Retencja danych w outsourcingu: kiedy archiwizować, usuwać i żądać potwierdzenia

W outsourcingu dane łatwo się rozmnażają. Plik wejściowy trafia do systemu roboczego, kopii zapasowej, raportu, archiwum i katalogu wymiany. Dokument papierowy może mieć skan, kopię produkcyjną oraz potwierdzenie nadania. Jeśli umowa mówi jedynie, że dane będą przechowywane „tak długo, jak to konieczne”, każda strona może rozumieć ten okres inaczej.

RODO wymaga ograniczenia przechowywania: dane osobowe nie powinny pozostawać w formie pozwalającej zidentyfikować osobę dłużej, niż jest to potrzebne do celu. Nie wskazuje jednak jednej liczby lat dla wszystkich dokumentów. Okres wynika z celu, podstawy prawnej, obowiązków branżowych, potrzeb dowodowych i rzeczywistego przebiegu procesu. Dlatego retencja powinna być zaprojektowana razem z procesem, a nie dopisana po uruchomieniu usługi.

Retencja to cykl życia, nie jedna data

Praktyczny model obejmuje cztery stany. Każdy powinien mieć osobne reguły dostępu, wyszukiwania i zakończenia.

CNIL opisuje podobny cykl: baza aktywna, archiwizacja pośrednia, a następnie archiwizacja końcowa albo usunięcie. Samo przeniesienie pliku do folderu „archiwum” nie ogranicza retencji, jeśli nadal jest powszechnie dostępny i używany jak dane aktywne.

Kto ustala okres, a kto wykonuje usunięcie

Administrator określa cel, podstawę i okres przechowywania. Procesor realizuje udokumentowane instrukcje, chroni dane oraz pomaga wykazać wykonanie obowiązków. Artykuł 28 ust. 3 lit. g RODO wymaga, aby po zakończeniu usług - według wyboru administratora - dane zostały usunięte albo zwrócone, a istniejące kopie usunięte, chyba że prawo nakazuje dalsze przechowywanie.

W praktyce zdanie „po zakończeniu umowy” jest zbyt szerokie. Trzeba ustalić, czy zakończeniem jest ostatnia przesyłka, zamknięcie reklamacji, rozliczenie miesiąca, wygaśnięcie dostępu czy rozwiązanie całej umowy. Dla każdej kategorii danych może działać inny zegar.

Zbuduj macierz retencji dla rzeczywistych danych

Macierz powinna obejmować nie tylko główne dokumenty, lecz również pliki tymczasowe, logi, raporty, próbki, kopie zapasowe, wiadomości i nośniki fizyczne. Dla każdej pozycji zapisz:

• kategorię i cel: co przechowujemy i dlaczego;
• podstawę: umowa, obowiązek prawny, uzasadniona potrzeba dowodowa lub inna właściwa podstawa;
• lokalizacje: system produkcyjny, e-COK, udział sieciowy, poczta, backup, archiwum papierowe;
• punkt startowy: utworzenie, zamknięcie sprawy, rozliczenie, wygaśnięcie umowy albo inny mierzalny moment;
• okres aktywny i archiwalny: osobno dla pracy bieżącej i ograniczonego archiwum;
• właściciela decyzji: kto zatwierdza okres, wyjątek i usunięcie;
• metodę zakończenia: zwrot, usunięcie, zniszczenie lub nieodwracalna anonimizacja;
• dowód: log, protokół, raport partii albo potwierdzenie wykonania.

Nie kopiuj jednego terminu na wszystkie dane. Lista adresowa do jednorazowej wysyłki, log dostępu, skan korespondencji i dokument księgowy mają inne cele i mogą podlegać innym wymaganiom. Okresy prawne warto potwierdzić z prawnikiem lub inspektorem ochrony danych właściwym dla danej branży.

Legal hold: kontrolowany wyjątek, a nie wieczne archiwum

Spór, reklamacja, kontrola lub obowiązek zabezpieczenia dowodów może wymagać czasowego wstrzymania usunięcia. Taki wyjątek powinien mieć numer sprawy, podstawę, zakres danych, właściciela, datę przeglądu i warunek zwolnienia. Bez tego „zachowajmy na wszelki wypadek” łatwo staje się stałą polityką.

Blokada powinna dotyczyć tylko potrzebnego zbioru. Po jej zwolnieniu dane wracają do zwykłego harmonogramu i są usuwane, jeśli termin już minął.

Kopie zapasowe nie mogą być białą plamą

Natychmiastowe selektywne usunięcie rekordu z każdej kopii zapasowej może być technicznie niemożliwe albo osłabić integralność backupu. Nie oznacza to zgody na bezterminowe przechowywanie. Umowa i procedura powinny opisywać cykl nadpisywania kopii, ograniczenie dostępu, zakaz przywracania usuniętych danych do normalnego użycia oraz sposób ponownego zastosowania żądania usunięcia po odtworzeniu środowiska.

