GDPR – Dreptul de a fi uitat

Dreptul de a fi uitat derivă din cazul Google Spain SL, Google Inc v Agenția Spaniolă de Protecție a Datelor, Mario Costeja González (2014). Pentru prima dată, dreptul de a fi uitat este codificat și se regăsește în Regulamentul General privind Protecția Datelor (GDPR) în plus față de dreptul la ștergere.

Regula cu același nume reglementează în principal obligațiile de ștergere. Conform acesteia, datele personale trebuie șterse imediat când nu mai sunt necesare pentru scopul inițial al prelucrării, sau persoana vizată și-a retras consimțământul și nu există alt temei juridic pentru prelucrare, persoana vizată s-a opus și nu există motive legitime care să prevaleze pentru prelucrare, sau ștergerea este necesară pentru a îndeplini o obligație legală în temeiul legislației UE sau al dreptului statelor membre. În plus, datele trebuie evident șterse dacă prelucrarea în sine a fost ilegală de la început.

Astfel, operatorul este, pe de o parte, automat supus obligațiilor legale de ștergere, și trebuie, pe de altă parte, să respecte dreptul persoanei vizate la ștergere. Legea nu descrie modul în care datele trebuie șterse în cazuri individuale. Elementul decisiv este că, ca rezultat, nu mai este posibil să se distingă datele personale fără un efort disproporționat. Este suficient dacă suportul de date a fost distrus fizic sau dacă datele sunt supra-scrise definitiv folosind software special.

În plus, dreptul de a fi uitat se regăsește în art. 17(2) din GDPR. Dacă operatorul a făcut publice datele personale și dacă există unul dintre motivele de ștergere de mai sus, acesta trebuie să ia măsuri rezonabile, ținând cont de circumstanțe, pentru a informa toți ceilalți operatori în cadrul procesării datelor că toate linkurile către aceste date personale, precum și copiile sau replicile datelor personale, trebuie să fie șterse.

O solicitare de ștergere nu este supusă unei anumite forme, iar operatorul nu poate solicita o formă specifică. Cu toate acestea, identitatea persoanei vizate trebuie dovedită într-un mod adecvat. Dacă identitatea nu a fost dovedită, operatorul poate solicita informații suplimentare sau poate refuza ștergerea datelor. Dacă există o solicitare sau o obligație legală de ștergere, aceasta trebuie executată rapid. Acest lucru înseamnă că operatorul trebuie să verifice condițiile pentru ștergere fără întârzieri nejustificate. În cazul unei solicitări de ștergere, persoana vizată trebuie informată în termen de o lună despre măsurile luate sau motivele refuzului. Dreptul de a fi uitat este reflectat a doua oară în obligația de notificare. În plus față de ștergere, conform art. 19 din GDPR, operatorul trebuie să informeze toți destinatarii datelor despre orice rectificare sau ștergere și, prin urmare, trebuie să folosească toate mijloacele disponibile și să epuizeze toate măsurile adecvate.
Dreptul de a fi uitat nu este garantat fără rezerve. Este limitat în special când se ciocnește cu dreptul la libertatea de exprimare și informare. Alte excepții sunt dacă prelucrarea datelor care fac obiectul unei cereri de ștergere este necesară pentru a îndeplini obligațiile legale, în scopuri de arhivare în interesul public, în scopuri de cercetare științifică sau istorică sau în scopuri statistice sau pentru apărarea revendicărilor legale.