Na tej stronie (6)
Okres przechowywania danych z rejestru wjazdów ustala administrator danych, czyli firma prowadząca obiekt; nie dostawca systemu i nie ochrona. Przepisy nie podają jednej liczby dla wszystkich; termin wynika z celu, w jakim dane są zbierane, i musi być zapisany w polityce retencji. System ma tę politykę wykonywać automatycznie, żeby usuwanie danych nie zależało od czyjejś pamięci.
Zeszyt na portierni niczego nie usuwa. Leży w szafie latami i zawiera imiona, nazwiska, numery rejestracyjne i godziny, czyli komplet danych osobowych bez żadnego terminu ważności.
Co konkretnie jest daną osobową w rejestrze wjazdu
Danych osobowych jest w rejestrze wjazdu więcej, niż się zwykle zakłada:
- imię i nazwisko kierowcy, co jest oczywiste,
- numer rejestracyjny pojazdu, który jest daną osobową, gdy da się go powiązać z osobą, a w rejestrze wjazdów zwykle się da,
- godziny wjazdu i wyjazdu, czyli informacja o aktywności konkretnej osoby w czasie,
- skan dokumentu, jeśli jest zbierany; zwykle to najbardziej wrażliwy element całego rekordu,
- historia wizyt, czyli zestawienie pokazujące, jak często i kiedy dana osoba bywała na terenie.
O historii wizyt zapomina się najczęściej. Pojedynczy wjazd to notatka, a trzysta wjazdów tej samej osoby zestawionych w jednym raporcie to profil aktywności i tak jest oceniany.
Jak ustalić okres przechowywania danych kierowców
Okres przechowywania danych kierowców wynika z odpowiedzi na trzy pytania. Pierwsze dotyczy celu, bo cel decyduje o wszystkim. Bezpieczeństwo obiektu, rozliczenie dostaw i kontrola czasu pracy to trzy różne cele, z trzema różnymi uzasadnieniami i potencjalnie trzema różnymi okresami przechowywania.
Drugie pytanie dotyczy tego, jak długo dane są potrzebne do tego celu. Brzmi ono „ile potrzebujemy”, a nie „ile możemy trzymać”. Dane trzymane dłużej, niż wymaga cel, są trzymane bez podstawy.
Trzecie dotyczy tego, co się z danymi dzieje po tym czasie, i tu wchodzi rozróżnienie między usunięciem a anonimizacją.
Usunięcie a anonimizacja
Usunięcie oznacza, że rekordu nie ma. Znika też informacja statystyczna: ile pojazdów wjechało w zeszłym roku, jaka była średnia liczba wjazdów w poniedziałki.
Anonimizacja oznacza, że rekord zostaje, ale bez danych pozwalających zidentyfikować osobę. Zostaje fakt „wjazd o 8:15, pojazd ciężarowy, rampa 3”, znika informacja, kto go wykonał.
Dla większości obiektów anonimizacja jest właściwym wyborem: zachowuje wartość statystyczną i planistyczną, a usuwa to, co podlega ochronie. Anonimizacja jest nieodwracalna: po jej wykonaniu nie da się odtworzyć, kto to był, nawet gdyby okazało się to potrzebne przy sporze. Dlatego termin powinien być dłuższy niż okres, w którym zdarzają się reklamacje.
Retencja i anonimizacja danych w TraxSystem
TraxSystem wykonuje politykę retencji w tle, według terminów ustawionych przez administratora, i anonimizuje dane zamiast je usuwać, jeśli tak ustawiono. Prowadzi audyt, czyli zapis, kto i kiedy sięgał do danych. Ogranicza też widoczność, bo nie każdy, kto ma dostęp do systemu, musi widzieć dane wszystkich osób.
Ograniczenie widoczności bywa ważniejsze od samej retencji. Ochroniarz na bramie potrzebuje informacji, czy ten pojazd może wjechać, a historia wizyt kierowcy sprzed roku nie jest mu do niczego potrzebna.
Zgodność z RODO: co zależy od administratora
TraxSystem sam z siebie nie zapewnia zgodności z RODO i nikt nie może jej obiecać za Ciebie. Zgodność zależy od tego, jak system zostanie skonfigurowany, jakie cele przetwarzania zostaną określone i jakie terminy retencji ustali administrator. System dostarcza mechanizmy potrzebne do zgodności: retencję, anonimizację, audyt i ograniczenie widoczności. Politykę ustala administrator danych.
System nie prowadzi za Ciebie rejestru czynności przetwarzania ani nie generuje dokumentacji wymaganej od administratora. Nie rozpoznaje też twarzy i nie zbiera danych biometrycznych jako podstawy dostępu; identyfikacja odbywa się przez kartę i dane osobowe.
Opisane tu mechanizmy systemu i praktyka organizacyjna nie stanowią porady prawnej. Terminy retencji i podstawy przetwarzania warto ustalić z inspektorem ochrony danych.
Pytania i odpowiedzi
Czy w wariancie chmurowym dane wyjeżdżają za granicę?
Nie. Serwery stoją w Polsce, nie ma transferu poza Europejski Obszar Gospodarczy. W tym wariancie EROW, producent systemu, występuje jako podmiot przetwarzający i podpisuje umowę powierzenia; administratorem pozostaje klient.
Czy przy wdrożeniu na własnym serwerze jest podmiot przetwarzający?
Nie. Dane nie opuszczają infrastruktury klienta. Dla części firm to warunek zaporowy i wtedy jest to najmocniejszy argument za tym wariantem.
Czy da się ustawić różne terminy dla różnych kategorii danych?
Tak, reguły retencji ustala się osobno dla poszczególnych kategorii. Ich zakres dobiera się przy wdrożeniu, wychodząc od celów przetwarzania określonych przez administratora.
Zobacz też: Rejestr wjazdów a RODO: kto w firmie może widzieć dane kierowcy · Serwer u siebie czy w chmurze: jak wybrać dla systemu kontroli wjazdu