Retencja e-maili zgodna z RODO

Zasady retencji e-maili zgodne z RODO: praktyczna lista kontrolna dotycząca przechowywania i usuwania danych poczty

Retencja e-maili brzmi nudno, dopóki na Twoje biurko nie trafi skarga. Wtedy stary eksport skrzynki, taśma kopii zapasowej i „tymczasowy” folder wsparcia nagle okazują się równie ważne, zwłaszcza gdy chodzi o retencja e-maili zgodna z RODO.

Fraza zasady retencji e-maili zgodne z RODO brzmi elegancko, ale praca jest dużo bardziej złożona. Potrzebujesz prawdziwej mapy, harmonogramu i procesu usuwania, z którego ktoś faktycznie będzie w stanie skorzystać we wtorek po południu, a także jasnej odpowiedzi na pytanie jak długo przechowywać e-maile RODO.

1. Zmapuj każdą kategorię danych e-mail, którą przechowujesz

Zacznij od listy dokładnie tych danych e-mail, które posiadasz. Nie „e-maile” ogólnie. Wypisz osobno treść wiadomości, tematy, nagłówki, metadane nadawcy i odbiorcy, załączniki, logi dostarczenia oraz kopie zapasowe.

Taki podział ma znaczenie, bo każda z tych pozycji ma inne potrzeby retencji. Wątek sprzedażowy z podpisanym zamówieniem to nie to samo co log odrzuconej wiadomości, a odpowiedź klienta ze скanem paszportu to nie to samo co nagłówek routingu z serwera pocztowego.

Praktyczna metoda to prosta inwentaryzacja z sześcioma kolumnami: kategoria danych, system, właściciel, cel, okres retencji i metoda usunięcia. Jeśli nie da się uzupełnić danego wiersza, rekord nie jest gotowy do kontroli retencji, a sama polityka retencji poczty elektronicznej pozostaje tylko dokumentem bez wdrożenia.

Dobra mapa wychwytuje też ukryte miejsca przechowywania. Jeden zespół może usunąć wiadomość ze skrzynki, ale zapomnieć o systemie zgłoszeń, notatce w CRM i folderze eksportów na laptopie. Właśnie tak „usunięta” poczta przetrwa w trzech miejscach.

2. Ustal okres retencji na podstawie celu

Retencja powinna wynikać z celu, a nie z przyzwyczajenia. Jeśli przechowujesz e-maile klientów do obsługi, wskaż, jak długo trwa ten cel. Jeśli trzymasz faktury do księgowości, powiąż okres przechowywania z potrzebą księgową, a nie z ogólnym „na wszelki wypadek”.

Różne cele mogą uzasadniać różne okresy. Wątek rozliczeniowy może wymagać dłuższego przechowywania niż odpowiedź marketingowa. Dziennik dochodzenia bezpieczeństwa może potrzebować krótszego i bardziej precyzyjnego okresu niż rekord umowy, bo po zamknięciu incydentu szybko traci wartość.

Do każdej kategorii zapisz jedną przyczynę. Następnie określ zdarzenie, które kończy retencję: zamknięcie sprawy, opłacenie faktury, wygaśnięcie gwarancji, upłynięcie okresu przedawnienia lub zakończenie przekazania dokumentacji. Brak zdarzenia kończącego oznacza brak zasady retencji.

To także moment, w którym wiele osób przesadza. Skrzynka wsparcia nie musi stawać się archiwum wieczystym tylko dlatego, że łatwo się w niej wyszukuje. Wygoda nie jest podstawą prawną.

Jeśli Twój zespół przechowuje transakcyjne dane e-mail, powiąż zasadę retencji z rzeczywistym wykorzystaniem biznesowym. Logi dostarczenia mogą być potrzebne przez okres wsparcia, podczas gdy treść często można skrócić znacznie wcześniej. Jeśli odbicia wiadomości lub logi zdarzeń są ważne dla Twojego procesu, zobacz zdarzenia webhook e-mail dla wiadomości transakcyjnych, aby lepiej zrozumieć operacyjną stronę tych danych.

3. Rozdziel retencję skrzynki aktywnej, archiwum i kopii zapasowej

Aktywne skrzynki służą do bieżącej pracy. Archiwa służą do przechowywania dokumentacji. Kopie zapasowe służą do odzyskiwania danych. Te trzy warstwy nie są wymienne i nie powinny podlegać jednej bezterminowej zasadzie retencji.

Wiadomość może zostać usunięta z aktywnej skrzynki po 90 dniach, zachowana w archiwum przez 7 lat, a mimo to zniknąć z kopii zapasowej przy kolejnym cyklu nadpisania. Taki układ jest normalny. Nienormalne jest natomiast trzymanie tej samej wiadomości wszędzie domyślnie i nazywanie tego „polityką retencji”.

