derecho al olvido o supresion de datos personales

Du kan udøve retten, når oplysningerne ikke længere er nødvendige, du trækker dit samtykke tilbage, de er ulovligt behandlet, eller du gør indsigelse mod behandlingen.

H2: Retten til at blive glemt eller sletning af personoplysninger: En dybdegående guide

Retten til at blive glemt eller sletning af personoplysninger: En dybdegående guide

Retten til at blive glemt, også kendt som retten til sletning ("right to erasure" på engelsk), er en fundamental rettighed, der er forankret i Artikel 17 i GDPR (Databeskyttelsesforordningen) og andre databeskyttelseslove. Denne rettighed giver individer kontrol over deres personoplysninger og sikrer, at disse oplysninger ikke opbevares unødigt eller anvendes i strid med lovgivningen.

Personoplysninger dækker enhver form for information, der kan henføres til en identificeret eller identificerbar fysisk person. Dette inkluderer eksempelvis navn, adresse, e-mail, IP-adresse og billeder. Formålet med retten til at blive glemt er at beskytte individets privatliv og give mulighed for at fjerne information, der ikke længere er relevant, nøjagtig eller lovlig at opbevare.

Denne guide vil give dig en dybdegående forståelse af retten til at blive glemt. Vi vil undersøge:

• Hvornår retten kan udøves i henhold til GDPR.
• Hvordan man anmoder om sletning af sine personoplysninger.
• Hvilke undtagelser der gælder for retten til at blive glemt.
• Hvilke forpligtelser dataansvarlige har i forbindelse med sletningsanmodninger.

Ved at læse denne guide vil du være bedre rustet til at forstå og udøve din ret til at blive glemt og sikre, at dine personoplysninger behandles i overensstemmelse med lovgivningen.

H2: GDPR og retten til at blive glemt: Det juridiske grundlag

GDPR og retten til at blive glemt: Det juridiske grundlag

GDPR, eller databeskyttelsesforordningen (Europa-Parlamentets og Rådets forordning (EU) 2016/679), giver enkeltpersoner en stærk ret til at få slettet deres personoplysninger, ofte omtalt som 'retten til at blive glemt'. Artikel 17 i GDPR fastlægger denne ret og angiver specifikke grunde, hvorunder en sletningsanmodning kan fremsættes. Disse omfatter:

• Data ikke længere nødvendige: Hvis personoplysningerne ikke længere er nødvendige for det formål, de oprindeligt blev indsamlet til.
• Tilbagetrækning af samtykke: Hvis behandlingen er baseret på samtykke, og dette samtykke trækkes tilbage.
• Ulovlig databehandling: Hvis personoplysningerne er blevet behandlet ulovligt.
• Overholdelse af juridisk forpligtelse: Hvis sletningen er nødvendig for at overholde en retlig forpligtelse i EU-retten eller national ret.
• Indsigelse mod behandling til direkte markedsføring: Hvis den registrerede gør indsigelse mod behandlingen til direkte markedsføring.
• Oplysninger om børn: Hvis personoplysningerne er indsamlet i forbindelse med udbud af informationssamfundstjenester direkte til et barn, jf. artikel 8.

Det er vigtigt at bemærke, at retten til sletning ikke er absolut. Artikel 17, stk. 3, i GDPR fastlægger undtagelser, hvor retten ikke gælder, f.eks. hvis behandlingen er nødvendig for at udøve retten til ytrings- og informationsfrihed, for at overholde en retlig forpligtelse, af hensyn til vigtige samfundsinteresser, eller for at retskrav kan fastlægges, gøres gældende eller forsvares.

H3: Betingelser for at udøve retten til at blive glemt

Betingelser for at udøve retten til at blive glemt

For at en anmodning om sletning i henhold til GDPR artikel 17 kan godkendes, skal en række betingelser være opfyldt. Først og fremmest skal den dataansvarlige verificere identiteten på den person, der fremsætter anmodningen. Dette gøres typisk ved hjælp af dokumentation som f.eks. kopi af pas, kørekort eller anden officiel legitimation. Ved digital kommunikation kan stærkere autentificeringsmetoder som f.eks. NemID eller digital signatur anvendes.

