RODO a logi aplikacji – ile czasu je trzymać?

Mieliśmy kontrolę UODO w 2022 roku i dokładnie ten temat się pojawił. Skończyło się na tym, że musieliśmy udokumentować podstawę prawną dla każdego rodzaju logu osobno – logi bezpieczeństwa (ataki, anomalie) dostały 12 miesięcy z uzasadnieniem art. 32 RODO, logi aktywności użytkownika zostały skrócone do 90 dni. Kluczowe było rozróżnienie czy log zawiera dane osobowe czy nie – adres IP to już dane osobowe.

Pytanie do autora – czy wasze logi zawierają tylko zdarzenia techniczne (np. błędy, czasy odpowiedzi) czy też akcje konkretnych użytkowników z ich ID lub emailem? To fundamentalna różnica, bo anonimowe logi techniczne w ogóle nie podlegają RODO i możecie je trzymać ile chcecie.

Prawnik mówiący '6 miesięcy' jako jedna cyfra dla wszystkich logów to trochę uproszczenie – RODO nie podaje żadnych konkretnych terminów retencji dla logów, wymaga jedynie żebyś sam je określił, uzasadnił i zapisał w polityce. Teoretycznie możesz bronić 2 lat jeśli masz solidne uzasadnienie w analizie ryzyka, np. że ataki APT wykrywa się często po 12-18 miesiącach od włamania.

U nas rozwiązaliśmy to przez pseudonimizację – po 30 dniach skrypt zastępuje user_id i IP hashem jednorazowym, który nie pozwala na reidentyfikację. DevOps nadal ma pełne logi do debugowania przez miesiąc, a starsze wpisy przestają być danymi osobowymi i możemy je trzymać latami bez problemu.

Warto w odpowiedzi do UODO nie pisać po prostu '2 lata bo bezpieczeństwo' tylko dołączyć konkretną analizę ryzyka pokazującą dlaczego ten okres jest niezbędny – np. wymagania branżowe, rodzaj incydentów które obsługujecie, czas wykrywania zagrożeń w waszej branży. Urząd bardziej reaguje na brak uzasadnienia niż na sam okres retencji.