System może mieć poprawnie ustawioną regułę: dokument po pięciu latach trafia do automatycznego usunięcia. Problem zaczyna się wtedy, gdy na kilka dni przed tym terminem przychodzi pozew, wezwanie przedsądowe, informacja o kontroli albo decyzja o rozpoczęciu audytu. W tym momencie kasowanie dokumentu zgodnie z harmonogramem nie jest już neutralną czynnością techniczną. Ten sam plik może właśnie stać się dowodem.
Rozwiązaniem nie jest wyłączenie retencji dla całej firmy. Trzeba czasowo zatrzymać usuwanie tylko tego materiału, który pozostaje związany ze sprawą. W systemach klasy Microsoft Purview realizuje się to między innymi za pomocą eDiscovery hold. W praktyce organizacje używają też określenia legal hold, ale nie jest to nazwa jednego, uniwersalnego obowiązku ustawowego funkcjonującego w polskim prawie. To mechanizm zarządzania dowodami: identyfikuje się materiał potrzebny do sporu lub kontroli, zabezpiecza przed usunięciem i zwalnia dopiero wtedy, gdy ustanie przyczyna jego zachowania.
Najważniejsza zasada brzmi: polityka retencji nadal działa, ale dla materiału objętego hold jej skutek w postaci trwałego usunięcia zostaje odsunięty.
Nie zatrzymuj retencji całej organizacji. Zatrzymaj konkretną sprawę
Najczęstszy błąd jest prosty: pojawia się spór, więc administrator wyłącza automatyczne kasowanie dokumentów w SharePoint, skrzynkach pocztowych albo repozytorium finansowym dla wszystkich użytkowników. Technicznie problem znika, ale powstają trzy następne: rośnie liczba zbędnych danych, trudniej wykazać realizację własnej polityki retencji, a dostęp do informacji obejmuje znacznie szerszy zakres niż wymaga tego sprawa.
Prawidłowy hold powinien być możliwie precyzyjny. Jeżeli spór dotyczy na przykład płatności za usługę wykonaną dla konkretnego kontrahenta, zakres nie powinien kończyć się na jednej fakturze PDF. Trzeba objąć co najmniej:
- identyfikatory transakcji i zamówień,
- zapytania i odpowiedzi związane z daną operacją,
- kolejne wersje umowy, faktury albo protokołu,
- notatki pracowników dotyczące uzgodnień,
- korespondencję e-mail i wiadomości z komunikatorów, jeśli służyły do ustalania warunków,
- dowody wysłania i doręczenia dokumentów,
- potwierdzenia przelewów i inne dowody płatności,
- dokumenty powstające później, jeżeli nadal dotyczą tego samego sporu.
Ten ostatni punkt jest szczególnie łatwy do przeoczenia. Zabezpieczenie istniejącej paczki plików w katalogu „Spór 2026” nie wystarczy, jeśli następnego dnia pracownik dopisze notatkę ze spotkania, kontrahent prześle nową wiadomość albo księgowość wygeneruje dokument korekty. Mechanizm powinien obejmować również nowe treści spełniające ustalone kryteria.
Przykład z praktyki: firma ma zasadę usuwania określonych dokumentów operacyjnych po trzech latach. Kontrahent kwestionuje rozliczenie transakcji o identyfikatorze TRX-45891. Najgorszym rozwiązaniem jest zawieszenie całej trzyletniej retencji. Lepszym jest objęcie hold skrzynek konkretnych pracowników, odpowiednich lokalizacji oraz — tam, gdzie technologia na to pozwala — kryteriów odpowiadających numerowi transakcji, kontrahentowi i przedziałowi czasu.
Nie oznacza to, że filtr oparty wyłącznie na słowie kluczowym zawsze jest bezpieczny. Nazwa kontrahenta mogła nie pojawić się w załączniku, identyfikator mógł zostać wpisany z błędem, a część zawartości może być zaszyfrowana albo słabo indeksowalna. W Microsoft Purview przy query-based hold szczególnie ostrożnie trzeba traktować obiekty zaszyfrowane i częściowo zindeksowane. Dla takiego materiału Microsoft rekomenduje opieranie warunków przede wszystkim na dacie, uczestnikach i typie danych.
