(Seconda parte di due)
Il Regolamento generale dell'Unione europea sulla protezione dei dati personali (GDPR) entrerà ufficialmente in vigore il 25 maggio 2018 ed è naturale porsi domande sul diritto all'oblio e sull'impatto sui dati personali archiviati nei backup. Abbiamo esaminato queste domande nella prima parte dell'articolo e ora vediamo come affrontarle.
Siamo giunti alla conclusione che la questione del rispetto del diritto dell'interessato all'oblio negli archivi di backup può essere riassunta in due domande fondamentali:
- • Come proteggere i dati se una loro copia permane in un archivio di backup?
- • Come rispettare i principi di minimizzazione dei dati previsti dal GDPR, ovvero conservare solo il minimo indispensabile di dati per il tempo strettamente necessario?
Buone pratiche per la gestione dei dati personali
Acronis dispone di diverse buone pratiche e funzionalità di prodotto progettate per aiutare i partner (compresi gli MSP che offrono il backup come servizio sulla piattaforma Acronis Data Cloud) e i loro clienti (aziende che agiscono come titolari del trattamento dei dati personali dei cittadini dell'UE) a rispettare i loro nuovi obblighi:
- • Ove possibile, i titolari del trattamento dovrebbero organizzare i backup in modo che esista un archivio di backup separato per ciascun interessato e per i relativi dati personali.
- – Questa è la soluzione ideale, poiché consente l'eliminazione granulare dei dati personali senza influire sui dati di altre persone.
- – Purtroppo, questo approccio è difficilmente implementabile per la maggior parte delle aziende: i dati personali degli interessati sono infatti spesso distribuiti tra diverse applicazioni, ubicazioni, dispositivi di archiviazione e backup.
- • Gli archivi di backup dovrebbero essere protetti con una crittografia robusta, affinché non possano essere sfruttati in modo improprio nemmeno nel caso in cui finiscano nelle mani di criminali.
- • Quando una persona richiede la cancellazione dei propri dati personali, il titolare del trattamento dovrebbe essere pienamente trasparente e aperto riguardo alla procedura relativa ai backup:
- – Le istanze primarie dei suoi dati nei sistemi di produzione saranno eliminate con la massima tempestività.
- – I suoi dati personali possono rimanere negli archivi di backup per un periodo più lungo, sia perché è impossibile isolare singoli dati personali all'interno dell'archivio, sia perché il titolare del trattamento ha l'obbligo di conservarli più a lungo per vincoli contrattuali, legali o altri obblighi normativi.
- – La persona dovrebbe essere rassicurata sul fatto che i suoi dati personali non saranno ripristinati nei sistemi di produzione (ad eccezione di alcuni rari casi, come la necessità di ripristino dopo una catastrofe naturale o una grave violazione della sicurezza – in tali casi il titolare del trattamento adotterà le misure necessarie per non violare la richiesta originaria e cancellerà nuovamente i dati dall'istanza primaria.
- – Gli archivi di backup contenenti dati personali saranno protetti con una crittografia robusta, affinché non possano essere sfruttati in modo improprio nemmeno nel caso in cui finiscano nelle mani di criminali.
- – Sono in vigore regole di conservazione configurate affinché i dati personali negli archivi siano mantenuti solo per il tempo strettamente necessario e successivamente cancellati automaticamente.
- – Verranno conservate le registrazioni di tutte le richieste degli interessati relative ai loro dati personali, nonché i registri di audit che documentano tutte le attività sugli archivi di backup contenenti dati personali. Ciò significa che gli utenti possono essere certi che i loro dati personali vengono sottoposti a backup in conformità ai principi GDPR di security-by-design-and-by-default e di minimizzazione dei dati e che i loro diritti, incluso il diritto all'oblio, saranno rispettati.
Come Acronis rispetta il diritto all'oblio quando agisce come titolare del trattamento dei dati personali
Acronis rispetterà i diritti di tutti gli interessati in relazione ai loro dati personali, incluso il diritto all'oblio, quando i dati non saranno più necessari per le finalità originarie o quando l'utente ritirerà il proprio consenso al trattamento. Quando Acronis riceve una richiesta di cancellazione da un cliente, eliminiamo i suoi dati personali (ad esempio nome, cognome, indirizzi postali, numeri di telefono) dai nostri sistemi di produzione entro 30 giorni, salvo sussista una base giuridica per il loro ulteriore trattamento.
Dalle nostre copie di backup dei dati personali in questione presenti negli archivi, i dati saranno eliminati non appena ciò sarà praticamente possibile, nella misura consentita dagli altri nostri obblighi di conservazione dei dati (ad esempio proteggere altri dati archiviati negli stessi archivi di backup o altri obblighi normativi e legali). Non appena tali obblighi saranno soddisfatti, elimineremo definitivamente i dati in questione il più rapidamente possibile.
Acronis conserverà inoltre i registri di audit che documentano la cronologia di tutte le operazioni sui dati personali dei clienti per il periodo necessario previsto dagli obblighi di legge. Alcuni elementi che l'utente può considerare propri dati personali, ad esempio i contributi nei forum di discussione della community o le recensioni, possono essere conservati in conformità alle condizioni del servizio fornito, che l'utente ha accettato al momento della pubblicazione. Acronis si impegnerà sempre a utilizzare tutti i mezzi disponibili per mantenere i dati personali al sicuro e inaccessibili a persone non autorizzate.
Conclusione
Che siate titolari, responsabili del trattamento o entrambi ai sensi del GDPR, soddisfare il diritto all'oblio degli interessati è piuttosto semplice: se i dati sono presenti nei sistemi di produzione, dovete eliminarli rapidamente. Le copie degli stessi dati archiviate nei backup possono tuttavia rappresentare un problema leggermente più complesso: anche queste devono essere eliminate il prima possibile, ma potreste al contempo avere altri obblighi che impongono di conservarle più a lungo.
Il modo più sicuro per evitare potenziali violazioni della conformità al regolamento e le relative pesanti sanzioni è seguire per i backup gli stessi principi generali del GDPR applicati ai dati personali nei sistemi di produzione:
- • Adottate misure ragionevoli per mantenere gli archivi di backup al sicuro da curiosi non autorizzati,
- • Non conservate gli archivi più a lungo di quanto sia realmente necessario,
- • Registrate e documentate le vostre politiche, procedure e operazioni effettive sugli archivi di backup, in modo da poter sempre dimostrare di aver agito in buona fede nel rispettare i diritti degli interessati riguardo ai loro dati personali archiviati nei backup.
Agite apertamente con gli utenti e spiegate perché i loro dati personali possono essere conservati più a lungo, come li manterrete al sicuro fino alla loro cancellazione e quando questa avverrà eventualmente.
Autore: James Slaby
Si segnala che questo articolo ha esclusivamente carattere informativo. Non è inteso né deve essere interpretato come consulenza legale. Non dovreste agire sulla base di questo articolo senza ulteriore consulenza legale o professionale.
Fonte: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
Autore dell’articolo: Redazione ZEBR.ai
