Global Freedom of Expression | Google Spain SL mod Agencia Española de Protección de Datos – Global Freedom of Expression

Sagsresumé og resultat

I marts 2010 indgav den spanske statsborger Costeja González en klage til landets databeskyttelsesmyndighed mod avisen La Vanguardia, Google Spain og Google Inc. González ønskede, at avisen skulle fjerne eller ændre oplysningerne om hans udlægs- og udlægssager fra 1998, således at disse oplysninger ikke længere ville være tilgængelige via søgemaskiner på internettet. Han anmodede også Google Inc. eller dets datterselskab, Google Spain, om at fjerne eller skjule disse oplysninger. González hævdede, at sagerne havde været fuldt ud afgjort i flere år, og at de derfor ikke længere burde fremgå på nettet. Agenturet afviste klagen mod avisen med den begrundelse, at offentliggørelsen var lovligt begrundet i henhold til en regeringsordre. Den gav imidlertid medhold i klagen mod Google, idet den fandt, at søgemaskiner på internettet også er underlagt databeskyttelseslovgivningen og skal træffe de nødvendige foranstaltninger til at beskytte personoplysninger.

Efter appel udsatte Spaniens nationale højesteret sagen og forelagde en række spørgsmål for EF-Domstolen vedrørende anvendeligheden af EU-direktiv 95/46 (beskyttelse af personoplysninger) på søgemaskiner på internettet. Domstolen fastslog, at en søgemaskine anses for at være “dataansvarlig” med hensyn til “behandling” af personoplysninger ved sin handling med at finde, indeksere, lagre og formidle sådanne oplysninger. Desuden fastslog Domstolen, at for at sikre retten til privatlivets fred og beskyttelsen af personoplysninger kan det kræves af operatører af søgemaskiner, at de fjerner personoplysninger, der er offentliggjort på tredjemands websteder, for at sikre privatlivets fred og beskyttelsen af personoplysninger. Men den registreredes ret til at fremsætte denne anmodning skal afvejes mod offentlighedens interesse i at få adgang til hans eller hendes personlige oplysninger.”

Fakta

I 1998 offentliggjorde den spanske avis La Vanguardia to artikler om en sag om udlæg og udlæg mod Costeja González. I 2009 henvendte han sig til avisen og gjorde gældende, at der ved indtastning af hans navn på Google.com stadig var en henvisning til avisens sider om retssagen. González hævdede, at oplysningerne burde fjernes, fordi sagen var afsluttet flere år tidligere, og at der ikke var noget udestående krav mod ham. Avisen afviste imidlertid hans krav og hævdede, at søgsmålet var blevet offentliggjort i henhold til en ordre fra Spaniens arbejds- og socialministerium. I 2010 kontaktede han derefter Google Spanien og gjorde gældende, at der i online-søgeresultaterne for hans navn ikke skulle henvises til avisens offentliggørelse af hans retssag.

Da Google ikke efterkom dette, indgav González en klage til Spaniens databeskyttelsesmyndighed mod avisen, Google Spanien og Google Inc. Agenturet afviste søgsmålet mod avisen med den begrundelse, at offentliggørelsen var sket i henhold til en regeringsordre. Men den gav Google og dets datterselskab, Google Spain, medhold i klagen mod Google. Den fastslog, at fordi operatørerne af søgemaskiner på internettet behandler personoplysninger, er de underlagt den relevante lovgivning om beskyttelse af privatlivets fred og kan være forpligtet til at fjerne oplysninger, der kompromitterer den grundlæggende ret til privatlivets fred.

Derpå anlagde Google Inc. og Google Spain særskilt appel af afgørelsen. Spaniens nationale højesteret besluttede at udsætte sagen som vurdering af Googles forpligtelse til at beskytte personoplysninger, der i øvrigt offentliggøres på tredjemands websteder.

Oversigt over afgørelsen

Den spanske højesteret forelagde følgende spørgsmål for EF-Domstolen til præjudiciel afgørelse:

(1) Kan EU-direktiv 95/46, som det er gennemført gennem en medlemsstats nationale lovgivning, anvendes på et udenlandsk internet-søgemaskinefirma, der har en filial eller et datterselskab med henblik på at fremme og sælge reklameplads rettet mod indbyggerne i den pågældende medlemsstat?

(2) Kan internet-søgemaskiners handling, der består i at finde oplysninger, der er offentliggjort af tredjemand, og senere indeksere og stille oplysningerne til rådighed for internetbrugere, anses for at være “behandling af personoplysninger” i direktivets forstand?

