Daugumai duomenų, kuriuos tvarko įprasta organizacija, konkretaus saugojimo termino įstatyme nėra. Yra principas: BDAR 5 str. reikalauja saugoti duomenis ne ilgiau, nei reikia tikslams, dėl kurių jie tvarkomi. Terminą nustato pati organizacija, ir ji turi mokėti paaiškinti, kodėl būtent tiek.
Tai nėra spraga. Tai yra pareiga nuspręsti ir tą sprendimą užrašyti — BDAR 30 str. 1 d. f p. reikalauja, kai įmanoma, saugojimo terminus nurodyti duomenų tvarkymo veiklos įrašuose, o BDAR 13 str. 2 d. a p. — pasakyti juos žmogui informavimo pranešime.
Žemiau yra keli terminų pavyzdžiai ir klaida, kurią verta patikrinti pirmiausia.
Telefoninių pokalbių įrašai — paprastai 6 mėnesiai
Klientų aptarnavimo ar pardavimo pokalbių įrašams įprastas terminas yra šeši mėnesiai. Jis pakankamas ginčui dėl užsakymo ar paslaugos išspręsti ir nepakankamai ilgas, kad įrašai taptų atskiru duomenų kalnu.
Svarbiausia šio punkto dalis yra ne skaičius, o vykdymas: turi būti užtikrintas automatinis ištrynimas, nebent priimtas atskiras sprendimas konkretų įrašą saugoti ilgiau.
Automatinis ištrynimas yra ta dalis, kurią lengviausia praleisti. Terminas surašytas dokumente, o įrašai guli tol, kol užsipildo diskas. Per patikrą ar per duomenų subjekto prašymą tai išaiškėja per vieną klausimą: parodykite, kur nustatytas automatinis trynimas. Jei atsakymas yra „tvarkos apraše”, tai reiškia, kad jo nėra.
Jei sistema automatinio trynimo neturi, teisingas sprendimas nėra ilgesnis terminas. Teisingas sprendimas yra kalendoriuje pažymėta data ir žmogus, kuris tą dieną trina rankomis.
Paslaugų sutartys — 10 metų po sutarties pasibaigimo
Sutartims ir su jomis susijusiems dokumentams įprastas terminas yra dešimt metų nuo sutarties pasibaigimo. Šis terminas kyla ne iš duomenų apsaugos, o iš to, kiek laiko sutartis gali būti reikšminga ginče ir apskaitoje.
Praktinė pastaba: terminas skaičiuojamas nuo sutarties pasibaigimo, o ne nuo jos sudarymo. Dešimt metų trukusi sutartis reiškia, kad jos dokumentai saugomi dvidešimt.
Vaizdo įrašai — trumpas terminas, pavyzdžiui, iki 30 parų
Vaizdo stebėjimo įrašams nustatomas trumpas terminas, pavyzdžiui, iki 30 parų. Išimtis yra konkretus įrašas, užfiksavęs įvykį: jis išsaugomas atskirai, su data ir priežastimi, ir toliau gyvena savo terminu, susietu su incidento tyrimu.
Galima ir priešinga klaida: po incidento visa sistema perjungiama į ilgesnį saugojimą „dėl viso pikto”. Taip vienas įvykis pakeičia terminą visiems, kas praėjo pro kamerą.
Kai terminą grindžiate teisėtu interesu
Dalis terminų kyla tiesiai iš įstatymo — apskaitos dokumentams, darbo santykių dokumentams. Kita dalis kyla iš organizacijos sprendimo, dažniausiai remiantis teisėtu interesu pagal BDAR 6 str. 1 d. f p.
Kai terminas grindžiamas teisėtu interesu, o ne įstatymu, jį reikia pagrįsti raštu. Užtenka kelių sakinių: koks interesas, kodėl būtent tiek laiko, kodėl trumpesnio termino nepakanka.
Priežastis praktinė. Klausimas „kodėl būtent tiek” ateina ne per patikrą. Jis ateina per duomenų subjekto paklausimą, pavyzdžiui, iš žmogaus, kuris jau nepatenkintas, ir atsakyti į jį reikia per terminą. Iš anksto parašyta pastraipa tada yra atsakymas. Jos nesant, atsakymą tenka rašyti skubomis, ir jis gali skambėti kaip pasiteisinimas.
Didžiausia klaida: terminas, kurio niekas nevykdo
Didžiausia praktinė klaida yra ne per ilgas ir ne per trumpas terminas.
Organizacija terminus surašo į privatumo politiką ir į tvarkymo veiklos įrašus, dokumentai atrodo tvarkingi, ir niekas netikrina, ar jie realiai taikomi. CV iš seniai pasibaigusios atrankos guli el. pašto priede. Klientų sąrašas iš senos sistemos, kurios nebenaudoja niekas, tebeguli serveryje.
Terminas, kurio niekas nevykdo, yra blogiau nei jo nebuvimas. Jis yra užrašytas pažadas, kurio nesilaikoma, ir jis padarytas raštu — žmogui, institucijai ir sau patiems.
Tai reiškia paprastą dalyką: prieš rašant naujus terminus verta patikrinti, ar vykdomi jau surašytieji.
Keturi žingsniai, kurie šitą uždaro
- surašyti terminus duomenų tvarkymo veiklos įrašuose, kiekvienai tvarkymo veiklai atskirai;
- nurodyti juos informavimo pranešime, kad žmogus juos matytų be prašymo;
- paskirti, kas ir kada trina — vardu, o ne pareigybe apskritai;
- kartą per metus patikrinti, ar trinama, ir tą patikrinimą užrašyti.
Ketvirtas žingsnis yra tas, kuris paverčia pirmus tris tikrove. Jis užtrunka pusdienį per metus.
Kaip pradėti
Jei norite, kad kas nors pažiūrėtų, ar jūsų surašyti terminai realiai taikomi, pradėkite nuo nemokamo įvertinimo: atsiųskite savo privatumo politiką arba tvarkymo veiklos įrašus ir parašykite, kokias sistemas naudojate. Atsakysime, kurie terminai neturi vykdymo mechanizmo.
Praktinis žingsnis po žingsnio vadovas yra Linden kuriamoje Privacio svetainėje: Kaip nustatyti saugojimo terminą, kai jo nenurodo įstatymas?. Ten pat galite pasitikrinti, ar Jūsų organizacijai privalomas tvarkymo veiklų registras: Privacio įrankis.
El. paštas info@linden.lt
Plačiau apie šią paslaugą: BDAR auditas, atitikties dokumentai ir konsultacijos.