GDPR – Oikeus tulla unohdetuksi

Oikeus tulla unohdetuksi juontaa juurensa tapaukseen Google Spain SL, Google Inc vastaan Agencia Española de Protección de Datos, Mario Costeja González (2014). Ensimmäistä kertaa oikeus tulla unohdetuksi on kodifioitu ja se löytyy yleisestä tietosuoja-asetuksesta (GDPR) oikeuden poistamiseen lisäksi.

Samaniminen sääntö säätelee ensisijaisesti poistovelvoitteita. Sen mukaan, henkilötiedot on poistettava välittömästi, jos tiedot eivät enää ole tarpeen niiden alkuperäiseen käsittelytarkoitukseen, tai jos rekisteröity on peruuttanut suostumuksensa eikä ole muuta laillista perustetta käsittelylle, rekisteröity on vastustanut eikä käsittelylle ole ylivoimaisia oikeutettuja perusteita tai poistaminen on tarpeen EU-lainsäädännön tai jäsenvaltioiden lain mukaisten lakisääteisten velvoitteiden täyttämiseksi. Lisäksi tiedot on luonnollisesti poistettava, jos käsittely itsessään oli alun perin lainvastainen.

Rekisterinpitäjällä on näin ollen toisaalta automaattisesti lakisääteisiä tietojen poistovelvoitteita, ja toisaalta hänen on noudatettava rekisteröidyn oikeutta tietojen poistamiseen. Laki ei kuvaile, miten tiedot on poistettava yksittäisissä tapauksissa. Ratkaiseva tekijä on se, ettei henkilötietoja voi enää havaita kohtuuttoman vaivannäön jälkeen. Riittää, että tietoväline on fyysisesti tuhottu tai että tiedot on pysyvästi ylikirjoitettu erityisellä ohjelmistolla.

Lisäksi oikeus tulla unohdetuksi löytyy GDPR:n 17(2) artiklasta. Jos rekisterinpitäjä on saattanut henkilötiedot julkisiksi ja jos jokin edellä mainituista poistamisen syistä on olemassa, hänen on ryhdyttävä kohtuullisiin toimiin ottaen huomioon olosuhteet, tiedottaakseen kaikille muille tietojenkäsittelyyn osallistuville rekisterinpitäjille, että kaikki linkit näihin henkilötietoihin sekä henkilötietojen kopiot tai jäljennökset on poistettava.

Poistopyyntö ei ole sidottu mihinkään tiettyyn muotoon, eikä rekisterinpitäjä voi vaatia määrättyä muotoa. Rekisteröidyn henkilöllisyys on kuitenkin todistettava sopivalla tavalla. Jos henkilöllisyyttä ei ole todistettu, rekisterinpitäjä voi pyytää lisätietoja tai kieltäytyä poistamasta tietoja. Jos on olemassa pyyntö tai lakisääteinen velvollisuus poistaa, tämä on toteutettava nopeasti. Tämä tarkoittaa, että rekisterinpitäjän on tarkistettava poistamisen edellytykset ilman aiheetonta viivytystä. Poistopyynnön tapauksessa rekisteröityä on informoitava kuukauden kuluessa toteutetuista toimenpiteistä tai kieltäytymisen syistä. Oikeus tulla unohdetuksi ilmenee toisen kerran ilmoitusvelvollisuudessa. Poistamisen lisäksi, GDPR:n artiklan 19 mukaan rekisterinpitäjän on tiedotettava kaikille tietojen vastaanottajille oikaisusta tai poistamisesta, ja siinä on käytettävä kaikkia saatavilla olevia keinoja ja hyödynnettävä kaikki asianmukaiset toimenpiteet.
Oikeus tulla unohdetuksi ei ole ehdottomasti taattu. Se on rajoitettu erityisesti, kun se törmää sananvapautta ja tiedonvälityksen vapautta koskeviin oikeuksiin. Muita poikkeuksia ovat, jos tietojen käsittely, joita poistopyyntö koskee, on tarpeen oikeudellisten velvoitteiden noudattamiseksi, yleisen edun mukaisissa arkistointitarkoituksissa, tieteellisiä tai historiallisia tutkimustarkoituksia varten tai oikeudellisten vaateiden puolustamiseksi.