Przechowywanie danych z ochrony rozwiązuje się w agencjach zwykle na jeden z dwóch sposobów i oba kosztują. Pierwsza: trzymamy wszystko, bo nigdy nie wiadomo. Po kilku latach nikt nie wie, co gdzie leży, kto ma do tego dostęp i na jakiej podstawie zbiór w ogóle istnieje. Druga: kasujemy po kwartale, żeby nie zawracać sobie głowy — a potem przy sporze ze zleceniodawcą albo przy sprawie sądowej okazuje się, że jedyny zapis, który mógł coś rozstrzygnąć, już nie istnieje.
To nie jest jedna decyzja. To zestaw decyzji, po jednej dla każdego rodzaju zapisu, podjętych świadomie i zapisanych. Ten tekst nie podaje żadnych okresów, bo podanie ich byłoby nieodpowiedzialne: wynikają z przepisów, które się zmieniają, z rodzaju obiektu, z treści umowy i z konkretnej sytuacji. Pokazuje natomiast sposób, w jaki taką decyzję podjąć, i pułapki, w które wpada się najczęściej.
Zacznijcie od pytania „po co”, nie „na jak długo”
Każdy zbiór danych istnieje w jakimś celu. Dopiero cel wyznacza rozsądny okres. Zapytajcie o każdą kategorię: do czego to jest nam potrzebne i przez jaki czas realnie z tego korzystamy.
Odpowiedzi bywają zaskakujące. Okazuje się, że nagrania z konkretnego obiektu nie były otwierane nigdy, a wpisy ze służby sprzed kilku lat wyciąga się regularnie przy przygotowaniu ofert. Wtedy widać, że okresy przechowywania ustalono odwrotnie do faktycznego użytku.
Cele w praktyce sprowadzają się do czterech: wykazanie należytego wykonania usługi wobec zleceniodawcy; obrona w razie sporu lub roszczenia; obowiązki wynikające z przepisów; oraz własna analiza operacyjna. Każdy z nich ma inny horyzont i to dlatego jeden wspólny okres dla wszystkiego nigdy nie jest dobrym rozwiązaniem.
Przechowywanie danych z ochrony: kategorie, które warto rozdzielić
Zapisy ze służby. Wpisy z książki służby, opisy zdarzeń, potwierdzenia obchodów, raporty dobowe. To rdzeń dokumentacji i zwykle najdłużej użyteczna warstwa — bo dowodzi, że usługa była wykonywana. Są to jednak dane wskazujące konkretne osoby, więc nie mogą leżeć bezterminowo bez uzasadnienia. Warto ustalić okres z uwzględnieniem czasu, przez jaki mogą pojawić się roszczenia z umowy.
Rejestr gości i wejść. Zawiera dane osób postronnych, często w większej liczbie niż jakikolwiek inny zbiór w agencji. Zwykle użyteczny krótko — do wyjaśnienia bieżących spraw — a jednocześnie najbardziej wrażliwy. To pierwsza kategoria, dla której warto ustawić krótki, automatycznie egzekwowany okres.
Nagrania obrazu. Rządzą się własnymi regułami, zwykle bardziej rygorystycznymi, i zwykle należą do właściciela obiektu, a nie do agencji. Kluczowe jest ustalenie w umowie, kto jest za nie odpowiedzialny, kto może je pobierać i na jakiej podstawie — a także udokumentowanie każdego udostępnienia.
Dane lokalizacyjne. Ślad pozycji pracownika ochrony w trakcie służby jest przydatny operacyjnie i przy wykazaniu wykonania obchodu, ale to dane o człowieku, nie o obiekcie. Powinny być zbierane w zakresie czasu służby i przechowywane krótko, z jasnym wyjaśnieniem celu wobec zespołu. Jak to wygląda w praktyce, opisuje lokalizacja GPS w ochronie.
Dokumentacja osobowa i kwalifikacje. Umowy, uprawnienia, szkolenia, badania. Tu okresy wynikają wprost z przepisów kadrowych i podatkowych, a decyzja należy do kadr i księgowości, nie do operacji.
Materiał fotograficzny. Zdjęcia załączone do zdarzeń dziedziczą los wpisu, do którego należą. Problemem są zdjęcia luźne — w telefonach, na komunikatorach, w prywatnych katalogach. Tych nie da się objąć żadną polityką, dlatego jedynym rozwiązaniem jest to, żeby w ogóle nie powstawały poza systemem.
Kto o tym decyduje
Nie kierownik obiektu i nie osoba wdrażająca system. Decyzja o okresach przechowywania jest decyzją firmy i powinna zapaść na poziomie zarządu, po konsultacji z osobą odpowiedzialną za ochronę danych, z doradcą prawnym i z księgowością — a przy zbiorach dotyczących obiektu również w uzgodnieniu ze zleceniodawcą, bo to jego umowa określa część wymagań.
Wynik ma być spisany: jaka kategoria, jaki cel, jaki okres, kto ma dostęp, co się dzieje po upływie okresu. Jedna tabela wystarczy. Bez niej pierwsze pytanie audytora o podstawę przechowywania zostaje bez odpowiedzi, a każda osoba w firmie stosuje własną praktykę.
Warto też wyznaczyć termin przeglądu tej tabeli, bo przepisy się zmieniają, a zbiory danych przyrastają w miejscach, o których nikt nie pamięta.
