Usuwanie możliwe do obrony: jak niszczyć dane osobowe i zachować dowód
Usuwanie możliwe do obrony (defensible deletion) oznacza niszczenie danych w taki sposób, który da się później uzasadnić. Dane są usuwane według określonego harmonogramu, a Ty nadal możesz wykazać, czym były, dlaczego kwalifikowały się do usunięcia, kiedy to nastąpiło i że nic objętego legal hold nie zostało przy tym zgarnięte.
Każdy może usunąć plik. Problem w tym, że gdy plik zniknie, zwykle znika wraz z nim dowód, że postąpiono z nim prawidłowo. Usuwanie możliwe do obrony rozwiązuje ten problem, utrwalając dowód, zanim dane znikną.
Dlaczego „usuń i zapomnij” zawodzi
Podejście „usuń i zapomnij” zawodzi, ponieważ usunięcie samo w sobie jest działaniem z zakresu zgodności, a zasada rozliczalności z art. 5 ust. 2 wymaga, abyś udowodnił, że wykonałeś je prawidłowo. Gdy plik zniknie, nie masz już niczego, czym można by to udowodnić. Usunięcie nie jest opcjonalnym porządkowaniem: RODO zobowiązuje Cię do usunięcia danych osobowych, gdy ich cel przestaje istnieć, a art. 5 ust. 1 lit. e czyni nadmierne przechowywanie naruszeniem.
Na tym polega pułapka. Jeśli Twój proces to „usuń plik i idź dalej”, wypełniłeś obowiązek usunięcia, ale nie wypełniłeś obowiązku rozliczalności. Gdy były pracownik złoży skargę do organu nadzorczego albo audytor wyrywkowo sprawdzi Twoją praktykę przechowywania, pytanie nie brzmi „czy dane zniknęły”. Brzmi ono: „pokaż mi, że usunąłeś właściwą rzecz, na czas, i zostawiłeś wszystko, co miałeś obowiązek zachować”. Podejście „usuń i zapomnij” nie ma na to odpowiedzi.
Dwa sposoby, w jakie usuwanie idzie źle
Usuwanie zbyt wielu danych. Przeprowadzasz czystkę danych, których okres przechowywania minął, i zgarniasz rekord, który był objęty legal hold w związku z toczącym się sporem. Zniszczenie danych, które miałeś obowiązek zachować, to niszczenie dowodów. Proces możliwy do obrony sprawdza wszystkie blokady, zanim cokolwiek zniszczy, i blokuje zniszczenie, jeśli któraś z nich jest aktywna. Sama blokada jest egzekwowana na warstwie przechowywania.
Usuwanie bez dowodu. Usuwasz prawidłowo, ale nie zachowujesz żadnego zapisu. Dwa lata później nie potrafisz wykazać, które kategorie usunąłeś, co zachowałeś ani dlaczego. W praktyce wygląda to tak samo, jakbyś nigdy niczego nie usunął, ponieważ nie możesz tego wykazać. Rozliczalność, której nie potrafisz udokumentować, to rozliczalność, której nie masz.
Usuwanie możliwe do obrony to dyscyplina, która pozwala uniknąć obu tych błędów.
Czego wymaga usuwanie możliwe do obrony
Pięć elementów musi być na miejscu przed zniszczeniem, w jego trakcie i po nim:
- Wyzwalacz, który da się uzasadnić. Usunięcie wynika z harmonogramu przechowywania lub z zasadnego żądania usunięcia na podstawie art. 17, a nie z doraźnej decyzji. Powód jest zapisywany.
- Sprawdzenie legal hold. Zanim cokolwiek zostanie zniszczone, proces potwierdza, że rekord nie podlega obowiązkowi zachowania. Jeśli podlega, zniszczenie jest blokowane, a ta blokada jest rejestrowana.
- Decyzja o określonym zakresie. Zapisujesz dokładnie, co jest niszczone, a co zachowywane, dla każdej kategorii, wraz z podstawą prawną dla wszystkiego, co zostaje.
- Samo zniszczenie. Dane są trwale wyłączane z wszelkiego użytku, także w kopiach zapasowych, według określonego harmonogramu, a nie na zasadzie obietnicy natychmiastowego usunięcia, która nigdy nie dociera do kopii zapasowych.
- Certyfikat zdarzenia. Opatrzony datą zapis, który utrwala wszystko powyższe i przetrwa dane, które opisuje.
