(Deuxième partie sur deux)
Le règlement général de l’Union européenne sur la protection des données personnelles (RGPD) entrera officiellement en vigueur le 25 mai 2018, et il est naturel de se poser des questions concernant le droit à l’oubli et son impact sur les données personnelles stockées dans les archives de sauvegarde. Nous avons examiné ces questions dans la première partie de cet article, et nous allons maintenant voir comment les traiter.
Nous sommes arrivés à la conclusion que la question du respect du droit d’une personne concernée à l’oubli dans les archives de sauvegarde peut être résumée en deux questions essentielles :
- • Comment protéger les données si leur copie demeure dans une archive de sauvegarde ?
- • Comment respecter les principes de minimisation des données introduits par le RGPD, c’est-à-dire ne conserver que le minimum de données nécessaire pendant la durée strictement nécessaire ?
Bonnes pratiques de traitement des données personnelles
Acronis dispose de plusieurs bonnes pratiques et fonctionnalités de produits conçues pour aider ses partenaires (y compris les MSP proposant la sauvegarde en tant que service sur la plateforme Acronis Data Cloud) et leurs clients (les entreprises agissant en tant que responsables du traitement des données personnelles des résidents de l’UE) à respecter leurs nouvelles obligations :
- • Lorsque cela est possible, les responsables du traitement devraient organiser les sauvegardes de manière à ce qu’une archive de sauvegarde distincte existe pour chaque personne concernée et ses données personnelles.
- – Il s’agit d’une solution idéale, car elle permet la suppression granulaire des données personnelles sans affecter les enregistrements d’autres personnes.
- – Malheureusement, cette approche est difficilement applicable pour la plupart des entreprises, car les données personnelles des personnes concernées sont souvent dispersées entre plusieurs applications, emplacements, dispositifs de stockage et sauvegardes.
- • Les archives de sauvegarde doivent être sécurisées par un chiffrement fort afin de ne pas pouvoir être exploitées, même si elles tombent entre les mains de criminels.
- • Lorsqu’une personne demande la suppression de ses données personnelles, le responsable du traitement doit faire preuve d’une transparence totale concernant la procédure applicable aux sauvegardes :
- – Les instances principales de ses données dans les systèmes de production seront supprimées dans les meilleurs délais.
- – Ses données personnelles peuvent demeurer un peu plus longtemps dans les archives de sauvegarde, soit parce qu’il est impossible d’isoler des données personnelles individuelles au sein d’une archive, soit parce que le responsable du traitement est tenu de conserver les données plus longtemps en raison d’obligations contractuelles, légales ou réglementaires.
- – La personne doit être assurée que ses données personnelles ne seront pas restaurées dans les systèmes de production (à l’exception de certains rares cas, tels qu’une nécessité de restauration après une catastrophe naturelle ou une grave violation de sécurité ; dans ces cas, le responsable du traitement prendra les mesures nécessaires pour ne pas enfreindre la demande initiale et supprimera à nouveau les données de l’instance principale).
- – Les archives de sauvegarde contenant des données personnelles seront protégées par un chiffrement fort afin de ne pas pouvoir être exploitées, même si elles tombent entre les mains de criminels.
- – Des règles de conservation sont en place, configurées de manière à ce que les données personnelles ne soient conservées dans les archives que pendant la durée strictement nécessaire, après quoi elles seront automatiquement supprimées.
- – Les enregistrements de toutes les demandes des personnes concernées relatives à leurs données personnelles seront conservés, de même que les journaux d’audit contenant les enregistrements de toutes les activités liées aux archives de sauvegarde contenant des données personnelles. Cela signifie que les utilisateurs peuvent être assurés que leurs données personnelles sont sauvegardées conformément aux principes du RGPD de sécurité dès la conception et par défaut ainsi que de minimisation des données, et que leurs droits, y compris le droit à l’oubli, seront respectés.
Comment Acronis respecte le droit à l’oubli lorsqu’il agit en tant que responsable du traitement des données personnelles
Acronis respectera les droits de toutes les personnes concernées concernant leurs données personnelles, y compris le droit à l’oubli, lorsque les données ne seront plus nécessaires à leurs finalités initiales ou lorsque l’utilisateur retirera son consentement au traitement. Lorsqu’un client demande à Acronis une suppression, nous supprimons ses données personnelles (par exemple son prénom, son nom, ses adresses postales et ses numéros de téléphone) de nos systèmes de production dans un délai de 30 jours, à moins qu’il n’existe une base légale pour poursuivre leur traitement.
Les données seront supprimées de nos copies de sauvegarde de ces données personnelles dans les archives dès que cela sera concrètement possible, dans la mesure permise par nos autres obligations de conservation des données (par exemple protéger d’autres données stockées dans les mêmes archives de sauvegarde ou respecter d’autres obligations réglementaires et légales). Dès que ces obligations auront été satisfaites, nous supprimerons définitivement les données concernées aussi rapidement que possible.
Acronis conservera également les journaux d’audit documentant l’historique de toutes les opérations effectuées sur les données personnelles des clients pendant la durée requise par les obligations légales. Certains éléments que l’utilisateur peut considérer comme ses données personnelles, tels que des publications dans des forums de discussion communautaires ou des avis, peuvent être conservés conformément aux conditions du service fourni, auxquelles l’utilisateur concerné a accepté au moment de leur publication. Acronis s’efforcera toujours d’épuiser tous les moyens disponibles pour maintenir les données personnelles en sécurité et inaccessibles aux personnes non autorisées.
Conclusion
Que vous soyez responsable du traitement, sous-traitant, ou les deux selon le RGPD, la mise en œuvre du droit à l’oubli des personnes concernées est assez simple : si leurs données figurent dans les systèmes de production, vous devez les supprimer rapidement. Les copies de ces mêmes données stockées dans les archives de sauvegarde peuvent toutefois représenter un problème un peu plus complexe : vous devez également les supprimer dès que possible, mais vous pouvez simultanément avoir d’autres obligations vous imposant de les conserver plus longtemps.
Le moyen le plus sûr d’éviter une violation potentielle de la réglementation et les lourdes amendes associées est de respecter pour les sauvegardes les mêmes principes généraux du RGPD que pour les données personnelles dans les systèmes de production :
- • Prenez des mesures raisonnables pour protéger les archives de sauvegarde contre les regards non autorisés,
- • Ne conservez pas les archives plus longtemps que cela n’est réellement nécessaire,
- • Consignez et documentez vos politiques, procédures et opérations réelles relatives aux archives de sauvegarde afin de pouvoir toujours démontrer que vous avez agi avec toute la diligence requise dans le respect des droits des personnes concernées concernant leurs données personnelles stockées dans les sauvegardes.
Agissez ouvertement avec les utilisateurs et expliquez pourquoi leurs données personnelles peuvent être conservées plus longtemps, comment vous les protégerez jusqu’à leur suppression et à quel moment celle-ci interviendra éventuellement.
Auteur : James Slaby
Veuillez noter que cet article est fourni à titre purement informatif. Il ne constitue pas et ne doit pas être interprété comme un conseil juridique. Vous ne devez pas agir sur la base de cet article sans obtenir des conseils juridiques ou professionnels supplémentaires.
Source : https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
Auteur de l’article: Rédaction ZEBR.ai
