Nizozemské právo přistupuje k uchovávání údajů o zákaznících oboustranně. Obchodní záznamy, jako jsou finanční dokumenty, musí být podle daňového práva uchovávány po dobu nejméně sedmi let, zatímco osobní údaje podle GDPR nesmí být uchovávány déle, než je nezbytné pro jejich zamýšlený účel.
Tím se vytváří pečlivá rovnováha mezi plněním zákonných povinností a respektováním práva na soukromí.
Mnoho organizací má problém přesně pochopit, jak dlouho mohou zákonně uchovávat různé typy zákaznických informací. Pravidla se liší v závislosti na tom, zda se jedná o finanční záznamy, údaje o zaměstnancích nebo obecné údaje o zákaznících.
Některé doby uchovávání jsou stanoveny konkrétními zákony, zatímco jiné vyžadují, abyste činili rozumná rozhodnutí na základě vašich obchodních potřeb.
Tato příručka vysvětluje právní rámec, kterým se řídí uchovávání údajů v Nizozemsku, a ukazuje vám, jak stanovit vhodné harmonogramy uchovávání pro vaši organizaci.
Dozvíte se o zákonných požadavcích na různé typy údajů, o tom, jak správně spravovat mazání údajů a jaká práva mají vaši zákazníci ohledně svých informací.
Základní zásady uchovávání údajů podle nizozemského práva
Nizozemské právo vyžaduje, abyste při uchovávání zákaznických údajů dodržovali tři klíčové zásady: musíte uchovávat data pouze pro jejich původní účel, shromažďovat minimální nezbytné množství a jasně dokumentovat svá rozhodnutí o uchovávání.
Omezení účelu zpracování osobních údajů
Osobní údaje můžete uchovávat pouze pro konkrétní účel, pro který jste je shromáždili. Pokud jste shromáždili informace o zákaznících za účelem zpracování objednávky, nemůžete je uchovávat na dobu neurčitou pro marketingové účely, pokud jste k tomuto účelu nezískali samostatný souhlas.
GDPR vyžaduje, abyste před shromažďováním jakýchkoli údajů definovali jasné účely. Jakmile tento účel skončí, končí i váš právní základ pro uchovávání údajů.
Například po dokončení transakce se zákazníkem a uplynutí zákonné doby uchovávání musíte jeho data smazat, pokud neexistuje jiný oprávněný účel.
Stará data nemůžete znovu použít bez platného právního důvodu. Pokud se vaše obchodní okolnosti změní a chcete použít stávající zákaznická data k novému účelu, musíte posoudit, zda je to v souladu s původním účelem shromažďování, nebo si vyžádat nový souhlas.
Minimalizace dat a nezbytnost
Musíte shromažďovat a uchovávat pouze minimální množství osobních údajů potřebných k dosažení vašeho účelu. To znamená, že si nemůžete uchovávat informace o zákaznících „pro případ“, že by se vám mohly později hodit.
Nizozemské daňové zákony vyžadují, abyste uchovávali finanční záznamy po dobu sedmi let. To však neznamená, že si můžete sedm let uchovávat všechny údaje o zákaznících.
Musíte oddělit to, co musíte uchovávat ze zákona, od toho, co jste shromáždili pro jiné účely.
Nizozemský úřad pro ochranu osobních údajů očekává, že budete pravidelně kontrolovat uložená data. Zeptejte se sami sebe: Potřebujete tyto informace stále? Můžete je anonymizovat, místo abyste je uchovávali v identifikovatelné podobě?
Pokud je odpověď ne, musíte data smazat nebo anonymizovat.
Transparentnost a odpovědnost
Musíte zdokumentovat dobu uchovávání a vysvětlit, proč jste si ji zvolili. Nizozemský úřad pro ochranu osobních údajů si může tyto informace vyžádat a posoudí, zda jsou vaše rozhodnutí přiměřená.
Vaše prohlášení o ochraně osobních údajů musí zákazníkům jasně sdělovat, jak dlouho budete jejich údaje uchovávat. Lidé mají právo požádat o smazání po uplynutí doby uchovávání nebo v případě, že již jejich informace nepotřebujete.
Ve svých zásadách ochrany osobních údajů byste měli zaznamenat doby uchovávání s jasným odůvodněním. To vás ochrání během auditů a pomůže zákazníkům pochopit vaše postupy v oblasti nakládání s údaji.
