Czym jest prawo do bycia zapomnianym?

Zgodnie z RODO osoba, której dane dotyczą, jest uprawniona żądać od administratora swoich danych osobowych niezwłocznego usunięcia danych, które jej dotyczą, a administrator zobowiązany jest usunąć te dane osobowe bez zbędnej zwłoki, jeżeli zachodzi m.in. jedna z poniższych okoliczności:

• dane osobowe nie są już niezbędne do celów, w których zostały zebrane,
• osoba, której dane dotyczą, cofnęła zgodę, na podstawie której dane były przetwarzane, i nie ma innej podstawy przetwarzania,
• osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania,
• dane osobowe były przetwarzane niezgodnie z prawem.

Jeżeli administrator upublicznił dane osobowe, a zgodnie z RODO ma obowiązek usunąć te dane osobowe, to – biorąc pod uwagę dostępną technologię i koszt realizacji operacji usunięcia danych – obowiązany jest podjąć rozsądne działania, w tym środki techniczne, by poinformować innych administratorów przetwarzających te dane osobowe, że osoba, której dane dotyczą, żąda, aby administratorzy usunęli wszelkie łącza do tych danych i kopie tych danych osobowych.

Powyżej opisane obowiązki, zgodnie z art. 17 ust. 3 RODO, nie mają jednak zastosowania w zakresie, w jakim przetwarzanie danych osobowych jest niezbędne m.in.:

• do korzystania z prawa do wolności wypowiedzi i informacji,
• do wywiązywania się z prawnego obowiązku wymagającego przetwarzania na mocy prawa Unii Europejskiej lub prawa państwa członkowskiego Unii Europejskiej, któremu podlega administrator,
• z uwagi na względy interesu publicznego w dziedzinie zdrowia publicznego.

Prawo do bycia zapomnianym i usunięcia danych wrażliwych nie ma charakteru bezwzględnego – przynajmniej według rzecznika generalnego

W sprawie, o której była mowa powyżej, CNIL (Commission Nationale de l'Informatique et des Libertés, francuski organ administracji publicznej odpowiedzialny za regulacje dotyczące przetwarzania danych osobowych) przyznał rację spółce Google, która odmówiła spełnienia żądania czterech obywateli francuskich domagających się usunięcia informacji o nich z wyników wyświetlanych w wyszukiwarce internetowej. Chodziło przede wszystkim o linki prowadzące do artykułów dotyczących różnego rodzaju działalności i wydarzeń z przeszłości tych osób. Były to np. satyryczne obrazki, informacje o wszczęciu śledztwa, a także informacje dotyczące zaangażowania w działania kościoła scjentologicznego. Osoby żądające realizacji prawa do bycia zapomnianym zaskarżyły decyzję CNIL do francuskiej Rady Stanu (fr. Conseil d'État – odpowiednik polskiego Naczelnego Sądu Administracyjnego).

Następnie Rada Stanu zadała TSUE pytanie prejudycjalne o zakres realizacji prawa do bycia zapomnianym w wyszukiwarkach internetowych. Dotyczyło ono konkretnie obowiązku operatora wyszukiwarki, działającego jako administrator danych osobowych, do systematycznego usuwania linków do stron internetowych zawierających wrażliwe dane osobowe.

To, że prawo do bycia zapomnianym przysługuje każdej osobie fizycznej, która może zgłosić takie żądanie podmiotom prowadzącym wyszukiwarki internetowe, zostało przesądzone już w 2014 r. w sprawie Google Spain i Google (C-131/12). Wyrok w toczącej się sprawie nr C-136/17 wyjaśni natomiast, czy prawo do bycia zapomnianym i generalny zakaz przetwarzania tzw. wrażliwych danych osobowych ma charakter bezwzględny, czy jednak istnieją sytuacje, w których nad prywatnością jednostki przeważają interes publiczny, prawo do informacji i wolność słowa.

W swojej opinii rzecznik generalny wskazał, że operatorzy wyszukiwarek internetowych powinni uwzględniać żądania usunięcia danych osobowych osób, których te dane dotyczą, jednak w każdym przypadku powinni brać pod uwagę, czy usunięcie linku (np. do artykułu prasowego) nie naruszy ww. wartości publicznych.

W swoich rozważaniach w tym zakresie rzecznik generalny oparł się o brzmienie art. 9 dyrektywy 95/46/WE w sprawie ochrony osób fizycznych w zakresie przetwarzania danych osobowych i swobodnego przepływu tych danych. Dotyczy on możliwości niestosowania regulacji dotyczących m.in. wykonywania prawa do bycia zapomnianym w celach dziennikarskich lub w celu uzyskania wyrazu artystycznego. Rzecznik generalny stanął na stanowisku, że nawet jeśli informacje, których usunięcia żąda dana osoba fizyczna, mają charakter danych wrażliwych, to nie istnieje automatyzm w ich usuwaniu za każdym razem, gdy zażąda tego osoba, której takie dane dotyczą.

Przedstawiona interpretacja wpływu art. 9 dyrektywy 95/46/WE na wykonywanie prawa do bycia zapomnianym może mieć znaczenie dla interpretacji wpływu pokrewnego znaczeniowo art. 17 ust. 3 RODO na wykonywanie analogicznego prawa na gruncie nowej regulacji.

Przewiduje się, że TSUE jeszcze w tym roku wyda wyrok w przedmiotowej sprawie. Wprawdzie TSUE nie jest związany opinią rzecznika generalnego, ale jej wydanie może być zwiastunem przyjęcia przez TSUE takiej wykładni przepisów, która w istocie doprowadzi do ograniczenia prawa do bycia zapomnianym. Z takiego orzeczenia ucieszyłby się nie tylko Google, ale także inni operatorzy wyszukiwarek internetowych.

Katarzyna Szczudlik