Периоди чувања података према холандском закону: колико дуго можете чувати податке о клијентима?

Холандски закон има двострани приступ чувању података о клијентима. Пословни записи попут финансијских докумената морају се чувати најмање седам година према пореском закону, док се лични подаци према GDPR-у не смеју чувати дуже него што је потребно за њихову намену.

Ово ствара пажљиву равнотежу између испуњавања законских обавеза и поштовања права на приватност.

Многе организације се муче да схвате колико дуго могу законски да чувају различите врсте података о клијентима. Правила се разликују у зависности од тога да ли се ради о финансијским евиденцијама, подацима о запосленима или општим подацима о клијентима.

Неки периоди чувања података су одређени посебним законима, док други захтевају да доносите разумне одлуке на основу потреба вашег пословања.

Овај водич објашњава правни оквир који регулише чување података у Холандији и показује вам како да одредите одговарајуће распореде чувања за вашу организацију.

Научићете о законским захтевима за различите типове података, како правилно управљати брисањем података и која права ваши клијенти имају у вези са својим подацима.

Основни принципи чувања података према холандском закону

Холандски закон захтева да се придржавате три кључна принципа приликом чувања података о клијентима: морате чувати податке само за њихову првобитну сврху, прикупљати минималну неопходну количину и јасно документовати своје одлуке о чувању.

Ограничење сврхе обраде личних података

Личне податке можете чувати само у одређену сврху за коју сте их прикупили. Ако сте прикупили податке о купцима ради обраде поруџбине, не можете чувати те податке неограничено у сврху маркетинга, осим ако нисте добили посебну сагласност за ту сврху.

GDPR захтева да дефинишете јасне сврхе пре прикупљања било каквих података. Када та сврха престане, престаје и ваш правни основ за чување података.

На пример, када завршите трансакцију са клијентом и истекне законски период чувања , морате да избришете њихове податке, осим ако не постоји друга легитимна сврха.

Не можете поново користити старе податке без ваљаног правног основа. Ако се ваше пословне околности промене и желите да користите постојеће податке о клијентима у нову сврху, потребно је да процените да ли је то у складу са првобитном сврхом прикупљања или да затражите нову сагласност.

Минимизирање података и неопходност

Морате прикупљати и чувати само минималне личне податке потребне за постизање ваше сврхе. То значи да не можете чувати податке о клијентима „за сваки случај“ ако би касније могли бити корисни.

Холандски порески закон захтева да чувате финансијске евиденције седам година. Међутим, то не значи да можете чувати све податке о клијентима седам година.

Морате да одвојите оно што морате да чувате по закону од онога што сте сакупили у друге сврхе.

Холандска агенција за заштиту података очекује од вас да редовно прегледате сачуване податке. Запитајте се: да ли су вам ови подаци и даље потребни? Можете ли их анонимизирати уместо да их чувате у облику који се може идентификовати?

Ако је одговор не, морате обрисати или анонимизовати податке.

Транспарентност и одговорност

Морате документовати периоде чувања података и објаснити зашто сте их изабрали. Холандска агенција за заштиту података може захтевати ове информације и проценити да ли су ваше одлуке разумне.

Ваша изјава о приватности мора јасно да обавести кориснике колико дуго ћете чувати њихове податке. Људи имају право да захтевају брисање када истекне период чувања или када вам више нису потребни њихови подаци.

Требало би да забележите периоде чувања података у својој политици приватности са јасним образложењима. Ово вас штити током ревизија и помаже купцима да разумеју ваше праксе у вези са подацима.

Ако купци сматрају да предуго чувате њихове податке, могу да поднесу жалбу холандској агенцији за заштиту података.

Правни оквир који регулише периоде чувања

Правни оквир за чување података у Холандији комбинује европско и национално законодавство, при чему GDPR поставља темеље, а холандски закони додају специфичне захтеве.

Ауторитет за заштиту података надгледа усклађеност, док предузећа морају да уравнотеже законске обавезе са принципима заштите података .

GDPR и холандски закон о имплементацији

Општа уредба о заштити података (GDPR) представља примарни правни основ за чување података у Холандији. Она не одређује конкретне периоде чувања података о клијентима.

Уместо тога, успоставља принцип да не смете чувати личне податке дуже него што је потребно за сврхе за које их обрађујете.

