Prawo do usunięcia danych, „prawo do bycia zapomnianym”

Brzmienie art. 17 ust. 1 RODO wyróżnia, za pomocą spójnika „a”, z jednej strony prawo osoby, której dane dotyczą, do żądania od administratora niezwłocznego usunięcia dotyczących jej danych, a z drugiej strony ciążący na administratorze obowiązek usunięcia tych danych osobowych bez zbędnej zwłoki. Należy stąd wywieść, że przepis ten reguluje dwie niezależne sytuacje, mianowicie z jednej strony usunięcie danych na żądanie osoby, której dane dotyczą, a drugiej strony usunięcie danych wynikające z istnienia autonomicznego obowiązku ciążącego na administratorze danych, i to niezależnie od jakiegokolwiek żądania osoby, której dane dotyczą. Takie rozróżnienie jest konieczne, ponieważ niektóre z przypadków przewidzianych w art. 17 ust. 1 obejmują sytuacje, gdy osoba, której dane dotyczą, niekoniecznie została poinformowana o przetwarzaniu dotyczących jej danych osobowych, w związku z czym administrator jest jedynym podmiotem, który może stwierdzić ich istnienie. Jest tak w szczególności w sytuacji przetwarzania danych niezgodnie z prawem, o czym stanowi art. 17 ust. 1 lit. d) tego rozporządzenia.

Brzmienie art. 17 ust. 1 RODO ustanawia ciążący na administratorze autonomiczny obowiązek usunięcia danych osobowych przetwarzanych niezgodnie z prawem – nie zawiera żadnego wymogu dotyczącego źródła gromadzonych danych.

Wyrok TSUE z dnia 14 marca 2024 r., C-46/23

Standard: 84077 (pełna treść orzeczenia)

Artykuł 17 ust. 1 lit. c) RODO należy interpretować w ten sposób, że osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, gdy wnosi ona sprzeciw wobec przetwarzania zgodnie z art. 21 ust. 1 tego rozporządzenia i nie występują nadrzędne prawnie uzasadnione podstawy mogące wyjątkowo usprawiedliwiać odnośne przetwarzanie;

Artykuł 17 ust. 1 lit. d) RODO należy interpretować w ten sposób, że administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe, które były przetwarzane niezgodnie z prawem.

Przepis ten przewiduje prawo do usunięcia danych osobowych, w przypadku gdy osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania na mocy art. 21 ust. 1 RODO i nie występują „nadrzędne prawnie uzasadnione podstawy przetwarzania”. Zgodnie z tym ostatnim przepisem osoba, której dane dotyczą, ma prawo w dowolnym momencie wnieść sprzeciw – z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na art. 6 ust. 1 akapit pierwszy lit. e) lub f) RODO. Administratorowi nie wolno już przetwarzać tych danych osobowych, chyba że wykaże on istnienie ważnych prawnie uzasadnionych podstaw do przetwarzania, nadrzędnych wobec interesów, praw i wolności osoby, której dane dotyczą, lub podstaw do ustalenia, dochodzenia lub obrony roszczeń.

Z treści tych przepisów, rozpatrywanych we wzajemnym powiązaniu, wynika, że osobie, której dane dotyczą, przysługuje prawo do wniesienia sprzeciwu wobec przetwarzania oraz prawo do usunięcia danych, chyba że występują nadrzędne prawnie uzasadnione podstawy, które mają pierwszeństwo przed interesami oraz prawami i wolnościami tej osoby w rozumieniu art. 21 ust. 1 RODO, czego udowodnienie należy do administratora.

W związku z tym jeżeli administrator nie przedstawi takiego dowodu, osoba, której dane dotyczą, ma prawo żądać usunięcia tych danych na podstawie art. 17 ust. 1 lit. c) RODO, gdy wnosi ona sprzeciw wobec przetwarzania zgodnie z art. 21 ust. 1 tego rozporządzenia. Do sądu odsyłającego należy zbadanie, czy wyjątkowo występują nadrzędne prawnie uzasadnione podstawy mogące usprawiedliwiać odnośne przetwarzanie.

Wyrok TSUE z dnia 7 grudnia 2023 r., C-26/22

Standard: 84024 (pełna treść orzeczenia)