(Parte um de duas)
O Regulamento Geral sobre a Proteção de Dados (GDPR) da União Europeia está prestes a entrar em vigor: a data de transição está oficialmente definida para 25 de maio de 2018. Em publicações anteriores, explicamos a maioria das novas obrigações e funções, mas uma questão ainda merece mais atenção: o chamado “direito ao esquecimento”.
O controlador de dados (uma pessoa ou organização que processa dados) é obrigado, segundo o GDPR, em determinadas circunstâncias, a oferecer aos titulares dos dados (termo específico usado no GDPR para uma pessoa) a exclusão, ou seja, a possibilidade de exercer o direito ao esquecimento.
Quando um cidadão da UE exerce seu direito ao esquecimento, o controlador de dados deve apagar todos os dados pessoais dessa pessoa que possui. Porém, surge imediatamente uma área cinzenta: se o controlador utiliza os serviços de diferentes processadores (como provedores externos de armazenamento em nuvem) e parte dos dados pessoais do titular é armazenada por esses processadores, quem é responsável pela exclusão: o controlador (que originalmente coletou e tratou os dados pessoais do titular) ou o(s) processador(es)?
Está claro que o controlador é responsável por possibilitar que o titular exerça seus próprios direitos sobre os dados pessoais, incluindo:
- • Acesso (a possibilidade de saber quais dados pessoais o controlador e o processador coletaram sobre a pessoa)
- • Retificação (a possibilidade de solicitar a correção de quaisquer erros nos dados)
- • Restrição do processamento
- • Portabilidade
- • Exclusão
Todo processador utilizado pelo controlador também é obrigado a auxiliá-lo por meio de “medidas técnicas e organizacionais adequadas”, a fim de contribuir para o cumprimento dos direitos dos titulares dos dados.
As pessoas têm o direito de solicitar a exclusão de seus dados pessoais se:
- • Os dados já não forem necessários para as finalidades para as quais foram coletados
- • O titular dos dados retirar seu consentimento para o processamento de seus dados e não existirem outros motivos legais para continuar o processamento; ou seja, quando o controlador não puder demonstrar uma base legítima superior para o processamento
- • O processamento for ilegal por qualquer outro motivo
Essas são todas as condições sob as quais o controlador deve respeitar a solicitação de exclusão do titular dos dados.
Mais do que dados primários: o direito ao esquecimento e os backups de dados
Quando uma pessoa exerce seu direito ao esquecimento, provavelmente espera que as cópias de backup de seus dados pessoais também sejam excluídas. Isso representa um problema técnico para controladores e processadores. Os dados pessoais do titular podem estar dispersos por muitos aplicativos usados por uma determinada empresa (por exemplo, CRM, sistemas de automação de marketing ou entrada de pedidos etc.) e distribuídos entre muitos armazenamentos de dados locais e em nuvem. Os backups associados a aplicativos individuais podem estar localizados em arquivos separados. Além disso, cada arquivo de backup geralmente contém dados de muitos outros aplicativos e de muitos outros usuários.
Normalmente, os dados originais e os arquivos de backup são organizados e configurados especificamente de forma que a exclusão dos dados pessoais de uma única pessoa, sem afetar os backups de outros aplicativos e usuários, seja praticamente inviável. A exclusão dos dados de um único usuário pode ter consequências negativas para a segurança dos dados de muitos outros usuários — e, assim, pode efetivamente anular quaisquer benefícios trazidos pelo backup.
Equilíbrio entre obrigações conflitantes
Como a Acronis é uma empresa focada na proteção de dados, ela é obrigada a preservar backups mesmo quando recebe uma solicitação de exclusão. Operamos uma rede global de data centers nos quais são armazenados os arquivos de backup de nossos parceiros e clientes. No entanto, a Acronis não vê quais dados, nem se são pessoais ou de outra natureza, são armazenados nos data centers.
Mesmo que presumíssemos que a maioria dos arquivos de backup contém dados pessoais sujeitos a uma solicitação de exclusão, a Acronis não pode permitir a modificação do arquivo de backup em muitos casos devido a obrigações contratuais ou legais com nossos clientes e parceiros. Em alguns casos, trata-se de preservar a função inerente do backup: permitir a recuperação de dados perdidos ou corrompidos a partir de uma cópia exata criada em um momento específico. Em outros casos, devemos preservar os arquivos de backup de nossos clientes e parceiros porque eles dependem deles para cumprir suas próprias obrigações regulatórias e legais.
Por exemplo, eles podem depender de backups perfeitamente preservados para atender a solicitações de descoberta eletrônica em processos judiciais em andamento ou para cumprir regulamentações tributárias ou setoriais sobre retenção de registros. Nesses casos, o GDPR reconhece que os dados pessoais não podem ser removidos dos backups imediatamente após o processamento da solicitação de exclusão, pois outras exigências têm prioridade.
Obrigações após a recuperação
Tenha em mente que a responsabilidade primária pelo cumprimento do direito à exclusão é dos controladores de dados. E, como a recuperação de um sistema de produção pode levar à reintrodução de dados anteriormente removidos, o controlador deve tomar medidas adicionais e garantir que os dados em questão sejam excluídos novamente do sistema de produção após a recuperação.
A questão de respeitar o direito do usuário ao esquecimento em relação aos arquivos de backup pode ser resumida em duas perguntas:
- • Como proteger os dados se uma cópia deles permanece em um arquivo de backup?
- • Como cumprir os princípios de minimização de dados introduzidos pelo GDPR, ou seja, manter apenas o mínimo necessário de dados pelo período em que realmente precisamos deles?
Acronis oferece algumas práticas recomendadas — e vários recursos úteis em nossos produtos e serviços de proteção de dados — que ajudarão parceiros (incluindo provedores de serviços gerenciados que oferecem backup como serviço na plataforma Acronis Data Cloud) e seus clientes (empresas que atuam como controladores dos dados pessoais de cidadãos da UE) a superar esses desafios extraordinários decorrentes da necessidade de cumprir o GDPR. Abordaremos essas recomendações e tecnologias que oferecemos para ajudar na segunda parte desta publicação.
Autor: James Slaby
Observe que esta publicação tem caráter meramente informativo. Não se destina a ser, nem deve ser entendida como, aconselhamento jurídico. Você não deve agir com base nesta publicação sem orientação jurídica ou outro aconselhamento profissional adicional.
Fonte: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autor do artigo: Redação ZEBR.ai
