Nařízení (EU) 2016/679 (GDPR) · Kapitola III · Práva subjektu údajů
Čl. 17 · Právo na výmaz („právo být zapomenut“)
Znění
- Subjekt údajů má právo na to, aby správce bez zbytečného odkladu vymazal osobní údaje, které se daného subjektu údajů týkají, a správce má povinnost osobní údaje bez zbytečného odkladu vymazat, pokud je dán jeden z těchto důvodů:
a) osobní údaje již nejsou potřebné pro účely, pro které byly shromážděny nebo jinak zpracovány;
b) subjekt údajů odvolá souhlas, na jehož základě byly údaje podle čl. 6 odst. 1 písm. a) nebo čl. 9 odst. 2 písm. a) zpracovány, a neexistuje žádný další právní důvod pro zpracování;
c) subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 1 a neexistují žádné převažující oprávněné důvody pro zpracování nebo subjekt údajů vznese námitky proti zpracování podle čl. 21 odst. 2;
d) osobní údaje byly zpracovány protiprávně;
e) osobní údaje musí být vymazány ke splnění právní povinnosti stanovené v právu Unie nebo členského státu, které se na správce vztahuje;
f) osobní údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti podle čl. 8 odst. 1.
-
Jestliže správce osobní údaje zveřejnil a je povinen je podle odstavce 1 vymazat, přijme s ohledem na dostupnou technologii a náklady na provedení přiměřené kroky, včetně technických opatření, aby informoval správce, kteří tyto osobní údaje zpracovávají, že je subjekt údajů žádá, aby vymazali veškeré odkazy na tyto osobní údaje, jejich kopie či replikace.
-
Odstavce 1 a 2 se neuplatní, pokud je zpracování nezbytné:
a) pro výkon práva na svobodu projevu a informace;
b) pro splnění právní povinnosti, jež vyžaduje zpracování podle práva Unie nebo členského státu, které se na správce vztahuje, nebo pro splnění úkolu provedeného ve veřejném zájmu nebo při výkonu veřejné moci, kterým je správce pověřen;
c) z důvodů veřejného zájmu v oblasti veřejného zdraví v souladu s čl. 9 odst. 2 písm. h) a i) a čl. 9 odst. 3;
d) pro účely archivace ve veřejném zájmu, pro účely vědeckého či historického výzkumu či pro statistické účely v souladu s čl. 89 odst. 1, pokud je pravděpodobné, že by právo uvedené v odstavci 1 znemožnilo nebo vážně ohrozilo splnění cílů uvedeného zpracování;
e) pro určení, výkon nebo obhajobu právních nároků.
Znění: EUR-Lex, CELEX 32016R0679 (konsolidované znění s opravami).
Komentář
Právo na výmaz, když odpadl účel, byl odvolán souhlas, vznikla úspěšná námitka nebo bylo zpracování protiprávní. Výjimky pro svobodu projevu, právní povinnosti, veřejné zdraví, archivaci a určení, výkon nebo obhajobu právních nároků. U zveřejněných údajů se přidává povinnost informovat další správce.
Související ustanovení: čl. 6 a 9 (tituly); čl. 7 odst. 3 (odvolání souhlasu); čl. 18 (omezení jako alternativa); čl. 19 (oznámení příjemcům); čl. 21 (námitka)
Judikatura: C-131/12 Google Spain; C-507/17 Google (územní dosah); C-460/20 Google (nepravdivý obsah); C-77/21 Digi
Obsah výkladu
I.Šest důvodů výmazu1 II.Zveřejněné údaje a informování dalších správců (odst. 2)5 III.Pět výjimek (odst. 3)7 IV.Co se s výmazem plete11I. Šest důvodů výmazu
1 Právo není bezpodmínečné. Vzniká, jen je-li dán jeden ze šesti důvodů v odstavci 1: odpadl účel; byl odvolán souhlas a jiný titul není; byla úspěšně vznesena námitka; zpracování bylo protiprávní; výmaz ukládá právní povinnost; údaje byly získány v souvislosti s nabídkou služeb informační společnosti dítěti. Je-li důvod dán, musí správce vymazat bez zbytečného odkladu; měsíční lhůta podle čl. 12 odst. 3 je lhůtou pro odpověď subjektu, ne pro samotný výmaz.
2 Nejčastější důvod je první a zároveň nejméně uplatňovaný: údaje už nejsou potřebné. Nevyžaduje žádnou žádost, správce má mazat sám. Právo na výmaz je v takovém případě jen připomínkou povinnosti, kterou má tak jako tak z čl. 5 odst. 1 písm. e).
3 Odvolání souhlasu vede k výmazu jen tehdy, „neexistuje-li žádný další právní důvod pro zpracování”. Správce tedy nemusí mazat všechno, ale musí umět říct, který jiný titul a pro který účel dál trvá.
4 U námitky podle čl. 21 odst. 2 (přímý marketing) je situace jednoznačná: námitka je absolutní a údaje se pro ten účel dál zpracovávat nesmějí.
II. Zveřejněné údaje a informování dalších správců (odst. 2)
5 Zveřejnil-li správce údaje a má je vymazat, musí „s ohledem na dostupnou technologii a náklady na provedení” přijmout přiměřené kroky, aby o žádosti informoval další správce, kteří údaje zpracovávají.
6 Povinnost je omezená přiměřeností, ale není nulová. Typicky znamená informovat vyhledávače a partnery, kterým byly údaje předány, a doložit, že se tak stalo.
III. Pět výjimek (odst. 3)
7 Odstavce 1 a 2 se neuplatní, je-li zpracování nezbytné pro výkon práva na svobodu projevu a informace; pro splnění právní povinnosti nebo úkolu ve veřejném zájmu; z důvodů veřejného zájmu v oblasti veřejného zdraví; pro archivaci, výzkum a statistiku podle čl. 89 odst. 1; nebo pro určení, výkon či obhajobu právních nároků.
8 Výjimka pro právní nároky je v Česku nejpoužívanější a nejčastěji zneužívaná. Obstojí tam, kde spor probíhá nebo reálně hrozí a kde jsou konkrétní údaje k němu potřebné. Neobstojí jako paušální důvod uchovávat všechno po dobu promlčecí lhůty bez ohledu na povahu údaje.
9 Výjimka pro svobodu projevu je jádrem sporů o vyhledávače a archivy médií. Ve věci C-131/12 Google Spain Soudní dvůr uznal právo na odstranění odkazů z výsledků vyhledávání, ve věci C-460/20 pak doplnil, že žadatel má prokázat zjevnou nepravdivost obsahu, a to důkazy, které po něm lze rozumně požadovat.
10 Územní dosah výmazu není celosvětový. Ve věci C-507/17 Soudní dvůr uzavřel, že provozovatel vyhledávače má odstranit odkazy na verzích pro členské státy, ne globálně, a přijmout opatření, která uživatelům z Unie ztíží přístup přes jiné verze.
IV. Co se s výmazem plete
11 Výmaz není totéž co anonymizace, ale anonymizace ho může nahradit, je-li nezvratná. Ve věci C-77/21 Digi Soudní dvůr posuzoval uchovávání kopie databáze po skončení účelu a potvrdil, že další uchovávání bez účelu je v rozporu se zásadou omezení uložení.
12 Výmaz také není totéž co skrytí v uživatelském rozhraní. Údaj označený jako „smazaný”, který je dál v databázi a lze ho obnovit, vymazán nebyl.
13 Alternativou tam, kde výmaz nepřipadá v úvahu, je omezení zpracování podle čl. 18. U sporných situací je to obvykle správnější řešení než odmítnutí celé žádosti.