Consideraţii generale asupra dreptului la ştergerea datelor cu caracter personal

Situaţiile în care persoana vizată nu poate obţine din partea operatorului ștergerea datelor cu caracter personal care o privesc

În primul rând, potrivit art. 17 alin. (3) lit. a) din GDPR, ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea datelor este necesară pentru exercitarea dreptului la liberă exprimare şi la informare. Totuşi, drepturile la liberă exprimare şi la informare nu constituie un impediment absolut în calea exercitării dreptului la uitare, în special ca urmare a exercitării dreptului la opoziţie, la fel cum nici dreptul la protecția datelor cu caracter personal nu este un drept absolut, ci, potrivit considerentului (4), toate aceste drepturi trebuie luate în considerare în raport cu funcția pe care o îndeplinesc în societate și echilibrate cu alte drepturi fundamentale.

Prin urmare, persoana vizată nu va obţine ştergerea datelor sale cu caracter personal decât în măsura în care dreptul la liberă exprimare şi la informare ar prevala asupra intereselor sau a drepturilor și libertăților fundamentale ale persoanei vizate, şi implicit asupra dreptului persoanei vizate de a fi uitată. În toate celelalte cazuri operatorul va avea obligaţia de a şterge datele cu caracter personal fără întârzieri nejustificate.

În acest sens, într-o decizie de speţă Curtea de casaţie belgiană a admis că dreptul la uitare exercitat împotriva editorului paginii web poate prevala asupra libertăţii de exprimare a presei şi implicit asupra libertăţii de informare^[19]. Pe de altă parte, tot într-o decizie de speţă, Curtea de casaţie franceză a statuat în sensul că dreptul la uitare excede restricţiile care pot fi aduse libertăţii presei^[20]. Prin urmare, echilibrul dintre libertatea presei şi respectarea vieţii private impune o analiză de la caz la caz, ceea ce poate conduce la decizii divergente mai ales în funcţie de temeiul juridic ales şi de particularităţile speţei.

În al doilea rând, potrivit art. 17 alin. (3) lit. b) din GDPR, ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea este necesară pentru respectarea unei obligații legale care prevede prelucrarea în temeiul dreptului Uniunii sau al dreptului intern care se aplică operatorului sau pentru îndeplinirea unei sarcini executate în interes public sau în cadrul exercitării unei autorități oficiale cu care este învestit operatorul. De exemplu, operatorii care-şi desfăşoară activitatea în sectorul privat de multe ori sunt obligaţi prin lege să prelucreze date despre alte persoane, precum se întâmplă în cazul medicilor şi al spitalelor private care pot avea obligaţia legală de a stoca datele privind tratamentul pacienţilor pentru mai mulţi ani sau în cazul angajatorilor care trebuie să prelucreze datele angajaţilor din motive de securitate socială şi fiscală, ori al întreprinderilor care trebuie să prelucreze datele clienţilor din motive de impozitare^[21].

În al treilea rând, potrivit art. 17 alin. (3) lit. c) din GDPR, ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea este necesară din motive de interes public în domeniul sănătății publice, în conformitate cu art. 9 alin. (2) lit. (h) și (i) și cu art. 9 alin. (3). Deşi nu se poate obţine ştergerea acestora, în cazul prelucrării prevăzute la art. 9 alin. (2) lit. h) din GDPR s-au instituit garanţii suplimentare, astfel că datele pot fi prelucrate numai de către un profesionist supus obligației de păstrare a secretului profesional sau sub responsabilitatea acestuia, ori de o altă persoană supusă, de asemenea, unei obligații de confidențialitate în temeiul dreptului Uniunii sau al dreptului intern ori al normelor stabilite de organisme naționale competente. La fel, prelucrarea prevăzută la art. 9 alin. (2) lit. i) din GDPR trebuie însoţită de măsuri adecvate și specifice pentru protejarea drepturilor și libertăților persoanei vizate, în special a secretului profesional. Bineînţeles, de îndată ce motivele de interes public în domeniul sănătății publice nu mai există se va putea cere de către persoana vizată şi ştergerea acestor date.

