Право на забравяне — как да поискате изтриване на личните ви данни

Правото на забравяне (правото на изтриване) е право на всяко физическо лице по чл. 17 от Регламент (ЕС) 2016/679 (GDPR) да поиска от администратора незабавно изтриване на личните му данни. То се прилага при оттеглено съгласие, отпаднала цел на обработването или незаконно обработване. Правото не е абсолютно — не се прилага при законово задължение за съхранение или при упражняване на правни претенции.

Какво е правото на забравяне

Правото на забравяне (right to erasure / right to be forgotten) е уредено в чл. 17 от GDPR. То дава на всеки субект на данни правото да поиска от администратора изтриване на личните му данни, когато е налице някое от предвидените в Регламента основания.

Концепцията за „правото на забравяне" беше утвърдена от Съда на Европейския съюз (СЕС) в знаковото решение по дело Google Spain SL срещу AEPD и Mario Costeja González (C-131/12, 13 май 2014 г.). В това дело Съдът постанови, че операторите на търсачки са администратори на лични данни и че гражданите имат право да поискат премахване на връзки от резултатите при търсене по тяхното име, когато информацията е неточна, неуместна, вече неактуална или прекомерна.

С приемането на GDPR през 2016 г. (в сила от 25 май 2018 г.) правото на изтриване беше изрично кодифицирано в чл. 17. Важно е да се подчертае, че правото не е абсолютно — то е обвързано с конкретни основания и е ограничено от изрично предвидени изключения.

Субектът на данни има правото да поиска от администратора изтриване на свързаните с него лични данни без ненужно забавяне, а администраторът е длъжен да изтрие личните данни без ненужно забавяне... — чл. 17, пар. 1 от GDPR

Кога можете да поискате изтриване

Съгласно чл. 17, пар. 1 от GDPR, правото на изтриване възниква в шест ясно определени хипотези:

1. Данните вече не са необходими

   Личните данни повече не са необходими за целите, за които са били събрани или обработвани. Например, ако сте се отписали от услуга и администраторът няма друго основание да съхранява данните ви.

   чл. 17(1)(а)

2. Оттеглено съгласие

   Оттеглили сте съгласието, на което се е основавало обработването (по чл. 6(1)(а) или чл. 9(2)(а)), и няма друго правно основание за обработването. Оттеглянето е толкова лесно, колкото и даването на съгласие.

   чл. 17(1)(б)

3. Упражнено право на възражение

   Възразили сте срещу обработването по реда на чл. 21(1) и няма законни основания за обработването, които да имат преимущество. Или сте възразили срещу обработване за целите на директен маркетинг (чл. 21(2)).

   чл. 17(1)(в)

4. Незаконосъобразно обработване

   Личните данни са били обработвани незаконосъобразно — например без правно основание по чл. 6(1) или в нарушение на друго законодателство за защита на данните.

   чл. 17(1)(г)

5. Правно задължение за изтриване

   Личните данни трябва да бъдат изтрити за спазването на правно задължение по правото на ЕС или правото на държавата членка, което се прилага спрямо администратора.

   чл. 17(1)(д)

6. Данни на деца за услуги на информационното общество

   Личните данни са били събрани във връзка с предлагането на услуги на информационното общество на дете (по чл. 8(1)). Тази разпоредба отразява засилената защита на личните данни на деца.

   чл. 17(1)(е)

Кога НЕ можете да поискате изтриване

Правото на забравяне не е абсолютно. Чл. 17, пар. 3 от GDPR предвижда пет изключения, при които администраторът може законно да откаже изтриване:

• Свобода на изразяване и информация — обработването е необходимо за упражняване на правото на свобода на изразяване и информация (напр. журналистически публикации)
• Правно задължение — обработването е необходимо за спазване на правно задължение по правото на ЕС или на държавата членка
• Обществено здраве — обработването е необходимо по причини от обществен интерес в областта на общественото здраве (чл. 9(2)(з) и (и))
• Архивиране, научни или исторически изследвания, статистика — обработването е необходимо за тези цели по чл. 89(1), доколкото изтриването би направило невъзможно или сериозно би затруднило постигането на целите
• Правни претенции — обработването е необходимо за установяването, упражняването или защитата на правни претенции

Как да упражните правото си — стъпка по стъпка

Ако считате, че имате основание да поискате изтриване на личните си данни, следвайте тези стъпки:

1. Идентифицирайте администратора

   Установете кой е администраторът на лични данни — фирмата, организацията или институцията, която обработва данните ви. Проверете политиката за поверителност на съответния уебсайт или услуга за точните данни за контакт и DPO (длъжностно лице по защита на данните), ако има такова.

2. Подайте писмено искане

   Изпратете искане за изтриване по имейл или на хартиен носител по пощата. Не е необходима определена форма, но искането трябва да бъде ясно и конкретно. Препоръчително е да посочите „Искане за изтриване на лични данни по чл. 17 от GDPR" в темата/заглавието.

