Czy trzeba natychmiast usuwać dane ze wszystkich kopii zapasowych?

Nie zawsze. Najpierw trzeba ustalić, czy zachodzi podstawa z artykułu 17 i czy nie działa jeden z jego wyjątków. Aktywne oraz bezpiecznie edytowalne kopie usuwa się bez zbędnej zwłoki. W integralnościowo chronionym zestawie odzyskiwania właściwą kontrolą może być izolacja, udokumentowane wygaśnięcie i obowiązkowe ponowienie usunięcia po każdym odtworzeniu.

Czy RODO wyłącza kopie zapasowe spod prawa do usunięcia danych?

Nie. RODO nie tworzy ogólnego wyłączenia dla pliku nazwanego kopią zapasową. Znaczenie ma funkcja kopii, jej możliwość bezpiecznej zmiany, podstawa prawna dalszego przechowywania oraz wyjątki z artykułu 17. Zwykła replika lub przeszukiwalne archiwum mogą być aktywne operacyjnie, nawet jeśli zespół techniczny nazywa je roboczo backupem.

Jakie podstawy uruchamiają prawo do usunięcia danych?

Artykuł 17 obejmuje między innymi dane, które nie są już potrzebne, skuteczne wycofanie zgody bez innej podstawy, uwzględniony sprzeciw, przetwarzanie niezgodne z prawem oraz obowiązek usunięcia wynikający z prawa. Obejmuje też określone dane zebrane w związku z usługami społeczeństwa informacyjnego oferowanymi dziecku. Każdą podstawę trzeba udokumentować oddzielnie.

Czy obowiązek przechowywania przewidziany prawem pozwala odmówić usunięcia?

Może pozwalać zachować wyłącznie dane niezbędne do wykonania konkretnego obowiązku prawnego. Organizacja powinna wskazać rzeczywisty przepis Unii lub państwa członkowskiego, objęte nim pola, wymagany zakres i właściciela decyzji. Nie istnieje jeden ogólnounijny okres retencji, który automatycznie uzasadniałby pozostawienie całego rekordu albo wszystkich jego technicznych kopii.

Czy automatyczna rotacja kopii zapasowych wystarczy jako procedura usuwania?

Nie sama w sobie. Harmonogram rotacji musi być połączony z konkretnym wnioskiem, nazwanym zestawem kopii, udokumentowaną datą wygaśnięcia i instrukcją na wypadek odtworzenia. Planowane nadpisanie nie dowodzi, że rzeczywiście nastąpiło. Długie odstępy wymagają oceny opartej na dowodach, a raport EROD nie ustanawia uniwersalnego maksymalnego terminu.

Co zrobić z usuniętymi danymi po odtworzeniu kopii?

Odtworzone środowisko powinno pozostać odizolowane, dopóki rejestr usunięć nie zostanie sprawdzony. Pozytywne dopasowania usuwa się ponownie, a wyjątki przechowywania oddziela i ogranicza. Następnie sprawdza się dalsze repliki, pamięci podręczne i eksporty, zapisuje wyniki oraz uzyskuje potwierdzenie właściciela wniosku i właściciela odtworzenia przed zwolnieniem środowiska do zwykłego użycia.

Czy trzeba usuwać dane z kopii zapasowych zgodnie z RODO?

Skrajne odpowiedzi prowadzą do błędu. Nie trzeba zawsze natychmiast kasować każdego nośnika odzyskiwania, ale kopie zapasowe nie są też automatycznie wyłączone z RODO. Najpierw ustala się, czy artykuł 17 wymaga usunięcia, klasyfikuje każdą kopię, działa bez zbędnej zwłoki tam, gdzie obowiązek ma zastosowanie, oraz zapobiega ponownemu wprowadzeniu danych podczas odtworzenia ¹^,3.

Szybka odpowiedź Odpowiedź na pytanie, czy trzeba usuwać dane z kopii zapasowych, zależy od podstawy prawnej i funkcji kopii. Dane aktywne oraz kopie możliwe do bezpiecznej edycji trzeba objąć usunięciem. Zestawy chronione integralnościowo mogą pozostać odizolowane do wygaśnięcia, jeżeli rejestr wymusza usunięcie po każdym odtworzeniu ¹^,3.

Ostatnia aktualizacja: 24 września 2026 r.

