Zgodnie z art. 18 RODO prawo żądania od administratora ograniczenia przetwarzania danych występuje w przypadkach gdy:
- osoba, której dane dotyczą, kwestionuje prawidłowość danych osobowych;
- osoba, której dane dotyczą sprzeciwia się usunięciu danych osobowych, żądając w zamian ograniczenia ich wykorzystywania, a przetwarzanie jest niezgodne z prawem;
- dane osobowe nie są już potrzebne do celów, w jakich zostały zgromadzone, ale nie można ich usunąć z uwagi na obowiązujące przepisy;
- osoba, która wniosła sprzeciw wobec przetwarzania danych, czeka na wydanie decyzji w tej sprawie.
Ograniczenie oznacza, że jedyną dopuszczalną czynnością przetwarzania danych osobowych jest ich przechowywanie, wyłącznie za zgodą osoby, której dane dotyczą, w celu ustalenia, dochodzenia lub obrony roszczeń, lub w celu ochrony praw innej osoby fizycznej lub prawnej, lub z uwagi na względy interesu publicznego UE lub państwa członkowskiego UE.
Przed uchyleniem ograniczenia przetwarzania administrator informuje o tym podmiot danych, który żądał ograniczenia. W szczególności, informacja powinna być prowadzona w zwięzłej, przejrzystej i dostępnej formie. Informacji udziela się na piśmie, w tym dozwolona jest forma elektroniczna. Administrator danych nie pobiera co do zasady opłat za podejmowanie działań związanych z realizacją praw podmiotów danych oraz komunikację z nimi.
Motyw 67 preambuły RODO podaje przykładowe metody pozwalające ograniczyć przetwarzanie danych:
- czasowe przeniesienie wybranych danych osobowych do innego systemu przetwarzania;
- uniemożliwienie użytkownikom dostępu do wybranych danych;
- czasowe usunięcie opublikowanych danych ze strony internetowej.
Należy zauważyć, że zgodnie z RODO administrator danych bez zbędnej zwłoki w terminie miesiąca od otrzymania żądania – udziela osobie, której dane dotyczą, informacji o działaniach podjętych w związku z żądaniem ograniczenia przetwarzania. Termin jednak może, z uzasadnionych przez administratora przyczyn zostać przedłużony.
Należy zwrócić uwagę, że naruszenie prawa do ograniczenia przetwarzania podlega administracyjnej karze pieniężnej w wysokości do 20 mln euro, a w sytuacji przedsiębiorstw w wysokości do 4% jego całkowitego rocznego obrotu z poprzedniego roku obrotowego w zależności od tego, która kwota jest wyższa.
