Kopie zapasowe a prawo do usunięcia danych: art. 17 RODO

Usunięcie danych a kopie zapasowe

Prawo do usunięcia danych z art. 17 RODO nie oznacza, że każde żądanie automatycznie zobowiązuje administratora do natychmiastowego trwałego skasowania każdej kopii w systemie backupowym. Trzeba zbadać podstawę żądania, ustawowe wyjątki oraz realną możliwość ograniczenia dalszego przetwarzania informacji w kopiach bezpieczeństwa. Konieczne jest rozróżnienie danych produkcyjnych, archiwum i kopii tworzonych na potrzeby odtworzenia systemu. Nie można natomiast powoływać się na techniczną trudność jako na uniwersalne wyłączenie praw osoby.

Procedura odtworzenia i ponownego usuwania

Organizacja powinna mieć proces zapewniający, że dane usunięte w systemie aktywnym nie powrócą bezpodstawnie po odtworzeniu kopii bezpieczeństwa. Ważne są harmonogram retencji, dostępność kopii, dokumentowanie czynności i ocena niezbędności przechowywania. Odpowiedź osobie składającej żądanie powinna wyjaśniać zakres wykonanych działań i rzeczywiste ograniczenia prawne. Sama deklaracja „dane są usunięte” nie wystarcza, jeśli nadal są dowolnie dostępne w wykorzystywanych operacyjnie systemach.

Przykład: żądanie usunięcia danych przed odtworzeniem backupu

Osoba skutecznie żąda usunięcia określonych danych z systemu operacyjnego, a kilka tygodni później organizacja musi odtworzyć kopię sprzed usunięcia. Bez odpowiedniej procedury historyczne dane mogą ponownie pojawić się w aktywnym środowisku i być wykorzystywane bez podstawy. Dlatego administrator powinien dokumentować decyzję o usunięciu, utrzymywać mechanizm ponownego wykonania usunięcia po odtworzeniu oraz określać retencję kopii zapasowych. Trzeba jednocześnie zbadać, czy żądanie rzeczywiście jest zasadne w świetle art. 17 RODO i czy istnieje obowiązek dalszego przechowywania pewnych informacji. Nie należy obiecywać natychmiastowego fizycznego skasowania wszystkich nośników, jeśli sposób wykonania żądania wymaga odrębnej analizy technologicznej i prawnej.

Podstawa oceny i kwalifikacja zdarzenia

Najpierw należy ocenić, czy żądanie usunięcia jest zasadne i czy nie zachodzi wyjątek przewidziany w art. 17 ust. 3 RODO, np. obowiązek prawny przechowywania lub potrzeba ustalenia, dochodzenia bądź obrony roszczeń. Żądanie usunięcia z systemu produkcyjnego i zasady przechowywania kopii mogą wymagać odrębnych działań.

Obowiązki organizacyjne i dowody

Kopie zapasowe powinny być objęte polityką retencji, kontrolą dostępu i okresowym nadpisywaniem. Gdy technicznie nie jest możliwe natychmiastowe selektywne usunięcie, administrator powinien ograniczyć dalsze wykorzystanie danych, kontrolować okres przechowywania i zapewnić ich usunięcie przy odtworzeniu, jeżeli obowiązek nadal istnieje.

Postępowanie praktyczne i konsekwencje

W odpowiedzi do osoby należy wyjaśnić zakres realizacji żądania bez ujawniania niepotrzebnych szczegółów infrastruktury bezpieczeństwa. W rejestrze działań trzeba utrwalić ocenę podstawy prawnej, decyzję, daty i procedurę usuwania danych z kopii.

Przykład zastosowania

Były klient żąda usunięcia danych, które nadal znajdują się w wersji zapasowej systemu. Firma ocenia podstawy retencji i ustala harmonogram nadpisania kopii.

Usunięcie danych w systemie głównym i w kopii zapasowej

Żądanie usunięcia danych na podstawie art. 17 RODO wymaga oceny ustawowych przesłanek oraz wyjątków, w tym obowiązku dalszego przechowywania na podstawie prawa lub potrzeby obrony roszczeń. Inaczej wygląda wymazanie rekordu z aktywnej bazy, a inaczej postępowanie z zaszyfrowaną kopią zapasową przeznaczoną do odtworzenia systemu po awarii. Administrator powinien zapewnić, by dane usunięte z systemu produkcyjnego nie wróciły bezpodstawnie po odtworzeniu kopii, oraz udokumentować sposób wykonania uprawnienia.

Retencja, przywracanie i prawa osoby

W praktyce potrzebna jest polityka rotacji kopii, ograniczenie dostępu, kontrola testów odtworzeniowych i mechanizm ponownego usuwania danych przywróconych podczas odzyskiwania systemu. Nie można ogólnie twierdzić, że kopie zapasowe są trwale wyłączone z RODO, ani że każda kopia musi być natychmiast fizycznie zniszczona bez oceny technicznej i prawnej. Odpowiedź dla osoby, której dane dotyczą, powinna rzetelnie wyjaśniać zakres wykonanych działań oraz ewentualną podstawę dalszego przechowywania w konkretnym systemie.

Sytuacja po otrzymaniu żądania usunięcia

Administrator otrzymuje prawidłowe żądanie usunięcia danych klienta, ale dysponuje kopiami zapasowymi, których selektywne modyfikowanie mogłoby naruszyć integralność całego zbioru. Należy zbadać podstawę żądania, obowiązki retencji oraz techniczne możliwości ograniczenia użycia kopii. Nie jest dopuszczalne przedstawianie niemożności natychmiastowego usunięcia pojedynczego rekordu jako automatycznego wyłączenia art. 17 RODO. Konieczna jest udokumentowana procedura zapewniająca, że dane nie będą dowolnie dalej przetwarzane.

Odtworzenie systemu i zapobieganie przywróceniu danych

Przy ponownym uruchomieniu systemu z kopii backupowej może dojść do odtworzenia wcześniej usuniętych informacji. Proces odzyskiwania powinien więc przewidywać ponowne wykonanie prawidłowo zrealizowanych żądań albo inny mechanizm zapobiegający ich bezpodstawnemu użyciu. Znaczenie mają okresy retencji kopii, możliwość audytu oraz dokumentacja wykonanych czynności. Należy też odpowiednio informować osobę o zakresie zrealizowanego żądania.

Podstawa prawna

Art. 17, 5 ust. 2 i 32 RODO. Urzędowy tekst rozporządzenia jest dostępny w EUR-Lex, a zakres stosowania należy zestawić z faktami i właściwymi regulacjami sektorowymi.