retention-schedule

数据保留期限表的设计与实施

概述

数据保留期限表是一份基础治理文件，明确规定每类个人数据的保留时长、该保留期限的法律依据，以及触发审查或删除的条件。GDPR 第 5(1)(e) 条确立了存储期限限制原则：个人数据的保存形式应能识别数据主体，但保存时间不得超过实现个人数据处理目的所必需的时间。本技能提供了一套完整框架，用于制定、维护和执行基于类别的保留期限表。

法律依据

GDPR 第 5(1)(e) 条——存储期限限制

个人数据的保存形式应能识别数据主体，但保存时间不得超过实现个人数据处理目的所必需的时间。如果个人数据仅出于公共利益的归档目的、科学或历史研究目的，或根据第 89(1) 条开展统计目的而进行处理，且采取了适当的技术和组织措施，则可以延长其存储时间。

GDPR 序言第 39 条——存储期限限制的阐释

个人数据应当充分、相关，并限于处理目的所必需的范围。只有在无法通过其他合理方式实现处理目的时，才应处理个人数据。为确保个人数据的保存时间不超过必要期限，控制者应制定删除期限或定期审查期限。

GDPR 第 13(2)(a) 条和第 14(2)(a) 条——透明度

控制者应向数据主体告知个人数据的存储期限；如果无法告知，则应说明用于确定该期限的标准。

GDPR 第 30(1)(f) 条——处理活动记录

在可能的情况下，应在处理活动记录中记录不同类别数据的预定删除期限。

制定保留期限表

第 1 步：数据清单与分类

识别并分类组织处理的所有个人数据：

类别 ID	数据类别	数据元素示例	处理目的	法律依据（第 6 条）
CAT-001	员工人力资源记录	姓名、地址、NI 号码、薪资、绩效评估	人事管理	第 6(1)(b) 条 合同 + 第 6(1)(c) 条 法定义务
CAT-002	客户账户数据	姓名、电子邮件、电话、地址、账户偏好	提供服务	第 6(1)(b) 条 合同
CAT-003	客户交易记录	购买历史、付款详情、发票	履行合同和法定义务	第 6(1)(b) 条 合同 + 第 6(1)(c) 条 法定义务
CAT-004	营销联系人数据	姓名、电子邮件、同意记录、营销活动互动记录	直接营销	第 6(1)(a) 条 同意
CAT-005	网站分析数据	IP 地址、设备数据、浏览行为、Cookie	优化网站	第 6(1)(f) 条 合法利益
CAT-006	求职者数据	简历、求职信、面试记录、推荐人信息	招聘	第 6(1)(b) 条 合同前步骤
CAT-007	CCTV 录像	场所的视频录像	安保与安全	第 6(1)(f) 条 合法利益
CAT-008	供应商联系人数据	姓名、电子邮件、电话、公司、合同条款	供应商管理	第 6(1)(b) 条 合同
CAT-009	客户支持记录	工单、往来通信、投诉记录	提供服务与质量管理	第 6(1)(b) 条 合同 + 第 6(1)(f) 条 合法利益
CAT-010	财务和税务记录	账目、税务申报、审计报告、银行对账单	遵守法律规定	第 6(1)(c) 条 法定义务

步骤 2：确定保留期限

对于每种数据类别，根据以下因素确定保留期限：

1. 法定最低期限：法律规定的最低保留期限（例如，根据 HMRC 的要求，税务记录需保留 6 年）。
2. 合同必要性：合同期限及合同结束后的相关义务期限。
3. 诉讼时效：可提起法律索赔的期限（例如，在英国，根据《1980 年诉讼时效法》，合同索赔的时效为 6 年，侵权索赔的时效为 3 年）。
4. 监管要求：特定行业的保留要求（例如，FCA 记录保存规则、MiFID II 要求）。
5. 正当业务需要：超出法律最低要求、合理且有正当理由的运营需要（必须记录在案，并符合比例原则）。

步骤 3：保留期限矩阵

以下是 Orion Data Vault Corp 的保留期限表：

类别 ID	数据类别	保留期限	保留的法律依据	保留期限起算点	审查频率
CAT-001	员工人力资源记录	雇佣关系存续期间 + 6 年	《1980 年诉讼时效法》第 5 条（合同）；《1996 年雇佣权利法》	雇佣关系终止日期	每年
CAT-002	客户账户数据	账户存续期间 + 2 年	合同必要性；诉讼时效缓冲期	账户关闭日期	每年
CAT-003	客户交易记录	自交易日期起 6 年	HMRC 记录保存要求；《2006 年公司法》第 386 条；《1980 年诉讼时效法》	交易完成日期	每年
CAT-004	营销联系数据	直至撤回同意 + 30 天处理时间	基于同意；撤回后删除	撤回同意日期，或距上次互动 24 个月	每半年
CAT-005	网站分析数据	自收集之日起 26 个月	ICO 指南；CNIL 关于分析 Cookie 的建议	数据收集日期	每年
CAT-006	求职申请人数据	招聘决定作出后 6 个月（未录用）；雇佣关系存续期间 + 6 年（已录用）	ICO《就业实践守则》；歧视索赔的诉讼时效（决定作出后 6 个月）	招聘决定日期	每次招聘周期结束后
CAT-007	CCTV 录像	自录制之日起 30 天（通常）；标记为涉及事件的，最长 6 个月	ICO《CCTV 实践守则》；比例原则	录制日期	每月
CAT-008	供应商联系数据	合同期限 + 6 年	《1980 年诉讼时效法》；合同必要性	合同终止日期	每年
CAT-009	客户支持记录	自工单关闭之日起 3 年	正当利益；服务相关索赔的诉讼时效	工单关闭日期	每年
CAT-010	财务和税务记录	自财务年度结束起 6 年（通常）；契据和产权文件保留 20 年	HMRC 要求；《2006 年公司法》第 388 条；《1980 年诉讼时效法》第 8 条	相关财务年度结束日期	每年

