Hvad betyder retten til at blive glemt

Retten til at blive glemt er en ret under GDPR. Den giver dig mulighed for at bede en virksomhed slette de personoplysninger, den har om dig.

Navnet stammer fra en EU-domstolssag mod Google i 2014. Sagen handlede om, hvorvidt en spanier kunne kræve gamle, irrelevante oplysninger om sig selv fjernet fra søgeresultater. Domstolen sagde ja, under visse betingelser.

I dag er retten skrevet ind i selve GDPR-forordningen, artikel 17. Juridisk hedder den "retten til sletning", men "retten til at blive glemt" er det navn, de fleste kender.

Vigtigt at forstå: det er ikke en ret til at slette alt, du ikke bryder dig om. Det er en ret, der gælder under bestemte betingelser, og med bestemte undtagelser. Begge dele gennemgår vi her.

Hvornår gælder den

Retten til at blive glemt gælder, når mindst én af disse situationer er opfyldt:

  • Formålet er væk. Virksomheden har ikke længere brug for dine data til det, de oprindeligt blev indsamlet til.
  • Du trækker samtykket tilbage. Behandlingen var baseret på dit samtykke, og du har nu trukket det, uden anden lovhjemmel til at fortsætte.
  • Du gør indsigelse. Du protesterer mod behandlingen, og virksomheden har ingen tungtvejende, legitim grund til at fortsætte alligevel.
  • Databehandlingen er ulovlig. Dine data er blevet behandlet i strid med GDPR fra start.
  • Sletning er et lovkrav. En anden lov pålægger virksomheden at slette dataene.
  • Data om børn, indsamlet til informationstjenester. Særligt relevant ved samtykke givet som mindreårig.

I praksis rammer det meste af det, der generer almindelige danskere, ind under de tre første punkter: gamle profiler hos datamæglere, kontaktoplysninger hos oplysningstjenester, eller data hos virksomheder, du ikke længere er kunde hos.

Hvornår gælder den ikke (undtagelser, ærligt)

Her bliver mange skuffede. Retten til at blive glemt er ikke absolut. GDPR artikel 17, stk. 3, lister flere undtagelser, og de bruges aktivt af virksomheder og myndigheder.

Lovpligtige registre kan ikke slettes. CVR-registret er det tydeligste eksempel. Er du registreret som ejer eller direktør i et selskab, står det der, så længe forholdet består eller loven kræver det. Det samme gælder BBR og tingbogen: oplysninger om fast ejendom er offentligt tilgængelige af lovmæssige grunde, og du kan ikke bede dig ud af dem.

Retlige forpligtelser vinder. Skal en virksomhed gemme dine data for at overholde bogføringsloven, hvidvaskloven eller anden lovgivning, kan den nægte at slette, så længe opbevaringspligten løber.

Ytrings- og informationsfrihed. Data behandlet til journalistik, kunstneriske eller litterære formål er ofte undtaget, fordi hensynet til den frie presse vejer tungere.

Retskrav. Har virksomheden brug for dataene for at fastlægge, gøre gældende eller forsvare et retskrav, for eksempel i en verserende tvist, kan den beholde dem.

Offentlighedens interesse eller arkivformål. Videnskabelig forskning, statistik og visse arkivopgaver i samfundets interesse kan også begrunde et afslag.

Kort sagt: en berettiget, lovlig registrering slettes ikke, bare fordi du beder om det. Det gælder RKI-registreringer for reel gæld, CVR-oplysninger om aktive selskaber og lignende. Her handler retten typisk om noget andet, indsigt, berigtigelse eller indsigelse mod markedsføring, snarere end sletning.

Sådan bruger du den

Er du i tvivl om, hvorvidt din situation er dækket, er næste skridt at sende en konkret anmodning til den dataansvarlige. Selve fremgangsmåden, hvad en gyldig sletteanmodning skal indeholde, og hvordan du følger op, hvis virksomheden ikke svarer inden for fristen, har vi samlet på GDPR artikel 17.

Vil du undgå at skrive anmodninger til hver enkelt virksomhed selv, sender og følger Privio op på dem for dig efter GDPR. Se hvordan på sådan virker det, eller start med en gratis scan for at se, hvor dine data ligger.