W każdej firmie spotykamy się bowiem z podejściem, zgodnie z którym „zachowajmy te dokumenty jeszcze przez chwilę, w końcu mogą się przydać". Z drugiej jednak strony przedsiębiorcy mają coraz większą świadomość tego, że przepisy RODO nałożyły na nich obowiązek cyklicznego usuwania niepotrzebnych danych.
Retencja danych – co to jest?
Artykuł 5 ustęp 1 litera e RODO nakłada na każdego przedsiębiorcę obowiązek przechowy-wania danych osobowych przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych z zastrzeżeniem, że wdrożone zostaną odpowiednie środki techniczne i organizacyjne w celu ochrony praw i wolności osób, których dane dotyczą.
Zasada ograniczonego przechowywania danych osobowych nakłada więc na każdego przedsiębiorcę obowiązek okresowej weryfikacji, czy jest on w stanie wykazać dalsze istnienie celu uzasadniającego przechowywanie danych osobowych. Każda kategoria danych osobowych powinna więc mieć określony z góry okres ich przechowywania. Okres ten zależny jest od celu, w jakim dane osobowe są przetwarzane.
RODO, podobnie jak w wielu innych miejscach, nie określa tych terminów w sposób precyzyjny, odwołując się do przesłanki posiadania celu przetwarzania. W tym zakresie inny więc będzie termin przechowywania danych osobowych pracowników, inny osób rekrutowanych czy klientów, jeszcze zaś inny w zakresie danych osobowych w księdze gości prowadzonej w sekretariacie firmy.
Gdzie więc szukać wskazówek, kiedy usunąć dane osobowe?
W pierwszej kolejności należałoby odwołać się do przepisów prawa. Często nakładają one bowiem na przedsiębiorców obowiązki przechowywania dokumentacji przez dany okres. Przykładem mogą być tutaj przepisy prawa dotyczące przechowywania akt pracowniczych, czy zapisów nagrań z monitoringu wizyjnego. Okres przechowywania danych osobowych często wynikać może także z przepisów dotyczących przedawnienia roszczeń. Tak długo bo-wiem, jak okres przedawnienia nie upłynął, przedsiębiorca ma cel w pozostawieniu doku-mentacji i przetwarzania w ten sposób danych osobowych. Zaznaczyć trzeba, że chodzi tu zarówno o potencjalne roszczenia samego przedsiębiorcy, jak i roszczenia, które mogą zostać zgłoszone przeciwko niemu (np. wynikające z obowiązków podatkowych względem organów państwowych).