Dernæst skal mindst én af følgende betingelser være til stede:

• Dataene er ikke længere nødvendige for det formål, de oprindeligt blev indsamlet til.
• Den registrerede trækker sit samtykke tilbage (hvis behandlingen er baseret på samtykke, jf. GDPR artikel 6, stk. 1, litra a).
• Den registrerede gør indsigelse mod behandlingen (jf. GDPR artikel 21), og der ikke er legitime grunde til at fortsætte behandlingen.
• Dataene er blevet behandlet ulovligt.
• Dataene skal slettes for at overholde en retlig forpligtelse.

Hvis der er tvivl om dataenes nøjagtighed, kan den dataansvarlige anmode om yderligere dokumentation fra den registrerede. Den dataansvarlige skal imidlertid gøre en rimelig indsats for at verificere dataene, før de slettes. I tilfælde af uenighed om dataenes nøjagtighed, kan den registrerede have ret til at kræve, at behandlingen begrænses, indtil nøjagtigheden er fastlagt.

H3: Processen for at fremsætte en anmodning om sletning

Processen for at fremsætte en anmodning om sletning

For at udøve din ret til sletning (også kendt som "retten til at blive glemt" i henhold til Artikel 17 i GDPR), skal du følge disse trin:

1. Identificer den dataansvarlige: Find ud af, hvilken organisation eller virksomhed der behandler dine personoplysninger. Dette kan ofte findes på deres hjemmeside i deres privatlivspolitik.
2. Kontakt den dataansvarlige: Find kontaktoplysninger (e-mail, postadresse, telefonnummer) for den dataansvarlige eller deres databeskyttelsesrådgiver (DPO).
3. Indsend din anmodning: Formulér en skriftlig anmodning om sletning.

Her er et eksempel på et anmodningsbrev:

[Dit navn]
[Din adresse]
[Din e-mail]
[Dit telefonnummer]

[Dato]

[Dataansvarligs navn]
[Dataansvarligs adresse]

Emne: Anmodning om sletning af personoplysninger i henhold til GDPR Artikel 17

Jeg anmoder hermed om sletning af alle mine personoplysninger, som I behandler. Dette inkluderer (angiv specifikke typer data, f.eks. navn, adresse, e-mailadresse, kontonummer osv.).
Jeg henviser til Artikel 17 i GDPR som grundlag for min anmodning.

Med venlig hilsen,
[Din underskrift]
[Dit navn]

Dokumentation er vigtig: Gem en kopi af din anmodning og al korrespondance med den dataansvarlige som dokumentation. Dette kan være afgørende, hvis din anmodning afvises, og du skal klage til Datatilsynet.

H3: Dataansvarliges forpligtelser og tidsfrister

Dataansvarliges forpligtelser og tidsfrister

Når en dataansvarlig modtager en anmodning om sletning i henhold til GDPR Artikel 17 (retten til at blive glemt), har de en række forpligtelser. Først og fremmest skal den dataansvarlige vurdere anmodningen. Dette indebærer en verificering af identiteten på den person, der fremsætter anmodningen, samt en vurdering af, om betingelserne for sletning er opfyldt. Disse betingelser er beskrevet i GDPR Artikel 17, stk. 1, og omfatter blandt andet situationer, hvor dataene ikke længere er nødvendige til det formål, de oprindeligt blev indsamlet til, eller hvor den registrerede trækker sit samtykke tilbage.

Den dataansvarlige har som udgangspunkt én måned til at svare på anmodningen. Jf. GDPR Artikel 12, stk. 3, kan denne frist forlænges med yderligere to måneder, hvis anmodningen er særligt kompleks eller der modtages et stort antal anmodninger. I så fald skal den dataansvarlige dog informere den registrerede om forlængelsen inden for den første måned og begrunde forsinkelsen.

Den dataansvarlige skal informere den registrerede om, hvorvidt sletningen er blevet gennemført eller afvist. Hvis anmodningen afvises, skal afvisningen begrundes jf. GDPR Artikel 12. Begrundelsen skal være præcis og baseret på en lovlig undtagelse til retten til sletning (f.eks. retten til ytringsfrihed eller overholdelse af en retlig forpligtelse). Hvis dataene er blevet videregivet til andre dataansvarlige, har den oprindelige dataansvarlige også en forpligtelse til at underrette disse om sletningsanmodningen, jf. GDPR Artikel 19, medmindre dette viser sig umuligt eller indebærer en uforholdsmæssig stor indsats.

