holandski zakon primjenjuje dvostran pristup čuvanju podataka o kupcima. Poslovne evidencije poput finansijskih dokumenata moraju se čuvati najmanje sedam godina prema poreskom zakonu, dok se lični podaci prema GDPR ne smije se čuvati duže nego što je potrebno za njegovu namjenu.
Ovo stvara pažljivu ravnotežu između ispunjavanja zakonskih obaveza i poštovanja prava na privatnost.
Mnoge organizacije imaju poteškoća da shvate tačno koliko dugo mogu zakonito čuvati različite vrste podataka o kupcima. Pravila variraju u zavisnosti od toga da li se radi o finansijskim evidencijama, podacima o zaposlenima ili općim podacima o kupcima.
Neki periodi čuvanja podataka određeni su posebnim zakonima, dok drugi zahtijevaju da donosite razumne odluke na osnovu vaših poslovnih potreba.
Ovaj vodič objašnjava pravni okvir koji reguliše zadržavanje podataka u Holandiji i pokazuje vam kako da odredite odgovarajuće rasporede zadržavanja za vašu organizaciju.
Naučit ćete o zakonskim zahtjevima za različite vrste podataka, kako pravilno upravljati brisanjem podataka i koja prava vaši klijenti imaju u vezi sa svojim informacijama.
Osnovni principi zadržavanja podataka prema holandskom zakonodavstvu
holandski zakon zahtijeva da slijedite tri ključna principa prilikom čuvanja podataka o kupcima: podatke morate čuvati samo za njihovu prvobitnu svrhu, prikupljati minimalnu potrebnu količinu i jasno dokumentirati svoje odluke o čuvanju.
Ograničenje svrhe u obradi ličnih podataka
Lične podatke možete zadržati samo u određenu svrhu za koju ste ih prikupili. Ako ste ih prikupili informacije o kupcu Da biste obradili narudžbu, ne možete te podatke čuvati neograničeno u marketinške svrhe, osim ako niste dobili zasebnu saglasnost za tu svrhu.
GDPR zahtijeva da definirate jasne svrhe prije prikupljanja bilo kakvih podataka. Kada ta svrha prestane, vaša pravni osnov jer se zadržavanje također završava.
Na primjer, kada završite transakciju s kupcem i zakonsko zadržavanje istekom perioda, morate izbrisati njihove podatke osim ako ne postoji druga legitimna svrha.
Ne možete ponovo koristiti stare podatke bez valjanog pravnog osnova. Ako se vaše poslovne okolnosti promijene i želite koristiti postojeće podatke o kupcima u novu svrhu, morate procijeniti da li je to u skladu s prvobitnom svrhom prikupljanja ili zatražiti novu saglasnost.
Minimizacija podataka i neophodnost
Morate prikupljati i čuvati samo minimalne lične podatke potrebne za postizanje vaše svrhe. To znači da ne možete čuvati podatke o kupcima „za svaki slučaj“ ako bi vam kasnije mogli biti korisni.
Holandski poreski zakon zahtijeva da čuvate finansijske evidencije sedam godina. Međutim, to ne znači da možete čuvati sve podatke o klijentima sedam godina.
Morate odvojiti ono što morate čuvati po zakonu od onoga što ste prikupili u druge svrhe.
Holandska Agencija za zaštitu podataka očekuje da redovno pregledate pohranjene podatke. Zapitajte se: da li su vam ove informacije i dalje potrebne? Možete li ih anonimizirati umjesto da ih čuvate u prepoznatljivom obliku?
Ako je odgovor ne, morate izbrisati ili anonimizirati podatke.
Transparentnost i odgovornost
Morate dokumentirati svoje periodi zadržavanja i objasnite zašto ste ih odabrali. Holandska agencija za zaštitu podataka može zatražiti ove informacije i procijenit će da li su vaše odluke razumne.
