EDPB vodila iz februarja 2025
EDPB je v februarju 2025 izdal »Guidelines 05/2025 on the Right to Erasure«. Ključne točke:
- De-identifikacija šteje kot »pogojne pozabe«: Če organizacija de-identificira podatke, jih ne sme obnoviti (povratek), to se šteje za brisanje pod Členom 17.
- Heširanje alone ni dovolj: Samo heširanje podatkov se ne šteje za brisanje. Organizacije morajo izbrisati\ originalne podatke in hranjenje samo heš vrednosti.
- Šifriranje je obrnljivo: Če je šifriranje obrnljivo (ključ je shranjeno), to se ne šteje za brisanje.
- "Delno brisanje" je dovoljena: Organizacija lahko ohrani anonimne podatke za analitiko, če ne morejo biti povezani s posameznikami.
- Revidirani ročni termini: EDPB priporoča, da morajo organizacije izbrisati podatke v roku 30 dni od prejema zahtevka (prej je bilo 45 dni).
Te nove zahteve so bolj restriktivne in zahtevajo jasno strategijo za hišne organizacije.
Kako se razlikuje od starega EDPB vodilja
Pravo vodilja iz leta 2019 je bila bolj sporna. Sedaj je text bolj jasen:
| Aspekt | 2019 Vodilja | 2025 Vodilja |
|---|---|---|
| Heširanje | "Šteje se za brisanje" | "Ne šteje se za brisanje – morajo biti izbrisani originalnih podatkov" |
| Šifriranje | "Mogoče šteje za brisanje" | "Ni brisanje – obrnljivo" |
| De-identifikacija | "Ambiguozna" | "Šteje se za brisanje, če je neobrnjiva" |
| Rok | 45 dni | 30 dni |
Kako izvajati novo GDPR pravico v praksi
Osem korakov:
Korak 1: Shranjena podatkovnega rediga
Organizacija mora imeti jasan seznam, kaj je shranjeno in zakaj:
Data Store | Purpose | Retention | Deletion Method
--- | --- | --- | ---
CRM | Customer relations | 3 years | Anonymous + Delete
Analytics | Product improvement | 1 year | De-identify + Delete
Backup | Disaster recovery | 30 days | Crypto wipe
Logs | Security auditing | 6 months | Encrypt + Delete
Archivals | Legal hold | As required | Segregated + Review
Korak 2: De-identifikacija kot prva možnost
Ko se prejme zahtevek za brisanje:
- Preveri, ali je podatek lahko de-identificiran
- Če je de-identifikacija mogoča in neobrnjiva, to se šteje za brisanje
- Če je de-identifikacija obrnljiva (npr. šifriranje z ohranjenim ključem), to je NE brisanje
Korak 3: Spremenjena podatkov
Organizacija mora fizično izbrisati vse kopije podatkov:
- CRM sistem
- Varnostne kopije
- Arhivi
- Lokalnih datotek
- Log datoteke (če vsebujejo PII)
- Spletne aplikacije
EDPB zahteva, da je ta proces dokumentiran in revidiaran.
Korak 4: Prikažite skladnost
V primeru nadzora ali tožbe, mora organizacija pokazati:
- Prejete zahteve za brisanje
- Kako je podatek identificiran
- Kako je bil izbriskan
- Časovni potek
- Kdo je odgovoren