Czy powiadamiać Cię o nowych wpisach?

Bądź na bieżąco - z nami nie ominą Cię żadne zmiany w przepisach. Każdy subskrybent otrzyma od nas bonusy - ankietę do badania RODO-świadomości pracowników oraz arkusz oceny wdrożenia RODO.

Zapisz się

Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa, tel. (22) 253 28 18; e-mail: kontakt[AT]lex-artist.pl Dane osobowe przetwarzane będą w celu świadczenia usługi wysyłki newslettera. Przysługuje Pani/Panu prawo do: dostępu do treści danych, sprostowania danych, usunięcia danych, ograniczenia przetwarzania danych, wniesienia sprzeciwu, wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się: tutaj.

Czy usuwanie danych osobowych należy potwierdzać protokołem? #RODOFAQ

Usuwanie to jedna z najczęstszych czynności przetwarzania danych osobowych. Dotyczy ona bowiem wszystkich rodzajów danych, bez wglądu na formę ich zapisu (forma papierowa, elektroniczna).

Usuwanie zostało wprost wskazane w przepisach RODO jako jedna z przykładowych operacji przetwarzania danych (art. 4 pkt. 2 RODO). Przepis ten, obok „usuwania”, odrębnie wymienia także „niszczenie”. Jaka jest między nimi różnica? Przyjmuje się, że „niszczenie”, w przeciwieństwie do „usuwania”, obejmuje także fizyczną destrukcję nośników, na których dane zostały zapisane.

W praktyce, usuwanie / niszczenie danych, najczęściej odbywa się, poprzez np. niszczenie dokumentów w niszczarkach, usuwanie lub nadpisywanie danych w systemach informatycznych, czy też fizyczne niszczenie elektronicznych nośników danych (np. dysków komputerów, urządzeń pendrive, itp.).

Czy usuwanie danych jest konieczne?

Odpowiedź brzmi „tak”. Konieczność usuwania danych wynika z zasady ograniczenia przechowywania, zgodnie z którą, dane osobowe powinny być przechowywane jedynie przez taki okres, jaki jest niezbędny dla osiągnięcia określonego celu przetwarzania (art. 5 ust. 1 lit. e RODO). Zasada ta, ściśle związana jest także z inną z zasad przetwarzania danych – zasadą minimalizacji, z której wynika m.in. obowiązek przetwarzania danych wyłącznie w takim zakresie, jaki jest niezbędny dla osiągniecia określonego celu (art. 5 ust. 1 lit. c RODO).

Przepisy nakładają więc na administratorów obowiązek ograniczania ilości danych oraz okresu ich przechowywania, wyłącznie do niezbędnego minimum. Przykładowo, jeśli administrator zawarł z klientem umowę i usługa, której ta umowa dotyczyła została już wykonana, to może on dalej przechować dane tego klienta, ale tylko o ile będzie to konieczne dla realizacji innych celów przetwarzania, np. wykonania obowiązku prawnego związanego z przechowaniem dokumentacji księgowej i wyłącznie przez taki okres jaki wynika z tych przepisów.

Zasada ograniczenia przechowywania danych pozwala istotnie ograniczyć ilość przetwarzanych danych osobowych i tym samym zminimalizować ryzyko związane z potencjalnym incydentem, do jakiego mogłoby dojść na skutek ich wycieku, np. spowodowanego atakiem hackerskim na bazę danych klientów, czy też omyłkowym ujawnieniem danych w wyniku błędu pracownika.

e-learning RODO

Zminimalizuj ryzyko naruszenia RODO w Twojej organizacji – przeszkól zespół

Zależy Ci na tym aby Twoi pracownicy otrzymali certyfikat i poznali praktyczną wiedzę z zakresu RODO zamiast nużących regułek?

Sprawdź nasze interaktywne szkolenia e-learningowe.

Sprawdź

Jak wykazać usuwanie danych?

