GDPR – Pravo na zaborav

Pravo na zaborav proizlazi iz slučaja Google Spain SL, Google Inc protiv Agencia Española de Protección de Datos, Mario Costeja González (2014). Po prvi put, pravo na zaborav je kodificirano i može se pronaći u Općoj uredbi o zaštiti podataka (GDPR) uz pravo na brisanje.

Pravila istog naziva prvenstveno reguliraju obveze brisanja. Prema tome, osobni podaci moraju se odmah izbrisati kada više nisu potrebni za njihovu izvornu svrhu obrade, ili ako je ispitanik povukao svoj pristanak i ne postoji druga pravna osnova za obradu, ako je ispitanik prigovorio i ne postoje nadređeni legitimni razlozi za obradu, ili ako je brisanje potrebno za ispunjenje zakonom propisane obveze prema pravu EU-a ili pravu država članica. Osim toga, podaci svakako moraju biti izbrisani ako je sama obrada bila protivna zakonu u prvom redu.

Voditelj obrade je s jedne strane automatski podložan zakonskim obvezama brisanja, a s druge strane mora poštovati pravo ispitanika na brisanje. Zakon ne opisuje kako podaci moraju biti izbrisani u pojedinačnim slučajevima. Odlučujući element je da kao rezultat nije više moguće razabrati osobne podatke bez nerazmjernog truda. Dovoljno je ako su mediji na kojima se podaci nalaze fizički uništeni, ili ako su podaci trajno prebrisani korištenjem posebnog softvera.

Osim toga, pravo na zaborav pronađeno je u čl. 17(2) GDPR-a. Ako je voditelj obrade javno objavio osobne podatke, i ako postoji jedan od gore navedenih razloga za brisanje, mora poduzeti razumne mjere, uzimajući u obzir okolnosti, kako bi obavijestio sve druge voditelje obrade podataka da svi poveznice na ove osobne podatke, kao i kopije ili replike osobnih podataka, moraju biti izbrisani.

Zahtjev za brisanje nije podložan nikakvom posebnom obliku, a voditelj obrade ne smije zahtijevati bilo kakav specifičan oblik. Međutim, identitet ispitanika mora biti dokazan na prikladan način. Ako identitet nije dokazan, voditelj obrade može zatražiti dodatne informacije ili odbiti brisanje podataka. Ako postoji zahtjev ili zakonska obveza brisanja, to se mora izvršiti brzo. To znači da voditelj obrade mora provjeriti uvjete za brisanje bez nepotrebnog odgađanja. U slučaju zahtjeva za brisanje, ispitanik mora biti obaviješten u roku od jednog mjeseca o poduzetim mjerama ili razlozima odbijanja. Pravo na zaborav odražava se drugi put u obvezi obavještavanja. Osim brisanja, prema članku 19. GDPR-a, voditelj obrade mora obavijestiti sve primatelje podataka o svakoj ispravci ili brisanju te pri tome koristiti sve raspoložive sredstva i iscrpiti sve prikladne mjere.

Pravo na zaborav nije bezuvjetno zajamčeno. Ono je ograničeno osobito kada se sukobljava s pravom na slobodu izražavanja i informiranja. Ostale iznimke su ako je obrada podataka koji su predmet zahtjeva za brisanje nužna radi ispunjavanja zakonskih obveza, u svrhe arhiviranja u javnom interesu, za potrebe znanstvenog ili povijesnog istraživanja ili statističke svrhe ili za obranu pravnih zahtjeva.