Semnificația politicilor de păstrare a datelor pentru societățile irlandeze

De asemenea, societățile irlandeze trebuie să considere Directiva privind confidențialitatea electronică (transpusă în legislația irlandeză ca regulamente privind confidențialitatea electronică), care se aplică datelor privind comunicațiile electronice. Aceasta adaugă un alt nivel de complexitate, deoarece păstrarea datelor privind traficul și localizarea este supusă unor limitări stricte, cu excepția unor scopuri specifice precum facturarea sau securitatea rețelelor. Nerespectarea normelor privind confidențialitatea electronică poate conduce la acțiuni de asigurare a respectării legislației separate de către DPC.

Principiul limitării depozitării

Limitarea stocării înseamnă că organizațiile nu pot deține date cu caracter personal pe termen nelimitat pe o șansă nedefinită, aceasta ar putea fi utilă mai târziu. Fiecare bucată de date colectate trebuie să aibă un scop clar și o perioadă de păstrare corespunzătoare. De exemplu, CV-ul unui candidat care nu a avut succes într-un proces de recrutare nu ar trebui păstrat timp de ani de zile fără o justificare valabilă. Dacă societatea dorește să o păstreze pentru rolurile viitoare, trebuie obținut consimțământul explicit. Acest principiu necesită o abordare disciplinată a gestionării datelor încă de la începutul oricărei activități de prelucrare.

De ce contează politicile de păstrare a datelor

Pe lângă respectarea legislației, o politică bine structurată de păstrare a datelor oferă mai multe beneficii întreprinderilor. Companiile irlandeze care investesc în politici clare și executorii reduc riscul, îmbunătățește securitatea și raționalizează operațiunile.

Respectarea legislației și reducerea riscurilor

Articolul 30 din GDPR impune organizațiilor să păstreze o evidență a activităților de prelucrare (ROPA). O politică solidă de păstrare a datelor este o componentă esențială a acestui dosar. Demonstrează autorităților de reglementare că societatea înțelege ce date deține, de ce le deține și când va fi eliminată. În timpul unei investigații sau al unui audit, care are programe de păstrare documentate poate reduce semnificativ riscul amenzilor. În schimb, societățile care nu pot prezenta un program de reținere defensivă sunt mai susceptibile să facă față unor sancțiuni, așa cum se vede în mai multe decizii de CPD în care reținerea excesivă a fost un factor.

Securitatea datelor și prevenirea încălcării

Fiecare bucată de date stocate este un obiectiv potențial pentru criminalii cibernetici. Prin limitarea volumului de date reținute, organizațiile își micșorează suprafața de atac. Dacă o încălcare are loc, având mai puține date înseamnă mai puține înregistrări expuse, mai puține efecte nocive potențiale asupra persoanelor vizate și sarcini reduse de notificare. DPC a subliniat că societățile trebuie să pună în aplicare măsuri tehnice și organizatorice adecvate pentru a proteja datele, iar un program de reținere slabă este o măsură organizațională dovedită. De exemplu, eliminarea detaliilor privind plata clienților după perioada legală pentru înregistrările financiare reduce riscul de furt al datelor de plată într-un incident viitor.

Eficiența operațională și reducerea costurilor

În plus, sistemele de date mai curate înseamnă căutări mai rapide, mai puțin timp petrecute pe proiecte de curățare a datelor și mai ușor de respectat cu privire la cererile de acces la subiect (SAR). Companiile irlandeze care gestionează volume mari de date, cum ar fi comerțul electronic sau firmele de fiintech, constată că politicile de păstrare își îmbunătățește direct linia de jos.

Construirea unei politici eficiente de păstrare a datelor

Elaborarea unei politici de păstrare a datelor care funcționează necesită o abordare structurată, nu un model unic. Companiile irlandeze ar trebui să urmeze un proces pas cu pas pentru a asigura caracterul complet și solid al legislației.

Etapa 1: Inventarul datelor și cartografierea

Nu puteți gestiona ceea ce nu știți. Începeți prin efectuarea unui inventar complet de date. Identificați toate punctele de colectare a datelor . Forme Website, sisteme CRM, fișiere HR, înregistrări financiare, arhive de e-mail, imagini CCTV, și dispozitive IoT. Pentru fiecare categorie, document:

• Ce date sunt colectate (tipuri de date cu caracter personal, categorii speciale, dacă există).
• În cazul în care este stocat (baze de date, platforme de cloud, sisteme terțe părți).
• Cine are acces la ea.
• Ce scopuri are.
• Dacă este împărţită cu terţi (de exemplu, furnizori de salarii, platforme de marketing).

