(Partea a doua din două)
Regulamentul general al Uniunii Europene privind protecția datelor cu caracter personal (GDPR) va intra oficial în vigoare la 25 mai 2018 și este firesc să ne punem întrebări despre dreptul de a fi uitat și impactul asupra datelor cu caracter personal stocate în arhivele de backup. Am analizat aceste întrebări în prima parte a articolului, iar acum vom vedea cum să le abordăm.
Am ajuns la concluzia că problematica respectării dreptului persoanei vizate de a fi uitată în arhivele de backup poate fi rezumată în două întrebări esențiale:
- • Cum pot fi protejate datele dacă o copie a acestora persistă într-o arhivă de backup?
- • Cum pot fi respectate principiile de minimizare a datelor prevăzute de GDPR, adică păstrarea doar a volumului minim necesar de date, pentru perioada în care avem neapărat nevoie de acestea?
Bune practici pentru gestionarea datelor cu caracter personal
Acronis are câteva bune practici și funcții de produs concepute pentru a ajuta partenerii (inclusiv MSP-urile care oferă backup ca serviciu pe platforma Acronis Data Cloud) și clienții acestora (companii care acționează în calitate de operatori de date cu caracter personal ale rezidenților UE) să își respecte noile obligații:
- • Acolo unde este posibil, operatorii ar trebui să organizeze backupurile astfel încât să existe o arhivă de backup separată pentru fiecare persoană vizată și datele sale cu caracter personal.
- – Aceasta este soluția ideală, deoarece permite ștergerea granulară a datelor cu caracter personal fără a afecta înregistrările altor persoane.
- – Din păcate, această abordare este dificil de implementat pentru majoritatea întreprinderilor – datele cu caracter personal ale persoanelor vizate sunt adesea dispersate în mai multe aplicații, locații, dispozitive de stocare și backupuri.
- • Arhivele de backup ar trebui securizate prin criptare puternică, astfel încât să nu poată fi utilizate abuziv nici dacă infractorii obțin acces la ele.
- • Atunci când o persoană solicită ștergerea datelor sale cu caracter personal, operatorul ar trebui să fie pe deplin transparent și deschis cu privire la procedura referitoare la backupuri:
- – Instanțele principale ale datelor sale din sistemele de producție vor fi șterse cu promptitudine.
- – Datele sale cu caracter personal pot rămâne în arhivele de backup pentru o perioadă puțin mai lungă – fie pentru că este imposibilă izolarea datelor individuale cu caracter personal în cadrul arhivei, fie pentru că operatorul are obligația de a păstra datele mai mult timp din cauza unor angajamente contractuale, legale sau de altă natură de reglementare.
- – Persoana ar trebui asigurată că datele sale cu caracter personal nu vor fi restaurate în sistemele de producție (cu excepția unor cazuri rare, cum ar fi necesitatea recuperării după un dezastru natural sau o încălcare gravă a securității – în aceste cazuri, operatorul va lua măsurile necesare pentru a nu încălca cererea inițială și va șterge din nou datele din instanța principală.
- – Arhivele de backup care conțin date cu caracter personal vor fi protejate prin criptare puternică, astfel încât să nu poată fi utilizate abuziv nici dacă infractorii obțin acces la ele.
- – Sunt aplicate reguli de retenție configurate astfel încât datele cu caracter personal din arhive să fie păstrate numai pe durata strict necesară, după care vor fi șterse automat.
- – Vor fi păstrate evidențe ale tuturor solicitărilor persoanelor vizate referitoare la datele lor cu caracter personal, precum și jurnale de audit cu înregistrări ale tuturor activităților asupra arhivelor de backup care conțin date cu caracter personal. Aceasta înseamnă că utilizatorii pot fi siguri că datele lor cu caracter personal sunt copiate de rezervă în conformitate cu principiile GDPR de security-by-design-and-by-default și de minimizare a datelor și că drepturile lor, inclusiv dreptul de a fi uitat, vor fi respectate.
Cum respectă Acronis dreptul de a fi uitat atunci când acționează ca operator de date cu caracter personal
Acronis va respecta drepturile tuturor persoanelor vizate cu privire la datele lor cu caracter personal, inclusiv dreptul de a fi uitat, atunci când datele nu mai sunt necesare pentru scopurile lor inițiale sau atunci când utilizatorul își retrage consimțământul pentru prelucrare. Când Acronis primește o solicitare de ștergere din partea unui client, vom șterge datele sale cu caracter personal (de exemplu, prenumele, numele, adresele poștale, numerele de telefon) din sistemele noastre de producție în termen de 30 de zile, dacă nu există un temei juridic pentru prelucrarea lor ulterioară.
Datele vor fi șterse din copiile noastre de rezervă ale datelor cu caracter personal respective din arhive imediat ce acest lucru va fi practic posibil, în măsura permisă de celelalte obligații de retenție a datelor (de exemplu, protejarea altor date stocate în aceleași arhive de backup sau alte obligații de reglementare și legale). După îndeplinirea acestor obligații, vom șterge definitiv datele respective cât mai repede posibil.
Acronis va păstra, de asemenea, jurnale de audit care documentează istoricul tuturor operațiunilor cu datele cu caracter personal ale clienților, pentru perioada necesară impusă de obligațiile legale. Anumite elemente pe care utilizatorul le poate considera datele sale cu caracter personal, de exemplu contribuțiile la forumurile de discuții ale comunității sau recenziile, pot fi păstrate în conformitate cu termenii serviciului furnizat, cu care utilizatorul respectiv a fost de acord în momentul publicării lor. Acronis va depune întotdeauna toate eforturile pentru a menține datele cu caracter personal în siguranță și inaccesibile persoanelor neautorizate.
Concluzie
Indiferent dacă sunteți operator, persoană împuternicită de operator sau sunteți ambele conform GDPR, îndeplinirea dreptului persoanelor vizate de a fi uitate este destul de simplă: dacă datele se află în sistemele de producție, trebuie să le ștergeți rapid. Cu toate acestea, copiile acelorași date stocate în arhivele de backup pot reprezenta o problemă puțin mai complicată: și acestea trebuie șterse cât mai repede posibil, însă este posibil să aveți simultan (alte) obligații de a le păstra mai mult timp.
Cea mai sigură modalitate de a evita o posibilă încălcare a regulamentului și amenzile substanțiale asociate este să respectați aceleași principii generale GDPR pentru backupuri ca și pentru datele cu caracter personal din sistemele de producție:
- • Luați măsuri rezonabile pentru a proteja arhivele de backup împotriva persoanelor neautorizate,
- • Nu păstrați arhivele mai mult decât este cu adevărat necesar,
- • Înregistrați și documentați politicile, procedurile și operațiunile efective cu arhivele de backup, astfel încât să puteți demonstra întotdeauna că ați acționat cu bună-credință în respectarea drepturilor persoanelor vizate referitoare la datele lor cu caracter personal stocate în backupuri.
Comunicați deschis cu utilizatorii și explicați de ce datele lor cu caracter personal pot fi păstrate mai mult timp, cum le veți păstra în siguranță până la ștergere și când va avea loc aceasta.
Autor: James Slaby
Rețineți că acest articol are doar caracter informativ. Nu este destinat și nu trebuie interpretat ca consultanță juridică. Nu ar trebui să acționați pe baza acestui articol fără consultanță juridică suplimentară sau alt sfat profesional.
Sursa: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
Autorul articolului: Redacția ZEBR.ai