Pokud se zákazníci domnívají, že jejich údaje uchováváte příliš dlouho, mohou podat stížnost u nizozemského úřadu pro ochranu osobních údajů.
Právní rámec upravující doby uchovávání
Právní rámec pro uchovávání údajů v Nizozemsku kombinuje evropskou a národní legislativu, přičemž GDPR stanoví základ a nizozemské zákony přidávají specifické požadavky.
Autoriteit Persoonsgegevens dohlíží na dodržování předpisů, zatímco podniky musí vyvažovat zákonné povinnosti se zásadami ochrany osobních údajů .
GDPR a nizozemský prováděcí zákon
Obecné nařízení o ochraně osobních údajů (GDPR) tvoří primární právní základ pro uchovávání údajů v Nizozemsku. Nespecifikuje konkrétní doby uchovávání zákaznických údajů.
Místo toho stanoví zásadu, že osobní údaje nesmíte uchovávat déle, než je nezbytné pro účely, pro které je zpracováváte.
Nizozemský zákon o ochraně osobních údajů (DGIA) implementuje GDPR na národní úrovni. Tato legislativa funguje společně s GDPR a upravuje způsob nakládání s osobními údaji.
Kolektivní zákon o ochraně osobních údajů (Verzamelwet Gegevensbescherming) nedávno novelizoval zákon DGIA a související zákony na ochranu osobních údajů, aby zajistil soulad se současnými standardy ochrany soukromí.
Vaše zásady ochrany osobních údajů musí dokumentovat doby uchovávání a odůvodnit, proč jste si je zvolili. Ve svém prohlášení o ochraně osobních údajů musíte také informovat subjekty údajů o tom, jak dlouho jejich údaje uchováváte.
Úloha nizozemského úřadu pro ochranu osobních údajů
Autoriteit Persoonsgegevens (AP) je nizozemský úřad pro ochranu osobních údajů, který vymáhá požadavky na uchovávání údajů. AP posuzuje, zda jsou vaše doby uchovávání přiměřené a nezbytné pro účely vašeho zpracování.
Když úřad prověřuje vaše postupy v oblasti nakládání s údaji, musíte poskytnout dokumentaci odůvodňující dobu uchovávání. Úřad posoudí, zda uchováváte osobní údaje po co nejkratší možnou dobu s ohledem na vaše oprávněné potřeby.
Pokud po uplynutí doby uchovávání nesmažete jejich údaje, mohou jednotlivci podat stížnost u úřadu AP. Úřad AP má pravomoc tyto stížnosti prošetřit a v případě porušení zákonů na ochranu osobních údajů přijmout donucovací opatření.
Zákonné versus samostanovené povinnosti uchovávání
Nizozemské právo rozlišuje mezi povinnými zákonnými dobami uchovávání a dobami uchovávání, které si sami určíte. Zákonné doby uchovávání mají přednost před zásadami GDPR, pokud konkrétní právní předpisy vyžadují delší uchovávání.
Finanční záznamy musí být podle nizozemského daňového práva uchovávány po dobu sedmi let. Tento požadavek platí bez ohledu na minimalizační principy GDPR.
Data zaměstnanců mají různé povinné doby uchovávání v závislosti na typu informací a jejich účelu.
U zákaznických dat, u kterých nejsou zákonné požadavky vyžadovány, určujete vhodné doby uchovávání na základě účelů zpracování. Musíte zvážit, jak dlouho data potřebujete pro sledování neuhrazených faktur, plnění smluv nebo jiné legitimní obchodní potřeby.
Odvětvové organizace mohou poskytovat pokyny prostřednictvím kodexů chování, které stanoví běžné doby uchovávání ve vašem odvětví.
Stanovení vhodných harmonogramů uchovávání
Stanovení dob uchovávání vyžaduje pečlivé posouzení právních povinností, provozních potřeb a požadavků GDPR. Musíte vyvážit uchovávání dat dostatečně dlouhou dobu, aby splňovala vaše obchodní účely, a zároveň je neuchovávat déle, než je nutné.
Posouzení zákonného účelu a trvání
Každou dobu uchovávání musíte přímo propojit s účelem, pro který jste data shromáždili. Princip omezení účelu v GDPR znamená, že nemůžete jednoduše uchovávat zákaznická data donekonečna.
Zeptejte se sami sebe, jak dlouho skutečně potřebujete dané informace k naplnění původního účelu.