Nazwa „backup” nie rozstrzyga sposobu działania

Kopię ocenia się według funkcji, a nie etykiety w systemie. Replika używana do bieżącej pracy, migawka możliwa do bezpiecznej modyfikacji i zestaw odzyskiwania chroniony przed zmianą wymagają innych działań. Najpierw jednak należy ustalić podstawę usunięcia lub wyjątek; dopiero później ograniczenia techniczne ³.

Rodzaj kopii	Właściwe działanie	Potrzebny dowód
Aktywny system albo zwykła replika	Usuń lub skutecznie ogranicz dane i sprawdź wynik.	Zakres pól, wykonana operacja i weryfikacja.
Kopia zapasowa możliwa do bezpiecznej edycji	Zmień ją kontrolowaną metodą bez naruszenia użyteczności.	Identyfikator zestawu, metoda, wynik i kontrola integralności.
Zestaw odzyskiwania chroniony integralnościowo	Odizoluj od zwykłego użycia, wyznacz wygaśnięcie i kontrolę odtworzenia.	Izolacja, termin, instrukcja odtworzenia i późniejsza weryfikacja.
Wyjątek z artykułu 17	Zachowaj tylko niezbędny, jasno ograniczony zakres.	Konkretna podstawa, pola, okres i właściciel decyzji.

Zwykła replika, z której można odczytać rekord klienta lub ponownie zasilić produkcję, pozostaje aktywna niezależnie od nazwy katalogu. Z kolei niezmienny zestaw odzyskiwania może stracić wiarygodność, jeśli wybiórczo zmodyfikuje się jego zawartość. Ochrona integralności nie usuwa obowiązku, lecz zmienia sposób jego bezpiecznego wykonania.

Właściciel wniosku musi wiedzieć, które kopie obejmuje decyzja. Właściciel odtworzenia powinien natomiast dostać jednoznaczną instrukcję, co zrobić przed przywróceniem pracy. Jeżeli te role istnieją w dwóch zespołach bez wspólnego rejestru, usunięte dane mogą wrócić, mimo że oba zespoły poprawnie wykonały własne, odizolowane zadania.

Klasyfikacja powinna być sprawdzalna na przykładzie. Jeżeli dział obsługi może otworzyć rekord w archiwum, skopiować adres i użyć go w bieżącej sprawie, kopia nie jest odizolowanym zestawem odzyskiwania. Jeżeli zmiana pliku unieważnia kontrolę całego nośnika, zapis powinien wskazać mechanizm integralności, a nie tylko opinię administratora systemu.

Najpierw potwierdź podstawę z artykułu 17

Żądanie osoby nie jest jeszcze kompletną decyzją. Trzeba potwierdzić tożsamość w proporcjonalny sposób, ustalić zakres oraz przeszukać systemy według identyfikatorów związanych z osobą. Następnie każdą podstawę ocenia się oddzielnie, ponieważ dowód potrzebny dla zakończonego celu różni się od dowodu dla wycofanej zgody ³. Artykuł 17 wymienia między innymi:

dane nie są już niezbędne do celów, dla których je zebrano lub przetwarzano;
osoba wycofała zgodę, a nie istnieje inna podstawa prawna przetwarzania;
osoba skutecznie wniosła sprzeciw albo sprzeciw dotyczy marketingu bezpośredniego;
dane były przetwarzane niezgodnie z prawem;
usunięcie jest konieczne do wykonania obowiązku prawnego wynikającego z prawa Unii lub państwa członkowskiego;
dane zebrano w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w artykule 8 ustęp 1.

Dla podstawy „dane nie są już potrzebne” zapis powinien wskazać zakończony cel i systemy, w których ten cel był realizowany. Przy wycofaniu zgody trzeba sprawdzić, czy inna podstawa rzeczywiście obejmuje dany cel, a nie cały profil. Przy sprzeciwie należy zapisać jego rodzaj i wynik oceny. W ten sposób jedno żądanie nie zamienia się w nieudokumentowane polecenie skasowania wszystkiego.

Wyszukiwanie należy zaplanować tak, aby nie pominąć dawnych identyfikatorów. Osoba mogła zmienić adres e-mail, numer klienta albo nazwisko, a starszy zestaw odzyskiwania nadal zawierać poprzednią wartość. Rejestr może przechować minimalne, powiązane klucze użyte do dopasowania, bez tworzenia nowej, szerokiej kopii danych o osobie.

