GDPR kapsamında yedekleme ve “unutulma hakkı”: Öneriler

(İki bölümden ikincisi)

Avrupa Birliği Genel Veri Koruma Tüzüğü (GDPR) 25 Mayıs 2018 tarihinde resmen yürürlüğe girecek ve unutulma hakkı ile yedekleme arşivlerinde saklanan kişisel veriler üzerindeki etkisine ilişkin sorular sormak doğal. Bu soruları yazının ilk bölümünde inceledik; şimdi ise bunların nasıl ele alınacağını anlatacağız.

Yedekleme arşivlerinde veri sahibinin unutulma hakkına uyum konusunun en önemli iki soruda özetlenebileceği sonucuna vardık:

• • Bir kopyası yedekleme arşivinde kalmaya devam ediyorsa veriler nasıl korunmalıdır?
• • GDPR'nin getirdiği veri minimizasyonu ilkelerine, yani yalnızca gerekli olan asgari miktarda veriyi yalnızca gerçekten ihtiyaç duyduğumuz süre boyunca tutma ilkesine nasıl uyulur?

 

Kişisel verilerin işlenmesine yönelik en iyi uygulamalar

Acronis, ortaklarının (Acronis Data Cloud platformunda hizmet olarak yedekleme sunan MSP'ler dâhil) ve müşterilerinin (AB sakinlerinin kişisel verilerinin veri sorumlusu olarak hizmet veren şirketler) yeni yükümlülüklerine uymalarına yardımcı olmak üzere tasarlanmış çeşitli en iyi uygulamalara ve ürün özelliklerine sahiptir:

• • Mümkün olan yerlerde veri sorumluları, her veri sahibi ve onun kişisel verileri için ayrı bir yedekleme arşivi bulunacak şekilde yedeklemeleri düzenlemelidir.
  • – Bu ideal bir çözümdür; çünkü diğer kişilerin kayıtlarını etkilemeden kişisel verilerin ayrıntılı biçimde silinmesini sağlar.
  • – Ne yazık ki bu yaklaşımın çoğu işletme için uygulanması zordur; çünkü veri sahiplerinin kişisel verileri genellikle birden fazla uygulamaya, konuma, depolama cihazına ve yedeklemeye dağılmıştır.
• • Yedekleme arşivleri, suçluların eline geçseler bile kötüye kullanılamamaları için güçlü şifrelemeyle korunmalıdır.
• • Bir kişi kişisel verilerinin silinmesini talep ettiğinde, veri sorumlusu yedeklemelerle ilgili sonraki süreç konusunda tamamen şeffaf ve açık olmalıdır:
  • – Üretim sistemlerindeki verilerinin birincil örnekleri mümkün olan en kısa sürede silinecektir.
  • – Kişisel verileri yedekleme arşivlerinde biraz daha uzun süre kalabilir; bunun nedeni ya arşiv içindeki münferit kişisel verilerin ayrıştırılmasının imkânsız olması ya da veri sorumlusunun sözleşmesel, yasal veya diğer düzenleyici yükümlülükler nedeniyle verileri daha uzun süre saklamak zorunda olmasıdır.
  • – Kişiye, kişisel verilerinin üretim sistemlerine geri yüklenmeyeceği konusunda güvence verilmelidir (doğal afet sonrası veya ciddi bir güvenlik ihlali sonrasında kurtarma ihtiyacı gibi bazı nadir durumlar hariç – bu durumlarda veri sorumlusu, ilk talebi ihlal etmemek için gerekli adımları atacak ve verileri birincil örnekten tekrar silecektir.
  • – Kişisel veri içeren yedekleme arşivleri, suçluların eline geçseler bile kötüye kullanılamamaları için güçlü şifrelemeyle korunacaktır.
  • – Saklama kuralları uygulanmaktadır; bunlar kişisel verilerin arşivlerde yalnızca kesinlikle gerekli süre boyunca tutulmasını ve ardından otomatik olarak silinmesini sağlayacak şekilde ayarlanmıştır.
  • – Veri sahiplerinin kişisel verilerine ilişkin tüm taleplerinin kayıtları ve kişisel veri içeren yedekleme arşivleriyle ilgili tüm faaliyetlerin kayıtlarını içeren denetim günlükleri saklanacaktır. Bu, kullanıcıların kişisel verilerinin GDPR'nin tasarım ve varsayılan olarak güvenlik ile veri minimizasyonu ilkelerine uygun olarak yedeklendiğinden ve unutulma hakkı da dâhil olmak üzere haklarına uyulacağından emin olabilecekleri anlamına gelir.