Finanční záznamy obvykle vyžadují sedm let uchovávání podle nizozemských daňových zákonů. Kontaktní údaje zákazníků používané pouze pro marketingové účely však mohou být potřebné pouze jeden nebo dva roky.
Každou kategorii dat byste měli vyhodnotit zvlášť.
Zvažte, zda by soudní řízení mohlo vyžadovat delší uchovávání údajů. Pokud probíhá spor se zákazníkem, může být nutné uchovávat relevantní údaje, dokud nebude záležitost vyřešena.
Jakmile však účel vyprší, musíte informace smazat nebo anonymizovat.
Odvětvové organizace někdy zveřejňují doporučené harmonogramy uchovávání informací pro konkrétní odvětví. Tyto pokyny vám mohou pomoci určit, co ostatní společnosti ve vašem oboru považují za přiměřené.
Nizozemský úřad pro ochranu osobních údajů posuzuje, zda jsou vámi zvolené doby přiměřené vámi uvedeným účelům.
Dokumentování uchovávání v zásadách
Musíte zaznamenat doby uchovávání a vysvětlit, proč jste si je zvolili. Tato dokumentace vás chrání, pokud nizozemský úřad pro ochranu osobních údajů zpochybní vaše postupy.
Uveďte konkrétní časové rámce pro každý typ zákaznických dat, která zpracováváte.
Vaše interní zásady pro uchovávání dat by měly uvádět každou kategorii dat s odpovídající dobou uchovávání. Například:
| Datový typ | Retenční období | Právní základ |
|---|---|---|
| Záznamy o fakturách | 7 let | Daňové právo |
| Kontaktní údaje zákazníka | 2 roky po posledním nákupu | Legitimní zájem |
| Záznamy o souhlasu s marketingem | Doba trvání souhlasu + 1 rok | Zákonná povinnost |
Vaše prohlášení o ochraně osobních údajů musí informovat subjekty údajů o tom, jak dlouho uchováváte jejich informace. Používejte srozumitelný jazyk, kterému zákazníci rozumí.
Nejasné fráze jako „pokud bude nutné“ nesplňují požadavky na transparentnost GDPR.
Vyvažování provozních, právních a obchodních potřeb
Při nastavování plánů uchovávání dat čelíte protichůdným požadavkům. Provozní efektivita může naznačovat trvalé uchovávání všech dat pro snadný přístup.
GDPR však vyžaduje co nejkratší možnou dobu uchovávání.
Právní povinnosti vyžadují minimální doby uchovávání, které nelze ignorovat. Daňové záznamy musí být uchovávány sedm let bez ohledu na vaše preference.
Údaje týkající se zaměstnání mají specifická pravidla, přičemž většina osobních údajů je omezena na dva roky po skončení zaměstnání.
Obchodní potřeby mohou odůvodnit uchovávání dat nad rámec bezprostředního účelu. Historii nákupů můžete uchovávat pro účely vrácení zboží nebo reklamací.
Neuhrazené faktury vyžadují sledování, což znamená uchovávání souvisejících zákaznických údajů až do přijetí platby.
Subjekty údajů mohou požádat o výmaz, pokud již jejich údaje nepotřebují nebo pokud uplynuly zákonné lhůty.
Uložená data byste měli pravidelně kontrolovat a mazat veškerá data po uplynutí doby uchovávání. Automatizované systémy mazání pomáhají zajistit dodržování předpisů bez manuálního dohledu.
Přehled zákonných lhůt uchovávání podle typu dat
Nizozemské právo stanoví specifické minimální doby uchovávání pro různé typy obchodních údajů. Daňové zákony vyžadují sedm let pro většinu finančních záznamů, zatímco údaje o zaměstnání a zdravotní péči se řídí samostatnými právními rámci s vlastními časovými lhůtami.
Finanční a daňové záznamy
Podle nizozemských daňových zákonů musíte uchovávat většinu finančních záznamů po dobu sedmi let. Tato povinnost uchovávání se vztahuje na záznamy o nákupech a prodejích, faktury, bankovní výpisy a roční účetní závěrky.
Sedmileté období začíná koncem finančního roku, ve kterém byl záznam vytvořen.
Vaše kreditní a debetní účty také spadají pod tento sedmiletý požadavek. To zahrnuje účetní knihy, deníky a podpůrnou dokumentaci prokazující vaše obchodní transakce.
