डच कानून के तहत डेटा प्रतिधारण अवधि: आप ग्राहक डेटा को कितने समय तक रख सकते हैं?

डच कानून ग्राहक डेटा को सुरक्षित रखने के लिए दोतरफा दृष्टिकोण अपनाता है। कर कानून के तहत वित्तीय दस्तावेजों जैसे व्यावसायिक रिकॉर्ड को कम से कम सात वर्षों तक सुरक्षित रखना अनिवार्य है, जबकि GDPR के तहत व्यक्तिगत डेटा को उसके इच्छित उद्देश्य के लिए आवश्यक समय से अधिक समय तक सुरक्षित नहीं रखा जाना चाहिए।

इससे कानूनी दायित्वों को पूरा करने और निजता के अधिकारों का सम्मान करने के बीच एक सावधानीपूर्वक संतुलन बनता है।

कई संगठनों को यह समझने में कठिनाई होती है कि वे विभिन्न प्रकार की ग्राहक जानकारी को कानूनी रूप से कितने समय तक संग्रहीत कर सकते हैं। नियम इस बात पर निर्भर करते हैं कि आप वित्तीय रिकॉर्ड, कर्मचारी डेटा या सामान्य ग्राहक विवरण से निपट रहे हैं या नहीं।

कुछ डेटा प्रतिधारण अवधियां विशिष्ट कानूनों द्वारा निर्धारित की जाती हैं, जबकि अन्य के लिए आपको अपनी व्यावसायिक आवश्यकताओं के आधार पर उचित निर्णय लेने की आवश्यकता होती है।

यह मार्गदर्शिका नीदरलैंड में डेटा प्रतिधारण को नियंत्रित करने वाले कानूनी ढांचे की व्याख्या करती है और आपको यह दिखाती है कि आप अपने संगठन के लिए उपयुक्त प्रतिधारण अनुसूची कैसे निर्धारित कर सकते हैं।

आप विभिन्न प्रकार के डेटा के लिए वैधानिक आवश्यकताओं, डेटा को सही ढंग से हटाने के प्रबंधन के तरीके और अपने ग्राहकों के अपनी जानकारी के संबंध में क्या अधिकार हैं, इसके बारे में जानेंगे।

डच कानून के तहत डेटा प्रतिधारण के मूल सिद्धांत

डच कानून के अनुसार, ग्राहक डेटा को बनाए रखने के लिए आपको तीन प्रमुख सिद्धांतों का पालन करना आवश्यक है: आपको डेटा को केवल उसके मूल उद्देश्य के लिए ही रखना चाहिए, आवश्यक न्यूनतम मात्रा में डेटा एकत्र करना चाहिए, और अपने प्रतिधारण निर्णयों को स्पष्ट रूप से दस्तावेजित करना चाहिए।

व्यक्तिगत डेटा प्रसंस्करण में उद्देश्य संबंधी सीमाएँ

आप व्यक्तिगत डेटा को केवल उसी विशिष्ट उद्देश्य के लिए रख सकते हैं जिसके लिए आपने इसे एकत्र किया था। यदि आपने किसी ऑर्डर को प्रोसेस करने के लिए ग्राहक की जानकारी एकत्र की है , तो आप उस डेटा को मार्केटिंग के लिए अनिश्चित काल तक नहीं रख सकते, जब तक कि आपने उस उद्देश्य के लिए अलग से सहमति प्राप्त न कर ली हो।

GDPR के अनुसार, किसी भी प्रकार का डेटा एकत्र करने से पहले आपको उसके स्पष्ट उद्देश्य परिभाषित करने होंगे। जब वह उद्देश्य समाप्त हो जाता है, तो डेटा को अपने पास रखने का कानूनी आधार भी समाप्त हो जाता है।

उदाहरण के लिए, एक बार जब आप ग्राहक का लेन-देन पूरा कर लेते हैं और वैधानिक प्रतिधारण अवधि समाप्त हो जाती है, तो आपको उनका डेटा हटा देना चाहिए जब तक कि कोई अन्य वैध उद्देश्य मौजूद न हो।

वैध कानूनी आधार के बिना आप पुराने डेटा का पुन: उपयोग नहीं कर सकते। यदि आपके व्यवसाय की परिस्थितियाँ बदलती हैं और आप मौजूदा ग्राहक डेटा का उपयोग किसी नए उद्देश्य के लिए करना चाहते हैं, तो आपको यह आकलन करना होगा कि क्या यह मूल संग्रहण उद्देश्य के अनुरूप है या फिर नई सहमति प्राप्त करनी होगी।

डेटा न्यूनीकरण और आवश्यकता

आपको अपने उद्देश्य की पूर्ति के लिए केवल न्यूनतम आवश्यक व्यक्तिगत डेटा ही एकत्र और सुरक्षित रखना चाहिए। इसका अर्थ यह है कि आप ग्राहक की जानकारी को "शायद बाद में उपयोगी हो जाए" सोचकर सुरक्षित नहीं रख सकते।

डच कर कानून के अनुसार आपको वित्तीय रिकॉर्ड सात साल तक सुरक्षित रखने होंगे। हालांकि, इसका मतलब यह नहीं है कि आप सभी ग्राहकों की जानकारी सात साल तक सुरक्षित रख सकते हैं।

आपको कानून के अनुसार अपने पास रखने के लिए आवश्यक वस्तुओं को अन्य उद्देश्यों के लिए एकत्रित वस्तुओं से अलग करना होगा।

डच डेटा संरक्षण प्राधिकरण आपसे नियमित रूप से संग्रहित डेटा की समीक्षा करने की अपेक्षा करता है। स्वयं से प्रश्न पूछें: क्या आपको अभी भी इस जानकारी की आवश्यकता है? क्या आप इसे पहचान योग्य रूप में रखने के बजाय इसे अनाम बना सकते हैं?

