(Kétrészes sorozat második része)
Az Európai Unió általános adatvédelmi rendelete (GDPR) hivatalosan 2018. május 25-én lép hatályba, ezért időszerű feltenni a kérdéseket az elfeledtetéshez való joggal és a biztonsági mentési archívumokban tárolt személyes adatokra gyakorolt hatásával kapcsolatban. Ezeket a kérdéseket a bejegyzés első részében vizsgáltuk meg, most pedig azt nézzük meg, hogyan kezelhetők.
Arra a következtetésre jutottunk, hogy az érintettek elfeledtetéshez való jogának biztonsági mentési archívumokban történő betartásával kapcsolatos kérdéskör két legfontosabb kérdésben foglalható össze:
- • Hogyan védhetők az adatok, ha másolatuk továbbra is megmarad egy biztonsági mentési archívumban?
- • Hogyan tarthatók be a GDPR által bevezetett adattakarékossági elvek, vagyis hogyan őrizhető meg csak a feltétlenül szükséges adatmennyiség, és csak addig, ameddig arra valóban szükség van?
Bevált gyakorlatok a személyes adatok kezelésében
Acronis számos bevált gyakorlattal és termékfunkcióval rendelkezik, amelyeket azért terveztek, hogy segítsék partnereit (beleértve az Acronis Data Cloud platformon biztonsági mentést szolgáltatásként nyújtó MSP-ket) és ügyfeleiket (az EU lakosainak személyes adatait kezelő vállalatokat) új kötelezettségeik teljesítésében:
- • Ahol lehetséges, az adatkezelőknek úgy kell megszervezniük a biztonsági mentéseket, hogy minden érintetthez és személyes adataihoz külön biztonsági mentési archívum tartozzon.
- – Ez ideális megoldás, mivel lehetővé teszi a személyes adatok részletes szintű törlését anélkül, hogy más személyek nyilvántartásait érintené.
- – Sajnos ez a megközelítés a legtöbb vállalat számára aligha valósítható meg – az érintettek személyes adatai ugyanis gyakran több alkalmazás, helyszín, tárolóeszköz és biztonsági mentés között oszlanak meg.
- • A biztonsági mentési archívumokat erős titkosítással kell védeni, hogy akkor se lehessen velük visszaélni, ha bűnözők kezébe kerülnek.
- • Amikor egy személy személyes adatainak törlését kéri, az adatkezelőnek teljesen átláthatónak és nyíltnak kell lennie a biztonsági mentések további kezelésével kapcsolatban:
- – Az adatok elsődleges példányait az éles rendszerekből a lehető leghamarabb törölni kell.
- – Személyes adatai valamivel tovább maradhatnak a biztonsági mentési archívumokban – vagy azért, mert az archívumon belül lehetetlen az egyedi személyes adatok elkülönítése, vagy mert az adatkezelőnek szerződéses, jogi vagy egyéb szabályozási kötelezettségek miatt hosszabb ideig kell megőriznie az adatokat.
- – Az érintettet biztosítani kell arról, hogy személyes adatai nem kerülnek visszaállításra az éles rendszerekbe (kivéve néhány ritka esetet, például természeti katasztrófa vagy súlyos biztonsági incidens utáni helyreállítás szükségességét – ezekben az esetekben az adatkezelő megteszi a szükséges lépéseket annak érdekében, hogy ne sértse meg az eredeti kérelmet, és újra törli az adatokat az elsődleges példányból).
- – A személyes adatokat tartalmazó biztonsági mentési archívumokat erős titkosítás védi, hogy akkor se lehessen velük visszaélni, ha bűnözők kezébe kerülnek.
- – Megőrzési szabályok vannak érvényben, amelyek biztosítják, hogy az archívumokban lévő személyes adatokat csak a feltétlenül szükséges ideig őrizzék meg, majd automatikusan töröljék.
- – Megőrzik az érintettek személyes adataikra vonatkozó valamennyi kérelmének nyilvántartását, valamint a személyes adatokat tartalmazó biztonsági mentési archívumokkal végzett összes tevékenységet rögzítő auditnaplókat is. Ez azt jelenti, hogy a felhasználók biztosak lehetnek abban, hogy személyes adataikról a GDPR beépített és alapértelmezett biztonságra, valamint adattakarékosságra vonatkozó elveivel összhangban készül biztonsági mentés, és hogy jogaikat, beleértve az elfeledtetéshez való jogot is, tiszteletben tartják.
