Právo na zapomenutí: kdy se uplatňuje a jak formálně podat žádost

Právo být zapomenut: co znamená a odkud pochází

„Právo být zapomenut“ (right to be forgotten) je praktickým uplatněním práva na výmaz podle článku 17 nařízení GDPR. Umožňuje jednotlivci požádat správce (subjekt, který určuje účely a prostředky zpracování) o odstranění osobních údajů, jsou-li splněny zákonné podmínky. V praxi se s ním setkáváme ve dvou hlavních případech: (1) vůči službám, které údaje přímo uchovávají (sociální sítě, e-shopy, fóra), a (2) vůči vyhledávačům (např. Google), kde nejde o výmaz obsahu na původním zdroji, ale o odkazování na něj (tzv. delisting).

Kdy právo na výmaz funguje: typické situace

Údaje již nejsou potřebné: Účel, pro který byly získány (např. plnění smlouvy, soutěž), pominul a neexistuje nový právní základ pro jejich uchovávání.
Odvolání souhlasu: Pokud byl jediným právním základem souhlas, musí správce po jeho odvolání údaje vymazat (nemá-li jiný zákonný důvod).
Námitka proti oprávněnému zájmu: Pokud zpracování probíhá na základě „oprávněného zájmu“ a vaše zájmy převažují, máte nárok na výmaz.
Nezákonné zpracování: Údaje byly shromážděny nebo sdíleny v rozporu s právem (např. bez informování, nad rámec deklarovaného účelu).
Splnění právní povinnosti k výmazu: Vyplývá z jiného předpisu (např. zvláštní pravidla pro údaje o dětech).
Online služby informační společnosti poskytované dětem: U údajů získaných od dětí je laťka pro výmaz nižší a posuzování přísnější ve prospěch dítěte.

Kdy právo na výmaz neplatí nebo je omezené

Svoboda projevu a právo na informace: Novinářský obsah, veřejný zájem a historické archivy mohou převážit nad vaším právem na výmaz.
Právní povinnost uchovávat údaje: Účetní, daňové nebo odvětvové předpisy mohou vyžadovat jejich uchování po určitou dobu.
Veřejný zájem v oblasti zdraví, vědy a archivnictví: Pokud by výmaz podstatně znemožnil legitimní výzkumné nebo archivní účely.
Uplatňování nebo obhajoba právních nároků: Správce může ponechat minimum údajů potřebných k doložení, uplatnění či obhajobě nároku.

Rozdíl: výmaz u správce vs. delisting ve vyhledávači

Výmaz znamená odstranění vašich údajů přímo ze systému, kde vznikly (profil, účet, databáze). Delisting je odstranění odkazu z výsledků vyhledávání při zadání dotazu obsahujícího vaše jméno; obsah na původním zdroji zůstává, ale hůře se dohledává podle jména. V ideálním případě požádejte o obojí: nejprve o výmaz na původním zdroji a následně o delisting u vyhledávače.

Praktický postup: jak požádat o výmaz krok za krokem

Identifikujte správce: Na stránce služby najděte sekci „Ochrana osobních údajů“, „Privacy“ nebo „Kontakt na DPO“ (pověřence pro ochranu osobních údajů). Zapište si oficiální e-mail či portál pro žádosti.
Upřesněte, co má být vymazáno: URL profilu, ID příspěvku, snímky obrazovky, data, názvy kolekcí, identifikátory účtu. Čím přesnější údaje poskytnete, tím rychleji bude žádost vyřízena.
Uveďte právní důvod: Např. „odvolávám souhlas“, „údaje již nejsou potřebné“, „namítám proti zpracování na základě oprávněného zájmu“.
Přiměřeně prokažte svou totožnost: U některých služeb stačí přihlášení k účtu; jinde mohou požadovat omezenou kopii dokladu (zakryjte nepotřebné údaje, ponechte jméno a datum narození).
Požádejte také o odstranění ze sekundárních úložišť: Výslovně uveďte výmaz z produkčních databází, testovacích kopií (je-li to možné) a náhledů, odstranění z CDN a zrušení interních „tagů“ pro opětovné zveřejnění.
Lhůty: Správce musí odpovědět bez zbytečného odkladu, zpravidla do 1 měsíce; ve výjimečných případech může lhůtu prodloužit o další 2 měsíce (musí vám to oznámit a odůvodnit).
Eskalace: Pokud žádosti nevyhoví nebo nekoná, obraťte se na dozorový úřad (v Česku ÚOOÚ) nebo na soud.

Vzor struktury žádosti o výmaz (přizpůsobte své situaci)

Předmět: Žádost o výmaz osobních údajů podle čl. 17 GDPR

Text: Identifikace (jméno, kontakt, účet/ID), přesný popis údajů a jejich umístění (URL/ID), právní základ (např. odvolání souhlasu, údaje již nejsou potřebné, nezákonné zpracování), požadavek na výmaz včetně kopií a veřejně viditelných náhledů, požadavek na informování o přijatých opatřeních, datum a podpis. Pokud je to nutné, přiložte doklad totožnosti a důkaz o vlastnictví profilu nebo o tom, že vás obsah identifikuje.

