Jak zrealizować obowiązek usunięcia danych z kopii zapasowych, kiedy klient będzie chciał skorzystać z nowego prawa do bycia zapomnianym?
Pojawienie się tego zapisu w RODO spędza sen z powiek większości pracowników działów IT. Bardzo często kopie zapasowe są przechowywane w sposób uniemożliwiający dostęp do poszczególnych elementów bazy danych. Możliwe jest tylko całościowe przywrócenie kopii bazy danych. Nierzadko zdarza się również, że kopia pochodzi z systemu, którego już nie utrzymujemy, a przechowywana jest tylko dlatego, że przepisy tego wymagają (niektóre dane kadrowe muszą być przechowywane do 50 lat). Jak w takich przypadkach spełnić powyższe wymaganie?
Rozwiązanie tego zagadnienia podaje dr Wojciech Wiewiórski obecnie pełniący funkcję zastępcy Europejskiego Inspektora Ochrony Danych, a wcześniej w latach 2010-2014 będący Generalnym Inspektorem Danych Osobowych w wywiadzie dla CRN. Dane najczęściej są poprawiane w bazie produkcyjnej a nie w jej kopiach. W momencie awarii i odtworzenia bazy danych, „stare” dane wracały i były przetwarzane niezgodnie z prawem. Jako rozwiązanie problemu rekomendowane jest wprowadzenia procedur, które pozwolą na rejestrację wprowadzonych zmian w momencie rozpoczęcia backupu. Kiedy dojdzie do odtworzenia kopii bazy, należy odpowiednimi metodami organizacyjnymi nanieść zmiany, które są odnotowane. Dopiero po wprowadzeniu aktualizacji można odtworzoną bazę z danymi osobowymi uznać i podłączyć jako produkcyjną.
Idąc tym tokiem rozumowania można przyjąć, że w momencie zgłoszenia wykonania prawa do bycia zapomnianym, nie powoduje to automatycznie wymogu modyfikacji kopii baz danych, a jedynie uruchomienie procedur rejestrujących wprowadzane zmiany.