यदि उत्तर नहीं है, तो आपको डेटा को हटाना या अनाम करना होगा।

पारदर्शिता और जवाबदेही

आपको अपने डेटा संग्रहण की अवधि का दस्तावेजीकरण करना होगा और यह बताना होगा कि आपने यह अवधि क्यों चुनी। डच डेटा संरक्षण प्राधिकरण इस जानकारी का अनुरोध कर सकता है और आपके निर्णयों की तर्कसंगतता का मूल्यांकन करेगा।

आपकी गोपनीयता नीति में ग्राहकों को स्पष्ट रूप से बताया जाना चाहिए कि आप उनका डेटा कितने समय तक रखेंगे। डेटा रखने की अवधि समाप्त होने पर या जब आपको उनकी जानकारी की आवश्यकता नहीं रह जाती है, तो लोगों को इसे हटाने का अनुरोध करने का अधिकार है।

आपको अपनी गोपनीयता नीति में स्पष्ट कारणों सहित डेटा प्रतिधारण अवधि दर्ज करनी चाहिए। इससे ऑडिट के दौरान आपकी सुरक्षा होती है और ग्राहकों को आपकी डेटा संबंधी प्रक्रियाओं को समझने में मदद मिलती है ।

यदि ग्राहकों को लगता है कि आप उनका डेटा बहुत लंबे समय तक अपने पास रख रहे हैं, तो वे डच डेटा संरक्षण प्राधिकरण के पास शिकायत दर्ज करा सकते हैं।

प्रतिधारण अवधि को नियंत्रित करने वाला कानूनी ढांचा

नीदरलैंड्स में डेटा प्रतिधारण के लिए कानूनी ढांचा यूरोपीय और राष्ट्रीय कानून का संयोजन है, जिसमें जीडीपीआर आधार तैयार करता है और डच कानून विशिष्ट आवश्यकताएं जोड़ते हैं।

Autoriteit Persoonsgegevens अनुपालन की देखरेख करता है, जबकि व्यवसायों को वैधानिक दायित्वों और डेटा सुरक्षा सिद्धांतों के बीच संतुलन बनाए रखना होता है।

जीडीपीआर और डच कार्यान्वयन अधिनियम

नीदरलैंड्स में डेटा संरक्षण का प्राथमिक कानूनी आधार सामान्य डेटा संरक्षण विनियमन (जीडीपीआर) है। हालांकि, इसमें ग्राहक डेटा के लिए कोई निश्चित अवधि निर्धारित नहीं की गई है।

इसके बजाय, यह इस सिद्धांत को स्थापित करता है कि आप व्यक्तिगत डेटा को उन उद्देश्यों के लिए आवश्यक समय से अधिक समय तक अपने पास नहीं रख सकते जिनके लिए आप इसे संसाधित करते हैं।

विनियमन द्वारा सदस्य राज्यों के लिए छोड़ी गई गुंजाइश को भरने वाला राष्ट्रीय कानून Uitvoeringswet AVG (UAVG) है। यह स्वयं कोई डेटा संग्रहण अवधि निर्धारित नहीं करता; यह आपराधिक कानून डेटा के प्रसंस्करण, पर्यवेक्षी प्राधिकरण की स्थिति और सहमति देने की आयु जैसे मामलों से संबंधित है। यदि आपको कोई निश्चित वर्षों की संख्या दिखाई देती है, तो वह कहीं और से ली गई है: कर कानून, रोजगार कानून, स्वास्थ्य सेवा कानून या क्षेत्रीय आचार संहिता।

व्यवहार में यह विभाजन महत्वपूर्ण है। विनियम आपको बताता है कि आप व्यक्तिगत डेटा को आवश्यकता से अधिक समय तक नहीं रख सकते, और विशिष्ट कानून आपको बताता है कि आपको कुछ रिकॉर्ड कितने समय तक रखने होंगे। दोनों में से कोई भी दूसरे प्रश्न का उत्तर नहीं देता, और एक ऐसा प्रतिधारण कार्यक्रम जो केवल एक का हवाला देता है, अधूरा है।

आपकी गोपनीयता नीति में डेटा को कितने समय तक सुरक्षित रखा जाएगा, इसका उल्लेख होना चाहिए और इसके पीछे का कारण भी स्पष्ट होना चाहिए। साथ ही, आपको अपनी गोपनीयता नीति में डेटा प्राप्तकर्ताओं को यह भी बताना होगा कि आप उनका डेटा कितने समय तक सुरक्षित रखते हैं।

