Kiedy można żądać usunięcia od administratorów swoich danych osobowych? Czy faktycznie można zniknąć z internetu. Na ważne pytania odpowiada Katarzyna Raczkiewicz, prawniczka z Kancelarii Kupilas&Krupa w Bielsku-Białej.
W internecie nic nie ginie?
W dobie nieograniczonego przepływu danych osobowych, szczególnie w sieci, prawo do bycia zapomnianym staje się jednym z kluczowych narzędzi ochrony prywatności. Niemal każdego dnia przekazujemy swoje dane w internecie – od mediów społecznościowych, przez portale informacyjne, po sklepy internetowe. Swoje dane przekazujemy również podczas rekrutacji, w banku, operatorowi sieci telefonicznej czy u lekarza. Zdarza się, że trafiają one do miejsc, z których niełatwo jest je wycofać. Właśnie dlatego unijne Rozporządzenie o Ochronie Danych Osobowych (RODO) wprowadziło rozwiązanie, które ma pomóc w odzyskaniu kontroli nad swoimi danymi, w tym możliwość ich trwałego usunięcia.
- Prawo do bycia zapomnianym jest w istocie prawem do usunięcia swoich danych osobowych. Pomimo że w danej chwili zdecydowaliśmy się je udostępnić danemu podmiotowi, to nie może on ich przetwarzać bezterminowo. W określonych sytuacjach administrator danych musi trwale je usunąć na nasze żądanie. Nie jest to tylko kwestia ochrony prywatności, ale także odzyskania kontroli nad własnymi danymi, zwłaszcza gdy przetwarzanie ich staje się niecelowe, nielegalne lub niezgodne z pierwotnym przeznaczeniem. Należy jednak pamiętać, że prawo do bycia zapomnianym nie jest bezwzględne i nie zawsze może być zrealizowane przez administratora – wskazuje Katarzyna Raczkiewicz, prawniczka z Kancelarii Kupilas&Krupa.
Kiedy możemy zażądać usunięcia danych?
Prawo do bycia zapomnianym daje możliwość żądania usunięcia swoich danych osobowych z baz danych, które gromadzą podmioty zarządzające tymi informacjami, czyli administratorzy. Zgodnie z art. 17 RODO, administrator ma obowiązek usunięcia danych osobowych, gdy spełniony zostaje przynajmniej jeden z określonych warunków. W praktyce może to być sytuacja, w której dane przestają być niezbędne do celów, dla których były pierwotnie zgromadzone. Podobnie też jest w przypadku wycofania zgody osoby na przetwarzanie jej danych osobowych lub, gdy jej dane były przetwarzane niezgodnie z prawem. Prawo do bycia zapomnianym można zatem egzekwować w takich sytuacjach jak:
- dane osobowe przestały być potrzebne w celach, dla których zostały zebrane,
- osoba, której dane dotyczą, cofnęła zgodę na ich przetwarzanie, a nie istnieje inna podstawa prawna do kontynuowania tego przetwarzania,
- dane były przetwarzane niezgodnie z prawem,
- dane muszą zostać usunięte z powodu obowiązku prawnego wynikającego z przepisów prawa UE lub państwa członkowskiego.
-Trzeba jednak pamiętać, że dopóki pozostajemy w pewnej relacji z danym podmiotem, dopóty nie możemy usunąć danych z jego bazy. Oznacza to, że na przykład, jeśli jesteśmy klientem danego banku czy korzystamy z usług operatora danej sieci komórkowej, nie możemy skorzystać z prawa do bycia zapomnianym i żądać usunięcia danych osobowych, a jednocześnie posiadać aktywne konto bankowe czy abonament na telefon– zaznacza prawniczka Katarzyna Raczkiewicz z Kancelarii Kupilas&Krupa i dodaje: Przykładem może być też sytuacja, w której były pracownik żąda od swojego pracodawcy usunięcia danych osobowych zaraz po zakończeniu zatrudnienia. Pracodawca może jednak odmówić, działając zgodnie z przepisami i mając obowiązek przechowywania dokumentacji pracowniczej przez okres 10 lat.
