Jak długo można przechowywać dane osobowe

Każda firma zatrudniająca pracowników musi przetwarzać dane osobowe, nie mówiąc już kwestiach obsługi klientów czy współpracy z firmami zewnętrznymi. Rozporządzenie RODO w sprawie ochrony danych osobowych znacząco zmieniło jednak to, jak długo można przechowywać dane osobowe. RODO wymaga od przedsiębiorców przestrzegania określonych przepisów i zasad, jeśli chodzi o prawidłowe przechowywanie danych osobowych w firmie.

Przechowywanie, czyli retencja danych osobowych, rodzi wiele pytań, zwłaszcza jeśli chodzi o przechowywanie danych w różnego rodzaju ewidencjach i rejestrach. W tym artykule opiszemy, jak długo mogą być przechowywane dane osobowe i wyjaśnimy, czy przepisy dotyczące przechowywania danych osobowych precyzują minimalny czas ich przechowywania.

Przechowywanie danych osobowych w rozumieniu RODO

Dane osobowe to wszelkie informacje odnoszące się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Może to być imię i nazwisko, adres, numer telefonu, adres e-mail, numer dowodu osobistego, adres IP lub inne dane, które można wykorzystać do bezpośredniej lub pośredniej identyfikacji osoby.

Ogólne rozporządzenie o ochronie danych (GDPR), znane również jako RODO, jest kompleksową regulacją dotyczącą przetwarzania danych osobowych w Unii Europejskiej. Określa ono ścisłe zasady gromadzenia, wykorzystywania i przechowywania danych osobowych, a także wymaga od administratorów gwarancji, że przechowywanie danych osobowych w firmie odbędzie się zgodnie z prawem, rzetelnie i w sposób przejrzysty.

Jednym z kluczowych postanowień RODO jest zasada, że dane osobowe mogą być przetwarzane tylko tak długo, jak jest to wymagane do określonych celów, dla których zostały zebrane. Oznacza to, że administratorzy muszą ustalić okresy przechowywania danych i terminy ich usuwania, aby ograniczyć czas retencji do minimum. Niespełnienie wymogów w zakresie przechowywania danych może skutkować odpowiedzialnością prawną administratora.

Jak długo można przechowywać dane osobowe?

Niemniej jednak RODO nie przewiduje szczególnych okresów retencji danych dla różnych rodzajów danych osobowych lub czynności. Pewne przepisy polskiego prawa nakładają jednak wymogi na czas procesu, jakim jest przechowywanie danych osobowych — ile lat ma to zająć?  To czasem zależy od samej firmy.

To administrator odpowiada za wprowadzanie dokumentów, ich klasyfikację i określenie, jak długo można przechowywać dane osobowe dla konkretnego celu, dla którego dane zostały zebrane — na przykład procesu rekrutacji, wysyłki, organizacji konkursu. Okres przechowywania musi być minimalny i nie może być bezterminowy. Administrator danych nie może zawrzeć w zgodach lub klauzulach informacyjnych, że dane będą przechowywane bezterminowo, a naruszenie rozporządzenia o zasadzie ograniczonej retencji może skutkować karą finansową.

Musisz jednoznacznie określić, jak w twojej firmie będą przechowywane dane osobowe. Oto kluczowe dane osobowe, które często są przechowywane w firmach i ich typowy czas retencji:

• Informacje kontaktowe: Obejmują one nazwiska, adresy, numery telefonów i adresy e-mail klientów. Warto je zutylizować około roku do trzech po zerwaniu kontaktu z daną firmą czy wykonaniu transakcji, bo to typowy okres przedawnienia.
• Informacje finansowe: Obejmuje to dane dotyczące konta bankowego, informacje o kartach kredytowych oraz historię transakcji finansowych. Te informacje powinny być przechowywane przez 5 lat po okresie ich rozliczenia, by uniknąć problemów związanych z kontrolami.
• Informacje o zatrudnieniu: Obejmuje to dokumentację pracowniczą, informacje o wynagrodzeniu oraz szczegóły dotyczące podania o pracę. Inne kwestie związane z pracownikami to ich dokumentacja medyczna, informacje o ubezpieczeniu zdrowotnym i inne dane dotyczące zdrowia. Tu właśnie dokładne szczegóły określa ustawa.