Zakres wniosku także wymaga rozdzielenia. Usunięcie konta sklepu nie musi obejmować dokumentu zachowanego na konkretnej podstawie prawnej, ale może obejmować niezależny profil rekomendacji. Każdy wynik wyszukiwania powinien więc prowadzić do decyzji „usuń”, „ograniczony wyjątek” albo „brak dopasowania”, wraz z krótkim uzasadnieniem.

Wynikiem wyszukiwania jest spis kopii. Powinien objąć produkcję, archiwa przeszukiwalne, zwykłe repliki, eksporty robocze, pamięci podręczne oraz nazwane zestawy odzyskiwania. Spis łączy każdą kopię z jej funkcją, właścicielem i decyzją. Bez niego nie da się wykazać ani kompletnego usunięcia, ani uzasadnionego pozostawienia ³.

Wyjątek trzeba ograniczyć do tego, co naprawdę chroni

Artykuł 17 nie działa bez wyjątków, ale żaden z nich nie jest statusem całej bazy. Ocenia się niezbędny zakres danych i konkretny cel dalszego przechowywania ³. Kategorie obejmują wolność wypowiedzi i informacji, obowiązek prawny lub zadanie publiczne, względy zdrowia publicznego, cele archiwalne, naukowe, historyczne lub statystyczne z artykułu 89 oraz ustalanie, dochodzenie lub obronę roszczeń.

Możliwy wyjątek	Dowód zakresu	Wynik
Wolność wypowiedzi i informacji	Opis konfliktu praw oraz koniecznego materiału	Zachowaj tylko zakres potrzebny do chronionego celu.
Obowiązek prawny albo zadanie publiczne	Właściwy przepis, objęte dane, okres i właściciel	Zachowaj pola wymagane przez rzeczywistą regułę.
Zdrowie publiczne	Konkretna podstawa i cel objęty warunkami RODO	Ogranicz dostęp i dalsze użycie do tego celu.
Archiwizacja, badania lub statystyka z artykułu 89	Ryzyko uniemożliwienia albo poważnego utrudnienia celu i zabezpieczenia	Zachowaj tylko niezbędny materiał z zabezpieczeniami.
Roszczenia prawne	Roszczenie, zakres dowodowy, właściciel i punkt przeglądu	Oddziel oraz ogranicz dane do czasu uzasadnionego końca.

W szczególności artykuł 17 ustęp 3 litera b nie tworzy ogólnego hasła „retencja prawna”. Organizacja powinna wskazać faktyczny przepis Unii albo państwa członkowskiego, dane objęte tym przepisem i osobę odpowiedzialną za ocenę. Nie wolno wymyślać jednego unijnego okresu przechowywania dla faktur, spraw pracowniczych czy innych kategorii ustalanych przez właściwe prawo.

Jeżeli przepis wymaga zachowania dokumentu rozliczeniowego, nie oznacza to automatycznie prawa do utrzymywania całego profilu marketingowego. Wyjątek trzeba przełożyć na pola i kopie. Część rekordu może zostać usunięta, a wąski zestaw pozostać odseparowany. Takie rozdzielenie jest wynikiem oceny, nie techniczną sztuczką ³. Data przeglądu powinna odpowiadać końcowi rzeczywistej potrzeby, aby raz przyjęty wyjątek nie pozostawał aktywny bez ponownej decyzji. Jeżeli spór kończy się wcześniej, właściciel roszczenia przekazuje informację właścicielowi usunięcia.

Aktywne kopie nie mogą czekać na rotację

Produkcja, przeszukiwalne archiwum, zwykła replika, pamięć podręczna lub eksport roboczy mogą być aktywnymi kopiami. Nazwa „archiwum” albo „backup” nie wystarcza, jeśli dane nadal służą zwykłej działalności. Dla każdej kopii trzeba określić pola, wykonać usunięcie lub uzasadnione ograniczenie, sprawdzić brak danych i odpowiednio uwzględnić odbiorców.

Wykonanie „bez zbędnej zwłoki” nie oznacza wymyślonego, jednakowego terminu technicznego ³. Priorytet zależy od podstawy, ryzyka, liczby systemów i rzeczywistych ograniczeń, ale otwarte zadanie potrzebuje właściciela i daty kontroli. Harmonogram nie może zmienić obowiązku prawnego w kolejkę bez końca.