Vaša izjava o privatnosti mora jasno navesti korisnike koliko dugo ćete čuvati njihove podatke. Korisnici imaju pravo zatražiti brisanje nakon isteka perioda čuvanja ili kada vam više nisu potrebni njihovi podaci.
Trebali biste evidentirati periode čuvanja podataka u svojoj politici privatnosti s jasnim obrazloženjima. Ovo vas štiti tokom revizija i pomaže kupcima da razumiju vaše prakse u vezi s podacima.
Ako kupci smatraju da predugo čuvate njihove podatke, mogu podnijeti žalbu holandskoj Agenciji za zaštitu podataka.
Pravni okvir koji reguliše periode čuvanja podataka
Pravni okvir za zadržavanje podataka u Holandiji kombinuje evropsko i nacionalno zakonodavstvo, pri čemu GDPR postavlja temelj, a holandski zakoni dodaju specifične zahtjeve.
Autoriteit Persoonsgegevens nadgleda usklađenost, dok preduzeća moraju uravnotežiti zakonske obaveze i zaštita podataka principi.
GDPR i holandski Zakon o implementaciji
Opšta uredba o zaštiti podataka (GDPR) predstavlja primarnu pravnu osnovu za čuvanje podataka u Holandiji. Ona ne određuje konkretne periode čuvanja podataka o kupcima.
Umjesto toga, uspostavlja princip da ne smijete čuvati lične podatke duže nego što je potrebno za svrhe za koje ih obrađujete.
Holandski Zakon o zaštiti podataka (DGIA) implementira GDPR na nacionalnom nivou. Ovaj zakon djeluje uz GDPR kako bi regulisao način na koji rukujete ličnim podacima.
Kolektivni zakon o zaštiti podataka (Verzamelwet Gegevensbescherming) nedavno je izmijenio DGIA i srodne zakone o zaštiti podataka kako bi se osigurala usklađenost s trenutnim standardima privatnosti.
Tvoj politika privatnosti morate dokumentirati svoje periode čuvanja i opravdati zašto ste ih odabrali. Također morate obavijestiti subjekti podataka u vašoj izjavi o privatnosti o tome koliko dugo čuvate njihove podatke.
Uloga holandske Agencije za zaštitu podataka
Agencija za zaštitu podataka (AP) je holandski organ za zaštitu podataka koji provodi zahtjeve za zadržavanje podataka. AP procjenjuje da li su vaši periodi zadržavanja razumni i neophodni za vaše svrhe obrade.
Kada AP istražuje vaše prakse u vezi s podacima, morate dostaviti dokumentaciju koja opravdava vaše periode čuvanja. Nadležno tijelo procjenjuje da li čuvate lične podatke najkraće moguće vrijeme s obzirom na vaše legitimne potrebe.
Pojedinci mogu podnijeti žalbe AP-u ako ne izbrišete njihove podatke nakon isteka perioda čuvanja. AP ima ovlaštenje istražiti ove žalbe i poduzeti mjere ako prekršite zakone o zaštiti podataka.
Zakonske naspram samoodređenih obaveza čuvanja podataka
Holandski zakon razlikuje obavezne zakonske periode čuvanja podataka i periode čuvanja podataka koje sami određujete. Zakonski periodi čuvanja podataka imaju prednost nad principima GDPR-a kada određeni zakon zahtijeva duže čuvanje podataka.
Finansijska evidencija moraju se čuvati sedam godina prema holandskom poreskom zakonu. Ovaj zahtjev se primjenjuje bez obzira na principe minimizacije GDPR-a.
Podaci o zaposlenima imaju različite obavezne periode čuvanja ovisno o vrsti informacija i njihovoj namjeni.
Za podatke o kupcima koji nisu zakonski obavezni, vi određujete odgovarajuće periode čuvanja na osnovu svrha obrade. Morate razmotriti koliko dugo su vam podaci potrebni za praćenje neizmirenih faktura, ispunjavanje ugovora ili druge legitimne poslovne potrebe.
