Kopie zapasowe a prawo do usunięcia danych osobowych. Czy dane trzeba kasować również z backupów?

Usunięcie danych osobowych z głównego systemu nie zawsze oznacza zakończenie procesu. Te same informacje mogą nadal znajdować się w kopiach zapasowych, archiwach, replikach baz danych i środowiskach dostawców chmurowych. RODO nie daje jednak firmom automatycznej zgody na pozostawienie danych w backupach bezterminowo. Jeżeli natychmiastowe usunięcie pojedynczego rekordu mogłoby naruszyć integralność kopii, organizacja powinna odizolować dane, objąć backup okresem retencji i zagwarantować, że usunięte informacje nie wrócą do systemu podczas jego odtwarzania.

Znaczenie tego problemu potwierdza raport Europejskiej Rady Ochrony Danych przyjęty 10 lutego 2026 roku. W skoordynowanym badaniu dotyczącym prawa do usunięcia danych uczestniczyły 32 europejskie organy nadzorcze, a informacje przekazało 764 administratorów.

Usuwanie danych z kopii zapasowych zostało uznane za jedno z siedmiu najważniejszych wyzwań. Połowa uczestniczących organów zgłosiła zastrzeżenia dotyczące sposobu, w jaki organizacje obsługują żądania usunięcia danych znajdujących się w backupach.

Firmy często opierały się wyłącznie na automatycznym nadpisywaniu kopii albo ogólnym okresie ich przechowywania. Jednocześnie nie posiadały procedury, która zapobiegałaby ponownemu wprowadzeniu usuniętych danych po przywróceniu starszej wersji systemu.

Najważniejsze informacje

1. Kopia zapasowa zawierająca możliwe do zidentyfikowania dane osobowe nadal podlega RODO.
2. Prawo do usunięcia danych nie jest prawem absolutnym. Najpierw trzeba sprawdzić, czy administrator nie ma obowiązku dalszego przechowywania określonych informacji.
3. Dane należy możliwie szybko usunąć z aktywnych systemów, aplikacji, kont użytkowników i dostępnych pracownikom zbiorów.
4. Natychmiastowe zmodyfikowanie całej kopii zapasowej nie zawsze jest technicznie możliwe lub bezpieczne dla jej integralności.
5. Dane pozostające w backupie powinny być niedostępne w normalnej działalności, zabezpieczone i automatycznie usuwane wraz z nadpisaniem lub wygaśnięciem kopii.
6. Firma musi prowadzić rejestr usuniętych danych, aby po odtworzeniu systemu nie przywrócić informacji, które wcześniej powinny zostać skasowane.
7. Okres przechowywania backupów nie może być bezterminowy. Powinien wynikać z analizy ryzyka, potrzeb ciągłości działania i przyjętej polityki retencji.
8. Zasady usuwania danych muszą obejmować również dostawców chmury, hostingu, systemów SaaS oraz dalszych podwykonawców.

Dlaczego usuwanie danych z kopii zapasowych jest trudne?

Backup nie jest zwykłym folderem, z którego można zawsze skasować pojedynczy plik. Kopia zapasowa może zawierać obraz całego serwera, bazy danych, skrzynki pocztowej albo środowiska informatycznego z określonego dnia.

W zależności od zastosowanej technologii ingerencja w pojedynczy element może być niemożliwa albo prowadzić do uszkodzenia całej kopii. Problem jest szczególnie istotny przy kopiach niezmienialnych, szyfrowanych, rozproszonych oraz przechowywanych w zewnętrznej chmurze.

Backup pełni jednocześnie ważną funkcję bezpieczeństwa. Pozwala odtworzyć system po awarii, błędzie pracownika, ataku ransomware albo uszkodzeniu infrastruktury. Próba natychmiastowego modyfikowania każdej historycznej kopii może osłabić jej wiarygodność i możliwość skutecznego odtworzenia danych.

EROD zauważa ten konflikt. W raporcie z 2026 roku wskazuje, że zależnie od ustawień technicznych oraz poziomu ryzyka zmiana lub usunięcie pojedynczych informacji z backupu nie zawsze będzie zalecane. Nie oznacza to jednak, że kopię można pozostawić bez kontroli.