Prawidłowe przechowywanie danych osobowych

Należy pamiętać, że zgodnie z RODO dane osobowe są zdefiniowane szeroko i obejmują wszelkie informacje, które odnoszą się do zidentyfikowanej lub możliwej do zidentyfikowania osoby fizycznej. Oznacza to, że nawet pozornie abstrakcyjne dane, takie jak adres IP czy identyfikator pliku cookie, mogą zostać uznane za dane osobowe, jeśli można je wykorzystać do bezpośredniej lub pośredniej identyfikacji osoby fizycznej.

Wśród czynników wpływających na przechowywanie dokumentów tego typu można wymienić ewentualne przepisy szczególne wynikające z innych ustaw oraz przedawnienie roszczeń na podstawie Kodeksu cywilnego.

Jedynymi wyjątkami uwzględnionymi w rozporządzeniu RODO są archiwa prowadzone dla dobra interesu publicznego, badań naukowych lub historycznych oraz celów statystyki, gdzie dane osobowe mogą być przechowywane dłużej niż minimalny okres.

Jak długo przechowywać dane osobowe pracowników?

RODO nie określa konkretnego okresu przechowywania danych, ale w Polsce okres przechowywania akt osobowych pracowników zależy od daty zatrudnienia oraz od tego, czy pracodawca złożył raport informacyjny ZUS RIA za okres od 1999 do 2018 roku. Reforma z 2018 roku skróciła obowiązek przechowywania danych pracowników do dziesięciu lat.

Jak długo przechowywać dane osobowe pracowników? Dla nowych pracowników zatrudnionych od 1 stycznia 2019 r. okres przechowywania akt osobowych wynosi 10 lat. Dla pracowników zatrudnionych między 1999 a 2019 r. okres przechowywania wynosi 50 lat, jeśli pracodawca nie złożył wniosku do ZUS (RIA). W przypadku złożenia ZUS RIA przez pracodawcę, okres przechowywania akt osobowych również wynosi 10 lat.

Dane pracowników zatrudnionych przed rokiem 1999 oraz wszystkich górników (ze względu na kwestie emerytur górniczych) muszą być przechowywane przez 50 lat.

Należy jednak pamiętać, że każda umowa z pracownikiem stanowi nowy stosunek pracy. Dlatego, jeśli pracodawca zawarł z pracownikiem umowę przed 2019 r. i nową po 2019 r., to do każdej z nich należy zastosować odpowiedni okres przechowywania.

Czy pracodawcy mogą przechowywać dane osobowe zebrane podczas procesu rekrutacji potencjalnych kandydatów?

Chociaż art. 22 Kodeksu Pracy pozwala pracodawcom podczas rekrutacji żądać od kandydatów podania konkretnych danych identyfikacyjnych i kontaktowych, a także informacji o dotychczasowym doświadczeniu lub wykształceniu, nie określa on jednak, jak długo mogą być przechowywane dane osobowe na potrzeby rekrutacji. Po zakończeniu procesu aplikacji i weryfikacji wielu kandydatów może zażyczyć sobie usunięcia ich życiorysów z systemu.

Zgodnie z RODO, administratorzy danych osobowych, w tym przypadku pracodawcy, są zobowiązani do przechowywania danych osobowych przez okres nie dłuższy, niż jest to konieczne do osiągnięcia określonego celu. Pracodawcy i rekruterzy argumentują jednak, że celem uzasadniającym przechowywanie danych kandydatów po zakończeniu procesu rekrutacji może być m.in. chęć obrony przed zarzutami o nierówne traktowanie w zatrudnieniu.

Uważa się, że ta praktyka nie narusza praw pracowników, ponieważ ich dane nie będą przechowywane w nieskończoność, lecz jedynie do czasu upływu terminu przedawnienia roszczeń. Pracodawcy mogą więc przechowywać dane osobowe potencjalnych kandydatów przez rozsądny okres, ale nie powinien on przekraczać okresu przedawnienia roszczeń – w zależności od firmy może to wynosić nawet 3-5 lat.

Zgodnie z RODO, istnieją ściśle określone zasady dotyczące gromadzenia, wykorzystywania i przechowywania danych osobowych, a także określone okresy, przez które dane te mogą być przechowywane. Przedsiębiorcy muszą mieć na uwadze wymogi RODO i stosować się do nich w praktyce tak jak w przypadku procesu rekrutacji czy przechowywania danych pracowników.