Sektorske organizacije mogu pružiti smjernice putem kodeksa ponašanja koji definiraju uobičajene periode čuvanja podataka u vašoj industriji.
Određivanje odgovarajućih rasporeda čuvanja
Postavljanje perioda čuvanja podataka zahtijeva pažljivu procjenu zakonskih obaveza, operativnih potreba i zahtjeva GDPR-a. Morate uravnotežiti čuvanje podataka dovoljno dugo da bi se ispunili vaši poslovni ciljevi, a istovremeno ih ne čuvati duže nego što je potrebno.
Procjena zakonite svrhe i trajanja
Svaki period čuvanja podataka morate direktno povezati sa svrhom za koju ste prikupili podatke. Princip ograničenja svrhe GDPR-a znači da ne možete jednostavno čuvati podatke o kupcima neograničeno.
Zapitajte se koliko dugo vam zaista trebaju informacije da biste ispunili prvobitnu svrhu.
Prema holandskom poreskom zakonu, finansijski zapisi obično zahtijevaju sedam godina čuvanja. Međutim, kontakt podaci kupaca koji se koriste samo u marketinške svrhe mogu biti potrebni samo jednu ili dvije godine.
Trebali biste zasebno procijeniti svaku kategoriju podataka.
Razmotrite da li bi pravni postupci mogli zahtijevati duže čuvanje podataka. Ako je spor s kupcem u toku, možda ćete morati čuvati relevantne podatke dok se stvar ne riješi.
Međutim, kada svrha istekne, morate izbrisati ili anonimizirati podatke.
Sektorske organizacije ponekad objavljuju preporučene rasporede zadržavanja za određene industrije. Ove smjernice vam mogu pomoći da odredite šta druge kompanije u vašoj oblasti smatraju razumnim.
Holandska Agencija za zaštitu podataka procjenjuje da li su vaši odabrani periodi proporcionalni vašim navedenim svrhama.
Dokumentovanje zadržavanja u politikama
Morate evidentirati periode čuvanja podataka i objasniti zašto ste ih odabrali. Ova dokumentacija vas štiti ako holandska Agencija za zaštitu podataka dovede u pitanje vaše prakse.
Uključite specifične vremenske okvire za svaku vrstu podataka o kupcima koje obrađujete.
Vaše interne politike čuvanja podataka trebaju navesti svaku kategoriju podataka s odgovarajućim periodom čuvanja. Na primjer:
| Tip podataka | Retention Period | Pravna osnova |
|---|---|---|
| Zapisi o fakturama | 7 godina | Poresko pravo |
| Kontaktni podaci kupca | 2 godine nakon posljednje kupovine | Legitimni interes |
| Zapisi o pristanku na marketing | Trajanje saglasnosti + 1 godina | Pravna obaveza |
Vaša izjava o privatnosti mora informirati subjekte podataka o tome koliko dugo čuvate njihove podatke. Koristite jasan jezik koji kupci mogu razumjeti.
Nejasne fraze poput „koliko god je potrebno“ ne ispunjavaju zahtjeve transparentnosti GDPR-a.
Balansiranje operativnih, pravnih i poslovnih potreba
Prilikom postavljanja rasporeda čuvanja podataka suočavate se s konkurentnim zahtjevima. Operativna efikasnost može značiti trajno čuvanje svih podataka radi lakšeg pristupa.
Međutim, GDPR zahtijeva najkraći mogući period čuvanja podataka.
Zakonske obaveze propisuju minimalne periode čuvanja koje ne možete ignorisati. Poreski zapisi moraju se čuvati sedam godina, bez obzira na vaše preferencije.
Podaci vezani za zaposlenje imaju posebna pravila, pri čemu je većina informacija o osoblju ograničena na dvije godine nakon prestanka zaposlenja.
Poslovne potrebe mogu opravdati čuvanje podataka izvan neposredne svrhe. Historiju kupovine možete čuvati za obradu povrata ili reklamacija.
