Jak skorzystać z prawa do bycia zapomnianym
Prawo do bycia zapomnianym daje każdemu z nas możliwość żądania usunięcia danych osobowych z systemów firm, rejestrów i wyników wyszukiwania. Brzmi prosto, ale w praktyce procedura ma swoje niuanse — inne kroki obowiązują przy wniosku do administratora danych, a inne przy żądaniu skierowanym do Google. Ten poradnik przeprowadza przez cały proces krok po kroku.
Na czym polega prawo do bycia zapomnianym według RODO
Prawo do bycia zapomnianym zostało uregulowane w art. 17 rozporządzenia RODO (Rozporządzenie Parlamentu Europejskiego i Rady UE 2016/679). Przepis nosi oficjalną nazwę „prawo do usunięcia danych” i pozwala osobie fizycznej zażądać, by administrator przestał przetwarzać jej dane osobowe i usunął je ze swoich zbiorów.
Uprawnienie to nie jest jednak absolutne. Przepis wymienia konkretne przesłanki, przy których można powołać się na to prawo:
- dane nie są już niezbędne do celów, w których zostały zebrane
- cofnięto zgodę, a brak jest innej podstawy prawnej do przetwarzania
- zgłoszono skuteczny sprzeciw wobec przetwarzania danych
- dane były przetwarzane niezgodnie z prawem
- usunięcie wynika z obowiązku prawnego wynikającego z prawa UE lub państwa członkowskiego
- dane dotyczą dziecka i zostały zebrane w związku z usługami społeczeństwa informacyjnego
Administrator może odmówić realizacji żądania, jeśli przetwarzanie jest niezbędne do wywiązania się z prawnego obowiązku, do ustalenia, dochodzenia lub obrony roszczeń, albo ze względu na interes publiczny — na przykład archiwa historyczne lub badania naukowe. Warto o tym wiedzieć, zanim wyślemy wniosek, by realnie ocenić swoje szanse.
Jak złożyć wniosek o usunięcie danych do firmy lub organizacji
Wniosek kierujemy bezpośrednio do administratora danych — czyli podmiotu, który faktycznie zbiera i przetwarza nasze informacje. Może to być sklep internetowy, portal społecznościowy, bank, operator telekomunikacyjny czy urząd.
Gdzie znaleźć dane kontaktowe administratora
Każdy podmiot przetwarzający dane osobowe ma obowiązek udostępnić informacje o sobie w polityce prywatności. Tam szukamy adresu e-mail lub dedykowanego formularza do kontaktu w sprawach RODO. Część firm wyznaczyła Inspektora Ochrony Danych (IOD) — jego dane kontaktowe powinny być podane osobno. Jeśli firma ma siedzibę w UE, ale obsługuje klientów z Polski, wniosek możemy napisać po polsku.
Co powinien zawierać wniosek o usunięcie danych
Wniosek nie wymaga szczególnej formy prawnej, ale musi zawierać kilka elementów, by administrator mógł go prawidłowo rozpatrzyć:
- imię, nazwisko i dane umożliwiające identyfikację (np. adres e-mail, numer klienta)
- wskazanie, których danych żądamy usunięcia i z jakich systemów
- podstawa prawna żądania — np. cofnięcie zgody lub brak dalszej niezbędności danych
- preferowana forma odpowiedzi (e-mail, pismo)
Wniosek można wysłać elektronicznie lub pocztą tradycyjną. Zalecamy zachować potwierdzenie nadania lub wysyłki — przyda się, jeśli trzeba będzie udowodnić, że wniosek dotarł.
Administrator ma jeden miesiąc na udzielenie odpowiedzi. Termin może zostać przedłużony o kolejne dwa miesiące, ale tylko w wyjątkowo skomplikowanych sprawach, a o przedłużeniu i jego powodach musi nas poinformować w ciągu pierwszego miesiąca. Odmowa usunięcia danych musi być uzasadniona na piśmie.
Usunięcie danych z wyników wyszukiwania Google
Procedura wobec Google różni się od standardowego wniosku RODO. Wyszukiwarka nie jest twórcą treści, tylko indeksuje strony zewnętrzne — dlatego wniosek do Google powoduje usunięcie linku z wyników, ale nie usuwa samej strony ze źródła.
Kiedy Google rozpatrzy wniosek pozytywnie
Google weryfikuje wnioski według własnych wytycznych, biorąc pod uwagę równowagę między prawem do prywatności a interesem publicznym. Szanse na powodzenie są wyższe, gdy dane:
- są nieaktualne i mogą wprowadzać w błąd (np. stary artykuł o sprawie karnej zakończonej uniewinnieniem)
- dotyczą życia prywatnego i nie mają związku z pełnioną funkcją publiczną
- zostały opublikowane bez zgody i naruszają przepisy RODO lub lokalne prawo
- zawierają informacje wrażliwe, takie jak dane zdrowotne czy poglądy religijne
Treści dotyczące polityków, osób publicznych lub sprawy o wyraźnym interesie publicznym Google zazwyczaj pozostawia w indeksie — i jest to zgodne z literą RODO.
Jak wysłać wniosek do Google krok po kroku
Google udostępnia specjalny formularz do żądań usunięcia danych na podstawie przepisów europejskich. Formularz można znaleźć w centrum pomocy wyszukiwarki — sekcja dotycząca prywatności i wniosków RODO.
