(İki bölümlük yazının ilk bölümü)
Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) yaklaşıyor: geçiş tarihi resmî olarak 25 Mayıs 2018 olarak belirlendi. Önceki yazılarımızda yeni yükümlülüklerin ve rollerin çoğunu açıkladık, ancak bir konu hâlâ daha fazla ilgiyi hak ediyor: “unutulma hakkı” olarak adlandırılan hak.
Veri sorumlusu (verileri işleyen kişi veya kuruluş), GDPR kapsamında belirli koşullar altında veri sahiplerine (GDPR'de kişi için kullanılan özel terim) silme, diğer bir deyişle unutulma hakkını kullanma olanağı sunmakla yükümlüdür.
Bir AB vatandaşı unutulma hakkını kullandığında, veri sorumlusu elinde bulunan o kişiye ait tüm kişisel verileri silmelidir. Ancak hemen bir gri alan ortaya çıkar: veri sorumlusu farklı veri işleyenlerin hizmetlerinden yararlanıyorsa (örneğin üçüncü taraf bulut depolama sağlayıcıları) ve veri sahibine ait kişisel verilerin bir kısmı bu işleyenler tarafından saklanıyorsa, silmeden kim sorumludur: veri sorumlusu mu (veri sahibinin kişisel verilerini başlangıçta toplayan ve işleyen taraf) yoksa veri işleyen(ler) mi?
Veri sorumlusunun, veri sahibinin kişisel verilerine ilişkin haklarını kullanabilmesinden sorumlu olduğu açıktır. Bu haklar şunları içerir:
- • Erişim (veri sorumlusunun ve veri işleyenin ilgili kişi hakkında hangi kişisel verileri topladığını öğrenme olanağı)
- • Düzeltme (verilerdeki her türlü hatanın düzeltilmesini talep etme olanağı)
- • İşlemenin kısıtlanması
- • Taşınabilirlik
- • Silme
Veri sorumlusunun kullandığı her veri işleyen ayrıca, veri sahiplerinin haklarına uyulmasına yardımcı olmak amacıyla “uygun teknik ve organizasyonel önlemler” yoluyla ona destek vermekle yükümlüdür.
Kişiler, aşağıdaki durumlarda kişisel verilerinin silinmesini talep etme hakkına sahiptir:
- • Veriler, toplanma amaçları için artık gerekli değilse
- • Veri sahibi, verilerinin işlenmesine verdiği onayı geri çekerse ve daha fazla işleme için başka yasal gerekçeler yoksa; yani veri sorumlusu işleme için üstün ve meşru bir dayanak gösteremiyorsa
- • İşleme başka bir şekilde hukuka aykırıysa
Bunlar, veri sorumlusunun veri sahibinin silme talebine uyması gereken tüm koşullardır.
Birincil verilerden fazlası: unutulma hakkı ve veri yedekleri
Bir kişi unutulma hakkını kullandığında, kişisel verilerinin yedek kopyalarının da silinmesini muhtemelen bekler. Bu, veri sorumluları ve veri işleyenler için teknik bir sorun oluşturur. Veri sahibinin kişisel verileri, belirli bir şirketin kullandığı birçok uygulamaya (ör. CRM, otomatik pazarlama veya sipariş giriş sistemleri vb.) dağılmış ve çok sayıda yerel ya da bulut veri depolama alanına dağıtılmış olabilir. Tek tek uygulamalarla ilişkili yedekler ayrı arşivlerde bulunabilir. Ayrıca her yedek arşivi genellikle birçok başka uygulamadan ve birçok başka kullanıcıdan veri içerir.
Genellikle, özgün veriler ve yedek arşivleri; tek bir kişinin kişisel verilerinin, diğer uygulamaların ve kullanıcıların yedeklerini etkilemeden silinmesini pratikte imkânsız kılacak şekilde düzenlenir ve kasıtlı olarak yapılandırılır. Tek bir kullanıcının verilerinin silinmesi, diğer birçok kullanıcının verilerinin güvenliği açısından olumsuz sonuçlara yol açabilir ve böylece yedeklemenin sağladığı her türlü avantajı fiilen ortadan kaldırabilir.
