(Część pierwsza z dwóch)
Ogólne rozporządzenie o ochronie danych osobowych (GDPR) Unii Europejskiej jest już blisko: data wejścia w życie została oficjalnie wyznaczona na 25 maja 2018 r. W poprzednich wpisach wyjaśniliśmy większość nowych obowiązków i ról, ale jedna kwestia nadal zasługuje na więcej uwagi: tak zwane „prawo do bycia zapomnianym”.
Administrator danych (osoba lub organizacja przetwarzająca dane) jest zgodnie z GDPR zobowiązany w określonych okolicznościach zaoferować osobom, których dane dotyczą (specyficzny termin używany w GDPR w odniesieniu do osoby) usunięcie danych, czyli możliwość skorzystania z prawa do bycia zapomnianym.
Gdy obywatel UE skorzysta z prawa do bycia zapomnianym, administrator danych musi usunąć wszystkie posiadane dane osobowe dotyczące danej osoby. Od razu pojawia się jednak szara strefa: jeśli administrator korzysta z usług różnych podmiotów przetwarzających (na przykład zewnętrznych dostawców pamięci masowej w chmurze), a część danych osobowych osoby, której dane dotyczą, jest przechowywana przez tych podmiotów, kto odpowiada za usunięcie danych: administrator (który pierwotnie zebrał dane osobowe osoby, której dane dotyczą, i nimi zarządzał) czy podmiot(y) przetwarzający(e)?
Jasne jest, że administrator odpowiada za możliwość skorzystania przez osobę, której dane dotyczą, z jej praw dotyczących danych osobowych, w tym:
- • Dostępu (możliwość dowiedzenia się, jakie dane osobowe administrator i podmiot przetwarzający zgromadzili na temat danej osoby)
- • Sprostowania (możliwość żądania poprawienia wszelkich błędów w danych)
- • Ograniczenia przetwarzania
- • Przenoszenia
- • Usunięcia
Każdy podmiot przetwarzający wykorzystywany przez administratora jest jednocześnie zobowiązany wspierać go poprzez „odpowiednie środki techniczne i organizacyjne”, aby pomóc w przestrzeganiu praw osób, których dane dotyczą.
Osoby mają prawo żądać usunięcia swoich danych osobowych, jeśli:
- • Dane nie są już niezbędne do celów, dla których zostały zebrane
- • Osoba, której dane dotyczą, wycofa zgodę na przetwarzanie swoich danych, a jednocześnie nie istnieją inne prawne podstawy dalszego przetwarzania; czyli gdy administrator nie może wykazać nadrzędnej, uzasadnionej podstawy przetwarzania
- • Przetwarzanie jest w inny sposób niezgodne z prawem
To wszystkie warunki, w których administrator musi uwzględnić żądanie usunięcia danych złożone przez osobę, której dane dotyczą.
Więcej niż tylko dane podstawowe: prawo do bycia zapomnianym a kopie zapasowe danych
Gdy osoba korzysta z prawa do bycia zapomnianą, prawdopodobnie oczekuje, że usunięte zostaną również kopie zapasowe jej danych osobowych. Stanowi to techniczny problem dla administratorów i podmiotów przetwarzających. Dane osobowe osoby, której dane dotyczą, mogą być rozproszone w wielu aplikacjach używanych przez daną firmę (np. CRM, systemach automatyzacji marketingu lub realizacji zamówień itd.) i rozdystrybuowane do wielu lokalnych oraz chmurowych magazynów danych. Kopie zapasowe związane z poszczególnymi aplikacjami mogą znajdować się w oddzielnych archiwach. Ponadto każde archiwum kopii zapasowej zwykle zawiera dane z wielu innych aplikacji lub dotyczące wielu innych użytkowników.