डच डेटा संरक्षण प्राधिकरण की भूमिका

ऑटोरिटेट पर्सून्सगेगेवेन्स (एपी) नीदरलैंड का डेटा संरक्षण प्राधिकरण है जो डेटा प्रतिधारण आवश्यकताओं को लागू करता है। एपी यह आकलन करता है कि आपकी डेटा प्रतिधारण अवधि आपके प्रसंस्करण उद्देश्यों के लिए उचित और आवश्यक है या नहीं।

जब एपी आपकी डेटा संबंधी प्रक्रियाओं की जांच करता है, तो आपको अपने डेटा प्रतिधारण अवधि को सही ठहराने वाले दस्तावेज़ प्रस्तुत करने होंगे। प्राधिकरण इस बात का मूल्यांकन करता है कि क्या आप अपनी वैध आवश्यकताओं को ध्यान में रखते हुए व्यक्तिगत डेटा को यथासंभव कम समय के लिए रखते हैं।

यदि आप निर्धारित समय सीमा समाप्त होने के बाद भी उनका डेटा डिलीट नहीं करते हैं, तो व्यक्ति एपी (आवेदक प्राधिकरण) में शिकायत दर्ज करा सकते हैं। एपी को इन शिकायतों की जांच करने और डेटा सुरक्षा कानूनों का उल्लंघन करने पर कानूनी कार्रवाई करने का अधिकार है।

वैधानिक बनाम स्व-निर्धारित प्रतिधारण दायित्व

डच कानून अनिवार्य वैधानिक भंडारण अवधियों और आपके द्वारा स्वयं निर्धारित भंडारण अवधियों के बीच अंतर करता है। विशिष्ट कानून द्वारा लंबी भंडारण अवधि की आवश्यकता होने पर वैधानिक भंडारण अवधियां GDPR सिद्धांतों पर हावी हो जाती हैं।

डच कर कानून के तहत वित्तीय रिकॉर्ड सात साल तक रखना अनिवार्य है। यह आवश्यकता GDPR के न्यूनीकरण सिद्धांतों पर लागू नहीं होती।

कर्मचारी डेटा को संरक्षित रखने की अनिवार्य अवधि सूचना के प्रकार और उसके उद्देश्य के आधार पर भिन्न-भिन्न होती है।

जिन ग्राहक डेटा पर कानूनी बाध्यताएँ लागू नहीं होतीं, उनके लिए आप अपने प्रोसेसिंग उद्देश्यों के आधार पर उचित प्रतिधारण अवधि तय कर सकते हैं। आपको यह विचार करना होगा कि बकाया बिलों की निगरानी, ​​अनुबंधों को पूरा करने या अन्य वैध व्यावसायिक आवश्यकताओं के लिए आपको डेटा की कितने समय तक आवश्यकता है।

क्षेत्रीय संगठन आचार संहिता के माध्यम से मार्गदर्शन प्रदान कर सकते हैं जो आपके उद्योग में सामान्य प्रतिधारण अवधि को रेखांकित करती है।

उपयुक्त प्रतिधारण अनुसूचियों का निर्धारण

डेटा को कितने समय तक सुरक्षित रखना है, यह तय करते समय कानूनी दायित्वों, परिचालन आवश्यकताओं और GDPR की शर्तों का सावधानीपूर्वक आकलन करना आवश्यक है। आपको अपने व्यावसायिक उद्देश्यों को पूरा करने के लिए पर्याप्त समय तक डेटा सुरक्षित रखने और आवश्यकता से अधिक समय तक उसे सुरक्षित न रखने के बीच संतुलन बनाए रखना होगा।

वैध उद्देश्य और अवधि का आकलन करना

आपको प्रत्येक डेटा संग्रहण अवधि को उस उद्देश्य से सीधे जोड़ना होगा जिसके लिए आपने डेटा एकत्र किया था। GDPR के उद्देश्य सीमा सिद्धांत का अर्थ है कि आप ग्राहक डेटा को अनिश्चित काल तक नहीं रख सकते।

अपने आप से पूछें कि मूल उद्देश्य को पूरा करने के लिए आपको वास्तव में कितने समय तक जानकारी की आवश्यकता है।

डच कर कानून के तहत वित्तीय रिकॉर्ड को आमतौर पर सात साल तक सुरक्षित रखना आवश्यक होता है। हालांकि, केवल मार्केटिंग के लिए उपयोग किए जाने वाले ग्राहक संपर्क विवरण की आवश्यकता केवल एक या दो साल के लिए ही हो सकती है।

आपको प्रत्येक डेटा श्रेणी का अलग-अलग मूल्यांकन करना चाहिए।

इस बात पर विचार करें कि क्या कानूनी कार्यवाही के लिए डेटा को लंबे समय तक सुरक्षित रखने की आवश्यकता हो सकती है। यदि ग्राहक विवाद चल रहा है, तो मामले के हल होने तक आपको संबंधित डेटा को सुरक्षित रखने की आवश्यकता हो सकती है।