H2: Lokalt lovgivningsmæssigt rammeværk i Danmark

Lokalt lovgivningsmæssigt rammeværk i Danmark

Den danske databeskyttelseslov (Databeskyttelsesloven, Lov nr. 502 af 23/05/2018) supplerer GDPR og indeholder nationale specifikationer. Selvom GDPR giver rammen for databeskyttelse, præciserer Databeskyttelsesloven visse aspekter og tilpasser dem til dansk ret. Vedrørende retten til at blive glemt (retten til sletning, GDPR Artikel 17), indeholder Databeskyttelsesloven ingen væsentlige nationale særbestemmelser, der afviger fra GDPR's generelle principper. Dog skal danske dataansvarlige være særligt opmærksomme på Datatilsynets fortolkning af bestemmelserne, særligt vedrørende afvejningen mellem retten til sletning og andre rettigheder, som retten til ytringsfrihed.

Datatilsynet er den uafhængige tilsynsmyndighed i Danmark, der er ansvarlig for at håndhæve databeskyttelseslovgivningen. Datatilsynet behandler klager vedrørende sletningsanmodninger og kan udstede påbud til dataansvarlige, hvis de ikke overholder GDPR eller Databeskyttelsesloven. Datatilsynet har i flere vejledende udtalelser præciseret, at bevisbyrden for at en sletningsanmodning ikke kan imødekommes, ligger hos den dataansvarlige. Selvom der ikke findes et omfattende antal danske domsafgørelser specifikt vedrørende retten til at blive glemt, har Datatilsynets afgørelser og fortolkninger betydelig vægt i praksis. Man kan finde relevante afgørelser og vejledninger på Datatilsynets hjemmeside.

H3: Undtagelser og begrænsninger af retten til at blive glemt

Undtagelser og begrænsninger af retten til at blive glemt

Retten til at blive glemt er ikke absolut, og Databeskyttelsesforordningen (GDPR) indeholder specifikke undtagelser og begrænsninger. Disse undtagelser er designet til at afveje den enkeltes ret til privatliv mod andre legitime interesser og rettigheder.

Nogle af de væsentligste undtagelser omfatter:

• Ytrings- og informationsfrihed: Artikel 17(3)(a) i GDPR tillader, at retten til sletning kan tilsidesættes, hvis behandlingen er nødvendig for at udøve retten til ytrings- og informationsfrihed. Dette kan eksempelvis gælde for journalister eller bloggere.
• Retlig forpligtelse: Artikel 17(3)(b) undtager behandling, der er nødvendig for at overholde en retlig forpligtelse i henhold til EU-retten eller national ret.
• Almen interesse, videnskabelig eller historisk forskning og statistiske formål: Artikel 17(3)(d) giver mulighed for at fravige sletningsretten, hvis behandlingen er nødvendig af hensyn til almen interesse inden for arkivformål, videnskabelig eller historisk forskning eller statistiske formål.
• Retslige krav: Artikel 17(3)(e) undtager behandling, der er nødvendig for, at retskrav kan fastlægges, gøres gældende eller forsvares.

Ved vurderingen af, om en undtagelse finder anvendelse, skal den dataansvarlige foretage en konkret afvejning af den enkeltes ret til privatliv mod den interesse, der begrunder undtagelsen. Denne afvejning skal dokumenteres, og Datatilsynet kan efterprøve, om afvejningen er foretaget korrekt. Det er den dataansvarliges ansvar at bevise, at en undtagelse finder anvendelse, jf. Datatilsynets vejledende udtalelser.

H2: Mini Case Study / Praktisk indsigt

Mini Case Study / Praktisk indsigt

Lad os betragte "Eksempelvirksomheden A/S," der driver en online jobportal. En tidligere bruger, "Peter," anmoder om at blive slettet fra portalen i henhold til GDPR artikel 17 (retten til at blive glemt). Peter har ikke søgt job i tre år og ønsker ikke længere at være registreret.

Eksempelvirksomheden A/S er forpligtet til at vurdere Peters anmodning. De skal overveje, om de har et retmæssigt grundlag for at beholde hans data, f.eks. en lovmæssig forpligtelse eller en legitim interesse. Hvis Peter har givet samtykke til at modtage nyhedsbreve, skal dette samtykke trækkes tilbage, og hans data fjernes fra distributionslisten.