Administrator powinien posiadać procedurę śledzenia żądań usunięcia i ponownego zastosowania ich po przywróceniu systemu.

Backup, archiwum i replika danych to nie to samo

Pierwszym krokiem jest ustalenie, gdzie rzeczywiście znajdują się dane. Organizacje często nazywają backupem każdy dodatkowy zbiór informacji, chociaż poszczególne rozwiązania spełniają zupełnie inne funkcje.

Kopia zapasowa

Backup służy przede wszystkim do odtworzenia danych po awarii lub incydencie. Nie powinien być wykorzystywany do codziennej pracy, wyszukiwania klientów, analizowania dokumentów ani obsługi bieżących spraw.

Dostęp do kopii powinien być ograniczony do administratorów odpowiedzialnych za ciągłość działania. Zwykły pracownik nie powinien mieć możliwości przeglądania backupu.

Archiwum

Archiwum służy do długotrwałego przechowywania informacji, które mogą być jeszcze potrzebne ze względów prawnych, dowodowych lub biznesowych. Dane znajdujące się w archiwum nadal są dostępne i mogą być wyszukiwane.

Przeniesienie informacji do archiwum nie oznacza ich usunięcia. Firma musi nadal posiadać podstawę prawną do przechowywania danych oraz uwzględniać archiwum podczas obsługi wniosków wynikających z RODO.

Replika systemu

Replika jest aktualną albo niemal aktualną kopią bazy, wykorzystywaną do zapewnienia wysokiej dostępności systemu. Jeżeli dane zostaną usunięte z bazy głównej, analogiczna zmiana powinna zostać przeniesiona do repliki.

Replika pozostaje częścią aktywnego środowiska. Nie można uzasadniać pozostawienia w niej danych trudnościami właściwymi dla historycznych backupów.

Kosz, funkcja odzyskiwania i „soft delete”

Wiele systemów po wybraniu opcji „usuń” jedynie ukrywa rekord przed użytkownikiem. Dane mogą przez kolejne dni lub miesiące znajdować się w koszu, historii wersji lub panelu administratora.

Takie informacje nadal istnieją i mogą zostać odzyskane. Samo ukrycie rekordu, dezaktywowanie konta lub oznaczenie go jako usuniętego nie zawsze oznacza skuteczne wykonanie prawa do usunięcia danych.

Kiedy prawo do usunięcia danych ma zastosowanie?

Artykuł 17 RODO przewiduje prawo żądania usunięcia danych między innymi wtedy, gdy:

1. dane nie są już potrzebne do celów, dla których zostały zebrane;
2. osoba wycofała zgodę i nie istnieje inna podstawa przetwarzania;
3. osoba skutecznie wniosła sprzeciw wobec przetwarzania;
4. dane były przetwarzane niezgodnie z prawem;
5. ich usunięcie jest konieczne do wykonania obowiązku prawnego;
6. dane zebrano od dziecka w związku z oferowaniem usług społeczeństwa informacyjnego.

Prawo to nie działa automatycznie w każdej sytuacji. Jeżeli klient prosi o usunięcie wszystkich danych, firma powinna najpierw ustalić, jakie informacje posiada, w jakich celach je wykorzystuje i na jakich podstawach prawnych opiera poszczególne działania.

Przykładowo, cofnięcie zgody na newsletter uzasadnia usunięcie adresu z aktywnej listy marketingowej. Nie musi natomiast oznaczać natychmiastowego skasowania dokumentów księgowych związanych z wcześniejszym zakupem.

Praktyczną procedurę oceny takiego żądania omawiamy w artykule BPPZ Co zrobić, gdy klient prosi o usunięcie danych?.

Kiedy można odmówić usunięcia danych?

Administrator może zachować określone informacje, jeżeli ich dalsze przetwarzanie jest niezbędne między innymi do:

1. wykonania obowiązku prawnego;
2. ustalenia, dochodzenia lub obrony roszczeń;
3. wykonywania prawa do wolności wypowiedzi i informacji;
4. realizacji zadania wykonywanego w interesie publicznym;
5. ochrony interesu publicznego w dziedzinie zdrowia publicznego;
6. archiwizacji w interesie publicznym, badań naukowych, historycznych lub celów statystycznych, jeżeli usunięcie danych poważnie utrudniłoby osiągnięcie tych celów.

