Hur man visar efterlevnad av GDPR artikel 17

Artikel 17 behandlar en av de viktigaste aspekterna av EU och Storbritannien GDPR lag – en registrerad "rätt att bli glömd", även skriven som "rätten till radering.

I artikel 17 anges flera skäl till varför en registrerad kan vilja bli bortglömd, tillsammans med en organisations skyldighet att informera andra registeransvariga som också kan behandla en registrerades uppgifter i enlighet med sin egen verksamhet.

GDPR Artikel 17 Lagtext

EU GDPR-version

Artikel 17 – Rätt till radering (”rätt att bli glömd”)

1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få radering av personuppgifter som rör honom eller henne utan onödigt dröjsmål och den personuppgiftsansvarige ska ha en skyldighet att radera personuppgifter utan onödigt dröjsmål om någon av följande skäl föreligger:
• personuppgifterna inte längre är nödvändiga i förhållande till de ändamål för vilka de samlades in eller på annat sätt behandlades;
• den registrerade återkallar det samtycke som ligger till grund för behandlingen enligt artikel 6 a, eller artikel 1 a, och om det inte finns någon annan rättslig grund för behandlingen;
• den registrerade invänder mot behandlingen enligt artikel 21 och det inte finns några tvingande legitima skäl för behandlingen, eller den registrerade invänder mot behandlingen enligt artikel 1;
• personuppgifterna har behandlats olagligt;
• personuppgifterna måste raderas för att uppfylla en rättslig skyldighet i unions- eller medlemsstatslagstiftningen som den registeransvarige omfattas av;
• personuppgifterna har samlats in i samband med utbudet av informationssamhällets tjänster som avses i artikel 8.
2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och är skyldig enligt punkt 1 att radera personuppgifterna, ska den personuppgiftsansvarige, med hänsyn till tillgänglig teknik och kostnaden för genomförandet, vidta rimliga åtgärder, inklusive tekniska åtgärder, för att informera de registeransvariga som är behandla de personuppgifter som den registrerade har begärt radering av sådana personuppgiftsansvariga av eventuella länkar till, eller kopiering eller replikering av, dessa personuppgifter.
3. Punkterna 1 och 2 ska inte tillämpas i den mån behandlingen är nödvändig:
• för att utöva rätten till yttrandefrihet och informationsfrihet;
• för efterlevnad av en rättslig skyldighet som kräver behandling enligt unions- eller medlemsstatslagstiftning som den registeransvarige omfattas av eller för att utföra en uppgift som utförs i allmänhetens intresse eller i samband med utövandet av officiell myndighet som ligger hos den registeransvarige.
• av skäl av allmänintresse på folkhälsoområdet i enlighet med artikel 9 h och i samt artikel 2;
• för arkiveringsändamål i allmänhetens intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89 i den mån den rättighet som avses i punkt 1 sannolikt omöjliggör eller allvarligt försämrar uppnåendet av målen för den bearbetning; eller
• för upprättande, utövande eller försvar av rättsliga anspråk.

Storbritanniens GDPR-version

Artikel 17 – Rätt till radering (”rätt att bli glömd”)

1. Den registrerade ska ha rätt att av den personuppgiftsansvarige få radering av personuppgifter som rör honom eller henne utan onödigt dröjsmål och den personuppgiftsansvarige ska ha en skyldighet att radera personuppgifter utan onödigt dröjsmål om någon av följande skäl föreligger:
• personuppgifterna inte längre är nödvändiga i förhållande till de ändamål för vilka de samlades in eller på annat sätt behandlades;
• den registrerade återkallar det samtycke som ligger till grund för behandlingen enligt artikel 6 a, eller artikel 1 a, och om det inte finns någon annan rättslig grund för behandlingen;
• den registrerade invänder mot behandlingen enligt artikel 21 och det inte finns några tvingande legitima skäl för behandlingen, eller den registrerade invänder mot behandlingen enligt artikel 1;
• personuppgifterna har behandlats olagligt;
• personuppgifterna måste raderas för att uppfylla en rättslig skyldighet enligt nationell lag, som den registeransvarige är föremål för;
• personuppgifterna har samlats in i samband med utbudet av informationssamhällets tjänster som avses i artikel 8.
2. Om den personuppgiftsansvarige har offentliggjort personuppgifterna och är skyldig enligt punkt 1 att radera personuppgifterna, ska den personuppgiftsansvarige, med hänsyn till tillgänglig teknik och kostnaden för genomförandet, vidta rimliga åtgärder, inklusive tekniska åtgärder, för att informera de registeransvariga som är behandla de personuppgifter som den registrerade har begärt radering av sådana personuppgiftsansvariga av eventuella länkar till, eller kopiering eller replikering av, dessa personuppgifter.
3. Punkterna 1 och 2 ska inte tillämpas i den mån behandlingen är nödvändig:
• för att utöva rätten till yttrandefrihet och informationsfrihet;
• för efterlevnad av en rättslig skyldighet som kräver behandling enligt nationell lagstiftning eller för att utföra en uppgift som utförs i allmänintresset eller vid utövande av offentlig myndighet som ligger hos den registeransvarige;
• av skäl av allmänintresse på folkhälsoområdet i enlighet med artikel 9 h och i samt artikel 2;
• för arkiveringsändamål i allmänhetens intresse, vetenskapliga eller historiska forskningsändamål eller statistiska ändamål i enlighet med artikel 89 i den mån den rättighet som avses i punkt 1 sannolikt omöjliggör eller allvarligt försämrar uppnåendet av målen för den bearbetning; eller
• för upprättande, utövande eller försvar av rättsliga anspråk.