Zwykle dane źródłowe i archiwa kopii zapasowych są organizowane oraz celowo konfigurowane w taki sposób, że usunięcie danych osobowych jednej osoby bez wpływu na kopie zapasowe innych aplikacji i użytkowników jest praktycznie niewykonalne. Usunięcie danych jednego użytkownika może mieć negatywne konsekwencje dla bezpieczeństwa danych wielu innych użytkowników – a tym samym skutecznie zniwelować wszelkie korzyści, jakie zapewniało tworzenie kopii zapasowych.
Równoważenie konkurujących obowiązków
Ponieważ Acronis jest firmą skoncentrowaną na ochronie danych, ma obowiązek zachowywać kopie zapasowe nawet w przypadku otrzymania żądania usunięcia danych. Prowadzimy globalną sieć centrów danych, w których przechowywane są archiwa kopii zapasowych naszych partnerów i klientów. Acronis nie widzi jednak, jakie dane są przechowywane w centrach danych ani czy są to dane osobowe czy dane innego rodzaju.
Nawet gdybyśmy założyli, że większość archiwów kopii zapasowych zawiera dane osobowe, które będą przedmiotem żądania usunięcia, Acronis w wielu przypadkach nie może zezwolić na modyfikację archiwum kopii zapasowej z powodu zobowiązań umownych lub prawnych wobec naszych klientów i partnerów. W niektórych przypadkach chodzi o zachowanie podstawowej funkcji tworzenia kopii zapasowych: umożliwienie odzyskania utraconych lub uszkodzonych danych z dokładnej kopii utworzonej w określonym momencie. W innych przypadkach musimy zachowywać archiwa kopii zapasowych naszych klientów i partnerów, ponieważ polegają na nich w celu spełnienia własnych obowiązków regulacyjnych i prawnych.
Na przykład mogą polegać na nienaruszonych kopiach zapasowych w celu realizacji żądań e-discovery w toczącym się postępowaniu sądowym lub w celu przestrzegania regulacji podatkowych czy branżowych dotyczących przechowywania dokumentacji. W takich przypadkach GDPR uznaje, że dane osobowe nie mogą zostać usunięte z kopii zapasowych natychmiast po przetworzeniu żądania usunięcia, ponieważ pierwszeństwo mają inne wymogi.
Obowiązki po odzyskaniu danych
Należy pamiętać, że podstawową odpowiedzialność za przestrzeganie prawa do usunięcia danych ponoszą administratorzy danych. A ponieważ odzyskanie systemu produkcyjnego może prowadzić do ponownego wprowadzenia wcześniej usuniętych danych, administrator musi podjąć dodatkowe działania i zapewnić, że dane te zostaną ponownie usunięte z systemu produkcyjnego po odzyskaniu.
Kwestię przestrzegania prawa użytkownika do bycia zapomnianym w kontekście archiwów kopii zapasowych można podsumować w dwóch pytaniach:
- • Jak chronić dane, jeśli ich kopia nadal istnieje w archiwum kopii zapasowej?
- • Jak przestrzegać zasad minimalizacji danych, które wprowadza GDPR, czyli przechowywać jedynie niezbędne minimum danych przez okres, w którym są one koniecznie potrzebne?
Acronis oferuje kilka sprawdzonych praktyk – oraz kilka przydatnych funkcji w naszych produktach i usługach ochrony danych – które pomogą partnerom (w tym dostawcom usług zarządzanych oferującym tworzenie kopii zapasowych jako usługę na platformie Acronis Data Cloud) oraz ich klientom (firmom pełniącym rolę administratorów danych osobowych obywateli UE) sprostać tym niezwykłym wyzwaniom wynikającym z konieczności przestrzegania GDPR. Te zalecenia i technologie, które oferujemy jako pomoc, omówimy w drugiej części tego wpisu.
Autor: James Slaby
Informujemy, że wpis ma wyłącznie charakter informacyjny. Nie jest i nie powinien być rozumiany jako porada prawna. Nie należy postępować na podstawie tego wpisu bez uzyskania dodatkowej porady prawnej lub innej profesjonalnej porady.
Źródło: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autor artykułu: Redakcja ZEBR.ai