Tyto záznamy nemůžete smazat ani zničit před uplynutím doby uchovávání, a to ani v případě, že je již nepotřebujete pro každodenní provoz.
Záznamy z pokladen a údaje z prodejních míst musí být uchovávány po stejnou sedmiletou dobu. Daňové úřady si mohou tyto dokumenty vyžádat při kontrolách nebo šetřeních.
Pokud si nebudete vést řádnou evidenci, můžete čelit sankcím nebo pokutám od nizozemského daňového úřadu.
Lidské zdroje a zaměstnanecká data
Záznamy o platech zaměstnanců musí být uchovávány sedm let po skončení pracovního poměru. To zahrnuje výplatní pásky, daňové formuláře a příspěvky na penzijní pojištění.
Tyto dokumenty potřebujete pro daňové účely a pro případné spory ohledně mzdy nebo benefitů.
Požadavky na osobní spisy se liší v závislosti na typu údajů. Základní pracovní záznamy, jako jsou smlouvy a žádosti o zaměstnání, by měly být uchovávány dva roky poté, co někdo odejde z vaší společnosti.
Lékařské potvrzení a záznamy o nemocenské lze zničit dříve, obvykle po dvou letech.
Hodnocení výkonu a disciplinární záznamy vyžadují kratší doby uchovávání. Měli byste je uchovávat pouze po dobu, po kterou jsou relevantní pro pracovní poměr.
Jakmile zaměstnanec odejde, můžete tyto údaje obvykle smazat do jednoho až dvou let, pokud neprobíhá soudní řízení.
Zdravotní a lékařské soubory
Podle nizozemských zákonů o zdravotní péči musí být lékařské záznamy uchovávány po dobu nejméně 20 let. Tato dlouhá doba uchovávání chrání jak pacienty, tak poskytovatele zdravotní péče, pokud se vyskytnou otázky ohledně minulé léčby.
Některé záznamy, například ty, které se týkají nezletilých osob, může být nutné uchovávat ještě déle.
Soubory pacientů obsahují informace o diagnóze, léčebné plány, výsledky testů a korespondenci. Musíte je bezpečně uchovávat a zajistit, aby k nim měli přístup pouze oprávnění zaměstnanci.
Po uplynutí doby uchovávání musíte záznamy zničit způsobem, který zabrání neoprávněnému přístupu.
Lékárny dodržují podobná pravidla pro záznamy o receptech. Ty musí být uchovávány 15 let, aby se sledovala historie léků a zabránilo se chybám.
Pojistné události a fakturační záznamy týkající se zdravotní péče také vyžadují delší dobu uchovávání.
Vzdělávací a právní dokumenty
Vzdělávací instituce musí uchovávat záznamy o studentech po určitou dobu na základě typu dokumentu. Diplomy a osvědčení o ukončení studia spadají pod zákon o veřejných záznamech a musí být uchovávány trvale.
Tyto záznamy prokazují kvalifikaci a umožňují bývalým studentům požádat o duplikáty.
Výsledky zkoušek a známky by měly být uchovávány nejméně dva roky po ukončení studia studentem. Záznamy o registraci kurzů a docházce obvykle vyžadují kratší dobu, přibližně jeden až dva roky po skončení akademického roku.
Právní dokumenty, jako jsou smlouvy a dohody, musí být uchovávány po dobu trvání smlouvy a dále sedm let. Soudní dokumenty a korespondence s právníky by měly být uchovávány po celou dobu trvání soudního řízení a nejméně 20 let poté.
Notářské zápisy vyžadují trvalé uchovávání, protože slouží jako oficiální právní důkaz.
Správa mazání a skartování dat
Jakmile uplynou doby uchovávání, musíte aktivně odstranit osobní údaje ze svých systémů. Nizozemské právo vyžaduje pečlivou pozornost tomu, jak data mažete, a řádnou dokumentaci metod skartace a zároveň zohledňuje situace, kdy je nutné data uchovávat i přes uplynutí doby uchovávání.
Identifikace dat připravených k odstranění
Pravidelně kontrolujte uložená zákaznická data, abyste zjistili, které informace dosáhly konce doby uchovávání. Nastavte systém, který sleduje, kdy byly shromážděny různé kategorie dat a kdy se stanou způsobilými k odstranění.
Může se jednat o záznamy o zákaznících, korespondenci, podrobnosti o transakcích a marketingové preference. Vytvořte si plán pro kontrolu databází a archivačních systémů alespoň jednou za čtvrtletí.
