Orice persoană poate cere unei companii să-i șteargă datele personale din baze, aplicații sau platforme online, în baza articolului 17 din Regulamentul General privind Protecția Datelor (GDPR). Cererea se numește dreptul de a fi șters și se poate formula direct, fără avocat sau taxă.
Dreptul se aplică atunci când datele nu mai sunt necesare scopului pentru care au fost colectate, când persoana își retrage consimțământul sau când se opune prelucrării, iar compania nu are un motiv legitim mai puternic să continue să le folosească. Nu funcționează la fel de simplu când datele sunt necesare pentru obligații legale, cum ar fi evidențele fiscale sau contractele active.
Ce trebuie să conțină o cerere de ștergere
O cerere de ștergere trebuie să identifice clar persoana, contul sau adresa de e-mail asociată și să precizeze exact ce date se cer eliminate. Companiile serioase au un formular dedicat, de obicei în secțiunea de confidențialitate a site-ului, dar cererea funcționează și trimisă simplu prin e-mail către adresa de contact sau către responsabilul cu protecția datelor (DPO), dacă acesta este publicat.
Textul cererii nu trebuie să fie complicat. E suficient să se menționeze temeiul legal, articolul 17 din GDPR, și să se ceară ștergerea completă a datelor personale asociate contului respectiv. Pentru platformele mari, precum rețelele sociale sau magazinele online, procesul poate implica și confirmarea identității, ca să nu fie ștearsă contul altcuiva.
Termenele legale de răspuns
Compania are o lună de la primirea cererii pentru a răspunde, termen care poate fi extins cu încă două luni în cazuri complexe, dar doar dacă informează persoana despre motivul întârzierii în prima lună. Răspunsul trebuie să confirme fie ștergerea, fie motivul pentru care cererea nu poate fi îndeplinită integral.
Dacă termenul trece fără niciun răspuns, persoana poate depune o plângere la Autoritatea Națională de Supraveghere a Prelucrării Datelor cu Caracter Personal (ANSPDCP). Autoritatea oferă mai multe canale de contact pentru astfel de plângeri, detaliate pe site-ul instituției, iar depunerea unei plângeri declanșează o verificare a companiei vizate.
Situații în care cererea poate fi refuzată
Ștergerea nu e automată în toate cazurile. O bancă poate refuza cererea pentru date legate de tranzacții, pentru că are obligații legale de arhivare specifice sectorului financiar. Un magazin online poate reține datele de facturare pentru evidența contabilă, chiar dacă șterge contul de utilizator și istoricul de navigare.
Presa și cercetarea științifică au și ele excepții: o publicație nu este obligată să șteargă un articol care conține numele unei persoane, dacă informația are relevanță publică. Diferența dintre o cerere validă și una respinsă ține de scopul concret pentru care datele au fost colectate inițial.
Ce se șterge, de fapt, și ce rămâne în urmă
Ștergerea completă include, de regulă, contul, istoricul de comenzi vizibil pentru utilizator, preferințele salvate și datele de profil. Pot rămâne informații impuse prin obligații legale de arhivare, cum sunt anumite documente fiscale, a căror durată de păstrare variază în funcție de tipul de document și de legislația aplicabilă.
Companiile mari au deseori copii de rezervă (backup-uri) care nu se șterg instant, din motive tehnice legate de modul în care sunt organizate aceste sisteme. GDPR cere ca ștergerea să aibă loc fără întârzieri nejustificate, dar timpul exact necesar pentru eliminarea din backup-uri poate diferi de la o companie la alta.
Cum se verifică dacă ștergerea a avut loc
O modalitate orientativă de verificare este încercarea de autentificare cu vechile date de logare, la câteva săptămâni după primirea confirmării. Dacă accesul nu mai funcționează și nu mai apar oferte personalizate bazate pe comportamentul anterior, sunt semne că ștergerea a fost aplicată, fără să constituie o dovadă completă a eliminării din toate sistemele companiei.
Persoanele care au avut cont pe mai multe platforme ale aceleiași companii, cum se întâmplă cu grupurile de rețele sociale sau retail online, trebuie să verifice dacă cererea a fost extinsă la toate serviciile asociate, nu doar la platforma principală prin care a fost trimisă.
Decizia de a cere ștergerea datelor rămâne un instrument concret de control, nu o formalitate birocratică fără efect. Termenul de o lună și posibilitatea plângerii la ANSPDCP transformă dreptul de a fi șters într-un mecanism aplicabil, nu doar teoretic.