Dla administratora, równie ważne jak usuwanie zbędnych danych, jest także wykazanie, że do usunięcia tych danych faktycznie doszło. To bowiem na administratorze, zgodnie z zasadą rozliczalności, spoczywa obowiązek wykazania, że przestrzega on przepisów RODO (art. 5 ust. 2 RODO). Z tego względu, samo stwierdzenie przez administratora że usunął on dane po upływie ustalonych okresów retencji, może nie być wystarczające dla wykazania przed organem nadzorczym, że przestrzegana jest zasada ograniczenia przechowywania danych.

Protokół

Najczęściej dla potwierdzenia usunięcia / zniszczenia danych sporządzane są pisemne protokoły. Protokół taki powinien określać co najmniej: rodzaj danych, metodę niszczenia, datę, a także wskazywać na osobę (osoby) zatwierdzające ten proces.

Co ważne, protokół taki nie musi mieć formy pisemnej, tj. złożenia własnoręcznych podpisów pod dokumentem. Może być zatwierdzany także elektronicznie, np. w drodze komunikacji mailowej. Spisywanie protokołów warto przewidzieć dla masowego niszczenia większej ilości danych (np. zbioru CV otrzymanych w ramach zakończonego procesu rekrutacyjnego, dokumentacji pracowniczej po upływie okresu jej przechowywania), niszczenia nośników z danymi przed utylizacją sprzętu (np. dysków komputerów).

Dobrą praktyką jest także spisanie takiego protokołu po zakończeniu umowy powierzenia przetwarzania danych osobowych. Dzięki temu administrator uzyskuje potwierdzenie, że procesor nie przetwarza już więcej danych, które były mu powierzone.

Pobierz nasz sprawdzony szablon protokołu usunięcia danych
Pobierz

Systemowe logi

W przypadku danych zapisanych cyfrowo i przechowywanych w systemach informatycznych, sposobem na wykazanie usunięcia danych (poszczególnych rekordów lub całych baz danych) będzie odpowiedni zapis w logach systemowych. W takich przypadkach, operację usunięcia warto dodatkowo potwierdzić protokołem, szczególnie, gdy usuwane są większe bazy danych.

Trzeba też pamiętać, że nie zawsze konieczne jest przyjęcie tak sformalizowanego trybu usuwania danych. W większości przypadków, gdy chcemy zniszczyć wydruk maila lub roboczą wersję umowy z klientem, wystarczające będzie po prostu wrzucenie dokumentu do niszczarki lub pojemnika przeznaczonego na dokumenty do zniszczenia.

Podsumowanie

Uzyskanie potwierdzenia usunięcia danych w formie protokołu nie w każdym przypadku będzie niezbędne. Ważne jest więc, aby administrator przeanalizował swoje procesy przetwarzania danych i wybrał odpowiednie rozwiązania (techniczne lub organizacyjne), które pozwolą mu wykazać fakt usunięcia / zniszczenia danych.

Pobierz artykuł

Pobierz artykuł w PDF

Powiązane artykuły

5 filarów RODO
RODO w praktyce, czyli jak zrozumieć RODO w 15 minut
RODOFAQ
Medycyna pracy – powierzenie czy udostępnienie? #RODOFAQ
Dokumentacja RODO
Zabezpieczenia fizyczne danych osobowych – jak je stosować?

Zostaw odpowiedź

* pola obowiązkowe

Administratorem danych osobowych jest Lex Artist sp. z o.o., ul. Szańcowa 74/1, 01-458 Warszawa. Dane osobowe będą przetwarzane w celu umieszczenia i obsługi komentarza na blogu. Przysługują Panu/Pani następujące prawa: prawo dostępu do treści danych, prawo do sprostowania danych, prawo do usunięcia danych, prawo do ograniczenia przetwarzania danych, prawo do wniesienia sprzeciwu, prawo do wniesienia skargi do organu nadzorczego. Pełna treść klauzuli informacyjnej znajduje się tutaj.

Zanonimizowany ciąg znaków stworzony na podstawie Pani/Pana adresu email (tak zwany hash) może zostać przesłany do usługi Gravatar w celu sprawdzenia czy jej Pan/Pani używa. Polityka prywatności usługi Gravatar jest dostępna tutaj. Po zatwierdzeniu komentarza obrazek profilowy jest widoczny publicznie w kontekście twojego komentarza.