Mnoho organizací používá automatizované nástroje, které označují data blížící se k datu smazání nebo odesílají upozornění po vypršení doby uchovávání. Měli byste si vést přehledný seznam toho, kde se zákaznická data ve vašich systémech nacházejí, včetně záložních serverů a archivovaných souborů.
Vaše týmy pro zpracování dat musí rozumět tomu, jaké doby uchovávání se vztahují na různé typy dat. Finanční záznamy vyžadují podle nizozemských daňových zákonů uchovávání sedmi let, ale údaje o souhlasu s marketingem mohou vyžadovat uchovávání pouze po dobu aktivního vztahu.
Zdokumentujte svůj proces kontroly, aby nizozemský úřad pro ochranu osobních údajů mohl ověřit, zda splňujete požadavky.
Bezpečné a splňující požadavky metody ničení
Osobní údaje musíte zničit způsobem, který znemožní jejich obnovení. Pouhé přesunutí souborů do koše nebo smazání položek v databázi nesplňuje požadavky nizozemských zákonů.
Pro digitální data používejte software pro bezpečné mazání, který opakovaně přepisuje informace nebo fyzicky ničí úložná zařízení. Papírové záznamy obsahující zákaznická data vyžadují skartaci pomocí skartovačů s křížovým nebo mikrořezným řezem.
Nikdy nevyhazujte zákaznické informace do běžných odpadkových košů. V případě velkého objemu dat zvažte využití certifikovaných skartačních služeb, které vydávají certifikáty o zničení.
Mezi vhodné metody ničení patří:
- Software pro bezpečné mazání digitálních souborů
- Fyzické zničení pevných disků a paměťových médií
- Příčná skartace papírových dokumentů
- Demagnetizace magnetických paměťových zařízení
- Certifikované služby skartace třetích stran s dokumentací
Veďte záznamy o tom, kdy a jak jste data zničili. Nizozemský úřad pro ochranu osobních údajů vás může požádat o prokázání, že jste po uplynutí lhůt pro uchovávání údajů o zákaznících řádně smazali.
Zpracování výjimek a právních blokací
Někdy nelze data smazat, ani když uplynou lhůty pro uchovávání. Soudní řízení, probíhající vyšetřování nebo probíhající spory vyžadují, abyste uchovávali relevantní zákaznická data až do ukončení záležitosti.
Musíte implementovat proces blokování z právních důvodů , který pozastaví běžné plány mazání dotčených dat. Každé blokování zdokumentujte s konkrétními podrobnostmi o tom, která data nelze smazat a proč.
Okamžitě informujte své týmy pro zpracování dat o zahájení blokování, aby omylem nezničily potřebné informace. Pravidelně kontrolujte aktivní blokování a neprodleně je zrušte, jakmile skončí právní důvod.
Stížnosti zákazníků nebo regulační šetření také pozastavují požadavky na výmaz . Pokud někdo podá stížnost u nizozemského úřadu pro ochranu osobních údajů ohledně vaší organizace, musíte si jeho údaje uchovávat, dokud úřad záležitost nevyřeší.
Vyvažte tyto výjimky s vašimi širšími zásadami pro uchovávání dat a zároveň si udržujte jasné záznamy o tom, proč určitá data zůstávají ve vašich systémech i po běžné době.
Práva subjektů údajů a organizační soulad
Jednotlivci, jejichž údaje zpracováváte, mají podle GDPR specifická práva a vy musíte na jejich žádosti reagovat ve stanovených lhůtách. Vaše organizace musí také vést řádnou dokumentaci a dodržovat požadavky na dohled stanovené úřadem Autoriteit Persoonsgegevens.
Právo na výmaz a žádosti subjektu údajů
Subjekty údajů mohou požádat o odstranění svých osobních údajů po uplynutí doby uchovávání nebo v případě, že již informace nepotřebujete pro jejich původní účel. Na tyto žádosti o výmaz musíte reagovat do jednoho měsíce od jejich obdržení.
Pokud žádost zamítnete, musíte subjektu údajů vysvětlit své odůvodnění. Lidé mohou také podat stížnost nizozemskému úřadu pro ochranu osobních údajů, pokud jejich údaje na požádání nevymažete.
Subjekt údajů má právo vznést námitku, pokud se domnívá, že uchováváte jeho informace příliš dlouho. Tyto žádosti nemůžete ignorovat jen proto, že je pro vás nepohodlné je zpracovávat.
