GDPR – Právo byť zabudnutý

Právo na zabudnutie vychádza z prípadu Google Spain SL, Google Inc proti Agencia Española de Protección de Datos, Mario Costeja González (2014). Prvýkrát je právo na zabudnutie kodifikované a nachádza sa v nariadení o všeobecnej ochrane údajov (GDPR) okrem práva na vymazanie.

Primerane pomenované pravidlo predovšetkým reguluje povinnosti vymazania. Podľa tohto musia byť osobné údaje okamžite vymazané, ak už nie sú potrebné na pôvodný účel spracovania, alebo dotknutá osoba odvolala svoj súhlas a neexistuje iný právny dôvod na spracovanie, dotknutá osoba vzniesla námietku a neexistujú žiadne prevažujúce oprávnené dôvody na spracovanie, alebo vymazanie je potrebné na splnenie zákonnej povinnosti podľa práva EÚ alebo práva členských štátov. Okrem toho musia byť údaje prirodzene vymazané, ak samotné spracovanie bolo od začiatku v rozpore so zákonom.

Prevádzkovateľ je teda na jednej strane automaticky povinný zo zákona vykonávať vymazanie, a na druhej strane musí rešpektovať právo dotknutej osoby na vymazanie. Zákon nešpecifikuje, ako musia byť údaje v jednotlivých prípadoch vymazané. Rozhodujúci prvok je, že ako výsledok nie je možné rozlíšiť osobné údaje bez neprimeraného úsilia. Stačí, ak boli fyzicky zničené nosiče dát alebo ak sú údaje trvalo prepisované špeciálnym softvérom.

Navyše, právo byť zabudnutý sa nachádza v čl. 17 ods. 2 GDPR. Ak prevádzkovateľ zverejnil osobné údaje a ak existuje niektorý z uvedených dôvodov na vymazanie, musí prijať primerané opatrenia, so zreteľom na okolnosti, aby informoval všetkých ostatných prevádzkovateľov v rámci spracovania údajov, že všetky odkazy na tieto osobné údaje, rovnako ako kópie alebo repliky osobných údajov, musia byť vymazané.

Žiadosť o vymazanie nie je predmetom žiadnej konkrétnej formy a prevádzkovateľ nemôže vyžadovať žiadnu špecifickú formu. Je však potrebné vhodným spôsobom preukázať totožnosť dotknutej osoby. Ak totožnosť nebola preukázaná, prevádzkovateľ môže požadovať ďalšie informácie alebo odmietnuť vymazať údaje. Ak existuje žiadosť alebo zákonná povinnosť na vymazanie, musí sa to vykonať rýchlo. To znamená, že prevádzkovateľ musí bezodkladne overiť podmienky na vymazanie. V prípade žiadosti o vymazanie musí byť dotknutá osoba informovaná do jedného mesiaca o prijatých opatreniach alebo dôvodoch odmietnutia. Právo na zabudnutie sa odráža druhýkrát v notifikačnej povinnosti. Okrem vymazania, podľa čl. 19 GDPR, musí prevádzkovateľ informovať všetkých príjemcov údajov o každej oprave alebo vymazaní a preto musí použiť všetky dostupné prostriedky a využiť všetky vhodné opatrenia.
Právo na zabudnutie nie je bezvýhradne zaručené. Je obmedzené najmä v prípade kolízie s právom na slobodu prejavu a informácie. Ďalšie výnimky sú, ak je spracovanie údajov, ktoré sú predmetom žiadosti o vymazanie, nevyhnutné na dodržanie zákonných povinností, na archivačné účely vo verejnom záujme, na vedecké alebo historické výskumné účely alebo štatistické účely alebo na obhajobu právnych nárokov.