GDPR – õigus olla unustatud

Õigus olla unustatud tuleneb juhtumist Google Spain SL, Google Inc v Agencia Española de Protección de Datos, Mario Costeja González (2014). Esmakordselt on õigus olla unustatud kodeeritud ja leidub üldises andmekaitsemääruses (GDPR) lisaks kustutamise õigusele.

Vastavalt nimetatud reegel reguleerib eeskätt kustutamiskohustusi. Selle kohaselt tuleb isikuandmed viivitamatult kustutada, kui andmeid pole enam vaja nende algse töötlemise eesmärgi jaoks, andmesubjekt on oma nõusoleku tagasi võtnud ja puudub muu seaduslik alus töötlemiseks, andmesubjekt on esitanud vastuväite ja puuduvad kaalukad õigustatud põhjused töötlemiseks või kustutamine on vajalik EL õiguse või liikmesriikide õiguse alusel seadusliku kohustuse täitmiseks. Lisaks tuleb andmed loomulikult kustutada, kui töötlemine ise oli algusest peale seadusevastane.

Vastutav töötleja on seega ühelt poolt automaatselt seadusjärgsete kustutamiskohustuste subjekt ja peab teisalt täitma andmesubjekti õigust andmete kustutamisele. Seadus ei kirjelda, kuidas andmeid üksikjuhtudel tuleb kustutada. Otsustav element on see, et tulemusena ei ole enam võimalik isikuandmeid ebaproportsionaalse jõupingutuseta eristada. Piisab, kui andmekandja on füüsiliselt hävitatud või kui andmed on spetsiaalse tarkvara abil püsivalt üle kirjutatud.

Lisaks on õigus olla unustatud sätestatud GDPR-i artiklis 17(2). Kui vastutav töötleja on isikuandmed avalikustanud ja kui esineb üks eeltoodud kustutamise põhjusi, peab ta võtma mõistlikke meetmeid, arvestades asjaolusid, et teavitada kõiki teisi töötlejaid andmetöötluses, et kõik viited neile isikuandmetele, samuti isikuandmete koopiad või replikaadid, tuleb kustutada.

Kustutamistaotlus ei ole allutatud ühele kindlale vormile ning vastutav töötleja ei tohi nõuda mingit konkreetset vormi. Siiski peab andmesubjekti identiteet olema tõendatud sobival viisil. Kui identiteeti ei ole tõendatud, võib vastutav töötleja nõuda lisateavet või keelduda andmete kustutamisest. Kui olemas on nõue või seadusest tulenev kohustus andmete kustutamiseks, tuleb see kiiresti täita. See tähendab, et vastutav töötleja peab kontrollima kustutamise tingimusi viivitamatult. Kustutamistaotluse korral tuleb andmesubjekti teavitada ühe kuu jooksul võetud meetmetest või keeldumise põhjustest. Õigus olla unustatud kajastub teist korda teavitamiskohustuses. Lisaks kustutamisele peab vastutav töötleja vastavalt GDPR-i artiklile 19 teavitama kõiki andmete saajaid igast parandusest või kustutamisest ning seega peab ta kasutama kõiki kättesaadavaid vahendeid ja ammendama kõik asjakohased tegevused.
Õigus olla unustatud ei ole tingimusteta tagatud. Seda piirataks eriti juhul, kui see põrkab kokku sõnavabaduse ja teabevabadusega. Muud erandid on, kui kustutamistaotluse all olevate andmete töötlemine on vajalik juriidiliste kohustuste täitmiseks, üldsuse huvides arhiveerimiseks, teaduslikel või ajaloolistel uurimistöödel või statistilistel eesmärkidel või õiguslike nõuete kaitseks.

.