Polskie okresy retencji dla małej firmy: tabela, która nie jest przeliczona z prawa brytyjskiego

Kolumna „planowany termin usunięcia" w rejestrze czynności przetwarzania jest tą, którą najczęściej wypełnia się „6 lat" wszędzie, bo tak stało w szablonie ściągniętym z angielskiej strony. W Polsce większość istotnych terminów nie jest kwestią uznania. Wynikają z konkretnych ustaw, są różne dla różnych rodzajów dokumentów, i te ustawy nie są brytyjskie.

Poniżej tabela terminów, które wynikają z przepisów, z podaniem przepisu. Potem to, co zrobić z resztą.

Art. 5 ust. 1 lit. e RODO: dane przechowuje się w formie umożliwiającej identyfikację osoby nie dłużej, niż jest to niezbędne do celów przetwarzania. To zasada ograniczenia przechowywania. Nie podaje żadnej liczby. Liczby biorą się z dwóch miejsc: z przepisów szczególnych, które nakazują przechowywać dokumenty przez określony czas, i z celu przetwarzania, po którego ustaniu dane należy usunąć.

W praktyce dla małej firmy oznacza to trzy grupy: terminy ustawowe, terminy wynikające z przedawnienia roszczeń, i terminy, które ustalasz sam, bo cel wygasł.

Kilka uwag do tabeli. Termin z ustawy o rachunkowości i z Ordynacji podatkowej w praktyce dla tej samej faktury pokrywają się i wychodzą na „pięć pełnych lat po roku, którego dotyczy". Dla dokumentacji pracowniczej granica 2019 roku jest twarda: pracownik zatrudniony w grudniu 2018 ma akta na 50 lat, zatrudniony w styczniu 2019 na 10, chyba że złożysz raporty informacyjne. Termin dla monitoringu jest maksymalny, nie minimalny: możesz nadpisywać nagrania szybciej.

Dla umów z klientami i kontrahentami po zakończeniu umowy zwykle zachowujesz dane przez okres, w którym którakolwiek ze stron mogłaby dochodzić roszczeń. To nie jest obowiązek przechowywania; to jest prawnie uzasadniony interes w obronie przed roszczeniami, i termin bierze się z Kodeksu cywilnego.

Zwyczajowo małe firmy wpisują dla danych klientów „do upływu terminu przedawnienia roszczeń, co do zasady 6 lat od końca roku, w którym umowa się zakończyła". To jest obronne i dopuszczalne, ale rejestr powinien mówić, że to jest powód, a nie przepis nakazujący przechowywanie.

Tu żaden przepis nic nie mówi i to Ty wpisujesz termin wynikający z celu. Kilka typowych:

• Newsletter i marketing na podstawie zgody: do wycofania zgody. Plus krótki okres na wykonanie wycofania i, rozsądnie, dowód, że zgoda była, na wypadek skargi.
• Kandydaci do pracy: do zakończenia rekrutacji, chyba że kandydat zgodził się na udział w przyszłych rekrutacjach; wtedy termin, który sam określisz, na przykład 12 miesięcy. UODO wielokrotnie wskazywał, że bezterminowe trzymanie CV nie ma podstawy.
• Zapytania ze strony, które nie stały się umową: tyle, ile trwa obsługa zapytania, plus krótki okres. Miesiące, nie lata.
• Logi serwera i dane analityczne: tyle, ile potrzebujesz do bezpieczeństwa i statystyki. Dla logów bezpieczeństwa rozsądne są tygodnie do kilku miesięcy.
• Dane w kopiach zapasowych: zgodnie z cyklem kopii, z zapisem w rejestrze, że usunięcie z systemu produkcyjnego następuje w terminie, a kopie wygasają w swoim cyklu.

Zasada dla tej grupy: termin, który potrafisz uzasadnić celem, jest dobry. Termin, który wpisałeś, bo tak było w szablonie, nie jest.

„Do ustalenia" jest lepsze niż zmyślony termin, ale tylko przejściowo. RODO w art. 30 ust. 1 lit. f wymaga terminów „jeżeli jest to możliwe", więc rejestr z pustym polem nie jest błędem formalnym. Jest błędem praktycznym, bo termin, którego nie ma, nie jest wykonywany, a kontrola sprawdza wykonywanie.

Rowpa wypełnia kolumnę retencji z tabeli polskich terminów ustawowych dla czynności, które je mają, i wskazuje, gdzie termin zależy od Twojej decyzji, zamiast wpisywać cokolwiek. Terminy w rejestrze są tymi, które potem trafiają do polityki prywatności i do pakietu dla klienta, więc jedna tabela zasila trzy dokumenty.