Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Szanowni Państwo,
zastanawiam się nad pewnymi technicznymi uwarunkowaniami realizacji wymagań RODO. Jako, że RODO daje każdemu prawo do "bycia zapomnianym", to jak się to ma wg Was do następujących technicznych problemów?

1. Każdy chyba system zarządzania bazą danych (np. MS SQL) zapisuje poza danymi znajdującymi się w bazie również plik tzw. Loga (np. w MS SQL jest to plik .ldf). Nawet gdy z systemu informatycznego usuniemy dane osobowe realizując prawo do bycia zapomnianym danej osoby, to z tych plików jesteśmy w stanie specjalnym narzędziem odczytać informację, że w tym i tym dniu usunięto z bazy danych dane konkretnej osoby - przy czym w logu pozostają informację jak te dane wyglądały wcześniej. Czy w takim przypadku gdy log jest zabezpieczony przed dostępem niepowołanych osób - niemniej jest w posiadaniu administratora danych, nadal ma miejsce przetwarzanie danych osobowych?
Analogiczne pytanie z kopią bazy danych (backup) - wykonywany cyklicznie, zapisywany i przechowywany chociażby w sejfie - niemniej cały czas umożliwiający odtworzenie danych "zapomnianej" osoby. Czy przechowywanie backupu nadal jest traktowane jako przetwarzanie danych osobowych?

2. Przypadek drugi: usuwamy na życzenie dane wybranej osoby z bazy marketingowej (osoba ta wyraziła jasno, że nie chce otrzymywać informacji handlowych i prosi o usunięcie jej danych z bazy). Za jakiś czas jednak dane tej osoby znowu trafiają do bazy - np. po przekazaniu nowych danych od innego podmiotu lub po zakupie bazy kontaktów handlowych. W naturalny sposób ponownie następuje kontakt z tą samą osobą (nie ma już w systemie historii wcześniejszych kontaktu z tą osobą, więc nie ma możliwości aby dojść do informacji mówiącej, że ta osoba nie życzy sobie kontaktów marketingowych). Co w takiej sytuacji? Czy administrator takiej bazy narusza tym samym prawo do bycia zapomnianym? (w skrajnym przypadku cyklicznie może dochodzić do przesyłania informacji osobie, która za każdym razem prosi o usunięcie swoich danych z bazy).
Czy też może jednak dane tej osoby nie powinny być w pełni usunięte z systemu? (gdyby pozostał np. numer telefonu z nazwiskiem, byłaby szansa przy próbie ponownego kontaktu dojścia do tego, że ta osoba nie życzy sobie dalszych kontaktów).

Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Masz interesujący opis profilu.

Przemysław N.:
1. Każdy chyba system zarządzania bazą danych (np. MS SQL) zapisuje poza danymi znajdującymi się w bazie również plik tzw. Loga (np. w MS SQL jest to plik .ldf). Nawet gdy z systemu informatycznego usuniemy dane osobowe realizując prawo do bycia zapomnianym danej osoby, to z tych plików jesteśmy w stanie specjalnym narzędziem odczytać informację, że w tym i tym dniu usunięto z bazy danych dane konkretnej osoby - przy czym w logu pozostają informację jak te dane wyglądały wcześniej. Czy w takim przypadku gdy log jest zabezpieczony przed dostępem niepowołanych osób - niemniej jest w posiadaniu administratora danych, nadal ma miejsce przetwarzanie danych osobowych?

Nie masz żadnych przepisów nakazujących przechowywanie logów przez określony czas?

Analogiczne pytanie z kopią bazy danych (backup) - wykonywany cyklicznie, zapisywany i przechowywany chociażby w sejfie - niemniej cały czas umożliwiający odtworzenie danych "zapomnianej" osoby. Czy przechowywanie backupu nadal jest traktowane jako przetwarzanie danych osobowych?

Literalnie patrząc - tak. Jak to rozwiązać ?- sam nie wiem.