Wystarczy pominąć jeden z tych elementów, a usunięcie przestaje być możliwe do obrony. Zniszczenie bez sprawdzenia blokady jest lekkomyślne. Zniszczenie bez certyfikatu jest niewidoczne.
„Usuń i zapomnij” a usuwanie możliwe do obrony
Różnica nie polega na tym, czy dane zostają usunięte. Polega na tym, co przetrwa usunięcie.
| Krok | „Usuń i zapomnij” | Usuwanie możliwe do obrony |
|---|---|---|
| Wyzwalacz | Doraźnie, gdy ktoś to zauważy | Harmonogram przechowywania lub zasadne żądanie usunięcia, zapisane |
| Legal hold | Niesprawdzany | Sprawdzany, a zniszczenie blokowane, jeśli blokada jest aktywna |
| Zakres | Cały plik | Dla każdej kategorii, z podstawą prawną dla wszystkiego, co zostaje |
| Zniszczenie | Usuń i idź dalej | Trwałe wyłączenie z użytku według określonego harmonogramu, łącznie z kopiami zapasowymi |
| Dowód | Brak | Opatrzony datą certyfikat, który przetrwa dane |
Co powinien zawierać certyfikat zniszczenia
Certyfikat zniszczenia to artefakt, który zachowujesz po tym, jak dane znikną. To on jest dowodem, więc musi bronić się sam. Użyteczny certyfikat zapisuje:
- Co zostało zniszczone, zidentyfikowane bez odtwarzania samych danych osobowych. Dobrze sprawdza się tu skrót zawartości lub pseudonimowy identyfikator: dowodzi, o który rekord chodzi, bez jego odtwarzania.
- Kiedy podjęto decyzję o zniszczeniu i kiedy je zakończono, z wiarygodnym znacznikiem czasu zamiast wartości zegara systemowego, którą każdy mógłby edytować.
- Dlaczego rekord się kwalifikował: reguła przechowywania lub podstawa usunięcia, która je uruchomiła.
- Status blokad w danym momencie, pokazujący, że nic objętego obowiązkiem zachowania nie zostało zgarnięte.
- Poziom zapewnienia, określony uczciwie. Certyfikat, który twierdzi zbyt wiele, jest gorszy niż żaden, bo nie wytrzymuje pierwszej próby sprawdzenia. Dobry certyfikat mówi dokładnie, co poświadcza, a czego nie.
Ten ostatni punkt większość dostawców pomija. Certyfikat, który mówi „zniszczone i zweryfikowane”, nie wyjaśniając, jak przebiegła weryfikacja, jest artefaktem marketingowym, a nie dowodem. Certyfikat, który określa własne granice, to taki, na którym audytor może rzeczywiście polegać.
Jak to się łączy z przechowywaniem i usuwaniem danych
Usuwanie możliwe do obrony to warstwa wykonawcza pod dwiema rzeczami, które i tak musisz robić. Twój harmonogram przechowywania danych HR decyduje, kiedy dane mogą zostać usunięte. Prawo do usunięcia danych tworzy usunięcia na żądanie pomiędzy tymi zaplanowanymi terminami. Usuwanie możliwe do obrony to sposób, w jaki obie te rzeczy faktycznie się odbywają, bez tworzenia luki w rozliczalności. Mechanizm legal hold, który ma nad nimi pierwszeństwo, jest egzekwowany na warstwie przechowywania.
Zasada stojąca za Legal Evidence Pack ma zastosowanie również tutaj: dowód musi zostać utrwalony w chwili zdarzenia i musi być weryfikowalny przez kogoś, kto nie brał w nim udziału.
Jak SealDoc wspiera usuwanie możliwe do obrony
SealDoc przechowuje skrót SHA-256 każdego dokumentu i rejestruje każde zdarzenie w jego cyklu życia w ścieżce audytowej powiązanej łańcuchem skrótów, dzięki czemu każda późniejsza zmiana jest wykrywalna, a kolejności zdarzeń nie da się przepisać tak, by nie było tego widać. API SealDoc odmawia usunięcia dokumentu w okresie jego przechowywania. Gdy okres na to pozwala, usunięcie na żądanie jest rejestrowane w tej samej ścieżce audytowej.
Wszystko działa na infrastrukturze w UE, bez amerykańskiego hiperskalera po drodze, więc sama ścieżka audytowa nie staje się osobnym problemem transferu danych.