Nepodmirene fakture zahtijevaju praćenje, što znači čuvanje podataka o kupcima dok se ne primi uplata.
Subjekti podataka mogu zatražiti brisanje ako vam više nisu potrebni njihovi podaci ili ako su istekli zakonski rokovi.
Trebali biste redovno pregledavati pohranjene podatke i brisati sve što je isteklo nakon perioda čuvanja. Automatizirani sistemi za brisanje pomažu u osiguravanju usklađenosti bez ručnog nadzora.
Pregled zakonskih perioda čuvanja podataka po vrsti podataka
Holandski zakon propisuje specifične minimalne periode čuvanja za različite vrste poslovnih podataka. Poreski zakoni zahtijevaju sedam godina za većinu finansijskih zapisa, dok podaci o zaposlenju i zdravstvenoj zaštiti slijede odvojene pravne okvire sa svojim vlastitim vremenskim rokovima.
Finansijski i poreski zapisi
Prema holandskom poreskom zakonu, većinu finansijskih zapisa morate čuvati sedam godina. Ova obaveza čuvanja odnosi se na evidencije o kupovini i prodaji, fakture, bankovne izvode i godišnje račune.
Sedmogodišnji period počinje na kraju fiskalne godine u kojoj je zapis kreiran.
Vaši kreditni i debitni računi također podliježu ovom sedmogodišnjem zahtjevu. To uključuje glavne knjige, dnevnike i prateću dokumentaciju koja dokazuje vaše poslovne transakcije.
Ne možete izbrisati ili uništiti ove zapise prije isteka perioda čuvanja, čak i ako vam više nisu potrebni za svakodnevno poslovanje.
Podaci o kasi i prodajnim mjestima moraju se čuvati isti sedmogodišnji period. Poreske vlasti mogu zahtijevati ove dokumente tokom revizija ili istraga.
Ako ne vodite pravilnu evidenciju, možete se suočiti s kaznama ili novčanim kaznama od strane holandske poreske uprave.
Ljudski resursi i podaci o zaposlenima
Evidencija o plaćama zaposlenika mora se čuvati sedam godina nakon prestanka radnog odnosa. To uključuje platne liste, porezne obrasce i doprinose za penzijsko osiguranje.
Ovi dokumenti su vam potrebni za poreske svrhe i potencijalne sporove oko plata ili beneficija.
Zahtjevi za lične dosijee su različiti ovisno o vrsti podataka. Osnovne evidencije o zaposlenju, poput ugovora i prijava za posao, trebaju se čuvati dvije godine nakon što neko napusti vašu kompaniju.
Ljekarska uvjerenja i evidencije bolovanja može se uništiti ranije, obično nakon dvije godine.
Ocjene učinka i disciplinski zapisi zahtijevaju kraće periode čuvanja. Trebali biste ih čuvati samo onoliko dugo koliko su relevantni za radni odnos.
Nakon što zaposlenik ode, obično ih možete izbrisati u roku od jedne do dvije godine, osim ako nije u toku sudski postupak.
Zdravstvene i medicinske datoteke
Medicinski kartoni se moraju čuvati najmanje 20 godina prema holandskom zakonu o zdravstvenoj zaštiti. Ovaj dugi period čuvanja štiti i pacijente i zdravstvene radnike ako se pojave pitanja o prošlim tretmanima.
Neke evidencije, poput onih koje se odnose na maloljetnike, možda će trebati čuvati i duže.
Pacijentovi dosijei uključuju informacije o dijagnozi, planove liječenja, rezultate testova i korespondenciju. Morate ih sigurno pohraniti i osigurati da im pristup ima samo ovlašteno osoblje.
Nakon isteka perioda čuvanja, morate uništiti zapise na način koji sprječava neovlašteni pristup.
Apoteke slijede slična pravila za evidenciju recepata. Ona se mora čuvati 15 godina kako bi se pratila historija lijekova i spriječile greške.
