Czy kopia zapasowa to przetwarzanie danych osobowych?
Kopia zapasowa, czyli backup, to po prostu proces tworzenia kopii danych na wypadek utraty lub zniszczenia oryginalnych plików. Brzmi niewinnie, ale w praktyce jest to forma przechowywania informacji, a to już jest przetwarzanie danych osobowych. Dlatego wszystkie zasady RODO, które stosujesz na co dzień, dotyczą też Twoich kopii zapasowych. Dane w backupie podlegają dokładnie takim samym regulacjom jak te przetwarzane na bieżąco. Nie ma tu taryfy ulgowej. Jeśli w Twojej firmie ktoś zażąda usunięcia swoich danych, musisz je skasować także z kopii zapasowych, o ile nie masz innej podstawy prawnej do ich dalszego przetrzymywania. W praktyce oznacza to, że backup nie może być śmietnikiem, do którego wrzucasz wszystko bez kontroli. Co więcej, RODO wprost wymaga, żeby system miał zdolność szybkiego przywrócenia danych po awarii, a zabezpieczenia były regularnie testowane. Kopia zapasowa to nie tylko dysk w szafie, ale też procedura, o której istnieniu musisz pamiętać w dokumentacji. Jeśli zlecisz tworzenie backupów zewnętrznej firmie, konieczna będzie umowa powierzenia przetwarzania danych osobowych.Czy RODO w ogóle wymaga ode mnie tworzenia kopii zapasowych?
RODO nie zawiera ani jednego przepisu, który wprost nakazywałby tworzenie kopii zapasowych. Nie znajdziesz w nim słowa „backup” ani wskazania, co ile dni robić zapas. To jednak nie znaczy, że temat Cię nie dotyczy. Kopia zapasowa danych to forma przechowywania informacji, a przechowywanie jest przetwarzaniem danych osobowych. Skoro backup podlega RODO, to wszystkie zasady ochrony danych obowiązują także przy nim.
To właśnie ten przepis zobowiązuje administratora do stosowania środków bezpieczeństwa adekwatnych do poziomu ryzyka, w tym zdolności systemu do szybkiego przywrócenia dostępności danych po incydencie fizycznym lub technicznym. Innymi słowy: jeśli awaria dysku albo błąd pracownika sprawi, że znikną dane klientów, Ty musisz być w stanie je odtworzyć. Bez kopii zapasowej nie masz jak tego zrobić.
Do tego dochodzi wymóg regularnego testowania skuteczności zabezpieczeń. Samo zrobienie backupu to za mało, trzeba też sprawdzać, czy da się z niego odzyskać dane. Kopia, której nie przetestowałeś, istnieje tylko teoretycznie. W momencie awarii możesz odkryć, że pliki są uszkodzone albo że backup w ogóle się nie wykonał.
Pamiętaj też, że kopia zapasowa nie jest archiwum. Backup służy odtworzeniu danych po ich utracie, a archiwizacja to przechowywanie informacji po zrealizowaniu celu przetwarzania. To dwie różne rzeczy i mylenie ich prowadzi do bałaganu w okresach retencji. Administrator musi określić, jak długo trzyma dane zarówno w systemie, jak i w kopiach, i pilnować, żeby w backupie nie siedziały dane, których cel przetwarzania już wygasł.
Czym różni się kopia zapasowa od archiwum i dlaczego to ważne?
Kopia zapasowa i archiwum to dwie różne rzeczy, które w firmie łatwo pomylić. Backup, czyli kopia zapasowa danych, służy jednemu celowi: odtworzeniu plików po ich utracie lub zniszczeniu. Archiwizacja to coś innego, to dalsze przechowywanie informacji, które przestały być używane na co dzień, ale muszą zostać zachowane.
Ta różnica ma bezpośrednie przełożenie na obowiązki wynikające z RODO. Kopia zapasowa danych to forma przechowywania informacji, a to jest przetwarzanie danych osobowych. Oznacza to, że dane w backupie podlegają dokładnie takim samym regulacjom, jak te, z których korzystasz na bieżąco. Nie ma znaczenia, czy pliki leżą na serwerze, czy w chmurze, liczy się to, co z nimi robisz.
Architektura backupu ma też znaczenie dla bezpieczeństwa. Dane w kopii zapasowej powinny być takie same jak w oryginale, bez nadmiarowych informacji, na przykład tych, dla których minął już cel przetwarzania. Jeśli ktoś wycofa zgodę na przetwarzanie, a Ty nie masz innej podstawy prawnej, musisz usunąć jego dane także z kopii zapasowych. To częsty problem, bo systemy backupu potrafią przechowywać stare wersje plików przez długi czas.
