RODO na stałe rozgościło się na polskim rynku. Konsumenci odznaczają się większą świadomością w materii ochrony swoich praw, zaś administratorzy zaczęli kłaść większy nacisk na bezpieczeństwo danych swoich klientów. Wszystko po to, aby czuć się bezpieczniej. Nie każdy przedsiębiorca jednak dostosował się do nowych realiów. Wciąż nagminnie otrzymujemy spam, nasze skrzynki pocztowe zasypywane są tonami ulotek, a przedstawiciele nieznanych nam firm, nie przestają do nas dzwonić.
Jeżeli czujemy się już tym zmęczeni, najlepszym wyjściem będzie wniosek o usunięcie dany osobowych. Wystosowanie takiego pisma do nachalnego przedsiębiorcy powinno raz na zawsze zmusić go do permanentnego skasowania naszych danych osobowych.
RODO ma na celu ochronę praw i wolności osób fizycznych w związku z przetwarzaniem ich danych osobowych. W rozporządzeniu tym wskazany został katalog praw, z których każdy, kogo dane są przetwarzane, może skorzystać. RODO daje możliwość m.in. do sprawdzania, poprawiania, przenoszenia oraz żądania zaprzestania przetwarzania danych osobowych.
Najdalej idącym żądaniem jest to do bycia zapomnianym. Co też oznacza, że wniosek o usunięcie danych osobowych powinien poskutkować tym, iż dany podmiot nigdy więcej nie użyje informacji o wnioskodawcy. Żadnych więcej telefonów, ulotek, maili czy innego rodzaju ofert reklamowych. Na czym więc polega prawo do bycia zapomnianym?
Prawo do bycia zapomnianym a wniosek o usunięcie dany osobowych
Prawo do żądania usunięcia danych osobowych uregulowane zostało w art. 17 RODO. Zgodnie z jego treścią osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, jeżeli zachodzi jedna z okoliczności zawartych w przepisie. Administrator natomiast – co do zasady – ma prawny obowiązek, bez zbędnej zwłoki, usunąć te dane osobowe.
Ustawodawca Unijny przewidział jednak szereg wyjątków, które niwelują omawiane prawo lub co najmniej tworzą wątpliwości interpretacyjne.
a) dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane; b) osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie zgodnie z art. 6 ust. 1 lit. a) lub art. 9 ust. 2 lit. a), i nie ma innej podstawy prawnej przetwarzania; c) osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 1 wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania lub osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 ust. 2 wobec przetwarzania; d) dane osobowe były przetwarzane niezgodnie z prawem; e) dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator; f) dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1.
Dane osobowe nie są już niezbędne do celów, w których zostały zebrane
Osoba, której dane dotyczą, może żądać usunięcia swoich danych osobowych, jeśli dane te nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane.
Powyższe wynika z generalnej zasady RODO, zgodnie z którą administrator ma obowiązek takiego zorganizowania procesu przetwarzania danych osobowych, by nie były one przetwarzane w sytuacji, gdy nie są już niezbędne do celów, w których zostały zebrane.
Zasadniczo, to sam administrator danych powinien usunąć dane, jeżeli zachodzi taka potrzeba. Wniosek o usunięcie dany osobowych nie powinien w tym wypadku być potrzebny. Praktyka pokazuje jednak, że w wielu sytuacjach to osoba, której dane dotyczą, musi przejmować inicjatywę.
Cofnięcie zgody
W przypadku, gdy osoba, której dane dotyczą, wycofała zgodę na przetwarzanie danych osobowych, przy czym zgoda stanowiła jedyną podstawę przetwarzania (nie istnieje inna podstawa przetwarzania danych), ma ona prawo żądać usunięcia swoich danych osobowych.
Tutaj zadaniem administratora jest dokładne zbadanie podstawy prawnej przetwarzania. Jeżeli zgoda była jedyną podstawą, wówczas jest zobowiązany do usunięcia danych.
Tak więc, jeżeli np. okaże się, że przepis prawa podatkowego, zobowiązuje przedsiębiorcę do przechowywaniem dokumentów księgowych, to żądanie usunięcia danych osobowych, w tej materii, będzie nieskuteczne. Należy jednak pamiętać, że przetwarzanie danych będzie możliwe jedynie w aspekcie księgowym. Dane te nie będą mogły być wykorzystywane do innych celów.