Vaše organizace by měla mít jasný postup pro vyřizování žádostí subjektů údajů. To zahrnuje ověření totožnosti osoby, která žádost podává, a kontrolu, zda stále platí zákonné lhůty pro uchovávání údajů.
Všechny žádosti a vaše odpovědi musíte zdokumentovat, abyste prokázali soulad s GDPR.
Zajištění souladu s GDPR prostřednictvím postupů uchovávání dat
Musíte zaznamenat doby uchovávání a vysvětlit, proč jste si zvolili konkrétní časové rámce. Uveďte tyto informace ve svých zásadách ochrany osobních údajů, abyste mohli v případě zájmu uvést své zdůvodnění.
Úřad posoudí, zda jsou vaše doby uchovávání přiměřené a co nejkratší. Vaše prohlášení o ochraně osobních údajů musí jasně uvádět, jak dlouho uchováváte různé typy osobních údajů.
Tato transparentnost pomáhá subjektům údajů porozumět vašim postupům. Měli byste také pravidelně kontrolovat své uložené osobní údaje, abyste identifikovali informace, u kterých již uplynula doba uchovávání.
Po skončení doby uchovávání musíte data buď bezpečně zničit, nebo je zcela anonymizovat. U citlivých informací, jako jsou lékařské údaje, je nutné použít bezpečné metody skartace.
Digitální systémy mohou automaticky mazat data v předem stanovených časech, aby pomohly zachovat soulad s předpisy.
Podávání zpráv a dohled ze strany úřadů
Úřad pro ochranu osobních údajů (Autoriteit Persoonsgegevens) sleduje, zda organizace dodržují požadavky GDPR na uchovávání údajů. Může prošetřit vaše postupy a vyžádat si dokumentaci o vašich dobách uchovávání a postupech mazání.
Musíte spolupracovat s jejich dotazy a poskytnout jim požadované informace. Pokud dojde k narušení bezpečnosti osobních údajů, musíte to do 72 hodin nahlásit nizozemskému úřadu pro ochranu osobních údajů.
Dotčené subjekty údajů musíte také přímo informovat, pokud porušení představuje vysoké riziko pro jejich práva a svobody. To zahrnuje rizika diskriminace, podvodu, finanční škody nebo poškození pověsti.
Vaše odvětvová organizace může poskytnout pokyny ohledně standardních dob uchovávání pro vaše odvětví. Dodržování uznávaných oborových standardů může podpořit vaše úsilí o dodržování předpisů.
Zůstáváte však zodpovědní za stanovení vhodných dob uchovávání na základě vašich konkrétních okolností a zákonných povinností.
Často kladené dotazy
Jaké jsou zákonné požadavky na uchovávání zákaznických údajů v Nizozemsku?
Při ukládání zákaznických dat musíte dodržovat jak nizozemské požadavky na obchodní záznamy, tak i nařízení GDPR. Obchodní záznamy obsahující finanční informace vyžadují podle daňových zákonů sedmiletou dobu uchovávání. Záznamy týkající se majetku musí být uchovávány po dobu nejméně deseti let. Podle GDPR potřebujete pro zpracování osobních údajů právní základ. Zákaznické údaje musíte uchovávat pouze po dobu nezbytně nutnou pro účel, pro který jste je shromáždili. Nizozemský úřad pro ochranu osobních údajů očekává, že stanovíte vhodné doby uchovávání na základě vaší konkrétní situace a obchodních potřeb. Jste povinni zdokumentovat doby uchovávání a vysvětlit, proč jste je zvolili. Tyto informace by se měly objevit ve vašich zásadách ochrany osobních údajů a prohlášení o ochraně osobních údajů, aby zákazníci věděli, jak dlouho jejich údaje uchováváte.
Jak dlouho může podnik uchovávat osobní údaje podle nizozemských předpisů o ochraně osobních údajů?
GDPR nestanovuje konkrétní maximální dobu uchovávání osobních údajů. Vhodnou dobu uchovávání určujete na základě svého obchodního účelu a zákonných povinností. Osobní údaje však nemůžete uchovávat déle, než je nezbytné. Při určování dob uchovávání musíte zvážit několik faktorů. Ověřte si, zda se na ně vztahují zákonné lhůty pro uchovávání, například ty, které vyžadují daňové zákony. Posuďte, jak dlouho data skutečně potřebujete pro své obchodní operace. Vždy byste se měli snažit o co nejkratší dobu uchovávání. Pokud zákazníci požádají o smazání svých údajů a vaše doba uchovávání již uplynula, musíte jejich informace odstranit. Jedinou výjimkou je situace, kdy máte zákonnou povinnost uchovávat data po určitou dobu.