Wyjątku nie można stosować do całej bazy tylko dlatego, że część informacji musi być zachowana. Firma powinna ustalić, które dane rzeczywiście podlegają dalszemu przechowywaniu, a które mogą zostać skasowane.

Jeżeli organizacja zachowuje dane w celu obrony roszczeń, powinna ograniczyć ich zakres i dostęp. Nie należy nadal używać ich w marketingu, profilowaniu lub bieżącej obsłudze klienta.

Decyzja o odmowie albo częściowej realizacji żądania powinna zostać udokumentowana i przekazana osobie wraz z uzasadnieniem oraz informacją o możliwości złożenia skargi do Prezesa UODO.

Czy dane trzeba usuwać również z backupów?

Co do zasady skuteczne wykonanie prawa do usunięcia powinno obejmować wszystkie kopie danych osobowych znajdujące się pod kontrolą administratora, w tym kopie zapasowe.

Nie zawsze oznacza to jednak obowiązek natychmiastowego otwarcia każdej historycznej kopii i zmodyfikowania jej zawartości. Jeżeli taka operacja jest technicznie niemożliwa, niewspółmiernie skomplikowana lub może naruszyć integralność backupu, firma powinna wdrożyć rozwiązania zastępcze.

Prawidłowy model powinien zakładać, że:

1. dane są niezwłocznie usuwane z aktywnych systemów;
2. dane w backupie nie są dostępne w ramach codziennej działalności;
3. backup jest objęty określonym i możliwie krótkim okresem retencji;
4. kopia zostanie automatycznie nadpisana lub zniszczona zgodnie z harmonogramem;
5. żądanie usunięcia zostanie ponownie zastosowane w razie odtworzenia systemu;
6. osoby posiadające dostęp do kopii podlegają ścisłym upoważnieniom;
7. cały proces jest możliwy do wykazania podczas kontroli.

Brytyjski ICO opisuje podobne podejście jako umieszczenie danych poza normalnym użyciem. Jest to przydatna wskazówka techniczna, chociaż dla polskich administratorów podstawowym punktem odniesienia pozostają RODO, stanowiska EROD i praktyka Prezesa UODO.

Samo stwierdzenie, że „dane mogą znajdować się w backupie”, nie wystarcza. Firma powinna wiedzieć, w której kopii się znajdują, kiedy ta kopia wygaśnie i co stanie się z danymi po jej ewentualnym przywróceniu.

Co zrobić, gdy usunięte dane wracają po odtworzeniu systemu?

Odtworzenie systemu ze starszej kopii może przywrócić konta, dokumenty i rekordy, które wcześniej zostały prawidłowo usunięte. Jeżeli firma nie posiada dodatkowego mechanizmu, osoba może ponownie znaleźć się w CRM, bazie marketingowej albo systemie klienta.

Dlatego procedura odtwarzania powinna obejmować kontrolę wykonanych wcześniej żądań. Można zastosować rejestr usunięć zawierający techniczny identyfikator rekordu, datę realizacji wniosku, systemy objęte usunięciem oraz datę wygaśnięcia odpowiednich kopii.

Po przywróceniu backupu należy ponownie wykonać operacje usunięcia przed udostępnieniem systemu użytkownikom i wznowieniem przetwarzania.

Rejestr nie powinien przechowywać pełnej kopii usuniętych danych. Zazwyczaj wystarczające będą ograniczone informacje pozwalające zapobiec ponownemu dodaniu osoby do systemu i wykazać realizację jej prawa.

Firma powinna ustalić osobny okres przechowywania takiego rejestru. Prawo do usunięcia danych nie wyklucza zachowania minimalnego dowodu potwierdzającego obsłużenie wniosku, jeżeli jest to potrzebne do realizacji zasady rozliczalności lub obrony przed roszczeniami.

Jak długo można przechowywać backupy?