Kiedy wąski hold ma sens? Gdy można wiarygodnie wskazać użytkowników, lokalizacje, okres oraz cechy sprawy. Gdy materiał jest rozproszony, kryteria wyszukiwania są niepewne albo istnieje ryzyko, że ważne dokumenty nie są indeksowane, rozsądniejsze jest czasowe objęcie szerszej lokalizacji i zawężenie zakresu dopiero po jego weryfikacji.
Granica powinna wynikać z proporcjonalności. RODO nie daje podstawy do przechowywania wszystkiego bezterminowo tylko dlatego, że firma czasami uczestniczy w sporach. Jeżeli powstała konkretna potrzeba ustalenia, dochodzenia albo obrony roszczeń, przechowuje się informacje potrzebne do tego celu. Nadmiarowe dane pozostają nadmiarowe także wtedy, gdy dział prawny używa słowa „spór”.
Samo kliknięcie „Apply hold” nie kończy zadania
Drugim poważnym błędem jest założenie, że utworzenie hold oznacza natychmiastowe zabezpieczenie wszystkich danych. W Microsoft Purview zastosowanie nowego eDiscovery hold może potrwać do 24 godzin. W tym czasie administrator powinien traktować sprawę jako proces w toku, a nie jako zamknięte zadanie.
Po nałożeniu hold trzeba sprawdzić status każdej lokalizacji. Microsoft rozróżnia między innymi stany On, Off, In progress i Pending deletion, a na poziomie źródła można zweryfikować, czy konkretna skrzynka lub witryna rzeczywiście znajduje się pod blokadą, czy wystąpił błąd.
To ma bardzo praktyczne znaczenie. Załóżmy, że o godz. 10.00 dział prawny informuje o pozwie, a o północy działa proces automatycznego usuwania. Administrator tworzy hold o 10.15 i uznaje sprawę za załatwioną. Jeżeli system nadal pokazuje In progress albo błąd dla jednego z kluczowych źródeł, nie ma podstaw, by zakładać, że ta lokalizacja została skutecznie zabezpieczona.
Jeżeli termin destrukcyjnej operacji jest blisko, nie należy ograniczać się do ponowienia zastosowania polityki i czekania na propagację. Trzeba doraźnie wstrzymać kasowanie wyłącznie dla wskazanego zakresu — na przykład konkretnej skrzynki, lokalizacji, repozytorium albo kolejki dokumentów zakwalifikowanych do usunięcia — i zabezpieczyć materiał do chwili potwierdzenia, że hold rzeczywiście działa. To powinien być środek tymczasowy, udokumentowany i możliwie wąski. Nie należy w takiej sytuacji wyłączać retencji dla całej organizacji.
W praktyce procedura awaryjna wygląda więc prosto: identyfikujesz dane zagrożone najbliższym kasowaniem, blokujesz destrukcyjną operację dla tego zakresu, zapisujesz kto i dlaczego podjął decyzję, a następnie sprawdzasz status hold. Dopiero po uzyskaniu potwierdzenia skutecznego zabezpieczenia można zdjąć awaryjną blokadę techniczną. Jeżeli hold kończy się błędem, sam retry nie jest substytutem ochrony danych, które w międzyczasie mogłyby zostać nieodwracalnie usunięte.
W środowisku Microsoft 365 dodatkową komplikacją jest rozproszenie danych. Wiadomości kanału Teams są powiązane ze skrzynką grupy, pliki kanału z witryną SharePoint, czaty użytkowników ze skrzynkami uczestników, a pliki przesłane w czacie mogą znajdować się w OneDrive konkretnej osoby. Zabezpieczenie wyłącznie jednego miejsca daje więc pozorne poczucie bezpieczeństwa.
Do tego dochodzą zmiany organizacyjne. Jeżeli zmieni się UPN użytkownika, adres OneDrive albo inny identyfikator lokalizacji, eDiscovery nie musi automatycznie „domyślić się”, że zakres hold trzeba zaktualizować. Microsoft wprost wskazuje potrzebę ponownego zastosowania lub odświeżenia polityki po takich zmianach.
Dlatego procedura powinna mieć co najmniej cztery kontrole:
- czy wszystkie wymagane źródła zostały dodane,
- czy każde źródło ma prawidłowy status,
- czy od momentu nałożenia hold nie zmieniły się identyfikatory, lokalizacje lub skład zespołu,
- czy dziennik operacji pokazuje, kto utworzył, zmienił i później zwolnił blokadę.