Zwięzły zapis ukończenia powinien obejmować klucz wniosku, system, pola i identyfikatory wyszukiwania, zastosowaną operację, czas, wykonawcę, wynik weryfikacji oraz obsługę odbiorców. Wynik częściowy albo nieudana kontrola pozostają otwarte. Status „wykonano” jest prawdziwy dopiero wtedy, gdy zapis pokazuje zarówno działanie, jak i jego sprawdzenie.

Weryfikacja powinna używać tej samej logiki wyszukiwania co spis kopii, ale nie może polegać wyłącznie na komunikacie narzędzia „sukces”. Warto sprawdzić próbkę powiązanych identyfikatorów i ustalić, czy dane nie zostały jedynie ukryte w interfejsie. Jeżeli operacja usuwa rekord asynchronicznie, zapis pozostaje otwarty do czasu potwierdzenia wykonania w systemie docelowym.

Ochrona integralności wymaga kontroli odtworzenia

Zmiana pojedynczego pliku w zestawie odzyskiwania może naruszyć integralność całej kopii. Raport EROD uznaje tę praktyczną trudność i wskazuje podejście polegające na śledzeniu żądań oraz ponownym zastosowaniu ich po odtworzeniu ¹. Nie jest to ogólna zgoda na zwykłe używanie danych do czasu rotacji.

Pole rejestru	Co należy zapisać
Klucz wniosku	Wewnętrzny, minimalny identyfikator łączący decyzję bez zbędnych danych.
Identyfikatory dopasowania	Pola wystarczające do wykrycia rekordu po odtworzeniu.
Zestaw kopii	Jednoznaczna nazwa, zakres systemów i data utworzenia.
Decyzja o integralności	Dlaczego bezpieczna edycja jest możliwa albo dlaczego naruszyłaby zestaw.
Kontrola zwykłego użycia	Izolacja, uprawnienia i zakaz podłączania do produkcji.
Zdarzenie wygaśnięcia	Konkretna data lub zdarzenie rotacji oraz sposób potwierdzenia.
Działanie po odtworzeniu	Kroki ponownego dopasowania, usunięcia i obsługi wyjątków.
Weryfikacja	Wynik, czas, wykonawca oraz potwierdzenia obu właścicieli.

Rejestr powinien przechowywać tylko identyfikatory konieczne do późniejszego dopasowania. Dostęp mają osoby obsługujące wnioski i odzyskiwanie, nie cały zespół. Izolacja jest rzeczywista dopiero wtedy, gdy zestawu nie można przeszukiwać, używać do raportowania ani podłączyć do zwykłego środowiska bez kontrolowanego zdarzenia odtworzenia. Samo przeniesienie pliku do innego katalogu nie tworzy takiej granicy.

Wygaśnięcie również wymaga dowodu. Plan rotacji opisuje przyszłe zdarzenie, a dziennik wykonania potwierdza, że konkretny stary zestaw faktycznie przestał istnieć. Nowy zestaw utworzony już po skutecznym usunięciu powinien otrzymać osobną tożsamość i wynik „brak rekordu”. Stare zestawy pozostają powiązane z instrukcją ponownego usunięcia. Bez tego rozróżnienia operator może pominąć wymagane działanie w starej kopii albo wykonywać zbędne operacje w nowej ¹.

Zmiana technologii nie powinna zerwać tego łańcucha. Migracja do nowego repozytorium kopii wymaga przeniesienia identyfikatorów zestawów, ograniczeń dostępu i otwartych instrukcji odtworzenia. Jeżeli nowy dostawca nadaje własne nazwy, rejestr powinien zachować mapowanie starej i nowej tożsamości. W przeciwnym razie formalnie otwarty wniosek traci techniczny cel działania.

Warto też okresowo sprawdzić uprawnienia. Izolowana kopia przestaje być izolowana, gdy konto analityczne albo narzędzie indeksujące uzyskuje do niej zwykły dostęp. Kontrola dostępu powinna więc obejmować nie tylko operatorów odzyskiwania, lecz także automatyczne skanery, katalogi danych i procesy testowe.

Automatyczne wygaśnięcie nie zastępuje procedury

W skoordynowanym działaniu zgłaszano obawy dotyczące podejścia opartego wyłącznie na automatycznym usuwaniu po określonym czasie wśród połowy odpowiadających organów. Raport wskazywał między innymi słabe powiązanie z indywidualnym wnioskiem i brak wystarczającej kontroli. Dane te opisują odpowiedzi organów, a nie rozpowszechnienie praktyki wśród wszystkich administratorów ¹^,2.