RODO nie wskazuje jednego okresu przechowywania kopii zapasowych. Termin powinien wynikać z potrzeb ciągłości działania, analizy ryzyka oraz przyjętych parametrów odtwarzania.

Innego okresu może potrzebować sklep internetowy, innego placówka medyczna, a jeszcze innego firma produkcyjna wykorzystująca systemy krytyczne.

Przy ustalaniu retencji należy wziąć pod uwagę:

1. częstotliwość wykonywania kopii;
2. czas potrzebny do wykrycia awarii albo ataku;
3. liczbę przechowywanych wersji;
4. znaczenie systemu dla działalności firmy;
5. możliwość odtworzenia danych z innych źródeł;
6. rodzaj i wrażliwość przetwarzanych informacji;
7. koszt oraz ryzyko pozostawienia historycznych danych;
8. okresy wynikające z umów i przepisów sektorowych.

Nie należy bezrefleksyjnie stosować najdłuższego okresu do wszystkich systemów. EROD wskazała w raporcie z 2026 roku przypadki administratorów, którzy stosowali najdłuższy termin wymagany dla jednego procesu do wszystkich pozostałych operacji.

Ogólne zasady ustalania terminów przedstawia artykuł BPPZ Jak długo przechowywać dane osobowe zgodnie z przepisami?.

Czy backup może być przechowywany bezterminowo?

Nie. Sam fakt, że zbiór jest kopią zapasową, nie uzasadnia bezterminowego przechowywania danych osobowych.

Backup powinien posiadać określoną datę utworzenia, termin wygaśnięcia oraz zasady bezpiecznego zniszczenia lub nadpisania. Wyjątkiem mogą być szczególne obowiązki prawne albo potrzeby archiwalne, ale trzeba je przypisać do konkretnych danych i procesów.

Nie jest prawidłowym uzasadnieniem stwierdzenie, że firma nie wie, co znajduje się w starych kopiach albo że system nigdy nie został skonfigurowany do automatycznego usuwania.

Brak możliwości kasowania danych może wskazywać, że rozwiązanie informatyczne nie zostało zaprojektowane z uwzględnieniem ochrony danych. Artykuł 25 RODO wymaga uwzględniania zasad prywatności już podczas projektowania procesów i wyboru technologii.

Usuwanie, anonimizacja i pseudonimizacja

Dane można skutecznie usunąć albo poddać rzeczywistej anonimizacji. Po prawidłowej anonimizacji nie powinno być możliwe ponowne przypisanie informacji do konkretnej osoby przy użyciu racjonalnie dostępnych środków.

Zastąpienie imienia i nazwiska numerem klienta najczęściej nie jest anonimizacją, jeżeli firma nadal posiada tabelę pozwalającą połączyć numer z osobą. Jest to pseudonimizacja, a dane nadal podlegają RODO.

Podobnie zamazanie informacji, zmiana koloru tekstu na biały lub ukrycie rekordu nie oznaczają jego usunięcia, jeżeli dane można łatwo odzyskać.

EROD zwróciła uwagę, że część administratorów stosowała nieskuteczne techniki anonimizacji jako zamiennik usunięcia. Wśród dobrych praktyk wskazano korzystanie z narzędzi, które odnajdują dane osoby w różnych systemach i przenoszą je do odizolowanego środowiska, gdzie następnie dochodzi do ich trwałego usunięcia albo pełnej anonimizacji.

Czy można zastosować usunięcie kryptograficzne?

Jeżeli backup jest odpowiednio zaszyfrowany, bezpieczne zniszczenie jedynej kopii klucza może sprawić, że odzyskanie danych stanie się praktycznie niemożliwe. Takie rozwiązanie bywa określane jako usunięcie kryptograficzne.

Nie należy jednak zakładać, że samo szyfrowanie automatycznie rozwiązuje problem. Firma powinna ustalić:

1. czy nie istnieją inne kopie klucza;
2. czy klucz nie jest przechowywany przez dostawcę;
3. czy dane nie występują również w niezależnych backupach;
4. czy zastosowany mechanizm szyfrowania jest odpowiednio silny;
5. czy zniszczenie klucza można udokumentować i zweryfikować.

