Ale 2 miesiące może być już trudne do obrony. Tak więc, zawsze po utracie prawa do przetwarzania jakichkolwiek danych zapisanych w kopii zapasowej, niezbędne będzie usunięcie ich z kopii zapasowej, względnie wykonanie nowej kopii zapasowej i zniszczenie starej. Bez zbędnej zwłoki.

Wykonywanie nowych kopii zapasowych

Kopie zapasowe, ze swej natury, zapisywane są na nośnikach tylko do odczytu. Czy to taśmy magnetyczne, czy nośniki optyczne - zasadniczo wykluczają one możliwość ich modyfikacji. Wyrok NSA mówi wyraźnie - należy usunąć konkretne dane, resztę można przechowywać. Ale czy jest to możliwe? W przypadku nośników tylko do odczytu, oczywiście nie. Usunięcie tylko niektórych danych oznacza bowiem odczytanie danych z kopii, usunięcie kontrowersyjnych danych i ponowne sporządzenie kopii zapasowej. Przy czym to już nie jest kopia systemu, ale kopia z odczytanej i zmodyfikowanej kopii zapasowej systemu. Uwzględniając poziom utraty danych w ramach dwukrotnego backupowania (zazwyczaj też kompresji) i dwukrotnego odczytywania kopii oraz całe zamieszanie z tym związane, może to okazać się pozbawione sensu. Alternatywą jest wykonanie kopii zapasowej systemu w wersji aktualnej, z którego problematyczne dane zostały już usunięte, co może nie być możliwe. Przepis (i jego interpretacja) jest, ale praktycznie nie wyobrażam sobie jego stosowania.

Co na przyszłość?

Ciekawym pytaniem jest: "czy da się tego wszystkiego uniknąć?" Odpowiedź oczywiście brzmi: "tak". Pierwszy sposób - mało realny - orzeczenie NSA zostanie zignorowane w praktyce, w tym przez GIODO. Teoretycznie wyroki to nie prawo i wiążą tylko w danej sprawie. Mało to jednak realne, gdyż wyrok NSA dobrze wpisuje się w ogólną tendencję coraz silniejszej ochrony danych osobowych (ze środkami kontroli i sankcji Generalnego Inspektora). Drugi sposób - podobna sprawa będzie ponownie rozstrzygana przez NSA i NSA wyrazi pogląd odmienny. Takie rzeczy zdarzały się wielokrotnie, może i przy kwestii kopii zapasowych się więc wydarzy. Trzecie rozwiązanie - zmiana ustawy. Żeby przeciąć wszelkie wątpliwości interpretacyjne sądów, konieczne byłoby wprowadzenie przepisów regulujących kwestię przetwarzania danych osobowych w kopiach zapasowych. Ale tutaj potrzebny byłby parlament oraz długa i wyboista ścieżka legislacyjna.

Marcin Serafin jest prawnikiem w Kancelarii Radców Prawnych Maruta i Wspólnicy.