Retencja danych — jak ustalić okresy przechowywania danych osobowych

Jednym z najczęstszych pytań w praktyce RODO jest: „jak długo możemy przechowywać dane?”. Odpowiedź brzmi: tak długo, jak to niezbędne — ale nie ma jednego, uniwersalnego „okresu retencji RODO”. RODO nie podaje konkretnych terminów. To administrator musi samodzielnie ustalić okres przechowywania dla każdego celu, opierając się na przepisach szczególnych, terminach przedawnienia roszczeń i realnej potrzebie przetwarzania.

Brak przemyślanej polityki retencji to jeden z najczęstszych problemów wykrywanych podczas audytów i kontroli UODO. Dane „na wszelki wypadek” przechowywane bezterminowo, konta klientów sprzed dziesięciu lat, bazy marketingowe bez daty ważności — to typowe naruszenia zasady ograniczenia przechowywania. Jednocześnie przedwczesne usunięcie danych, które trzeba zachować dla celów podatkowych czy obrony przed roszczeniami, też jest błędem.

W tym artykule pokazuję, skąd brać okresy retencji, omawiam najważniejsze ustawowe terminy obowiązujące w Polsce oraz przedstawiam metodykę ustalania okresu krok po kroku. Na końcu znajdziesz wzór harmonogramu retencji do wykorzystania we własnej organizacji.

Zasada ograniczenia przechowywania (art. 5 ust. 1 lit. e RODO)

Punktem wyjścia jest zasada ograniczenia przechowywania z art. 5 ust. 1 lit. e RODO. Zgodnie z nią dane osobowe muszą być przechowywane w formie umożliwiającej identyfikację osoby przez okres nie dłuższy, niż jest to niezbędne do celów, w których są przetwarzane. Innymi słowy: gdy cel przetwarzania ustaje i nie ma innej podstawy do dalszego przechowywania, dane należy usunąć lub zanonimizować.

Zasada ta jest ściśle powiązana z zasadą rozliczalności (art. 5 ust. 2). Administrator musi nie tylko ustalić okresy retencji, ale też umieć je wykazać — w klauzulach informacyjnych, w rejestrze czynności przetwarzania i w wewnętrznej polityce. Sam zapis „przechowujemy dane przez okres niezbędny do realizacji celu” nie wystarczy — UODO oczekuje konkretnych okresów lub jednoznacznych kryteriów ich ustalania.

Skąd brać okresy retencji — trzy źródła

Okres przechowywania ustala się, łącząc trzy źródła. Dla danej kategorii danych obowiązuje zwykle najdłuższy z mających zastosowanie okresów.

Przepisy szczególne. Wiele ustaw nakłada obowiązek przechowywania określonych dokumentów przez konkretny czas (prawo podatkowe, ustawa o rachunkowości, Kodeks pracy, ustawa o systemie ubezpieczeń społecznych). To najtwardsze źródło — tu administrator nie ma swobody.

Terminy przedawnienia roszczeń. Dopóki możliwe są roszczenia związane z przetwarzaniem (np. z umowy), administrator ma uzasadniony interes w zachowaniu danych potrzebnych do dochodzenia lub obrony przed nimi. Okres retencji często odpowiada więc terminowi przedawnienia.

Cel przetwarzania. Jeśli żaden przepis ani termin przedawnienia nie wyznacza ram, decyduje realna potrzeba realizacji celu — np. dane przetwarzane na podstawie zgody przechowuje się do jej wycofania.

Najważniejsze ustawowe okresy przechowywania w Polsce

Poniżej najczęściej spotykane terminy wynikające z przepisów szczególnych. To punkt odniesienia — w konkretnej sytuacji zawsze warto zweryfikować przepis.

Dokumenty podatkowe i księgowe — 5 lat. Księgi podatkowe i związane z nimi dokumenty przechowuje się przez 5 lat, licząc od końca roku kalendarzowego, w którym upłynął termin płatności podatku (Ordynacja podatkowa). Zatwierdzone sprawozdania finansowe i księgi rachunkowe — 5 lat (ustawa o rachunkowości). Faktury, w tym faktury VAT, również podlegają 5-letniej retencji.

Akta pracownicze — 10 lub 50 lat. Po reformie e-akt (ustawa z 10 stycznia 2018 r., obowiązująca od 1 stycznia 2019 r.) dokumentację pracowniczą pracowników zatrudnionych od 1 stycznia 2019 r. przechowuje się przez 10 lat, licząc od końca roku kalendarzowego, w którym ustał stosunek pracy (art. 94 pkt 9b Kodeksu pracy). Dla zatrudnionych przed 1 stycznia 1999 r. obowiązuje 50 lat. Dla zatrudnionych w okresie od 1 stycznia 1999 r. do 31 grudnia 2018 r. — co do zasady 50 lat, z możliwością skrócenia do 10 lat po złożeniu do ZUS oświadczenia (ZUS OSW) i raportów informacyjnych (ZUS RIA). Więcej o przetwarzaniu danych pracowników znajdziesz w przewodniku RODO w HR.