Usunięcie kryptograficzne powinno być częścią zaprojektowanego procesu, a nie improwizowaną odpowiedzią na wniosek klienta.

Jak obsłużyć wniosek o usunięcie danych znajdujących się w backupach?

1. Zweryfikuj osobę i zakres żądania

Firma powinna ustalić, kto złożył wniosek i jakich danych dotyczy żądanie. Nie należy pozyskiwać nadmiernych informacji tylko w celu potwierdzenia tożsamości.

2. Sprawdź podstawy dalszego przechowywania

Dla każdej kategorii danych trzeba osobno ustalić, czy istnieje obowiązek prawny, podstawa do obrony roszczeń albo inny wyjątek z art. 17 ust. 3 RODO.

3. Zlokalizuj wszystkie aktywne kopie

Należy sprawdzić CRM, pocztę, dyski sieciowe, system księgowy, platformy marketingowe, konta użytkowników, urządzenia pracowników, eksporty danych oraz systemy dostawców.

4. Usuń lub ogranicz dane w aktywnych systemach

Dane, dla których nie ma podstawy dalszego przechowywania, powinny zostać usunięte bez zbędnej zwłoki. Pozostałe informacje trzeba odseparować i ograniczyć ich wykorzystanie do dozwolonego celu.

5. Ustal, które backupy zawierają dane

Nie zawsze konieczne jest przeszukiwanie każdego backupu rekord po rekordzie. Firma powinna jednak znać zakres kopii, daty ich wykonania oraz moment, w którym zostaną nadpisane.

6. Zablokuj normalne wykorzystanie kopii

Dostęp do backupu powinien być ograniczony. Dane nie mogą być wykorzystywane do marketingu, analiz, obsługi klienta ani innych bieżących celów.

7. Wpisz żądanie do rejestru usunięć

Rejestr powinien pozwalać na ponowne zastosowanie usunięcia po przywróceniu starszej wersji systemu.

8. Powiadom dostawców

Jeżeli dane znajdują się u procesora, firma powinna przekazać mu polecenie usunięcia i uzyskać informację, jak wniosek zostanie obsłużony w systemach produkcyjnych oraz backupach.

9. Poinformuj osobę o wyniku

Co do zasady odpowiedzi należy udzielić w ciągu miesiąca. W sprawach skomplikowanych termin może zostać przedłużony o kolejne dwa miesiące, ale osoba musi zostać poinformowana o przedłużeniu i jego powodach.

10. Zweryfikuj wykonanie operacji

Administrator powinien posiadać dowód wykonania usunięcia, potwierdzenie od dostawcy oraz informację o terminie ostatecznego wygaśnięcia kopii zapasowej.

Dostawca chmurowy i kopie zapasowe

Korzystanie z zewnętrznej chmury nie przenosi odpowiedzialności za realizację praw osób na dostawcę. Administrator powinien przed zawarciem umowy sprawdzić, czy usługa pozwala usuwać dane z aktywnych systemów i jak długo informacje pozostają w backupach.

Warto zapytać dostawcę:

1. jakie rodzaje kopii tworzy;
2. gdzie znajdują się backupy;
3. jak długo są przechowywane;
4. czy można usunąć dane konkretnej osoby;
5. kiedy dochodzi do nadpisania całej kopii;
6. kto może przywrócić backup;
7. co dzieje się z usuniętymi danymi po odtworzeniu;
8. czy backupy są szyfrowane;
9. czy korzysta z dalszych procesorów;
10. czy po zakończeniu umowy usuwa wszystkie kopie danych.

Weryfikację takiego dostawcy warto przeprowadzić zgodnie z zasadami opisanymi w artykule Jak wybrać podmiot przetwarzający dane? 12 punktów, które trzeba sprawdzić.

Umowa powierzenia powinna regulować sposób wykonywania poleceń administratora oraz usunięcie lub zwrot danych po zakończeniu świadczenia usług. Powinna także obejmować istniejące kopie, chyba że dalsze przechowywanie wynika z prawa.

Najczęstsze błędy związane z backupami i usuwaniem danych

Brak rozróżnienia między backupem a archiwum

Dane znajdujące się w stale dostępnym archiwum nie mogą być traktowane jak odizolowana kopia awaryjna.