Zvláštní případy: zprávy, blogy, fóra a stránky s „mugshoty“

Zpravodajské články a archivy: Posuzují se na základě rovnováhy mezi veřejným zájmem a svobodou projevu. Pokud jste soukromá osoba a obsah je neaktuální, nepřesný nebo nepřiměřeně škodlivý, vaše šance se zvyšují; u veřejně známých osob je laťka vyšší.
Blogy a fóra: Pokud autor reaguje pomalu, požádejte poskytovatele hostingu o odstranění porušení práv (např. zveřejnění citlivých údajů), případně využijte mechanismus platformy pro nahlášení obsahu.
„Mugshoty“ a databáze přestupků: Často jsou sporné z hlediska oprávněného zájmu; argumentujte neaktuálností, rehabilitací, vymazáním z veřejných registrů a nepřiměřeným zásahem do cti.

Delisting z vyhledávačů: kdy je účinný

Delisting je vhodný, pokud je obsah sice na původním zdroji legálně, ale jeho zobrazování při vyhledávání vašeho jména je nepřiměřené (neaktuální, nepřesné, neúplné nebo nadměrné). V žádosti obvykle uvedete své jméno, dotčené URL a důvody. Po úspěšném delistingu se odkazy přestanou zobrazovat při vyhledávání vašeho jména v EHP, mohou však zůstat viditelné při jiných dotazech (např. podle klíčových slov bez vašeho jména) a v jiných regionech.

Technické nuance: výmaz, anonymizace, retenční lhůty a zálohy

Výmaz vs. anonymizace: Někdy postačí nevratná anonymizace (odstranění identifikátorů), pokud lze účel naplnit bez vašich osobních údajů.
Uchovávání a zálohy: Správce může po omezenou dobu uchovávat neaktivní zálohy; musí však zabránit jejich návratu do produkčního prostředí a uvést lhůtu jejich skartace.
Cache a CDN: Požádejte o odstranění náhledů a vymazání cache; pokud obsah indexují jiné služby, obraťte se se žádostí také na ně.

Časté chyby, kvůli kterým žádosti selhávají

Nedostatečná určitost: „Smažte o mně všechno“ bez URL/ID a kontextu působí jako požadavek, který nelze splnit.
Chybějící právní důvod: Uveďte konkrétní článek a důvody; vyhněte se pouze morálním argumentům.
Nedostatečné ověření totožnosti: Žádost může být odmítnuta kvůli riziku neoprávněného výmazu (krádeže identity); poskytněte přiměřené důkazy.
Ignorování výjimek: U novinářského obsahu a veřejného zájmu připravte argumentaci (neaktuálnost, nepřiměřenost, nepřesnost).

Na co máte nárok při kladném vyřízení

Potvrzení o výmazu: Informace o tom, které konkrétní údaje byly vymazány a kterých systémů se výmaz týkal.
Informování příjemců: Správce musí informovat všechny příjemce, kterým údaje poskytl, je-li to možné.
Omezené uchování důkazu: Správce může ponechat omezené „auditní“ záznamy pro doložení splnění povinnosti (např. hash požadavku), nikoli však kompletní údaje.

Pokud žádosti nevyhoví: obrana a eskalace

Žádost o přezkoumání: Požádejte o podrobné odůvodnění a vyjasněte sporné body; doplňte důkazy (neaktuálnost, závažné dopady).
Dozorový úřad: Podejte stížnost k Úřadu pro ochranu osobních údajů ČR (ÚOOÚ) a přiložte dosavadní komunikaci a důkazy.
Soudní ochrana: V krajním případě podejte žalobu na ochranu osobnosti nebo správní žalobu proti rozhodnutí úřadu.

Specifika údajů o dětech a zvláštních kategoriích osobních údajů

U dětí a zvláštních kategorií osobních údajů (zdravotní údaje, biometrické údaje, politické názory, sexuální orientace apod.) jsou požadavky přísnější; správci musí rizika zvažovat výrazně ve prospěch subjektu údajů. Důležité jsou také rychlé lhůty pro reakci a širší rozsah výmazu (včetně náhledů a cache).

Preventivní strategie: abyste nemuseli právo na výmaz často využívat

Minimalizace údajů: Sdílejte méně, zveřejňujte v nižším rozlišení, odstraňujte EXIF a omezte okruh osob, které mohou obsah zobrazit.
Nastavení soukromí: Zapněte ruční schvalování označení a tam, kde je to možné, vypněte automatické indexování.
Oddělení identit a profilů: Pracovní a soukromá identita, oddělené e-mailové adresy a uživatelská jména.
Pravidelný audit digitální stopy: Jednou za čtvrtletí vyhledejte své jméno, zkontrolujte staré profily a zrušte neaktivní účty.

Kontrolní seznam před odesláním žádosti

Přesně uvedené URL/ID a popis obsahu určeného k výmazu (+ snímky obrazovky).
Uvedený právní základ (čl. 17 GDPR) a stručné odůvodnění (nepotřebnost, odvolaný souhlas, nezákonnost atd.).
Přiměřené ověření totožnosti (bez zbytečných citlivých údajů).
Výslovný požadavek na odstranění z cache, CDN a náhledů a na informování příjemců.
Připravený plán B: delisting ve vyhledávačích a eskalace k ÚOOÚ, pokud není třeba čekat déle, než je přiměřené.

Shrnutí: realistická očekávání a kombinace kroků

Právo být zapomenut je silným, nikoli však absolutním nástrojem. Nejlépe funguje, když je zřejmé, že účel zpracování pominul, souhlas byl odvolán nebo je zásah do soukromí nepřiměřený. Šance na úspěch zvyšuje přesné vymezení údajů, právní argumentace a souběžné kroky: výmaz na původním zdroji, delisting ve vyhledávačích a důsledná práce s cache. Důležité je věcně argumentovat a dodržet postup – a průběžně minimalizovat digitální stopu, aby podobné situace nastávaly co nejméně.