Global Freedom of Expression | Google Spain SL v. Agencia Española de Protección de Datos – Global Freedom of Expression

Tapauksen tiivistelmä ja lopputulos

Maaliskuussa 2010 Espanjan kansalainen Costeja González kanteli maan tietosuojavirastolle La Vanguardia -sanomalehteä, Google Spainia ja Google Inc. vastaan. González halusi, että sanomalehti poistaisi tai muuttaisi hänen vuonna 1998 suorittamaansa ulosmittaus- ja ulosmittausmenettelyä koskevat tiedot niin, että tiedot eivät enää olisi saatavilla Internetin hakukoneiden kautta. Hän pyysi myös Google Inc:tä tai sen tytäryhtiötä Google Spainia poistamaan tai salaamaan tiedot. González väitti, että menettelyt oli ratkaistu kokonaisuudessaan jo useita vuosia sitten, joten niiden ei pitäisi enää näkyä verkossa. Virasto hylkäsi sanomalehteä vastaan tehdyn valituksen sillä perusteella, että julkaiseminen oli laillisesti perusteltua hallituksen määräyksen nojalla. Se kuitenkin hyväksyi Googlea vastaan tehdyn valituksen todeten, että myös internetin hakukoneisiin sovelletaan tietosuojalainsäädäntöä ja että niiden on ryhdyttävä tarvittaviin toimenpiteisiin henkilötietojen suojaamiseksi.

Espanjan korkein oikeus lykkäsi muutoksenhaun johdosta oikeudenkäyntiä ja esitti Euroopan yhteisöjen tuomioistuimelle useita kysymyksiä, jotka koskivat EU:n direktiivin 95/46/EY (henkilötietojen suoja) soveltuvuutta internetin hakukoneisiin. Tuomioistuin katsoi, että hakukonetta pidetään ”rekisterinpitäjänä” henkilötietojen ”käsittelyn” osalta, kun se etsii, indeksoi, tallentaa ja levittää tällaisia tietoja. Lisäksi se katsoi, että yksityisyyden suojan ja henkilötietojen suojan takaamiseksi hakukoneiden ylläpitäjiä voidaan vaatia poistamaan kolmansien osapuolten verkkosivustojen julkaisemat henkilötiedot. Rekisteröidyn oikeutta esittää tällainen pyyntö on kuitenkin tasapainotettava suhteessa yleisen yleisön etuun saada tutustua hänen henkilötietoihinsa.

Tosiasiat

Vuonna 1998 espanjalainen sanomalehti La Vanguardia julkaisi kaksi artikkelia, jotka koskivat Costeja Gonzáleziin kohdistunutta ulosmittaus- ja ulosmittauskannetta. Vuonna 2009 hän otti yhteyttä sanomalehteen ja väitti, että kun hänen nimensä syötettiin Google.comiin, siellä oli edelleen viittaus sanomalehden sivuille, jotka koskivat oikeustoimia. González väitti, että tiedot olisi poistettava, koska oikeudenkäynti oli saatettu päätökseen vuosia aiemmin eikä häneen kohdistunut saatavaa ollut jäljellä. Sanomalehti kuitenkin hylkäsi hänen vaatimuksensa väittäen, että oikeudenkäynti julkaistiin Espanjan työ- ja sosiaaliministeriön määräyksen mukaisesti. Tämän jälkeen González otti vuonna 2010 yhteyttä Google Espanjaan väittäen, että hänen nimensä verkkohakutuloksissa ei saisi viitata siihen, että sanomalehti oli julkaissut hänen oikeuskäsittelynsä.

Kun Google ei noudattanut tätä vaatimusta, González teki Espanjan tietosuojavirastolle valituksen sanomalehteä, Google Espanjaa ja Google Inc:tä vastaan. Virasto hylkäsi sanomalehteä vastaan nostetun kanteen sillä perusteella, että julkaisu oli tehty hallituksen määräyksen mukaisesti. Se hyväksyi kuitenkin Googlea ja sen tytäryhtiötä Google Spainia vastaan tehdyn valituksen. Virasto katsoi, että koska internetin hakukoneiden ylläpitäjät käsittelevät henkilötietoja, niihin sovelletaan asiaankuuluvaa yksityisyyden suojaa koskevaa lainsäädäntöä, ja ne voivat olla velvollisia poistamaan tietoja, jotka vaarantavat yksityisyyden suojaa koskevan perusoikeuden.

