Kategorie

Prawo do bycia zapomnianym w praktyce

Fundacja Panoptykon
Katarzyna Szymielewicz
Katarzyna Szymielewicz
Maria Wróblewska
Internet, prawo do bycia zapomnianym, RODO/ Fot. Fotolia
Internet, prawo do bycia zapomnianym, RODO/ Fot. Fotolia
Granice tzw. prawa do bycia zapomnianym według RODO są dość intuicyjne. Tak długo, jak pozostajemy z firmą albo publiczną instytucją w relacji, która wymaga naszych danych, nie możemy powiedzieć „zapomnij o mnie!”. Wbrew nazwie prawo do bycia zapomnianym to przede wszystkim prawo do usunięcia danych wtedy, kiedy przestają być potrzebne albo kiedy ustaje podstawa, na której ich przetwarzanie było oparte (np. kończy się umowa albo zmienia prawo).

O prawie do bycia zapomnianym i zabrania danych ze sobą

Internet nie zapomina. Nikt, kto w nim żyje, nie ma co do tego złudzeń. Łatwo sobie wyobrazić, co by było, gdybyśmy poprosili sieć o zapomnienie kompromitującej informacji na nasz temat. Nic dobrego, wystarczy wspomnieć sprawę Barbry Streisand czy Hiszpana Maria Costei Gonzáleza. A więc o co tak naprawdę chodzi z „prawem do zapomnienia” w nowej unijnej regulacji? Kiedy będziemy mogli skutecznie usunąć swoje dane, a kiedy będziemy musieli się pogodzić z tym, że żyją własnym życiem? W zakresie usuwania/zapominania tak naprawdę niewiele się zmieni, ale za to pojawi się nowa możliwość: prawo do zabrania danych ze sobą, kiedy decydujemy się zmienić bank czy portal społecznościowy. Jak z tych praw korzystać? Wyjaśniamy ludzkim językiem.

Zasady, które wynikają z RODO, przypominają te, które intuicyjnie stosujemy w relacjach z ludźmi

Mówiąc o relacji administratora i osoby, której dane są przetwarzane (tzw. podmiotu danych), lubimy posługiwać się analogią do uczuciowego związku dwóch osób. Nie tylko dlatego, że marzymy o świecie, w którym firmy i instytucje zbierające nasze dane traktują nas podmiotowo. Też dlatego, że zasady, które wynikają z RODO, w wielu momentach przypominają te, które intuicyjnie stosujemy w relacjach z ludźmi. Ta regulacja próbuje przywrócić racjonalność, zaufanie i dialog w obszarze, w którym przez ostatnie lata dominowało podejście oparte na przeświadczeniu, że dane nie mają nic wspólnego z człowiekiem, więc można je swobodnie eksploatować. No więc nie można, a przynajmniej nie zawsze… 

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Kiedy mamy prawo powiedzieć „zapomnij o mnie/ usuń moje dane”?

Granice tzw. prawa do bycia zapomnianym – a tak naprawdę znanego od dawna prawa do usunięcia danych – według RODO są dość intuicyjne. Tak długo, jak pozostajemy z firmą albo publiczną instytucją w relacji, która wymaga naszych danych, nie możemy powiedzieć „zapomnij o mnie!”. Nie możemy przyjść do banku albo ZUS-u i zażądać wymazania wszelkich naszych danych z bazy, jednocześnie oczekując, że nadal będziemy korzystać z rachunku, kredytu czy ubezpieczenia społecznego. To dość logiczne, prawda?

Dopóki dane są potrzebne i przetwarzane zgodnie z prawem, żądanie usunięcia nie zadziała

Wbrew nazwie prawo do bycia zapomnianym to przede wszystkim prawo do usunięcia danych wtedy, kiedy przestają być potrzebne albo kiedy ustaje podstawa, na której ich przetwarzanie było oparte (np. kończy się umowa albo zmienia prawo). Łatwiej to wytłumaczyć na konkretnych przykładach.