Cartografierea datelor ar trebui să fie un efort interdepartamental care implică legal, IT, conformitate și proprietarii de afaceri. Multe companii irlandeze utilizează instrumente de cartografiere a datelor pentru a automatiza acest proces, în special atunci când se ocupă cu fluxuri complexe de date în mai multe sisteme. O hartă aprofundată devine baza pentru stabilirea unor perioade de păstrare adecvate.

Etapa 2: Stabilirea perioadelor de reținere

Odată ce știți ce date dețineți, decideți cât timp trebuie păstrate fiecare categorie. Această decizie este determinată de cerințele legale, nevoile de afaceri și orientările de reglementare. De exemplu:

• Înregistrările privind ocuparea forței de muncă: Cartea de statut irlandeză
• Înregistrări financiare: Venituri (Autoritatea fiscală irlandeză) necesită păstrarea evidențelor timp de 6 ani după sfârșitul anului fiscal la care se referă.
• Datele clienților: Reținerea numai atâta timp cât relația cu clienții durează plus o perioadă rezonabilă pentru cererile de garanție sau litigiile juridice (de multe ori 1 ian.3 ani după închiderea contului).
• Date privind sănătatea:[ HSE și organismele medicale profesionale recomandă adesea păstrarea înregistrărilor pacienților timp de 8 ți 10 ani de la ultima interacțiune, cu perioade mai lungi pentru anumite tipuri de date (de exemplu, înregistrările maternității 25 ani).

Este esențial să se documenteze justificarea juridică sau de afaceri pentru fiecare perioadă de reținere. Pur și simplu adoptarea de perioade implicite fără justificare nu va trece controlul de reglementare. DPC se așteaptă ca programele de reținere să fie calibrate în funcție de scopul specific de prelucrare.

Etapa 3: Stabilirea procedurilor de eliminare

O politică de păstrare este la fel de bună ca și aplicarea acesteia. Trebuie să definiți modul în care datele vor fi șterse în siguranță atunci când perioada de păstrare expiră. Opțiunile includ:

• Ștergere permanentă folosind software de ștergere certificat (pentru medii fizice precum hard disk-urile).
• Anonimizarea sau pseudonimizarea în cazul în care datele pot fi utilizate în continuare în scopuri statistice sau de cercetare fără a identifica persoane fizice.
• Distrugerea securizată a documentelor de hârtie prin tocare sau incinerare, cu certificate de distrugere.

Multe sisteme de management al bazei de date și platforme cloud oferă reguli de păstrare integrate care purjează automat înregistrările bazate pe date. Pentru sistemele de rezervă, asigurați-vă că copii arhivate respectă, de asemenea, normele de reținere backup vechi nu ar trebui să reintroducă date șterse. Documentați procesul de ștergere în ROPA și testați-l în mod regulat.

Etapa 4: Documentaţie şi ROPA

Înregistrați totul. ROPA cerute de GDPR Articolul 30 trebuie să includă perioade de păstrare. Multe companii irlandeze menține un apendice la ROPA lor care enumeră fiecare activitate de prelucrare, perioada sa de păstrare, și temeiul juridic pentru ea. Această documentație este de neprețuit atunci când se ocupă cu cererile de acces la date subiect (deoarece puteți identifica rapid dacă datele sunt încă deținute) și în timpul inspecțiilor DPC. Păstrați ROPA până la data de modificare a proceselor de afaceri ar trebui să declanșeze o revizuire a programelor de reținere.

Perioade comune de păstrare pentru societățile irlandeze

În timp ce fiecare organizație este unică, următorul tabel prezintă perioadele tipice de păstrare pentru categoriile de date comune din Irlanda. Verificați întotdeauna împotriva consultanței juridice actualizate și a reglementărilor sectoriale.

• Dosarele personalului angajat
• Actualizările de plată și de impozitare
• Conturi financiare și facturi
• Datele privind ordinul și contractul clientului
• Analiștii de web și jurnalele de consimțământ pentru cookie-uri
• Email și corespondență
• CV-uri și cereri de recrutare
• Înregistrări privind sănătatea și siguranța
• Imagini CCTV
• ]Înregistrări medicale (sectorul privat)

Aceste perioade nu sunt exhaustive. Companiile irlandeze din sectoare reglementate, cum ar fi serviciile financiare, asigurările sau produsele farmaceutice, trebuie să respecte îndrumări specifice din partea autorităților lor de reglementare (Banca Centrală a Irlandei, HPRA etc.), care pot necesita o păstrare mai lungă.

Provocări în punerea în aplicare

Chiar și cu o politică bine concepută, întreprinderile irlandeze se confruntă cu obstacole practice. Recunoscând aceste provocări, ajută la construirea unui cadru de păstrare a datelor rezistent.