Usuwanie automatyczne kontra ręczne
Usuwanie ręczne nie działa. Nie dlatego, że ludzie są niesolidni, tylko dlatego, że nie ma na to miejsca w żadnym kalendarzu: kasowanie danych nigdy nie jest pilne, więc zawsze ustępuje czemuś innemu. Po dwóch latach polityka istnieje na papierze, a zbiory rosną.
Usuwanie działa wtedy, gdy jest ustawione raz i wykonuje się samo — okres przypisany do kategorii, a system egzekwuje go bez udziału człowieka. Do tego potrzebne są jednak trzy zabezpieczenia:
Wyłączenie dla spraw otwartych. Zapis związany z postępowaniem, roszczeniem albo trwającym sporem nie może zostać usunięty automatycznie. Musi istnieć sposób oznaczenia takiego materiału i wyjęcia go spod reguły — z odnotowaniem, kto to zrobił i dlaczego.
Ostrzeżenie przed usunięciem. Informacja z wyprzedzeniem, że dana partia zapisów zbliża się do końca okresu, daje szansę na reakcję, gdy okoliczności się zmieniły.
Ślad usunięcia. Odnotowanie, że zbiór z danego okresu został usunięty zgodnie z regułą. To ten zapis, nie brak danych, jest odpowiedzią przy audycie.
Do tego dochodzi pytanie, o którym łatwo zapomnieć: kopie zapasowe też podlegają polityce. Zbiór usunięty z bieżących zapisów, a leżący w kopiach bez końca, nie został usunięty.
Sprawy otwarte: najważniejszy wyjątek
Materiał, który dotyczy zdarzenia objętego postępowaniem, sporem z kontrahentem, roszczeniem pracownika albo zgłoszeniem ubezpieczeniowym, wymaga osobnego traktowania. Automatyczne usunięcie takiego zapisu w trakcie sprawy jest jednym z najgorszych scenariuszy, jakie mogą spotkać agencję — nawet jeśli nastąpiło zgodnie z regułą i bez złej woli.
Praktyczne zabezpieczenie: w momencie, gdy sprawa zostaje zgłoszona, ktoś ma obowiązek oznaczyć powiązane zapisy jako wyłączone z usuwania. Ten obowiązek musi być częścią procedury obsługi zdarzenia, a nie osobnym zadaniem, o którym trzeba pamiętać. Wpisy w elektronicznej książce służby powiązane z jednym zdarzeniem powinny dać się oznaczyć razem, wraz z załącznikami.
Dostęp jest równie ważny jak okres
Polityka retencji bez polityki dostępu jest połowiczna. Pytanie „jak długo trzymamy” ma sens dopiero razem z pytaniem „kto może to zobaczyć”.
Zasada praktyczna: kierownik obiektu widzi swój obiekt, pracownik ochrony widzi własne zapisy i to, co potrzebne do służby, a szeroki wgląd mają tylko osoby, które muszą go mieć z racji funkcji. Przy udostępnieniach na zewnątrz — zleceniodawcy, ubezpieczycielowi, organom — każde przekazanie powinno zostawiać ślad: co, komu, kiedy i na jakiej podstawie.
Uwaga o przepisach
Okresy przechowywania dokumentacji służby, nagrań obrazu, rejestrów wejść, danych lokalizacyjnych oraz dokumentacji osobowej wynikają z przepisów o ochronie danych osobowych, przepisów o ochronie osób i mienia, przepisów kadrowych i podatkowych oraz z treści umowy ze zleceniodawcą. Wymagania te zmieniają się w czasie, różnią się w zależności od rodzaju danych i obiektu, a ich zastosowanie wymaga oceny konkretnej sytuacji. Przed ustaleniem własnej polityki zweryfikujcie stan prawny u właściwego organu i skonsultujcie się z doradcą prawnym oraz z osobą odpowiedzialną za ochronę danych. Ten artykuł nie stanowi porady prawnej.
Najczęstsze pytania
Czy można ustalić jeden okres przechowywania dla wszystkich danych ze służby? W praktyce nie. Rejestr gości, nagrania obrazu, zapisy ze służby i dokumentacja osobowa mają różne cele i podlegają różnym wymaganiom, więc jeden wspólny okres zawsze będzie dla części zbiorów zbyt długi, a dla części zbyt krótki.
Kto w agencji ochrony decyduje o okresach przechowywania? Decyzja należy do firmy i powinna zapaść na poziomie zarządu, po konsultacji z doradcą prawnym, osobą odpowiedzialną za ochronę danych i księgowością, z uwzględnieniem zapisów umowy ze zleceniodawcą.
Co zrobić z danymi dotyczącymi trwającej sprawy? Wyłączyć je z automatycznego usuwania na czas trwania sprawy, oznaczając powiązane zapisy i załączniki, oraz odnotować, kto i dlaczego to zrobił.
Czy usuwanie danych trzeba dokumentować? Warto odnotować, że zbiór z danego okresu został usunięty zgodnie z przyjętą regułą. Sam brak danych niczego nie wyjaśnia, a zapis o usunięciu jest odpowiedzią na pytanie audytora.
Jeżeli chcecie mieć zapisy ze służby w jednym miejscu, z jasnymi zasadami dostępu i okresami przechowywania, zacznijcie od opisu systemu.