TL;DR
Eenentwintig indicatieve dagen voor e-mailmetadata van werknemers; het verbod te vragen naar kanker die meer dan tien jaar geleden is behandeld; de plicht de motivering te bewaren van een witwasmelding die je besloot NIET te doen. Drie registerposten die vrijwel niemand schrijft.
Een: e-mailmetadata, ingesteld door de leverancier
Het richtinggevende document van de Italiaanse toezichthouder van 6 juni 2024 noemt eenentwintig dagen als indicatieve bewaartermijn voor metadata die e-mailbeheerprogramma's genereren — afzender, ontvanger, datum, tijd, omvang. Niet de inhoud: de logs. Het is de regel die een verwerkingsverantwoordelijke het vaakst onwetend schendt, omdat de standaardinstelling van de gekochte suite hem schendt: veel pakketten bewaren logs maanden of jaren, niemand koos dat, en juist daarom nam niemand het op in het register. De eenentwintig dagen overschrijden is niet absoluut verboden — het document is richtinggevend en gedocumenteerde technische noodzaak kan het rechtvaardigen — maar art. 4 van het werknemersstatuut blijft gelden waar bewaring toezicht op afstand mogelijk maakt.
Twee: vergetelheid na kanker is geen bewaartermijn maar een verzamelverbod
Wet 193 van 7 december 2023 verbiedt te vragen naar oncologische aandoeningen waarvan de actieve behandeling zonder terugval meer dan tien jaar geleden eindigde; vijf jaar als de ziekte vóór het eenentwintigste levensjaar optrad. Het geldt voor bancaire, financiële en verzekeringscontracten, adoptie en vergelijkende examens. Een vragenlijst met «heeft u ooit kanker gehad» zonder tijdsgrens is aan de bron onrechtmatig, en geen bewaartermijn maakt haar rechtmatig. Het ministerieel besluit van 22 maart 2024 wijst bovendien aandoeningen aan waarvoor het recht eerder dan tien jaar ontstaat: de algemene termijn op alle toepassen blijft een inbreuk.
Drie: het dossier van wie NIET meldde
Art. 35 van wetsbesluit 231/2007 verplicht tot melding van ongebruikelijke transacties. Wat registers weglaten is de andere helft: het onderzoek dat aan het besluit voorafgaat en de motivering van interne archivering als er geen melding uitgaat. Dat dossier bevat een oordeel over een geïdentificeerde persoon — een beoordeeld en terzijde gelegd vermoeden — en is gevoeliger dan de melding zelf, omdat het intern blijft en niet valt onder de vertrouwelijkheid die de wet aan een verzonden melding toekent. Wie erbij mag en hoe lang het blijft, moet worden opgeschreven.
- Wat ze delen: geen van de drie komt voort uit een besluit om gegevens te verzamelen. De logs zijn er al, de vragenlijst is ouder dan de wet, het dossier is het residu van een afwijzend besluit.
- Wat er bij een controle gebeurt: het zijn echte bestanden die het register niet beschrijft, en hun afwezigheid is geen formele omissie — het betekent dat niemand een termijn stelde en dus dat niemand wist.
- Waar te beginnen: vraag de e-mailleverancier hoe lang hij logs bewaart, herlees de gezondheidsvragenlijsten, open de lade met gearchiveerde witwasbeoordelingen.
De rode draad
Een verwerkingsregister beschrijft wat een organisatie besloot te doen. Deze drie bestanden bestaan zonder dat iemand ze besloot: gemaakt door een standaardinstelling, een geërfd formulier, een procedure die ook papier oplevert als ze eindigt in een nee. Daar veroudert het register — niet bij de activiteiten die iemand ontwierp.
Alle drie staan nu in de Italiaanse bewaarmatrix, met de bron vermeld en de verificatiestatus per post verklaard.
Zoekt u een hulpmiddel voor uw dagelijkse werk als FG?
DPO Workspace is gebouwd door een gecertificeerde functionaris voor gegevensbescherming. 30 dagen gratis.
Gratis starten
