Prawo do usunięcia danych w praktyce: jak usunąć swoje dane np. wizerunek z Internetu?

Znalazłeś na stronie internetowej bądź w portalu społecznościowym zdjęcie lub film ze swoim wizerunkiem, które ktoś opublikował? Może zostały zmodyfikowane przy pomocy programu graficznego albo agentów sztucznej inteligencji?

Pamiętaj, że art. 17 RODO przyznaje Ci prawo do żądania usunięcia danych.

Kiedy mogę skutecznie żądać usunięcia danych?

Zgodnie z art. 17 RODO, administrator musi usunąć Twoje dane, jeśli spełniony jest przynajmniej jeden z poniższych warunków:

1. dane są już niepotrzebne – cel, dla którego zostały zebrane lub były dalej przetwarzane został zrealizowany bądź już nie istnieje;
2. wycofałeś zgodę na przetwarzanie danych – jeśli zgodziłeś się na przetwarzanie danych osobowych (np. w celach marketingowych), a teraz zmieniłeś zdanie i nie ma innej podstawy prawnej, która pozwalałby administratorowi je dalej przetwarzać;
3. wniosłeś sprzeciw –  jeżeli złożyłeś sprzeciw wobec przetwarzania danych w celach marketingu bezpośredniego lub jeżeli złożyłeś sprzeciw ze względu na Twoją szczególną sytuację i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania (art. 21 RODO);
4. dane są przetwarzane nielegalnie – np. gdy opublikowane dane pochodzą z wycieku spowodowanego atakiem hackerskim lub zostały wykorzystane do stworzenia deefake’a;
5. wymaga tego prawo – administrator musi usunąć Twoje dane, aby spełnić konkretny obowiązek wynikający z powszechnie obowiązujących przepisów prawa;
6. dane dotyczą dziecka (osoby, która nie skończyła 18 lat) – podałeś te dane gdy byłeś dzieckiem w związku z oferowaniem Ci usług społeczeństwa informacyjnego (np. portale społecznościowe).

Czy administrator może odmówić?

Tak, prawo do usunięcia danych nie jest bezwzględne. Administrator może odmówić usunięcia danych, jeśli są one niezbędne:

1. do korzystania z prawa do wolności wypowiedzi i informacji –  aby chronić prawo do swobodnego wyrażania opinii i dostępu do informacji
2. do wywiązania się z obowiązku prawnego – gdy konkretne przepisy prawa  (np. ustawy o rachunkowości) nakazują dalsze przechowywanie danych;
3. z uwagi na interes publiczny w dziedzinie zdrowia publicznego – w sytuacjach dotyczących bezpieczeństwa zdrowotnego lub zapewnienia opieki medycznej;
4. do realizacji celów archiwalnych w interesie publicznym, naukowych, historycznych lub statystycznych – jeśli usunięcie danych uniemożliwiłoby lub poważnie utrudniło realizację ważnych celów w tym zakresie;
5. do ustalenia, dochodzenia lub obrony roszczeń – gdy dane są potrzebne, aby dochodzić swoich praw przed sądem lub bronić się przed roszczeniami.

Ile czasu ma administrator?

Administrator powinien odpowiedzieć niezwłocznie, najpóźniej w ciągu jednego miesiąca. Jeśli sprawa jest skomplikowana (np. posiada on o Tobie bardzo dużo informacji), może wydłużyć ten czas o kolejne dwa miesiące, ale musi Cię o tym poinformować przed upływem miesiąca i wyjaśnić przyczynę opóźnienia.

Czy administrator może zweryfikować Twoją tożsamość?

Administrator może zweryfikować Twoją tożsamość, aby mieć pewność, że jesteś osobą, której dane mają być usunięte.

RODO nie określa konkretnych wymogów dotyczących sposobu uwierzytelnienia osoby, której dane dotyczą. Trzeba pamiętać, że administrator nie może żądać więcej danych osobowych, niż jest to konieczne, aby potwierdzić tożsamość osoby, która chce skorzystać z prawa do usunięcia danych, i tylko w tym celu dane te mogą być wykorzystane. Jeżeli już korzystasz z usług administratora, do uwierzytelnienia się w związku z Twoim żądaniem powinny wystarczyć mechanizmy uwierzytelnienia, które służą do zalogowania się do usługi.

Praktyczne wskazówki

Jak usunąć swoje dane z portali społecznościowych, wyszukiwarek internetowych lub innych stron internetowych?