Ważne jest rozróżnienie backupu od archiwum. Backup służy odtworzeniu systemu po awarii; archiwum służy kontrolowanemu dostępowi do starszych informacji. Używanie kopii zapasowej jako wygodnego archiwum utrudnia zarządzanie retencją.

Bezpieczne usuwanie zależy od nośnika i ryzyka

Usunięcie pliku z katalogu lub opróżnienie kosza nie zawsze oznacza, że odzyskanie danych jest niewykonalne. NIST SP 800-88 Rev. 2, opublikowany 26 września 2025 r., zaleca program sanityzacji nośników oparty na wrażliwości informacji i ryzyku. Rozróżnia podejścia takie jak czyszczenie logiczne, głębsze usunięcie uniemożliwiające odzyskanie oraz fizyczne zniszczenie nośnika. Właściwa metoda zależy od technologii, dalszego użycia sprzętu i wymaganego poziomu pewności.

Dla papieru potrzebny jest zamknięty łańcuch: oznaczenie partii, zabezpieczony pojemnik, kontrolowane przekazanie, zniszczenie odpowiednią metodą i potwierdzenie. Dla danych elektronicznych liczą się system, replikacja, pamięć urządzeń, eksporty użytkowników i logi. Jedna komenda nie obejmie automatycznie wszystkich kopii.

Jak powinno wyglądać potwierdzenie usunięcia

Potwierdzenie nie musi ujawniać treści danych, ale powinno umożliwiać odtworzenie decyzji. W zależności od ryzyka zawiera identyfikator klienta lub procesu, kategorię danych, zakres dat lub partii, lokalizacje objęte operacją, zastosowaną metodę, datę, wykonawcę, wynik kontroli oraz wyjątki takie jak aktywny legal hold albo kopie oczekujące na nadpisanie.

Dla procesów masowych dobrym rozwiązaniem jest raport zbiorczy z możliwością przejścia do szczegółu. Dzięki temu klient widzi wykonanie harmonogramu, ale raport sam nie tworzy kolejnej nadmiernej kopii danych osobowych.

Retencja w umowie outsourcingowej

Załącznik retencyjny powinien łączyć macierz danych z odpowiedzialnością i SLA. Ustal co najmniej częstotliwość automatycznych purge, czas wykonania żądania ad hoc, obsługę backupów, legal hold, zwrot danych, usunięcie po wyjściu, podwykonawców, nośniki papierowe i zakres raportu. Te ustalenia warto powiązać z rejestrem podwykonawców i śladem audytowym procesu.

Wdrożenie w 30 dni

1. Zinwentaryzuj kategorie danych i wszystkie lokalizacje, również eksporty i papier.
2. Przypisz cel, podstawę, punkt startowy i właściciela.
3. Oddziel okres aktywny od archiwum pośredniego.
4. Zdefiniuj legal hold oraz cykl kopii zapasowych.
5. Dobierz metodę usuwania do nośnika i ryzyka.
6. Uruchom pilotaż na jednej zamkniętej partii.
7. Sprawdź logi, raport, wyjątki i możliwość odtworzenia decyzji.
8. Ustal kwartalny przegląd macierzy i zmian w systemach.

Jeżeli porządkujesz obieg korespondencji, skanów i potwierdzeń, zobacz obsługę korespondencji firmowej oraz e-COK. Porozmawiaj z BackOffice Outsourcing o zaprojektowaniu zakresu, raportów i punktów kontrolnych, zanim pierwsza partia danych trafi do realizacji.

Źródła

• Rozporządzenie (UE) 2016/679 - RODO, art. 5, 17 i 28
• CNIL, Define a data retention period
• NIST SP 800-88 Rev. 2, Guidelines for Media Sanitization, 26.09.2025

Najczęstsze pytania

Czy RODO określa jeden obowiązkowy okres retencji?

Nie. Okres zależy od celu, podstawy prawnej, obowiązków sektorowych i potrzeb dowodowych. Organizacja powinna umieć uzasadnić każdy termin.

Czy backup trzeba usuwać natychmiast po żądaniu?

Procedura powinna uwzględniać techniczne właściwości kopii, ich cykl nadpisywania i ograniczenie użycia. Po odtworzeniu systemu usunięte dane nie powinny wrócić do normalnego przetwarzania.

Co powinno zawierać potwierdzenie usunięcia?

Co najmniej zakres, kategorię danych, lokalizacje, metodę, datę, wykonawcę, wynik kontroli i opis uzasadnionych wyjątków.

Kto odpowiada za harmonogram retencji w outsourcingu?

Administrator określa cele i okresy, a procesor realizuje udokumentowane instrukcje. Umowa powinna jasno dzielić decyzje, wykonanie, raportowanie i obsługę wyjątków.

← Wróć do wszystkich artykułów