हालांकि, एक बार उद्देश्य की अवधि समाप्त हो जाने पर, आपको जानकारी को हटाना या गुमनाम करना होगा।

क्षेत्रीय संगठन कभी-कभी विशिष्ट उद्योगों के लिए अनुशंसित प्रतिधारण अनुसूची प्रकाशित करते हैं। ये दिशानिर्देश आपको यह निर्धारित करने में मदद कर सकते हैं कि आपके क्षेत्र की अन्य कंपनियां किस अनुसूची को उचित मानती हैं।

डच डेटा संरक्षण प्राधिकरण इस बात का आकलन करता है कि आपके द्वारा चुनी गई अवधियाँ आपके बताए गए उद्देश्यों के अनुरूप हैं या नहीं।

नीतियों में प्रतिधारण का दस्तावेजीकरण

आपको अपने डेटा को कितने समय तक सुरक्षित रखना है, इसका रिकॉर्ड रखना होगा और यह बताना होगा कि आपने यह समय क्यों चुना। यह दस्तावेज़ आपको तब सुरक्षा प्रदान करेगा जब डच डेटा संरक्षण प्राधिकरण आपकी कार्यप्रणाली पर सवाल उठाएगा।

आपके द्वारा संसाधित किए जाने वाले प्रत्येक प्रकार के ग्राहक डेटा के लिए विशिष्ट समयसीमा शामिल करें।

आपकी आंतरिक डेटा प्रतिधारण नीतियों में प्रत्येक डेटा श्रेणी और उसकी संबंधित प्रतिधारण अवधि सूचीबद्ध होनी चाहिए। उदाहरण के लिए:

आपकी गोपनीयता नीति में डेटा प्राप्तकर्ताओं को यह जानकारी अवश्य दी जानी चाहिए कि आप उनकी जानकारी कितने समय तक अपने पास रखते हैं। स्पष्ट भाषा का प्रयोग करें जिसे ग्राहक आसानी से समझ सकें।

“जब तक आवश्यक हो” जैसे अस्पष्ट वाक्यांश GDPR की पारदर्शिता आवश्यकताओं को पूरा नहीं करते हैं।

परिचालन, कानूनी और व्यावसायिक आवश्यकताओं के बीच संतुलन बनाए रखना

डेटा प्रतिधारण अनुसूची निर्धारित करते समय आपको परस्पर विरोधी मांगों का सामना करना पड़ता है। परिचालन दक्षता के लिए यह सुझाव दिया जा सकता है कि सभी डेटा को आसान पहुंच के लिए स्थायी रूप से रखा जाए।

हालांकि, GDPR के अनुसार, डेटा को यथासंभव कम समय तक ही रखना आवश्यक है।

कानूनी बाध्यताओं के तहत न्यूनतम रिकॉर्ड रखने की अवधि निर्धारित होती है जिसे आप अनदेखा नहीं कर सकते। आपकी पसंद चाहे जो भी हो, टैक्स रिकॉर्ड को सात साल तक रखना अनिवार्य है।

रोजगार संबंधी डेटा के लिए विशिष्ट नियम हैं, और अधिकांश कार्मिक जानकारी रोजगार समाप्त होने के दो साल बाद तक ही सीमित रहती है।

व्यवसाय की ज़रूरतों के चलते तात्कालिक उद्देश्य से परे भी डेटा को सुरक्षित रखा जा सकता है। आप रिटर्न या वारंटी दावों से निपटने के लिए खरीदारी का इतिहास रख सकते हैं।

बकाया बिलों की निगरानी करना आवश्यक है, जिसका अर्थ है भुगतान प्राप्त होने तक संबंधित ग्राहक डेटा को सुरक्षित रखना।

यदि आपको उनकी जानकारी की अब आवश्यकता नहीं है या वैधानिक अवधि समाप्त हो गई है, तो डेटा विषय उसे हटाने का अनुरोध कर सकते हैं।

आपको संग्रहित डेटा की नियमित रूप से समीक्षा करनी चाहिए और प्रतिधारण अवधि समाप्त हो चुकी किसी भी सामग्री को हटा देना चाहिए। स्वचालित विलोपन प्रणालियाँ मैन्युअल निगरानी के बिना अनुपालन सुनिश्चित करने में मदद करती हैं।

डेटा प्रकार के अनुसार वैधानिक प्रतिधारण अवधियों का अवलोकन

डच कानून विभिन्न प्रकार के व्यावसायिक डेटा के लिए विशिष्ट न्यूनतम प्रतिधारण अवधि निर्धारित करता है। कर कानूनों के अनुसार अधिकांश वित्तीय अभिलेखों के लिए सात वर्ष की अवधि अनिवार्य है, जबकि रोजगार और स्वास्थ्य सेवा संबंधी डेटा के लिए अलग-अलग कानूनी ढांचे और उनकी समयसीमा निर्धारित हैं।

वित्तीय और कर अभिलेख

डच कर कानून के तहत आपको अधिकांश वित्तीय रिकॉर्ड सात वर्षों तक सुरक्षित रखने होंगे। यह दायित्व खरीद-बिक्री रिकॉर्ड, बिल, बैंक स्टेटमेंट और वार्षिक खातों पर लागू होता है।

