Przechowywanie danych bez końca to ryzyko. Prawo o prywatności wymaga usuwania danych, gdy już ich nie potrzebujesz. Ten rozdział omawia zasady retencji (jak długo trzymać dane) i procesy usuwania (jak obsługiwać prośby użytkowników o usunięcie i porządkowanie systemów).
Dlaczego zasady retencji danych mają znaczenie
Wymóg prawny
RODO i podobne przepisy wymagają zasad retencji danych. Dane trzeba usunąć po osiągnięciu zadeklarowanego celu. „Trzymanie danych na zawsze, na wszelki wypadek” narusza zasadę minimalizacji danych i może skutkować karami.
Korzyść operacyjna
Starsze dane są mniej przydatne. Zdarzenie sprzed 2 lat rzadko wpływa na obecne decyzje. Usuwanie starych danych obniża koszty przechowywania, upraszcza kopie zapasowe i zmniejsza narażenie w razie włamania (mniejszy zbiór do ujawnienia).
Oczekiwania użytkowników
Użytkownicy oczekują, że usuniesz ich dane, gdy nie będą już potrzebne. Chmurowa aplikacja z listą zadań powinna usunąć Twoje zadania po zamknięciu konta, a nie trzymać ich bez końca. Jasne zasady usuwania budują zaufanie.
Ustalanie zasad retencji
Jakie dane? Jak długo?
Różne typy danych mają różne potrzeby retencji:
Zdarzenia analityczne: Typowo 12 miesięcy. Po roku historyczne zdarzenia rzadko się analizuje. Jeśli potrzebujesz dłużej, 24 miesiące to rozsądny okres. Nie trzymaj w nieskończoność.
Dane konta klienta: Trzymaj, dopóki konto jest aktywne. Usuń 90 dni po zamknięciu konta (czas na ewentualne odzyskanie). Nie trzymaj bez końca.
Zgłoszenia do wsparcia: Trzymaj 2-3 lata (okres przedawnienia sporów). Potem usuń.
Dokumenty finansowe: Trzymaj 7 lat (wymogi podatkowe i prawne). Potem usuń.
Listy marketingowe: Trzymaj, dopóki klient jest na liście. Usuń 30 dni po wypisaniu się.
Dłuższa retencja w szczególnych przypadkach
Niektóre dane mogą wymagać dłuższej retencji: wykrywanie nadużyć (ślad audytowy), spory prawne (do rozstrzygnięcia), zgodność z regulacjami (zależnie od branży). To wyjątki. Domyślnie powinno być: usuń, gdy tylko dane przestają być przydatne.
Dokumentowanie zasad
Spisz zasady retencji: jakie typy danych, okres przechowywania każdego z nich, podstawa prawna przechowywania. Udostępnij je użytkownikom w polityce prywatności. „Trzymamy Twoje dane przez X miesięcy, a potem je usuwamy.” Przejrzystość buduje zaufanie.
Wdrożenie automatycznego usuwania
Zaplanowane zadania usuwania
Ustaw automatyczne zadania uruchamiane według harmonogramu (co miesiąc, co kwartał), które usuwają dane po upływie okresu retencji. Przykład: zadanie usuwające wszystkie zdarzenia analityczne starsze niż 12 miesięcy. Uruchamiaj je automatycznie, żeby usuwanie nie było ręczne ani zapomniane.
Usuwanie wywołane zdarzeniem
Część usuwania jest wywoływana zdarzeniem: gdy użytkownik zamyka konto, usuń jego dane. Gdy użytkownik się wypisuje, usuń jego adres e-mail. Ustaw automatyczne procesy, które usuwają dane po wystąpieniu określonych zdarzeń.
Zapisywanie usunięć w logu
Zapisuj, kiedy dane są usuwane (jakie dane, kiedy, dlaczego). To tworzy ślad audytowy. Jeśli organy nadzorcze zapytają, dlaczego brakuje danych, możesz pokazać, że usunięto je zgodnie z zasadami, a nie ukryto.
Obsługa próśb użytkowników o usunięcie danych
Prawo do bycia zapomnianym
RODO daje osobom „prawo do bycia zapomnianym”. Użytkownicy mogą zażądać usunięcia swoich danych osobowych. Masz 30 dni na wykonanie (z wyjątkami dla obowiązków prawnych). Oznacza to, że musisz umieć usunąć dane użytkownika na żądanie.
Wdrożenie procesów usuwania
Krok 1: przyjmij prośbę. Użytkownik zgłasza prośbę o usunięcie przez formularz wsparcia lub ustawienia konta.
Krok 2: zweryfikuj tożsamość. Potwierdź, że prośba pochodzi od właściciela konta (a nie jest fałszywa).
Krok 3: wskaż dane. Znajdź wszystkie dane dotyczące tego użytkownika: konto, zdarzenia analityczne, zgłoszenia do wsparcia, listy e-mail, kopie zapasowe.
Krok 4: usuń. Usuń z systemów produkcyjnych i kopii zapasowych. Potwierdź usunięcie użytkownikowi na piśmie.
Krok 5: zapisz w logu. Udokumentuj usunięcie: kto prosił, kiedy, co usunięto.
Wyjątki od usuwania
Nie musisz usuwać, jeśli: masz prawny obowiązek przechowywania danych (dokumenty podatkowe, nakazy sądowe), potrzebujesz ich do zadeklarowanego celu, który nadal jest realizowany, albo użytkownik zgodził się na dalsze przetwarzanie po prośbie o usunięcie. Ale to wyjątki. Domyślnie usuwasz na prośbę.
