(Prvi dio od dva)
Opća uredba o zaštiti podataka (GDPR) Evropske unije je pred vratima: datum prelaska službeno je određen za 25. maj 2018. U prethodnim objavama objasnili smo većinu novih obaveza i uloga, ali jedno pitanje i dalje zaslužuje više pažnje: takozvano „pravo na zaborav“.
Voditelj obrade podataka (osoba ili organizacija koja obrađuje podatke) prema GDPR-u je u određenim okolnostima obavezan ponuditi subjektima podataka (specifičan termin koji se u GDPR-u koristi za osobu) brisanje, odnosno mogućnost ostvarivanja prava na zaborav.
Kada građanin EU ostvari svoje pravo na zaborav, voditelj obrade podataka mora izbrisati sve lične podatke o toj osobi kojima raspolaže. Međutim, odmah se pojavljuje siva zona: ako voditelj obrade koristi usluge različitih izvršilaca obrade (kao što su vanjski pružaoci usluga pohrane u oblaku) i dio ličnih podataka o subjektu podataka čuvaju ti izvršioci obrade, ko je odgovoran za brisanje: voditelj obrade (koji je prvobitno prikupio i upravljao ličnim podacima subjekta) ili izvršilac/izvršioci obrade?
Jasno je da je voditelj obrade odgovoran za mogućnost subjekta podataka da ostvari vlastita prava u vezi s ličnim podacima, uključujući:
- • Pristup (mogućnost saznanja koje su lične podatke voditelj obrade i izvršilac obrade prikupili o toj osobi)
- • Ispravku (mogućnost zahtijevanja ispravke bilo kakvih grešaka u podacima)
- • Ograničenje obrade
- • Prenosivost
- • Brisanje
Svaki izvršilac obrade kojeg koristi voditelj obrade također mu je obavezan pomagati putem „odgovarajućih tehničkih i organizacijskih mjera“ kako bi se pomoglo u poštovanju prava subjekata podataka.
Osobe imaju pravo zahtijevati brisanje svojih ličnih podataka ako:
- • Podaci više nisu neophodni za svrhe za koje su prikupljeni
- • Subjekt podataka povuče svoj pristanak za obradu svojih podataka i pritom ne postoje drugi zakoniti razlozi za daljnju obradu; odnosno kada voditelj obrade ne može dokazati nadređenu, legitimnu osnovu za obradu
- • Obrada je na drugi način nezakonita
To su svi uslovi pod kojima voditelj obrade mora poštovati zahtjev subjekta podataka za brisanje.
Više od samo primarnih podataka: pravo na zaborav i sigurnosne kopije podataka
Kada osoba ostvaruje svoje pravo na zaborav, vjerovatno očekuje da će biti izbrisane i sigurnosne kopije njenih ličnih podataka. To predstavlja tehnički problem za voditelje obrade i izvršioce obrade. Lični podaci subjekta mogu biti raspršeni kroz mnoge aplikacije koje koristi određena kompanija (npr. CRM, sistemi za automatizaciju marketinga ili unos narudžbi itd.) i distribuirani u mnoge lokalne, ali i cloud pohrane podataka. Sigurnosne kopije povezane s pojedinačnim aplikacijama mogu biti smještene u odvojenim arhivama. Svaka arhiva sigurnosnih kopija osim toga obično sadrži podatke iz mnogih drugih aplikacija/o mnogim drugim korisnicima.
Uobičajeno su izvorni podaci i arhive sigurnosnih kopija organizirani i namjerno postavljeni tako da je brisanje ličnih podataka jedne osobe, bez utjecaja na sigurnosne kopije drugih aplikacija i korisnika, praktično neizvodivo. Brisanje podataka jednog korisnika može imati negativne posljedice za sigurnost podataka mnogih drugih korisnika – i tako učinkovito može poništiti bilo kakve prednosti koje je sigurnosno kopiranje donosilo.
Balansiranje između suprotstavljenih obaveza
Budući da je Acronis kompanija usmjerena na zaštitu podataka, dužna je čuvati sigurnosne kopije i u slučaju pristiglog zahtjeva za brisanje. Upravljamo globalnom mrežom podatkovnih centara u kojima se pohranjuju arhive sigurnosnih kopija naših partnera i korisnika. Međutim, Acronis ne vidi koji se podaci, niti jesu li lični ili druge prirode, pohranjuju u podatkovnim centrima.
Čak i kada bismo pretpostavili da većina arhiva sigurnosnih kopija sadrži lične podatke koji će biti predmet zahtjeva za brisanje, Acronis u mnogim slučajevima ne može dozvoliti izmjenu arhive sigurnosne kopije zbog ugovornih ili zakonskih obaveza prema našim klijentima i partnerima. U nekim slučajevima radi se o očuvanju osnovne funkcije sigurnosnog kopiranja: omogućavanju oporavka izgubljenih ili oštećenih podataka iz tačne kopije koja je napravljena u određenom trenutku. U drugim slučajevima moramo čuvati arhive sigurnosnih kopija naših korisnika i partnera jer se oni na njih oslanjaju radi poštovanja vlastitih regulatornih i zakonskih obaveza.
Na primjer, mogu se oslanjati na savršeno očuvane sigurnosne kopije kako bi udovoljili zahtjevima za e-discovery u toku sudskog postupka ili radi poštovanja poreznih ili industrijskih propisa o čuvanju evidencije. U takvim slučajevima GDPR priznaje da se lični podaci ne mogu ukloniti iz sigurnosnih kopija odmah nakon obrade zahtjeva za brisanje, jer druge obaveze imaju prednost.
Obaveze nakon oporavka
Imajte na umu da primarnu odgovornost za poštovanje prava na brisanje nose voditelji obrade podataka. A budući da oporavak produkcijskog sistema može dovesti do ponovnog uvođenja ranije uklonjenih podataka, voditelj obrade mora poduzeti dodatne radnje i osigurati da se ti podaci nakon oporavka ponovo izbrišu iz produkcijskog sistema.
Pitanje poštovanja korisnikovog prava na zaborav u vezi s arhivama sigurnosnih kopija može se sažeti u dva pitanja:
- • Kako zaštititi podatke ako njihova kopija ostaje u arhivi sigurnosnih kopija?
- • Kako poštovati principe minimizacije podataka koje GDPR uvodi, odnosno zadržavati samo neophodni minimum podataka onoliko dugo koliko su nam neophodni?
Acronis nudi nekoliko provjerenih postupaka – i nekoliko korisnih funkcija u našim proizvodima i uslugama za zaštitu podataka – koje će pomoći partnerima (uključujući pružaoce upravljanih usluga koji nude sigurnosno kopiranje kao uslugu na platformi Acronis Data Cloud) i njihovim korisnicima (kompanijama koje imaju ulogu voditelja obrade ličnih podataka građana EU) da savladaju ove izuzetne izazove koji proizlaze iz potrebe poštovanja GDPR-a. Ove preporuke i tehnologije koje nudimo kao pomoć razmotrit ćemo u drugom dijelu ove objave.
Autor: James Slaby
Napominjemo da je objava isključivo informativnog karaktera. Nije namijenjena i ne bi se trebala tumačiti kao pravni savjet. Ne biste trebali postupati na osnovu ove objave bez dodatnog pravnog ili drugog stručnog savjeta.
Izvor: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autor članka: Redakcija ZEBR.ai
