Najkrócej: na czym polega główna zasada działania prawa do zapomnienia? Osoba, której dane osobowe dotyczą, może żądać, aby administrator je usunął, jeżeli zachodzi jedna z przesłanek z art. 17 RODO, a jednocześnie nie ma zastosowania ustawowy wyjątek. W praktyce RODA wymaga więc zbadania celu, podstawy prawnej i tego, czy dalsze przetwarzać dane wolno jeszcze zgodnie z prawem.
Najważniejsze punkty
- Prawo do bycia zapomnianym z art. 17 RODO nie działa automatycznie; trzeba wykazać przesłankę usunięcia albo brak podstawy dalszego przetwarzania.
- Administrator powinien odpowiedzieć na żądania co do zasady w terminie miesiąca, zgodnie z art. 12 RODO.
- Nie zawsze da się usunąć dane; odmowa bywa legalna, gdy obowiązuje retencja podatkowa, obowiązek archiwalny, obrona roszczeń albo interes publiczny.
- Jeżeli administrator upublicznił informacje, może powstać obowiązek poinformowania innych podmiotów o konieczności usunięcia odnośników lub kopie tych danych.
- Prawo do usunięcia trzeba odróżniać od prawa do sprostowania, ograniczenia przetwarzania i sprzeciwu.
1. Zakres prawa do usunięcia (art. 17 ust. 1)
Prawo do bycia zapomnianym (art. 17 ust. 1 RODO) przysługuje osobie w przypadku zaistnienia jednej z 6 przesłanek: dane nie są już niezbędne do celu, dla którego zostały zebrane; osoba cofnęła zgodę i nie ma innej podstawy; wniosła skuteczny sprzeciw; dane były przetwarzane niezgodnie z prawem; usunięcie jest wymagane przez prawa unii lub prawa państwa członkowskiego; albo dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego dziecku.
To oznacza, że osoba fizyczna ma prawo żądania, aby administrator bez zbędnej zwłoki usunąć informacje, jeśli ustał cel lub podstawa. W języku RODO jest to także prawo do usunięcia danych i prawo do żądania usunięcia danych. Nie chodzi jednak o każde niezadowolenie z kontaktu z firmą, ale o ocenę, czy wolno dalej przetwarzać konkretne dane osobowe.
W praktyce administrator danych powinien ustalić, jakie kategorie danych posiada, w jakim zakresie przetwarzania danych osobowych są używane, czy nadal istnieje podstawa umowna, ustawowa lub zgoda, oraz czy możliwe jest dalsze przetwarzanie danych. Jeżeli nie, dane osobowe muszą zostać usunięte.
Główne zasady RODO a prawo do bycia zapomnianym (7 zasad z art. 5)
Odpowiedź na pytanie, na czym polega główna zasada działania prawa do zapomnienia, wymaga odwołania do art. 5 RODO. To właśnie siedem zasad wyznacza, kiedy wolno przetwarzać dane osobowe i kiedy trzeba je usunąć.
- zgodność z prawem, rzetelność i przejrzystość,
- ograniczenie celu,
- minimalizacja danych,
- prawidłowość,
- ograniczenie przechowywania,
- integralność i poufność,
- rozliczalność.
Jeżeli cel ustał albo dane są nadmiarowe, administrator nie powinien dalej ich przetwarzać. Właśnie dlatego ochrona danych osobowych nie kończy się na zebraniu zgody; obejmuje też obowiązek okresowej weryfikacji, czy należy usunąć dane. Z perspektywy przedsiębiorcy to element prawidłowego stosowania RODO i organizacji procesów w firmie.
2. Wyjątki (art. 17 ust. 3)
Administrator może skutecznie odmówić realizacji prawa do bycia zapomnianym wyłącznie na podstawie 5 zamkniętych przesłanek z art. 17 ust. 3 RODO. Najczęstszą podstawą odmowy jest obowiązek retencji podatkowej, który w praktyce często oznacza 5 lat przechowywania dokumentów.
Wyjątki obejmują sytuacje, gdy dalsze przetwarzanie jest niezbędne do korzystania z wolności wypowiedzi i informacji, do wywiązania się z obowiązku prawnego, do wykonania zadania realizowanego w interesie publicznym lub w ramach władzy publicznej, ze względów zdrowia publicznego, do celów archiwalnych, naukowych lub statystycznych, a także do ustalenia, dochodzenia lub obrony roszczeń.
