Slet ikke jordforbindelsen

Persondata, som ikke er nødvendige at opbevare mere, skal slettes. Det er et af de centrale elementer i GDPR. Og det er der mange fornuftige grunde til. Men der er heller ingen tvivl om, at det er en af de største udfordringer, som GDPR giver. Alle systemer skal gennempløjes, og systemerne er sjældent indrettet til at finde persondata frem på den måde. Nu har Datatilsynet meldt ud, at slettepligten også gælder backup’en af virksomhedens data. For så vidt logisk, men det tilfører slettepligten en helt ny og udfordrende dimension, skriver Jakob Dedenroth Bernhoft i denne uges ’Privacy på spidsen’.

Datatilsynet har lagt en ny vejledning ud på deres hjemmeside om sletning af personoplysninger. Her fremgår det, at personoplysninger skal slettes fra backups. Jeg er ikke ekspert i backups, men har ladet mig fortælle, at en backup normalt består af komprimeret data, som ikke giver mulighed for at søge eller finde oplysninger frem. En sort boks, hvor det er umuligt at finde noget som helst.

Derfor er opgaven med at slette persondata fra backup’en i praksis ofte umuligt.

Backup i den sorte boks
Datatilsynet har dog lagt en sikkerhedsventil ind i deres udmelding: ”Hvis det er teknisk muligt”. Ja, alt er jo teknisk muligt. Det er bare et spørgsmål om penge. De skriver desuden: ”teknisk muligt kan være, hvor der er tale om komprimeret data” – altså den sorte boks. Hvornår man så præcis må springe over, og hvornår man skal slette, svæver lidt i det uvisse.

Hvis man genetablerer data fra en backup, så har man under alle omstændigheder pligt til at gå ind og slette de personoplysninger, som har været slettet i driftssystemet. Det kan være noget af en opgave i en stor organisation.

Datatilsynet anbefaler, man fører en log over slettede personoplysninger. Det er svært at se, hvordan det praktisk skulle kunne lade sig gøre i større virksomheder, hvor mange hundrede medarbejdere løbende sletter personoplysninger. Og der må i loggen ikke være personhenførbare oplysninger. Så begynder det for alvor at blive indviklet: Skriv ned, hvilke personoplysninger du har slettet, uden at skrive hvilke personoplysninger, det drejer sig om.

Backup på gammeldags manér
Det bliver værre endnu: Hvis backup’en består af almindelig ukomprimeret data, så gælder der ingen kære mor. Så ud over at slette personoplysninger i virksomhedens IT-driftssystem, så skal man hver gang også over i backuppen og slette der. Hvad nu hvis man tager backup hver dag og sletter løbende efter en måned. Ja, så skal man slette 30 forskellige steder. God fornøjelse.

Tingene sat på spidsen
Som titlen på min klumme antyder, er det min opgave at sætte tingene på spidsen, og skal jeg give den et nøk mere, må det være: Lad være med at tage backup. Det gør GDPR-livet meget enklere!

I iveren efter at opfylde GDPR bedst muligt, så gælder det om ikke at miste jordforbindelsen. På et tidspunkt så er nok nok. Kunne man ikke i stedet stille særlige sikkerhedskrav til backupper, så man ad den vej sikrer, at ingen får uberettiget adgang til persondata. Det kan virke lidt rigidt med ideen om, at den eneste måde at beskytte personoplysninger er at slette dem.

Så bliv dog lidt på jorden.

Tags

Skrevet af

Jakob Dedenroth Bernhoft

Jakob Dedenroth Bernhoft, Juridisk rådgiver, Revisorjura.dk

Jakob Dedenroth Bernhoft er indehaver af revisorJURA, der yder erhvervsjuridisk rådgivning om bl.a. bekæmpelse af hvidvask og beskyttelse af persondata. Han har været kontorchef i Finansrådet, juridisk chef i KPMG og faglig direktør i FSR - danske revisorer. Ud over rådgivning udvikler virksomheden også whistleblower-løsninger.