Wypełniając formularz, podajemy: swoje dane, kraj zamieszkania (Polska), adresy URL stron, które mają zniknąć z wyników, oraz wyjaśniamy, dlaczego konkretne dane naruszają nasze prawa. Im bardziej precyzyjne uzasadnienie, tym sprawniej przebiega weryfikacja. Google może poprosić o dokumenty potwierdzające tożsamość lub inne dowody — np. wyrok sądu lub notatkę policyjną w sprawach karnych.
Czas oczekiwania wynosi zazwyczaj kilka tygodni. Google informuje o decyzji mailowo. Jeśli wniosek zostanie odrzucony, można złożyć odwołanie przez ten sam formularz lub skierować skargę do Prezesa Urzędu Ochrony Danych Osobowych.
Co zrobić, gdy firma odmówi usunięcia danych
Odmowa nie jest końcem drogi. Jeśli administrator odrzucił wniosek lub nie odpowiedział w ciągu miesiąca, mamy do dyspozycji dwa równoległe narzędzia: skargę do organu nadzorczego i powództwo cywilne.
Organem nadzorczym w Polsce jest Prezes Urzędu Ochrony Danych Osobowych (PUODO). Skargę można złożyć elektronicznie przez ePUAP, pocztą lub osobiście w siedzibie urzędu. Do skargi dołączamy kopię wysłanego wniosku, odpowiedź administratora (lub potwierdzenie braku odpowiedzi) i krótkie wyjaśnienie, dlaczego uważamy odmowę za bezzasadną. Postępowanie przed PUODO jest bezpłatne.
Urząd ma uprawnienia do nakazania administratorowi usunięcia danych i nałożenia kary finansowej — w skrajnych przypadkach sięgającej 20 milionów euro lub 4% rocznego obrotu firmy. Sam fakt wszczęcia postępowania przez PUODO często mobilizuje administratora do ponownego rozpatrzenia sprawy.
Równolegle można złożyć pozew do sądu powszechnego i żądać odszkodowania za naruszenie danych. Sprawy tego rodzaju trafiają do sądów okręgowych. Droga sądowa jest bardziej czasochłonna, ale daje możliwość uzyskania rekompensaty finansowej, czego postępowanie przed PUODO nie przewiduje.
Prawo do bycia zapomnianym a dane w mediach społecznościowych
Platformy takie jak Facebook, Instagram czy LinkedIn przetwarzają ogromne ilości danych osobowych i mają własne procedury realizacji żądań RODO. Każda z nich udostępnia panel ustawień prywatności, gdzie można pobrać kopię swoich danych, a następnie złożyć wniosek o ich usunięcie.
Usunięcie konta nie zawsze jest równoznaczne z natychmiastowym usunięciem danych. Większość platform stosuje okres retencji — np. 30 lub 90 dni — podczas którego konto pozostaje dezaktywowane i można je przywrócić. Po upływie tego czasu dane są kasowane z serwerów produkcyjnych, choć kopie zapasowe mogą być przechowywane dłużej ze względów technicznych.
Problematyczne bywają dane przetwarzane przez platformy na innej podstawie niż zgoda — np. w celu wypełnienia obowiązku prawnego lub na podstawie uzasadnionego interesu administratora. W takich sytuacjach samo żądanie usunięcia może nie wystarczyć i konieczne będzie wniesienie sprzeciwu wobec przetwarzania. Warto sprawdzić, na jakiej podstawie prawnej dana platforma przetwarza nasze informacje — ta informacja powinna znajdować się w polityce prywatności przy każdej kategorii danych.
Jeśli platforma odrzuca wniosek lub odpowiada lakonicznie, stosujemy tę samą ścieżkę co przy każdym innym administratorze: skarga do PUODO lub właściwego organu nadzorczego w kraju siedziby platformy — dla Meta będzie to irlandzka Data Protection Commission, która prowadzi postępowania w imieniu całej UE.
Realizacja prawa do bycia zapomnianym w praktyce — na co zwrócić uwagę
Zanim wyślemy wniosek, warto zebrać wszystkie informacje na temat tego, gdzie i jakie nasze dane są przetwarzane. Pomocne jest przejrzenie skrzynki e-mail pod kątem potwierdzeń rejestracji, subskrypcji i regulaminów — to daje obraz, z ilu podmiotów trzeba będzie żądać usunięcia danych.
Dokumentujemy każdy krok: zachowujemy treść wniosku, datę wysłania, odpowiedź administratora i wszelką korespondencję. Jeśli sprawa trafi do PUODO lub sądu, ta dokumentacja będzie podstawą postępowania.
Pamiętajmy też, że usunięcie danych z bazy administratora nie usuwa ich automatycznie z podmiotów, którym administrator je udostępnił. Prawo do bycia zapomnianym zobowiązuje administratora do poinformowania odbiorców danych o żądaniu usunięcia — ale egzekwowanie tego obowiązku bywa trudne i może wymagać osobnych wniosków do każdego z podmiotów.
Termin realizacji wniosku to jeden miesiąc. Jeśli upłynął i nie otrzymaliśmy ani odpowiedzi, ani potwierdzenia przedłużenia terminu, możemy od razu kierować skargę do PUODO — brak reakcji administratora jest samodzielnym naruszeniem RODO i organ nadzorczy traktuje go poważnie.