W polskiej praktyce najczęściej chodzi o przepisy podatkowe, rachunkowe, pracownicze i procesowe. Jeżeli przedsiębiorca musi przetwarzać dokumenty z fakturą albo akt osobowych, nie może ich po prostu usunąć wyłącznie dlatego, że wpłynęło żądanie usunięcia. Znaczenie ma też interes publiczny, np. przy dokumentacji urzędowej czy niektórych obowiązkach archiwalnych.
Prawo do usunięcia danych vs prawo do sprostowania (art. 16 a art. 17 RODO)
Prawo z art. 16 służy temu, by poprawić nieprawidłowe lub niekompletne dane osobowe. Art. 17 pozwala usunąć dane, gdy brak podstaw do dalszego przetwarzania. Jeżeli więc adres jest błędny, zwykle nie należy go usunąć, tylko sprostować. Jeżeli jednak cel ustał, można domagać się usunięcia swoich danych.
W praktyce wiele żądań jest mieszanych: osoba chce jednocześnie poprawić część informacji i część usunąć. Administrator powinien wtedy rozdzielić podstawy i osobno ocenić każde z tych praw.
3. Wyrok Google Spain (C-131/12)
Wyrok TSUE w sprawie C-131/12 był punktem zwrotnym dla prawa do zapomnienia. Trybunał Sprawiedliwości Unii Europejskiej uznał, że operator wyszukiwarki może być administratorem danych osobowych w zakresie wyników wyszukiwania prowadzących do stron zawierających dane osobowe. Dzięki temu osoba fizyczna zyskała realne prawo do zgłoszenia administratorom danych żądania usunięcia określonych wyników w wyszukiwarce.
To orzeczenie nie nakazuje jednak automatycznie kasować każdej publikacji z Internetu. Analiza zawsze wymaga wyważenia prywatności, wolności słowa oraz tego, czy istnieje interes publiczny w dostępie do informacji.
4. Google delisting w praktyce
W praktyce delisting polega na usunięciu określonych wyników wyszukiwania po wpisaniu imienia i nazwiska. To nie zawsze oznacza usunięcie samej treści ze strona internetowa; źródłowa publikacja może nadal istnieć. Osoba składa więc dwa odrębne żądania: do wydawcy lub właściciela strony oraz do podmiotu indeksującego.
Jeżeli administrator strony upublicznił dane osobowe, art. 17 ust. 2 RODO przewiduje obowiązek podjęcia rozsądnych działań, aby poinformować innych administratorów przetwarzających te dane, że należy usunąć odnośniki, repliki lub kopie tych danych.
5. Zakres geograficzny (C-507/17)
W sprawie C-507/17 TSUE uznał, że co do zasady prawo UE nie wymaga globalnego delistingu we wszystkich wersjach wyszukiwarki na świecie. Co najmniej na obszarze Unii Europejskiej środki muszą być jednak skuteczne. To ważne dla prawa do bycia zapomnianym, bo pokazuje granice między ochroną prywatności a zasięgiem terytorialnym prawa unii.
6. Termin realizacji i procedura
Administrator powinien odpowiedzieć na żądania bez zbędnej zwłoki, nie później niż w miesiąc. W sprawach skomplikowanych termin można przedłużyć o kolejne dwa miesiące, ale trzeba o tym poinformować osobę w pierwszym miesiącu i uzasadnić zwłokę. To wynika z art. 12 RODO.
Procedura zwykle obejmuje: identyfikację wnioskodawcy, ocenę podstawy, ustalenie, gdzie są dane osobowe, decyzję czy należy usunąć dane, wykonanie operacji w systemach i poinformowanie o wyniku. Jeśli administrator odmawia, powinien wskazać podstawę prawną oraz poinformować o prawie skargi do prezesa urzędu ochrony danych osobowych.
Wzór wniosku o usunięcie danych osobowych (prawo do bycia zapomnianym)
Skuteczny wniosek o usunięcie danych nie musi mieć szczególnej formy, ale powinien być konkretny. Dla osoby, która składa wniosek o usunięcie danych osobowych, kluczowe jest wskazanie, jakie dane osobowe mają zostać usunięte, z jakiego procesu pochodzą i dlaczego dalsze przetwarzać ich nie wolno.
| Element | Co wpisać |
|---|---|
| Dane wnioskodawcy | Imię, nazwisko, dane kontaktowe, ewentualnie identyfikator klienta |
| Adresat | Administrator danych i adres kontaktowy |
| Treść żądania | Wyraźne żądanie usunięcia danych osobowych lub wskazanie, że chodzi o prawo do żądania usunięcia |
| Zakres | Jakie dane i z jakiego procesu należy usunąć |
| Uzasadnienie | Np. cel ustał, osoba cofnęła zgodę, brak podstawy, wniesiono sprzeciw |
| Oczekiwanie | Potwierdzenie realizacji albo uzasadniona odmowa |
W piśmie można użyć sformułowania, że osoba korzysta z art. 17 RODO i żąda niezwłocznego usunięcia dotyczących jej danych. To praktyczny Prawo do bycia zapomnianym wzór w sensie układu pisma, bez potrzeby rozbudowanej formy.
7. Skutki usunięcia
Skuteczne wykonanie prawa do usunięcia wymaga skasowania danych z 4 obszarów infrastruktury administratora: systemów produkcyjnych, kopii zapasowych, logów oraz archiwów. Zgodnie z art. 19 RODO administrator ma także bezwzględny obowiązek poinformowania odbiorców, którym ujawniono dane, chyba że okaże się to niemożliwe lub będzie wymagało niewspółmiernie dużego wysiłku.
Innymi słowy, nie wystarczy ukryć rekordu w panelu użytkownika. Trzeba rzeczywiście usunąć dane z aktywnych baz danych, ograniczyć ich dostępność i zaplanować usunięcie z warstw technicznych. To jest praktyczny wymiar tego, na czym polega główna zasada działania prawa do zapomnienia.
8. Usunięcie w kopiach zapasowych
Kopie bezpieczeństwa nie zwalniają z obowiązku realizacji art. 17. Jeżeli nie da się od razu fizycznie usunąć rekordu z backupu, administrator powinien zapewnić, by dane nie wróciły do obiegu po odtworzeniu systemu, a przy pierwszym możliwym cyklu nadpisania zostały usunięte. Ważne jest też, aby nie przetwarzać tych danych ponownie bez podstawy.
9. Typowe sytuacje biznesowe i praktyczna ocena przesłanek
Sklep internetowy: po zamknięciu konta klient może chcieć usunąć dane. Część informacji da się usunąć, ale dane na fakturach zwykle trzeba zachować przez okres wymagany przepisami. Marketing bezpośredni: jeżeli brak innej podstawy i wygasła lub odwołana została podstawa marketingowa, często trzeba usunąć dane osobowe albo co najmniej zaprzestać ich używania. Były pracownik: części dokumentacji nie można od razu usunąć, bo przepisy prawa pracy nakazują dalej ją przetwarzać.
W każdej z tych sytuacji administrator powinien osobno ocenić cele, terminy retencji i to, czy istnieje dalsze przetwarzanie danych oparte na ustawie, umowie albo uzasadnionym obowiązku.
10. Sprawy UODO i przykłady
W praktyce urzędu ochrony danych osobowych najczęściej problemem nie jest samo istnienie prawa, lecz niewłaściwa odpowiedź na żądania, brak analizy przesłanek lub lakoniczna odmowa. Organ bada, czy administrator potrafi wykazać podstawę dalszego przetwarzania i czy odpowiedział terminowo. Z punktu widzenia osoby składającej wniosek istotne jest zachowanie kopii korespondencji i dowodu nadania.
11. Prawo do bycia zapomnianym a dziennikarstwo
Tutaj szczególne znaczenie ma wolność wypowiedzi, prasa i interes publiczny. Nie każde żądanie wobec redakcji albo archiwum publikacji będzie skuteczne. Jeżeli materiał dotyczy osoby publicznej, kwestii społecznie istotnej albo rzetelnie opisuje zdarzenia mające znaczenie dla debaty publicznej, administrator może odmówić usunięcia, powołując się na wyjątki z art. 17 ust. 3.
12. Procedura wewnętrzna administratora
Każdy przedsiębiorca powinien mieć prostą procedurę obsługi żądań. Powinna obejmować rejestr wpływu, weryfikację tożsamości, mapę systemów, ocenę podstaw prawnych, decyzję, wykonanie techniczne i wzór odpowiedzi. Taka organizacja ułatwia ochrona danych osobowych i pozwala wykazać rozliczalność, której wymaga RODA.