Złożenie sprzeciwu
Z przyczyn związanych ze szczególną sytuacją (art. 21 ust. 1 RODO), osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw. Przepis art. 21 RODO odnosi się w szczególności do przetwarzania danych niezbędnego do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi, a także do przetwarzania danych niezbędnego do celów wynikających z prawnie uzasadnionych interesów realizowanych przez administratora lub przez stronę trzecią, z wyjątkiem sytuacji, w których nadrzędny charakter wobec tych interesów mają interesy lub podstawowe prawa i wolności osoby, której dane dotyczą, wymagające ochrony danych osobowych, w szczególności gdy osoba, której dane dotyczą, jest dzieckiem.
Co do zasady skuteczne wniesienie sprzeciwu, jeżeli nie zachodzą inne okoliczności, jest podstawą do żądania usunięcia danych osobowych.
Przetwarzanie danych niezgodnie z prawem
Jeżeli dane osobowe były przetwarzane niezgodnie z prawem, osoba, której dane dotyczą, może żądać ich usunięcia. Doktryna stanęła na stanowisku, iż nie chodzi o każde „nielegalne” działanie, a jedynie o przypadki, gdy niezgodność z prawem dotyczy niedopuszczalności przetwarzania danych, tzn. sytuacji, gdy administrator nie legitymuje się odpowiednią podstawą uprawniającą go do przetwarzania danych.
Usunięcie danych w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego
Okres przechowywanie dokumentacji oraz zbiorów baz danych osobowych w wielu przypadkach jest ściśle określony w przepisach krajowych oraz unijnych. Dla przykładu, dokumentację pracowniczą należy przechowywać 50 lat (minimalnie lat 10). Dopiero po tym okresie, pracodawca ma prawo do całkowitego usunięcia danych osobowych byłych pracowników.
Usunięcie danych zebranych w związku z oferowaniem usług społeczeństwa informacyjnego
RODO w art. art. 4 pkt. 25, wskazuje, iż usługa społeczeństwa informacyjnego oznacza każdą usługę normalnie świadczoną za wynagrodzeniem, na odległość, drogą elektroniczną i na indywidualne żądanie odbiorcy usług. Dodatkowo omawiana podstawa żądania odnosi się także do art. 8 ust. 1 RODO, tj. wyrażenia zgody przez dziecko.
Powyższe oznacza, że podstawą do usunięcia danych osobowych może być sam fakt przetwarzania danych dziecka w celu realizacji usługi społeczeństwa informacyjnego.
Wniosek o usunięcie dany osobowych – obowiązek administratora
Po otrzymaniu przez administratora uzasadnionego żądania usunięcia danych osobowych, a osoba, której dane dotyczą spełniła chociaż jedną z wyżej wskazanych okoliczności, wówczas administrator ma obowiązek podjąć rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.
2. Jeżeli administrator upublicznił dane osobowe, a na mocy ust. 1 ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji – podejmuje rozsądne działania, w tym środki techniczne, by poinformować administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, by administratorzy ci usunęli wszelkie łącza do tych danych, kopie tych danych osobowych lub ich replikacje.
Wniosek o usunięcie dany osobowych – kiedy nie przejdzie?
Prawodawca unijny przewidział także wyjątki od omówionej zasady. Prawo do żądania bycia zapomnianym nie będzie mieć zastosowania w zakresie w jakim przetwarzanie jest niezbędne do:
- do korzystania z prawa do wolności wypowiedzi i informacji;
- do wywiązania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii lub prawa państwa członkowskiego, któremu podlega administrator, lub do wykonania zadania realizowanego w interesie publicznym lub w ramach sprawowania władzy publicznej powierzonej administratorowi;
- z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego zgodnie z art. 9 ust. 2 lit. h) oraz i) i art. 9 ust. 3;
- do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych zgodnie z art. 89 ust. 1, o ile prawdopodobne jest, że prawo, o którym mowa w ust. 1, uniemożliwi lub poważnie utrudni realizację celów takiego przetwarzania;
- do ustalenia, dochodzenia lub obrony roszczeń.
Kara za niezrealizowanie żądania usunięcia danych
W przypadku nie realizowania przez administratora obowiązku usunięcia danych osobowych wnioskodawcy, Prezes Urzędu Ochrony Danych Osobowych może:
- wymierzyć administracyjną karą pieniężną w wysokości do 20 000 000 EUR lub w przypadku przedsiębiorców, w wysokości do 4 % jego całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego, przy czym zastosowanie ma kwota wyższa;
- nałożeniem działań naprawczych: nakazanie na mocy art. 16, 17 i 18 sprostowania lub usunięcia danych osobowych lub ograniczenia ich przetwarzania oraz nakazanie na mocy art. 17 ust. 2 i art. 19 powiadomienia o tych czynnościach odbiorców, którym dane osobowe ujawniono.
Podobne wzory pism:
