Prawo do bycia zapomnianym powstało w wyniku sprawy Mario Costeja Gonzaleza. Domagał się on od hiszpańskiego odpowiednika GIODO oraz hiszpańskiego oddziału Google usunięcia odnośnika do stron internetowych, na których umieszczone były jego dane osobowe. Gonzales żadał usunięcia nieaktualnych informacji na jego temat, dotyczących licytacji jego nieruchomości z uwagi na zadłużenie. Po wpisaniu jego imienia i nazwiska w wyszukiwarce internetowej była to jedna z pierwszych pojawiających się informacji. Zainteresowany wskazywał, że spłacił już cały dług, ma obecnie czystą kartę a taka informacja wpływa negatywnie na jego dobre imię. Sprawa trafiła aż do Trybunału Sprawiedliwości Unii Europejskiej, który uznał, że Google jest administratorem danych osobowych Gonzalesa i nakazał usunięcie wszelkich linków odnoszących się do danych osobowych związanych z przedmiotowym zadłużeniem.

 

Sprawdź również książkę: Ochrona danych osobowych. Przewodnik po ustawie i RODO ze wzorami >>


Żądanie do administratora

Prawo do bycia zapomnianym pozwala na usunięcie danych osobowych z baz danych tworzonych przez wszelkie podmioty dysponujące danymi osobowymi. Zgodnie z art. 17. RODO osoby, których dane są przetwarzane mają prawo do zgłoszenia administratorom danych osobowych żądania ich bezzwłocznego usunięcia. Administrator w takiej sytuacji jest zobowiązany spełnić je bez zwłoki, jeśli zostanie spełniony jeden z niżej wskazanych warunków:

  1. dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
  2. osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie (...) i nie ma innej podstawy prawnej przetwarzania;
  3. osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania;
  4. dane osobowe były przetwarzane niezgodnie z prawem;
  5. dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
  6. dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 RODO.
 

Nadmierne koszty usuwanie danych

O ile pierwsze cztery przesłanki nie powinny budzić wątpliwości, to ostatnie dwie wymagają krótkiego wyjaśnienia. Piąty warunek oznacza, że jeżeli istnieje wskazany obowiązek usunięcia określonych danych, wynikający wprost z ważnej podstawy prawnej funkcjonującej w ramach Unii Europejskiej, to wówczas mamy pełne prawo domagania się ich usunięcia. Ostatnia przesłanka, dotyczy z kolei sytuacji, w której dane osobowe zostały zebrane w ramach oferowania usług społeczeństwa informacyjnego bezpośrednio dziecku np. w ramach założenia profilu jako dziecko na portalu społecznościowym. Zatem, każdy kto jako dziecko przekazał swoje dane osobowe jakiemuś podmiotowi, może żądać bez jakiejkolwiek innej podstawy ich usunięcia w ramach prawa do bycia zapomnianym, już jako osoba dorosła.
Administrator ma również obowiązek zgłoszenia takiego żądania innym administratorom, którym powierzył przetwarzanie danych osobowych osoby, która skorzystała z prawa do bycia zapomnianym i zwróciła się do niego z żądaniem ich usunięcia. W takiej sytuacji należy usunąć dane osobowe osoby, która korzysta ze swojego uprawnienia, ich wszystkie kopie oraz wszelkie odnośniki do tych danych (linki itp.), ale tylko wtedy, gdy nie będzie się to wiązało z koniecznością użycia nadmiernych środków technicznych oraz dużymi kosztami. Przy czym przepisy prawa nie wskazują co kryje się pod pojęciem nadmiernych środków technicznych czy dużych kosztów.

Kiedy dane trzeba zatrzymać

Z prawa do bycia zapomnianym mogą skorzystać osoby, które dobrowolnie wyraziły zgodę na przetwarzanie danych osobowych, oraz osoby, których dane zostały pozyskane przez administratora w wyniku prowadzonych działań promocyjnych czy reklamowych. Warto jednak zauważyć, iż także tutaj znajdziemy szereg wyjątków od konieczności egzekwowania przez Administratora prawa do bycia zapomnianym, bowiem w wielu przypadkach przetwarzanie jest niezbędne:

  • w celu korzystania z prawa do wolności wypowiedzi i informacji;
  • do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
  • z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego (...);
  • do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych (...);
  • do ustalenia, dochodzenia lub obrony roszczeń.

Każdy przypadek wystąpienia z żądaniem usunięcia danych osobowych należy więc rozpatrywać indywidualnie. Wymienione wyjątki są bowiem określone w sposób nieostry. Prawo do bycia zapomnianym budzi przede wszystkim spore wątpliwości w kontekście uprawnienia do swobody wypowiedzi i wolności mediów. Założeniem wprowadzanych regulacji jest bowiem umożliwienie podmiotom zarządzania swoimi danymi osobowymi przy jednoczesnym wyraźnym zabezpieczeniu wolności słowa i mediów. Po ustaleniu przez Administratora, że wniosek o usunięcie danych osobowych jest bezzasadny, może on odmówić jego rozpatrzenia, przy czym zobowiązany jest do poinformowania wnioskodawcy o tym fakcie na piśmie wraz z uzasadnieniem.

To, co pozwala zatrzymać dane osobowe do dalszego przetwarzania, to również prawnie uzasadniona potrzeba wynikająca z innych aktów prawnych powszechnie obowiązującego prawa. Świetnym przykładem są przepisy prawa pracy, z których wynika, że  akta pracownicze należy przetrzymywać przez pięćdziesiąt lat począwszy od dnia ustania stosunku pracy, podobnie jak dokumentację księgową w postaci faktur VAT należy przechowywać przez sześć lat zgodnie z zapisami ustawy o rachunkowości. Obowiązek przechowywania danych osobowych jest też często ulokowany w innych przepisach powszechnie obowiązującego prawa i wówczas skuteczne skorzystanie z prawa do bycia zapomnianym nie może być zrealizowane.

Jak sobie poradzić z telemarketerami

Prawo do bycia zapomnianym może skutecznie pomóc nam w „walce” z natrętnymi telemarketerami. Jak już wiemy jednak z doświadczenia, gdy usłyszą oni tylko od nas komunikat, że żądamy usunięcia naszych danych z bazy, bezzwłocznie odpowiadają, że są jedynie podmiotem przetwarzającym dane osobowe, a nie ich administratorem. W tej sytuacji  należy jednak żądać wskazania, kto jest administratorem naszych danych osobowych. Telemarketer powinien podać jego nazwę. Wówczas wiadomo już  do kogo należy się zwrócić z żądaniem usunięcia danych z bazy. Po spełnieniu żądania baza nie wylosuje już naszego numeru dla telemarketera.


Piotr Stankiewicz jest prawnikiem w Kancelarii Wachowski, członkiem Okręgowej Rady Adwokackiej w Warszawie. Zajmuje się prawem danych osobowych, prawem mediów i nowych technologii, a także prawem spółek handlowych, prawem zamówień publicznych.

 

-------------------------------------------------------------------------------------------------------------------

Linki w tekście artykułu mogą odsyłać bezpośrednio do odpowiednich dokumentów w programie LEX. Aby móc przeglądać te dokumenty, konieczne jest zalogowanie się do programu. Dostęp do treści dokumentów w programie LEX jest zależny od posiadanych licencji.