Na wstępie przypominamy, że zgodnie z Art. 17 ust.1 RODO podmiot danych, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, jeżeli zachodzą określone w przepisie okoliczności. Abstrahując od tego czy administrator danych, sam powinien usunąć przetwarzane dane osobowe w ramach zasady ograniczenia ich przetwarzania, należy wskazać że istnieje sześć przesłanek, których zaistnienie warunkuje powstanie prawa do bycia zapomnianym, przy czym wystarczy, że zostanie spełniona jedna z nich, a są to:
Podmiot danych będzie mógł żądać usunięcia informacji na swój temat kiedy nie będą już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane. W praktyce powyższy przypadek w olbrzymim stopniu wpłynie na stosunki między administratorami a podmiotami danych, wymuszając na tych pierwszych działania do tej pory w zasadzie nieobecnie w obrocie.
Podstawą żądania usunięcia danych osobowych jest także wycofanie zgody, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania. Co bardzo istotne podmiot danych będzie miał prawo na wycofanie zgody w dowolnym momencie i będzie musiał zostać o tym, zanim wyrazi zgodę, wycofanie zgody nie wpływa także na zgodność z prawem przetwarzania, którego dokonano na podstawie zgody przed jej wycofaniem. Co więcej, wycofanie zgody musi być równie łatwe jak jej wyrażenie, czyli w przypadku wyrażenia zgody poprzez zaznaczenie odpowiedniego formularza, cofnięcie tak udzielonego pozwolenia powinno przybrać taki sam kształt i być dopuszczalne poprzez właściwe odznaczenie.
Przykład:
Dane osobowe będą musiały zostać usunięte również wtedy kiedy osoba, której dane dotyczą, wniesie sprzeciw wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania. RODO przewiduje w art.21 prawo do sprzeciwu, stanowiące że – osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych. Niemniej z tego prawa sprzeciwu można skorzystać tylko, gdy administrator uzasadnia przetwarzanie danych tym, że:
Tym samym nie będzie można wnieść skutecznego sprzeciwu do przetwarzania danych przykładowo, gdy dochodzi do niego na podstawie zgody podmiotu danych lub kiedy przetwarzanie jest niezbędne do wypełnienia obowiązku prawnego ciążącego na administratorze. Natomiast w przypadku skutecznego wniesienia sprzeciwu, administrator traci uprawnienie do przetwarzania tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.
Przykład:
Okolicznością uprawniającą do usunięcia danych osobowych jest także ich przetwarzane niezgodnie z prawem. Niestety RODO nie wskazuje kto i w jakim trybie miałby oceniać, czy w danym przypadku doszło do naruszenia prawa w związku z przetwarzaniem danych osobowych. Administratorzy mogą wykorzystać tę niejasność i w większości przypadków odrzucać żądanie usunięcia danych w oparciu o tę właśnie przesłankę. Niemniej dopóki nie wykrystalizuje się niezbędna lina orzecznicza oraz praktyka stosowania przepisów, należy uznać, że każde zachowanie obiektywnie wyczerpujące kryterium pozaprawności, może stanowić powód do skutecznego domagania skorzystania z prawa do bycia zapomnianym.
Przykład:
Prawo do usunięcia danych może być usprawiedliwione również celem wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator danych. Tym samym jeżeli istnieje wskazany obowiązek usunięcia określonych danych, wynikający z ważnej podstawy prawnej funkcjonującej na terenie Wspólnoty, to wówczas mamy pełne prawo domagania się ich usunięcia. Ta przesłanka wydaje się o tyle specyficzna, ponieważ rodzi pytanie dlaczego administrator sam nie usuwa informacji, mimo istnienia takiego obowiązku. Można ostrożnie domniemywać, że z jakiegoś powodu nie jest świadomy takiej konieczności, co obok potencjalnej odpowiedzialności z tego tytułu, rodzi również konieczność usunięcia danych właśnie w ramach prawda do bycia zapomnianym.
Ostatnią z przesłanek jest zaistnienie sytuacji, w której dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego oferowanych bezpośrednio dziecku. Otóż RODO stanowi, że prawo do bycia zapomnianym ma także – znaczenie w przypadkach, gdy osoba, której dane dotyczą, wyraziła zgodę jako dziecko, gdy nie była w pełni świadoma ryzyka związanego z przetwarzaniem, a w późniejszym czasie chce usunąć takie dane osobowe, w szczególności z Internetu. Osoba, której dane dotyczą, powinna móc wykonywać to prawo, mimo że już nie jest dzieckiem. Upraszczając, każdy kto będąc dzieckiem podzielił się informacjami na swój temat, może żądać bez jakiejkolwiek innej podstawy ich usunięcia w ramach prawa do bycia zapomnianym, już jako osoba dorosła.
Przykład:
Piotr Gutowski
Zaciekawił Cię ten artykuł? Przeczytaj inne wpisy na naszym blogu.
