डेटा रिटेन्सन अवधि: तपाईं ग्राहक डेटा कति समयसम्म राख्न सक्नुहुन्छ?

डच कानून अन्तर्गत तपाईंले ग्राहकको डेटा त्यति लामो समयसम्म मात्र राख्न सक्नुहुन्छ जतिबेलासम्म तपाईंले यसलाई सङ्कलन गर्नुभएको उद्देश्यको लागि आवश्यक पर्दछ, जबसम्म कुनै कानूनले तपाईंलाई यसलाई लामो समयसम्म राख्न बाध्य पार्दैन। मुख्य अपवाद तपाईंको वित्तीय प्रशासन हो: सामान्य कर ऐनको धारा ५२ (Algemene wet inzake rijksbelastingen, AWR) र डच नागरिक संहिता (BW) को धारा २:१० ले तपाईंलाई ग्राहकको डेटा सहित सात वर्षसम्म राख्न आवश्यक छ।

यस पृष्ठले GDPR (डचमा: AVG) र डच वैधानिक अवधारण कर्तव्यहरू कसरी एकसाथ मिल्छन्, कुन अवधिहरू सबैभन्दा सामान्य प्रकारका डेटामा लागू हुन्छन्, र अवधि समाप्त हुँदा तपाईंले के गर्नुपर्छ भनेर वर्णन गर्दछ। फराकिलो रूपरेखाको लागि, डच डेटा गोपनीयता कानूनहरूको हाम्रो सिंहावलोकन हेर्नुहोस् ।

ग्राहकको डेटा राख्ने मुख्य नियम के हो?

GDPR ले वर्षको कुनै निश्चित संख्या तोक्दैन। यसले भन्छ कि तपाईंले व्यक्तिगत डेटालाई प्रशोधन गर्ने उद्देश्यको लागि आवश्यक भन्दा बढी समयसम्म पहिचान गर्न सकिने रूपमा राख्न सक्नुहुन्न (भण्डारण-सीमा सिद्धान्त)।

व्यवहारमा यसको अर्थ तीन कुराहरू हुन्। तपाईंले डेटा केवल तपाईंले सङ्कलन गर्नुभएको विशेष उद्देश्यको लागि मात्र राख्नुहुन्छ, जस्तै अर्डर डेलिभर गर्ने वा न्यूजलेटर पठाउने । तपाईंले वास्तवमा आवश्यक पर्ने डेटा मात्र राख्नुहुन्छ। र तपाईंले प्रत्येक अवधारण अवधि र यसको कारण रेकर्ड गर्नुहुन्छ, किनभने डच डेटा संरक्षण प्राधिकरण (Autoriteit Persoonsgegevens, AP) ले तपाईंलाई यसको औचित्य प्रमाणित गर्न सोध्न सक्छ।

जब उद्देश्य समाप्त हुन्छ, डेटा राख्नको लागि तपाईंको कानुनी आधार पनि समाप्त हुन्छ । त्यसपछि तपाईंले यसलाई मेटाउनुहुन्छ वा गुमनाम राख्नुहुन्छ ताकि यो अब कुनै व्यक्तिलाई फिर्ता पत्ता लगाउन सकिँदैन। डेटा "केसमा मात्र" राख्नु उद्देश्य होइन।

निश्चित अवधारण अवधिहरू कहाँबाट आउँछन्?

निश्चित अवधिहरू GDPR बाट होइन, विशिष्ट डच कानूनहरूबाट आउँछन्। डच GDPR कार्यान्वयन ऐन (Uitvoeringswet AVG, UAVG) ले पनि अवधारण अवधिहरू सिर्जना गर्दैन।

GDPR ले तपाईंलाई अधिकतम (आवश्यक भन्दा बढी होइन) बताउँछ; एक विशिष्ट कानूनले तपाईंलाई न्यूनतम (तपाईंले निश्चित रेकर्डहरू कति समयसम्म राख्नु पर्छ) बताउँछ। दुई मध्ये एउटा मात्र उल्लेख गर्ने अवधारण तालिका अपूर्ण हुन्छ। जहाँ कानूनले तपाईंलाई डेटा राख्न आवश्यक छ, त्यो कानुनी दायित्व यसलाई राख्नको लागि तपाईंको आधार हो, तर केवल कानूनले समेट्ने डेटाको लागि र त्यो अवधिको लागि मात्र।

तपाईंले वित्तीय र कर रेकर्ड कति समयसम्म राख्नुपर्छ?

