GDPR – čo naozaj prinesie? V. PRÁVO NA ZABUDNUTIE

Nariadenie GDPR prináša aj nový pojem „právo dotknutej osoby na zabudnutie“ (čiže vymazanie) osobných údajov.

Dôvodov na vymazanie spracúvaných osobných údajov je viacero, môžeme ich ale pre zjednodušenie rozdeliť do dvoch skupín:
- vymazanie osobných údajov, ktoré sú spracúvané nezákonne,
- vymazanie osobných údajov, ktoré boli spracúvané v súlade so zákonom, ale účel ich spracúvania sa skončil a teda nie je dôvod ich ďalej spracúvať.

Pre úplnosť dodávam, že „právo na zabudnutie“ sa nemôže uplatniť pri spracúvaní osobných údajov, ktorých spracúvanie podmieňuje plnenie zákonnej povinnosti prevádzkovateľa.

Naopak, pokiaľ sú osobné údaje spracúvané nezákonne, prevádzkovateľ je povinný ich bezodkladne vymazať.

Pokiaľ sa právo na zabudnutie vzťahuje na osobné údaje, ktorých účel spracúvania sa skončil, Nariadenie GDPR upravuje popísanú situáciu odlišne od slovenského zákona 122/2013. Kým zákon 122/2013 určoval povinnosť prevádzkovateľa zlikvidovať osobné údaje, ktorých účel spracúvania sa skončil, Nariadenie GDPR určuje právo dotknutej osoby na výmaz takýchto údajov. Tento drobný rozdiel sa rieši v návrhu nového zákona NRSR o ochrane osobných údajov, ktorý zachováva kontinuitu tým, že určuje (citujem z návrhu zákona v aktuálnom štádiu):
„Prevádzkovateľ je povinný pravidelne preveriť splnenie účelu spracúvania osobných údajov za účelom ich výmazu a po splnení účelu spracúvania osobných údajov bez zbytočného odkladu zabezpečiť vymazanie osobných údajov alebo zabezpečiť výmaz registratúrnych záznamov podľa osobitného predpisu, ak sú osobné údaje ich súčasťou.“ Navrhovaný text pritom rešpektuje možnosť, s ktorou pracuje Nariadenie GDPR, že dotknutá osoba individuálnym úkonom uplatní právo na zabudnutie tým, že jej v inom ustanovení priznáva právo požadovať výmaz.

V konečnom dôsledku sa teda životný cyklus osobných údajov spracúvaných v súlade so zákonnou úpravou nemení, prevádzkovateľ má „novú“ povinnosť vymazať osobné údaje, ktorých účel spracúvania sa skončil, rovnako ako mal „starú“ povinnosť tieto údaje zlikvidovať. Rozdiel významov výrazov „zlikvidovať“ a „vymazať“ nemá relevantný praktický dosah.

Pokiaľ si prevádzkovateľ splní úlohu vymazať spracúvané osobné údaje po skončení ich účelu spracúvania, hypoteticky by prípadná požiadavka dotknutej osoby na výmaz mala byť bezpredmetná. V praxi ale možno predpokladať, že názory prevádzkovateľa a dotknutej osoby na retenčnú dobu niektorých údajov nebudú rovnaké.

Príklad 1:
Záznam o návšteve pracoviska fyzickou osobou v knihe návštev môže mať z pohľadu prevádzkovateľa retenčnú dobu určenú zákonnými premlčacími lehotami, ale z pohľadu dotknutej osoby sa takáto lehota môže javiť neprimerane dlhá a môže žiadať skorší výmaz. Vtakomto prípade sa môže stať, že dotknutá osoba uplatní právo na výmaz pred uplynutím lehoty určenej prevádzkovateľom. Paradoxne, ak prevádzkovateľ vymaže predmetné dáta z knihy návštev (číslo dokladu totožnosti), niektoré bude naďalej spracúvať v korešpondencii o vymazaní (meno a priezvisko, doručovacia adresa).

Príklad 2:
Bývalý „dohodár“ požiada zamestnávateľa o vymazanie svojich údajov. Ten môže mať pre príslušnú agendu určenú registratúrnu lehotu možno 10 rokov od ukončenia zmluvného vzťahu, ale možno 70 rokov od narodenia príslušnej fyzickej osoby (oba príklady z praxe). V takomto prípade by mal zamestnávateľ rozlišovať viaceré etapy životného cyklu. Minimálna registratúrna lehota by mala byť určená zákonom o dani z príjmov (kvôli možnej revízii) alebo prípadne zákonom o dani z pridanej hodnoty (možná revízia naturálnej mzdy vo vzťahu k dph). Zamestnávateľ preto jednoznačne nesmie vyhovieť požiadavke na výmaz v lehote do 10 rokov, pretože by tým porušil svoje povinnosti, vyplývajúce z citovaných daňových zákonov.
Tu žiaľ končí jednoznačná odpoveď, pretože za touto lehotou môže nasledovať ďalšia etapa, v ktorej sa uchovávajú registratúrne záznamy na základe úložnej povinnosti podľa zákona o sociálnom poistení. Podľa môjho osobného názoru registratúrna lehota agendy „dohodárov“ nie je jednoznačne určená zákonom o sociálnom poistení, takže nie je možné jednoznačne usúdiť, či vyhovenie požiadavke na výmaz v tejto etape by znamenalo porušenie registratúrnej povinnosti vyplývajúcej zo zákona o sociálnom poistení alebo „iba“ porušenie vlastného rozhodnutia predčasným vyradením záznamu z registratúry. Rovnako si netrúfam hodnotiť potenciálne porušenie registratúrneho plánu, najmä ak je schválený štátnym archívom.
Tento príklad by som rád uzavrel upozornením na to, že požiadavka na jednoznačnosť registratúrnych lehôt si vyžaduje systematické riešenie jednoznačným určením registratúrnych lehôt v príslušných zákonoch; v tomto prípade v zákone o sociálnom poistení.

A nakoniec perlička: jeden z vôbec najzaujímavejších pojmov v Nariadení GDPR, právo na výmaz zverejnených údajov, slangovo označované ako „odverejnenie“, upravené v čl. 17 ods. 2 Nariadenia GDPR, ktorý uvádza (citujem):
„Ak prevádzkovateľ zverejnil osobné údaje a ... je povinný vymazať osobné údaje, so zreteľom na dostupnú technológiu a náklady na vykonanie opatrení podnikne primerané opatrenia vrátane technických opatrení, aby informoval prevádzkovateľov, ktorí vykonávajú spracúvanie osobných údajov, že dotknutá osoba ich žiada, aby vymazali všetky odkazy na tieto osobné údaje, ich kópiu alebo repliky.“
Citované ustanovenie je podľa dostupných komentárov orientované na sociálne siete. Samotní prevádzkovatelia sociálnych sietí ale označujú „odverejnenie“ na požiadanie za nevykonateľné a tvrdia, že jediným technicky dostupným riešením je postupné vymazávanie údajov po uplynutí nastavenej doby od zverejnenia.