2. Przypadek drugi: usuwamy na życzenie dane wybranej osoby z bazy marketingowej (osoba ta wyraziła jasno, że nie chce otrzymywać informacji handlowych i prosi o usunięcie jej danych z bazy). Za jakiś czas jednak dane tej osoby znowu trafiają do bazy - np. po przekazaniu nowych danych od innego podmiotu lub po zakupie bazy kontaktów handlowych.

Spełniając obowiązek informacyjny, podajecie źródło danych. Osoba ta ma możliwość usunąć swoje dane z bazy źródłowej. Po waszej stronie nie widzę naruszenia przepisów.

Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Prawo do bycia zapomnianym, nie jest prawem bezwzględnym. Musi być spełniona jedna z sześciu przesłanek legalizujących żądanie (art. 17.1. rodo). Istnieje również pięć wyłączeń (art. 17.3.). Patrz też motywy 65-67). To oznacza, że przy wniosku o 'bycie zapomnianym' należy dokładnie przeanalizować te przepisy.

Zakładając, że żądanie usunięcia danych osobowych spełnia wymogi rodo, można popatrzeć merytorycznie na przedstawione punkty.
1. Realizując żądanie usunięcia danych, ADO ma obowiązek ich trwałego usunięcia ze swoich wszystkich zasobów. Dotyczy to również kopii zapasowych czy logów (co to jest przetwarzanie stanowi art 4.2 rodo). Dostawca oprogramowania winien to umożliwić. W innym przypadku ADO będzie przetwarzał dane osobowe z wysokim ryzykiem naruszenia ich bezpieczeństwa. Wówczas, w przypadku pojawienia się żądania usunięcia danych, którego nie będzie mógł wykonać będzie musiał zgłosić naruszenie (art. 33 rodo), powiadomić osobę (art. 34 rodo). Winien liczyć się z odpowiedzialnością z art. 83.5b rodo w związku z art.17.

2. Usunięcie danych osobowych nie wiąże się z całkowitym usunięciem wszystkich danych osobowych. ADO usuwając dane osobowe na żądanie tej osoby, musi wiedzieć dane której osoby nie może u siebie posiadać. W tym celu ma prawo posiadać takie dane tej osoby, które są niezbędne dla wypełnienia tego obowiązku. W przypadku zakupów baz danych osobowych, SI winien posiadać funkcjonalność wychwycenia i usunięcia danych osobowych usuniętych na podstawie art.17 rodo.
Pozyskanie danych osobowych w sposób inny niż od osoby, której dotyczą wymusza poinformowanie jej (art.14 rodo), ale nie możecie tego dokonać gdyż żądanie usunięcia pozostaje w mocy. Nie dokonacie obowiązku informacyjnego - sankcja z art.83.5b w związku z art.14 rodo. Spełnicie obowiązek - sankcja z art.83.5b w związku z art.17 rodo. Skuteczną ochroną będzie usuwanie d.o. na etapie odbioru zakupionej bazy danych.

Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Radosław Z.:
Wówczas, w przypadku pojawienia się żądania usunięcia danych, którego nie będzie mógł wykonać będzie musiał zgłosić naruszenie (art. 33 rodo)

Naruszenie polegające na czym?

2. Usunięcie danych osobowych nie wiąże się z całkowitym usunięciem wszystkich danych osobowych. ADO usuwając dane osobowe na żądanie tej osoby, musi wiedzieć dane której osoby nie może u siebie posiadać. W tym celu ma prawo posiadać takie dane tej osoby, które są niezbędne dla wypełnienia tego obowiązku.

Wskażesz przepis Rodo, na którym się opierasz?

Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Paweł G.:
Naruszenie polegające na czym?

Zostało to wyjaśnione w pkt.1.

Wskażesz przepis Rodo, na którym się opierasz?

24.1.

Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?

Radosław Z.:
Wówczas, w przypadku pojawienia się żądania usunięcia danych,
którego nie będzie mógł wykonać
będzie musiał zgłosić naruszenie (art. 33 rodo)

Sprawdź definicję naruszenia ochrony danych, tj. co podlega zgłoszeniu.

Wskażesz przepis Rodo, na którym się opierasz?

24.1.

Słabe. Usunięcie danych to usunięcie. Trwałe.