 

Acronis, kişisel verilerin veri sorumlusu rolündeyken unutulma hakkına nasıl uyar?

Acronis, verilerin artık başlangıçtaki amaçları için gerekli olmaması veya kullanıcının işleme iznini geri çekmesi durumunda, unutulma hakkı dâhil olmak üzere tüm veri sahiplerinin kişisel verilerine ilişkin haklarına uyacaktır. Bir müşteri Acronis'ten silme talebinde bulunduğunda, daha fazla işleme için yasal bir dayanak olmadığı sürece kişisel verilerini (örneğin ad, soyad, posta adresleri, telefon numaraları) 30 gün içinde üretim sistemlerimizden sileriz.

Arşivlerdeki söz konusu kişisel verilerin yedek kopyalarından veriler, diğer veri saklama yükümlülüklerimizin izin verdiği ölçüde (örneğin aynı yedekleme arşivlerinde saklanan diğer verileri korumak veya diğer düzenleyici ve yasal yükümlülükler) pratik olarak mümkün olur olmaz silinecektir. Bu yükümlülükler yerine getirildiğinde, söz konusu verileri mümkün olan en kısa sürede kalıcı olarak sileriz.

Acronis ayrıca, müşterinin kişisel verileriyle yapılan tüm işlemlerin geçmişini belgeleyen denetim günlüklerini yasal yükümlülüklerin gerektirdiği süre boyunca saklayacaktır. Kullanıcının kişisel verisi olarak değerlendirebileceği bazı öğeler, örneğin topluluk tartışma forumlarındaki gönderiler veya incelemeler, ilgili kullanıcının bunları yayımladığı sırada kabul ettiği sunulan hizmetin koşullarına uygun olarak saklanabilir. Acronis, kişisel verileri her zaman güvenli ve yetkisiz kişilerin erişimine kapalı tutmak için mevcut tüm araçları kullanmaya çalışacaktır.

 

Sonuç

İster veri sorumlusu, ister veri işleyen olun ya da GDPR kapsamında her ikisi olun, veri sahiplerinin unutulma hakkını yerine getirmek oldukça doğrudandır: Veriler üretim sistemlerinde bulunuyorsa, bunları hızla silmelisiniz. Ancak yedekleme arşivlerinde saklanan aynı verilerin kopyaları biraz daha karmaşık bir sorun olabilir: Bunları da mümkün olan en kısa sürede silmeniz gerekir, ancak aynı zamanda bunları daha uzun süre saklama yönünde (başka) yükümlülükleriniz olabilir.

Tüzüğe uyumun olası ihlalinden ve bununla bağlantılı ağır para cezalarından kaçınmanın en güvenli yolu, yedeklemeler için de üretim sistemlerindeki kişisel veriler için geçerli olan aynı genel GDPR ilkelerine uymaktır:

• • Yedekleme arşivlerini yetkisiz meraklı gözlerden korumak için makul adımlar atın,
• • Arşivleri gerçekten kesinlikle gerekli olandan daha uzun süre saklamayın,
• • Yedekleme arşivlerine ilişkin ilkelerinizi, prosedürlerinizi ve fiili işlemlerinizi günlüğe kaydedin ve belgelendirin; böylece yedeklerde saklanan kişisel verilerine ilişkin veri sahiplerinin haklarına uyarken her zaman dürüstçe hareket ettiğinizi kanıtlayabilirsiniz.

Kullanıcılarla açık olun ve kişisel verilerinin neden daha uzun süre saklanabileceğini, silinene kadar nasıl güvenli tutulacağını ve bunun ne zaman gerçekleşeceğini açıklayın.

 

Yazar: James Slaby

 

Bu yazının yalnızca bilgilendirme amaçlı olduğunu lütfen unutmayın. Hukuki tavsiye niteliğinde değildir ve bu şekilde yorumlanmamalıdır. Bu yazıya dayanarak, ek hukuki veya başka bir profesyonel tavsiye almadan hareket etmemelisiniz.

Kaynak: https://www.acronis.cz/zalohovani-pravo-byt-zapomenut-v-gdpr-doporuceni/