Dreptul de a fi uitat – reglementare și aplicabilitate

Anamaria Pleviț

Abstract: Articolul analizează dreptul de a fi uitat (dreptul la ștergerea datelor personale) din perspectiva reglementările legale, a situațiilor ivite în practica instanțelor și a implicațiilor în mediul online, cu indicarea cazurilor, a modului de exercitare și a excepțiilor care validează un refuz din partea operatorilor de date cu caracter personal.

I. Considerații generale

Protecția juridică cât mai eficientă a datelor cu caracter personal reprezintă un deziderat al instituțiilor care ne reprezintă dar și al societății în ansamblul ei. Legislația în materie se află, și probabil mult timp va fi, într-o continuă perfecționare și adaptare la nevoile dezvoltării relațiilor în mediul online și fizic. Implicațiile datelor cu caracter personal în activitățile în care ne angajăm au un rol fundamental. Orice înțelegere verbală sau scrisă, orice opinie exprimată, orice acțiune pe care o întreprindem se leagă mai mult sau mai puțin de datele noastre personale, de caracteristici care ne fac unici și ne identifică în raporturile cu ceilalți.

Procesarea datelor cu caracter personal presupune o serie de drepturi și obligații corelative pentru părțile implicate (operator, procesor, persoană vizată). Dintre acestea, dreptul de a fi uitat beneficiază de o atenție sporită în practică din partea subiecților de drept atât în ceea ce privește mediul online dar și cel fizic. În acest sens compania Google a efectuat un studiu pentru a identifica efectul în practică al exercitării acestui drept și a constatat că pe o perioadă de 5 ani au fost solicitate spre delistare 3,5 milioane de URLs de pe motorul de căutare Google Search, identificând două categorii dominante de cereri: pe de o parte cereri prin care s-a solicitat eliminarea informațiilor personale de pe rețelele de socializare, iar pe de altă parte cereri prin care s-a solicitat eliminarea istoricului legal și profesional raportat de instituțiile de știri și de paginile guvernamentale. În timp ce un procent de aproximativ 84% a provenit de la persoanele private, diferența se atribuie politicienilor și altor oficiali guvernamentali și neguvernamentali. Concluzia raportului este aceea că exercitarea dreptului de a fi uitat conduce, în general, la o remodelare a căutării.[1]

II. Reglementare și aplicabilitate

Conform art. 17 alin. 1 din Regulamentului European privind protecția datelor personale UE 2016/679 (Regulament) persoana vizată are dreptul de a obţine din partea operatorului ştergerea datelor cu caracter personal care o privesc, fără întârzieri nejustificate, iar operatorul are obligaţia de a şterge aceste date fără întârzieri nejustificate atunci când există una din următoarele situații:

1. datele personale nu mai sunt necesare potrivit scopului principal iar un alt scop legal nu există;

În vederea respectării principiului legalității, echității și transparenței operatorul trebuie să comunice scopul precis pentru care se colectează datele cu caracter personal anterior obținerii consimțământului iar în cazul apariției unui scop secundar trebuie verificată compatibilitatea cu scopul de bază. Dacă se constată incompatibilitatea se va obține un consimțământ separat.

În acest sens, în august 2024 Judecătoria Sectorului 1 București a decis că nu mai există un temei legitim pentru colectarea și prelucrarea datelor personale prin menținerea datelor negative de către Biroul de Credite având în vedere că reclamantul a achitat integral creditul și că și-a exprimat opțiunea de a se opune procesării în continuare. Scopul determinat și legitim a existat atât timp cât reclamantul încă prezenta debite restante[2]. Prelucrarea ulterioară excede principiului legalității prevăzut de art. 6 lit. b și f din Regulament privind Legalitatea prelucrării.[3]

2. temeiul în baza căruia procesarea datelor cu caracter personal este consimțământul persoanei vizate iar aceasta retrage acest consimțământ în temeiul art. 6 alin. 1 lit. a sau art. 9 alin. 2 lit. a și nu mai există un alt temei juridic pentru prelucrare;

Retragerea consimțământului nu produce efecte asupra legalității prelucrării deja efectuate. Persoana vizată este informată expres cu privire la acest aspect înainte de acordarea consimțământului.[4]

3. persoana vizată își exercită dreptul la opoziție prevăzut de art. 21 din Regulament și nu există o altă bază legală pentru continuarea prelucrării;

Dreptul la opoziție constă în dreptul persoanei vizate de a se opune prelucrării datelor cu caracter personal în temeiul art. 6 alin. 1 lit. e) sau f)[5] din Regulament, inclusiv creării de profiluri pe baza acestor date, din motive legate de situația particulară sau, fără motive, atunci când scopul prelucrării este marketingul direct.

4. datele cu caracter personal au fost prelucrate în mod ilegal.

