W księgowości łatwo wpaść w pułapkę dwóch pozornie sprzecznych prawd. Z jednej strony wszyscy słyszeliśmy o zasadzie minimalizacji danych i o tym, że dane osobowe nie powinny żyć dłużej niż trzeba. Z drugiej strony obowiązuje twarda, papierowa logika: dokumenty księgowe trzeba przechowywać przez lata, czasem dekadę, czasem dłużej. W praktyce to nie jest konflikt “RODO przeciwko papierom”, tylko zderzenie dwóch porządków: ochrony prywatności i wymogów prawa podatkowego oraz rachunkowego.

Ten tekst prowadzi przez temat tak, jak zwykle wygląda życie: od rozmowy z działem księgowości, przez decyzję o retencji i udostępnianiu, aż po sytuację, gdy ktoś żąda usunięcia danych. Będzie o tym, jak podejść do sprawy bez paniki, bez improwizacji i bez narażania firmy na kary.

Dlaczego w ogóle mówi się o „zapomnieniu”, skoro i tak trzeba archiwizować

Prawo do ochrony danych osobowych ma w założeniu chronić ludzi przed niepotrzebnym przechowywaniem informacji. Gdy dane przestają być potrzebne do celu, dla którego je zebrano, powinny zostać usunięte albo przynajmniej odpowiednio ograniczone. Brzmi prosto, ale w firmach codziennie spotykamy sytuacje, gdzie “niepotrzebne” nie jest równoznaczne z “do natychmiastowego zniszczenia”.

Dokumenty księgowe to klasyczny przykład. Wiele z nich zawiera dane pracowników, kontrahentów albo klientów: imiona i nazwiska, adresy, numery identyfikacyjne, podpisy. Nawet jeśli z perspektywy biznesu dana transakcja jest zamknięta, prawo może wymagać, aby dokumenty nadal istniały w archiwum. I to właśnie tworzy napięcie: użytkownik chce wykreślenia informacji, a przepisy rachunkowe i podatkowe nakazują ich przechowywanie.

Prawo do bycia zapomnianym: co to znaczy w praktyce

W realnym świecie “prawo do bycia zapomnianym” nie działa jak przycisk kasowania w aplikacji. To zestaw uprawnień i mechanizmów: z żądaniem usunięcia danych można wystąpić, ale administrator danych nie zawsze musi spełnić je w całości. Kluczowe jest to, czy dalsze przechowywanie jest zgodne z innymi obowiązkami prawnymi albo czy dane są jeszcze potrzebne w określonym celu.

Wniosek o usunięcie danych wchodzi w grę wtedy, gdy podstawą przetwarzania nie jest już to, co pozwala przechowywać dane. Zwykle pojawiają się argumenty: uprawniony interes, zgoda, wykonanie umowy, obowiązek prawny. W księgowości najczęściej wygrywa właśnie obowiązek prawny przechowywania dokumentacji.

Dlatego zamiast “albo usuwamy, albo nie” pojawia się subtelniejsza odpowiedź: co w danych da się ograniczyć, co musi pozostać, a co można oddzielić od bieżącej aktywności.

Obowiązek archiwizacji dokumentów księgowych: twardy fundament firmy

Dokumenty księgowe przechowuje się nie po to, żeby utrudniać życie, tylko żeby dało się sprawdzić rozliczenia. Kontrola podatkowa, audyt, spór prawny, rozliczenia w przyszłości, obowiązki sprawozdawcze. Ustawodawca zakłada, że przez określony czas dokumentacja musi być dostępna, kompletna i weryfikowalna.

W efekcie archiwum staje się narzędziem zgodności. Nie jest “archiwum dla archiwum”, tylko częścią mechanizmu, który sprawia, że firma działa w zgodzie z prawem. To właśnie ten obowiązek najczęściej stoi na drodze pełnego usunięcia danych z dokumentów księgowych.

Co zwykle siedzi w dokumentach księgowych, czyli skąd biorą się dane osobowe

Nie trzeba mieć specjalnej wyobraźni, żeby zobaczyć, gdzie pojawiają się dane osobowe. Faktura ma dane kontrahenta, umowy zawierają strony, listy płac zawierają szczegóły pracowników, a dokumenty rozliczeniowe i korekty potrafią wracać jak bumerang.