Potrivit expunerii de motive la legea privind modificarea cadrului legislativ privind dosarul electronic de sănătate al pacientului^[22], realizarea şi implementarea acestuia este de utilitate publică de interes naţional iar crearea sa are loc fără consimţământul pacientului, în conformitate cu prevederile art. 9 alin. (2) lit. h) şi i) din Regulamentul general privind protecția datelor. Însă, deşi ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea este necesară din motive de interes public în domeniul sănătății publice, protejarea şi garantarea dreptului la viaţă intimă, familială şi privată a pacientului a impus reglementarea dreptului pacienţilor de a refuza în mod expres utilizarea dosarului electronic de sănătate. Practic, datele medicale nu sunt șterse, ci toate datele existente în dosarul electronic de sănătate al pacientului, constituit în condiţiile art. 346¹ alin. (3) din Legea nr. 95/2006^[23], precum şi datele ce se colectează ulterior refuzului exprimat se anonimizează^[24], astfel încât pacientul respectiv să nu poată fi identificat în sistemul dosarului electronic de sănătate, datele fiind utilizate în scopuri de arhivare în interes public, în scopuri de cercetare ştiinţifică sau istorică ori în scopuri statistice.

În al patrulea rând, potrivit art. 17 alin. (3) lit. d) din GDPR, ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea este necesară în scopuri de arhivare în interes public, în scopuri de cercetare științifică sau istorică ori în scopuri statistice, în conformitate cu art. 89 alin. (1) din GDPR, în măsura în care dreptul la ştergerea datelor este susceptibil să facă imposibilă sau să afecteze în mod grav realizarea obiectivelor prelucrării respective. În atare situaţie, potrivit Grupului de Lucru Art. 29, operatorul pentru a se putea opune cererii persoanei vizate trebuie să demonstreze că ştergerea datelor cu caracter personal ar avea ca efect anularea obiectivelor prelucrării^[25]. Per a contrario, atunci când exercitarea dreptului la uitare nu ar avea acest efect, ștergerea datelor va trebui pusă în operă.

În al cincilea rând, potrivit art. 17 alin. (3) lit. e) din GDPR, ştergerea datele cu caracter personal nu poate fi obţinută atunci când prelucrarea este necesară pentru constatarea, exercitarea sau apărarea unui drept în instanță. Evident este vorba de menţinerea datelor cu caracter personal ale persoanei vizată în interesul unei terțe persoane care are nevoie de respectivele date în cadrul unei proceduri judiciare.

În completarea art. 19 din GDPR care obligă operatorul să notifice cu privire la ştergere fiecare destinatar căruia, anterior ştergerii, i-au fost divulgate datele cu caracter personal, art. 17 alin. (2) din GDPR impune operatorului să ia măsuri rezonabile, inclusiv măsuri tehnice – ținând seama de tehnologia disponibilă și de costul implementării – pentru a informa operatorii care prelucrează datele cu caracter personal cu privire la faptul că persoana vizată a solicitat ștergerea de către acești operatori a oricăror linkuri către datele respective sau a oricăror copii sau reproduceri ale acestor date cu caracter personal.

Noţiunea de „măsuri rezonabile” trebuie privită în contextul mai larg al obligaţiei operatorilor de a avea în vedere protejarea drepturilor persoanelor vizate pe parcursul întregului ciclu al prelucrării datelor astfel încât să poată fi asigurată trasabilitatea datelor cu caracter personal oricând pe parcursul prelucrării potrivit principiului protecției datelor începând cu momentul conceperii și cel al protecției implicite a datelor.

În încheiere precizăm că, potrivit art. 7 din Legea nr. 190/2018^[26], în vederea asigurării unui echilibru între dreptul la protecţia datelor cu caracter personal, pe de o parte, şi libertatea de exprimare şi dreptul la informaţie, pe de altă parte, prelucrarea datelor cu caracter personal realizată în scopuri jurnalistice sau în scopul exprimării academice, artistice sau literare, poate fi efectuată prin derogare de la dreptul la ştergerea datelor^[27], însă numai atunci când datele respective fie au fost făcute publice în mod manifest de către persoana vizată, fie este vorba de date care sunt strâns legate de calitatea de persoană publică a persoanei vizate ori de caracterul public al faptelor în care este implicată.

Totuşi, nici în atare situaţii nu excludem posibilitatea persoanei vizate de a se prevala, mai devreme sau mai târziu, de beneficiul dreptului la uitare iar acesta întrucât dacă dreptul la protecția datelor cu caracter personal nu este un drept absolut – acesta fiind luat în considerare în raport cu funcția pe care o îndeplinește în societate și echilibrat cu alte drepturi fundamentale, în conformitate cu principiul proporționalității – şi reciproca trebuie să se verifice.