Reguła „usuń dokument po pięciu latach” wygląda w DMS kusząco. Jedna etykieta, jeden licznik, mało wyjątków. Problem zaczyna się wtedy, gdy system naprawdę wykona polecenie.
Pięć lat nie jest uniwersalnym okresem przechowywania dokumentacji, a data utworzenia pliku, wystawienia faktury czy wgrania skanu do repozytorium często nie jest momentem, od którego należy ten okres liczyć. W efekcie globalna reguła może skasować dokument za wcześnie — na przykład przed przedawnieniem zobowiązania podatkowego albo kilkadziesiąt lat przed końcem obowiązkowej retencji akt pracowniczych. Może też działać w drugą stronę: trzymać dane osobowe długo po ustaniu celu ich przetwarzania.
W praktycznym modelu retencji trzeba rozdzielić trzy rzeczy: rodzaj dokumentu, zdarzenie rozpoczynające okres przechowywania oraz warunki, które blokują usunięcie. Dopiero z tych trzech elementów można wyliczyć realną datę dyspozycji dokumentu.
Pięć lat nie jest wspólnym zegarem dla całego archiwum
Dobrym przykładem są dokumenty księgowe. Ustawa o rachunkowości rzeczywiście wiele razy posługuje się okresem pięciu lat, ale poszczególne zbiory mają inne punkty startowe.
Załóżmy, że spółka z rokiem obrotowym zgodnym z kalendarzowym sporządziła sprawozdanie finansowe za 2025 r., a zatwierdzono je 30 czerwca 2026 r. Zatwierdzone roczne sprawozdanie trzeba przechowywać przez co najmniej pięć lat od początku roku następującego po roku obrotowym, w którym zostało zatwierdzone. Licznik zaczyna więc biec 1 stycznia 2027 r., a pięcioletni okres kończy się 31 grudnia 2031 r.
Księgi rachunkowe za 2025 r. mają również pięcioletni okres przechowywania, ale punkt odniesienia jest inny. Dla nich okres liczony jest od początku roku następującego po roku obrotowym, którego zbiory dotyczą. W typowym przypadku księgi za 2025 r. powinny więc pozostać dostępne co najmniej do końca 2030 r.
Jeszcze inaczej wygląda dokumentacja przyjętych zasad rachunkowości. Obowiązuje minimum pięciu lat po utracie jej ważności. Jeżeli firma w 2026 r. zastąpiła politykę rachunkowości nową wersją, system nie powinien liczyć retencji starej wersji od daty jej utworzenia. Zdarzeniem jest utrata ważności.
To pokazuje pierwszy problem z globalnym licznikiem: nawet tam, gdzie wszędzie pojawia się liczba „5”, nie zawsze jest to te same pięć lat.
W podatkach pomyłka bywa jeszcze bardziej kosztowna. Zgodnie z art. 70 § 1 Ordynacji podatkowej podstawowy termin przedawnienia zobowiązania podatkowego wynosi pięć lat od końca roku kalendarzowego, w którym upłynął termin płatności podatku. Nie od dnia wystawienia faktury.
Jeżeli termin płatności podatku upłynął 25 lutego 2026 r., bazowy termin przedawnienia upłynie 31 grudnia 2031 r. System ustawiony na „pięć lat od daty faktury” może więc uznać dokument za zbędny wiele miesięcy za wcześnie. Co więcej, Ordynacja przewiduje sytuacje, w których bieg przedawnienia nie rozpoczyna się, zostaje zawieszony albo przerwany. Wtedy nominalne „pięć lat” nie wyznacza bezpiecznej daty kasowania.
Jeszcze większa różnica pojawia się w HR. Dla dokumentacji pracownika, którego stosunek pracy nawiązano:
- 1 stycznia 2019 r. lub później — dokumentację przechowuje się przez okres zatrudnienia oraz 10 lat od końca roku kalendarzowego, w którym zatrudnienie ustało;
- od 1 stycznia 1999 r. do 31 grudnia 2018 r. — zasadą jest 50 lat od ustania stosunku pracy, ale po skutecznym złożeniu raportu informacyjnego RIA okres może zostać skrócony do 10 lat, liczonych od końca roku, w którym złożono raport;
- do 31 grudnia 1998 r. — okres wynosi 50 lat od ustania stosunku pracy.
