Törléshez (feledéshez) való jog
Az érintettek kérhetik a róluk szóló adatok törlését [1], de azt csak abban az esetben kell megtennünk, ha az alábbi indokok valamelyike fennáll:
- A személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy kezelték.
- Ha hozzájárulás alapján kezeltük az adatot és az érintett visszavonja a hozzájárulását. (Emlékeztetőül, az adatok jelentős részét nem hozzájárulás alapján kezeljük, hanem például szerződés teljesítéséhez vagy jogi megfeleléshez, aminél nem lehetséges hozzájárulást visszavonni. Erről a jogalapoknál bőségesen értekeztünk.)
- Az érintett tiltakozik az adatkezelés ellen, mivel azokat közvetlen üzletszerzés céljából használják (direkt marketing) vagy egyéb sajátos indoka van a személynek, ami erősebb mint az adatkezelő indoka az adatkezelés folytatása mellett.
A sajátos indok nem különösebben definiált a rendeletben, lehet bármilyen személyes helyzettel kapcsolatos ok, ami miatt erre a döntésre jut az adatalany. Ha az adatkezelő úgy dönt, hogy nem törli az adatot, akkor bizonyítania kell, hogy a törlés jogos okokból nem történt meg.
- Az adatokat jogellenesen kezelik.
- Jogi kötelezettség miatt törölni kell azokat.
A rendelet a törlés kapcsán, amennyiben valamelyik fenti feltétel helytálló, az adatkezelő oldalán észszerűen elvárható mennyiségű erőfeszítést követel meg. Ha az adatok tárolásának jellege ezt különösképpen megnehezíti és az érintettek kockázata nem túl magas, akkor a törléstől akár el is tekinthetünk, de ezt alaposan indokolnunk kell. Máshol foglalkozunk például a biztonsági mentés és a törlés összefüggéseiről, ami példa lehet egy ilyen helyzetre.
Figyelnünk kell arra, hogy ha az adatokat továbbadtuk harmadik félnek akkor a további adatfeldolgozókat is – észszerű kereteken belül – informálnunk kell az adattörlési kérelemről.
Referenciák
[1] GDPR 17.: A törléshez való jog („az elfeledtetéshez való jog”)
(1) Az érintett jogosult arra, hogy kérésére az adatkezelő indokolatlan késedelem nélkül törölje a rá vonatkozó személyes adatokat, az adatkezelő pedig köteles arra, hogy az érintettre vonatkozó személyes adatokat indokolatlan késedelem nélkül törölje, ha az alábbi indokok valamelyike fennáll:
a) a személyes adatokra már nincs szükség abból a célból, amelyből azokat gyűjtötték vagy más módon kezelték;
b) az érintett visszavonja a 6. cikk (1) bekezdésének a) pontja vagy a 9. cikk (2) bekezdésének a) pontja értelmében az adatkezelés alapját képező hozzájárulását, és az adatkezelésnek nincs más jogalapja;
c) az érintett a 21. cikk (1) bekezdése alapján tiltakozik az adatkezeléseó ellen, és nincs elsőbbséget élvező jogszerű ok az adatkezelésre, vagy az érintett a 21. cikk (2) bekezdése alapján tiltakozik az adatkezelés ellen;
d) a személyes adatokat jogellenesen kezelték;
e) a személyes adatokat az adatkezelőre alkalmazandó uniós vagy tagállami jogban előírt jogi kötelezettség teljesítéséhez törölni kell;
f) a személyes adatok gyűjtésére a 8. cikk (1) bekezdésében említett, információs társadalommal összefüggő szolgáltatások kínálásával kapcsolatosan került sor.
(2) Ha az adatkezelő nyilvánosságra hozta a személyes adatot, és az (1) bekezdés értelmében azt törölni köteles, az elérhető technológia és a megvalósítás költségeinek figyelembevételével megteszi az észszerűen elvárható lépéseket – ideértve technikai intézkedéseket – annak érdekében, hogy tájékoztassa az adatokat kezelő adatkezelőket, hogy az érintett kérelmezte tőlük a szóban forgó személyes adatokra mutató linkek vagy e személyes adatok másolatának, illetve másodpéldányának törlését.
(3) Az (1) és (2) bekezdés nem alkalmazandó, amennyiben az adatkezelés szükséges:
a) a véleménynyilvánítás szabadságához és a tájékozódáshoz való jog gyakorlása céljából;
b) a személyes adatok kezelését előíró, az adatkezelőre alkalmazandó uniós vagy tagállami jog szerinti kötelezettség teljesítése, illetve közérdekből vagy az adatkezelőre ruházott közhatalmi jogosítvány gyakorlása keretében végzett feladat végrehajtása céljából;
c) a 9. cikk (2) bekezdése h) és i) pontjának, valamint a 9. cikk (3) bekezdésének megfelelően a népegészségügy területét érintő közérdek alapján;
d) a 89. cikk (1) bekezdésével összhangban a közérdekű archiválás céljából, tudományos és történelmi kutatási célból vagy statisztikai célból, amennyiben az (1) bekezdésben említett jog valószínűsíthetően lehetetlenné tenné vagy komolyan veszélyeztetné ezt az adatkezelést; vagy
e) jogi igények előterjesztéséhez, érvényesítéséhez, illetve védelméhez