GDPR prináša nový element, ktorým je právo na vymazanie a jeho rozšírenie na právo byť zabudnutý. Vďaka tomuto môže osoba požadovať, aby boli bez zbytočného odkladu vymazané jej osobné údaje, ak neexistuje právny dôvod na ich ďalšie spracovanie. Právo na zabudnutie je kontroverzná novinka nového nariadenia GDPR o ochrane osobných údajov. Ide o súkromie alebo cenzúru?
Ako funguje právo na výmaz?
Právo na výmaz spočíva v prevedení primeraných krokov, vrátane technických opatrení, k vymazaniu všetkých odkazov na osobné údaje žiadateľa a ich kópie. GDPR ale uvádza množstvo výnimiek. Ak konkrétna osoba nebude mať možnosť uplatniť právo na vymazanie, GDPR umožňuje uplatniť aspoň právo namietať a tým donútiť spoločnosť k obmedzenému spracovaniu tých údajov, ktoré sú predmetom uplatnenej námietky.
Ako to začalo a minulosť
Zákon zakotvujúci právo vyčistiť alebo vymazať výsledky vyhľadávania na údaje uchovávané a publikované inými o nás je súčasťou GDPR, ktoré nadobudlo platnosť v máji tohto roka.
Právo na zabudnutie sa však začalo už v roku 2014, keď sa Súdny dvor Európskej únie dohodol s rozsudkom španielskeho súdu, že spoločnosť Google by mala vyčistiť výsledky odkazov na zastarané stránky. Toto rozhodnutie znamenalo, že občania EÚ majú právo požadovať, aby odkazy na stránky obsahujúce neaktuálne, nepodstatné, nadmerné alebo nepresné údaje boli odstránené z výsledkov vyhľadávania Google.
Právo na zabudnutie nie je absolútnym právom a musí byť vyvážené s inými právami, akými sú práva na slobodu prejavu, pričom informácie o verejnom záujme by napríklad nebolo možné na žiadosť odstrániť. Spoločnosť Google a všetky ostatné vyhľadávacie nástroje musí zvážiť odstránenie odkazov na akékoľvek informácie, ktoré sú nepresné, nedostatočné, irelevantné alebo nadmerné, keď žiadosť podáva jednotlivec o vlastných výsledkoch vyhľadávania. Pomocou tohto formulára môžete mať právo na zabudnutie.
Právo na zabudnutie podľa GDPR
Právo na zabudnutie bolo založené na smernici EÚ o ochrane údajov z roku 1995, v ktorej sa v článku 12 uvádza, že ľudia môžu požiadať o vymazanie svojich osobných údajov, ak už nie sú potrebné.
Rozhodnutie načrtlo, kedy a ako musia vyhľadávače ako Google spĺňať túto požiadavku. Všeobecné nariadenie o ochrane údajov (GDPR), ktoré sa uplatňuje na všetky členské štáty EÚ (a všetky organizácie, ktoré používajú osobné údaje občanov EÚ) od 25. mája 2018, nahradilo smernicu z roku 1995. V záujme aktualizácie pravidiel ochrany osobných údajov a ochrany údajov pre digitálny vek GDPR tiež aktualizuje definíciu práva na zabudnutie. V článku 17 sa v právnych predpisoch GDPR hovorí o práve na zabudnutie v súvislosti s organizáciami zhromažďujúcimi a spracúvajúcimi osobné údaje osôb. Ponecháva si zámer smernice z roku 1995 umožniť ľuďom požadovať, aby ich údaje boli vymazané, keď už nie sú relevantné, ale rozširuje toto právo na to, aby ľuďom poskytla väčšiu kontrolu nad tým, kto môže mať prístup a používať ich osobné údaje.
Právo na výmaz ukladá správcovi osobných údajov povinnosť bez zbytočného odkladu vymazať osobné údaje, ak je daný jeden z týchto dôvodov:
- osobné údaje už nie sú potrebné na účel, na ktorý boli zhromaždené alebo spracované,
- občan odvolá súhlas, ak je spracovanie založené na súhlase, a neexistuje žiadny ďalší právny dôvod pre spracovanie,
- občan vznesie námietku proti spracovaniu z dôvodu oprávnených záujmov správcu osobných údajov, ako je napr. vedenie záznamov o zamestnancoch,
- osobné údaje boli spracované nezákonné,
- ak nie je daný rodičovský súhlas so spracovaním osobných údajov detí,
- právna povinnosť stanovená právom Únie alebo členským štátom.
V tomto smere podáva pomocnú ruku opäť samo nariadenie GDPR prostredníctvom článku 11 a 12, kde sa v ods. 2 uvádza, že správca by nemal odmietnuť vyhovieť žiadosti dotknutej osoby na výkon jeho práv na základe článkov 15 až 22, ibaže preukáže, že nemôže zistiť totožnosť subjektu údajov, s výnimkou prípadov, keď subjekt údajov za účelom výkonu svojich práv podľa týchto článkov poskytne dodatočné informácie umožňujúce jeho identifikáciu. Takže ak sa žiadateľ odmieta identifikovať, je nevyhnutné všetky rokovania s ním a výzvy na identifikáciu dokumentovať, pretože dôkazné bremeno v prípade sporu o uplatnení práva bude vždy na strane správcu.
Takže ak prebehne identifikácia žiadateľa úspešne, mal by správca čo najrýchlejšie pristúpiť k posúdeniu žiadosti o výmaz, respektíve na posúdenie dôvodov na svojej strane, ktoré svedčia v prospech oprávnenosti spracovania, ktoré vykonáva. Právo na zabudnutie nadobudlo s GDPR oveľa väčší rozmer. Jeho význam je najmä vtom, že samotné GDPR stanovuje toto právo ako výslovný a samostatný predmet patriaci do práv dotknutej osoby.