To nie jest detal techniczny. Pracownik zatrudniony 15 grudnia 2018 r. nie przechodzi automatycznie do dziesięcioletniego reżimu tylko dlatego, że odszedł z firmy w 2026 r. Trzeba ustalić datę nawiązania stosunku pracy i status raportu RIA. Bez tego masowa zmiana etykiet na „HR — 10 lat” jest ryzykowna.
Dla osoby zatrudnionej już w 2019 r., której stosunek pracy ustał w maju 2026 r., okres dziesięcioletni biegnie od końca 2026 r., czyli dokumentacja powinna być przechowywana co najmniej do końca 2036 r. I nawet wtedy system nie powinien po prostu wykonać DELETE o północy 1 stycznia 2037 r. Przepisy przewidują jeszcze możliwość odbioru dokumentacji przez byłego pracownika, a następnie okres na jej zniszczenie.
Jednolita pięcioletnia reguła ma sens tylko dla jednorodnej klasy dokumentów, dla której jednocześnie:
- zidentyfikowano właściwą podstawę retencji,
- znane jest zdarzenie rozpoczynające okres,
- nie działa dłuższy obowiązek szczególny,
- dokument nie jest objęty sporem, kontrolą, postępowaniem ani inną blokadą.
Nie ma natomiast sensu jako reguła przypisana do całej biblioteki „Finanse”, folderu kontrahenta, skrzynki pocztowej czy kompletnej teczki sprawy.
Matryca retencji: okres bez zdarzenia startowego jest tylko liczbą
Dobrze zaprojektowany DMS nie powinien pytać wyłącznie: „ile lat przechowywać plik?”. Prawidłowe pytanie brzmi: co to za dokument, od jakiego zdarzenia liczymy okres, kto odpowiada za decyzję i co może zatrzymać usunięcie?
Praktyczna matryca może wyglądać tak:
| Typ dokumentu | Podstawa | Okres | Zdarzenie startowe | Właściciel procesu | Blokada usunięcia |
|---|---|---|---|---|---|
| Zatwierdzone roczne sprawozdanie finansowe | ustawa o rachunkowości, art. 74 ust. 1 | min. 5 lat | początek roku następującego po roku obrotowym, w którym zatwierdzono sprawozdanie | finanse / CFO | kontrola, audyt, spór lub postępowanie wymagające dokumentu |
| Księgi rachunkowe | ustawa o rachunkowości, art. 74 ust. 2 pkt 1 i ust. 3 | 5 lat | początek roku następującego po roku obrotowym, którego zbiory dotyczą | księgowość | kontrola podatkowa, postępowanie, legal hold |
| Dokumentacja zasad rachunkowości | ustawa o rachunkowości, art. 74 ust. 2 pkt 5 | min. 5 lat | utrata ważności danej wersji | główny księgowy | trwający audyt lub spór wymagający zastosowanej w danym okresie wersji |
| Dowody księgowe dotyczące m.in. pożyczek, kredytów, umów handlowych i określonych roszczeń | ustawa o rachunkowości, art. 74 ust. 2 pkt 4 | 5 lat | początek roku po roku, w którym operacja, transakcja lub postępowanie zostały ostatecznie zakończone, spłacone, rozliczone albo przedawnione | finanse + dział prawny / zakupy | nierozliczona transakcja, trwający spór, postępowanie cywilne, karne lub podatkowe |
| Dokumentacja potrzebna do rozliczeń podatkowych | Ordynacja podatkowa, w szczególności art. 70, oraz właściwa ustawa podatkowa | co najmniej do upływu właściwego terminu przedawnienia | koniec roku, w którym upłynął termin płatności podatku; z uwzględnieniem zdarzeń wpływających na bieg terminu | podatki / finanse | zawieszenie lub przerwanie biegu przedawnienia, kontrola, postępowanie, spór |
| Faktura objęta przechowywaniem w KSeF | ustawa o VAT i przepisy KSeF; dodatkowo art. 73a ustawy o rachunkowości | 10 lat w KSeF | koniec roku wystawienia faktury | VAT / księgowość | późniejszy termin przedawnienia podatkowego albo szczególny termin z ustawy o rachunkowości wymagający dalszego przechowywania poza KSeF |
