Musíme osobní údaje odstranit vždy, když o to fyzická osoba požádá?

Obecné nařízení o ochraně osobních údajů GDPR dává fyzickým osobám právo požádat o odstranění jejich osobních údajů a organizace mají povinnost tak učinit, s výjimkou následujících případů:

- osobní údaje, které organizace spravuje, jsou nutné pro výkon práva na svobodu projevu, 
- organizaci existuje právní povinnost tyto údaje zpracovávat a uchovat, 
- z důvodů veřejného zájmu (např. účely veřejného zdraví, vědeckého, statistického či historického výzkumu). 

Pokud organizace osobní údaje zpracovává protiprávně, má povinnost je odstranit. V případě fyzické osoby, jejíž údaje byly shromážděny, když byla ještě nezletilá, musí být údaje odstraněny.

Pokud jde o právo být zapomenut online, očekává se, že organizace podniknou přiměřené kroky (např. technická opatření), aby informovaly další weby, že příslušná osoba požádala o výmaz svých osobních údajů.

Osobní údaje lze také dále uchovávat, pokud prošly náležitým procesem anonymizace.