(3) Skal operatøren af en søgemaskine anses for at være “dataansvarlig” med hensyn til behandling af personoplysninger i henhold til direktivets artikel 2, litra d)

(4) Skal operatørerne af internet-søgemaskiner på grundlag af legitime grunde til at beskytte retten til privatlivets fred og andre grundlæggende rettigheder, der er omhandlet i direktivet, være forpligtet til at fjerne eller slette personoplysninger offentliggjort af tredjeparters websteder, selv når den oprindelige udbredelse af sådanne oplysninger var lovlig.

Artikel 1 i direktiv 95/46 forpligter EU-landene til at beskytte “fysiske personers grundlæggende rettigheder og frihedsrettigheder, herunder navnlig deres ret til privatlivets fred i forbindelse med behandling af personoplysninger”. Samtidig forbyder det begrænsninger i den frie udveksling af personoplysninger mellem EU’s medlemsstater.

Direktivet definerer personoplysninger som “alle oplysninger om en identificeret eller identificerbar fysisk person (“den registrerede”); en identificerbar person er en person, der direkte eller indirekte kan identificeres, navnlig ved henvisning til et identifikationsnummer eller til et eller flere elementer, der er specifikke for vedkommendes fysiske, fysiologiske, psykiske, økonomiske, kulturelle eller sociale identitet.” Handlingen behandling af sådanne oplysninger omfatter “enhver operation eller række af operationer, der udføres med personoplysninger, uanset om det sker med eller uden brug af automatiske midler, såsom indsamling, registrering, organisering, opbevaring, tilpasning eller ændring, fremfinding, søgning, brug, videregivelse ved fremsendelse, spredning eller enhver anden form for tilrådighedsstillelse, sammenholdelse eller samkøring, blokering, sletning eller tilintetgørelse.” I henhold til artikel 2, litra d), er en “registeransvarlig” for personoplysninger enhver “fysisk eller juridisk person, offentlig myndighed, agentur eller ethvert andet organ, som alene eller i fællesskab med andre bestemmer formålet med og midlerne til behandlingen af personoplysninger.”

Europadomstolen drøftede først, om en internetsøgemaskines aktivitet kan kvalificeres som “behandling” af personoplysninger i henhold til direktivets artikel 2, litra c). Og hvis svaret er bekræftende, om operatøren af en søgemaskine kan anses for at være en dataansvarlig, der foretager behandling af personoplysninger. Domstolen fandt det ubestrideligt, at nogle eller mange af de oplysninger, der indekseres og lagres af søgemaskiner, vedrører “identificerbare fysiske personer og dermed “personoplysninger” i den forstand, hvori udtrykket er anvendt i artikel 2, litra a), i .” Og at en operatør af en søgemaskine gennem sin konstante og systematiske søgning efter oplysninger på nettet ofte indsamler disse personoplysninger, som efterfølgende indekseres, lagres og stilles til rådighed for internetbrugere. Domstolen konkluderede derfor, at Googles handling med indsamling, indeksering, lagring og videregivelse af personoplysninger betragtes som “behandling” af sådanne oplysninger i direktivets forstand.

Med hensyn til spørgsmålet om, hvorvidt søgemaskinen Google skal betragtes som en “dataansvarlig” for behandlingen af personoplysninger, var Domstolen af den opfattelse, at begrebet “dataansvarlig” i direktivet skal fortolkes bredt for at sikre “en effektiv og fuldstændig beskyttelse af de registrerede”. Og at det ville være i strid med de i direktivet tilsigtede mål at udelukke operatørerne af søgemaskiner på internettet, da “de spiller en afgørende rolle i den samlede udbredelse af data”.

Med hensyn til, om direktivet, som det er gennemført i Spaniens nationale lovgivning, kan anvendes på Google som “dataansvarlig” for behandling af personoplysninger, fremgår det af Domstolens sagsakter, at Google Spain blev oprettet i 2003 af Google Inc. for primært at fungere som selskabets handelsagent i Spanien “med henblik på at fremme, lette og gennemføre salget af online reklameprodukter og -tjenester til tredjemand og markedsføringen af denne reklame.” I henhold til direktivets artikel 4, stk. 1, litra a), finder direktivets bestemmelser anvendelse, når:

“behandlingen foretages som led i aktiviteterne i et af den registeransvarliges forretningssteder på medlemsstatens område; når den samme registeransvarlige er etableret på flere medlemsstaters område, skal han træffe de nødvendige foranstaltninger for at sikre, at hvert af disse forretningssteder overholder de forpligtelser, der følger af den gældende nationale lovgivning.”

