GDPR – Direito ao Esquecimento

O direito ao esquecimento deriva do caso Google Spain SL, Google Inc v Agencia Española de Protección de Datos, Mario Costeja González (2014). Pela primeira vez, o direito ao esquecimento é codificado e pode ser encontrado no Regulamento Geral sobre a Proteção de Dados (GDPR), além do direito à eliminação.

A regra de nome correspondente regula principalmente as obrigações de eliminação. De acordo com isso, os dados pessoais devem ser eliminados imediatamente quando não forem mais necessários para seu propósito original de processamento, ou quando o titular dos dados tenha retirado seu consentimento e não exista outra base legal para o processamento, o titular dos dados tenha se oposto e não existam motivos legítimos prevalecentes para o processamento, ou a eliminação seja necessária para cumprir uma obrigação legal de acordo com a lei da UE ou o direito dos Estados-Membros. Além disso, os dados devem naturalmente ser eliminados se o próprio processamento tiver sido ilegal desde o início.

O controlador está, portanto, por um lado, automaticamente sujeito a obrigações legais de apagamento, e deve, por outro lado, cumprir o direito do titular dos dados ao apagamento. A lei não descreve como os dados devem ser apagados em casos individuais. O elemento decisivo é que, como resultado, não seja mais possível discernir dados pessoais sem esforço desproporcional. É suficiente se o meio de dados tiver sido fisicamente destruído, ou se os dados forem permanentemente sobrepostos usando software especial.

Além disso, o direito ao esquecimento está previsto no Art. 17(2) do RGPD. Se o responsável pelo tratamento tornou os dados pessoais públicos e se existir um dos motivos acima para a eliminação, ele deve tomar medidas razoáveis, considerando as circunstâncias, para informar todos os outros responsáveis pelo tratamento de dados que todos os links para esses dados pessoais, bem como cópias ou réplicas dos dados pessoais, devem ser eliminados.

Um pedido de eliminação não está sujeito a qualquer forma particular, e o responsável pelo tratamento não pode exigir qualquer formulário específico. No entanto, a identidade do titular dos dados deve ser comprovada de forma adequada. Se a identidade não tiver sido comprovada, o responsável pelo tratamento pode solicitar informações adicionais ou recusar a eliminação dos dados. Se houver um pedido ou uma obrigação legal de eliminação, isso deve ser executado rapidamente. Isso significa que o responsável pelo tratamento deve verificar as condições para eliminação sem demora indevida. No caso de um pedido de eliminação, o titular dos dados deve ser informado dentro de um mês sobre as medidas tomadas ou os motivos para a recusa. O direito a ser esquecido é refletido uma segunda vez na obrigação de notificação. Além da eliminação, de acordo com o Art. 19 do RGPD, o responsável pelo tratamento deve informar todos os destinatários dos dados sobre qualquer retificação ou eliminação e, para isso, deve usar todos os meios disponíveis e esgotar todas as medidas apropriadas.
O direito a ser esquecido não é garantido de forma irrestrita. Ele é limitado especialmente quando colide com o direito à liberdade de expressão e informação. Outras exceções são se o processamento de dados sujeito a um pedido de eliminação é necessário para cumprir com obrigações legais, para fins de arquivamento no interesse público, para fins de pesquisa científica ou histórica ou para fins estatísticos, ou para a defesa de reivindicações legais.