Что такое политика хранения данных и зачем она нужна
Политика хранения данных — это внутренний документ, определяющий для каждой категории данных, сколько времени они хранятся, по какому критерию устанавливается этот срок и что происходит после его истечения. Это не административная формальность: закон Грузии «О защите персональных данных» относит ограничение срока хранения к принципам обработки, и политика — именно тот инструмент, с помощью которого организация демонстрирует соблюдение этого принципа.
В отличие от других страниц, здесь речь идёт именно о документе политики — а не о предусмотренных законом случаях хранения, физическом уничтожении или консультации по хранению. Политика объединяет все эти элементы в единую рамку управления.
Правовая основа: принцип ограничения срока хранения
Соответствующий подпункт первого пункта статьи 4 закона устанавливает: данные могут храниться только тот срок, который необходим для достижения соответствующей легитимной цели. После достижения цели они должны быть удалены, уничтожены или сохранены в деперсонализированной форме. Исключение одно: если обработка определена законом или изданным в соответствии с законом подзаконным актом и хранение является необходимой и соразмерной мерой для защиты превосходящих интересов в демократическом обществе.
Этот принцип определяет каждый последующий элемент политики: срок выводится из цели, а не из привычки, мнения или технического удобства. Фразы «может, пока не будем удалять» в политике быть не должно, если у неё нет законного основания.
Понятные субъекту сроки: требование информирования
Политика должна быть видна и снаружи. Согласно соответствующему подпункту первого пункта статьи 13 закона, субъект данных вправе безвозмездно потребовать от ответственного лица информацию о сроке хранения данных, а если определение конкретного срока невозможно — о критериях его определения. Это значит, что «бессрочное хранение» в политике незаконно: должен быть указан либо конкретный срок, либо ясный критерий, по которому он исчисляется.
Второй пункт статьи 13 устанавливает и срок предоставления этой информации: ответ субъект получает не позднее 10 рабочих дней с момента требования, а в особых случаях, при надлежащем обосновании, этот срок может быть продлён не более чем ещё на 10 рабочих дней, о чём субъекту немедленно сообщается. Политика должна предусматривать процедуру этих двух сроков заранее.
Требования об удалении и связь политики с ними
Согласно первому и второму пунктам статьи 16, по требованию субъекта обработка должна прекратиться либо данные должны быть удалены или уничтожены не позднее 10 рабочих дней, либо субъекту сообщается обоснованное основание отказа. Политика играет здесь решающую роль: если срок в политике определён верно, организация точно знает, не истекла ли ещё цель в момент требования — и, соответственно, опирается ли отказ на законное основание — или, наоборот, срок истёк и удаление предписано.
При отказе запись в политике становится тем документом, который подтверждает основание. Поэтому политика не должна быть набором общих формулировок: для каждой категории должны быть указаны цель, срок или критерий и действие после истечения срока.
Учёт: отражение политики в документации
Согласно первому пункту статьи 28, ответственное лицо обязано обеспечить учёт информации, связанной с обработкой, включающей, по соответствующему подпункту закона, сведения о сроках хранения данных, а при невозможности определения конкретного срока — о критериях его определения. Иначе говоря, политика и учёт должны зеркалить друг друга: срок, указанный в учёте, проистекает из политики.
Кроме того, учтённая информация должна предоставляться Службе государственного аудита немедленно по соответствующему запросу, но не позднее 3 рабочих дней — и наличие политики — именно то, что делает быстрый и полный ответ на этот запрос возможным.
Последовательность такова. Первый: описание операций обработки — какие категории данных существуют в организации. Второй: формулирование цели каждой категории. Третий: изучение и выделение установленных законодательством сроков хранения — эта часть является обязательным блоком хранения. Четвёртый: установление срока или критерия для остальных категорий в рамке соразмерности цели. Пятый: определение действия после истечения срока — удаление, уничтожение или деперсонализация. Шестой: отражение всего этого в учёте и в понятной пользователю форме.
Команда Legal.ge поможет составить политику хранения данных: от описания операций обработки до установления сроков и гармонизации документа с учётом — так, чтобы политика была живым инструментом управления, а не показным документом.
Часто задаваемые вопросы
Что такое политика хранения данных?
Внутренний документ, определяющий для каждой категории данных срок хранения или критерий его определения и действие после истечения. Она опирается на принцип ограничения срока хранения.
Должен ли субъект знать срок хранения?
Да. По требованию субъекта информация предоставляется не позднее 10 рабочих дней; в особых случаях срок может быть обоснованно продлён ещё максимум на 10 рабочих дней.
Как политика связана с требованиями об удалении?
Ответ на требование субъекта должен быть дан в течение 10 рабочих дней. Если срок в политике определён верно, организация точно знает, истекла ли цель — и, соответственно, удалить данные или обоснованно отказать.
Где политика отражается в документации?
В учёте, связанном с обработкой, включающем сроки хранения или критерии их определения. По запросу учёт предоставляется Службе государственного аудита в течение 3 рабочих дней.
Как мы помогаем на Legal.ge
Политика хранения данных — часть фундамента, на которой стоит ответственность за каждый запрос. Команда Legal.ge поможет составить политику, определить категории и сроки и согласовать её с учётом обработки. Обращайтесь — правильно написанная политика заранее формирует ответ на каждый запрос.