Oto typowe sytuacje, w których możemy zażądać od firmy albo publicznej instytucji, żeby usunęła nasze dane:

  • Dane przestały być potrzebne

Dane zawsze są zbierane w określonym celu (a przynajmniej tak być powinno) i na określony czas – np. po to, żeby zrealizować zamówioną przez nas usługę (wysłać książkę, którą kupiliśmy online czy umożliwić korzystanie z portalu społecznościowego), albo po to, żeby wypełnić prawny obowiązek (rozliczyć podatek czy zweryfikować naszą zdolność kredytową). W momencie, w którym ten cel zostanie zrealizowany, dane przestają być potrzebne. Wtedy, co do zasady (por. wyjątki opisane poniżej), możemy zażądać ich usunięcia. Inna sprawa, że w dobrze działającym systemie takie żądanie nie powinno być potrzebne: każda firma/instytucja powinna z własnej inicjatywy usuwać dane, które przestały jej być potrzebne.

  • Wcześniej zgodziliśmy się przekazać dane, ale zmieniamy zdanie

W relacjach z firmami często jesteśmy proszeni o zgodę na przetwarzanie dodatkowych danych (czyli takich, które nie są potrzebne do realizacji umowy czy wywiązania się z prawnych obowiązków – RODO na tacy. Odcinek 2). Czasem się zgadzamy, a potem przychodzi refleksja: po co im w zasadzie te dane? Nic straconego: raz daną zgodę w każdej chwili możemy wycofać i zażądać usunięcia danych, które wcześniej dobrowolnie przekazaliśmy.

  • Chodzi o dane, które służyły celom marketingowym

Jedną z podstaw przetwarzania danych, z których często korzystają firmy (nie mogą tego zrobić instytucje publiczne), jest tzw. uzasadniony interes administratora, w tym marketing własnych produktów. Zgodnie z RODO administrator powinien zważyć własny interes (np. korzyści wynikające z marketingu) i stopień naruszenia naszych praw i wolności (np. czy nie wkracza nadmiernie w prywatność swoich klientów, śledząc bez przerwy ich lokalizację). W takiej sytuacji mamy prawo sprzeciwu, a więc powiedzenia: „nie zgadzam się na wykorzystywanie moich danych w tak zdefiniowanym interesie administratora”. I zażądania usunięcia profilu marketingowego.

  • Firma/instytucja nie ma podstawy, żeby te dane przetwarzać

Prawo się zmienia, a wraz z nim podstawy przetwarzania danych. To, co wczoraj było legalne, jutro może się stać problematyczne. Zdarza się też, niestety, że administrator sięga po dane, których w ogóle nie powinien przetwarzać. Na przykład zaciąga nasze dane z sieci w celach marketingowych, twierdząc, że to nie są dane osobowe (bo nie ma wśród nich naszego imienia i nazwiska). Jeśli się zorientujemy, że taka sytuacja ma miejsce, możemy nie tylko zażądać usunięcia bezprawnie przetwarzanych danych, ale też wnieść skargę do prezesa Urzędu Ochrony Danych Osobowych, ewentualnie od razu do sądu (tym możliwościom poświęcimy kolejny odcinek Rodo na tacy!).

  • Chodzi o dane dzieci w sieci

Zgodnie z RODO dzieci, które ukończyły 16 lat, mogą samodzielnie decydować o przekazywaniu swoich danych osobowych firmom internetowym. Ustawodawca wyszedł jednak z założenia, że należy im się szczególna ochrona, bo mogą nie być świadome ryzyka i konsekwencji z tym związanych (szczególnie kiedy w grę wchodzi wykorzystywanie danych do celów marketingowych lub tworzenia profili osobowych). Dlatego dziecku przysługuje bezwzględne prawo rozmyślenia się i zażądania usunięcia przekazanych wcześniej danych.

A co, jeśli nasze dane zostały opublikowane?

Skuteczne usunięcie danych nigdy nie jest proste, szczególnie jeśli mówimy o usuwaniu ich z serwera, a nie tabelki w Excelu. Zwykle dochodzi do nadpisania danych, co – przy odpowiedniej determinacji – umożliwia odzyskanie tego, co było wcześniej. W przypadku serwera, do którego dostęp ma nieograniczona liczba osób, jest jeszcze trudniej. Jeśli dane zostały opublikowane w sieci, administrator nie ma kontroli nad tym, gdzie i przez kogo została stworzona ich kopia. Co można zrobić w takich sytuacji? Niewiele, w zasadzie lepiej uznać, że mleko się wylało.

Jeśli dane trafiły na publiczny serwer, niewiele da się w tej sprawie zrobić...

