Dreptul de a fi uitat

Article Dreptul de a fi uitat (GDPR) | Decalex

Importanța dreptului de a fi uitat

 

Printre drepturile persoanelor vizate se regăsește dreptul la ștergerea datelor, denumit de Regulamentul UE nr. 679/2016 privind protecția datelor cu caracter personal și “dreptul de a fi uitat”. Adesea, acest drept a fost analizat în contextul publicării pe internet a informațiilor despre o persoană, însă acesta se poate exercita față de orice entitate care deține datele unei persoane.

Dreptul de a fi uitat este cu atât mai relevant în condițiile dezvoltării tehnologiilor care au democratizat accesul la informație și la comunicațiile la distanță. Posibilitatea obținerii unor cantități foarte mari de date de pe world wide web care pot fi prelucrate în scopuri care nu sunt mereu transparente, precum și accesibilitatea metodelor de supraveghere și înregistrare a comportamentului persoanelor/utilizatorilor, demonstrează necesitatea reglementării acestui drept.

 

Ce este dreptul de a fi uitat 

Dreptul de a fi uitat este reglementat de Regulamentul UE nr. 679/2016 (RGPD) și reprezintă dreptul persoanei vizate de a obține ștergerea datelor cu caracter personal deținute de un operator, chiar și în cazul în care acestea au fost obținute în mod legal de către operator. 

Cererea de ștergere formulată de persoana vizată trebuie să îndeplinească anumite condiții prevăzute de RGPD și aceasta trebuie analizată ținând cont de necesitatea protejării drepturilor persoanei vizate și de interesul operatorului care prelucrează aceste informații.

Izvorul actualei reglementări a dreptului de a fi uitat în RGPD, l-a constituit decizia Curții de Justiție a Uniunii Europene în cauza Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González” pronunțată în 2014 (C-131/12). În această cauză, persoana vizată a solicitat eliminarea din lista de rezultate, ce apăreau atunci când era folosit motorul de căutare Google, a anunțurilor ce vizau scoaterea la licitație publică a casei acestuia pentru acoperirea unor datorii la asigurările sociale. Deși acest eveniment a fost prezentat în presă cu mai mult de 10 ani înainte de formularea plângerii de către persoana în cauză și deși datoriile fuseseră achitate, aceste anunțuri continuau să cauzeze persoanei prejudicii de imagine. Astfel, CJUE a decis că reclamantul are dreptul să solicite eliminarea rezultatelor afișate de motorul de căutare Google, privind persoana sa. 

 

Cine poate beneficia de dreptul de a fi uitat

 

Dreptul de a fi uitat aparține persoanei fizice a cărei date personale sunt supuse prelucrării. Art. 17 din Regulament prevede situațiile în care persoana vizata poate obține ștergerea datelor sale, și anume:

 

1.În cazul în care datele cu caracter personal nu mai sunt necesare pentru îndeplinirea scopurilor pentru care au fost colectate sau prelucrate;

Scopul prelucrării datelor constituie o informație pe care operatorul este obligat să o furnizeze persoanei vizate, potrivit art. 13 alin. (1) lit. c) din RGPD, iar în funcție de acest scop operatorul va trebui să stabilească perioada de retenție a datelor. Prin urmare, cunoașterea scopurilor prelucrării va ajuta persoana vizată să aprecieze perioada pentru este necesară păstrarea datelor și oportunitatea formulării cererii de ștergere.

2.În cazul în care persoana vizată își retrage consimțământul pe baza căruia are loc prelucrarea și când nu există niciun alt temei juridic pentru prelucrare;

Ne putem imagina situația în care la un moment dat ne-am creat un cont pe o rețea socială și după o anumită perioadă de timp dorim să renunțam la prezența noastră pe această rețea socială. În această situație avem dreptul de a-i cere entității care administrează platforma de socializare și care ne prelucrează datele personale să șteargă aceste date. De reținut că retragerea consimțământului nu afectează legalitatea prelucrării efectuate pe baza consimțământului înainte de retragerea acestuia.

 

3.Dacă persoana vizată își exercită dreptul de opoziție

 

Se poate solicita ștergerea datelor personale dacă prelucrarea se bazează pe interesul legitim al operatorului, însă prevalează necesitatea respectării drepturilor persoanei vizate. Astfel, așa cum a observat și CJUE în hotărârea din cauza Google Spain v. Mario Costeja González dreptul de a solicita eliminarea din lista de rezultate a motorului de căutare implică exercitarea a două drepturi (dreptul la opoziție și dreptul la ștergerea datelor). 

 

4.Dacă datele cu caracter personal au fost prelucrate ilegal, adică nu au fost prelucrate conform prevederilor RGPD. Spre exemplu, în cazul în care consimțământul persoanei vizate pentru a primi mesaje de marketing a fost condiționat de accesul la anumite servicii, prelucrarea datelor în aceste condiții nu respectă exigențele RGPD întrucât consimțământul nu a fost liber exprimat.

 

5.În cazul în care datele cu caracter personal trebuie șterse pentru respectarea unei obligații legale care revine operatorului în temeiul dreptului Uniunii sau al dreptului intern sub incidența căruia se află operatorul. 

 

6.Atunci când datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societății informaționale către un copil

Este posibil ca persoana vizată, fiind copil la momentul exprimării consimțământului, să nu fi putut aprecia pe deplin de toate implicațiile viitoare ale prelucrării datelor sale.  