Pentru ca activitatea operatorului de prelucrare a datelor cu caracter personal să respecte principiul legalității prelucrării va trebui să existe fie un consimțământ valabil exprimat pentru scopuri precis enunțate fie o respectare a criteriului necesității. Aprecierea necesității se va analiza în fiecare situație particulară în parte după cum aceasta se încadrează sau nu în următoarele cazuri: în vederea executării unui contract sau pentru efectuarea unor demersuri anterior încheierii unui contract, pentru îndeplinirea unei obligații legale, atunci când se urmărește protejarea intereselor vitale ale unei persoane fizice, pentru îndeplinirea unei sarcini care servește unui interes public ori care rezultă din exercitarea autorității publice a operatorului sau atunci când există un interes legitim al operatorului/părți terțe[6].

5. în vederea respectării dreptului Uniunii sau a dreptului intern datele personale trebuie șterse;

6. datele cu caracter personal au fost colectate în legătură cu oferirea de servicii ale societății informaționale menționate la articolul 8 alineatul (1) din Regulament, respectiv copiilor care au împlinit vârsta de 16 ani. Sub această limită un consimțământ valabil poate fi obținut doar cu acord parental. De la regulă prevederile din Regulament permit totuși o derogare statelor membre în sensul că pot stabili prin lege o vârstă inferioară în aceste scopuri cu condiția ca aceasta să nu fie mai mică de 13 ani.

În ceea ce privește exercitarea dreptului de a fi uitat art. 12 din Regulament stabilește că operatorul este obligat să asigure persoanei vizate exercitarea drepturilor sale, să pună la dispoziție mijloacele prin care aceasta poate formula o cerere. Dacă cererile au fost formulate pe cale electronică atunci și răspunsul operatorului va fi formulat tot pe cale electronică cu excepția cazului în care persoana vizată solicită o comunicare într-un alt format. Desigur că, atunci când există îndoieli cu privire la identitatea persoanei care exercită dreptul, prevederile legale permit operatorului că solicite informații suplimentare pentru confirmarea acesteia.

Timpul de răspuns este de o lună de la data când operatorul a primit cererea prin care a fost exercitat dreptul de a fi uitat. În situația în care decizia operatorului este de a nu da curs cererii formulate de persoana vizată tot în acest termen de o lună va trebui să aducă la cunoștința părții despre motivele pentru care nu va lua măsuri precum și despre posibilitatea acesteia de a depune o plângere în fața autorității de supraveghere și a unei instanțe de judecată.

Dacă intenția operatorului este de a da curs solicitării însă este vorba despre o cerere complexă sau despre o situație specifică, dispozițiile din Regulament permit extinderea termenului de o lună cu încă două luni[7]. Această derogare obligă însă operatorul să informeze motivat în termenul inițial de o lună despre prelungire.

Excepțiile de la dreptul la ștergerea datelor permit organizațiilor să refuze cererea persoanei vizate în următoarele situații prevăzute limitativ:

1. pentru exercitarea dreptului la libera exprimare și la informare;

2. pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau a unui stat membru care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public (sănătatea publică, arhivare în interes public, cercetare științifică sau istorică, scopuri statistice);

În jurisprudența de dată recentă instanța de judecată a decis că, deși reclamantul și-a retras consimțământul de la prelucrarea datelor cu caracter personal prevalându-se de dreptul de a fi uitat, pârâta are motive legitime și imperioase care justifică prelucrarea și care prevalează asupra intereselor, drepturilor și libertăților persoanei vizate. Instanța a motivat interesul legitim pe dispozițiile legale care permit împrumutătorilor să obţină informaţii privind capacitatea de rambursare a clienţilor atât de la aceştia din urmă, precum şi din alte surse interne sau externe relevante, inclusiv, după caz, prin consultarea bazei de date a unui sistem de evidenţă de tipul birourilor de credit[8]. În speța de față ulterior punerii în balanță a interesului operatorului și a drepturilor persoanei vizate instanța de judecată a considerat că primează interesul legitim al operatorului întrucât reclamantul avea în derulare un contract de credit la care înregistra întârzieri la plată.

3. pentru constatarea, exercitarea sau apărarea unui drept în instanță[9].

În mediul online este de notorietate că datele personale odată dezvăluite și distribuite devin dificil de controlat, însă, furnizorii de servicii online, chiar și în aceste condiții sunt obligați să respecte dreptul la ștergerea datelor exercitat de persoana vizată. Astfel, conform art. 19 din Regulament operatorul va trebui să notifice părțile terțe cărora le-au fost divulgate datele despre exercitarea dreptului de ștergere cu excepția cazului în care acest lucru se dovedește a fi imposibil ori presupune eforturi disproporționate sau identifică una din situațiile de excepție prevăzute în art. 17 din Regulament.

