Відповідно до ст. 17 RODO, кожна фізична особа може вимагати «бути забутою», тобто вимагати видалення своїх персональних даних, які обробляються адміністратором.
- Суб’єкт даних має право вимагати від адміністратора негайного видалення персональних даних, які його стосуються, а адміністратор зобов’язаний без невиправданої затримки видалити персональні дані у разі виникнення однієї з таких обставин:
- персональні дані більше не потрібні для цілей, для яких вони були зібрані або іншим чином оброблені;
- суб’єкт даних відкликав згоду, на якій базувалася обробка даних, і немає іншої правової підстави для обробки;
- суб’єкт даних заперечує проти обробки персональних даних щодо нього:
- з причин, пов’язаних з конкретною ситуацією – у зв’язку з обробкою персональних даних, що стосуються особи, на основі суспільних інтересів або законних інтересів і немає переважних законних підстав для обробки; або
- на обробку персональних даних для цілей прямого маркетингу;
- персональні дані оброблялися неправомірно;
- персональні дані мають бути стерті для дотримання юридичних зобов’язань у законодавстві Євросоюзу або держав-членів, яким підпорядковується контролер;
- персональні дані були зібрані у зв’язку з наданням послуг інформаційного суспільства, зазначених у ст. 8 сек. 1 RODO.
Інформацію про вжиті дії у зв’язку з поданням запиту адміністратор надає не пізніше місяця. Цей термін може бути продовжений ще на 2 місяці у зв’язку зі складністю запиту або кількістю запитів. При цьому адміністратор повинен використовувати механізм підтвердження особи, яка подає запит.
Однак вимога «бути забутим» не завжди може бути виконана адміністраторем. Однією із ситуацій, коли адміністратор не може видалити дані особи за її запитом, є юридичне зобов’язання зберігати дані конкретної особи, наприклад, колишній працівник не може вимагати від роботодавця видалити записи про його співробітника до закінчення періоду, протягом якого роботодавець має юридичне зобов’язання зберігати його.