Aktywna skrzynka powinna być porządkowana z myślą o szybkości pracy. Archiwum powinno podlegać zasadom prowadzenia dokumentacji. Kopia zapasowa powinna odpowiadać na potrzeby odzyskiwania, a nie na potrzeby archiwalne. Jeśli kopia jest przechowywana przez 30 dni, nie powinna po cichu stać się długoterminowym archiwum.

Przydatną praktyką jest wpisywanie warstwy przechowywania w każdej zasadzie retencji. Przykład: „Skrzynka wsparcia: 180 dni; archiwum: 3 lata; kopia zapasowa: 35 dni”. Taki zapis pokazuje pracownikom, gdzie następuje usunięcie, a gdzie nie.

W przypadku wiadomości związanych z dostarczalnością lub systemem warto też oddzielić rekordy operacyjne od trwałego przechowywania. Dane uwierzytelniające i routingowe często wymagają innego planu niż sama treść wiadomości, zwłaszcza jeśli Twój zespół już stosuje konfigurację DKIM SPF DMARC dla wiadomości transakcyjnych w celu zapewnienia integralności poczty.

4. Zbuduj procesy usuwania i anonimizacji

Usuwanie nie powinno być życzeniem. Powinno być procesem z krokami, odpowiedzialnością i rejestrem. Usunięcie trwałe, pseudonimizacja i redakcja to różne działania, a Twój zespół musi wiedzieć, które z nich ma zastosowanie.

Usunięcie trwałe oznacza, że dane są usuwane z systemu w sposób, który nie jest przeznaczony do odzyskania w normalnym użyciu. Pseudonimizacja oznacza zastąpienie bezpośrednich identyfikatorów innym oznaczeniem przy zachowaniu części wartości operacyjnej. Redakcja oznacza usunięcie konkretnego fragmentu, na przykład numeru konta bankowego, przy pozostawieniu reszty rekordu.

Zbuduj proces w kolejności: zidentyfikuj rekord, potwierdź zdarzenie kończące retencję, sprawdź wyjątki, wybierz metodę usunięcia, wykonaj działanie i zapisz dowód realizacji. Sześć kroków wystarczy, jeśli rzeczywiście są przestrzegane.

Niektórych systemów nie da się całkowicie usunąć z każdej warstwy jednocześnie. W takich przypadkach stosuj redakcję lub pseudonimizację tam, gdzie pełne usunięcie nie jest możliwe, i dokumentuj dlaczego. „To niemożliwe” nie powinno być pierwszą odpowiedzią. Zazwyczaj to tylko znak, że nikt nie sprawdził ustawień.

Zespoły pocztowe, które już zarządzają odbiciami, blokadami wysyłek lub błędami dostarczenia, zwykle mają lepsze nawyki operacyjne. Te same nawyki pomagają również tutaj. Udokumentowany proces z najlepszych praktyk obsługi odbić e-mail można zaadaptować do kolejki usuwania, ponieważ oba procesy opierają się na jasnym wyzwalaczu i domkniętej pętli.

Jedna mała, ale użyteczna zasada: jeśli człowiek musi kliknąć „usuń”, wymagaj drugiej weryfikacji dla rekordów współdzielonych. Wątek wsparcia z dziesięcioma odpowiedziami nie jest miejscem na przypadkowe porządki.

5. Obsługuj wnioski pracowników i klientów dotyczące skrzynek pocztowych

Skrzynki pracownicze tworzą kłopotliwe przypadki. Osoba, która odeszła z firmy, może mieć 20 000 wiadomości, wspólna skrzynka może zawierać podpisy kilku osób, a wątki wsparcia klienta mogą zawierać dane innej osoby w tym samym łańcuchu. Takie wnioski wymagają wskazanego właściciela.

W przypadku byłych pracowników zdecyduj, czy skrzynka ma zostać przekazana, zarchiwizowana czy usunięta. W przypadku wspólnych skrzynek wydziel część należącą do osoby składającej wniosek. W wątkach klientów sprawdź, czy usunięcie danych jednej osoby nie zaszkodzi rekordowi innej osoby ani nie przerwie ścieżki dowodowej.

Praktyczny proces polega na podziale wniosków dotyczących skrzynek na cztery ścieżki: indywidualna skrzynka, wspólna skrzynka, wątek wsparcia i plik prawny. Każda ścieżka potrzebuje własnej reguły decyzyjnej. Jedna reguła dla wszystkich czterech nie zadziała.

Gdy pojawia się wniosek, zapisz datę, osobę wnioskującą, skrzynkę, wykonane działanie i ewentualne ograniczenie. Jeśli skrzynka musi pozostać dostępna przez miesiąc w okresie przejściowym, zaznacz to. Okres przejściowy nie jest tym samym co bezterminowa retencja.