13. Polskie decyzje UODO i egzekwowanie art. 17 RODO w praktyce
Polska praktyka pokazuje kilka stałych wniosków. Po pierwsze, administrator nie może ignorować żądań. Po drugie, odmowa musi być konkretna i oparta na przepisie, a nie na ogólnym twierdzeniu, że firma „musi mieć dane”. Po trzecie, istotne jest odróżnienie obowiązkowej retencji od wygody biznesowej. Linie decyzji PUODO i kontrola sądów administracyjnych koncentrują się właśnie na rozliczalności, terminowości i wykazaniu, dlaczego wolno dalej przetwarzać dane.
14. Orzecznictwo TSUE rozszerzające art. 17
Poza sprawami C-131/12 i C-507/17 warto wskazać C-460/20. Orzecznictwo to pokazuje, że przy ocenie wniosków trzeba ważyć prywatność, prawdziwość informacji, wolność słowa i interes publiczny. Z perspektywy praktycznej nie ma jednej automatycznej odpowiedzi; trzeba analizować, czy dane są aktualne, adekwatne i czy wolno je nadal przetwarzać.
FAQ
Poniższe odpowiedzi dotyczą najczęstszych praktycznych wątpliwości związanych z realizacją art. 17 RODO w polskich realiach biznesowych. To skrót najważniejszych zasad, które warto znać przed złożeniem wniosku lub odpowiedzią jako administrator.
Jakie są główne zasady RODO?
Główne zasady RODO to zgodność z prawem, rzetelność i przejrzystość, ograniczenie celu, minimalizacja, prawidłowość, ograniczenie przechowywania, integralność i poufność oraz rozliczalność. To one przesądzają, kiedy wolno przetwarzać dane osobowe i kiedy trzeba je usunąć.
Co oznacza termin „prawo do bycia zapomnianym”?
To uprawnienie osoby fizycznej do domagania się, aby administrator usunąć jej dane osobowe, gdy zachodzą przesłanki z art. 17 RODO. Mówiąc prościej: czym jest prawo do bycia zapomnianym? To możliwość żądania usunięcia informacji, których nie wolno już legalnie dalej przetwarzać.
Jakie są 7 zasad przetwarzania danych osobowych na gruncie RODO?
Są to: legalność, rzetelność i przejrzystość; ograniczenie celu; minimalizacja; prawidłowość; ograniczenie przechowywania; integralność i poufność; rozliczalność. Te zasady wyznaczają ramy dla przetwarzania danych, ochrona danych osobowych i oceny, czy należy usunąć dane.
O czym mówi art. 17 RODO?
17 RODO reguluje prawo do bycia zapomnianym, czyli prawo do usunięcia danych, oraz wyjątki od tego prawa. Przepis określa także sytuację, gdy administrator ma obowiązek poinformować innych odbiorców o obowiązku usunięcia danych.
Czy prawo do bycia zapomnianym obowiązuje w relacji z bankiem? Tak, ale tylko w granicach ustawy. Bank może część danych usunąć, lecz wiele informacji musi nadal przetwarzać ze względu na przepisy o przeciwdziałaniu praniu pieniędzy, rachunkowości, roszczenia i obowiązki nadzorcze.
Podstawa prawna i źródła
- Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679, czyli Ogólne rozporządzenie o ochronie danych – w szczególności art. 17, art. 12 i art. 19.
- Ustawa z 10 maja 2018 r. o ochronie danych osobowych.
- Wyrok TSUE z 13 maja 2014 r., C-131/12.
- Wyrok TSUE z 24 września 2019 r., C-507/17.
- Wyrok TSUE z 8 grudnia 2022 r., C-460/20.
RODO jest aktem prawnam Unii Europejskiej dotyczącym ochrony osób fizycznych w związku z przetwarzania danych osobowych i swobodnego przepływu tych danych. W Polsce stosuje się je bezpośrednio, obok przepisów krajowych oraz praktyki Prezesa Urzędu Ochrony Danych Osobowych.
Jeżeli chcesz skorzystać z prawa do zapomnienia, przygotować prośba o usunięcie danych osobowych, odpowiedzieć na zgłoszenia administratorom danych osobowych żądania albo ocenić odpowiedź na wniosek o usunięcie danych osobowych czy odmowa usunięcia danych osobowych, warto przeanalizować konkretną podstawę przetwarzania, retencję i relację z innymi obowiązkami przedsiębiorcy. Niniejsza treść ma charakter informacyjny i nie stanowi porady prawnej. W indywidualnej sprawie dotyczącej RODO, zgody na przetwarzanie danych, prawo do sprostowania danych lub usunięcia swoich danych, zapraszamy do kontaktu z Kancelarią Adwokacką adwokata Mateusza Orlickiego.
