Pravica do pozabe na spletu

Internet je danes medij, ki nam omogoča neomejen in hiter dostop do množice podatkov po vsem svetu. Internetni iskalniki nam omogočijo, da pridobimo vse rezultate iskanja zbrane na enem mestu. Kdorkoli ima željo ali interes, lahko pridobi podatke o določeni osebi, ki so dostopni na internetu. Ne glede na to, kdo je »iskalec« podatkov, pa lahko najdena informacija vpliva na ugled posameznika, na katerega se zadetki iskanja nanašajo.

Že na začetku je treba opozoriti, da pravica do pozabe velja le za območje EU, ne pa za ves svet. Tako velja, da kadar posameznik naslovi zahtevo po odstranitvi rezultatov iskanja, se odstranitev rezultatov nanaša le na različice iskalnika, ki ustrezajo vsem državam članicam EU, nima pa upravljavec iskalnika obveznosti, da povezave odstrani na vseh različicah svojega iskalnika.[1] Potrebno pa se je zavedati tudi dejstva, da pravica do pozabe ni absolutna pravica posameznika in je omejena z nekaterimi drugimi pravicami oziroma dolžnostmi (npr. svobodo izražanja, dolžnostjo glede hrambe podatkov itd.).

Kdo in kdaj lahko poda zahtevo za izbris podatkov?

Na pravico do pozabe se posameznik, na katerega se nanašajo osebni podatki, lahko sklicuje pri vsakem upravljavcu, ki obdeluje njegove osebne podatke, pri čemer pa mora obstajati eden od razlogov, ki so navedeni v prvem odstavku 17. člena GDPR. Upravljavec ima v takem primeru obveznost, da brez nepotrebnega odlašanja izbriše osebne podatke, in sicer, ko:

• osebni podatki niso več potrebni v namene, za katere so bili zbrani ali kako drugače obdelani,
• posameznik, na katerega se osebni podatki nanašajo, prekliče privolitev, pa za obdelavo ne obstaja nobena druga pravna podlaga,
• posameznik, na katerega se osebni podatki nanašajo, ugovarja obdelavi, za njihovo obdelavo pa ne obstajajo nobeni prevladujoči zakoniti razlogi,
• so bili osebni podatki obdelani nezakonito,
• je treba osebne podatke izbrisati za izpolnitev pravne obveznosti v skladu s pravom EU ali pravom države članice, ki velja za upravljavca,
• so bili osebni podatki zbrani v zvezi s ponudbo storitev informacijske družbe v zvezi s privolitvijo otroka za take storitve.

Upravljavec je v primeru izpolnjenosti katerega od zgoraj navedenih razlogov dolžan o posameznikovi zahtevi obvestiti tudi druge upravljavce. Tudi drugi upravljavci imajo na tej podlagi dolžnost izbrisati osebne podatke, ki se nanašajo na posameznika.

Pravica do pozabe velja le za osebne podatke, ki se nanašajo na posameznike. Zato podjetja oz. pravne osebe nimajo pravice do odstranitve rezultatov iskanja na podlagi imena podjetja oz. pravne osebe.

Pravica do pozabe tudi ni neomejena pravica posameznika. Že GDPR v tretjem odstavku 17. člena določa primere, ko se posameznik ne more sklicevati na pravico do pozabe, in sicer v primerih, ko je obdelava potrebna:

• za uresničevanje pravice do svobode izražanja in obveščanja,
• za izpolnjevanje pravne obveznosti na podlagi prava EU ali prava države članice, ki velja za upravljavca, ali za izvajanje naloge v javnem interesu ali pri izvajanju javne oblasti, ki je bila upravljavcu dodeljena,
• iz razlogov javnega interesa na področju javnega zdravja,
• za namene arhiviranja v javnem interesu, za znanstveno- ali zgodovinskoraziskovalne namene ali statistične namene, če bi pravica do pozabe onemogočila ali ovirala uresničevanje teh namenov obdelave, ali
• za uveljavljanje, izvajanje in obrambo pravnih zahtevkov.

Zahteva za pozabo in pritožba

Posameznik, na katerega se osebni podatki nanašajo, mora zahtevo za pozabo oziroma izbris osebnih podatkov podati neposredno pri upravljavcu, ki obdeluje oziroma, za katerega posameznik meni, da obdeluje njegove osebne podatke. Upravljavec se mora na posameznikovo zahtevo odzvati brez nepotrebnega odlašanja in mora odgovor posamezniku posredovati najpozneje v enem mesecu od prejema posameznikove zahteve za pozabo oz. izbris.

Drugi odstavek 14. člena Zakona o varstvu osebnih podatkov (ZVOP-2) določa tudi, da mora odločitev upravljavca vsebovati razloge za sprejeto odločitev in informacijo o pravici do pritožbe ter roku za njeno vložitev pri nadzornem organu. Velja, da ima posameznik na voljo pritožbo v roku 15 dni od seznanitve z odločitvijo.

Posameznik pritožbo zoper zavrnilni odgovor vloži pri Informacijskem pooblaščencu Republike Slovenije v roku 15 dni od prejetja negativne odločitve upravljavca glede izbrisa osebnih podatkov posameznika. Pritožbo pri Informacijskem pooblaščencu Republike Slovenije ima posameznik na voljo tudi v primeru, ko upravljavec v določenem enomesečnem roku ne odgovori na zahtevo posameznika.

