Az európaiakat megilleti a felejtés joga

2018. május 25-től kötelező minden, az EU-n belül működő vállalat számára az új uniós általános adatvédelmi rendeletben (General Data Protection Regulation - GDPR) előírtak betartása. A jogszabály szigorú követelményeket támaszt, és számos területre kiterjed. Az informatikai gyártók már most azon dolgoznak, hogy megkönnyítsék a vállalatok számára az átállást - hívta fel a figyelmet a NetIQ Novell SUSE Magyarországi Képviselet.
 
A törléshez való jog, más néven „felejtés joga" kérdésköre először egy 2010-es eset kapcsán merült fel, amikor egy spanyol állampolgár panasszal fordult a helyi adatvédelmi hivatalhoz. Évekkel korábban egy rendezetlen adósság miatt lefoglalták és árverezésre bocsátották a házát, és erről egy hirdetmény is megjelent a helyi újságban. Az ügyet azóta rendezte, ezért kifogásolta, hogy a nevére rákeresve a Google még mindig megtalálja a hirdetményt. Egyrészt azt szerette volna elérni, hogy az újság törölje az adott oldalt, vagy változtassa meg a tartalmát úgy, hogy az ő személyes adatai ne jelenjenek meg. Másrészt azt akarta, hogy a Google Spain vagy a Google Inc. köteles legyen törölni a rá vonatkozó személyes adatokat, és azok többé ne legyenek elérhetők a kereső találatai között.

 
Homályos feltételek

A spanyol hivatal az Európai Unió Bíróságához fordult, mivel a kéréssel kapcsolatban több kérdés is felmerült. Például, hogy az akkor érvényben lévő, 1995-ben megalkotott adatvédelmi direktíva érvényes-e az olyan keresőmotorokra is, mint a Google, illetve olyan vállalatokra is, mint például a Google Spain, amelynek adatfeldolgozó szerverei az USA területén működnek. Továbbá az sem volt egyértelmű, jogosult-e ilyen jellegű törlés kérésére a felhasználó. A Bíróság állásfoglalása végül azt mondta ki, hogy az EU előírások mindenképpen érvényesek az EU területén belül működő szervezetekre, a személyes adatok tárolásának megszüntetéséhez való jog értelmezése során pedig több különböző szempontot kell figyelembe venni, köztük a szólás szabadságát, illetve azt is, hogy a szóban forgó személyes információ pontatlan, hiányos, irreleváns vagy éppen túlzó-e.
 
A Bíróság döntése alapján az európai polgárok jogosultak kérvényezni a rájuk vonatkozó, már nem releváns információk törlését az olyan keresővállalatoktól, amelyek bevételt szereznek az információk gyűjtéséből, így például a Google-től is. Ezt követően a Google közzétett egy online adatlapot, amelyen keresztül a felhasználók kérvényezhetik az ilyen jellegű adatok törlését. Az első napon, 2014. május 31-én összesen több mint 12.000 kérés érkezett a keresőóriáshoz.
 
Felejteni kötelező

A spanyol eset is arra mutatott rá, hogy az érvényben lévő szabályozás elavult, és pontos kereteket kell szabni az adatvédelemben. A GDPR ezért részletesen foglalkozik a törléshez való joggal, és ez már jóval túlmutat azon, mi jelenhet meg egy webes keresőben. A szabályozás minden vállalatra érvényes, amely valamilyen módon személyes adatokat kezel, és pontosan kimondja, hogy a cég milyen esetekben köteles törölni azokat a felhasználó kérésére.

Megfelelő indok lehet többek között az adattörlési kérésre, ha az információra már nincs szükség arra a célra, amelyre gyűjtötték vagy más módon kezelték, illetve, ha az érintett visszavonja hozzájárulását, és az adatkezelésnek nincs más jogalapja. Ennek megfelelően számos vállalatnak ilyen szempontból is át kell gondolnia az ügyfelek adatainak kezelését, valamint azt, hogy miként képes eleget tenni az ilyen jellegű kéréseknek, és hogyan tudja adott esetben igazolni is azt a későbbiekben.