Pravica do izbrisa ali pozabe daje vsakemu posamezniku možnost, da od upravljavca osebnih podatkov zahteva, da ta brez nepotrebnega odlašanja izbriše vse osebne podatke v zvezi z njim.
Gre za eno izmed pravic, ki jih posamezniku zagotavlja Splošna uredba o varstvu podatkov in je podrobneje opredeljena v 17. členu GDPR.
Pravica do izbrisa nikakor ni absolutna pravica posameznika, saj GDPR natančno določa, v katerih primerih je upravljavec zavezan takšne podatke tudi dejansko izbrisati.
To je dolžan storiti v naslednjih primerih:
- ko osebni podatki niso več potrebni v namene, za katere so bili zbrani;
- posameznik, na katerega se nanašajo osebni podatki, prekliče privolitev, za obdelavo pa ni nobene druge pravne podlage;
- posameznik, na katerega se nanašajo osebni podatki, ugovarja obdelavi teh podatkov, razen če upravljavec podatkov dokaže, da njegovi interesi za obdelavo teh podatkov prevladajo nad interesi posameznika;
- posameznik, katerega osebni podatki se obdelujejo za namene neposrednega trženja, ugovarja obdelavi njegovih osebnih podatkov v te namene;
- osebni podatki so bili obdelani nezakonito;
- osebne podatke je treba izbrisati za izpolnitev pravne obveznosti;
- ko so bili osebni podatki zbrani v zvezi s ponudbo storitev informacijske družbe v povezavi s privolitvijo otroka za tako storitev.
V kolikor je izpolnjen eden izmed naštetih primerov, je upravljavec osebne podatke na zahtevo posameznika dolžan izbrisati.
Glede na to, da pravica do izbrisa ni absolutna pravica, obstajajo razlogi, zaradi katerih lahko upravljavec zavrne zahtevo za izbris podatkov. To lahko stori, ko:
- se z objavo uresničuje pravica do svobode izražanja in obveščanja;
- je obdelava potrebna za izpolnitev pravne obveznosti, ki velja za upravljavca;
- je obdelava potrebna iz razlogov javnega reda na področju javnega zdravja;
- je obdelava potrebna v znanstvene, raziskovalne, statistične namene ali namene arhiviranja in bi uresničitev pravice do izbrisa resno ovirala uresničitev teh namenov;
- se podatki obdelujejo za namene uveljavljanja, izvajanja ali obrambe pravnih zahtevkov (npr. v primeru morebitne tožbe).
Tudi v primeru, ko se osebni podatki hranijo na podlagi zakona ali pogodbe, takšni osebni podatki niso predmet pravice do izbrisa, temveč se hranijo glede na roke hrambe, kot jo določa zakon oziroma potrebnost zaradi izvajanja pogodbe.
Upravljavec lahko zahtevo za izbris podatkov zavrne tudi v primeru, ko:
- še vedno obstaja pravna podlaga za njihovo uporabo,
- nad vašo pravico do izbrisa prevladajo druge pravice (pravica javnosti do obveščenosti).
Upravljavec bo pogosto primoran opraviti tehtanje pravic in interesov za izbris osebnih podatkov posameznika na eni, in interes za zavrnitev zahteve za izbris na drugi strani.