Saugojimo ribojimas (angl. storage limitation) – tai Bendrojo duomenų apsaugos reglamento (BDAR) 5 straipsnio 1 dalies e punkte įtvirtintas principas, pagal kurį asmens duomenys turi būti laikomi tokia forma, kad duomenų subjektų tapatybę būtų galima nustatyti ne ilgiau, nei tai būtina tikslams, kuriais duomenys tvarkomi. Kitaip tariant, kiekvienam tvarkymo tikslui turi būti nustatytas saugojimo terminas arba jo apskaičiavimo kriterijus, o pasibaigus terminui duomenys ištrinami arba nuasmeninami. Saugoti duomenis „dėl visa ko" arba neribotą laiką yra pažeidimas.
Šis principas yra tiesiogiai susijęs su atskaitomybe: saugojimo terminai turi būti nurodyti tvarkymo veiklos įrašuose (30 str.) ir privatumo politikoje. Šiame straipsnyje paaiškinu, kaip nustatyti saugojimo terminus, kaip parengti saugojimo politiką ir kokių klaidų vengti.
Ką reiškia saugojimo ribojimas
Principas nereikalauja ištrinti duomenų iškart po naudojimo – jis reikalauja, kad duomenys nebūtų laikomi identifikuojama forma ilgiau, nei būtina. Yra trys teisėtos galimybės pasibaigus tikslui:
- Ištrynimas – duomenys visiškai pašalinami iš visų sistemų, įskaitant tvarkytojų ir atsargines kopijas.
- Nuasmeninimas (anonimizavimas) – duomenys pertvarkomi taip, kad asmens nebeįmanoma nustatyti; tuomet BDAR jiems nebetaikomas.
- Tolesnis saugojimas archyvavimo viešojo intereso, mokslinių ar istorinių tyrimų arba statistikos tikslais su tinkamomis apsaugos priemonėmis (5 str. 1 d. e p. išimtis).
Svarbu suprasti, kad pseudonimizavimas (BDAR 4 str. 5 p.) nėra anonimizavimas: pseudonimizuoti duomenys tebėra asmens duomenys, nes juos galima susieti su asmeniu naudojant papildomą informaciją. Todėl pseudonimizavimas mažina riziką, bet nenutraukia saugojimo termino skaičiavimo.
Kaip nustatyti saugojimo terminą
Saugojimo terminas nustatomas kiekvienam tvarkymo tikslui atskirai, remiantis: (a) tikslo pobūdžiu, (b) teisinėmis prievolėmis saugoti (mokesčių, buhalterinės apskaitos, darbo santykių) ir © galimų teisinių reikalavimų senaties terminais. Pavyzdžiui, buhalteriniai dokumentai Lietuvoje saugomi teisės aktų nustatytą laiką, o kandidatų į darbą duomenys – tik atrankos laikotarpiui ir pagrįstą laiką po jos, jei nesitariama dėl tolesnio saugojimo su sutikimu.
Kodėl saugojimo terminai svarbūs praktikoje
Saugojimo ribojimas yra glaudžiai susijęs su duomenų kiekio mažinimu ir saugumu: kuo mažiau duomenų saugoma ir kuo trumpiau, tuo mažesnė žala kilus pažeidimui. 2019 m. VDAI 61 500 eurų bauda UAB „MisterTango" byloje, be kita ko, buvo susijusi su tuo, kad bendrovė tvarkė daugiau duomenų, nei buvo būtina. Perteklinis ir per ilgas duomenų saugojimas didina ir saugumo pažeidimo mastą, ir atsakomybę. Todėl saugojimo terminų peržiūra yra ne formalumas, o rizikos mažinimo priemonė.
Saugojimo terminų nustatymas taip pat tiesiogiai palengvina teisės būti pamirštam įgyvendinimą: kai terminai apibrėžti ir automatizuoti, dalis duomenų ištrinami savaime, ir prašymų nagrinėjimas tampa paprastesnis.
Kaip parengti saugojimo politiką
Rekomenduoju keturis žingsnius. Pirma, iš tvarkymo veiklos įrašų paimkite visų tvarkymo tikslų sąrašą. Antra, kiekvienam tikslui priskirkite saugojimo terminą arba jo apskaičiavimo kriterijų, nurodydami teisinį pagrindą (teisės aktą arba senaties terminą). Trečia, apibrėžkite, kas nutinka pasibaigus terminui – ištrynimas ar nuasmeninimas – ir kas už tai atsakingas. Ketvirta, įdiekite peržiūros mechanizmą: automatinius priminimus arba periodinį valymą.