KROK 1: Najszybsza droga – napisz do osoby, która to opublikowała

 Jeśli zdjęcie lub inne dane osobowe opublikował użytkownik portalu społecznościowego (nie musi to być Twój znajomy):

1. Napisz do niego prywatną wiadomość.
2. Wyjaśnij,  dlaczego nie życzysz sobie upubliczniania Twoich danych.
3. Poproś o usunięcie konkretnie określonych danych  (podaj konkretny adres URL strony internetowej, na którym znajdują się te dane). .

Dlaczego warto?

Często jest to najszybsza i najskuteczniejsza metoda. Pozwala uniknąć sformalizowanej procedury u administratora, która może potrwać dłużej.

KROK 2: Skontaktuj się z administratorem

Jeżeli kontakt z osobą, która opublikowała Twoje dane nie przyniósł oczekiwanych rezultatów lub dane zostały opublikowane przez administratora, powinieneś się zwrócić bezpośrednio do niego.

Jak skontaktować się z administratorem?

1. Znajdź dane kontaktowe: przed złożeniem wniosku musisz ustalić, kto jest administratorem Twoich danych i jak można się z nim skontaktować. W tym celu szukaj zakładki „kontakt”, „RODO”, „ochrona danych osobowych”, „polityka prywatności” lub podobnie nazwanych na stronie internetowej (portalu).

Jeżeli administrator wyznaczył inspektora ochrony danych (IOD), to on pełni funkcję punktu kontaktowego dla osób, których dane dotyczą. Administrator ma obowiązek opublikowania danych kontaktowych IOD na swojej stronie internetowej i w innych materiałach informacyjnych. 

Pamiętaj! Najlepiej jest zwrócić się bezpośrednio do inspektora ochrony danych, jeżeli został wyznaczony.

2. Wyślij żądanie: możesz to zrobić elektronicznie lub listownie. Skorzystaj ze specjalnych wniosków, a jeśli nie ma gotowego formularza, napisz żądanie samodzielnie.

3. Co dokładnie napisać?

• powołaj się na konkretne prawo: żeby nie było wątpliwości warto zaznaczyć, że żądasz usunięcia danych na podstawie art. 17 RODO. To sygnał dla administratora, że znasz swoje prawa i wiesz jakiej procedury wymagasz;
• wskaż konkrety: precyzyjnie określ jakie dane mają zostać usunięte. Czy żądanie dotyczy wszystkich Twoich danych czy tylko niektórych z nich  (takich jak np. numer telefonu czy  wizerunek).
  Warto również podać konkretny adres URL strony internetowej, na której znajdują się te dane. Jeżeli chcesz usunąć swój wizerunek ze zdjęcia grupowego wskaż, który dotyczy Ciebie.
  Pamiętaj, że usuniecie konta użytkownika nie musi oznaczać usunięcia wszystkich danych z nim powiązanych. Dlatego wyraźnie wskaż, że wraz z usunięciem konta chcesz usunięcia danych. .
• uzasadnienie: napisz z jakiego powodu żądasz usunięcia danych;
• zapytaj o odbiorców: dane często są przekazywane innym administratorom. Poproś o sprawdzenie czy Twoje dane zostały komuś udostępnione. Jeśli tak, poproś o przekazanie żądania usunięcia również tym administratorom (na podstawie art. 19 RODO);
• poproś o określenie terminu: swoje zgłoszenie możesz zakończyć prośbą o potwierdzenie otrzymania wiadomości oraz informację, kiedy dane zostaną ostatecznie usunięte.

 4. Zbieraj dowody: zawsze zachowuj kopię własnego żądania i udzielonych odpowiedzi (mogą to być screeny, maile, kopie pism). To Twój dowód w razie sporu.

KROK 3: Skorzystaj z narzędzi udostępnionych przez administratora („zgłaszanie naruszeń”)

Portale internetowe, w tym portale społecznościowe, zazwyczaj umożliwiają zgłaszanie naruszeń dotyczących treści publikowanych przez użytkowników bezpośrednio przy danym wpisie (możesz zgłosić cały wpis lub jego fragment).

Niezależnie od tego udostępniają one formularze i inne materiały informacyjne, które mają ułatwić osobom, których dane dotyczą, skorzystanie ze swoich praw, w tym prawa do usunięcia danych.