| Dokumentacja pracownicza — stosunek nawiązany od 1.01.2019 | przepisy prawa pracy o dokumentacji pracowniczej | okres zatrudnienia + 10 lat | koniec roku kalendarzowego, w którym ustał stosunek pracy | HR | spór pracowniczy, roszczenie, postępowanie, procedura wydania dokumentacji |
| Dokumentacja pracownicza — stosunek nawiązany 1999–2018 | przepisy o dokumentacji pracowniczej i raportach informacyjnych ZUS | 50 lat albo po RIA 10 lat | ustanie stosunku pracy albo koniec roku złożenia skutecznego raportu RIA | HR / kadry i płace | brak potwierdzenia RIA, roszczenie emerytalne lub pracownicze, postępowanie |
| Dokumentacja pracownicza — stosunek nawiązany przed 1999 r. | przepisy o dokumentacji pracowniczej | 50 lat | ustanie stosunku pracy | HR / archiwum | roszczenia, postępowanie, brak pewnych danych o zatrudnieniu |
| Dokumenty dotyczące rękojmi i reklamacji | ustawa o rachunkowości, art. 74 ust. 2 pkt 6 i ust. 3 | 1 rok po terminie upływu rękojmi lub rozliczeniu reklamacji, z uwzględnieniem zasady z ust. 3 dotyczącej obliczania okresów od początku roku następującego po roku obrotowym, którego zbiory dotyczą | termin upływu rękojmi albo rozliczenie reklamacji należy powiązać z właściwym rokiem obrotowym; nie należy wyliczać kasowania jako dokładnie 365 dni od pojedynczej daty zdarzenia | sprzedaż / serwis + finanse | nierozliczona reklamacja, trwająca rękojmia, spór lub postępowanie |
Kolumna „właściciel procesu” nie wynika z ustawy. To mechanizm kontroli wewnętrznej. W praktyce lepiej przypisywać odpowiedzialność roli — „HR”, „Tax”, „Legal”, „Główny księgowy” — niż konkretnej osobie. Jan Kowalski może odejść z firmy; właściciel klasy retencji musi pozostać.
Podobnie blokada usunięcia nie może być zwykłą notatką wpisaną do pliku. Powinna być stanem systemowym, np. LEGAL_HOLD, TAX_HOLD, AUDIT_HOLD albo HR_CLAIM_HOLD, którego mechanizm kasowania nie może ominąć.
Warto też zauważyć, co naprawdę oznacza KSeF. Faktury ustrukturyzowane są przechowywane w systemie przez 10 lat od końca roku, w którym zostały wystawione. Faktura z 2026 r. pozostaje więc w KSeF zasadniczo do końca 2036 r. To jednak nie oznacza, że „całe akta sprawy mają 10 lat”.
KSeF nie przechowuje za firmę kompletnej dokumentacji transakcji: umowy, zamówienia, protokołu odbioru, korespondencji dotyczącej reklamacji, dowodów wykonania świadczenia czy dokumentów pracowniczych. Każdy z tych materiałów może podlegać innej regule. Dodatkowo, jeśli okres przechowywania w KSeF skończy się wcześniej niż wymagany termin podatkowy lub szczególny termin dotyczący określonych dowodów księgowych, dokument trzeba dalej przechowywać poza KSeF.
Najbezpieczniejszą zasadą konfiguracyjną jest więc: brak potwierdzonego zdarzenia startowego oznacza brak zgody na usunięcie. Jeżeli DMS zna tylko datę wgrania pliku, ale nie zna daty rozwiązania umowy, zakończenia reklamacji, ustania zatrudnienia albo złożenia RIA, nie powinien „zgadywać” na podstawie metadanych technicznych.
Automatyzacja ma sens dopiero po klasyfikacji, holdzie i zatwierdzeniu usunięcia
Automatyczne usuwanie jest przydatne, ale dopiero na końcu procesu. Najgorsza konfiguracja to prosty warunek: creation_date + 5 years = delete. Technicznie działa bez zarzutu. Prawnie i operacyjnie może być katastrofalny.