Sistemų įvykių duomenims pritaikytas saugumo žurnalų politikos modelis padeda atskirai nustatyti žurnalų šaltinius, saugojimo terminus ir prieigos teises.
Saugojimo terminų lentelės pavyzdys
| Duomenų kategorija | Tikslas | Terminas | Pagrindas |
|---|---|---|---|
| Buhalteriniai dokumentai | Apskaita, mokesčiai | Teisės aktų nustatytas | Teisinė prievolė |
| Darbuotojų bylos | Darbo santykiai | Darbo santykių laikas + senatis | Teisinė prievolė / teisėtas interesas |
| Kandidatų CV | Atranka | Atrankos laikas + pagrįstas laikotarpis | Teisėtas interesas / sutikimas |
| Klientų sutartys | Sutartinių prievolių vykdymas | Sutarties galiojimas + senaties terminas | Sutartis / teisėtas interesas |
| Rinkodaros kontaktai | Tiesioginė rinkodara | Iki sutikimo atšaukimo | Sutikimas |
Dažnos klaidos
- Neriboto saugojimo prielaida. „Saugome, kol gali prireikti" pažeidžia 5 str. 1 d. e p. Kiekvienam tikslui reikia termino.
- Pseudonimizavimo laikymas anonimizavimu. Pseudonimizuoti duomenys tebėra asmens duomenys, ir terminas jiems galioja.
- Atsarginių kopijų pamiršimas. Ištrynimas turi apimti ir atsargines kopijas bei tvarkytojų sistemas, atsižvelgiant į technines galimybes.
- Termino nenurodymas įrašuose ir politikoje. Saugojimo terminai turi būti matomi tvarkymo veiklos įrašuose ir privatumo politikoje.
Kaip automatizuoti duomenų valymą
Saugojimo politika lieka popieriuje, jei terminai netaikomi automatiškai. Todėl kitas žingsnis po terminų nustatymo – jų įgyvendinimas sistemose. Praktikoje tai reiškia periodines valymo užduotis (pavyzdžiui, kartą per mėnesį ištrinamos pasibaigusio termino užklausų formos), automatinius priminimus atsakingiems asmenims ir aiškias taisykles, kada įrašas pereina iš „aktyvaus" į „archyvuojamą" ar „naikinamą" būseną.
Ypač svarbu nepamiršti antrinių duomenų vietų: eksportuotų ataskaitų, el. pašto priedų, bendrinamų aplankų, tvarkytojų sistemų. Duomenys, tvarkingai ištrinti iš pagrindinės duomenų bazės, dažnai lieka senose ataskaitose ar atsarginėse kopijose. Todėl saugojimo politika turėtų apimti ne tik „kiek laiko", bet ir „kur" – visų vietų, kuriose duomenys atsiduria, sąrašą.
Automatizuojant valymą svarbu numatyti ir išimtis: įrašus, kuriuos laikinai reikia išsaugoti dėl vykstančio ginčo, patikros ar teisinio reikalavimo. Tokiais atvejais taikomas tikslinis „teisinis užšaldymas" – konkretūs duomenys pažymimi ir neištrinami, kol pasibaigs pagrindas, o visa kita valoma įprastai. Be tokio mechanizmo organizacija arba ištrina duomenis, kurių dar reikia, arba, priešingai, sustabdo visą valymą ir pažeidžia saugojimo ribojimą.
Saugojimo ribojimas ir kiti principai
Saugojimo ribojimas veikia kartu su duomenų kiekio mažinimu ir pritaikytąja duomenų apsauga: mažiau surinktų ir trumpiau saugomų duomenų reiškia mažesnę pažeidimo žalą ir paprastesnį teisės būti pamirštam vykdymą. Jis taip pat tiesiogiai susijęs su skaidrumu – saugojimo terminai turi būti nurodyti tiek tvarkymo veiklos įrašuose, tiek privatumo politikoje. Svarbu suprasti, kad saugojimo terminas nėra „teisė" saugoti tiek laiko – tai maksimali riba. Jei duomenys tapo nebereikalingi anksčiau, juos reikia ištrinti anksčiau.
