Retencja danych osobowych to inaczej okres przechowywania danych osobowych. Dla każdego przetwarzającego dane osobowe (administratora danych) retencja powinna być jednym z kluczowych aspektów kształtowania systemu ochrony danych osobowych. Brak sprawdzania, weryfikacji, okresu przechowywania danych osobowych lub nieprzestrzeganie prawidłowo ustalonych okresów przechowywania danych osobowych będzie stanowiło naruszenie przepisów dotyczących ochrony danych osobowych.
Zasada ograniczenia przechowywania danych osobowych
Przetwarzanie danych osobowych, w tym również ich przechowywanie, zgodnie z RODO, podlega kilku kluczowym zasadom, o których pisałem już wielokrotnie, ostatnio w naszej agencyjnej gazetce "Alwis&Serwis". Jedną z nich jest zasada ograniczenia przechowywania danych osobowych, która oznacza, że dane osobowe należy przechowywać przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane. Celem omawianej zasady jest zapobieganie sytuacjom, w których administratorzy przetwarzają dane osobowe w sposób nieograniczony co do czasu. Ustawodawca unijny wychodzi bowiem z założenia, że czas przetrzymywania danych powinien być ściśle skorelowany z celem, w którym dane zostały zebrane.
O ważności tej zasady świadczy fragment dyrektywy (39) RODO, zgodnie z którym: „Dane osobowe powinny być adekwatne, stosowne i ograniczone do tego, co niezbędne do celów, dla których są one przetwarzane. Wymaga to w szczególności zapewnienia ograniczenia okresu przechowywania danych do ścisłego minimum. Dane osobowe powinny być przetwarzane tylko w przypadkach, gdy celu przetwarzania nie można w rozsądny sposób osiągnąć innymi sposobami. Aby zapobiec przechowywaniu danych osobowych przez okres dłuższy, niż jest to niezbędne, administrator powinien ustalić termin ich usuwania lub okresowego przeglądu”.
Okres przechowywania danych osobowych
Ustalenie tego, kiedy dane można jeszcze przechowywać, a kiedy już nie, nierzadko okazuje się zadaniem złożonym. Przepisy RODO nie określają bowiem wprost konkretnego czasu, przez który administrator (przetwarzający i przechowujący) może przechowywać dane osobowe, lecz wskazują jedynie, że czas ten powinien być ograniczony do tego, co niezbędne, aby zrealizować cel, w jakim dane zostały zebrane.
Prawidłowe ustalenie okresu przechowywania danych w pierwszej kolejności wymaga określenia przepisów prawa, które mogą określać maksymalny czas, przez który dane osobowe będą niezbędne do zrealizowania konkretnego celu. Warto tutaj zauważyć, że mogą to być zarówno przepisy, które kreują po stronie przetwarzającego obowiązki, jak i przepisy, które są źródłem jego uprawnień.
Przykładowo; dystrybutor ubezpieczeń, agent/OFWCA nie powinien przechowywać danych osobowych klientów (ubezpieczających, ubezpieczonych i uposażonych) poza okres, trwania ubezpieczenia. Czyli okres, w którym dane te mogą mu być potrzebne (przydatne) w serwisowaniu ubezpieczenia (aneksy, szkody). Dzisiaj już dane te są dostępne w systemach elektronicznych Ubezpieczycieli. Ale dane, w zakresie dokumentacji z rozpoznania potrzeb klienta (APK) powinny być przechowywane co najmniej jeszcze 3 lata po zakończeniu ubezpieczenia, czyli przez okres, w którym istnieje możliwość zgłaszania roszczeń i dochodzenia odszkodowań lub świadczeń. W tym przypadku okres retencji danych osobowych zgromadzonych w dokumentacji dystrybutora wynika nie z z przepisu prawa, ale praktycznych potrzeb związanych z działalnością ubezpieczeniową i przetwarzająca je OFWCA nie powinna go ani skracać, ani wydłużać. Jeśli ubezpieczenie jest kontynuowane, czas ten wylicza się od kolejnego roku po wygaśnięciu danego ubezpieczenia.
Innym przykładem ściśle określonego okresu przechowywania danych, tym razem wynikającego z uprawnienia przysługującego agentowi/OFWCA, są przepisy regulujące terminy przedawnienia roszczeń. Pozostając na tym gruncie, można odnieść się np. do terminu przedawnienia roszczeń do dystrybutora ubezpieczeń o naprawienie szkody wyrządzonej przez agenta/OFWCA wskutek niewykonania lub nienależytego wykonania obowiązków dystrybutora ubezpieczeń (IDD). W tym przypadku podstawowy termin przedawnienia roszczeń wynosi 3 lata od daty jej wyrządzenia.
