TL;DR
Dwadzieścia jeden orientacyjnych dni na metadane poczty pracowników; zakaz pytania o choroby nowotworowe zakończone ponad dziesięć lat temu; obowiązek zachowania uzasadnienia zgłoszenia, którego postanowiono NIE wysyłać. Trzy pozycje rejestru, których prawie nikt nie pisze.
Po pierwsze: metadane poczty, które ustawia dostawca
Dokument kierunkowy włoskiego organu z 6 czerwca 2024 r. wskazuje dwadzieścia jeden dni jako orientacyjny okres przechowywania metadanych generowanych przez programy do obsługi poczty — nadawca, odbiorca, data, godzina, rozmiar. Nie treść: logi. To reguła, którą administrator najczęściej narusza nieświadomie, bo narusza ją domyślne ustawienie kupionego pakietu: wiele z nich trzyma logi miesiącami lub latami, nikt tego nie wybrał i właśnie dlatego nikt nie wpisał tego do rejestru. Przekroczenie dwudziestu jeden dni nie jest bezwzględnie zakazane — dokument ma charakter kierunkowy, a udokumentowane potrzeby techniczne mogą je uzasadnić — ale pozostaje w mocy art. 4 statutu pracowniczego, gdy przechowywanie umożliwia kontrolę na odległość.
Po drugie: zapomnienie onkologiczne to nie okres przechowywania, tylko zakaz zbierania
Ustawa 193 z 7 grudnia 2023 r. zakazuje pytania o choroby nowotworowe, których aktywne leczenie zakończyło się bez nawrotu ponad dziesięć lat temu; pięć lat, jeśli choroba wystąpiła przed dwudziestym pierwszym rokiem życia. Obejmuje umowy bankowe, finansowe i ubezpieczeniowe, adopcję i konkursy. Kwestionariusz pytający «czy chorował Pan kiedykolwiek na nowotwór» bez ograniczenia czasowego jest bezprawny u źródła i żaden okres przechowywania tego nie naprawi. Rozporządzenie ministra z 22 marca 2024 r. wskazuje ponadto choroby, przy których prawo powstaje wcześniej niż po dziesięciu latach: stosowanie ogólnego terminu do wszystkich pozostaje naruszeniem.
Po trzecie: akta tego, kto NIE zgłosił
Art. 35 dekretu 231/2007 nakłada obowiązek zgłoszenia podejrzanej transakcji. Rejestry pomijają drugą połowę: analizę poprzedzającą decyzję i uzasadnienie wewnętrznego złożenia do akt, gdy zgłoszenie nie wychodzi. Te akta zawierają ocenę zidentyfikowanej osoby — podejrzenie zbadane i odrzucone — i są bardziej wrażliwe niż samo zgłoszenie, bo pozostają wewnętrzne i nie są objęte poufnością, którą ustawa przyznaje zgłoszeniu wysłanemu. Trzeba zapisać, kto ma do nich dostęp i jak długo pozostają.
- Co je łączy: żadna z trzech nie rodzi się z decyzji o zbieraniu danych. Logi już są, kwestionariusz jest starszy niż ustawa, akta są pozostałością decyzji odmownej.
- Co dzieje się podczas kontroli: to realne zbiory, których rejestr nie opisuje, a ich brak nie jest uchybieniem formalnym — oznacza, że nikt nie ustalił terminu, więc nikt nie usuwa.
- Od czego zacząć: zapytać dostawcę poczty, jak długo trzyma logi, przeczytać ponownie kwestionariusze zdrowotne, otworzyć szufladę ze złożonymi ocenami antypraniowymi.
Wspólna nić
Rejestr czynności opisuje to, co organizacja postanowiła robić. Te trzy zbiory istnieją, choć nikt ich nie postanowił: stworzyło je domyślne ustawienie, odziedziczony formularz, procedura wytwarzająca papier także wtedy, gdy kończy się odmową. To tam rejestr się starzeje, a nie w działaniach, które ktoś zaprojektował.
Wszystkie trzy są już we włoskiej matrycy okresów przechowywania, z podaną normą i zadeklarowanym stanem weryfikacji pozycja po pozycji.
Szukasz narzędzia do codziennej pracy inspektora ochrony danych?
DPO Workspace został zbudowany przez certyfikowanego IOD. 30 dni bezpłatnie.
Zacznij bezpłatnie
