Zawarłem umowę z klientem, którego kopie zapasowe danych osobowych były przechowywane w systemie informatycznym, regularnie backupowanym. Czy po rozwiązaniu umowy z klientem konieczne będzie usunięcie jego danych, w tym również ich kopii zapasowych?
Tomasz, Lublin
Pojęcie przetwarzania danych osobowych jest szerokie i mieści się w nim również tworzenie i przechowywanie kopii zapasowych danych osobowych. Należy przypomnieć, że legalność przetwarzania danych osobowych jest uzależniona od spełnienia przez administratora przesłanek zawartych w art. 23 ust. 1 ustawy o ochronie danych osobowych. Zgodnie z tym przepisem dopuszczalność przetwarzania danych jest uzależniona od wyrażenia na to zgody przez osobę, której dane dotyczą albo gdy jest to niezbędne dla zrealizowania uprawnienia lub spełnienia obowiązku wynikającego z przepisu prawa lub zawartej umowy, a więc np. w celu wykonania umowy. Z kolei art. 35 ustawy stanowi, że w razie utraty prawa do przetwarzania danych osobowych, administrator powinien je usunąć bez zbędnej zwłoki. Co w takiej sytuacji zrobić z kopiami zapasowymi?
Problem przetwarzania danych osobowych w kopii zapasowej systemu informatycznego w sytuacji, gdy odpadła podstawa przetwarzania danych w systemie, rozstrzygnął Naczelny Sąd Administracyjny w orzeczeniu o sygnaturze I OSK 633/08. Zdaniem NSA zaistnienie takiej sytuacji nakłada na przedsiębiorcę obowiązek usunięcia danych również z kopii zapasowych.
Z prawnego punktu widzenia należy pozytywnie ocenić rozstrzygnięcie Sądu. Niemniej jednak, rozsądnym wydawałoby się, że dla celów bezpieczeństwa powinna istnieć możliwość przechowywania kopii zapasowych danych osobowych, tak by w razie potrzeby w przyszłości możliwe było odtworzenie kopii. O ile bowiem usunięcie danych osobowych, co do których odpadła prawna podstawa do ich przetwarzania, nie jest procesem technicznie skomplikowanym i nie pociąga za sobą niebezpieczeństwa utraty czy utrudnienia dostępu do innych danych zbioru, o tyle usunięcie kopii zapasowych z backupu jest kłopotliwe zarówno praktycznie, jak i organizacyjnie. Taka operacja może przecież uniemożliwić odtworzenie danych w razie potrzeby.
Co ważne, w orzeczeniu NSA wyraźnie stwierdza, że należy usunąć konkretne dane (te, dla których odpadła podstawa prawna ich przetwarzania w systemie), natomiast pozostałe można przechowywać. W pewnych przypadkach takie działanie jest niemożliwe, np. gdy kopie zapasowe danych osobowych są przechowywane na nośnikach do odczytu. Będziemy mieli wtedy do czynienia z odczytaniem danych z kopii, usunięciem określonych danych i sporządzeniem ponownej kopii zapasowej, która nie jest już kopią systemu z momentu utrwalenia kopii. Jest bowiem kopią odczytanej i zmodyfikowanej kopii systemu, co doprowadza do naruszenia bezpieczeństwa informatycznego systemu przedsiębiorcy.