Национални закон који попуњава простор који Уредба оставља државама чланицама јесте Закон о заштити података (Uitvoeringswet AVG, UAVG). Он не ствара сопствене периоде чувања; бави се питањима као што су обрада кривичноправних података, положај надзорног органа и узраст у којем дете може дати сагласност. Тамо где видите конкретан број година, он долази однекуд другде: пореско законодавство, законодавство о раду, законодавство о здравственој заштити или секторски кодекс понашања.

Та подела је важна у пракси. Уредба вам каже да не смете чувати личне податке дуже него што је потребно, а конкретни закон вам каже колико дуго морате чувати одређене записе. Ниједно не одговара на друго питање, а распоред чувања који наводи само једно од та два је непотпун.

Ваша политика приватности мора да документује периоде чувања и да образложи зашто сте их изабрали. Такође морате да обавестите субјекте података у вашој изјави о приватности о томе колико дуго чувате њихове податке.

Улога холандског органа за заштиту података

Ауторитеит Персоонсгегевенс (АП) је холандски орган за заштиту података који спроводи захтеве за чување података. АП процењује да ли су ваши периоди чувања разумни и неопходни за сврхе ваше обраде.

Када АП истражује ваше праксе у вези са подацима, морате да доставите документацију којом оправдавате периоде чувања. Надлежни орган процењује да ли чувате личне податке најкраћи могући временски период с обзиром на ваше легитимне потребе.

Појединци могу да поднесу жалбе Агенцији за заштиту података (AP) ако не обришете њихове податке након истека периода чувања. AP има овлашћење да истражи ове жалбе и предузме мере спровођења закона ако прекршите законе о заштити података.

Законске наспрам самоодређених обавеза чувања

Холандски закон разликује обавезне законске периоде чувања и периоде чувања које сами одређујете. Законски периоди чувања имају предност над принципима Опште уредбе о заштити података (GDPR) када одређени закон захтева дуже чување.

Финансијски записи морају се чувати седам година према холандском пореском закону. Овај захтев се примењује без обзира на принципе минимизирања из Опште уредбе о заштити података (GDPR).

Подаци о запосленима имају различите обавезне периоде чувања у зависности од врсте информација и њихове намене.

За податке о клијентима који нису законски прописани, ви одређујете одговарајуће периоде чувања на основу сврхе обраде. Морате размотрити колико дуго су вам подаци потребни за праћење неизмирених фактура, испуњавање уговора или друге легитимне пословне потребе.

Секторске организације могу пружити смернице кроз кодексе понашања који дефинишу уобичајене периоде чувања у вашој индустрији.

Одређивање одговарајућих распореда задржавања

Постављање периода чувања захтева пажљиву процену законских обавеза, оперативних потреба и захтева GDPR-а. Морате уравнотежити чување података довољно дуго да испуне ваше пословне сврхе, а да их не чувате дуже него што је потребно.

Процена законите сврхе и трајања

Морате директно повезати сваки период чувања са сврхом за коју сте прикупили податке. Принцип ограничења сврхе GDPR-а значи да не можете једноставно чувати податке о клијентима унедоглед.

Запитајте се колико дуго вам је заиста потребна информација да бисте испунили првобитну сврху.

Према холандском пореском закону, финансијски записи обично захтевају седам година чувања. Међутим, контакт подаци купаца који се користе само у маркетиншке сврхе могу бити потребни само једну или две године.

Требало би да процените сваку категорију података засебно.

Размотрите да ли би судски поступци могли захтевати дуже чување података. Ако је спор са клијентима у току, можда ћете морати да чувате релевантне податке док се ствар не реши.

Међутим, када сврха истекне, морате избрисати или анонимизовати информације.

Секторске организације понекад објављују препоручене распореде задржавања за одређене индустрије. Ове смернице вам могу помоћи да утврдите шта друге компаније у вашој области сматрају разумним.

Холандска агенција за заштиту података процењује да ли су ваши изабрани периоди сразмерни вашим наведеним сврхама.

Документовање задржавања у политикама

Морате да забележите периоде чувања података и објасните зашто сте их изабрали. Ова документација вас штити ако холандски орган за заштиту података доведе у питање ваше праксе.

Укључите конкретне временске оквире за сваку врсту података о клијентима које обрађујете.

