(Prvi deo od dva)
Opšta uredba Evropske unije o zaštiti podataka o ličnosti (GDPR) je pred vratima: datum stupanja na snagu zvanično je određen za 25. maj 2018. U prethodnim objavama objasnili smo većinu novih obaveza i uloga, ali jedno pitanje i dalje zaslužuje više pažnje: takozvano „pravo na zaborav“.
Rukovalac podacima (osoba ili organizacija koja obrađuje podatke) prema GDPR-u je, pod određenim okolnostima, dužan da subjektima podataka (specifičan termin koji se u GDPR-u koristi za osobu) ponudi brisanje, odnosno mogućnost ostvarivanja prava na zaborav.
Kada građanin EU ostvari svoje pravo na zaborav, rukovalac podacima mora obrisati sve lične podatke o toj osobi kojima raspolaže. Međutim, odmah se pojavljuje siva zona: ako rukovalac koristi usluge različitih obrađivača (kao što su eksterni pružaoci skladištenja u oblaku) i deo ličnih podataka o subjektu čuvaju ti obrađivači, ko je odgovoran za brisanje: rukovalac (koji je prvobitno prikupio lične podatke subjekta i njima upravljao) ili obrađivač(i)?
Jasno je da je rukovalac odgovoran za mogućnost subjekta da ostvaruje svoja prava u vezi sa ličnim podacima, uključujući:
- • Pristup (mogućnost da sazna koje su lične podatke rukovalac i obrađivač prikupili o toj osobi)
- • Ispravku (mogućnost da zatraži ispravku bilo kakvih grešaka u podacima)
- • Ograničenje obrade
- • Prenosivost
- • Brisanje
Svaki obrađivač kojeg rukovalac koristi istovremeno je dužan da mu pomogne putem „odgovarajućih tehničkih i organizacionih mera“ kako bi se olakšalo poštovanje prava subjekata podataka.
Osobe imaju pravo da zatraže brisanje svojih ličnih podataka ako:
- • Podaci više nisu neophodni za svrhe za koje su prikupljeni
- • Subjekt podataka povuče pristanak na obradu svojih podataka i ne postoje drugi zakoniti razlozi za dalju obradu; odnosno, kada rukovalac ne može da dokaže pretežni, legitimni osnov za obradu
- • Obrada je na drugi način nezakonita
Ovo su svi uslovi pod kojima rukovalac mora da uvaži zahtev subjekta podataka za brisanje.
Više od primarnih podataka: pravo na zaborav i rezervne kopije podataka
Kada osoba ostvaruje svoje pravo na zaborav, verovatno očekuje da će biti izbrisane i rezervne kopije njenih ličnih podataka. To predstavlja tehnički problem za rukovaoce i obrađivače. Lični podaci subjekta mogu biti rasuti kroz mnoge aplikacije koje koristi određena kompanija (npr. CRM, sistemi za automatizaciju marketinga ili unos porudžbina itd.) i distribuirani u mnoga lokalna skladišta podataka, ali i skladišta u oblaku. Rezervne kopije povezane sa pojedinačnim aplikacijama mogu biti smeštene u odvojenim arhivama. Pored toga, svaka arhiva rezervnih kopija po pravilu sadrži podatke iz mnogih drugih aplikacija/o mnogim drugim korisnicima.
Obično su izvorni podaci i arhive rezervnih kopija organizovani i namenski podešeni tako da je brisanje ličnih podataka jedne osobe, bez uticaja na rezervne kopije drugih aplikacija i korisnika, praktično neizvodljivo. Brisanje podataka jednog korisnika može imati negativne posledice po bezbednost podataka mnogih drugih korisnika – i time efektivno poništiti bilo kakve prednosti koje je pravljenje rezervnih kopija donosilo.
Usklađivanje suprotstavljenih obaveza
Pošto je Acronis kompanija usmerena na zaštitu podataka, obavezna je da čuva rezervne kopije čak i u slučaju prijema zahteva za brisanje. Upravljamo globalnom mrežom data centara u kojima se čuvaju arhive rezervnih kopija naših partnera i klijenata. Međutim, Acronis ne vidi koji se podaci čuvaju u data centrima, niti da li su oni lični ili neke druge prirode.
Čak i kada bismo pretpostavili da većina arhiva rezervnih kopija sadrži lične podatke koji će biti predmet zahteva za brisanje, Acronis u mnogim slučajevima ne može dozvoliti izmenu arhive rezervnih kopija zbog ugovornih ili pravnih obaveza prema našim klijentima i partnerima. U nekim slučajevima reč je o očuvanju suštinske funkcije pravljenja rezervnih kopija: omogućavanju oporavka izgubljenih ili oštećenih podataka iz tačne kopije koja je napravljena u određenom trenutku. U drugim slučajevima moramo čuvati arhive rezervnih kopija naših klijenata i partnera jer se oni na njih oslanjaju radi ispunjavanja sopstvenih regulatornih i pravnih obaveza.
Na primer, mogu se oslanjati na potpuno očuvane rezervne kopije kako bi odgovorili na zahteve za e-discovery u toku sudskog postupka ili radi poštovanja poreskih ili industrijskih propisa o čuvanju evidencije. U takvim slučajevima GDPR priznaje da lični podaci ne mogu biti uklonjeni iz rezervnih kopija odmah nakon obrade zahteva za brisanje, jer druge obaveze imaju prednost.
Obaveze nakon oporavka
Imajte na umu da primarnu odgovornost za poštovanje prava na brisanje snose rukovaoci podacima. A pošto oporavak produkcionog sistema može dovesti do ponovnog uvođenja prethodno uklonjenih podataka, rukovalac mora preduzeti dodatne radnje i obezbediti da ti podaci nakon oporavka ponovo budu izbrisani iz produkcionog sistema.
Pitanje poštovanja prava korisnika na zaborav u vezi sa arhivama rezervnih kopija može se sažeti u dva pitanja:
- • Kako zaštititi podatke ako njihova kopija ostaje u arhivi rezervnih kopija?
- • Kako poštovati principe minimizacije podataka koje GDPR uvodi, odnosno čuvati samo neophodni minimum podataka tokom perioda u kojem su nam neophodni?
Acronis nudi nekoliko proverenih praksi – i nekoliko korisnih funkcija u našim proizvodima i uslugama za zaštitu podataka – koje će pomoći partnerima (uključujući pružaoce upravljanih usluga koji nude pravljenje rezervnih kopija kao uslugu na platformi Acronis Data Cloud) i njihovim klijentima (kompanijama koje imaju ulogu rukovalaca ličnim podacima građana EU) da savladaju ove izuzetne izazove koji proizlaze iz potrebe za poštovanjem GDPR-a. Ove preporuke i tehnologije koje nudimo kao pomoć razmotrićemo u drugom delu ove objave.
Autor: James Slaby
Napominjemo da je objava isključivo informativnog karaktera. Nije namenjena niti je treba tumačiti kao pravni savet. Ne bi trebalo da postupate na osnovu ove objave bez dodatnog pravnog ili drugog stručnog saveta.
Izvor: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Autor članka: Redakcija ZEBR.ai
