Czy usuwanie i niszczenie danych to także ich przetwarzanie?

Czy usuwanie i niszczenie danych to ich przetwarzanie? Obowiązki

Zrozumienie przepisów dotyczących operacji na informacjach pozwala uniknąć poważnych konsekwencji prawnych i finansowych.
Prawidłowe zarządzanie dokumentacją chroni interesy każdego administratora przed zarzutami o niedopełnienie obowiązków, w tym czy usuwanie i niszczenie danych to ich przetwarzanie.

Czy usuwanie i niszczenie danych to także ich przetwarzanie?

To pytanie zadaje sobie wielu przedsiębiorców oraz osób odpowiedzialnych za bezpieczeństwo informacji w organizacjach.
Odpowiedź w świetle przepisów prawnych jest jednoznaczna i może zaskoczyć niejedną osobę: tak, zarówno usuwanie, jak i fizyczne niszczenie danych stanowią formę ich przetwarzania.

Choć intuicyjnie mogłoby się wydawać, że kasowanie plików czy mielenie dokumentów to moment, w którym cykl życia informacji dobiega końca i przetwarzanie ustaje, prawo patrzy na to zupełnie inaczej.
Każda operacja wykonywana na danych - bez względu na to, czy dodajesz je do bazy, czy bezpowrotnie je kasujesz - podlega ścisłym regulacjom.

Jak przepisy RODO definiują operacje na danych?

Zgodnie z ogólnym rozporządzeniem o ochronie danych, pojęcie przetwarzania obejmuje praktycznie każdą czynność techniczną lub organizacyjną wykonywaną na informacjach osobowych.
Przepisy wprost wymieniają szereg działań, tworząc szeroki katalog czynności obejmujący m.in. operacje na danych osobowych usuwanie.

W tym oficjalnym wykazie operacji obok zbierania, utrwalania, organizowania czy porządkowania znajdują się także tak specyficzne czynności jak usuwanie oraz niszczenie.
Oznacza to, że administrator danych ponosi pełną odpowiedzialność prawną za to, w jaki sposób pozbywa się zbędnych informacji.

Różnica między usuwaniem a niszczeniem w praktyce

W codziennej praktyce biznesowej te dwa pojęcia bywają stosowane zamiennie, jednak pod kątem technicznym i prawnym kryje się między nimi istotna różnica.
Usuwanie najczęściej odnosi się do sfery cyfrowej - polega na skasowaniu pliku, nadpisaniu sektora dysku czy usunięciu rekordu z bazy danych w systemie informatycznym.

Niszczenie natomiast obejmuje fizyczną destrukcję nośników.
Mówimy o tym wtedy, gdy papierowe umowy trafiają do profesjonalnej niszczarki spełniającej rygorystyczne normy bezpieczeństwa, albo gdy stary dysk twardy jest przewiercany lub mielony w specjalistycznej fabryce.

Dlaczego kwalifikacja usuwania jako przetwarzania ma znaczenie?

Skoro pozbywanie się informacji to też ich przetwarzanie, oznacza to, że zasady bezpieczeństwa obowiązują do samego końca istnienia zbioru.
Nie można po prostu wyrzucić dokumentów do zwykłego kosza na śmieci czy kliknąć opróżnienia kosza na komputerze bezrefleksyjnie.

Przedsiębiorcy często popełniają ten błąd, zapominając o zasadzie rozliczalności.
Warto podkreślić, że wiele kontroli w obszarze ochrony danych dotyczy właśnie nieprawidłowości związanych z brakiem weryfikacji i dokumentowania momentu, w którym informacje powinny zostać trwale usunięte.^[1] Jeśli organizacja nie potrafi udowodnić, jak pozbyła się przestarzałych kartotek, naraża się na dotkliwe kary finansowe.

Zasada ograniczenia przechowywania a cykl życia informacji

Prawo nakłada na każdego administratora bezwzględny obowiązek usuwania informacji, gdy te przestają być potrzebne do realizacji celu, dla którego zostały zebrane.^[2]
To tak zwana zasada ograniczenia przechowywania.

Trzymanie danych na wszelki wypadek to prosta droga do naruszenia przepisów.
Skoro proces kasowania jest kontrolowaną operacją przetwarzania, musi być on ujęty w wewnętrznych procedurach firmy, a same działania powinny być odpowiednio ewidencjonowane, na przykład poprzez niszczenie danych osobowych definicja lub protokoły zniszczenia.

Jak bezpiecznie przeprowadzać proces usuwania i niszczenia?

Realizacja tego obowiązku wymaga wdrożenia odpowiednich środków technicznych i organizacyjnych.
W przypadku dokumentów papierowych niezbędne jest korzystanie z niszczarek o odpowiednim stopniu tajności, który uniemożliwia odtworzenie pasków czy ścinków.

Dla zasobów cyfrowych zwykłe przeniesienie pliku do kosza w systemie operacyjnym zazwyczaj nie wystarcza, ponieważ dane wciąż zalegają na dysku, dopóki nie zostaną nadpisane.

Wymaga to specjalistycznego oprogramowania lub fizycznego zniszczenia nośnika magnetycznego bądź SSD. Zlecenie takich prac zewnętrznej firmie wiąże się z koniecznością podpisania umowy powierzenia przetwarzania, ponieważ podwykonawca wciąż wykonuje operacje na cudzych zasobach, co wiąże się z zagadnieniami takimi jak usuwanie danych a przetwarzanie RODO.

Porównanie metod usuwania i niszczenia danych

Proste kasowanie cyfrowe

• Tymczasowe usuwanie plików roboczych niemających znaczenia prawnego
• Niski - dane można łatwo odzyskać za pomocą standardowego oprogramowania
• Zerowe - wbudowana funkcja systemowa
• Niewystarczająca dla poufnych informacji osobowych

Nadpisywanie i degaussing

• Czyszczenie dysków komputerowych przed ich ponownym użyciem lub utylizacją
• Wysoki - uniemożliwia odtworzenie zapisów binarnych
• Umiarkowane - wymaga specjalistycznych narzędzi informatycznych
• Pełna zgodność z wymogami bezpieczeństwa cyfrowego

Fizyczne niszczenie nośników (Fizyczna destrukcja)

• Utylizacja starych dysków, taśm magnetycznych oraz poufnych dokumentów papierowych
• Maksymalny - całkowite zniszczenie struktury fizycznej
• Wyższe - wymaga usług profesjonalnych firm lub specjalnych urządzeń
• Wzorowa, idealna do celów audytowych i zasady rozliczalności

Audyt w warszawskiej spółce handlowej

Piotr, menedżer ds. zgodności w średniej wielkości firmie e-commerce w Warszawie, był przekonany, że jego zespół poprawnie zarządza bazą klientów. Podczas porządków rocznych pracownicy masowo usuwali stare pliki excel z komputerów, po prostu wrzucając je do kosza systemowego.

Pierwsza próba wewnętrznej weryfikacji wykazała poważny problem - audytor zewnętrzny łatwo odzyskał większość usuniętych arkuszy za pomocą prostego programu do odzyskiwania danych. Okazało się, że firma nie miała pojęcia o tym, iż skasowanie pliku nie oznacza jego faktycznego zniknięcia.

Piotr szybko wdrożył procedurę bezpiecznego nadpisywania dysków oraz fizycznego niszczenia uszkodzonego sprzętu przez certyfikowanego podwykonawcę, który wystawiał oficjalne protokoły zniszczenia.

Dzięki tym zmianom, podczas późniejszej inspekcji urzędowej, organizacja bez problemu udowodniła pełną zgodność z zasadą rozliczalności, unikając jakichkolwiek kar finansowych.