Ваше интерне политике чувања података треба да наведу сваку категорију података са одговарајућим периодом чувања. На пример:

Ваша изјава о приватности мора обавестити субјекте података о томе колико дуго чувате њихове податке. Користите јасан језик који купци могу да разумеју.

Нејасне фразе попут „колико год је потребно“ не испуњавају захтеве транспарентности GDPR-а.

Балансирање оперативних, правних и пословних потреба

Суочавате се са конкурентним захтевима приликом постављања распореда чувања података. Оперативна ефикасност може сугерисати трајно чување свих података ради лакшег приступа.

Међутим, GDPR захтева најкраћи могући период чувања.

Законске обавезе прописују минималне периоде чувања које не можете игнорисати. Порески записи морају се чувати седам година без обзира на ваше жеље.

Подаци везани за запослење имају посебна правила, при чему је већина података о особљу ограничена на две године након престанка запослења.

Пословне потребе могу оправдати чување изван непосредне сврхе. Можда ћете чувати историју куповине ради обраде повраћаја или рекламација.

Неизмирене фактуре захтевају праћење, што значи чување повезаних података о купцима док се не прими уплата.

Субјекти података могу захтевати брисање ако вам више нису потребни њихови подаци или ако су истекли законски рокови.

Требало би редовно да прегледате сачуване податке и да бришете све што је истекло након периода чувања. Аутоматизовани системи за брисање помажу у обезбеђивању усклађености без ручног надзора.

Преглед законских периода чувања по типу података

Холандски закон прописује специфичне минималне периоде чувања за различите врсте пословних података. Порески закони захтевају седам година за већину финансијских евиденција, док подаци о запослењу и здравственој заштити прате одвојене правне оквире са сопственим временским роковима.

Финансијска и пореска евиденција

Према холандском пореском закону, већину финансијских евиденција морате чувати седам година. Ова обавеза чувања односи се на евиденцију о куповини и продаји, фактуре, банковне изводе и годишње рачуне.

Седмогодишњи период почиње на крају фискалне године у којој је запис креиран.

Ваши кредитни и дебитни рачуни такође потпадају под овај седмогодишњи захтев. То укључује главне књиге, дневнике и пратећу документацију која доказује ваше пословне трансакције.

Не можете избрисати или уништити ове записе пре истека периода чувања, чак и ако вам више нису потребни за свакодневно пословање.

Евиденције касе и подаци са продајних места морају се чувати исти седмогодишњи период. Пореске власти могу захтевати ове документе током ревизија или истрага.

Ако не водите уредну евиденцију, можете се суочити са казнама или новчаним казнама од стране холандске пореске управе.

Подаци о људским ресурсима и запосленима

Администрација плата потпада под исту седмогодишњу обавезу као и остали рачуни, рачунајући од краја фискалне године на коју се односи, а не од престанка запослења. Краће, посебно правило примењује се на пореску пријаву на зараду и копију идентификационог документа, који се морају чувати пет година након завршетка године у којој је запослење престало.

Ова документа су вам потребна због пореских обавеза и потенцијалних спорова око плата или бенефиција.

Сами лични досијеи уопште нису регулисани законским роком. Холандски орган за заштиту података узима две године након престанка запослења као радну норму за досије у целини, што произилази из принципа нужности, а не из закона.

Пријаве за посао се третирају одвојено и далеко строже. Надлежни орган очекује да се подаци неуспешног кандидата обришу најкасније четири недеље након завршетка поступка и дозвољава чување до годину дана само ако је кандидат дао сагласност за то. Укључивање података кандидата у двогодишњу кадровску норму је уобичајена и избежна грешка.

Лекарска уверења и евиденција о боловању могу се уништити раније, обично након две године.

Оцене учинка и дисциплински досијеи захтевају краће периоде чувања. Требало би да их чувате само док су релевантни за радни однос.

Када запослени оде, обично их можете обрисати у року од једне до две године, осим ако није у току судски поступак.

Здравствена и медицинска документација

Медицински картони морају се чувати најмање 20 година према холандском закону о здравственој заштити. Овај дуги период чувања штити и пацијенте и здравствене раднике ако се појаве питања о прошлим лечењима.

Неке евиденције, попут оних које се односе на малолетнике, можда ће бити потребно чувати и дуже.