सात वर्ष। धारा ५२(४) AWR ले प्रत्येक व्यवसायलाई आफ्नो पुस्तक, अभिलेख र अन्य डेटा वाहकहरू सात वर्षसम्म राख्न बाध्य पार्छ, र धारा २:१०(३) BW ले कानुनी संस्थाको बोर्डमा उही सात वर्षको कर्तव्य लगाउँछ।

यो कर्तव्यले बीजकहरू, खरिद र बिक्री रेकर्डहरू, खाताहरू, बैंक स्टेटमेन्टहरू, नगद-रजिस्टर र बिक्री बिन्दु डेटा र वार्षिक खाताहरू समेट्छ। बीजकहरूमा ग्राहकको नाम र ठेगानाहरू यस भित्र पर्छन्। रेकर्डहरू स्क्यान जस्ता अर्को डेटा वाहकमा स्थानान्तरण गर्न सकिन्छ, जबसम्म तिनीहरू अवधिभर पूर्ण र पढ्न योग्य रहन्छन् (धारा 52(5) AWR र धारा 2:10(4) BW)।

घरजग्गा सम्बन्धी अभिलेखहरूको अवधि लामो हुन्छ। कारोबार कर ऐन १९६८ (१९६८ को अन्त्यसम्म) को धारा ३४a अन्तर्गत, व्यवसायले सम्पत्ति प्रयोग गर्न थालेको वर्ष पछि नौ वर्षसम्म तिनीहरूलाई राख्नु पर्छ, त्यसैले लागू हुने गरी दस वर्ष।

कर शुल्कले सबै कुरा सात वर्षसम्म राख्नु उचित हुँदैन। उदाहरणका लागि, तपाईंको ग्राहकको मार्केटिङ प्रोफाइल प्रशासनको हिस्सा होइन र यसको आफ्नै छोटो अवधि चाहिन्छ।

कर्मचारी र आवेदकको डेटा कति समयसम्म राख्न सक्नुहुन्छ?

तलब रेकर्डहरू प्रशासनको हिस्सा हुन् र धारा ५२ AWR को सात वर्षे नियम अन्तर्गत पर्छन्। ज्याला कर विवरण (loonbelastingverklaring) र कर्मचारीको पहिचान कागजातको प्रतिलिपि छुट्टै ज्याला कर नियमहरूद्वारा समेटिएका छन्; आफ्नो तालिकामा सेट गर्नु अघि Belastingdienst सँग हालको अवधि जाँच गर्नुहोस्।

बाँकी कर्मचारी फाइलको कुनै वैधानिक अवधि छैन। AP को मार्गदर्शनले आवश्यकता सिद्धान्त लागू गर्दछ: धेरैजसो फाइल रोजगारी समाप्त भएपछि सीमित अवधिको लागि मात्र राख्न सकिन्छ, र लामो समयसम्म मात्र जहाँ ठोस कारण छ, जस्तै विचाराधीन विवाद। बिरामी बिदाको डेटा AP ले रोजगारदाताहरूको लागि तोकेको साँघुरो सीमा भित्र मात्र प्रशोधन गर्न सकिन्छ; कर्मचारी बिरामी अधिकारहरूमा हाम्रो पृष्ठ हेर्नुहोस् ।

जागिर आवेदकहरूको डेटालाई अझ कडाइका साथ व्यवहार गरिन्छ। यदि कुनै उम्मेदवार अस्वीकृत भयो भने, AP ले प्रक्रिया समाप्त भएको केही हप्ता भित्र डेटा मेटाउने अपेक्षा गर्दछ, जबसम्म उम्मेदवारले लामो अवधिको लागि सहमति जनाउँदैन। कर्मचारी-फाइल अवधिमा आवेदक डेटा फोल्ड गर्नु एक सामान्य र रोक्न सकिने गल्ती हो।

मेडिकल फाइलहरू कति समयसम्म राखिन्छन्?