Sen jälkeen Google Inc. ja Google Spain tekivät erilliset valitukset päätöksestä. Espanjan kansallinen korkein oikeus päätti lykätä oikeudenkäyntiä arvioitaessa Googlen velvollisuutta suojata henkilötietoja, jotka muutoin julkaistaan kolmansien osapuolten verkkosivustoilla.

Tuomion yleiskatsaus

Espanjan kansallinen korkein oikeus esitti Euroopan yhteisöjen tuomioistuimelle seuraavat ennakkoratkaisukysymykset:

(1) Voidaanko EU:n direktiiviä 95/46, sellaisena kuin se on pantu täytäntöön jäsenvaltion kansallisella lainsäädännöllä, soveltaa ulkomaiseen Internet-hakukoneyhtiöön, jolla on sivukonttori tai tytäryhtiö, jonka tarkoituksena on mainostaa ja myydä mainostilaa, joka on suunnattu kyseisen jäsenvaltion asukkaille.

(2) Voidaanko Internet-hakukoneiden toimintaa, jossa ne etsivät kolmansien osapuolten julkaisemia tietoja ja myöhemmin indeksoivat ja asettavat nämä tiedot Internetin käyttäjien saataville, pitää direktiivissä tarkoitettuna ”henkilötietojen käsittelynä”.

(3) Onko hakukoneen ylläpitäjää pidettävä direktiivin 2 artiklan d alakohdassa tarkoitettuna ”rekisterinpitäjänä” henkilötietojen käsittelyn osalta.

(4) Ovatko Internet-hakukoneiden ylläpitäjät velvollisia poistamaan tai pyyhkimään kolmansien osapuolten verkkosivustojen julkaisemat henkilötiedot laillisin perustein yksityisyyden suojan ja muiden direktiivissä tarkoitettujen perusoikeuksien suojelemiseksi, vaikka tällaisten tietojen alkuperäinen levittäminen olisi ollut laillista.

Direktiivin 95/46/EY 1 artiklassa velvoitetaan EU:n jäsenvaltiot suojelemaan ”luonnollisten henkilöiden perusoikeuksia ja -vapauksia ja erityisesti heidän oikeuttaan yksityisyyteen henkilötietojen käsittelyssä”. Samalla se kieltää henkilötietojen vapaan liikkuvuuden rajoittamisen EU:n jäsenvaltioiden välillä.

Direktiivissä henkilötiedot määritellään ”kaikiksi tiedoiksi, jotka liittyvät tunnistettuun tai tunnistettavissa olevaan luonnolliseen henkilöön (’rekisteröity’); tunnistettavissa olevalla henkilöllä tarkoitetaan henkilöä, joka voidaan suoraan tai epäsuorasti yksilöidä erityisesti tunnistenumeron tai yhden tai useamman fyysiseen, fysiologiseen, psyykkiseen, taloudelliseen, kulttuuriseen tai sosiaaliseen henkilöllisyyteen liittyvän seikan perusteella”. Tällaisten tietojen käsittelyyn kuuluvat ”kaikki henkilötietoihin kohdistuvat automaattiset tai muut kuin automaattiset toimenpiteet, kuten tietojen kerääminen, tallentaminen, järjestäminen, tallentaminen, muokkaaminen tai muuttaminen, haku, kysely, käyttö, luovuttaminen välittämällä, levittämällä tai asettamalla muutoin saataville, yhteensovittaminen tai yhdistäminen, suojaaminen, poistaminen tai tuhoaminen”.” Direktiivin 2 artiklan d alakohdan mukaan henkilötietojen ”rekisterinpitäjällä” tarkoitetaan ”luonnollista henkilöä tai oikeushenkilöä, viranomaista, virastoa tai muuta elintä, joka yksin tai yhdessä muiden kanssa päättää henkilötietojen käsittelyn tarkoituksista ja keinoista.”