W dojrzałym modelu dokument powinien przejść przez kilka kolejnych stanów:
- otrzymuje klasę retencji, np. „księgi rachunkowe”, „umowa handlowa”, „akta pracownicze 1999–2018”, „faktura KSeF”;
- system rejestruje rodzaj zdarzenia startowego i jego rzeczywistą datę;
- wyliczana jest najwcześniejsza data, od której można rozważać usunięcie;
- przed tą datą system sprawdza holdy, aktywne postępowania, kontrole i wyjątki wydłużające retencję;
- dla klas podwyższonego ryzyka dokument trafia do właściciela procesu na disposition review, czyli zatwierdzenie dalszego przechowywania albo zniszczenia;
- po usunięciu zostaje ślad audytowy: co usunięto, na podstawie jakiej reguły, kiedy i kto zatwierdził decyzję.
Takie podejście nie jest teorią. Microsoft Purview pozwala uruchamiać okres retencji na podstawie zdarzenia, np. odejścia pracownika albo wygaśnięcia umowy, zamiast wyłącznie od daty utworzenia pliku. Retention labels mogą działać na poziomie konkretnych dokumentów, a Disposition Review pozwala skierować materiał do zatwierdzenia przed trwałym usunięciem. Jeżeli dokument jest jednocześnie objęty eDiscovery hold, zachowanie materiału ma pierwszeństwo przed regułą kasowania.
Przykład z umową pokazuje, dlaczego to istotne. Kontrakt kończy się 31 grudnia 2026 r., ale końcowe rozliczenie następuje 15 marca 2027 r. Jeżeli dokumentacja księgowa podlega zasadzie odnoszącej się do ostatecznego zakończenia lub rozliczenia transakcji, mechaniczne rozpoczęcie licznika 31 grudnia 2026 r. będzie błędem. Jeżeli później dochodzi jeszcze do sporu sądowego, aktywny hold musi zatrzymać usunięcie niezależnie od pierwotnie wyliczonej daty.
Automatyczne kasowanie ma największy sens dla klas, w których dane są jednorodne, zdarzenie startowe jest jednoznaczne i automatycznie dostarczane przez system źródłowy, a liczba wyjątków jest niewielka. Przykładem może być zamknięta kategoria dokumentów technicznych o stałym, wewnętrznym terminie retencji, która nie zawiera danych potrzebnych w sporach ani dokumentacji podlegającej szczególnym obowiązkom ustawowym.
Nie powinno się go natomiast uruchamiać bez dodatkowej kontroli dla:
- starych akt pracowniczych, zwłaszcza z lat 1999–2018;
- dokumentacji podatkowej przy aktywnych kontrolach i postępowaniach;
- akt umów, w których data zakończenia kontraktu różni się od daty ostatecznego rozliczenia;
- reklamacji i roszczeń, które nadal są otwarte;
- mieszanych folderów i skrzynek pocztowych zawierających dokumenty z różnymi okresami retencji.
Automatyzacja zdarzeniowa też ma swoją niewygodną stronę. Jest tak dobra, jak dane, które ją zasilają. Jeśli HR nie przekaże prawidłowej daty ustania zatrudnienia, CRM nie zamknie reklamacji albo ERP prześle datę rozwiązania umowy zamiast daty końcowego rozliczenia, DMS policzy termin poprawnie matematycznie, ale od niewłaściwego zdarzenia. W Microsoft Purview synchronizacja zdarzenia z oznaczonymi materiałami może dodatkowo potrwać do siedmiu dni. Projektowanie kasowania „co do godziny” nie ma tu większego sensu.
Drugim ograniczeniem jest RODO. Rozporządzenie nie wprowadza ogólnego pięcioletniego okresu przechowywania danych osobowych. Art. 5 ust. 1 lit. e wymaga, aby dane pozwalające zidentyfikować osobę nie były przechowywane dłużej, niż jest to konieczne do celu przetwarzania. Z kolei prawo do usunięcia danych z art. 17 nie działa bezwzględnie — wyjątkiem jest m.in. przetwarzanie konieczne do wykonania obowiązku prawnego oraz do ustalenia, dochodzenia lub obrony roszczeń.