Brak terminu nadpisania

Jeżeli firma nie wie, kiedy backup zostanie usunięty, trudno wykazać realizację prawa bez zbędnej zwłoki.

Przywrócenie usuniętego rekordu

Po odtworzeniu systemu dane wracają do CRM lub bazy marketingowej i ponownie zaczynają być wykorzystywane.

Pozostawienie danych u dostawcy

Firma usuwa informacje ze swojego panelu, ale nie sprawdza systemów dostawcy, jego chmury i dalszych procesorów.

Mylenie dezaktywacji z usunięciem

Konto zostaje zablokowane, ale pełna historia użytkownika nadal jest dostępna dla pracowników.

Brak udokumentowanej decyzji

Administrator nie potrafi wykazać, dlaczego nie usunął danych z backupu natychmiast ani kiedy nastąpi ich ostateczne skasowanie.

Bezterminowe przechowywanie historycznych kopii

Backupy są gromadzone przez lata, mimo że nie istnieje już realna potrzeba ich odtworzenia.

Praktyczna checklista dla firmy

1. Ustal, jakie systemy tworzą kopie zapasowe.
2. Rozróżnij backupy, archiwa, repliki i kosze systemowe.
3. Przypisz właściciela biznesowego oraz technicznego do każdego systemu.
4. Określ okres przechowywania każdej kategorii backupu.
5. Sprawdź, czy system pozwala usunąć pojedynczy rekord.
6. Ogranicz dostęp do kopii wyłącznie do upoważnionych osób.
7. Prowadź rejestr zrealizowanych żądań usunięcia.
8. Dodaj etap ponownego usuwania danych do procedury odtwarzania.
9. Zweryfikuj zasady stosowane przez dostawców chmurowych.
10. Testuj odtwarzanie systemów wraz z kontrolą usuniętych rekordów.
11. Dokumentuj nadpisanie, anonimizację lub zniszczenie kopii.
12. Regularnie przeglądaj retencję i eliminuj bezterminowe backupy.

Przygotowanie tych dowodów ma znaczenie także podczas postępowania organu. Artykuł BPPZ Kontrola UODO bez chaosu. Jak przygotować firmę, dokumenty i pracowników? pokazuje, jak uporządkować odpowiedzialność, dokumentację i sposób prezentowania zgodności.

Podsumowanie

Usuwanie danych z kopii zapasowych nie zawsze wymaga natychmiastowej ingerencji w każdą historyczną kopię. Nie oznacza to jednak, że backup jest wyłączony spod RODO albo może być przechowywany bezterminowo.

Jeżeli usunięcie pojedynczego rekordu jest możliwe i nie narusza bezpieczeństwa kopii, firma powinna je rozważyć. Jeżeli ingerencja może uszkodzić backup, organizacja powinna odizolować kopię, ograniczyć dostęp, ustalić krótki okres retencji i zagwarantować ponowne usunięcie danych w przypadku odtworzenia systemu.

Najważniejsza jest rozliczalność. Administrator powinien umieć wykazać, gdzie pozostały dane, dlaczego nie zostały usunięte natychmiast, kiedy nastąpi ich ostateczne skasowanie oraz jak zapobiega ich ponownemu wykorzystaniu.

Kopie zapasowe a prawo do usunięcia danych. FAQ

Źródła:

1. EROD, raport dotyczący realizacji prawa do usunięcia danych przez administratorów, 10 lutego 2026 r.
2. EROD, podsumowanie problemów utrudniających pełną realizację prawa do usunięcia danych, 18 lutego 2026 r.
3. UODO, EROD wskazuje wyzwania utrudniające pełną realizację prawa do usunięcia danych, 6 marca 2026 r.
4. RODO, Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, w szczególności art. 5, 12, 17, 19, 25, 28 i 32
5. Komisja Europejska, Czy zawsze trzeba usunąć dane osobowe na żądanie osoby?
6. ICO, zasada ograniczenia przechowywania i usuwanie danych z backupów
7. Duński organ ochrony danych, nakaz dotyczący systemowego wdrożenia terminów usuwania danych, 4 maja 2026 r.