Правото да бъдеш забравен в контекста на новия Регламент за защита на личните данни (ЕС) 2016/679

Защитата на лични данни става все по-актуална тема в ерата на модерните технологии, които предоставят неограничени възможности на хората – от това да бъдеш разпознат с пръстов отпечатък или лицеви данни, за да получиш достъп до съдържанието на мобилния си телефон, до възможността да поддържаш виртуални бази данни, които да управляваш дистанционно и да оперираш с огромни количества информация.

Именно, за да гарантират максимална защита на интернет потребителите и всички онези физически лица, чиито лични данни подлежат на обработка, Европейският Парламент и Съвета приеха Регламент (ЕС) 2016/679 (познат като GDPR). Експертите от Консултантска къщa Велинов и партньори обръщат внимание върху една от съществените промени, които се въвеждат с влизането му в сила през май 2018 г., а именно така нареченото „право да бъдеш забравен“ (“Right to be forgotten”).

Към настоящия момент, актуалният Закон за защита на личните данни, на който се подчиняват администраторите на лични данни в България, предвижда възможност за всяко физическо лице да поиска заличаването на личните си данни, когато обработването им не отговаря на изискванията на този закон. Така формулираната разпоредба ограничава възможностите на субектите на лични данни да защитят личните си данни, когато преценят, че вече не желаят същите да бъдат обработвани (например когато целта за това е отпаднала или самите те желаят да оттеглят съгласието си).

Новият Регламент предвижда сходно право на изтриване (представено като „правото да бъдеш забравен“) в полза на субектите на лични данни, но разширява неговия обхват, тъй като тези субекти ще разполагат с възможността да подадат пред всеки администратор искане за изтриване на свързаните с тях лични данни без ненужно забавяне в няколко предвидени хипотези, една от които е оттегляне на съгласието на субекта, на което се основава обработването на данните.

В такава хипотеза Регламентът отбелязва, че администраторът, който е направил личните данни обществено достъпни, следва да уведоми администраторите, които обработват такива лични данни да изтрият всякакви връзки към тях. Това би означавало, че ако в определен момент сме разрешили на уебсайт да излага наша снимка с конкретна за този момент цел, но искаме „да бъдем забравени“ – можем да отправим искане до издателя на уебсайта да изтрие снимката и да уведоми всички компании, собственици на автоматични каталози на търсачки, които индексират съдържанието, да прекратят достъпа до конкретния линк. Това може да бъде осъществено чрез посочване на протоколи за изключване като „robot.txt” или на кодове като “noindex” или „noarchive”. Издателят на уебсайта може да се възползва от предвидените в националното законодателство дерогации, за да откаже подобно действие (във връзка със свободата на изразяване на мнение и свободата на информация, включително за журналистически, академични, художествени или литературни цели).

Още преди приемането на GDPR Съдът на Европейския съюз Case C-131/12 of 13 May 2014 Google Spain SL, Google Inc. v Agencia Española de Protección de Datos, Mario Costeja González се произнесе по няколко много важни въпроса, свързани с правото на субектите на лични данни да бъдат забравени, обективирано в Директива 95/46/ЕО. Един от тях е свързан със заключението, че извършваните дейности от търсачки (Google в конкретното решение) представляват обработка на лични данни, която може да засегне значително основните права на личен живот и на защита на личните данни, тъй като улеснява потребителите в изграждането на подробен профил на съответното лице.В допълнение, Съдът достигна до извод, че в случай на искане от субект на лични данни, лицето, което управлява интернет търсачка, е длъжно да заличи конкретното индексиране от списъка на резултатите, който се показва след търсене въз основа на име на лице, както и връзки към уебстраници, които са публикувани от трети лица и съдържат информация относно последното.

Освен въвеждането на право на забрана за субектите на лични данни, Регламентът посочва и няколко специфични хипотези, въз основа на които администраторите ще имат възможност да откажат изтриване на конкретни лични данни, когато тяхното обработване е за целите на архивирането в обществен интерес, за научни или исторически изследвания или за статистически цели.

Очаква се внасянето на проектозакон за изменение и допълнение на Закона за защита на личните данни, който ще конкретизира, разясни и уреди на национално ниво много от разпоредбите на Регламента.