(Prvi dio od dva)
Opća uredba Europske unije o zaštiti osobnih podataka (GDPR) je pred vratima: datum početka primjene službeno je određen za 25. svibnja 2018. U prethodnim smo objavama objasnili većinu novih obveza i uloga, no jedno pitanje i dalje zaslužuje više pozornosti: takozvano „pravo na zaborav”.
Voditelj obrade (osoba ili organizacija koja obrađuje podatke) prema GDPR-u je u određenim okolnostima obvezan ponuditi ispitanicima (specifičan izraz koji se u GDPR-u upotrebljava za osobu) brisanje, odnosno mogućnost ostvarivanja prava na zaborav.
Kada građanin EU-a ostvari svoje pravo na zaborav, voditelj obrade mora izbrisati sve osobne podatke o toj osobi kojima raspolaže. Međutim, odmah se pojavljuje siva zona: ako voditelj obrade koristi usluge različitih izvršitelja obrade (primjerice vanjskih pružatelja pohrane u oblaku) i dio osobnih podataka o ispitaniku pohranjuju ti izvršitelji obrade, tko je odgovoran za brisanje: voditelj obrade (koji je izvorno prikupio osobne podatke ispitanika i njima upravljao) ili izvršitelj(i) obrade?
Jasno je da je voditelj obrade odgovoran za mogućnost ispitanika da ostvaruje vlastita prava u vezi s osobnim podacima, uključujući:
- • Pristup (mogućnost saznanja koje su osobne podatke voditelj obrade i izvršitelj obrade prikupili o određenoj osobi)
- • Ispravak (mogućnost zahtijevanja ispravka bilo kakvih pogrešaka u podacima)
- • Ograničenje obrade
- • Prenosivost
- • Brisanje
Svaki izvršitelj obrade kojeg koristi voditelj obrade također mu je obvezan pomoći „odgovarajućim tehničkim i organizacijskim mjerama” radi lakšeg poštovanja prava ispitanika.
Osobe imaju pravo zahtijevati brisanje svojih osobnih podataka ako:
- • Podaci više nisu potrebni za svrhe za koje su prikupljeni
- • Ispitanik povuče svoj pristanak na obradu svojih podataka, a ne postoje drugi pravni razlozi za daljnju obradu; odnosno kada voditelj obrade ne može dokazati prevladavajuću, legitimnu osnovu za obradu
- • Obrada je na drugi način nezakonita
To su svi uvjeti pod kojima voditelj obrade mora poštovati zahtjev ispitanika za brisanje.
Više od primarnih podataka: pravo na zaborav i sigurnosne kopije podataka
Kada osoba ostvaruje svoje pravo na zaborav, najvjerojatnije očekuje da će biti izbrisane i sigurnosne kopije njezinih osobnih podataka. To za voditelje i izvršitelje obrade predstavlja tehnički problem. Osobni podaci ispitanika mogu biti raspršeni kroz mnoge aplikacije koje koristi određena tvrtka (npr. CRM, sustavi za automatizirani marketing ili unos narudžbi itd.) te distribuirani u mnoge lokalne pohrane podataka, kao i pohrane u oblaku. Sigurnosne kopije povezane s pojedinim aplikacijama mogu se nalaziti u odvojenim arhivama. Osim toga, svaka arhiva sigurnosnih kopija u pravilu sadrži podatke iz mnogih drugih aplikacija/o mnogim drugim korisnicima.
Izvorni podaci i arhive sigurnosnih kopija obično su organizirani i namjerno postavljeni tako da je brisanje osobnih podataka jedne osobe, bez utjecaja na sigurnosne kopije drugih aplikacija i korisnika, praktično neizvedivo. Brisanje podataka jednog korisnika može imati negativne posljedice za sigurnost podataka mnogih drugih korisnika – i time učinkovito poništiti bilo kakve prednosti koje je sigurnosno kopiranje donosilo.
Uravnoteživanje suprotstavljenih obveza
Budući da je Acronis tvrtka usmjerena na zaštitu podataka, obvezna je čuvati sigurnosne kopije i u slučaju zaprimljenog zahtjeva za brisanje. Upravljamo globalnom mrežom podatkovnih centara u kojima se pohranjuju arhive sigurnosnih kopija naših partnera i korisnika. No Acronis ne vidi koji su podaci, niti jesu li osobni ili neke druge prirode, pohranjeni u podatkovnim centrima.
Čak i kada bismo pretpostavili da većina arhiva sigurnosnih kopija sadrži osobne podatke koji će biti predmet zahtjeva za brisanje, Acronis u mnogim slučajevima ne može dopustiti izmjenu arhive sigurnosnih kopija zbog ugovornih ili zakonskih obveza prema našim klijentima i partnerima. U nekim je slučajevima riječ o očuvanju inherentne funkcije sigurnosnog kopiranja: omogućavanju oporavka izgubljenih ili oštećenih podataka iz točne kopije izrađene u određenom trenutku. U drugim slučajevima moramo čuvati arhive sigurnosnih kopija naših korisnika i partnera jer se oni na njih oslanjaju kako bi ispunili vlastite regulatorne i zakonske obveze.
Primjerice, mogu se oslanjati na savršeno očuvane sigurnosne kopije kako bi udovoljili zahtjevima za e-discovery u tekućem sudskom postupku ili radi poštovanja poreznih ili industrijskih propisa o čuvanju evidencije. U takvim slučajevima GDPR prepoznaje da osobni podaci ne mogu biti uklonjeni iz sigurnosnih kopija odmah nakon obrade zahtjeva za brisanje, jer prednost imaju druge obveze.
Obveze nakon oporavka
Imajte na umu da primarnu odgovornost za poštovanje prava na brisanje snose voditelji obrade. Budući da oporavak produkcijskog sustava može dovesti do ponovnog uvođenja prethodno uklonjenih podataka, voditelj obrade mora poduzeti dodatne radnje i osigurati da se ti podaci nakon oporavka ponovno izbrišu iz produkcijskog sustava.
Pitanje poštovanja korisnikova prava na zaborav u vezi s arhivama sigurnosnih kopija može se sažeti u dva pitanja:
- • Kako zaštititi podatke ako njihova kopija ostaje u arhivi sigurnosnih kopija?
- • Kako poštovati načela smanjenja količine podataka koja GDPR predstavlja, odnosno zadržati samo nužni minimum podataka tijekom razdoblja u kojem su nam neophodno potrebni?
Acronis nudi nekoliko provjerenih postupaka – i nekoliko korisnih funkcija u našim proizvodima i uslugama za zaštitu podataka – koje će pomoći partnerima (uključujući pružatelje upravljanih usluga koji nude sigurnosno kopiranje kao uslugu na platformi Acronis Data Cloud) i njihovim korisnicima (tvrtkama koje imaju ulogu voditelja obrade osobnih podataka građana EU-a) u svladavanju ovih iznimnih izazova koji proizlaze iz potrebe poštovanja GDPR-a. O tim preporukama i tehnologijama koje nudimo kao pomoć raspravljat ćemo u drugom dijelu ove objave.
Autor: James Slaby
Napominjemo da je ova objava isključivo informativne prirode. Nije namijenjena niti se smije tumačiti kao pravni savjet. Ne biste trebali postupati na temelju ove objave bez dodatnog pravnog ili drugog stručnog savjeta.
Izvor: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autor članka: Uredništvo ZEBR.ai