Wspólne skrzynki to miejsce, w którym zespoły najczęściej działają niedbale. Jedno żądanie „usuń ten e-mail” może jednocześnie dotyczyć HR, finansów i obsługi klienta. Rozwiązaniem nie jest szybkość. Rozwiązaniem jest krótka weryfikacja przez osobę, która zna strukturę folderów.

Jeśli Twoja firma wysyła wiadomości klientom z tych samych systemów, które odbierają odpowiedzi, właściwa konfiguracja pomaga ograniczyć przypadkowe przechowywanie. Dobre routowanie, lepsze logi i jasne zasady blokowania wysyłek ułatwiają późniejsze porządki; dlatego zespoły często łączą prace nad retencją z zarządzaniem listą blokad e-mail · YourTrend.

6. Stosuj wyjątki związane z nakazem prawnym i sporem bardzo wąsko

Legal hold powinien być wyjątkiem, a nie domyślną zasadą. Wstrzymaj usuwanie tylko wtedy, gdy istnieje udokumentowany obowiązek prawny, aktywne roszczenie lub konkretny spór wymagający tych danych. Następnie ogranicz zakres holda tak bardzo, jak to możliwe.

Rozległy hold na „wszystkie e-maile” zwykle jest zbyt szeroki. Wąski hold na jedną teczkę klienta, jeden folder projektu lub jeden zakres dat jest łatwiejszy do uzasadnienia i później łatwiejszy do zwolnienia. Jeśli spór dotyczy spóźnionej faktury, nie oznacza to automatycznie zamrożenia wszystkich wewnętrznych notatek.

Zapisz, dlaczego hold istnieje, kto go zatwierdził, jakie dane obejmuje i kiedy należy go ponownie przejrzeć. Bez daty przeglądu holdy mają tendencję do przekształcania się w trwałe przechowywanie.

Po zakończeniu roszczenia przywróć dane do zwykłej retencji. Ten krok łatwo przeoczyć. Jedna sprawa sądowa może uzasadniać 18 miesięcy retencji; nie uzasadnia dodatkowych 18 miesięcy po zamknięciu sprawy.

Legal hold wpływa też na dostarczanie poczty i listy kontaktów. Rekord objęty holdem nie powinien być używany do niezwiązanych działań marketingowych, testowych ani porządkowania list. Jeśli chcesz zachować zachowanie kontaktu bez przechowywania pełnej treści wiadomości, dokładnie sprawdź dane zdarzeń i ścieżki przechowywania, zwłaszcza jeśli obok e-maili monitorujesz aktywność w sieci za pomocą najlepszych praktyk dotyczących powiadomień web push.

Jest jeszcze jedno ograniczenie, o którym warto pamiętać. Legal hold nie jest wygodnym powodem do przechowywania danych tylko dlatego, że ktoś może ich kiedyś potrzebować. „Może” nie wystarczy.

7. Dokumentuj zasady retencji i regularnie je przeglądaj

Zapisz harmonogram retencji. Nie w ogólnym stwierdzeniu polityki. Użyj tabeli lub rejestru z nazwą zbioru danych, właścicielem, celem, okresem retencji, wyzwalaczem usunięcia, podstawą prawną, lokalizacją przechowywania i datą przeglądu.

Ten dokument powinien umożliwiać nowemu pracownikowi działanie bez długiego spotkania. Jeśli jedyna osoba, która go rozumie, odejdzie, polityka jest słaba. Jeśli polityka istnieje tylko w pamięci jednego menedżera, to w ogóle nie jest polityka.

Przeglądaj harmonogram w stałym cyklu. Dla niektórych zespołów sprawdza się kwartalnie, dla innych dwa razy w roku. Ważniejszy od liczby jest sam nawyk. Jeśli przegląd nigdy się nie odbywa, stare dane wygrywają samą bezwładnością.

Podczas przeglądu zwróć uwagę na trzy rzeczy: nowy system, zmieniony cel biznesowy albo nieaktualny wyjątek. To najczęstsze powody, dla których zasady retencji przestają działać. Jedno nowe narzędzie do obsługi zgłoszeń może stworzyć trzy nowe lokalizacje przechowywania, zanim ktokolwiek to zauważy.

Pomaga też sprawdzenie, czy usuwanie nadal działa po aktualizacji. Sama zasada na papierze nie wystarczy, jeśli platforma pocztowa trzyma kopie w plikach eksportu lub migawkach wsparcia. Jeśli Twój zespół polega na monitorowaniu dostarczalności lub sprawdzaniu reputacji nadawcy, przechowuj powiązane rekordy tylko tak długo, jak to konieczne, i dopasuj je do swoich najlepszych praktyk dostarczalności e-maili, a nie do przyzwyczajenia.

Ostatni krok: przypisz człowieka odpowiedzialnego za każdą zasadę. Wskazana osoba zauważy, kiedy 90-dniowa skrzynka stanie się skrzynką 900-dniową.