Zgodnie z RODO, jeśli zgłaszamy się do firmy lub instytucji z żądaniem usunięcia danych, które wcześniej zostały przez nią upublicznione, ta firma/instytucja powinna podjąć tzw. rozsądne działania, by poinformować innych administratorów przetwarzających nasze dane, że żądamy ich usunięcia. Chodzi o usunięcie wszelkich linków i kopii, jakie mogą się znajdować w internecie. Co to oznacza w praktyce? Zobaczymy, jak RODO zacznie w pełni być stosowane. Nie spodziewajmy się jednak cudów. Rozsądne działania zapewne ograniczą się do poinformowania dużych internetowych graczy, takich jak Google, o tym, że żądamy usunięcia swoich danych (np. z wyników wyszukiwania), a nie tropienia prywatnych kopii czy archiwalnych stron.

Kiedy żądanie usunięcia danych nie zadziała?

Niezależnie od technicznych ograniczeń są jeszcze ograniczenia prawne. Kiedy nasze żądanie usunięcia danych (mimo że spełnia warunki, o których pisaliśmy wyżej) może napotkać prawną barierę? Oto typowe ograniczenia, z którymi musimy się liczyć:

  • Nie możemy usunąć wcześniej upublicznionych danych, jeśli naruszałoby to prawo innych osób do korzystania z wolności wypowiedzi lub prawa do informacji. To ograniczenie dotyczy tych, którzy marzą o wymazaniu się z wyników wyszukiwania czy archiwalnych wydań gazet. Oczywiście, podobnie jak Mario Costeja González, zawsze możemy powalczyć o swoje racje w sądzie.
  • Organy publiczne i instytuty naukowe mogą przetwarzać nasze dane w celach archiwalnych, badań naukowych i historycznych oraz celach statys­tycznych.
  • Prawo podatkowe i przepisy o rachunkowości nakazują firmom przechowywać nasze faktury, rachunki i paragony przez 5 lat od zamknięcia roku podatkowego.
  • Firma, z którą się rozstajemy, ma prawo przechowywać nasze dane (treść umowy, rachunki, historię płatności etc.) aż do przedawnienia ewentualnych roszczeń. Okres przedawnienia zależy od umowy, jaką zawarliśmy, ale najczęściej są to 3 lata.
  • Bank może przechowywać dane osobowe, które są mu niezbędne do oceny zdolności kredytowej, jeszcze przez 5 lat od momentu zamknięcia rachunku i przez 12 lat do celów statystycznych.
  • Od 2018 r., w związku ze zmianami w kodeksie pracy, pracodawcy będą musieli przechowywać dane swoich pracowników na potrzeby ustalenia wysokości emerytury przez 10 lat od zakończenia stosunku pracy. To w sumie dobra wiadomość, bo do tej pory musieli je przechowywać aż 50 lat!

Kiedy mamy prawo zabrać dane ze sobą?

A co jeśli chcemy odejść (zmienić bank, operatora telekomunikacyjnego czy serwis społecznościowy), a swoje dane osobowe zabrać ze sobą? RODO wychodzi naprzeciw takiej potrzebie i przyznaje nam prawo do przeniesienia danych (w ustrukturyzowanym, powszechnie używanym formacie) pod dwoma warunkami:

  • dane są przetwarzane w sposób zautomatyzowany;
  • są to dane, które sami dostarczyliśmy – albo z własnej inicjatywy (w oparciu o udzieloną zgodę), albo na podstawie umowy (dane niezbędne do realizacji umowy).

To oznacza, że nie możemy wymagać pomocy w przeniesieniu danych, jeśli firma czy instytucja, o którą chodzi, sama trzyma je w papierowej bazie danych albo w grę wchodzą dane, których sami jej nie dostarczyliśmy. O ile ten pierwszy warunek jest dość archaiczny i mało która firma będzie się mogła na niego powołać, o tyle drugi może przysporzyć realnych trudności. Czy chodzi tylko o dane, które sami wpisujemy w formularze internetowe, ale już nic więcej? Co z historią transakcji bankowych, zakupów online czy rachunkami za prąd, skoro generujemy je swoją aktywnością, ale danych osobowych, które się w nich pojawiają, własnoręcznie nie dostarczamy? 

Dane „dostarczone”, dane wygenerowane, dane pochodne...