»Googlova« pravica do pozabe

Google je najbolj uporabljen spletni iskalnik vsebin po vsem svetu. Vsakdo med nami je že kdaj po spletu iskal zadetke, ki se nanašajo na določeno osebo (iskanje po imenu in priimku). Pri tem iskalnik najde vse informacije, ki so na spletu dostopne za določeno iskalno zahtevo. Tako iskalcu postanejo dostopne razne objave, ki so shranjene na svetovnem spletu, ne glede na njihovo vsebino.

Za namene spoštovanja GDPR pa je Google pripravil poseben obrazec[2], s katerim posameznik na upravljavca iskalnika (Google) naslovi zahtevo za odstranitev določenih rezultatov iz Iskanja Google za poizvedbe, ki vsebujejo ime in priimek posameznika. Pri tem se je treba zavedati, da Googlova obveznost izbrisati vse podatke iz zahteve ni absolutna. Pri odločanju o vsaki posamezni zahtevi, bo upravljavec preveril vsebino in uskladil pravico posameznika glede varstva zasebnosti in podatkov z interesom javnosti, ki ima dostop do informacij, in pravico drugih, da širijo informacije.

Posameznik, ki izpolni Googlov obrazec za izbris podatkov, mora v njem navesti URL naslove zadetkov iskanja, za katere meni, da bi morali biti odstranjeni iz Iskanja Google. Za vsak URL naslov je treba natančno navesti razloge, zakaj posameznik meni in želi, da ga upravljavec odstrani iz zadetkov iskanja. Posameznik lahko zahteva odstranitev tistih zadetkov iskanja, ki vodijo do podatkov, ki so neprimerni, neustrezni, pretirani ali zastareli. Upravljavec iskalnika (Google) bo glede na okoliščine primera presodil, ali posamezni zadetki iskanja, ki jih je navedel posameznik v svoji zahtevi, spadajo med enega od naštetih razlogov.

Upravljavec bo najprej zadevo presodil glede na informacije, ki jih je predložil posameznik zahtevi za odstranitev podatkov. V primeru, ko bi upravljavec iskalnika menil, da za odločitev potrebuje dodatna dokazila, bo posameznika pozval, da mu predloži dodatna dokazila, nato pa sprejel končno odločitev. Upravljavec iskalnika lahko zavrne zahtevo za izbris podatkov, ki se nanašajo na primer na finančne prevare, neprimerno ravnanje v poklicnem okolju, kazenske obsodbe ali vedenje javnih uradnikov v javnosti.

Pri odločanju bo upravljavec upošteval nekatere dejavnike, ki vplivajo na (ne)upravičenost zahteve posameznika po izbrisu podatkov. Ti dejavniki so:

• vloga posameznika v javnem življenju: upravljavec preuči, ali so informacije povezane s posameznikovo javno vlogo (status javne osebnosti). Manj kot se informacije nanašajo na to, kako je posameznik poznan v javnosti, večja je verjetnost, da bo upravljavec zadetke umaknil.
• viri informacij: upravljavec upošteva tudi mesto spletne objave (npr. spletno mesto državnega organa, spletno mesto medija), kar bo vplivalo na njegovo odločitev o (ne)izbrisu podatkov.
• starost vsebine: upravljavec ocenjuje tudi, ali so informacije še vedno ustrezne, kar je pogosto povezano s starostjo vsebine. Preveri, ali so informacije še aktualne oz. ali gre morebiti za zastarele informacije.
• vpliv na Googlove uporabnike: upravljavec vedno presoja tudi interes uporabnikov iskalnika za pridobitev informacij, ki so zajete v zahtevi.
• resnica ali neresnica: v primeru, ko posameznik meni, da so informacije neresnične, mora za to predložiti ustrezna dokazila. Upravljavec sam namreč ne more presojati, ali so neke informacije resnične ali ne (npr. nima možnosti poklicati prič).
• občutljivost podatkov: upravljavec upošteva, kako zasebna oz. občutljiva je vsebina (npr. podatki o zdravstvenem stanju, rasi, spolni usmerjenosti, verski pripadnosti itd.).

Našteti so le nekateri izmed dejavnikov, ki jih upravljavec upošteva in presoja, vsekakor pa nobeden od teh dejavnikov ni absoluten.

Upravljavec iskalnika v primeru upravičenih razlogov odstrani samo tiste rezultate iskanja, ki so povezani z iskalno zahtevo imena in priimka posameznika, ki je zahtevo vložil. To pomeni, da so podatki na spletu še vedno dostopni, vendar morda pod drugimi iskalnimi zahtevami oz. direktno preko URL naslova. Pri tem upravljavec upošteva tudi ozemeljski vidik – iskalno zahtevo bo upravljavec odstranil le za Googlove različice iskanja za države, ki jih zavezuje evropska zakonodaja o varstvu osebnih podatkov (države članice EU).

[1] Povzeto po sodbi sodišča EU Google proti CNIL, C-507/17 z dne 24. 9. 2019, tč. 73.

[2] Obrazec dostopen na: https://reportcontent.google.com/forms/rtbf.