Na podstawie rozporządzenia RODO, każdy ma prawo do bycia zapomnianym w bazach danych systemów informatycznych. Realizacja tego uprawnienia w systemie bs4 jest szczególnym wyzwaniem, gdyż programy tego typu i dane osobowe klientów są ze sobą wręcz nierozerwalne.
W artykule prezentujemy wspomniane prawo w praktyce, na przykładzie rozwiązania zastosowanego w bs4 core.
Prawo do bycia zapomnianym jest realizowane przez opcję usunięcia osoby z bazy, z poziomu kartoteki osoby. Podstawowe dane – imię, nazwisko, dane kontaktowe – są definitywnie usuwane z systemu.
W systemie bs4 jest potencjalnie duża ilość informacji powiązanych z osobami, w innych tabelach bazy danych. Program bs4 core daje możliwość szczegółowego ustawienia czy podczas kasowania mają zostać usunięte tylko powiązania do „zapominanej” osoby, czy powiązane informacje mają być kasowane w całości.
Domyślnie przyjęliśmy szereg pewnych ustawień. Przykładowa realizacja prawa do bycia zapomnianym w praktyce może wyglądać następująco:
Jeżeli użytkownik programu wymienił imię i nazwisko lub inne dane osobowe w treści np. zdarzeń, zadań, komunikatów, maili niepowiązanych bezpośrednio z daną osobą (przykładowo pisał do firmy trzeciej lub w komunikacie do współpracownika o tej osobie), wtedy program nie jest w stanie tego automatycznie wykasować. Nie może określić, że w kontekście rozmowy chodzi o tego konkretnego Kowalskiego, który chce być zapomnianym.
Dlatego w ramach przygotowań do RODO, warto edukować pracowników o prawie do bycia zapomnianym w praktyce:
Program bs4 core zapisuje wszystkie kasowane dane do bazy buforowej. W ten sposób można odzyskać informacje przypadkowo lub błędnie usunięte przez użytkowników. W programie można ustalić częstotliwość czyszczenia bazy buforowej.
W obliczu wymagań RODO nie można wyłączyć kasowania bazy buforowej, a usuwane dane osobowe nie powinny pozostawać w niej zbyt długo. Dokładnie ten czas powinien określić administrator systemu.
Backupy wykonane przed usunięciem konkretnych danych osobowych nadal je zawierają. Program bs4 core standardowo wykonuje backupy co noc – maksymalnie do 7 kopii w kolejnych dniach tygodnia.
To oznacza, że backup zawierający dane osobowe usuniętej osoby zostanie definitywnie nadpisany nowszym backupem (który nie zawiera już takich danych) w ciągu maksymalnie 7 dób – i tym samym wymóg ustawy dotyczący prawa do bycia zapomnianym zostanie spełniony.
Ważne! Jeżeli informatyk właściciela programu kopiuje backupy na inne nośniki i dłużej je przechowuje, powinien rozważyć wdrożenie na własną rękę mechanizmów, które będą usuwać dane osób „zapomnianych” ze „starych” backupów.
