unsplash.com Licencja: https://unsplash.com/license
Kto w Twojej firmie decyduje, kiedy stary segregator może trafić do zniszczenia? Jeśli odpowiedź brzmi „nikt” albo „ten, kto akurat sprząta piwnicę”, ten tekst jest dla Ciebie.
W małych firmach, gabinetach i biurach w Chełmnie i całym powiecie chełmińskim archiwum rośnie latami, a porządki zaczynają się zwykle przy okazji remontu, przeprowadzki albo braku miejsca. Wtedy działa się szybko i na oko. Tymczasem za dane osobowe zawarte w dokumentach odpowiadasz Ty jako administrator danych, niezależnie od tego, czy leżą w systemie komputerowym, czy w kartonie pod schodami. Dlatego profesjonalne niszczenie dokumentów z protokołem powinno zamykać uporządkowaną procedurę. Poniżej znajdziesz ją w sześciu krokach, które da się wdrożyć nawet w kilkuosobowej firmie.
Ogólne rozporządzenie o ochronie danych (RODO) nie opisuje, jak niszczyć papier. Przesądza za to, że usuwanie lub niszczenie danych również jest ich przetwarzaniem (art. 4 pkt 2 RODO), a więc podlega tym samym regułom co zbieranie czy przechowywanie. Dla firmowej piwnicy najważniejsze są trzy zasady z art. 5 RODO.
Ograniczenie przechowywania (art. 5 ust. 1 lit. e). Danych nie przechowuje się dłużej, niż jest to niezbędne do celu, w którym je zebrano. Gdy cel przestaje istnieć, a przepisy szczególne nie nakazują dalszego przechowywania, dane trzeba usunąć. Segregatory z umowami sprzed lat bywają więc raczej ryzykiem niż pamiątką.
Integralność i poufność (art. 5 ust. 1 lit. f). Dane mają być chronione przed nieuprawnionym dostępem i przypadkową utratą przez cały czas, także w chwili, gdy się ich pozbywasz. Karton z aktami osobowymi wystawiony przy śmietniku tej zasady nie spełnia.
Rozliczalność (art. 5 ust. 2). Administrator musi być w stanie wykazać, że przestrzega przepisów. Zapewnienie „wszystko zniszczyliśmy” to za mało.
Zanim cokolwiek trafi do zniszczenia, zrób prostą inwentaryzację archiwum: jakie rodzaje dokumentów leżą w kartonach, z jakich lat i czyich danych dotyczą. Wystarczy arkusz z kilkoma kolumnami. Przy okazji często okazuje się, że część papierów to kopie dokumentów, które i tak masz w systemie księgowym.
Najważniejsze terminy wyglądają następująco. To reguły ogólne: w szczegółach zdarzają się wyjątki, a bieg niektórych terminów może zostać przerwany lub zawieszony.
| Rodzaj dokumentów | Okres przechowywania (co do zasady) | Podstawa |
| Dowody księgowe, księgi rachunkowe | 5 lat od początku roku następującego po roku obrotowym, w którym operacje zostały ostatecznie zakończone | ustawa o rachunkowości |
| Zatwierdzone roczne sprawozdania finansowe | 5 lat od początku roku następującego po roku obrotowym, w którym nastąpiło ich zatwierdzenie | ustawa o rachunkowości |
| Dokumenty podatkowe | do upływu przedawnienia zobowiązania, czyli 5 lat od końca roku, w którym upłynął termin płatności podatku | Ordynacja podatkowa |
| Umowy z klientami i kontrahentami | co najmniej do przedawnienia roszczeń z umowy (zwykle 3 albo 6 lat, z końcem roku kalendarzowego) | Kodeks cywilny |
| Dokumentacja medyczna | 20 lat od końca roku kalendarzowego, w którym dokonano ostatniego wpisu; przepisy przewidują też okresy dłuższe i krótsze | ustawa o prawach pacjenta i Rzeczniku Praw Pacjenta |
Gdy ten sam dokument podlega dwóm terminom naraz, jak faktura, która jest jednocześnie dowodem księgowym i dokumentem podatkowym, decyduje dłuższy termin.
| Pracownik zatrudniony | Jak długo przechowywać |
| od 1 stycznia 2019 roku | 10 lat od końca roku kalendarzowego, w którym stosunek pracy ustał lub wygasł |
| między 1999 a 2018 rokiem | 50 lat, ale okres można skrócić do 10 lat, jeśli pracodawca przekazał do ZUS oświadczenie i raporty informacyjne (ZUS RIA) |
| przed 1999 rokiem | 50 lat |
Pięćdziesiąt lat to bardzo długo. Przed zniszczeniem akt osobowych sprawdź te terminy szczególnie starannie albo skonsultuj się z księgową lub specjalistą do spraw kadr. Pomyłka w tym miejscu może pozbawić byłego pracownika dokumentów potrzebnych do ustalenia emerytury.