Nie zawsze jednak to przepis prawa będzie określał czas niezbędny do realizacji danego celu. Dostrzega to z resztą sam ustawodawca unijny, bowiem w przepisach regulujących obowiązki informacyjne wskazał wyraźnie, że w przypadku, gdy nie jest możliwe podanie dokładnego okresu retencji danych osobowych, należy określić kryteria ustalania tego okresu.
W każdym przypadku, gdy przepisy prawa nie będą dawały podstawy do ustalenia okresu przechowywania danych, przetwarzający dane, będzie musiał samodzielnie określić ten okres. Co istotne mając na uwadze zasadę rozliczalności, powinien również uzasadnić, że długość przyjętego okresu przechowywania danych danych jest proporcjonalna do celu, który chce zrealizować.
Należy pamiętać, że od zasady ograniczenia przechowywania są przewidziane wyjątki. Dane osobowe można bowiem przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych, lub do celów statystycznych. Wydłużona retencja danych osobowych jest w tym przypadku uzasadniona szczególnymi celami, mającymi istotne znaczenie z punktu widzenia interesu publicznego. Nie oznacza to jednak, że dłuższy okres retencji danych w takich celach nie jest obwarowany dodatkowymi wymogami.
Minimalizacja ryzyka
Rzetelnie ustalone i egzekwowane okresy przechowywania danych, przyczyniają się do zmniejszenia ryzyka naruszenia przepisów dotyczących ochrony danych osobowych. Prawidłowo stosowana polityka retencji minimalizuje podstawowe ryzyko związane z naruszeniem samej zasady ograniczonego przechowywania danych. Idąc dalej, przechowywanie danych osobowych w ograniczony sposób zgodnie z RODO, w tym usunięcie danych w odpowiednim momencie, pozwala znacząco zmniejszyć ryzyko związane z ewentualnym naruszeniem ochrony danych osobowych polegającym np. na utraceniu lub nieuprawnionym ujawnieniu danych. Tutaj działa bowiem prosta zależność: im mniej danych, tym lepiej. Dlatego każda OFWCA - każdy przetwarzający dane - okresowo powinien dokonywać przeglądu i eliminować zbędne dane w posiadanych bazach papierowych i elektronicznych. I powinno to być robione nie rzadziej niż raz w roku. Złym nawykiem jest przechowywanie przez agentów/OFWCA starych dokumentów (polis - poza dokumentacją APK) sprzed kilku lat. Wszystko to powinno być jak najszybciej usunięte.
Anonimizacja danych osobowych
Często spotykamy się w literaturze także z pojęciem anonimizacja. Anonimizacja jest procesem, który w sposób trwały i nieodwracalny prowadzi do pozbawienia danych osobowych cech pozwalających na zidentyfikowanie, choćby potencjalne, osoby fizycznej. Co istotne, dane anonimowe z racji tego, że nie pozwalają zidentyfikować osoby fizycznej, nie podlegają przepisom RODO, o czym wyraźnie przesądza zapis punktu 26 RODO. Jeśli dane osobowe na skutek anonimizacji przestają być danymi osobowymi, to można uznać, że z momentem przeprowadzenia anonimizacji każdy przetwarzający (administrator) przestaje je przetwarzać jako dane osobowe i w ten sposób, o ile zrobi to w odpowiednim momencie, zapewnia realizację zasady ograniczenia przechowywania. Warto przy tym podkreślić, że stosując mechanizmy anonimizujące, przetwarzający dane musi pamiętać o tym, że proces ten musi być nieodwracalny. Jeżeli w jakikolwiek sposób proces będzie możliwy do odwrócenia, to wówczas będzie to pseudonimizacja.
Reasumując. Usuń materiały (pliki, e-maile, załączniki, także papierowe), które są starsze niż 36 miesięcy. Zachowaj tylko te dane, co do których istnieje uzasadnienie biznesowe (merytoryczne), aby ten termin wydłużyć. Niektóre dokumenty musisz usuwać w jeszcze krótszym czasie.
Określają to Zasady Retencji Danych Osobowych, które przekazują (posiadają w swoich procedurach) poszczególne zakłady ubezpieczeniowe.
