Právo na výmaz osobních údajů: kdy musí firma data smazat a kdy ne

Kdy máte právo na výmaz

Podle čl. 17 odst. 1 GDPR musí správce osobní údaje bez zbytečného odkladu vymazat, pokud je splněn alespoň jeden z těchto důvodů:

• údaje už nejsou potřebné pro účel, pro který byly shromážděny,
• odvolali jste souhlas a jiný právní důvod pro zpracování neexistuje,
• vznesli jste námitku proti zpracování a převažující oprávněné důvody neexistují, nebo jde o námitku proti přímému marketingu,
• údaje byly zpracovány protiprávně,
• výmaz vyžaduje zákon,
• údaje byly shromážděny v souvislosti s nabídkou služeb informační společnosti dítěti.

Kdy firma smazat nemusí

Právo na výmaz má výjimky (čl. 17 odst. 3 GDPR). Správce nemusí údaje vymazat, pokud je jejich zpracování nezbytné například pro splnění právní povinnosti, pro výkon práva na svobodu projevu a informací, pro archivaci ve veřejném zájmu nebo pro určení, výkon či obhajobu právních nároků.

V praxi to znamená, že e-shop vám smaže marketingový profil i historii prohlížení, ale faktury si ponechat musí, protože je k tomu zavazují účetní a daňové předpisy. Banka nemůže smazat údaje, které podle zákona musí uchovávat kvůli boji proti praní peněz. Pokud s vámi firma vede spor, smí si ponechat údaje potřebné k jeho vedení.

Správce by vám měl v odpovědi vysvětlit, které údaje vymazal, které si ponechal a z jakého důvodu. Obecné odmítnutí bez odůvodnění nestačí.

Jak žádost napsat

Žádost nemusí mít předepsanou formu, ale musí být jasná. Pošlete ji e-mailem na kontakt uvedený v zásadách ochrany osobních údajů, případně pověřenci pro ochranu osobních údajů, nebo doporučeně poštou. Uveďte:

• své jméno a údaje, podle kterých vás firma najde (e-mail, číslo zákazníka, telefon),
• že žádáte o výmaz podle čl. 17 GDPR,
• rozsah: všechny údaje, nebo jen některé (např. profil, fotografie, marketingové údaje),
• důvod, například odvolání souhlasu nebo ukončení smluvního vztahu,
• požadavek, aby správce informoval příjemce, kterým údaje předal (čl. 19 GDPR),
• žádost o písemné potvrzení provedení výmazu.

Lhůta a poplatky

Správce musí na žádost reagovat bez zbytečného odkladu, nejpozději do jednoho měsíce od jejího obdržení. Ve složitých případech nebo při velkém množství žádostí může lhůtu prodloužit o další dva měsíce, musí vás však o tom do měsíce informovat i s důvody (čl. 12 odst. 3 GDPR).

Vyřízení žádosti je zdarma. Poplatek nebo odmítnutí přichází v úvahu jen u zjevně nedůvodných nebo nepřiměřených žádostí, typicky opakovaných (čl. 12 odst. 5). Pokud má správce důvodné pochybnosti o vaší totožnosti, může si vyžádat doplňující údaje. Nesmí ale požadovat víc, než je nutné.

Výmaz z vyhledávačů

Soudní dvůr EU v rozsudku Google Spain (C-131/12) dovodil, že provozovatel vyhledávače může být povinen odstranit z výsledků vyhledávání podle jména odkazy na stránky s nepřesnými, neaktuálními nebo nepřiměřenými informacemi. Vyhledávače k tomu mají vlastní formuláře. Původní článek na webu tím nezmizí, jen se přestane zobrazovat při hledání vašeho jména.

Vyhledávač žádost posuzuje proti veřejnému zájmu na informaci. U veřejně činných osob nebo nedávných událostí bývá úspěch menší.

Co dělat, když firma neodpoví

Pokud správce v termínu nereaguje, odmítne bez důvodu nebo vám dál posílá obchodní sdělení, můžete podat stížnost u Úřadu pro ochranu osobních údajů. Přiložte kopii žádosti, doklad o odeslání a případnou odpověď. Úřad může správci uložit nápravu i pokutu. Nároky na náhradu újmy uplatníte u soudu.

U nevyžádaných obchodních sdělení se vyplatí kromě výmazu také odvolat souhlas a podat námitku proti přímému marketingu. Po námitce už správce údaje k marketingu zpracovávat nesmí (čl. 21 odst. 3).

Přístup, oprava, výmaz: co zvolit

Pokud nevíte, jaké údaje o vás firma má, začněte žádostí o přístup podle čl. 15 GDPR. Odpověď vám ukáže rozsah dat, účely i příjemce, a výmaz pak můžete cílit přesněji. Jsou-li údaje jen nepřesné, stačí žádost o opravu. Pokud data potřebujete zachovat jako důkaz, například pro soudní spor, požádejte místo výmazu o omezení zpracování (čl. 18).

Jak s návodem a vzorem pracovat

Tento článek popisuje obecná pravidla a typické situace. Každý případ má ale své podrobnosti: co přesně stojí ve vaší smlouvě, jak spolu strany komunikovaly, jaké máte doklady. Před odesláním dokumentu si proto znovu projděte vlastní smlouvu nebo obchodní podmínky a porovnejte je s tím, co se dočtete zde.

Vzor ve Vzorovce vám ušetří psaní a pomůže nezapomenout na důležité údaje. Nenahrazuje ale posouzení konkrétní situace. Pokud jde o vyšší částky, spor, který už eskaluje, nebo nestandardní ujednání, obraťte se na advokáta, notáře nebo spotřebitelskou poradnu.

Příklady z praxe

Zrušili jste účet na sociální síti nebo seznamce: služba musí smazat profil, fotografie a zprávy, pokud je nepotřebuje k jinému zákonnému účelu. Odhlásili jste se z věrnostního programu obchodu: obchod smaže historii nákupů vedenou pro program, ale doklady o samotných nákupech si ponechá po dobu stanovenou zákonem.

Bývalý zaměstnavatel smí některé personální údaje uchovávat kvůli povinnostem v oblasti sociálního zabezpečení a daní. Nemá ale důvod dál uchovávat například kopie dokladů, které nepotřebuje, nebo uchazečské materiály z výběrového řízení, které skončilo.