Usunięcie: kiedy przysługuje, a kiedy nie
„Prawo do bycia zapomnianym” nie jest ogólnym roszczeniem o usunięcie. Przysługuje w sześciu przypadkach – i ograniczone jest pięcioma wyjątkami, z których najczęstszym jest ustawowy obowiązek przechowywania.
Roszczenie istnieje nie dlatego, że osoba życzy sobie usunięcia, lecz dlatego, że zachodzi jedna z sześciu podstaw. W praktyce najważniejsza jest pierwsza: cel, dla którego dane zebrano, został spełniony albo odpadł.
Ocena w dwóch krokach
Sześć podstaw
- Cel został spełniony albo odpadł.
- Zgoda została cofnięta i nie ma innej podstawy.
- Wniesiono sprzeciw i brak nadrzędnych podstaw. Przy marketingu bezpośrednim zawsze.
- Przetwarzanie było niezgodne z prawem.
- Obowiązek prawny wymaga usunięcia.
- Dane zebrano w związku z ofertą skierowaną do dzieci.
Gdy przeszkodą jest obowiązek przechowywania
Najczęstszy konflikt w praktyce: klientka żąda usunięcia, ale faktury podlegają podatkowemu terminowi przechowywania. Rozwiązaniem nie jest odmowa, lecz podzielenie żądania.
Usunąć trzeba wszystko, czego obowiązek nie obejmuje – konto klienta, wpis na newsletter, profil korzystania, notatki kontaktowe. To, co musi zostać zachowane, pozostaje, ale z ograniczonym przetwarzaniem: zablokowane do jakiegokolwiek użytku poza spełnieniem właśnie tego obowiązku.
Przekazanie żądania usunięcia dalej
Jeśli dane opublikowano lub przekazano innym, art. 17 ust. 2 wymaga rozsądnych działań, by doprowadzić do usunięcia także tam. Miernik jest proporcjonalny: wolno uwzględnić dostępną technikę i koszty. Wiadomość do każdego znanego odbiorcy należy jednak do standardu – a to zakłada, że w ogóle odnotowano, do kogo dane trafiły.
Krąg zamyka się na rejestrze czynności przetwarzania: bez listy odbiorców tego obowiązku nie da się spełnić, niezależnie od dobrych chęci.