Birbiriyle çelişen yükümlülükler arasında denge kurmak
Acronis, veri korumaya odaklanan bir şirket olduğundan, gelen bir silme talebi durumunda dahi yedekleri korumakla yükümlüdür. Ortaklarımızın ve müşterilerimizin yedek arşivlerinin saklandığı dünya çapında bir veri merkezleri ağı işletiyoruz. Ancak Acronis, veri merkezlerinde hangi verilerin saklandığını ya da bunların kişisel nitelikte mi yoksa başka türde mi olduğunu görmez.
Yedek arşivlerinin çoğunun silme talebine konu olacak kişisel veriler içerdiğini varsaysak bile, Acronis birçok durumda müşterilerimize ve ortaklarımıza karşı sözleşmesel veya yasal yükümlülükleri nedeniyle yedek arşivinin değiştirilmesine izin veremez. Bazı durumlarda bu, yedeklemenin temel işlevinin korunmasıyla ilgilidir: belirli bir zamanda alınmış doğru bir kopyadan kaybolan veya zarar gören verilerin geri yüklenmesine olanak sağlamak. Diğer durumlarda ise müşterilerimizin ve ortaklarımızın yedek arşivlerini korumamız gerekir; çünkü onlar kendi düzenleyici ve yasal yükümlülüklerine uymak için bu arşivlere dayanırlar.
Örneğin, devam eden bir davada e-keşif taleplerini karşılamak veya kayıtların saklanmasına ilişkin vergi ya da sektörel düzenlemelere uymak için kusursuz şekilde korunmuş yedeklere güvenebilirler. Bu tür durumlarda GDPR, başka gereklilikler öncelikli olduğundan kişisel verilerin silme talebi işlendikten hemen sonra yedeklerden kaldırılamayacağını kabul eder.
Geri yükleme sonrası yükümlülükler
Silme hakkına uyulmasındaki birincil sorumluluğun veri sorumlularına ait olduğunu unutmayın. Üretim sisteminin geri yüklenmesi, daha önce silinmiş verilerin yeniden sisteme alınmasına yol açabileceğinden, veri sorumlusu ek işlem yapmalı ve söz konusu verilerin geri yükleme sonrasında üretim sisteminden yeniden silinmesini sağlamalıdır.
Kullanıcının unutulma hakkına yedek arşivleri bağlamında uyma konusu iki soruyla özetlenebilir:
- • Bir kopyası yedek arşivinde kalmaya devam ediyorsa veriler nasıl korunur?
- • GDPR'nin ortaya koyduğu veri minimizasyonu ilkelerine, yani yalnızca kesinlikle ihtiyaç duyduğumuz süre boyunca gerekli olan asgari miktarda veriyi tutma ilkesine nasıl uyulur?
Acronis, GDPR'ye uyma zorunluluğundan kaynaklanan bu olağanüstü zorlukların üstesinden gelmelerine yardımcı olmak için ortaklara (Acronis Data Cloud platformunda hizmet olarak yedekleme sunan yönetilen hizmet sağlayıcıları dâhil) ve onların müşterilerine (AB vatandaşlarının kişisel verilerinden sorumlu şirketler) birkaç en iyi uygulama ve veri koruma ürünlerimiz ile hizmetlerimizde bulunan bazı yararlı özellikler sunar. Yardım amacıyla sunduğumuz bu önerileri ve teknolojileri, bu yazının ikinci bölümünde ele alacağız.
Yazar: James Slaby
Bu yazının yalnızca bilgilendirme amaçlı olduğunu lütfen unutmayın. Hukuki tavsiye niteliğinde değildir ve bu şekilde anlaşılmamalıdır. Ek hukuki veya başka bir profesyonel tavsiye almadan bu yazıya dayanarak hareket etmemelisiniz.
Kaynak: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-co-cekat/
Makale yazarı: ZEBR.ai editör ekibi
