Oikeus tulla unohdetuksi on GDPR:n mukainen rekisteröidyn oikeus vaatia henkilötietojensa poistamista rekisterinpitäjältä. Tämä tietosuoja-asetuksen 17 artiklaan perustuva oikeus tarkoittaa, että yksityishenkilö voi tietyin edellytyksin pyytää organisaatiota poistamaan kaikki hänestä kerätyt ja tallennetut henkilötiedot. Oikeus ei ole ehdoton, vaan sille on säädetty sekä edellytykset että rajoitukset.
Monet yksityishenkilöt eivät tiedä, että heillä on konkreettinen oikeusperuste vaatia tietojensa poistamista, eikä pyyntöä tarvitse perustella pitkästi. Tämä tietämättömyys tarkoittaa käytännössä, että henkilötietoja voidaan säilyttää vuosia ilman asianmukaista perustetta. Tilanteen korjaamiseksi rekisteröidyn kannattaa tutustua tietosuoja-asetuksen rekisteröidyn oikeuksiin ja tehdä kirjallinen poistopyyntö suoraan rekisterinpitäjälle.
Poistopyyntö, joka ei viittaa oikeaan oikeusperusteeseen tai joka esitetään epämuodollisesti, voi johtaa siihen, että rekisterinpitäjä käsittelee sen puutteellisesti tai hylkää sen ilman riittäviä perusteluja. Tämä pitkittää prosessia ja voi jättää arkaluonteiset tiedot käsittelyn piiriin pidemmäksi aikaa. Selkeästi muotoiltu, GDPR:n 17 artiklaan viittaava kirjallinen pyyntö asettaa rekisterinpitäjälle selkeän velvollisuuden vastata kuukauden kuluessa.
Oikeus pyytää henkilötietojen poistamista on jokaisella luonnollisella henkilöllä, jonka tietoja rekisterinpitäjä käsittelee. Pyyntö voidaan esittää, kun käsittelylle ei enää ole perustetta, rekisteröity peruuttaa suostumuksensa, tietoja on käsitelty lainvastaisesti tai rekisteröity vastustaa käsittelyä eikä rekisterinpitäjällä ole painavampaa perustetta jatkaa sitä.
GDPR:n 17 artikla listaa tilanteet, joissa poistopyyntö voidaan tehdä. Käytännössä yleisimmät tilanteet liittyvät suostumuksen peruuttamiseen, markkinointirekistereistä poistumiseen tai siihen, että tietoja on alun perin kerätty tarkoitukseen, joka ei enää ole ajankohtainen.
Oikeus koskee kaikkia EU:n alueella toimivia rekisterinpitäjiä sekä sellaisia organisaatioita, jotka tarjoavat palveluja EU:n alueella sijaitseville henkilöille. Rekisteröidyn ei tarvitse olla EU:n kansalainen, vaan ratkaisevaa on se, missä rekisterinpitäjä toimii tai kenelle se suuntaa palvelujaan.
Rekisterinpitäjä voi kieltäytyä poistopyynnöstä, kun käsittelylle on edelleen laillinen peruste. Tällaisia perusteita ovat esimerkiksi lakisääteisen velvoitteen täyttäminen, yleinen etu, tieteellinen tai historiallinen tutkimus sekä oikeudellisten vaateiden esittäminen tai puolustaminen.
Kieltäytyminen ei tarkoita, että rekisterinpitäjä voi jättää pyynnön kokonaan huomiotta. Organisaation on joka tapauksessa vastattava pyyntöön kuukauden kuluessa ja perusteltava kieltäytymisensä selkeästi. Jos perustelut eivät ole riittävät, rekisteröidyllä on oikeus tehdä valitus tietosuojaviranomaiselle.
Tulkinnanvaraisuuksia esiintyy erityisesti tilanteissa, joissa rekisterinpitäjä vetoaa oikeutettuun etuun tai lakisääteiseen velvoitteeseen. Näissä tapauksissa oikeudellinen arviointi riippuu aina konkreettisista olosuhteista, käsittelyn luonteesta ja sovellettavasta kansallisesta lainsäädännöstä.
Oikeus tulla unohdetuksi on laajempi käsite kuin pelkkä tietojen poistaminen. Poistaminen viittaa yksittäisen tiedon tai tietojoukon fyysiseen poistamiseen järjestelmästä, kun taas oikeus tulla unohdetuksi edellyttää lisäksi, että rekisterinpitäjä ilmoittaa poistosta kaikille tahoille, joille tietoja on siirretty tai luovutettu.
GDPR:n 17 artiklan 2 kohta velvoittaa rekisterinpitäjää ryhtymään kohtuullisiin toimenpiteisiin informoidakseen muita rekisterinpitäjiä siitä, että rekisteröity on pyytänyt kaikkien linkkien tai kopioiden poistamista. Tämä on erityisen merkittävää tilanteissa, joissa tietoja on jaettu kolmansille osapuolille tai julkaistu verkossa.
Käytännössä ero näkyy selkeimmin hakukoneissa. Vaikka alkuperäinen tieto poistettaisiin lähdesivustolta, hakukoneen välimuistissa tai indeksissä voi edelleen olla viittauksia siihen. Oikeus tulla unohdetuksi ulottuu myös näihin tilanteisiin, ja rekisteröity voi vaatia hakukonetta poistamaan henkilötietonsa hakutuloksistaan.
Oikeutta tulla unohdetuksi käytetään tekemällä kirjallinen poistopyyntö suoraan rekisterinpitäjälle. Pyyntö voidaan esittää vapaamuotoisesti, mutta siitä on käytävä ilmi, mitä tietoja pyyntö koskee ja millä perusteella poistamista vaaditaan. Rekisterinpitäjällä on kuukausi aikaa vastata.
Prosessiin liittyy usein käytännön haasteita, kuten epäselvyys siitä, mihin kaikkiin järjestelmiin tietoja on tallennettu. Suuremmissa organisaatioissa tietosuojavastaava on tyypillisesti ensisijainen yhteyshenkilö poistopyyntöjä koskevissa asioissa.
Jos rekisterinpitäjä laiminlyö poistopyynnön käsittelyn tai kieltäytyy perusteettomasti, rekisteröity voi tehdä valituksen kansalliselle tietosuojaviranomaiselle. Suomessa tämä viranomainen on tietosuojavaltuutettu. Vakavissa tapauksissa seuraamuksena voi olla hallinnollinen sakko, joka voi nousta jopa 20 miljoonaan euroon tai neljään prosenttiin yrityksen maailmanlaajuisesta vuotuisesta liikevaihdosta.
Hallinnollisten seuraamusten lisäksi rekisterinpitäjä voi joutua vahingonkorvausvastuuseen, jos laiminlyönti on aiheuttanut rekisteröidylle aineellista tai aineetonta vahinkoa. GDPR:n 82 artikla antaa rekisteröidylle oikeuden vaatia korvausta suoraan rekisterinpitäjältä tai henkilötietojen käsittelijältä.
Seuraamusten vakavuus riippuu laiminlyönnin laajuudesta, toistuvuudesta ja siitä, onko organisaatio toiminut vilpittömässä mielessä. Tietosuojaviranomainen arvioi tapaukset aina kokonaisuutena. Me Hedman Partnersilla autamme sekä yrityksiä rakentamaan toimivat tietosuojakäytännöt että yksityishenkilöitä arvioimaan tilannettaan, kun poistopyyntöön ei ole saatu asianmukaista vastausta.