Proces wykonywania backupu praktycznie w każdej firmie ma jakiś związek z obowiązującym dany podmiot prawem. Istnieje kilka rodzajów placówek przetwarzających dane szczególnie wrażliwe (medyczne, finansowe, niejawne), które mają własne, branżowe regulacje. Natomiast Rozporządzenie o Ochronie Danych Osobowych obowiązuje wszystkich.
To we wspomnianym Rozporządzeniu znajduje się bardzo ważny zapis, gwarantujący właścicielom danych osobowych tzw. prawo do bycia zapomnianym (art. 17 ust. 1). Mówi ono, że każda osoba fizyczna ma prawo żądać od administratora niezwłocznego usunięcia swoich danych osobowych, a obowiązkiem administratora jest ich skasowanie bez zbędnej zwłoki.
Pojawiła się jednak wątpliwość, czy w momencie otrzymania takiego żądania przez właściciela danych osobowych, istnieje obowiązek ich usunięcia danych także z wykonanych już kopii backupowych, aby nie doszło do ponownego wprowadzenia do systemu danych osoby, która już wcześniej (ale po wykonaniu kopii backupowej) zgłosiła żądanie ich usunięcia. W przypadku nośników jednorazowego zapisu (WORM) jest to niemożliwe. W pozostałych przypadkach zaś wiązałoby się z koniecznością odtworzenia danych, odnalezienia danego rekordu lub pliku, usunięcia go i ponownego wykonania kopii – cała operacja praktycznie bez sensu.
Wątpliwość tę wyjaśnił Wojciech Wiewiórowski, Europejski Inspektor Ochrony Danych (wywiad dla kwartalnika Vademecum VAR-ów i Integratorów): „Wątpliwości zgłaszano już wcześniej w kwestii żądania poprawienia danych osoby, a teraz dotyczą one także prawa do usunięcia danych. (…) Rzecznicy ochrony danych nie zakładali, że musi nastąpić modyfikacja także kopii backupowych, bo często jest to niemożliwe z przyczyn technicznych. Jako rozwiązanie problemu rekomendowali wprowadzenie procedur organizacyjnych, zgodnie z którymi w momencie wykonania backupu rozpoczyna się proces tworzenia listy wprowadzonych od tej pory zmian. Gdy dojdzie do konieczności odtworzenia danych z kopii, należy odpowiednimi metodami organizacyjnymi nanieść również zanotowane zmiany. Dopiero po tej operacji można dopuścić bazę z danymi osobowymi do ponownego użytku produkcyjnego.”