Fluxuri de date transfrontaliere și Brexit

Multe companii irlandeze au operațiuni sau clienți în Regatul Unit. Post-Brexit, Regatul Unit este o țară terță în temeiul GDPR, ceea ce înseamnă că transferurile de date cu caracter personal necesită garanții adecvate (cum ar fi clauze contractuale standard sau o decizie de adecvare). Politicile de păstrare a datelor trebuie să țină seama de perioadele mai lungi impuse uneori de legislația britanică (de exemplu, legislația fiscală britanică), asigurând în același timp respectarea principiului limitării stocării GDPR. Aceasta poate crea tensiuni: datele pot fi păstrate mai mult timp în scopul Marii Britanii, dar eliminate mai devreme în temeiul normelor UE. Consultanța juridică este esențială pentru a naviga astfel de conflicte, iar orarele de păstrare ar trebui să facă o distincție clară între datele deținute în cadrul unor regimuri juridice diferite.

Date de umbră IT și nestructurate

Angajaţii folosesc adesea instrumente nesancţionate de e-mail, servicii de partajare a fişierelor, aplicaţii de colaborare care creează silozuri ascunse de date. Această umbră IT îngreunează aplicarea politicilor de retenţie. Datele nestructurate, cum ar fi documentele, prezentările şi foile de calcul stocate pe drive-uri comune sau stocarea cloud-urilor, sunt deosebit de problematice deoarece nu are metadate şi este rareori revizuită. Companiile irlandeze pot atenua acest lucru prin restricţionarea utilizării instrumentelor nesancţionate prin intermediul politicilor informatice, prin utilizarea instrumentelor de prevenire a pierderii datelor (DLP) şi prin implementarea etichetelor de clasificare a datelor. Scanările regulate de descoperire a datelor pot identifica datele orfane sau expirate şi pot declanşa lucrări de ştergere.

Menţinerea la zi a politicilor

Legile și operațiunile comerciale se schimbă. DPC emite noi orientări, instanțele irlandeze transmit decizii care afectează protecția datelor și autoritățile de reglementare sectoriale actualizează cerințele. O politică de păstrare a datelor care nu este revizuită periodic va deveni rapid caducă. Cea mai bună practică este de a efectua o revizuire anuală a întregului calendar de păstrare și o revizuire ad-hoc ori de câte ori are loc o schimbare majoră (de exemplu, lansarea de noi servicii, modificarea procesorului de date, noua cerință de reglementare). Atribuirea dreptului de proprietate asupra unui responsabil cu protecția datelor (PDP) sau a unei echipe de conformitate pentru a asigura că politica rămâne în vigoare.

Cele mai bune practici și instrumente

Reţinerea cu succes a datelor necesită mai mult decât un document static. Aceasta necesită integrarea în operaţiunile zilnice şi utilizarea tehnologiei pentru a aplica normele în mod consecvent.

Platforme de automatizare și gestionare a datelor

Deleția manuală este predispusă la erori și nesustenabilă. Companiile irlandeze ar trebui să investească în platformele de gestionare a datelor care sprijină programele de păstrare automatizată. Multe baze de date moderne și servicii de cloud (de exemplu, Azure, AWS, Google Cloud) oferă caracteristici de gestionare a ciclului de viață care arhivează automat sau elimină date bazate pe vârstă. Pentru sistemele de gestionare a conținutului, scripturile personalizate sau instrumentele de gestionare a datelor ale întreprinderilor (de exemplu, Varonis, software-ul propriu Cloud sau software-ul specializat de gestionare a reţinerilor) pot fi configurate. Integrarea cu sistemele de gestionare a identității și accesului asigură aplicarea normelor de păstrare a datelor în toate magazinele de date. Pentru societățile care utilizează sisteme de management al conținutului, cum ar fi Directus, implementarea cârligelor personalizate sau poate automatiza sarcinile de păstrare a datelor.

Instruire şi conştientizare

Chiar și cele mai bune sisteme automatizate nu pot depăși eroarea umană. Angajații trebuie să înțeleagă rolul lor în păstrarea datelor. În special cei care gestionează datele cu caracter personal în mod direct, cum ar fi personalul HR, echipele de asistență pentru clienți și reprezentanții de vânzări.

• Compania ?
• Cum să etichetezi sau să clasifici datele în mod corespunzător, astfel încât normele automatizate să funcționeze.
• Ce trebuie făcut dacă se întâlnesc date care par să fi trecut de perioada de păstrare a datelor.
• Consecinţele nerespectării politicilor de retenţie (acţiune disciplinară, risc de reglementare).

Formarea anuală pentru protecția datelor ar trebui să includă un modul de păstrare. Codurile de conduită oferă modele utile pe care societățile irlandeze le pot adapta.

Pentru o citire ulterioară, consultați Data Protection Act 2018, Ghidul GDPR.eu, și DPC [Resurse oficiale de păstrare a datelor.