Udfordringer: Dokumentation for Peters samtykke kan være problematisk. Derudover skal Eksempelvirksomheden A/S sikre, at Peters data også slettes fra eventuelle backup-systemer, medmindre der er tungtvejende legitime grunde til at beholde dem (f.eks. revisionskrav).

Løsning: Implementering af en klar sletteprocedure, herunder automatiserede processer for identifikation og sletning af data efter en fastsat periode. Det er vigtigt at dokumentere alle vurderinger og handlinger vedrørende sletningsanmodningen for at demonstrere overholdelse af GDPR.

Læring: Organisationer skal have processer på plads for at håndtere sletningsanmodninger effektivt og juridisk korrekt. Det er afgørende at føre nøjagtig dokumentation og at foretage en konkret vurdering af hver anmodning for at sikre overholdelse af databeskyttelseslovgivningen.

H2: Fremtidsudsigter 2026-2030

Fremtidsudsigter 2026-2030

I perioden 2026-2030 forventes udviklingen inden for databeskyttelseslovgivning og -praksis, især vedrørende retten til at blive glemt (artikel 17 i GDPR), at blive stærkt påvirket af teknologiske fremskridt. AI og blockchain-teknologier vil sandsynligvis skabe både udfordringer og muligheder for implementeringen og håndhævelsen af denne rettighed.

Teknologiske fremskridt:

• AI: AI-drevne systemer, der analyserer store datamængder, kan gøre det lettere at identificere og slette data, men også skabe nye data-profiler, der kan være svære at slette fuldstændigt.
• Blockchain: Den immutabilitet, der kendetegner blockchain, kan gøre det vanskeligt at implementere retten til at blive glemt for data lagret på sådanne systemer. Løsninger kan inkludere kryptering eller udvikling af "redigerbare" blockchains.

Det er sandsynligt, at vi vil se yderligere præciseringer af GDPR, enten gennem nye lovgivningsinitiativer eller fortolkninger fra Den Europæiske Databeskyttelsesråd (EDPB) og nationale tilsynsmyndigheder. Etiske og samfundsmæssige overvejelser vil spille en central rolle i debatten. Spørgsmål som balancen mellem individets ret til privatliv og ytringsfriheden, samt bevarelsen af historiske data, vil kræve omhyggelig afvejning.

Organisationer bør forberede sig på en mere kompleks og dynamisk databeskyttelseslandskab og investere i teknologier og processer, der understøtter effektiv og ansvarlig datahåndtering.

H2: Konklusion: Navigering af retten til at blive glemt i Danmark

Konklusion: Navigering af retten til at blive glemt i Danmark

Navigering af retten til at blive glemt i Danmark, som er forankret i GDPR (artikel 17) og dansk databeskyttelseslov, kræver omhyggelig overvejelse fra både enkeltpersoner og organisationer. For enkeltpersoner er det afgørende at forstå sine rettigheder og de processer, der skal følges for at fremsætte en anmodning om sletning. Organisationer skal derimod forstå deres forpligtelser og implementere effektive procedurer for at behandle sådanne anmodninger i overensstemmelse med lovgivningen.

Det er vigtigt at huske, at retten til at blive glemt ikke er absolut. Der er undtagelser, herunder hensynet til ytringsfriheden, arkivformål i offentlighedens interesse, videnskabelige eller historiske forskningsformål eller statistiske formål, samt fastlæggelse, udøvelse eller forsvar af retskrav. Disse undtagelser skal vurderes nøje i hvert enkelt tilfælde.

Vigtige overvejelser:

• For enkeltpersoner: Forstå dine rettigheder og søg juridisk rådgivning, hvis du er usikker.
• For organisationer: Implementer klare politikker og procedurer for at håndtere anmodninger om sletning effektivt og inden for de tidsfrister, der er fastsat i GDPR.

For at sikre overholdelse af databeskyttelseslovgivningen opfordres virksomheder kraftigt til proaktivt at implementere politikker og procedurer, der muliggør en effektiv håndtering af anmodninger om sletning. Søg juridisk rådgivning for at sikre, at dine politikker er i overensstemmelse med den aktuelle lovgivning og praksis.