बीस वर्ष। धारा ७:४५४(३) BW अन्तर्गत स्वास्थ्य सेवा प्रदायकले अन्तिम परिवर्तन भएको मितिदेखि बीस वर्षसम्म वा राम्रो हेरचाहको आवश्यकता पर्ने ठाउँमा बढी समयसम्म मेडिकल फाइल राख्छ।

यो कर्तव्य चिकित्सा उपचार सम्झौता (WGBO) अन्तर्गत स्वास्थ्य सेवा प्रदायकहरूमा लागू हुन्छ। स्वास्थ्य डेटा प्राप्त गर्ने साधारण व्यवसाय, जस्तै रोजगारदाता, यसमा भर पर्न सक्दैन। स्वास्थ्य डेटा व्यक्तिगत डेटाको एक विशेष वर्ग हो र GDPR र UAVG ले अनुमति दिएको साँघुरो आधारमा मात्र प्रशोधन गर्न सकिन्छ।

तपाईंले सम्झौता र पत्राचार कति समयसम्म राख्नु पर्छ?

कुनै वैधानिक अवधि छैन, त्यसैले दावीहरूको लागि सीमा अवधिले निर्णयलाई चलाउँछ। सम्झौताको कार्यसम्पादनको लागि दाबी यसको म्याद सकिएको पाँच वर्ष पछि समय-प्रतिबन्धित हुन्छ (धारा ३:३०७ BW)। क्षतिपूर्तिको लागि दाबी घाइते पक्षलाई क्षति र उत्तरदायी व्यक्तिको बारेमा थाहा भएको पाँच वर्ष पछि र कुनै पनि अवस्थामा घटना भएको बीस वर्ष पछि (धारा ३:३१० BW) समय-प्रतिबन्धित हुन्छ।

त्यसकारण, सम्झौताको अवधि पाँच वर्षभन्दा बढी राख्नु भनेको तपाईंले AP लाई व्याख्या गर्न सक्ने एउटा सुरक्षित तालिका हो। सुविधाको लागि छनौट गरिएको समतल अवधि होइन। यदि कुनै विवाद उत्पन्न हुन्छ भने, तपाईंले सान्दर्भिक डेटा अन्ततः समाधान नभएसम्म राख्न सक्नुहुन्छ (तल हेर्नुहोस्)।

तपाईं कसरी रिटेन्सन तालिका सेट अप गर्नुहुन्छ?

व्यक्तिगत डेटाको प्रत्येक वर्ग, यसको उद्देश्य, यसको कानुनी आधार र यसको अवधि सूचीबद्ध गर्नुहोस्, र डेटा कहाँ भण्डारण गरिएको छ रेकर्ड गर्नुहोस्। ब्याक-अप र अभिलेखहरू पनि महत्त्वपूर्ण छन्।

साधारण तालिका यस्तो देखिन सक्छ। पहिलो र अन्तिम पङ्क्तिहरू विधानबाट पछ्याउँछन्; बीचका पङ्क्तिहरू तपाईंले आफैंले सेट गर्नुभएको अवधिहरूको उदाहरण हुन् र औचित्य प्रमाणित गर्न सक्षम हुनुपर्छ।

तपाईंको गोपनीयता कथनले ग्राहकहरूलाई तपाईंले उनीहरूको डेटा कति समयसम्म राख्नुहुन्छ, वा अवधि सेट गर्न प्रयोग गर्ने मापदण्डहरू बताउनु पर्छ। "आवश्यक भएसम्म" आफैंमा धेरै अस्पष्ट छ। क्षेत्र आचार संहिताहरूले तपाईंलाई उचित अवधिहरू छनौट गर्न मद्दत गर्न सक्छ, तर तपाईं छनौटको लागि जिम्मेवार रहनुहुन्छ।

अवधारण अवधि समाप्त भएपछि के हुन्छ?

