GDPR – Pravica do pozabe

Pravica do pozabe izhaja iz primera Google Spain SL, Google Inc proti Agencia Española de Protección de Datos, Mario Costeja González (2014). Prvič je pravica do pozabe kodificirana in jo je mogoče najti v Splošni uredbi o varstvu podatkov (GDPR) poleg pravice do izbrisa.

Ustrezno poimenovano pravilo primarno ureja obveznosti izbrisa. Po tem pravilu je treba osebne podatke takoj izbrisati, kadar ti niso več potrebni za prvotni namen obdelave, ali kadar je posameznik, na katerega se podatki nanašajo, preklical svoje soglasje in ni druge pravne podlage za obdelavo, kadar je posameznik ugovarjal in ne obstajajo prevladujoči zakoniti razlogi za obdelavo, ali kadar je izbris potreben za izpolnitev zakonske obveznosti v skladu s pravom EU ali pravom držav članic. Poleg tega je seveda treba podatke izbrisati, če je bila obdelava že od začetka v nasprotju z zakonom.

Upravljavec je zato na eni strani samodejno podvržen zakonskim obveznostim izbrisa, na drugi strani pa mora spoštovati pravico posameznika do izbrisa. Zakon ne opisuje, kako mora biti podatke izbrisane v posameznih primerih. Ključni element je, da zaradi tega ni več možno prepoznati osebnih podatkov brez nesorazmernih naporov. Zadostuje, če so mediji podatkov fizično uničeni ali če so podatki trajno prepisani s pomočjo posebne programske opreme.

Poleg tega je pravica do pozabe zapisana v 17. členu(2) GDPR. Če je upravljavec osebne podatke objavil javno in če obstaja kateri izmed zgoraj navedenih razlogov za izbris, mora sprejeti razumne ukrepe, upoštevajoč okoliščine, da obvesti vse druge upravljavce pri obdelavi podatkov, da je treba vse povezave do teh osebnih podatkov, kot tudi kopije ali replike osebnih podatkov, izbrisati.

Zahteva za izbris ni vezana na določeno obliko, in upravljavec ne sme zahtevati nobene specifične oblike. Vendar pa mora biti identiteta posameznika, na katerega se nanašajo osebni podatki, dokazana na ustrezen način. Če identiteta ni bila dokazana, lahko upravljavec zahteva dodatne informacije ali zavrne izbris podatkov. Če obstaja zahteva ali zakonska obveznost za izbris, se mora ta izvršiti hitro. To pomeni, da mora upravljavec brez nepotrebnega odlašanja preveriti pogoje za izbris. V primeru zahteve za izbris mora biti posameznik, na katerega se nanašajo osebni podatki, obveščen v enem mesecu o sprejetih ukrepih ali razlogih za zavrnitev. Pravica do pozabe je drugič izražena v obveznosti obvestila. Poleg izbrisa mora upravljavec v skladu s členom 19 GDPR obvestiti vse prejemnike podatkov o kakršni koli popravi ali izbrisu in pri tem uporabiti vsa razpoložljiva sredstva ter izkoristiti vse ustrezne ukrepe.
Pravica do pozabe ni brezpogojno zagotovljena. Omejujeta jo zlasti pravica do svobode izražanja in obveščanja. Druge izjeme so, če je obdelava podatkov, ki so predmet zahteve za izbris, potrebna za izpolnjevanje zakonskih obveznosti, za arhivske namene v javnem interesu, za znanstvene ali zgodovinske raziskovalne namene ali za statistične namene ali za obrambo pravnih zahtevkov.