Do tego dochodzą elementy, które w firmie często są przechowywane “bo są”: korespondencja dotycząca rozliczeń, załączniki do faktur, notatki z weryfikacji płatności. Nie zawsze wszystko powinno trafiać do dokumentacji księgowej, ale w praktyce często tak się dzieje. Dla RODO ważne jest rozdzielenie: to, co jest wymagane przepisami, i to, co zostało zebrane nadmiarowo.

Gdzie pojawia się konflikt: żądanie usunięcia danych a wymogi przechowywania

Wyobraźmy sobie sytuację, która dzieje się w wielu firmach. Były kontrahent albo pracownik składa wniosek o usunięcie danych. W odpowiedzi firma widzi, że część informacji znajduje się w dokumentach, które muszą być przechowywane. I nagle pojawia się stres: “jeśli usuniemy, naruszymy przepisy”, “jeśli nie usuniemy, naruszymy RODO”.

To nie jest wyrok z góry dla żadnej ze stron. RODO przewiduje, że w pewnych przypadkach żądanie usunięcia nie będzie spełnione w całości. Jeśli przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego, administrator może odmówić usunięcia. Ale uwaga: odmowa nie zamyka tematu. Wciąż trzeba działać zgodnie z zasadami, czyli rozważyć zakres, ograniczenia i bezpieczeństwo danych.

Najczęstszy błąd: traktowanie całego archiwum jako „jednolitego worka”

W mojej praktyce wielokrotnie widziałem, że firmy przechowują wszystko w jednym systemie i pod jednym opisem. W efekcie, gdy ktoś żąda usunięcia, pojawia się automatyczna odpowiedź: “nie możemy, bo archiwum”. Taka odpowiedź bywa zbyt szeroka. Archiwa są zróżnicowane: część dokumentów wynika bezpośrednio z obowiązku prawnego, część jest “dodatkowym materiałem”, a część może być już niepotrzebna.

Lepsze podejście polega na mapowaniu danych i ustaleniu, co naprawdę jest objęte obowiązkowym przechowywaniem, a co można ograniczyć albo usunąć.

Jak to pogodzić: podejście, które ma sens dla księgowości i dla działu prawnego

Najbezpieczniej myśleć o tym jak o architekturze procesu, a nie jednorazowej decyzji. Gdy przychodzi żądanie usunięcia, nie sprowadzajmy go do pytania “kasować czy nie kasować”. Prawidłowa analiza zwykle składa się z trzech kroków: identyfikacja źródeł danych, określenie podstawy przetwarzania oraz wybór sposobu realizacji praw podmiotu danych w granicach obowiązków prawnych.

W praktyce oznacza to, że firma powinna wiedzieć, gdzie dane osobowe istnieją: w systemie fakturowym, w systemie kadrowym, w obiegu dokumentów, w archiwum skanów, w rozwiązaniach do przechowywania dokumentów. Bez tego odpowiedź na żądanie jest zgadywaniem, a zgadywanie to ryzyko.

Podstawa prawna przetwarzania: dlaczego „obowiązek prawny” często wygrywa

Jeżeli dane znajdują się w dokumentach księgowych, które muszą być przechowywane przez ustawowy okres, to administrator ma przesłankę do dalszego przetwarzania. W skrócie: celem jest wypełnienie obowiązku prawnego. To jest inna logika niż “dane są potrzebne, dopóki trwa relacja”.

Wtedy nie chodzi o to, że dane “nigdy nie znikną”. Chodzi o to, że znikną dopiero wtedy, gdy upłynie okres przechowywania albo gdy dokumenty przestaną podlegać obowiązkowi. Do tego czasu nie ma realnej możliwości ich usunięcia bez naruszenia przepisów, nawet jeśli ktoś ma do tego prawo wynikające z RODO.

