(Drugi dio od dva)
Opća uredba Europske unije o zaštiti osobnih podataka (GDPR) službeno će stupiti na snagu 25. svibnja 2018. te se nameće pitanje prava na zaborav i utjecaja na osobne podatke pohranjene u arhivama sigurnosnih kopija. Ta smo pitanja istražili u prvom dijelu članka, a sada ćemo objasniti kako s njima postupati.
Došli smo do zaključka da se pitanje poštovanja prava ispitanika na zaborav u arhivama sigurnosnih kopija može sažeti u dva najvažnija pitanja:
- • Kako zaštititi podatke ako njihova kopija ostaje u arhivi sigurnosnih kopija?
- • Kako poštovati načela smanjenja količine podataka koja uvodi GDPR, odnosno čuvati samo nužni minimum podataka tijekom razdoblja u kojem su nam nužno potrebni?
Najbolje prakse za postupanje s osobnim podacima
Acronis ima nekoliko najboljih praksi i funkcija proizvoda osmišljenih kako bi pomogao partnerima (uključujući MSP-ove koji nude sigurnosno kopiranje kao uslugu na platformi Acronis Data Cloud) i njihovim korisnicima (tvrtkama koje djeluju kao voditelji obrade osobnih podataka stanovnika EU-a) u ispunjavanju njihovih novih obveza:
- • Gdje je to moguće, voditelji obrade trebali bi organizirati sigurnosne kopije tako da za svakog ispitanika i njegove osobne podatke postoji zasebna arhiva sigurnosnih kopija.
- – To je idealno rješenje jer omogućuje granularno brisanje osobnih podataka bez utjecaja na zapise drugih osoba.
- – Nažalost, takav je pristup za većinu poduzeća teško provediv – osobni podaci ispitanika često su raspršeni kroz više aplikacija, lokacija, uređaja za pohranu i sigurnosnih kopija.
- • Arhive sigurnosnih kopija trebale bi biti zaštićene snažnim šifriranjem kako ne bi mogle biti zloupotrijebljene čak ni ako do njih dođu kriminalci.
- • Kada osoba zatraži brisanje svojih osobnih podataka, voditelj obrade trebao bi biti potpuno transparentan i otvoren u pogledu daljnjeg postupanja sa sigurnosnim kopijama:
- – Primarne instance njezinih podataka u produkcijskim sustavima bit će izbrisane bez odgode.
- – Njezini osobni podaci mogu ostati u arhivama sigurnosnih kopija nešto dulje – bilo zato što je nemoguće izdvojiti pojedinačne osobne podatke unutar arhive ili zato što voditelj obrade ima obvezu dulje čuvati podatke zbog ugovornih, pravnih ili drugih regulatornih obveza.
- – Osobu treba uvjeriti da njezini osobni podaci neće biti vraćeni u produkcijske sustave (osim u nekim rijetkim slučajevima, poput potrebe za oporavkom nakon prirodne katastrofe ili ozbiljnog sigurnosnog incidenta – u tim će slučajevima voditelj obrade poduzeti potrebne korake kako ne bi prekršio izvorni zahtjev te će ponovno izbrisati podatke iz primarne instance.
- – Arhive sigurnosnih kopija koje sadržavaju osobne podatke bit će zaštićene snažnim šifriranjem kako ne bi mogle biti zloupotrijebljene čak ni ako do njih dođu kriminalci.
- – Uspostavljena su pravila zadržavanja, postavljena tako da se osobni podaci u arhivama čuvaju samo onoliko dugo koliko je nužno, a zatim se automatski brišu.
- – Evidencije svih zahtjeva ispitanika u vezi s njihovim osobnim podacima bit će sačuvane, kao i revizijski zapisnici s evidencijom svih aktivnosti s arhivama sigurnosnih kopija koje sadržavaju osobne podatke. To znači da korisnici mogu biti sigurni da se njihovi osobni podaci sigurnosno kopiraju u skladu s načelima GDPR-a security-by-design-and-by-default i smanjenja količine podataka te da će njihova prava, uključujući pravo na zaborav, biti poštovana.
Kako Acronis poštuje pravo na zaborav kada je u ulozi voditelja obrade osobnih podataka
Acronis će poštovati prava svih ispitanika u vezi s njihovim osobnim podacima, uključujući pravo na zaborav, kada podaci više nisu potrebni za njihove izvorne svrhe ili kada korisnik povuče svoju privolu za obradu. Kada Acronis od korisnika primi zahtjev za brisanje, izbrisat ćemo njegove osobne podatke (npr. ime, prezime, poštanske adrese, telefonske brojeve) iz naših produkcijskih sustava u roku od 30 dana, osim ako postoji pravna osnova za njihovu daljnju obradu.
Iz naših sigurnosnih kopija tih osobnih podataka u arhivama podaci će biti izbrisani čim to bude praktično izvedivo, u mjeri koju dopuštaju naše druge obveze zadržavanja podataka (npr. zaštita drugih podataka pohranjenih u istim arhivama sigurnosnih kopija ili druge regulatorne i zakonske obveze). Čim te obveze budu ispunjene, trajno ćemo izbrisati predmetne podatke što je prije moguće.
Acronis će također čuvati revizijske zapisnike koji dokumentiraju povijest svih operacija s osobnim podacima korisnika tijekom nužnog razdoblja određenog zakonskim obvezama. Određene stavke koje korisnik može smatrati svojim osobnim podacima, primjerice objave na forumima zajednice ili recenzije, mogu biti zadržane u skladu s uvjetima pružene usluge s kojima se korisnik složio u trenutku njihove objave. Acronis će uvijek nastojati iscrpiti sva dostupna sredstva kako bi osobni podaci bili sigurni i nedostupni neovlaštenim osobama.
Zaključak
Bilo da ste voditelj obrade, izvršitelj obrade ili ste prema GDPR-u oboje, ostvarivanje prava ispitanika na zaborav prilično je jednostavno: ako se podaci nalaze u produkcijskim sustavima, morate ih brzo izbrisati. No kopije istih podataka pohranjene u arhivama sigurnosnih kopija mogu biti nešto složeniji problem: također ih morate izbrisati što je prije moguće, ali istodobno možete imati (druge) obveze da ih čuvate dulje.
Najsigurniji način da izbjegnete potencijalno kršenje uredbe i povezane visoke kazne jest poštovati ista opća načela GDPR-a za sigurnosne kopije kao i za osobne podatke u produkcijskim sustavima:
- • Poduzmite razumne korake kako biste arhive sigurnosnih kopija zaštitili od neovlaštenih znatiželjnika,
- • Ne čuvajte arhive dulje nego što je doista nužno,
- • Vodite zapisnike i dokumentirajte svoja pravila, postupke i stvarne operacije s arhivama sigurnosnih kopija kako biste uvijek mogli dokazati da ste pri poštovanju prava ispitanika u vezi s njihovim osobnim podacima pohranjenima u sigurnosnim kopijama postupali savjesno.
Otvoreno komunicirajte s korisnicima i objasnite zašto se njihovi osobni podaci mogu čuvati dulje, kako ćete ih čuvati sigurnima dok ne budu izbrisani i kada će se to eventualno dogoditi.
Autor: James Slaby
Napominjemo da je ovaj članak isključivo informativnog karaktera. Nije zamišljen niti ga treba tumačiti kao pravni savjet. Na temelju ovog članka ne biste trebali postupati bez dodatnog pravnog ili drugog stručnog savjeta.
Izvor: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
Autor članka: Uredništvo ZEBR.ai