Zahtjevi za osiguranje i evidencija o naplati vezana za zdravstvenu zaštitu također zahtijevaju produžene periode čuvanja.
Obrazovni i pravni dokumenti
Obrazovne institucije moraju čuvati studentske evidencije za određene periode na osnovu vrste dokumenta. Diplome i certifikati o stečenoj diplomi podliježu Zakonu o javnim evidencijama i moraju se čuvati trajno.
Ovi zapisi dokazuju kvalifikacije i omogućavaju bivšim studentima da zatraže duplikate.
Rezultati ispita i ocjene trebaju se čuvati najmanje dvije godine nakon što student završi studij. Evidencija o registraciji kurseva i prisustvu obično zahtijeva kraće periode, oko jednu do dvije godine nakon završetka akademske godine.
Pravni dokumenti poput ugovora i sporazuma moraju se čuvati tokom trajanja ugovora plus sedam godina. Sudski dokumenti i prepiska sa Advokati treba čuvati dok su pravni postupci aktivni i najmanje 20 godina nakon toga.
Notarski akti zahtijevaju trajno čuvanje jer služe kao službeni pravni dokaz.
Upravljanje brisanjem i uništavanjem podataka
Nakon isteka perioda čuvanja, morate aktivno ukloniti lične podatke iz svojih sistema. Holandski zakon zahtijeva pažljivu pažnju na način brisanja podataka i pravilnu dokumentaciju o metodama uništavanja, uzimajući u obzir situacije u kojima se podaci moraju sačuvati uprkos isteklim periodima čuvanja.
Identifikacija podataka spremnih za brisanje
Redovno morate pregledavati pohranjene podatke o kupcima kako biste utvrdili koje su informacije dostigle kraj perioda čuvanja. Postavite sistem koji prati kada su različite kategorije podataka prikupljene i kada ispunjavaju uslove za brisanje.
Ovo može uključivati evidenciju kupaca, korespondenciju, detalje transakcija i marketinške preferencije. Napravite raspored za provjeru vaših baza podataka i sistema arhiviranja najmanje jednom kvartalno.
Mnoge organizacije koriste automatizirane alate koji označavaju podatke koji se približavaju datumu brisanja ili šalju upozorenja kada isteknu periodi čuvanja. Trebali biste održavati jasan popis mjesta gdje se nalaze podaci o korisnicima u vašim sistemima, uključujući servere za sigurnosne kopije i arhivirane datoteke.
Vaši timovi za obradu podataka moraju razumjeti koji se periodi čuvanja primjenjuju na različite tipove podataka. Finansijski zapisi zahtijevaju sedam godina čuvanja prema holandskom poreskom zakonu, ali podaci o saglasnosti za marketing mogu zahtijevati čuvanje samo dok je odnos aktivan.
Dokumentujte svoj proces pregleda kako bi holandska Agencija za zaštitu podataka mogla provjeriti vašu usklađenost.
Sigurne i usklađene metode uništavanja
Morate uništiti lične podatke na način koji onemogućava njihov oporavak. Samo premještanje datoteka u korpu za smeće ili brisanje unosa u bazi podataka ne ispunjava holandske zakonske zahtjeve.
Za digitalne podatke koristite softver za sigurno brisanje koji više puta prepisuje informacije ili fizički uništava uređaje za pohranu. Papirni zapisi koji sadrže podatke o kupcima zahtijevaju uništavanje pomoću rezača s poprečnim ili mikro rezanjem.
Nikada ne bacajte podatke o kupcima u obične kante za smeće. Za velike količine podataka, razmislite o korištenju certificiranih usluga uništavanja koje izdaju certifikate o uništavanju.