 

Când nu poate fi utilizat dreptul de a fi uitat

 

RGPD prevede și cazuri în care operatorul nu este obligat să dea curs unei cereri de ștergere. Acestea sunt:

 

a.Cazul în care prelucrarea datelor este necesară pentru exercitarea dreptului la libertatea de

exprimare și de informare

Legea nr. 190/2018 privind unele măsuri de punere în aplicare a Regulamentului nr. 679/2016 prevede, la art. 7, că în vederea asigurării unui echilibru între dreptul la protecția datelor cu caracter personal, libertatea de exprimare și dreptul la informație, prelucrarea în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare poate fi efectuată, dacă aceasta privește date cu caracter personal care au fost făcute publice în mod manifest de către persoana vizată sau care sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată, prin derogare de la dispozițiile privind drepturile persoanelor vizate. Astfel, o investigație jurnalistică asupra unei persoane care deține o funcție publică și asupra căreia există informații cum că ar fi săvârșit fapte de corupție poate constitui o situație în care dreptul la informare a publicului prevalează în fața dreptului persoanei investigate de a obține ștergerea datelor.

 

b.Pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul;

Dreptul la ștergere nu poate fi exercitat atunci când legea prevede necesitatea păstrării unor informații un anumit termen. Spre exemplu, legislația muncii impune angajatorilor să păstreze datele despre angajați o anumită  perioadă  de timp (de ex. dosarele de personal se păstrează timp de 75 de ani).

 

c.Din motive de interes public în domeniul sănătății publice

Aceste motive pot avea în vedere prelucrările legate de medicina preventivă sau medicina muncii, de evaluarea capacității de muncă a angajatului, de furnizarea de asistență medicală.

 

d.În scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice în măsura în care exercitarea dreptului la ștergere este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective.

 

e.Pentru constatarea, exercitarea sau apărarea unui drept în instanță. Astfel, în cazul în care există un litigiu, una dintre părți nu ar putea să solicite ștergerea datelor care reprezintă probe în dosar. 

 

Obligațiile companiilor in gestionarea solicitărilor privind dreptul de a fi uitat

 

Pentru gestionarea cererilor primite de la persoanele vizate, este recomandat să se elaboreze o procedură internă în care să se detalieze pașii de urmat pentru soluționarea acestora, precum și conduita personalul desemnat să gestioneze astfel de solicitări. 

Dacă din cerere nu reiese cu claritate că persoana care solicită informațiile este chiar persoana vizată sau o persoană autorizată/împuternicită de aceasta sau dacă nu reiese cu claritate ce date se doresc a fi șterse, operatorul poate solicita informații suplimentare de la persoana care a făcut cererea.

Pentru identificarea informațiilor solicitate este utilă analizarea registrului prelucrărilor datelor cu caracter personal. După identificarea departamentelor în care se află informațiile, se va identifica locația efectivă în care sunt păstrate datele cu caracter personal. Este posibil ca datele să se regăsească și în format fizic și în format digital, urmând ca ștergerea să aibă loc din ambele medii. 

Modalitatea de ștergere/distrugere va fi aleasă în funcție de tipul documentului în cauză. De exemplu, cele în format fizic pot fi distruse cu ajutorul aparatelor de tocat (shredder), iar cele în format electronic vor fi supuse procedeelor de ștergere electronica ireversibilă, sub coordonarea departamentului IT.

Art. 17 alin. (2) din RGPD prevede că în cazul în care operatorul a făcut publice datele cu caracter personal, ținând seama de tehnologia disponibilă și de costul implementării, trebuie să ia măsuri rezonabile, inclusiv măsuri tehnice, pentru a informa operatorii care prelucrează datele cu caracter personal că persoana vizată a solicitat ștergerea de către acești operatori a oricăror linkuri către datele respective sau a oricăror copii sau reproduceri ale acestor date cu caracter personal. Potrivit art. 19 din RGPD, operatorul comunică fiecărui destinatar căruia i-au fost divulgate datele cu caracter personal orice ștergere a datelor cu caracter personal cu excepția cazului în care acest lucru se dovedește imposibil sau presupune eforturi disproporționate. Operatorul informează persoana vizată cu privire la destinatarii respectivi dacă persoana vizată solicită acest lucru.

De reținut că persoana vizată nu este obligată să își motiveze cererea. Operatorul este obligat sa o soluționeze în cel mai scurt timp posibil, dar nu mai mult de 30 zile de la data primirii solicitării. În măsura în care nu o poate soluționa în termen de 30 zile, este obligat sa îl informeze pe solicitant ca are nevoie de o prelungire a termenului și sa motiveze această necesitate de prelungire. Prelungirea termenului de 30 zile se poate face cu cel mult 2 luni.

 

În analizarea unei cereri de ștergeri bazate pe exercitarea dreptului la opoziție, vor fi puse în balanță interesele legitime ale operatorului sau interesul public pe care se bazează prelucrarea și drepturile persoanei vizate. Dacă se constantă incidența unui caz dintre cele enumerate la art. 17 alin. (3) din RGPD, operatorul va comunica refuzul ștergerii datelor persoanei care a făcut cererea, fără întârzieri nejustificate și în termen de o lună de la primirea cererii. De asemenea, persoana vizată ar trebui să fie informată asupra motivelor care stau la baza refuzului operatorului și asupra dreptului său de a se adresa autorității de supraveghere în cazul în care a fost soluționată cererea sa.

 

Pentru consultanta si intrebari legate de protectia datelor ne puteti contacta la office@decalex.ro.

 

Acest articol a fost redactat de:

Manuela Mihoci - Data Protection Junior

 

Share:
Decalex
Autor: DECALEX

PUNE O INTREBARE