सात साल की अवधि उस वित्तीय वर्ष के अंत से शुरू होती है जिसमें रिकॉर्ड बनाया गया था।

आपके क्रेडिट और डेबिट खाते भी इस सात-वर्षीय आवश्यकता के अंतर्गत आते हैं। इसमें बही-खाते, डायरी और आपके व्यावसायिक लेन-देन को प्रमाणित करने वाले सहायक दस्तावेज़ शामिल हैं।

आप इन रिकॉर्ड्स को निर्धारित समय सीमा समाप्त होने से पहले हटा या नष्ट नहीं कर सकते, भले ही आपको दैनिक कार्यों के लिए इनकी आवश्यकता न हो।

कैश रजिस्टर के रिकॉर्ड और बिक्री संबंधी डेटा को सात साल की समान अवधि के लिए सुरक्षित रखना अनिवार्य है। कर अधिकारी लेखापरीक्षा या जांच के दौरान इन दस्तावेजों की मांग कर सकते हैं।

यदि आप उचित रिकॉर्ड रखने में विफल रहते हैं, तो आपको डच कर कार्यालय से दंड या जुर्माना का सामना करना पड़ सकता है।

मानव संसाधन और कर्मचारी डेटा

वेतन प्रबंधन भी अन्य खातों की तरह ही सात साल की अवधि के अंतर्गत आता है, जिसकी गणना रोजगार की समाप्ति से नहीं बल्कि संबंधित वित्तीय वर्ष के अंत से की जाती है। वेतन कर विवरण और पहचान पत्र की प्रति के लिए एक अलग छोटा नियम लागू होता है, जिसे रोजगार समाप्त होने वाले वर्ष के बाद पांच साल तक सुरक्षित रखना अनिवार्य है।

आपको कर संबंधी उद्देश्यों और वेतन या लाभों से संबंधित संभावित विवादों के लिए इन दस्तावेजों की आवश्यकता होगी।

कर्मचारी फाइलों पर कोई वैधानिक समयसीमा लागू नहीं होती। डच डेटा संरक्षण प्राधिकरण रोजगार समाप्ति के बाद दो वर्ष की अवधि को पूरी फाइल के लिए कार्य मानक मानता है, जो किसी कानून के बजाय आवश्यकता के सिद्धांत पर आधारित है।

नौकरी के आवेदनों को अलग से और कहीं अधिक सख्ती से संभाला जाता है। प्राधिकरण यह अपेक्षा करता है कि असफल उम्मीदवार का डेटा प्रक्रिया समाप्त होने के चार सप्ताह के भीतर हटा दिया जाए, और उम्मीदवार की सहमति होने पर ही इसे अधिकतम एक वर्ष तक रखा जा सकता है। आवेदक के डेटा को दो साल के कार्मिक मानक में शामिल करना एक आम और टाला जा सकने वाला दोष है।

चिकित्सा प्रमाण पत्र और बीमारी की छुट्टी के रिकॉर्ड को आमतौर पर दो साल बाद नष्ट किया जा सकता है।

प्रदर्शन समीक्षा और अनुशासनात्मक रिकॉर्ड को कम समय के लिए ही सुरक्षित रखना चाहिए। इन्हें केवल तब तक ही सुरक्षित रखें जब तक ये रोजगार संबंध के लिए प्रासंगिक बने रहें ।

किसी कर्मचारी के नौकरी छोड़ने के बाद, आमतौर पर आप इन्हें एक से दो साल के भीतर हटा सकते हैं, जब तक कि कोई कानूनी कार्यवाही लंबित न हो।

स्वास्थ्य देखभाल और चिकित्सा फाइलें

डच स्वास्थ्य कानून के तहत चिकित्सा रिकॉर्ड को कम से कम 20 वर्षों तक सुरक्षित रखना अनिवार्य है। यह लंबी अवधि रोगियों और स्वास्थ्य सेवा प्रदाताओं दोनों की सुरक्षा करती है, यदि अतीत के उपचारों के बारे में कोई प्रश्न उठता है।

कुछ रिकॉर्ड, जैसे कि नाबालिगों से संबंधित रिकॉर्ड, को और भी लंबे समय तक रखने की आवश्यकता हो सकती है।

मरीज की फाइलों में निदान संबंधी जानकारी, उपचार योजना, परीक्षण परिणाम और पत्राचार शामिल होते हैं। आपको इन्हें सुरक्षित रूप से संग्रहित करना होगा और यह सुनिश्चित करना होगा कि केवल अधिकृत कर्मचारी ही इन तक पहुंच सकें।

रिकॉर्ड रखने की निर्धारित अवधि समाप्त होने के बाद, आपको रिकॉर्ड को इस तरह से नष्ट करना होगा जिससे अनधिकृत पहुंच को रोका जा सके।

फार्मेसी रिकॉर्ड भी इसी व्यवस्था के अंतर्गत आते हैं। पुराने दिशानिर्देशों में उल्लिखित पंद्रह वर्ष की अवधि को वैधानिक अवधि को बढ़ाकर बीस वर्ष किए जाने पर प्रतिस्थापित कर दिया गया था, इसलिए पंद्रह वर्ष की अवधि का उल्लेख करने वाली सामग्री पर भरोसा नहीं किया जाना चाहिए।

