Vastus
Isikuandmete kaitse üldmäärus annab üksikisikutele õiguse nõuda oma andmete kustutamist ja organisatsioonid on kohustatud seda tegema, välja arvatud järgmistel juhtudel:
- Teil olevaid isikuandmeid on vaja sõnavabaduse õiguse teostamiseks;
- Teil on juriidiline kohustus neid isikuandmeid säilitada;
- avalike huvide (nt rahvatervise, statistiliste, teadus- või ajaloouuringute) alusel.
Kui töötlesite andmeid ebaseaduslikult, siis peate need kustutama. Samuti tuleb andmed kustutada, kui taotleja oli isikuandmete kogumise ajal alles alaealine.
Seoses õigusega olla unustatud peaksid ettevõtted ja organisatsioonid võtma tarvitusele mõistlikke abinõusid (nt tehnilisi meetmeid), et teavitada teisi veebisaite, et konkreetne üksikisik taotles oma isikuandmete kustutamist.
Andmed võib alles jätta ka siis, kui need on asjakohasel viisil anonüümseks muudetud.
Näited
Andmeid ei ole vaja kustutada
Te annate välja elektroonilist ajalehte. Üks Teie ajakirjanikest avaldab loo poliitikust, kes tegeles rahapesuga maksuvabades pankades. See poliitik palub Teil lugu kustutada tema isikuandmete töötlemise tõttu. Kuna Te kasutate isikuandmeid sõnavabaduse eesmärgil, ei ole Te põhimõtteliselt kohustatud selliseid andmeid kustutama. See sõltub siiski kohaldatavast siseriiklikust õigusest.
Andmed on vaja kustutada
Te juhite suhtlusmeedia platvormi tegevust. Alaealine laadib üles fotosid, kuid mõne aasta pärast otsustab, et need fotod võivad tema ametialast edenemist raskendada. Kuna ta oli üleslaadimise ajal alaealine, olete Te kohustatud need fotod kustutama. Kui neid fotosid on töödeldud ka teistel veebisaitidel, peate Te lisaks astuma mõistlikke samme nende teavitamiseks, et Teilt taotleti fotode kustutamist.
Viited
- Artikkel 17; põhjendused 65 ja 66.
- Artikli 29 alusel asutatud andmekaitse töörühma suunised Euroopa Kohtu otsuse rakendamise kohta kohtuasjas Google Spain ja Google, C-131/12, ECLI:EU:C:2014:3171 (WP 225).
1 Kohtuotsuse kokkuvõte: ELT C 212, 7.7.2014, lk 4.
Examples
Data do not have to be deleted
Your company/organisation runs an online newspaper. One of your journalists publishes a story on how a politician had laundered money in off-shore banks. The politician requests to remove the story because his personal data is being processed. Since the personal data is used to exercise the right of freedom of expression, your company/organisation is, in principle, not obliged to delete such data. However, this will depend on the national legislation in place.
Data have to be deleted
Your company/organisation runs a social media platform. A minor uploads photos; however, some years later he decides that the said photos are potentially harming his career prospects. Since the individual was a minor at the time of uploading, your company/organisation is obliged to delete the said photos. Furthermore, if the photos have been processed on other websites, your company/organisation must take reasonable steps to inform them that a request to delete the photos was filed.
References
- Article 17 and Recitals (65) and (66) of the GDPR
- Article 29 Working Party Guidelines on the implementation of the Judgment of the Court of Justice of 13 May 2014, Google Spain and Google, C-131/12, ECLI:EU:C:2014:317[1]1
1 A summary of the judgment can be found in OJ C 212, 7.7.2014, p. 4.