Codziennie rejestrujemy się do setek baz danych różnych internetowych portali. Później zapominamy o tym, że w ogóle stworzyliśmy konto, ale nasze dane pozostają dostępne u administratorów stron internetowych. Często nie zdajemy sobie sprawy, że mamy prawo do zarządzania własnymi danymi, które w takiej bazie danych się znajdują. Mamy prawo do bycia zapomnianym.
Prawo to wynika z rozporządzenia unijnego RODO (art. 17 ust. 1). Przepis brzmi następująco: każda osoba fizyczna ma prawo żądać od administratora niezwłocznego usunięcia swoich danych osobowych, a obowiązkiem administratora jest ich skasowanie bez zbędnej zwłoki. Usunięcie danych powinno nastąpić w taki sposób, aby możliwość identyfikacji osoby, której dane dotyczą, była niemożliwa. RODO prawo do bycia zapomnianym traktuje więc bardzo poważnie.
Czym jest prawo do zapomnienia?
Prawo unijne stanowi, że aby zostać zapomnianym z bazy danych, czyli zniknąć z wirtualnego rejestru, należy spełnić jeden z warunków. Trzeba również wiedzieć, że poniższe warunki mogą zostać wypełnione zarówno przez użytkownika portalu, jak i przez podmiot administrujący bazą danych.
Powołanie się na konstrukcję prawną z rozporządzenia regulującego prawo do bycia zapomnianym przysługuje nam, gdy nasze dane udostępniliśmy podmiotowi administrującemu w sposób dobrowolny.
Z bazy danych możemy zostać usunięci, gdy:
- dane przestały być niezbędne do realizacji celu, w jakim zostały zebrane lub przetwarzane,
- podmiot danych wycofał zgodę na ich przetwarzanie danych osobowych,
- przestały istnieć podstawy, aby dane osobowe były dalej przetwarzane,
- podmiot danych sprzeciwia się ich dalszemu przetwarzaniu, a nie istnieje żadna nadrzędna konieczność, aby to czynić,
- podmiot danych sprzeciwia się dalszemu przetwarzaniu danych w zakresie marketingu bezpośredniego i profilowania marketingowego,
- przetwarzanie danych osobowych nie jest lub przestało być zgodne z RODO, lub innymi przepisami prawa,
- dane osobowe zostały zebrane w nawiązaniu do oferowania bezpośrednio osobom poniżej 16 lat usług społeczeństwa informatycznego (np. e-handel, portale społecznościowe).
Niewypełnienie wymogów prawnych może narazić przedsiębiorstwa na ogromne kary finansowe. Sławna stała się sprawa Mario Costeja Gonzaleza, który wytoczył sprawę sądową hiszpańskiemu organowi zajmującemu się danymi osobowymi oraz tamtejszemu oddziałowi Google.
Na czym polega prawo do bycia zapomnianym
Dane osobowe często trafiają w ręce telemarketerów. Prawo do bycia zapomnianym w założeniu ma być skuteczną bronią przeciwko niechcianym reklamom i targetowaniu nas przez firmy marketingowe. Często jednak nasz komunikat, że żądamy usunięcia z bazy danych, jest zbywany, a telemarketerzy zasłaniają się tym, iż są jedynie podmiotem przetwarzającym dane osobowe, a administratorem jest jeszcze ktoś inny. Również na to jest sposób: zażądajmy ujawnienia, kto jest administratorem, gdyż telemarketer ma obowiązek ujawnienia tej informacji.
Figurowanie w niezliczonych bazach danych jest również proszeniem się o kłopoty. Fala cyberataków na portale internetowe powiększa się, a niemal codziennie jesteśmy informowani, że doszło do wycieku danych użytkowników. Prawo do bycia zapomnianym jest zatem dość skuteczną metodą, aby zniknąć z internetowych rejestrów. Warto zatem z niego skorzystać.
Jak napisać prośbę o usunięcie danych osobowych?
Pismo należy skierować do inspektora danych osobowych wyznaczonego przez dane przedsiębiorstwo. Adres do komunikacji powinien być dostępny na stronie internetowej podmiotu.
Jeżeli spółka nie wyznaczyła odpowiedniej osoby do zarządzania danymi, to wtedy żądanie wraz z wnioskiem trzeba kierować na adres ogólny lub bezpośrednio do kierownictwa spółki. Co do zasady dla zgłaszającego wniosek nie powinno mieć znaczenia do kogo został on wysłany. Odpowiednia reakcja jest po stronie podmiotu administrującego danymi.
Forma prośby również zależy od zgłaszającego. Nie jest wymagana forma pisemna, można to zrobić także elektronicznie. Wniosek można złożyć w dowolnym momencie.
Prawodawca unijny przewidział również wyjątki dotyczące prawa do bycia zapomnianym. Wniosek może nie zostać zaakceptowany, gdy będzie sprzeczny z interesem publicznym lub gdy dane osobowe są niezbędne do dochodzenia lub obrony roszczeń.
Prawo do bycia zapomnianym a wolność słowa
Przetwarzanie danych jest czasem niezbędne, aby móc korzystać z prawa do wolności słowa i wypowiedzi. Jest to zatem jeden z wyjątków od konieczności egzekwowania przez administratora prawa do bycia zapomnianym, który w przepisach prawa przyjął ustawodawca.
Wątpliwości dotyczą przede wszystkim wyszukiwarek internetowych, które często indeksują dane osobowe, które zawarte są w artykułach. Dotyczy to również sytuacji, gdy opublikowane zostają informacje nieprawdziwe. Co do zasady artykuł prasowy nie podlega przepisom RODO w szerokim zakresie, jednakże jest to zagadnienie, któremu przyglądają się zarówno sądownictwo europejskie, jak i rodzime. W sprawie z maja 2022 roku Wojewódzki Sąd Administracyjny orzekł, że można żądać usunięcia danych osobowych również z artykułu na portalu internetowym.
Komu przysługuje prawo do bycia zapomnianym?
Legislatorzy tworzący prawo do bycia zapomnianym podeszli do tej kwestii w sposób rygorystyczny. Administrator bazy danych musi upewnić się, że dane osób, które chcą być zapomniane, zostały w całości usunięte z systemu. Oznacza to, że jeśli zostały np. upublicznione w internecie, to administrator jest zobowiązany m.in. do usunięcia stron lub linków, które mogłyby do danych doprowadzić.
Zmieniający się świat i kolejne wyzwania stojące przed administratorami danych zapewne w najbliższej przyszłości doprowadzą do znacznych zmian w zakresie zbierania oraz przechowywania danych osobowych. Zadbanie, aby prawo do bycia zapomnianym było konsekwentnie realizowane, również jest warunkiem trudnym do wdrożenia. Niemniej na szali jest prywatność użytkowników sieci, a to jest to niezwykle ważna kwestia we współczesnym cyfrowym świecie.