3. Посочете какво трябва да съдържа искането

   Включете вашите идентификационни данни (три имена, имейл/адрес), конкретно какви данни искате да бъдат изтрити, на какво основание от чл. 17(1), и начин за обратна връзка. Вижте чеклиста по-долу.

4. Изчакайте отговор — 30 дни

   Съгласно чл. 12, пар. 3 от GDPR, администраторът е длъжен да отговори без ненужно забавяне и при всички случаи в срок от 1 месец. Срокът може да бъде удължен с още 2 месеца при сложни случаи, но трябва да бъдете уведомени в рамките на първия месец.

5. При отказ — жалба до КЗЛД или съд

   Ако администраторът откаже или не отговори в срок, имате две възможности: (1) подайте жалба до КЗЛД — безплатно, в срок до 6 месеца от узнаването; (2) заведете иск пред съда по чл. 79 от GDPR, включително за обезщетение по чл. 82.

Чеклист: какво да включите в искането

• Три имена и данни за идентификация (имейл, потребителско име, клиентски номер)
• Ясно посочване, че упражнявате правото си по чл. 17 от GDPR
• Конкретно описание на данните, които искате да бъдат изтрити
• Основание от чл. 17(1) — защо считате, че имате право на изтриване
• Искане за потвърждение на изтриването в писмена форма
• Искане администраторът да уведоми третите лица, на които е предоставил данните (чл. 17(2))
• Дата и подпис (при хартиен носител)
• Начин за обратна връзка (имейл или пощенски адрес)

Задължения на администратора

Когато получи валидно искане за изтриване, администраторът има следните задължения:

Уведомяване на трети лица (чл. 17, пар. 2): Ако администраторът е направил личните данни обществено достъпни или ги е предоставил на други администратори, той е длъжен да предприеме „разумни стъпки, включително технически мерки", за да уведоми тези администратори, че субектът на данни е поискал изтриване на всички връзки, копия или реплики на тези данни.

Срок за отговор (чл. 12, пар. 3): Администраторът трябва да отговори в срок от 1 месец от получаването на искането. Срокът може да бъде удължен с още 2 месеца, когато искането е сложно или броят на исканията е голям, но субектът трябва да бъде уведомен за удължаването и причините за него в рамките на първия месец.

Мотивиран отказ: Ако администраторът откаже да удовлетвори искането, той е длъжен да обясни причините за отказа и да информира субекта за правото му да подаде жалба до КЗЛД и да потърси съдебна защита (чл. 12, пар. 4).

Безплатност (чл. 12, пар. 5): Информацията и действията по искането се предоставят безплатно. Администраторът може да начисли разумна такса или да откаже само ако исканията са явно неоснователни или прекомерни, като тежестта на доказване е върху него.

Изтриване от търсачки и интернет

Едно от най-честите практически приложения на правото на забравяне е искането за премахване (делистване) на резултати от търсачки.

Делото Google Spain (C-131/12, 2014)

В решението по делото Google Spain Съдът на ЕС постанови, че Google (и други търсачки) действа като администратор на лични данни, когато индексира и показва уеб страници в резултатите от търсене. Следователно, гражданите могат да поискат от Google да премахне определени резултати при търсене по тяхното име, без да е необходимо самият уебсайт-източник да изтрие информацията.

Географски обхват — делото GC и други (C-507/17, 2019)

В решението по делото Google LLC срещу CNIL (C-507/17) Съдът уточни, че делистването е задължително за всички версии на търсачката в ЕС (google.bg, google.de, google.fr и т.н.), но не и за версии извън ЕС (google.com в трети държави), освен ако не е необходимо за ефективна защита.

Как да поискате премахване от Google

1. Отидете на формуляра на Google за премахване на лични данни
2. Изберете типа информация, която искате да бъде премахната
3. Посочете конкретните URL адреси на страниците, които се появяват в резултатите
4. Обяснете защо информацията е неточна, неуместна или остаряла
5. Google ще разгледа искането и ще ви уведоми за решението си

Социални мрежи

Всяка голяма социална мрежа (Facebook/Meta, Instagram, LinkedIn, TikTok) предоставя механизми за изтриване на акаунт и свързаните с него данни. Обикновено можете да подадете искане чрез настройките за поверителност или чрез формуляр за правата по GDPR на съответната платформа. Помнете, че при изтриване на акаунт данните може да останат в резервни копия до 90 дни.

Право на забравяне vs. други права

GDPR предоставя на субектите на данни няколко сходни, но различни права. Ето как правото на изтриване се сравнява с другите:

Адв. Десислава Димитрова & Адв. Йордан Чолаков

Dimitrova, Cholakov & Partners · Innovires

Адв. Димитрова е CIPP/E сертифициран специалист по защита на лични данни с дългогодишен опит в правото на ЕС. Адв. Чолаков е експерт по GDPR съответствие, международни трансфери на данни и whistleblowing. Заедно консултират над 90 компании за пълно GDPR съответствие.