Såfremt der tages hensyn til direktivets formål og ordlyden af artikel 4, stk. 1, litra a), fastslog Domstolen, at Google er omfattet af bestemmelserne, fordi dets datterselskab Google Spain er et forretningssted i Spanien, “der har til formål at fremme og sælge, i det , reklameplads, der tilbydes af søgemaskinen, og som tjener til at gøre den tjeneste, som denne motor tilbyder, rentabel.”

Sidst behandlede Domstolen omfanget af Googles ansvar som internetsøgemaskine med hensyn til personoplysninger, der er offentliggjort af tredjeparters websteder og efterfølgende søges fjernet eller ændret af den registrerede person. De bestemmelser, der finder anvendelse her, er artikel 12, litra b), og artikel 14, litra a), i direktivet. I henhold til artikel 12, litra b), har enhver registreret ret til fra den registeransvarlige at få “i givet fald berigtigelse, sletning eller blokering af oplysninger, hvis behandling ikke er i overensstemmelse med bestemmelserne i dette direktiv, navnlig fordi oplysningerne er ufuldstændige eller unøjagtige”. Artikel 14, litra a), giver også den registrerede ret til “til enhver tid at gøre indsigelse af tvingende legitime grunde, der er knyttet til hans særlige situation, mod behandlingen af oplysninger om ham, medmindre andet er fastsat i national lovgivning. Hvis der er en berettiget indsigelse, må den behandling, som den registeransvarlige har iværksat, ikke længere omfatte disse oplysninger.”

Google Spanien og Google Inc. gjorde gældende, at på grundlag af proportionalitetsprincippet skal fjernelsen af personoplysninger rettes til det websted, der offentliggjorde oplysningerne og gjorde dem offentligt tilgængelige. Og at udgiveren er i den bedste position til at vurdere lovligheden af disse oplysninger.”

I forbindelse med behandlingen af dette spørgsmål understregede Domstolen først de grundlæggende rettigheder til privatlivets fred og beskyttelse af personoplysninger. I artikel 8 i EU’s charter om grundlæggende rettigheder hedder det, at “verybody has the right to the protection of personal data concerning him or her. uch data must be processed fairly for specified purposes and on the basis of the consent of the person concerned person or some other legitimate basis laid down by law. Enhver har ret til at få adgang til oplysninger, der er indsamlet om ham eller hende, og ret til at få dem berigtiget.” Som gennemført bl.a. i henhold til artikel 6, 7, 12, 14 og 28 i direktiv 95/46, understregede Domstolen også vigtigheden af at afveje retten til privatlivets fred mod retten til adgang til oplysninger.

I lyset af ovennævnte principper fastslog Domstolen, at søgemaskiner på internettet er omfattet af “påvirkning af de grundlæggende rettigheder til privatlivets fred og til beskyttelse af personoplysninger, når søgningen ved hjælp af denne maskine foretages på grundlag af en persons navn.” Internetbrugernes ret til at få adgang til personlige oplysninger via søgemaskiner skal imidlertid også respekteres, afhængigt “af arten af de pågældende oplysninger og deres følsomhed for den registreredes privatliv og af offentlighedens interesse i at få adgang til disse oplysninger, en interesse, der navnlig kan variere alt efter den rolle, som den registrerede spiller i det offentlige liv.”

Sammenfattende fastslog Domstolen, at “operatøren af en søgemaskine er forpligtet til at fjerne fra listen over resultater, der vises efter en søgning foretaget på grundlag af en persons navn, links til websider, der er offentliggjort af tredjemand, og som indeholder oplysninger om denne person, også i et tilfælde, hvor dette navn eller disse oplysninger ikke er slettet på forhånd eller samtidig fra disse websider, og selv når offentliggørelsen af dem i sig selv på disse sider i givet fald er lovlig.” Domstolen fastslog også, at personer, hvis personoplysninger er offentligt tilgængelige via søgemaskiner på internettet, kan “anmode om, at de pågældende oplysninger ikke længere gøres tilgængelige for offentligheden som følge af, at de er medtaget på en sådan resultatliste”, da deres ret til privatlivets fred og beskyttelse af personoplysninger går forud for “ikke blot den økonomiske interesse hos operatøren af søgemaskinen, men også offentlighedens interesse i at have adgang til disse oplysninger ved en søgning vedrørende den registreredes navn.” Domstolen understregede dog, at retten til at iværksætte en sådan anmodning kan ophøre med at eksistere, når adgangen til personoplysninger “er begrundet i almenhedens overvejende interesse i at få adgang til de pågældende oplysninger som følge af deres optagelse på resultatlisten.”