(Prima parte din două)
Regulamentul general privind protecția datelor (GDPR) al Uniunii Europene este iminent: data de aplicare este stabilită oficial pentru 25 mai 2018. În postările anterioare am explicat majoritatea noilor obligații și roluri, însă o întrebare merită în continuare mai multă atenție: așa-numitul „drept de a fi uitat”.
Operatorul de date (persoana sau organizația care prelucrează date) este obligat, în anumite circumstanțe, conform GDPR, să ofere persoanelor vizate (termenul specific utilizat în GDPR pentru o persoană) ștergerea datelor, adică posibilitatea de a-și exercita dreptul de a fi uitat.
Atunci când un cetățean al UE își exercită dreptul de a fi uitat, operatorul de date trebuie să șteargă toate datele cu caracter personal despre persoana respectivă pe care le deține. Însă apare imediat o zonă gri: dacă operatorul utilizează serviciile unor persoane împuternicite diferite (cum ar fi furnizori externi de stocare în cloud) și o parte din datele cu caracter personal ale persoanei vizate sunt stocate de aceste persoane împuternicite, cine este responsabil pentru ștergere: operatorul (care a colectat și a gestionat inițial datele cu caracter personal ale persoanei vizate) sau persoana/persoanele împuternicite?
Este clar că operatorul este responsabil pentru posibilitatea persoanei vizate de a-și exercita propriile drepturi privind datele cu caracter personal, inclusiv:
- • Accesul (posibilitatea de a afla ce date cu caracter personal au colectat operatorul și persoana împuternicită despre persoana respectivă)
- • Rectificarea (posibilitatea de a solicita corectarea oricăror erori din date)
- • Restricționarea prelucrării
- • Portabilitatea
- • Ștergerea
Fiecare persoană împuternicită utilizată de operator este, de asemenea, obligată să îl asiste prin „măsuri tehnice și organizatorice adecvate”, pentru a contribui la respectarea drepturilor persoanelor vizate.
Persoanele au dreptul să solicite ștergerea datelor lor cu caracter personal dacă:
- • Datele nu mai sunt necesare pentru scopurile pentru care au fost colectate
- • Persoana vizată își retrage consimțământul pentru prelucrarea datelor sale și nu există alte motive legale pentru continuarea prelucrării; adică atunci când operatorul nu poate demonstra un temei legitim superior pentru prelucrare
- • Prelucrarea este în alt mod ilegală
Acestea sunt toate condițiile în care operatorul trebuie să respecte cererea de ștergere a persoanei vizate.
Mai mult decât datele primare: dreptul de a fi uitat și backupurile de date
Atunci când o persoană își exercită dreptul de a fi uitată, probabil se așteaptă ca și copiile de rezervă ale datelor sale cu caracter personal să fie șterse. Aceasta reprezintă o problemă tehnică pentru operatori și persoanele împuternicite. Datele cu caracter personal ale persoanei vizate pot fi răspândite în multe aplicații utilizate de o anumită companie (de exemplu CRM, sisteme de automatizare a marketingului sau de introducere a comenzilor etc.) și distribuite în numeroase spații de stocare locale și cloud. Backupurile asociate aplicațiilor individuale pot fi păstrate în arhive separate. În plus, fiecare arhivă de backup conține de regulă date din multe alte aplicații/despre mulți alți utilizatori.
De obicei, datele originale și arhivele de backup sunt organizate și configurate intenționat astfel încât ștergerea datelor cu caracter personal ale unei singure persoane, fără impact asupra backupurilor altor aplicații și utilizatori, este practic imposibil de realizat. Ștergerea datelor unui singur utilizator poate avea consecințe negative asupra securității datelor multor alți utilizatori – și poate anula efectiv orice beneficii oferite de backup.
Echilibrarea obligațiilor concurente
Deoarece Acronis este o companie axată pe protecția datelor, are obligația de a păstra backupurile chiar și în cazul primirii unei cereri de ștergere. Operăm o rețea globală de centre de date în care sunt stocate arhivele de backup ale partenerilor și clienților noștri. Totuși, Acronis nu vede ce date sunt stocate în centrele de date și nici dacă acestea sunt date cu caracter personal sau de altă natură.
Chiar dacă am presupune că majoritatea arhivelor de backup conțin date cu caracter personal care vor face obiectul unei cereri de ștergere, Acronis nu poate permite în multe cazuri modificarea arhivei de backup din cauza obligațiilor contractuale sau legale față de clienții și partenerii noștri. În unele cazuri, este vorba despre menținerea funcției inerente a backupului: posibilitatea de a restaura date pierdute sau deteriorate dintr-o copie exactă realizată la un moment specific. În alte cazuri, trebuie să păstrăm arhivele de backup ale clienților și partenerilor noștri deoarece aceștia se bazează pe ele pentru respectarea propriilor obligații de reglementare și legale.
De exemplu, aceștia se pot baza pe backupuri păstrate perfect pentru a răspunde solicitărilor de e-discovery într-un litigiu în curs sau pentru respectarea reglementărilor fiscale ori de industrie privind păstrarea evidențelor. În astfel de cazuri, GDPR recunoaște că datele cu caracter personal nu pot fi eliminate din backupuri imediat după procesarea cererii de ștergere, deoarece alte cerințe au prioritate.
Obligații după restaurare
Rețineți că responsabilitatea principală pentru respectarea dreptului la ștergere revine operatorilor de date. Și, deoarece restaurarea unui sistem de producție poate duce la reintroducerea datelor eliminate anterior, operatorul trebuie să depună eforturi suplimentare și să se asigure că datele respective sunt șterse din nou din sistemul de producție după restaurare.
Problematica respectării dreptului utilizatorului de a fi uitat în legătură cu arhivele de backup poate fi rezumată în două întrebări:
- • Cum protejăm datele dacă o copie a acestora persistă într-o arhivă de backup?
- • Cum respectăm principiile de minimizare a datelor introduse de GDPR, adică păstrăm doar minimumul necesar de date pentru perioada în care avem nevoie în mod necesar de ele?
Acronis oferă câteva practici recomandate – și mai multe funcții utile în produsele și serviciile noastre de protecție a datelor – care vor ajuta partenerii (inclusiv furnizorii de servicii administrate care oferă backup ca serviciu pe platforma Acronis Data Cloud) și clienții acestora (companiile care îndeplinesc rolul de operatori ai datelor cu caracter personal ale cetățenilor UE) să depășească aceste provocări extraordinare apărute din necesitatea respectării GDPR. Aceste recomandări și tehnologiile pe care le oferim ca ajutor le vom discuta în partea a doua a acestei postări.
Autor: James Slaby
Vă atragem atenția că această postare are doar caracter informativ. Nu este destinată și nu trebuie interpretată ca consultanță juridică. Nu ar trebui să acționați pe baza acestei postări fără consultanță juridică suplimentară sau alte recomandări profesionale.
Sursa: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autorul articolului: Redacția ZEBR.ai
