Jak napsat politiku uchovávání údajů

Co GDPR opravdu žádá

Začněme tím, co se o tomto tématu píše nejčastěji a není to pravda: GDPR nikde nestanoví povinnost mít dokument s názvem „politika uchovávání údajů".

Žádá tři věci, ze kterých takový dokument prakticky vyplyne.

Omezení uložení. Osobní údaje se uchovávají ve formě umožňující identifikaci osoby nejdéle po dobu, která je nezbytná pro účel, pro který se zpracovávají.

Uvedení doby. Při získávání údajů musíte osobě sdělit dobu uchovávání — a pokud ji uvést nelze, alespoň kritéria pro její určení.

Záznam. V záznamech o činnostech zpracování se uvádějí předpokládané lhůty pro výmaz jednotlivých kategorií údajů, je-li to možné.

K tomu přistupuje zásada odpovědnosti: soulad musíte umět prokázat. A u lhůt se to bez písemného přehledu prokazuje těžko — třicet účelů v hlavě nikdo nenosí.

Politika uchovávání je tedy odpověď na otázku, ne povinnost sama o sobě. To je dobrá zpráva: znamená to, že nemá smysl psát ji podle šablony, ale podle toho, co se v organizaci opravdu děje.

Odkud se bere lhůta

Lhůta není věc názoru. U každé kategorie údajů je odpověď z jednoho ze tří zdrojů — v tomto pořadí.

Zvláštní předpis. Účetnictví, mzdy, archivnictví, zdravotnická dokumentace. Kde předpis lhůtu stanoví, je rozhodnutí hotové a není o čem uvažovat.

Účel. Kde předpis mlčí, platí, že údaj se uchovává, dokud trvá účel. Přihláška na akci, která se konala před rokem, účel nemá.

Schopnost bránit se. Po skončení účelu může trvat oprávněný zájem uchovat údaj po dobu promlčecí lhůty — ne však „pro jistotu navždy". Tuto lhůtu je třeba pojmenovat a odůvodnit.

Praktické pravidlo: pokud ke lhůtě nedokážete napsat jednu větu odůvodnění, lhůta není určená. Je odhadnutá.

Jak se to dělá, aby to vydrželo

Vycházejte ze záznamů o činnostech zpracování, ne z prázdného dokumentu. Ty záznamy už kategorie údajů a účely obsahují. Politika uchovávání je jejich sloupec navíc.

Lhůtu važte na událost, ne na datum. „Tři roky od skončení pracovního poměru" funguje. „Do roku 2029" funguje jeden rok a potom zavádí.

U každé lhůty uveďte její zdroj. Ustanovení předpisu, nebo větu odůvodnění. Bez toho se za rok nikdo nedozví, proč tam číslo je, a při kontrole ho neobhájíte.

Určete, kdo lhůtu hlídá. Politika, která nemá vlastníka, je seznam dobrých úmyslů. Výmaz se zpravidla nestane sám — musí být něčí opakovaný úkon nebo funkce systému.

Co se stane, když lhůta uplyne

Jsou dvě možnosti a nejsou rovnocenné.

Výmaz. Údaj přestane existovat. Je to čisté řešení a u většiny kategorií správné.

Anonymizace. Údaj zůstane, ale osobu z něj nelze identifikovat — ani zpětně, ani spojením s jiným souborem. Tehdy to už nejsou osobní údaje a GDPR se na ně nevztahuje.

A třetí možnost, která se tváří jako řešení: přesun do archivu „na neurčito". To není výmaz ani anonymizace — je to uchovávání s jinou cestou přístupu.

Zálohy — místo, kde politika selže

Tohle je část, kterou většina politik neřeší, a přitom je to první otázka, kterou při kontrole dostanete.

Údaj smazaný z provozní databáze zůstává v zálohách — týden, měsíc, někdy roky. Procházet zálohy a mazat z nich jednotlivé záznamy technicky zpravidla nejde.

Prakticky použitelný přístup má tři části a patří přímo do politiky:

Zálohy mají vlastní, kratší a pojmenovanou dobu uchovávání. Údaj z nich zmizí cyklem, ne zásahem.

Zálohy se nepoužívají k běžnému přístupu k údajům — jen k obnově po havárii. To musí být napsané a dodržované.

Pokud se záloha obnoví, výmaz se na obnovených údajích provede znovu. Bez tohoto kroku se vymazané údaje po obnově vrátí do provozu a nikdo si toho nevšimne.

Napsat tyto tři věty je rozdíl mezi politikou, která obstojí, a politikou, která vypadá dobře.

Pět chyb, které vidíme nejčastěji

Jedna lhůta pro všechno. „Uchováváme tři roky" napříč dvaceti účely znamená, že některé údaje držíte příliš dlouho a jiné mažete předčasně — a obojí je problém.

Lhůta bez zdroje. Číslo, ke kterému se nikdo nedokáže vrátit.

Politika, kterou nikdo nevykonává. Dokument existuje, mazání se neděje. Při kontrole se ptá na záznam o provedení, ne na dokument.

Zapomenutá místa. Sdílené disky, e-mailové schránky, exporty do tabulek, stará testovací prostředí. Údaj se smaže tam, kde se o něj někdo stará, a přežije tam, kde ne.

Šablona z internetu převzatá beze změny. Poznáte ji podle toho, že obsahuje kategorie údajů, které organizace nikdy nezpracovávala.

Kde můžeme pomoci

Politiku uchovávání vypracujeme, nebo vám dáme naši šablonu a projdeme s vámi její naplnění — podle toho, co dává smysl. Součástí je průchod záznamů o činnostech zpracování.

Pokud už politiku máte, dokážeme ji posoudit proti tomu, co se v organizaci opravdu děje. To je zpravidla užitečnější než psát novou.

Právní stav ověřen k 11. 9. 2026. U právního obsahu je zastaralý článek horší než žádný — pokud najdete nesrovnalost, napište nám na cz@iosec.eu.