Κεφάλαιο 12ο: Data Collection and Retention Policies (Πολιτικές συλλογής και διατήρησης δεδομένων)

Εάν ο οργανισμός σας θα διατηρεί προσωπικά δεδομένα για μεγαλύτερα χρονικά διαστήματα, πρέπει να γνωρίζετε τις υποχρεώσεις σας σύμφωνα με το άρθρο 5 παράγραφος 1 στοιχείο ε) ως υπεύθυνο επεξεργασίας δεδομένων και επεξεργαστή δεδομένων όσον αφορά τη διατήρηση δεδομένων.




Η ουσία της αρχής του περιορισμού της αποθήκευσης στο πλαίσιο του GDPR είναι ελαφρώς διαφορετική από την ισχύουσα αρχή της οδηγίας για την προστασία των δεδομένων. Συνοπτικά, τα προσωπικά δεδομένα δεν θα πρέπει να διατηρούνται σε αναγνωρίσιμη μορφή για μεγαλύτερο χρονικό διάστημα από αυτό που είναι αναγκαίο σε σχέση με τους σκοπούς για τους οποίους τα δεδομένα αυτά υποβάλλονται σε επεξεργασία. Μια ρεαλιστική προσέγγιση της διατήρησης είναι απλώς η διαγραφή των δεδομένων μόλις παύσει ο σκοπός για τον οποίο υποβλήθηκε σε επεξεργασία.
Η συλλογή και διατήρηση δεδομένων πρέπει να αξιολογείται σε συνάρτηση με τις επιχειρηματικές ανάγκες και να ελαχιστοποιείται, είτε με τη μη συλλογή περιττών δεδομένων, με τη διαγραφή δεδομένων είτε με την ανόμοια.

Οι μικροεπιχειρήσεις πρέπει:
Καθορίστε και εφαρμόστε μια πολιτική συλλογής δεδομένων. Η πολιτική θα πρέπει να αναφέρει λεπτομερώς τις κατηγορίες των συλλεγόμενων προσωπικών δεδομένων και τους σκοπούς συλλογής.
Καθορισμός και εφαρμογή πολιτικής διατήρησης δεδομένων. Αυτή η πολιτική θα πρέπει να περιγράφει λεπτομερώς την περίοδο διατήρησης των συλλεγόμενων προσωπικών δεδομένων και τα μέτρα που ελήφθησαν για να εξασφαλιστεί η διαγραφή ή, εάν είναι εφικτό, οι τεχνικές που καθιστούν τα δεδομένα μη αναγνωρίσιμα.
Να αποκτήσετε επαρκείς εγγυήσεις όσον αφορά τα μέτρα ασφαλείας που εφαρμόζουν οι μεταποιητές που ενεργούν για λογαριασμό τους και να επανεξετάζονται περιοδικά για να διασφαλιστεί η τήρηση των όρων της γραπτής συμφωνίας.

Ένας πρακτικός τρόπος για μια μικροεπιχείρηση να αποκτήσει επαρκείς εγγυήσεις και να εξασφαλίσει τη συμμόρφωση είναι:
Χρησιμοποιήστε έναν επεξεργαστή δεδομένων ο οποίος διαθέτει πιστοποίηση προμηθευτή, κατάλληλα προσόντα πληροφορικής ή / και πιστοποίηση ή την κατάλληλη πιστοποίηση από έναν αρμόδιο οργανισμό πιστοποίησης όπως ο Διεθνής Οργανισμός Τυποποίησης ή η Βιομηχανία Καρτών Πληρωμών.
Έχουν θεσπιστεί διαδικασίες επίσημης ολοκλήρωσης / αλλαγής διαχείρισης των έργων για την εξασφάλιση της εφαρμογής των κατάλληλων μέτρων ασφαλείας και την πραγματοποίηση αλλαγών / ενημερώσεων.
Έχουν οι υπεύθυνοι επεξεργασίας δεδομένων να παρέχουν τακτικά εκθέσεις σχετικά με τη διαχείριση των συστημάτων ΤΠΕ και την παρακολούθηση των εργασιών.
Ελέγξτε περιοδικά τα μέτρα ασφάλειας για να βεβαιωθείτε ότι είναι ενημερωμένα, αυτό μπορεί να είναι ιδιαίτερα διαδεδομένο όταν χρησιμοποιείτε περιβάλλοντα που βασίζονται σε Cloud. Η οδηγία DPC δημοσίευσε οδηγίες για οργανισμούς που χρησιμοποιούν περιβάλλοντα βασισμένα σε σύννεφα που καθορίζει περαιτέρω βήματα για τον τρόπο με τον οποίο ένας οργανισμός μπορεί να αναθεωρήσει τα μέτρα ασφαλείας του.
Αυτές οι πολιτικές θα πρέπει να κοινοποιούνται σε όλους τους υπαλλήλους και θα πρέπει να διεξάγονται περιοδικές αναθεωρήσεις ώστε να διασφαλίζεται ότι τα προσωπικά δεδομένα χειρίζονται σωστά όταν δεν χρειάζονται πλέον για τους σκοπούς για τους οποίους συλλέχθηκαν.
Όσον αφορά τις πολιτικές διατήρησης, αν σκοπεύετε να επεξεργαστείτε περαιτέρω τα προσωπικά σας δεδομένα για σκοπούς αρχειοθέτησης, επιστημονικής ή ιστορικής έρευνας ή στατιστικούς σκοπούς, θα πρέπει να διασφαλίσετε ότι υπάρχουν κατάλληλες διασφαλίσεις για την εξασφάλιση των δικαιωμάτων και ότι αυτή η επεξεργασία δεν εμποδίζει την ελευθερία των δεδομένων μαθήματα.
Συγκεκριμένα, οι διασφαλίσεις αυτές θα πρέπει να εξασφαλίζουν την ύπαρξη τεχνικών και οργανωτικών μέτρων για την τήρηση της αρχής της ελαχιστοποίησης των δεδομένων.
Μια τεκμηριωμένη πολιτική διατήρησης πρέπει να προσφέρει καθοδήγηση και να παρέχει ένα πλαίσιο για τους υπαλλήλους να διαχειρίζονται πληροφορίες καθ 'όλη τη διάρκεια του κύκλου ζωής τους έτσι ώστε η εταιρεία σας να συμμορφώνεται με τους νόμους και τους κανονισμούς που αφορούν τη διαχείριση δεδομένων. Μια πολιτική διατήρησης θα πρέπει να ισχύει τόσο για φυσικές όσο και για ψηφιακές μορφές.