Teisė būti pamirštam pagal Bendrąjį duomenų apsaugos reglamentą

2018 m. gegužės 25 d. įsigaliosiantis Bendrasis duomenų apsaugos reglamentas gerokai išplėtė kiekvieno iš mūsų teisę būti pamirštam. Fiziniai asmenys, kurių asmens duomenys yra renkami ir tvarkomi, nustatę, kad jų duomenys yra netikslūs ar neišsamūs, turės teisę ne tik reikalauti, jog valdytojas juos ištaisytų ar papildytų, bet ir ištrintų.

Duomenų valdytojai turės užtikrinti teisės būti pamirštam įgyvendinimo galimybę šiais atvejais:

• kai duomenų saugojimas pažeidžia Bendrąjį duomenų apsaugos reglamentą arba Europos Sąjungos ar valstybės narės teisę;
• kai šių duomenų nebereikia tikslams, kuriems pasiekti jie buvo renkami ar kitaip tvarkomi, arba kai duomenų subjektas atšaukė savo sutikimą ar nesutinka, kad asmens duomenys būtų tvarkomi;
• arba, kai asmens duomenų tvarkymas dėl kitų priežasčių neatitinka Bendrojo duomenų apsaugos reglamento nuostatų.

Šia teise fiziniai asmenys, kurių asmens duomenys yra renkami ir tvarkomi, t.y. asmens duomenų subjektai, galės pasinaudoti, jeigu:

• asmens duomenys nebėra reikalingi, kad būtų pasiekti tikslai, kuriais jie buvo renkami arba kitaip tvarkomi;
• asmens duomenų subjektas atšaukia sutikimą, kuriuo grindžiamas duomenų tvarkymas, ir nėra jokio kito teisinio pagrindo duomenis tvarkyti. Šis aspektas ypač svarbus tais atvejais, kai sutikimą tvarkyti duomenis subjektas išreiškė būdamas vaikas;
• asmens duomenų subjektas nesutinka su duomenų tvarkymu ir nėra viršesnių teisėtų priežasčių tvarkyti duomenis arba duomenų subjektas nesutinka su duomenų tvarkymu;
• asmens duomenys buvo tvarkomi neteisėtai;
• asmens duomenys turi būti ištrinti laikantis Europos Sąjungos arba valstybės narės teisėje, kuri taikoma duomenų valdytojui, nustatytos teisinės prievolės;
• asmens duomenys buvo surinkti informacinės visuomenės paslaugų siūlymo kontekste.

Bendrasis duomenų apsaugos reglamentas žengė itin svarbų žingsnį ir vaikų asmens duomenų apsaugos srityje. Jeigu asmuo davė sutikimą tvarkyti jo asmens duomenis būdamas vaikas, dar nesuvokdamas su duomenų tvarkymu susijusių pavojų, ypač dėl internete saugomų duomenų, jis galės reikalauti, kad tokie asmens duomenys būtų pašalinti. Ši teisė suteikiama neatsižvelgiant į tai, kad prašymo ištrinti duomenis pateikimo momentu duomenų subjektas jau nebėra vaikas.

Tačiau, kaip įtvirtina Bendrasis duomenų apsaugos reglamentas, duomenų subjekto teisės būti pamirštam įgyvendinimas nėra absoliutus ir gali būti apribotas esant bent vienai šių aplinkybių, nepriklausomai nuo to, ar šia teise siekia pasinaudoti asmuo, sąmoningai sutikęs dėl duomenų tvarkymo, ar vaikas:

• siekiant pasinaudoti teise į saviraiškos ir informacijos laisvę;
• siekiant laikytis Europos Sąjungos ar valstybės narės teise, kuri taikoma duomenų valdytojui, nustatytos teisinės prievolės, kuria reikalaujama tvarkyti duomenis, arba siekiant atlikti užduotį, vykdomą viešojo intereso labui, arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas;
• dėl viešojo intereso priežasčių visuomenės sveikatos srityje;
• archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, jeigu dėl teisės būti pamirštam tai gali tapti neįmanoma arba ji gali labai sukliudyti pasiekti to tvarkymo tikslus;
• siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus.

Atkreiptinas dėmesys, kad Bendrojo duomenų apsaugos reglamento pažeidimu nelaikytini atvejai, jei asmens duomenys ir toliau saugomi, jei tai būtina pasinaudoti saviraiškos teise, informacijos laisve, siekiant įvykdyti teisinę prievolę, atlikti užduotį, vykdomą dėl viešojo intereso arba vykdant duomenų valdytojui pavestas viešosios valdžios funkcijas, dėl viešojo intereso priežasčių visuomenės sveikatos srityje, archyvavimo tikslais viešojo intereso labui, mokslinių ar istorinių tyrimų tikslais arba statistiniais tikslais, arba siekiant pareikšti, vykdyti arba apginti teisinius reikalavimus.

Teisė būti pamirštam bus įgyvendinama ne tik Europos Sąjungos teritorijoje, bet taip pat taikoma bet kuriems kitiems subjektams, kurie vykdo veiklą Europos Sąjungos teritorijoje ir tvarko Europos Sąjungos duomenų subjektų duomenis.

Duomenų valdytojas, kuris asmens duomenis paskelbė viešai internete, gavęs asmens, kurio duomenys paskelbti, kreipimąsi, privalo informuoti asmens duomenis tvarkančius duomenų valdytojus, kad jie ištrintų visas nuorodas į tuos asmens duomenis, jų kopijas ar dublikatus. Tai darydamas duomenų valdytojas, atsižvelgdamas į turimas technologijas ir jam prieinamas priemones, turėtų imtis pagrįstų veiksmų ir apie duomenų subjekto prašymą informuoti duomenis tvarkančius asmens duomenų valdytojus.

Tačiau, nepaisant šios garantijos, reikėtų turėti omenyje, kad teisė būti pamirštam viešojoje erdvėje nėra absoliuti, nes net ir esant sąlygoms, sudarančioms pagrindą prašyti ištrinti asmens duomenis, ir nesant teisės įgyvendinimą ribojančių priežasčių, naujasis reguliavimas negali garantuoti viešai paskelbtų duomenų panaikinimo visa apimtimi.

Laura Tunkevičiūtė,
advokatų kontoros GLIMSTEDT jaunesnioji teisininkė