Procedura retencji danych zgłoszeń anonimowych powinna jednoznacznie określać, jak długo i od kiedy przechowujesz materiały z takich zgłoszeń, zgodnie z zasadą ograniczonego przechowywania z art. 5 ust. 1 lit. e RODO. Ponieważ przepisy nie podają jednego, wprost wskazanego terminu ani momentu startu dla zgłoszeń anonimowych, ustal je wewnętrznie, zwykle w oparciu o zamknięcie sprawy i poziom ryzyka, oraz uzasadnij te decyzje w dokumentacji.
Co naprawdę jest obowiązkiem, a co dobrą praktyką
Obowiązek wynika z zasady ograniczonego przechowywania: dane trzymasz nie dłużej niż to konieczne do celu przetwarzania. To minimum. Brak sztywnych terminów w przepisach dla tego typu zgłoszeń oznacza, że to Ty określasz okresy i punkt startowy retencji. To już decyzja organizacyjna, ale musi być spójna z celem i ryzykiem oraz dać się obronić. W sprawozdaniach organu nadzorczego sygnalizowano też praktyczne wątpliwości co do liczenia biegu retencji przy zgłoszeniach anonimowych, co wzmacnia potrzebę jasnej procedury wewnętrznej.
Jeśli dopiero projektujesz kanał, przyda Ci się spojrzenie na całość procesu i obiegi dokumentów: jak wdrożyć anonimowy kanał zgłaszania zagrożeń.
Jak wyznaczyć okresy dla zgłoszeń anonimowych
Uprość katalog spraw i przypisz im różne okresy przechowywania. W praktyce sprawdzają się cztery kategorie:
- Zgłoszenia ewidentnie bezzasadne lub spam: bardzo krótka retencja po wstępnej weryfikacji.
- Zgłoszenia niepotwierdzone, ale sensowne: retencja krótka, pozwalająca na analizę trendów i obronę decyzji.
- Zgłoszenia potwierdzone i sprawy naprawcze: retencja dłuższa, aby udokumentować działania i decyzje.
- Sprawy przekazane organom zewnętrznym: retencja skorelowana z przebiegiem postępowań i potrzebą ochrony interesu prawnego.
To dobra praktyka. Nie jest to katalog prawny, ale pomaga zachować proporcjonalność i przejrzystość.
Punkt startowy i „zatrzaski” czasu
Najczęstszy błąd to brak zdefiniowanego momentu, od którego liczysz retencję. W procedurze wskaż zdarzenia, które uruchamiają bieg czasu, na przykład:
- zamknięcie sprawy w rejestrze zgłoszeń,
- ostatnia czynność wyjaśniająca lub ostatnie działanie naprawcze,
- otrzymanie informacji o zakończeniu postępowania zewnętrznego.
Wskaż też zdarzenia, które czasowo zawieszają kasowanie, np. formalna reklamacja, spór lub audyt wewnętrzny. Nie rozszerzaj tego bez potrzeby. Zawsze dokumentuj powód i zakres zawieszenia.
Minimalizacja, pseudonimizacja i kontrola kopii
Nawet gdy zgłoszenie jest anonimowe, może zawierać dane innych osób. To zwiększa ryzyko nadmiernego przechowywania. Dobra praktyka to:
- pseudonimizacja lub depersonalizacja materiałów roboczych,
- oddzielne przechowywanie identyfikatorów sprawy i szczegółów,
- automatyczne usuwanie kopii roboczych z e‑maili, chatu i dysków współdzielonych po zamknięciu sprawy,
- stosowanie retencji także wobec notatek, transkrypcji i nagrań rozmów.
Unikniesz w ten sposób „ukrytych archiwów”, które niszczą zgodność i utrudniają rozliczalność.
Ryzyko błędnego obiegu dokumentów
Najwięcej naruszeń powstaje na styku narzędzi: skrzynka zgłoszeń, wewnętrzny komunikator, a potem arkusze do analizy. Jeśli nie przypniesz do nich tych samych reguł retencji, dane „przeżyją” sprawę o miesiące lub lata. Ogranicz liczbę miejsc, gdzie trafia zgłoszenie, zdefiniuj jednolite etykiety spraw i skonfiguruj automatyczne reguły usuwania w każdym systemie.
Procedura retencji w praktyce: krótka checklista
- Cel i zakres: opisz, jakich kanałów i materiałów dotyczy retencja (formularz, e‑mail, telefon, notatki, nagrania, pliki pomocnicze).
- Klasy spraw: przyjmij prosty podział spraw i przypisz różne okresy, uzasadnione celem i ryzykiem.
- Punkt startowy: zdefiniuj, od jakiego zdarzenia liczysz retencję w każdej klasie.
- Zawieszenia: określ, kiedy i kto może czasowo wstrzymać kasowanie oraz jak to dokumentować.
- Minimalizacja: wprowadź pseudonimizację i zasady usuwania kopii roboczych oraz metadanych.
- Narzędzia: skonfiguruj reguły retencji w skrzynkach, DMS, chmurze, backupach i komunikatorach.
- Rozliczalność: prowadź rejestr decyzji retencyjnych i okresowe przeglądy skuteczności.
FAQ
Czy retencja obejmuje także nagrania rozmów z anonimowej linii?
Tak, jeśli nagranie pozwala zidentyfikować osobę lub zawiera dane osobowe innych osób. Brak jednego ustawowego terminu oznacza, że okres i punkt startu określasz w procedurze, proporcjonalnie do celu.
Czy można przechowywać zgłoszenie bezterminowo w ramach „monitoringu działań naprawczych”?
Nie. Zasada ograniczonego przechowywania wymaga określenia konkretnego, uzasadnionego czasu. Monitoring nie uzasadnia bezterminowości. Wskaż warunek zamknięcia i maksymalny horyzont w procedurze.
Kto zatwierdza okresy retencji?
To decyzja administratora danych. W praktyce warto, aby propozycję przygotował właściciel procesu, a IOD ocenił proporcjonalność i ryzyko.
Czy muszę informować o retencji osoby, których dane pojawiają się w treści zgłoszenia?
Zakres obowiązku informacyjnego zależy od przepisów RODO i regulacji dotyczących sygnalistów. W praktyce należy zweryfikować możliwe wyłączenia i sposób spełnienia obowiązku wobec osób, których dotyczy zgłoszenie.
Podstawa prawna
Art. 5 ust. 1 lit. e RODO: dane przechowuje się nie dłużej, niż to niezbędne do celów przetwarzania. W przypadku braku szczególnych terminów, administrator określa je samodzielnie w sposób proporcjonalny do celu.