Във връзка с постъпили от медии поредица от идентични искания за становища относно приложението на правото на изтриване (право „да бъдеш забравен”) в контекста на обработване на лични данни за журналистически цели, КЗЛД публикува становище.
От Комисията посочват, че правото на изтриване (или правото „да бъдеш забравен”) не е абсолютно право и упражняването му може да бъде дерогирано на някое от изрично посочените основания в чл. 17, § 3 от Регламент (ЕС) 2016/679, вр. с чл. 25з, ал. 3, т. 2 от Закона за защита на личните данни.
Конкретният казус станал повод за произнасяне на КЗЛД със становище е, че при някои медии са постъпили искания за упражняване на правото на изтриване от лицето Д.М.В. във връзка с публикувани за него статии и снимки от същите, които касаят осъждането му с влязла в сила присъда за престъпление срещу личността по смисъла на глава II от Особената част на Наказателния кодекс на Република България. Налице е основание за отказ на предявеното право на изтриване на лични данни, когато обработването им е необходимо за упражняване на правото на свобода на изразяване и правото на информация и не на последно място за изпълнението на задача от обществен интерес, която обуславя необходимостта от информиране на обществото за извършени от дадено лице престъпления и за личността на извършителя, предвид неговата завишена обществена опасност.
Срокът за оповестяване на журналистическа информация, съдържаща лични данни следва да е съобразен с принципа за „ограничение на съхранението”, прогласен в чл. 5, § 1, б. „д” от Регламент (ЕС) 2016/679, съгласно който личните данни могат да се съхраняват законосъобразно във форма, която да позволява идентифицирането на субекта на данни за период, който не е по-дълъг от необходимия за целите, за които се обработват същите.
Правото да бъдеш забравен
Регламент (ЕС) 2016/679 въвежда редица изменения при обработването и защитата на личните данни. Една от съществените промени по отношение на правата на гражданите е по-подробното регламентиране на правото на изтриване (или правото „да бъдеш забравен”). Това право дава възможност, когато субектът на данни не желае данните му да бъдат обработвани и не съществуват легални основания за тяхното съхранение, те да бъдат заличавани.
По отношение на правото „да бъдеш забравен”, следва да се спомене решението на Съда нa Европейския съюз по казуса Google Spain (C-131-12), произнесено през май 2014 г., насочено към изясняване на няколко много важни въпроса, свързани с правото на субектите на лични данни да бъдат забравени, обективирано първо в отменената Директива 95/46/ЕО. Решението на съда предизвика широк отзвук и разнопосочни реакции както в ЕС, така и извън него, с оглед значението му за регулиране на дигиталното пространство. В него съдът заключи,че извършваните дейности от търсачки (Google в конкретното решение) представляват обработване на лични данни, което може да засегне значително основните права на личен живот и на защита на личните данни, тъй като улеснява потребителите в изграждането на подробен профил на съответното лице.
Основният въпрос, който решението постави, е дали то е предпоставка за намирането на справедлив баланс между правото на лична неприкосновеност и защита на личните данни на лицата, свободата на изразяване, правото на достъп до информация и другите законни интереси на лицата в интернет пространството, обобщават от КЗЛД. Съдът решава, че с оглед на основната цел на Директива 95/46/ЕС, а именно да се осигури ефективна защита на основните права и свободи на физическите лица, и в частност на правото им на личен живот, тълкуването на разпоредбата, свързана с приложимостта на правото на ЕС, не може да бъде ограничително. На това основание всяко лице, независимо дали е гражданин на държава членка на ЕС или не, може да поиска отлицето, предоставящо услуги за търсене в интернет на територията на съответната държава-членка на ЕС, да бъдат заличени връзките към интернет страници, съдържащи информация, която нарушава неговите права, дори и в случаите, когато публикуването на информацията само по себе си е законно.
Правото „да бъдеш забравен” е доразвито в чл. 17 от Регламент (ЕС) 2016/679, създавайки високо ниво на защита на личните данни. Съгласно § 1 на въпросната разпоредба, субектът на данни може да поиска, а администраторът е длъжен да изтрие без ненужно забавяне конкретните лични данни. Горната възможност би могла да бъде осъществена единствено при наличието на следните основания:
· личните данни повече не са необходими за целите, за които са били събрани или обработвани по друг начин;
· субектът на данните оттегля своето съгласие, върху което се основава обработването на данните;
· субектът на данни възразява срещу обработването и няма преимуществено законово основание за продължаване на обработването;
· личните данни са били обработвани незаконосъобразно;
· личните данни трябва да бъдат изтрити с цел спазването на правно задължение по правото на Съюза или правото на държава членка, което се прилага спрямо администратора;
· личните данни са били събрани във връзка с предлагането на услуги на информационното общество на дете.
Правото „да бъдеш забравен” като основно право в онлайн средата, следва да бъде разширено, като от администратора, който е направил личните данни обществено достъпни се изисква да уведоми администраторите, които обработват такива лични данни, да изтрият всякакви връзки към тези лични данни или техните копия или реплики. По този начин Регламент (ЕС) 2016/679 укрепва правото на изтриване, като пояснява, че организациите в онлайн средата, които правят личните данни публични, следва да информират други организации, които обработват личните данни, за да изтрият линковете или копията на въпросните лични данни. Въпреки че това може да е предизвикателство за администраторите, те трябва да се стремят да спазват тези изисквания. Те са длъжни да предприемат разумни мерки, вземайки предвид наличните технологии и средствата, с които разполагат, за да успеят да изпълнят задълженията си и да информират други администратори, които обработват лични данни, за искането на субекта на данните.
Все пак са налице редица ситуации, в които администраторът има възможност да откаже да изтрие данните, а именно когато обработването на конкретните данни има за цел:
· да упражнява правото на свобода на изразяване и информация;
· да изпълнява правно задължение или да изпълнява задача от обществен интерес или упражняване на публична власт;
· за целите на общественото здраве;
· архивиране за цели в обществен интерес, научноизследователски исторически изследвания или статистически цели; или
· установяване, упражняване или защитата на правни претенции.
Предвид горното, правото „да бъдеш забравен” не е абсолютно право. Всеки субект на данни може да се възползва от него единствено при наличие на конкретно основание, посочват от КЗЛД.