Procedura dla jednego wniosku łączy podstawę z artykułu 17, wynik oceny wyjątków, działania w aktywnych kopiach, nazwane zestawy odzyskiwania, decyzję o integralności, zdarzenie wygaśnięcia i instrukcję odtworzenia. Każdy element powinien mieć właściciela. W przeciwnym razie automatyzacja może usunąć nośnik, ale nikt nie potrafi wykazać, którego wniosku dotyczył i czy wszystkie kopie zostały objęte.

Długie odstępy rotacji wymagają oceny opartej na dowodach. Należy rozważyć izolację, możliwość wcześniejszej bezpiecznej edycji, prawdopodobieństwo odtworzenia, ryzyko dla osoby oraz inne dostępne zabezpieczenia. Raport EROD nie ustanawia jednego maksymalnego okresu dla kopii. Organizacja nie może więc zastąpić własnej oceny liczbą przypisaną źródłu.

Planowane wygaśnięcie i potwierdzone wygaśnięcie to dwa różne stany. Dopóki system nie zapisze wykonania oraz wyniku, zadanie pozostaje otwarte. Ta różnica jest szczególnie ważna przy awarii rotacji, zatrzymaniu nośnika do dochodzenia technicznego albo zmianie dostawcy przechowywania. Każde odstępstwo powinno otrzymać nowy termin, właściciela i ocenę wpływu na osoby. Sam alert bez zamkniętej reakcji nie jest dowodem wygaśnięcia.

Dane z działania EROD opisują ćwiczenie, nie cały rynek

W skoordynowanym działaniu uczestniczyły 32 organy nadzorcze. Dziewięć prowadziło formalne postępowania, a 23 działania wyjaśniające; skontaktowano się z 7943 administratorami i otrzymano 764 odpowiedzi ¹. Te liczby opisują konstrukcję ćwiczenia oraz materiał zebrany przez organy. Nie są próbą pozwalającą obliczyć, jak często konkretny błąd występuje we wszystkich organizacjach.

Wyniki wskazywały powtarzające się luki w procedurach, harmonogramach oraz nieuzasadnionym wyłączaniu niektórych systemów lub kopii ¹^,2. Wniosek praktyczny nie polega na przypisaniu sobie cudzej częstotliwości. Polega na sprawdzeniu, czy własny proces ma te same punkty kontrolne i czy każdy z nich daje dowód dla konkretnego żądania.

Mała organizacja nie potrzebuje rozbudowanej platformy. Jeden zapis wniosku, rejestr kopii i krótka instrukcja odtworzenia mogą wystarczyć, jeżeli tworzą spójny łańcuch. Zapis decyzji prawnej powinien prowadzić do działań technicznych, a wynik testu technicznego wracać do właściciela wniosku. Liczba narzędzi nie zastępuje tego połączenia.

Minimalny zestaw nadal potrzebuje wspólnego klucza. Ten sam identyfikator powinien pojawić się w decyzji, spisie aktywnych kopii, rejestrze zestawów i protokole próby. Dzięki temu właściciel może przejść od żądania do wyniku bez ręcznego zgadywania nazw. Jeżeli arkusz i instrukcja używają różnych kluczy, prostota narzędzi staje się źródłem utraty śladu.

Próba odtworzenia sprawdza, czy usunięcie przetrwa awarię

Środowisko odtworzone powinno pozostać odizolowane, dopóki kontrola usunięć nie zostanie zakończona. Próba ma pokazać, że zespół potrafi znaleźć pozytywne dopasowanie, uszanować wąsko zachowany wyjątek i rozpoznać prawdziwy brak dopasowania. Osiem kroków tworzy powtarzalną ścieżkę:

Wskaż migawkę, systemy objęte odtworzeniem oraz dokładny czas punktu odzyskania.
Ogranicz dostęp i zablokuj połączenie odtworzonego środowiska ze zwykłą produkcją.
Odpytaj rejestr usunięć o wnioski odnoszące się do daty i zakresu wybranej kopii.
Ponownie zastosuj usunięcie dla wszystkich potwierdzonych dopasowań.
Oddziel dane zachowane na podstawie wyjątku i ogranicz je do udokumentowanego zakresu.
Sprawdź dalsze repliki, pamięci podręczne, kolejki oraz eksporty utworzone podczas próby.
Zapisz każde dopasowanie, brak dopasowania, wykonaną czynność, błąd i wynik ponownego sprawdzenia.
Zwolnij środowisko dopiero po potwierdzeniu właściciela wniosku oraz właściciela odtworzenia.

