כיצד להוכיח ציות ל-GDPR סעיף 17

סעיף 17 עוסק באחד ההיבטים החשובים ביותר של האיחוד האירופי ובריטניה GDPR חוק – נושא הנתונים 'זכות להישכח', כתוב גם כ'זכות למחיקה.

סעיף 17 מפרט מספר סיבות מדוע נושא מידע עשוי לרצות להישכח, יחד עם חובתו של ארגון ליידע בקרים אחרים שאולי מעבדים גם נתונים של נושא מידע בהתאם לפעולתם שלהם.

GDPR סעיף 17 טקסט משפטי

גרסת GDPR של האיחוד האירופי

סעיף 17 – הזכות למחיקה ('הזכות להישכח')

1. לנושא המידע תהיה הזכות לקבל מהבקר את מחיקת הנתונים האישיים הנוגעים אליו ללא דיחוי ולבקר תהיה החובה למחוק נתונים אישיים ללא דיחוי אם חלה אחת מהעילות הבאות:
• הנתונים האישיים אינם נחוצים עוד ביחס למטרות שלשמן נאספו או עובדו בדרך אחרת;
• נושא הנתונים חוזר בו מהסכמה שעליה מבוסס העיבוד לפי נקודה (א) של סעיף 6(1), או נקודה (א) לסעיף 9(2), וכאשר אין עילה משפטית אחרת לעיבוד;
• נושא הנתונים מתנגד לעיבוד בהתאם לסעיף 21(1) ואין עילות לגיטימיות מכריעות לעיבוד, או נושא הנתונים מתנגד לעיבוד בהתאם לסעיף 21(2);
• הנתונים האישיים עובדו שלא כדין;
• יש למחוק את הנתונים האישיים לצורך עמידה בהתחייבות משפטית בחוק האיחוד או בחוק המדינות החברות בהן כפוף הבקר;
• הנתונים האישיים נאספו ביחס להצעת שירותי חברת המידע הנזכרים בסעיף 8(1).
2. כאשר הבקר פרסם את הנתונים האישיים לציבור והוא מחויב בהתאם לסעיף 1 למחוק את הנתונים האישיים, הבקר, תוך התחשבות בטכנולוגיה הזמינה ובעלות היישום, ינקוט בצעדים סבירים, לרבות אמצעים טכניים, כדי ליידע את הבקרים שהם עיבוד הנתונים האישיים שנושאי המידע ביקש למחוק אותם על ידי בקרים כאלה של קישורים כלשהם, או העתקה או שכפול של נתונים אישיים אלה.
3. סעיפים 1 ו-2 לא יחולו במידה שיש צורך בעיבוד:
• למימוש זכות חופש הביטוי והמידע;
• לעמידה בחובה משפטית המחייבת עיבוד לפי חוק האיחוד או המדינות החברות שאליו כפוף הבקר או לביצוע משימה שבוצעה למען האינטרס הציבורי או בהפעלת סמכות רשמית הנתונה לבקר;
• מטעמי עניין ציבורי בתחום בריאות הציבור בהתאם לנקודות (ח) ו-(i) לסעיף 9(2) וכן לסעיף 9(3);
• למטרות ארכיון למען האינטרס הציבורי, למטרות מחקר מדעי או היסטורי או למטרות סטטיסטיות בהתאם לסעיף 89(1) ככל שהזכות האמורה בסעיף 1 עלולה להפוך לבלתי אפשרית או לפגוע קשות בהשגת המטרות של אותו מעבד; אוֹ
• לביסוס, מימוש או הגנה של תביעות משפטיות.

גרסת GDPR בבריטניה

סעיף 17 – הזכות למחיקה ('הזכות להישכח')

1. לנושא המידע תהיה הזכות לקבל מהבקר את מחיקת הנתונים האישיים הנוגעים אליו ללא דיחוי ולבקר תהיה החובה למחוק נתונים אישיים ללא דיחוי אם חלה אחת מהעילות הבאות:
• הנתונים האישיים אינם נחוצים עוד ביחס למטרות שלשמן נאספו או עובדו בדרך אחרת;
• נושא הנתונים חוזר בו מהסכמה שעליה מבוסס העיבוד לפי נקודה (א) של סעיף 6(1), או נקודה (א) לסעיף 9(2), וכאשר אין עילה משפטית אחרת לעיבוד;
• נושא הנתונים מתנגד לעיבוד בהתאם לסעיף 21(1) ואין עילות לגיטימיות מכריעות לעיבוד, או נושא הנתונים מתנגד לעיבוד בהתאם לסעיף 21(2);
• הנתונים האישיים עובדו שלא כדין;
• יש למחוק את הנתונים האישיים לצורך עמידה בהתחייבות משפטית על פי הדין הפנימי, שהבקר כפוף לה;
• הנתונים האישיים נאספו ביחס להצעת שירותי חברת המידע הנזכרים בסעיף 8(1).
2. כאשר הבקר פרסם את הנתונים האישיים לציבור והוא מחויב בהתאם לסעיף 1 למחוק את הנתונים האישיים, הבקר, תוך התחשבות בטכנולוגיה הזמינה ובעלות היישום, ינקוט בצעדים סבירים, לרבות אמצעים טכניים, כדי ליידע את הבקרים שהם עיבוד הנתונים האישיים שנושאי המידע ביקש למחוק אותם על ידי בקרים כאלה של קישורים כלשהם, או העתקה או שכפול של נתונים אישיים אלה.
3. סעיפים 1 ו-2 לא יחולו במידה שיש צורך בעיבוד:
• למימוש זכות חופש הביטוי והמידע;
• לעמידה בחובה משפטית המחייבת עיבוד לפי הדין הפנימי או לביצוע משימה שבוצעה למען האינטרס הציבורי או תוך הפעלת סמכות רשמית הנתונה לבקר;
• מטעמי עניין ציבורי בתחום בריאות הציבור בהתאם לנקודות (ח) ו-(i) לסעיף 9(2) וכן לסעיף 9(3);
• למטרות ארכיון למען האינטרס הציבורי, למטרות מחקר מדעי או היסטורי או למטרות סטטיסטיות בהתאם לסעיף 89(1) ככל שהזכות האמורה בסעיף 1 עלולה להפוך לבלתי אפשרית או לפגוע קשות בהשגת המטרות של אותו מעבד; אוֹ
• לביסוס, מימוש או הגנה של תביעות משפטיות.