Na te wątpliwości próbuje odpowiedzieć Grupa Robocza art. 29 (ciało skupiające europejskie organy ochrony danych osobowych) w swoich wytycznych. Zdaniem Grupy wyrażenie „dostarczone przez podmiot danych”, które pojawia się w RODO, trzeba interpretować szeroko. A zatem chodzi nie tylko o te dane, które świadomie i aktywnie podaliśmy (np. adres mailowy, imię i nazwisko, wiek etc. wpisywane w formularzach internetowych), ale również o te, które wygenerowała nasza aktywność w ramach danej usługi lub fakt, że byliśmy przez jej dostawcę obserwowani. Zgodnie z tą interpretacją prawo do przeniesienia danych obejmie np. nasze wpisy na portalu społecznościowym i związane z nimi metadane, historię wyszukiwania czy dokonane transakcje. Jeśli urządzenie lub aplikacja śledzi naszą lokalizację, sposób poruszania się, prędkość i inne parametry, to także są dane, które możemy zabrać ze sobą.

Możemy zabrać swoją historię transakcji, ale już nie wyniki scoringu czy profil marketingowy

Niestety, nie możemy zabrać ze sobą tego, co w świecie usług internetowych jest najcenniejsze: wiedzy, jaką firmy pozyskują obserwując i analizując nasze zachowanie. W tej kwestii przepisy RODO i wytyczne Grupy Roboczej art. 29 są zgodne: dane, które zostały wygenerowane przez samego administratora, zostają u niego. Chodzi przede wszystkim o dane pochodne, czyli takie, których sami nie ujawniamy, ale które można na nasz temat ustalić dzięki profilowaniu i analizie statystycznej (np. wiarygodność kredytową, zainteresowania, skłonności zakupowe czy stan konta). Tych danych ze sobą nie zabierzemy, ale nadal możemy powalczyć o ich ujawnienie, korzystając z podstawowego prawa do informacji. O tym już w kolejnym odcinku :-)

Polecamy serwis: Konsument w sieci

Poszerzaj swoją wiedzę, czytając naszą publikację
WIELKIE ŚMIAŁE CELE czyli jak inspirować siebie i innych do wysokich lotów
WIELKIE ŚMIAŁE CELE czyli jak inspirować siebie i innych do wysokich lotów
Tylko teraz
49,00 zł
59,00
Przejdź do sklepu
Źródło: INFOR
Czy ten artykuł był przydatny?
tak
nie
Dziękujemy za powiadomienie
Jeśli nie znalazłeś odpowiedzi na swoje pytania w tym artykule, powiedz jak możemy to poprawić.
UWAGA: Ten formularz nie służy wysyłaniu zgłoszeń . Wykorzystamy go aby poprawić artykuł.
Jeśli masz dodatkowe pytania prosimy o kontakt

Komentarze(0)

Uwaga, Twój komentarz może pojawić się z opóźnieniem do 10 minut. Zanim dodasz komentarz -zapoznaj się z zasadami komentowania artykułów.
    QR Code

    © Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

    Prawo
    1 sty 2000
    17 wrz 2021
    Zakres dat:
    Zapisz się na newsletter
    Zobacz przykładowy newsletter
    Zapisz się
    Wpisz poprawny e-mail

    Punkty spisowe w placówkach ZUS

    Punkty spisowe w placówkach ZUS powstaną w całej Polsce. Jaką pomoc będzie można w nich uzyskać?

    Opieka nad seniorem w miejscu zamieszkania

    Opieka nad seniorami ma być świadczona w miejscu zamieszkania. Rząd planuje zmiany w funkcjonowaniu domów pomocy społecznej.

    Przepisy antylichwiarskie na stałe?

    Przepisy antylichwiarskie zostały uwzględnione w tzw. ustawach covidowych. Ministerstwo Sprawiedliwości pracuje nad nową stałą regulacją.

    ZUS przejmie obsługę 500 plus [WYWIAD]

    ZUS ma przejąć obsługę programu "500 plus"? Czy jest na to gotowy? O szczegółach mówił PAP wiceprezes ZUS Włodzimierz Owczarczyk.

    PE o wolności mediów i praworządności w Polsce

    Parlament Europejski przyjął w rezolucję zatytułowaną "Wolność mediów i dalsze pogarszanie się praworządności w Polsce".

    Nowelizacja KPA a odszkodowania

    Nowelizacja Kodeksu postępowania administracyjnego weszła w życie. Czy właściciele nieruchomości będą dochodzić odszkodowań przed ETPC?

    Czas pracy - od kiedy?

