Žiadosť o vymazanie osobných údajov (GDPR): kedy na výmaz máte právo a ako postupovať

Starý zákaznícky účet v e-shope, vernostná karta, ktorú už nepoužívate, reklamné e-maily od firmy, s ktorou ste nikdy nič nemali. Nariadenie GDPR vám dáva právo na vymazanie osobných údajov, známe aj ako právo na zabudnutie (čl. 17). Nie je však bezpodmienečné – firma ho musí splniť len z dôvodov, ktoré nariadenie uvádza.

Stručne: pošlite firme písomnú žiadosť s uvedením dôvodu výmazu podľa čl. 17 ods. 1 GDPR. Musí odpovedať do jedného mesiaca (v zložitých prípadoch môže lehotu predĺžiť o ďalšie dva mesiace, ak vás o tom informuje). Vybavenie je bezplatné. Ak nereaguje, podajte návrh Úradu na ochranu osobných údajov SR.

Kedy máte na výmaz právo

Prevádzkovateľ musí údaje vymazať bez zbytočného odkladu, ak platí aspoň jeden z dôvodov (čl. 17 ods. 1 GDPR): | Dôvod | Typická situácia | |---|---| | údaje už nie sú potrebné na účel, na ktorý sa získali | zrušený účet, skončená súťaž, neúspešný uchádzač o prácu | | odvolali ste súhlas a iný právny základ neexistuje | newsletter, fotografie na webe, marketing | | podali ste námietku a prevádzkovateľ nemá prevažujúce oprávnené dôvody | profilovanie, priamy marketing | | údaje sa spracúvali nezákonne | firma vás zaradila do databázy bez právneho základu | | výmaz ukladá zákon | uplynula zákonná doba uchovávania | | údaje dieťaťa získané pri službách informačnej spoločnosti | účet na sociálnej sieti založený v detstve |

Kedy firma vymazať nemusí

Výmaz sa neuplatní v rozsahu, v akom je spracúvanie potrebné (čl. 17 ods. 3 GDPR) najmä:

• na splnenie zákonnej povinnosti – faktúry a účtovné doklady musí firma uchovávať podľa účtovných a daňových predpisov,
• na preukazovanie, uplatňovanie alebo obhajovanie právnych nárokov – napríklad pri neuhradenej faktúre či prebiehajúcej reklamácii,
• na uplatnenie práva na slobodu prejavu a na informácie,
• na účely vo verejnom záujme, vedeckého či historického výskumu alebo štatistiky, ak by výmaz tieto účely znemožnil.

V takom prípade musí firma vymazať aspoň zvyšok údajov (napríklad marketingový profil) a informovať vás, čo si ponechala a prečo.

Postup krok za krokom

1. Zistite správneho adresáta. V zásadách ochrany osobných údajov na webe firmy nájdete prevádzkovateľa a často aj kontakt na zodpovednú osobu (DPO).
2. Pripravte identifikačné údaje – meno, e-mail, zákaznícke číslo, číslo vernostnej karty. Firma vás musí vedieť nájsť v systéme; pri dôvodných pochybnostiach môže overiť totožnosť.
3. Uveďte dôvod výmazu. Bez dôvodu podľa čl. 17 ods. 1 môže firma žiadosť odmietnuť.
4. Spresnite rozsah. Ak chcete zrušiť aj účet, newsletter či vernostný program, napíšte to výslovne.
5. Požiadajte o informovanie príjemcov. Prevádzkovateľ musí výmaz oznámiť každému, komu údaje poskytol, ak to nie je nemožné alebo neprimerane náročné, a na požiadanie vám príjemcov oznámiť (čl. 19 GDPR). Pri zverejnených údajoch požiadajte aj o informovanie ďalších prevádzkovateľov (čl. 17 ods. 2).
6. Odošlite preukázateľne – e-mailom zodpovednej osobe alebo doporučene. Lehota 1 mesiac plynie od doručenia.

Žiadosť pripravíte v generátore: žiadosť o vymazanie osobných údajov.

Súvisiace práva

• Neviete, aké údaje o vás firma má? Najprv pošlite žiadosť o prístup k osobným údajom (čl. 15). Prvú kópiu musí poskytnúť bezplatne.
• Chcete len zastaviť reklamu? Stačí námietka proti spracúvaniu a priamemu marketingu. Pri priamom marketingu je námietka absolútna – firma musí s marketingom prestať.
• Dali ste súhlas? Môžete ho kedykoľvek odvolať, rovnako jednoducho, ako ste ho udelili.
• Údaje sú nesprávne? Pošlite žiadosť o opravu osobných údajov.
• Údaje sú sporné a nechcete ich hneď zmazať? Zvážte žiadosť o obmedzenie spracúvania.

Keď firma nereaguje alebo odmietne

Do jedného mesiaca vás musí informovať o prijatých opatreniach, alebo o dôvodoch, prečo nekonala, a o možnosti podať návrh dozornému orgánu (čl. 12 ods. 4 GDPR). Ak sa tak nestane:

1. Pošlite krátku urgenciu s odkazom na pôvodnú žiadosť.
2. Podajte návrh na začatie konania na Úrade na ochranu osobných údajov SR. Konanie je bezplatné. Priložte kópiu žiadosti a dôkaz o jej doručení – zákon č. 18/2018 Z. z. vyžaduje doklad, že ste právo najprv uplatnili u prevádzkovateľa. Úrad návrh odloží, ak od udalosti uplynuli viac ako tri roky.

Úrad môže firme uložiť nápravu aj pokutu. Náhradu škody vám však nepriznáva – tú by ste museli uplatniť na súde.

Časté chyby

• Žiadosť bez dôvodu výmazu alebo s nejasným rozsahom („vymažte ma zo všetkého“).
• Žiadosť poslaná na všeobecný zákaznícky kontakt bez dôkazu o doručení.
• Očakávanie, že firma vymaže aj faktúry či zmluvy, ktoré musí zo zákona uchovávať.
• Návrh na úrad bez predchádzajúcej žiadosti u prevádzkovateľa.

Vytvorte dokument online

V DSDATA Dokumenty vyberiete dôvod výmazu, vyplníte údaje o firme a o sebe a hneď zadarmo uvidíte náhľad. Hotovú žiadosť vo Worde a PDF zaplatíte kartou za kus, bez registrácie – ceny nájdete v cenníku. Všetky GDPR žiadosti sú v oblasti Osobné údaje a GDPR.

Časté otázky

Do kedy musí firma vymazať moje údaje?

Bez zbytočného odkladu, odpovedať musí najneskôr do jedného mesiaca od doručenia žiadosti. V zložitých prípadoch môže lehotu predĺžiť o ďalšie dva mesiace, musí vám to však v prvom mesiaci oznámiť aj s dôvodmi.

Môže si firma za výmaz účtovať poplatok?

Spravidla nie, vybavenie je bezplatné. Poplatok alebo odmietnutie prichádza do úvahy len pri zjavne neopodstatnených alebo neprimeraných, najmä opakovaných žiadostiach.

Musí firma vymazať aj faktúry?

Nie. Účtovné a daňové doklady musí uchovávať podľa zákona. Ostatné údaje, napríklad marketingový profil, vymazať musí.

Môžem o výmaz požiadať ústne?

Zákon formu žiadosti nepredpisuje, no bez písomnej žiadosti len ťažko preukážete, kedy ste o výmaz požiadali. Pošlite ju e-mailom alebo doporučene.

Ako dlho trvá konanie na Úrade na ochranu osobných údajov?

Úrad rozhodne spravidla do 90 dní od začatia konania, v odôvodnených prípadoch môže lehotu predĺžiť.