Vállalati irattárolás GDPR-konform módon

Milyen iratok érzékenyek?

Gyakorlatilag minden, ami egy beazonosítható személyhez köthető. A leggyakoribbak: munkavállalói akták, önéletrajzok, bérjegyzékek, TB- és adóügyi papírok, ügyféllisták és -szerződések, valamint a számlák, amelyeken név és cím szerepel. Ezeket nemcsak megőrizni kell egy ideig, hanem úgy is, hogy illetéktelen ne férjen hozzájuk — sem az irodában, sem a külső tárolóban.

Mit jelent ez a fizikai tárolásnál?

A GDPR egyik alapelve, hogy az adatokhoz csak az férjen hozzá, akinek tényleg szüksége van rá. Papírnál ez a gyakorlatban zárható tárolót, korlátozott és követhető hozzáférést, valamint védett, megfigyelt környezetet jelent. Ha tudod, ki és mikor jutott be az iratokhoz, és a tárolót nem éri se víz, se illetéktelen kéz, már sokat tettél a megfelelésért. A cél, hogy az archívum ne egy nyitott raktár sarkában porosodjon, ahol bárki belenézhet.

Hogyan tárold biztonságosan?

Néhány gyakorlati alapelv: tartsd zárható egységben az iratokat, és korlátozd, kinél van kulcs vagy hozzáférés; vezess egyszerű nyilvántartást arról, mi hol van és ki fér hozzá; és válassz olyan helyet, amely fizikailag is védett — kerítés, kamera, ellenőrzött bejárat. Egy külső raktárkonténer ezeket jól tudja: a konténert a saját lakatoddal zárod, így a kulcs nálatok marad, a telephely pedig őrzött és kamerázott.

Meddig kell megőrizni?

A megőrzési idő irattípusonként eltér — a számviteli bizonylatokra például több éves kötelezettség vonatkozik, a munkaügyi iratok egy része pedig ennél is tovább releváns. A lényeg GDPR-szempontból kettős: ameddig jogszabály előírja, addig meg kell őrizni, utána viszont biztonságosan meg is kell semmisíteni. Erről külön cikkben írunk részletesen a tudástárban.

Irodában vagy külső tárolóban?

Az aktívan használt iratoknak az irodában a helyük, kéznél. A régi, ritkán kellő archívumot viszont nem éri meg drága irodai négyzetmétereken tartani — pláne, ha emiatt a tárgyaló vagy a folyosó lesz iratraktár. Egy külső, zárható és őrzött konténer rendezett, biztonságos helyet ad ennek, te pedig 0–24 hozzáférsz, ha mégis elő kell venni egy aktát.

Ki férjen hozzá a cégen belül?

A GDPR-megfelelés nemcsak a külső védelemről szól, hanem arról is, hogy belül kinek van indokolt hozzáférése. Az érzékeny iratokat — bér, HR, ügyféladat — ne lássa az egész iroda, csak az, akinek a munkájához tényleg kell. Ez papírnál a kulcsok és lakatok szabályozott kiosztását jelenti. Ha külső tárolót használsz, jól jön, hogy a kapuhoz egyesével adhatsz hozzáférést a kollégáknak, és bármikor visszavonhatod — így a hozzáférési kör mindig pontosan az, akinek lennie kell, nem több.

Digitális és papír együtt

Sok cég átáll a digitális iratkezelésre, de a papír egy darabig megmarad — eredeti aláírások, hatósági példányok, régi bizonylatok. A jó gyakorlat a kettő összehangolása: a gyakran kellő anyagot szkenneld és digitálisan tartsd kéznél, a fizikai eredetit pedig archiváld biztonságos, zárható helyen. Így az irodában csak az fut, amire napi szinten szükség van, az érzékeny eredeti viszont védve, rendezetten pihen, amíg a jogszabály előírja.

Megsemmisítés a megőrzési idő után

A GDPR-nak nemcsak az a része számít, hogy meddig őrizd, hanem az is, hogy utána biztonságosan szabadulj meg az adattól. A személyes adatot tartalmazó iratot a megőrzési idő lejárta után iratmegsemmisítővel vagy szakcéggel kell megsemmisíteni — nem elég a kukába dobni. Érdemes a dobozokra ráírni a selejtezés évét, így időben és szabályosan tudsz teret szabadítani, és nem halmozódik feleslegesen az archívum.

Mire figyelj a szolgáltató kiválasztásánál?

Kérdezd meg, körbe van-e kerítve a terület, van-e kamerás megfigyelés, és te magad zárhatod-e a tárolót. Fontos, hogy a hozzáférés a te kezedben legyen, ne a szolgáltató kulcsával nyíljon. Nálunk a telephelyet a B Consulting Kft. több mint negyven éves biztonságtechnikai tudásával alakítottuk ki: AI-analitikás kamerarendszer, elektromos kapu, körbekerített terület, a konténer pedig a saját lakatoddal zárható. Így az iratok fizikai biztonsága a helyén van.

⚠ Ez a cikk általános tájékoztatás, nem jogi tanácsadás. A konkrét adatkezelési kötelezettségekről egyeztess adatvédelmi szakértővel vagy jogásszal.