Odgovarajuće metode uništavanja uključuju:
- Softver za sigurno brisanje digitalnih datoteka
- Fizičko uništavanje tvrdih diskova i medija za pohranu podataka
- Poprečno usitnjavanje papirnih dokumenata
- Demagnetizacija za magnetske uređaje za pohranu
- Ovlaštene usluge uništavanja od strane treće strane s dokumentacijom
Vodite evidenciju o tome kada i kako ste uništili podatke. Holandska agencija za zaštitu podataka može od vas zatražiti da dokažete da ste ispravno izbrisali podatke o kupcima nakon isteka perioda čuvanja.
Rješavanje izuzetaka i pravnih zadržavanja
Ponekad ne možete izbrisati podatke čak ni kada isteknu periodi čuvanja. Sudski postupci, aktivne istrage ili neriješeni sporovi zahtijevaju da sačuvate relevantne podatke o klijentima dok se stvar ne okonča.
Morate implementirati a postupak zadržavanja podataka koji obustavlja uobičajene rasporede brisanja pogođenih podataka. Dokumentujte svaku pravnu zadržavanje sa specifičnim detaljima o tome koji se podaci ne mogu izbrisati i zašto.
Odmah obavijestite svoje timove za obradu podataka kada započne zadržavanje podataka kako ne bi slučajno uništili potrebne informacije. Redovno pregledavajte aktivna zadržavanja i odmah ih ukinite kada prestane pravni osnov.
Pritužbe kupaca ili regulatorne istrage se također pauziraju zahtjevi za brisanjeAko neko podnese žalbu holandskoj Agenciji za zaštitu podataka u vezi s vašom organizacijom, morate zadržati njihove podatke dok nadležni organ ne riješi stvar.
Uskladite ove izuzetke sa svojim širim politikama zadržavanja podataka, a istovremeno održavajte jasne evidencije o tome zašto određeni podaci ostaju u vašim sistemima duže od uobičajenih perioda.
Prava subjekata podataka i organizacijska usklađenost
Pojedinci čije podatke obrađujete imaju određena prava prema GDPR-u, a vi morate odgovoriti na njihove zahtjeve u utvrđenim rokovima. Vaša organizacija također mora voditi odgovarajuću dokumentaciju i slijediti zahtjeve nadzora koje je postavio Autoriteit Persoonsgegevens.
Pravo na brisanje i zahtjevi subjekta podataka
Subjekti podataka mogu zatražiti uklanjanje svojih ličnih podataka nakon isteka perioda čuvanja ili kada vam više nisu potrebni podaci za njihovu prvobitnu svrhu. Na ove zahtjeve za brisanje morate odgovoriti u roku od mjesec dana od njihovog prijema.
Ako odbijete zahtjev, morate objasniti svoje obrazloženje subjektu podataka. Ljudi također mogu podnijeti žalbe holandskoj Agenciji za zaštitu podataka ako ne izbrišete njihove podatke kada je to potrebno.
Subjekt podataka ima pravo prigovora ako smatra da predugo čuvate njegove podatke. Ne možete ignorisati ove zahtjeve samo zato što vam je nezgodno da ih obrađujete.
Vaša organizacija treba imati jasan proces za rješavanje zahtjeva subjekata podataka. To uključuje provjeru identiteta osobe koja podnosi zahtjev i provjeru da li se još uvijek primjenjuju zakonski rokovi čuvanja podataka.
Morate dokumentirati sve zahtjeve i vaše odgovore kako biste dokazali usklađenost s GDPR-om.
Osiguranje usklađenosti s GDPR-om putem praksi zadržavanja podataka
Potrebno je da zabilježite periode čuvanja podataka i objasnite zašto ste odabrali određene vremenske okvire. Uključite ove informacije u svoju politiku privatnosti kako biste mogli pokazati Autoritetu za zaštitu ličnih podataka svoje obrazloženje ako se raspitaju.
Nadležno tijelo će procijeniti da li su vaši periodi čuvanja razumni i što kraći. Vaša izjava o privatnosti mora jasno navesti koliko dugo čuvate različite vrste ličnih podataka.
