Правото да бъдеш забравен или как да изтриете личните си данни по GDPR

Приблизително време за четене: 4m 3s

Как да изтриете личните си данни законно или как да упражним правото да бъдем забравени

В дигиталната ера личните данни се обработват масово и ежедневно от различни администратори: социални мрежи, онлайн магазини, банки, държавни институции, работодатели и други. Именно затова защитата на личната неприкосновеност е във фокуса на Общия регламент относно защитата на данните (ОРЗД) и Закона за защита на личните данни (ЗЗЛД). Едно от най-важните права, което гражданите имат, е правото на изтриване на лични данни, познато още като "правото да бъдеш забравен".

В тази статия ще разгледаме кога и как можете да упражните това право, какво трябва да направят администраторите, какво казват европейските и българските институции, както и примери от реалната практика на Комисията за защита на личните данни (КЗЛД).

Какво представлява правото да бъдеш забравен?

Правото на изтриване е регламентирано в член 17 от ОРЗД. То дава възможност на физическите лица да поискат от администраторите на лични данни да изтрият техни данни при определени условия. Основните основания за това са:

• Личните данни вече не са необходими за целите, за които са били събрани или обработвани;

• Лицето оттегля съгласието си и няма друго правно основание за обработването;

• Лицето възразява срещу обработването (напр. за директен маркетинг);

• Данните са били обработени незаконосъобразно;

• Данните трябва да бъдат изтрити, за да се спази правно задължение (напр. изискване на националното законодателство);

• Данните са събрани в контекста на предлагане на информационно обществено обслужване на дете.

Важно е да отбележим, че правото на изтриване не е абсолютно. Съществуват изключения, напр. когато обработването е необходимо за упражняване на правото на свобода на изразяване, изпълнение на правно задължение, архивиране в обществен интерес, научни изследвания или установяване на правни претенции.

Как да подадете искане за изтриване на лични данни?

Всеки гражданин може да подаде писмено искане до съответния администратор на лични данни. Искането трябва да съдържа:

1. Идентификация на лицето (име, ЕГН/ЛНЧ, адрес за кореспонденция);

2. Ясно изразено желание за изтриване на конкретни лични данни;

3. Основанието (напр. оттеглено съгласие, изтичане на срока на съхранение и др.);

4. Дата и подпис.

Образци на заявления могат да бъдат намерени и на сайта на КЗЛД.

Администраторът е длъжен да отговори в срок от един месец, като в случай на сложност срокът може да бъде удължен с още два месеца. При отказ администраторът трябва да мотивира решението си, а гражданинът има право да подаде жалба до КЗЛД.

Как реагира КЗЛД при жалба за отказано или непълно изтриване?

КЗЛД извършва проверка по жалбата и ако установи нарушение, може да наложи:

• Задължение за заличаване на данните;

• Имуществени санкции – глоби, които в зависимост от тежестта на нарушението могат да достигнат до 5% от годишния оборот на администратора;

• Препоръки и корективни действия.

В годишния отчет на КЗЛД за 2024 г. се отбелязва, че правото на изтриване е едно от най-често упражняваните, а голяма част от жалбите се отнасят именно до отказ или мълчалив отказ от администраторите да заличат данни.

Примери от практиката на КЗЛД

Пример 1: Лични данни в интернет форум
Гражданка подава искане до администратор на уеб форум за изтриване на нейни лични данни (публикации с името ѝ и семейни данни). Администраторът не реагира. След жалба до КЗЛД се извършва проверка и се установява, че има основание за изтриване. Комисията постановява заличаване и глобява администратора с 2000 лв.

Пример 2: Снимки в социална мрежа
Лице иска заличаване на свои снимки от бизнес профил във Facebook, качени от бивш работодател. След отказ, КЗЛД установява, че липсва правно основание за съхранението им и задължава заличаването, като издава предупреждение.

Пример 3: Училищна регистрация
Родител иска да бъде изтрита регистрация на детето му в платформа за електронно обучение, след като ученикът е преместен. Училището отказва. След намесата на КЗЛД данните са изтрити, а училището е инструктирано да създаде вътрешна процедура за такива случаи.

Какво трябва да знаят администраторите?

Администраторите са длъжни:

• Да поддържат вътрешни правила и процедури за разглеждане на искания за изтриване;

• Да отговарят в срок и с мотиви;

• Да гарантират, че заличаването обхваща всички системи, в които се обработват данни (вкл. бекъпи, трети страни);

• Да водят регистър на получените искания и действията по тях.

Също така, когато личните данни са били публично оповестени, администраторът трябва да информира всички трети страни, на които е предал данните, че се иска заличаване – доколкото това е възможно и не изисква непропорционални усилия.

Изключения от правото на изтриване

Има случаи, в които администраторите имат право да откажат заличаване. Това може да се случи, ако обработването е необходимо:

• За упражняване на свободата на изразяване и информация;

• За изпълнение на правно задължение (напр. счетоводен закон);

• По причини от обществен интерес в областта на общественото здраве;

• За установяване, упражняване или защита на правни претенции.

Например: ако сте клиент на банка и поискате заличаване на всички свои данни, това не може да бъде изпълнено, ако има активен кредит или задължение за съхранение съгласно Закона за счетоводството.

Практически съвети за гражданите

• Проверете дали имате основание. Не всяка неудобна публикация подлежи на заличаване.

• Подгответе писмено искане. Използвайте образец или юридически консултант при съмнение.

• Следете сроковете. Ако не получите отговор до 30 дни, подайте жалба до КЗЛД.

• Съхранявайте кореспонденцията. Тя може да бъде доказателство при жалба.

В обобщение

Правото "да бъдеш забравен" е мощен инструмент в ръцете на всеки гражданин. То позволява контрол върху собствените лични данни и гарантира, че няма да бъдете обект на неправомерно съхранение или разпространение. За да бъде ефективно, обаче, е необходимо да бъде прилагано правилно както от физическите лица, така и от администраторите.

Ако не сте сигурни как да упражните това право или срещате отказ, не се колебайте да се свържете с Комисията за защита на личните данни или с правен консултант.

Ако искате да научите повече за правата си и как да ги упражнявате в различни реални ситуации, запишете се за нашето онлайн обучение по защита на личните данни в store.nit.bg! Курсът е съобразен с изискванията на ОРЗД и българското законодателство и е подходящ както за администратори на лични данни, така и за всеки гражданин, който иска да защити себе си в дигиталната епоха.

Курсът "GDPR регламент за защита на личните данни“ е създаден за всеки, който желае да се запознае с правата и задълженията по регламента, както и неговото приложение в България.

Източници:

• Общ регламент относно защитата на данните (ЕС) 2016/679 – чл. 17

• Закон за защита на личните данни

• Годишен отчет на КЗЛД за 2024 г.

• Решения на КЗЛД, публикувани на https://www.cpdp.bg

 

Как да бъдете „забравени“ по закон? Вижте кога и как можете да изтриете личните си данни и какво казва КЗЛД по темата.

Прочетете още за защита на данните  в нашата статия Лични данни на работното място: законни граници и чести нарушения