Prawo do bycia zapomnianym nie działa zatem w sposób automatyczny i ma swoje ograniczenia. Usunięcie danych nie zawsze jest możliwe. Musi to odbywać się też z zachowaniem granic wyznaczonych przez inne prawa czy obowiązki. Do sytuacji, w których nie można usunąć danych, należą:
- konieczność przetwarzania danych w ramach korzystania z prawa do wolności wypowiedzi i informacji,
- konieczność przetwarzania danych w celu wywiązania się z obowiązku prawnego, w interesie publicznym lub w ramach sprawowania władzy publicznej,
- przetwarzanie danych w interesie publicznym w dziedzinie zdrowia publicznego,
- wykorzystywanie danych do badań naukowych, statystycznych lub archiwalnych,
- potrzeba przetwarzania danych do ustalenia, dochodzenia lub obrony roszczeń.
Jak skorzystać z prawa do bycia zapomnianym?
Aby złożyć wniosek o usunięcie danych osobowych, należy podjąć kilka kroków. Na początek warto ustalić, kto jest administratorem, czyli podmiot, który przetwarza dane. Może to być np. firma, z którą zawarliśmy umowę, sklep internetowy czy portal społecznościowy. Następnie należy przygotować wniosek z żądaniem usunięcia danych osobowych – najlepiej, aby miał on formę pisemną, choć można to też zrobić ustnie. Nie istnieje bowiem żadna określona forma wniosku lub jego obowiązujący wzór. Wniosek warto złożyć w formie listu, e-maila lub wniosku online (jeśli podmiot udostępnia taki formularz). Ważne jednak, aby wniosek zawierał: pełne dane osobowe (imię, nazwisko, adres, e-mail lub numer telefonu), dane adresata, wyraźne żądanie usunięcia danych osobowych, podstawę prawną (art. 17 RODO) oraz powód, dla którego prosimy o usunięcie danych (np. wycofanie zgody, zakończenie współpracy, brak dalszej podstawy prawnej do przetwarzania). Administrator danych, po otrzymaniu takiego żądania, powinien rozpatrzyć wniosek bez zbędnej zwłoki. W ciągu miesiąca musi jednak powiadomić wnioskodawcę o podjętych działaniach, choć w przypadku skomplikowanych sytuacji lub dużej liczby żądań termin ten może zostać przedłużony o kolejne dwa miesiące.
- Warto podkreślić, że jeśli dane osobowe zostały upublicznione, a administrator przychyli się do żądania ich usunięcia, ma obowiązek także poinformować innych administratorów przetwarzających te dane, aby usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje. Z technicznego punktu widzenia może to jednak być trudne lub wręcz niemożliwe do zrealizowania, szczególnie w internecie, co rodzi pytania o pełną skuteczność prawa do bycia zapomnianym w sieci – wskazuje prawniczka Katarzyna Raczkiewicz.
Dane w internecie
Prawo do bycia zapomnianym, choć jest kluczowe dla ochrony prywatności, napotyka niestety liczne ograniczenia, szczególnie w sieci. Pomimo że administrator ma obowiązek usunąć dane z własnych zasobów oraz poinformować o tym inne podmioty, które również je przetwarzają, to z technicznej perspektywy w rzeczywistości całkowite zlikwidowanie śladów może być niemożliwe. Kopie danych, replikacje czy archiwa tworzone przez różne systemy mogą funkcjonować w przestrzeni cyfrowej przez lata, a ich całkowite usunięcie może być po prostu poza zasięgiem technicznych możliwości administratora. Dlatego prawo do bycia zapomnianym należy rozpatrywać jako część szerszego systemu ochrony danych osobowych, które wymaga ciągłego dostosowywania się do zmieniającej się rzeczywistości technologicznej i społecznej.