Ograniczanie zamiast kasowania: kiedy to jest właściwa droga

Jeżeli żądanie dotyczy danych, które nie mogą zostać usunięte, możliwe bywa ich ograniczenie. Ograniczenie przetwarzania polega na tym, że dane nie są używane w sposób, który wykracza poza konieczność wynikającą z obowiązku prawnego. W praktyce może oznaczać ograniczenie dostępu, wyłączenie z bieżących procesów i zapewnienie, że archiwum służy tylko temu, co wymagane.

To rozwiązanie jest szczególnie sensowne, gdy dane są wciąż przechowywane wyłącznie “z powodu terminu”. Wtedy archiwum nie powinno być wykorzystywane jako baza do marketingu, analityki czy innych celów, które nie mają związku z obowiązkiem.

Przykład z życia: jak wygląda analiza, gdy przychodzi wniosek

W jednej z firm, które obsługiwałem jako doradca, wniosek o usunięcie danych trafił do zespołu compliance w dniu zamknięcia miesiąca. Księgowość od razu powiedziała: “nie usuniemy niczego z systemu, bo faktury muszą zostać”. W pierwszej chwili brzmiało to jak ściana.

Po wspólnej analizie okazało się jednak, że część żądanych informacji była w dwóch miejscach: w dokumentacji księgowej objętej obowiązkiem przechowywania oraz w dodatkowym załączniku do korespondencji, który nie był wymagany przepisami. Firma mogła usunąć lub przynajmniej ograniczyć przetwarzanie w tej drugiej części, a w pierwszej odpowiedzieć, że dokumentacja księgowa musi pozostać w archiwum do czasu określonego przepisami.

Dzięki temu firma nie zablokowała realizacji praw osoby, tylko je właściwie zawęziła. To był praktyczny kompromis: “nie kasujemy, bo nie wolno”, ale “nie trzymamy też wszystkiego, bo się da”.

Co z dokumentami w chmurze, skanami i systemami obiegu

Wiele organizacji przeniosło dokumenty do systemów chmurowych i narzędzi do obiegu dokumentów. Dla RODO to nie zmienia sensu przepisów, ale zmienia sposób realizacji obowiązków. Gdy dokumenty są w systemie, trzeba sprawdzić, gdzie dokładnie znajdują się dane, jakie są uprawnienia i jak działa retencja.

Jeżeli firma ma ustawione okresy przechowywania, a dokument po upływie terminu jest automatycznie usuwany lub anonimizowany, to sytuacja jest dużo prostsza. Jeśli nie ma takich mechanizmów, to żądania usunięcia danych zaczynają być problemem codziennym, a nie sporadycznym.

Retencja i anonimizacja: kiedy to realnie działa

Anonimizacja albo pseudonimizacja może mieć sens, gdy archiwum ma nadal spełniać wymóg przechowywania, ale nie musi zawierać identyfikatorów w formie pozwalającej na przypisanie danych konkretnej osobie. Oczywiście nie zawsze jest to możliwe w dokumentach księgowych, bo przepisy mogą wymagać czytelności i identyfikowalności stron transakcji.

Dlatego tu liczy się rozsądek: sprawdzić, czy w danym typie dokumentu da się zastosować ograniczenie identyfikowalności bez naruszenia wymogów prawnych. Czasem da się to zrobić w obszarach pobocznych, a czasem nie ma takiej opcji. Zwykle jednak da się przynajmniej ograniczyć dostęp do dokumentów i wyłączyć je z procesów, które nie są potrzebne.

Jak sformułować odpowiedź na żądanie usunięcia danych, gdy dokumenty muszą zostać

Odpowiedź na wniosek powinna być konkretna. Firma nie powinna chować się za ogólnikiem typu “RODO nie ma zastosowania”, bo to nieprawda. Zamiast tego trzeba wskazać, że w zakresie dokumentacji księgowej przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego i w związku z tym nie można usunąć danych przed upływem wymaganego okresu przechowywania.

W dobrze przygotowanej odpowiedzi opisuje się też, co firma zrobi poza samym usunięciem. Na przykład: ograniczy przetwarzanie, zapewni odpowiedni dostęp tylko osobom upoważnionym, a w zakresie, w jakim dane nie są objęte obowiązkowym przechowywaniem, podejmie działania zgodne z żądaniem. Taka odpowiedź jest bardziej uczciwa i po ludzku czytelna.