Hogyan tartja be Acronis az elfeledtetéshez való jogot, amikor személyesadat-kezelőként jár el
Acronis tiszteletben tartja valamennyi érintett személyes adataival kapcsolatos jogait, beleértve az elfeledtetéshez való jogot is, amikor az adatokra eredeti céljukhoz már nincs szükség, vagy amikor a felhasználó visszavonja a kezeléshez adott hozzájárulását. Amikor egy ügyfél törlést kér Acronis-tól, 30 napon belül töröljük személyes adatait (például vezetéknevét, keresztnevét, postai címét, telefonszámát) éles rendszereinkből, kivéve, ha további kezelésüknek jogalapja van.
A szóban forgó személyes adatok archívumokban található biztonsági másolataiból az adatokat amint az gyakorlatilag megvalósítható, egyéb adatmegőrzési kötelezettségeink által lehetővé tett mértékben töröljük (például ugyanazon biztonsági mentési archívumokban tárolt egyéb adatok védelme, illetve más szabályozási és jogi kötelezettségek miatt). Amint ezek a kötelezettségek teljesülnek, az adatokat a lehető leggyorsabban véglegesen töröljük.
Acronis megőrzi továbbá az ügyfelek személyes adataival végzett valamennyi művelet előzményeit dokumentáló auditnaplókat a jogi kötelezettségek által előírt szükséges ideig. Egyes tételek, amelyeket a felhasználó személyes adatainak tekinthet, például közösségi fórumbejegyzések vagy értékelések, megőrizhetők a nyújtott szolgáltatás feltételeinek megfelelően, amelyekhez az adott felhasználó azok közzétételekor hozzájárult. Acronis mindig arra törekszik, hogy minden rendelkezésre álló eszközt felhasználjon a személyes adatok biztonságának megőrzésére és arra, hogy azok illetéktelen személyek számára hozzáférhetetlenek maradjanak.
Összegzés
Akár adatkezelő, akár adatfeldolgozó, vagy a GDPR szerint mindkettő, az érintettek elfeledtetéshez való jogának teljesítése meglehetősen egyértelmű: ha az adatok az éles rendszerekben találhatók, gyorsan törölni kell őket. Az ugyanazon adatok biztonsági mentési archívumokban tárolt másolatai azonban némileg összetettebb problémát jelenthetnek: ezeket is a lehető leggyorsabban törölni kell, ugyanakkor (más) kötelezettségek miatt előfordulhat, hogy hosszabb ideig kell megőrizni őket.
A rendelet betartásának esetleges megsértése és az ezzel járó súlyos bírságok elkerülésének legbiztosabb módja, ha a biztonsági mentésekre ugyanazokat az általános GDPR-elveket alkalmazza, mint az éles rendszerekben tárolt személyes adatokra:
- • Tegyen ésszerű lépéseket annak érdekében, hogy a biztonsági mentési archívumok védve legyenek az illetéktelen kíváncsiskodóktól,
- • Ne őrizze meg az archívumokat a feltétlenül szükségesnél hosszabb ideig,
- • Naplózza és dokumentálja a biztonsági mentési archívumokra vonatkozó irányelveit, eljárásait és tényleges műveleteit, hogy mindig bizonyítani tudja: a biztonsági mentésekben tárolt személyes adataikkal kapcsolatos érintetti jogok betartása során jóhiszeműen járt el.
Kommunikáljon nyíltan a felhasználókkal, és magyarázza el, miért őrizhetik meg személyes adataikat hosszabb ideig, hogyan tartják biztonságban azokat a törlésig, és mikor kerülhet sor erre.
Szerző: James Slaby
Felhívjuk figyelmét, hogy ez a bejegyzés kizárólag tájékoztató jellegű. Nem minősül jogi tanácsadásnak, és nem is értelmezhető akként. E bejegyzés alapján, további jogi vagy egyéb szakmai tanács nélkül nem szabad eljárnia.
Forrás: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
A cikk szerzője: ZEBR.ai szerkesztőség