Ścieżka testowa	Oczekiwany wynik	Decyzja
Kontrolowany rekord z aktywnym znacznikiem usunięcia	Rekord zostaje odnaleziony, usunięty ponownie i nie przechodzi dalej.	Zalicz po pełnej weryfikacji.
Kontrolowany rekord objęty wąskim wyjątkiem	Zachowany zostaje tylko udokumentowany zakres z ograniczonym dostępem.	Zalicz, jeśli granica jest sprawdzalna.
Rzeczywista ścieżka bez dopasowania	Rejestr zwraca prawdziwy brak, a system nie tworzy fałszywej akcji.	Zalicz po zapisaniu wyniku.
Błąd kroku, repliki albo podpisu	Środowisko pozostaje odizolowane, a etap ma właściciela naprawy.	Powtórz nieudany etap.

Warto używać kontrolowanych rekordów, aby nie zwiększać ryzyka dla rzeczywistych osób. Test pozytywny sprawdza wykonanie instrukcji, a prawdziwa ścieżka bez dopasowania pokazuje, że mechanizm nie usuwa danych przypadkowo. Jeżeli jeden etap się nie powiedzie, nie trzeba zaczynać bezmyślnie od nowa; należy zachować izolację, przypisać właściciela i powtórzyć wadliwy etap wraz z zależnymi kontrolami.

Rekord kontrolowany powinien występować w znanym zestawie i mieć znany wynik, aby próba wykryła brak. Nie wolno jednak zastąpić nim ścieżki prawdziwego braku dopasowania. Mechanizm musi dowieść dwóch rzeczy: potrafi ponowić właściwą operację oraz nie uruchamia jej dla osoby, której nie ma w rejestrze.

Po błędzie trzeba zapisać, które późniejsze etapy straciły wiarygodność. Nieudany odczyt rejestru unieważnia późniejsze „brak dopasowania”, natomiast błąd podpisu nie musi wymagać ponownego odtwarzania danych. Powtarza się wadliwy etap oraz kontrole zależne, a środowisko pozostaje odizolowane do uzyskania obu potwierdzeń.

Zamknięcie wymaga dowodu z obu stron procesu

Kompletny zapis łączy podstawę usunięcia, wyjątki, działania w kopiach aktywnych, zestawy odzyskiwania, decyzje o integralności, potwierdzone wygaśnięcie oraz kontrolę odtworzenia. Brakujący dowód albo nieudany test utrzymuje sprawę otwartą, nawet jeżeli główny rekord zniknął z ekranu.

Właściciel wniosku potwierdza zakres prawny, a właściciel odtworzenia działanie techniczne. Oba podpisy są potrzebne, ponieważ żadna z tych ról samodzielnie nie widzi całej ścieżki. Rejestr powinien wskazywać różnicę między zakresem usuniętym, zakresem wąsko zachowanym oraz kopią oczekującą na kontrolowane wygaśnięcie.

Komunikacja z osobą powinna odpowiadać temu stanowi, bez ujawniania niepotrzebnych szczegółów bezpieczeństwa. Jeżeli prace są jeszcze otwarte, organizacja nie powinna opisywać ich jako zakończonych. Jeżeli wąski zakres pozostaje na podstawie wyjątku, odpowiedź musi odróżniać go od danych usuniętych i nie sugerować szerszego dalszego użycia.

Zamknij: podstawa, zakres, aktywne kopie, backupy i kontrola odtworzenia mają sprawdzalny wynik.
Wstrzymaj: wyjątek, integralność albo plan wygaśnięcia wymagają dodatkowego dowodu przed decyzją.
Otwórz ponownie: odtworzenie, nowa replika lub nieudana kontrola mogły przywrócić dane do zwykłego użycia.

Artykuł 17 określa prawny zakres decyzji. Funkcja kopii i jej integralność wyznaczają sposób wykonania. Rejestr wraz z instrukcją odtworzenia sprawiają, że poprawnie zakończone usunięcie nie zostaje po cichu odwrócone przy następnej awarii.