GDPR – Rätten att bli bortglömd

Rätten att bli bortglömd härrör från fallet Google Spain SL, Google Inc mot Agencia Española de Protección de Datos, Mario Costeja González (2014). För första gången kodifieras rätten att bli bortglömd och finns i Allmänna dataskyddsförordningen (GDPR) utöver rätten till radering.

Den motsvarande regeln reglerar främst skyldigheter att radera. Enligt denna måste personuppgifter raderas omedelbart när uppgifterna inte längre behövs för sitt ursprungliga behandlingssyfte, eller den registrerade har återkallat sitt samtycke och det inte finns någon annan rättslig grund för behandlingen, den registrerade har invänt och det inte finns några tvingande berättigade skäl för behandlingen, eller radering krävs för att uppfylla en lagstadgad skyldighet enligt EU-rätten eller medlemsstaternas rätt. Dessutom måste uppgifterna naturligtvis raderas om behandlingen i sig var olaglig från början.

Å ena sidan är den personuppgiftsansvarige därmed automatiskt föremål för lagstadgade raderingsskyldigheter och måste å andra sidan respektera den registrerades rätt till radering. Lagen beskriver inte hur uppgifterna måste raderas i varje enskilt fall. Det avgörande är att det som resultat inte längre är möjligt att urskilja personuppgifter utan oproportionerlig ansträngning. Det är tillräckligt om datamediet har förstörts fysiskt eller om uppgifterna har skrivits över permanent med hjälp av speciell mjukvara.

Dessutom återfinns rätten att bli bortglömd i Art. 17(2) i GDPR. Om den personuppgiftsansvarige har offentliggjort personuppgifterna, och om en av ovanstående grunder för radering existerar, måste denne vidta rimliga åtgärder, med hänsyn till omständigheterna, för att informera alla andra personuppgiftsansvariga i databehandlingen att alla länkar till dessa personuppgifter, samt kopior eller repliker av personuppgifterna, måste raderas.

En begäran om radering är inte underställd någon specifik form, och den personuppgiftsansvarige får inte kräva någon specifik form. Dock måste den registrerades identitet bevisas på ett lämpligt sätt. Om identiteten inte har bevisats kan den personuppgiftsansvarige begära ytterligare information eller vägra att radera uppgifterna. Om det finns en begäran eller en lagstadgad skyldighet att radera ska detta genomföras snabbt. Detta innebär att den personuppgiftsansvarige måste kontrollera villkoren för radering utan onödigt dröjsmål. Vid en raderingsbegäran måste den registrerade informeras inom en månad om de åtgärder som vidtagits eller orsakerna till vägran. Rätten att bli bortglömd återspeglas en andra gång i anmälningsskyldigheten. Förutom radering måste den personuppgiftsansvarige enligt art. 19 i GDPR informera alla mottagare av uppgifterna om eventuell rättelse eller radering och därmed måste använda alla tillgängliga medel och uttömma alla lämpliga åtgärder.
Rätten att bli bortglömd är inte ovillkorligt garanterad. Den är begränsad särskilt när den kolliderar med rätten till yttrande- och informationsfrihet. Andra undantag är om behandlingen av uppgifter som omfattas av en raderingsbegäran är nödvändig för att uppfylla rättsliga skyldigheter, för arkiveringsändamål av allmänt intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål eller för försvar av rättsliga anspråk.