步骤 4：保留期限理由说明模板

对于每项超过法定最低要求的保留期限，记录其理由：

RETENTION PERIOD JUSTIFICATION — Orion Data Vault Corp
------------------------------------------------------
Category: [CAT-XXX — Category Name]
Proposed Period: [X years from trigger event]
Statutory Minimum: [X years, cite statute]
Proposed Excess: [X additional months/years]

Justification for Excess Period:
1. [Specific business need — e.g., contractual warranty period extends 12 months beyond statutory minimum]
2. [Risk assessment — e.g., historical claims data shows 3% of claims filed in year 5-6]
3. [Regulatory expectation — e.g., FCA expects retention beyond statutory minimum for conduct risk purposes]

Proportionality Assessment:
- Volume of data subjects affected: [number]
- Sensitivity of data: [low/medium/high]
- Risk to data subjects from extended retention: [assessment]
- Mitigating measures: [e.g., access restriction, pseudonymization after statutory minimum]

Approved by: [DPO Name]
Date: [YYYY-MM-DD]
Next Review: [YYYY-MM-DD]

保留期限审查触发条件

自动触发条件

以下事件会立即触发对适用保留期限的审查：

1. 保留期限到期：在任何数据类别的保留期限到期前 30 天发送自动提醒。
2. 立法变更：凡是作为保留期限法律依据的法规修订（例如《公司法》、税务立法或行业特定法规的变更）。
3. 监管指引更新：发布 ICO、EDPB 或行业特定监管机构关于数据保留的新指引。
4. 目的变更：任何数据类别的数据处理目的发生变更。
5. 数据泄露：发生涉及某个数据类别的数据泄露后，审查保留期限是否扩大了泄露影响范围。
6. 数据主体投诉：数据主体就其数据的保留期限提出投诉或质疑。
7. 诉讼或监管调查：启动影响某个数据类别的法律诉讼或监管调查。

定期审查周期

审查类型	频率	范围	负责人
类别级审查	按计划进行（见保留期限矩阵）	单个数据类别的保留期限、法律依据和合理性说明	数据负责人 + DPO
全面审查计划	每年一次（Q1）	整个保留期限计划、所有类别、立法扫描	DPO + Legal + IT
监管合规性检查	每半年一次	将保留期限与现行法定要求进行交叉核对	法律顾问
技术合规性审计	每年一次（Q3）	核实自动删除和归档系统是否按照计划期限执行	IT + DPO

实施指南

技术实施

1. 元数据标记：每条数据记录都必须带有元数据，注明其数据类别（CAT-XXX）、创建/收集日期、保留期限触发日期和计算得出的删除日期。
2. 自动监控：部署保留期限监控机制，扫描数据存储中的记录并与保留期限计划核对，标记即将达到或已经超过保留期限的记录。
3. 删除队列：超过保留期限的记录会进入自动删除队列，并设有 14 天的宽限期，以便在永久删除前进行审查。
4. 审计日志记录：所有保留期限相关操作（创建、审查、延长、删除）都必须记录时间戳、执行者和理由。
5. 抑制名单：为已删除的数据主体保留抑制记录，以便在适当情况下防止重新收集其数据（例如，营销退订名单）。

治理要求

1. 数据负责人：每个数据类别都必须指定一名数据负责人，负责审查并批准保留期限。
2. DPO 监督：数据保护官负责审查和批准所有保留期限及任何例外情况。
3. 董事会报告：每季度向董事会报告保留期限计划合规指标（处于保留期限内的数据百分比、已删除数据量、获准的例外情况）。
4. 培训：所有处理个人数据的员工都必须接受与其职能相关的保留期限计划培训，并每年更新一次。

常见保留期限参考（EU/UK）

要求	法定期限	来源
税务记录（UK）	会计期间结束后 6 年	HMRC；TMA 1970 s.34
公司会计记录	财政年度结束后 6 年	Companies Act 2006 s.388
一般雇佣记录	雇佣关系终止后 6 年	Limitation Act 1980 s.5
工资记录	纳税年度结束后 6 年	Income Tax (PAYE) Regulations 2003
健康与安全记录	自最后一次记录起 40 年	COSHH Regulations 2002；Ionising Radiations Regulations 2017
反洗钱记录	业务关系结束后 5 年	Money Laundering Regulations 2017 reg.40
消费者合同	违约后 6 年	Limitation Act 1980 s.5
人身伤害索赔	自知情之日起 3 年	Limitation Act 1980 s.11
歧视索赔（雇佣）	自被投诉行为发生后 6 个月	Equality Act 2010 s.123
CCTV 录像	30 天（ICO 指南）	ICO CCTV Code of Practice
养老金记录	计划年度结束后至少 6 年；建议保留 12 年	Pensions Act 2004；Limitation Act 1980