Atsakymas
Bendruoju duomenų apsaugos reglamentu (BDAR) asmenims suteikiama teisė reikalauti, kad būtų ištrinti jų duomenys. Organizacijos yra įpareigotos patenkinti šį prašymą, išskyrus šiuos atvejus:
- jūsų įmonės ar organizacijos turimų duomenų reikia siekiant pasinaudoti teise į saviraiškos laisvę;
- nustatyta teisinė prievolė saugoti tokius duomenis;
- dėl viešojo intereso priežasčių (pvz., visuomenės sveikatos, mokslinio, statistinio ar istorinio tyrimo tikslais).
Jūsų įmonė ar organizacija turi ištrinti neteisėtai tvarkomus duomenis. Taip pat turite ištrinti asmens duomenis, jeigu duomenys buvo surinkti, kai asmuo buvo nepilnametis.
Teisės būti pamirštam internete atveju tikimasi, kad organizacijos imsis protingų veiksmų (pvz., techninių priemonių) ir informuos kitas svetaines apie konkretaus asmens prašymą ištrinti jo asmens duomenis.
Duomenis taip pat galima pasilikti, jeigu jiems buvo pritaikytas tinkamas anoniminimo procesas.
Pavyzdžiai
Duomenų nereikia ištrinti
Jūsų įmonė ar organizacija turi internetinį laikraštį. Vienas iš jūsų žurnalistų paskelbia istoriją, kaip politikas išplovė pinigus į lengvatinio apmokestinimo bankus. Politikas reikalauja, kad pašalintumėte šią istoriją, nes tvarkomi jo asmens duomenys. Iš esmės jūsų įmonė ar organizacija neprivalo tokių duomenų ištrinti, nes jie naudojami, kad galėtumėte pasinaudoti teise į saviraiškos laisvę. Tačiau viskas priklauso nuo galiojančių nacionalinės teisės aktų.
Duomenis reikia ištrinti
Jūsų įmonė ar organizacija turi socialinės žiniasklaidos platformą. Nepilnametis įkelia savo nuotraukas, tačiau po kelerių metų nusprendžia, kad jos gali pakenkti jo karjeros galimybėms. Nuotraukų įkėlimo metu asmuo buvo nepilnametis, todėl jūsų įmonė ar organizacija privalo jas ištrinti. Be to, jeigu nuotraukos buvo tvarkomos kitose svetainėse, jūsų įmonė ar organizacija privalo imtis pagrįstų veiksmų ir informuoti jas apie asmens prašymą ištrinti nuotraukas.
Nuorodos
- BDAR 17 straipsnis; 65–66 konstatuojamosios dalys
- 29 straipsnio darbo grupės gairės dėl 2014 m. gegužės 13 d. Europos Sąjungos Teisingumo Teismo sprendimo byloje „Google Spain ir Google“ įgyvendinimo, C-131/12, ECLI:EU:C:2014:3171
1 Sprendimo santrauka pateikiama OL C 212, 2014 7 7, p. 4.
Examples
Data do not have to be deleted
Your company/organisation runs an online newspaper. One of your journalists publishes a story on how a politician had laundered money in off-shore banks. The politician requests to remove the story because his personal data is being processed. Since the personal data is used to exercise the right of freedom of expression, your company/organisation is, in principle, not obliged to delete such data. However, this will depend on the national legislation in place.
Data have to be deleted
Your company/organisation runs a social media platform. A minor uploads photos; however, some years later he decides that the said photos are potentially harming his career prospects. Since the individual was a minor at the time of uploading, your company/organisation is obliged to delete the said photos. Furthermore, if the photos have been processed on other websites, your company/organisation must take reasonable steps to inform them that a request to delete the photos was filed.
References
- Article 17 and Recitals (65) and (66) of the GDPR
- Article 29 Working Party Guidelines on the implementation of the Judgment of the Court of Justice of 13 May 2014, Google Spain and Google, C-131/12, ECLI:EU:C:2014:317[1]1
1 A summary of the judgment can be found in OJ C 212, 7.7.2014, p. 4.