Po porównaniu inwentaryzacji z terminami podziel archiwum na trzy części:
Przechowujemy dalej, bo termin jeszcze nie minął.
Do weryfikacji, bo nie jesteś pewien terminu albo dokument może dotyczyć toczącej się sprawy.
Do zniszczenia, bo cel i obowiązek przechowywania wygasły.
Grupę drugą odłóż do rozmowy z księgową, kadrowcem albo prawnikiem. Szczególnie ostrożnie podchodź do papierów, które mogą mieć znaczenie w toczącym się sporze lub kontroli. Lepiej przechować coś kilka miesięcy dłużej, niż zniszczyć dokument, o który za tydzień poprosi urzędnik.
Kilka kartek dziennie zniszczysz w biurowej niszczarce. Czterdzieści segregatorów z piwnicy to inna skala: niszczarka się przegrzewa, trzeba usuwać zszywki i spinacze, a ktoś musi przy niej stać godzinami, zamiast pracować.
Liczy się też to, jak drobno cięty jest papier. Norma DIN 66399 określa poziomy bezpieczeństwa niszczenia nośników papierowych, oznaczane od P-1 do P-7. Im wyższy poziom, tym mniejsze ścinki. Najniższe przewidziano dla dokumentów ogólnych, bez danych wrażliwych. Dla dokumentów z danymi osobowymi często wskazuje się poziom P-4 lub wyższy, a najwyższe stosuje się do informacji szczególnie poufnych. Tania niszczarka paskowa może więc nie wystarczyć dla akt osobowych czy dokumentacji medycznej.
Przy większych ilościach rozsądniej zlecić niszczenie wyspecjalizowanej firmie. Pamiętaj wtedy o dwóch formalnościach. Po pierwsze, wykonawca, który przejmuje Twoje dokumenty, przetwarza dane w Twoim imieniu, dlatego należy zawrzeć z nim umowę powierzenia przetwarzania danych osobowych (art. 28 RODO). Po drugie, poproś o protokół zniszczenia, bo właśnie takiego dowodu wymaga zasada rozliczalności.
Spakuj dokumenty do zniszczenia w kartony lub worki. Zapytaj wykonawcę, czy trzeba usuwać zszywki i wyjmować kartki z segregatorów.
Ustal termin, który nie koliduje z pracą, na przykład wcześnie rano albo po godzinach.
Sprawdź, jak dokumenty będą transportowane: w zabezpieczonych pojemnikach lub zamkniętym pojeździe.
Do momentu odbioru trzymaj kartony w zamkniętym pomieszczeniu, a nie na korytarzu.
Protokół albo certyfikat zniszczenia potwierdza, że określona partia dokumentów została zniszczona w kontrolowany sposób. Przechowuj go razem z dokumentacją dotyczącą ochrony danych. Przy kontroli Prezesa UODO albo skardze klienta to konkretny dowód. Dobrym nawykiem jest też krótka notatka: kto zdecydował o zniszczeniu, jakich dokumentów to dotyczyło i kiedy się odbyło.
Gabinety lekarskie, stomatologiczne, fizjoterapeutyczne przechowują dane o zdrowiu, czyli dane szczególnej kategorii (art. 9 RODO). Ich wyciek jest szczególnie poważny.
Biura rachunkowe mają w szafach numery PESEL, NIP, rachunki bankowe, wynagrodzenia i zeznania podatkowe setek osób.
Sklepy i firmy usługowe przechowują umowy, faktury, reklamacje i dane z programów lojalnościowych.
Wspólnoty, spółdzielnie i stowarzyszenia często zapominają, że też są administratorami danych: listy mieszkańców, uchwały z podpisami, korespondencja.
W mieście wielkości Chełmna klienci często znają właścicieli firm osobiście. Wyciek danych oznacza tu kłopot prawny, ale też utratę zaufania, którą bardzo trudno odbudować.
Najlepiej, żeby opisana procedura nie była jednorazową akcją. Raz w roku, na przykład w styczniu, przejrzyj archiwum według tych samych kroków. Piwnica przestanie rosnąć, a porządki przy kolejnym remoncie zajmą jedno popołudnie zamiast tygodnia.
Artykuł przygotowany przy współpracy z firmą SafeCut z Bydgoszczy.
