Najważniejszym aktem prawnym UE jest rozporządzenie PE i Rady UE 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych. Niniejsze rozporządzenie po wejściu w życie 25 maja 2018 r. uchyli obowiązującą aktualnie dyrektywę 95/46/WE.
Redakcja poleca: Dotacje unijne – jak pozyskać środki dla firmy
Wniosek o usuniecie danych z Internetu, czyli prawo do bycia zapomnianym
Rozporządzenie 2016/679 zawiera szereg przepisów kształtujących formy kontroli konsumentów nad ich danymi osobowymi (w szczególności Sekcja 3 „Sprostowanie i usuwanie danych”). Przepisy te regulują prawną możliwość sprostowania, usunięcia danych tzw. „prawo do bycia zapomnianym” oraz ograniczenia przetwarzania danych.
Zobacz: Prawa konsumenta
Zgodnie z art. 17 rozporządzenia 2016/679 istotą „prawa do bycia zapomnianym” jest możliwość żądania przez osobę, której dane dotyczą niezwłocznego usunięcia jej danych osobowych. Administrator ma obowiązek bez zbędnej zwłoki usunąć te dane osobowe, jeżeli zachodzi jedna z następujących okoliczności:
- dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
- osoba, której dane dotyczą, cofnęła zgodę, na której opiera się przetwarzanie i nie ma innej podstawy prawnej przetwarzania;
- osoba, której dane dotyczą, wnosi sprzeciw na mocy art. 21 wobec przetwarzania
i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania; - dane osobowe były przetwarzane niezgodnie z prawem;
- dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
- dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego.
Wyrok TS – prawo do bycia zapomnianym
Zgodnie z wyrokiem Trybunału Sprawiedliwości UE z dnia 13 maja 2014 r. C-131/12 orzeczonym w sprawie Google Spain SL i Google Inc, działalność wyszukiwarek internetowych należy uznać za przetwarzanie danych, zaś operatorzy wyszukiwarek muszą zostać uznani za administratorów danych.
Trybunał podkreślił również, iż prawo do poszanowania życia prywatnego, rodzinnego i ochrony danych osobowych tych osób fizycznych stanowią wartość nadrzędną w stosunku do interesu operatora wyszukiwarki.
W związku z powyższym osoba, której dotyczą dane, może skierować do operatora wyszukiwarki internetowej wniosek z żądaniem usunięcia z listy wyszukiwania linków do wskazanych stron internetowych, a operator obowiązany jest zbadać zasadność wniosku. W przypadku gdy operator pozostawia wniosek bez rozpoznania lub odmówi jego wykonania, wnioskodawca może zwrócić się odpowiednio do organu nadzorczego i sądu w celu przeprowadzenia kontroli i nakazania administratorowi podjęcia stosownych kroków.
Zobacz: Konsument w UE
Obecnie na stronie Google zamieszczony jest formularz „Wniosku o usunięcie wyników wyszukiwania zgodnie z europejskim prawem ochrony danych osobowych”.
Prawo do przenoszenia danych, prawo do sprzeciwu i konieczność uzyskania zgody bezpośredniej na przetwarzanie danych
Zgodnie z art. 20 rozporządzenia prawo do przenoszenia danych zapewnia łatwiejszy dostęp do danych i daje możliwość przekazywania danych od jednego usługodawcy do drugiego.
Natomiast art. 21 zapewnia prawo do sprzeciwu tzn. osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych.
Zgodnie z art. 7 Rozporządzenia 2016/679 wprowadzony jest również obowiązek otrzymania przez administratora wyraźnej zgody na przetwarzanie danych osobowych, nie zaś domniemanej.
Zobacz: Konsument w UE
Kara pieniężna dla administratora, który złamał zasady ochrony danych osobowych
Zgodnie z art. 83 rozporządzenia („Ogólne warunki nakładania kar pieniężnych”) niezależne krajowe organy nadzorujące są upoważnione do nakładania administracyjnych kar pieniężnych na administratorów jak i podmioty przetwarzające, które złamały zasady ochrony danych osobowych.
Wysokość kar będzie zależna od m. in. rodzaju, charakteru, wagi, czasu trwania naruszenia i innych kryteriów wskazanych w art. 38 ust. 2. Kary te mogą sięgnąć 20 mln EUR a w przypadku przedsiębiorców 2% bądź 4% całkowitego rocznego światowego obrotu z poprzedniego roku obrotowego.
Podstawa prawna:
Rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 z dnia 27 kwietnia 2016 r. w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE