REKLAMA

REKLAMA

Kategorie
Zaloguj się

Zarejestruj się

Proszę podać poprawny adres e-mail Hasło musi zawierać min. 3 znaki i max. 12 znaków
* - pole obowiązkowe
Przypomnij hasło
Witaj
Usuń konto
Aktualizacja danych
  Informacja
Twoje dane będą wykorzystywane do certyfikatów.

Prawo do bycia zapomnianym w praktyce

Fundacja Panoptykon
Katarzyna Szymielewicz
Katarzyna Szymielewicz
Wspólpraca Maria Wróblewska
Internet, prawo do bycia zapomnianym, RODO/ Fot. Fotolia
Internet, prawo do bycia zapomnianym, RODO/ Fot. Fotolia

REKLAMA

REKLAMA

Granice tzw. prawa do bycia zapomnianym według RODO są dość intuicyjne. Tak długo, jak pozostajemy z firmą albo publiczną instytucją w relacji, która wymaga naszych danych, nie możemy powiedzieć „zapomnij o mnie!”. Wbrew nazwie prawo do bycia zapomnianym to przede wszystkim prawo do usunięcia danych wtedy, kiedy przestają być potrzebne albo kiedy ustaje podstawa, na której ich przetwarzanie było oparte (np. kończy się umowa albo zmienia prawo).

O prawie do bycia zapomnianym i zabrania danych ze sobą

Internet nie zapomina. Nikt, kto w nim żyje, nie ma co do tego złudzeń. Łatwo sobie wyobrazić, co by było, gdybyśmy poprosili sieć o zapomnienie kompromitującej informacji na nasz temat. Nic dobrego, wystarczy wspomnieć sprawę Barbry Streisand czy Hiszpana Maria Costei Gonzáleza. A więc o co tak naprawdę chodzi z „prawem do zapomnienia” w nowej unijnej regulacji? Kiedy będziemy mogli skutecznie usunąć swoje dane, a kiedy będziemy musieli się pogodzić z tym, że żyją własnym życiem? W zakresie usuwania/zapominania tak naprawdę niewiele się zmieni, ale za to pojawi się nowa możliwość: prawo do zabrania danych ze sobą, kiedy decydujemy się zmienić bank czy portal społecznościowy. Jak z tych praw korzystać? Wyjaśniamy ludzkim językiem.

REKLAMA

Zasady, które wynikają z RODO, przypominają te, które intuicyjnie stosujemy w relacjach z ludźmi

Mówiąc o relacji administratora i osoby, której dane są przetwarzane (tzw. podmiotu danych), lubimy posługiwać się analogią do uczuciowego związku dwóch osób. Nie tylko dlatego, że marzymy o świecie, w którym firmy i instytucje zbierające nasze dane traktują nas podmiotowo. Też dlatego, że zasady, które wynikają z RODO, w wielu momentach przypominają te, które intuicyjnie stosujemy w relacjach z ludźmi. Ta regulacja próbuje przywrócić racjonalność, zaufanie i dialog w obszarze, w którym przez ostatnie lata dominowało podejście oparte na przeświadczeniu, że dane nie mają nic wspólnego z człowiekiem, więc można je swobodnie eksploatować. No więc nie można, a przynajmniej nie zawsze… 

Polecamy: RODO. Ochrona danych osobowych. Przewodnik po zmianach

Kiedy mamy prawo powiedzieć „zapomnij o mnie/ usuń moje dane”?

Granice tzw. prawa do bycia zapomnianym – a tak naprawdę znanego od dawna prawa do usunięcia danych – według RODO są dość intuicyjne. Tak długo, jak pozostajemy z firmą albo publiczną instytucją w relacji, która wymaga naszych danych, nie możemy powiedzieć „zapomnij o mnie!”. Nie możemy przyjść do banku albo ZUS-u i zażądać wymazania wszelkich naszych danych z bazy, jednocześnie oczekując, że nadal będziemy korzystać z rachunku, kredytu czy ubezpieczenia społecznego. To dość logiczne, prawda?

Dopóki dane są potrzebne i przetwarzane zgodnie z prawem, żądanie usunięcia nie zadziała

Wbrew nazwie prawo do bycia zapomnianym to przede wszystkim prawo do usunięcia danych wtedy, kiedy przestają być potrzebne albo kiedy ustaje podstawa, na której ich przetwarzanie było oparte (np. kończy się umowa albo zmienia prawo). Łatwiej to wytłumaczyć na konkretnych przykładach.

Dalszy ciąg materiału pod wideo

Oto typowe sytuacje, w których możemy zażądać od firmy albo publicznej instytucji, żeby usunęła nasze dane:

  • Dane przestały być potrzebne

Dane zawsze są zbierane w określonym celu (a przynajmniej tak być powinno) i na określony czas – np. po to, żeby zrealizować zamówioną przez nas usługę (wysłać książkę, którą kupiliśmy online czy umożliwić korzystanie z portalu społecznościowego), albo po to, żeby wypełnić prawny obowiązek (rozliczyć podatek czy zweryfikować naszą zdolność kredytową). W momencie, w którym ten cel zostanie zrealizowany, dane przestają być potrzebne. Wtedy, co do zasady (por. wyjątki opisane poniżej), możemy zażądać ich usunięcia. Inna sprawa, że w dobrze działającym systemie takie żądanie nie powinno być potrzebne: każda firma/instytucja powinna z własnej inicjatywy usuwać dane, które przestały jej być potrzebne.

  • Wcześniej zgodziliśmy się przekazać dane, ale zmieniamy zdanie

W relacjach z firmami często jesteśmy proszeni o zgodę na przetwarzanie dodatkowych danych (czyli takich, które nie są potrzebne do realizacji umowy czy wywiązania się z prawnych obowiązków – RODO na tacy. Odcinek 2). Czasem się zgadzamy, a potem przychodzi refleksja: po co im w zasadzie te dane? Nic straconego: raz daną zgodę w każdej chwili możemy wycofać i zażądać usunięcia danych, które wcześniej dobrowolnie przekazaliśmy.

  • Chodzi o dane, które służyły celom marketingowym

Jedną z podstaw przetwarzania danych, z których często korzystają firmy (nie mogą tego zrobić instytucje publiczne), jest tzw. uzasadniony interes administratora, w tym marketing własnych produktów. Zgodnie z RODO administrator powinien zważyć własny interes (np. korzyści wynikające z marketingu) i stopień naruszenia naszych praw i wolności (np. czy nie wkracza nadmiernie w prywatność swoich klientów, śledząc bez przerwy ich lokalizację). W takiej sytuacji mamy prawo sprzeciwu, a więc powiedzenia: „nie zgadzam się na wykorzystywanie moich danych w tak zdefiniowanym interesie administratora”. I zażądania usunięcia profilu marketingowego.

  • Firma/instytucja nie ma podstawy, żeby te dane przetwarzać

Prawo się zmienia, a wraz z nim podstawy przetwarzania danych. To, co wczoraj było legalne, jutro może się stać problematyczne. Zdarza się też, niestety, że administrator sięga po dane, których w ogóle nie powinien przetwarzać. Na przykład zaciąga nasze dane z sieci w celach marketingowych, twierdząc, że to nie są dane osobowe (bo nie ma wśród nich naszego imienia i nazwiska). Jeśli się zorientujemy, że taka sytuacja ma miejsce, możemy nie tylko zażądać usunięcia bezprawnie przetwarzanych danych, ale też wnieść skargę do prezesa Urzędu Ochrony Danych Osobowych, ewentualnie od razu do sądu (tym możliwościom poświęcimy kolejny odcinek Rodo na tacy!).

