Fajgielski Paweł, Realizacja wniosku o usunięcie danych osobowych („prawo do bycia zapomnianym”)

Realizacja wniosku o usunięcie danych osobowych („prawo do bycia zapomnianym”)

Uprawnienie osoby, której dane dotyczą, do żądania usunięcia jej danych, jeśli są one nieprawdziwe lub zostały zebrane w sposób sprzeczny z ustawą, zostało przewidziane w art. 51 ust. 4 Konstytucji RP.

Unijne rozporządzenie o ochronie danych nakłada na administratora obowiązek zapewnienia prawidłowości przetwarzanych danych. Zgodnie z zasadą wyrażoną w art. 5 ust. 1 lit. d r.o.d.o. dane osobowe powinny być prawidłowe i w razie potrzeby uaktualniane; należy podjąć wszelkie rozsądne działania, aby dane osobowe, które są nieprawidłowe w świetle celów ich przetwarzania, zostały niezwłocznie usunięte lub sprostowane. W myśl art. 5 ust. 1 lit. e r.o.d.o. dane osobowe powinny być przechowywane w formie umożliwiającej identyfikację osoby, której dane dotyczą, przez okres nie dłuższy, niż jest to niezbędne do celów, w których dane te są przetwarzane; dane osobowe można przechowywać przez okres dłuższy, o ile będą one przetwarzane wyłącznie do celów archiwalnych w interesie publicznym, do celów badań naukowych lub historycznych lub do celów statystycznych, z zastrzeżeniem że zostaną wdrożone odpowiednie środki techniczne i organizacyjne wymagane na mocy niniejszego rozporządzenia w celu ochrony praw i wolności osób, których dane dotyczą („ograniczenie przechowywania”).

W określonych w rozporządzeniu przypadkach prawodawca unijny przyznał osobie, której dane dotyczą, uprawnienie do żądania od administratora usunięcia danych jej dotyczących. Uprawnienie to, określane także mianem „prawa do bycia zapomnianym”, stanowi kontynuację i rozszerzenie prawa do żądania usuwania danych przewidzianego w dotychczasowych przepisach, jednak w r.o.d.o. prawo to zostało ukształtowane inaczej. Przepis art. 17 r.o.d.o. określa przesłanki, których spełnienie uprawnia do skorzystania z omawianego prawa, przewiduje jednak wiele wyjątków, których zaistnienie sprawia, że uprawnienie do żądania usuwania danych nie przysługuje.

Jeżeli osoba, której dane dotyczą:

– stwierdzi, że dane nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane,

– cofnęła zgodę, na której opiera się przetwarzanie, i nie ma innej podstawy prawnej przetwarzania,

– wnosi sprzeciw na wobec przetwarzania jej danych,

– stwierdzi, że dane osobowe były przetwarzane niezgodnie z prawem,

– stwierdzi, że dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego, któremu podlega administrator,

– stwierdzi, że dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego

to może (zgodnie z art. 17 ust. 1 r.o.d.o.) zwrócić się do administratora z żądaniem usunięcia danych.

Ciężar dowodu (wykazania nieprawidłowości, nielegalności przetwarzania bądź zbędności danych) ciąży na osobie, której dane dotyczą.

Po otrzymaniu żądania usunięcia danych administrator powinien sprawdzić, czy zachodzi jedna z przesłanek uprawniających podmiot danych do żądania usunięcia danych, określonych w art. 17 ust. 1 r.o.d.o.

Pierwszą ze wskazanych w tym przepisie przesłanek jest okoliczność, że dane nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane (art. 17 ust. 1 lit. a r.o.d.o.).