Ważny niuans dotyczy grup. Członkostwo grupy wykorzystanej przy tworzeniu hold może zostać potraktowane jako migawka z danego momentu. Nowy pracownik dodany później do zespołu nie musi automatycznie znaleźć się w pierwotnym zakresie. Jeżeli uczestniczy już w sporze i tworzy materiały dotyczące sprawy, zakres trzeba skontrolować ponownie.
Backup nie rozwiązuje tego problemu. Kopia zapasowa służy przede wszystkim do odtworzenia systemu lub danych po awarii. Nie daje automatycznie gwarancji, że pojedynczy dokument zostanie zachowany przez wymagany czas, będzie łatwo identyfikowalny jako materiał sprawy, pozostanie objęty kontrolą dostępu i da się wykazać historię decyzji o jego przechowaniu. Co więcej, rotacja backupów może legalnie nadpisać starszą kopię dokładnie wtedy, gdy materiał jest potrzebny.
Hold powinien więc działać w warstwie zarządzania informacją, nie jako liczenie na to, że „gdzieś na backupie na pewno coś zostało”.
Zwolnienie hold nie powinno oznaczać natychmiastowego kasowania
Najbardziej ryzykowny moment przychodzi często nie na początku sporu, lecz po jego zakończeniu. Pada decyzja: „sprawa zamknięta, zdejmujemy blokadę”. Jeżeli organizacja potraktuje zwolnienie hold jako polecenie natychmiastowego skasowania całego materiału, może usunąć dane nadal objęte innym obowiązkiem albo inną sprawą.
Jeden dokument może być jednocześnie objęty kilkoma niezależnymi podstawami zachowania. Przykładowo faktura i korespondencja dotycząca płatności mogą należeć do:
- sporu z kontrahentem,
- równoległej kontroli podatkowej,
- wewnętrznego postępowania wyjaśniającego,
- ustawowej retencji dokumentacji rachunkowej,
- drugiego hold utworzonego dla innego postępowania.
Każdy z tych powodów trzeba traktować odrębnie. Zamknięcie pierwszej sprawy nie zwalnia automatycznie blokady wynikającej z drugiej. Przed usunięciem dokumentu trzeba zidentyfikować wszystkie źródła hold oraz wszystkie aktywne zasady retencji.
W Microsoft Purview ma to wymiar czysto techniczny: jeden aktywny mechanizm zachowania może wystarczyć, aby obiekt nadal nie został trwale usunięty. Microsoft zaleca sprawdzenie wszystkich źródeł hold przed próbą usuwania zawartości. Należą do nich nie tylko eDiscovery holds, lecz także polityki retencji, etykiety retencji, Litigation Hold, delay hold czy Single Item Recovery.
Przykład: firma kończy spór handlowy 15 września. Dział prawny zatwierdza zwolnienie hold A, ale te same skrzynki są nadal objęte hold B dotyczącym postępowania organu nadzorczego. Administrator nie powinien „czyścić” danych po sprawie A. Najpierw zamyka wyłącznie jej blokadę i sprawdza, które dokumenty pozostają zachowane z innych przyczyn.
Dopiero gdy zniknie ostatnia podstawa blokująca usunięcie, system powinien ponownie ocenić dokument według zwykłych zasad retencji. To nie oznacza rozpoczęcia terminu od początku. Jeżeli dokument miał zostać usunięty po pięciu latach, a pięć lat już upłynęło podczas trwania hold, po jego zwolnieniu dokument może ponownie stać się kwalifikowany do usunięcia — o ile nie działa inna reguła zachowania.
Tu właśnie potrzebny jest etap zatwierdzenia dyspozycji. Przy krytycznej dokumentacji rozsądniej jest utworzyć kolejkę „eligible for disposition” niż kasować plik w sekundę po zwolnieniu hold. Microsoft Purview umożliwia dla odpowiednio skonfigurowanych etykiet retencji disposition review, czyli kontrolę przed trwałym usunięciem. To dobry wzorzec także dla własnych systemów: właściciel sprawy potwierdza jej zakończenie, administrator sprawdza pozostałe blokady, system oblicza aktualny wynik retencji, a dopiero potem uprawniona osoba zatwierdza usunięcie.
Microsoft stosuje dodatkowo 30-dniowy delay hold po zdjęciu eDiscovery hold z określonych lokalizacji. Jego zadaniem jest ograniczenie ryzyka przypadkowego, nieodwracalnego skasowania materiału zaraz po zwolnieniu blokady. Nie należy traktować tego okresu jako zamiennika wewnętrznej procedury — to zabezpieczenie techniczne, a nie decyzja prawna.
