Source: https://www.goldenline.pl/grupy/Pozostale/abi/2-przypadki-jak-do-nich-podejsc-zgodnie-z-rodo,3805770/
Timestamp: 2017-11-17 19:13:23+00:00
Document Index: 95604234

Matched Legal Cases: ['art. 17', 'art. 17', 'art 4', 'art. 33', 'art. 34', 'art. 83', 'art.17', 'art.17', 'art.14', 'art.83', 'art.14', 'art.83', 'art.17', 'art. 33', 'art. 33']

2 przypadki - jak do nich podejść zgodnie z RODO? - forum ABI - GoldenLine.pl
Grupy » Pozostałe » ABI » 2 przypadki - jak do nich podejść zgodnie z RODO?
2 przypadki - jak do nich podejść zgodnie z RODO?
2 przypadki - jak do nich podejść zgodnie...
Przemysław N. łączę świat IT z
światem zwykłych
Temat: 2 przypadki - jak do nich podejść zgodnie z RODO?
zastanawiam się nad pewnymi technicznymi uwarunkowaniami realizacji wymagań RODO. Jako, że RODO daje każdemu prawo do "bycia zapomnianym", to jak się to ma wg Was do następujących technicznych problemów?
1. Każdy chyba system zarządzania bazą danych (np. MS SQL) zapisuje poza danymi znajdującymi się w bazie również plik tzw. Loga (np. w MS SQL jest to plik .ldf). Nawet gdy z systemu informatycznego usuniemy dane osobowe realizując prawo do bycia zapomnianym danej osoby, to z tych plików jesteśmy w stanie specjalnym narzędziem odczytać informację, że w tym i tym dniu usunięto z bazy danych dane konkretnej osoby - przy czym w logu pozostają informację jak te dane wyglądały wcześniej. Czy w takim przypadku gdy log jest zabezpieczony przed dostępem niepowołanych osób - niemniej jest w posiadaniu administratora danych, nadal ma miejsce przetwarzanie danych osobowych?
Analogiczne pytanie z kopią bazy danych (backup) - wykonywany cyklicznie, zapisywany i przechowywany chociażby w sejfie - niemniej cały czas umożliwiający odtworzenie danych "zapomnianej" osoby. Czy przechowywanie backupu nadal jest traktowane jako przetwarzanie danych osobowych?
2. Przypadek drugi: usuwamy na życzenie dane wybranej osoby z bazy marketingowej (osoba ta wyraziła jasno, że nie chce otrzymywać informacji handlowych i prosi o usunięcie jej danych z bazy). Za jakiś czas jednak dane tej osoby znowu trafiają do bazy - np. po przekazaniu nowych danych od innego podmiotu lub po zakupie bazy kontaktów handlowych. W naturalny sposób ponownie następuje kontakt z tą samą osobą (nie ma już w systemie historii wcześniejszych kontaktu z tą osobą, więc nie ma możliwości aby dojść do informacji mówiącej, że ta osoba nie życzy sobie kontaktów marketingowych). Co w takiej sytuacji? Czy administrator takiej bazy narusza tym samym prawo do bycia zapomnianym? (w skrajnym przypadku cyklicznie może dochodzić do przesyłania informacji osobie, która za każdym razem prosi o usunięcie swoich danych z bazy).
Czy też może jednak dane tej osoby nie powinny być w pełni usunięte z systemu? (gdyby pozostał np. numer telefonu z nazwiskiem, byłaby szansa przy próbie ponownego kontaktu dojścia do tego, że ta osoba nie życzy sobie (...) Zobacz więcej
Masz interesujący opis profilu.
Przemysław N.:
Nie masz żadnych przepisów nakazujących przechowywanie logów przez określony czas?
Literalnie patrząc - tak. Jak to rozwiązać ?- sam nie wiem.
2. Przypadek drugi: usuwamy na życzenie dane wybranej osoby z bazy marketingowej (osoba ta wyraziła jasno, że nie chce otrzymywać informacji handlowych i prosi o usunięcie jej danych z bazy). Za jakiś czas jednak dane tej osoby znowu trafiają do bazy - np. po przekazaniu nowych danych od innego podmiotu lub po zakupie bazy kontaktów handlowych.
Spełniając obowiązek informacyjny, podajecie źródło danych. Osoba ta ma możliwość usunąć swoje dane z bazy źródłowej. Po waszej stronie nie widzę naruszenia przepisów.