Euroopan tuomioistuin käsitteli ensin sitä, voidaanko Internet-hakukoneen toiminta luokitella direktiivin 2 artiklan c alakohdassa tarkoitetuksi henkilötietojen ”käsittelyksi”. Ja jos vastaus on myöntävä, voidaanko hakukoneen ylläpitäjää pitää rekisterinpitäjänä, joka suorittaa henkilötietojen käsittelyä. Tuomioistuin katsoi kiistattomaksi, että jotkin tai monet hakukoneiden indeksoimat ja tallentamat tiedot liittyvät ”yksilöitävissä oleviin luonnollisiin henkilöihin ja ovat siten .” 2 artiklan a alakohdassa tarkoitettuja ”henkilötietoja”.” Ja että hakukoneen ylläpitäjä kerää usein verkkotietojen jatkuvan ja järjestelmällisen etsimisen kautta kyseisiä henkilötietoja, jotka sitten indeksoidaan, tallennetaan ja asetetaan Internetin käyttäjien saataville. Näin ollen tuomioistuin päätteli, että Googlen teko henkilötietojen keräämisestä, indeksoinnista, tallentamisesta ja luovuttamisesta katsotaan direktiivissä tarkoitetuksi tällaisten tietojen ”käsittelyksi”.

Siitä, onko Googlen hakukonetta pidettävä henkilötietoja käsittelevänä ”rekisterinpitäjänä”, tuomioistuin katsoi, että direktiivissä käytettyä ”rekisterinpitäjän” käsitettä on tulkittava laajasti, jotta voidaan varmistaa ”rekisteröityjen henkilöiden tehokas ja kattava suoja”. Ja että olisi direktiivin tavoitteiden vastaista jättää Internet-hakukoneiden ylläpitäjät direktiivin soveltamisalan ulkopuolelle, koska ”niillä on ratkaiseva rooli tietojen yleisessä levittämisessä”.

Siltä osin kuin on kyse siitä, voidaanko direktiiviä, sellaisena kuin se on pantu täytäntöön Espanjan kansallisella lainsäädännöllä, soveltaa Googleen henkilötietojen käsittelyn ”rekisterinpitäjänä”, tuomioistuimen pöytäkirjoista käy ilmi, että Google Inc. perusti Google Spainin vuonna 2003 toimimaan ensisijaisesti kaupallisena edustajanaan Espanjassa ”edistääkseen, helpottaakseen ja toteuttaakseen verkkomainontatuotteiden ja -palveluiden myyntiä ja markkinointia kolmansille osapuolille sekä kyseisen mainonnan markkinointia”. Direktiivin 4 artiklan 1 kohdan a alakohdan mukaan direktiivin säännöksiä sovelletaan, kun:

”käsittely tapahtuu rekisterinpitäjän jäsenvaltion alueella sijaitsevan toimipaikan toiminnan yhteydessä; jos sama rekisterinpitäjä on sijoittautunut useamman jäsenvaltion alueelle, hänen on toteutettava tarvittavat toimenpiteet sen varmistamiseksi, että kukin näistä toimipaikoista noudattaa sovellettavassa kansallisessa lainsäädännössä säädettyjä velvoitteita.”.”

Ottaen huomioon direktiivin tavoitteet ja 4 artiklan 1 kohdan a alakohdan sanamuodon yhteisöjen tuomioistuin katsoi, että Googleen sovelletaan säännöksiä, koska sen tytäryhtiö Google Spain on Espanjassa sijaitseva toimipaikka, jonka ”tarkoituksena on edistää ja myydä siinä , hakukoneen tarjoamaa mainostilaa, jonka tarkoituksena on tehdä kyseisen hakukoneen tarjoamasta palvelusta kannattavaa”.”

Viimeiseksi tuomioistuin käsitteli sitä, missä määrin Google on internetin hakukoneena vastuussa kolmansien osapuolten verkkosivustojen julkaisemista henkilötiedoista, jotka rekisteröity on myöhemmin pyrkinyt poistamaan tai muuttamaan. Sovellettavat säännökset ovat direktiivin 12 artiklan b alakohta ja 14 artiklan a alakohta. Direktiivin 12 artiklan b alakohdan mukaan jokaisella henkilötietojen rekisteröidyllä on oikeus saada rekisterinpitäjältä ”tarvittaessa oikaistuksi, poistetuksi tai estetyksi tiedot, joiden käsittely ei ole tämän direktiivin säännösten mukaista erityisesti siksi, että tiedot ovat puutteellisia tai epätarkkoja”. Lisäksi 14 artiklan a alakohdassa annetaan rekisteröidylle oikeus ”vastustaa milloin tahansa häntä koskevien tietojen käsittelyä hänen erityistilanteeseensa liittyvien pakottavien oikeutettujen syiden perusteella, jollei kansallisessa lainsäädännössä toisin säädetä”. Jos vastustaminen on perusteltua, rekisterinpitäjän aloittama käsittely ei saa enää koskea kyseisiä tietoja.”

