie 67 RODO:
„Wśród metod pozwalających ograniczyć przetwarzanie danych osobowych mogą się znaleźć między innymi: czasowe przeniesienie wybranych danych osobowych do innego systemu przetwarzania, uniemożliwienie użytkownikom dostępu do wybranych danych lub czasowe usunięcie opublikowanych danych ze strony internetowej. W zautomatyzowanych zbiorach danych przetwarzanie należy zasadniczo ograniczyć środkami technicznymi w taki sposób, by dane osobowe nie podlegały dalszemu przetwarzaniu ani nie mogły być zmieniane. Fakt ograniczenia przetwarzania danych osobowych należy wyraźnie zaznaczyć w systemie”.
Natomiast definicja ograniczenia przetwarzania została zawężona do wspomnianego w tym motywie „zaznaczenia”: „ograniczenie przetwarzania” oznacza oznaczenie przechowywanych danych osobowych w celu ograniczenia ich przyszłego przetwarzania.
Ograniczenie przechowywania opisane jest w art. 18. Należy je stosować, gdy:
osoba kwestionuje prawidłowość danych (na czas sprawdzenia, czy rzeczywiście są nieprawidłowe);
dane przetwarzane są wbrew prawu, ale osoba nie chce, aby usunąć dane, które powinny zostać usunięte,
gdyż mają nielegalny charakter;
dane w zasadzie mogą zostać usunięte, ale osoba potrzebuje ich w celu ustalenia, dochodzenia lub obrony roszczeń;
dane przetwarzane są „w prawnie uzasadnionych interesach” administratora lub innej strony, a osoba wniosła
sprzeciw; wówczas przetwarzanie ogranicza się do czasu oceny, co jest ważniejsze – prawnie uzasadnione
interesy czy podstawa sprzeciwu osoby.
Jak widać, prawie nic nie ma w RODO na temat ograniczania przetwarzania w związku z przechowywaniem danych, którego wymaga prawo, zatem samodzielnie trzeba będzie ocenić, w jakich przypadkach trzeba będzie je stosować. Pewną podpowiedzią mogą być zapisy art. 17 ust. 1 oraz 3, stanowiące, że:
b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; (...)
3. Ust. 1 i 2 nie mają zastosowania, w zakresie w jakim przetwarzanie jest niezbędne”.
Zatem dane podlegające usunięciu mogą pozostać, a ich przetwarzanie ogranicza się wyłącznie „do ustalenia, dochodzenia lub obrony roszczeń”. Skoro mowa o roszczeniach, dobrze by było ustalić, co się za nimi kryje.
Roszczenie – to w prawie cywilnym prawo podmiotowe, którego treścią jest uprawnienie do żądania od oznaczonej osoby zachowania się w określony sposób. Roszczenia stanowią podstawę funkcjonowania stosunków prawnych pomiędzy osobami prywatnymi (czyli prawa cywilnego). Relacje podmiotów związanych stosunkiem cywilnym najczęściej polegają na ustaleniu, czy i której ze stron przysługuje roszczenie wobec drugiej strony. Ustalenie posiadania roszczenia ma znaczenie w procesie cywilnym, którego celem jest sądowe ustalenie, a następnie przymusowe wykonania roszczenia, bo sprawę wygrywa ten, któremu roszczenie to przysługuje. Można powiedzieć, że bez roszczeń nie istniałby Kodeks cywilny. Przykłady roszczeń:
roszczenie windykacyjne – zwrot długu,
roszczenie o zapłatę,
roszczenie o naprawienie wyrządzonej szkody.
Archiwizacj...
Oprócz wytycznych normy ISO 27001 warto też sięg­nąć do innych dobrych praktyk. Rozwijając aplikacje on-line, aplikacje mobilne, można kierować się wskazówkami przygotowanymi przez organizację OWASP. Dobrze też poznać dziesięć największych ryzyk dla prywatności występujących w aplikacjach oraz kierować się radami przygotowanymi przez Microsoft. Są one bardzo praktyczne i przez ostatnie lata nic nie straciły na swojej aktualności.