W polskich realiach istotne są również szczególne terminy przechowywania. Ustawa o rachunkowości przewiduje między innymi pięcioletnie okresy dla wielu kategorii dokumentacji. Dla dowodów księgowych dotyczących m.in. umów handlowych oraz roszczeń dochodzonych w postępowaniu cywilnym albo objętych postępowaniem karnym lub podatkowym pięcioletni okres jest liczony od początku roku następującego po roku obrotowym, w którym operacje, transakcje i postępowanie zostały ostatecznie zakończone, spłacone, rozliczone lub przedawnione. Tego terminu nie można zastąpić prostą regułą „pięć lat od utworzenia pliku”.
Jednocześnie RODO nie wymaga mechanicznego usunięcia danych w chwili zgłoszenia żądania, jeżeli są one potrzebne do ustalenia, dochodzenia lub obrony roszczeń. Nie daje też prawa do trzymania całego archiwum bez ograniczeń. Zakres danych, czas przechowywania, krąg osób z dostępem i cel muszą pozostawać uzasadnione.
Dlatego dobry model uprawnień wygląda inaczej niż zwykły folder współdzielony. Dział prawny lub właściciel postępowania decyduje o powstaniu i zakończeniu potrzeby zachowania. Administrator techniczny wdraża hold, ale nie powinien samodzielnie rozstrzygać, czy spór prawnie się zakończył. Dostęp do treści otrzymują tylko osoby potrzebujące go w ramach sprawy, a zmiany zakresu oraz zwolnienia powinny pozostawić ślad w dzienniku operacji.
FAQ
Czy rozpoczęcie sporu automatycznie przedłuża każdą firmową retencję?
Nie. Zwykła polityka retencji powinna pozostać aktywna. Dla materiału związanego z konkretną sprawą stosuje się odrębną blokadę usuwania albo inne kontrolowane zabezpieczenie. Po zakończeniu sprawy dokument wraca pod normalne reguły, chyba że nadal istnieje inna podstawa jego zachowania.
Czy legal hold jest obowiązkiem nazwanym wprost w polskiej ustawie?
Nie. „Legal hold” to branżowe określenie mechanizmu zabezpieczenia informacji związanych ze sporem, kontrolą lub dochodzeniem. Konkretne obowiązki przechowywania wynikają z właściwych przepisów, charakteru postępowania oraz potrzeby zabezpieczenia materiału dowodowego.
Czy wystarczy wykonać backup przed procesem sądowym?
Nie. Backup nie kontroluje zakresu sprawy, nie gwarantuje zachowania każdego nowego dokumentu powiązanego ze sporem i zwykle podlega własnej rotacji. Hold powinien chronić konkretny materiał w systemie źródłowym lub kontrolowanym repozytorium i umożliwiać wykazanie, kto oraz kiedy zmienił jego status.
Co zrobić, jeżeli ten sam dokument jest objęty kilkoma hold?
Każdy hold trzeba zwolnić oddzielnie po decyzji właściciela właściwej sprawy. Samo zakończenie jednego postępowania nie oznacza prawa do usunięcia dokumentu. Przed dyspozycją trzeba sprawdzić pozostałe hold, ustawowe terminy retencji, etykiety i inne aktywne polityki.
Czy po zdjęciu hold system powinien od razu skasować dokument, jeśli pierwotny termin retencji już minął?
Nie jest to dobry model dla materiału o wysokim znaczeniu dowodowym. Najpierw trzeba ponownie ustalić wynik wszystkich obowiązujących reguł, sprawdzić inne blokady i skierować dokument do zatwierdzenia dyspozycji. Automatyczne usunięcie bez takiej kontroli oszczędza kilka kliknięć, ale zwiększa ryzyko utraty dowodu albo naruszenia innego obowiązku przechowywania.
Pierwsze działanie powinno więc być bardzo konkretne: sprawdź, czy w procedurze retencji istnieje osobny proces „spór lub kontrola → identyfikacja zakresu → hold → weryfikacja statusu → zwolnienie przez właściciela → ponowna ocena retencji → zatwierdzenie usunięcia”. Jeśli obecna procedura sprowadza się do wyłączania globalnego kasowania albo liczenia na backup, to właśnie ten błąd należy usunąć w pierwszej kolejności.
