GDPR – Prawo do bycia zapomnianym

Prawo do bycia zapomnianym wywodzi się z sprawy Google Spain SL, Google Inc przeciwko Agencia Española de Protección de Datos, Mario Costeja González (2014). Po raz pierwszy prawo do bycia zapomnianym jest skodyfikowane i znajduje się w Ogólnym Rozporządzeniu o Ochronie Danych (RODO) oprócz prawa do usunięcia danych.

Odpowiednio nazwana zasada przede wszystkim reguluje obowiązki związane z usuwaniem. Zgodnie z nią, dane osobowe muszą być usunięte niezwłocznie, gdy dane nie są już potrzebne do ich pierwotnego celu przetwarzania, lub gdy osoba, której dane dotyczą, wycofała swoją zgodę, a nie ma innej podstawy prawnej do przetwarzania, osoba, której dane dotyczą, wnosi sprzeciw i nie istnieją nadrzędne prawnie uzasadnione podstawy do przetwarzania, lub usunięcie jest wymagane do spełnienia ustawowego obowiązku na mocy prawa UE lub prawa państw członkowskich. Dodatkowo, dane muszą być naturalnie usunięte, jeśli samo przetwarzanie było od początku niezgodne z prawem.

Administrator jest zatem z jednej strony automatycznie poddany ustawowym obowiązkom usuwania danych, a z drugiej strony musi spełniać prawo podmiotu danych do ich usunięcia. Przepisy nie opisują, w jaki sposób dane muszą być usuwane w indywidualnych przypadkach. Decydującym elementem jest to, że w wyniku nie jest możliwe rozpoznanie danych osobowych bez nieproporcjonalnego wysiłku. Wystarczy, jeśli nośnik danych został fizycznie zniszczony lub jeśli dane zostały trwale nadpisane za pomocą specjalnego oprogramowania.

Dodatkowo, prawo do bycia zapomnianym znajduje się w Art. 17(2) RODO. Jeżeli administrator danych upublicznił dane osobowe i istnieje jeden z powyższych powodów do ich usunięcia, musi podjąć rozsądne działania, uwzględniając okoliczności, aby poinformować wszystkich innych administratorów przetwarzających dane, że wszelkie linki do tych danych osobowych, jak również kopie lub replikacje danych osobowych, muszą zostać usunięte.

Wniosek o usunięcie danych nie podlega określonej formie, a administrator nie może wymagać żadnej konkretnej formy. Jednak tożsamość osoby, której dane dotyczą, musi być w odpowiedni sposób udowodniona. Jeśli tożsamość nie została udowodniona, administrator może zażądać dodatkowych informacji lub odmówić usunięcia danych. W przypadku wniosku o usunięcie lub ustawowego obowiązku usunięcia, musi to zostać wykonane szybko. Oznacza to, że administrator musi sprawdzić warunki usunięcia bez zbędnej zwłoki. W przypadku wniosku o usunięcie, osoba, której dane dotyczą, musi zostać poinformowana w ciągu miesiąca o podjętych działaniach lub przyczynach odmowy. Prawo do bycia zapomnianym jest ponownie odzwierciedlone w obowiązku powiadomienia. Oprócz usunięcia, zgodnie z art. 19 RODO, administrator musi poinformować wszystkich odbiorców danych o wszelkich sprostowaniach lub usunięciach i musi w tym celu użyć wszelkich dostępnych środków i wyczerpać wszystkie odpowiednie środki.
Prawo do bycia zapomnianym nie jest gwarantowane bezwarunkowo. Jest ograniczone szczególnie wtedy, gdy koliduje z prawem do wolności wyrażania opinii i informacji. Inne wyjątki to sytuacje, gdy przetwarzanie danych objętych wnioskiem o usunięcie jest konieczne do spełnienia obowiązków prawnych, do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, lub do obrony roszczeń prawnych.