    Czas pracy budzi szereg wątpliwości. Od kiedy się liczy? Co z tzw. czynnościami przygotowawczymi?

    Brak alimentów a dodatkowe zajęcia pozalekcyjne [BADANIE]

    W wielu przypadkach rodziców opiekujących się dziećmi, które nie otrzymują alimentów, nie stać na sfinansowanie jakichkolwiek zajęć pozalekcyjnych.

    Wynagrodzenia rodzin zastępczych i inne zmiany

    Wynagrodzenia rodzin zastępczych powiązane z płacą minimalną zakłada projekt nowelizacji ustawy o wspieraniu rodziny i systemie pieczy zastępczej.

    Cmentarze i chowanie zmarłych – planowane zmiany

    Nowa ustawa o cmentarzach i chowaniu zmarłych ma w sposób kompleksowy regulować problematykę tzw. prawa pośmiertnego. Oto założenia projektu.

    Świadczenie usług cyfrowych - duże zmiany od 2022 roku

    Usługi cyfrowe. 1 stycznia 2022 r. mija termin implementacji przez państwa członkowskie UE dyrektywy 2019/770 z 20 maja 2019 r. w sprawie niektórych aspektów umów o dostarczanie treści i usług cyfrowych. Co się zmieni po wejściu w życie tych przepisów? Jakie nowe zasady wprowadza ta dyrektywa? Co powinni wiedzieć konsumenci?

    "Małżeństwa" jednopłciowe i związki partnerskie - rezolucja PE

    Parlament Europejski przyjął rezolucję, w której postuluje, by "małżeństwa" jednopłciowe i związki partnerskie były uznawane w całej Unii .

    Straż Graniczna przypomina grzybiarzom o stanie wyjątkowym

    Straż Graniczna zaleca, by grzybiarze, zanim wybiorą się do lasów, sprawdzili jak przebiega strefa stanu wyjątkowego.

    Wnioski o "Dobry start" złożone przez większość uprawnionych

    Wnioski o "Dobry start" złożyła już wnioski o "Dobry start". Z danych ZUS wynika, iż rodzice najczęściej wybierali bankowość elektroniczną.

    Święta Wielkanocne w 2022 r.

    Święta Wielkanocne w 2022 r. to data oczekiwana przez wielu pracowników. Kiedy jest Wielkanoc? Czy jest to dzień wolny od pracy?

    Spis powszechny do 30 września 2021 r.

    Spis powszechny potrwa do 30 września. Jak można wziąć udział w Narodowym Spisie Powszechnym Ludności i Mieszkań w 2021 r.?

    Zakup akcji lub obligacji - UOKiK radzi

    Na co zwracać uwagę przy najbardziej popularnych instrumentach finansowych, czyli akcjach i obligacjach?

    Wydziedziczenie – na czym polega?

    Wydziedziczenie jest możliwe tylko po spełnieniu określonych warunków. Na czym w rzeczywistości polega?

    Alienacja rodzicielska - co robić?

    Alienacja rodzicielska, czyli utrudnianie kontaktów z dzieckiem przez rodzica to ważny problem. Co można zrobić w takiej sytuacji?

    Osoby niepełnosprawne - powstanie nowa ustawa?

    Ustawa o wyrównywaniu szans osób z niepełnosprawnościami ma umożliwić pełne wdrożenie Konwencji o prawach osób niepełnosprawnych.

    Stwierdzenie nieważności decyzji (KPA)

    Stwierdzenie nieważności decyzji to instytucja z Kodeksie postępowania administracyjnego, która stanowi wyjątek od zasady trwałości decyzji administracyjnych.

    O ile wzrosną emerytury w 2022 r.?

    O ile wzrosną najniższe emerytury w 2022 r.? Co z rentą z tytułu całkowitej niezdolności do pracy i rentą rodzinną?

    Zasiłek okresowy w 2022 r.

    Zasiłek okresowy w 2022 r. czeka podwyżka kryteriów dochodowych. Czy wpływa to na wysokość świadczeń?

    Wakacyjny urlop - gdzie i za ile? [BADANIE]

    Ponad 80% Polaków spędziło tegoroczny wakacyjny urlop w kraju. Ile środków przeznaczyliśmy na wyjazdy?

    MS zapowiada zmiany dotyczące samorządu kuratorskiego

    Przepisy mają zostać wyostrzone, aby kuratorzy mieli bardziej szczegółowe określone narzędzia działania.