Ova transparentnost pomaže subjektima podataka da razumiju vaše prakse. Također biste trebali redovno provjeravati svoje pohranjene lične podatke kako biste identificirali informacije kojima je istekao period čuvanja.
Kada se period čuvanja završi, morate ili sigurno uništiti podatke ili ih potpuno anonimizirati. Za osjetljive informacije poput medicinskih podataka, morate koristiti sigurne metode uništavanja.
Digitalni sistemi mogu automatski brisati podatke u unaprijed određenim vremenima kako bi se održala usklađenost.
Izvještavanje i nadzor od strane vlasti
Agencija za zaštitu ličnih podataka (Autoriteit Persoonsgegevens) prati da li se organizacije pridržavaju GDPR zahtjeva za zadržavanje podataka. Oni mogu istražiti vaše prakse i zatražiti dokumentaciju o vašim periodima zadržavanja i postupcima brisanja.
Morate sarađivati u njihovim istragama i dostaviti informacije koje traže. Ako dođe do kršenja podataka koji uključuju lične podatke, morate to prijaviti holandskoj Agenciji za zaštitu podataka u roku od 72 sata.
Također morate direktno obavijestiti pogođene subjekte podataka ako kršenje predstavlja visok rizik za njihova prava i slobode. To uključuje rizike od diskriminacije, prevare, finansijske štete ili narušavanja ugleda.
Vaša sektorska organizacija može dati smjernice o standardnim periodima čuvanja podataka za vašu industriju. Poštivanje priznatih industrijskih standarda može vam pomoći napori za usklađivanje.
Međutim, i dalje ste odgovorni za određivanje odgovarajućih perioda čuvanja podataka na osnovu vaših specifičnih okolnosti i zakonskih obaveza.
Često Postavljena Pitanja
Koji su zakonski zahtjevi za pohranjivanje podataka o kupcima u Holandiji?
Prilikom pohranjivanja podataka o klijentima morate se pridržavati i holandskih zahtjeva za poslovne evidencije i GDPR propisa. Poslovni zapisi koji sadrže finansijske informacije zahtijevaju sedmogodišnji period čuvanja prema poreskom zakonu. Zapisi koji se odnose na imovinu moraju se čuvati najmanje deset godina. Prema GDPR-u, potreban vam je zakonski osnov za obradu ličnih podataka. Podatke o klijentima morate čuvati samo onoliko dugo koliko je potrebno za svrhu u koju ste ih prikupili. Holandska agencija za zaštitu podataka očekuje da odredite odgovarajuće periode čuvanja na osnovu vaše specifične situacije i poslovnih potreba. Dužni ste dokumentirati svoje periode čuvanja i objasniti zašto ste ih odabrali. Ove informacije trebale bi se pojaviti u vašoj politici privatnosti i izjavi o privatnosti kako bi klijenti razumjeli koliko dugo čuvate njihove podatke.
Koliko dugo je preduzeću dozvoljeno da čuva lične podatke prema holandskim propisima o privatnosti?
GDPR ne postavlja određeni maksimalni period čuvanja ličnih podataka. Vi odlučujete o odgovarajućem periodu čuvanja na osnovu vaše poslovne svrhe i zakonskih obaveza. Međutim, ne možete čuvati lične podatke duže nego što je potrebno. Prilikom određivanja perioda čuvanja morate uzeti u obzir nekoliko faktora. Provjerite da li se primjenjuju zakonski rokovi čuvanja, kao što su oni koje zahtijevaju poreski zakoni. Procijenite koliko dugo vam zaista trebaju podaci za vaše poslovne operacije. Uvijek biste trebali težiti najkraćem mogućem periodu čuvanja. Ako kupci zatraže brisanje svojih podataka, a vaš period čuvanja je istekao, morate ukloniti njihove podatke. Jedini izuzetak je kada imate zakonsku obavezu da čuvate podatke određeni period.
Možete li ukratko navesti obaveze čuvanja podataka za holandske kompanije koje obrađuju podatke o klijentima?