Пацијентови картони садрже информације о дијагнози, планове лечења, резултате тестова и преписку. Морате их безбедно чувати и осигурати да им приступа само овлашћено особље.

Након истека периода чувања, морате уништити записе на начин који спречава неовлашћени приступ.

Апотекарски записи потпадају под исти режим. Петнаестогодишњи период који се помиње у старијим смерницама замењен је када је законски рок повећан на двадесет година, тако да се на материјал који и даље наводи петнаест година не треба ослањати.

Захтеви за осигурање и евиденција о наплати у вези са здравственом заштитом такође захтевају дуже периоде чувања.

Образовни и правни документи

Образовне институције морају да воде евиденцију о студентима за одређене периоде на основу врсте документа. Дипломе и сертификати о стеченој дипломи потпадају под Закон о јавним евиденцијама и морају се трајно чувати.

Ови записи доказују квалификације и омогућавају бившим студентима да затраже дупликате.

Резултате испита и оцене треба чувати најмање две године након што студент заврши студије. Евиденција о регистрацији курсева и евиденција о присуству обично захтева краће периоде, око једну до две године након завршетка академске године.

Уговори и преписка немају сопствени законски рок чувања. Оно што утиче на одлуку је рок застарелости за било које потраживање које из њих произилази: пет година од дана када је поверилац сазнао за потраживање и за дужника за већину уговорних потраживања, са апсолутним дугим роком од двадесет година. Чување уговора током трајања споразума плус важећи рок застарелости је стога одбрањив распоред и онај који можете објаснити надзорном органу; фиксни број година изабран из практичних разлога није.

Нотарски акти захтевају трајно чување јер служе као званични правни доказ.

Управљање брисањем и уништавањем података

Када истекну рокови чувања, морате активно уклонити личне податке из својих система. Холандски закон захтева пажљиву пажњу на начин брисања података и правилно документовање ваших метода уништавања, уз истовремено узимање у обзир ситуација у којима подаци морају бити сачувани упркос истеклим роковима чувања.

Идентификација података спремних за брисање

Потребно је редовно да прегледате сачуване податке о клијентима како бисте идентификовали које информације су достигле крај периода чувања. Успоставите систем који прати када су различите категорије података прикупљене и када испуњавају услове за брисање.

Ово може да укључује евиденцију купаца, преписку, детаље о трансакцијама и маркетиншке преференције. Направите распоред за проверу ваших база података и система за архивирање најмање једном у три месеца.

Многе организације користе аутоматизоване алате који означавају податке који се приближавају датуму брисања или шаљу упозорења када истекну периоди чувања. Требало би да водите јасан инвентар где се подаци о клијентима налазе у вашим системима, укључујући резервне сервере и архивиране датотеке.

Ваши тимови за обраду података морају разумети који периоди чувања се примењују на различите типове података. Финансијски записи захтевају седам година чувања према холандском пореском закону, али подаци о сагласности за маркетинг могу захтевати чување само док је однос активан.

Документујте свој процес прегледа како би холандски орган за заштиту података могао да потврди вашу усклађеност.

Безбедне и компатибилне методе уништавања

Морате уништити личне податке на начин који онемогућава њихов опоравак. Само премештање датотека у корпу за отпатке или брисање уноса у бази података не испуњава холандске законске захтеве.

За дигиталне податке користите софтвер за безбедно брисање који више пута преписује информације или физички уништава уређаје за складиштење. Папирни записи који садрже податке о клијентима захтевају сецкање помоћу сецкалица са попречним или микросечењем.

Никада не бацајте податке о купцима у обичне канте за отпад. За велике количине података, размислите о коришћењу сертификованих услуга уништавања које издају сертификате о уништавању.

Одговарајуће методе уништавања укључују:

• Софтвер за безбедно брисање дигиталних датотека
• Физичко уништавање чврстих дискова и медија за складиштење података
• Попречно сецкање папирних докумената
• Демагнетизација за магнетне уређаје за складиштење
• Сертификоване услуге уништавања треће стране са документацијом

Водите евиденцију о томе када и како сте уништили податке. Холандска агенција за заштиту података може вас замолити да докажете да сте правилно обрисали податке о клијентима након истека периода чувања.

