Svatko može organizaciju kao voditelja obrade zatražiti brisanje njegovih osobnih podataka, to je jasno.
Članak 17. GDPR-a to nalaže.
Ali se u praksi rijetko takav zahtjev zaista i može izvršiti.
Naime, osobni se podaci moraju odmah izbrisati samo ako:
- nisu više potrebni za svrhu u koju su prikupljeni
- ako su prikupljeni temeljem privole pojedinca pa je sada on povlači
- ako je pojedinac uložio prigovor na postupanje s njegovim osobnim podacima a organizacija nema više zakonitog temelja imati njegove podatke
- ako su osobni podaci prikupljeni i obrađivani nezakonito
- ako neki zakon zahtijeva brisanje osobnih podataka
- ako su osobni podaci prikupljeni u vezi s uslugama informacijskog društva, skroz pojednostavljeno npr. u svrhe korištenja online usluga, društvenih mreža...
Ali, uz sve te slučajeve postoje i iznimke kada se osobni podaci ipak ne mogu izbrisati:
- ako su podaci potrebi zbog prava na slobodu medija, izražavanja i informiranja, npr. podaci korumpiranog političara neće se brisati
- ako su osobni podaci obvezni prema nekom propisu ili s obzirom na javni interes ili službene ovlasti tijela javne vlasti, npr. ako ih općina ili škola mora zadržati prema nekom propisu
- ako su osobni podaci nužni zbog javnog interesa u području javnog zdravlja, npr. podatak o tome da smo cijepljeni ili preboljeli COVID-19
- ako su osobni podaci potrebni za znanstveno ili povijesno istraživanje ili statističke svrhe
- ako su osobni podaci nužni za obranu pravnih interesa, npr. video snimka počinjenja nekog zlodjela ne može se izbrisati dok god traje pravni ili sudski postupak
Zadnje navedena iznimka od obveze brisanja - radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva - je tema ovog posta.
Slučaj se dogodio u Belgiji, gdje je fizička osoba tražila brisanje svojih osobnih podataka koje se voditelj obrade sprema koristiti kao dokaz u sudskom postupku. S obzirom da je ta fizička osoba optužena za počinjenje kaznenog djela, voditelj obrade je smatrao da ima pravo zadržati takve osobne podatke.
Fizička osoba je svoj zahtjev opravdavala potencijalnim negativnim utjecajem na nju i njenom defamacijom. Ali, bez pravog temelja iz GDPR-a.
Nadzorno tijelo za zaštitu osobnih podataka u Belgiji je dalo pravo voditelju obrade da odbije zahtjev fizičke osobe za brisanjem jer su njeni osobni podaci bili nužni za dokaz počinjenja kaznenog djela u javnom interesu, odnosno, kako to GDPR kaže: radi postavljanja, ostvarivanja ili obrane pravnih zahtjeva.
Više o slučaju:
https://gdprhub.eu/index.php?title=APD/GBA_(Belgium)_-_50/2024&mtc=today
Image by jcomp on Freepik
#gdprcroatia