Prema holandskom poreskom zakonu, poslovne evidencije morate čuvati najmanje sedam godina. To uključuje finansijske dokumente i evidencije vezane za poslovne transakcije. Ako rukujete podacima vezanim za imovinu, te evidencije morate čuvati deset godina. Što se tiče ličnih podataka, prema GDPR-u, ne smijete čuvati informacije duže nego što je potrebno. Vi određujete šta je potrebno na osnovu vaše poslovne svrhe i zakonskih zahtjeva. Morate dokumentovati periode čuvanja i uključiti ih u svoju politiku privatnosti. Obavezni ste redovno pregledavati pohranjene podatke i brisati ih kada isteknu periodi čuvanja. Također morate obavijestiti kupce o periodima čuvanja putem svoje izjave o privatnosti.
Koji je maksimalni period u kojem se podaci o potrošačima mogu zakonito čuvati u Holandiji?
GDPR ne određuje maksimalni period čuvanja podataka o potrošačima. Period čuvanja zavisi od svrhe za koju ste prikupili podatke i svih zakonskih obaveza koje se primjenjuju. Morate koristiti najkraći mogući period čuvanja koji i dalje ispunjava vaše legitimne poslovne potrebe. Ako poreski zakon zahtijeva sedmogodišnje čuvanje finansijskih evidencija, te podatke možete čuvati sedam godina. Nakon isteka ovog perioda, morate izbrisati podatke, osim ako ne postoji druga pravna osnova. Za marketinške svrhe ili druge neobavezne upotrebe, trebali biste postaviti kraće periode čuvanja na osnovu toga kada podaci postanu nepotrebni. Ne možete opravdati čuvanje podataka samo zato što bi vam mogli zatrebati u budućnosti. Svrha mora biti aktuelna i specifična.
Koje su posljedice nepoštivanja ograničenja zadržavanja podataka u Holandiji?
Holandski organ za zaštitu podataka može istražiti vašu organizaciju ako se ne pridržavate ograničenja zadržavanja podataka. Ako organ utvrdi da su vaši periodi zadržavanja podataka nerazumni ili predugi, možete se suočiti s mjerama prinudnog izvršenja. To uključuje novčane kazne i naloge za brisanje podataka. Kupci mogu podnijeti žalbe organu ako odbijete izbrisati njihove podatke nakon isteka perioda zadržavanja. Imaju pravo zatražiti uklanjanje svojih ličnih podataka kada vam više nisu potrebni. Ako odbijete takve zahtjeve bez valjanog razloga, riskirate regulatorne kazne. Nepoštivanje propisa također može oštetiti vaš ugled i narušiti povjerenje kupaca. Možete se suočiti s građanskim tužbama od strane pojedinaca čija ste prava na podatke prekršili.
Možete li ukratko opisati postupak zakonitog odlaganja podataka o kupcima nakon isteka perioda čuvanja u Nizozemskoj?
Morate redovno pregledavati lične podatke koje posjedujete kako biste identificirali informacije kojima je istekao period čuvanja. Kada podaci više nisu potrebni ili je period čuvanja istekao, morate ih odmah uništiti. Također možete anonimizirati podatke umjesto uništavanja ako ih želite zadržati u statističke svrhe. Morate biti oprezni prilikom uništavanja ličnih podataka, posebno osjetljivih informacija poput medicinskih kartona. Za digitalne podatke možete koristiti sisteme koji automatski brišu informacije u unaprijed određeno vrijeme. Fizički kartoni zahtijevaju sigurne metode uništavanja koje sprječavaju neovlašteni pristup. Trebali biste dokumentirati svoje procese uništavanja podataka kao dio vaše ukupne usklađenosti sa zaštitom podataka. Ovo pokazuje holandskom Agenciji za zaštitu podataka da ozbiljno shvatate obaveze čuvanja i aktivno upravljate životnim ciklusom podataka.