Dane do celów ubezpieczeń społecznych. Powiązane z aktami pracowniczymi i z obowiązkami wobec ZUS — terminy zależą od daty zatrudnienia i złożenia raportów (jak wyżej).

Monitoring wizyjny — co do zasady do 3 miesięcy. Nagrania z monitoringu w zakładzie pracy przechowuje się nie dłużej niż 3 miesiące od dnia nagrania, chyba że stanowią dowód w postępowaniu — wówczas do prawomocnego zakończenia sprawy (art. 22(2) Kodeksu pracy). Jak stosować monitoring wizyjny zgodnie z RODO opisujemy w osobnym artykule.

Dokumenty reklamacyjne i gwarancyjne. Przechowuje się je przez okres potrzebny do obsługi reklamacji oraz przez okres przedawnienia ewentualnych roszczeń (zob. niżej).

Terminy przedawnienia jako podstawa retencji

Jeśli dla danej kategorii danych nie ma przepisu szczególnego, najczęściej stosowanym punktem odniesienia są terminy przedawnienia roszczeń z Kodeksu cywilnego. Po nowelizacji obowiązującej od 9 lipca 2018 r. (ustawa z 13 kwietnia 2018 r.) art. 118 KC przewiduje:

Sześć lat — ogólny termin przedawnienia roszczeń (skrócony z dotychczasowych dziesięciu lat).

Trzy lata — dla roszczeń o świadczenia okresowe oraz roszczeń związanych z prowadzeniem działalności gospodarczej.

Istotna jest też reguła z art. 118 zdanie drugie: koniec terminu przedawnienia przypada na ostatni dzień roku kalendarzowego, chyba że termin jest krótszy niż dwa lata. W praktyce oznacza to, że dane przechowywane „do przedawnienia roszczeń” zwykle warto trzymać do końca roku kalendarzowego, w którym upływa termin. Przepisy szczególne mogą jednak przewidywać inne, krótsze terminy (np. roczny dla niektórych roszczeń transportowych), dlatego okres przedawnienia zawsze ustala się dla konkretnego rodzaju roszczenia.

Retencja danych opartych na zgodzie i uzasadnionym interesie

Nie wszystkie dane mają ustawowy „licznik”. Dla wielu celów okres retencji wyznacza sama podstawa przetwarzania.

Zgoda. Dane przetwarzane na podstawie zgody (np. newsletter, marketing e-mailowy) przechowuje się do momentu wycofania zgody. Po jej wycofaniu należy zaprzestać przetwarzania w danym celu i usunąć dane, o ile nie istnieje inna podstawa (np. dowód udzielonej wcześniej zgody przechowywany dla celów rozliczalności).

Uzasadniony interes. Przy przetwarzaniu na podstawie uzasadnionego interesu okres retencji powinien wynikać z oceny legalnego interesu (LIA) i kończyć się, gdy interes przestaje być aktualny — np. dane do marketingu bezpośredniego przechowuje się do skutecznego sprzeciwu osoby. Jak przeprowadzić test równowagi (LIA) opisujemy w osobnym artykule.

Rekrutacja. Dane kandydatów przechowuje się do zakończenia danej rekrutacji; jeśli kandydat wyraził zgodę na przyszłe rekrutacje — przez wyraźnie określony, ograniczony okres lub do wycofania zgody.

Jak ustalić okres retencji krok po kroku

Aby ustalić okres przechowywania dla konkretnej czynności, warto przejść przez sześć kroków:

1. Zidentyfikuj cel przetwarzania. Każdy cel analizuje się osobno — te same dane mogą być przetwarzane w kilku celach o różnych okresach.
2. Ustal podstawę prawną. Podstawa często determinuje logikę retencji (umowa, obowiązek prawny, zgoda, uzasadniony interes).
3. Sprawdź przepisy szczególne. Czy istnieje ustawowy obowiązek przechowywania (podatki, księgowość, prawo pracy)?
4. Uwzględnij terminy przedawnienia. Jak długo możliwe są roszczenia związane z tym przetwarzaniem?
5. Wyznacz najdłuższy uzasadniony okres. Dla danej kategorii obowiązuje zwykle najdłuższy z mających zastosowanie okresów; po jego upływie dalsze przechowywanie traci podstawę.
6. Zaplanuj usuwanie lub anonimizację. Określ moment i sposób trwałego usunięcia danych albo ich anonimizacji. Na czym polega prawo do bycia zapomnianym opisujemy w oddzielnym artykule.

Polityka retencji i harmonogram przechowywania

Wyniki tej analizy warto spisać w polityce retencji oraz w harmonogramie przechowywania (retention schedule) — dokumencie, który dla każdej kategorii danych wskazuje cel, podstawę prawną, okres przechowywania, moment rozpoczęcia jego biegu oraz sposób usunięcia. Harmonogram retencji jest naturalnie powiązany z rejestrem czynności przetwarzania (RCP), w którym wskazuje się m.in. planowane terminy usunięcia poszczególnych kategorii danych.