Prawo do bycia zapomnianym, nie jest prawem bezwzględnym. Musi być spełniona jedna z sześciu przesłanek legalizujących żądanie (art. 17.1. rodo). Istnieje również pięć wyłączeń (art. 17.3.). Patrz też motywy 65-67). To oznacza, że przy wniosku o 'bycie zapomnianym' należy dokładnie przeanalizować te przepisy.
Zakładając, że żądanie usunięcia danych osobowych spełnia wymogi rodo, można popatrzeć merytorycznie na przedstawione punkty.
1. Realizując żądanie usunięcia danych, ADO ma obowiązek ich trwałego usunięcia ze swoich wszystkich zasobów. Dotyczy to również kopii zapasowych czy logów (co to jest przetwarzanie stanowi art 4.2 rodo). Dostawca oprogramowania winien to umożliwić. W innym przypadku ADO będzie przetwarzał dane osobowe z wysokim ryzykiem naruszenia ich bezpieczeństwa. Wówczas, w przypadku pojawienia się żądania usunięcia danych, którego nie będzie mógł wykonać będzie musiał zgłosić naruszenie (art. 33 rodo), powiadomić osobę (art. 34 rodo). Winien liczyć się z odpowiedzialnością z art. 83.5b rodo w związku z art.17.
2. Usunięcie danych osobowych nie wiąże się z całkowitym usunięciem wszystkich danych osobowych. ADO usuwając dane osobowe na żądanie tej osoby, musi wiedzieć dane której osoby nie może u siebie posiadać. W tym celu ma prawo posiadać takie dane tej osoby, które są niezbędne dla wypełnienia tego obowiązku. W przypadku zakupów baz danych osobowych, SI winien posiadać funkcjonalność wychwycenia i usunięcia danych osobowych usuniętych na podstawie art.17 rodo.
Pozyskanie danych osobowych w sposób inny niż od osoby, której dotyczą wymusza poinformowanie jej (art.14 rodo), ale nie możecie tego dokonać gdyż żądanie usunięcia pozostaje w mocy. Nie dokonacie obowiązku informacyjnego - sankcja z art.83.5b w związku z art.14 rodo. Spełnicie obowiązek - sankcja z art.83.5b w związku z art.17 rodo. Skuteczną ochroną będzie usuwanie d.o. na etapie odbioru zakupionej (...) Zobacz więcej
Wówczas, w przypadku pojawienia się żądania usunięcia danych, którego nie będzie mógł wykonać będzie musiał zgłosić naruszenie (art. 33 rodo)
Naruszenie polegające na czym?
2. Usunięcie danych osobowych nie wiąże się z całkowitym usunięciem wszystkich danych osobowych. ADO usuwając dane osobowe na żądanie tej osoby, musi wiedzieć dane której osoby nie może u siebie posiadać. W tym celu ma prawo posiadać takie dane tej osoby, które są niezbędne dla wypełnienia tego obowiązku.
Wskażesz przepis Rodo, na którym się opierasz?
Zostało to wyjaśnione w pkt.1.
Wówczas, w przypadku pojawienia się żądania usunięcia danych,
którego nie będzie mógł wykonać
będzie musiał zgłosić naruszenie (art. 33 rodo)
Sprawdź definicję naruszenia ochrony danych, tj. co podlega zgłoszeniu.
Słabe. Usunięcie danych to usunięcie. Trwałe.
ABI » Prowadzenie rejestru zbiorów w RODO -
ABI » Wypełnij ankietę o GDPR/RODO a w nagrodę otrzymasz ebook -
ABI » Jak wygląda sprawa z używaniem nośników informacji... -
ABI » Udostępnianie akt sądowych czyli zawartych w nich danych... -
ABI » Jak najsprawniej ustalić z jakimi zbiorami danych mamy do... -
ABI » Czy znacie jakieś przypadki, w któych ABI został... -
ABI » Raport z badania "Jak polscy dostawcy podchodzą do umowy... -
ABI » Jak adres ADO nalezy podać? -
ABI » ABI - jak w ogóle zacząć? -
ABI » Newsletter Pomocnik RODO -
Prowadzenie rejestru zbioró...
Dwie zgody - 1. na marketing 2. na...
IT coordinator / Network Administrator Recruit Europe Belgia
Customer Success Engineer - $3250/month - REMOTE Crossover
Specjalista ds. sprzedaży w Salonie firmowym Orange Orange Polska Dąbrowa Górnicza
IT Technician Randstad Polska Warszawa