Trudności we wdrożeniu
Rozproszone dane
Dane użytkownika są często rozrzucone po systemach: działająca baza, kopie zapasowe, usługi zewnętrzne (dostawcy analityki, dostawcy poczty), laptopy pracowników. Znalezienie wszystkich danych do usunięcia jest złożone. Rozwiązanie: prowadź inwentarz danych. Wiedz, gdzie leżą dane użytkowników. Wpisz wymogi usuwania do umów z dostawcami.
Retencja kopii zapasowych
Kopie zapasowe zawierają dane użytkownika także po usunięciu z systemów produkcyjnych. Jak długo trzymasz kopie? Prawdopodobnie nie odtwarzasz codziennie z kopii sprzed 3 lat, ale blokady prawne mogą wymagać ich zachowania. Doprecyzuj: kopie można trzymać dłużej niż dane produkcyjne, ale i one muszą w końcu zostać usunięte.
Dane zanonimizowane
Dane naprawdę zanonimizowane nie podlegają prawu do usunięcia (nie są danymi osobowymi). Ale większość „zanonimizowanych” danych to w rzeczywistości dane zagregowane lub spseudonimizowane (odwracalne). Jeśli da się je ponownie powiązać z osobą, to dane osobowe i trzeba je usunąć na prośbę. Zrozum, co faktycznie przechowujesz.
Privacy by Design: usuwanie wpisane w architekturę
Projektuj systemy z myślą o usuwaniu od początku. Używaj struktur danych, które umożliwiają sprawne usuwanie. Nie mieszaj typów danych o różnych potrzebach retencji. Ułatw wyszukiwanie i usuwanie danych użytkownika. Jeśli zbudujesz możliwość usuwania na starcie, zgodność z przepisami będzie później prostsza.
Jaki jest realistyczny okres retencji danych analitycznych dla różnych typów firm?
Blog lub treści: wystarczy 12 miesięcy (niewielka potrzeba starych danych). SaaS: 24 miesiące (potrzebna analiza trendów). E-commerce: 24-36 miesięcy (analiza sezonowości, wykrywanie nadużyć). Finanse i opieka zdrowotna: według regulacji (często 6 lat lub więcej). Przejrzyj raporty z ostatnich 6 miesięcy: jeśli nie analizowano danych starszych niż X miesięcy, usuwaj dane starsze niż ten próg. Zaktualizuj ustawienia platformy analitycznej, by usuwała dane automatycznie.
Jak dokładnie odpowiedzieć na prośbę o usunięcie w terminie wynikającym z prawa?
Dzień 1: przyjmij prośbę, zweryfikuj tożsamość, zapisz w systemie próśb. Dni 2-7: znajdź wszystkie dane w systemach (baza, kopie zapasowe, usługi zewnętrzne). Dni 8-20: wykonaj usunięcie, sprawdź je w logach. Dzień 28: wyślij użytkownikowi potwierdzenie, co usunięto. Dokumentuj wszystko. 30 dni to termin sztywny, dlatego kluczowy jest natychmiastowy start.
Skąd mam wiedzieć, czy moje „zanonimizowane” dane są naprawdę zanonimizowane, czy nadal są danymi osobowymi?
Prawdziwa anonimizacja: nie da się ponownie zidentyfikować osoby (tylko statystyki zbiorcze: „50% użytkowników kliknęło przycisk”). Pseudonimizacja: odwracalna za pomocą klucza (zahaszowany identyfikator użytkownika; nadal dane osobowe). Bezpieczna zasada: jeśli masz klucz do wyszukiwania lub możesz zestawić dane z innymi, to dane osobowe i trzeba je usunąć na prośbę. W razie wątpliwości traktuj je jak dane osobowe.
Jak długo trzymać kopie zapasowe i jak obsłużyć prośby o usunięcie danych z kopii?
Dane produkcyjne: usunięcie natychmiast. Kopie sprzed 0-30 dni: usuń ze wszystkich egzemplarzy. Kopie sprzed 30-90 dni: możesz zachować, jeśli nie odtwarzasz z nich w codziennej pracy. Kopie starsze niż 90 dni: według RODO muszą w końcu zostać usunięte (bez przechowywania w nieskończoność). Stwórz harmonogram usuwania kopii: kwartalny przegląd, usuwanie kopii starszych niż ustalona data. Dołącz potwierdzenie usunięcia do odpowiedzi dla użytkownika.
Jak krok po kroku usuwać dane rozproszone po analityce, poczcie, CRM i narzędziach dostawców?
Krok 1: dokument z inwentarzem danych wskazuje, gdzie leżą dane użytkownika (baza, GA, platforma e-mail, CRM itd.). Krok 2: automatyczne zadanie usuwa dane z głównej bazy. Krok 3: ręczne lub wywołane przez API usunięcie w narzędziach zewnętrznych. Krok 4: umowy z dostawcami wymagają potwierdzenia usunięcia (SLA: 7 dni). Krok 5: zbierz potwierdzenia usunięcia i wyślij użytkownikowi w ciągu łącznie 30 dni.
Czym różni się „opóźnienie operacyjne” od naruszenia 30-dniowego terminu?
Dopuszczalne opóźnienie: znalezienie danych w nieoczekiwanym miejscu, uzasadnione problemy techniczne (maksymalnie 8-10 dni). Niedopuszczalne: „Zajmiemy się tym kiedyś”, czekanie na miesięczne uruchomienie zadania, opóźnienia w odzyskiwaniu danych powyżej 15 dni. 30 dni dotyczy Twojej odpowiedzi i wyjaśnienia, a nie czasu wdrożenia. Jeśli nie możesz usunąć danych w 30 dni, to naruszenie. Zgłaszaj opóźnienia od razu i dokumentuj ich przyczyny.