Právo být zapomenut: jak funguje v praxi a co skutečně znamená

Právo být zapomenut: jak funguje v praxi a co skutečně znamená

Právo být zapomenut patří mezi nejzásadnější práva na ochranu osobních údajů, která zavedla Evropská unie v rámci obecného nařízení o ochraně osobních údajů (GDPR). Reaguje na realitu digitální doby, kdy se osobní informace snadno šíří, archivují a často zůstávají dostupné i dlouho poté, co pominul jejich původní účel.

Toto právo je upraveno v článku 17 GDPR a jeho smyslem je dát jednotlivcům možnost požadovat, aby jejich osobní údaje nebyly dále uchovávány nebo zveřejňovány, pokud pro to neexistuje oprávněný důvod.

Co přesně znamená právo být zapomenut

Právo být zapomenut neznamená, že kdokoli může kdykoli požadovat kompletní vymazání všech informací o své osobě. Jde o právo požádat o výmaz osobních údajů, přičemž správce musí žádost posoudit a rozhodnout, zda jsou splněny zákonné podmínky.

GDPR výslovně uvádí situace, kdy má subjekt údajů právo na výmaz, zejména pokud:

• osobní údaje již nejsou potřebné pro účel, pro který byly shromážděny,

• byl odvolán souhlas se zpracováním a neexistuje jiný právní důvod,

• údaje byly zpracovávány protiprávně,

• subjekt údajů úspěšně uplatnil námitku proti zpracování,

• údaje musí být vymazány kvůli splnění právní povinnosti.

Praktické příklady z praxe

1. Obec a staré zápisy na webu

Obec zveřejnila před deseti lety zápisy ze zastupitelstva, ve kterých jsou uvedena jména občanů a podrobné popisy jejich osobních situací (např. sociální problémy, dluhy). Jeden z občanů požádá o výmaz.

Posouzení: • účel transparentnosti již pominul, • údaje nejsou nezbytné pro právní povinnost, • zásah do soukromí je nepřiměřený. Výsledek:

Obec má povinnost údaje anonymizovat nebo odstranit.

2. Škola a fotografie bývalých žáků

Základní škola má na webu galerie z akcí z let 2015–2018. Jeden z bývalých žáků (nyní dospělý) požádá o odstranění svých fotografií.

Posouzení: • fotografie jsou osobním údajem, • souhlas byl udělen zákonným zástupcem v minulosti, • účel prezentace školy již není aktuální. Výsledek:
Škola by měla fotografie odstranit, případně anonymizovat, pokud nemá jiný právní titul ke zpracování.

3. Firma a databáze neaktivních zákazníků

Firma uchovává kontaktní údaje zákazníků, kteří u ní nenakupovali více než 8 let. Jeden z nich požádá o výmaz.

Posouzení: • marketingový účel pominul, • zákonné lhůty pro účetnictví již uplynuly, • neexistuje oprávněný zájem. Výsledek:

Firma musí osobní údaje vymazat.

4. Zaměstnanec a staré disciplinární řízení

Bývalý zaměstnanec požaduje výmaz dokumentace o kázeňském postihu z osobního spisu.

Posouzení: • část dokumentace může být nutná pro právní ochranu zaměstnavatele, • jiné části již nemají žádný účel. Výsledek:

Částečný výmaz – zachování pouze nezbytných údajů po zákonnou dobu.

5. Internet a vyhledávače

Osoba požádá o odstranění odkazu z výsledků vyhledávání, který vede na starý článek o drobném přestupku z minulosti.

Důležité rozlišení:

• nejde o smazání článku jako takového,

• jde o omezení jeho dohledatelnosti ve vyhledávači.

Pokud je informace neaktuální, nepřiměřená a poškozuje pověst osoby, může být žádosti vyhověno.

Kdy právo být zapomenut neplatí

Právo na výmaz není absolutní. GDPR stanoví jasné výjimky, kdy musí být údaje zachovány, zejména pokud je zpracování nezbytné:

• pro splnění právní povinnosti (např. archivace, účetnictví),

• pro výkon práva na svobodu projevu a informace,

• z důvodů veřejného zájmu,

• pro archivaci ve veřejném zájmu, vědecký či historický výzkum,

• pro určení, výkon nebo obhajobu právních nároků.

Typickým příkladem je spisová služba obce, personální dokumentace nebo účetní doklady – zde nelze vymazat údaje pouze na základě žádosti subjektu.

Povinnosti správců: co musí mít organizace nastaveno

Organizace by měly mít:

• jasný proces pro přijímání žádostí o výmaz,

• odpovědnou osobu (DPO nebo pověřeného pracovníka),

• nastavené retenční lhůty,

• technické možnosti výmazu nebo anonymizace,

• schopnost informovat další příjemce údajů.

Zásadní je také schopnost žádost řádně odůvodnit, ať už je vyhověno, nebo zamítnuta.

Časté chyby v praxi

V praxi se často setkáváme s tím, že:

• organizace žádost ignorují nebo odkládají,

• automaticky odmítají bez právního posouzení,

• naopak vymazávají údaje, které vymazány být nesmí,

• nemají přehled, kde všude jsou osobní údaje uloženy.

Tyto chyby mohou vést k porušení GDPR a k sankcím.

Kauza 1: Žádost o odstranění odkazu v internetovém vyhledávání

V několika případech, které spravuje Úřad pro ochranu osobních údajů nebo se dostaly k právnímu posouzení ve vztahu ke globálním vyhledávačům, se lidé obraceli s žádostí o odstranění odkazů vedoucích na články o starých novinových zprávách, které obsahovaly jejich jméno. Tyto odkazy často vedly na obsah více než deset let starý a nebyly již relevantní pro veřejnost. Správní orgány v jednotlivých případech posuzovaly, zda zveřejněné údaje jsou stále relevantní a nezbytné, nebo zda je jejich setrvání ve výsledcích vyhledávání nepřiměřené ve vztahu k právu na soukromí. Tento typ žádostí vychází přímo z interpretace práva být zapomenut, která vznikla po rozhodnutích Soudního dvora EU a je aplikována i v ČR (například prostřednictvím online formulářů u vyhledávačů).

Kauza 2: Školní fotoarchiv a ochrana identity

Na základní škole učitelé na webu dlouhodobě zveřejňovali fotografie z veřejných akcí (např. školních výletů, akademií). Po letech někteří bývalí žáci jako dospělí podali anonymizovanou žádost o vymazání fotografií, ve kterých byli identifikovatelní. Škola v reakci posoudila právní titul zpracování, zjistila, že fotografie již nejsou nezbytné pro žádný legitimní účel a že původní souhlas již není relevantní, a postupně fotografie odstranila z webových galerií. Tento přístup následně škola formalizovala do interní směrnice o uchovávání a výmazu obrazových materiálů, aby předešla opakování podobných situací.

Závěr

Právo být zapomenut je silný nástroj ochrany soukromí, ale vyžaduje odborné a individuální posouzení každého případu. Pro jednotlivce představuje možnost chránit svou minulost v digitálním prostoru, pro organizace pak nutnost pracovat s osobními údaji systematicky, zodpovědně a transparentně.

Dejte nám vědět a my Vám rádi pomůžeme v oblasti ochrany osobních údajů.