Dane osobowe trzeba usuwać również z kopii zapasowych

Jednak w praktyce usunięcie danych z backupu może być kłopotliwe od strony technicznej i organizacyjnej. Taka operacja grozi również uszkodzeniem kopii zapasowej, potencjalnie uniemożliwiającej odtworzenie danych w razie potrzeby.

Naczelny Sąd Administracyjny w wyroku z 3 lipca 2009 roku (I OSK 633/08) skłonił się ku poglądowi, że nakazanie usuwania danych osobowych z backupów nie jest zbyt restrykcyjną interpretacją ustawy o ochronie danych osobowych. Sąd zauważył, że rozporządzenie ministra spraw wewnętrznych i administracji z 19 kwietnia 2004 roku wprowadza w § 5 pkt 4 pojęcie kopii zapasowych. Administrator ma prawo przechowywać dane osobowe w kopii (co także jest przejawem przetwarzanie) tak długo, jak w ogóle ma prawo przetwarzać te informacje. Przykładowo, jeśli GIODO w wyniku kontroli nakazało zaprzestania przetwarzania określonych danych osobowych, to należy przestać je przetwarzać również z wykorzystaniem kopii zapasowej – czyli usunąć je.

Zachowanie tych danych w backupie jest możliwe tylko w przypadkach przewidzianych w ustawie o ochronie danych osobowych, zwłaszcza w jej art. 23. Bank, który był stroną we wspomnianej sprawie, próbował więc podnosić, że usunięcie personaliów z backupu pozbawiłoby go możliwości odtworzenia stanu systemu informatycznego w określonym dniu. To z kolei naruszyłoby bezpieczeństwo informatyczne banku, więc pozwany argumentował, że przetwarzanie danych osobowych w backupie znajduje podstawę w art. 23 ust. 1 pkt 5 ustawy. Pozwala on na przetwarzanie danych osobowych, jeśli „jest to niezbędne dla wypełnienia prawnie usprawiedliwionych celów realizowanych przez administratorów danych albo odbiorców danych, a przetwarzanie nie narusza praw i wolności osoby, której dane dotyczą”. Zarówno WSA, jak i NSA nie podzieliły jednak tego toku rozumowania.

Z opisanej sprawy płynie istotna wskazówka co do sposobu tworzenia kopii zapasowych. Backupy powinny mianowicie umożliwiać, w razie zaistnienia takiej potrzeby, szybkie i usuwanie danych osobowych określonych według jakiegoś parametru, np. nazwiska. W ten sposób z kopii zapasowej automatycznie powinny zniknąć wszystkie dane odnoszące się do konkretnej osoby.