Poniżej prosty wzór harmonogramu retencji. Dla każdej pozycji uzupełnij wszystkie kolumny:

Wzór harmonogramu retencji — kolumny:

• Kategoria danych / proces (np. dane zamówień, akta pracownicze, baza newslettera)
• Cel przetwarzania
• Podstawa prawna (art. 6 ust. 1 lit. …)
• Okres przechowywania
• Moment rozpoczęcia biegu okresu (np. koniec roku, ustanie stosunku pracy, wycofanie zgody)
• Sposób usunięcia (trwałe usunięcie / anonimizacja)

Przykładowe pozycje:

Dokumenty księgowe i faktury — cel: obowiązki podatkowe i rachunkowe; podstawa: art. 6 ust. 1 lit. c; okres: 5 lat; bieg: od końca roku, w którym upłynął termin płatności podatku; usunięcie: trwałe.

Dane do realizacji zamówienia — cel: wykonanie umowy; podstawa: art. 6 ust. 1 lit. b; okres: czas realizacji + okres przedawnienia roszczeń; bieg: od wykonania umowy; usunięcie: trwałe lub anonimizacja na potrzeby statystyki.

Akta pracownicze (zatrudnienie od 2019 r.) — cel: obowiązki pracodawcy; podstawa: art. 6 ust. 1 lit. c; okres: 10 lat; bieg: od końca roku, w którym ustał stosunek pracy; usunięcie: trwałe.

Baza newslettera — cel: marketing; podstawa: art. 6 ust. 1 lit. a (zgoda); okres: do wycofania zgody; bieg: od zapisu; usunięcie: trwałe po wycofaniu (z zachowaniem dowodu zgody dla rozliczalności).

Nagrania monitoringu — cel: bezpieczeństwo osób i mienia; podstawa: art. 6 ust. 1 lit. f; okres: do 3 miesięcy; bieg: od dnia nagrania; usunięcie: automatyczne nadpisanie.

Jak prowadzić RCP opisujemy w osobnym artykule.

Usuwanie i anonimizacja po upływie okresu

Ustalenie okresu to dopiero połowa zadania — trzeba jeszcze faktycznie usuwać dane po jego upływie. Najlepiej zautomatyzować ten proces (np. automatyczne nadpisywanie nagrań, cykliczne czyszczenie baz, procedury kasowania kont). Alternatywą dla usunięcia jest anonimizacja: jeśli dane pozbawione zostaną cech umożliwiających identyfikację w sposób nieodwracalny, przestają być danymi osobowymi i mogą być dalej wykorzystywane np. do statystyki. Pseudonimizacja nie jest tożsama z anonimizacją — dane pseudonimizowane nadal pozostają danymi osobowymi. Usunięcie danych po upływie okresu retencji jest też częstym efektem realizacji prawa do bycia zapomnianym, gdy osoba sama żąda usunięcia danych.

Najczęstsze błędy

Przechowywanie danych bezterminowo „na wszelki wypadek”, bez wyznaczonego okresu i kryteriów.

Brak harmonogramu retencji i polityki opisującej okresy dla poszczególnych kategorii.

Ogólnikowa informacja w klauzuli („przez okres niezbędny”) bez konkretnych okresów lub kryteriów.

Nieusuwanie danych po upływie okresu — ustalony termin istnieje tylko na papierze.

Mylenie pseudonimizacji z anonimizacją i traktowanie danych pseudonimizowanych jako usuniętych.

Przedwczesne usunięcie danych potrzebnych do celów podatkowych lub obrony przed roszczeniami.

Checklist — okresy przechowywania danych

1. Zinwentaryzuj wszystkie cele i kategorie przetwarzanych danych.
2. Dla każdego celu ustal podstawę prawną przetwarzania.
3. Sprawdź obowiązujące przepisy szczególne (podatki, księgowość, prawo pracy).
4. Ustal właściwe terminy przedawnienia roszczeń.
5. Wyznacz najdłuższy uzasadniony okres dla każdej kategorii.
6. Spisz politykę retencji i harmonogram przechowywania.
7. Powiąż okresy retencji z rejestrem czynności przetwarzania.
8. Wskaż konkretne okresy lub kryteria w klauzulach informacyjnych.
9. Zautomatyzuj usuwanie lub anonimizację po upływie okresu.
10. Zaplanuj okresowy przegląd polityki retencji.

Potrzebujesz pomocy z ustaleniem okresów przechowywania danych?

Polityka retencji to jeden z filarów zgodności z RODO — i jeden z najczęściej zaniedbywanych obszarów. W Kancelarii Radcowskiej dr Joanny Maniszewskiej-Ejsmont pomagamy ustalić okresy przechowywania dla wszystkich procesów, przygotować politykę retencji i harmonogram przechowywania oraz powiązać je z rejestrem czynności i klauzulami informacyjnymi.