स्वास्थ्य सेवा से संबंधित बीमा दावों और बिलिंग रिकॉर्ड को भी लंबी अवधि तक सुरक्षित रखने की आवश्यकता होती है।

शैक्षिक और कानूनी दस्तावेज

शैक्षणिक संस्थानों को दस्तावेज़ के प्रकार के आधार पर छात्रों के रिकॉर्ड को निर्धारित अवधि तक सुरक्षित रखना आवश्यक है। डिप्लोमा और डिग्री प्रमाण पत्र सार्वजनिक अभिलेख अधिनियम के अंतर्गत आते हैं और इन्हें स्थायी रूप से सुरक्षित रखना अनिवार्य है।

ये रिकॉर्ड योग्यता साबित करते हैं और पूर्व छात्रों को इनकी प्रतिलिपियां प्राप्त करने की अनुमति देते हैं।

छात्र द्वारा अपनी पढ़ाई पूरी करने के बाद परीक्षा परिणाम और ग्रेड कम से कम दो वर्षों तक सुरक्षित रखे जाने चाहिए। पाठ्यक्रम पंजीकरण और उपस्थिति रिकॉर्ड के लिए आमतौर पर कम अवधि, यानी शैक्षणिक वर्ष समाप्त होने के बाद लगभग एक से दो वर्ष तक, सुरक्षित रखने की आवश्यकता होती है।

अनुबंधों और पत्राचारों के लिए कोई वैधानिक संरक्षण अवधि निर्धारित नहीं है। इनसे उत्पन्न होने वाले किसी भी दावे के लिए निर्धारित समय सीमा ही निर्णय का आधार है: अधिकांश संविदात्मक दावों के लिए, लेनदार को दावे और देनदार की जानकारी होने के दिन से पाँच वर्ष, और अधिकतम समय सीमा बीस वर्ष है। इसलिए, अनुबंध को अनुबंध की अवधि और लागू समय सीमा तक रखना एक तर्कसंगत अनुसूची है, जिसे आप पर्यवेक्षी प्राधिकरण को समझा सकते हैं; सुविधा के लिए चुनी गई निश्चित वर्षों की संख्या तर्कसंगत नहीं है।

नोटरीकृत दस्तावेजों को स्थायी रूप से सुरक्षित रखना आवश्यक है क्योंकि वे आधिकारिक कानूनी प्रमाण के रूप में कार्य करते हैं।

डेटा विलोपन और विनाश का प्रबंधन

डेटा संरक्षण अवधि समाप्त होने के बाद, आपको अपने सिस्टम से व्यक्तिगत डेटा को सक्रिय रूप से हटाना होगा। डच कानून के अनुसार, डेटा को हटाने की प्रक्रिया पर विशेष ध्यान देना और उसे नष्ट करने के तरीकों का उचित दस्तावेज़ीकरण करना आवश्यक है, साथ ही उन स्थितियों का भी ध्यान रखना होगा जहां संरक्षण अवधि समाप्त होने के बावजूद डेटा को संरक्षित रखना आवश्यक हो।

हटाए जाने के लिए तैयार डेटा की पहचान करना

आपको अपने संग्रहित ग्राहक डेटा की नियमित रूप से समीक्षा करनी चाहिए ताकि यह पता चल सके कि किस जानकारी की संग्रहण अवधि समाप्त हो गई है। एक ऐसी प्रणाली स्थापित करें जो यह ट्रैक करे कि विभिन्न श्रेणियों का डेटा कब एकत्र किया गया था और कब उन्हें हटाने योग्य माना जाएगा।

इसमें ग्राहक रिकॉर्ड, पत्राचार, लेन-देन का विवरण और मार्केटिंग संबंधी प्राथमिकताएं शामिल हो सकती हैं। अपने डेटाबेस और फाइलिंग सिस्टम की कम से कम तिमाही जांच करने का शेड्यूल बनाएं।

कई संगठन स्वचालित उपकरणों का उपयोग करते हैं जो डेटा के विलोपन की तिथि नजदीक आने पर उसे चिह्नित करते हैं या प्रतिधारण अवधि समाप्त होने पर अलर्ट भेजते हैं। आपको अपने सिस्टम में ग्राहक डेटा कहाँ-कहाँ संग्रहीत है, इसका स्पष्ट रिकॉर्ड रखना चाहिए, जिसमें बैकअप सर्वर और संग्रहीत फ़ाइलें भी शामिल हैं।

आपकी डेटा प्रोसेसिंग टीमों को यह समझना होगा कि विभिन्न प्रकार के डेटा के लिए कौन सी प्रतिधारण अवधि लागू होती है। डच कर कानून के तहत वित्तीय रिकॉर्ड को सात साल तक संग्रहित करना आवश्यक है, लेकिन मार्केटिंग सहमति डेटा को केवल तब तक संग्रहित करने की आवश्यकता हो सकती है जब तक कि संबंध सक्रिय रहता है।

