Obhajitelné mazání: jak zničit osobní údaje a zachovat si důkaz
Obhajitelné mazání znamená ničit data tak, abyste to dokázali dodatečně zdůvodnit. Data jsou odstraněna podle stanoveného harmonogramu a vy přesto dokážete ukázat, co to bylo, proč splňovala podmínky pro smazání, kdy k tomu došlo a že hromadné mazání nezasáhlo nic, na co se vztahovala právní blokace.
Smazat soubor dokáže kdokoli. Problém je, že jakmile zmizí, zmizí s ním obvykle i důkaz, že jste s ním naložili správně. Obhajitelné mazání to řeší tím, že důkaz zachytí dřív, než data zmizí.
Proč „smazat a zapomenout“ selhává
Přístup „smazat a zapomenout“ selhává, protože samotné smazání je úkonem v rámci dodržování předpisů a zásada odpovědnosti v čl. 5(2) vás nutí prokázat, že jste ho provedli správně. Jakmile soubor zmizí, nemáte už čím to prokázat. Mazání není volitelný úklid: GDPR vás vede k tomu, abyste osobní údaje smazali, jakmile pomine jejich účel, a podle čl. 5(1)(e) je nadměrné uchovávání porušením.
V tom je past. Pokud váš proces zní „smazat soubor a jít dál“, splnili jste povinnost výmazu a nesplnili povinnost odpovědnosti. Když si bývalý zaměstnanec stěžuje u dozorového úřadu nebo když auditor prověří vzorek vaší praxe uchovávání, otázka nezní „jsou data pryč?“. Zní „ukažte mi, že jste smazali správnou věc, včas, a ponechali vše, co jste byli povinni uchovat“. Přístup „smazat a zapomenout“ na to nemá odpověď.
Dva způsoby, jak se mazání pokazí
Smazání příliš mnoha dat. Po uplynutí doby uchovávání hromadně promažete data a zasáhnete záznam, na který se kvůli probíhajícímu sporu vztahovala právní blokace. Zničení dat, která jste měli povinnost zachovat, je zničením důkazů. Obhajitelný proces před zničením čehokoli zkontroluje každou blokaci a zničení zablokuje, pokud je některá aktivní. Samotná blokace se vynucuje na úrovni úložiště.
Mazání bez důkazu. Smažete správně, ale nevedete o tom žádný záznam. O dva roky později nedokážete ukázat, které kategorie jste vymazali, co jste ponechali ani proč. V praxi to vypadá stejně, jako byste nikdy nic nesmazali, protože to nedokážete doložit. Odpovědnost, kterou nedokážete doložit, je odpovědnost, kterou nemáte.
Obhajitelné mazání je disciplína, která se vyhne obojímu.
Co obhajitelné mazání vyžaduje
Před zničením, během něj a po něm musí být zajištěno pět věcí:
- Spouštěč, který dokážete zdůvodnit. Smazání vychází z harmonogramu uchovávání nebo z platné žádosti o výmaz podle čl. 17, nikoli z rozhodnutí ad hoc. Důvod se zaznamená.
- Kontrola právní blokace. Než se cokoli zničí, proces potvrdí, že se na záznam nevztahuje povinnost zachování. Pokud ano, zničení se zablokuje a toto zablokování se zaznamená do protokolu.
- Rozhodnutí s vymezeným rozsahem. Přesně zaznamenáte, co se ničí a co se ponechává, po jednotlivých kategoriích, s právním důvodem pro vše, co si ponecháte.
- Samotné zničení. Data se podle stanoveného harmonogramu vyřadí z jakéhokoli použití, a to i v zálohách, nikoli příslibem okamžitého smazání, který se k zálohám nikdy nedostane.
- Osvědčení o události. Datovaný záznam, který zachycuje vše výše uvedené a přetrvá data, která popisuje.
Chybí-li kterákoli z těchto věcí, přestává být mazání obhajitelné. Zničení bez kontroly blokace je lehkomyslné. Zničení bez osvědčení je neviditelné.
„Smazat a zapomenout“ vs. obhajitelné mazání
Rozdíl nespočívá v tom, zda jsou data smazána. Spočívá v tom, co smazání přežije.
| Krok | Smazat a zapomenout | Obhajitelné mazání |
|---|---|---|
| Spouštěč | Ad hoc, když si toho někdo všimne | Harmonogram uchovávání nebo platná žádost o výmaz, zaznamenané |
| Právní blokace | Nekontroluje se | Kontroluje se a zničení se zablokuje, je-li blokace aktivní |
| Rozsah | Celý soubor | Po kategoriích, s právním důvodem pro vše, co se ponechává |
| Zničení | Smazat a jít dál | Vyřazení z použití podle stanoveného harmonogramu, včetně záloh |
| Důkaz | Žádný | Datované osvědčení, které přetrvá data |
Co by mělo obsahovat osvědčení o zničení
Osvědčení o zničení je artefakt, který si ponecháte poté, co data zmizí. Je to důkaz, takže musí obstát samo o sobě. Užitečné osvědčení zaznamenává:
- Co bylo zničeno, identifikované bez reprodukce samotných osobních údajů. Dobře to zvládne haš obsahu nebo pseudonymní identifikátor: dokazuje, o který záznam jde, aniž by ho znovu vytvářel.
- Kdy bylo o zničení rozhodnuto a kdy bylo dokončeno, s důvěryhodným časovým razítkem namísto hodnoty systémových hodin, kterou by mohl upravit kdokoli.
- Proč záznam splňoval podmínky: pravidlo uchovávání nebo důvod výmazu, který zničení spustil.
- Stav blokace v daném okamžiku, který ukazuje, že nebylo zasaženo nic, co podléhalo povinnosti zachování.
- Úroveň záruky, uvedenou poctivě. Osvědčení, které tvrdí víc, než může doložit, je horší než žádné, protože neobstojí hned při první kontrole. Dobré osvědčení říká přesně, co potvrzuje a co ne.
Právě tento poslední bod většina dodavatelů vynechává. Osvědčení, které uvádí „zničeno a ověřeno“, aniž by vysvětlilo, jak ověření proběhlo, je marketingový artefakt, nikoli důkaz. Osvědčení, které uvádí své vlastní meze, je osvědčení, na které se auditor může skutečně spolehnout.
Jak to souvisí s uchováváním a výmazem
Obhajitelné mazání je výkonná vrstva pod dvěma věcmi, které už stejně musíte dělat. Váš harmonogram uchovávání personálních údajů určuje, kdy smějí být data smazána. Právo na výmaz vytváří mazání na vyžádání mezi těmito plánovanými termíny. Obhajitelné mazání je způsob, jak obojí skutečně proběhne, aniž by vznikla mezera v odpovědnosti. Mechanismus právní blokace, který má před nimi přednost, se vynucuje na úrovni úložiště.
Platí zde i princip, na kterém stojí Legal Evidence Pack: důkaz musí být zachycen v okamžiku události a musí ho být schopen ověřit někdo, kdo se na ní nepodílel.
Jak SealDoc podporuje obhajitelné mazání
SealDoc uchovává haš SHA-256 každého dokumentu a každou událost v jeho životě zaznamenává do auditní stopy propojené hašovým řetězcem, takže každou pozdější změnu lze odhalit a pořadí událostí nelze přepsat, aniž by to bylo vidět. API SealDoc odmítne vymazat dokument v průběhu jeho doby uchovávání. Jakmile to doba uchovávání dovolí, zaznamená se výmaz na žádost do téže auditní stopy.
Vše běží na infrastruktuře EU bez amerického hyperscaleru v cestě, takže se auditní stopa sama nestane problémem s předáváním dat.