+48 17 307 07 66
Blog

Usunięcie danych a RODO

17 maja 2019

W artykule 17, w sekcji 3 Rozporządzenia o Ochronie Danych Osobowych (dalej również jako „Rozporządzenie” lub „RODO”) opisane zostało prawo do żądania usunięcia danych, czyli tzw. prawo do bycia zapomnianym. W niniejszym artykule zostanie wyjaśnione kto może złożyć wniosek tego typu, w jakich okolicznościach, a także jakie obowiązki spoczywają na administratorze, który dane te przetwarza.

Kto może złożyć wniosek o usunięcie danych osobowych?

Prawo do bycia zapomnianym, umożliwione przez przepisy RODO, uprawnia osobę fizyczną, której dane osobowe są przetwarzane przez administratora danych, do żądania od administratora niezwłocznego usunięcia danych osobowych, które jej dotyczą, a administrator ma obowiązek bez zbędnej zwłoki zrealizować jej żądanie.

Należy zauważyć, że RODO dotyczy jedynie osób fizycznych, a zatem niemożliwe jest na podstawie jego przepisów żądanie usunięcia danych przedsiębiorstwa (innych niż firma osoby fizycznej), gdyż nie stanowią one danych osobowych.

Co istotne również, wniosek o usunięcie danych osobowych przysługuje każdemu, jednak nie zawsze żądanie to musi zostać zrealizowane przez administratora danych.

Kiedy administrator danych ma obowiązek usunąć dane osobowe?

Zgodnie z Rozporządzeniem administrator danych osobowych, po otrzymaniu żądania usunięcia danych, od osoby, której dane te dotyczą, ma obowiązek usunąć te dane, jeśli zachodzi jedna z poniższych okoliczności:

  1. Dane te nie są już niezbędne do celów, w których zostały zebrane,
  2. Osoba, której dane dotyczą cofnęła zgodę, na podstawie której były one przetwarzane, a nie istnieje inna podstawa ich przetwarzania,
  3. Osoba, której dane dotyczą wniesie uzasadniony szczególną sytuacją sprzeciw na przetwarzanie danych przez administratora do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej lub niezbędne do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora,
  4. Do przetwarzania danych osobowych dochodziło niezgodnie z prawem (np. brak jest podstawy prawnej do przetwarzania lub dane te wykorzystywane są w innym celu),
  5. Obowiązek usunięcia danych wynika z obowiązujących przepisów prawa,
  6. Dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego dziecku.

Poinformowanie innych administratorów danych

Przepisy Rozporządzenia odnoszą się również do sytuacji, gdy administrator danych osobowych udostępnił je innych administratorom. W związku z tym prawo do bycia zapomnianym składa się tak naprawdę z dwóch uprawnień cząstkowych:

  1. możliwości żądania usunięcia danych osobowych przez administratora danych, jak również
  2. możliwości żądania, aby administrator danych poinformował innych administratorów danych, którym upublicznił dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.

Powyższe wynika z art. 17 ust. 2 RODO. Należy jednak wspomnieć, że możliwość skorzystania z uprawnienia do żądania usunięcia danych przez innych administratorów jest uzależniona od możliwości skorzystania z żądania usunięcia danych osobowych przez pierwotnego administratora danych.

Kiedy administrator może odmówić usunięcia danych osobowych?

Nie zawsze złożenie wniosku z żądaniem usunięcia danych zostanie uznane, a dane zostaną usunięte. Spotkamy się z odmową usunięcia, w sytuacjach, gdy przetwarzanie jest niezbędne:

  1. w celu korzystania z prawa do wolności wypowiedzi i informacji,
  2. do wywiązywania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi,
  3. ze względu na względy interesu publicznego w dziedzinie zdrowia publicznego,
  4. do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych,
  5. do ustalenia, dochodzenia lub obrony roszczeń.

Jeżeli po otrzymaniu wniosku administrator ustali, że wniosek ten jest bezzasadny, może odmówić jego rozpatrzenia, za każdym razem jednak musi on poinformować o tym wnioskującego, a także uzasadnić swoją decyzję.

W wypadkach, których administrator nie przychylił się do wniosku lub w ogóle na niego nie odpowiedział, uprawnionemu przysługuje skarga do Prezesa Urzędu Ochrony Danych Osobowych.

Podsumowanie

Prawo do bycia zapomnianym jest instytucją obowiązującą od wejścia w życie przepisów RODO, czyli od maja 2018 r. Wprowadzenie tych przepisów miało za zadanie przede wszystkim ochronę prywatności osób fizycznych.

Biorąc pod uwagę liczbę potencjalnych wniosków o usunięcie danych osobowych, zwłaszcza w stosunku do dużych przedsiębiorstw, tempo oraz efektywność odpowiadania na nie może przysporzyć administratorom, czyli wszystkim podmiotom przetwarzającym dane osobowe, wiele problemów. Możliwe jest, że aktualne procesy przetwarzania danych nie są dostosowane do nowych przepisów. Prawnicy Kancelarii TMH (adwokaci i radcowie prawni) posiadają bogate doświadczenie opracowywania i przygotowywania sposobów na umożliwienie efektywnego stosowania m.in. prawa do bycia zapomnianym. Dla naszych Klientów sporządzamy dokumentację, m.in. politykę bezpieczeństwa przetwarzania danych osobowych, która okazuje się niezbędna do przestrzegania przepisów Rozporządzenia.

Julia Bonusiak – prawnik Kancelarii TMH