तपाईंले डेटा मेटाउनुहुन्छ वा गुमनाम राख्नुहुन्छ, र तपाईंले त्यसो गर्नुभएको कागजात गर्नुहुन्छ। फाइलहरूलाई रिसाइकल बिनमा सार्नु वा डाटाबेस रेकर्ड लुकाउनु मेटाउनु होइन।

• डिजिटल डेटाको लागि सुरक्षित मेटाउने सफ्टवेयर प्रयोग गर्नुहोस् वा भण्डारण मिडिया नष्ट गर्नुहोस्।
• कागजका रेकर्डहरू च्यातचुत पार्नुहोस्; तिनीहरूलाई कहिल्यै पनि साधारण फोहोरमा नफाल्नुहोस्।
• ठूला परिमाणहरूको लागि प्रमाणित विनाश सेवा प्रयोग गर्नुहोस् र यसको प्रमाणपत्र राख्नुहोस्।
• आफ्नो प्रणालीमा स्वचालित मेटाउने सुविधा निर्माण गर्नुहोस् र वर्षमा कम्तिमा एक पटक यसलाई जाँच गर्नुहोस्।

विचाराधीन विवाद, अनुसन्धान वा उजुरीको लागि डेटा आवश्यक पर्दा अपवाद लागू हुन्छ। त्यसपछि तपाईंले त्यो डेटाको लागि मात्र मेटाउने काम निलम्बन गर्नुहुन्छ (कानूनी होल्ड), किन रेकर्ड गर्नुहुन्छ, र कार्यवाही वा उजुरी समाप्त भएपछि रोक हटाउनुहोस् ।

ग्राहकलाई के अधिकार छ?

ग्राहकले तपाईंलाई आफ्नो डेटा आवश्यक नपर्ने बित्तिकै मेटाउन अनुरोध गर्न सक्छ, र यसको प्रशोधनमा आपत्ति जनाउन सक्छ। तपाईंले एक महिना भित्र जवाफ दिनुपर्छ; जटिल अनुरोधहरूको लागि त्यो अवधि कुलमा अधिकतम तीन महिनासम्म बढाउन सकिन्छ, र तपाईंले ग्राहकलाई विस्तारको बारेमा बताउनुपर्छ।

यदि कानूनले तपाईंलाई सात वर्षको अवधि भित्र इनभ्वाइस जस्ता डेटा राख्न आवश्यक छ भने, तपाईंले त्यो डेटा मेटाउन अस्वीकार गर्न सक्नुहुन्छ, तर तपाईंले किन भनेर व्याख्या गर्नुपर्छ। ग्राहकहरूले तपाईंसँग के छ भनेर हेर्नको लागि आफ्नो पहुँचको अधिकार पनि प्रयोग गर्न सक्छन् । यदि तपाईंले जवाफ दिनुभएन भने, तिनीहरूले AP मा गुनासो गर्न सक्छन्।

यदि तपाईंले डेटा धेरै लामो राख्नुभयो भने AP ले के गर्छ?

डच डाटा संरक्षण प्राधिकरणले अनुसन्धान गर्न सक्छ, तपाईंलाई डाटा मेटाउन आदेश दिन सक्छ र प्रशासनिक जरिवाना लगाउन सक्छ; GDPR ले विश्वव्यापी वार्षिक कारोबारको प्रतिशतसम्म जरिवाना गर्न अनुमति दिन्छ। ग्राहकहरूले नागरिक अदालतहरूमा पनि क्षतिपूर्ति दाबी गर्न सक्छन्।

एपी सामान्यतया गुनासो वा डेटा उल्लंघनबाट सुरु हुन्छ। अनावश्यक पुरानो डेटाले उल्लंघनको परिणामलाई अझ खराब बनाउँछ, किनकि धेरै मानिसहरू प्रभावित हुन्छन्।

व्यवसायको रूपमा तपाईंले के जाँच गर्नुपर्छ?