  • Chodzi o dane dzieci w sieci

Zgodnie z RODO dzieci, które ukończyły 16 lat, mogą samodzielnie decydować o przekazywaniu swoich danych osobowych firmom internetowym. Ustawodawca wyszedł jednak z założenia, że należy im się szczególna ochrona, bo mogą nie być świadome ryzyka i konsekwencji z tym związanych (szczególnie kiedy w grę wchodzi wykorzystywanie danych do celów marketingowych lub tworzenia profili osobowych). Dlatego dziecku przysługuje bezwzględne prawo rozmyślenia się i zażądania usunięcia przekazanych wcześniej danych.

A co, jeśli nasze dane zostały opublikowane?

Skuteczne usunięcie danych nigdy nie jest proste, szczególnie jeśli mówimy o usuwaniu ich z serwera, a nie tabelki w Excelu. Zwykle dochodzi do nadpisania danych, co – przy odpowiedniej determinacji – umożliwia odzyskanie tego, co było wcześniej. W przypadku serwera, do którego dostęp ma nieograniczona liczba osób, jest jeszcze trudniej. Jeśli dane zostały opublikowane w sieci, administrator nie ma kontroli nad tym, gdzie i przez kogo została stworzona ich kopia. Co można zrobić w takich sytuacji? Niewiele, w zasadzie lepiej uznać, że mleko się wylało.

Jeśli dane trafiły na publiczny serwer, niewiele da się w tej sprawie zrobić...

Zgodnie z RODO, jeśli zgłaszamy się do firmy lub instytucji z żądaniem usunięcia danych, które wcześniej zostały przez nią upublicznione, ta firma/instytucja powinna podjąć tzw. rozsądne działania, by poinformować innych administratorów przetwarzających nasze dane, że żądamy ich usunięcia. Chodzi o usunięcie wszelkich linków i kopii, jakie mogą się znajdować w internecie. Co to oznacza w praktyce? Zobaczymy, jak RODO zacznie w pełni być stosowane. Nie spodziewajmy się jednak cudów. Rozsądne działania zapewne ograniczą się do poinformowania dużych internetowych graczy, takich jak Google, o tym, że żądamy usunięcia swoich danych (np. z wyników wyszukiwania), a nie tropienia prywatnych kopii czy archiwalnych stron.

Kiedy żądanie usunięcia danych nie zadziała?

Niezależnie od technicznych ograniczeń są jeszcze ograniczenia prawne. Kiedy nasze żądanie usunięcia danych (mimo że spełnia warunki, o których pisaliśmy wyżej) może napotkać prawną barierę? Oto typowe ograniczenia, z którymi musimy się liczyć:

  • Nie możemy usunąć wcześniej upublicznionych danych, jeśli naruszałoby to prawo innych osób do korzystania z wolności wypowiedzi lub prawa do informacji. To ograniczenie dotyczy tych, którzy marzą o wymazaniu się z wyników wyszukiwania czy archiwalnych wydań gazet. Oczywiście, podobnie jak Mario Costeja González, zawsze możemy powalczyć o swoje racje w sądzie.
  • Organy publiczne i instytuty naukowe mogą przetwarzać nasze dane w celach archiwalnych, badań naukowych i historycznych oraz celach statys­tycznych.
  • Prawo podatkowe i przepisy o rachunkowości nakazują firmom przechowywać nasze faktury, rachunki i paragony przez 5 lat od zamknięcia roku podatkowego.
  • Firma, z którą się rozstajemy, ma prawo przechowywać nasze dane (treść umowy, rachunki, historię płatności etc.) aż do przedawnienia ewentualnych roszczeń. Okres przedawnienia zależy od umowy, jaką zawarliśmy, ale najczęściej są to 3 lata.
  • Bank może przechowywać dane osobowe, które są mu niezbędne do oceny zdolności kredytowej, jeszcze przez 5 lat od momentu zamknięcia rachunku i przez 12 lat do celów statystycznych.
  • Od 2018 r., w związku ze zmianami w kodeksie pracy, pracodawcy będą musieli przechowywać dane swoich pracowników na potrzeby ustalenia wysokości emerytury przez 10 lat od zakończenia stosunku pracy. To w sumie dobra wiadomość, bo do tej pory musieli je przechowywać aż 50 lat!

