Pamiętacie pluskwę milenijną? Ja pamiętam, chociaż byłem wtedy małym chłopcem. Ale słyszałem wiele razy w roku 1999 (a nawet trochę wcześniej) o tym, że wraz z nadejściem nowego tysiąclecia nie będzie prądu, szpitali, sygnalizacji świetlnej, bankomatów, a pod znakiem zapytania stała także emisja wieczorynki. Na szczęście nic się nie stało, prąd był nadal, bankomaty wypłacały pieniądze a czerwone na skrzyżowaniu świeciło się tak samo długo.
Z kilkoma instytucjami, które pojawiły się w RODO jest podobnie – mają wywrócić przetwarzanie danych przez przedsiębiorców do góry nogami. Jedną z nich jest możliwość zgłoszenia żądania usunięcia danych, dotyczących zgłaszającego (istniejąca zresztą już dzisiaj). Z czego wziął się ten pomysł i jak to ma działać?
Od czego to wszystko się zaczęło?
W 2014 roku Trybunał Sprawiedliwości Unii Europejskiej wydał ważne orzeczenie ws. M. Gonzalez p-ko Google, na mocy którego uznał, że możliwe jest nakazanie tej spółce usunięcie z wyszukiwarki danych dotyczących Pana Gonzaleza. Przesądzono tym samym o możliwości żądania usunięcia wszystkich informacji o osobie, której dane dotyczą przez administratora takich danych albo podmiot, któremu takie dane powierzono.
Paradoksem całej sprawy jest to, że Panu Gonzalezowi nie do końca udało się osiągnąć zamierzony cel, bo jak się obecnie wpisze jego imię i nazwisko w Google to można przeczytać całą historię procesów sądowych przeciwko Google, wraz z informacją czemu żądał usunięcia danych. Wyszukiwarka nie pozwoliła więc na całkowite zapomnienie p. Gonzaleza, ale otworzyła furtkę dla wielu jego następców, którzy nie chcieli figurować w rejestrach wielkich korporacji.
RODO potwierdza istnienie prawa do usunięcia danych. Co ważne – prawo do bycia żądania usunięcia danych nie ma charakteru absolutnego i może być wykonane tylko w określonych w RODO przypadkach.
Kiedy musimy usunąć dane?
Osoba, której dane dotyczą ma prawo do żądania od administratora danych osobowych usunięcia danych, które jej dotyczą, gdy:
1. Dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane
Przykład:
Strony zawarły umowę, w treści której konsument (osoba fizyczna) podała identyfikujące go dane. Umowa została wykonana, towar dostarczono a konsument zapłacił całą wymaganą cenę. Sprzedawca (przedsiębiorca) nie ma już jakiegokolwiek powodu aby dalej przechowywać informacje o konsumencie gdyż wszelkie jego roszczenia zostały zaspokojone. Tym samym konsument może zażądać usunięcia danych osobowych.
2. Osoba, której dane dotyczą, cofnęła zgodę, a nie ma innej podstawy prawnej do ich przetwarzania.
Przykład:
Użytkownik Internetu podał swoje dane (imię, nazwisko, adres e-mail) w celu otrzymywania od spółki zajmującej się usługami doradztwa finansowego newslettera i wyraził zgodę na ich przetwarzanie w celach marketingowych. Po pół roku użytkownik uznał, że nie chce już otrzymywać newslettera i cofnął zgodę. Ma prawo do żądania od spółki usunięcia jego danych, bo nie wiązał go jakikolwiek inny stosunek prawny, a spółka nie posiada już jego zgody na przetwarzanie danych w celach marketingowych.
3. Osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania z uwagi na prawne interesy administratora danych i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania. Wyjątkiem jest przetwarzanie danych na potrzeby marketingu bezpośredniego, wtedy administrator nie może zasłaniać się prawnie uzasadnionymi podstawami przetwarzania.
Przykład:
Przedsiębiorca zbiera (wyszukując w Internecie) dane osób, które prowadzą jednoosobową działalność gospodarczą. Następnie wysyła im za pomocą poczty listy (nie wiadomości e-mail, tylko tradycyjne listy) z ofertą sprzedaży swoich produktów. Osoba, która nie chce otrzymywać tego typu listów może wnieść sprzeciw dotyczący przetwarzania jej danych osobowych, a następnie zażądać ich usunięcia.
Trzy pozostałe przesłanki do usunięcia danych, które spotykane są (albo będą) rzadziej, to:
przetwarzanie danych osobowych niezgodnie z prawem (wtedy zawsze można żądać usunięcia danych, mam oczywiście nadzieję, że ta przesłanka spotykana będzie najrzadziej),
obowiązek usunięcia danych jest przewidziany prawem UE albo prawem państwa członkowskiego (czyli jakieś przepisy szczególne nakazują usunięcie),
dane dotyczą dziecka i zostały zebrane z oferowaniem usług społeczeństwa informacyjnego (z uwagi na to, że jak dotąd nie było odrębnych regulacji dotyczących ochrony danych dzieci, to jak będzie się stosowało przepisy, które ich dotyczą jest w dużej mierze niewiadomą).
Mam nadzieję, że dzięki temu artykułowi uda Wam się ustalić, czy musicie usunąć dane osoby, które zebraliście. Najważniejsze co trzeba zapamiętać, to fakt, że prawo do usunięcia danych nie ma charakteru absolutnego i nie jest możliwe skorzystanie z niego przez każdą osobę w każdym przypadku.