Můžete shrnout povinnosti uchovávání údajů pro nizozemské společnosti nakládající s informacemi o klientech?
Podle nizozemských daňových zákonů musíte uchovávat obchodní záznamy po dobu nejméně sedmi let. To zahrnuje finanční dokumenty a záznamy týkající se obchodních transakcí. Pokud zpracováváte údaje týkající se nemovitostí, musíte tyto záznamy uchovávat po dobu deseti let. V případě osobních údajů podle GDPR nesmíte informace uchovávat déle, než je nezbytné. Nezbytné lhůty určujete sami na základě svého obchodního účelu a právních požadavků. Doby uchovávání musíte zdokumentovat a zahrnout je do svých zásad ochrany osobních údajů. Jste povinni pravidelně kontrolovat uložená data a po uplynutí lhůt je mazat. O lhůtách uchovávání musíte také informovat zákazníky prostřednictvím svého prohlášení o ochraně osobních údajů.
Jaká je maximální doba, po kterou mohou být spotřebitelské údaje v Nizozemsku zákonně uchovávány?
V GDPR není stanovena žádná pevná maximální doba uchovávání údajů o spotřebitelích. Doba uchovávání závisí na účelu, pro který jste údaje shromáždili, a na všech platných zákonných povinnostech. Musíte použít co nejkratší možnou dobu uchovávání, která stále splňuje vaše legitimní obchodní potřeby. Pokud daňové zákony vyžadují sedmileté uchovávání finančních záznamů, můžete tyto údaje uchovávat po dobu sedmi let. Po uplynutí této doby musíte údaje smazat, pokud neexistuje jiný právní základ. Pro marketingové účely nebo jiné nepovinné použití byste měli stanovit kratší doby uchovávání na základě toho, kdy se údaje stanou nepotřebnými. Uchovávání údajů nelze odůvodnit pouze tím, že byste je mohli v budoucnu potřebovat. Účel musí být aktuální a konkrétní.
Jaké jsou důsledky nedodržení limitů pro uchovávání údajů v Nizozemsku?
Nizozemský úřad pro ochranu osobních údajů může vaši organizaci vyšetřit, pokud nedodržíte limity pro uchovávání údajů. Pokud úřad shledá vaše doby uchovávání nepřiměřenými nebo příliš dlouhými, můžete čelit donucovacím opatřením. To zahrnuje pokuty a příkazy k vymazání údajů. Zákazníci mohou podat stížnost u úřadu, pokud odmítnete vymazat jejich údaje po uplynutí doby uchovávání. Mají právo požádat o odstranění svých osobních údajů, jakmile je již nepotřebujete. Pokud takové žádosti bez platného důvodu zamítnete, riskujete regulační sankce. Nedodržení může také poškodit vaši pověst a narušit důvěru zákazníků. Můžete čelit občanskoprávním žalobám ze strany osob, jejichž práva na ochranu osobních údajů jste porušili.
Mohl byste nastínit postup pro zákonnou likvidaci zákaznických údajů po uplynutí doby uchovávání v Nizozemsku?
Osobní údaje, které uchováváte, musíte pravidelně kontrolovat, abyste identifikovali informace, u kterých skončila doba uchovávání. Jakmile data již nejsou potřeba nebo doba uchovávání uplynula, musíte je neprodleně zničit. Pokud si je chcete uchovávat pro statistické účely, můžete data namísto zničení anonymizovat. Při ničení osobních údajů, zejména citlivých informací, jako jsou lékařské záznamy, musíte postupovat s náležitou opatrností. U digitálních dat můžete použít systémy, které automaticky mažou informace v předem stanovených časech. Fyzické záznamy vyžadují bezpečné metody ničení, které zabraňují neoprávněnému přístupu. V rámci celkového dodržování předpisů o ochraně osobních údajů byste měli dokumentovat své procesy ničení dat. To nizozemskému úřadu pro ochranu osobních údajů prokazuje, že berete povinnosti uchovávání vážně a aktivně spravujete životní cyklus dat.