Dlatego zanim zaczniesz myśleć o polityce backupu, odpowiedz sobie na pytanie: co dokładnie chcę osiągnąć? Jeśli chcesz móc szybko przywrócić działanie firmy po awarii, budujesz kopie zapasowe. Jeśli chcesz przechowywać dokumenty dla celów podatkowych, tworzysz archiwum. Te dwie rzeczy wymagają różnych procedur, różnych okresów retencji i różnych zabezpieczeń. Pomylenie ich na starcie oznacza, że cała reszta, czyli testowanie, szyfrowanie i kontrola dostępu, będzie oparta na błędnych założeniach.
Jak długo mogę trzymać dane w kopii zapasowej?
Kopia zapasowa to forma przetwarzania danych osobowych, więc podlega dokładnie tym samym zasadom RODO, co dane, z którymi pracujesz na co dzień. Nie ma tu wyjątku dla plików schowanych na dysku czy w chmurze. Administrator danych musi określić okresy retencji, czyli czas, przez który trzyma zarówno dane w systemie, jak i te w backupie. RODO nie narzuca jednego gotowego terminu ani jednej instrukcji dla wszystkich. Wymaga natomiast, żebyś stosował środki bezpieczeństwa odpowiednie do ryzyka, jakie wiąże się z przetwarzaniem. Z jednej strony chodzi o to, by szybko przywrócić dostęp po awarii, z drugiej o to, by nie trzymać danych dłużej, niż to konieczne. Dlatego czas przechowywania backupu wyznaczasz sam, ale musisz go uzasadnić. Najprościej przyjąć zasadę, że dane w kopii zapasowej kasujesz razem z całą kopią, gdy przestają być przydatne albo gdy wygasły podstawy przetwarzania wszystkich zawartych w niej informacji. Do tego momentu kopia pozostaje wyłączona z normalnego użytkowania i nie wolno jej wykorzystywać do niczego innego, niż odtworzenie danych po incydencie. Musi być też chroniona tak samo jak oryginał, na przykład przez szyfrowanie dysków. Uważaj też na żądania usunięcia danych. Jeśli ktoś poprosi o skasowanie swoich danych, a nie masz innej podstawy prawnej, musisz je usunąć także z kopii zapasowych. Ten obowiązek nie jest bezwzględny, bo może ci pomóc prawnie uzasadniony interes, ale w praktyce oznacza to, że Twoja polityka backupu powinna przewidywać, co robisz z takim żądaniem w przypadku starszych kopii.Jak zabezpieczyć samą kopię zapasową?
Kiedy myślisz o kopii zapasowej, zwykle widzisz w niej ratunek. To słuszne, ale RODO patrzy na nią inaczej. Backup to forma przechowywania informacji, a przechowywanie to przetwarzanie danych osobowych. Dlatego kopie zapasowe podlegają dokładnie tym samym zasadom, co dane, którymi posługujesz się na co dzień.
Z tego wynika pierwsza praktyczna konsekwencja: skoro kopia zapasowa danych zawiera dane osobowe, musisz chronić ją tak samo jak oryginał. Szyfrowanie dysków, oprogramowanie antywirusowe i zapory internetowe to podstawa. Ministerstwo Zdrowia idzie dalej i rekomenduje trzymanie kopii na nośnikach odłączonych od sieci, na przykład na taśmach magnetycznych odpornych na ransomware. Chodzi o to, żeby atak na Twoją firmę nie wykasował jednocześnie danych i ich zapasów.
Sam backup to jednak dopiero początek. RODO wymaga, żebyś regularnie testował, czy kopie w ogóle działają i czy jesteś w stanie szybko przywrócić dostęp do danych po awarii. Kopia, której nie sprawdziłeś, jest tylko teorią. W praktyce oznacza to harmonogram: raz na jakiś czas odtwarzasz dane z backupu i sprawdzasz, czy wszystko się zgadza.
Pamiętaj też o tym, czego w kopii być nie powinno. Dane, których cel przetwarzania już wygasł albo osoba wycofała zgodę, nie mogą dalej spoczywać w backupie. Jeśli klient zażąda usunięcia danych, musisz je skasować także z kopii zapasowych. Wyjątkiem jest sytuacja, gdy masz inną podstawę prawną do ich dalszego przechowywania albo kasujesz całą kopię po ustaniu przydatności. To nie jest pole do interpretacji, tylko obowiązek administratora danych.