Kiedy mamy prawo zabrać dane ze sobą?

A co jeśli chcemy odejść (zmienić bank, operatora telekomunikacyjnego czy serwis społecznościowy), a swoje dane osobowe zabrać ze sobą? RODO wychodzi naprzeciw takiej potrzebie i przyznaje nam prawo do przeniesienia danych (w ustrukturyzowanym, powszechnie używanym formacie) pod dwoma warunkami:

  • dane są przetwarzane w sposób zautomatyzowany;
  • są to dane, które sami dostarczyliśmy – albo z własnej inicjatywy (w oparciu o udzieloną zgodę), albo na podstawie umowy (dane niezbędne do realizacji umowy).

To oznacza, że nie możemy wymagać pomocy w przeniesieniu danych, jeśli firma czy instytucja, o którą chodzi, sama trzyma je w papierowej bazie danych albo w grę wchodzą dane, których sami jej nie dostarczyliśmy. O ile ten pierwszy warunek jest dość archaiczny i mało która firma będzie się mogła na niego powołać, o tyle drugi może przysporzyć realnych trudności. Czy chodzi tylko o dane, które sami wpisujemy w formularze internetowe, ale już nic więcej? Co z historią transakcji bankowych, zakupów online czy rachunkami za prąd, skoro generujemy je swoją aktywnością, ale danych osobowych, które się w nich pojawiają, własnoręcznie nie dostarczamy? 

Dane „dostarczone”, dane wygenerowane, dane pochodne...

Na te wątpliwości próbuje odpowiedzieć Grupa Robocza art. 29 (ciało skupiające europejskie organy ochrony danych osobowych) w swoich wytycznych. Zdaniem Grupy wyrażenie „dostarczone przez podmiot danych”, które pojawia się w RODO, trzeba interpretować szeroko. A zatem chodzi nie tylko o te dane, które świadomie i aktywnie podaliśmy (np. adres mailowy, imię i nazwisko, wiek etc. wpisywane w formularzach internetowych), ale również o te, które wygenerowała nasza aktywność w ramach danej usługi lub fakt, że byliśmy przez jej dostawcę obserwowani. Zgodnie z tą interpretacją prawo do przeniesienia danych obejmie np. nasze wpisy na portalu społecznościowym i związane z nimi metadane, historię wyszukiwania czy dokonane transakcje. Jeśli urządzenie lub aplikacja śledzi naszą lokalizację, sposób poruszania się, prędkość i inne parametry, to także są dane, które możemy zabrać ze sobą.

Możemy zabrać swoją historię transakcji, ale już nie wyniki scoringu czy profil marketingowy

Niestety, nie możemy zabrać ze sobą tego, co w świecie usług internetowych jest najcenniejsze: wiedzy, jaką firmy pozyskują obserwując i analizując nasze zachowanie. W tej kwestii przepisy RODO i wytyczne Grupy Roboczej art. 29 są zgodne: dane, które zostały wygenerowane przez samego administratora, zostają u niego. Chodzi przede wszystkim o dane pochodne, czyli takie, których sami nie ujawniamy, ale które można na nasz temat ustalić dzięki profilowaniu i analizie statystycznej (np. wiarygodność kredytową, zainteresowania, skłonności zakupowe czy stan konta). Tych danych ze sobą nie zabierzemy, ale nadal możemy powalczyć o ich ujawnienie, korzystając z podstawowego prawa do informacji. O tym już w kolejnym odcinku :-)

Polecamy serwis: Konsument w sieci

Źródło: INFOR

Oceń jakość naszego artykułu

Dziękujemy za Twoją ocenę!