• के तपाईंको प्रशोधन रेकर्डमा रहेका प्रत्येक डेटा वर्ग कुनै उद्देश्य र अवधिसँग जोडिएको छ?
• के तपाईं धारा ५२ AWR अन्तर्गतको सात वर्षे प्रशासनलाई मार्केटिङ र खाता डेटाबाट अलग गर्नुहुन्छ?
• के अस्वीकृत आवेदकहरूको डेटा हप्ता भित्र मेटाइन्छ, जबसम्म उनीहरूले लामो समयसम्म राख्न सहमति जनाउँदैनन्?
• के तपाईंको गोपनीयता कथनमा वास्तविक अवधि वा मापदण्डहरू उल्लेख गरिएको छ?
• के तपाईंको प्रणालीहरू, ब्याक-अपहरू सहित, अवधि समाप्त भएपछि डेटा स्वचालित रूपमा मेटाउँछन्?
• के तपाईंसँग विवाद र उजुरीहरूको लागि कानुनी रोक प्रक्रिया छ?

ग्राहकको रूपमा तपाईंले के जाँच गर्नुपर्छ?

• के गोपनीयता कथनमा तपाईंको डेटा कति समयसम्म राखिन्छ भनेर उल्लेख गरिएको छ?
• के उद्देश्य समाप्त भयो, उदाहरणका लागि, तपाईंले आफ्नो खाता बन्द गर्नुभयो वा सदस्यता रद्द गर्नुभयो?
• के तपाईंले एक महिना भित्र आफ्नो मेटाउने अनुरोधको जवाफ पाउनुभयो?
• यदि व्यवसायले अस्वीकार गर्छ भने, के यसले सात वर्षे कर नियम जस्ता वैधानिक कर्तव्यलाई नाम दिन्छ?
• यदि होइन भने, के तपाईंले AP मा उजुरी गर्ने बारेमा विचार गर्नुभएको छ?

डेटा रिटेन्सनको लागि हामी तपाईंको लागि के गर्न सक्छौं?

हाम्रा IT र गोपनीयता वकिलहरूले व्यवसायहरूलाई उनीहरूको अवधारण अवधिहरू सेट गर्न र बचाउन मद्दत गर्छन्।

• हामी तपाईंको डेटा कोटीहरूको नक्सा बनाउँछौं र प्रत्येक अवधिको लागि कानुनी आधार सहितको अवधारण तालिकाको मस्यौदा तयार गर्छौं।
• हामी तपाईंको गोपनीयता कथन तपाईंले वास्तवमा लागू गर्नुभएको अवधिहरूसँग जाँच गर्छौं।
• हामीले तपाईंको संस्थाको लागि कानुनी रोक्का र मेटाउने प्रक्रिया सेटअप गरेका छौं।
• हामी मेटाउने र पहुँच अनुरोधहरूको मूल्याङ्कन गर्छौं र एक महिनाको समयसीमा भित्र तपाईंको जवाफ मस्यौदा गर्छौं।
• हामी AP अनुसन्धान वा उजुरी प्रक्रियामा तपाईंको प्रतिनिधित्व गर्छौं।

सारांश

• GDPR ले कुनै निश्चित अवधि तोक्दैन: तपाईंले व्यक्तिगत डेटा यसको उद्देश्यको लागि आवश्यक भन्दा बढी राख्नुहुन्न।
• तपाईंको प्रशासन, बीजकहरूमा ग्राहक डेटा सहित, सात वर्षसम्म राख्नुपर्छ (धारा ५२ AWR, धारा २:१० BW); पहिलो प्रयोगको वर्ष पछि नौ वर्षको लागि घर जग्गा रेकर्डहरू।
• मेडिकल फाइलहरू बीस वर्षसम्म राखिन्छन् (धारा ७:४५४ BW); सम्झौताहरू सामान्यतया तिनीहरूको अवधि र पाँच वर्षको सीमा अवधिको लागि हुन्छन्।
• अवधि समाप्त भएपछि, कानूनी रोक लागू नभएसम्म डेटा मेटाउनुहोस् वा गुमनाम राख्नुहोस् र रेकर्ड गर्नुहोस्।
• ग्राहकहरूले मेटाउने अनुरोध गर्न सक्छन्; तपाईंले एक महिना भित्र जवाफ दिनुपर्छ।

बारम्बार सोधिने प्रश्नहरू