(Drugi deo od dva)
Opšta uredba Evropske unije o zaštiti ličnih podataka (GDPR) zvanično stupa na snagu 25. maja 2018. godine i nameće se pitanje prava na zaborav i uticaja na lične podatke sačuvane u arhivama rezervnih kopija. Ova pitanja smo razmatrali u prvom delu članka, a sada ćemo reći kako postupati s njima.
Zaključili smo da se pitanje poštovanja prava subjekta podataka na zaborav u arhivama rezervnih kopija može svesti na dva najvažnija pitanja:
- • Kako zaštititi podatke ako njihova kopija ostaje u arhivi rezervnih kopija?
- • Kako poštovati principe minimizacije podataka koje uvodi GDPR, odnosno čuvati samo neophodni minimum podataka tokom perioda u kojem su nam neophodno potrebni?
Najbolje prakse za postupanje s ličnim podacima
Acronis ima nekoliko najboljih praksi i funkcija proizvoda osmišljenih da pomognu partnerima (uključujući MSP-ove koji nude pravljenje rezervnih kopija kao uslugu na platformi Acronis Data Cloud) i njihovim korisnicima (kompanijama koje deluju kao rukovaoci ličnim podacima stanovnika EU) u ispunjavanju njihovih novih obaveza:
- • Gde god je to moguće, rukovaoci bi trebalo da organizuju rezervne kopije tako da za svaki subjekt podataka i njegove lične podatke postoji zasebna arhiva rezervnih kopija.
- – Ovo je idealno rešenje jer omogućava granularno brisanje ličnih podataka bez uticaja na evidenciju drugih osoba.
- – Nažalost, ovaj pristup je za većinu preduzeća teško primenljiv – lični podaci subjekata često su raspršeni kroz više aplikacija, lokacija, uređaja za skladištenje i rezervnih kopija.
- • Arhive rezervnih kopija trebalo bi zaštititi snažnim šifrovanjem kako ne bi mogle biti zloupotrebljene čak ni ako do njih dođu kriminalci.
- • Kada osoba zatraži brisanje svojih ličnih podataka, rukovalac bi trebalo da bude potpuno transparentan i otvoren u vezi sa daljim postupanjem s rezervnim kopijama:
- – Primarne instance njenih podataka u produkcionim sistemima biće izbrisane bez odlaganja.
- – Njeni lični podaci mogu ostati u arhivama rezervnih kopija nešto duže – bilo zato što je nemoguće izdvojiti pojedinačne lične podatke unutar arhive, bilo zato što rukovalac ima obavezu da podatke čuva duže zbog ugovornih, pravnih ili drugih regulatornih obaveza.
- – Osoba bi trebalo da dobije uverenje da njeni lični podaci neće biti vraćeni u produkcione sisteme (osim u nekim retkim slučajevima, kao što je potreba za oporavkom nakon prirodne katastrofe ili ozbiljnog bezbednosnog incidenta – u tim slučajevima rukovalac će preduzeti neophodne korake kako ne bi prekršio prvobitni zahtev i ponovo će izbrisati podatke iz primarne instance).
- – Arhive rezervnih kopija koje sadrže lične podatke biće zaštićene snažnim šifrovanjem kako ne bi mogle biti zloupotrebljene čak ni ako do njih dođu kriminalci.
- – Na snazi su pravila zadržavanja, podešena tako da se lični podaci u arhivama čuvaju samo onoliko dugo koliko je neophodno, a zatim se automatski brišu.
- – Evidencija svih zahteva subjekata podataka u vezi s njihovim ličnim podacima biće sačuvana, kao i revizorski dnevnici sa zapisima o svim aktivnostima s arhivama rezervnih kopija koje sadrže lične podatke. To znači da korisnici mogu biti sigurni da se njihovi lični podaci čuvaju u rezervnim kopijama u skladu s GDPR principima bezbednosti ugrađene u dizajn i po podrazumevanim postavkama, kao i minimizacije podataka, te da će njihova prava, uključujući pravo na zaborav, biti poštovana.
Kako Acronis poštuje pravo na zaborav kada je u ulozi rukovaoca ličnim podacima
Acronis će poštovati prava svih subjekata podataka u vezi s njihovim ličnim podacima, uključujući pravo na zaborav, kada podaci više nisu potrebni za njihove prvobitne svrhe ili kada korisnik povuče saglasnost za obradu. Kada korisnik zatraži brisanje od kompanije Acronis, izbrisaćemo njegove lične podatke (npr. ime, prezime, poštanske adrese, brojeve telefona) iz naših produkcionih sistema u roku od 30 dana, osim ako ne postoji pravni osnov za njihovu dalju obradu.
Iz naših rezervnih kopija predmetnih ličnih podataka u arhivama podaci će biti izbrisani čim to bude praktično izvodljivo, u meri u kojoj to dopuštaju naše druge obaveze zadržavanja podataka (npr. zaštita drugih podataka uskladištenih u istim arhivama rezervnih kopija ili druge regulatorne i zakonske obaveze). Čim te obaveze budu ispunjene, trajno ćemo izbrisati predmetne podatke što je pre moguće.
Acronis će takođe čuvati revizorske dnevnike koji dokumentuju istoriju svih operacija s ličnim podacima korisnika tokom perioda koji zahtevaju zakonske obaveze. Određene stavke koje korisnik može smatrati svojim ličnim podacima, npr. objave na forumima zajednice ili recenzije, mogu biti zadržane u skladu s uslovima pružene usluge s kojima se korisnik saglasio u trenutku njihovog objavljivanja. Acronis će se uvek truditi da iskoristi sva dostupna sredstva kako bi lični podaci ostali bezbedni i nedostupni neovlašćenim osobama.
Zaključak
Bilo da ste rukovalac, obrađivač ili ste prema GDPR-u oboje, ostvarivanje prava subjekata podataka na zaborav prilično je jednostavno: ako se podaci nalaze u produkcionim sistemima, morate ih brzo izbrisati. Kopije istih podataka uskladištene u arhivama rezervnih kopija mogu, međutim, predstavljati nešto složeniji problem: i njih morate izbrisati što je pre moguće, ali istovremeno možete imati (druge) obaveze da ih čuvate duže.
Najsigurniji način da izbegnete potencijalno kršenje propisa i povezane visoke kazne jeste da se pridržavate istih opštih GDPR principa za rezervne kopije kao i za lične podatke u produkcionim sistemima:
- • Preduzmite razumne korake da arhive rezervnih kopija budu zaštićene od neovlašćenih radoznalaca,
- • Ne čuvajte arhive duže nego što je zaista neophodno,
- • Vodite dnevnike i dokumentujte svoje politike, procedure i stvarne operacije s arhivama rezervnih kopija kako biste uvek mogli dokazati da ste postupali savesno u poštovanju prava subjekata podataka u vezi s njihovim ličnim podacima uskladištenim u rezervnim kopijama.
Postupajte otvoreno s korisnicima i objasnite zašto njihovi lični podaci mogu biti sačuvani duže, kako ćete ih čuvati bezbednim dok ne budu izbrisani i kada će se to eventualno dogoditi.
Autor: James Slaby
Napominjemo da je ovaj članak isključivo informativnog karaktera. Nije namenjen niti ga treba tumačiti kao pravni savet. Ne bi trebalo da postupate na osnovu ovog članka bez dodatnog pravnog ili drugog stručnog saveta.
Izvor: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/
Autor članka: Redakcija ZEBR.ai