अपनी समीक्षा प्रक्रिया का दस्तावेजीकरण करें ताकि डच डेटा संरक्षण प्राधिकरण आपके अनुपालन को सत्यापित कर सके।

सुरक्षित और अनुपालन योग्य विनाश विधियाँ

आपको व्यक्तिगत डेटा को इस तरह से नष्ट करना होगा कि उसे पुनः प्राप्त करना असंभव हो जाए। केवल फ़ाइलों को रीसायकल बिन में ले जाना या डेटाबेस प्रविष्टियों को हटाना डच कानूनी आवश्यकताओं को पूरा नहीं करता है।

डिजिटल डेटा के लिए, सुरक्षित विलोपन सॉफ़्टवेयर का उपयोग करें जो जानकारी को कई बार ओवरराइट करता है या स्टोरेज डिवाइस को भौतिक रूप से नष्ट कर दें। ग्राहक डेटा वाले कागज़ी रिकॉर्ड को क्रॉस-कट या माइक्रो-कट श्रेडर से नष्ट करना आवश्यक है।

ग्राहक की जानकारी को कभी भी सामान्य कूड़ेदान में न डालें। बड़ी मात्रा में डेटा के लिए, प्रमाणित डेटा नष्ट करने वाली सेवाओं का उपयोग करने पर विचार करें जो डेटा नष्ट करने का प्रमाण पत्र प्रदान करती हैं।

उपयुक्त विनाश विधियों में निम्नलिखित शामिल हैं:

• डिजिटल फाइलों के लिए सुरक्षित विलोपन सॉफ़्टवेयर
• हार्ड ड्राइव और स्टोरेज मीडिया का भौतिक विनाश
• कागज़ी दस्तावेज़ों को तिरछा काटकर नष्ट करना
• चुंबकीय भंडारण उपकरणों के लिए डीगॉसिंग
• प्रमाणित तृतीय-पक्ष विनाश सेवाएं, दस्तावेज़ीकरण सहित।

डेटा को कब और कैसे नष्ट किया गया, इसका रिकॉर्ड रखें। डच डेटा संरक्षण प्राधिकरण आपसे यह साबित करने के लिए कह सकता है कि आपने डेटा संरक्षण अवधि समाप्त होने के बाद ग्राहक जानकारी को सही ढंग से हटा दिया था।

अपवादों और कानूनी रोक को संभालना

कई बार डेटा को सुरक्षित रखने की अवधि समाप्त होने के बाद भी उसे डिलीट नहीं किया जा सकता। कानूनी कार्यवाही, चल रही जांच या लंबित विवादों के मामले में संबंधित ग्राहक डेटा को मामले के निपटारे तक सुरक्षित रखना आवश्यक होता है।

आपको एक कानूनी रोक प्रक्रिया लागू करनी होगी जो प्रभावित डेटा के लिए सामान्य विलोपन अनुसूची को निलंबित कर दे। प्रत्येक कानूनी रोक को दस्तावेज़ में दर्ज करें जिसमें यह स्पष्ट रूप से बताया गया हो कि कौन सा डेटा हटाया नहीं जा सकता और क्यों।

डेटा प्रोसेसिंग टीमों को रोक लगने पर तुरंत सूचित करें ताकि वे गलती से आवश्यक जानकारी को नष्ट न कर दें। सक्रिय रोक की नियमित रूप से समीक्षा करें और कानूनी आधार समाप्त होते ही उसे तुरंत हटा दें।

ग्राहक की शिकायतें या नियामक जांच भी डेटा हटाने की आवश्यकताओं को रोक देती हैं । यदि कोई व्यक्ति आपके संगठन के खिलाफ डच डेटा संरक्षण प्राधिकरण के पास शिकायत दर्ज करता है, तो प्राधिकरण द्वारा मामले का समाधान होने तक आपको उनका डेटा सुरक्षित रखना होगा।

इन अपवादों को अपनी व्यापक डेटा प्रतिधारण नीतियों के साथ संतुलित करें और साथ ही इस बात का स्पष्ट रिकॉर्ड बनाए रखें कि कुछ डेटा सामान्य अवधि से अधिक समय तक आपके सिस्टम में क्यों रहता है।

डेटा विषयों के अधिकार और संगठनात्मक अनुपालन

जिन व्यक्तियों के डेटा को आप संसाधित करते हैं, उन्हें GDPR के तहत विशिष्ट अधिकार प्राप्त हैं, और आपको उनके अनुरोधों का निर्धारित समय सीमा के भीतर जवाब देना होगा। आपके संगठन को उचित दस्तावेज़ीकरण बनाए रखना होगा और Autoriteit Persoonsgegevens द्वारा निर्धारित निगरानी आवश्यकताओं का पालन करना होगा।

डेटा मिटाने का अधिकार और डेटा विषय संबंधी अनुरोध

डेटा के विषय, प्रतिधारण अवधि समाप्त होने पर या जब आपको जानकारी की उसके मूल उद्देश्य के लिए आवश्यकता नहीं रह जाती है, तो अपने व्यक्तिगत डेटा को हटाने का अनुरोध कर सकते हैं। आपको इन अनुरोधों का जवाब प्राप्त होने के एक महीने के भीतर देना होगा।

