Скільки можна зберігати персональні дані, отримані за згодою?

Позначка про згоду не дає організації права безстроково тримати будь-яку інформацію про людину. Строк залежить від мети, правової підстави й спеціальних обов’язків. Маркетинговий список і бухгалтерський документ можуть містити ті самі контакти, але мати різні режими.

Перед визначенням строку складіть перелік операцій: реєстрація, виконання замовлення, розсилки, підтримка та архівування. Не об’єднуйте все однією фразою дані клієнта. Для кожної операції має бути зрозуміло, навіщо інформація ще потрібна.

Суть 🎯 Зберігати персональні дані у формі, що дозволяє ідентифікувати людину, можна не довше, ніж потрібно для законних цілей. Згода не замінює перевірки необхідності. Водночас відкликання згоди не завжди припиняє іншу законну підставу для визначених документів.

Базис 📜 Закон про захист персональних даних установлює принципи мети, обсягу та тривалості обробки. Бухгалтерське, податкове й архівне законодавство може передбачати окремі строки. Для конкретного набору відомостей спочатку визначають застосовний правовий режим.

Не встановлюйте однакові п’ять чи десять років для всіх даних лише тому, що така цифра є в шаблоні політики. Потрібно пояснити її походження. Період для первинних документів не переноситься автоматично на історію перегляду сайта.

Важливо ⚠️ Строк згоди та строк обов’язкового зберігання документа не тотожні. Після завершення розсилки контакт може підлягати видаленню з маркетингової бази, тоді як підтвердний фінансовий документ зберігатиметься за іншою належною підставою.

Маршрут 🔍 Визначте мету й підставу кожної операції, перевірте спеціальні строки та момент початку відліку. Зафіксуйте критерій завершення обробки. Налаштуйте перегляд, видалення або законне архівування, а звернення людини оцінюйте щодо конкретних даних.

Для маркетингової згоди перевірте, що саме погодила людина: канал, мету й обсяг. Умова отримувати новини не означає дозвіл на будь-яку подальшу аналітику. Відсутність активного користування також не повинна без перевірки виправдовувати нескінченне зберігання.

Якщо людина відкликає згоду, з’ясуйте, які операції на ній ґрунтувалися, і припиніть їх за застосовними правилами. Не підміняйте відкликання автоматичним переходом на вигадану іншу підставу. За наявності законного обов’язку поясніть його конкретно.

Підтвердження колишньої згоди може бути потрібне для обґрунтування правомірності минулої обробки. Однак це не дозволяє продовжувати розсилку. Відокремте обмежений доказовий запис від активної бази й визначте належні доступи та строк.

Для договору про послугу з’ясуйте, які відомості потрібні після виконання: підтвердження платежу, виконання чи вирішення претензії. Не зберігайте зайві копії документів лише про запас. Реальна потреба та законний обов’язок повинні бути перевірюваними.

Архівне зберігання має власні умови, доступ і строки. Перенесення файлів у папку архів не легалізує безстрокову обробку. Перевірте категорію документа, застосовний перелік і подію, від якої потрібно рахувати відповідний період.

Технічні резервні копії теж потребують керування. Визначте цикл їх заміни та обмежте використання даних, що вже підлягають видаленню з активної системи. Повернення старої копії не повинно непомітно відновлювати припинену маркетингову обробку.

Якщо дані передані підряднику, узгодьте повернення, видалення та підтвердження виконання його обов’язків. Внутрішнє видалення в головній системі не доводить, що всі копії зникли. Водночас перевірте самостійну законну роль одержувача.

Суміжні матеріали Chynno: Як правильно скласти адміністративний позов до органу влади?; Який строк звернення до адміністративного суду і коли його можна поновити?; Як витребувати докази в адміністративному суді?.

Ризики 🚨 Псевдонім або заміна імені кодом не завжди означає повне знеособлення. Якщо особу можна знову встановити за ключем чи іншими відомостями, вимоги захисту залишаються. Не називайте такі дані анонімними без перевірки.

На запит людини поясніть мету, підставу й критерій строку в зрозумілому вигляді. Формальна відповідь згідно із законом не дозволяє перевірити необхідність. Якщо видалення неможливе щодо частини документів, розмежуйте причини за категоріями.

Зверніть увагу ⚠️ GDPR не застосовується до кожної української організації лише через наявність сайта. Спочатку перевірте сферу дії відповідного законодавства. Власні зобов’язання за українським законом існують незалежно від використання європейського шаблону.

Рішення 💬 Встановіть окремі строки або перевірювані критерії для кожної мети, відокремте активну обробку від законного зберігання документів. Реалізуйте відкликання згоди й видалення там, де немає іншої підстави. Періодично перевіряйте фактичні копії та доступи.

Залишилися питання❓ Отримайте консультацію онлайн у Chynno та дізнайтеся, як діяти саме у вашій ситуації 👨‍💻