To oznacza dwie rzeczy naraz. Nie wolno usuwać dokumentu tylko dlatego, że minął arbitralny termin, jeśli nadal istnieje obowiązek prawny albo realna potrzeba obrony roszczeń. Ale nie należy również trzymać wszystkich danych bezterminowo pod hasłem „może kiedyś się przydadzą”. Hold powinien mieć zakres, właściciela, powód oraz moment ponownej weryfikacji. Inaczej wyjątek staje się niekontrolowanym archiwum.
FAQ
Czy dla faktury wystarczy ustawić pięć lat od daty wystawienia?
Nie. Dla zobowiązań podatkowych podstawowy pięcioletni termin przedawnienia liczy się od końca roku, w którym upłynął termin płatności podatku, a jego bieg może podlegać zawieszeniu lub przerwaniu. Data faktury nie jest więc bezpiecznym uniwersalnym triggerem.
Czy skoro KSeF przechowuje fakturę przez 10 lat, można usunąć jej kopię i całą dokumentację transakcji z DMS?
Nie należy utożsamiać faktury w KSeF z kompletem akt transakcji. KSeF przechowuje objęte systemem faktury, ale nie zastępuje umowy, zamówienia, protokołu odbioru, korespondencji dotyczącej roszczeń czy innych dowodów. Ponadto w określonych sytuacjach faktura po zakończeniu dziesięcioletniej retencji KSeF nadal może wymagać przechowywania poza systemem.
Czy RODO nakazuje usuwać dane po pięciu latach?
Nie. RODO wymaga ograniczenia czasu przechowywania do okresu potrzebnego dla celu przetwarzania. Konkretna retencja wynika z celu, podstawy prawnej i innych przepisów. Ustalenie, dochodzenie lub obrona roszczeń może uzasadniać dalsze przechowywanie danych, ale nie daje podstawy do bezterminowego magazynowania wszystkiego.
Co zrobić, jeśli w starym DMS brakuje daty zdarzenia rozpoczynającego retencję?
Nie podstawiać automatycznie daty utworzenia albo migracji pliku. Taką klasę należy tymczasowo zablokować przed automatycznym usunięciem i uzupełnić dane ze źródła właściwego dla procesu: ERP, systemu kadrowego, rejestru umów, systemu reklamacyjnego albo dokumentacji archiwalnej.
Czy dokumentacja pracowników zatrudnionych przed 2019 r. może dostać jedną regułę „10 lat”?
Nie. Dla stosunków pracy nawiązanych w latach 1999–2018 trzeba ustalić, czy złożono skuteczny raport informacyjny RIA. Bez niego obowiązuje zasadniczo 50-letni okres. Dla stosunków pracy nawiązanych do końca 1998 r. okres również wynosi 50 lat.
Czy można pozwolić DMS usuwać dokumenty całkowicie automatycznie?
Tak, ale tylko dla klas, w których znany jest prawidłowy trigger, dane klasyfikacyjne są wiarygodne, a mechanizm przed usunięciem sprawdza aktywne holdy i dłuższe obowiązki. Dla dokumentacji podatkowej, HR, umów i materiałów potencjalnie procesowych bezpieczniejszym standardem jest automatyczne wyliczenie terminu, a następnie zatwierdzenie dyspozycji przez właściciela procesu.
Jeżeli w organizacji działa dziś globalna reguła „usuń wszystko po pięciu latach”, pierwszym krokiem powinno być wyłączenie jej destrukcyjnego działania — nie całej retencji, lecz samego automatycznego kasowania. Dokumenty dochodzące do terminu powinny tymczasowo trafiać do kolejki „pending disposition”.
Następnie trzeba zbudować matrycę przynajmniej dla finansów i podatków, HR, umów, reklamacji oraz dokumentów KSeF i dla każdej klasy wskazać podstawę, okres, zdarzenie startowe, właściciela i blokadę usunięcia. W pierwszej kolejności sprawdziłbym stare akta pracownicze oraz dokumentację podatkową — tam pomyłka nie oznacza przesunięcia terminu o kilka tygodni, lecz odpowiednio dziesiątki lat albo utratę dokumentu potrzebnego przy nadal nieprzedawnionym zobowiązaniu. Dopiero po przetestowaniu triggerów i holdów można ponownie włączyć automatyczne usuwanie, i to wyłącznie dla zweryfikowanych klas.
