Bezpieczne przechowywanie danych - podstawowe zasady

Każda organizacja powinna wdrożyć zasady przechowywania danych zgodne z RODO. Dla każdej z organizacji będą one różne w zależności od ilości przetwarzanych danych, sposobu ich gromadzenia oraz nośników na których są one gromadzone i przechowywane.

Można wyróżnić kilka podstawowych zasad w tym zakresie, którymi powinny kierować się organizacje:

Organizacja powinna określić obszar przetwarzania i przechowywania danych. Będą to budynki, pomieszczenia i części pomieszczeń. Organizacja powinna stworzyć „Wykaz budynków, pomieszczeń lub części pomieszczeń tworzących obszar, w których przetwarzane są i przechowane dane osobowe. Taki wykaz może być jednym z elementów Polityki Ochrony Danych Osobowych w organizacji.

2. Jeśli dane osobowe przetwarzane są i przechowywane w systemach informatycznych należy zastosować następujące zasady ich przechowywania, w tym zasady bezpieczeństwa:

Metodę i częstotliwość tworzenia kopii bezpieczeństwa,
Na jakich nośnikach mają być tworzone kopie bezpieczeństwa np. płyta CD
Okres tworzenia kopii bezpieczeństwa w cyklach np. w każdym dniu roboczym w tygodniu po skończonej pracy
określenie czasowej weryfikacji wykonanych kopii bezpieczeństwa.
określenie pozbawiania zapisu starych płyt po czasie ustania ich użyteczności.

3. Należy określić sposób i czas przechowywania nośników informacji, w tym kopii informatycznych oraz wydruków:

Ze względów bezpieczeństwa nośniki informacji, w tym również kopie informatyczne i wydruki winny być przechowywane w dwóch niezależnych od siebie miejscach.
Nośniki informacji, w tym również kopie informatyczne i wydruki winny znajdować się w zamykanych szafach z dostępem tylko dla osób upoważnionych.
Nośniki informacji, w tym również kopie informatyczne i wydruki winny być przechowywane w zabezpieczonym pomieszczeniu z dostępem tylko dla osób upoważnionych.

4. Organizacja powinna określić sposób działania po ustaniu określonego czasu przechowywania nośników informacji, w tym kopii informatycznych i wydruków:

organizacja zobowiązana jest do trwałego usunięcia danych z nośników informacji, w tym kopii informatycznych i wydruków po czasie ich przechowywania.
Wydruki na których znajdują się dane osobowe winny być zniszczone w sposób uniemożliwiający ich odczyt.
Nośniki informacji, w tym kopie informatyczne winny być pozbawione zapisu lub w przypadku nie możności usunięcia danych zniszczone w sposób uniemożliwiający odczyt.

5. Organizacja powinna określić sposób postępowania w przypadku przekazania nośników informacji w celu naprawy:

W przypadku przekazania nośników informacji w celu ich naprawy organizacja zobowiązana jest do takiego usunięcia danych aby uniemożliwić odczytanie danych przez osoby nieupoważnione.
W przypadku niemożności usunięcia danych z nośników informacji naprawę można dokonać tylko w obecności osoby upoważnionej przez organizację.