Termin obsługi wniosku: gdzie najczęściej pojawia się chaos

Wniosek to nie “mail do przeczytania kiedyś”. Musi zostać obsłużony w terminach przewidzianych przez przepisy o ochronie danych osobowych. W praktyce największe opóźnienia biorą się z tego, że firma nie ma procedury współpracy między zespołem RODO a księgowością i archiwum.

Jeśli nie ma ustalonych ścieżek, wniosek krąży między działami, a czas ucieka. Dlatego warto mieć prostą checklistę: kto sprawdza systemy, kto potwierdza, czy dane są w dokumentacji księgowej, kto przygotowuje ostateczną odpowiedź i na jakiej podstawie.

Oddziel dane księgowe od danych „okołoksięgowych”: to oszczędza pieniądze i nerwy

Z perspektywy prywatności największą przewagę daje rozdzielenie danych, które są wymagane, i tych, które były zbierane “przy okazji”. Jeśli dokumentacja księgowa zawiera dane osobowe, to okej. Jeśli jednak w archiwum trafiają skany, notatki czy niepotrzebne załączniki, to żądania usunięcia pojawiają się częściej i są trudniejsze.

W mojej pracy zdarzało się, że firma tworzyła folder „misc”, do którego lądowało wszystko: od umów po wymianę maili i prywatne pliki pracowników. W razie wniosku o usunięcie nie wiadomo było, co jest obowiązkowe, a co nie. Z czasem porządkowanie struktury archiwum okazywało się tańsze niż późniejsze odpowiedzi prawne i ryzyko naruszeń.

Praktyczna lista: co warto ustawić w organizacji

• Zasady klasyfikacji dokumentów: co trafia do archiwum księgowego, a co do rejestru “pomocniczego”.
• Okresy przechowywania per typ dokumentu, a nie “jedno RODO dla wszystkich”.
• Uprawnienia dostępu: kto może przeglądać archiwum i w jakim celu.
• Procedura obsługi wniosków: kto weryfikuje źródło danych i jakie ma dowody.
• Mechanizmy retencji lub przynajmniej kontrola terminów usuwania po ich upływie.

Kwestie sporne i bezpieczniki: co z odpowiedzialnością za błędy

Jeżeli firma usunie dokumenty księgowe zbyt wcześnie, może ponieść konsekwencje finansowe i administracyjne niezależnie od RODO. Z kolei jeśli firma ignoruje RODO w innych obszarach i przechowuje dane ponad potrzeby, może dostać zarzuty naruszenia przepisów o ochronie danych.

Najczęściej problemem nie jest sama decyzja “nie usuwamy”. Problemem jest brak rozróżnienia i brak uzasadnienia. Urzędowe spojrzenie na sprawę jest proste: czy firma wiedziała, co robi, czy potrafi wykazać podstawę przetwarzania i czy zastosowała środki ograniczające skutki dla osoby, której dane dotyczą.

Dowody zgodności: jak je budować, zanim przyjdzie wniosek

W praktyce nie chodzi o dokumentowanie każdej emocji, tylko o zdolność wykazania, że firma działała według zasad. To obejmuje rejestry przetwarzania, polityki retencji, procedury obsługi wniosków oraz dowody, że archiwum jest kontrolowane. Jeśli wniosek trafi na biurko, a firma będzie miała gotową ścieżkę i podstawy, stres spada, a decyzje są spójne.

Warto też prowadzić mapowanie systemów i typów dokumentów. Czasem jedynym powodem, dla którego firma “nie wie co robi”, jest brak aktualnej wiedzy o tym, gdzie trzyma dane. Dobra dokumentacja wewnętrzna jest wtedy jak mapa w terenie: nie zwalnia z odpowiedzialności, ale oszczędza błąd.

Jak rozmawiać z księgowością, gdy wchodzi RODO

Księgowość często postrzega RODO jako dodatkowy obowiązek. To zrozumiałe, bo księgowość i tak ma pełne ręce roboty, a dokumenty mają określoną logikę. Jeśli jednak RODO wdroży się bez kontaktu z księgowością, powstają decyzje oderwane od rzeczywistości.

