Njemački kupac zatražio je brisanje svih osobnih podataka koje posjeduje tvrtka, što je izazvalo pravni sukob između zakona o zaštiti podataka i zahtjeva za sigurnost informacija. Situacija naglašava napetost između Opće uredbe o zaštiti podataka (GDPR) i potrebe za sigurnim praksama upravljanja podacima. Prema opisanom slučaju, kupac je u utorak ujutro poslao e-mail u kojem je zatražio brisanje svojih podataka. Iako je tvrtka brzo izbrisala relevantni unos iz sustava upravljanja odnosima s kupcima (CRM), podaci su već bili podržani preko noći na više traka.
S jedne strane, postoji pravo na brisanje prema članku 17. GDPR-a, koje pojedincima omogućuje da zatraže brisanje svojih osobnih podataka. To je podržano načelom ograničenog pohranjivanja prema članku 5. koji kaže da se osobni podaci trebaju čuvati samo onoliko dugo koliko je potrebno za svrhu obrade.
Ako se taj cilj završi, na primjer prekidajući pretplatu na bilten, podaci prikupljeni u tu svrhu moraju se izbrisati. S druge strane postoji zahtjev za sigurnost informacija. Poduzeća koja djeluju u okviru sustava upravljanja sigurnosom informacija (ISMS), kao što su one certificirane od strane Bundesamt für Sicherheit in der Informationstechnik (BSI) ili ISO / IEC 27001, dužna su održavati sigurnosne kopije i prikupljati dnevnice.
Ova dilema predstavlja izazov za organizacije koje koriste standardnu tehnologiju. Gotovo je nemoguće izbrisati određene osobne podatke uz osiguravanje da su sigurnosne kopije i dnevnici ostali netaknuti. Situacija naglašava složenost usklađivanja s propisima o zaštiti podataka i sigurnosti informacija istovremeno. Slučaj ilustrira širi problem s kojim se suočavaju mnoge tvrtke. Kada korisnik ostvaruje svoje pravo na brisanje, očekuje se da će svi tragovi njegovih podataka biti uklonjeni.
Međutim, održavanje operativnog integriteta zahtijeva zadržavanje kopija podataka u svrhu oporavka. To stvara sukob koji je teško riješiti trenutnim alatima i procesima. Pravni stručnjaci su primijetili da nema jasnih smjernica o tome kako se nositi s takvim scenarijima. Europski odbor za zaštitu podataka (EDPB) je izdao smjernice, ali se više usredotočuju na opća načela nego na specifična tehnička rješenja. Kao rezultat toga, tvrtke se često nalaze u sivoj zoni, balansirajući usklađenost s praktičnim ograničenjima. Kao odgovor na takve slučajeve, neke tvrtke počele su istraživati alternativne pristupe.
Na primjer, oni bi mogli implementirati sustave koji omogućuju selektivno brisanje bez ugrožavanja integriteta sigurnosnih kopija. Drugi rade s pravnim savjetnicima na razvoju politika koje razjašnjavaju kako upravljati tim sukobima. Međutim, ove mjere se još uvijek razvijaju, a još uvijek nema opće prihvaćeno rješenje. Kako se rasprava nastavlja, ključni dionici, uključujući regulatore, pravne stručnjake i IT menadžere, vjerojatno će vidjeti povećanu provjeru. Rezultat ovog konkretnog slučaja mogao bi utjecati na buduće tumačenja GDPR-a i oblikovati najbolje prakse za upravljanje podacima.
Do tada, izazov ostaje: kako poštovati prava pojedinaca i istovremeno zaštititi pouzdanost kritičnih sustava.
★
Neka vijesti ostanu poštene.
ObjectiveNews financiraju čitatelji i bez oglasa je – pristranost vam pokazujemo, ne skrivamo. Podržite neovisno novinarstvo za 4 €/mjesec.
Postani podupiratelj
Germany
