Copias de seguridad y el «derecho al olvido» conforme al RGPD: Recomendaciones

(Segunda parte de dos)

El Reglamento General de Protección de Datos de la Unión Europea (RGPD) entrará oficialmente en vigor el 25 de mayo de 2018, y es lógico plantearse preguntas sobre el derecho al olvido y su impacto en los datos personales almacenados en archivos de copia de seguridad. Examinamos estas cuestiones en la primera parte de la publicación y ahora veremos cómo abordarlas.

Llegamos a la conclusión de que la cuestión del cumplimiento del derecho del interesado al olvido en los archivos de copia de seguridad puede resumirse en dos preguntas fundamentales:

• • ¿Cómo proteger los datos si una copia de ellos permanece en un archivo de copia de seguridad?
• • ¿Cómo cumplir los principios de minimización de datos que establece el RGPD, es decir, conservar solo el mínimo indispensable de datos durante el tiempo estrictamente necesario?

 

Buenas prácticas para el tratamiento de datos personales

Acronis cuenta con varias buenas prácticas y funciones de producto diseñadas para ayudar a los socios (incluidos los MSP que ofrecen copias de seguridad como servicio en la plataforma Acronis Data Cloud) y a sus clientes (empresas que actúan como responsables del tratamiento de datos personales de residentes de la UE) a cumplir sus nuevas obligaciones:

• • Siempre que sea posible, los responsables deberían organizar las copias de seguridad de modo que exista un archivo de copia de seguridad independiente para cada interesado y sus datos personales.
  • – Esta es la solución ideal, ya que permite la eliminación granular de datos personales sin afectar a los registros de otras personas.
  • – Por desgracia, este enfoque es difícil de implementar para la mayoría de las empresas, ya que los datos personales de los interesados suelen estar distribuidos entre varias aplicaciones, ubicaciones, dispositivos de almacenamiento y copias de seguridad.
• • Los archivos de copia de seguridad deben protegerse mediante un cifrado sólido para que no puedan utilizarse indebidamente, incluso si caen en manos de delincuentes.
• • Cuando una persona solicite la eliminación de sus datos personales, el responsable debe ser completamente transparente y claro sobre el procedimiento posterior con respecto a las copias de seguridad:
  • – Las instancias principales de sus datos en los sistemas de producción se eliminarán sin demora.
  • – Sus datos personales pueden permanecer en los archivos de copia de seguridad durante un tiempo algo más prolongado, ya sea porque resulta imposible aislar los datos personales individuales dentro del archivo o porque el responsable tiene la obligación de conservarlos durante más tiempo debido a obligaciones contractuales, legales o regulatorias.
  • – Se debe garantizar a la persona que sus datos personales no se restaurarán en los sistemas de producción (salvo en algunos casos excepcionales, como la necesidad de recuperación tras un desastre natural o una grave vulneración de seguridad; en esos casos, el responsable tomará las medidas necesarias para no infringir la solicitud original y eliminará de nuevo los datos de la instancia principal).
  • – Los archivos de copia de seguridad que contengan datos personales estarán protegidos mediante un cifrado sólido para que no puedan utilizarse indebidamente, incluso si caen en manos de delincuentes.
  • – Deben existir políticas de retención configuradas de modo que los datos personales se conserven en los archivos únicamente durante el tiempo estrictamente necesario y se eliminen automáticamente después.
  • – Se conservarán registros de todas las solicitudes de los interesados relativas a sus datos personales, así como registros de auditoría de todas las actividades con archivos de copia de seguridad que contengan datos personales. Esto significa que los usuarios pueden estar seguros de que sus datos personales se respaldan de conformidad con los principios del RGPD de seguridad desde el diseño y por defecto, así como de minimización de datos, y de que se respetarán sus derechos, incluido el derecho al olvido.

 

Cómo respeta Acronis el derecho al olvido cuando actúa como responsable del tratamiento de datos personales

Acronis respetará los derechos de todos los interesados con respecto a sus datos personales, incluido el derecho al olvido, cuando los datos ya no sean necesarios para sus fines originales o cuando el usuario retire su consentimiento para el tratamiento. Cuando un cliente solicite la eliminación, eliminaremos sus datos personales (por ejemplo, nombre, apellidos, direcciones postales y números de teléfono) de nuestros sistemas de producción en un plazo de 30 días, salvo que exista una base legal para seguir tratándolos.

Los datos se eliminarán de nuestras copias de seguridad de dichos datos personales en los archivos tan pronto como sea razonablemente posible, en la medida en que lo permitan nuestras demás obligaciones de retención de datos (por ejemplo, proteger otros datos almacenados en los mismos archivos de copia de seguridad u otras obligaciones regulatorias y legales). Una vez cumplidas estas obligaciones, eliminaremos permanentemente los datos en cuestión lo antes posible.

Acronis también conservará los registros de auditoría que documenten el historial de todas las operaciones con los datos personales del cliente durante el período necesario exigido por las obligaciones legales. Determinados elementos que el usuario pueda considerar sus datos personales, como publicaciones en foros de debate de la comunidad o reseñas, pueden conservarse de acuerdo con las condiciones del servicio proporcionado que el usuario aceptó en el momento de publicarlos. Acronis siempre procurará agotar todos los medios disponibles para mantener los datos personales seguros e inaccesibles para personas no autorizadas.

 

Conclusión

Tanto si es responsable, encargado del tratamiento, como si es ambas cosas según el RGPD, cumplir el derecho de los interesados al olvido es bastante sencillo: si los datos se encuentran en sistemas de producción, debe eliminarlos rápidamente. Sin embargo, las copias de los mismos datos almacenadas en archivos de copia de seguridad pueden ser un problema algo más complejo: también debe eliminarlas tan pronto como sea posible, aunque al mismo tiempo puede tener otras obligaciones de conservarlas durante más tiempo.

La forma más segura de evitar posibles incumplimientos de la normativa y las elevadas multas asociadas es seguir para las copias de seguridad los mismos principios generales del RGPD que para los datos personales en los sistemas de producción:

• • Adopte medidas razonables para mantener los archivos de copia de seguridad protegidos frente a personas no autorizadas,
• • No conserve los archivos más tiempo del estrictamente necesario,
• • Registre y documente sus políticas, procedimientos y operaciones reales con los archivos de copia de seguridad, para poder demostrar siempre que ha actuado con la debida diligencia al respetar los derechos de los interesados respecto a sus datos personales almacenados en copias de seguridad.

Actúe con transparencia con los usuarios y explique por qué sus datos personales pueden conservarse durante más tiempo, cómo los mantendrá seguros hasta que se eliminen y cuándo se producirá eventualmente dicha eliminación.

 

Autor: James Slaby

 

Advertimos que esta publicación tiene únicamente carácter informativo. No pretende ser ni debe interpretarse como asesoramiento jurídico. No debe actuar basándose en esta publicación sin obtener asesoramiento jurídico u otro asesoramiento profesional adicional.

Fuente: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/