Twoja opinia jest dla nas bardzo ważna

Powiedz nam, jak możemy poprawić artykuł.
Zaznacz określenie, które dotyczy przeczytanej treści:
Autopromocja

REKLAMA

QR Code

© Materiał chroniony prawem autorskim - wszelkie prawa zastrzeżone. Dalsze rozpowszechnianie artykułu za zgodą wydawcy INFOR PL S.A.

REKLAMA

Prawo
Zapisz się na newsletter
Zobacz przykładowy newsletter
Zapisz się
Wpisz poprawny e-mail
Skoro nieznajomość prawa szkodzi, to czyja to jest wina, że go nie znamy? [5 POWODÓW]

Prawo dotyka wszystkich. Tymczasem prawdziwie poznają je osoby decydujące się na studia prawnicze. Brak znajomości prawa rodzi niesprawiedliwość społeczną. Jakie są powody nieznajomości prawa? Czy możliwe są zmiany pozwalające na zrozumienie przepisów prawnych przez każdego?

Pracujący emeryt z przywilejami finansowymi: zwolnienie z PIT i wyższa emerytura. Niektórzy mają limity dorabiania

ZUS informuje, że w ciągu ostatnich dziewięciu lat liczba pracujących emerytów wzrosła o 51,7 proc. Na koniec grudnia 2015 roku w Polsce było 575,4 tys. pracujących emerytów, natomiast na koniec 2024 roku ich liczba wzrosła do 872,6 tys. Nic dziwnego. Przepisy wspierają aktywność zarobkową emerytów.

Rozporządzenie DORA - co to jest i kogo dotyczy? [PRZEWODNIK]

Czego dotyczy unijne rozporządzenie DORA? Wprowadza nowe pojęcia i wymagania dotyczące cyberbezpieczeństwa w sektorze finansowym. Prezentujemy przewodnik po DORA z wyjaśnieniem trudnych pojęć dla dostawców usług ICT.

Kiedy ZUS przyznaje tzw. rentę alkoholową? Niezdolność do pracy musi być spowodowana czymś więcej niż chorobą alkoholową

W orzecznictwie lekarskim nie istnieje pojęcie tzw. renty alkoholowej. Jak podkreśla Wojciech Dąbrówka, rzecznik prasowy ZUS-u, sam fakt istnienia choroby alkoholowej nie jest wystarczający do uzyskania świadczenia rentowego z tytułu niezdolności do pracy. Istotne jest stwierdzenie, że choroba alkoholowa może spowodować dodatkowe schorzenia będące powikłaniami uzależnienia, które znacznie ograniczają zdolność do pracy. Przykładami takich powikłań mogą być marskość wątroby, przewlekłe zapalenie trzustki, uszkodzenie układu nerwowego, uszkodzenie układu krążenia, a także zaburzenia psychiczne i zaburzenia zachowania.

REKLAMA

Plagiat w mediach – konsekwencje prawne i możliwości dochodzenia roszczeń

Plagiat jest poważnym naruszeniem zarówno zasad etyki dziennikarskiej, jak i obowiązujących przepisów prawa autorskiego. Współczesna era cyfryzacji oraz dynamiczny przepływ informacji sprzyjają przypadkom wykorzystywania cudzych treści bez odpowiedniego przypisania autorstwa. Warto przeanalizować, jakie regulacje prawne chronią twórców przed plagiatem w kontekście informacji prasowych oraz jakie działania mogą podjąć osoby poszkodowane w sytuacji, gdy ich teksty zostaną skopiowane bezprawnie.

Sejm na żywo 31 marca 2025 r.: Komisja śledcza ds. Pegasusa

Przesłuchanie Mai Rodwald, prokurator, wezwanej w celu złożenia zeznań w toczącym się postępowaniu zmierzającym do zbadania legalności, prawidłowości oraz celowości czynności operacyjno-rozpoznawczych podejmowanych m.in. z wykorzystaniem oprogramowania Pegasus przez członków Rady Ministrów, służby specjalne, Policję, organy kontroli skarbowej oraz celno-skarbowej, organy powołane do ścigania przestępstw i prokuraturę w okresie od dnia 16 listopada 2015 r. do dnia 20 listopada 2023 r.