Tacy administratorzy często udostępniają formularze umożliwiające usunięcie lub dezaktywację konta użytkownika. Skorzystanie z takiej możliwości nie musi oznaczać usunięcia danych związanych z tym kontem. Dlatego jeżeli chcesz usunąć swoje  konto użytkownika oraz przetwarzane w związku z jego prowadzeniem dane osobowe, wyraźnie tego zażądaj.

Poniżej znajdują się linki do formularzy, instrukcji dotyczących usunięcia danych osobowych, dezaktywacji lub usunięcia konta oraz formularzy kontaktowych do inspektora ochrony danych, które są opublikowane na najpopularniejszych portalach internetowych:

Krok 4: Usunięcie z listy wyników wyszukiwania

Nie zawsze można skutecznie usunąć swoje dane ze strony internetowej lub portalu. W takiej sytuacji możesz rozważyć zwrócenie się do administratora wyszukiwarki internetowej o usunięcie z wyników wyszukiwania linków do tej strony lub portalu. Może to być przydatne także, gdy dane usunięto z pierwotnej strony, ale zostały one skopiowane i są nadal udostępniane na innych stronach.

Jak to działa? Wizerunek lub inne dane osobowe nie znikną z konkretnej strony internetowej lub portalu, ale strony internetowe, na których te dane zostały opublikowane, nie pojawią się w wynikach wyszukiwania, gdy ktoś wpisze Twoje imię i nazwisko w wyszukiwarkę internetową.

Co mam zrobi? Musisz się zwrócić do administratora wyszukiwarki internetowej. Często możesz skorzystać z formularza udostępnionego w tym celu przez administratora wyszukiwarki internetowej.. Skorzystaj ze wskazówek zawartych w kroku 2 pkt 3 tego poradnika.

Pamiętaj! Twoje żądanie musi zawierać adresy URL stron internetowych, na których znajdują się kwestionowane przez Ciebie dane. Twoje żądanie może dotyczyć  tylko Twoich danych – warto to wykazać w swoim wniosku.

Ważne! Usunięcie linków z wyników wyszukiwania nie oznacza, że informacja znika z Internetu całkowicie. Oryginalna strona nadal istnieje (np. artykuł czy wpis na forum), ale znacznie trudniej ją znaleźć.

Pamiętaj! Administrator wyszukiwarki internetowej musi ocenić zasadność żądania usunięcia linku z wyników wyszukiwania zgodnie z omówionymi wcześniej. warunkami określonymi w art. 17 RODO. 

Aby usunąć swoje dane z wyników wyszukiwania w najpopularniejszych wyszukiwarkach, skorzystaj z poniższych linków:

Realizacja prawa do usunięcia linków z wyników wyszukiwania została szczegółowo omówiona w wytycznych Europejskiej Rady Ochrony Danych 5/2019 w sprawie kryteriów dotyczących prawa do bycia zapomnianym w sprawach dotyczących wyszukiwarek internetowych na podstawie RODO.

KROK 5: Co zrobić jeśli administrator odmówi usunięcia danych lub nie odpowie na żądanie?

W razie odmowy usunięcia Twoich danych, administrator ma obowiązek uzasadnić swoją decyzję. Jeśli nie zgadzasz się z przedstawioną argumentacją, przysługuje Ci prawo do złożenia skargi do Prezesa Urzędu Ochrony Danych Osobowych. Skargę możesz złożyć również wtedy, gdy administrator nie odpowie na Twój wniosek w terminie.

Możesz to zrobić na dwa sposoby:

• elektronicznie: za pomocą e-doręczeń (szczegółową instrukcję znajdziesz pod tym linkiem);
• tradycyjnie w postaci pisemnej: sprawdź tutaj jakie elementy musi zawierać Twoja skarga.

Jeżeli główna lub jedyna jednostka organizacyjna administratora znajduje się w innym państwie członkowskim Europejskiego Obszaru Gospodarczego (27 państw członkowskich Unii Europejskiej oraz Islandia, Lichtenstein i Norwegia), właściwym do rozpatrzenia skargi na jego działania będzie organ nadzorczy z tego państwa.

Nie musisz jednak składać skargi bezpośrednio do tego organu. Masz bowiem prawo złożyć skargę do Prezesa UODO, który przekaże ją do wiodącego organu nadzorczego. Zostanie ona rozpatrzona w ramach postępowania transgranicznego, w którym Prezes UODO jako organ nadzorczy, którego sprawa dotyczy, będzie współpracował z wiodącym organem nadzorczym i będzie Cię informował o postępach w załatwieniu sprawy.