Najlepiej działa wspólny język: zamiast mówić “usuńcie dane”, mówi się “wydzielcie to, co jest obowiązkowe, i to, co nadmiarowe”. Zamiast “niech system będzie ślepy”, ustala się “system ma przechowywać tylko tyle, ile trzeba, i tylko w kontrolowanych celach”.

W wielu organizacjach przełomem bywa ustalenie, że archiwum księgowe nie jest zasobem do dowolnego przetwarzania, tylko do zgodności. Kiedy to się ustawi, pojawia się spójność i łatwiej odpowiadać na wnioski.

O co chodzi w tym naprawdę: portfel, ryzyko i spójność procesów

Gdy ktoś myśli o usuwaniu danych i archiwizacji, zwykle myśli o “komforcie prawnym”. Tylko że w praktyce chodzi też o pieniądze. Koszt błędu to nie tylko ewentualna kara. To także czas ludzi, spory wewnętrzne, przerabianie procesów, a czasem ryzyko, że dokumenty przestaną być dostępne w razie kontroli.

Ułożenie relacji między obowiązkiem przechowywania a żądaniami osób, których dane dotyczą, daje firmie przewidywalność. Gdy proces jest zdefiniowany, księgowość i zespół ochrony danych nie działają w panice. A przewidywalność w prawie zwykle wygrywa z improvisacją.

Jak wygląda dobra praktyka na koniec cyklu: co po upływie okresu przechowywania

Jeżeli firma przechowuje dokumenty w wymaganym okresie, a potem kończy retencję, wraca temat usuwania i ograniczeń. Dobre archiwum nie powinno żyć wiecznie. Upływ terminu musi skutkować realnym działaniem: usunięciem albo anonimizacją, jeśli to dopuszczalne i zgodne z charakterem dokumentu.

To moment, w którym “prawo do bycia zapomnianym” staje się znów praktyczne, a nie tylko teoretyczne. Jeśli proces retencji działa, to osoby, które złożyły wnioski wcześniej, mogą zobaczyć, że firma traktuje ich dane poważnie, a archiwa są uporządkowane.

Na czym polega kompromis: nie obiecuj tego, czego nie da się zrobić, i nie chowaj się za ciszą

Najtrudniejsze w takich sprawach jest komunikowanie granic. Firma nie powinna obiecywać usunięcia danych z dokumentów, których nie wolno skasować. Jednocześnie nie powinna zamilknąć i zostawić wniosku bez odpowiedzi, bo wtedy rośnie napięcie i ryzyko skargi.

Rozsądny kompromis wygląda tak: część danych, która musi pozostać w dokumentacji księgowej, pozostaje w kontrolowanym środowisku, a tam, gdzie dokumentacja nie wymaga trzymania informacji, firma działa zgodnie z żądaniem. To nie jest “unik”, tylko technika zarządzania zgodnością.

W praktyce takie podejście zmniejsza liczbę konfliktów, skraca czas odpowiedzi i pozwala utrzymać porządek w archiwum. A porządek w archiwum to mniej kosztownych niespodzianek, gdy ktoś nagle pyta o usunięcie danych.

Wskazówki na drogę: jak przygotować firmę na dzień, w którym ktoś zażąda usunięcia danych

Na koniec warto zebrać rzeczy, które realnie robią różnicę. Po pierwsze: znać swoje dokumenty i systemy. Po drugie: mieć mapę retencji i podstaw prawnych. Po trzecie: umieć rozdzielić dokumentację księgową od materiałów, które nie są wymagane. Po czwarte: mieć gotową procedurę odpowiedzi, żeby obsługa wniosku nie polegała na bieganiu po firmie w ostatniej chwili.

Jeśli te elementy są ustawione, konflikt między prywatnością a archiwum przestaje być dramatem, a staje się kwestią operacyjną. A operacyjność to dokładnie to, co w prawie i w księgowości lubi najbardziej: konkretne zasady, konkretne terminy i jasne granice tego, co wolno, a czego nie.