Świadczenie wspierające jednak nadal na 7 lat. Nawet jeżeli nowe wytyczne dla WZON i PZON dadzą pkt 7 i 8 oraz stałe orzeczenie

Dla osób niepełnosprawnych prawnym wydarzeniem ostatniego tygodnia było wydanie wytycznych dla WZON i PZON co do stałych orzeczeń dla osób cierpiących na jedną z przeszło 200 chorób genetycznych. Wytyczne opublikował Pełnomocnik Rządu ds. Osób Niepełnosprawnych, Łukasz Krasoń. Wytyczne generalnie są adresowane dla dzieci do 16 roku życia i ich rodziców. Po otrzymaniu orzeczenia ważnego do ukończenia 16 roku życia będzie ono miało charakter stały (do 16. roku życia). Następnie osoba niepełnosprawna wystąpi o orzeczenie "dla dorosłych" i ono także będzie miało charakter stały. Niestety (na dziś) posiadanie stałego orzeczenia o niepełnosprawności nie ma znaczenia dla świadczenia wspierającego. Świadczenie to jest przeznaczone dla osób dorosłych. Dla świadczenia wspierającego istotne jest nie orzeczenie o niepełnosprawności, a poziom potrzeby wsparcia ustalony przez WZON, a tego nowe wytyczne nie dotyczą. W dalszym ciągu nie ma planów, aby świadczenie wspierające było przyznawane dożywotnio. Są tylko takie postulaty.

Czy stopień niepełnosprawności wpływa na wysokość zachowku?

Odpowiedź na to pytanie nie jest jednoznaczna. Wyższy zachowek przysługuje bowiem osobom trwale niezdolnym do pracy. Co to oznacza?

REKLAMA

Sąd zmodyfikował zasadę (albo świadczenie wspierające albo pielęgnacyjne). Do MOPS nie trzeba oddawać 9000 zł świadczenia pielęgnacyjnego. Mając przeszło 9000 zł wspierającego

Miało być tak. Osoba niepełnosprawna otrzymuje świadczenie wspierające w wysokości np. 30 000 zł. Za okres np. 10 miesięcy. Po otrzymaniu tych pieniędzy opiekun osoby niepełnosprawnej oddaje (do MOPS) równoważne 30 000 zł (świadczenie pielęgnacyjne). Chodziło o to, aby w okresie rozpatrywania wniosku o przyznanie świadczenia wspierającego, rodzina osoby niepełnosprawnej (najczęściej stopień znaczny) miała środki na utrzymanie osoby niepełnosprawnej. Finansować to miało świadczenie pielęgnacyjne, które następnie (jako pewien kredyt społeczny) trzeba zwrócić do MOPS. Taki miał być model rozliczenia między świadczeniem wspierającym a pielęgnacyjnym. W praktyce nie mamy z obu stron po 30 000 zł. Dla 2024 r. za okres 10 miesięcy otrzymywało się 29 880 zł świadczenia pielęgnacyjnego (miesięcznie 2988 zł), a maksymalna wysokość świadczenia wspierającego to za 10 miesięcy 39 180 zł (miesięcznie 3918 zł). W zależności od tempa przyznawania świadczenia wspierającego można było tak rozliczać okresy 5 miesięcy jak i np. 14 miesięcy.

Bezpieczne i dochodowe (odsetki do 6,80%). Obligacje skarbowe - nowe emisje w kwietniu 2025 r. Jaka opłata za wcześniejszy wykup?

Ministerstwo Finansów w komunikacie przekazało informacje o oprocentowaniu i ofercie obligacji oszczędnościowych (detalicznych) Skarbu Państwa nowych emisji, które są sprzedawane w kwietniu 2025 r. Oprocentowanie i marże tych obligacji nie zmienią się w porównaniu do oferowanych w marcu, lutym i styczniu br.

REKLAMA