Comitetul European pentru protecția datelor stabilește în ale sale Guidelines 5/2019 cu privire la criteriile privind dreptul de a fi uitat pe motoarele de căutare online (partea 1) versiunea 2.0 că dreptului de a fi uitat îi corespunde dreptul la delistare a unui conținut particular. În situația în care persoana vizată obține eliminarea din listă a unui anumit conținut specific, acest fapt va duce la ștergerea acestuia din lista rezultatelor căutării atunci când căutarea este, ca regula principală, bazată pe numele său.[10]

Jurisprudența Curții de Justiție a Uniunii Europene a decis în cauza C-131/12[11] că operatorul unui motor de căutare este obligat să elimine de pe lista de rezultate, afișată în urma unei căutări efectuate plecând de la numele unei persoane, linkurile către paginile web publicate de terți și care conțin informații referitoare la această persoană. Această obligație există și în ipoteza în care numele sau informațiile nu sunt șterse în prealabil sau simultan de pe paginile web respective, chiar dacă publicarea lor în sine pe paginile menționate este licită.

În acord cu prevederile și decizia de mai sus, în august 2024 Judecătoria Pitești, învestită cu o cerere de ordonanță președințială având ca obiect ștergerea datelor personale, a dispus, provizoriu până la soluționarea dosarului pe fond, ștergerea de la căutarea prin motorul de căutare online ca urmare a folosirii unor cuvinte cheie a tuturor linkurilor sau adreselor URL din paginile web care conţin orice materiale publicate despre reclamant și postate pe un site de pe internet.[12]

III. Concluzie

Având în vedere aspectele analizate cu referire la prevederile legale și la jurisprudența conturată în această materie putem conchide că dreptul de a fi uitat (dreptul la ștergerea datelor, dreptul la delistare) nu este un drept absolut și că fiecare cerere întemeiată pe art. 17 din Regulament presupune, pe de o parte, o analiză minuțioasă a situației particulare expuse, iar, pe de altă parte, punerea în balanță a interesului operatorului și a drepturilor și libertăților fundamentale ale persoanei vizate.

[1] Disponibil aici, p. 13;
[2] A se vedea Hotărârea nr. 2173/2024 din 29.03.2024, pronunțată de Judecătoria Sectorului 1 București, cod RJ 724562569 (consultată la data de 03.09.2024);
[3] Regulamentului European privind protecția datelor personale UE 2016/679, art. 6 lit. b „prelucrarea este necesară pentru executarea unui contract la care persoana vizată este parte sau pentru a face demersuri la cererea persoanei vizate înainte de încheierea unui contract; lit. f prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului în care prevalează interesele sau drepturile și libertățile fundamentale ale persoanei vizate care necesită protejarea datelor cu caracter personal, în special atunci când persoana vizată este un copil”.;
[4] Regulamentului European privind protecția datelor personale UE 2016/679, art. 7 alin. 3
[5] Regulamentului European privind protecția datelor personale UE 2016/679, art. 6 lit. e „prelucrarea este necesară pentru îndeplinirea unei sarcini care servește unui interes public în exercitarea autorității oficiale conferite operatorului; art. 6 lit. f prelucrarea este necesară în scopul intereselor legitime urmărite de operator sau de o parte terță, cu excepția cazului când prevalează interesele, drepturile și libertățile fundamentale ale persoanei vizate, în special atunci când este vorba despre un copil”;
[6] Regulamentului European privind protecția datelor personale UE 2016/679, art. 6;
[7] Regulamentului European privind protecția datelor personale UE 2016/679, art. 12 alin. 3;
[8] A se vedea Hotărârea nr. 3553/2024 din 01.03.2024, pronunțată de Judecătoria Sectorului 4 București, cod RJ 62e454435 (consultată la data de 03.09.2024);
[9] Regulamentului European privind protecția datelor personale UE 2016/679, art. 17 alin. 3;
[10] Disponibil aici;
[11] Cauza C-131/12 Google Spain SL and Google Inc. v Agencia Española de Protección de Datos (AEPD) and Mario Costeja González;
[12] A se vedea Hotărârea nr. 5539/2024 din 13.08.2024, pronunțată de Judecătoria Pitești, cod RJ 863g752e2 (consultată la data 03.09.2024).

Avocat Anamaria Pleviț

Citeşte mai mult despre Anamaria Pleviț, date cu caracter personal, dreptul de a fi uitat, dreptul la ștergerea datelor personale, persoana vizata! Pentru condiţiile de publicare pe JURIDICE.ro detalii aici.

Urmăriţi JURIDICE.ro şi pe LinkedIn  WhatsApp  Threads  Google News 

(P) JURIDICE.ro foloseşte şi recomandă SmartBill.