यदि आप अनुरोध अस्वीकार करते हैं, तो आपको डेटा विषय को अपने कारण स्पष्ट करने होंगे। यदि आप आवश्यकता पड़ने पर उनका डेटा डिलीट नहीं करते हैं, तो लोग डच डेटा संरक्षण प्राधिकरण के पास शिकायत भी दर्ज करा सकते हैं।

यदि डेटा प्राप्तकर्ता को लगता है कि आप उनकी जानकारी को बहुत लंबे समय तक अपने पास रख रहे हैं, तो उन्हें आपत्ति जताने का अधिकार है। आप इन अनुरोधों को केवल इसलिए अनदेखा नहीं कर सकते क्योंकि उन पर कार्रवाई करना असुविधाजनक है।

आपके संगठन में डेटा विषय संबंधी अनुरोधों को संभालने के लिए एक स्पष्ट प्रक्रिया होनी चाहिए। इसमें अनुरोध करने वाले व्यक्ति की पहचान सत्यापित करना और यह जांचना शामिल है कि क्या कोई वैधानिक डेटा प्रतिधारण अवधि अभी भी लागू होती है।

आपको GDPR के अनुपालन को प्रदर्शित करने के लिए सभी अनुरोधों और अपने उत्तरों का दस्तावेजीकरण करना होगा।

प्रतिधारण प्रक्रियाओं के माध्यम से GDPR अनुपालन सुनिश्चित करना

आपको अपने डेटा को रखने की अवधि का रिकॉर्ड रखना होगा और यह बताना होगा कि आपने विशिष्ट समय सीमा क्यों चुनी। इस जानकारी को अपनी गोपनीयता नीति में शामिल करें ताकि पूछताछ करने पर आप प्राधिकरण (Autoriteit Persoonsgegevens) को अपना तर्क दिखा सकें।

प्राधिकरण इस बात का आकलन करेगा कि आपकी डेटा संग्रहण अवधि उचित और यथासंभव कम है या नहीं। आपकी गोपनीयता नीति में यह स्पष्ट रूप से बताया जाना चाहिए कि आप विभिन्न प्रकार के व्यक्तिगत डेटा को कितने समय तक रखते हैं।

यह पारदर्शिता डेटा प्राप्तकर्ताओं को आपकी प्रक्रियाओं को समझने में मदद करती है। आपको नियमित रूप से अपने संग्रहित व्यक्तिगत डेटा की जाँच करनी चाहिए ताकि आप उस जानकारी की पहचान कर सकें जिसकी संग्रहण अवधि समाप्त हो चुकी है।

डेटा को सुरक्षित रखने की अवधि समाप्त होने पर, आपको या तो डेटा को सुरक्षित रूप से नष्ट करना होगा या उसे पूरी तरह से गुमनाम बनाना होगा। चिकित्सा संबंधी डेटा जैसी संवेदनशील जानकारी के लिए, आपको सुरक्षित तरीके से नष्ट करने की विधि अपनानी होगी।

डिजिटल सिस्टम पूर्वनिर्धारित समय पर डेटा को स्वचालित रूप से हटा सकते हैं ताकि अनुपालन बनाए रखने में मदद मिल सके।

अधिकारियों द्वारा रिपोर्टिंग और निगरानी

Autoriteit Persoonsgegevens इस बात की निगरानी करता है कि संगठन डेटा प्रतिधारण के लिए GDPR की आवश्यकताओं का पालन करते हैं या नहीं। वे आपकी प्रक्रियाओं की जांच कर सकते हैं और आपके प्रतिधारण अवधि और विलोपन प्रक्रियाओं के दस्तावेज़ मांग सकते हैं।

आपको उनकी पूछताछ में सहयोग करना होगा और उनके द्वारा मांगी गई जानकारी प्रदान करनी होगी। यदि आपके व्यक्तिगत डेटा से संबंधित कोई डेटा उल्लंघन होता है, तो आपको 72 घंटों के भीतर इसकी सूचना डच डेटा संरक्षण प्राधिकरण को देनी होगी।

यदि डेटा लीक से प्रभावित व्यक्तियों के अधिकारों और स्वतंत्रता को गंभीर खतरा है, तो आपको उन्हें सीधे सूचित करना होगा। इसमें भेदभाव, धोखाधड़ी, वित्तीय क्षति या प्रतिष्ठा को नुकसान जैसे जोखिम शामिल हैं।

आपके क्षेत्र का संगठन आपके उद्योग के लिए मानक डेटा संग्रहण अवधि पर मार्गदर्शन प्रदान कर सकता है। मान्यता प्राप्त उद्योग मानकों का पालन करने से आपके अनुपालन प्रयासों को बल मिल सकता है ।

हालांकि, आप अपनी विशिष्ट परिस्थितियों और कानूनी दायित्वों के आधार पर उचित प्रतिधारण अवधि निर्धारित करने के लिए जिम्मेदार बने रहेंगे।

ज़्यादातर पूछे जाने वाले सवाल