Отговор
Общият регламент относно защитата на данните (ОРЗД) дава право на физическите лица да поискат данните им да бъдат изтрити, а организациите имат задължението да го направят, освен в следните случаи:
- личните данни, с които Вашето дружество/организация разполага, са необходими за упражняване на правото на свобода на изразяване;
- съществува правно задължение за съхраняване на данните;
- поради причини от обществен интерес (например обществено здраве, научни, статистически или исторически изследователски цели).
Ако Вашето дружество/организация е обработило незаконно данни, то трябва да ги изтрие. По отношение на физическо лице, данните, събрани докато то все още е било непълнолетно, следва да се заличат.
Що се отнася до „правото да бъдеш забравен“ онлайн, от организациите се очаква да предприемат разумни действия (напр. технически мерки), за да информират други уебсайтове, че дадено лице е поискало изтриването на личните му данни.
Данните също така могат да се съхраняват, ако са претърпели подходящ процес на анонимизиране.
Примери
Данните не трябва да се изтриват
Вашето дружество/организация ръководи онлайн вестник. Един от вашите журналисти публикува история за това как един политик е изпрал пари в офшорни банки. Политикът моли да премахнете историята, защото се обработват личните му данни. Доколкото личните данни се използват с цел упражняване на правото на свобода на изразяване, Вашето дружество/организация по принцип не е длъжно да изтрива тези данни. Това обаче ще зависи от действащото национално законодателство.
Данните трябва да се изтриват
Вашето дружество/организация управлява социална медийна платформа. Непълнолетен качва снимки; обаче няколко години по-късно той решава, че въпросните снимки потенциално увреждат перспективите му за кариера. Тъй като физическото лице е било непълнолетно по време на качването на снимките, Вашето дружество/организация е длъжно да изтрие въпросните снимки. Освен това, ако снимките са обработени на други уебсайтове, Вашето дружество/организация трябва да предприеме разумни стъпки, за да ги информирате, че е подадена заявка за изтриване на снимките.
Позовавания
- член 17; съображения 65, 66 от GDPR;
- Насоки на работната група по член 29 относно изпълнението на решението на Съда на Европейския съюз по дело „Google Spain SL и Google Inc. срещу Agencia Española de Protección de Datos (AEPD) и Mario Costeja González“, C-131/12, ECLI:EU:C:2014:3171 (WP 225).
1 Резюме на решението може да бъде намерено в OJ C 212, 7.7.2014, стр.4
Examples
Data do not have to be deleted
Your company/organisation runs an online newspaper. One of your journalists publishes a story on how a politician had laundered money in off-shore banks. The politician requests to remove the story because his personal data is being processed. Since the personal data is used to exercise the right of freedom of expression, your company/organisation is, in principle, not obliged to delete such data. However, this will depend on the national legislation in place.
Data have to be deleted
Your company/organisation runs a social media platform. A minor uploads photos; however, some years later he decides that the said photos are potentially harming his career prospects. Since the individual was a minor at the time of uploading, your company/organisation is obliged to delete the said photos. Furthermore, if the photos have been processed on other websites, your company/organisation must take reasonable steps to inform them that a request to delete the photos was filed.
References
- Article 17 and Recitals (65) and (66) of the GDPR
- Article 29 Working Party Guidelines on the implementation of the Judgment of the Court of Justice of 13 May 2014, Google Spain and Google, C-131/12, ECLI:EU:C:2014:317[1]1
1 A summary of the judgment can be found in OJ C 212, 7.7.2014, p. 4.