Czy przechowywanie danych to ich przetwarzanie?

Czy przechowywanie danych to ich przetwarzanie: Złamanie prawa

Zastanawiając się, czy przechowywanie danych to ich przetwarzanie, wiele firm nieświadomie naraża się na poważne konsekwencje prawne. Błędne zrozumienie obowiązków związanych z zarządzaniem zgromadzonymi informacjami prowadzi do niepotrzebnego ryzyka operacyjnego. Poznaj kluczowe zasady postępowania z dokumentacją, aby skutecznie chronić swój biznes przed odpowiedzialnością i uniknąć podstawowych błędów administracyjnych.

Czy przechowywanie danych to ich przetwarzanie w świetle przepisów RODO?

Tak, samo przechowywanie danych jest ich przetwarzaniem w pełnym tego słowa znaczeniu. Wiele osób uważa, że dane są przetwarzane tylko wtedy, gdy ktoś je analizuje, zmienia lub przesyła dalej. To błąd - prawo o ochronie danych ma znacznie szerszy zasięg.

W rzeczywistości, trzymanie plików na dysku, w chmurze czy w tradycyjnej szafie biurowej podlega tym samym rygorystycznym przepisom. Seans ten rodzi konkretne obowiązki prawne dla każdego, kto te informacje zbiera i posiada.

Co dokładnie oznacza definicja przetwarzania danych osobowych?

Zgodnie z ogólnym rozporządzeniem o ochronie danych, pojęcie to obejmuje praktycznie każdą operację wykonywaną na informacjach o osobach fizycznych. Definicja przetwarzania danych osobowych RODO jasno wskazuje, że nie ma przy tym znaczenia, czy proces ten odbywa się w systemach informatycznych w sposób zautomatyzowany, czy na kartkach papieru.

Przepisy wymieniają wprost przechowywanie zaraz obok takich czynności jak zbieranie, utrwalanie, organizowanie czy modyfikowanie. Oznacza to, że nawet całkowicie pasywny bezczynny zasób danych w bazie musi spełniać standardy bezpieczeństwa.

Działania aktywne a operacje pasywne

Często zapominamy, że brak ingerencji w pliki nie zwalnia z odpowiedzialności. Zbieranie i pobieranie to dopiero początek całego cyklu życia informacji w organizacji.

Przeglądanie, porządkowanie, a także późniejsze usuwanie lub niszczenie dokumentacji to również formy przetwarzania. Każda z tych faz wymaga odpowiedniej podstawy prawnej i zabezpieczeń technicznych.

Jakie obowiązki ma administrator danych w związku z ich przechowywaniem?

Skoro samo trzymanie informacji to przetwarzanie, administrator danych osobowych ponosi pełną odpowiedzialność za ich bezpieczeństwo. Oznacza to konieczność wdrożenia odpowiednich środków technicznych i organizacyjnych, co stanowi podstawowe obowiązki administratora danych RODO.

Zasada ograniczenia przechowywania nakazuje trzymać pliki tylko tak długo, jak to jest niezbędne do celów, dla których zostały zebrane.^[2] Aby uniknąć kar, należy dokładnie wiedzieć, jak długo można legalnie przechowywać dane osobowe. Zbyt długie magazynowanie starych baz klientów lub pracowników to jedno z najczęstszych naruszeń prawa.

Spójrzmy prawdzie w oczy - systemy rzadko czyszczą się same. Wymaga to regularnych audytów i procedur usuwania przestarzałych rekordów, o czym wiele firm boleśnie przekonuje się podczas kontroli.

Czynności aktywne a operacje pasywne w cyklu życia danych

Operacje Pasywne (Przechowywanie)

• Musi posiadać ważną podstawę prawną i cele przetwarzania przez cały okres trzymania

• Przetrzymywanie ponad miarę grozi wysokimi karami finansowymi za naruszenie zasady ograniczenia

• Trzymanie danych na serwerze, w chmurze lub w archiwum papierowym bez ich aktywnego modyfikowania

Operacje Aktywne (Analiza i Modyfikacja)

• Wymaga ścisłej kontroli uprawnień pracowników i rejestrowania dostępu do systemów

• Większe prawdopodobieństwo wycieku danych w przypadku błędów w procedurach bezpieczeństwa

• Przeglądanie, aktualizowanie, przesyłanie lub łączenie baz danych z innych źródeł

Problem nieużywanych baz danych w polskiej firmie handlowej

Piotr, menedżer ds. IT w średniej wielkości firmie e-commerce w Poznaniu, odziedziczył po poprzednikach ogromną bazę danych zawierającą dane 150 tysięcy klientów z lat ubiegłych.

Początkowo uważał, że skoro te pliki po prostu leżą na bezpiecznym serwerze i nikt do nich nie zagląda, to firma nie ma żadnych dodatkowych obowiązków z tego tytułu.

Po konsultacji z inspektorem ochrony danych zrozumiał, że samo bierne trzymanie tych starych rekordów bez aktywnej zgody lub celu biznesowego to naruszenie zasady ograniczenia przechowywania.

Firma musiała przeprowadzić masowe czyszczenie systemu, usuwając zbędne gigabajty informacji, co uchroniło ją przed potencjalnie dotkliwymi karami podczas późniejszego audytu.