Google Spain ja Google Inc. väittivät, että suhteellisuusperiaatteen perusteella henkilötietojen poistaminen on osoitettava verkkosivulle, joka on julkaissut tiedot ja asettanut ne julkisesti saataville. Ja että julkaisija on parhaassa asemassa arvioimaan kyseisten tietojen lainmukaisuutta.

Käsitellessään tätä kysymystä tuomioistuin korosti ensin yksityisyyden suojaa ja henkilötietojen suojaa koskevia perusoikeuksia. EU:n perusoikeuskirjan 8 artiklassa todetaan, että ”jokaisella on oikeus itseään koskevien henkilötietojen suojaan. ällaisia tietoja on käsiteltävä oikeudenmukaisesti määriteltyjä tarkoituksia varten ja asianomaisen henkilön suostumuksen tai jonkin muun laissa säädetyn laillisen perusteen nojalla”. Jokaisella on oikeus tutustua tietoihin, jotka on kerätty hänestä, ja oikeus saada ne oikaistua.”.” Kuten muun muassa direktiivin 95/46/EY 6, 7, 12, 14 ja 28 artiklan nojalla on pantu täytäntöön, tuomioistuin korosti myös, että on tärkeää tasapainottaa oikeus yksityisyyteen ja oikeus tiedonsaantiin.

Yllä mainittujen periaatteiden valossa tuomioistuin katsoi, että Internetin hakukoneet voivat ”vaikuttaa yksityisyyden suojaa ja henkilötietojen suojaa koskeviin perusoikeuksiin, kun haku kyseisellä hakukoneella tehdään yksilön nimen perusteella”. Internetin käyttäjien oikeutta saada henkilötietoja hakukoneiden kautta on kuitenkin myös kunnioitettava, riippuen ”kyseisten tietojen luonteesta ja niiden arkaluonteisuudesta rekisteröidyn yksityiselämän kannalta sekä siitä, mikä on yleisön intressi saada nämä tiedot, intressi, joka voi vaihdella erityisesti sen mukaan, mikä on rekisteröidyn rooli julkisessa elämässä”.

Yhteenvetona tuomioistuin totesi, että ”hakukoneen ylläpitäjä on velvollinen poistamaan henkilön nimen perusteella tehdyn haun jälkeen näytettävien hakutulosten luettelosta linkit kolmansien osapuolten julkaisemille verkkosivuille, jotka sisältävät kyseistä henkilöä koskevia tietoja, myös siinä tapauksessa, että kyseistä nimeä tai tietoa ei ole poistettu kyseisiltä verkkosivuilta etukäteen tai samanaikaisesti, ja tapauksesta riippuen silloinkin, kun sen julkaiseminen kyseisillä sivuilla sinänsä on laillista.” Tuomioistuin totesi myös, että henkilöt, joiden henkilötiedot ovat julkisesti saatavilla Internetin hakukoneiden kautta, voivat ”pyytää, että kyseisiä tietoja ei enää aseteta yleisön saataville sen vuoksi, että ne on sisällytetty tällaiseen tulosluetteloon”, koska heidän oikeutensa yksityisyyteen ja henkilötietojen suojaan syrjäyttävät ”paitsi hakukoneen ylläpitäjän taloudelliset intressit myös yleisön intressit, jotka liittyvät siihen, että rekisteröidyn nimeä koskevan haun yhteydessä on mahdollista saada käyttöönsä kyseiset tiedot”. Tuomioistuin korosti kuitenkin, että oikeus tällaisen pyynnön esittämiseen voi lakata olemasta, kun pääsy henkilötietoihin ”on perusteltua siksi, että suuren yleisön ylivoimainen etu on saada tutustua kyseisiin tietoihin sen vuoksi, että ne on sisällytetty tulosluetteloon”.