Saugojimo terminai ir sektorių specifika
Saugojimo terminų nustatymas retai priklauso vien nuo BDAR – jį lemia ir sektorinė nacionalinė teisė. Buhalterinės apskaitos ir mokesčių dokumentai Lietuvoje saugomi teisės aktų nustatytą laiką; darbo santykių dokumentai turi savo terminus; medicininiai įrašai sveikatos sektoriuje – dar kitus. Todėl saugojimo politika negali būti universali: kiekvienam tikslui reikia patikrinti, ar nėra imperatyvaus teisės akto, nustatančio minimalų ar maksimalų terminą.
Kai teisės aktas nustato minimalų saugojimo terminą (pavyzdžiui, apskaitos dokumentams), duomenų negalima ištrinti anksčiau, net jei subjektas to prašo – tokiu atveju taikoma teisės būti pamirštam išimtis. Kai teisės aktas termino nenustato, jį reikia pagrįsti savarankiškai, remiantis tikslu ir galimų teisinių reikalavimų senaties terminais. Būtent šis pagrindimas, o ne pats skaičius, yra tai, ką per patikrinimą vertina VDAI.
Dažnai užduodami klausimai
Ar galima saugoti duomenis neribotą laiką?
Ne. Duomenys identifikuojama forma laikomi tik tiek, kiek būtina tikslui. Neribotas saugojimas pažeidžia 5 str. 1 d. e p. Išimtis – archyvavimas viešojo intereso, mokslinių ar istorinių tyrimų ar statistikos tikslais su tinkamomis apsaugos priemonėmis.
Kaip nustatyti saugojimo terminą, jei įstatymas jo tiesiogiai nenurodo?
Terminas nustatomas atsižvelgiant į tikslą ir galimų teisinių reikalavimų senaties terminus. Svarbu jį pagrįsti ir dokumentuoti; jis gali būti išreikštas ir kriterijumi, o ne konkrečiu skaičiumi.
Ar nuasmeninti duomenys tebėra saugomi pagal BDAR?
Ne. Tinkamai anonimizuotiems duomenims, kurių nebeįmanoma susieti su asmeniu, BDAR nebetaikomas. Tačiau anonimizavimas turi būti negrįžtamas – kitaip tai tebus pseudonimizavimas.
Kur turi būti nurodyti saugojimo terminai?
Tvarkymo veiklos įrašuose (30 str. 1 d. f p.) ir privatumo politikoje, informuojant subjektus (13–14 str.). Terminas gali būti konkretus arba nurodytas jo apskaičiavimo kriterijus.
Ar galima saugoti duomenis „ateities poreikiams"?
Ne. Neapibrėžtas būsimas tikslas nepateisina saugojimo. Duomenys saugomi tik esamiems, konkretiems tikslams. Jei tikslas išnyko, duomenys ištrinami arba anonimizuojami, net jei teoriškai „galėtų kada nors praversti". Priešingas požiūris pažeidžia ir saugojimo ribojimą, ir duomenų kiekio mažinimą.
Kuo skiriasi ištrynimas nuo anonimizavimo saugojimo prasme?
Ištrynimas visiškai pašalina duomenis. Anonimizavimas negrįžtamai pašalina galimybę nustatyti asmenį, todėl anonimizuotiems duomenims BDAR nebetaikomas ir juos galima saugoti toliau, pavyzdžiui, statistikai. Pseudonimizavimas nėra anonimizavimas – jam terminas tebegalioja, nes asmenį vis dar galima nustatyti naudojant papildomą informaciją.
Išvada
Saugojimo ribojimas reikalauja saugoti asmens duomenis identifikuojama forma tik tiek, kiek būtina tikslui. Kiekvienam tvarkymo tikslui turi būti nustatytas terminas arba kriterijus, o pasibaigus terminui duomenys ištrinami arba anonimizuojami. Aiškūs terminai mažina saugumo pažeidimų mastą, palengvina teisės būti pamirštam vykdymą ir yra atskaitomybės dalis. Parenkite saugojimo politiką remdamiesi tvarkymo veiklos įrašais, susiekite terminus su teisiniais pagrindais ir įdiekite periodinę peržiūrą.
Teisinė informacija: BDAR 5 straipsnis (EUR-Lex) · Asmens duomenų teisinės apsaugos įstatymas (e-seimas) · VDAI.
Šis straipsnis yra bendro pobūdžio informacija ir nėra teisinė konsultacija.