Zgodnie z art. 17 RODO każda osoba fizyczna może żądać „bycia zapomnianym”, tj. żądać usunięcia swoich danych osobowych przetwarzanych przez administratora.
Osoba, której dane dotyczą, ma prawo żądania od administratora niezwłocznego usunięcia dotyczących jej danych osobowych, a administrator ma obowiązek bez zbędnej zwłoki usunąć dane osobowe jeżeli zachodzi jedna z następujących okoliczności:
- dane osobowe nie są już niezbędne do celów, w których zostały zebrane lub w inny sposób przetwarzane;
- osoba, której dane dotyczą, cofnęła zgodę, na której opierało się przetwarzanie i nie ma innej podstawy prawnej przetwarzania;
- osoba, której dane dotyczą, wnosi sprzeciw wobec przetwarzania dotyczących jej danych osobowych:
z przyczyn związanych z jej szczególną sytuacją – wobec przetwarzania dotyczących jej danych osobowych opartego na interesie publicznym lub prawnie uzasadnionych interesach i nie występują nadrzędne prawnie uzasadnione podstawy przetwarzania; lub
wobec przetwarzania jej danych osobowych na potrzeby marketingu bezpośredniego; - dane osobowe były przetwarzane niezgodnie z prawem;
- dane osobowe muszą zostać usunięte w celu wywiązania się z obowiązku prawnego przewidzianego w prawie Unii lub prawie państwa członkowskiego, któremu podlega administrator;
- dane osobowe zostały zebrane w związku z oferowaniem usług społeczeństwa informacyjnego, o których mowa w art. 8 ust. 1 RODO.
Administrator najpóźniej w ciągu miesiąca udziela informacji o działaniach podjętych w związku ze złożeniem żądania. Termin ten może być wydłużony o 2 kolejne miesiące z uwagi na skomplikowany charakter żądania czy też liczbę żądań. Administrator powinien równocześnie korzystać z mechanizmu weryfikacji tożsamości osoby składającej żądanie.
Jednakże żądanie „bycia zapomnianym” nie zawsze może być przez administratora spełnione. Jedną z takich sytuacji, w których administrator nie może usunąć danych osoby, która o to wnosi jest obowiązek prawny do przechowywania danych konkretnej osoby np. były pracownik nie może żądać od pracodawcy usunięcia swojej dokumentacji pracowniczej przed okresem, w którym pracodawca ma obowiązek prawny do jej przechowywania.