Обрада изузетака и правних задржавања

Понекад не можете да обришете податке чак ни када истекну периоди чувања. Судски поступци, активне истраге или текући спорови захтевају да сачувате релевантне податке о клијентима док се ствар не заврши.

Морате имплементирати процес задржавања података из правних разлога који обуставља уобичајене распореде брисања погођених података. Документујте свако задржавање података из правних разлога са конкретним детаљима о томе који подаци не могу бити избрисани и зашто.

Одмах обавестите своје тимове за обраду података када почне задржавање података како не би случајно уништили потребне информације. Редовно прегледајте активна задржавања и одмах их укините када законски основ престане.

Жалбе купаца или регулаторни упити такође обустављају захтеве за брисање . Ако неко поднесе жалбу холандском органу за заштиту података у вези са вашом организацијом, морате чувати њихове податке док орган не реши ствар.

Уравнотежите ове изузетке са вашим ширим политикама чувања података, истовремено одржавајући јасне евиденције о томе зашто одређени подаци остају у вашим системима дуже од уобичајених периода.

Права субјеката података и организациона усклађеност

Појединци чије податке обрађујете имају посебна права према Општој уредби о заштити података (GDPR), а ви морате одговорити на њихове захтеве у утврђеним временским оквирима. Ваша организација такође мора водити уредну документацију и поштовати захтеве надзора које је поставила Ауторитет за заштиту података о личности (Autoriteit Persoonsgegevens).

Право на брисање и захтеви субјекта података

Субјекти података могу захтевати уклањање својих личних података након истека периода чувања или када вам више нису потребни подаци за њихову првобитну сврху. На ове захтеве за брисање морате одговорити у року од месец дана од њиховог пријема.

Ако одбијете захтев, потребно је да објасните своје разлоге носиоцу података. Људи такође могу да поднесу жалбе холандском органу за заштиту података ако не избришете њихове податке када је то потребно.

Лице на које се подаци односе има право да уложи приговор ако сматра да чувате његове податке предуго. Не можете игнорисати ове захтеве само зато што је незгодно обрађивати их.

Ваша организација треба да има јасан процес за обраду захтева субјеката података. То укључује проверу идентитета особе која подноси захтев и проверу да ли се и даље примењују законски рокови чувања података.

Морате документовати све захтеве и ваше одговоре како бисте доказали усклађеност са GDPR-ом.

Обезбеђивање усклађености са Општом уредбом о заштити података (GDPR) кроз праксе задржавања података

Потребно је да забележите периоде чувања података и објасните зашто сте изабрали одређене временске оквире. Укључите ове информације у своју политику приватности како бисте могли да покажете Ауторитету за заштиту података своје образложење ако се распитају.

Надлежни орган ће проценити да ли су ваши периоди чувања разумни и што је могуће краћи. Ваша изјава о приватности мора јасно навести колико дуго чувате различите врсте личних података.

Ова транспарентност помаже субјектима података да разумеју ваше праксе. Такође би требало редовно да проверавате своје сачуване личне податке како бисте идентификовали информације којима је истекао рок чувања.

Када се период чувања заврши, морате или безбедно уништити податке или их потпуно анонимизовати. За осетљиве информације попут медицинских података, потребно је да користите безбедне методе уништавања.

Дигитални системи могу аутоматски брисати податке у унапред одређено време како би се одржала усклађеност са прописима.

Извештавање и надзор од стране власти

Ауторитет за заштиту података прати да ли организације поштују захтеве Опште уредбе о заштити података (GDPR) за чување података. Они могу истражити ваше праксе и захтевати документацију о вашим периодима чувања и поступцима брисања.

Морате сарађивати у њиховим истрагама и пружити информације које траже. Ако дође до кршења безбедности података које укључује личне податке, морате то пријавити холандском органу за заштиту података у року од 72 сата.

Такође је потребно да директно обавестите погођене субјекте података ако кршење представља висок ризик по њихова права и слободе. То укључује ризике од дискриминације, преваре, финансијске штете или штете по репутацију.

Ваша секторска организација може пружити смернице о стандардним периодима чувања за вашу индустрију. Праћење признатих индустријских стандарда може подржати ваше напоре за усклађеност.

Међутим, ви остајете одговорни за одређивање одговарајућих периода чувања на основу ваших специфичних околности и законских обавеза.

Često postavljana pitanja