Het recht op vergetelheid vloeit voort uit de zaak Google Spain SL van 2014. Voor het eerst is het recht om te worden vergeten gecodificeerd en te vinden in de algemene verordening inzake gegevensbescherming (AVG), naast het recht om te worden gewist.
Artikel 17 van de AVG luidt als volgt: “De betrokkene heeft het recht van de verwerkingsverantwoordelijke zonder onredelijke vertraging wissing van hem betreffende persoonsgegevens te verkrijgen en de verwerkingsverantwoordelijke is verplicht persoonsgegevens zonder onredelijke vertraging te wissen wanneer een van de volgende gevallen van toepassing is:
- de persoonsgegevens zijn niet langer nodig voor de doeleinden waarvoor zij zijn verzameld of anderszins verwerkt;
- de betrokkene trekt de toestemming waarop de verwerking overeenkomstig artikel 6, lid 1, punt a), of artikel 9, lid 2, punt a), berust, in, en er is geen andere rechtsgrond voor de verwerking;
- de betrokkene maakt overeenkomstig artikel 21, lid 1, bezwaar tegen de verwerking, en er zijn geen prevalerende dwingende gerechtvaardigde gronden voor de verwerking, of de betrokkene maakt bezwaar tegen de verwerking overeenkomstig artikel 21, lid 2;
- de persoonsgegevens zijn onrechtmatig verwerkt;
- de persoonsgegevens moeten worden gewist om te voldoen aan een in het Unierecht of het lidstatelijke recht neergelegde wettelijke verplichting die op de verwerkingsverantwoordelijke rust;
- de persoonsgegevens zijn verzameld in verband met een aanbod van diensten van de informatiemaatschappij als bedoeld in artikel 8, lid 1.”
De betrokkene heeft het recht om zijn of haar persoonsgegevens te laten wissen. Dit recht is echter niet absoluut en geldt alleen in bepaalde omstandigheden. Het is voor een organisatie die persoonsgegevens verwerkt noodzakelijk dat zij voorbereid is op het geval dat de betrokkene zich op dit recht beroept. De verwerkingsverantwoordelijke is verplicht om binnen 30 dagen op dergelijke verzoeken te reageren. Volgens de AVG moet de verwerkingsverantwoordelijke de uitoefening van dit recht vergemakkelijken en de middelen daartoe kosteloos ter beschikking stellen.
De verplichting en de relatief korte antwoordtermijn betekent dat de organisatie over sterke werkwijzen moet beschikken om een verzoek te ontvangen, na te gaan of er redenen zijn om de gegevens verder te verwerken, de gegevens te wissen indien van toepassing en de betrokkene te informeren over de genomen maatregelen en eventuele redenen om (een deel van) de gegevens te bewaren.